Pada awal setiap tahun persekolahan, ibu bapa di Malaysia menerima senarai aplikasi yang perlu dipasang: satu untuk semak kehadiran, satu untuk kerja rumah, satu untuk bayar yuran dan makanan kantin, dan kadangkala satu lagi untuk pengumuman kelas. Setiap pendaftaran kelihatan remeh, tetapi setiap satu menghantar nama anak, kelas, sekolah dan selalunya nombor telefon penjaga ke pelayan sebuah syarikat swasta yang jarang dikenali ibu bapa.

Soalan siapa yang menjaga data itu menjadi semakin penting kerana undang-undang perlindungan data negara baru sahaja diperketat. Akta Perlindungan Data Peribadi (Pindaan) 2024 berkuat kuasa secara berperingkat sepanjang 2025, dengan fasa terakhirnya bermula 1 Jun 2025. Namun satu perkara tidak berubah: akta ini tidak terpakai kepada kerajaan persekutuan dan kerajaan negeri, dan ini meletakkan sekolah kerajaan dalam kedudukan yang pelik apabila ia mewajibkan murid menggunakan aplikasi komersial.

Hampir 5 juta murid berada dalam ekosistem data yang sama

Menurut Kementerian Pendidikan, sistem persekolahan awam merangkumi 10,233 buah sekolah dengan hampir 5 juta murid. Rekod asas setiap murid disimpan dalam pangkalan data kementerian seperti APDM, yang memuatkan butiran peribadi termasuk maklumat penjaga, dan platform pembelajaran digital DELIMa pula memberi setiap murid dan guru akaun pada perkhidmatan awan antarabangsa. Sistem rasmi ini sekurang-kurangnya tertakluk kepada tadbir urus kementerian.

Lapisan yang kurang jelas ialah aplikasi pihak ketiga yang dipilih di peringkat sekolah atau PIBG: aplikasi rekod disiplin, sistem bayaran kantin tanpa tunai, platform latihan peperiksaan dan kumpulan komunikasi berbayar. Pemilihan ini jarang melalui penilaian keselamatan berpusat, dan syarat perkhidmatannya ditetapkan oleh vendor, bukan oleh kementerian. Data yang dikutip juga sering melebihi keperluan tugas aplikasi itu sendiri, daripada nombor MyKid dan alamat rumah hinggalah gambar murid, sedangkan aplikasi semak kehadiran misalnya tidak memerlukan kesemua maklumat itu untuk berfungsi.

Akta tidak mengikat sekolah kerajaan, tetapi mengikat vendornya

Seksyen 3 Akta Perlindungan Data Peribadi 2010 mengecualikan kerajaan persekutuan dan negeri daripada keseluruhan akta, dan pindaan 2024 mengekalkan pengecualian itu. Dalam praktiknya, ibu bapa yang tidak berpuas hati dengan cara sekolah mengendalikan data anak tidak boleh membawa aduan di bawah akta ini terhadap sekolah itu sendiri.

Vendor swasta pula berada di sebelah lain garisan itu. Syarikat yang memproses data murid untuk tujuan komersial adalah pengguna data di bawah akta, dan merekalah yang boleh disiasat Jabatan Perlindungan Data Peribadi jika berlaku kebocoran. Garisan ini penting difahami: perlindungan undang-undang bagi data anak bermula pada saat data itu keluar dari sistem kerajaan dan masuk ke pelayan swasta.

Sejak Jun 2025, vendor wajib lapor kebocoran dan lantik pegawai data

Fasa terakhir pindaan membawa dua kewajipan yang paling relevan untuk aplikasi sekolah. Pertama, notifikasi kebocoran data kini mandatori: garis panduan Jabatan Perlindungan Data Peribadi menetapkan laporan kepada Pesuruhjaya dalam tempoh 72 jam, dan pemberitahuan kepada individu terjejas tanpa kelengahan jika kebocoran itu berisiko menyebabkan kemudaratan ketara. Kedua, syarikat yang memproses data peribadi secara besar-besaran wajib melantik pegawai perlindungan data yang boleh dihubungi orang awam.

Penalti turut dinaikkan, dengan kesalahan melanggar prinsip keselamatan data kini boleh membawa denda sehingga RM1 juta. Bagi vendor aplikasi pendidikan yang menyimpan rekod ratusan ribu kanak-kanak, kos kecuaian bukan lagi sekadar reputasi. Data kanak-kanak juga membawa risiko yang lebih panjang daripada data orang dewasa: nombor pengenalan yang bocor hari ini boleh disalahgunakan untuk penipuan bertahun-tahun kemudian, lama selepas murid itu meninggalkan sekolah dan aplikasi berkenaan.

Insiden Mobile Guardian di Singapura menunjukkan kos kesilapan vendor

Pengalaman jiran selatan memberi gambaran paling jelas tentang risikonya. Pada April 2024, vendor pengurusan peranti Mobile Guardian yang digunakan Kementerian Pendidikan Singapura mengalami kebocoran yang mendedahkan maklumat ibu bapa dan kakitangan di 127 buah sekolah. Beberapa bulan kemudian, pencerobohan kedua membolehkan penggodam memadam data pada peranti kira-kira 13,000 murid dari jauh, dan kementerian di sana akhirnya menamatkan terus kontrak vendor itu.

Insiden itu berlaku dalam sistem yang mempunyai penilaian vendor berpusat dan regulator data yang meliputi sektor awam. Di Malaysia, di mana banyak aplikasi dipilih sekolah demi sekolah tanpa saringan seragam, kebergantungan pada tahap keselamatan vendor adalah lebih tinggi lagi. Pengajaran utamanya bukan bahawa teknologi harus dielakkan, tetapi bahawa kontrak dengan vendor perlu menetapkan dengan jelas tanggungjawab keselamatan, hak audit dan apa yang berlaku kepada data apabila kontrak tamat.

Soalan yang patut ditanya sebelum mendaftar sebarang aplikasi

Ibu bapa berhak bertanya kepada sekolah beberapa perkara asas sebelum memasang aplikasi yang diwajibkan: apakah data yang dikutip dan adakah ia terhad kepada yang perlu, di manakah data disimpan, berapa lama ia disimpan selepas anak berhenti atau bertukar sekolah, dan siapakah pegawai perlindungan data vendor itu. Vendor yang tidak dapat menjawab soalan sebegini dengan jelas berkemungkinan besar tidak mematuhi kewajipan baharu yang berkuat kuasa sejak Jun 2025.

Di peringkat dasar, ruang penambahbaikan paling ketara ialah saringan berpusat: senarai aplikasi yang telah dinilai keselamatannya oleh kementerian, yang boleh dirujuk mana-mana sekolah sebelum membuat pilihan. Selagi itu tiada, garis pertahanan pertama bagi data hampir 5 juta murid ialah soalan yang berani ditanya ibu bapa di mesyuarat PIBG.