Jika Terjadi Kebocoran Informasi Pribadi? Penjelasan tentang Respons Administratif yang Harus Diambil oleh Perusahaan

Dengan perkembangan internet dan kemampuan untuk berbagi informasi secara online, kasus kebocoran informasi penting perusahaan dalam cara yang tidak terduga juga semakin meningkat.

Belakangan ini, nilai informasi semakin meningkat, dan jika terjadi kebocoran informasi, hal tersebut dapat menjadi masalah besar yang merusak reputasi. Sebagai perusahaan, diharapkan untuk segera merespon dengan tepat jika terjadi kebocoran informasi.

Di sini, kami akan menjelaskan secara detail tentang respons administratif yang harus dilakukan oleh perusahaan jika terjadi kebocoran informasi.

Kebocoran Informasi yang Memerlukan Respons Administratif

Meskipun disebut kebocoran informasi, isi dan pentingnya informasi berbeda-beda. Respons administratif diperlukan ketika terjadi kebocoran informasi pribadi.

Definisi informasi pribadi diatur dalam Pasal 2 Ayat 1 dari Undang-Undang Perlindungan Informasi Pribadi Jepang (selanjutnya disebut “Undang-Undang Perlindungan Informasi Pribadi”).

(Definisi)
Pasal 2 Dalam undang-undang ini, “informasi pribadi” merujuk pada informasi tentang individu yang masih hidup, yang memenuhi salah satu dari kriteria berikut:
1. Informasi yang dapat mengidentifikasi individu tertentu berdasarkan nama, tanggal lahir, dan deskripsi lainnya yang termasuk dalam informasi tersebut (termasuk semua hal yang dicatat atau direkam dalam dokumen, gambar, atau rekaman elektromagnetik (rekaman yang dibuat dengan metode elektromagnetik (metode elektronik, metode magnetik, dan metode lain yang tidak dapat dikenali oleh persepsi manusia. Sama dalam nomor berikutnya.) Dalam hal ini, termasuk kode identifikasi pribadi.)
2. Informasi yang mencakup kode identifikasi pribadi

e-GOV｜Undang-Undang Perlindungan Informasi Pribadi[ja]

Informasi yang memenuhi definisi di atas akan dilindungi sebagai informasi pribadi berdasarkan Undang-Undang Perlindungan Informasi Pribadi.

Artikel terkait: Apa itu Undang-Undang Perlindungan Informasi Pribadi dan Informasi Pribadi? Penjelasan dari Pengacara[ja]

Selain itu, dalam kasus terjadi kebocoran informasi, respons yang harus diambil oleh perusahaan meliputi respons administratif dan dalam beberapa kasus, pengungkapan informasi mungkin diperlukan. Silakan lihat artikel di bawah ini untuk informasi lebih lanjut.

Artikel terkait: Apa itu Pengungkapan Informasi yang Harus Dilakukan oleh Perusahaan Saat Terjadi Kebocoran Informasi[ja]

Kewajiban Melaporkan Kebocoran Informasi Pribadi

Operator yang menangani informasi pribadi memiliki kewajiban untuk melaporkan kepada Komisi Perlindungan Informasi Pribadi Jepang (Japanese Personal Information Protection Commission) jika terjadi kebocoran informasi pribadi atau ada kemungkinan kebocoran.

Sebelumnya, sebelum tanggal 1 April 2022 (Tahun 4 Era Reiwa), laporan kepada Komisi Perlindungan Informasi Pribadi Jepang ketika terjadi kebocoran atau ada kemungkinan kebocoran bukanlah kewajiban, melainkan sesuatu yang harus diupayakan. Namun, dengan adanya perubahan pada Undang-Undang Perlindungan Informasi Pribadi Jepang (Japanese Personal Information Protection Law), mulai tanggal 1 April 2022, melaporkan kepada Komisi Perlindungan Informasi Pribadi Jepang menjadi kewajiban.

Operator yang menangani informasi pribadi di sini adalah mereka yang menggunakan basis data informasi pribadi dll. untuk bisnis mereka (Pasal 16 Ayat 2 Undang-Undang Perlindungan Informasi Pribadi Jepang). Namun, lembaga negara, organisasi publik lokal, badan administrasi independen, dan badan administrasi independen lokal tidak termasuk dalam operator yang menangani informasi pribadi.

“Basis data informasi pribadi dll.” adalah kumpulan informasi yang berisi informasi pribadi dan memenuhi salah satu dari dua persyaratan berikut, kecuali yang ditentukan oleh peraturan pemerintah sebagai hal yang memiliki sedikit kemungkinan merugikan hak dan kepentingan individu dari sudut pandang cara penggunaannya (Pasal 16 Ayat 1 Undang-Undang Perlindungan Informasi Pribadi Jepang).

• Sistem yang dirancang agar dapat mencari informasi pribadi tertentu menggunakan komputer
• Sistem yang dirancang agar dapat dengan mudah mencari informasi pribadi tertentu

Operator yang menangani informasi pribadi yang menggunakan basis data informasi pribadi dll. untuk bisnis mereka memiliki kewajiban untuk melaporkan kepada Komisi Perlindungan Informasi Pribadi Jepang.

Artikel terkait: Penjelasan tentang poin penting dalam “Tanggung Jawab Bisnis” dalam Amandemen Undang-Undang Perlindungan Informasi Pribadi Jepang 2022[ja]

Empat Kasus yang Memerlukan Laporan ke Komisi Perlindungan Data Pribadi Jepang

Ada empat kasus di mana Anda perlu melaporkan ke Komisi Perlindungan Data Pribadi Jepang ketika terjadi kebocoran data pribadi, seperti yang ditetapkan dalam Pasal 7 dari Peraturan Pelaksanaan Undang-Undang Perlindungan Data Pribadi Jepang.

1. Ketika terjadi atau ada kemungkinan terjadi kebocoran data pribadi yang mencakup informasi pribadi yang memerlukan pertimbangan khusus
2. Ketika terjadi atau ada kemungkinan terjadi kebocoran data pribadi yang dapat menimbulkan kerugian finansial jika disalahgunakan
3. Ketika terjadi atau ada kemungkinan terjadi kebocoran data pribadi yang dilakukan dengan tujuan penyalahgunaan
4. Ketika terjadi atau ada kemungkinan terjadi kebocoran data pribadi yang melibatkan lebih dari 1.000 individu

Berikut adalah penjelasan tentang masing-masing kasus tersebut.

Kebocoran Informasi Pribadi yang Memerlukan Pertimbangan Khusus

“Informasi pribadi yang memerlukan pertimbangan khusus” adalah informasi pribadi yang ditentukan oleh peraturan pemerintah yang memerlukan pertimbangan khusus dalam penanganannya agar tidak menimbulkan diskriminasi, prasangka, atau kerugian lainnya terhadap individu tersebut, seperti ras, kepercayaan, status sosial, riwayat penyakit, riwayat kriminal, dan korban kejahatan.

Sebagai contoh, hasil pemeriksaan kesehatan karyawan, seperti riwayat penyakit karyawan, termasuk dalam kategori informasi pribadi yang memerlukan pertimbangan khusus.

Kebocoran Informasi Pribadi yang Dapat Menimbulkan Kerugian Finansial

Di sini, diatur tentang kasus di mana data pribadi yang dapat menimbulkan kerugian finansial jika disalahgunakan bocor.

Sebagai contoh, jika perusahaan membocorkan informasi kartu kredit pelanggan, itu termasuk dalam kategori ini.

Kebocoran Informasi Pribadi dengan Tujuan Penyalahgunaan

Kasus di mana subjek yang menyebabkan kebocoran data pribadi memiliki tujuan penyalahgunaan termasuk dalam kategori ini.

Sebagai contoh, jika pihak ketiga atau karyawan perusahaan mengakses jaringan perusahaan secara ilegal dengan tujuan menyalahgunakan informasi pribadi dan menyebabkan kebocoran data pribadi, itu termasuk dalam kategori ini.

Kebocoran Informasi Pribadi dalam Skala Besar

Kasus di mana kebocoran data pribadi melibatkan lebih dari 1.000 individu termasuk dalam kategori ini.

Untuk perusahaan yang menangani sejumlah besar data pribadi, perlu berhati-hati karena ada kemungkinan kebocoran data pribadi dalam jumlah besar sekaligus.

Hal yang Harus Dilaporkan ke Komisi Perlindungan Data Pribadi Jepang Saat Terjadi Kebocoran Informasi

Jika terjadi situasi yang memerlukan laporan ke Komisi Perlindungan Data Pribadi Jepang, Anda harus melaporkan hal-hal yang ditentukan dalam Pasal 8 Ayat 1 dari Peraturan Pelaksanaan Undang-Undang Perlindungan Data Pribadi Jepang.

(Laporan ke Komisi Perlindungan Data Pribadi Jepang)
Pasal 8 Operator bisnis yang menangani data pribadi, setelah mengetahui situasi yang ditentukan dalam masing-masing item dari pasal sebelumnya, harus segera melaporkan hal-hal berikut yang berkaitan dengan situasi tersebut (hanya yang diketahui pada saat akan melaporkan. Sama berlaku untuk pasal berikutnya.)

e-GOV｜Undang-Undang Perlindungan Data Pribadi[ja]

Jika Anda memenuhi salah satu dari empat kasus yang memerlukan laporan di atas, operator bisnis harus segera melaporkan hal-hal berikut ke Komisi Perlindungan Data Pribadi Jepang:

• Ringkasan
• Item data pribadi yang mungkin telah bocor atau berpotensi bocor
• Jumlah individu yang terkait dengan data pribadi yang mungkin telah bocor atau berpotensi bocor
• Penyebab
• Adanya kerugian sekunder atau potensi kerugian sekunder dan isinya
• Status implementasi respons terhadap individu
• Status implementasi publikasi
• Tindakan pencegahan kejadian ulang
• Hal lain yang dapat dijadikan referensi

Namun, Anda hanya perlu melaporkan hal-hal yang Anda ketahui pada saat pelaporan.

Batas Waktu Pelaporan ke Komisi Perlindungan Data Pribadi Jepang Saat Terjadi Kebocoran Informasi

Ada batas waktu yang ditentukan untuk melaporkan ke Komisi Perlindungan Data Pribadi Jepang (Pasal 8 Ayat 2 dari Peraturan Pelaksanaan Undang-Undang Perlindungan Data Pribadi Jepang).

Sebagai prinsip, laporan ke Komisi Perlindungan Data Pribadi Jepang harus dilakukan dalam waktu 30 hari sejak mengetahui adanya kebocoran informasi. Jika subjek yang menyebabkan kebocoran data pribadi memiliki tujuan ilegal, laporan harus dilakukan dalam waktu 60 hari.

Kewajiban Memberitahu Pihak yang Bersangkutan

Jika terjadi kebocoran informasi pribadi, selain kewajiban untuk melaporkan ke Komisi Perlindungan Informasi Pribadi Jepang (Komisi Perlindungan Data Pribadi Jepang), juga diatur tentang kewajiban memberitahu pihak yang bersangkutan (Pasal 26 Ayat 2 dari Undang-Undang Perlindungan Informasi Pribadi Jepang).

Tujuan dari pemberitahuan kepada pihak yang bersangkutan adalah untuk mencegah pelanggaran terhadap hak dan kepentingan pihak yang bersangkutan dengan memungkinkan mereka untuk segera mengambil tindakan terhadap kebocoran informasi pribadi dan sejenisnya. Oleh karena itu, operator bisnis yang menangani informasi pribadi harus segera memberitahu pihak yang bersangkutan.

Kesimpulan: Konsultasikan dengan Pengacara untuk Tanggapan Administratif atas Kebocoran Informasi Pribadi

Di atas, kami telah menjelaskan tentang tanggapan yang harus dilakukan oleh perusahaan jika terjadi kebocoran informasi pribadi, dengan fokus pada tanggapan administratif.

Sebagai perusahaan, tentu saja, sangat penting untuk membuat sistem yang mencegah kebocoran informasi. Namun, jika terjadi kebocoran informasi, Anda harus merespons dengan tepat.

Undang-Undang Perlindungan Informasi Pribadi Jepang seringkali mengalami perubahan dan memiliki struktur yang kompleks. Oleh karena itu, kami menyarankan Anda untuk berkonsultasi dengan pengacara yang memiliki pengetahuan khusus untuk merespons dengan tepat.

Panduan Strategi dari Kantor Kami

Kantor Hukum Monolis adalah kantor hukum yang memiliki keahlian tinggi dalam IT, khususnya internet dan hukum. Saat ini, kebocoran informasi pribadi telah menjadi masalah besar. Jika terjadi kebocoran informasi pribadi, hal ini dapat berdampak fatal pada aktivitas bisnis. Kami memiliki pengetahuan khusus tentang pencegahan dan strategi penanganan kebocoran informasi. Detailnya dijelaskan dalam artikel di bawah ini.

https://monolith.law/practices/itlaw[ja]