Dokumen ini masih draf
Isi dapat berubah setelah ditinjau konsultan hukum. Versi final akan diumumkan sebelum berlaku.
Di halaman ini
DRAF — wajib ditinjau konsultan hukum sebelum dipakai. Templat internal DPO Medivana (CR-04). Diisi untuk Medivana secara keseluruhan sebelum launch (checklist TRD 6.9) dan diperbarui untuk setiap fitur berisiko tinggi (AI, subprosesor baru, integrasi baru, perubahan lokasi data). Bentuk dan isi wajib DPIA menurut peraturan pelaksana UU 27/2022 [VERIFIKASI].
0. Identitas penilaian
| Butir | Isi |
|---|---|
| Nama pemrosesan / fitur | {mis. Medivana RME Superapp rilis 1.0; atau "AI Scribe"} |
| Versi DPIA / tanggal | {0.1 / YYYY-MM-DD} |
| Penyusun | {nama, peran} |
| DPO peninjau | {nama} |
| Pemilik risiko | {founder / tech lead} |
| Peran Digivana | Pengendali / Prosesor (atas nama klinik) / keduanya |
1. Deskripsi pemrosesan
- Tujuan dan manfaat:
- Subjek data dan perkiraan jumlah (mis. pasien 250 klinik × rata-rata pasien/hari):
- Kategori data (umum / spesifik: kesehatan, anak, keuangan):
- Sumber data:
- Alur data (diagram: pengguna → Caddy → API → PostgreSQL; worker → SATUSEHAT/BPJS/WA; AI gateway → penyedia):
- Penerima dan subprosesor:
- Lokasi penyimpanan dan pemrosesan (Indonesia / lintas negara):
- Masa retensi dan mekanisme penghapusan:
2. Kebutuhan dan proporsionalitas
| Pertanyaan | Jawaban |
|---|---|
| Dasar pemrosesan untuk tiap tujuan | |
| Apakah data diminimalkan (hanya yang perlu)? | |
| Apakah identitas dapat disamarkan/dipseudonimkan (mis. token identitas sebelum ke AI)? | |
| Bagaimana subjek diberi informasi (kebijakan privasi, formulir persetujuan klinik)? | |
| Bagaimana hak subjek dipenuhi (akses, koreksi, hapus, ekspor, tarik persetujuan)? | |
| Apakah ada pengambilan keputusan otomatis? (Medivana: tidak ada keputusan klinis otomatis) | |
| Transfer lintas negara dan dasarnya (CR-06) |
3. Identifikasi dan penilaian risiko
Skala kemungkinan (1 jarang – 4 hampir pasti) × dampak (1 minimal – 4 berat bagi subjek).
| No | Risiko bagi subjek data | Kemungkinan | Dampak | Skor | Kontrol yang ada | Kontrol tambahan | Skor sisa |
|---|---|---|---|---|---|---|---|
| R1 | Akses tidak sah antar klinik (kebocoran lintas tenant) | RLS PostgreSQL, tes isolasi tiap tabel, pentest | |||||
| R2 | Pengambilalihan akun staf (phishing, password lemah) | argon2id, 2FA wajib peran sensitif, rate limit login | |||||
| R3 | Kebocoran dump database/backup | Enkripsi kolom AES-256-GCM per org, master key di luar DB, backup terenkripsi | |||||
| R4 | Staf Digivana mengakses rekam medis tanpa alasan | Break-glass 1 jam, baca-saja, audit log berantai hash, tinjauan bulanan | |||||
| R5 | Data pasien ke penyedia AI di luar negeri | Redaksi identitas, minimisasi, fallback, kajian CR-06 | |||||
| R6 | AI memberi jawaban keliru / membocorkan data peran lain | Tool terkurasi dengan RBAC+RLS, sumber angka wajib, evaluasi mingguan | |||||
| R7 | Broadcast ke pasien tanpa persetujuan | Consent broadcast, opt-out, kuota |
|||||
| R8 | Kehilangan data karena bencana | WAL ≤ 2 menit, uji restore bulanan | |||||
| R9 | Log berisi isi rekam medis | Kebijakan log, penyamaran NIK di pipeline log | |||||
| R10 | Data asli dimasukkan ke demo | Banner demo, VPS terpisah, hapus otomatis 7 hari | |||||
| R… |
4. Rencana tindakan
| Tindakan | Pemilik | Tenggat | Status |
|---|---|---|---|
5. Konsultasi
- Konsultasi dengan klinik (pengendali) / perwakilan pasien:
- Pendapat konsultan hukum:
- Perlu konsultasi otoritas? (ya/tidak, alasan):
6. Keputusan
| Risiko sisa dapat diterima? | Ya / Tidak / Ya dengan syarat |
| Disetujui oleh | {founder}, {tanggal} |
| DPO | {nama}, {tanggal} |
| Tinjauan berikutnya | {tanggal atau pemicu} |