Kebocoran Data Pelawat: Apa JMB Wajib Buat Dalam Tempoh 72 Jam

apa dikira pelanggaran data peribadi bagi sesebuah kediaman

Pelanggaran data peribadi bukan cuma bermaksud sistem digital digodam pihak luar. Definisinya lebih luas, sebarang kejadian yang dedahkan, hilangkan, atau ubah data peribadi secara tak sengaja atau menyalahi undang-undang, sama ada disebabkan kecurian, kecuaian, atau kesilapan manusia semata-mata.

Bagi kediaman, ini termasuk perkara yang selalu dianggap remeh: tablet pengawal berisi rekod pelawat dicuri atau hilang, buku log kertas lama tertinggal di kawasan awam, kumpulan WhatsApp jawatankuasa yang digunakan untuk hantar senarai tetamu tersertai orang luar secara tak sengaja, atau helaian Excel senarai pelawat dikongsi kepada ahli jawatankuasa yang sudah lama tak berkhidmat.

kewajipan baharu: notis kepada pesuruhjaya dalam 72 jam

Sebelum pindaan, PDPA tak tetapkan kewajipan jelas untuk lapor pelanggaran data kepada mana-mana pihak. Selepas pindaan berkuat kuasa, data controller, iaitu pihak yang tentukan tujuan dan cara data diproses, wajib maklumkan Pesuruhjaya Perlindungan Data Peribadi secepat mungkin, dan tak lewat daripada 72 jam selepas sedar berlaku pelanggaran yang berkemungkinan menyebabkan kemudaratan ketara kepada mana-mana individu.

Kalau tempoh 72 jam itu tak dapat dipatuhi atas sebab munasabah, penjelasan bertulis berserta dokumen sokongan wajib disertakan bersama laporan lewat itu, bukan sekadar diserahkan tanpa sebarang keterangan.

bila pula pelawat sendiri perlu dimaklumkan

Notis kepada Pesuruhjaya bukan penghujung kewajipan. Kalau pelanggaran itu berkemungkinan sebabkan kemudaratan ketara kepada individu terbabit, seperti risiko penyalahgunaan nombor IC atau plat kenderaan yang terdedah, data controller turut wajib maklumkan individu yang terjejas, dalam tempoh tak lewat daripada tujuh hari selepas notis kepada Pesuruhjaya dihantar.

Bagi kediaman, ini bermakna jawatankuasa mungkin perlu hubungi pelawat yang datanya terdedah, bukan cuma penduduk sendiri, walaupun pelawat itu mungkin dah lama tak kembali lagi ke kediaman berkenaan.

kenapa jawatankuasa tetap bertanggungjawab walau data disimpan pihak lain

Ramai jawatankuasa anggap tanggungjawab ini terletak pada syarikat kontrak pengawal yang sediakan tablet atau aplikasi, atau pada sesiapa yang cipta kumpulan WhatsApp berkenaan. Sebenarnya, di bawah PDPA, kewajipan lapor pelanggaran terletak pada data controller, iaitu JMB atau MC sendiri yang tentukan sebab data pelawat dikumpul, walaupun peranti atau platform yang digunakan milik pihak ketiga.

Kalau syarikat kontrak pengawal, yang bertindak sebagai data processor, alami insiden yang libatkan data pelawat kediaman, merekalah yang wajib maklumkan jawatankuasa serta-merta, dan jawatankuasa tetap bertanggungjawab pastikan notis sampai kepada Pesuruhjaya dalam tempoh yang ditetapkan. Kelewatan syarikat kontrak maklumkan jawatankuasa bukan alasan sah untuk jawatankuasa terlepas daripada kewajipan sendiri.

risiko sebenar bila notis diabaikan

Kegagalan maklumkan Pesuruhjaya dalam tempoh ditetapkan bukan kesalahan teknikal kecil. Ia boleh membawa denda sehingga RM250,000 atau penjara sehingga dua tahun, atau kedua-duanya sekali, dikenakan ke atas pihak yang bertanggungjawab.

Selain denda, kediaman turut hadapi risiko reputasi kalau penduduk tahu insiden itu berlaku tapi tak pernah dimaklumkan secara telus. Kepercayaan penduduk terhadap jawatankuasa sukar dibina semula sebaik mereka rasa maklumat sensitif disembunyikan daripada mereka.

checklist sebelum insiden sebenar berlaku

Sebelum kejadian macam ini berlaku pada kediaman sendiri, jawatankuasa boleh semak dulu perkara ini:

• Adakah jawatankuasa tahu siapa patut dihubungi serta-merta kalau tablet pengawal atau rekod pelawat hilang atau dicuri?
• Adakah jawatankuasa tahu cara hubungi Pesuruhjaya Perlindungan Data Peribadi dan apa maklumat wajib disertakan dalam notis?
• Adakah data pelawat kediaman tersebar dalam pelbagai kumpulan WhatsApp dan helaian Excel peribadi ahli jawatankuasa, atau disimpan dalam satu sistem yang jelas siapa ada akses?
• Kalau syarikat kontrak pengawal alami insiden data, adakah mereka tahu wajib maklumkan jawatankuasa serta-merta, atau perkara ini tak pernah dibincang dalam kontrak?