ความเป็นส่วนตัวของข้อมูลในประเทศอินโดนีเซีย

ภาพรวม

อินโดนีเซียได้ประกาศใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (กฎหมายของสาธารณรัฐอินโดนีเซีย ฉบับที่ 27 ปี 2022) (กฎหมาย PDP) เมื่อวันที่ 17 ตุลาคม 2022 กฎหมาย PDP บังคับใช้กับบุคคลที่พำนัก (i) ในอินโดนีเซีย; และ (ii) นอกอินโดนีเซียหากการดำเนินการต่างๆ ของพวกเขามีผลทางกฎหมายในอินโดนีเซียหรือสำหรับเจ้าของข้อมูลชาวอินโดนีเซียในต่างประเทศ

กฎหมาย PDP จะจำแนกความแตกต่างระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล และใช้ภาระหน้าที่ในการจัดการข้อมูลที่แตกต่างกันในแต่ละภาคส่วน ผู้ควบคุมข้อมูลคือผู้ที่กำหนดวัตถุประสงค์และควบคุมการประมวลผลข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลคือบุคคลที่ประมวลผลข้อมูลตามคำสั่งของผู้ควบคุมข้อมูล ในระดับที่สูงขึ้น หน้าที่ความรับผิดชอบหลักบางประการของผู้ควบคุมข้อมูล ได้แก่

• การประมวลผลข้อมูลส่วนบุคคลตามฐานทางกฎหมายที่ระบุไว้ในการประมวลผล รวมไปถึงความยินยอมจากเจ้าของข้อมูล ความจำเป็นในการปฏิบัติตามสัญญา และประโยชน์โดยชอบธรรม
• การนำมาตรการด้านความปลอดภัยที่มีความเหมาะสมมาใช้งานเพื่อป้องกันข้อมูลส่วนบุคคลจากการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต
• การตอบรับต่อสิทธิ์ของเจ้าของข้อมูล ได้แก่ สิทธิ์ในการเข้าถึงและเชื่อมโยงกับข้อมูลส่วนบุคคล และการร้องขอให้มีการลบข้อมูลส่วนบุคคลของตน
• การถ่ายโอนข้อมูลส่วนบุคคลนอกประเทศอินโดนีเซียเฉพาะเมื่อได้ปฏิบัติตามเงื่อนไขการถ่ายโอนดังกล่าวแล้วเท่านั้น
  

สำหรับผู้ประมวลผลข้อมูล กฎหมาย PDP กำหนดให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น กฎหมาย PDP ไม่รวมถึงข้อกำหนดการแปลข้อมูล

ข้อบังคับการคุ้มครองข้อมูลส่วนบุคคลที่มีอยู่ รวมถึงกฎหมายฉบับที่ 11 ของปี 2008 ซึ่งว่าด้วยการทำธุรกรรมและข้อมูลทางอิเล็กทรอนิกส์ระเบียบรัฐบาลฉบับที่ 71 ประจำปี 2019 ว่าด้วยการดำเนินงานด้านระบบและธุรกรรมทางอิเล็กทรอนิกส์ (GR 71) (ซึ่งปรับปรุงระเบียบรัฐบาลฉบับที่ 82 ประจำปี 2012 ว่าด้วยการดำเนินงานด้านระบบและธุรกรรมทางอิเล็กทรอนิกส์) และระเบียบซึ่งออกโดยรัฐมนตรีว่าการกระทรวงคมนาคมและสารสนเทศฉบับที่ 20 ประจำปี 2016 ซึ่งว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในระบบอิเล็กทรอนิกส์ (ระเบียบรัฐมนตรีฉบับที่ 20) ยังคงจะใช้บังคับต่อไปได้เท่าที่ไม่ขัดต่อกฎหมาย PDP

AWS นั้นให้ความระมัดระวังกับความเป็นส่วนตัวและความปลอดภัยของข้อมูลของคุณ ความปลอดภัยที่ AWS นั้นมีจุดเริ่มต้นมาจากโครงสร้างที่เป็นหัวใจหลักของเรา สร้างมาเฉพาะสำหรับระบบคลาวด์และออกแบบมาให้สอดคล้องต่อข้อกำหนดความปลอดภัยที่เข้มงวดที่สุดในโลก โครงสร้างของเราได้รับการตรวจสอบตลอด 24 ชั่วโมงทุกวันเพื่อให้แน่ใจถึงการรักษาความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูลของลูกค้าของเรา ผู้เชี่ยวชาญด้านความปลอดภัยระดับโลกที่ตรวจสอบโครงสร้างนี้ยังได้สร้างและรักษาตัวเลือกบริการด้านความปลอดภัยอันหลากหลายของเราไว้ ซึ่งช่วยให้คุณสามารถลดความยุ่งยากในการดำเนินการอย่างสอดคล้องกับข้อกำหนดด้านความปลอดภัยและกฎระเบียบของคุณด้วย ในฐานะลูกค้าของ AWS ไม่ว่าอุตสาหกรรมของคุณจะมีขนาดเท่าใดหรือตั้งอยู่ที่ใด คุณก็มีสิทธิ์ในการใช้ประโยชน์จากประสบการณ์ของเรา ซึ่งผ่านการทดสอบกับเฟรมเวิร์กประกันคุณภาพที่เข้มงวดที่สุดของผู้ทดสอบภายนอกมาแล้ว

AWS ใช้และคงมาตรการทางเทคนิคและความปลอดภัยขององค์กรกับบริการโครงสร้างระบบคลาวด์ของ AWS ภายใต้เฟรมเวิร์กการรับประกันและการรับรองด้านความปลอดภัยระดับโลกซึ่งประกอบไปด้วย ISO 27001, ISO 27017, ISO 27018, ISO 27701, ISO 22301, PCI DSS Level 1 และ SOC 1, 2 และ 3 มาตรการทางเทคนิคและความปลอดภัยขององค์กรเหล่านี้ได้รับการตรวจสอบโดยผู้ประเมินอิสระจากภายนอก และออกแบบมาเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตหรือการเปิดเผยข้อมูลของลูกค้า

ตัวอย่างเช่น ISO 27018 เป็นหลักปฏิบัติสากลที่มุ่งเน้นการปกป้องข้อมูลส่วนบุคคลบนระบบคลาวด์ ซึ่งมีรากฐานมาจากมาตรฐานด้านความปลอดภัยของข้อมูล ISO 27002 และให้ข้อมูลแนะนำด้านการนำไปใช้เกี่ยวกับมาตรฐานการควบคุม ISO 27002 ซึ่งใช้กับข้อมูลที่ระบุตัวบุคคลได้ (PII) ที่ประมวลผลโดยผู้ให้บริการระบบคลาวด์สาธารณะ สิ่งนี้แสดงให้ลูกค้าเห็นได้ว่า AWS นั้นมีระบบการกำกับดูแลเฉพาะสำหรับปกป้องความเป็นส่วนตัวของข้อมูลลูกค้า

มาตรฐานทางเทคนิคและความปลอดภัยขององค์กร AWS อันครอบคลุมนั้นสอดคล้องกับเป้าหมายของกฏระเบียบทั่วไปเพื่อปกป้องข้อมูลส่วนตัว ลูกค้าที่ใช้บริการของ AWS จะมีความสามารถในการควบคุมข้อมูลของตน และต้องรับผิดชอบต่อการดำเนินการตามมาตรการด้านความปลอดภัยเพิ่มเติมตามความต้องการที่เจาะจงของตน ซึ่งประกอบไปด้วยการจัดหมวดหมู่ข้อมูล การเข้ารหัส การจัดการการเข้าถึง และข้อมูลประจำตัวเพื่อรักษาความปลอดภัย

เนื่องจาก AWS ไม่สามารถมองเห็นหรือรับทราบเกี่ยวกับสิ่งที่ลูกค้าอัปโหลดไปยังเครือข่ายของเราได้ รวมทั้งไม่สามารถทราบได้ว่าข้อมูลดังกล่าวถือว่าอยู่ภายใต้กฎหมาย PDP หรือไม่ ลูกค้าจึงต้องรับผิดชอบต่อการปฏิบัติตามกฎหมาย PDP และกฎระเบียบที่เกี่ยวข้องเอง เนื้อหาในหน้านี้เป็นส่วนเสริมของแหล่งข้อมูลด้านความเป็นส่วนตัวของข้อมูลที่มีอยู่แล้วเพื่อช่วยให้ข้อกำหนดของคุณสอดคล้องกับรูปแบบความรับผิดชอบร่วมกันของ AWS เมื่อคุณจัดเก็บและประมวลผลข้อมูลส่วนตัวโดยใช้บริการของ AWS

• บทบาทของลูกค้าในการรักษาข้อมูลของตนเองคืออะไร

  ภายใต้ โมเดลความรับผิดชอบร่วมกันของ AWS ลูกค้ายังคงมีความสามารถในการควบคุมความปลอดภัยที่ตนเลือกเพื่อนำไปใช้ปกป้องข้อมูล แพลตฟอร์ม แอปพลิเคชัน ระบบ และเครือข่ายของตนได้ เช่นเดียวกับที่ลูกค้าทำในแอปพลิเคชันในศูนย์ข้อมูลบนเว็บไซต์ ลูกค้าสามารถพัฒนาจากมาตรการและการควบคุมทางเทคนิคและความปลอดภัยขององค์กรที่ AWS มอบให้ได้เพื่อบริหารจัดการข้อกำหนดในการปฏิบัติตามกฎระเบียบของตน ลูกค้าสามารถใช้มาตรการที่ตนคุ้นเคยในการปกป้องข้อมูลของตนได้ เช่น การเข้ารหัสและการยืนยันตัวตนหลายปัจจัยนอกเหนือจากคุณสมบัติด้านความปลอดภัยของ AWS อย่าง AWS Identity and Access Management

  เมื่อทำการประเมินความปลอดภัยของโซลูชันระบบคลาวด์ ลูกค้าจำเป็นต้องเข้าใจและแยกความแตกต่างระหว่าง:

  • มาตรการด้านความปลอดภัยที่ AWS นำไปใช้และดำเนินการ ซึ่งได้แก่ “ความปลอดภัยของระบบคลาวด์” และ
  • มาตรการด้านความปลอดภัยที่ลูกค้านำไปใช้และดำเนินการเกี่ยวกับการรักษาความปลอดภัยของข้อมูลและแอปพลิเคชันของลูกค้าที่ใช้ประโยชน์จากบริการของ AWS ซึ่งได้แก่ “ความปลอดภัยในระบบคลาวด์”

  

• ใครที่สามารถเข้าถึงเนื้อหาของลูกค้าได้บ้าง

  ลูกค้าจะคงสิทธิ์ในการเป็นเจ้าของและการควบคุมเนื้อหาลูกค้าของตน และสามารถเลือกได้ว่าบริการของ AWS บริการใดจะทำหน้าที่ประมวลผล จัดเก็บ และเป็นโฮสต์ให้กับเนื้อหาลูกค้าของตน AWS ไม่มีความสามารถในการมองเห็นเนื้อหาของลูกค้า และจะไม่เข้าถึงหรือใช้งานเนื้อหาของลูกค้า เว้นแต่เพื่อการให้บริการของ AWS ที่ลูกค้าเลือก หรือเมื่อจำเป็นต่อการปฏิบัติตามกฎหมายหรือคำสั่งทางกฎหมายที่ผูกมัด

  ลูกค้าที่ใช้บริการของ AWS จะยังคงมีความสามารถในการควบคุมเนื้อหาของตนภายในสภาพแวดล้อมของ AWS ได้ พวกเขาสามารถ:

  • กำหนดได้ว่าจะเก็บเนื้อหาไว้ที่ใด ตัวอย่างเช่นประเภทของพื้นที่จัดเก็บและตำแหน่งที่ตั้งทางภูมิศาสตร์ของพื้นที่จัดเก็บ
  • ควบคุมรูปแบบของเนื้อหานั้น ตัวอย่างเช่น ข้อความธรรมดา แบบสวมข้อมูล ไม่ระบุชื่อ หรือใส่รหัส โดยใช้ได้ทั้ง AWS ในการเข้ารหัสข้อมูลหรือใช้กลไกการเข้ารหัสของบริษัทอื่น ทั้งนี้ขึ้นอยู่กับการเลือกของลูกค้า
  • จัดการการควบคุมการเข้าถึงอื่นๆ เช่นการจัดการการเข้าถึงข้อมูลประจำตัวและข้อมูลรับรองความปลอดภัย
  • ควบคุมว่าจะใช้ SSL, Virtual Private Cloud และมาตรการรักษาความปลอดภัยเครือข่ายอื่นๆ เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตหรือไม่

  สิ่งนี้ช่วยให้ลูกค้าของ AWS สามารถควบคุมวงจรการใช้งานเนื้อหาของตนบน AWS ได้ทั้งหมด และสามารถจัดการเนื้อหาได้ตามความต้องการ ซึ่งรวมถึงการจัดหมวดหมู่ข้อมูล การควบคุมการเข้าถึง การเก็บรักษา และการลบเนื้อหา

• เนื้อหาของลูกค้าจะถูกจัดเก็บไว้ที่ใด

  ศูนย์ข้อมูล AWS ได้รับการสร้างให้อยู่ในรูปแบบคลัสเตอร์ในหลายตำแหน่งทั่วโลก เราเรียกคลัสเตอร์ศูนย์ข้อมูลในตำแหน่งที่ตั้งต่างๆ ว่า “ภูมิภาค”

  ลูกค้า AWS เป็นผู้เลือกภูมิภาค AWS ที่จะจัดเก็บเนื้อหาของตน ซึ่งช่วยให้ลูกค้าที่มีความต้องการเฉพาะทางภูมิศาสตร์สามารถเลือกสภาพแวดล้อมในสถานที่ตั้งตามต้องการได้

  ลูกค้าสามารถทำสำเนาและสำรองเนื้อหาได้มากกว่าหนึ่งภูมิภาค แต่ AWS จะไม่ย้ายหรือทำสำเนาเนื้อหาของลูกค้านอกภูมิภาคที่ลูกค้าเลือก เว้นแต่จะเป็นการให้บริการตามคำขอของลูกค้าหรือเพื่อการปฏิบัติตามกฎหมายที่บังคับใช้
  

• AWS รักษาความปลอดภัยของศูนย์ข้อมูลของตนอย่างไร

  กลยุทธ์ด้านความปลอดภัยของศูนย์ข้อมูลของ AWS นั้นประกอบไปด้วยมาตรการควบคุมด้านความปลอดภัยหลายระดับและการป้องกันหลายชั้นที่ช่วยในการปกป้องข้อมูลของคุณ ตัวอย่างเช่น AWS จะบริหารจัดการกับความเสี่ยงของอุทกภัยและเหตุการณ์แผ่นดินไหวอย่างระมัดระวัง เรามีกำแพงป้องกันทางกายภาพ พนักงานรักษาความปลอดภัย เทคโนโลยีตรวจจับภัยคุกคาม และกระบวนการคัดกรองเชิงลึกเพื่อจำกัดการเข้าถึงศูนย์ข้อมูล เราทำการสำรองระบบ ทดสอบอุปกรณ์และกระบวนการของเราเป็นประจำ อีกทั้งยังฝึกอบรมพนักงานของ AWS อย่างต่อเนื่องเพื่อเตรียมความพร้อมสำหรับเหตุการณ์ที่ไม่คาดคิด

  ในการตรวจสอบความปลอดภัยของศูนย์ข้อมูลของเรา ผู้ตรวจสอบภายนอกได้ดำเนินการทดสอบกับมาตรฐานและข้อกำหนดมากกว่า 2,600 รายการตลอดทั้งปี การตรวจสอบอิสระเช่นนี้ช่วยให้แน่ใจว่ามาตรฐานด้านความปลอดภัยเราของนั้นเป็นไปตามหรือสูงกว่าที่กำหนด ด้วยเหตุนี้ องค์กรที่มีการควบคุมที่เข้มงวดที่สุดในโลกจึงไว้ใจให้ AWS ปกป้องข้อมูลของตน

  เรียนรู้เพิ่มเติมเกี่ยวกับวิธีในการรักษาความปลอดภัยของศูนย์ข้อมูลของ AWS ตามการออกแบบโดยการเข้าร่วมทัวร์เสมือนจริง »

• ฉันใช้งานเขต AWS ใดได้บ้าง

  ลูกค้าจะเลือกใช้แค่หนึ่งเขต ทุกเขต หรือเลือกชุดเขตที่ต้องการใช้ก็ได้ ไปที่หน้าโครงสร้างระดับโลกของ AWS เพื่อดูรายการภูมิภาค AWS ทั้งหมด

• มาตรการด้านความปลอดภัยแบบใดที่ AWS มีอยู่ในตัวเพื่อปกป้องระบบ

  โครงสร้างพื้นฐาน AWS Cloud ได้รับการออกแบบมาให้เป็นหนึ่งในสภาพแวดล้อมการประมวลผลบนระบบคลาวด์ที่ยืดหยุ่นและปลอดภัยที่สุดที่มีอยู่ในขณะนี้ คุณภาพระดับ Amazon เอื้อเป็นอย่างมากให้ลงทุนกับนโยบายความปลอดภัยและมาตรการรับมือได้มากกว่าที่บริษัทขนาดใหญ่อื่นๆ แทบทุกบริษัทจะสามารถทำได้เอง โครงสร้างพื้นฐานนี้ประกอบไปด้วยฮาร์ดแวร์ ซอฟต์แวร์ เครือข่าย และสิ่งอำนวยความสะดวกที่ใช้บริการต่างๆ ของ AWS ที่ให้ลูกค้าและคู่ค้า APN มีอำนาจควบคุมหลากหลายอย่าง รวมถึงการควบคุมการกำหนดค่าความปลอดภัย สำหรับการจัดการข้อมูลส่วนบุคคล
  

  AWS ยังจะให้รายงานการปฏิบัติตามข้อกำหนดหลายฉบับจากผู้ตรวจสอบภายนอกซึ่งได้ตรวจสอบและยืนยันการปฏิบัติตามข้อกำหนดมาตรฐานและข้อบังคับด้านความปลอดภัยของเรา ซึ่งประกอบด้วย ISO 27001, ISO 27017 และ ISO 27018 เพื่อแสดงถึงความโปร่งใสในประสิทธิภาพของมาตรการเหล่านี้ คุณจะเข้าถึงรายงานการตรวจสอบบุคคลภายนอกได้ใน AWS Artifact สำหรับลูกค้าและคู่ค้า APN ของเราซึ่งอาจทำหน้าที่เป็นทั้งผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลแล้ว รายงานเหล่านี้ได้แสดงให้เห็นว่าเรากำลังปกป้องโครงสร้างพื้นฐานที่สำคัญอันเป็นที่ซึ่งลูกค้าได้ใช้จัดเก็บและประมวลผลข้อมูลส่วนบุคคล สำหรับข้อมูลเพิ่มเติม ให้ไปที่ แหล่งข้อมูลสำหรับการปฏิบัติตามข้อกำหนดของเรา