Adakah laman web saya mematuhi PDPA? Senarai semak 10 perkara
Jika laman web anda mengumpul nama, nombor telefon, alamat e-mel atau nombor KP rakyat Malaysia, Akta Perlindungan Data Peribadi 2010 (PDPA) terpakai. Sejak pindaan 2024, pelanggaran prinsip Akta boleh dikenakan denda sehingga RM1 juta dan/atau penjara sehingga tiga tahun.
Kebanyakan jurang laman web mudah dibaiki sebaik sahaja anda nampak. Berikut sepuluh perkara untuk disemak. Ini maklumat umum, bukan nasihat undang-undang.
1. Notis privasi dalam bahasa Melayu dan Inggeris
PDPA mewajibkan notis bertulis yang menyatakan apa yang anda kumpul, mengapa, dengan siapa dikongsi dan cara menghubungi anda — dan ia mesti dalam bahasa kebangsaan dan bahasa Inggeris (seksyen 7). Pautan pengaki ke halaman bahasa Inggeris sahaja tidak mencukupi.
2. Persetujuan sebelum mengumpul
Data peribadi secara amnya hanya boleh diproses dengan persetujuan individu (seksyen 6). Borang patut menerangkan apa yang berlaku kepada butiran sebelum dihantar — dan kotak persetujuan tidak patut ditanda terlebih dahulu.
3. Penjejak dan analitik
Malaysia tiada peraturan khusus tentang kuki, tetapi analitik, piksel pengiklanan dan widget sembang boleh mengumpul data peribadi. Muatkan hanya yang perlu, nyatakan dalam notis anda, dan utamakan alat yang tidak mengumpul data peribadi langsung. Semak apa yang dimuatkan oleh halaman anda sebelum pelawat bersetuju apa-apa.
4. Data sensitif memerlukan persetujuan nyata
Maklumat kesihatan, data biometrik (sensitif sejak April 2025), kepercayaan agama dan kategori serupa memerlukan persetujuan nyata (seksyen 40). Klinik, platform HR dan penanggung insurans patut menyemak setiap borang yang memintanya.
5. Cara yang berfungsi untuk permintaan akses dan pembetulan
Individu boleh meminta salinan data mereka dan pembetulan. Anda mesti membalas dalam tempoh 21 hari (seksyen 30–31). Paparkan alamat hubungan yang benar-benar berfungsi — dan ujinya.
6. Jangan simpan data selama-lamanya
Data peribadi tidak boleh disimpan lebih lama daripada keperluan tujuannya (seksyen 10). Borang pertanyaan lama, troli yang ditinggalkan dan permohonan kerja ialah contoh biasa. Tetapkan tempoh simpanan dan padam mengikut jadual.
7. Tahu ke mana data anda pergi
Pembina laman web, alat pemasaran e-mel, CRM dan widget sembang kerap menyimpan data di luar negara. Sejak 2025, senarai putih lama telah dimansuhkan: pemindahan ke luar negara dibenarkan jika syarat dalam seksyen 129 dipenuhi, seperti negara destinasi mempunyai perlindungan yang serupa. Senaraikan alat anda dan di mana setiap satu menyimpan data.
8. Keselamatan asas
Prinsip keselamatan (seksyen 9) mewajibkan langkah praktikal untuk melindungi data peribadi — dan sejak April 2025 ia turut mengikat pemproses data anda. Bagi laman web, ini bermaksud HTTPS di semua halaman, pengepala keselamatan, perisian terkini, halaman pentadbir yang dilindungi dan pengesahan e-mel (SPF, DKIM, DMARC).
9. Borang yang meminta nombor KP
Minta nombor KP hanya jika benar-benar perlu, jangan hantar melalui e-mel biasa, dan hadkan siapa yang boleh melihatnya. Nombor KP dalam hamparan tanpa perlindungan ialah antara dapatan paling lazim dan paling merosakkan.
10. Bersedia untuk pelanggaran data
Sejak Jun 2025, pengawal data mesti memaklumkan Pesuruhjaya tentang pelanggaran data peribadi dalam tempoh 72 jam, dan individu yang terjejas tanpa berlengah (dan dalam tempoh 7 hari selepas memaklumkan Pesuruhjaya) jika kemudaratan ketara mungkin berlaku (seksyen 12B dan garis panduan Pesuruhjaya). Tetapkan siapa yang memutuskan, siapa yang memaklumkan dan bagaimana anda akan mengetahuinya.
Semak laman web anda dalam 10 saat
Semakan laman web percuma AuditCore mengimbas laman awam anda untuk perkara teknikal di atas — HTTPS, pengepala keselamatan, notis privasi, keselamatan e-mel dan lain-lain — dan memberikan gred serta dapatan utama. Tanpa akaun dan tanpa kad. Jalankan semakan percuma.
Soalan lazim
Adakah PDPA terpakai pada laman web saya?
Ya, jika perniagaan anda mengumpul data peribadi daripada individu di Malaysia dalam transaksi komersial — contohnya melalui borang hubungan, pendaftaran, pesanan dalam talian atau sembang. Kerajaan persekutuan dan negeri berada di luar Akta.
Adakah notis privasi saya mesti dalam bahasa Melayu?
Ya. Seksyen 7 PDPA mewajibkan notis dalam bahasa kebangsaan dan bahasa Inggeris.
Apakah penalti melanggar PDPA?
Sejak 1 April 2025, pelanggaran prinsip perlindungan data peribadi boleh dikenakan denda sehingga RM1 juta, penjara sehingga tiga tahun, atau kedua-duanya.
Berapa cepat saya perlu melaporkan pelanggaran data?
Maklumkan Pesuruhjaya Perlindungan Data Peribadi dalam tempoh 72 jam, dan individu yang terjejas tanpa berlengah — dalam tempoh 7 hari selepas memaklumkan Pesuruhjaya — jika pelanggaran itu mungkin menyebabkan kemudaratan ketara.
Lihat gred PDPA laman web anda dalam 10 saat.
Semakan percuma