Data & Privasi: Malaysia (2026)
Malaysia mempunyai rejim perlindungan data yang komprehensif berunsur GDPR: Akta Perlindungan Data Peribadi 2010 mengawal pemprosesan data peribadi dalam urus niaga komersial dan dipantau oleh Suruhanjaya Perlindungan Data Peribadi. Akta Perlindungan Data Peribadi (Pindaan) 2024 telah memodenkan undang-undang secara ketara, dengan peruntukan bermula dalam tiga fasa pada 1 Januari, 1 April dan 1 Jun 2025, menambah notifikasi pelanggaran wajib, pelantikan DPO, kebolehmindahan data, data biometrik sebagai data sensitif, dan hukuman lebih tinggi.
Kerangka utama
Akta Perlindungan Data Peribadi 2010 (Akta 709), seperti yang dipinda oleh Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727); dikuatkuasakan oleh Pesuruhjaya Perlindungan Data Peribadi (Jabatan Perlindungan Data Peribadi, JPDP) di bawah Kementerian Digital.
Perkara utama
Akta menyeluruh
PDPA 2010 mengawal selia pemprosesan data peribadi dalam transaksi komersial melalui tujuh Prinsip Perlindungan Data Peribadi (Am, Notis & Pilihan, Pendedahan, Keselamatan, Penahanan, Integriti Data, Akses). Perlu diingat bahawa secara sejarahnya ia tidak terpakai kepada kerajaan persekutuan/kerajaan negeri dan, bagi data peribadi yang diproses sepenuhnya di luar Malaysia, ia hanya terpakai apabila diproses selanjutnya di Malaysia.
Pihak berkuasa pengawasan
Pesuruhjaya Perlindungan Data Peribadi mengetuai Jabatan Perlindungan Data Peribadi (JPDP) di bawah Kementerian Digital, mengeluarkan garis panduan, surat pekeliling dan menguatkuasakan pematuhan.
Akta Pindaan 2024 (permulaan berperingkat pada 2025)
Akta A1727 menggantikan 'pengguna data' dengan 'pengawal data', melanjutkan Prinsip Keselamatan secara langsung kepada pemproses data, mengecualikan individu yang telah meninggal dunia daripada 'data peribadi', dan menambah definisi 'pencerobohan data peribadi'. Peruntukan berkuat kuasa pada 1 Jan, 1 Apr dan 1 Jun 2025.
Notifikasi pelanggaran wajib
Berkuat kuasa 1 Jun 2025, pengawal mesti memaklumkan kepada Pesuruhjaya secepat mungkin dan dalam tempoh 72 jam selepas berlaku pelanggaran, serta memaklumkan subjek data yang terjejas dalam tempoh 7 hari selepas memaklumkan kepada Pesuruhjaya apabila pelanggaran itu menyebabkan atau berkemungkinan menyebabkan kemudaratan ketara (mengikut Pekeliling Pesuruhjaya No. 1/2025 dan Garis Panduan DBN).
Pegawai Perlindungan Data & kebolehmindahan data
Mulai 1 Jun 2025, seorang DPO mesti dilantik apabila pemprosesan melebihi 20,000 subjek data (atau 10,000 bagi data sensitif/kewangan) atau melibatkan pemantauan sistematik secara berkala; pelantikan tersebut mesti dimaklumkan kepada Pesuruhjaya dalam tempoh 21 hari. Hak kebolehmindahan data baharu membolehkan individu meminta penghantaran data mereka kepada pengawal lain, tertakluk kepada kebolehlaksanaan teknikal.
Data sensitif, pemindahan merentas sempadan & penalti
Data biometrik kini diklasifikasikan sebagai data peribadi sensitif. Garis Panduan Pemindahan Data Peribadi Lintas Sempadan (dikeluarkan 29 April 2025) menetapkan asas undang-undang untuk pemindahan di luar Malaysia. Denda maksimum bagi pelanggaran prinsip perlindungan data meningkat daripada RM300,000 kepada RM1,000,000, dan hukuman penjara maksimum daripada 2 kepada 3 tahun.
Halaman ini adalah terjemahan untuk kemudahan; versi Bahasa Inggeris adalah yang sah dan bukan nasihat undang-undang.