Apakah kehendak PDPA terhadap data pelajar?

Di bawah Akta Perlindungan Data Peribadi 2010, organisasi yang mendaftarkan pelajar kekal bertanggungjawab atas data pelajar itu, walaupun data tersebut disimpan dalam platform pihak lain. Anda perlu memberi notis dalam bahasa kebangsaan dan bahasa Inggeris, mendapatkan persetujuan (daripada ibu bapa atau penjaga bagi sesiapa yang berumur bawah 18 tahun), menjaga keselamatan data dan tidak menyimpannya lebih lama daripada perlu, serta membenarkan setiap orang melihat dan membetulkan data mereka. Sejak pindaan 2024, anda juga perlu melaporkan pelanggaran data yang memudaratkan dalam masa 72 jam, dan platform itu sendiri memikul kewajipan undang-undang untuk menjaga keselamatan data.

Adakah PDPA terpakai kepada organisasi anda?

Akta Perlindungan Data Peribadi 2010 (Akta 709) terpakai kepada data peribadi yang diproses dalam transaksi komersial, dan takrif transaksi komersial dalam Akta itu termasuk pembekalan perkhidmatan. Pusat tuisyen, sekolah swasta, sekolah bahasa atau kemahiran, atau penyedia latihan yang mengenakan bayaran bagi kursusnya sedang membekalkan perkhidmatan. Akta ini tidak terpakai kepada Kerajaan Persekutuan dan Kerajaan Negeri.

Sejak 1 April 2025, Akta menyebut organisasi anda sebagai pengawal data (dahulu “pengguna data”). Platform yang memproses data bagi pihak anda ialah pemproses data. Menggunakan platform tidak memindahkan tanggungjawab anda kepadanya.

Prinsip manakah yang paling penting bagi data pelajar?

Seksyen 5 menetapkan tujuh prinsip: Prinsip Am, Notis dan Pilihan, Penzahiran, Keselamatan, Penyimpanan, Integriti Data dan Akses. Lima daripadanya paling banyak menentukan cara anda mengendalikan data pelajar.

• Persetujuan dan data minimum. Proses data peribadi hanya dengan persetujuan, kecuali jika sesuatu pengecualian terpakai, seperti untuk melaksanakan kontrak. Data itu juga mesti “mencukupi tetapi tidak berlebihan” bagi tujuannya.
• Notis dan pilihan. Notis bertulis menyatakan data yang dikumpul dan tujuannya, pihak yang mungkin menerimanya, sama ada data itu wajib atau tidak wajib diberikan, dan cara memohon akses atau pembetulan. Subseksyen 7(3) menghendaki notis itu “dalam bahasa kebangsaan dan bahasa Inggeris”, dan ia diberikan apabila anda mula-mula meminta data tersebut.
• Keselamatan. Ambil langkah praktikal untuk melindungi data daripada kehilangan, salah guna dan akses tanpa kebenaran, dengan mengambil kira tempat data disimpan, siapa yang boleh mengaksesnya dan cara data dipindahkan.
• Penyimpanan. Jangan simpan data lebih lama daripada yang diperlukan bagi tujuannya. Selepas itu, musnahkan atau padamkannya secara kekal.
• Akses. Setiap orang boleh melihat dan membetulkan data mereka. Permintaan mengakses data mesti dipatuhi dalam tempoh 21 hari.

Melanggar sesuatu prinsip kini boleh membawa denda sehingga RM 1 juta, penjara sehingga tiga tahun, atau kedua-duanya. Had sebelum ini ialah RM 300,000 dan dua tahun.

Apakah yang diubah oleh pindaan 2024, dan bilakah ia berkuat kuasa?

Akta Perlindungan Data Peribadi (Pindaan) 2024, iaitu Akta A1727, menerima Perkenan Diraja pada 9 Oktober 2024. P.U. (B) 522 menguatkuasakannya dalam tiga peringkat:

• 1 Januari 2025: perubahan prosedur, seperti penyampaian notis secara elektronik.
• 1 April 2025: istilah “pengawal data”, kewajipan keselamatan ke atas pemproses data, penalti yang lebih tinggi dan peraturan baharu bagi pemindahan data ke luar negara.
• 1 Jun 2025: pegawai perlindungan data, pemberitahuan pelanggaran data dan kemudahalihan data.

Pemberitahuan pelanggaran data

Seksyen 12B menghendaki anda memberitahu Pesuruhjaya Perlindungan Data Peribadi tentang pelanggaran data peribadi “dengan secepat yang dapat dilaksanakan”. Jika pelanggaran itu mengakibatkan atau berkemungkinan mengakibatkan kemudaratan yang ketara, orang yang terjejas juga mesti diberitahu “tanpa kelengahan yang tidak perlu”. Kegagalan memberitahu Pesuruhjaya boleh membawa denda sehingga RM 250,000, penjara sehingga dua tahun, atau kedua-duanya.

Garis panduan Pesuruhjaya tentang pemberitahuan pelanggaran data menetapkan tempohnya: Pesuruhjaya dalam masa 72 jam, dan orang yang terjejas tidak lewat daripada tujuh hari selepas pemberitahuan pertama itu. Hanya pelanggaran yang mengakibatkan atau berkemungkinan mengakibatkan kemudaratan yang ketara perlu diberitahu, iaitu jika terdapat risiko kecederaan fizikal atau kerugian kewangan, salah guna untuk tujuan yang menyalahi undang-undang, data peribadi sensitif, gabungan data yang boleh membawa kepada penipuan identiti, dan, bagi pemberitahuan kepada Pesuruhjaya sahaja, jika lebih daripada 1,000 orang terjejas.

Jika data dipegang oleh pemproses, tempoh 72 jam bermula apabila pemproses memaklumkan anda atau apabila anda sendiri memperoleh bukti yang jelas, mengikut mana yang lebih awal. Kontrak anda mesti mewajibkan pemproses memaklumkan anda dengan segera. Simpan juga daftar setiap pelanggaran, sama ada diberitahu atau tidak, sekurang-kurangnya dua tahun.

Pegawai perlindungan data

Seksyen 12A menghendaki pengawal data dan pemproses data melantik pegawai perlindungan data. Garis panduan tentang pelantikannya mengenakan kewajipan ini jika pemprosesan melibatkan data peribadi lebih daripada 20,000 orang, data peribadi sensitif (termasuk maklumat kewangan) lebih daripada 10,000 orang, atau pemantauan berkala dan sistematik. Pegawai itu mesti bermastautin di Malaysia sekurang-kurangnya 180 hari setahun atau mudah dihubungi, mahir dalam Bahasa Melayu dan bahasa Inggeris, dan didaftarkan dengan Pesuruhjaya dalam tempoh 21 hari dari tarikh pelantikan.

Kewajipan keselamatan pemproses sendiri

Dahulu, anda perlu memastikan pemproses memberikan jaminan tentang langkah keselamatannya. Kini pemproses itu sendiri mesti mematuhi Prinsip Keselamatan, dan penaltinya sama seperti anda.

Kemudahalihan data

Seksyen 43A membolehkan pelajar meminta anda, secara bertulis melalui cara elektronik, menghantar data mereka terus kepada organisasi lain pilihan mereka. Hak ini tertakluk kepada kebolehlaksanaan teknikal dan keserasian format data.

Pemindahan data ke luar Malaysia

Dahulu, data hanya boleh dipindahkan ke tempat yang dinyatakan oleh Menteri dalam Warta. Kini anda boleh memindahkan data ke tempat yang mempunyai undang-undang yang sebahagian besarnya serupa dengan Akta, atau yang memastikan tahap perlindungan sekurang-kurangnya setara dengannya. Anda juga boleh bergantung pada pengecualian, seperti persetujuan orang itu, atau telah mengambil semua langkah berjaga-jaga yang munasabah dan menjalankan usaha wajar. Garis panduan pemindahan data rentas sempadan menerangkan Penilaian Impak Pemindahan, yang dapatannya sah sehingga tiga tahun, dan, bagi laluan usaha wajar, Peraturan Korporat Yang Mengikat, klausa kontrak atau pensijilan di bawah skim yang diluluskan.

Apakah yang berbeza apabila pelajar ialah kanak-kanak?

Peraturan-Peraturan Perlindungan Data Peribadi 2013 menghendaki persetujuan daripada ibu bapa, penjaga atau orang yang mempunyai tanggungjawab ibu bapa jika pelajar berumur bawah 18 tahun. Persetujuan itu mesti dalam bentuk yang boleh direkodkan dan disimpan dengan sewajarnya, dan beban membuktikannya terletak pada anda. Akta juga membenarkan ibu bapa atau penjaga itu membuat permintaan akses dan pembetulan bagi pihak anak.

Di sinilah prinsip data minimum paling penting: adakah profil pelajar benar-benar memerlukan foto, alamat rumah atau tarikh lahir penuh? Berhati-hati dengan catatan tentang kesihatan atau keadaan pembelajaran. Maklumat tentang kesihatan atau keadaan fizikal atau mental seseorang ialah data peribadi sensitif, yang hanya boleh diproses dengan syarat yang lebih ketat, seperti persetujuan nyata.

Apakah yang patut ditanya kepada penyedia platform?

1. Adakah kontrak kami menamakan anda sebagai pemproses data kami dan menerangkan langkah keselamatan anda?
2. Adakah anda akan memaklumkan kami tentang pelanggaran data dengan cukup segera untuk tempoh 72 jam?
3. Di manakah data kami disimpan, dan jenis penyedia manakah yang menerima mana-mana bahagiannya, di negara mana?
4. Adakah notis privasi dan teks persetujuan disediakan dalam Bahasa Melayu dan bahasa Inggeris, dan adakah persetujuan setiap ibu bapa direkodkan bersama tarikh dan versinya?
5. Bolehkah pelajar dan ibu bapa melihat, memuat turun dan membetulkan data mereka?
6. Bolehkah anda mengeksport data seseorang pelajar dalam format yang lazim?
7. Berapa lamakah setiap jenis data disimpan, dan apakah yang berlaku kepadanya apabila kami berhenti menggunakan platform anda?
8. Apakah yang diterima oleh setiap ciri AI tentang seseorang pelajar?
9. Siapakah pegawai perlindungan data anda?
10. Medan manakah yang tidak wajib kami isi?

Bagaimanakah AI Teacher mengendalikannya?

Organisasi yang mendaftarkan pelajar ialah pengawal data, dan AI Teacher memproses data itu bagi pihaknya. Notis privasinya disediakan dalam Bahasa Melayu dan bahasa Inggeris. Akaun pelajar bawah 18 tahun dibuka oleh organisasi dan disahkan oleh ibu bapa atau penjaga semasa log masuk kali pertama, dan persetujuan itu direkodkan bersama versi notis, tarikh dan masa, serta identiti orang yang memberikannya. Foto pelajar tidak pernah disimpan (pelajar memilih avatar haiwan yang dilukis), dan tiada data lokasi atau pengecam pengiklanan. Dari halaman Profil, pelajar atau ibu bapa boleh memuat turun salinan data mereka dan memohon pemadaman, yang dijawab dalam tempoh 21 hari.

Pangkalan data dan pelayan aplikasi berada di Singapura, dan fail media disimpan serta dihantar melalui rangkaian penyampaian kandungan global. Penyedia model AI di luar Malaysia hanya menerima apa yang diperlukan bagi setiap tugas, dan tidak menerima nama atau pengecam pelajar selain apa yang ditaip sendiri oleh pelajar dalam jawapan. Versi ringkas untuk keluarga ada di halaman kami untuk ibu bapa.

Artikel ini ialah maklumat am tentang undang-undang Malaysia, bukan nasihat undang-undang.