1. Tuan Yang di-Pertua,
Akta 709 telah diperkenankan oleh Yang di-Pertuan Agong pada 2 Jun 2010 dan mula dikuatkuasakan pada 15 November 2013. Tujuan penggubalan Akta ini adalah untuk mengawal selia pemprosesan data peribadi dalam transaksi komersial dan mengadakan peruntukan bagi perkara-perkara yang berkaitan dan bersampingan dengannya.
Akta ini adalah terpakai kepada mana-mana individu atau entiti yang memproses dan mempunyai kawalan terhadap atau membenarkan pemprosesan apa-apa data peribadi yang diproses dalam transaksi komersial. Di bawah seksyen 48 Akta 709, Pesuruhjaya Perlindungan Data Peribadi (“Pesuruhjaya”) adalah bertanggungjawab untuk menguatkuasakan Akta 709 dan semua perundangan subsidiari yang berkaitan serta menjalankan fungsi dan kuasanya mengikut peruntukan sedia ada. Bagi mengimbangi kuasa yang diberikan, Pesuruhjaya juga mempunyai tanggungjawab kepada Menteri berdasarkan peruntukan seksyen 59 Akta 709 dalam pelaksanaan fungsi dan kuasanya.
Setelah lebih sedekad penguatkuasaannya, beberapa aspek perlindungan data peribadi di bawah Akta 709 perlu diteliti dan dikaji semula bagi menambah baik perundangan sedia ada supaya sejajar dengan perkembangan teknologi digital semasa serta perundangan perlindungan data peribadi di peringkat global.
Keperluan untuk mengkaji semula Akta 709 telah saya nyatakan pada tahun 2018 semasa perasmian program The Future of Digital Advertising in a Privacy First World serta semasa Persidangan Impact of European Union – General Data Protection Regulation (EU-GDPR) in Malaysia and Non-EU Countries pada tahun 2019.
Susulan itu, kajian awal semakan semula Akta 709 telah dimulakan pada 2018 dengan mengenal pasti jurang yang wujud antara Akta 709 dan keperluan semasa perundangan perlindungan data peribadi di peringkat antarabangsa. Hasil kajian awal jelas menunjukkan bahawa Akta 709 perlu ditambah baik untuk memastikan pelaksanaan Akta 709 adalah lebih efektif dan setanding dengan perundangan perlindungan data peribadi di peringkat global serta seiring dengan perkembangan teknologi dan ekonomi digital.
Dalam merangka cadangan pindaan Akta 709 ini, Kementerian Digital dan Jabatan Perlindungan Data Peribadi (JPDP) telah mengambil kira input dan pandangan daripada pelbagai pihak yang berkepentingan melalui pelbagai sesi libat urus. Sebanyak 40 sesi libat urus dengan 719 pemegang taruh yang terdiri daripada sektor awam, sektor swasta, pihak berkuasa tempatan (PBT), badan kawal selia, pemain industri, persatuan yang mewakili industri dan pihak-pihak lain yang berkepentingan telah dilaksanakan. Selain itu, sesi taklimat kepada Ahli-ahli Jawatankuasa Pilihan Khas Infrastruktur, Pengangkutan dan Komunikasi juga telah dibuat pada 6 Julai 2024 yang lalu mengenai semua cadangan pindaan akta yang berkaitan.
Selain daripada itu, pelbagai pandangan dan pendapat juga telah diperolehi daripada pakar-pakar melalui siri lawatan penandaarasan ke agensi dan suruhanjaya yang berkaitan di luar negara.
Semua maklum balas serta input yang diterima hasil kajian awal dan rundingan awam diambil kira dalam pewujudan peruntukan baharu, pindaan kepada peruntukan sedia ada, penggubalan peraturan, pekeliling, standard atau garis panduan baharu.
Bagi statistik aduan yang terkumpul dari tahun 2016 hingga bulan Jun 2024, Pejabat Pesuruhjaya telah menerima sebanyak 5,181 aduan penyalahgunaan dan pelanggaran data peribadi. Angka ini adalah membimbangkan kerana ianya menunjukkan bahawa isu pelanggaran data peribadi masih berlaku meskipun Akta 709 telah berkuat kuasa hampir sedekad lamanya.
Peningkatan pelbagai jenayah lain seperti penipuan dalam talian termasuk penipuan identiti yang salah satunya berpunca daripada insiden kecurian dan kebocoran data peribadi turut menyumbang kepada peningkatan aduan ini. Menurut laporan statistik tahun 2023 oleh Pusat Respons Scam Kebangsaan (NSRC), sejumlah 34,497 kes penipuan dalam talian membabitkan kerugian RM1.218 bilion telah dilaporkan di seluruh negara. Berdasarkan statistik tersebut, kes jenayah telekomunikasi seperti tipu peraduan SMS, tipu penyamaran di talian dan tipu panggilan telefon antara kes tertinggi yang telah direkodkan dengan 10,348 kes membabitkan kerugian RM352.9 juta.
2. Tuan Yang di-Pertua,
RUU ini tidak melibatkan sebarang pindaan yang melibatkan pemakaian Akta yang sama terhadap Kerajaan Persekutuan dan Kerajaan Negeri. Buat masa ini, terdapat Akta dan peraturan lain yang mengawal selia pegawai-pegawai awam iaitu Akta Rahsia Rasmi 1972 [Akta 88] dan juga Peraturan-Peraturan Pegawai Awam (Kelakuan dan Tatatertib) 1993 sekiranya pegawai awam disabitkan dengan isu ketirisan semasa mengendalikan data.
Selain itu, Kementerian Digital melalui Jabatan Digital Negara (JDN) sedang membangunkan satu Akta baharu mengenai perkongsian data dalam sektor awam yang dijangka akan dibentangkan seawal-awalnya pada sesi akan datang. Elemen kawal selia perlindungan data peribadi turut dikaji dan diambil kira di dalam Akta baharu ini.
Oleh yang demikian, pindaan terhadap Akta 709 berupaya untuk meningkatkan serta memperkukuhkan perlindungan data peribadi yang diproses di Malaysia. Selain itu, pindaan ini juga adalah pindaan yang pertama kali dilaksanakan sejak ianya digubal pada tahun 2010 bagi memastikan peruntukan Akta 709 adalah setaraf dengan undang-undang dan amalan antarabangsa.
3. Tuan Yang di-Pertua,
Pihak Kerajaan berpandangan telah tiba masanya, agar Malaysia mempelajari dan mempraktikkan amalan terbaik, dengan izin, best practices sepertimana yang dipraktikkan di seluruh dunia dalam memastikan perlindungan data peribadi di Malaysia adalah yang terkini. RUU pindaan Akta 709 mengandungi empat belas (14) Fasal yang melibatkan beberapa peruntukan utama.
Fasal-fasal seperti yang diperincikan dalam RUU adalah seperti berikut:
4. Fasal 1 mengandungi tajuk ringkas dan peruntukan mengenai permulaan kuat kuasa Akta yang dicadangkan.
5. Fasal 2 bertujuan untuk mengadakan peruntukan bagi pindaan am kepada Akta 709 untuk menggantikan perkataan “pengguna data” dengan perkataan “pengawal data” termasuk dalam nota bahu kecuali dalam takrif “daftar” di bawah seksyen 4, dan seksyen 9 Akta 709. Cadangan pindaan ini adalah bagi memastikan keseragaman terma seperti yang diguna pakai oleh kebanyakan perundangan perlindungan data peribadi di peringkat antarabangsa termasuk EU-GDPR.
6. Fasal 3 bertujuan untuk meminda seksyen 4 Akta 709 untuk memasukkan takrif baharu “data biometrik” dan “pelanggaran data peribadi” ke dalam Akta 709 dan untuk meminda takrif tertentu yang sedia ada.
Pindaan ini merangkumi:
(i) Dalam takrif “data peribadi sensitif”, dengan memasukkan selepas perkataan “pengataan pelakuan apa-apa kesalahan olehnya” perkataan “, data biometrik”. Dengan menjadikan data biometrik sebagai data peribadi sensitif, pengawal data perlu mendapatkan persetujuan yang nyata daripada subjek data sebelum data peribadinya diproses;
(ii) “Data biometrik” yang dimaksudkan adalah data peribadi yang terhasil daripada pemprosesan teknikal yang berhubungan dengan ciri-ciri fizikal, fisiologi atau tingkah laku seseorang;
(iii) dengan memasukkan selepas takrif “pegawai diberi kuasa” takrif yang berikut:
“pelanggaran data peribadi” ertinya apa-apa pelanggaran data peribadi, kehilangan data peribadi, salah guna data peribadi atau akses tanpa kebenaran data peribadi.
7. Fasal 4 bertujuan untuk meminda seksyen 5 Akta 709 meliputi:
(i) Perenggan 5(a) bertujuan untuk memperuntukkan bahawa seseorang pemproses data hendaklah mematuhi Prinsip Keselamatan di bawah seksyen 9 Akta 709;
(ii) Perenggan 5(b) bertujuan untuk menaikkan kadar hukuman bagi kesalahan yang dilakukan oleh pengawal data atau pemproses data yang melanggar Prinsip Perlindungan Data Peribadi masing masing di bawah subseksyen 5(1) dan 5(1A) Akta 709; dan
(iii) Melalui pindaan ini, pemproses data adalah turut bertanggungjawab untuk mematuhi Prinsip Keselamatan di bawah seksyen 9 Akta yang sama. Peruntukan sedia ada di dalam Akta 709, tiada sebarang tanggungjawab dikenakan terhadap Pemproses Data jika berlaku sebarang pelanggaran di bawah Akta 709. Justeru, tiada sebarang tindakan hukuman boleh diambil terhadap Pemproses Data tersebut.
Selain itu, Fasal 4 juga mencadangkan pindaan dibuat dengan menaikkan kadar hukuman sedia ada bagi sebarang pelanggaran Prinsip Perlindungan Data Peribadi. Peruntukan sedia ada memperuntukkan hukuman denda sehingga RM300,000.00 atau penjara tidak melebihi dua (2) tahun atau kedua-duanya. Pindaan ini akan meningkatkan hukuman denda sehingga RM1,000,000.00 atau penjara tidak melebihi tiga (3) tahun atau kedua-duanya.
Kadar denda sedia ada dalam Akta 709 adalah lebih rendah jika dibandingkan dengan negara-negara luar di mana negara-negara tersebut telah menetapkan denda berdasarkan kepada peratusan keuntungan organisasi.
Justeru, pindaan peningkatan kadar denda ini adalah sangat penting bagi mengurangkan insiden pelanggaran data peribadi di samping memberikan mesej kepada semua pihak yang terlibat mengenai komitmen Kerajaan dalam melindungi data peribadi.
Penentuan peruntukan denda sehingga satu juta ringgit ini adalah berasaskan kepada nilai yang diperuntukkan dalam Akta-akta yang lain di dalam Negara seperti Akta Perikanan 1985 [Akta 317], Akta Kawalan Pertukaran Wang 1953 [Akta 17] dan Akta Pihak Berkuasa Penerbangan Awam Malaysia 2017 [Akta 788].
8. Fasal 6 bertujuan untuk memasukkan Penggal baharu 1A: Akauntabiliti Data Peribadi ke dalam Akta 709 yang terdiri daripada seksyen baharu 12A dan 12B. Pindaan ini akan memasukkan dua (2) peruntukan baharu iaitu:
(i) seksyen baharu 12A yang dicadangkan bertujuan untuk menghendaki pengawal data untuk melantik seorang atau lebih pegawai perlindungan data, dengan izin, Data Protection Officer (DPO). Pegawai perlindungan data ini adalah bertanggungjawab untuk memastikan pematuhan terhadap Akta 709 oleh pengawal data dan pemproses data, sekiranya pemprosesan data peribadi dijalankan bagi pihak pengawal data.
Pelantikan DPO ini adalah dilihat sebagai satu keperluan secara perundangan kerana ianya merupakan suatu mekanisme atau kaedah amalan terbaik yang diamalkan di peringkat antarabangsa bagi memastikan organisasi atau syarikat memenuhi tanggungjawab pematuhan kepada akta.
Melalui pelantikan DPO oleh Pengawal Data dan Pemproses Data, pengurusan data peribadi akan dapat dipantau secara berterusan selaras dengan peruntukan di bawah Akta 709 dalam memastikan keselamatan data peribadi yang diproses di samping dapat mengurangkan insiden penyalahgunaan data peribadi yang semakin berleluasa.
DPO ini boleh dilantik dalam kalangan pekerja sedia ada atau menggunakan perkhidmatan penyumberluaran dengan mengambil kira kualiti profesional serta pengetahuan dalam perundangan dan amalan terbaik dalam aspek perlindungan data. Antara peranan DPO yang dihasratkan adalah menjalankan Penilaian Impak Perlindungan Data (Data Protection Impact Assessment – DPIA) supaya risiko kebocoran data peribadi boleh dikenal pasti dan tindakan pencegahan akan dapat diambil.
(ii) seksyen baharu 12B yang dicadangkan bertujuan untuk mengadakan peruntukan bagi tatacara yang berhubungan dengan pemberitahuan pelanggaran data. Seksyen baharu ini akan mewajibkan pengawal data untuk memberitahu Pesuruhjaya, dengan secepat yang dapat dilaksanakan, mengikut cara dan dalam bentuk yang akan ditentukan oleh Pesuruhjaya. Ketidakpatuhan terhadap pemberitahuan mengenai insiden pelanggaran data peribadi ini adalah merupakan suatu kesalahan dan boleh didenda tidak melebihi RM250,000.00 atau penjara tidak melebihi dua (2) tahun atau kedua-duanya.
Kewajipan pemberitahuan pelanggaran data peribadi merupakan salah satu strategi bagi mengurangkan dan mencegah risiko kebocoran data. Mekanisme ini telah pun dilaksanakan dalam perundangan di peringkat antarabangsa dan ianya telah berjaya meningkatkan tahap kawal selia perlindungan data peribadi.
9. Fasal 8 bertujuan untuk meminda seksyen 21 Akta 709 untuk membolehkan Pesuruhjaya menamakan bukan sahaja suatu badan tetapi juga seorang pengawal data sebagai forum pengawal data berkenaan dengan golongan pengawal data yang khusus.
10. Fasal 9 bertujuan untuk memasukkan seksyen baharu 43A ke dalam Akta 709 untuk mengadakan peruntukan bagi hak kemudahalihan data kepada subjek data tertakluk kepada kebolehlaksanaan teknikal dan keserasian format data. Hak baharu subjek data ini akan membolehkan subjek data memohon supaya data peribadinya dipindahkan daripada suatu pengawal data kepada pengawal data yang lain agar pengulangan pemberian data peribadinya yang sama adalah tidak diperlukan.
11. Fasal 11 bertujuan untuk meminda seksyen 67 Akta 709 untuk memperuntukkan bahawa tatacara untuk membuka dan menyenggara mana-mana akaun bank hendaklah dikendalikan mengikut cara yang dibenarkan oleh Pesuruhjaya. Peruntukan seksyen 67 Akta 709 sedia ada hanya membenarkan pengendalian akaun “Kumpulan Wang Perlindungan Data Peribadi” dengan cara penggunaan cek sahaja dan pindaan ini akan memberikan kuasa kepada Pesuruhjaya untuk menentukan cara pengendalian akaun selain daripada penggunaan cek.
12. Fasal 12 bertujuan untuk meminda seksyen 129 Akta 709 untuk memperuntukkan bahawa seorang pengawal data boleh memindahkan mana-mana data peribadi subjek data ke mana-mana tempat di luar Malaysia jika di tempat itu ada berkuat kuasa mana-mana undang-undang yang sebahagian besarnya serupa dengan Akta 709 atau tempat itu memastikan suatu tahap perlindungan yang mencukupi berhubung dengan pemprosesan data peribadi yang sekurang kurangnya setara dengan tahap perlindungan yang diberikan oleh Akta 709.
Pada masa ini, seksyen 129 Akta 709 menghendaki bahawa data peribadi hanya boleh dipindahkan ke suatu tempat di luar Malaysia sebagaimana yang dinyatakan dalam pemberitahuan yang disiarkan dalam Warta. Selain daripada pemberitahuan yang disiarkan dalam Warta, subseksyen 129(2) dan 129(3) Akta 709 sedia ada merupakan mekanisme kawalan yang memperuntukkan syarat-syarat yang perlu dipatuhi oleh pengawal data untuk pemindahan data peribadi ke luar negara.
Pihak Kerajaan akan menyediakan mekanisme pengawasan yang berkesan terhadap pemindahan data peribadi keluar dari Malaysia dan pemeriksaan secara berkala akan turut dijalankan melalui kuasa yang diperuntukkan kepada Pesuruhjaya di bawah akta yang sama.
Pada masa yang sama, kegagalan pengawal data untuk mematuhi peruntukan subseksyen 129(2) dan 129(3) ini akan menyebabkan pengawal data boleh dikenakan hukuman denda tidak melebihi RM300,000.00 atau dipenjarakan tidak melebihi dua (2) tahun atau kedua-duanya.
13. Fasal 13 bertujuan untuk meminda seksyen 136 Akta 709 untuk mengadakan peruntukan bagi penyampaian suatu notis atau apa-apa dokumen lain kepada mana-mana orang dilaksanakan dengan cara elektronik di bawah Akta 709.
Peruntukan seksyen 136 Akta 709 sedia ada hanya membenarkan penyampaian notis atau dokumen dari Pesuruhjaya melalui serahan tangan, meninggalkan notis atau dokumen dalam sampul di alamat terakhir kediaman atau tempat perniagaan dan serahan ini perlu dibuat secara surat berdaftar Akuan Terima.
14. Fasal 14 memperkatakan peruntukan kecualian dan pindaan lain yang tidak diperkatakan secara khusus adalah merupakan pindaan kecil atau berbangkit.
15. Tuan Yang di-Pertua,
Sebagai makluman Dewan yang mulia ini, sejumlah 25 Ahli Yang Berhormat telah membahaskan RUU ini semasa ianya dibentangkan di Dewan Rakyat pada 16 Julai 2024 yang lalu. Terdapat pelbagai pandangan dan cadangan yang telah dibangkitkan semasa sesi perbahasan tersebut dan perkara ini sekali gus membuktikan bahawa pindaan Akta 709 ini adalah tepat pada masanya dalam mewujudkan ekosistem perniagaan dan ekonomi digital yang selamat dan terpercaya.
Kesemua pindaan dalam RUU ini juga adalah bertepatan dengan usaha Kerajaan dalam mengekang insiden ketirisan data peribadi yang semakin berleluasa di samping memastikan ianya adalah seiring dengan perkembangan teknologi dan perundangan perlindungan data peribadi di peringkat global.
Saya percaya dengan pindaan akta ini, keyakinan rakyat terhadap Kerajaan Malaysia dalam usaha memantapkan jaminan keselamatan maklumat peribadi dapat dipertingkatkan. Melalui pindaan ini juga, saya percaya kita dapat menarik pelaburan asing, meningkatkan daya saing dan menyokong pertumbuhan perniagaan dan ekonomi digital ke arah status negara berpendapatan tinggi.
16. Tuan Yang di-Pertua, saya mohon mencadangkan. Terima kasih.
