Pelanggaran Data Peribadi 2025: Kenapa PDPA Wajibkan Anda Lantik DPO

Sejak 1 Jun 2025, sebuah syarikat di Malaysia yang gagal memberitahu Suruhanjaya Perlindungan Data Peribadi dalam masa munasabah selepas berlakunya kebocoran data boleh dikenakan denda sehingga RM250,000. Ramai perniagaan kecil masih menganggap peraturan ini hanya untuk syarikat besar seperti bank atau telko — sedangkan Akta Perlindungan Data Peribadi (Pindaan) 2024 sebenarnya terpakai kepada mana-mana peniaga yang menyimpan sekadar senarai nombor telefon pelanggan dalam WhatsApp Business.

Apa sebenarnya berubah dalam PDPA 2024

Akta Perlindungan Data Peribadi 2010 (Akta 709) telah wujud sejak 2010, tetapi selama lebih sedekad ia tidak mempunyai satu ciri penting: tiada kewajipan untuk memberitahu sesiapa apabila data pelanggan bocor. Syarikat boleh menyimpan senyap sahaja insiden kebocoran tanpa sebarang akibat undang-undang, selagi tiada aduan dibuat secara sukarela. Akta Perlindungan Data Peribadi (Pindaan) 2024 [Akta A1727] menutup jurang itu.

Pindaan ini diluluskan Parlimen pada penghujung 2024 dan mula berkuat kuasa secara berperingkat: peruntukan berkaitan definisi dan kuasa Suruhanjaya bermula 1 Januari 2025, majoriti peruntukan operasi bermula 1 April 2025, manakala dua peruntukan paling penting kepada perniagaan — kewajipan lantik Pegawai Perlindungan Data di bawah seksyen 12A dan kewajipan lapor pelanggaran data di bawah seksyen 12B — hanya berkuat kuasa 1 Jun 2025. Ramai peniaga masih beranggapan mereka ada lagi masa untuk bersedia; sebenarnya tarikh itu sudah lalu lebih setahun.

Perkataan “data user” dalam akta asal turut digantikan dengan “data controller” (pengawal data) di seluruh teks akta, selaras dengan istilah antarabangsa seperti GDPR Kesatuan Eropah. Definisi “data peribadi sensitif” turut diperluas untuk merangkumi data biometrik — jadi syarikat yang menggunakan mesin cap jari untuk kehadiran pekerja kini tertakluk kepada kawalan lebih ketat.

Sebab pindaan ini dibawa bukan tanpa punca. Sepanjang beberapa tahun kebelakangan, beberapa insiden kebocoran data berskala besar melibatkan syarikat telekomunikasi dan multimedia terkemuka telah mendedahkan kelemahan ketara dalam cara perniagaan Malaysia mengurus maklumat pelanggan. Dalam kebanyakan kes itu, orang awam hanya mengetahui data mereka telah bocor menerusi laporan media atau forum dalam talian — bukan daripada notifikasi rasmi syarikat terbabit. Jabatan Perlindungan Data Peribadi (JPDP) menjadikan pendedahan ini sebagai asas utama cadangan pindaan dalam Kertas Perundingan Awam PC01/2020, yang kemudiannya menyaring 22 isu kepada lima keutamaan — termasuk notifikasi pelanggaran dan DPO — yang akhirnya digubal menjadi Akta A1727.

Yang perlu difahami oleh peniaga: PDPA bukan sekadar akta “privasi” abstrak seperti yang sering disalah anggap. Ia terpakai kepada apa jua pemprosesan data peribadi berkaitan transaksi komersial — daripada senarai pelanggan kedai runcit, rekod pesakit klinik swasta, hinggalah pangkalan data ahli gim. Jika perniagaan anda mengumpul nama, nombor telefon, alamat e-mel atau nombor IC pelanggan untuk tujuan jualan, pemasaran, atau perkhidmatan, anda sudah tergolong sebagai pengawal data di bawah akta ini — sama ada anda sedar atau tidak.

Tujuh Prinsip Perlindungan Data yang menjadi asas penguatkuasaan

Denda RM1 juta yang disebut di atas bukan dikenakan sewenang-wenangnya. Ia dikaitkan secara khusus dengan pelanggaran salah satu daripada tujuh Prinsip Perlindungan Data yang termaktub dalam seksyen 5 hingga 12 PDPA — prinsip yang menjadi rangka asas keseluruhan akta ini sejak 2010 dan kekal menjadi ukuran utama pematuhan selepas pindaan 2024:

Dalam praktiknya, kebanyakan kes pelanggaran data yang membawa kepada tindakan Suruhanjaya bermula daripada kegagalan mematuhi Prinsip Keselamatan — contohnya pelayan tanpa kata laluan yang mencukupi, fail Excel senarai pelanggan yang dikongsi secara terbuka, atau kakitangan yang membawa pulang salinan data pelanggan tanpa kawalan. Inilah sebabnya kewajipan lapor pelanggaran (s.12B) dan kewajipan lantik DPO (s.12A) diperkenalkan serentak — DPO wujud khusus untuk memastikan Prinsip Keselamatan benar-benar dilaksanakan, bukan sekadar didokumenkan di atas kertas.

Sebelum vs selepas: jadual perbandingan penuh

Siapa wajib lantik Pegawai Perlindungan Data (DPO)

Seksyen 12A memperkenalkan kewajipan melantik seorang atau lebih Pegawai Perlindungan Data bagi pengawal data (data controller) dan pemproses data (data processor) yang menjalankan pemprosesan berskala besar, pemprosesan data sensitif secara berjadual, atau pemantauan sistematik individu. JPDP tidak menetapkan kelayakan formal yang ketat untuk jawatan ini — DPO boleh dilantik dari kalangan kakitangan sedia ada atau dikontrak secara luar, asalkan orang itu memahami tanggungjawab pematuhan dan boleh dihubungi terus oleh Suruhanjaya.

Selepas dilantik, pengawal data wajib memberitahu Suruhanjaya mengenai perlantikan itu mengikut format yang ditetapkan. Kegagalan berbuat demikian tidak membawa penalti khusus di bawah akta, tetapi ia menjadi bukti kegagalan tadbir urus apabila insiden berlaku kemudian — dan itulah masa denda sebenar dikenakan.

Garis Panduan Perlantikan DPO yang dikeluarkan JPDP turut menggariskan kriteria bilangan kakitangan dan skala pemprosesan sebagai penunjuk sama ada pelantikan menjadi wajib atau digalakkan. Antara ciri perniagaan yang biasanya jatuh dalam kategori wajib:

• Syarikat yang memproses data lebih daripada beberapa ribu individu setahun sebagai sebahagian daripada model perniagaan teras (contohnya platform e-dagang, syarikat insurans, penyedia perkhidmatan kesihatan swasta)
• Mana-mana entiti yang memantau tingkah laku individu secara berjadual — contohnya melalui aplikasi mudah alih, sistem CCTV bersepadu AI, atau program kesetiaan digital
• Pengawal atau pemproses data yang mengendalikan data sensitif (kesihatan, kewangan, biometrik, kepercayaan agama) sebagai sebahagian besar operasi harian

Bagi perniagaan kecil yang tidak jatuh dalam kategori wajib, DPO tetap digalakkan sebagai amalan tadbir urus baik — kerana peranan yang sama akan diperlukan sebaik sahaja berlaku sebarang insiden, aduan pelanggan, atau audit rawak oleh Suruhanjaya.

Tanggungjawab teras seorang DPO

DPO bukan sekadar jawatan simbolik untuk memenuhi keperluan pendaftaran. Tanggungjawab praktikal yang dijangkakan JPDP termasuk memantau pematuhan dasar dalaman, menjadi titik hubungan utama antara syarikat dengan Suruhanjaya dan orang awam berkaitan isu data, menilai risiko sebelum projek baharu yang melibatkan data peribadi dilancarkan, serta mengetuai respons semasa berlaku insiden pelanggaran data. Bagi perniagaan kecil yang tidak mampu mengambil kakitangan khusus, ramai memilih untuk melantik peguam runding sebagai DPO luar (external DPO) — satu susunan yang dibenarkan selagi maklumat hubungan didaftarkan dengan Suruhanjaya.

Garis masa wajib melapor pelanggaran data

• Saat disedari berlaku pelanggaranPengawal data mula mempunyai “sebab untuk percaya” pelanggaran berlaku — bukan menunggu pengesahan penuh siasatan dalaman.
• Secepat mungkin, tidak lewat 72 jamNotifikasi rasmi kepada Suruhanjaya Perlindungan Data Peribadi mengikut format yang ditetapkan, walaupun siasatan dalaman belum selesai sepenuhnya.
• Dalam masa 7 hari (jika berisiko kemudaratan ketara)Notifikasi kepada individu data subjek yang terjejas, termasuk penjelasan risiko dan langkah mitigasi yang diambil.
• Susulan berterusanRekod insiden, langkah pembetulan dan laporan lanjutan disimpan untuk tujuan audit Suruhanjaya.

Kesilapan faham yang paling biasa

Contoh senario: bagaimana ia berlaku dalam realiti

Bayangkan sebuah klinik pergigian swasta di Petaling Jaya menggunakan sistem pengurusan janji temu berasaskan awan. Suatu hari, pembekal perisian itu mengalami pelanggaran keselamatan dan pangkalan data 4,000 pesakit — termasuk nama, nombor telefon dan sejarah rawatan — terdedah kepada capaian tanpa kebenaran selama beberapa jam sebelum ditutup. Klinik itu bukan penyebab langsung insiden, tetapi sebagai pengawal data (data controller) bagi maklumat pesakitnya, klinik tetap bertanggungjawab di bawah PDPA — bukan pembekal perisian selaku pemproses data.

Dalam senario ini, klinik perlu bertindak dalam masa terhad: mengesahkan skop kebocoran bersama pembekal, menilai sama ada maklumat sejarah rawatan (yang tergolong data sensitif) berisiko menyebabkan kemudaratan ketara, kemudian melapor kepada Suruhanjaya dan berkemungkinan kepada pesakit yang terjejas. Klinik yang sudah melantik DPO dan mempunyai perjanjian pemprosesan data (data processing agreement) jelas dengan pembekal perisiannya akan dapat bertindak dalam masa berjam-jam. Klinik yang tiada persediaan pula sering mengambil masa berminggu hanya untuk mengenal pasti punca — jauh melangkaui tempoh 72 jam yang disyorkan.

Langkah bertindak jika berlaku pelanggaran

1. Kawal dan hentikan punca kebocoran. Tutup akses sistem yang terjejas serta-merta — matikan capaian akaun yang disyaki terjejas, tukar kata laluan pentadbir, dan asingkan sistem yang terlibat daripada rangkaian utama jika perlu, sebelum bertindak lanjut.
2. Rekod apa, bila dan bagaimana. Dokumenkan jenis data terjejas (nama sahaja, atau turut termasuk data sensitif), anggaran bilangan individu terlibat, dan punca insiden setakat yang diketahui — walaupun siasatan penuh belum selesai.
3. Nilai tahap risiko kemudaratan. Tentukan sama ada notifikasi kepada individu turut diperlukan berdasarkan jenis data dan potensi kesan — bukan hanya notifikasi kepada Suruhanjaya sahaja.
4. Hantar notifikasi kepada Suruhanjaya. Lakukan ini dalam tempoh 72 jam mengikut format rasmi yang ditetapkan JPDP, walaupun maklumat siasatan belum lengkap sepenuhnya — notifikasi awal boleh dikemas kini kemudian.
5. Beritahu individu terjejas jika perlu. Dalam tempoh 7 hari, sertakan penjelasan jelas tentang apa yang berlaku, risiko yang mungkin dihadapi, dan langkah konkrit yang boleh mereka ambil (contohnya menukar kata laluan atau memantau akaun bank).
6. Perbaiki sistem dan dokumenkan pembelajaran. Kemas kini dasar dalaman, latih semula kakitangan, dan semak semula perjanjian dengan mana-mana pemproses data pihak ketiga supaya insiden serupa tidak berulang.

Penalti dan risiko sebenar jika gagal patuh

Angka denda ini penting, tetapi bukan risiko terbesar sebenarnya. Reputasi sesebuah perniagaan kecil atau sederhana boleh terjejas lebih teruk apabila pelanggan mengetahui data mereka bocor tanpa notifikasi rasmi — berbanding jika syarikat itu bertindak telus dan cepat sejak awal. Dalam era media sosial, tangkapan skrin aduan pelanggan yang tersebar luas sering menyebabkan kerugian jangka panjang yang jauh melebihi denda maksimum yang boleh dikenakan Suruhanjaya.

Satu lagi risiko yang kurang dibincangkan ialah tindakan sivil berasingan. Walaupun PDPA sendiri tidak secara eksplisit memperuntukkan hak tuntutan sivil individu terhadap pengawal data, individu yang terjejas masih boleh mempertimbangkan tindakan di bawah prinsip common law seperti kecuaian atau pecah amanah kerahsiaan, terutamanya jika kerugian kewangan atau emosi yang boleh dibuktikan berlaku akibat kelalaian syarikat menjaga data mereka. Ini bermakna denda daripada Suruhanjaya bukanlah had maksimum liabiliti sebenar sesebuah syarikat.

Soalan lazim

Adakah perniagaan kecil turut tertakluk kepada PDPA?

Ya. PDPA terpakai kepada mana-mana orang atau syarikat yang memproses data peribadi berkaitan transaksi komersial di Malaysia, tanpa mengira saiz perniagaan. Kewajipan lantik DPO bergantung kepada skala dan jenis pemprosesan, bukan saiz syarikat semata-mata.

Berapa lama tempoh untuk melapor pelanggaran data kepada Suruhanjaya?

Akta menyatakan “secepat mungkin yang praktik” selepas pengawal data mempunyai sebab untuk percaya pelanggaran berlaku. Garis Panduan Notifikasi Pelanggaran Data menyebut sasaran 72 jam sebagai amalan baik.

Bolehkah DPO dilantik daripada kakitangan sedia ada?

Boleh. Tiada syarat kelayakan formal yang ketat ditetapkan. Yang penting, DPO perlu memahami tanggungjawabnya dan boleh dihubungi terus oleh Suruhanjaya serta individu data subjek.

Apa dimaksudkan dengan “kemudaratan ketara” dalam konteks notifikasi?

Ia merangkumi risiko fizikal, kecederaan emosi atau psikologi, kerugian kewangan, kerugian reputasi, dan diskriminasi — bukan sekadar kerugian wang semata-mata.

Adakah syarikat perlu memberitahu setiap pelanggan secara individu apabila berlaku pelanggaran kecil?

Tidak semestinya. Notifikasi kepada individu hanya diwajibkan jika pelanggaran itu berisiko menyebabkan kemudaratan ketara. Notifikasi kepada Suruhanjaya pula wajib bagi hampir semua insiden yang disahkan.

Apa berlaku jika syarikat gagal lapor dalam tempoh yang ditetapkan?

Kegagalan mematuhi kewajipan notifikasi di bawah seksyen 12B boleh membawa denda sehingga RM250,000 dan/atau penjara sehingga dua tahun, selain risiko tindakan penguatkuasaan lanjut oleh Suruhanjaya.

Adakah data biometrik seperti cap jari kini dianggap data sensitif?

Ya. Pindaan 2024 memperluas definisi data peribadi sensitif untuk merangkumi data biometrik, jadi syarikat yang menggunakan sistem kehadiran cap jari perlu mematuhi kawalan tambahan.

Bolehkah data pelanggan Malaysia dihantar ke pelayan di luar negara?

Boleh, tetapi selepas pindaan 2024, syarikat perlu memastikan negara penerima mempunyai tahap perlindungan data yang setara dengan PDPA — sistem senarai putih negara yang lama telah dimansuhkan.

Kesimpulan

Ramai perniagaan Malaysia melihat PDPA 2024 sebagai satu lagi beban pematuhan kertas kerja. Sebenarnya ia berfungsi sebaliknya: syarikat yang sudah ada pelan tindak balas pelanggaran data dan DPO yang jelas biasanya boleh mengendalikan insiden dalam masa beberapa jam sahaja — manakala syarikat tanpa persediaan sering mengambil masa berminggu untuk sekadar mengenal pasti skop kebocoran, apatah lagi melaporkannya dalam tempoh 72 jam. Kos sebenar bukan pada denda RM250,000 atau RM1 juta itu, tetapi pada masa yang hilang semasa krisis berlaku tanpa struktur — dan itulah masa pelanggan mula berhenti mempercayai jenama anda.

Sumber rujukan

• Akta Perlindungan Data Peribadi (Pindaan) 2024 [Akta A1727] — Portal Perundangan Persekutuan
• Jabatan Perlindungan Data Peribadi Malaysia — Teks Akta & Garis Panduan Rasmi
• JPDP — Akta 709 & Kertas Perundingan Awam berkaitan

Penafian: Artikel ini disediakan untuk tujuan maklumat am sahaja dan tidak boleh dianggap sebagai nasihat undang-undang khusus untuk mana-mana kes. Peraturan pelaksanaan PDPA boleh dikemas kini oleh Suruhanjaya dari semasa ke semasa. Untuk situasi khusus perniagaan anda, dapatkan rundingan bertulis daripada peguam yang berdaftar dengan Majlis Peguam Malaysia.