CEO Airwallex Bantah Kebocoran Data! Data Pelanggan Amerika Tidak Dikirim ke Tiongkok

Investor Keith Rabois menuduh Airwallex memiliki risiko kebocoran data karena memiliki tim rekayasa besar di Tiongkok dan pemegang saham dari Tiongkok. CEO sekaligus co-founder Airwallex, Jack Zhang, membantah dan menegaskan tuduhan tersebut tidak benar, serta menegaskan perusahaan tidak pernah mentransfer data pelanggan Amerika Serikat ke Tiongkok. Ia menjelaskan bahwa data pelanggan Amerika hanya disimpan di Amerika Serikat, Belanda, dan Singapura, serta karyawan di Tiongkok daratan dan Hong Kong tidak memiliki akses.

Tuduhan Investor Keith Rabois di Media Sosial Picu Perdebatan

Sebelum Zhang membantah secara terbuka, investor terkenal Keith Rabois melontarkan serangkaian tuduhan serius terhadap Airwallex di forum X. Rabois mengklaim hukum Tiongkok mewajibkan perusahaan dan warga negara bekerja sama dengan intelijen negara, sehingga perusahaan yang terkait erat dengan Tiongkok berpotensi menghadapi risiko keamanan data. Ia secara khusus menyoroti bahwa Airwallex memiliki tim rekayasa besar di Tiongkok, yang menurutnya secara tidak dapat dihindari menimbulkan risiko kebocoran data.

Argumen Rabois didasarkan pada pasal terkait dalam Undang-Undang Intelijen Nasional Tiongkok, yang menyatakan “setiap organisasi dan warga negara harus secara hukum mendukung, membantu, dan bekerja sama dengan pekerjaan intelijen negara.” Ia berpendapat bahwa meskipun data disimpan di server Amerika Serikat, hukum Tiongkok tetap dapat memaksa insinyur yang bekerja di Tiongkok untuk memberikan akses atau membantu memperoleh data. Selain itu, Rabois juga menilai kepemilikan saham Airwallex oleh pemegang saham Tiongkok merupakan faktor risiko besar lainnya.

Tuduhan ini memicu diskusi luas di bidang fintech dan cryptocurrency. Beberapa postingan kemudian dihapus, namun kontroversi sudah meluas. Pendukung Airwallex melakukan bantahan, beberapa pengguna mempertanyakan bukti di balik tuduhan tersebut dan menyebutnya spekulatif. Seorang eksekutif Airwallex juga menyatakan bahwa perusahaan terus berinvestasi dalam isolasi data regional dan telah mengambil langkah-langkah yang melebihi persyaratan regulasi.

CEO Airwallex Menjelaskan Secara Detail Arsitektur Penyimpanan Data

Dalam tanggapannya, Zhang memberikan penjelasan rinci mengenai arsitektur penyimpanan data Airwallex. Ia menegaskan bahwa Airwallex hanya menyimpan data pelanggan Amerika Serikat di Amerika Serikat, Belanda, dan Singapura. Ia menekankan bahwa karyawan di Tiongkok daratan dan Hong Kong tidak memiliki hak akses terhadap data pribadi pelanggan Amerika Serikat (PII). Strategi pemisahan data ini merupakan bagian inti dari arsitektur kepatuhan global Airwallex.

Zhang secara khusus menjelaskan perbedaan antara lokasi geografis tim rekayasa dan hak akses data: “Talenta bisa berada di mana saja di dunia, tapi hak akses data tidak demikian.” Ia menegaskan bahwa lokasi kerja insinyur dan lokasi penyimpanan data pelanggan tidak sama, hak akses data didasarkan pada peran dan kebutuhan, bukan lokasi karyawan. Kontrol akses berbasis peran (RBAC) seperti ini merupakan praktik standar dalam arsitektur keamanan cloud modern.

Saat ini, Airwallex memiliki lebih dari 70 lisensi di seluruh dunia dan diatur di lebih dari 48 negara bagian Amerika Serikat. Perusahaan menyatakan bahwa sistem hukum dan teknologinya dapat mencegah akses tidak sah oleh pemerintah asing terhadap data Amerika Serikat. Zhang juga menyatakan bahwa Airwallex tidak akan memenuhi permintaan lembaga intelijen asing untuk data sensitif non-lokal, serta mematuhi standar perlindungan data lintas negara federal Amerika Serikat.

Empat Pilar Perlindungan Data Airwallex

Isolasi Geografis: Data pelanggan Amerika Serikat hanya disimpan di Amerika Serikat, Belanda, dan Singapura

Kontrol Akses: Hak akses data ditetapkan berdasarkan kebutuhan peran, bukan lokasi karyawan

Regulasi Multinegara: Memiliki lisensi layanan keuangan di lebih dari 70 yurisdiksi global

Penolakan Permintaan Asing: Tidak memenuhi permintaan pemerintah asing atas data sensitif non-lokal

Selain itu, tim kepemimpinan Airwallex tersebar di Amerika Serikat, Eropa, Singapura, dan Australia. Zhang menambahkan bahwa ia sendiri tinggal di London, tanpa tanggung jawab operasional langsung di Tiongkok. Struktur kepemimpinan terdistribusi ini semakin mengurangi pengaruh satu negara terhadap pengambilan keputusan perusahaan.

Redaksi Kebijakan Privasi Picu Gelombang Pertanyaan Baru

Namun, kontroversi belum mereda. Beberapa pengguna menyoroti redaksi kebijakan privasi global Airwallex yang dinilai ambigu. Dokumen tersebut menyatakan bahwa perusahaan dapat memproses data pelanggan di berbagai negara, termasuk Tiongkok. Para kritikus menilai ini bertentangan dengan pernyataan terbuka Zhang dan menuntut klarifikasi lebih lanjut dari perusahaan.

Perbedaan redaksi ini mengungkap tantangan kepatuhan kompleks yang dihadapi perusahaan fintech global. Perusahaan perlu mencakup semua lokasi operasional dalam kebijakan privasi global, namun juga harus memastikan data pelanggan di wilayah tertentu (seperti Amerika Serikat) mendapat perlindungan lebih ketat. Kebijakan privasi global Airwallex mungkin dimaksudkan untuk mencakup berbagai lini bisnis di berbagai negara, tetapi gagal menjelaskan secara spesifik penanganan data pelanggan Amerika Serikat.

Airwallex belum secara resmi mengklarifikasi apakah klausul kebijakan privasi tersebut berlaku untuk pelanggan Amerika Serikat yang tunduk pada perlindungan federal yang lebih ketat. Perusahaan menegaskan data pribadi pelanggan Amerika Serikat (PII) hanya terbatas di wilayah yang disetujui, tetapi inkonsistensi antara pernyataan lisan dan dokumen kebijakan tertulis memberi ruang bagi para kritikus untuk mempertanyakan.

Dari perspektif hukum, redaksi kebijakan privasi global yang ambigu mungkin dimaksudkan untuk menjaga fleksibilitas operasional, namun di lingkungan geopolitik yang sensitif saat ini, ambiguitas semacam itu bisa menjadi beban bagi perusahaan. Banyak perusahaan fintech multinasional kini mulai mengadopsi kebijakan privasi regional yang lebih terperinci untuk membedakan pengelolaan data pelanggan di berbagai wilayah.

Tidak Ada Pelanggaran Regulasi, Namun Kekhawatiran Keamanan Nasional Terus Memanas

Saat ini, belum ada otoritas regulasi yang mengonfirmasi pelanggaran oleh Airwallex. Departemen Keuangan Amerika Serikat, Jaringan Penegakan Kejahatan Keuangan (FinCEN), dan regulator terkait lainnya juga belum mengumumkan penyelidikan resmi. Secara hukum, Airwallex masih berstatus patuh, memegang lisensi operasional yang diperlukan dan menjalani audit reguler.

Meski demikian, insiden ini telah menempatkan Airwallex dalam sorotan isu keamanan nasional, terutama di tengah periode sensitif bagi perusahaan fintech lintas negara. Dengan meningkatnya persaingan teknologi AS-Tiongkok, setiap aliran data lintas negara yang melibatkan Tiongkok berpotensi mengalami pengawasan ekstra. Pengalaman perusahaan seperti TikTok dan Huawei menunjukkan bahwa meski tidak ada bukti nyata penyalahgunaan data, kekhawatiran keamanan nasional itu sendiri dapat memberi dampak signifikan pada operasional perusahaan.

Hingga saat ini, Airwallex tetap pada pendiriannya. Zhang menyatakan bahwa fakta lebih kuat dari kata-kata, dan tuduhan daring pada akhirnya akan mengungkap kebenaran. Perusahaan sedang mempertimbangkan langkah-langkah yang lebih transparan, termasuk kemungkinan mengundang audit independen pihak ketiga terhadap arsitektur perlindungan datanya, serta merilis kebijakan penanganan data regional yang lebih rinci.