Kebanyakan laman web PKS di Malaysia mengumpul data peribadi melalui borang, widget sembang dan piksel pengiklanan, lalu menganggap dasar privasi sebagai hiasan. Sejak pindaan 2024 berkuat kuasa, jurang itu kini disertai tarikh akhir.
PDPA dan laman web anda di Malaysia: jawapan ringkas
Jika perniagaan anda mengumpul nama, alamat e-mel atau nombor telefon melalui laman webnya, Akta Perlindungan Data Peribadi 2010 terpakai kepada anda, dan Akta pindaan 2024 menaikkan tuntutannya. Minimum praktikal ialah empat perkara: notis perlindungan data peribadi dalam Bahasa Malaysia dan Bahasa Inggeris, dipaparkan pada titik pengumpulan dan bukan tersembunyi di kaki laman; kebenaran yang direkodkan dan bukan diandaikan; rekod bertulis tentang ke mana data itu bergerak selepas meninggalkan borang; dan seorang individu bernama yang bertanggungjawab apabila sesuatu tidak kena. Selebihnya hanyalah penambahbaikan.
Pindaan itu berkuat kuasa secara berperingkat sepanjang 2025, dengan kewajipan pemberitahuan pelanggaran data dan pelantikan pegawai perlindungan data bermula 1 Jun 2025. Perubahan nada lebih penting daripada mana-mana fasal tunggal. Data peribadi dahulunya renungan pentadbiran pada kebanyakan laman web PKS. Kini ia satu set kewajipan bertarikh akhir, dan yang pertama diukur dalam jam.
Apa yang sebenarnya diubah oleh pindaan 2024
Empat perubahan menyentuh laman web perniagaan biasa. Undang-undang kini memanggil anda pengawal data dan bukan pengguna data, manakala vendor anda pemproses data, yang kedengaran kosmetik sehingga anda sedar bahawa pemproses kini menanggung liabiliti langsung bagi Prinsip Keselamatan dan tidak lagi berlindung di sebalik kontrak anda. Menurut analisis pindaan itu oleh Tay and Partners, pengawal yang melanggar prinsip perlindungan data peribadi boleh didenda sehingga RM1 juta atau dipenjara sehingga tiga tahun.
Kedua, pemberitahuan pelanggaran data menjadi wajib: pelanggaran yang boleh dilaporkan mesti dilaporkan kepada Pesuruhjaya dalam tempoh 72 jam, dan individu terjejas dimaklumkan dalam tempoh tujuh hari selepas laporan itu apabila bahaya ketara berkemungkinan berlaku, dengan kegagalan memberitahu boleh didenda sehingga RM250,000. Ketiga, organisasi yang melepasi ambang pemprosesan tertentu mesti melantik pegawai perlindungan data. Keempat, individu memperoleh hak mudah alih data, dan senarai putih lama bagi penghantaran data ke luar negara digantikan dengan ujian sama ada destinasi itu memberikan perlindungan yang setara, dengan Pesuruhjaya menerbitkan garis panduan pemindahan rentas sempadan pada 2025.
Kebenaran, dan notis yang kebanyakan laman web salah tafsir
Malaysia tidak menawarkan asas kepentingan sah yang luas seperti di Eropah. Kebenaran berada di tengah, dan Prinsip Notis dan Pilihan dalam Seksyen 7 menuntut notis bertulis dalam Bahasa Malaysia dan Bahasa Inggeris, diberikan ketika data mula dikumpul. Dasar dalam bahasa Inggeris sahaja yang dipaut di kaki laman tidak memenuhi syarat bahasa mahupun syarat masa, dan itulah kegagalan paling lazim yang kami temui semasa mengaudit laman web PKS Malaysia.
Apa yang perlu dinyatakan dalam notis itu adalah khusus dan tidak glamor: data apa yang anda kumpul, tujuannya, sumbernya, kepada siapa ia mungkin didedahkan, bagaimana individu boleh mengakses dan membetulkannya, sama ada pemberiannya wajib, dan cara mengehadkan penggunaannya. Kebenaran patut menjadi tindakan sedar dan bukan andaian: kotak yang tidak ditanda lebih awal di sebelah satu ayat jelas, dengan cap masa yang disimpan, lebih bernilai dalam siasatan berbanding perenggan yang tiada siapa buka. Jika anda kemudian menggunakan alamat itu untuk surat berita yang tidak pernah disebut, itu tujuan baharu, dan Akta memberi individu hak berterusan untuk menghentikan pemasaran langsung.
Semakan PDPA laman web Malaysia yang melibatkan iklan dan CRM anda
Malaysia tiada peraturan khusus kuki. Menurut panduan Chambers Data Protection and Privacy 2026 bagi Malaysia, buat masa ini tiada keperluan khusus bagi teknologi penjejakan dalam talian, model kebenaran atau dasar kuki. Itu bukan kebenaran untuk mengabaikannya. Piksel Meta, tag penukaran Google Ads dan widget sembang semuanya menghantar pengecam dan tingkah laku kepada pihak ketiga, dan apabila itu merupakan pemprosesan data peribadi, prinsip kebenaran dan notis terpakai. Kedudukan yang boleh dipertahankan ialah sepanduk yang hanya memuatkan tag analitik dan pengiklanan selepas pilihan dibuat, kuki penting diasingkan, dan bahagian kuki dalam notis yang menamakan vendor.
CRM ialah pendedahan yang lebih besar kerana di situlah data terkumpul. Petakan ia sekali: borang mana yang menyalurkannya, alat mana yang menyegerak daripadanya, siapa boleh mengeksport, dan alat mana yang menyimpan data di luar Malaysia. Pastikan setiap perjanjian vendor mewajibkan pemproses melindungi data dan melaporkan pelanggaran dengan cepat, kerana 72 jam anda bermula apabila anda menyedarinya, dan anda hanya sedar jika vendor memberitahu. Kemudian tetapkan peraturan penyimpanan dan padamkan. Senarai pertanyaan yang tidak aktif sejak empat tahun membawa semua liabiliti tanpa sebarang nilai. Ini senarai semak pengamal, bukan nasihat undang-undang.
Minimum praktikal untuk laman web PKS
- Notis dwibahasa pada titik pengumpulan. Terbitkan notis perlindungan data peribadi dalam Bahasa Malaysia dan Bahasa Inggeris, dan paparkannya pada setiap borang, bukan sekadar pautan di kaki laman. Namakan tujuan sebenar penggunaan data itu, termasuk pemasaran, sebelum anda menggunakannya sedemikian.
- Kebenaran yang boleh anda buktikan. Kotak opt-in yang tidak ditanda lebih awal, kebenaran berasingan untuk pemasaran, dan rekod tersimpan tentang apa yang dipersetujui, bila, dan terhadap versi notis yang mana.
- Peta data satu halaman. Senaraikan setiap tempat data peribadi masuk, setiap sistem yang menerimanya, setiap vendor yang menyentuhnya dan setiap negara tempat ia berada. Satu halaman sudah memadai.
- Semakan vendor dan rentas sempadan. Pastikan perjanjian pemproses merangkumi keselamatan dan pemberitahuan pelanggaran, dan bahawa pemindahan ke luar negara dapat dijustifikasikan di bawah ujian perlindungan setara seperti dinyatakan dalam garis panduan rentas sempadan Pesuruhjaya.
- Pelan pelanggaran yang dilatih sebelum anda memerlukannya. Siapa dihubungi, siapa menilai bahaya ketara, siapa merangka pemberitahuan, dan siapa memegang jam 72 jam itu. Kewajipan ini berkuat kuasa 1 Jun 2025, jadi pelan yang tidak diuji ialah risiko perniagaan.
- Penyimpanan dan pemadaman mengikut jadual. Tentukan berapa lama pertanyaan, permohonan dan rekod pelanggan disimpan, kemudian automasikan pemadamannya. Data yang tidak lagi anda simpan tidak boleh dibocorkan.
Pematuhan PDPA untuk laman web Malaysia: soalan lazim
- Adakah PDPA terpakai kepada laman web syarikat kecil? — Ya. Ia terpakai kepada data peribadi yang diproses dalam transaksi komersial tanpa mengira saiz syarikat, jadi borang hubungan atau pendaftaran surat berita sudah meletakkan anda di bawahnya. Ambang yang berbeza mengikut saiz mengawal pelantikan pegawai perlindungan data, bukan sama ada undang-undang itu terpakai.
- Adakah saya perlukan sepanduk kuki di Malaysia? — Tiada peraturan khusus kuki, dan panduan Chambers Data Protection and Privacy 2026 bagi Malaysia mencatat ketiadaan keperluan khusus untuk teknologi penjejakan. Apabila kuki memproses data peribadi, prinsip kebenaran dan notis tetap terpakai, jadi sepanduk yang menahan tag pengiklanan dan analitik sehingga pelawat memilih ialah kedudukan yang boleh dipertahankan.
- Adakah perniagaan saya perlu melantik pegawai perlindungan data? — Garis panduan 2025 menetapkan ambang berdasarkan jumlah pemprosesan, secara umum data peribadi lebih 20,000 individu atau data peribadi sensitif lebih 10,000, serta aktiviti yang memerlukan pemantauan tetap dan sistematik. Pelantikan dimaklumkan kepada Pesuruhjaya dan satu titik hubungan diterbitkan.
- Apa berlaku jika kami mengalami pelanggaran data? — Maklumkan kepada Pesuruhjaya dalam tempoh 72 jam selepas menyedarinya, dan beritahu individu terjejas dalam tempoh tujuh hari selepas pemberitahuan itu apabila bahaya ketara berkemungkinan berlaku. Kegagalan memberitahu boleh didenda sehingga RM250,000, sebab itulah pelan mesti wujud sebelum insiden.
Teruskan membaca
Bina sesuatu yang
dipercayai.
Beritahu kami apa yang melambatkan perniagaan anda. Kami tunjukkan sistem yang membaikinya — dan secepat mana.