Perusahaan keuangan bergulat dengan undang-undang data China yang keras

Jika ini adalah abad Asia, bagi lembaga keuangan ini menjadi abad regulasi perlindungan data Asia. Jika ada satu penghalang terbesar untuk menerapkan strategi digital, itu adalah tambal sulam pasar dan aturan seputar data di kawasan ini.

China tidak sendirian dalam membangun lebih banyak penghalang dan aturan yang dimaksudkan untuk menyimpan data di dalam negeri. Tapi pendekatannya adalah yang paling menyapu. Dan sebagai ekonomi terbesar kedua di dunia, itu terlalu besar untuk diabaikan.

Bank dan manajer aset berjuang dengan aturan kedaulatan data. Untuk industri pada umumnya, situasinya cenderung menjadi lebih sulit, bukan lebih mudah, dan ini akan membatasi kemampuan perusahaan untuk tumbuh atau melayani klien mereka seperti yang mereka inginkan.

Tanggapan terbaik mereka adalah melibatkan berbagai regulator, mencari tahu apa yang menjadi prioritas atau misi-kritis dalam hal berbagi dan melindungi data, dan menemukan kesamaan – betapapun sempitnya.

Fragmentasi hukum data

Peraturan mengenai data menjadi pusat perhatian pada konferensi baru-baru ini yang diselenggarakan oleh Asia Securities and Investments and Financial Markets Association (ASIFMA). Pesannya: tidak ada solusi yang mudah untuk mengatasi masalah ini.

Industri awalnya berharap kerangka kerja internasional untuk privasi data akan mengatur arus lintas batas.

Standar ini, bagaimanapun, dikembangkan oleh institusi Barat atau negara kaya seperti OECD. Pemerintah Asia dan pasar negara berkembang mulai merasa bahwa mereka sedang dieksploitasi, dengan data mentah meninggalkan perbatasan mereka untuk server di negara maju, di mana akan diproses dan diperkaya, dan dibuat berharga.

Regulator di banyak negara mulai menulis aturan mereka sendiri.

“Hal ini mengakibatkan privasi data dan data lintas batas menjadi risiko utama bagi lembaga keuangan,” kata Tauseef Hussain, direktur kepatuhan global dan risiko operasional di Bank of America di Singapura.

Ini hanyalah fase awal dari tren ini, bukan kesimpulannya. Regulator terus mengubah peraturan mereka untuk memperluas cakupan dan meningkatkan penegakan hukum.

Tantangan di seluruh wilayah meningkat

Institusi global sedang berjuang untuk mengikutinya. Definisi data pribadi sekarang ada di mana-mana, sehingga sulit untuk membangun lingkungan kontrol yang dapat diskalakan untuk privasi. Kepatuhan terus menjadi lebih mahal.

Selain kepatuhan, perusahaan yang mengandalkan model cloud-centric yang dikembangkan di AS dan Eropa mengikuti model bisnis yang mengumpulkan, memproses, dan menyimpan data di tempat berbeda. Model tersebut tidak lagi dapat diterapkan di sejumlah pasar yang jumlahnya terus bertambah, yang berarti biaya operasional perusahaan juga menjadi semakin mahal.

Beberapa pasar negara berkembang seperti Malaysia tidak memiliki kapasitas untuk mengelola kontrol data perusahaan dengan benar, sehingga mereka memberlakukan undang-undang yang sangat ketat, yang mewajibkan setiap offshoring untuk disetujui oleh otoritas berdasarkan kasus per kasus. Secara bertahap rezim seperti itu dapat berkembang ke arah pendekatan yang lebih berbasis aturan, tetapi tidak ada yang tahu kapan.

Perusahaan-perusahaan global mampu menangani pengecualian sebesar Malaysia dengan solusi lokal, karena ini adalah pasar yang kecil. Namun kemudian negara-negara besar seperti India pun ikut bergabung. Negara-negara tersebut tidak hanya memberlakukan peraturan yang luas, namun mereka juga melakukannya tanpa panduan rinci tentang bagaimana perusahaan harus menerapkan peraturan tersebut – yang merupakan sumber kebingungan lain bagi dunia usaha global.

Saat ini, bahkan pusat-pusat keuangan seperti Hong Kong dan Singapura – yang biasanya sesuai dengan standar global – mulai menerapkan aturan kedaulatan data mereka sendiri, atau mempelajari aturan tersebut.

Perusahaan berusaha keras untuk menunjukkan kepada regulator bahwa mereka menganggap serius masalah terkait data, dan menjelaskan dalam keadaan apa penting bagi mereka untuk membawa data ke luar negeri. Argumen yang paling penting adalah bahwa perusahaan global perlu melaporkan data lokal kepada regulator mereka di dalam negeri.

“Anda dapat menunjukkan bagaimana data yang diekspor meningkatkan kepatuhan dan manajemen risiko perusahaan, dan karenanya membantu regulator lokal,” saran Hussain.

Aturan ekspansif China

Tidak ada tempat yang lebih penting – dan lebih sulit untuk dipahami – selain Cina.

Eugenie Shen, direktur pelaksana dan kepala grup manajemen aset di ASIFMA di Hong Kong, mengatakan sejak 2016 Beijing telah mengeluarkan undang-undang yang semakin menantang: undang-undang keamanan siber, undang-undang keamanan data, dan tahun ini, undang-undang privasi. Ini mencakup informasi apa pun dalam bentuk elektronik atau lainnya.

“Kita berbicara tentang alam semesta yang luas,” ujarnya di acara ASIFMA.

Ini menciptakan masalah bagi rumah dana global yang beroperasi di Cina daratan, menjalankan portofolio lokal dan mengelola uang klien lokal.

Perusahaan global terikat

Kantor pusat negara asal mereka biasanya mengharapkan anak perusahaan untuk menyediakan banyak data mengenai kegiatan lokal: notulen rapat dewan, laporan manajemen, informasi keuangan dan akuntansi, laporan kepatuhan, dan informasi pribadi klien.

Manajer aset global dan anak perusahaan mereka harus menunjukkan kepada regulator mereka sendiri bahwa mereka beroperasi untuk kepentingan klien mereka dan memenuhi pemeriksaan KYC global dan anti pencucian uang.

---

---

Tim investasi global juga menginginkan informasi tentang perusahaan yang terdaftar dalam portofolio mereka – untuk satu hal, mereka perlu mengetahui apakah tingkat kepemilikan mereka dapat memicu persyaratan pengungkapan.

Di China, kata Shen, manajer aset tidak dapat berbagi informasi klien dengan kantor pusat mereka. Bahkan laporan analis riset, sering kali didasarkan pada informasi yang tersedia untuk umum, tidak dapat dikirim ke PM di luar negeri. “Ada kekhawatiran bahwa entah bagaimana berbagi informasi ini dengan entitas lepas pantai dapat merusak kepentingan publik atau kepentingan keamanan nasional,” kata Shen.

Hal ini menempatkan perusahaan-perusahaan global dalam keadaan terikat, karena pengungkapan informasi tersebut kepada pemegang saham mereka biasanya diwajibkan oleh hukum di negara-negara Barat, seperti undang-undang perusahaan induk bank AS atau peraturan perpajakan.

Pendekatan publik China terhadap data

Xun Yang, mitra di Llinks Law China di Shanghai, mengatakan di permukaan, aturan data China terlihat mirip dengan peraturan privasi di Barat. Tetapi otoritas China membingkai privasi dalam konteks kepentingan publik dan stabilitas pasar.

Perusahaan global menghadapi dua set peraturan data di China. Pertama adalah perlindungan pribadi.

Di Barat, persetujuan konsumen atau klien adalah semua yang diperlukan untuk membagikan data mereka. Itu tidak terjadi di China, yang mengatakan ada dimensi publik untuk mengekspor data semacam itu secara massal.

Aturan kedua menyangkut bagaimana regulator keuangan China mengawasi data pribadi dan transaksional, yang tidak dapat dirilis karena dapat memberikan terlalu banyak informasi kepada pemerintah asing dan perusahaan multinasional. Beijing tidak mempercayai gagasan pemisahan kepentingan secara hukum atau fidusia. (Mungkin tidak membantu bahwa orang Barat menyebut ini sebagai "tembok Cina".)

Banyak orang Cina

Situasi ini diperumit oleh keragaman regulator China. Jasa keuangan memiliki banyak regulator di tingkat nasional. Tetapi pemerintah provinsi dan kota juga memiliki suara.

“Ada beberapa detail tentang implementasi, tidak ada jadwal, dan pandangan yang berbeda di antara regulator lokal,” kata James Zhang, mitra untuk layanan keuangan di KPMG.

Oleh karena itu regulator ingin semua data disimpan di darat. “Bukan tidak mungkin mengekspor data ini, tapi sangat sulit,” kata Yang.

Di sisi lain, Beijing memang ingin menarik modal asing dan bisnis multinasional, serta tetap terlibat di pasar global. “Jadi, ada jalan keluarnya,” tambah Yang.

Menemukan kesamaan

Jika bank berurusan dengan data pribadi ritel, sangat kecil kemungkinan bahwa regulator akan mengizinkan informasi tersebut menyebar. Ada kelonggaran jika perusahaan global dapat menunjukkannya untuk klien institusi atau korporat, terutama jika ini adalah bank atau perusahaan China yang sudah beroperasi di luar negeri. Jika mereka terdaftar di AS, Hong Kong, atau pasar lain, maka mereka sudah mempublikasikan banyak informasi dalam laporan tahunan mereka, yang mungkin sudah cukup.

Perusahaan global juga harus melihat data yang dimaksud dan menghentikan kebiasaan hanya mengirimkan semuanya ke pusat data luar negeri. Mereka harus mencari tahu masalah kepatuhan apa yang mereka hadapi di dalam negeri jika mereka tidak mengekspor data lokal China, apa yang mampu mereka simpan di darat, apa yang mungkin dianggap paling sensitif terhadap regulator, dan apa yang mereka pikir bisa mereka lakukan. menang melalui lobi.

Mereka juga perlu meyakinkan pihak berwenang bahwa kontrol perusahaan kuat, menghormati hukum China, dan memiliki proses untuk menangani peretasan atau kebocoran data.

"Regulator akan mempertimbangkan sifat pihak lawan," kata Zhang dari KPMG, yang memberi perusahaan kesempatan untuk memperdebatkan kasus mereka. “China tidak mencoba memisahkan diri dari dunia, jadi saya pikir kita akan melihat beberapa perubahan. Tapi itu situasi yang menyakitkan untuk saat ini.”

Mengajukan kasus ke regulator

Yang di Llinks Law mengatakan regulator Tiongkok menyambut baik perusahaan yang meminta klarifikasi. Mereka paham bahwa peraturan mereka sangat luas dan terbuka terhadap hasil praktis. Regulator mungkin tidak memberikan pengecualian menyeluruh terhadap data offshoring, namun mereka dapat bekerja sama dengan perusahaan untuk menemukan cara membantu mereka mematuhi kebijakan di pasar dalam negeri.

Shen dari ASIFMA berkata, “Saya mengajukan kasus kepada regulator [China] mengapa kami membutuhkan informasi tertentu. Jika saya tidak mendapatkan informasinya, saya melanggar hukum asing. Jadi saya jelaskan apa hukum-hukum itu. Ini tentang menemukan keseimbangan.” Dia menambahkan bahwa aturan China mengenali data yang dianggap penting, jadi itu bukan satu ukuran untuk semua. Regulator belum mengeluarkan perincian tentang bagaimana mereka mengklasifikasikan data, tetapi seiring waktu, perincian tersebut akan membantu perusahaan keuangan mencari tahu data apa yang dapat mereka coba untuk dikecualikan.

“Kami mencoba menjembatani kesenjangan,” kata Shen. “Saya berharap suatu hari kita dapat mengadakan pertemuan meja bundar dengan otoritas Tiongkok untuk diskusi terbuka.”