Lindungi Privasi Medis dalam Pembagian Rekam Medis Lintas Batas

Petakan setiap penerima, minimalkan rekam medis, gunakan pengiriman aman, dan kelola persetujuan, akses, metadata, serta penghapusan saat berbagi data kesehatan secara internasional.

Poin penting

Informasi kesehatan medis merupakan informasi pribadi sensitif menurut Undang-Undang Perlindungan Informasi Pribadi Tiongkok (PIPL). Pemrosesannya memerlukan tujuan khusus, kebutuhan yang memadai, dan perlindungan ketat.[1]
“Kirim rekam medis saya ke luar negeri” dapat melibatkan rumah sakit asal, koordinator, perusahaan penerjemahan, platform, rumah sakit luar negeri, penanggung asuransi, dan keluarga. Identifikasi setiap penerima dan perannya.
Gunakan kumpulan rekam medis minimum yang diperlukan untuk tujuan yang dinyatakan. Pengemudi memerlukan petunjuk mobilitas, bukan hasil patologi; bagian penetapan biaya mungkin tidak memerlukan seluruh riwayat psikiatri.
Persyaratan persetujuan terpisah dan pengiriman lintas batas bergantung pada siapa yang memproses informasi dan alasannya. Mintalah institusi menjelaskan dasar hukum dan mekanisme pengirimannya; jangan mengandalkan kotak centang persetujuan menyeluruh.[1][2]
Enkripsi berkas, kirim kata sandi secara terpisah, tetapkan kedaluwarsa tautan, dan pastikan penghapusan atau pengembalian ketika tugas selesai. Metadata DICOM dan dokumen dapat mengandung identitas meskipun nama berkas tampak anonim.[3]

Panduan lengkap

Rekam medis dapat melintasi beberapa perbatasan tanpa disadari pasien. Rumah sakit mengekspor PDF ke koordinator, koordinator mengirimkannya ke penerjemah, terjemahan diunggah ke penyimpanan awan, tautan diterima dokter di luar negeri, dan seorang kerabat meneruskan tautan itu ke grup keluarga.

Setiap langkah mungkin terasa membantu. Namun, secara keseluruhan langkah-langkah tersebut menghasilkan salinan, penerima baru, dan masa penyimpanan yang tidak jelas. Perlindungan privasi dimulai dengan memetakan rutenya sebelum mengirim berkas.

Pertama, Petakan Orang dan Sistem yang Terlibat

Buat peta pengiriman sederhana:

Penerima atau sistem	Tujuan	Data yang diperlukan	Boleh diteruskan kepada	Akses berakhir
Rumah sakit Tiongkok	Tinjauan klinis	Rekam medis yang relevan bagi keputusan	Tim klinis yang disebutkan	Sesuai aturan penyimpanan rumah sakit
Penerjemah	Menerjemahkan laporan terpilih	Halaman sumber terpilih	Hanya peninjau yang disetujui	Setelah penyerahan dan pemeriksaan mutu
Koordinator	Mengatur peninjauan	Indeks dan berkas yang diperlukan	Kontak rumah sakit yang disebutkan	Saat layanan berakhir
Penanggung asuransi	Keputusan pertanggungan	Daftar bukti yang didokumentasikannya	Petugas pemrosesan klaim	Sesuai polis dan hukum
Pengemudi atau hotel	Logistik aksesibilitas	Nama, waktu, dan kebutuhan mobilitas	Tidak ada penerima klinis	Setelah layanan

Jika seseorang tidak dapat menjelaskan mengapa mereka memerlukan berkas, hentikan sementara. “Demi kemudahan” bukan tujuan medis yang jelas.

Ketahui Siapa Pengelola Datanya

Pasien yang mengirim salinan yang dimilikinya sendiri kepada tenaga klinis pilihannya merupakan situasi operasional yang berbeda dari rumah sakit yang mengekspor rekam medis melalui vendor. Rumah sakit, agen, platform, penerjemah, dan penerima luar negeri masing-masing dapat bertindak sebagai pemroses informasi pribadi, pemroses yang diberi mandat, atau penerima independen, tergantung pengaturannya.

Menurut PIPL, pemberian informasi pribadi kepada pemroses lain umumnya mengharuskan individu diberi tahu mengenai identitas dan kontak penerima, tujuan, metode, serta kategori informasi dan memberikan persetujuan terpisah, kecuali berlaku dasar hukum lain.[1] Informasi sensitif memerlukan informasi tambahan tentang kebutuhan dan dampaknya, sedangkan pemberian lintas batas memiliki persyaratan lebih lanjut.[1]

Pasien seharusnya tidak perlu memilih mekanisme hukum organisasi. Mintalah kontak privasi organisasi menyatakan:

Siapa yang bertanggung jawab atas pengiriman
Dasar hukum pemrosesan dan ekspor
Penerima luar negeri dan negara atau wilayahnya
Tujuan, kategori data, dan masa penyimpanan
Apakah subkontraktor atau penyedia layanan awan terlibat
Bagaimana pasien dapat menggunakan haknya terhadap penerima luar negeri
Mekanisme lintas batas atau pengecualian yang dijadikan dasar

Aturan data lintas batas Tiongkok tahun 2024 menyesuaikan kapan prosedur penilaian keamanan, kontrak standar, atau sertifikasi diperlukan dan mencakup pengecualian untuk sebagian pengiriman yang diperlukan bagi kontrak atau keadaan darurat.[2] Pengecualian dari mekanisme pengajuan bukan izin mengabaikan pembatasan tujuan, keamanan, atau hak individu.

Kirim Kumpulan Rekam Medis Minimum yang Diperlukan

Mulailah dari keputusan yang hendak dibuat dan buat salinan untuk ditinjau. Simpan arsip sumber lengkap secara terpisah.

Contoh:

Ahli bedah yang menilai apakah tumor dapat direseksi mungkin memerlukan pencitraan, patologi, dan riwayat operasi atau medis yang relevan—bukan setiap catatan rawat jalan yang tidak berkaitan.
Penerjemah yang menangani ringkasan pemulangan tidak memerlukan seluruh arsip DICOM.
Penanggung asuransi sebaiknya menerima item dalam permintaan bukti tertulisnya, bukan akses portal tanpa batas.
Penyedia transportasi mungkin memerlukan rincian kursi roda dan janji temu, bukan diagnosis.

Minimum yang diperlukan tidak berarti tidak lengkap secara klinis. Tanyakan kepada tenaga klinis penerima dokumen mana yang mendukung peninjauan aman, lalu hapus hanya materi yang benar-benar tidak berkaitan.

Jangan pernah menyunting atau menutupi informasi pada satu-satunya salinan sumber. Buat berkas turunan berlabel REDACTED COPY, catat apa yang dihapus, dan pertahankan urutan halaman. Untuk pengobatan klinis, ungkapkan penyamaran informasi tersebut agar tim penerima dapat menentukan apakah hal itu memengaruhi interpretasi.

Persetujuan Harus Cukup Spesifik untuk Dipahami

Pemberitahuan yang berguna menjawab:

Informasi apa yang digunakan?
Untuk tujuan apa?
Siapa yang menerimanya?
Di negara atau wilayah mana?
Bagaimana informasi dikirim dan disimpan?
Berapa lama informasi tetap tersedia?
Siapa yang boleh menerimanya lebih lanjut?
Bagaimana pasien dapat menarik persetujuan jika berlaku, meminta akses atau koreksi, atau mengajukan keluhan?

Hindari satu izin yang menggabungkan tinjauan klinis, pemasaran, penelitian, testimoni, dan penyimpanan data tanpa batas waktu. Semuanya merupakan tujuan berbeda.

Persetujuan tidak selalu menjadi satu-satunya dasar hukum. PIPL juga mengakui pemrosesan yang diperlukan untuk membuat atau melaksanakan kontrak yang melibatkan individu serta pemrosesan darurat yang diperlukan untuk melindungi nyawa, kesehatan, atau harta benda.[1] Organisasi seharusnya mendokumentasikan dasar yang benar-benar digunakannya, bukan mengumpulkan tanda tangan karena kebiasaan lalu menggunakan data secara lebih luas.

Pilih Saluran Pengiriman dengan Pengendalian

Utamakan portal rumah sakit penerima atau layanan pengiriman terenkripsi yang disetujui institusi. Jika berkas harus dikirim sebagai arsip terenkripsi:

Gunakan enkripsi kuat, bukan sekadar mengganti nama ekstensi ZIP
Kirim kata sandi melalui saluran lain
Batasi tautan untuk penerima yang disebutkan jika memungkinkan
Wajibkan masuk akun dan autentikasi multifaktor
Tetapkan masa berlaku terpendek yang praktis
Nonaktifkan pengindeksan publik dan pembagian ulang anonim
Simpan log unggahan dan unduhan
Konfirmasikan checksum atau jumlah berkas untuk pengiriman besar
Hapus salinan lokal dan awan sementara setelah penerimaan terverifikasi, dengan tetap mematuhi kewajiban penyimpanan

Email dan percakapan biasa mungkin praktis, tetapi penerusan, cadangan, dan pembobolan akun sulit dikendalikan. Jika rumah sakit menyetujui saluran seperti itu, tanyakan bagaimana identitas, akses, dan penyimpanan dikelola.

Jangan gunakan akun keluarga bersama untuk portal pasien. Kode verifikasi sekali pakai, PIN pembayaran, atau kata sandi utama memberikan akses lebih luas daripada tautan satu laporan.

Identitas Tersembunyi di Dalam Berkas

Menghapus nama dari halaman yang terlihat atau nama berkas belum tentu menghilangkan identitas.

PDF dan berkas perkantoran dapat mengandung nama penulis, riwayat revisi, komentar, dan lampiran tertanam. Foto dapat membawa metadata lokasi dan perangkat. Objek DICOM menyematkan atribut pasien dan pemeriksaan, dan teks dapat tertanam permanen dalam piksel gambar.[3]

Ketika tujuan mengharuskan penghilangan identitas—seperti penelitian, pengajaran, atau tinjauan buta eksternal—gunakan alur kerja yang memenuhi syarat dan sesuai aturan institusi penerima. Kemudian uji apakah himpunan data masih dapat dihubungkan secara konsisten antarberkas tanpa mengungkap pengenal langsung.

Untuk perawatan langsung, penghilangan identitas secara agresif dapat menimbulkan bahaya dalam pencocokan pasien. Rumah sakit mungkin memerlukan nama, tanggal lahir, dan nomor pasien agar rekam medis tidak dikaitkan dengan orang yang salah. Ikuti proses pencocokan identitas terkendalinya.

Berikan Akses Terbatas kepada Penerjemah dan Koordinator

Perjanjian layanan seharusnya menetapkan:

Badan hukum dan personel yang disebutkan yang memiliki akses
Berkas dan tujuan yang tepat
Apakah pengunduhan lokal diizinkan
Penggunaan layanan terjemahan mesin atau AI serta lokasi pemrosesan data
Larangan atau syarat subkontrak
Persyaratan kerahasiaan dan keamanan
Tanggal penyimpanan, pengembalian, dan penghapusan
Jalur pemberitahuan insiden
Larangan menggunakan kisah, gambar, atau data pasien untuk pemasaran atau pelatihan model tanpa izin terpisah

PIPL mewajibkan pemroses yang diberi mandat bertindak dalam tujuan dan metode yang disepakati serta mengembalikan atau menghapus informasi ketika pengaturan berakhir; pemberian mandat lanjutan memerlukan otorisasi dari pemroses asal.[1]

Mintalah contoh terjemahan menggunakan data tiruan sebelum mengirim rekam medis yang sangat sensitif. Jangan mengunggah rekam medis yang dapat diidentifikasi ke alat penerjemahan atau peringkasan daring gratis hanya karena cepat.

Akses Keluarga Tetap Merupakan Pembagian Data

Pasien sering menginginkan pasangan atau anak dewasa membantu. Tentukan apa yang boleh dilakukan orang tersebut:

Melihat janji temu saja
Menerima faktur
Mengakses laporan klinis
Berbicara dengan tenaga klinis
Mengizinkan pengungkapan lebih lanjut
Mengambil keputusan jika sesuai hukum

Gunakan fitur akses perwakilan atau keluarga rumah sakit jika tersedia. Jangan berasumsi hubungan keluarga mengizinkan pengungkapan tanpa batas. Jika pasien kemudian mencabut akses keluarga, perbarui rumah sakit, koordinator, folder bersama, dan grup pesan—bukan hanya satu kata sandi.

Rekam medis anak memerlukan perhatian khusus. PIPL memperlakukan informasi anak di bawah 14 tahun sebagai sensitif dan mewajibkan persetujuan orang tua atau wali saat memprosesnya melalui jalur persetujuan.[1]

Genetika, Kesehatan Reproduksi, dan Kesehatan Mental Memerlukan Pertimbangan Tambahan

Sebagian rekam medis mengungkap informasi tentang kerabat maupun pasien. Hasil genetik germline dapat menyiratkan risiko keluarga. Rekam medis reproduksi, penyakit menular, kesehatan seksual, dan kesehatan mental dapat menimbulkan kerugian sosial tambahan jika disalahgunakan.

Sebelum berbagi, tanyakan apakah seluruh laporan diperlukan, apakah nama anggota keluarga dapat diminimalkan, dan apakah ringkasan spesialis dapat mendukung keputusan. Jangan menghapus informasi yang bermakna secara klinis dari tim perawatan, tetapi jangan otomatis mengirimkannya ke hotel, agen perjalanan, atau administrator umum.

Simpan Jejak Audit yang Dapat Dibaca Pasien

Pelihara log pengiriman yang memuat:

Tanggal dan waktu
Pengirim dan penerima
Tujuan
Nama berkas dan versi
Saluran dan kedaluwarsa tautan
Izin atau dasar hukum yang dicatat organisasi
Konfirmasi penerimaan
Pengungkapan penerusan atau subkontraktor
Konfirmasi penghapusan atau pengembalian

Ini bukan birokrasi tanpa tujuan. Jika versi yang salah terkirim atau tautan bocor, log menunjukkan di mana masalah harus dibatasi.

Gunakan Hak Tanpa Merusak Rekam Medis

PIPL memberikan individu hak untuk mengetahui dan memutuskan mengenai pemrosesan serta, dengan tunduk pada syarat hukum, mengakses atau menyalin, mengoreksi, dan meminta penghapusan informasi pribadi.[1]

Tanyakan kepada kontak privasi cara:

Memperoleh salinan data yang disimpan
Mengoreksi kesalahan identitas atau kontak
Membatasi atau mengakhiri pembagian opsional
Menghapus akses mantan koordinator
Meminta penghapusan ketika syarat hukum terpenuhi
Menggugat pencocokan otomatis yang tidak akurat
Mengadu kepada institusi atau regulator

Hak penghapusan tidak berarti rumah sakit harus menghapus rekam medis yang wajib disimpan menurut hukum. Pasien mungkin dapat menghentikan pengungkapan opsional sementara rekam medis sumber tetap disimpan.

Jika Tautan atau Berkas Terkirim ke Orang yang Salah

Bertindaklah segera:

Cabut tautan atau sesi akun.
Hubungi penerima yang tidak dimaksud dan minta penghapusan tanpa membuka lebih lanjut atau meneruskan.
Beri tahu kontak privasi atau keamanan organisasi pengirim.
Identifikasi secara tepat berkas, pengenal, dan rentang waktu yang terekspos.
Atur ulang kata sandi yang dibobol dan akhiri sesi aktif.
Simpan log audit dan referensi insiden.
Tanyakan penilaian risiko, pemberitahuan, dan pemulihan apa yang akan dilakukan selanjutnya.

Jangan menghapus bukti insiden sebelum tim keamanan yang bertanggung jawab mencatatnya. Jika identitas keuangan, paspor, atau informasi akun terlibat, pantau penyalahgunaan dan ikuti saran resmi perlindungan identitas atau pembayaran.

Pemeriksaan Privasi Sebelum Setiap Pengiriman

Identitas penerima diverifikasi melalui saluran independen
Tujuan klinis atau administratif dinyatakan
Berkas minimum yang diperlukan dipilih
Arsip asli dipertahankan
Halaman sensitif dan metadata tertanam dipahami
Pemberitahuan pasien dan persetujuan atau dasar lain didokumentasikan oleh organisasi yang bertanggung jawab
Mekanisme lintas batas atau pengecualian dikonfirmasi jika berlaku
Saluran aman dan kedaluwarsa akses ditetapkan
Kata sandi dikirim secara terpisah
Penerusan dan subkontraktor diungkapkan
Penerimaan dikonfirmasi
Tanggal penghapusan atau pengembalian dicatat

Penyangkalan hukum dan medis: Panduan ini memberikan informasi umum mengenai privasi dan keamanan, bukan nasihat hukum. Kewajiban data lintas batas bergantung pada organisasi, data, tujuan, volume, lokasi, dan aturan yang berlaku. Rumah sakit dan penyedia layanan sebaiknya memperoleh nasihat berkualifikasi di Tiongkok dan negara tujuan; pasien tidak boleh menunda perawatan darurat demi formalitas administratif.

Rumah Sakit Terkait

Mintalah setiap rumah sakit memberikan kontak privasi, saluran unggah yang disetujui, pemberitahuan penerima luar negeri, kebijakan penyimpanan, serta prosedur akses perwakilan, koreksi, dan pelaporan insiden.

Perawatan Terkait

Pengujian genomik, perawatan kesuburan, perawatan kesehatan mental, pengobatan penyakit menular, dan tinjauan penyakit langka dapat melibatkan informasi yang sangat sensitif atau terkait keluarga sehingga memerlukan rencana pengungkapan terbatas.

Panduan terkait

Pertanyaan Umum

Apakah ilegal bagi pasien untuk mengirim rekam medisnya sendiri ke luar negeri melalui email?

Artikel ini tidak membuat klaim menyeluruh seperti itu. Kewajiban hukum berbeda antara individu yang mengirim salinannya sendiri dan institusi atau platform yang mengekspor data. Risiko privasi tetap ada, jadi gunakan jalur aman rumah sakit penerima dan dapatkan nasihat khusus kasus bila diperlukan.

Apakah menandatangani satu formulir persetujuan memungkinkan setiap penyedia layanan menggunakan rekam medis saya?

Asumsi tersebut tidak aman. Penerima, tujuan, kategori data, dan pengiriman lanjutan seharusnya diungkapkan secara spesifik, dan PIPL mewajibkan persetujuan terpisah untuk aktivitas pembagian dan informasi sensitif tertentu kecuali berlaku dasar hukum lain.[1]

Apakah ZIP yang dilindungi kata sandi sudah cukup?

Itu salah satu pengendalian, bukan sistem lengkap. Verifikasi juga penerima, gunakan enkripsi kuat, kirim kata sandi terpisah, batasi akses, tetapkan kedaluwarsa, dan konfirmasikan penghapusan.

Bisakah saya menghapus nama saya sendiri dari berkas DICOM?

Mengganti nama berkas tidak efektif karena DICOM mengandung atribut tertanam.[3] Untuk perawatan langsung, pertahankan pencocokan identitas yang aman; untuk penggunaan tanpa identitas, gunakan proses berkualifikasi yang diminta institusi.

Bisakah saya meminta rumah sakit menghapus rekam medis saya?

Individu memiliki hak penghapusan dalam kondisi hukum tertentu, tetapi rumah sakit mungkin mempunyai kewajiban hukum penyimpanan. Mintalah rumah sakit membedakan penyimpanan rekam medis sumber dari pembagian opsional atau salinan pihak ketiga.[1][4]

Melindungi Privasi Medis Anda Saat Berbagi Rekam Medis Secara Internasional