- Soalan Umum
Apakah tujuan Akta Perlindungan Data peribadi?
Untuk memberi perlindungan kepada maklumat peribadi seseorang individu yang diproses untuk tujuan transaksi komersial.
Siapa yang perlu mematuhi Akta Perlindungan Data Peribadi?
Semua individu dan organisasi yang memproses data peribadi dalam urusan mereka mesti mematuhi peraturan-peraturan yang ditetapkan dalam Akta Perlindungan Data Peribadi 2010. Kerajaan Persekutuan dan Kerajaan Negeri dikecualikan.
Apakah Peraturan- peraturan tersebut?
Akta Perlindungan Data Peribadi mengandungi tujuh prinsip amalan pengendalian maklumat yang mesti dipatuhi.
- Prinsip Am
- Prinsip Notis dan Pilihan
- Prinsip Penzahiran
- Prinsip Keselamatan
- Prinsip Penyimpanan
- Prinsip lntegriti Data
- Prinsip Akses
Data apakah yang dilindungi Akta?
Sebarang data yang membolehkan seseorang individu yang masih hidup dikenalpasti adalah dilindungi di bawah Akta Perlindungan Data Peribadi. Beberapa contoh data boleh dianggap sebagai data peribadi selagi seseorang individu yang masih hidup boleh dikenalpasti daripada maklumat atau data tersebut:
- Nama dan alamat
- Nombor kad pengenalan
- Nombor pasport
- Maklumat kesihatan
- Alamat e-mel
- Gambar
- lmej dalam rakaman litar tertutup (CCTV)
- Maklumat dalam fail peribadi
Bilakah sesebuah organisasi "memproses" data peribadi?
- Mengumpul data menggunakan borang, melalui telefon atau melalui laman sesawang
- Menerbitkan data
- Menjual data
- Menggunakan data dalam pentadbiran
- Menggunakan data untuk tujuan pemasaran
- Merekodkan data
- Mendedahkan atau memberikan data kepada organisasi lain
- Memusnahkan data
Siapa pengawal data?
Akta Perlindungan Data Peribadi terpakai kepada seseorang individu dan organisasi sekiranya mereka adalah “Pengawal data”.”Pengawal data”adalah individu atau organisasi yang:
- Memproses data peribadi, atau
- Mempunyai kawalan terhadap pemprosesan data peribadi, atau
- Membenarkan pemprosesan data peribadi
Siapakah Pemproses Data
Akta Perlindungan Data Peribadi tidak terpakai kepada seseorang individu atau organisasi yang memproses data peribadi bagi pihak pengawaldata.
Adakah pengawal data bertanggungjawab terhadap aktiviti pemproses data?
Jika organisasi A mendapatkan khidmat organisasi B bagi memproses data bagi pihaknya, maka dalam hubungan ini, organisasi A adalah pengawal data manakala organisasi B adalah pemproses data. Akta Perlindungan Data Peribadi menghendaki organisasi A memastikan bahawa organisasi B memberi jaminan untuk mengambil langkah-langkah keselamatan bagi melindungi data yang diproses. Organisasi A juga dikehendaki oleh Akta supaya memastikan bahawa organisasi B mematuhi langkah-langkah tersebut.
Siapakah subjek data?
Akta Perlindungan Data Peribadi memberikan peraturan mengenai amalan yang baik dalam memproses data peribadi individu yang masih hidup. Akta mendefinasikan individu-individu yang mana data mereka diproses oleh pengawal data sebagai subjek data.
Apakah hak-hak yang diberikan oleh Akta Perlindungan Data Peribadi kepada subjek data (individu)?
Subjek data diberikan hak-hak berikut:
- Hak untuk diberitahu samada data mereka diproses oleh sesebuah organisasi
- Hak untuk mengakses data peribadi
- Hak untuk membetulkan data peribadi
- Hak untuk menarik balik kebenaran memproses data peribadi
- Hak untuk menghalang pemprosesan yang mungkin menyebabkan kerosakan atau tekanan (distress)
- Hak untuk menghalang pemprosesan bagi maksud pemasaran langsung
Apakah data peribadi sensitif?
Akta Perlindungan Data Peribadi mendefinasikan data peribadi sensitif sebagai maklumat tentang kesihatan atau keadaan fizikal atau mental seseorang individu, pendapat politiknya, kepercayaan agamanya dan kepercayaan lain yang bersifat seumpamanya. Selain itu, perlakuan atau penyataan perlakuan apa-apa kesalahan seseorang individu juga adalah data peribadi sensitif.
Apakah syarat-syarat bagi memproses data peribadi sensitif?
Akta tidak membenarkan pemprosesan data peribadi sensitif kecuali untuk tujuan-tujuan yang dinyatakan dalam Akta dan pemprosesan tersebut mestilah dengan persetujuan secara nyata dari subjek data.
Apakah yang boleh dilakukan jika seseorang mendapati bahawa data peribadi telah diproses tidak mengikut Akta Perlindungan Data Peribadi?
Individu yang merasakan bahawa data peribadi mereka telah diproses melanggar peruntukan mana-mana peruntukan Akta boleh membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi.
Bolehkah seseorang individu menuntut gantirugidibawah Akta Perlindungan Data Peribadi sekiranya data peribadi mereka telah diproses menyalahi Akta?
Akta tidak memperuntukkan secara spesifik hak untuk menuntut ganti rugi.
Apakah remedi yang ada kepada subjek data?
Remedi dibawah Akta Perlindungan Data Peribadi adalah dalam bentuk kesalahan jenayah. Akta telah mewujudkan beberapa kesalahan jenayah baru, ini termasuklah kesalahan-kesalahan berikut:
- Memproses data peribadi tanpa perakuan pendaftaran
- Memproses data peribadi selepas pendaftaran dibatalkan
- Melakukan perlanggaran terhadap mana-mana prinsip data
- Memproses data peribadi selepas persetujuan di tarik balik
- Memproses data peribadi sensitif tidak mengikut syarat-syarat yang telah ditetapkan
- Menjual atau membuat tawaran untuk menjual data peribadi
- Kegagalan mematuhi kehendak Pesuruhjaya Perlindungan Data Peribadi bagi mematuhi notis mengenai pemasaran langsung.
- Prinsip AM
Bagaimanakah ejen insurans / pihak ketiga bertanggungjawab atas pelanggaran PDPA?
Jika pengawal data menyatakan dengan jelas dalam kontraknya dengan pihak ketiga tanggungjawab untuk mematuhi PDPA apabila memproses data peribadi bagi pihak mereka, sebarang pelanggaran oleh pihak ketiga boleh dikenakan denda/penjara atau kedua-duanya.
Adakah kami memerlukan persetujuan daripada penghutang / defendan berkenaan dengan data mereka sebelum kami meneruskan ke mahkamah atau adakah kami dilindungi / termasuk sebagai pihak ketiga dalam perjanjian bank antara bank dan pelanggan?
Tidak, kerana anda termasuk sebagai pihak ketiga dalam perjanjian bank antara bank dan pelanggan.
Untuk menjimatkan kos, kebolehkesanan, kawalan dan pengurusan yang lebih mudah, pada masa yang sama untuk mematuhi keperluan PDPA; bolehkah pengawal data mengimbas rekod untuk menggantikan rekod asal?
Ya, anda boleh mengimbas rekod. Walau bagaimanapun, kerana rekod adalah data sensitif; anda perlu memastikan keselamatan data adalah mengikut Prinsip Keselamatan dan Piawaian PDP.
Bolehkah kami menghantar promosi melalui mesia sosial kepada pelanggan kami?
ya. Walau bagaimanapun, menghantar surat berita promosi atau kemas kini mesti mendapat persetujuan daripada pelanggan anda.
- Pendaftaran
Apakah yang perlu dilakukan selepas syarikat telah mendaftar di bawah PDPA?
Sebaik sahaja syarikat telah mendaftar sebagai Pengawal Data di bawah PDPA, syarikat itu boleh mula mematuhi peruntukan Akta tersebut.
Sekiranya organisasi atau syarikat telah berdaftar dan terdapat dua kolej di bawah syarikat, adakah pendaftaran ini terpakai kepada kedua-dua kolej tersebut?
Dalam keadaan di mana kedua-dua kolej memegang jenama yang sama di bawah satu lesen oleh Kementerian Pendidikan; kolej utama perlu mendaftar dan memohon CTC daripada Pesuruhjaya PDP untuk semua cawangannya di Malaysia.
Walau bagaimanapun, jika kedua-dua kolej memegang lesen berasingan; maka pendaftaran adalah terpakai kepada kedua-duanya.
Perlukah ia diberikan sekiranya Imigresen meminta data KWSP syarikat?
Memandangkan Imigresen adalah jabatan persekutuan, ia tidak terikat dengan PDPA. Selain itu, menurut Seksyen 39; pendedahan data peribadi kepada pihak berkuasa boleh diberikan seperti untuk pencegahan dan pengesanan jenayah, dan untuk tujuan penyiasatan. Walau bagaimanapun, pengawal data harus mempunyai prosedur untuk mengesahkan kesahihan permintaan.
Adakah kita perlu memadamkan data peribadi tetamu jika tetamu telah mendaftar keluar?
Pengawal data tidak boleh menyimpan data peribadi lebih lama daripada yang diperlukan melainkan terdapat peruntukan undang-undang lain yang memerlukan pengekalan data yang lebih lama.
Apakah kriteria yang diperlukan untuk mendaftar syarikat di bawah APDP?
Pengawal data yang berada di dalam Perintah Perlindungan Data Peribadi(Golongan Pengawal Data) 2013(P.U.(A). 336) atau Perintah Perlindungan Data Peribadi (Golongan Pengawal Data)(Pindaan) 2016 (P.U.(A). 326)
Apa perbezaan yang diperolehi apabila mendaftar syarikat dibawah PDPA dan sekiranya tidak daftar?
Pengawal data yang berdaftar akan dikeluarkan Perakuan Pendaftaran dan akan ditubuhkan suatu Forum Pengawal Data. Forum Pengawal Data akan menyediakan suatu Tataamalan di mana ia dapat meningkatkan kepercayaan dan integriti dalam mengendalikan data peribadi
Sebarang kompaun untuk pembaharuan lewat?
Pembaharuan pendaftaran lewat dianggap sebagai memproses data peribadi tanpa sijil pendaftaran. Ia adalah satu kesalahan di bawah Seksyen 16(4) PDPA.
- Prinsip Notis dan Pilihan
Adakah terdapat keperluan untuk memaklumkan kepada pelanggan melalui notis privasi perkhidmatan kami? Adakah kita perlu mendapatkan persetujuan khusus untuk pemindahan data ke luar negara?
Notis Privasi yang mesti selaras dengan semua peruntukan di bawah Seksyen 7, PDPA mesti disampaikan oleh pengawal data kepada pelanggannya semasa memproses data peribadi pelanggan. Selain itu, persetujuan untuk pemindahan data peribadi ke luar negara juga mesti diperolehi oleh pengawal data. Namun begitu, sebagai pemproses data; anda bertanggungjawab untuk memastikan keselamatan pemindahan.
Kami mempunyai notis CCTV yang memaklumkan subjek data berada di bawah pengawasan 24 jam. Adakah kita perlu menyatakan secara khusus ia adalah untuk tujuan keselamatan pada notis itu?
Anda boleh meletakkan notis CCTV ringkas tentang “Pengawasan untuk Keselamatan”
Adakah terdapat contoh "Notis Privasi" untuk dipamerkan di Kaunter Penerimaan Hotel. Pada masa ini kebanyakan hotel tidak memaparkan Notis Privasi di kaunter penerimaan tetamu.
Pejabat Pesuruhjaya telah mewujudkan Panduan mengenai Notis Privasi. Ya, Pejabat telah berkomunikasi dengan MAH dalam menghasilkan Kod Amalan Sektor Pelancongan & Hospitaliti
- Prinsip Penzahiran
Bolehkah bank mendedahkan data peribadi pelanggan kepada peguam untuk membuat perjanjian?
Untuk memberikan perkhidmatan kepada pelanggan, bank mungkin perlu mendedahkan maklumat pelanggan kepada mana-mana pihak ketiga yang bertindak bagi pihak bank.
Ini selaras dengan Seksyen 8 PDPA yang menyatakan bahawa tiada pendedahan data peribadi tanpa persetujuan pelanggan kepada mana-mana pihak ketiga selain daripada yang disenaraikan oleh pengawaldata dalam Senarai Pendedahan seperti yang dikehendaki oleh P.U.(A) 335/2013.
Adakah perlu persetujuan khusus daripada subjek data untuk pengawal data menzahirkan dan membandingkan data di dalam sistem (tiada campur tangan manusia). Bagaimanakah jika salah satu daripada pengawal data adalah syarikat asing?
Prinsip Penzahiran APDP menetapkan bahawa tiada data peribadi subjek data boleh dizahirkan tanpa persetujuan