Pindaan PDPA 2024: Perubahan Kritikal untuk Organisasi di Malaysia
Pindaan kepada Akta Perlindungan Data Peribadi 2010 (Akta 709) yang diluluskan pada 2024 memperkenalkan perubahan penting kepada landskap perlindungan data di Malaysia. Antara pindaan utama dari segi prinsip ialah keperluan melantik Pegawai Perlindungan Data (DPO) bagi kelas pengawal tertentu, pemberitahuan pelanggaran data peribadi (DBN), peruntukan portabiliti data dan pengukuhan hak subjek data. Rujukan rasmi (Akta 709, Jabatan Perlindungan Data Peribadi): https://www.pdp.gov.my/ppdpv1/akta/akta-pdp-2010-my/
Latar Belakang Pindaan PDPA 2024
Akta Perlindungan Data Peribadi 2010 (PDPA, Akta 709) telah lama menjadi rangka kerja utama perlindungan data peribadi di Malaysia, tetapi ketinggalan jika dibandingkan dengan piawaian antarabangsa seperti GDPR di Eropah. Pindaan 2024 menutup beberapa jurang ini dan menyelaraskan PDPA dengan amalan global.
Berdasarkan panduan rasmi yang diterbitkan oleh Pesuruhjaya Perlindungan Data Peribadi, pindaan ini memperkenalkan beberapa konsep baharu di samping mengukuhkan kawalan sedia ada. Tarikh kuat kuasa bagi peruntukan tertentu mungkin berperingkat. Organisasi disyorkan memantau kemas kini di portal PDP.
Pelantikan DPO (Pegawai Perlindungan Data)
Salah satu pindaan yang paling ketara ialah keperluan melantik Pegawai Perlindungan Data (DPO) bagi kelas pengawal data tertentu. Walaupun kelas yang khusus dan kelayakan DPO ditetapkan dalam peraturan atau garis panduan, prinsip umumnya ialah organisasi yang memproses data peribadi pada skala besar atau data sensitif perlu mempunyai peranan DPO yang formal.
DPO menjadi titik perhubungan dengan Pesuruhjaya PDP dan subjek data. DPO membantu memastikan dasar privasi, prosedur dan latihan kakitangan sentiasa selari dengan keperluan undang-undang. Bagi organisasi yang kekurangan kakitangan dalaman, model DPO melalui penyumberan luar atau DPO maya (vDPO) boleh dipertimbangkan.
Pemberitahuan Pelanggaran Data (Data Breach Notification)
Pindaan 2024 memperkenalkan keperluan formal bagi pemberitahuan pelanggaran data peribadi (DBN). Berdasarkan panduan rasmi DBN yang diterbitkan oleh Pesuruhjaya PDP, pengawal data dijangka melaporkan pelanggaran yang ketara kepada Pesuruhjaya dalam jangka masa yang ditetapkan, dan dalam keadaan tertentu, kepada subjek data yang terjejas.
Implikasi operasi: organisasi perlu mempunyai keupayaan mengesan pelanggaran, menilai dengan cepat sama ada pelanggaran itu ketara, dan menyediakan pemberitahuan yang lengkap. Hal ini memerlukan penyelarasan antara pasukan IT, keselamatan, undang-undang dan komunikasi.
Hak Subjek Data yang Diperluaskan
PDPA versi pindaan memperluaskan hak subjek data, termasuk:
- Hak portabiliti data — memindahkan data dalam format yang boleh dibaca mesin
- Hak pembetulan dan pemadaman yang diperkukuh
- Hak akses yang lebih jelas
- Hak untuk mengetahui pemproses data pihak ketiga
- Mekanisme aduan kepada Pesuruhjaya yang diperkemas
Perbandingan dengan GDPR
Pindaan PDPA 2024 membawa beberapa elemen yang dikenali dalam GDPR (Peraturan Perlindungan Data Umum Eropah), termasuk DPO, DBN dan portabiliti data. Walau bagaimanapun, PDPA versi pindaan masih mengekalkan beberapa perbezaan utama: skop yang terhad kepada transaksi komersial, takrif data peribadi yang sedikit berbeza serta rejim penalti yang khusus.
Organisasi yang sudah mematuhi GDPR akan mendapati kebanyakan keperluan PDPA versi pindaan mudah dipenuhi, tetapi mereka tetap perlu menyesuaikan diri dengan keperluan tempatan tertentu.
Implikasi Operasi Praktikal
Untuk mematuhi pindaan ini, organisasi disyorkan menjalankan langkah berikut:
Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
- Kaji semula notis privasi dan dapatkan persetujuan semula jika perlu
- Lantik DPO atau pengganti yang setara
- Kemas kini Perjanjian Pemprosesan Data (DPA) dengan pembekal
- Bina prosedur DBN dengan templat pemberitahuan
- Latih kakitangan tentang hak subjek data yang baharu
- Audit inventori data peribadi (pemetaan data)
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah PDPA versi pindaan terpakai secara retroaktif?
Secara amnya, undang-undang tidak terpakai secara retroaktif. Namun, organisasi perlu memastikan data peribadi yang sedia ada dikendalikan mengikut keperluan baharu mulai tarikh kuat kuasa.
Adakah syarikat kecil dikecualikan?
PDPA terpakai kepada pengawal data dalam transaksi komersial tanpa mengira saiz. Walau bagaimanapun, beberapa keperluan (seperti DPO wajib) mungkin terhad kepada kelas pengawal tertentu.
Bolehkah DPO juga menjadi CISO?
Boleh, tetapi kedua-dua peranan perlu dipisahkan dengan jelas dari segi konflik kepentingan. DPO perlu dapat bertindak secara bebas dalam hal perlindungan data dan mempunyai akses kepada pengurusan tertinggi.
Apakah yang berlaku jika kami gagal mematuhinya?
Penalti boleh dikenakan mengikut peruntukan PDPA, dan dalam beberapa kes, pindaan baharu mungkin meningkatkan tahap penalti. Risiko reputasi dan tindakan sivil oleh subjek data juga relevan.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.