Skip to content

Domain, hosting, code and data — in your name, in writing

jagaweb
Mulakan Care

Penyelenggaraan & Penjagaan Laman

Mengaudit Borang Laman Web & Pangkalan Data Di Bawah Pindaan PDPA di Malaysia

•9 min bacaan•Oleh JagaWeb

Bagaimana pindaan PDPA mempengaruhi borang laman web korporat, tangkapan petunjuk WhatsApp, penyimpanan data pelanggan, dan notis pelanggaran.

Era Baharu Pematuhan PDPA di Malaysia: Tiada Lagi Ruang Untuk Kecuaian

Landskap privasi data di Malaysia telah mengalami perubahan undang-undang paling drastik sejak penggubalan Akta Perlindungan Data Peribadi 2010 (Akta 709). Akta Perlindungan Data Peribadi (Pindaan) 2024 — mendapat perkenan Diraja pada Oktober 2024 dan berkuat kuasa secara berperingkat sepanjang 2025 (JPDP — Akta Perlindungan Data Peribadi (Pindaan) 2024) — telah meningkatkan tanggungjawab pematuhan teknikal bagi setiap pemilik laman web perniagaan di Malaysia.

Pindaan ini bukan sekadar formaliti undang-undang di atas kertas. Ia memperkenalkan tiga perubahan besar yang memberi kesan langsung kepada arkitektur laman web dan pangkalan data korporat:

  1. Peningkatan Penalti Drastik: Denda maksimum bagi pelanggaran Prinsip Perlindungan Data dinaikkan sehingga RM1,000,000, berserta liabiliti jenayah peribadi ke atas pengarah syarikat dan pegawai eksekutif.
  2. Kewajipan Notifikasi Ketirisan Data Mandatori (Mandatory Data Breach Notification): Syarikat wajib melaporkan sebarang insiden pencerobohan atau kebocoran data pelanggan kepada JPDP dalam tempoh masa yang ditetapkan sebaik sahaja insiden dikesan.
  3. Pelantikan Pegawai Perlindungan Data (Data Protection Officer - DPO): Organisasi yang memproses data peribadi pada skala tertentu wajib melantik DPO yang bertanggungjawab mengawasi aliran pematuhan data syarikat.

Jika laman web korporat anda masih menggunakan borang pertanyaan lama, menyimpan data pemohon kerja tanpa penyulitan, atau menghantar petunjuk WhatsApp secara tidak terkawal, syarikat anda kini terdedah kepada risiko denda undang-undang yang amat berat.

4 Titik Risiko Utama Pada Laman Web Korporat

Berdasarkan audit teknikal yang dijalankan oleh JagaWeb, majoriti laman web PKS di Malaysia mempunyai kelemahan pematuhan kritikal pada empat bahagian utama ini:

+-------------------------------------------------------------------------+
|                  4 TITIK AUDIT RISIKO DATA LAMAN WEB                    |
|                                                                         |
| 1. Borang Web & Tangkapan Petunjuk ---> Persetujuan Terbuka & Jelas     |
| 2. Pemalam Pangkalan Data CMS     ---> Penyulitan & Had Masa Retensi    |
| 3. Pautan WhatsApp & Piksel Iklan ---> Pematuhan Pemindahan PII         |
| 4. Sandaran SQL & Log Akses       ---> Keselamatan Data Tidak Terlindung|
+-------------------------------------------------------------------------+

1. Borang Pertanyaan & Tangkapan Petunjuk (Contact & Lead Gen Forms)

Amalan lapuk yang kini menyalahi undang-undang di bawah prinsip persetujuan (Consent Principle):

  • Kotak Pilihan Pra-Tanda (Pre-ticked Checkboxes): Memasang kotak persetujuan yang telah ditandakan secara automatik untuk menerima e-mel promosi atau buletin berita.
  • Klausul Tersembunyi (Bundled Consent): Meletakkan ayat seperti "Dengan menekan butang hantar, anda membenarkan kami berkongsi data anda dengan rakan niaga kami".

Piawaian Wajib Pindaan PDPA:

  • Persetujuan mestilah eksplisit, sukarela, dan boleh ditarik balik.
  • Setiap borang pertanyaan mesti mempunyai pautan terus ke Notis Privasi Dwibahasa (Bahasa Melayu dan Bahasa Inggeris) yang menerangkan tujuan khusus data tersebut dipungut.
  • Prinsip Pengurangan Data (Data Minimisation): Jangan memohon nombor Kad Pengenalan (MyKad) atau tarikh lahir pelanggan sekiranya borang tersebut sekadar memohon sebut harga perkhidmatan biasa.

2. Pangkalan Data Borang WordPress (Gravity Forms, Contact Form 7, WPForms)

Kebanyakan pembangun web memasang pemalam borang dan membiarkan tetapan asal berfungsi. Secara lalai, setiap kali pelawat mengisi borang, salinan maklumat tersebut disimpan selama-lamanya di dalam pangkalan data MySQL pelayan (dalam jadual seperti wp_postmeta atau wp_gf_entry).

Apabila pelayan digodam atau mengalami kelemahan pemalam (plugin vulnerability), penceroboh boleh memuat turun ribuan rekod data pelanggan yang tersimpan dalam format teks biasa (plaintext).

Tindakan Pemulihan Teknikal:

  • Laksanakan Jadual Pengekalan Data (Data Retention Policy): Gunakan skrip automatik untuk memadamkan data borang dari pangkalan data web selepas data selamat dihantar ke sistem e-mel atau CRM dalam tempoh 30 hingga 90 hari.
  • Laksanakan fungsi memadam data peribadi atas permintaan pelanggan (Right to Erasure / Data Deletion Request).

3. Pautan WhatsApp "Click-to-Chat" & Perkongsian Piksel Meta

Banyak laman web tempatan memasang butang terapung WhatsApp yang mengumpul nama dan nombor telefon sebelum membuka aplikasi WhatsApp.

Di bawah PDPA, nombor telefon bimbit individu adalah data peribadi yang dilindungi. Menghantar nombor telefon atau alamat e-mel pelanggan ke platform analitik atau iklan (seperti Meta Pixel Advanced Matching atau Google Tag Manager) tanpa pemberitahuan persetujuan awal pada kuki (cookie consent banner) adalah satu bentuk pelanggaran undang-undang privasi.

4. Fail Sandaran SQL yang Ditinggalkan di Direktori Awam

Kecuaian teknikal paling berbahaya yang kerap ditemui: pembangun membuat salinan pangkalan data menggunakan arahan mysqldump dan meninggalkan fail seperti backup_2025.sql di dalam direktori /public_html/. Fail ini boleh diindeks oleh bot enjin carian atau dimuat turun oleh sesiapa sahaja tanpa memerlukan kata laluan pentadbir.

Senarai Semak Audit Pangkalan Data & Infrastruktur Web

Bagi memastikan laman web dan pangkalan data korporat anda mematuhi piawaian perlindungan keselamatan (Security Principle), semak konfigurasi pelayan anda berdasarkan parameter ini:

# 1. Pastikan perkhidmatan web memaksa sambungan selamat TLS 1.3
curl -I https://syarikatanda.com.my | grep -i "Strict-Transport-Security"

# 2. Imbas direktori web awam untuk memastikan tiada fail dump pangkalan data terbuka
find /var/www/html/ -name "*.sql" -o -name "*.tar.gz" -o -name "*.bak"

# 3. Semak konfigurasi penyulitan pangkalan data (At-Rest Encryption)
mysql -u root -p -e "SHOW VARIABLES LIKE '%encrypt%';"

Parameter Keselamatan Mandatori:

  • Penyulitan Semasa Transit (In-Transit): Protokol HTTPS dengan sijil SSL/TLS moden dan penguatkuasaan HSTS (Strict-Transport-Security).
  • Penyulitan Semasa Rehat (At-Rest): Pangkalan data MySQL/MariaDB yang dihoskan di pelayan (sama ada di Exabytes, Shinjiru, atau AWS ap-southeast-1) mesti mengaktifkan penyulitan cakera (disk-level encryption) AES-256.
  • Pengasingan Akses Pentadbir: Akses ke konsol pangkalan data (seperti phpMyAdmin) tidak boleh didedahkan secara terbuka di internet tanpa sekatan alamat IP (IP Whitelisting) atau pengesahan dua faktor (2FA).

Protokol Tindak Balas Insiden Kebocoran Data (72-Jam)

Sekiranya berlaku insiden keselamatan di mana data pelanggan anda terdedah, protokol pengurusan kecemasan mesti dilaksanakan serta-merta:

+---------------------------------------------------------------------+
|             PROTOKOL TINDAK BALAS KETIRISAN DATA (PDPA)             |
|                                                                     |
| 1. Pengasingan Sistem (Jam 0 - 12)  ---> Hentikan Kebocoran         |
| 2. Forensik Impak     (Jam 12 - 36) ---> Kenal Pasti Skala Data     |
| 3. Notifikasi Agensi  (Jam 36 - 72) ---> Lapor Rasmi ke JPDP        |
| 4. Pemulihan & Notis  (Hari 3 - 7)  ---> Maklumkan Subjek Data      |
+---------------------------------------------------------------------+
  1. Pengasingan & Penebatan: Putuskan sambungan pelayan yang terjejas atau aktifkan halaman penyelenggaraan statik untuk menghalang pencerobohan berterusan.
  2. Analisis Forensik: Kenal pasti fail pangkalan data mana yang diakses, kategori data yang terjejas (maklumat kewangan, identiti, atau nombor telefon), dan anggaran bilangan subjek data yang terlibat.
  3. Notifikasi Rasmi kepada JPDP: Kemukakan laporan insiden awal kepada Pesuruhjaya Perlindungan Data Peribadi mengandungi kronologi kejadian, punca teknikal, dan langkah pembetulan yang telah diambil.
  4. Pemberitahuan Kepada Pelanggan: Sekiranya kebocoran melibatkan risiko penipuan identiti atau kewangan, maklumkan kepada pelanggan yang terjejas berserta panduan keselamatan.

Bagaimana JagaWeb Membantu Menjamin Pematuhan Laman Web Anda

Mematuhi kehendak undang-undang privasi data tidak bermakna anda perlu membina semula keseluruhan sistem web anda dari sifar.

  1. Semakan Pemilikan & Akses (RM1,500 Tetap): Kami menjalankan audit pematuhan keselamatan menyeluruh ke atas laman web anda—mengesan fail sandaran terbuka, memeriksa jadual pangkalan data yang menyimpan data sensitif, mengaudit pemalam borang, dan menyemak integrasi analitik pihak ketiga. Laporan audit teknikal kami memberi anda pelan tindakan jelas untuk menutup liabiliti perundangan syarikat. Kos ini dikreditkan sepenuhnya ke atas sebarang kerja naik taraf susulan dalam tempoh 12 bulan.
  2. Penjagaan Laman Web Berterusan (JagaWeb Care - RM450/bulan): Kami memastikan sistem teras, pemalam, dan konfigurasi keselamatan pelayan anda sentiasa dikemas kini dengan tampalan keselamatan terkini, diiringi pemantauan masa aktif 24/7 dan sandaran harian luar tapak di platform pengehosan anda sendiri (dengan ujian pemulihan).

Lindungi syarikat anda daripada liabiliti undang-undang yang merugikan. Rujuk butiran lanjut di Semakan Pemilikan & Akses JagaWeb.

Baca edisi bahasa Inggeris →
WhatsApp