# Akta Perlindungan Data Peribadi (PDPA) Malaysia: Apa Yang Perniagaan Perlu Buat > Source: https://shakalakaa.my/blog/akta-perlindungan-data-peribadi-pdpa · Updated: 2026-10-19 · Market: MY Panduan · Pematuhan · Malaysia # Akta Perlindungan Data Peribadi (PDPA) Malaysia: Apa Yang Perniagaan Perlu Buat Ringkasan Akta 709 seperti dipinda oleh Akta A1727: prinsip, perubahan 2025, kewajipan DPO dan notifikasi pelanggaran, serta peraturan mesej pemasaran. Kemas kini terakhir Oktober 2026 Jawapan ringkas PDPA Malaysia ialah Akta Perlindungan Data Peribadi 2010 (Akta 709), dipinda oleh Akta A1727. Perniagaan perlu mendapat persetujuan dan memberi notis bertulis sebelum memproses data peribadi, menjaga keselamatannya dan berhenti menghantar pemasaran langsung apabila diminta. Mulai 1 Jun 2025, setiap pengawal data wajib melaporkan pelanggaran data kepada Pesuruhjaya dalam tempoh 72 jam. Panduan ini diterbitkan oleh [amalan automasi pemasaran shakalakaa](https://shakalakaa.my/services/automation). ## Apakah Akta Perlindungan Data Peribadi 2010? Akta Perlindungan Data Peribadi 2010 (Akta 709) mengawal cara perniagaan memproses data peribadi dalam transaksi komersial di Malaysia. Akta ini ditadbir oleh Pesuruhjaya Perlindungan Data Peribadi dan Jabatan Perlindungan Data Peribadi (JPDP) di bawah Kementerian Digital. Teks penuh akta boleh dibaca di [portal rasmi JPDP↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2024/07/UNDANG-UNDANG-MALAYSIA_AKTA_PERLINDUNGAN_DATA_PERIBADI_2010_709_MALAY_AND-ENG_V2022.pdf). Halaman ini bersumberkan pdp.gov.my dan akta yang diwartakan, dan kami nyatakan dengan jelas jika sesuatu peruntukan tidak dapat disahkan daripada sumber utama. *Kemas kini terakhir: Oktober 2026. Kali terakhir disemak: 19 Oktober 2026, berdasarkan Akta A1727 yang diwartakan, perintah permulaan kuat kuasa P.U.(B) 522/2024 dan garis panduan Pesuruhjaya di pdp.gov.my. Halaman ini maklumat umum, bukan nasihat undang-undang; untuk situasi anda sendiri, rujuk peguam yang mengendalikan perlindungan data.* ## Apakah yang dikawal oleh PDPA dalam operasi pemasaran? PDPA mengawal setiap langkah apabila perniagaan memproses data peribadi yang boleh dikenal pasti dalam transaksi komersial, daripada borang lead hingga rekod CRM dan mesej susulan. Bagi operasi pemasaran, ini meliputi: - borang lead di halaman pendaratan, - rekod dalam [sistem CRM](https://shakalakaa.my/resources/crm-system-malaysia) yang digunakan oleh pasukan jualan, - perbualan WhatsApp susulan, - audiens pemasaran semula yang dimuat naik ke Meta atau Google, - dan tempoh penyimpanan bagi semua data tersebut. Setiap satu perlu dianalisis dari sudut PDPA. Akta ini tidak membezakan data "digital" dan "luar talian"; tujuh prinsip yang sama (Am, Notis dan Pilihan, Penzahiran, Keselamatan, Penyimpanan, Integriti Data dan Akses) terpakai. *Sumber: Akta Perlindungan Data Peribadi 2010 (Akta 709), seksyen 6 hingga 12 (Prinsip Perlindungan Data Peribadi), dirujuk dengan portal JPDP di pdp.gov.my. Kali terakhir disemak: 19 Oktober 2026.* ## Apakah persetujuan yang diperlukan oleh PDPA untuk borang lead? Prinsip Notis dan Pilihan (seksyen 7 Akta 709) mewajibkan subjek data dimaklumkan semasa data dikumpul, dalam bahasa kebangsaan dan bahasa Inggeris, tentang data yang dikumpul, tujuan pengumpulan, golongan pihak ketiga yang mungkin menerima data itu, serta pilihan dan cara untuk mengehadkan pemprosesan tersebut. Dalam praktik, ini menentukan bentuk borang lead: kotak semak sahaja tidak mencukupi. Teks notis mesti ada dan mudah dibaca, tujuan mesti dinyatakan, dan pilihan itu mesti boleh ditarik balik. Persetujuan untuk satu tujuan (contohnya susulan jualan bagi pertanyaan tertentu) tidak meliputi tujuan lain (contohnya e-mel promosi tentang perkhidmatan yang tidak berkaitan) tanpa persetujuan berasingan untuk tujuan kedua. Peraturan yang sama terpakai kepada [automasi WhatsApp](https://shakalakaa.my/services/whatsapp-automation) dan saluran mesej lain: persetujuan untuk menjawab pertanyaan tidak secara automatik membenarkan mesej siaran atau promosi. ## Adakah Malaysia mempunyai daftar Do Not Call? PDPA tidak mewujudkan daftar Do Not Call kebangsaan. Mekanisme dalam akta ialah **seksyen 43 Akta 709**: seseorang boleh memberi notis bertulis kepada perniagaan supaya berhenti, atau tidak memulakan, pemprosesan data peribadinya bagi pemasaran langsung, dan perniagaan mesti mematuhinya dalam tempoh yang munasabah. Jika perniagaan tidak mematuhinya, individu itu boleh memohon kepada Pesuruhjaya, dan perniagaan yang kemudian mengabaikan arahan Pesuruhjaya melakukan kesalahan (denda sehingga RM200,000, penjara sehingga dua tahun, atau kedua-duanya). Akta mentakrifkan pemasaran langsung sebagai apa-apa bahan pengiklanan atau pemasaran yang ditujukan kepada individu tertentu, melalui apa-apa cara. Dalam praktik, simpan satu senarai sekatan yang menerima setiap permintaan berhenti, sama ada melalui balasan WhatsApp, kata kunci SMS, pautan berhenti langganan e-mel atau permintaan melalui telefon, dan semak senarai itu sebelum setiap kempen. Kami tidak menemui daftar Do Not Call rasmi Malaysia di mana-mana laman kerajaan semasa semakan pada 19 Oktober 2026. ## Apakah yang diubah oleh pindaan PDPA, dan bila? **Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727)** berkuat kuasa dalam tiga peringkat: **1 Januari 2025** (seksyen 7, 11, 13 dan 14: perubahan pentadbiran seperti penyampaian notis secara elektronik) dan **1 April 2025** (seksyen 2, 3, 4, 5, 8, 10 dan 12: istilah "pengawal data", data biometrik, kewajipan keselamatan pemproses, penalti lebih tinggi, pemindahan rentas sempadan). Peringkat ketiga bermula **1 Jun 2025** (seksyen 6 dan 9: DPO, notifikasi pelanggaran data dan kemudahalihan data). **Garis Panduan Pemberitahuan Pelanggaran Data (DBN)** dan **Garis Panduan DPO** kedua-duanya dikeluarkan pada **25 Februari 2025**, bersama **Pekeliling Bil. 1/2025 (Pelantikan DPO)** dan **Pekeliling Bil. 2/2025 (Pemberitahuan Pelanggaran Data)** yang diterbitkan di [pdp.gov.my↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/). Pindaan ini menyusun semula istilah utama dan menambah kewajipan khusus yang boleh dikuatkuasakan: Butiran lanjut tentang Apakah yang diubah oleh pindaan PDPA, dan bila? 1. **Pengawal data menggantikan pengguna data.** Pindaan menamakan semula entiti utama yang dikawal. **Pemproses data kini bertanggungjawab secara langsung** (sebelum ini hanya pengguna data yang bertanggungjawab). Setiap kontrak perkhidmatan dengan vendor pemasaran patut disemak semula dari sudut ini. 2. **Pelantikan Pegawai Perlindungan Data (DPO) wajib.** DPO mesti dilantik oleh pengawal atau pemproses data yang memproses data peribadi **lebih daripada 20,000 subjek data**, atau **data peribadi sensitif (termasuk maklumat kewangan) lebih daripada 10,000 subjek data**, atau menjalankan **pemantauan yang tetap dan sistematik**. DPO perlu **bermastautin di Malaysia** (berada secara fizikal sekurang-kurangnya 180 hari dalam setahun kalendar) **atau mudah dihubungi** melalui apa-apa cara, dan **fasih dalam Bahasa Melayu dan Bahasa Inggeris**. Daftarkan pelantikan dalam sistem SPDP dalam tempoh 21 hari. Sumber: *Pekeliling Bil. 1/2025* dan *Garis Panduan DPO (25 Februari 2025)*. 3. **Notifikasi pelanggaran data wajib, seksyen 12B.** Pelanggaran perlu dilaporkan jika ia menyebabkan atau mungkin menyebabkan **kemudaratan ketara**, atau melibatkan **lebih daripada 1,000 subjek data**. Pesuruhjaya mesti dimaklumkan **secepat mungkin dan tidak lewat daripada 72 jam** dari berlakunya pelanggaran; garis panduan mengira 72 jam itu dari saat pengawal dimaklumkan atau mengesan insiden tersebut. Notis lewat memerlukan **sebab bertulis**. Subjek data yang terjejas mesti dimaklumkan tanpa kelewatan yang tidak perlu, dan **tidak lewat daripada 7 hari** selepas notis kepada Pesuruhjaya, jika kemudaratan ketara mungkin berlaku. Simpan rekod pelanggaran sekurang-kurangnya 2 tahun. Sumber: *Pekeliling Bil. 2/2025* dan *Garis Panduan DBN (25 Februari 2025)*. 4. **Penalti dinaikkan dengan ketara.** Melanggar prinsip perlindungan data kini boleh dihukum denda sehingga **RM1,000,000** dan penjara sehingga **3 tahun** (naik daripada RM300,000 dan 2 tahun). Gagal memaklumkan di bawah seksyen 12B(1) boleh dihukum sehingga **RM250,000** dan **2 tahun**. 5. **Hak kemudahalihan data.** Subjek data boleh meminta pengawal, melalui notis bertulis yang dihantar secara elektronik, untuk menghantar data peribadinya terus kepada pengawal data lain pilihannya, tertakluk kepada kebolehlaksanaan teknikal dan keserasian format data (seksyen 43A baharu). 6. **Pemindahan rentas sempadan disusun semula.** Mekanisme senarai putih (yang sebelum ini memerlukan negara "selamat" diwartakan) **dimansuhkan** dan diganti dengan **ujian undang-undang yang hampir serupa atau perlindungan yang mencukupi**, dan pengawal **boleh** menjalankan **Penilaian Impak Pemindahan (TIA)**, yang dapatannya sah sehingga tiga tahun. *Sumber: Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727); Pekeliling Bil. 1/2025 (Pelantikan DPO); Pekeliling Bil. 2/2025 (Pemberitahuan Pelanggaran Data); Garis Panduan DBN dan Garis Panduan DPO (25 Februari 2025); perintah permulaan kuat kuasa P.U.(B) 522/2024; portal JPDP pdp.gov.my. Kali terakhir disemak: 19 Oktober 2026. Instrumen khusus sektor terus dikeluarkan; semak pdp.gov.my sebelum memuktamadkan kawalan bagi industri yang dikawal selia.* ## Apakah tujuh prinsip PDPA? Akta 709 menetapkan tujuh Prinsip Perlindungan Data Peribadi dalam seksyen 6 hingga 12, dan perniagaan yang memproses data peribadi mesti mematuhi semuanya. Jadual di bawah menerangkan maksud setiap prinsip untuk data pemasaran. | Prinsip | Seksyen | Maksud untuk pemasaran | |---|---|---| | Prinsip Am | s.6 | Dapatkan persetujuan sebelum memproses data (data sensitif perlukan persetujuan nyata di bawah s.40), dan kumpul hanya data yang mencukupi dan tidak berlebihan untuk tujuan yang sah dan dinyatakan. | | Notis dan Pilihan | s.7 | Maklumkan secara bertulis, dalam Bahasa Melayu dan Bahasa Inggeris, data apa yang dikumpul, tujuannya, pihak yang menerimanya dan cara individu boleh mengehadkan penggunaannya. | | Penzahiran | s.8 | Jangan dedahkan data untuk tujuan, atau kepada golongan pihak ketiga, yang tidak dinyatakan dalam notis tanpa persetujuan baharu. | | Keselamatan | s.9 | Lindungi data daripada kehilangan, salah guna dan akses tanpa kebenaran. Sejak 1 April 2025, pemproses seperti agensi dan vendor SaaS terikat dengan kewajipan ini secara langsung. | | Penyimpanan | s.10 | Simpan data selama tujuan memerlukannya sahaja, kemudian musnahkan atau padam secara kekal. | | Integriti Data | s.11 | Ambil langkah munasabah untuk memastikan data tepat, lengkap, tidak mengelirukan dan terkini. | | Akses | s.12 | Benarkan individu mengakses dan membetulkan data peribadi mereka. | Melanggar mana-mana prinsip ialah kesalahan yang boleh dihukum denda sehingga RM1,000,000, penjara sehingga tiga tahun, atau kedua-duanya, di bawah seksyen 5(2) seperti dipinda oleh Akta A1727. ## Bilakah pindaan PDPA 2024 berkuat kuasa? Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727) berkuat kuasa dalam tiga peringkat yang ditetapkan oleh Menteri Digital melalui [P.U.(B) 522/2024↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2024/12/PENETAPAN-TARIKH-PERMULAAN-KUAT-KUASA.pdf), yang diwartakan pada 24 Disember 2024. Dibaca bersama [teks Akta A1727↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2024/11/Akta-A1727-bm.pdf), peringkatnya adalah seperti berikut. | Mulai | Seksyen Akta A1727 | Perubahan utama | |---|---|---| | 1 Januari 2025 | 7, 11, 13, 14 | Perubahan pentadbiran, termasuk penyampaian notis secara elektronik dan cara fi dibayar; perintah, garis panduan dan tata amalan sedia ada kekal sah. | | 1 April 2025 | 2, 3, 4, 5, 8, 10, 12 | "Pengguna data" ditukar kepada "pengawal data"; data biometrik menjadi data peribadi sensitif; "pelanggaran data peribadi" ditakrifkan; orang yang telah meninggal dunia dikecualikan; pemproses data wajib patuh Prinsip Keselamatan; denda pelanggaran prinsip dinaikkan kepada RM1,000,000 atau tiga tahun; senarai putih pemindahan rentas sempadan dimansuhkan. | | 1 Jun 2025 | 6, 9 | Kewajipan melantik pegawai perlindungan data (s.12A baharu), notifikasi pelanggaran data wajib (s.12B baharu) dan hak kemudahalihan data (s.43A baharu). | Di bawah seksyen 129 yang dipinda, pengawal boleh memindahkan data peribadi ke luar negara jika destinasi itu mempunyai undang-undang yang hampir serupa dengan PDPA atau tahap perlindungan yang mencukupi. ## Siapa yang wajib melantik DPO dan melaporkan pelanggaran data? Setiap pengawal data wajib melaporkan pelanggaran data peribadi kepada Pesuruhjaya, dan pengawal atau pemproses yang melepasi ambang Pesuruhjaya wajib melantik pegawai perlindungan data. Kedua-dua kewajipan terpakai sejak 1 Jun 2025, dengan butirannya ditetapkan dalam garis panduan Februari 2025. | Kewajipan | Siapa dan bila | Butiran | |---|---|---| | Melantik DPO | Pengawal dan pemproses yang memproses data peribadi lebih daripada 20,000 subjek data, data peribadi sensitif (termasuk maklumat kewangan) lebih daripada 10,000, atau menjalankan pemantauan tetap dan sistematik | DPO perlu bermastautin di Malaysia (sekurang-kurangnya 180 hari setahun) atau mudah dihubungi, dan fasih dalam Bahasa Melayu dan Bahasa Inggeris. Daftarkan pelantikan dalam sistem SPDP dalam tempoh 21 hari. | | Memaklumkan Pesuruhjaya | Pelanggaran yang menyebabkan atau mungkin menyebabkan kemudaratan ketara, atau melibatkan lebih daripada 1,000 subjek data | Secepat mungkin dan tidak lewat daripada 72 jam, melalui borang dalam talian di pdp.gov.my, e-mel ke dbnpdp@pdp.gov.my atau salinan fizikal. Notis lewat memerlukan sebab bertulis. | | Memaklumkan individu terjejas | Jika kemudaratan ketara mungkin berlaku | Tanpa kelewatan yang tidak perlu, dan tidak lewat daripada 7 hari selepas memaklumkan Pesuruhjaya. | | Menyimpan rekod | Setiap pelanggaran | Simpan daftar pelanggaran sekurang-kurangnya 2 tahun dari tarikh notifikasi. | Butiran ujian dan contoh lengkap bagi DPO ada dalam [garis panduan DPO↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2025/08/GP_DPO_BM.pdf). ## Berapa cepat pelanggaran data perlu dilaporkan? Pelanggaran data perlu dilaporkan kepada Pesuruhjaya secepat mungkin dan tidak lewat daripada 72 jam, jika ia menyebabkan atau mungkin menyebabkan kemudaratan ketara atau melibatkan lebih daripada 1,000 subjek data. Laporan boleh dibuat melalui borang dalam talian di pdp.gov.my, e-mel ke dbnpdp@pdp.gov.my atau salinan fizikal. - Maklumkan individu yang terjejas tanpa kelewatan yang tidak perlu, dan tidak lewat daripada 7 hari selepas notis kepada Pesuruhjaya, jika kemudaratan ketara mungkin berlaku. - Simpan daftar pelanggaran data sekurang-kurangnya 2 tahun. - Gagal memaklumkan Pesuruhjaya ialah kesalahan: denda sehingga RM250,000, penjara sehingga dua tahun, atau kedua-duanya (s.12B(3)). Butiran penuh ada dalam [Garis Panduan Pemberitahuan Pelanggaran Data↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/wp-content/uploads/2025/08/GP_DBN_BM.pdf) (25 Februari 2025). ## Apakah maksud PDPA untuk pemasaran WhatsApp dan SMS? Mesej pemasaran WhatsApp atau SMS menggunakan data peribadi, jadi ia memerlukan tujuan yang telah dimaklumkan dan dipersetujui oleh individu itu, dan mesti dihentikan apabila mereka membantah. Akta tidak mempunyai peraturan berasingan bagi setiap saluran; prinsip yang sama dan hak berhenti di bawah seksyen 43 terpakai kepada mesej, panggilan dan e-mel. - Dapatkan persetujuan pemasaran secara berasingan daripada persetujuan untuk menjawab pertanyaan. Bersetuju untuk dihubungi tentang sebut harga bukan persetujuan untuk promosi. - Paparkan notis bertulis semasa data dikumpul, dalam Bahasa Melayu dan Bahasa Inggeris, dengan menyatakan tujuan dan golongan pihak ketiga (contohnya vendor CRM atau mesej anda). - Sertakan cara berhenti dalam setiap mesej promosi dan rekodkannya dalam satu senarai sekatan untuk WhatsApp, SMS dan e-mel. - Jangan muat naik kenalan ke platform iklan atau alat mesej untuk tujuan di luar notis. - Semak kontrak vendor anda: sejak April 2025, pemproses data sendiri mesti mematuhi Prinsip Keselamatan. Inilah cara shakalakaa membina pemasaran dan [automasi WhatsApp](https://shakalakaa.my/services/whatsapp-automation) yang mematuhi PDPA untuk jenama di Malaysia: persetujuan diambil semasa pertanyaan, aliran promosi diasingkan daripada aliran transaksi, dan permintaan berhenti diselaraskan di semua alat yang bersambung. Lihat juga [automasi WhatsApp untuk perniagaan](https://shakalakaa.my/blog/automasi-whatsapp-perniagaan). Klinik yang menggunakan alat AI patut membaca [AI marketing tools and PDPA](https://shakalakaa.my/blog/ai-marketing-tools-pdpa-malaysia-clinic) (dalam Bahasa Inggeris). ## Apakah yang diterbitkan oleh Pesuruhjaya pada 2026? Pada 5 Oktober 2026, Jabatan Perlindungan Data Peribadi mengumumkan Kertas Konsultasi Awam Bil. 1/2026 tentang Kerangka Kecerdasan Buatan (AI) dan Perlindungan Data Peribadi, seperti yang disenaraikan di [pdp.gov.my↗ (dibuka dalam tab baharu)](https://www.pdp.gov.my/ppdpv1/). Pasukan pemasaran yang membuat profil audiens atau menjalankan pemarkahan lead secara automatik patut mengikuti perkembangan ini. Semak pdp.gov.my untuk garis panduan dan versi terkini sebelum memuktamadkan apa-apa kawalan. ## Berapa lama perniagaan boleh menyimpan data peribadi? Seksyen 10 Akta 709 (Prinsip Penyimpanan) menetapkan bahawa data peribadi tidak boleh disimpan lebih lama daripada yang perlu untuk memenuhi tujuan ia diproses. Bagi operasi pemasaran, ini ialah keputusan dasar, bukan angka statutori: tentukan tujuan, tentukan tempoh penyimpanan yang menyokongnya, dokumenkan, dan padam mengikut jadual. Tempoh lazim yang digunakan oleh pengamal, seperti 24 bulan untuk lead yang hanya membuat pertanyaan dan 6 tahun untuk rekod yang berkaitan dengan kerja yang telah diinvois, hanya boleh dipertahankan jika perniagaan mempunyai dasar bertulis dan bukti pemadaman dijalankan. Prinsip Penyimpanan ialah perkara yang dijangka dikuatkuasakan oleh DPO setelah dilantik. ## Bagaimana menulis notis privasi PDPA? [Penjana dasar PDPA](https://shakalakaa.my/tools/pdpa-policy-generator) percuma kami menghasilkan notis privasi khusus untuk perniagaan anda, merangkumi tujuh prinsip PDPA, hak berhenti pemasaran langsung dan kewajipan Pindaan 2024, disesuaikan untuk data borang lead dan CRM. Alat ini dalam Bahasa Inggeris. ## Di mana saya boleh membaca lebih lanjut tentang PDPA dan pemasaran? Versi Bahasa Inggeris ada di halaman [PDPA Malaysia](https://shakalakaa.my/resources/pdpa-malaysia). Lihat juga [panduan PDPA dan data lead](https://shakalakaa.my/blog/pdpa-lead-data-malaysia), dan untuk Singapura, [DNC dan PDPA di Singapura](https://shakalakaa.com/sg/blog/dnc-pdpa-singapore-lead-followup). Untuk aspek cukai operasi agensi, lihat [panduan e-Invois Malaysia](https://shakalakaa.my/blog/e-invois-malaysia) dan [panduan SST Malaysia](https://shakalakaa.my/blog/sst-malaysia-panduan). - Petik halaman ini - **shakalakaa (Plixitt Solutions).** “Akta Perlindungan Data Peribadi (PDPA) Malaysia.” - https://shakalakaa.my/blog/akta-perlindungan-data-peribadi-pdpa · Dikemas kini 2026-10-19 - Dilesenkan di bawah CC BY 4.0. Perlu bantuan menyemak borang lead atau aliran mesej anda? [Hubungi shakalakaa](https://shakalakaa.my/contact) untuk berbincang tentang pemasaran yang mematuhi PDPA. Berkaitan ## Berkaitan [guidePDPA Malaysia (English) Panduan penuh dengan jadual prinsip dan penjana notis privasi.](https://shakalakaa.my/resources/pdpa-malaysia)[guideAutomasi WhatsApp perniagaan Cara membina aliran WhatsApp yang mematuhi PDPA.](https://shakalakaa.my/blog/automasi-whatsapp-perniagaan)[serviceWhatsApp automation Persetujuan, opt-out dan aliran mesej yang dibina untuk pematuhan.](https://shakalakaa.my/services/whatsapp-automation) Soalan Lazim ## Soalan Lazim ### Apakah PDPA di Malaysia? PDPA ialah Akta Perlindungan Data Peribadi 2010 (Akta 709), yang mengawal cara perniagaan memproses data peribadi dalam transaksi komersial. Ia ditadbir oleh Pesuruhjaya Perlindungan Data Peribadi di bawah Kementerian Digital dan dipinda oleh Akta A1727, yang berkuat kuasa secara berperingkat pada 2025. ### Bilakah pindaan PDPA berkuat kuasa? Dalam tiga peringkat di bawah P.U.(B) 522/2024: 1 Januari 2025 (perubahan pentadbiran), 1 April 2025 (istilah pengawal data, data biometrik, kewajipan pemproses, penalti lebih tinggi, pemindahan rentas sempadan) dan 1 Jun 2025 (DPO, notifikasi pelanggaran data dan kemudahalihan data). ### Adakah syarikat saya perlu DPO? Ya, jika anda memproses data peribadi lebih daripada 20,000 orang, data peribadi sensitif (termasuk maklumat kewangan) lebih daripada 10,000 orang, atau menjalankan pemantauan tetap dan sistematik. Daftarkan DPO dalam sistem SPDP Pesuruhjaya dalam tempoh 21 hari selepas pelantikan. ### Berapa cepat pelanggaran data perlu dilaporkan di Malaysia? Maklumkan Pesuruhjaya secepat mungkin dan dalam tempoh 72 jam, jika pelanggaran itu mungkin menyebabkan kemudaratan ketara atau melibatkan lebih daripada 1,000 orang. Maklumkan individu yang terjejas dalam tempoh 7 hari selepas notis itu jika kemudaratan ketara mungkin berlaku. ### Bolehkah saya hantar pemasaran WhatsApp atau SMS kepada senarai pelanggan saya? Hanya untuk tujuan yang telah dimaklumkan dan dipersetujui, dan anda mesti berhenti apabila sesiapa memintanya secara bertulis (seksyen 43 Akta 709). Asingkan persetujuan pemasaran daripada persetujuan pertanyaan dan patuhi permintaan berhenti di semua saluran.