Apa Itu PDPA dan Bilakah Undang-undang Ini Berkuatkuasa di Malaysia

Personal Data Protection Act 2010 (PDPA) atau Akta Perlindungan Data Peribadi 2010 merupakan undang-undang yang digubal untuk mengawal selia pemprosesan data peribadi dalam transaksi komersial dan untuk melindungi kepentingan individu yang data peribadinya sedang diproses.

PDPA juga melindungi data peribadi individu daripada disalahgunakan oleh pihak ketiga. PDPA menetapkan prinsip-prinsip perlindungan data yang mesti dipatuhi oleh organisasi yang mengumpul, memproses, dan menyimpan data peribadi individu di Malaysia.

Bilakah PDPA Berkuatkuasa di Malaysia?

PDPA atau Personal Data Protection Act 2010 (Akta Perlindungan Data Peribadi 2010) telah diluluskan oleh Parlimen Malaysia pada bulan Mei 2010. Walau bagaimanapun, PDPA hanya berkuat kuasa sepenuhnya pada 15 November 2013.

Beberapa tarikh penting berkaitan PDPA adalah seperti berikut:

1. 2 Jun 2010 – PDPA diluluskan oleh Parlimen.
2. 10 Jun 2010 – PDPA mendapat perkenan Diraja.
3. 15 November 2013 – PDPA mula berkuat kuasa sepenuhnya di Malaysia setelah tempoh peralihan selama 3 tahun.

Jadi, walaupun PDPA telah digubal dan diluluskan pada tahun 2010, undang-undang ini hanya mula berkuat kuasa dan menjadi mandatori untuk dipatuhi oleh organisasi di Malaysia pada 15 November 2013.

Tempoh peralihan ini diberikan bagi membolehkan syarikat dan organisasi membuat persediaan dan penyesuaian yang perlu untuk mematuhi peruntukan PDPA.

Apa Kepentingan PDPA di Malaysia?

Akta Perlindungan Data Peribadi 2010 (PDPA) memainkan peranan penting dalam melindungi data peribadi individu dan mengawal selia pemprosesan data tersebut oleh organisasi di Malaysia. Kepentingan PDPA boleh dilihat dari beberapa aspek utama.

1. PDPA memberikan hak kawalan kepada individu ke atas data peribadi mereka, membolehkan mereka mengakses, membetulkan, dan menghadkan penggunaan data tersebut.
2. PDPA menggalakkan organisasi untuk mengamalkan pemprosesan data yang adil, telus, dan selamat, seterusnya meningkatkan keyakinan pengguna dalam transaksi digital.
3. PDPA menyediakan rangka kerja perundangan yang jelas untuk perlindungan data peribadi, mengurangkan penyalahgunaan data dan risiko pelanggaran data.
4. Pematuhan terhadap PDPA meningkatkan reputasi dan daya saing organisasi, terutamanya dalam ekonomi digital global di mana perlindungan data adalah keutamaan.
5. PDPA menggalakkan aliran data peribadi yang selamat merentasi sempadan, memudahkan perdagangan antarabangsa dan kerjasama ekonomi.

PDPA adalah penting untuk melindungi hak privasi individu, menggalakkan tadbir urus data yang baik, dan menyokong pertumbuhan ekonomi digital yang mampan dan beretika di Malaysia.

Apakah Skop PDPA dan Ia Terpakai Kepada Siapa?

Akta Perlindungan Data Peribadi 2010 (PDPA) mempunyai skop yang agak luas dan terpakai kepada kebanyakan organisasi yang memproses data peribadi individu dalam konteks transaksi komersial di Malaysia. Secara khusus, PDPA terpakai kepada:

1. Mana-mana orang yang memproses data peribadi dalam transaksi komersial, termasuk syarikat, perkongsian, persatuan, dan usahawan tunggal.
2. Mana-mana orang yang mempunyai kawalan ke atas atau membenarkan pemprosesan data peribadi, termasuk pengguna data dan pemproses data.
3. Pemprosesan data peribadi yang dijalankan secara keseluruhan atau sebahagiannya melalui kelengkapan yang terletak di Malaysia, walaupun organisasi atau individu yang memproses data tersebut mungkin berada di luar Malaysia.

Walau bagaimanapun, terdapat beberapa pengecualian di mana PDPA tidak terpakai, seperti:

1. Pemprosesan data peribadi untuk tujuan peribadi atau domestik.
2. Pemprosesan data peribadi oleh Kerajaan Persekutuan dan Negeri.
3. Pemprosesan data peribadi untuk tujuan penyiasatan jenayah, penguatkuasaan undang-undang, atau penzahiran yang dibenarkan atau dikehendaki di bawah mana-mana undang-undang bertulis.
4. Pemprosesan data peribadi oleh badan media untuk tujuan pengumpulan, penyediaan, atau penyebaran maklumat.

Selain itu, PDPA hanya meliputi data peribadi individu semula jadi yang masih hidup, dan tidak terpakai kepada data peribadi individu yang telah meninggal dunia atau data peribadi badan korporat.

Skop PDPA adalah komprehensif dan direka untuk melindungi data peribadi majoriti individu di Malaysia, sambil mengimbangi keperluan organisasi untuk memproses data bagi tujuan perniagaan yang sah.

Organisasi yang termasuk dalam skop PDPA perlu memastikan bahawa mereka mematuhi prinsip dan kewajipan yang ditetapkan oleh undang-undang ini apabila memproses data peribadi.

Apakah Prinsip-prinsip Perlindungan Data di bawah PDPA?

PDPA menetapkan tujuh prinsip perlindungan data yang mesti dipatuhi oleh organisasi semasa memproses data peribadi:

1. Prinsip Am

Data peribadi hanya boleh diproses jika dibenarkan di bawah PDPA atau undang-undang bertulis lain.

2. Prinsip Notis dan Pilihan

Individu mesti diberitahu tentang tujuan pemprosesan data peribadi mereka dan diberi pilihan untuk bersetuju atau tidak.

3. Prinsip Penzahiran

Data peribadi tidak boleh dizahirkan tanpa persetujuan individu kecuali dalam keadaan tertentu yang dibenarkan oleh PDPA.

4. Prinsip Keselamatan

Langkah keselamatan yang sesuai mesti diambil untuk melindungi data peribadi daripada kehilangan, penyalahgunaan, pengubahsuaian tanpa kebenaran, atau akses tanpa kebenaran.

5. Prinsip Penyimpanan

Data peribadi tidak boleh disimpan lebih lama daripada tempoh yang diperlukan untuk memenuhi tujuan ia dikumpul.

6. Prinsip Integriti Data

Langkah yang munasabah mesti diambil untuk memastikan data peribadi adalah tepat, lengkap, tidak mengelirukan, dan terkini.

7. Prinsip Akses

Individu mesti diberi akses kepada data peribadi mereka yang dipegang oleh organisasi dan dapat membetulkan data yang tidak tepat atau tidak lengkap.

Apakah Hak Individu di bawah PDPA?

PDPA memberikan individu hak tertentu berkaitan dengan data peribadi mereka. Antaranya termasuk:

1. Hak untuk diberitahu tentang pemprosesan data peribadi mereka.
2. Hak untuk mengakses dan mendapatkan salinan data peribadi mereka yang dipegang oleh organisasi.
3. Hak untuk membetulkan data peribadi mereka yang tidak tepat atau tidak lengkap.
4. Hak untuk menarik balik persetujuan untuk pemprosesan data peribadi mereka pada bila-bila masa.
5. Hak untuk menghalang pemprosesan data peribadi mereka untuk tujuan pemasaran langsung.

Individu boleh melaksanakan hak-hak ini dengan mengemukakan permintaan bertulis kepada organisasi yang memproses data peribadi mereka.

Apakah Kewajipan Organisasi di bawah PDPA?

PDPA mengenakan beberapa kewajipan ke atas organisasi yang memproses data peribadi. Antaranya termasuk:

1. Melantik seorang pegawai perlindungan data untuk mengawasi pematuhan organisasi terhadap PDPA.
2. Menyediakan notis privasi yang jelas dan mudah difahami kepada individu mengenai pemprosesan data peribadi mereka.
3. Mendapatkan persetujuan nyata daripada individu sebelum memproses data peribadi mereka, kecuali dalam keadaan tertentu yang dibenarkan oleh PDPA.
4. Melaksanakan langkah keselamatan yang sesuai untuk melindungi data peribadi.
5. Memastikan pihak ketiga yang dilantik untuk memproses data peribadi bagi pihak organisasi mematuhi PDPA.
6. Menyimpan rekod pemprosesan data peribadi.
7. Memberi maklum balas kepada permintaan individu untuk mengakses atau membetulkan data peribadi mereka dalam tempoh yang ditetapkan.

Siapa yang Bertanggungwajab dalam Penguatkuasaan PDPA?

Pesuruhjaya Perlindungan Data Peribadi bertanggungjawab untuk menguatkuasakan pematuhan terhadap PDPA. Pesuruhjaya mempunyai kuasa untuk menyiasat aduan, menjalankan pemeriksaan, dan mengeluarkan notis penguatkuasaan kepada organisasi yang melanggar PDPA.

Organisasi yang melanggar peruntukan PDPA boleh dikenakan penalti kewangan sehingga RM500,000 dan/atau pemenjaraan sehingga 3 tahun. Bagi kesalahan yang berterusan, penalti tambahan sehingga RM1,000 sehari boleh dikenakan.

PDPA juga memperuntukkan penalti kewangan sehingga RM300,000 dan/atau pemenjaraan sehingga 2 tahun bagi individu yang memperoleh atau mendedahkan data peribadi tanpa kebenaran.

Bagaimana Cara Untuk Mendaftar di bawah PDPA?

Salah satu aspek penting dalam pematuhan PDPA di Malaysia adalah pendaftaran dengan Jabatan Perlindungan Data Peribadi (JPDP).

Seksyen 16 PDPA menghendaki pengguna data yang memproses data peribadi untuk tujuan transaksi komersial untuk berdaftar dengan Pesuruhjaya Perlindungan Data Peribadi sebelum memproses data peribadi.

Keperluan Pendaftaran

Pendaftaran PDPA adalah mandatori bagi organisasi yang memenuhi kriteria berikut:

1. Organisasi yang menjalankan transaksi komersial di Malaysia, sama ada secara dalam talian atau luar talian.
2. Organisasi yang memproses data peribadi berkaitan dengan transaksi komersial, sama ada pemprosesan dilakukan di Malaysia atau di luar negara.
3. Organisasi yang mempunyai kawalan ke atas pemprosesan data peribadi, sama ada sebagai pengguna data atau pemproses data.

Walau bagaimanapun, terdapat beberapa pengecualian di mana organisasi tidak perlu berdaftar dengan JPDP. Ini termasuk:

1. Pemprosesan data peribadi untuk tujuan peribadi atau domestik.
2. Pemprosesan data peribadi oleh Kerajaan Persekutuan dan Negeri.
3. Pemprosesan data peribadi untuk tujuan penyiasatan jenayah atau penguatkuasaan undang-undang.
4. Pemprosesan data peribadi oleh badan media untuk tujuan pengumpulan, penyediaan, atau penyebaran maklumat.

Proses Pendaftaran

Pendaftaran PDPA boleh dilakukan secara dalam talian melalui portal rasmi JPDP. Langkah-langkah pendaftaran adalah seperti berikut:

1. Layari laman web rasmi JPDP di www.pdp.gov.my.
2. Pilih menu “Registration” dan klik pada “Data User Registration“.
3. Baca arahan dengan teliti dan klik pada “New Registration“.
4. Isi borang pendaftaran dalam talian dengan maklumat yang diperlukan, termasuk butiran organisasi, jenis data peribadi yang diproses, dan tujuan pemprosesan.
5. Muat naik dokumen sokongan yang diperlukan, seperti salinan sijil pendaftaran syarikat.
6. Semak semula maklumat yang diisi dan hantar borang pendaftaran.
7. Bayar fi pendaftaran yang ditetapkan.
8. Tunggu kelulusan daripada JPDP. Proses kelulusan biasanya mengambil masa 2 hingga 4 minggu.

Setelah pendaftaran diluluskan, organisasi akan menerima Perakuan Pendaftaran yang sah selama 2 tahun. Perakuan ini perlu diperbaharui sebelum tarikh tamat tempoh.

Kepentingan Pendaftaran PDPA

Pendaftaran dengan JPDP bukan sekadar memenuhi keperluan undang-undang, tetapi juga membawa manfaat kepada organisasi. Antaranya termasuk:

1. Meningkatkan keyakinan pelanggan: Pendaftaran menunjukkan komitmen organisasi untuk melindungi data peribadi dan mematuhi undang-undang perlindungan data.
2. Meningkatkan tadbir urus data: Proses pendaftaran mendorong organisasi untuk menilai amalan pemprosesan data mereka dan melaksanakan langkah pematuhan yang sesuai.
3. Mengurangkan risiko penalti: Organisasi berdaftar kurang berisiko dikenakan tindakan penguatkuasaan atau penalti jika berlaku pelanggaran PDPA.
4. Memudahkan pemindahan data antarabangsa: Pendaftaran menunjukkan bahawa organisasi mematuhi piawaian perlindungan data yang diiktiraf dan boleh memudahkan pemindahan data peribadi merentasi sempadan.

Apakah Kelebihan PDPA?

Akta Perlindungan Data Peribadi 2010 (PDPA) membawa pelbagai kebaikan kepada individu dan organisasi di Malaysia. Antara kelebihan PDPA adalah seperti berikut:

1. PDPA memberikan individu hak kawalan ke atas data peribadi mereka, memastikan data mereka diproses secara adil dan telus, serta melindungi privasi mereka daripada penyalahgunaan.
2. Bagi organisasi pula, pematuhan terhadap PDPA meningkatkan keyakinan pelanggan, menggalakkan tadbir urus data yang baik, dan melindungi reputasi mereka. PDPA juga menyediakan rangka kerja perundangan yang jelas untuk pemprosesan data peribadi, mengurangkan kekeliruan dan risiko pertikaian.
3. Selain itu, PDPA memudahkan pemindahan data peribadi merentasi sempadan dengan menyediakan piawaian perlindungan data yang diiktiraf di peringkat antarabangsa.
4. PDPA mengimbangi keperluan organisasi untuk memproses data peribadi dengan hak individu untuk melindungi privasi mereka, seterusnya menggalakkan pertumbuhan ekonomi digital yang mampan dan bertanggungjawab di Malaysia.

Apakah Kekurangan PDPA?

Walaupun Akta Perlindungan Data Peribadi 2010 (PDPA) bertujuan untuk melindungi data peribadi individu, ia juga mempunyai beberapa kelemahan. Antara kekurangan PDPA adalah seperti berikut:

1. Skop PDPA agak terhad kerana ia hanya terpakai kepada pemprosesan data peribadi dalam transaksi komersial dan tidak meliputi semua jenis pemprosesan data. Ini bermakna perlindungan data peribadi dalam konteks bukan komersial mungkin tidak mencukupi.
2. Penguatkuasaan PDPA masih menjadi cabaran kerana kekurangan kesedaran dan pemahaman di kalangan organisasi dan individu tentang hak dan kewajipan mereka di bawah PDPA. Ini menyebabkan pematuhan yang tidak konsisten dan penguatkuasaan yang kurang berkesan.
3. Penalti kewangan di bawah PDPA mungkin tidak cukup berat untuk menghalang pelanggaran serius oleh organisasi besar.
4. PDPA juga tidak menyediakan mekanisme pampasan yang jelas bagi individu yang terjejas akibat pelanggaran data peribadi, menjadikan ia sukar bagi mangsa untuk mendapatkan remedi.
5. Peruntukan PDPA mungkin tidak selari dengan perkembangan teknologi dan amalan terbaik antarabangsa, memerlukan kajian semula dan pindaan berkala untuk kekal relevan dalam lanskap digital yang berubah dengan pesat.

Apakah Impak dan Cabaran PDPA?

PDPA telah membawa perubahan ketara dalam cara organisasi di Malaysia mengumpul, memproses, dan melindungi data peribadi. Ia telah meningkatkan kesedaran tentang kepentingan privasi data dan menggalakkan organisasi untuk mengamalkan tadbir urus data yang lebih baik.

Walau bagaimanapun, pematuhan terhadap PDPA juga membawa cabaran tersendiri kepada organisasi, terutamanya bagi perniagaan kecil dan sederhana.

Organisasi perlu memperuntukkan sumber untuk melaksanakan langkah pematuhan seperti melantik pegawai perlindungan data, menyediakan notis privasi, dan melaksanakan langkah keselamatan seperti keselamatan data yang sesuai. Ini boleh meningkatkan kos operasi dan menjejaskan kecekapan.

Selain itu, kesedaran dan pemahaman orang ramai tentang hak mereka di bawah PDPA masih rendah. Ini menyukarkan individu untuk melaksanakan hak mereka dan melaporkan pelanggaran PDPA kepada pihak berkuasa.

Usaha berterusan diperlukan untuk mendidik dan memperkasakan orang ramai tentang perlindungan data peribadi.

Adakah Organisasi Perlu Dapatkan Persetujuan Individu Sebelum Memproses Data Peribadi?

Ya, setiap organisai perlu mendapatkan persetujuan daripada individu sebelum memproses data peribadi mereka, seperti yang diperuntukkan di bawah Akta Perlindungan Data Peribadi 2010 (PDPA)

Ini bermakna organisasi harus memaklumkan individu tentang tujuan pemprosesan data peribadi mereka dan mendapatkan persetujuan bebas, spesifik, dan maklum daripada individu tersebut.

Persetujuan ini boleh diperolehi melalui pelbagai cara, seperti borang persetujuan bertulis, persetujuan dalam talian, atau persetujuan lisan yang dirakam.

Walau bagaimanapun, terdapat beberapa pengecualian di mana persetujuan tidak diperlukan, seperti apabila pemprosesan adalah perlu untuk melaksanakan kontrak dengan individu, mematuhi kewajipan undang-undang, atau melindungi kepentingan vital individu.

Namun, dalam kebanyakan kes, mendapatkan persetujuan individu adalah langkah penting bagi organisasi untuk mematuhi PDPA dan menghormati hak privasi individu.

Borang Persetujuan dan Pematuhan PDPA

Untuk mematuhi PDPA, borang persetujuan harus:

1. Menggunakan bahasa yang jelas dan mudah difahami, mengelakkan istilah undang-undang atau teknikal yang kompleks.
2. Menyatakan dengan jelas tujuan spesifik data peribadi dikumpul dan diproses.
3. Memaklumkan individu tentang hak mereka untuk mengakses, membetulkan, dan menarik balik persetujuan untuk pemprosesan data peribadi mereka.
4. Memberikan pilihan kepada individu untuk bersetuju atau tidak bersetuju dengan pemprosesan data peribadi mereka.
5. Mendapatkan persetujuan secara bebas tanpa paksaan atau penipuan.
6. Menyimpan rekod persetujuan sebagai bukti pematuhan PDPA.

Borang persetujuan boleh dalam pelbagai format, seperti dokumen bertulis, borang dalam talian, atau persetujuan lisan yang dirakam. Walau bagaimanapun, organisasi perlu memastikan bahawa persetujuan yang diberikan oleh individu adalah jelas, nyata, dan boleh dibuktikan.

Selain itu, PDPA juga menghendaki organisasi untuk membenarkan individu menarik balik persetujuan mereka pada bila-bila masa. Oleh itu, borang persetujuan harus memaklumkan individu tentang hak ini dan menyediakan mekanisme yang mudah untuk menarik balik persetujuan.

Dengan menggunakan borang persetujuan yang mematuhi keperluan PDPA, organisasi dapat menunjukkan komitmen mereka terhadap perlindungan data peribadi dan meningkatkan keyakinan pelanggan.

Ia juga membantu organisasi mengelakkan potensi pelanggaran PDPA dan penalti yang berkaitan.