Apa itu residensi data?

Residensi data adalah lokasi geografis atau fisik dari data. Dapat diidentifikasi berdasarkan negara atau wilayah yang menampung pusat data, server, atau infrastruktur lain yang memproses dan menyimpan data.

Perencanaan dan pelacakan residensi data merupakan tugas penting yang membantu memastikan kepatuhan terhadap hukum keamanan data dan privasi data yang terus berkembang di seluruh dunia. Karena undang-undang perlindungan data sering bervariasi menurut yurisdiksi, lokasi geografis aset data organisasi dapat menentukan persyaratan hukum mana yang berlaku.

Persyaratan hukum berkisar dari aturan untuk mendapatkan persetujuan untuk pengumpulan data hingga batas waktu penyimpanan data. Selain itu, beberapa negara memiliki persyaratan residensi data untuk organisasi yang beroperasi di dalam perbatasan mereka: Mereka mengamanatkan pelokalan data—bahwa data berada di lokasi tertentu, dengan transfer data terbatas atau tidak diizinkan.

Perusahaan semakin banyak beralih ke solusi perangkat lunak untuk menentukan dan melacak residensi data guna membantu memastikan kepatuhan terhadap peraturan. Solusi semacam itu memantau aliran data antara lokasi yang berbeda, termasuk melintasi perbatasan nasional, untuk memastikan data tidak melanggar persyaratan peraturan di berbagai tujuannya.

Untuk memahami pentingnya residensi data saat ini, sangat membantu untuk meninjau evolusi penyimpanan data dan perlindungan data di seluruh dunia.

Pada awal tahun 2000-an, infrastruktur cloud modern dan penyedia layanan cloud mengubah lingkungan manajemen data dan pemrosesan data. Akses sesuai permintaan ke server jarak jauh berarti bahwa bisnis tidak lagi terbatas pada daya komputasi dan penyimpanan yang tersedia on premises. Sebagai gantinya, perusahaan dapat memanfaatkan pusat data di berbagai negara yang dioperasikan oleh penyedia cloud seperti Amazon Web Services (AWS), Microsoft Azure dan Google Cloud.

Infrastruktur berbasis cloud ini menawarkan skalabilitas dan fleksibilitas yang tinggi, sekaligus latensi yang lebih rendah untuk contoh penggunaan seperti komputasi edge (ketika sumber daya komputasi perlu ditempatkan dekat dengan lokasi data dihasilkan). Seiring dengan semakin banyaknya perusahaan yang mengadopsi beban kerja AI, penggunaan pusat data akan terus meningkat. Menurut riset McKinsey tahun 2025, kebutuhan kapasitas pusat data diproyeksikan hampir tiga kali lipat pada 2030.¹

Karena kemajuan teknologi memungkinkan perusahaan untuk mengumpulkan, memproses, dan menyimpan lebih banyak data pelanggan, pemerintah mulai menyusun undang-undang privasi data untuk melindungi konsumen. Uni Eropa memimpin dalam mengatur pengumpulan dan perlindungan data, dengan Petunjuk Perlindungan Data 1995 dan kemudian Peraturan Perlindungan Data Umum (GDPR) yang penting, yang mulai berlaku pada tahun 2018. GDPR menetapkan persyaratan untuk bagaimana organisasi melindungi data pribadi dan menetapkan hak-hak penduduk UE, juga dikenal sebagai “subjek data,” atas pengumpulan, penggunaan, dan kepemilikan data pribadi.

Negara-negara di luar Uni Eropa, seperti Australia, Brasil, Kanada, China, India, Jepang, Afrika Selatan dan Uni Emirat Arab, akhirnya memberlakukan perlindungan data mereka sendiri. Saat ini, hampir 80% negara memiliki undang-undang privasi dan perlindungan data.²

Dalam banyak kasus, upaya para pembuat undang-undang untuk melindungi data juga mencakup penerapan undang-undang pelokalan—ketentuan ini membatasi organisasi dalam mentransfer data ke luar wilayah tertentu dan mewajibkan mereka untuk menyimpan data di wilayah tersebut (residensi data). Selain kekhawatiran terkait hak privasi, para pendukung pelokalan data juga mengemukakan persoalan keamanan dan keamanan siber: Data sensitif yang disimpan di luar negara asalnya mungkin lebih sulit diakses oleh lembaga keamanan negara tersebut, sekaligus berpotensi rentan terhadap pengawasan asing dan pelanggaran data yang dilakukan oleh sindikat kejahatan internasional.

Persyaratan pelokalan berkisar dari larangan total transfer data pribadi lintas batas (seperti di Rusia) hingga batasan transfer jenis data tertentu, seperti data layanan kesehatan sensitif (seperti di Australia). ³ Menurut McKinsey, tiga perempat negara telah menerapkan aturan pelokalan data.⁴

Perpaduan dua tren ini—pertumbuhan komputasi cloud serta perkembangan undang-undang privasi dan pelokalan data di berbagai negara—penting bagi perusahaan untuk mengetahui secara pasti lokasi penyimpanan data mereka setiap saat. Saat ini, organisasi dituntut untuk memastikan bahwa ekosistem data mereka yang terus berkembang dan tersebar di pusat data di seluruh dunia memenuhi persyaratan kepatuhan di yurisdiksi yang relevan. Untuk menentukan undang-undang mana yang berlaku bagi setiap aset data, organisasi perlu mengetahui dan melacak lokasi penyimpanan data yang diatur oleh regulasi.

Residensi data dan kedaulatan data adalah istilah yang berbeda tetapi terkait erat. Sementara residensi data mengacu pada lokasi spesifik data, kedaulatan data adalah prinsip bahwa negara memiliki otoritas hukum dan peraturan atas data yang dihasilkan atau diproses di dalam perbatasan mereka. Intinya, residensi data adalah konsep geografis sedangkan kedaulatan data adalah konsep hukum.

Tempat tinggal data sering menjadi kunci untuk menentukan undang-undang kedaulatan data negara mana yang berlaku—dan tergantung pada aliran data, baik tempat tinggal maupun kedaulatan data dapat meluas ke lebih dari satu negara.

Sebagai contoh, perusahaan yang berbasis di Amerika Serikat harus mematuhi ketentuan GDPR jika melakukan pengumpulan dan penyimpanan data di wilayah negara anggota Uni Eropa. Dalam skenario ini, data tersebut disimpan di negara anggota Uni Eropa tersebut, sehingga Uni Eropa memiliki kedaulatan atas data itu. Jika perusahaan tersebut kemudian mentransfer data untuk diproses oleh aplikasi SaaS di Kanada, data itu juga akan disimpan di negara tersebut. Hal ini selanjutnya memperluas kedaulatan data ke Kanada dan kemungkinan mengharuskan perusahaan mematuhi Personal Information Protection and Electronic Documents Act (PIPEDA) yang berlaku di negara tersebut.

Lingkungan global hukum dan peraturan yang terkait dengan residensi data dan pelokalan data adalah lanskap yang kompleks dan berkembang, dengan beberapa aturan lebih ketat daripada yang lain. Peneliti McKinsey mengklasifikasikan ukuran pelokalan ke dalam empat kategori.⁵

• Mandat yang mengharuskan data untuk disimpan dan diproses di wilayah geografis tertentu, yang pada akhirnya mengharuskan perusahaan untuk membangun atau menggunakan infrastruktur lokal di yurisdiksi tersebut.
  
  
• Peraturan yang memungkinkan replikasi data di luar wilayah geografis aslinya, sementara mengharuskan salinan untuk tetap berada di wilayah aslinya.
  
  
• Peraturan yang mewajibkan organisasi untuk mendapatkan persetujuan dari individu untuk mentransfer data pribadi di luar yurisdiksi aslinya.
  
  
• Peraturan yang memungkinkan transfer data di luar yurisdiksi asli tetapi mengharuskan langkah-langkah diterapkan untuk melindungi privasi data.

Yurisdiksi yang berbeda mungkin menyertakan persyaratan yang berbeda, dengan beberapa hanya berlaku untuk jenis data sensitif tertentu.

Bisnis berisiko berbagai konsekuensi jika mereka gagal melacak dan mengelola tempat tinggal data di seluruh penyimpanan data mereka.

Perusahaan, terutama yang bergerak di industri dengan regulasi ketat dan memiliki aliran data lintas negara, memanfaatkan perangkat lunak untuk melacak residensi data dan memastikan kepatuhan terhadap regulasi di berbagai yurisdiksi. Jenis solusi yang paling umum adalah manajemen postur keamanan data (DSPM).

Platform DSPM menemukan data dan melacak aliran data di seluruh sumber daya lokal dan cloud. Mereka dapat menemukan dan mengklasifikasikan data sensitif dan mengidentifikasi risiko ketidakpatuhan terhadap kerangka kerja peraturan yang berlaku. Dengan kata lain, DSPM dapat memperingatkan organisasi ketika data yang disimpan atau diproses di negara tertentu tidak ditangani sesuai dengan hukum negara itu.

Banyak solusi DSPM juga menyediakan petunjuk remediasi langkah demi langkah untuk menyelesaikan potensi risiko, memungkinkan perusahaan untuk mengatasi masalah residensi data dan kedaulatan sebelum berubah menjadi masalah yang mahal.