Perlindungan Data dan Hukum Cybersecurity di Wilayah Asia-Pasifik

Selain untuk penjualan dan perdagangan, sebagian besar pengguna internet menggunakannya untuk bersosialisasi dan berinteraksi dengan rekan-rekan secara online, misalnya, ada 3,80 miliar pengguna jaringan media sosial pada Januari 2020, jumlah ini telah meningkat sekitar 9 persen sejak tahun lalu. Kemajuan internet dan teknologi komunikasi terkait memungkinkan akses mudah ke informasi dari mana saja di muka bumi ini, misalnya, pedagang online yang beroperasi di Thailand dapat menawarkan layanannya kepada pelanggan yang tinggal di Uni Eropa dan Amerika Serikat. Untuk menangani penyebaran informasi pribadi baik berupa informasi keuangan, medis, dan jenis informasi pribadi lainnya di seluruh dunia melalui internet, peraturan hukum yang sesuai harus diselesaikan untuk melindungi data pribadi warga negara dan aset digital organisasi saat bekerja online.

Menyusul implementasi Peraturan Perlindungan Data Umum (General Data Protection Regulation/GDPR) di Uni Eropa (mulai berlaku pada 25 Mei 2018), yang mengatur perlindungan data dan privasi di negara-negara Uni Eropa serta mengatur transfer data pribadi di luar wilayah Uni Eropa dan EEA , semakin banyak negara di dunia mulai meninjau dan memperkuat undang-undang perlindungan data dan cybersecurity mereka untuk menghadapi peraturan baru. Walaupun GDPR adalah peraturan Uni Eropa, perusahaan yang beroperasi di luar negara Uni Eropa harus mewaspadai implikasinya untuk menghindari pelanggaran terhadap ketentuan tersebut ketika berurusan atau memproses data pribadi warga negara Uni Eropa. Dalam artikel ini, saya akan membuat tinjauan singkat tentang Undang-undang Cybersecurity dan Perlindungan Data Pribadi yang diterapkan di negara-negara besar di kawasan Asia-Pasifik. Patut diingat bahwa undang-undang tentang cybersecurity dan privasi internet diperbarui secara berkala karena sifat teknologi yang selalu berubah dan karena adanya pengembangan undang-undang yang relevan di yurisdiksi lain serta di negara-negara mitra dagang.

KLASIFIKASI INFORMASI PRIBADI DALAM HUBUNGANNYA DENGAN KEHIDUPAN MASYARAKAT ATAU KEHIDUPAN PRIBADI.

Kita dapat membedakannya menjadi dua jenis informasi pribadi individu:

Informasi Identifikasi Pribadi (Personally Identifiable Information/PII) atau Informasi Pribadi yang Bersifat Sensitif (Sensitive Personal Information/SPI): yaitu termasuk setiap informasi –yang dapat dengan sendirinya atau jika dikombinasikan dengan informasi lainnya—dapat mengidentifikasi individu tertentu secara unik atau semi-unik. Contohnya termasuk nama lengkap, tanggal lahir, nama pengguna di platform media sosial, riwayat hidup dan pengalaman kerja, identifikasi yang dikeluarkan pemerintah (paspor, SIM, dan nomor asuransi sosial), alamat e-mail, nomor telepon, alamat surat menyurat, informasi properti, rekaman dan konten komunikasi, foto pribadi, data biometrik, nomor kartu kredit, nomor rekening bank, dan faktor apa pun yang secara unik dapat membuat seseorang dapat dikenali. Informasi anonim: jenis info ini tidak sepenuhnya terkait dengan individu, oleh karena itu, kita tidak dapat menggunakannya untuk membedakan seseorang secara online atau offline. Contoh dari informasi semacam itu adalah informasi mengenai suku, asal kebangsaan, bahasa yang digunakan, jenis kelamin, golongan darah, sifat fisik (tinggi, berat, usia, warna rambut, warna kulit, tato), jumlah penghasilan, lokasi geografis (negara, koordinat GPS) dan aktivitas penelusuran online seperti perilaku browsing, tautan yang diklik, dan riwayat penelusuran.

Terdapat semacam perdebatan untuk mempertimbangkan IP address pengguna internet termasuk PII atau tidak. Untuk menjawab pertanyaan ini, saya akan mengembalikannya kepada keputusan pengadilan yang dikeluarkan oleh Mahkamah Pengadilan Eropa (The European Court of Justice/ECJ) yang menganggap IP address pengguna internet termasuk Informasi Identifikasi Pribadi (Personally Identifiable Information/PII). Jadi, untuk tetap berada di zona aman, lebih baik menganggap IP address termasuk jenis informasi PII, meskipun, aturan ini tidak diterapkan di semua yurisdiksi di seluruh dunia.

ividual, public authority, agency, private company) which determine on its own or with a partnership with other entities the purpose of collecting and processing of consumer personal data (consumer is also known as “Data Subject” in most Data Protection laws). The Controller is the entity that directs the activities of the Data Processor.

Data Controller adalah badan hukum (individu, otoritas publik, agensi, perusahaan swasta) yang menentukan sendiri atau menentukan bersama dengan mitra entitas lain mengenai tujuan pengumpulan dan pemrosesan data pribadi konsumen (konsumen juga disebut sebagai "Subjek Data" di banyak undang-undang Perlindungan Data). Controller adalah entitas yang mengarahkan aktivitas Data Processor.

Data Processor adalah badan hukum (individu, otoritas publik, agensi, perusahaan swasta) yang memproses, menyimpan, atau mentransmisikan data pribadi atas nama Data Controller. Data Processor hanya dapat menggunakan jenis data yang dikumpulkan sesuai dengan yang telah ditentukan oleh Data Controller, Data Processor biasanya diminta untuk melakukan audit terhadap semua aktivitas pemrosesan. Saya akan memberikan contoh untuk menjelaskan konsep tersebut: sebagian besar situs web menggunakan layanan pihak ketiga untuk menayangkan iklan dan mengumpulkan informasi statistik tentang penggunanya, misalnya ketika Anda mengunjungi situs web (misalnya situs web CNN) yang menggunakan layanan Google Analytics untuk menganalisis perilaku pengunjung, situs web CNN dianggap sebagai Data Controller sementara Google Analytics adalah Data Processor. Contoh lain yaitu ketika situs web menggunakan penyedia layanan untuk kegiatan pemasaran melalui e-mail (e-mail marketing campaign), situs web asli yang dikunjungi oleh pengguna adalah Data Controller, sedangkan penyedia layanan pemasaran e-mail yang digunakan untuk mengirim e-mail dan mengikuti kegiatan keterlibatan pengguna adalah Data Processor.

Undang-undang perlindungan data memberlakukan kewajiban berbeda pada Data Controller dan Data Processor, misalnya, di bawah undang-undang GDPR (lihat Gambar 1), Controller adalah pihak utama yang bertanggung jawab untuk mendapatkan persetujuan dan mengatur akses ke data konsumen dan bertanggung jawab atas keabsahan, keadilan, dan transparansi informasi selain juga bertanggungjawab akan kerahasiaan data pribadi. Controller harus memilih Data Processor yang sesuai dengan undang-undang GDPR.

Sekarang kita sudah mengetahui perbedaan antara PII dan jenis informasi anonim lainnya yang terkait dengan individu, serta dapat membedakan antara Data Controller dengan Data Processor, kita akan mulai berbicara tentang regulasi utama mengenai cybersecurity dan perlindungan data di negara-negara penting di wilayah Asia-Pasifik.

Singapura

Komisi Perlindungan Data Pribadi (Personal Data Protection Commission/PDPC) di Singapura adalah otoritas yang bertanggung jawab untuk mengelola dan menegakkan Undang-Undang Perlindungan Data Pribadi (Personal Data Protection Act/PDPA). Peraturan tersebut diimplementasikan secara bertahap, dimana tahap terakhir mulai diberlakukan pada tanggal 2 Juli 2014.

PDPA adalah payung umum yang membawahi banyak undang-undang pemerintah tentang pengumpulan dan penggunaan data pribadi individu (yang disimpan dalam bentuk digital atau non-digital). PDPA memberikan hak kepada individu untuk melindungi data mereka dan mengatur bagaimana bisnis dapat menggunakan data pribadi yang dikumpulkan dari konsumen untuk tujuan yang sah. Untuk mematuhi Undang-Undang PDPA, ada persyaratan berbeda yang harus dipatuhi oleh masing-masing perusahaan–sesuai dengan jenis industrinya—saat mengumpulkan dan memproses data pribadi.

Jepang

Segera setelah menetapkan penerapan undang-undang GDPR di Uni Eropa, kemudian Jepang dan Uni Eropa sepakat untuk mengakui undang-undang perlindungan data masing-masing sehingga memberikan perlindungan yang cukup bagi informasi pribadi individu. Ini memungkinkan perusahaan yang beroperasi di Uni Eropa dan Jepang untuk bertukar informasi pribadi secara bebas tanpa adanya hambatan hukum. Kerangka kerja untuk transfer data pribadi yang saling menguntungkan dan mudah antara Jepang dan Uni Eropa sudah mulai diberlakukan, pada tanggal 23 Januari 2019.

Komisi Perlindungan Informasi Pribadi (Personal Information Protection Commission/PPC) (https://www.ppc.go.jp/en) adalah otoritas resmi independen yang bertanggung jawab untuk melindungi hak dan kepentingan individu dalam mendapatkan privasi dan mengawasi penggunaan dan penyimpanan data pribadi konsumen oleh bisnis. PPC juga bertanggung jawab atas kerjasama internasional antara Jepang dan yurisdiksi lain di bidang undang-undang perlindungan data.

Vietnam

Pada Januari 2019, undang-undang cybersecurity Vietnam diberlakukan, undang-undang ini memberlakukan banyak pembatasan pada perusahaan domestik dan perusahaan asing yang bekerja atau ingin bekerja di pasar Vietnam. Misalnya, semua perusahaan yang menawarkan layanan internet dan telekomunikasi atau layanan lain apa pun yang terkait dengan teknologi internet atau telekomunikasi (seperti penyedia penyimpanan cloud, situs jejaring sosial seperti Facebook dan Twitter, layanan pesan instan seperti WhatsApp, sistem pembayaran online, penjualan online, nama domain dan penyedia hosting, game online, penyedia e-mail) yang beroperasi di cyberspace Vietnam dan memproses/menyimpan informasi tentang pengguna dari Vietnam, harus memiliki kantor cabang lokal berbentuk fisik atau kantor perwakilan di Vietnam. Undang-undang juga mewajibkan perusahaan tersebut untuk menyimpan data yang diproses dari pengguna Vietnam selama jangka waktu tertentu yang ditetapkan oleh pemerintah Vietnam. Elemen lokalisasi data yang terdapat di dalam undang-undang tersebut dianggap sebagai bagian terberat dalam regulasi, karena mengharuskan data yang diproses disimpan di lokasi geografis tertentu di dalam negara tersebut atau menyerahkan informasi tersebut kepada pihak otoritas, sebagai akibat peraturan tersebut, perusahaan virtual (yang sepenuhnya beroperasi online) tidak dapat menawarkan layanan di pasar Vietnam.

Tidak jelas apakah pemerintah Vietnam memiliki sumber daya, keahlian, dan alat yang diperlukan untuk menegakkan peraturan ketat seperti itu, namun, kita dapat menduga bahwa akan ada lebih banyak negara di kawasan ini yang menerapkan aturan serupa dengan pemerintah Vietnam, yang juga serupa dengan peraturan cybersecurity Cina yang memberlakukan kontrol ketat atas internet dan pada semua perusahaan yang beroperasi di cyberspace Cina.

Cina

Di Cina, terdapat banyak regulasi—yang dikeluarkan oleh berbagai badan pemerintah atau kementerian—terkait dengan undang-undang cybersecurity dan kontrol internet, namun, dalam artikel ini, saya akan fokus pada peraturan yang terkait dengan perlindungan informasi pribadi pengguna. Spesifikasi Keamanan Informasi Pribadi Cina (China Personal Information Security Specification) yang mulai berlaku pada tahun 2017, adalah versi Cina dari GDPR Uni Eropa dan syarat pertama yang dikeluarkan berfungsi untuk melindungi data pribadi warga negara Cina. Diterbitkan oleh Administrasi Standardisasi Cina (Standardization Administration of China), spesifikasi ini membahas pengumpulan, pemindahan, dan pengungkapan informasi pribadi warga negara Cina, dan juga mendefinisikan persyaratan agar bisnis dapat mengumpulkan/berbagi informasi pribadi tentang pengguna, cara menyimpan dan memproses informasi ini serta mengatur prosedur yang diperlukan untuk menangani insiden keamanan.

Pembaruan—atau rancangan tindakan (draft measures)—dari spesifikasi ini diterbitkan pada Juni 2019 yang terutama membahas transfer informasi penting pribadi lintas batas. Draft measures tersebut memberlakukan persyaratan berikut pada perusahaan yang beroperasi di wilayah cyberspace Cina dan menangani informasi pribadi warga Cina:

Mengharuskan operator jaringan di Cina untuk melakukan asesmen keamanan terhadap sistem mereka yang mengungkapkan risiko terkait dengan transfer informasi pribadi di luar perbatasan, dan menyerahkan asesmen tersebut pada otoritas administrasi cyberspace setempat. Persyaratan ini menimbulkan kekhawatiran di antara perusahaan asing yang beroperasi di Cina, karena untuk mematuhi peraturan ini, perusahaan mungkin diharuskan untuk mengungkapkan informasi sensitif dan/atau rahasia bisnis kritis mereka seperti source code dari program/aplikasi, informasi penting mengenai sistem mereka (seperti mekanisme enkripsi) kepada otoritas.

Data breach yang penting harus dilaporkan kepada pihak otoritas tanpa ditunda-tunda. Hal ini juga mensyaratkan bagi perusahaan yang memproses informasi warga negara Cina untuk memiliki rencana respons insiden, melakukan pelatihan cybersecurity secara teratur, dan jika terjadi insiden, perusahaan harus bekerja sama dengan pihak otoritas untuk menyelidiki insiden tersebut dan mengumpulkan bukti digital terkait.

Data pribadi yang penting harus disimpan secara lokal di Cina kecuali jika organisasi bisnis tersebut telah lulus asesmen keamanan yang diminta oleh otoritas resmi serta memenuhi persyaratan lainnya. Untuk data yang mempengaruhi keamanan nasional dan/ atau berdampak negatif pada kepentingan publik, data tidak dapat ditransfer keluar batas wilayah dalam kondisi apa pun. Untuk perusahaan yang menawarkan layanan online (seperti WhatsApp) atau layanan bernilai tambah lainnya di pasar Cina, mereka harus menyimpan data mereka secara lokal di server Cina, jika tidak, mereka tidak diizinkan untuk melakukan bisnis di pasar Cina. Semua perusahaan yang beroperasi di Cina atau ingin mengakses pasar Cina harus mengetahui rancangan tindakan (draft measures) Spesifikasi Keamanan Informasi Pribadi China yang terbaru, ketika perusahaan tidak dapat mematuhi persyaratan dalam draft measures (terutama bagian asesmen keamanan), maka lokalisasi data menjadi wajib agar tetap dapat beroperasi di pasar tersebut.

Thailand

Pemerintah Thailand menerbitkan Undang-Undang Perlindungan Data Pribadi (Personal Data Protection Act/PDPA) pada tanggal 27 Mei 2019, undang-undang ini akan mulai berlaku pada tanggal 27 Mei 2020. PDPA Thailand telah memperluas cakupan aplikasi geografisnya untuk memasukkan perusahaan mana pun di luar Thailand yang memproses atau menyimpan data pribadi warga Thailand sebagai bagian dari layanan/produk yang ditawarkan, terlepas dari apakah ada sistem pembayaran atau tidak. Setelah membaca undang-undang tersebut, saya menyimpulkan bahwa pemerintah Thailand telah mengadopsi pendekatan yang sama dengan GDPR ketika mendefinisikan kewajiban perusahaan terkait pengumpulan dan pengamanan data pribadi individu. Berikut ini adalah beberapa poin utama dari PDPA Thailand:

Pengumpulan data konsumen harus dilandasi dengan dasar hukum yang jelas, sebagai contoh, dasar hukum dapat berupa persetujuan yang jelas (lihat Gambar 2) dari konsumen itu sendiri yang dibuat dalam pernyataan tertulis atau melalui sarana elektronik lainnya. Konsumen juga harus memiliki hak untuk mencabut akses atau memperbarui datanya kapan saja dan memiliki hak untuk mengetahui tujuan pengumpulan atau pengungkapan data pribadinya. Organisasi tidak boleh mengumpulkan data pribadi yang tidak mereka perlukan untuk menawarkan produk/layanan yang ditujukan untuk konsumen. Undang-undang tersebut memberlakukan persyaratan bagi organisasi bisnis untuk melakukan pengumuman jika terjadi data breach dalam waktu kurang dari 72 jam setelah organisasi mengetahuinya, konsumen yang terdampak juga harus memberi tahu jika breach tersebut berisiko tinggi pada datanya. Untuk beberapa jenis bisnis, undang-undang mengharuskan mereka untuk memiliki perwakilan lokal di Thailand. Data Controller tidak dapat mengirimkan data pribadi konsumen ke luar perbatasan Thailand tanpa persetujuan yang benar dari pemilik data kecuali jika negara tujuan memiliki undang-undang privasi dan perlindungan data yang memadai atau transfer data ini diperbolehkan secara hukum. Pelanggaran atas aturan PDPA dapat mengakibatkan hukuman serius secara perdata, pidana, dan administrasi yang mencapai hingga THB 5m (lebih dari 153,000 USD). Undang-undang tersebut memperbolehkan Data Controller yang mengumpulkan data pribadi konsumen Thailand sebelum pemberlakuan aturan tersebut (sebelum 27 Mei 2020) untuk terus menggunakan data dengan dua syarat berikut:

Memberikan pilihan metode penarikan data untuk konsumen yang ingin menghentikan penggunaan data mereka, dan jika konsumen memberikan izin kepada Data Controller untuk terus menggunakan datanya, data harus digunakan untuk tujuan asli pengumpulan dan tidak digunakan untuk tujuan-tujuan lainnya. Meskipun PDPA Thailand dibuat dengan menjadikan GDPR Uni Eropa sebagai contoh, namun terdapat beberapa perbedaan utama antara kedua undang-undang tersebut sehingga GDPR menjadi Undang-undang paling tangguh dalam hal menegakkan perlindungan kuat terhadap data individu. Misalnya, PDPA tidak secara eksplisit menetapkan aturan untuk mengendalikan kegiatan pemrosesan otomatis data pribadi yang digunakan untuk membuat profil untuk pengguna internet. PDPA juga tidak secara ketat memerinci kewajiban Data Controller dan Data Processor seperti dalam GDPR.

Kesimpulan

Entitas bisnis yang beroperasi atau ingin berinvestasi di pasar kawasan Asia-Pasifik harus menyadari adanya perbedaan undang-undang perlindungan data dan cybersecurity yang diberlakukan oleh berbagai negara di kawasan tersebut. Organisasi juga harus memperbarui persetujuan hukum mereka—ketika mengumpulkan informasi pribadi dari konsumen—dan membangun kebijakan terkait privasi dengan bercermin pada persyaratan yang diberlakukan oleh undang-undang tersebut. Di beberapa negara, lokalisasi data diperlukan ketika pekerjaan Anda mencakup pengumpulan dan penyimpanan informasi pribadi yang sensitif tentang konsumen lokal, silakan membaca artikel lebih lanjut di bawah ini untuk tinjauan yang lebih komprehensif tentang undang-undang perlindungan data dan cybersecurity yang terkait dengan masing-masing negara.