Pengenalan kepada Perlindungan Data Peribadi di Malaysia Mazmalek bin Mohamed Ketua Pengarah Jabatan Perlindungan Data Peribadi Kementerian Komunikasi & Multimedia
AKTA PERLINDUNGAN DATA PERIBADI 2010 (AKTA 709)
Privasi Fizikal (Physical Privacy) Undang-Undang Privasi (Privacy Law) Privasi Komunikasi dan Pengawasan (Communications & Surveillance Privacy) Privasi Kawasan (Territorial Privacy) (Privasi Data) DATA PRIVACY
SENARIO DI MALAYSIA Siapakah yang memiliki data peribadi rakyat Malaysia? Kerajaan? (Akses secara sistematik) Google? Facebook? Twitter? LinkedIn? Enjin Carian lain?/ Groupon/Lazada? Pemilikan secara konteks? (Lain-Lain) - Bank/Telco/Insurans/Hotel/ Pemaju Perumahan/Peguam/Doktor/ Utiliti ?
Contoh Isu dan Aduan Penyalahgunaan Data Peribadi Mengikut Sektor HARTANAH ▪ Promosi produk dan perkhidmatan hartanah secara e-mel blast, SMS, WhatsApp ▪ Isu-isu berkaitan Badan Pengurusan Bersama (JMB) / Perbadanan Pengurusan (MC) ▪ Ejen membuat tawaran insurans kepada Subjek Data secara berterusan INSURANS ▪ Ejen meminta pengesahan maklumat data peribadi untuk sambungan polisi yang tidak pernah dilanggan ▪ Ejen insurans mengenakan caj kepada kad kredit Subjek Data tanpa kebenaran ▪ Persetujuan lisan dianggap sebagai kebenaran oleh Subjek Data ▪ Potongan melalui kad kredit bagi pembelian polisi untuk individu lain yang tidak pernah dikenali oleh Subjek Data
Contoh Isu-Isu Aduan Mengikut Sektor KOMUNIKASI PELANCONGAN & HOSPITALITI ▪ Maklumat peribadi orang lain digunakan untuk mendaftar masuk hotel/ penginapan ▪ Maklumat peribadi direkod daripada pihak lain yang membuat tempahan perkhidmatan (tiket, pakej dan sebagainya)
Contoh Isu-Isu Aduan Mengikut Sektor PERBANKAN & INSTITUSI KEWANGAN ▪ Pengambilan maklumat peribadi secara berlebihan ▪ Pendedahan maklumat Subjek Data kepada pihak ketiga (ejen penarik kereta, pemungut hutang dan sebagainya) ▪ Ejen pemasaran langsung menghubungi Subjek Data bagi pihak bank untuk mempromosikan produk baharu (kad kredit, pinjaman peribadi dan sebagainya) PENGANGKUTAN ▪ Kebocoran maklumat pelanggan ▪ Integriti pegawai yang boleh mengakses data peribadi Subjek Data PEMBERI PINJAM WANG ▪ Pengambilan maklumat peribadi secara berlebihan ▪ Pihak tidak dikenali menghubungi pengadu untuk mempromosi tawaran pinjaman kewangan ▪ Penzahiran data peribadi kepada pihak ketiga bagi tujuan kutipan semula
KESIHATAN PENDIDIKAN Contoh Isu-Isu Aduan Mengikut Sektor ▪ Penyimpanan data peribadi dan data peribadi sensitif dengan cara yang tidak selamat (terbuka, mudah diakses, tiada kawalan dan sebagainya) ▪ Perkongsian maklumat kesihatan antara panel atau dengan pihak luar ▪ Rakan kongsi yang telah berpindah ke tempat lain membawa bersama maklumat pelanggan/ pesakit ▪ Pekerja yang telah berhenti/ diberhentikan telah mengambil maklumat pelanggan/ pesakit secara tidak sah ▪ Jual/ beli maklumat peribadi pelajar bagi tujuan promosi ▪ Tawaran kemasukan ke IPTS yang tidak pernah dimohon
Contoh Isu-Isu Aduan Mengikut Sektor ▪ Terima apa-apa promosi pemasaran langsung daripada pihak yang tidak pernah ada urusan sebelum ini ▪ Terima panggilan mengenai produk-produk tertentu PAJAK GADAI ▪ Pengambilan maklumat peribadi secara berlebihan PERKHIDMATAN ▪ Pengambilan maklumat peribadi secara berlebihan UTILITI ▪ Pengumpulan maklumat tidak perlu atau tidak wajar ▪ Tidak melupuskan data peribadi setelah perkhidmatan ditamatkan
AKTA PERLINDUNGAN DATA PERIBADI 2010 D i g u b a l u n t u k m e n g a w a l s e l i a pemprosesan data peribadi dalam transaksi komersial Terpakai kepada organisasi yang memproses data peribadi dalam transaksi komersial cth Bank, Telco, Insurans & Hospital Akta ini juga melindungi kepentingan Subjek Data dan telah dikuatkuasakan pada 15 November 2013
KEPENTINGAN AKTA 709 01 Memudahkan urusniaga perniagaan / e-dagang / ekonomi digital 02 Merangsang dan meningkatan kepercayaan - berintegriti dalam mengendalikan data peribadi 03 Mengelakkan penyalahgunaan data peribadi dan data peribadi sensitif 04 Memposisikan Malaysia sebagai sebuah negara di dunia yang menguatkuasakan perundangan perlindungan data peribadi yang kukuh
AKTA PERLINDUNGAN DATA PERIBADI 2010 Digubal untuk mengawalselia pemprosesan data peribadi dalam transaksi komersial
146 SEKSYEN 11 BAHAGIAN
? Apa-apa maklumat, dalam transaksi komersial, yang boleh mengenalpasti seseorang Nama Nombor IC Alamat E-mel Nombor Telefon --- - - --- - - - - - -- - - -- - Nombor Pasport Imej (Gambar) Tarikh Lahir Alamat Rumah
PIHAK UTAMA DI BAWAH AKTA 709 Individu atau syarikat yang memproses data peribadi dalam transaksi komersial PEMPROSES DATA Individu atau syarikat yang memproses data peribadi bagi pihak pengguna data SUBJEK DATA Pemilik data peribadi cth Pekerja atau Pelanggan
Syarikat atau organisasi yang memproses data peribadi ?
PERINTAH PERLINDUNGAN DATA PERIBADI (GOLONGAN PENGGUNA DATA) (P.U.(A) 336 & 326) 1 KOMUNIKASI (TELCO / KURIER) 8 JUALAN LANGSUNG 2 3 PERBANKAN & INSTITUSI KEWANGAN INSURANS 9 PERKHIDMATAN (UNDANG- UNDANG, AUDIT, PERAKAUNAN, KEJURUTERAAN, ARKITEK, PERUNCIT & PEMBORONG, AGENSI PEKERJAAN SWASTA) 4 KESIHATAN (HOSPITAL SWASTA / KLINIK PERUBATAN & PERGIGIAN / FARMASI) 10 HARTANAH (PEMAJU PERUMAHAN) 5 PELANCONGAN DAN HOSPITALITI (HOTEL / AGENSI PELANCONGAN) 11 12 UTILITI (ELEKTRIK DAN AIR) PAJAK GADAI 6 PENGANGKUTAN (SYARIKAT PENERBANGAN) 13 PEMBERI PINJAM WANG 7 PENDIDIKAN (SEKOLAH SWASTA DAN INSTITUSI PENGAJIAN TINGGI SWASTA)
? Mana-mana orang, selain seorang pekerja pengguna data, yang memproses data peribadi bagi pihak pengguna data itu, dan tidak memproses data peribadi itu bagi apa-apa maksud persendiriannya
Mengumpul Merekod
Pembetulan Memegang
Menyimpan Pengendalian
Pemadaman Penyesuaian
Pengubahan Pemusnahan Penyusunan Penggabungan
Pemilik data peribadi
Perkhidmatan Jual Beli AKTIVITI PERNIAGAAN Perbankan ? Perdagangan Insurans
PENGECUALIAN PEMAKAIAN AKTA Sebahagian Pencegahan / Pengesanan Jenayah Pentaksiran / Pemungutan Cukai / Duti Penangkapan / Pendakwaan Pesalah Statistik / Penyelidikan Perintah / Penghakiman mahkamah Maklumat kesihatan fizikal / mental Fungsi-fungsi pengawalseliaan Kewartawanan / Kesusasteraan / Kesenian
PERLINDUNGAN DATA PERIBADI? APAKAH PRINSIP-PRINSIP 1 Pengguna data tidak boleh memproses data peribadi TANPA persetujuan subjek data. 2 Pengguna data hendaklah memaklumkan kepada data subjek mengenai tujuan data peribadinya diproses, termasuk hak untuk mengakses kepada data peribadi tersebut, golongan pihak ketiga yang data peribadinya dizahirkan, dan pilihan sama ada wajib atau tidak untuk memberikan data peribadi tersebut serta akibat sekiranya gagal memberikan data peribadi tersebut.
3 4 5 Tiada data peribadi boleh dizahirkan kepada mana-mana pihak tanpa persetujuan. Pengguna data hendaklah mengambil langkah-langkah untuk melindungi data peribadi daripada hilang, salah guna, akses y a n g t i d a k d i b e n a r k a n a t a u t i d a k disengajakan dan sebagainya. Data peribadi tidak boleh disimpan lebih lama dari tempoh yang diperlukan dan perlu dimusnahkan atau dipadam secara kekal jika tidak lagi diproses.
6 7 Pengguna data perlu mengambil langkah- l a n g k a h y a n g m u n a s a b a h u n t u k memastikan bahawa data peribadi adalah tepat, lengkap, tidak mengelirukan dan terkini. Subjek data hendaklah diberi akses kepada data peribadinya yang dipegang oleh pengguna data dan boleh membetulkan jika data peribadi itu tidak tepat, tidak lengkap, mengelirukan dan tidak terkini.
STANDARD PERLINDUNGAN DATA PERIBADI 1 Standard Keselamatan 2 Standard Penyimpanan 3 Standard Integriti Data
STANDARD PERLINDUNGAN DATA PERIBADI 1 Standard Keselamatan Elektronik dan Bukan Elektronik Kemaskini backup / recovery system dan perisian anti-virus Kakitangan sentiasa menjaga kerahsiaan data peribadi subjek data Mengawal dan menghadkan kakitangan untuk mengakses data peribadi Menetapkan SOP keselamatan fizikal Memastikan fail data peribadi disimpan di tempat yang berkunci
STANDARD PERLINDUNGAN DATA PERIBADI 2 Standard Penyimpanan Elektronik dan Bukan Elektronik Mengambil kira peruntukan undang-undang lain cth: s.82 Akta Cukai Pendapatan 1967 (7 tahun) Melupuskan semua data peribadi yang tidak diperlukan Menyelenggara rekod pelupusan data peribadi
STANDARD PERLINDUNGAN DATA PERIBADI 3 Standard Integriti Data Memaklumkan kaedah mengemaskini data peribadi Menyediakan borang kemaskini data peribadi Tindakan segera pengemaskinian
HAK-HAK SUBJEK DATA Hak untuk menghalang pemprosesan bagi maksud pemasaran langsung Hak untuk menghalang pemprosesan yang mungkin menyebabkan kerosakan atau distres Hak untuk membuat pembetulan Hak untuk menarik balik persetujuan Hak untuk mengakses
KEPERLUAN KEPADA GOVERNAN Tadbir urus data mesti dilihat di luar kuasa dan kawalan (perancangan, pemantauan, dan penguatkuasaan) ke atas pengurusan dan pentadbiran data. Oleh kerana data bukan semata-mata untuk tujuan rekod, aset data harus dinilai semula sebagai pendorong strategi (strategic enabler) untuk memajukan organisasi Pengurusan dan pentadbiran data (governan) tidak boleh diasingkan atau diabaikan dalam menuju ke era ekonomi digital yang akan memberi impak yang besar dalam pelbagai sektor.
FAKTA DAN PERSEPSI Persepsi... Pengurusan Data adalah merupakan isu operasi yang dikendalikan oleh Jabatan Teknologi Maklumat (IT) FAKTA.... Pengurusan data adalah lebih dari sekadar "pengurusan data" dan ianya boleh dimanfaatkan sebagai "kelebihan strategik" bagi sesebuah organisasi
FAKTA DAN PERSEPSI Persepsi... Undang-Undang yang dikuatkuasakan adalah untuk menyekat perkembangan perniagaan Fakta... Mekanisme sesuatu undang-undang adalah amat perlu; untuk membantu usaha urusniaga perniagaan dan transaksi komersial secara adil; dan - untuk melindungi penyalahgunaan data oleh pihak yang tidak bertanggungjawab
Elements Notification
So.....
MOVING FORWARD WITH PDPA 2010 ✓Create awareness in the organisation Awareness of internal policies for securing personal data • To inculcate the culture of personal data protection ✓Knowing your current compliance level • Understand the impact of PDPA 2010 • Identify the gaps ✓Designate a Data Protection Officer or Committee Define a data protection strategy • Develop a short term compliance programme ✓Develop polices for PDPA 2010 Policies spanning across legal, IT, marketing, human resource, customer services, etc. Focus on end-to-end data governance processes, policies and procedures in line with the PDPA 2010.
Kesimpulannya... Pematuhan kepada Akta 709 akan memberikan kesan yang efektif kepada dua skop iaitu : Meningkatkan.. ➢ Kepercayaan pelanggan ➢ Keyakinan Perniagaan / Urusan Mengurangkan ➢ Implikasi kewangan tambahan, bagaimana? i. Kos penyiasatan (Cost of investigations) ii. Kos pembetulan (Cost of rectification) iii. Kos litigasi sivil (Cost of civil litigations) iv. Kos peluang perniagaan (Business opportunity cost)
PENGURUSAN ADUAN Individu atau pengadu boleh membuat aduan secara bertulis kepada Pesuruhjaya Perlindungan Data Peribadi melalui: daftar.pdp.gov.my; atau JABATAN PERLINDUNGAN DATA PERIBADI ARAS 6, KOMPLEKS KKMM, LOT 4G9, PERSIARAN PERDANA, PRESINT 4, 62100 PUTRAJAYA