Jawapan ringkas
PDPA meliputi setiap perniagaan Malaysia yang mengumpul data peribadi dalam transaksi komersial — tiada pengecualian untuk perniagaan kecil.
Laman web yang mengumpul data peribadi perlu notis privasi bertulis dalam bahasa Melayu dan Inggeris, dipautkan di setiap borang.
Jawab permintaan akses dan pembetulan dalam 21 hari, padam data yang tidak diperlukan, dan semak sama ada perniagaan anda dalam 13 golongan yang wajib berdaftar.
Adakah PDPA terpakai kepada anda?
Hampir pasti ya. Akta ini meliputi data peribadi yang digunakan dalam transaksi komersial — menjual, menempah, memberi sebut harga, mengupah — oleh mana-mana perniagaan di Malaysia, tanpa mengira saiz.
Apa jua saiz dan struktur
Pemilikan tunggal, perkongsian dan Sdn Bhd semuanya terlibat. Tiada bilangan pelanggan minimum. Hanya Kerajaan Persekutuan dan Negeri berada di luar Akta.
Apa yang dikira data peribadi
Nama, nombor telefon, emel, alamat, nombor IC, gambar, sejarah pesanan dan mesej pertanyaan. Butiran kesihatan, kepercayaan agama dan biometrik seperti cap jari ialah data peribadi sensitif dan memerlukan persetujuan nyata.
Laman web anda titik mulanya
Borang hubungi dan tempahan, langganan surat berita, akaun kedai dalam talian, dan alat penjejakan seperti Google Analytics atau Facebook Pixel semuanya mengumpul atau memproses data peribadi.
Pengawal data, bukan pengguna data
Sejak April 2025, Akta memanggil perniagaan yang menentukan cara data digunakan sebagai pengawal data. Pereka web, hos dan penyedia emel anda ialah pemproses data — dan mereka juga wajib menjaga keselamatan data.
Tujuh prinsip, dalam bahasa mudah
Seluruh Akta berasaskan tujuh prinsip. Melanggar mana-mana satu ialah satu kesalahan — sejak April 2025, denda sehingga RM 1,000,000, penjara sehingga tiga tahun, atau kedua-duanya.
Am
Kumpul hanya apa yang diperlukan untuk tujuan perniagaan yang jelas, dengan persetujuan orang itu.
Notis dan Pilihan
Beritahu secara bertulis apa yang dikumpul dan kenapa — dalam bahasa Melayu dan Inggeris.
Penzahiran
Jangan serahkan data kepada sesiapa yang tidak disebut dalam notis anda, kecuali orang itu bersetuju.
Keselamatan
Ambil langkah praktikal supaya data tidak hilang, dicuri atau dilihat oleh orang yang salah.
Penyimpanan
Simpan hanya selama tujuannya memerlukan, kemudian padamkan.
Integriti Data
Pastikan ia tepat, lengkap dan terkini.
Akses
Benarkan orang melihat data yang anda simpan tentang mereka, dan membetulkannya.
Notis privasi
Kewajipan yang paling kerap terlepas oleh perniagaan kecil. Laman web yang mengumpul data peribadi perlu notis bertulis — dan seksyen 7(3) Akta menyatakan ia mesti dalam bahasa Melayu dan Inggeris.
Apa yang mesti dinyatakan
Data apa yang dikumpul dan kenapa, dari mana ia diperoleh, dengan siapa ia dikongsi — kurier, gerbang pembayaran, akauntan — sama ada memberinya wajib atau pilihan, dan cara orang boleh meminta untuk melihat atau membetulkannya, atau membuat aduan.
Bahasa Melayu dan Inggeris, kedua-duanya
Dasar privasi dalam bahasa Inggeris sahaja tidak memenuhi Akta. Terbitkan kedua-dua versi dan pautkan setiap satu dari bahasa laman yang sepadan.
Di borang, bukan di footer sahaja
Notis mesti diberi semasa anda mula meminta data. Letakkan satu baris ringkas dan pautan betul-betul di bawah butang hantar setiap borang.
Ditulis mengikut apa yang anda buat
Templat yang disalin dari laman luar negara selalunya menyebut perkara yang anda tidak buat dan terlepas perkara yang anda buat, seperti susulan WhatsApp. Notis anda patut sepadan dengan borang, alat dan pembekal sebenar anda.
Persetujuan pada borang dan WhatsApp
Peraturan PDPA meminta persetujuan yang boleh direkodkan. Di laman web, maksudnya tindakan yang jelas oleh orang itu — bukan kotak yang anda tandakan untuk mereka.
Tiada kotak yang sudah ditanda
Jika anda mahu menghantar promosi, tambah kotak semak pemasaran yang berasingan dan tidak bertanda. Pertanyaan itu sendiri patut boleh dihantar tanpanya.
Simpan rekodnya
Borang anda patut menyimpan tarikh, masa dan ayat yang dipersetujui, selama anda menyimpan butiran orang itu.
Bawah 18 tahun perlu ibu bapa
Untuk pusat tuisyen, kelas kanak-kanak atau apa sahaja untuk kanak-kanak, persetujuan mesti datang daripada ibu bapa atau penjaga.
Bila seseorang minta berhenti
Sesiapa boleh meminta secara bertulis supaya anda berhenti memasarkan kepada mereka — termasuk siaran WhatsApp. Berhenti dalam tempoh yang munasabah, dan jangan mula semula tanpa persetujuan baharu.
Menyimpan, memadam dan menjawab permintaan
Dua kewajipan yang bermula selepas data dikumpul.
Tetapkan tempoh pemadaman
Tentukan berapa lama setiap jenis data diperlukan — pertanyaan yang tidak menjadi kerja, tempahan yang sudah selesai, invois yang perlu disimpan untuk cukai — dan padamkan selebihnya. Banyak plugin borang menyimpan setiap entri selama-lamanya kecuali tetapannya diubah.
Permintaan akses dalam 21 hari
Jika pelanggan bertanya secara bertulis data apa yang anda simpan tentang mereka, anda ada 21 hari untuk menjawab. Anda boleh mengenakan fi kecil, dihadkan oleh Peraturan-Peraturan Perlindungan Data Peribadi (Fi) 2013.
Pembetulan
Jika butiran mereka salah atau lapuk, betulkan dan hantar salinan rekod yang telah dibetulkan kepada orang itu.
Kemudahalihan data
Sejak Jun 2025, orang juga boleh meminta anda menghantar data mereka kepada perniagaan lain, jika ia boleh dilaksanakan secara teknikal.
Perlukah anda berdaftar?
Kebanyakan perniagaan kecil tidak perlu. Tetapi tiga belas golongan perniagaan wajib berdaftar dengan Jabatan Perlindungan Data Peribadi sebelum memproses data peribadi — dan beberapa daripadanya biasa di Melaka.
Hotel dan pelancongan
Hotel dan premis penginapan pelancong lain yang berdaftar di bawah Akta Industri Pelancongan 1992, serta agensi pelancongan dan pengendali pelancongan.
Klinik dan farmasi
Klinik perubatan dan pergigian swasta, kemudahan jagaan kesihatan swasta berlesen yang lain, dan farmasi yang berdaftar sebagai syarikat.
Semak senarai penuh
Golongan lain termasuk pendidikan, perkhidmatan profesional seperti firma guaman dan perakaunan, hartanah, dan pemberi pinjaman wang. Ketiga belas golongan disenaraikan di pdp.gov.my.
Kos, dan risiko tidak berdaftar
Daftar dalam talian di daftar.pdp.gov.my. Fi tahunan ialah RM 100 untuk pemilikan tunggal, RM 200 untuk perkongsian dan RM 300 untuk syarikat sendirian. Memproses data tanpa pendaftaran yang diwajibkan boleh membawa denda sehingga RM 500,000, penjara sehingga tiga tahun, atau kedua-duanya.
Jawapan pantas.
01Adakah perniagaan kecil dikecualikan daripada PDPA?
Tidak. Setiap perniagaan yang mengumpul data peribadi dalam transaksi komersial terlibat. Saiz hanya menentukan sama ada anda perlu Pegawai Perlindungan Data — melebihi data 20,000 orang, atau 10,000 untuk data sensitif atau kewangan.
02Adakah dasar privasi sama dengan notis privasi?
Akta meminta notis bertulis. Kebanyakan laman web menerbitkannya sebagai halaman “dasar privasi” atau “notis privasi”. Namanya tidak penting — kandungannya, dan adanya dalam bahasa Melayu dan Inggeris, yang penting.
03Perlukah saya banner kuki?
PDPA tiada peraturan kuki yang berasingan. Tetapi alat penjejakan seperti Google Analytics dan Facebook Pixel boleh memproses data peribadi, jadi namakan alat itu dalam notis privasi anda dan nyatakan kegunaannya.
04Adakah data pelanggan di WhatsApp dikira?
Ya. Nama dan nombor yang disimpan dalam telefon perniagaan, sembang, dan tangkapan skrin bayaran semuanya data peribadi. Kunci telefon, hadkan siapa boleh guna akaun WhatsApp Business, dan padam sembang lama yang tidak diperlukan lagi.
05Bolehkah laman web saya dihoskan di luar negara?
Biasanya boleh. Sejak April 2025, data peribadi boleh dihantar ke negara yang mempunyai undang-undang perlindungan data yang hampir serupa atau tahap perlindungan yang setara. Tanya hos anda di mana data disimpan, dan sebut penyimpanan luar negara dalam notis anda.
06Bolehkah CST menulis notis privasi saya?
CST tidak memberi nasihat undang-undang. CST boleh menyenaraikan dengan tepat apa yang laman web anda kumpul, ke mana data pergi dan plugin serta alat mana yang menyentuhnya — fakta yang notis anda perlukan — dan menyediakan pautan notis, kotak semak persetujuan dan tetapan pemadaman pada borang anda.
07Berapa caj CST?
Menambah pautan notis, kotak semak pemasaran yang tidak bertanda, rekod persetujuan dan pemadaman automatik pada borang anda ialah baikan sekali — RM 150 untuk jam pertama, kemudian RM 75 bagi setiap setengah jam tambahan.
Panduan berkaitan
Panduan 04.2 · Kebocoran data & PDPA
Data pelanggan bocor selepas digodam: apa yang PDPA kini wajibkan
8 min bacaan
Panduan 04 · Laman web digodam
Laman web digodam? Apa perlu dibuat dahulu — panduan Malaysia
9 min bacaan
Panduan 04.1 · Kemas kini & sandaran WordPress
Kemas kini dan sandaran WordPress untuk perniagaan Malaysia
7 min bacaan
“Dia menerangkan dengan bahasa mudah. Tiada jargon, tiada jualan tambahan. Saya sentiasa tahu apa yang saya bayar.”