Jawapan ringkas
Hanya kebocoran yang mungkin menyebabkan kemudaratan ketara, atau menjejaskan lebih 1,000 orang, wajib dilaporkan kepada Pesuruhjaya Perlindungan Data Peribadi.
Maklumkan dalam masa 72 jam selepas mengetahuinya, melalui pdp.gov.my atau dbnpdp@pdp.gov.my, kemudian beritahu pelanggan yang terjejas dalam masa 7 hari.
Simpan rekod setiap kebocoran selama dua tahun — dan padam entri borang lama supaya kurang yang boleh bocor.
Adakah data pelanggan benar-benar terdedah?
Tidak semua godaman ialah kebocoran data. Mula dengan mengetahui data peribadi apa yang disimpan laman web, dan sama ada penggodam dapat mencapainya.
Apa itu data peribadi
Apa-apa yang mengenal pasti seseorang: nama, nombor telefon, alamat emel dan rumah, nombor IC, sejarah pesanan, mesej borang pertanyaan. Butiran kesihatan, seperti yang dikumpul klinik, ialah data peribadi sensitif dan dilayan lebih ketat.
Di mana laman web menyimpannya
Pesanan dan akaun pelanggan WooCommerce, entri borang hubungan dan tempahan dalam pangkalan data, senarai surat berita, dan fail sandaran atau pangkalan data lama yang tertinggal dalam folder awam.
Tanda data telah diambil
Fail eksport pangkalan data yang anda tidak buat, akaun admin asing yang boleh membuka pesanan atau entri borang, atau pelanggan menerima panggilan dan mesej WhatsApp penipuan yang menyebut pesanan sebenar mereka.
Minta log daripada hos anda
Log akses menunjukkan fail dan halaman yang dibuka penggodam, dan bila. Minta secara bertulis sebelum log itu dipadam secara automatik.
Perlukah ia dilaporkan?
PDPA tidak mewajibkan setiap kebocoran dilaporkan — hanya yang mungkin menyebabkan kemudaratan ketara. Garis panduan Pesuruhjaya menerangkan bila keadaan itu berlaku.
Wang atau rekod kredit berisiko
Data yang bocor boleh menyebabkan kerugian kewangan, menjejaskan rekod kredit seseorang, atau kecederaan fizikal atau kehilangan harta.
Salah guna dan penipuan identiti
Data itu boleh digunakan untuk tujuan haram — atau digabungkan, seperti nama, nombor IC dan alamat bersama, untuk membuka akaun atas nama orang lain.
Data peribadi sensitif
Rekod kesihatan, kepercayaan agama, biometrik seperti cap jari untuk kehadiran pekerja, dan kategori serupa. Klinik atau pusat kesihatan yang butiran pesakitnya bocor hampir pasti dalam kumpulan ini.
Lebih daripada 1,000 orang
Kebocoran yang menjejaskan lebih 1,000 orang dikira berskala ketara dan mesti dilaporkan kepada Pesuruhjaya walaupun risiko setiap orang nampak kecil.
Jika tiada data peribadi dicapai
Halaman yang dicemari pada laman tanpa borang dan tanpa akaun pelanggan biasanya tiada apa untuk dilaporkan. Catat sebab keputusan itu — Pesuruhjaya mungkin bertanya.
Tempoh 72 jam
Jika kebocoran itu wajib dilaporkan, Pesuruhjaya mesti dimaklumkan dalam masa 72 jam. Kira dari saat anda mula tahu ada yang tidak kena, bukan dari bila siasatan selesai.
Hantar apa yang anda tahu
Notifikasi pertama tidak perlu ada semua jawapan. Laporkan apa yang berlaku, data apa yang terlibat, anggaran bilangan orang dan apa yang telah dibuat setakat ini. Selebihnya boleh menyusul, sehingga 30 hari selepas notifikasi pertama.
Ke mana hendak dihantar
Guna borang notifikasi di pdp.gov.my, atau emel borang yang lengkap ke dbnpdp@pdp.gov.my. Simpan notis pengesahan yang diterima — notifikasi hanya dikira selepas ia disahkan.
Jika anda lewat
Hantar juga, bersama penjelasan bertulis tentang kelewatan dan buktinya. Tidak memaklumkan langsung boleh dikenakan denda sehingga RM 250,000, penjara sehingga dua tahun, atau kedua-duanya.
Tanggungjawab anda, bukan pereka web
Perniagaan yang mengumpul data — pengawal data — yang wajib memaklumkan. Pereka web dan hos anda patut membantu dengan fakta, tetapi mereka tidak boleh melaporkannya bagi pihak anda.
Memberitahu pelanggan anda
Jika kebocoran mungkin menyebabkan kemudaratan ketara, setiap pelanggan yang terjejas mesti diberitahu secara terus — tidak lewat daripada 7 hari selepas anda memaklumkan Pesuruhjaya.
Secara terus, dan berasingan
Melalui emel, SMS atau WhatsApp kepada setiap orang — bukan dalam surat berita atau promosi. Jika tidak dapat dihubungi seorang demi seorang, notis awam yang jelas di laman web dan media sosial dibenarkan.
Apa yang perlu dikatakan
Apa yang berlaku dan bila, butiran mereka yang terlibat, apa yang telah anda buat, dan apa yang perlu mereka buat sekarang. Sertakan nama dan nombor untuk dihubungi.
Beri langkah praktikal
Ingatkan mereka tentang panggilan atau mesej yang menyebut pesanan atau tempahan mereka. Tegaskan anda tidak akan meminta log masuk bank, TAC atau nombor kad, dan laporkan penipuan kepada Pusat Respons Scam Kebangsaan di talian 997.
Dalam bahasa pelanggan
Kebanyakan perniagaan Melaka melayan pelanggan dalam bahasa Melayu, Inggeris dan Cina. Hantar notis dalam bahasa yang biasa digunakan setiap pelanggan dengan anda.
Rekod, DPO dan pereka web anda
Tiga lagi kewajipan daripada pindaan 2024 yang sering terlepas pandang oleh perniagaan kecil.
Simpan rekod kebocoran
Rekod setiap kebocoran — termasuk yang anda putuskan tidak dilaporkan — dengan apa yang berlaku, keputusan dan sebabnya. Simpan rekod ini sekurang-kurangnya dua tahun.
Perlukah Pegawai Perlindungan Data?
Hanya melebihi ambang: data peribadi lebih 20,000 orang, data sensitif atau kewangan lebih 10,000 orang, atau pemantauan individu yang tetap dan sistematik. Kedai online dengan pesanan bertahun-tahun boleh melepasi 20,000 tanpa disedari. DPO mesti didaftarkan dengan Pesuruhjaya dalam masa 21 hari selepas dilantik.
Pereka web dan hos juga ada kewajipan
Sejak 2025, pemproses data — pihak yang mengehos atau mengurus laman anda — mesti menjaga keselamatan data peribadi sendiri. Tanya mereka secara bertulis keselamatan apa yang dijalankan dan berapa cepat mereka akan memaklumkan anda tentang kebocoran.
Kumpul kurang, supaya kurang yang bocor
Kebocoran yang paling murah ialah yang tiada isi. Kebanyakan laman web perniagaan kecil menyimpan jauh lebih banyak data peribadi daripada yang diperlukan.
Padam entri borang lama
Banyak plugin borang menyimpan setiap pertanyaan dalam pangkalan data selama-lamanya. Selepas pertanyaan sampai ke emel atau WhatsApp anda, salinan di laman web hanya satu risiko. Tetapkan entri dipadam secara automatik.
Jangan minta nombor IC dalam borang
Melainkan undang-undang atau perkhidmatan anda benar-benar memerlukannya. Jika anda mengumpul salinan IC atau pasport, jauhkannya daripada folder muat naik laman web.
Tiada sandaran dalam folder awam
Fail zip sandaran atau .sql yang tertinggal dalam folder laman boleh dimuat turun sesiapa yang meneka namanya. Simpan sandaran di luar akaun hosting.
Kurang admin, sentiasa dikemas kini
Satu akaun admin bagi setiap orang, log masuk dua faktor, dan kemas kini mingguan. Kebanyakan kebocoran di laman perniagaan kecil Malaysia bermula dengan plugin yang lapuk.
Jawapan pantas.
01Adakah PDPA terpakai kepada perniagaan kecil?
Ya. Tiada had saiz — perniagaan dari rumah dengan borang tempahan mempunyai kewajipan yang sama untuk menjaga data dan melaporkan kebocoran yang layak. Hanya keperluan Pegawai Perlindungan Data bergantung pada saiz.
02Hanya beberapa pelanggan terjejas. Perlukah dilaporkan?
Jika data itu boleh menyebabkan kemudaratan ketara — nombor IC, butiran kesihatan, atau butiran yang membolehkan penipuan — ya, walaupun untuk beberapa orang. Peraturan 1,000 orang ialah pencetus berasingan, bukan jumlah minimum.
03Adakah nombor kad pelanggan dicuri?
Biasanya tidak, jika anda menerima bayaran melalui gerbang pembayaran Malaysia seperti iPay88, eGHL atau senangPay — kad dimasukkan di halaman gerbang, bukan disimpan di laman anda. Minta gerbang mengesahkannya, dan semak tiada plugin yang menyimpan butiran kad.
04Siapa yang melapor — saya, pereka web atau hos?
Anda. Perniagaan yang mengumpul data ialah pengawal data dan wajib memaklumkan Pesuruhjaya dan pelanggan. Pereka web dan hos patut memberi fakta dan log dengan cepat.
05Perlukah saya peguam?
Untuk kebocoran yang serius — data sensitif, ramai pelanggan, atau wang dicuri — nasihat undang-undang tentang notifikasi berbaloi. CST mengendalikan bahagian teknikal: apa yang terdedah, bagaimana dan bila, dan menutup lubang itu. CST tidak memberi nasihat undang-undang.
06Di mana lagi perlu dilaporkan?
Cyber999 oleh CyberSecurity Malaysia menerima laporan sistem yang digodam. Jika wang dicuri, hubungi Pusat Respons Scam Kebangsaan di talian 997 dan buat laporan polis — bank anda akan memintanya.
07Berapa caj CST?
Pemulihan kelajuan & keselamatan RM 1,200 harga tetap: malware dibuang, lubang ditutup dan laman dikunci. Ringkasan bertulis tentang apa yang terdedah dan bila, untuk notifikasi anda, ialah baikan sekali — RM 150 untuk jam pertama, kemudian RM 75 bagi setiap setengah jam tambahan.
Panduan berkaitan
“Dia menerangkan dengan bahasa mudah. Tiada jargon, tiada jualan tambahan. Saya sentiasa tahu apa yang saya bayar.”