JATIMNET.COM - Data kesehatan digital tumbuh diam-diam bersama kebiasaan memakai ponsel dan perangkat wearable. Langkah kaki, denyut jantung, durasi tidur, berat badan, jadwal olahraga, bahkan rute lari dapat tersimpan tanpa terasa seperti sedang membuat sebuah rekam jejak pribadi.

Pengguna biasanya lebih tertarik pada hasilnya. Berapa langkah hari ini, berapa lama tidur tadi malam, atau seberapa jauh lari Minggu pagi. Urusan izin aplikasi sering selesai dengan satu ketukan “setuju”.

Padahal, semakin rinci aplikasi mengenali tubuh dan rutinitas penggunanya, semakin masuk akal pula pertanyaan tentang siapa yang dapat mengakses informasi tersebut.

 

Rute Lari Pun Bisa Menjadi Informasi Pribadi

Bayangkan seseorang rutin berlari selepas subuh di Surabaya. Ia memulai aktivitas dari titik yang hampir sama, melewati beberapa ruas jalan, lalu kembali sekitar satu jam kemudian. Bagi pengguna, data itu hanyalah catatan olahraga.

Namun jika aplikasi menyimpan lokasi secara presisi dan riwayat aktivitas secara terus-menerus, pola tersebut dapat menggambarkan kebiasaan seseorang: lokasi yang sering dikunjungi, jam beraktivitas, dan kemungkinan tempat tinggal atau tempat kerja.

Data yang tersimpan juga bisa jauh lebih luas. Aplikasi tertentu dapat meminta informasi usia dan berat badan, sementara perangkat terhubung mampu mencatat denyut jantung, pola tidur, aktivitas fisik, atau parameter kesehatan lainnya.

Indonesia sudah memberi status khusus pada informasi semacam ini. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi membagi data pribadi menjadi data umum dan data spesifik.

Data dan informasi kesehatan, data biometrik, serta data genetika termasuk dalam kategori data pribadi yang bersifat spesifik. Posisinya memang berbeda dari nama akun atau foto profil biasa.

WHO juga memasukkan data kesehatan ke dalam kelompok sensitive personal data dalam kebijakan perlindungan datanya. Data sensitif memerlukan tingkat perlindungan tambahan, termasuk pengendalian akses dan langkah keamanan yang sesuai.

 

Penelitian Menemukan Jejak Data yang Cukup Luas

Kekhawatiran soal privasi aplikasi kesehatan bukan sekadar kemungkinan teoretis. Studi yang diterbitkan The BMJ pada 2021 meneliti 20.991 aplikasi kesehatan seluler di Google Play, terdiri atas 8.074 aplikasi medis dan 12.917 aplikasi kategori kesehatan serta kebugaran.

Hasil analisis menemukan 88 persen atau 18.472 aplikasi memiliki kode yang berpotensi mengumpulkan data pengguna. Penelitian tersebut juga mendeteksi transmisi informasi pengguna pada 616 aplikasi selama pengujian otomatis.

Ada temuan lain yang layak diperhatikan. Dari aplikasi yang diteliti, 28,1 persen atau 5.903 aplikasi tidak menyediakan kebijakan privasi. Peneliti juga menemukan 23 persen transmisi data pengguna yang terdeteksi berlangsung melalui protokol komunikasi yang tidak aman.

Penelitian tersebut memang menggambarkan ekosistem aplikasi pada periode studi, bukan keadaan setiap aplikasi kesehatan yang tersedia hari ini. Teknologi, aturan toko aplikasi, dan praktik pengembang terus berubah.

Namun temuan itu memberi satu pelajaran yang masih relevan: label “health” atau “fitness” pada sebuah aplikasi tidak otomatis menjadi jaminan praktik privasinya seragam.

Studi BMJ lain pada 2019 memberi gambaran lebih kecil tetapi cukup detail. Peneliti menganalisis 24 aplikasi terkait obat-obatan dan menemukan 19 dari 24 aplikasi atau 79 persen membagikan data pengguna berdasarkan gabungan analisis lalu lintas data dan

kebijakan privasi. Sebanyak 55 entitas berbeda tercatat menerima atau memproses data dari aplikasi yang diuji. Jadi, saat sebuah aplikasi terlihat hanya berbicara dengan penggunanya melalui satu layar, infrastruktur digital di belakang layar bisa jauh lebih ramai.
Tombol “Izinkan” Layak Mendapat Beberapa Detik Tambahan

Privasi aplikasi kesehatan sering terdengar seperti persoalan teknis yang harus dipahami ahli keamanan siber. Dalam penggunaan sehari-hari, keputusan terpenting justru kerap sangat biasa.

Misalnya, apakah aplikasi penghitung latihan benar-benar membutuhkan lokasi sepanjang waktu?

Aplikasi pencatat rute lari mungkin membutuhkan GPS ketika aktivitas berlangsung. Aplikasi peregangan dengan video gerakan kemungkinan memiliki kebutuhan yang berbeda. Izin sebaiknya dilihat berdasarkan fungsi, bukan diberikan sekaligus karena ingin cepat masuk ke halaman utama.

WHO dalam klasifikasi intervensi kesehatan digital memasukkan data minimization, pengamanan data sensitif, pengungkapan selektif, pengelolaan persetujuan, autentikasi, dan otorisasi sebagai bagian dari perlindungan privasi data.

Prinsip data minimization cukup mudah diterjemahkan ke kebiasaan pengguna: aplikasi idealnya memperoleh data yang memang dibutuhkan untuk menjalankan fungsi yang kita pilih.

Mengecek kembali izin lokasi, kamera, mikrofon, kontak, dan akses ke aplikasi kesehatan bawaan ponsel tidak membutuhkan pemeriksaan setiap hari. Sesekali membuka halaman pengaturan sudah cukup untuk menemukan aplikasi lama yang masih memegang izin meskipun sudah jarang digunakan.

Akun yang menyimpan banyak data kesehatan juga layak menggunakan kata sandi yang unik. Jika tersedia, autentikasi dua faktor memberi lapisan keamanan tambahan.

 

Privasi Tidak Berhenti pada Kebocoran Data

Percakapan tentang keamanan sering langsung menuju skenario peretasan. Padahal, ada persoalan yang lebih luas: penggunaan dan pembagian data yang sebenarnya sah menurut persetujuan, tetapi kurang dipahami pengguna.

FTC di Amerika Serikat sampai memperbarui Health Breach Notification Rule pada 2024 untuk memperjelas cakupannya terhadap aplikasi kesehatan dan teknologi serupa. Aturan tersebut mencakup kondisi ketika informasi kesehatan teridentifikasi diperoleh tanpa izin akibat insiden keamanan maupun pengungkapan yang tidak sah.

Perubahan tersebut tentu bukan hukum Indonesia. Ia menarik sebagai gambaran bahwa regulator pun harus terus menyesuaikan perlindungan konsumen ketika aplikasi, perangkat terhubung, dan layanan kesehatan digital berkembang semakin cepat.

WHO melihat persoalan serupa dari sisi tata kelola. Pertumbuhan data kesehatan digital dari beragam sumber menantang cara lama dalam mengelola privasi.

Perlindungan perlu mengikuti data selama proses pengumpulan, penyimpanan, analisis, hingga pertukarannya.Bagi pengguna biasa, tidak perlu membaca puluhan halaman dokumen hukum setiap kali memasang aplikasi.

Tetapi beberapa informasi pantas dicari: data apa yang dikumpulkan, untuk tujuan apa, apakah dibagikan kepada pihak lain, dan bagaimana akun serta data dapat dihapus.

Aplikasi yang menjelaskan hal tersebut dengan bahasa yang mudah dipahami memberi pengguna kesempatan membuat keputusan yang lebih sadar.

 

Sedikit Lebih Selektif Sebelum Menghubungkan Semuanya

Ekosistem kesehatan digital sekarang mendorong banyak perangkat untuk saling berbicara. Smartwatch tersambung ke ponsel, ponsel mengirim data ke aplikasi kebugaran, aplikasi terhubung dengan layanan lain, kemudian pengguna membagikan hasil latihan ke media sosial. Praktis, tentu saja.

Namun tidak semua koneksi harus diaktifkan hanya karena tersedia. Membagikan tangkapan layar pencapaian lari, misalnya, perlu sedikit perhatian apabila gambar tersebut juga memperlihatkan peta lengkap dengan titik awal dan akhir.

Hal yang sama berlaku saat mengganti perangkat atau berhenti menggunakan layanan. Menghapus ikon aplikasi dari layar belum tentu identik dengan menghapus akun dan seluruh data yang tersimpan pada layanan tersebut.

Data kesehatan digital menjadi berguna ketika membantu seseorang memahami tubuh dan kebiasaan bergeraknya. Nilai itu tidak berkurang hanya karena pengguna memilih lebih hemat dalam memberikan izin.

Sebelum mulai jogging sore di salah satu sudut Surabaya, membuka aplikasi dan menekan tombol start memang cuma membutuhkan beberapa detik. Sesekali, ada baiknya beberapa detik tambahan dipakai untuk melihat apa saja yang ikut berjalan bersama aplikasi tersebut.