Dikemas kini 14 Oktober 2026 · Berdasarkan Akta Pindaan 2024 dan garis panduan Pesuruhjaya bertarikh 25 Februari 2025

Pindaan PDPA: apa yang berubah untuk perniagaan di Malaysia

Bila setiap perubahan berkuat kuasa

• 1 Januari 2025 — peruntukan kecil dan pentadbiran.
• 1 April 2025 — "pengguna data" menjadi "pengawal data"; data biometrik menjadi data peribadi sensitif; pemproses data terikat secara langsung dengan prinsip keselamatan; senarai putih rentas sempadan dimansuhkan; penalti dinaikkan.
• 1 Jun 2025 — pegawai perlindungan data, pemberitahuan pelanggaran dan kemudahalihan data.

1. Pegawai perlindungan data (DPO)

Pengawal data dan pemproses data mesti melantik DPO. Menurut garis panduan Pesuruhjaya, keperluan ini terpakai jika anda memproses data peribadi lebih daripada 20,000 orang, data peribadi sensitif lebih daripada 10,000 orang, atau menjalankan pemantauan secara tetap dan sistematik. Pelantikan didaftarkan dengan Pesuruhjaya dalam tempoh 21 hari.

2. Pemberitahuan pelanggaran dalam 72 jam

Jika berlaku pelanggaran data peribadi, pengawal data mesti memaklumkan Pesuruhjaya Perlindungan Data Peribadi secepat yang praktikal dan dalam tempoh 72 jam. Jika pelanggaran itu mungkin menyebabkan kemudaratan ketara — kerugian kewangan, penipuan identiti, pendedahan data sensitif dan seumpamanya — individu yang terjejas juga mesti dimaklumkan tanpa berlengah, dan dalam tempoh 7 hari selepas memaklumkan Pesuruhjaya. Pemproses melaporkan pelanggaran kepada pengawal mereka.

3. Pemproses kini bertanggungjawab secara langsung atas keselamatan

Sejak April 2025, prinsip keselamatan terpakai kepada pemproses data serta pengawal. Jika anda menyediakan perisian, pengehosan, penggajian atau pusat panggilan untuk syarikat lain, anda boleh dikenakan penalti secara langsung — "pelanggan yang tersilap konfigurasi" bukan lagi pembelaan. Pengawal patut mempunyai perjanjian bertulis dengan setiap pemproses.

4. Kemudahalihan data

Individu boleh meminta data peribadi mereka dihantar kepada pengawal data lain, jika ia boleh dilaksanakan secara teknikal dan format data serasi. Ketahui di mana data setiap individu disimpan dan bagaimana anda akan mengeksportnya.

5. Pemindahan rentas sempadan

Senarai putih negara yang diluluskan telah dimansuhkan. Anda boleh memindahkan data peribadi ke luar negara jika syarat dalam seksyen 129 dipenuhi — contohnya jika negara destinasi mempunyai undang-undang yang hampir serupa dengan PDPA atau memastikan tahap perlindungan yang mencukupi — atau di bawah alasan lain yang disenaraikan dalam Akta.

6. Penalti lebih tinggi dan data biometrik

Pelanggaran prinsip perlindungan data peribadi kini boleh dikenakan denda sehingga RM1 juta, penjara sehingga tiga tahun, atau kedua-duanya. Data biometrik — cap jari, imbasan muka — ialah data peribadi sensitif dan memerlukan persetujuan nyata.

Senarai tindakan satu halaman

1. Tentukan sama ada anda memerlukan DPO; jika ya, lantik dan daftarkan dalam tempoh 21 hari.
2. Tulis prosedur pelanggaran: siapa memutuskan, siapa memaklumkan Pesuruhjaya dalam 72 jam, siapa memaklumkan individu terjejas.
3. Senaraikan pemproses anda dan wujudkan perjanjian pemprosesan data dengan setiap satu.
4. Petakan di mana data peribadi disimpan, termasuk alat yang dihoskan di luar negara.
5. Kemas kini notis privasi (BM dan Inggeris) untuk kemudahalihan dan pemindahan.
6. Semak persetujuan bagi data biometrik dan data sensitif lain.
7. Semak laman web dan sistem anda untuk asas teknikal — HTTPS, pengepala keselamatan, kawalan akses, log.

Mulakan dengan laman web anda

AuditCore menyemak laman web dan pangkalan kod di Malaysia terhadap PDPA dan profil peraturan lain. Semakan laman web percuma mengambil masa 10 saat dan tidak memerlukan akaun. Jalankan semakan percuma, atau lihat senarai semak PDPA 10 perkara.

Maklumat umum, bukan nasihat cukai atau undang-undang.