马来西亚中小企业的 PDPA 合规指南:个人数据保护法要求什么

如果您的企业会收集客户的姓名、电话号码、电子邮箱或付款信息——也就是说,几乎所有马来西亚中小企业——那么《个人数据保护法》(PDPA)无论您是否想过这件事,早已适用于您。该法令的一项重大修订在2025年分阶段生效,收紧了若干项义务,同时也引入了一些新义务(其中包括,对部分企业而言,强制设立数据保护官)。本指南将说明 PDPA 实际适用于谁、典型中小企业需要履行的核心义务,以及无需专门法律团队也能做到合规的实际步骤。

1. 判断 PDPA 是否、以及如何适用于您

PDPA 适用于任何在马来西亚从事商业交易过程中处理个人数据的个人或企业。实际上,这个范围极其广泛:客户数据库、邮寄名单、在营业场所拍摄到人脸的闭路电视录像、在线订单表格,甚至一份简单的客户联系人电子表格,都算作处理个人数据。

以下情况几乎可以肯定适用于您:

• 为销售、预订或提供服务而收集客户姓名、联系方式或付款信息。
• 运营任何形式的会员忠诚计划、邮寄名单或客户账户系统。
• 使用闭路电视、门禁系统,或任何记录可识别个人身份信息的系统。
• 雇用员工,因为员工记录同样属于个人数据,与客户数据完全是另一回事。

一项更窄、但对部分企业更为重大的义务

2024年的修订为处理大量个人数据、或处理敏感类别数据的企业引入了强制性数据保护官(DPO)要求——具体的门槛和标准载于专员(Commissioner)自己发布的指南中,不同信息来源对此报道不一,因此请直接核实个人数据保护局(JPDP)当前发布的指南,确认您的企业是否越过了那条线,而不要凭二手摘要就假设结论。

2. 了解适用于大多数中小企业的核心义务

即便远未达到 DPO 门槛的企业,仍然需要遵守贯穿本指南其余部分的 PDPA 核心原则:

告知与同意

在收集个人数据之时或之前,告知相关人士您收集了什么、为何收集,以及可能会披露给谁——通常通过网站上的隐私声明,或在收集数据的当下提供。同意一般应当是在充分知情、针对具体用途的情况下给出的,而不是埋没在他人不太可能真正阅读的无关条款与条件之中。

目的限制

个人数据只能用于您收集时所披露的目的。将为订单更新而收集的客户电话号码,在未另行征得同意的情况下用于推送无关的营销信息,是一种常见却完全可以避免的违规行为。

数据安全

对个人数据采取合理的安全措施,防止丢失、滥用和未经授权的访问——既包括数字层面的安全(访问控制、适当情况下的加密),也包括物理层面的安全(上锁的文件柜、限制员工接触客户记录的权限)。

PDPA 并不期望一家小企业拥有企业级的安全基础设施——它期望的是与您实际持有的数据的敏感程度和数量相称的安全措施。一份简单的客户联系人名单,和一个存有支付卡信息的数据库,理应获得截然不同程度的保护,把二者一视同仁,要么是对前者过度投入,要么是对后者保护不足。

保留期限限制

不要将个人数据保留超过其收集目的所需要的时间。一位已不再光顾的客户的完整订单记录,如果无限期地留存在您的系统中,却完全没有任何保留政策,本身就是一个合规缺口——即便目前它还没有出什么问题。

数据泄露通知

最近的修订引入了强制性的数据泄露通知义务——如果您掌控下的个人数据遭到泄露,且有可能造成重大损害,您就需要在规定时限内通知专员(在某些情况下还需通知受影响的个人)。请直接核实 JPDP 当前发布的指南中有关通知期限和门槛标准的具体规定,因为这是较新引入的义务之一,实际细节非常重要。

跨境数据传输

如果您业务的任何一环会将个人数据传输到马来西亚境外——例如托管在海外的云端会计工具、区域总部,或海外履约合作伙伴——该法令近期的修订也调整了允许此类传输的条件,逐渐转向更接近"充分性评估"的框架,而不只是单纯以同意作为依据。这一点很容易被忽视,因为它往往是通过企业本已在使用的软件或主机服务悄然发生的,因此值得实际列出您所用工具中,哪些是将数据存储在境外服务器上的,并将这份清单对照当前规定逐一核实。

3. 把隐私声明和同意机制做对

一份清晰、容易获取的隐私声明,是 PDPA 合规中最显眼的一环,也是大多数中小企业能最快补齐的一环:

1. 说明您收集了哪些数据——具体说明,而不是泛泛而谈(姓名、电话、电子邮箱、付款信息,而不是含糊的"您提供的信息")。
2. 说明您为何收集这些数据——履行订单、账户管理、营销(如适用,且仅在获得相应同意的前提下)、法律/监管要求。
3. 说明可能会披露给谁——支付处理商、配送合作伙伴、云托管服务商——而不是把这一点留在暗处不说明。
4. 提供撤回同意或提出疑问的渠道——一个处理数据相关请求的联系方式,而 PDPA 要求您真正去响应处理这些请求,而不只是为了面子而公布出来。

在这方面,真正容易被找到、保持透明同样重要——一家容易被定位和核实的企业,往往在处理他人数据时也显得更值得信赖,而在这里建立一份免费、经过核实的列表,正是在您理顺合规事宜的同时,呈现企业合法合规、负责任形象的一个虽小但真实的部分。也值得看看其他马来西亚企业通常如何在公开场合与客户沟通,从中获得一些参考。

4. 养成几个实际习惯,而不是成立一个合规部门

对于典型的中小企业而言,全面的 PDPA 合规,与其说是要聘请专职人员,不如说是要养成几个一以贯之的习惯:

弄清楚自己到底掌握了哪些数据

许多小企业其实并不清楚客户数据最终会流向哪些地方——POS 系统、电子表格、WhatsApp Business 聊天记录、抽屉里归档的纸质表格。做一次简短的内部盘点,先做一遍,再定期重复,是本指南其余所有内容的基础。

限制团队中谁能访问哪些数据

并非每一位员工都需要访问完整的客户付款信息或联系人名单——将访问权限限制在每个岗位实际需要的范围内,既是一项安全措施,也会在发生数据泄露事件时,成为该事件被认真对待程度的一个考量因素。

为数据请求或投诉准备一套简单的书面流程

如果客户询问您持有他们哪些数据、要求删除数据,或者投诉数据的使用方式,哪怕只有一页纸的内部流程,说明由谁来处理、多快处理,也胜过等到第一次真正发生时才临时现想办法应付。

不只审视自己的系统,也要审视供应商和第三方工具

POS 系统、电子邮件营销平台、配送应用对接、云端会计工具——每一个接触到客户数据的工具,实际上都是在代表您处理这些数据,而您自身的合规水平,部分取决于它们的合规水平。在采用一项新工具之前,核实该供应商是否具备合理的安全实践和清晰的数据处理政策,是一个成本低廉的习惯,能避免日后把供应商的数据问题,变成您自己要承担的责任。

马来西亚中小企业在 PDPA 合规上最常犯的错误

• 以为 PDPA 只适用于大公司或科技企业。 任何为商业目的处理个人数据的企业都在适用范围内,与规模无关——一家拥有客户邮寄名单的五人零售小店,与一家大型企业一样,同样在适用范围之内。
• 未经另行同意就挪用客户数据。 为配送更新收集电话号码,之后未披露或未取得该第二用途的同意,就用来发送营销短信,是最常见、也最容易避免的违规行为之一。
• 隐私政策只是摆设,并未真正落实。 公布了隐私政策,却没有真正履行客户的删除请求,或者在真正发生数据泄露后没有通知任何人——这可以说比根本没有公布政策更糟糕,因为它暴露出您所宣称的与实际所做的之间的落差。

本周可以从这里开始

• 本周: 对企业存储个人数据的每一个地方——客户记录、员工档案、闭路电视录像、邮寄名单——做一次快速的内部盘点,并记下谁能够访问每一处。
• 如果您还没有隐私声明: 起草一份简短、具体的声明,说明您收集了什么、为何收集、分享给了谁,并把它发布在客户真正能看到的地方,例如结账页面或注册表单上。
• 如果您不确定 DPO 要求是否适用于您: 直接查核 JPDP 当前发布的门槛和标准,而不要依赖二手摘要,因为这是修订后法令中较新引入、也正在被广泛讨论的部分之一。
• 持续进行: 设定一个定期复查机制(对大多数中小企业而言,每年一次是合理的),重新核查自己持有哪些数据、是否仍然需要全部保留,以及隐私声明是否仍然准确反映您实际的做法。

这一切都不需要一个法务部门——它需要的是清楚知道自己持有哪些数据、如实告诉客户您会如何处理这些数据,并始终如一地兑现这个承诺,而这正是 PDPA 对您这个规模的企业实际要求的大部分内容。