Apa Itu HIPAA? Pengertian, Aturan Inti, dan Kepatuhan HIPAA

Kepatuhan HIPAA adalah upaya organisasi memenuhi kewajiban perlindungan informasi kesehatan menurut Health Insurance Portability and Accountability Act (HIPAA) Amerika Serikat. Bagi perusahaan Indonesia, aturan ini menjadi urusan nyata ketika klien dari Amerika Serikat meminta Anda mengolah data pasien mereka.

Artikel ini membahas data yang dilindungi, pihak yang wajib patuh, empat aturan inti, dan safeguards (pengamanan) dalam aturan keamanan HIPAA (Security Rule). Pembahasan berlanjut ke perbandingan dengan General Data Protection Regulation (GDPR) Uni Eropa dan Undang-Undang Pelindungan Data Pribadi (UU PDP), sanksi, dan status pembaruan Security Rule per Oktober 2026.

Apa Itu HIPAA?

HIPAA (Health Insurance Portability and Accountability Act) adalah undang-undang Amerika Serikat tahun 1996 yang menjadi dasar aturan perlindungan privasi dan keamanan informasi kesehatan. Departemen Kesehatan dan Layanan Kemanusiaan Amerika Serikat (HHS) menerbitkan aturan pelaksanaannya.

Aturan itu mengatur kapan informasi pasien boleh dipakai, bagaimana mengamankannya, apa yang wajib dilakukan saat informasi bocor, dan cara pemerintah menegakkan semuanya. Privacy Rule, aturan privasi HIPAA, bertujuan melindungi informasi individu tanpa menghentikan aliran data yang dibutuhkan untuk layanan kesehatan.

Apakah HIPAA Berlaku di Indonesia?

HIPAA tidak berlaku otomatis di Indonesia. Aturannya mengikat covered entity (penyedia layanan kesehatan, health plan, dan perantara data kesehatan) serta business associate (vendor yang mengolah data pasien atas nama mereka), bukan setiap pemilik data kesehatan.

Perusahaan Indonesia terikat bila menjadi business associate, yaitu mengolah data pasien untuk klinik atau perusahaan asuransi di Amerika Serikat dan menandatangani business associate agreement (BAA). Data pasien di Indonesia sendiri berada di bawah UU PDP, yang menggolongkan data dan informasi kesehatan sebagai data pribadi spesifik (Pasal 4 ayat (2) huruf a UU PDP).

Data yang Dilindungi HIPAA

Data yang dilindungi HIPAA adalah informasi kesehatan yang dapat dikaitkan dengan individu tertentu, disebut protected health information (PHI), termasuk bentuk elektroniknya (ePHI).

PHI

PHI (protected health information) adalah informasi kesehatan yang mengidentifikasi individu tertentu dan dipegang pihak yang diatur HIPAA. Informasi itu mencakup kondisi kesehatan fisik atau mental, layanan kesehatan yang diterima, dan pembayaran layanan tersebut.

Hasil laboratorium yang disertai nama, alamat, atau tanggal lahir pasien, misalnya, sudah tergolong PHI.

ePHI

ePHI (electronic PHI) adalah PHI yang tersimpan atau terkirim lewat media elektronik, seperti rekam medis elektronik, lembar kerja, dan email. Data pasien di basis data aplikasi milik vendor juga termasuk ePHI.

Siapa yang Wajib Menjalankan Kepatuhan HIPAA

Dua kelompok wajib menjalankan kepatuhan HIPAA, yaitu covered entity (entitas tercakup) dan business associate (rekanan bisnis). Kelompok pertama menyelenggarakan, membiayai, atau memproses transaksi layanan kesehatan, sedangkan kelompok kedua mengolah PHI atas nama mereka.

Covered Entity: Penyedia, Pembiaya, dan Perantara Data

HIPAA membagi covered entity menjadi tiga jenis:

• Penyedia layanan kesehatan yang mengirim informasi kesehatan secara elektronik dalam transaksi yang diatur HIPAA, misalnya klinik dan rumah sakit.
• Health plan, yaitu penyelenggara asuransi atau pembiayaan layanan kesehatan.
• Health care clearinghouse, yaitu pihak yang mengubah informasi kesehatan dari format nonstandar ke format standar, atau sebaliknya.

Business Associate: Pihak Ketiga yang Menyentuh PHI

Business associate adalah pihak di luar karyawan covered entity yang menjalankan fungsi atau memberikan layanan bagi covered entity dengan membuat, menerima, menyimpan, atau mengirim PHI. Subkontraktor yang menangani PHI untuk business associate juga berstatus business associate.

Contoh pihak yang tergolong business associate menurut HHS:

Jenis pihak	Fungsi yang membuatnya berstatus business associate
Penyedia cloud	Menyimpan atau memproses ePHI atas nama covered entity
Vendor TI dan penyedia layanan terkelola	Memelihara atau mendukung sistem informasi yang menangani ePHI
Pengembang aplikasi kesehatan	Menyediakan aplikasi bagi pasien covered entity dan mengolah PHI mereka
Penyedia chatbot kecerdasan buatan (AI) di portal pasien	Menilai gejala, mengirim pengingat, atau menjadwalkan janji temu dengan memakai PHI pasien
Jasa transkripsi medis	Menyediakan layanan transkripsi bagi dokter
Third party administrator	Membantu health plan memproses klaim

Akses ke PHI saat menjalankan tugas menentukan status business associate, bukan jenis perusahaannya.

Pihak yang hanya meneruskan PHI, seperti layanan pos dan kurir tertentu, dikecualikan sebagai saluran (conduit). Jika Anda atau vendor Anda rutin mengakses PHI untuk menjalankan layanan, pengecualian itu tidak berlaku.

BAA: Kontrak yang Mengikat Vendor

Business associate agreement (BAA) adalah kontrak tertulis yang wajib ada sebelum covered entity membagikan PHI kepada business associate. BAA membatasi cara vendor memakai PHI dan mewajibkannya mematuhi Security Rule.

Vendor juga harus melaporkan setiap insiden keamanan yang diketahuinya, termasuk pelanggaran PHI, kepada covered entity. Jika vendor memakai subkontraktor, vendor wajib membuat BAA serupa dengan subkontraktor itu sebelum membagikan PHI.

Empat Aturan Inti dalam Kepatuhan HIPAA

Kepatuhan HIPAA bertumpu pada empat aturan inti, yaitu Privacy Rule, Security Rule, Breach Notification Rule, dan Enforcement Rule. Tiga aturan pertama menetapkan kewajiban organisasi, sedangkan Enforcement Rule mengatur cara pemerintah Amerika Serikat menegakkannya.

Privacy Rule: Batas Penggunaan dan Hak Individu

Privacy Rule menetapkan standar nasional untuk melindungi catatan medis dan informasi kesehatan lain yang dapat diidentifikasi. Aturan ini membatasi penggunaan dan pengungkapan PHI tanpa otorisasi individu.

Individu juga berhak memeriksa dan memperoleh salinan catatannya, meminta koreksi, serta meminta salinan elektronik catatannya dikirim ke pihak ketiga.

Security Rule: Pengamanan untuk ePHI

Security Rule mewajibkan covered entity dan business associate menjaga kerahasiaan, keutuhan, dan ketersediaan ePHI. Jenis pengamanan yang diwajibkan dibahas pada bagian safeguards di bawah.

Breach Notification Rule: Kewajiban Saat Data Bocor

Breach Notification Rule mewajibkan covered entity memberi tahu individu terdampak, HHS, dan dalam kondisi tertentu media setelah pelanggaran PHI yang tidak diamankan. Business associate wajib memberi tahu covered entity paling lambat 60 hari sejak pelanggaran ditemukan (45 CFR 164.410).

Covered entity memberi tahu individu tanpa penundaan yang tidak wajar dan paling lambat 60 hari sejak penemuan (45 CFR 164.404). Laporan ke HHS untuk pelanggaran yang menyangkut 500 orang atau lebih memakai batas waktu yang sama (45 CFR 164.408).

Pelanggaran yang menyangkut kurang dari 500 orang dilaporkan sekali setahun, paling lambat 60 hari setelah tahun kalender penemuan berakhir (45 CFR 164.408). Media baru dilibatkan bila pelanggaran menyangkut lebih dari 500 penduduk di satu negara bagian atau wilayah (45 CFR 164.406).

Penggunaan atau pengungkapan PHI yang tidak diizinkan dianggap pelanggaran, kecuali organisasi dapat menunjukkan probabilitas rendah bahwa PHI terkompromi lewat penilaian risiko yang didokumentasikan (45 CFR 164.402). Beban pembuktian ada pada organisasi (45 CFR 164.414).

Enkripsi sesuai panduan HHS dapat meniadakan kewajiban notifikasi. PHI yang dibuat tidak terbaca lewat enkripsi atau penghancuran dianggap diamankan, sehingga kebocorannya tidak memicu pemberitahuan.

Enforcement Rule: Investigasi dan Denda

Enforcement Rule memuat ketentuan tentang kepatuhan dan investigasi, denda perdata atas pelanggaran, serta prosedur sidang. Ketentuannya dikodifikasi dalam 45 CFR Part 160 Subpart C, D, dan E.

Tingkat denda dan cara perkara diselesaikan dibahas pada bagian sanksi di bawah.

Safeguards dalam HIPAA Security Rule

Safeguards dalam HIPAA Security Rule adalah pengamanan yang wajib diterapkan untuk melindungi ePHI, terbagi menjadi pengamanan administratif, fisik, dan teknis.

Administrative Safeguards: Kebijakan, Pelatihan, dan Risiko

Administrative safeguards (pengamanan administratif) adalah kebijakan, prosedur, dan pengelolaan staf yang menentukan cara organisasi menangani ePHI. Standar utamanya meliputi:

• Analisis risiko atas ancaman dan kerentanan terhadap ePHI, disusul pengelolaan risiko untuk menurunkannya ke tingkat yang wajar dan layak.
• Penunjukan satu penanggung jawab keamanan yang menyusun dan menjalankan kebijakan keamanan.
• Pembatasan akses ePHI sesuai peran lewat sistem manajemen identitas dan akses (IAM), sehingga setiap pengguna hanya melihat data yang dibutuhkan pekerjaannya.
• Pelatihan seluruh staf pada kebijakan keamanan, disertai sanksi bagi staf yang melanggarnya.
• Prosedur untuk mengenali, menanggapi, dan mendokumentasikan insiden keamanan yang diketahui atau dicurigai.
• Rencana kontingensi untuk keadaan darurat, termasuk cadangan data, pemulihan data, dan kelangsungan operasi penting.
• Evaluasi berkala, secara teknis dan nonteknis, atas seberapa baik kebijakan memenuhi Security Rule.
• BAA tertulis dengan setiap business associate sebelum vendor itu menangani ePHI.

Physical Safeguards: Fasilitas, Workstation, dan Media

Physical safeguards (pengamanan fisik) membatasi akses fisik ke sistem yang menyimpan ePHI dan ke tempat sistem itu berada. Kontrol utamanya mencakup:

• Pembatasan akses ke fasilitas dan ruang sistem, dengan akses yang tetap terbuka bagi pihak berwenang.
• Aturan penggunaan dan perlindungan fisik untuk workstation, yaitu komputer kerja yang dapat mengakses ePHI.
• Pengelolaan penerimaan, pemindahan, dan pembuangan perangkat serta media yang memuat ePHI.
• Penghapusan ePHI dari media sebelum media itu dipakai ulang.

Technical Safeguards: Akses, Log Audit, dan Transmisi

Technical safeguards (pengamanan teknis) adalah kontrol teknologi yang membatasi akses ke ePHI dan menjaga data tetap utuh. Standar teknisnya meliputi:

• Kontrol akses yang hanya mengizinkan pengguna berwenang membuka ePHI.
• Log audit, yaitu mekanisme yang mencatat dan memeriksa aktivitas pada sistem yang memuat ePHI.
• Kontrol integritas yang memastikan ePHI tidak diubah atau dihancurkan secara tidak sah.
• Autentikasi yang memverifikasi bahwa pihak yang meminta akses memang orang yang dimaksud.
• Keamanan transmisi yang melindungi ePHI dari akses tidak sah saat dikirim lewat jaringan elektronik.

Required dan Addressable: Seberapa Wajib Setiap Kontrol

Security Rule bersifat fleksibel dan tidak menetapkan teknologi tertentu. Ukuran organisasi, kemampuan teknis, biaya, dan tingkat risiko terhadap ePHI menentukan pengamanan yang memadai, sehingga analisis risiko yang akurat dan menyeluruh menjadi dasar semua keputusan.

Spesifikasi pelaksanaan (implementation specification) berstatus required wajib diterapkan sebagaimana tertulis. Spesifikasi berstatus addressable, yaitu yang penerapannya menyesuaikan kondisi organisasi, tidak bersifat opsional.

Organisasi harus menerapkan spesifikasi addressable bila wajar dan layak, atau memakai alternatif dan mendokumentasikan alasannya.

Baca juga: Rencana Respons Insiden Siber (IRP) Pengertian dan Rekomendasi

HIPAA vs GDPR vs UU PDP

HIPAA hanya melindungi informasi kesehatan yang dipegang covered entity dan business associate, sedangkan GDPR dan UU PDP melindungi semua data pribadi, dengan perlakuan lebih ketat untuk data kesehatan. Tabel berikut membandingkan ketiganya pada enam aspek.

Aspek	HIPAA	GDPR	UU PDP
Data yang dilindungi	PHI, yaitu informasi kesehatan yang dapat dikaitkan dengan individu	Semua data pribadi, dengan data kesehatan sebagai kategori khusus yang pemrosesannya dilarang kecuali memenuhi syarat tertentu (Pasal 9 GDPR)	Semua data pribadi, dengan data dan informasi kesehatan sebagai data spesifik (Pasal 4 ayat (2) UU PDP)
Pihak yang terikat	Covered entity dan business associate	Pengendali dan prosesor di Uni Eropa, serta di luar Uni Eropa bila menawarkan barang atau jasa kepada individu di sana atau memantau perilakunya (Pasal 3 GDPR)	Pengendali dan prosesor, termasuk di luar Indonesia bila pemrosesan berakibat hukum di Indonesia atau bagi warga negara Indonesia (Pasal 2 ayat (1) UU PDP)
Kontrak dengan vendor	BAA wajib sebelum PHI dibagikan	Kontrak yang mengikat prosesor kepada pengendali (Pasal 28 GDPR)	Prosesor bertindak atas perintah pengendali, dan sub-prosesor perlu persetujuan tertulis pengendali (Pasal 51 UU PDP)
Penilaian risiko	Analisis risiko terhadap ePHI	Penilaian dampak pelindungan data (DPIA) untuk pemrosesan berisiko tinggi, termasuk data kategori khusus berskala besar (Pasal 35 GDPR)	Penilaian dampak untuk pemrosesan berisiko tinggi, termasuk data spesifik (Pasal 34 UU PDP)
Pemberitahuan kebocoran	Tanpa penundaan yang tidak wajar, paling lambat 60 hari sejak ditemukan	Ke otoritas pengawas tanpa penundaan yang tidak semestinya dan, bila memungkinkan, paling lambat 72 jam sejak diketahui (Pasal 33 GDPR)	Tertulis kepada subjek data dan lembaga, paling lambat 3×24 jam (Pasal 46 UU PDP)
Sanksi finansial	Denda perdata empat tingkat menurut kesalahan	Denda administratif hingga 20 juta euro atau 4 persen dari omzet global tahunan, mana yang lebih tinggi, untuk pelanggaran tingkat tertinggi (Pasal 83 ayat (5) GDPR)	Denda administratif paling tinggi 2 persen dari pendapatan tahunan (Pasal 57 UU PDP)

Tenggat pemberitahuan kebocoran menjadi perbedaan terbesar, yaitu 60 hari pada HIPAA, 72 jam pada GDPR, dan 3×24 jam pada UU PDP. Organisasi yang tunduk pada lebih dari satu kerangka sebaiknya menjadikan tenggat 72 jam sebagai patokan prosedur internal.

Bagi perusahaan Indonesia, UU PDP mengikat langsung sejak masa penyesuaian dua tahunnya berakhir pada Oktober 2024 (Pasal 74 UU PDP), sedangkan HIPAA mengikat terutama lewat kontrak BAA. Aturan pelaksananya, PP 33 Tahun 2026, mulai berlaku pada 16 Januari 2027.

Baca juga: Data Breach Notification: Persyaratan UU PDP yang Wajib Dipahami Perusahaan

Sanksi Pelanggaran HIPAA dan Cara Penegakannya

Pelanggaran HIPAA dapat berujung pada tindakan korektif yang diwajibkan regulator, kesepakatan penyelesaian berbayar, atau denda perdata bertingkat. Penegaknya adalah Office for Civil Rights (OCR), unit di bawah HHS.

Denda perdata terbagi menjadi empat tingkat menurut kesalahan (45 CFR 160.404):

• Pelanggaran yang tidak diketahui dan tidak akan diketahui walau organisasi telah bersikap cermat.
• Pelanggaran karena alasan yang wajar dan bukan pengabaian kewajiban yang disengaja.
• Pengabaian kewajiban yang disengaja (willful neglect) dan diperbaiki dalam 30 hari sejak organisasi mengetahuinya.
• Pengabaian kewajiban yang disengaja dan tidak diperbaiki dalam 30 hari.

Nominal denda disesuaikan setiap tahun menurut 45 CFR Part 102, sehingga angka dari sumber lama mungkin sudah tidak berlaku. Periksa nominal terbaru sebelum menghitung potensi denda.

OCR dapat menutup perkara lewat kesepakatan yang menetapkan pembayaran sebesar persentase dari denda yang mungkin dikenakan. Kesepakatan itu juga mewajibkan organisasi memperbaiki akar masalahnya lewat rencana tindakan korektif yang disertai pemantauan.

HHS menyebut sebagian besar investigasi dapat memakan waktu bertahun-tahun.

Status Pembaruan Security Rule per Oktober 2026

Pembaruan besar Security Rule yang diajukan HHS masih berstatus usulan, sehingga Security Rule yang lama tetap berlaku. HHS belum menerbitkan versi finalnya.

Usulan itu menghapus pembedaan spesifikasi required (wajib) dan addressable, dengan pengecualian terbatas, serta mewajibkan enkripsi ePHI dan verifikasi tahunan atas business associate. Usulan itu juga memuat autentikasi multifaktor (verifikasi identitas dengan lebih dari satu bukti) dan uji penetrasi tahunan (simulasi serangan untuk menemukan celah).

Jadwal versi finalnya bergeser. Dalam agenda regulasi terbaru, HHS memindahkan usulan itu ke kategori tindakan jangka panjang, sehingga belum ada tenggat kepatuhan baru.

Meski belum final, dua usulan di dalamnya layak diterapkan sejak sekarang, yaitu enkripsi dan autentikasi multifaktor. Keduanya mengurangi risiko kebocoran, dan enkripsi sesuai panduan HHS juga dapat meniadakan kewajiban notifikasi.

Kesimpulan

Kepatuhan HIPAA bertumpu pada empat aturan inti dan tiga jenis safeguards, dengan analisis risiko sebagai dasar semua keputusan pengamanan. Organisasi perlu menyimpan bukti tertulis atas setiap kontrol yang diklaimnya.

Bagi perusahaan Indonesia, langkah paling berguna sekarang adalah memeriksa apakah klien di Amerika Serikat sudah atau akan meminta BAA. Setelah itu, samakan kontrol internal dengan UU PDP, terutama tenggat pemberitahuan kebocoran 3×24 jam.

FAQ