PDPA Malezya: Web sitenizin onay, çerezler ve veriler konusunda yapması gerekenler

PDPA ve Malezya'daki web siteniz: kısa cevap

İşletmeniz web sitesi üzerinden bir isim, e-posta adresi veya telefon numarası topluyorsa 2010 tarihli Kişisel Verilerin Korunması Kanunu sizin için geçerlidir ve 2024 değişikliği beklentileri yükseltti. Pratik asgari dört şeydir: Bahasa Malaysia ve İngilizce hazırlanmış, sayfa altına gömülmek yerine verinin toplandığı anda gösterilen bir kişisel veri bildirimi; varsayılan değil kayıt altına alınmış bir onay; verinin formdan çıktıktan sonra nereye gittiğini gösteren yazılı bir kayıt; ve bir aksilikte sorumluluğu üstlenen, adı belli bir kişi. Gerisi ince ayardır.

Değişiklik 2025 boyunca aşamalı olarak yürürlüğe girdi; zorunlu ihlal bildirimi ve veri koruma görevlisi yükümlülükleri 1 Haziran 2025'te başladı. Tonun değişmesi, tek tek maddelerden daha önemli. Kişisel veri, çoğu KOBİ sitesinde idari bir ayrıntıydı. Artık süreleri olan bir yükümlülükler bütünü ve ilki saatle ölçülüyor.

2024 değişikliği gerçekte neyi değiştirdi

Sıradan bir kurumsal web sitesini dört değişiklik ilgilendiriyor. Kanun artık sizi veri kullanıcısı yerine veri sorumlusu, tedarikçilerinizi ise veri işleyen olarak adlandırıyor; bu, işleyenlerin sözleşmenizin arkasına saklanmak yerine Güvenlik İlkesi bakımından doğrudan sorumluluk taşıdığını fark edene kadar biçimsel görünür. Tay and Partners'ın değişikliğe ilişkin analizine göre, kişisel veri koruma ilkelerini ihlal eden bir sorumlu 1 milyon RM'ye kadar para cezası veya üç yıla kadar hapis ile karşılaşabilir.

İkincisi, ihlal bildirimi zorunlu hale geldi: bildirime tabi bir ihlal 72 saat içinde Komisyon'a raporlanmalı, ciddi zarar olasılığı varsa etkilenen kişiler bu rapordan sonraki yedi gün içinde bilgilendirilmelidir; bildirmemenin cezası 250.000 RM'ye kadar çıkabilir. Üçüncüsü, belirli işleme eşiklerinin üzerindeki kuruluşlar bir veri koruma görevlisi atamak zorunda. Dördüncüsü, kişiler veri taşınabilirliği hakkı kazandı ve verinin yurt dışına gönderilmesine ilişkin eski beyaz liste, hedef ülkenin büyük ölçüde benzer koruma sağlayıp sağlamadığı testiyle değiştirildi; Komisyon 2025'te sınır ötesi aktarım kılavuzunu yayımladı.

Onay ve çoğu sitenin yanlış yaptığı bildirim

Malezya, Avrupa'daki gibi geniş bir meşru menfaat dayanağı sunmuyor. Merkezde onay var ve 7. maddedeki Bildirim ve Seçim İlkesi, veri ilk toplandığında verilen, Bahasa Malaysia ve İngilizce yazılı bir bildirim istiyor. Sayfa altından bağlanan yalnızca İngilizce bir politika ne dil ne de zamanlama koşulunu karşılar; Malezyalı KOBİ sitelerini denetlerken en sık gördüğümüz eksik budur.

Bildirimin söylemesi gerekenler somut ve gösterişsizdir: hangi veriyi topladığınız, amacı, kaynağı, kimlere açıklanabileceği, kişinin nasıl erişip düzelteceği, vermenin zorunlu olup olmadığı ve kullanımın nasıl sınırlanacağı. Onay, varsayım değil bilinçli bir eylem olmalı: açık tek bir cümlenin yanında önceden işaretlenmemiş bir kutu ve saklanan zaman damgası, bir incelemede kimsenin açmadığı bir paragraftan daha değerlidir. O adresi sonradan hiç söylemediğiniz bir bültende kullanırsanız bu yeni bir amaçtır ve kanun kişiye doğrudan pazarlamayı durdurma konusunda sürekli bir hak verir.

Reklamlarınızı ve CRM'inizi ilgilendiren PDPA Malezya web sitesi kontrolleri

Malezya'da çerezlere özgü bir kural yok. Chambers'ın Malezya için Data Protection and Privacy 2026 rehberine göre, çevrim içi izleme teknolojileri, onay modelleri veya çerez politikaları için şu anda ayrı bir gereklilik bulunmuyor. Bu, onları yok saymak için izin değildir. Bir Meta pikseli, bir Google Ads dönüşüm etiketi ve bir sohbet aracı; hepsi tanımlayıcıları ve davranışı üçüncü taraflara gönderir ve bu kişisel veri işleme sayıldığında onay ve bildirim ilkeleri geçerli olur. Savunulabilir yaklaşım: analitik ve reklam etiketlerini ancak bir seçimden sonra yükleyen bir banner, ayrı tutulan zorunlu çerezler ve bildirimde tedarikçileri adıyla anan bir çerez bölümü.

Asıl risk CRM'dedir, çünkü veri orada birikir. Bir kez haritasını çıkarın: hangi formlar besliyor, hangi araçlar senkronize ediyor, kim dışa aktarabiliyor ve bu araçlardan hangileri veriyi Malezya dışında tutuyor. Her tedarikçi sözleşmesinin, işleyeni veriyi korumaya ve ihlali hızla bildirmeye zorladığını doğrulayın; çünkü 72 saatiniz haberdar olduğunuz an başlar ve ancak tedarikçi söylerse haberdar olursunuz. Ardından saklama kurallarını belirleyin ve silin. Dört yıldır hareketsiz duran bir talep listesi, sorumluluğun tamamını taşır, değerin hiçbirini taşımaz. Bu bir uygulayıcı kontrol listesidir, hukuki tavsiye değildir.

Bir KOBİ sitesi için pratik asgari

• Veri toplanan noktada iki dilli bildirim. Kişisel veri bildirimini Bahasa Malaysia ve İngilizce yayımlayın ve yalnızca sayfa altı bağlantısı olarak değil her formda gösterin. Veriyi gerçekten kullanacağınız amaçları, pazarlama dahil, o şekilde kullanmadan önce adıyla yazın.
• Kanıtlayabileceğiniz bir onay. Önceden işaretlenmemiş onay kutuları, pazarlama için ayrı onay ve neyin, ne zaman, bildirimin hangi sürümüne karşı kabul edildiğini gösteren saklı bir kayıt.
• Tek sayfalık bir veri haritası. Kişisel verinin girdiği her noktayı, indiği her sistemi, dokunan her tedarikçiyi ve bulunduğu her ülkeyi yazın. Tek sayfa yeter.
• Tedarikçi ve sınır ötesi gözden geçirme. İşleyen sözleşmelerinin güvenliği ve ihlal bildirimini kapsadığını, yurt dışı aktarımların ise Komisyon'un sınır ötesi kılavuzundaki büyük ölçüde benzer koruma testiyle gerekçelendirilebildiğini doğrulayın.
• İhtiyaç duymadan önce prova edilmiş bir ihlal planı. Kim aranır, ciddi zararı kim değerlendirir, bildirimi kim yazar ve 72 saatlik saat kimindir. Yükümlülükler 1 Haziran 2025'te yürürlüğe girdi; prova edilmemiş bir plan artık iş riskidir.
• Takvime bağlı saklama ve silme. Taleplerin, başvuruların ve müşteri kayıtlarının ne kadar yaşayacağına karar verin, sonra silmeyi otomatikleştirin. Artık elinizde olmayan veri ihlal edilemez.

Malezya web siteleri için PDPA uyumu: sık sorulan sorular

• PDPA küçük bir şirketin web sitesi için de geçerli mi? — Evet. Şirket büyüklüğünden bağımsız olarak ticari işlemlerde işlenen kişisel veriye uygulanır; bir iletişim formu ya da bülten kaydı sizi kapsama sokar. Büyüklüğe göre değişen eşikler, kanunun uygulanıp uygulanmadığını değil, veri koruma görevlisi atanmasını düzenler.
• Malezya'da çerez banner'ı gerekli mi? — Çerezlere özgü bir kural yok ve Chambers'ın Malezya için Data Protection and Privacy 2026 rehberi izleme teknolojilerine dair ayrı bir gerekliliğin bulunmadığını belirtiyor. Çerezler kişisel veri işlediğinde onay ve bildirim ilkeleri yine geçerlidir; bu yüzden reklam ve analitik etiketlerini ziyaretçi seçim yapana dek tutan bir banner savunulabilir yaklaşımdır.
• İşletmemin veri koruma görevlisi ataması gerekir mi? — 2025 kılavuzları eşikleri işleme hacmine göre belirliyor: kabaca 20.000'den fazla kişinin kişisel verisi ya da 10.000'den fazla kişinin özel nitelikli verisi, ayrıca düzenli ve sistematik izleme gerektiren faaliyetler. Atama Komisyon'a bildirilir ve bir iletişim noktası yayımlanır.
• Bir veri ihlali yaşarsak ne olur? — Haberdar olduktan sonraki 72 saat içinde Komisyon'a bildirin; ciddi zarar olasılığı varsa etkilenen kişileri bu bildirimden sonraki yedi gün içinde bilgilendirin. Bildirmemek 250.000 RM'ye kadar cezaya yol açabilir; plan bu yüzden olaydan önce hazır olmalıdır.

Okumaya devam edin

• Web siteniz en iyi satış temsilciniz olmalı
• Tek doğru kaynağı: birbirine bağlı olmayan araçlar size sessizce nasıl zarar veriyor
• Ekibi bozmadan tablolardan CRM'e nasıl geçilir

Sitenizi bir düzenleyicinin okuyacağı gibi, ilk formdan son tedarikçiye kadar incelememizi isteyin.