Apa yang Dikehendaki Undang-Undang Malaysia Selepas Pelanggaran Data Peribadi

Jawapan ringkas: Sejak 1 Jun 2025, pengawal data di Malaysia mesti memberitahu Pesuruhjaya Perlindungan Data Peribadi secepat yang praktik, dan tidak lewat daripada 72 jam selepas berlakunya pelanggaran data peribadi yang menyebabkan, atau berkemungkinan menyebabkan, kemudaratan yang ketara (atau menjejaskan lebih daripada 1,000 individu). Jika pelanggaran itu turut menghendaki pemberitahuan kepada individu yang terjejas, notis itu wajib dihantar tidak lewat daripada 7 hari selepas Pesuruhjaya diberitahu — bukan 7 hari daripada pelanggaran itu sendiri. Butiran penuh dan sumber di bawah.

Eksport pangkalan data tersalah hantar. Sekarang bagaimana?

Katakan seorang kakitangan menghantar e-mel hamparan pelanggan ke alamat yang salah, atau bakul storan yang tersalah konfigurasi menyebabkan rekod pesanan terdedah secara terbuka seketika, atau komputer riba dengan data pelanggan yang tersimpan dalam cache dibawa keluar pintu. Sehingga baru-baru ini, apa yang perlu dilakukan seterusnya oleh perniagaan Malaysia, dari segi undang-undang, agak kabur — Akta Perlindungan Data Peribadi 2010 (PDPA) menyatakan perniagaan mesti mengambil langkah munasabah untuk melindungi data peribadi, tetapi ia tidak menyatakan apa-apa secara khusus tentang memberitahu sesiapa apabila perlindungan itu gagal. Itu berubah dengan Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727). Artikel ini menetapkan, setepat yang dibenarkan oleh sumber terbitan semasa, apa yang kini dikehendaki oleh undang-undang — dan di mana masih terdapat bahagian yang benar-benar kabur.

Sebelum apa-apa lagi: artikel ini menerangkan apa yang dinyatakan oleh undang-undang dan garis panduan Pesuruhjaya yang diterbitkan. Ini bukan nasihat undang-undang, dan ia tidak dapat memberitahu anda sama ada insiden khusus anda memenuhi ambang pemberitahuan atau apakah kewajipan khusus anda. Jika anda berdepan dengan syak pelanggaran sebenar, dapatkan peguam perlindungan data Malaysia — garis masa di bawah adalah singkat, dan penilaian "kemudaratan ketara" adalah pertimbangan yang membawa risiko kewangan dan jenayah sebenar jika tersilap.

Ya — pemberitahuan kini wajib, bukan pilihan

Akta Pindaan itu berkuat kuasa dalam tiga peringkat: 1 Januari 2025, 1 April 2025, dan 1 Jun 2025. Pemberitahuan pelanggaran data mandatori, yang diperkenalkan sebagai Seksyen 12B baharu dalam PDPA, adalah sebahagian daripada kelompok terakhir dan telah berkuat kuasa sejak 1 Jun 2025 (Jabatan Perlindungan Data Peribadi, Akta A1727). Pesuruhjaya turut menerbitkan Garis Panduan Pemberitahuan Pelanggaran Data dan pekeliling yang menyertainya (Pekeliling Bil. 1/2025) yang menetapkan butiran operasi yang tidak dinyatakan dalam Akta itu sendiri tetapi diserahkan kepada garis panduan (Jabatan PDP, "Guidelines and Circulars on Data Breach Notification (DBN)"). Sebelum 1 Jun 2025, tiada kewajipan berkanun am di Malaysia untuk melaporkan pelanggaran data kepada sesiapa. Kini ada, dan ia membawa tarikh akhir sebenar.

Langkah pertama: tentukan sama ada pelanggaran ini perlu dilaporkan langsung

Bukan setiap insiden mencetuskan kewajipan ini. Kewajipan memberitahu bergantung kepada sama ada pelanggaran itu menyebabkan, atau berkemungkinan menyebabkan, "kemudaratan ketara" (significant harm) kepada individu yang terjejas. Menurut garis panduan Pesuruhjaya, seperti yang dirumuskan secara konsisten oleh beberapa firma guaman Malaysia, pelanggaran memenuhi ambang itu apabila data yang terjejas:

• boleh mengakibatkan kemudaratan fizikal, kerugian kewangan, kerosakan kepada rekod kredit seseorang, atau kehilangan atau kerosakan harta;
• boleh disalahgunakan untuk tujuan haram;
• terdiri daripada data peribadi sensitif; atau
• digabungkan dengan maklumat lain yang tersedia, boleh membolehkan penipuan identiti.

Secara berasingan, pelanggaran yang menjejaskan lebih daripada 1,000 individu dianggap ketara berdasarkan skala sahaja — tetapi atas sebab khusus yang wajar difahami dengan betul: ambang skala itu menghendaki pemberitahuan kepada Pesuruhjaya, walaupun tiada satu pun daripada empat kriteria kemudaratan di atas dipenuhi. Ia tidak, dengan sendirinya, secara automatik menghendaki pemberitahuan kepada individu yang terjejas itu sendiri — pemberitahuan berasingan itu masih bergantung kepada sama ada pelanggaran itu benar-benar memenuhi salah satu kriteria kemudaratan (Donovan & Ho, "Guideline on Data Breach Notification 2025"; HHQ, "Personal Data Breach Notification in Malaysia"). Ini perbezaan yang benar-benar mudah tersilap di bawah tekanan masa, tepat jenis pertimbangan yang berbaloi mendapat pendapat kedua peguam berbanding vendor laman web.

Langkah kedua: beritahu Pesuruhjaya — jamnya singkat

Apabila pemberitahuan diperlukan, pengawal data mesti memberitahu Pesuruhjaya Perlindungan Data Peribadi secepat yang praktik, dan dalam apa jua keadaan tidak lewat daripada 72 jam selepas menyedari pelanggaran itu berlaku (Donovan & Ho, op. cit.; DLA Piper Privacy Matters, "Malaysia: Guidelines Issued on Data Breach Notification"). Pemberitahuan dibuat melalui saluran pelaporan pelanggaran data Jabatan, dirujuk pada laman Jabatan sendiri sebagai kemudahan "Report DBN" (Jabatan PDP, "Report DBN"), melalui e-mel, atau penyerahan salinan bercetak kepada Pesuruhjaya. Jika 72 jam berlalu sebelum anda membuat pemberitahuan, garis panduan menghendaki penjelasan bertulis atas kelewatan itu, disokong bukti garis masa insiden — ini bukan tarikh akhir longgar yang secara senyap melanjutkan dirinya sendiri.

Perhatikan apa yang memulakan jam itu, kerana ringkasan yang diterbitkan tidak sependapat. Ulasan firma guaman mengenai garis panduan Pesuruhjaya umumnya menyifatkan tempoh 72 jam itu bermula daripada berlakunya pelanggaran, manakala bacaan berasaskan kesedaran akan memulakannya pada saat penemuan. Perbezaan ini amat besar kesannya bagi pelanggaran yang ditemui beberapa minggu selepas ia berlaku. Anggap saat berlaku sebagai andaian yang lebih selamat, bertindak sebaik sahaja anda menyedarinya, dan dapatkan nasihat bagi fakta khusus anda — jangan bergantung pada tarikh mula yang lebih lewat tanpa mengesahkannya terlebih dahulu. Garis panduan rasmi Pesuruhjaya sendiri menetapkan teks peraturan ini, walaupun tidak setiap kes tepi praktikal: ia menyatakan dengan jelas bahawa pemberitahuan wajib "secepat yang praktik, dan dalam apa jua keadaan tidak lewat daripada tujuh puluh dua (72) jam daripada berlakunya pelanggaran data peribadi" — berlaku, bukan kesedaran — walaupun contoh kerja terperincinya sendiri kemudian mengukur tempoh 72 jam itu daripada saat pengawal data dimaklumkan, atau mengesahkan, insiden tersebut (Jabatan Perlindungan Data Peribadi, Garis Panduan Pemberitahuan Pelanggaran Data, perenggan 6.1–6.2).

Langkah ketiga: beritahu individu yang terjejas — jam kedua yang berasingan

Jika pelanggaran itu memenuhi ambang kemudaratan ketara dengan cara yang menghendaki pemberitahuan individu (lihat Langkah Satu di atas), individu yang terjejas mesti diberitahu tanpa kelewatan yang tidak perlu, dan tidak lewat daripada tujuh hari selepas Pesuruhjaya diberitahu — jam kedua yang bermula daripada jam pertama, bukan daripada insiden asal (Donovan & Ho, op. cit.; lihat juga Jabatan Perlindungan Data Peribadi, Garis Panduan Pemberitahuan Pelanggaran Data, perenggan 9.1: pemberitahuan kepada subjek data "mesti dibuat tanpa kelewatan yang tidak perlu, tidak lewat daripada tujuh (7) hari selepas pemberitahuan awal pelanggaran data dibuat kepada Pesuruhjaya"). Bentuk dan cara pemberitahuan itu ditentukan oleh garis panduan Pesuruhjaya berbanding diserahkan sepenuhnya kepada budi bicara perniagaan, jadi ini satu lagi bidang di mana menyemak dokumen garis panduan semasa itu sendiri — atau mendapatkan nasihat profesional — lebih penting berbanding bergantung pada penerangan am seperti ini.

Berapa tempoh yang diperuntukkan kepada pengawal data untuk melaksanakan pemberitahuan pelanggaran data (DBN) kepada Pesuruhjaya apabila insiden melibatkan atau berkemungkinan mengakibatkan kemudaratan yang ketara?

Pengawal data mesti memberitahu Pesuruhjaya Perlindungan Data Peribadi secepat yang praktik, dan tidak lewat daripada 72 jam selepas berlakunya pelanggaran itu, apabila pelanggaran tersebut menyebabkan atau berkemungkinan menyebabkan kemudaratan yang ketara (atau menjejaskan lebih daripada 1,000 individu, yang dengan sendirinya turut mencetuskan kewajipan memberitahu Pesuruhjaya). Garis Panduan Pemberitahuan Pelanggaran Data rasmi Jabatan PDP menyatakan ini secara langsung: notis mesti dihantar "secepat yang praktik, dan dalam apa jua keadaan tidak lewat daripada tujuh puluh dua (72) jam daripada berlakunya pelanggaran data peribadi" (Jabatan Perlindungan Data Peribadi, Garis Panduan Pemberitahuan Pelanggaran Data, perenggan 6.1).

Kos jika ini tersilap

Akta Pindaan itu mencipta dua kesalahan berasingan yang boleh terdedah kepada perniagaan di sini, dan wajar dikekalkan berasingan kerana ia sering dikelirukan:

1. Gagal mematuhi kewajipan pemberitahuan pelanggaran itu sendiri (kewajipan Seksyen 12B yang dibincangkan di atas) membawa, apabila disabitkan, denda sehingga RM250,000, penjara sehingga dua tahun, atau kedua-duanya (Donovan & Ho, op. cit.).
2. Secara berasingan, Akta Pindaan itu meningkatkan lebih tiga kali ganda penalti am kerana melanggar mana-mana Prinsip Perlindungan Data Peribadi teras dalam Akta — kewajipan keselamatan dan pengendalian asas yang sering didedahkan oleh sesuatu pelanggaran sebagai tidak dipatuhi sejak awal — daripada maksimum RM300,000 dan penjara dua tahun, kepada maksimum RM1,000,000 dan penjara tiga tahun (Sidley Austin, "Important Changes to Malaysia's Data Protection Laws"). Satu insiden boleh, pada prinsipnya, mendedahkan perniagaan kepada semakan di bawah kedua-dua peruntukan serentak — kegagalan memberitahu, dan kegagalan pengendalian data asal yang menyebabkan pelanggaran itu.

Apa yang artikel ini sengaja tidak liputi

Terdapat beberapa perkara yang benar-benar belum pasti atau di luar apa yang boleh dinyatakan secara bertanggungjawab oleh artikel am, dan ia ditinggalkan berbanding diteka: bagaimana Pesuruhjaya melaksanakan budi bicara dalam praktik, bukti apa yang memenuhi penjelasan "munasabah" bagi pemberitahuan lewat, bagaimana kewajipan dibahagikan antara pengawal data dan pemproses data apabila pelanggaran berpunca daripada vendor pihak ketiga, dan sama ada wujud hak tindakan sivil peribadi untuk individu yang terjejas selain kesalahan berkanun di atas. Tiada satu pun daripada ini dapat disahkan mengikut piawaian yang dipegang oleh artikel ini, jadi tiada satu pun dinyatakan sebagai fakta di sini. Jika mana-mana daripadanya terpakai kepada situasi anda, itulah tepat perbualan untuk diadakan dengan peguam, bukan laman web.

Di mana JagaWeb sesuai, dan di mana ia tidak sesuai

Untuk jelas tentang skop: JagaWeb ialah syarikat penjagaan dan pembangunan laman web, bukan firma guaman, dan tiada apa di atas menggantikan nasihat undang-undang untuk insiden sebenar. Apa yang kami boleh lakukan ialah bahagian teknikal yang sering berada di hulu sesuatu pelanggaran — menyemak sama ada pengendalian data, kawalan akses, sandaran (backup), dan integrasi pihak ketiga laman web anda mencipta pendedahan yang tidak perlu sejak awal. Itulah sebahagian daripada apa yang diperiksa oleh Semakan Sistem Penting (RM1,500) merentasi lapan titik kawalan untuk satu laman sehingga 25 halaman, dengan laporan sedia-keputusan dan pelan tindakan 30 hari. Ia bukan pensijilan pematuhan undang-undang dan tidak menggantikan nasihat peguam perlindungan data tentang kewajipan pemberitahuan — ia titik permulaan teknikal. Butiran di jagaweb.my, atau hubungi sales@jagaweb.my / WhatsApp di jagaweb.my.