Website Privacy & PDPA Malaysia: Apa Yang Website Bisnes Perlu Sediakan?

Website bisnes moden boleh mengumpul lebih banyak data daripada yang pemilik website sedar.

Contact form mungkin meminta nama, email dan nombor telefon.

Booking form mungkin meminta tarikh, alamat atau maklumat tambahan.

Online store mungkin memproses customer information, delivery details dan transaction-related data.

Website juga mungkin menggunakan:

• analytics;
• cookies;
• advertising pixels;
• live chat;
• WhatsApp;
• CRM;
• newsletter platforms;
• payment gateways;
• booking systems;
• cloud hosting;
• atau third-party integrations.

Apabila personal data terlibat, website bukan lagi hanya masalah design dan SEO.

Anda juga perlu memahami:

Data apa yang dikumpulkan, kenapa ia diperlukan, siapa menerimanya, di mana ia disimpan, berapa lama ia disimpan dan bagaimana individu boleh menghubungi organisasi tentang data mereka.

Di Malaysia, perkara ini berkait dengan Personal Data Protection Act 2010 atau PDPA, termasuk perubahan yang diperkenalkan melalui Personal Data Protection (Amendment) Act 2024.

Panduan Website Privacy & PDPA Malaysia ini menerangkan perkara tersebut daripada sudut praktikal website — privacy notice, forms, cookies, analytics, marketing consent, third-party services, data security, retention, data breach dan website development.

Penting: Artikel ini ialah panduan website dan technical implementation untuk pemilik bisnes. Ia bukan legal advice, formal PDPA audit atau pengganti kepada nasihat daripada qualified legal, compliance atau data-protection professional apabila organisasi anda memerlukan interpretation khusus.

Jawapan Ringkas: Apa Yang Website Bisnes Malaysia Patut Semak?

Jika website anda mengumpul personal data, semak sekurang-kurangnya perkara berikut:

• Personal data apa yang website kumpulkan.
• Tujuan setiap data dikumpulkan.
• Personal Data Protection Notice atau Privacy Notice.
• Versi Bahasa Malaysia dan English apabila diperlukan di bawah Notice and Choice Principle.
• Contact dan enquiry forms.
• Marketing consent.
• Cookies dan tracking technologies.
• Analytics.
• Advertising pixels.
• Third-party integrations.
• Hosting dan cloud services.
• Data processors.
• Cross-border data transfers jika berlaku.
• Security dan access control.
• Data retention.
• Access dan correction requests.
• Data portability jika applicable.
• DPO requirement jika organisasi memenuhi relevant conditions.
• Data-breach response process.

Website tidak patut hanya mempunyai generic Privacy Policy yang disalin daripada website lain.

Notis perlu menggambarkan bagaimana organisasi anda sebenarnya memproses data.

Apa Itu PDPA Malaysia?

PDPA ialah singkatan kepada Personal Data Protection Act 2010 [Act 709].

Secara asasnya, akta ini mengawal pemprosesan personal data dalam konteks transaksi komersial.

Untuk maklumat rasmi, rujuk Personal Data Protection Act 2010 di website Pejabat Pesuruhjaya Perlindungan Data Peribadi.

Ini bermaksud PDPA bukan hanya relevant kepada:

• bank;
• syarikat besar;
• e-commerce marketplace;
• atau organisasi teknologi.

Small business website juga boleh memproses personal data apabila pelanggan mengisi enquiry, membuat booking, membeli sesuatu atau berinteraksi dengan digital systems yang berkaitan.

Apa Yang Berubah Selepas Personal Data Protection (Amendment) Act 2024?

Malaysia telah mengemas kini PDPA melalui Personal Data Protection (Amendment) Act 2024.

Perubahan penting yang relevant kepada business owners termasuk:

• Istilah data user digantikan secara umum dengan data controller.
• Data processors mempunyai direct obligation berkaitan Security Principle.
• Biometric data dimasukkan ke dalam sensitive personal data.
• Data Protection Officer atau DPO framework diperkenalkan.
• Data breach notification diperkenalkan.
• Hak data portability ditambah.
• Framework cross-border personal data transfer turut berubah.

Anda boleh merujuk Personal Data Protection (Amendment) Act 2024 untuk sumber rasmi.

Bagi website owner, takeaway praktikal ialah:

Privacy bukan sesuatu yang patut diperiksa hanya selepas website siap.

Ia patut dipertimbangkan ketika merancang forms, integrations, analytics, hosting, access dan customer journey.

7 Prinsip Perlindungan Data Peribadi

Pejabat Pesuruhjaya Perlindungan Data Peribadi menerangkan tujuh prinsip utama:

1. General Principle.
2. Notice and Choice Principle.
3. Disclosure Principle.
4. Security Principle.
5. Retention Principle.
6. Data Integrity Principle.
7. Access Principle.

Untuk website, tujuh prinsip ini memberi framework yang lebih berguna daripada sekadar bertanya:

“Ada Privacy Policy atau tidak?”

Website juga perlu melihat bagaimana data dikumpulkan, digunakan, shared, protected dan eventually disposed.

Apa Itu Personal Data?

Personal data ialah information yang berkaitan secara langsung atau tidak langsung dengan individu yang dikenal pasti atau boleh dikenal pasti berdasarkan data tersebut atau data lain yang tersedia.

Dalam context website, personal data boleh termasuk:

• Nama.
• Email.
• Nombor telefon.
• Alamat.
• Identification information apabila memang diperlukan.
• Application information.
• Account information.
• Transaction-related information.
• IP address atau technical information dalam circumstances tertentu.
• Other information yang boleh berkait dengan identifiable individual.

Jangan hanya fikir tentang IC number atau bank details.

Simple contact form juga boleh memproses personal data.

Apakah Sensitive Personal Data?

Sensitive personal data memerlukan perhatian lebih berhati-hati.

Di bawah PDPA, kategori tersebut termasuk information tertentu berkaitan:

• kesihatan fizikal atau mental;
• political opinions;
• religious beliefs atau beliefs yang sama sifatnya;
• commission atau alleged commission of offences;
• dan biometric data selepas pindaan 2024.

Jika website anda ialah:

• clinic;
• health platform;
• insurance-related service;
• employee portal;
• identity-verification system;
• atau platform yang memproses biometric information;

jangan menggunakan simple generic contact form tanpa terlebih dahulu memahami security, operational dan compliance requirements.

Website Apa Yang Biasa Mengumpul Personal Data?

Banyak website bisnes mengumpul personal data melalui beberapa channel.

Contact form

Biasanya mengumpul:

• nama;
• email;
• telefon;
• company;
• message.

Quotation form

Boleh mengumpul:

• company details;
• project requirement;
• budget;
• contact details.

Booking atau appointment form

Boleh merangkumi:

• nama;
• telefon;
• email;
• tarikh;
• service selection;
• special requirements.

E-commerce checkout

Boleh memproses:

• customer name;
• delivery address;
• billing information;
• phone number;
• purchase history.

Newsletter

Biasanya menggunakan:

• email;
• nama jika diminta;
• marketing preferences.

Job application

Boleh melibatkan:

• CV;
• employment history;
• education information;
• phone;
• email;
• other applicant data.

Ini menunjukkan kenapa privacy review perlu bermula dengan data inventory, bukan dengan copy-paste Privacy Policy template.

Privacy Policy atau Privacy Notice?

Dalam website, istilah Privacy Policy sering digunakan kerana ia mudah difahami oleh pengguna.

Namun, official PDPA terminology yang penting ialah Personal Data Protection Notice atau privacy notice.

Section 7 PDPA berkaitan Notice and Choice Principle.

Jadi jangan terlalu fokus kepada nama page.

Fokus kepada sama ada notis tersebut benar-benar memberikan information yang diperlukan kepada data subject.

Apa Yang Patut Ada Dalam Privacy Notice di Bawah Section 7?

Secara praktikal, privacy notice perlu menangani perkara seperti:

• Bahawa personal data individu sedang atau akan diproses.
• Description tentang jenis personal data tersebut.
• Tujuan data dikumpulkan dan diproses.
• Source personal data apabila relevant.
• Hak untuk meminta access kepada personal data.
• Hak untuk meminta correction.
• Cara menghubungi organisasi untuk enquiry atau complaint.
• Classes of third parties kepada siapa data mungkin didedahkan.
• Choice yang tersedia untuk menghadkan processing apabila applicable.
• Sama ada data yang diminta compulsory atau voluntary.
• Consequences jika compulsory information tidak diberikan.

Jangan gunakan senarai ini sebagai substitute untuk legal review bagi business yang mempunyai complex processing.

Untuk panduan rasmi, rujuk Guidance on the Preparation of Personal Data Protection Notices.

Privacy Notice Perlu Dalam Bahasa Malaysia dan English

Satu perkara yang sangat relevant untuk Malaysian websites ialah language.

Section 7 menetapkan bahawa notice perlu dibuat dalam national language dan English.

Jadi website yang hanya mempunyai English Privacy Policy perlu diperiksa semula jika organisation tertakluk kepada requirement tersebut.

Begitu juga:

Google Translate sahaja tidak semestinya merupakan cara terbaik untuk menghasilkan legal/privacy wording yang tepat.

Versi Bahasa Malaysia dan English perlu menyampaikan meaning yang sama secara jelas.

Di Mana Privacy Notice Patut Diletakkan?

Privacy notice perlu mudah ditemui.

Common website implementation ialah:

• dedicated Privacy / Personal Data Protection page;
• link dalam footer;
• link berhampiran contact atau registration form;
• contextual notice apabila sensitive atau additional data dikumpulkan;
• link dalam checkout, booking atau application flow apabila sesuai.

Jangan sembunyikan privacy notice hanya di dalam Terms & Conditions yang sangat panjang tanpa clear link atau heading.

Patutkah Privacy Notice Diletakkan Sebelum Form Dihantar?

Practical approach yang baik ialah memberi user access kepada privacy notice sebelum mereka submit personal data.

Contohnya:

Contact form boleh mempunyai short wording yang menerangkan purpose secara ringkas serta link:

“Maklumat yang anda berikan akan digunakan untuk menjawab enquiry anda. Lihat Notis Privasi kami.”

Wording sebenar perlu sepadan dengan bagaimana organisation memproses data.

Jangan gunakan sentence tersebut jika data enquiry sebenarnya digunakan juga untuk marketing, CRM automation atau purposes lain yang tidak diterangkan.

Adakah Contact Form Perlu Ada Checkbox Consent?

Tidak ada satu generic answer yang sesuai untuk setiap form.

PDPA mengandungi General Principle dan juga circumstances di mana processing boleh berlaku atas asas yang dibenarkan oleh akta.

Sebab itu anda tidak patut menggunakan satu checkbox:

“Saya setuju dengan semua perkara.”

dan menganggap semua data-processing issues sudah selesai.

Form perlu dirancang berdasarkan:

• apa data dikumpulkan;
• purpose;
• apa yang mandatory;
• marketing atau non-marketing use;
• third parties;
• jenis transaksi;
• dan applicable legal basis.

Jika explicit consent memang diperlukan, mekanisme tersebut perlu direka secara jelas dan recordable.

Service Enquiry dan Marketing Consent Patut Dipisahkan

Seseorang yang meminta quotation tidak semestinya bermaksud mereka mahu menerima marketing newsletter untuk tempoh yang tidak ditentukan.

Contohnya, contact form boleh mempunyai primary purpose:

“Gunakan data ini untuk menjawab quotation request saya.”

Jika business mahu menambah user ke marketing list, pertimbangkan separate choice yang sesuai.

Ini juga menjadikan customer expectation lebih jelas.

Jangan Gunakan Pre-Ticked Marketing Checkbox Tanpa Memikirkan Choice

Jika website menyediakan optional marketing choice, user perlu memahami apa yang mereka pilih.

Good form design biasanya membezakan:

• information yang memang diperlukan untuk fulfil request;
• optional information;
• optional marketing preference.

Clear choice lebih baik daripada memasukkan marketing permission secara tersembunyi dalam satu paragraph panjang.

Bagaimana Dengan WhatsApp Button?

WhatsApp ialah common enquiry channel untuk business di Malaysia.

Apabila user berpindah daripada website kepada WhatsApp, processing tidak semestinya berhenti.

Business masih boleh menerima:

• nama;
• nombor telefon;
• conversation;
• project details;
• images;
• documents;
• atau other information.

Privacy notice organisation patut menggambarkan actual customer communication channels jika data tersebut digunakan dalam business workflow.

Jangan fikir Privacy Policy hanya relevant kepada form dalam website.

Live Chat dan Chatbot Juga Perlu Dimasukkan Dalam Data Review

Chat tools boleh menghantar data kepada third-party provider.

Semak:

• apa data chat tool kumpulkan;
• adakah conversations disimpan;
• berapa lama disimpan;
• siapa boleh access;
• di mana vendor memproses data;
• adakah data digunakan untuk training atau other purposes mengikut vendor configuration;
• dan apakah privacy notice organisation perlu menerangkan penggunaan tersebut.

Jangan install chatbot hanya kerana mudah tanpa memahami data flow.

Cookies: Adakah Website Malaysia Perlu Cookie Banner?

Ini perlu dijawab dengan berhati-hati.

Jangan assume bahawa setiap Malaysian website perlu meniru EU-style cookie banner dengan wording yang sama.

Cookie dan tracking requirement bergantung kepada:

• jenis technology;
• data yang dikumpulkan;
• purpose;
• third parties;
• consent requirement yang relevant;
• dan jurisdiction yang applicable kepada organisation atau users.

Namun, website owner tetap patut mengetahui cookies atau similar technologies yang digunakan.

Audit:

• essential/session cookies;
• analytics cookies;
• advertising cookies;
• embedded video cookies;
• chat widgets;
• booking widgets;
• social-media integrations.

Privacy notice perlu accurately reflect actual website behaviour.

Google Analytics dan Website Analytics Juga Perlu Disemak

Analytics membantu pemilik website memahami traffic dan behaviour.

Tetapi implementation masih perlu diperiksa dari sudut privacy.

Semak:

• analytics platform apa yang digunakan;
• apa information yang dihantar;
• configuration;
• data retention settings;
• user-identification features jika digunakan;
• third-party terms;
• dan cross-border implications apabila relevant.

Jangan tulis Privacy Policy:

“Kami tidak mengumpul sebarang data daripada visitor.”

jika website sebenarnya mempunyai analytics atau tracking tools yang mengumpulkan technical information.

Advertising Pixels Perlu Dimasukkan Dalam Tracking Inventory

Website yang menjalankan digital advertising mungkin menggunakan:

• conversion tracking;
• remarketing tags;
• advertising pixels;
• audience measurement;
• campaign analytics.

Sebelum menambah tracking script, business patut tahu:

• vendor;
• purpose;
• data yang dihantar;
• retention;
• consent requirement apabila applicable;
• dan sama ada privacy notice perlu dikemas kini.

Google Tag Manager Bukan Privacy Policy

Tag Manager hanya membantu mengurus tags.

Ia tidak menentukan sama ada data-processing activity tersebut sesuai atau compliant.

Anda masih perlu mengetahui apa yang sebenarnya dilancarkan melalui container.

Audit tags seperti:

• analytics;
• advertising;
• heatmap;
• chat;
• conversion tools;
• custom scripts.

Third-Party Services Patut Dipetakan

Website jarang beroperasi sendirian.

Data mungkin bergerak melalui:

• web hosting;
• cloud platform;
• email service;
• SMTP provider;
• CRM;
• form service;
• analytics platform;
• payment gateway;
• booking system;
• newsletter service;
• customer support platform;
• CDN;
• cloud storage.

Untuk setiap vendor, tanya:

1. Data apa yang dihantar?
2. Untuk purpose apa?
3. Siapa mengawal processing?
4. Di mana data diproses?
5. Berapa lama data disimpan?
6. Siapa boleh access?
7. Apa berlaku apabila contract tamat?

Apa Itu Data Controller dan Data Processor?

Secara ringkas:

Data controller biasanya menentukan purpose dan cara personal data diproses.

Data processor memproses personal data bagi pihak data controller.

Contohnya, bergantung kepada arrangement sebenar:

• business owner boleh menjadi data controller;
• cloud software vendor mungkin bertindak sebagai data processor untuk certain activities;
• agency yang mengurus database atau system boleh mempunyai processor responsibilities bergantung kepada role sebenar.

Jangan menentukan role hanya berdasarkan nama contract atau vendor.

Nilai siapa sebenarnya menentukan purpose dan bagaimana processing berlaku.

Kenapa Data Processor Lebih Penting Selepas Pindaan PDPA 2024?

Personal Data Protection (Amendment) Act 2024 memberi direct responsibility kepada data processors berkaitan Security Principle.

Ini menjadikan vendor review lebih penting.

Jika vendor mempunyai access kepada:

• customer database;
• form submissions;
• website accounts;
• cloud storage;
• CRM;
• atau personal data lain;

jangan hanya menilai harga dan features.

Semak juga security, access, contractual responsibilities dan data-handling practices.

Cross-Border Data Transfer Perlu Diperiksa

Website Malaysia boleh menggunakan technology yang menyimpan atau memproses data di luar Malaysia.

Contohnya:

• international cloud hosting;
• global analytics platforms;
• email marketing providers;
• CRM systems;
• software-as-a-service platforms;
• backup storage.

Jangan assume “website hosted in Malaysia” bermaksud semua data kekal di Malaysia.

Map setiap relevant vendor dan semak applicable cross-border requirements.

Untuk current official guidance, rujuk Personal Data Protection Guidelines on Cross-Border Transfer of Personal Data.

Collect Hanya Data Yang Anda Perlukan

Semasa membuat form, developer mudah menambah banyak fields kerana:

“Mungkin nanti berguna.”

Tetapi setiap additional field meningkatkan amount of personal data yang perlu diurus dan dilindungi.

Contohnya, untuk simple quotation request, adakah anda benar-benar perlukan:

• NRIC?
• Date of birth?
• Home address?
• Passport?

Jika tidak diperlukan untuk purpose enquiry tersebut, jangan collect hanya kerana form builder boleh melakukannya.

Jelaskan Mana Field Yang Mandatory dan Mana Yang Optional

Form design perlu membantu user memahami requirements.

Contohnya:

• Name — required.
• Phone — required jika business memang menggunakan call/WhatsApp.
• Email — optional jika tidak diperlukan.
• Project notes — optional.

Requirement sebenar bergantung kepada business process.

Jangan tandakan semua fields sebagai wajib tanpa reason.

Berhati-Hati Dengan File Upload

File-upload forms boleh mengumpul lebih banyak data daripada text field.

User mungkin upload:

• CV.
• IC copy.
• quotation.
• medical report.
• invoice.
• business documents.
• photographs.

Jika upload memang diperlukan, pertimbangkan:

• file-type restrictions;
• file-size limits;
• secure storage;
• malware scanning;
• access control;
• retention;
• deletion process.

Jangan menyediakan unrestricted public upload hanya kerana ia mudah dibina.

Job Application Form Perlu Difikirkan Secara Berasingan

Recruitment data mempunyai context yang berbeza daripada customer enquiry.

Candidate mungkin memberikan:

• full name;
• phone;
• email;
• employment history;
• education;
• references;
• CV;
• other personal information.

Privacy notice perlu menerangkan recruitment processing yang relevant, bukan hanya customer marketing.

E-Commerce Website Mempunyai Data Flow Yang Lebih Kompleks

Online store boleh mempunyai:

• customer account;
• shopping cart;
• delivery data;
• payment gateway;
• order records;
• email notifications;
• marketing tools;
• customer support;
• fraud-prevention services.

Jangan assume web developer menyimpan card information hanya kerana checkout berlaku pada website.

Dalam banyak setup, payment details diproses oleh external payment provider.

Document actual data flow supaya Privacy Notice tidak membuat statement yang salah.

Website Clinic dan Health Services Memerlukan Extra Care

Jika form meminta health information, ia boleh melibatkan sensitive personal data.

Website owner perlu menilai:

• adakah data tersebut benar-benar perlu dikumpul melalui public form;
• security;
• access;
• storage;
• retention;
• processor/vendor arrangements;
• dan relevant healthcare requirements.

Jangan menghantar sensitive health details kepada generic inbox atau spreadsheet tanpa memahami risk.

HTTPS Penting — Tetapi Ia Bukan PDPA Compliance

HTTPS encrypts data in transit antara browser dan server.

Ia ialah basic website-security requirement.

Tetapi HTTPS tidak menentukan:

• siapa mempunyai admin access;
• berapa lama data disimpan;
• sama ada database secure;
• adakah vendor sesuai;
• adakah data digunakan untuk correct purpose;
• atau adakah Privacy Notice accurate.

Untuk security checklist yang lebih lengkap, lihat Website Security Checklist Malaysia.

Gunakan Access Control Yang Sesuai

Tidak semua staff perlu melihat semua customer data.

Jika platform membenarkan, gunakan role-based access.

Contohnya:

• content editor tidak memerlukan customer database;
• marketing team mungkin tidak memerlukan server admin;
• external designer mungkin tidak memerlukan production customer records;
• developer access boleh diberikan hanya apabila diperlukan.

Kurangkan unnecessary access.

Jangan Gunakan Shared Admin Account Jika Boleh Dielakkan

Account seperti:

admin@company.com

yang dikongsi oleh owner, staff, developer dan agency boleh menyukarkan:

• access removal;
• activity tracing;
• password management;
• incident investigation.

Individual accounts lebih mudah diurus apabila platform menyokongnya.

Jangan Salin Production Customer Data ke Staging Tanpa Sebab

Developer mungkin membuat staging environment untuk testing.

Pastikan anda memahami sama ada staging mengandungi:

• real customer names;
• emails;
• orders;
• form submissions;
• account details.

Jika real data tidak diperlukan, gunakan synthetic atau sanitised test data.

Staging environment juga perlu mempunyai appropriate access control.

Retention: Jangan Simpan Data Selama-Lamanya

Retention Principle bermaksud personal data tidak sepatutnya disimpan lebih lama daripada yang diperlukan untuk purpose tersebut.

Website owner patut bertanya:

• Berapa lama form submission disimpan dalam CMS?
• Berapa lama email enquiry disimpan?
• Berapa lama CRM record disimpan?
• Berapa lama abandoned applications disimpan?
• Berapa lama backup menyimpan old copies?

“Forever” bukan default retention strategy yang baik.

Define retention berdasarkan business dan legal requirements.

Backup Juga Boleh Mengandungi Personal Data

Walaupun record sudah dipadam daripada live database, copy mungkin masih berada dalam backup.

Backup strategy perlu mengambil kira:

• retention;
• access control;
• encryption apabila sesuai;
• restore process;
• disposal.

Website security dan privacy perlu dirancang bersama.

Data Integrity: Maklumat Perlu Tepat dan Terkini

Jika organisation menggunakan personal data untuk membuat keputusan atau memberikan service, proses perlu membenarkan relevant information diperbetulkan apabila diperlukan.

Contohnya:

• alamat pelanggan;
• email;
• phone;
• account information.

Jangan lock data dalam system yang staff sendiri tidak tahu bagaimana untuk update.

Data Subject Perlu Ada Cara untuk Bertanya Tentang Data Mereka

Privacy notice patut memberikan contact route yang jelas.

Ini boleh berupa:

• dedicated email;
• privacy contact;
• DPO contact jika applicable;
• company contact details.

Organisation juga perlu mempunyai internal process untuk mengenal pasti request dan memberikannya kepada person yang sesuai.

Access dan Correction Requests Bukan Sekadar Link dalam Footer

Privacy notice boleh memberitahu user bahawa mereka mempunyai rights tertentu.

Tetapi organisation juga perlu tahu apa yang dilakukan apabila request sebenar diterima.

Contohnya:

1. Bagaimana identity requestor diverify?
2. Siapa mencari data?
3. Sistem mana perlu diperiksa?
4. Siapa approve response?
5. Bagaimana correction dibuat?

Website page sahaja tidak menyelesaikan operational process.

Data Portability Kini Perlu Diketahui oleh Organisation

Personal Data Protection (Amendment) Act 2024 memperkenalkan right to data portability.

Data subject boleh, tertakluk kepada applicable conditions termasuk technical feasibility dan compatibility, meminta personal data dihantar kepada data controller lain.

Untuk simple brochure website, feature “Export My Data” mungkin tidak diperlukan secara automatik.

Tetapi organisations dengan:

• customer accounts;
• large databases;
• subscription services;
• platform users;
• atau complex digital products;

patut memahami bagaimana request tersebut akan ditangani.

Adakah Semua Bisnes Perlu Lantik DPO?

Tidak wajar menganggap setiap small business website secara automatik perlu mempunyai full-time DPO.

Current DPO framework menetapkan conditions yang perlu disemak.

Official DPO registration system antaranya meminta organisation menilai sama ada ia:

• memproses personal data melebihi 20,000 data subjects;
• menyimpan financial, biometric atau health data melibatkan lebih 10,000 individuals;
• atau menjalankan processing yang melibatkan regular and systematic monitoring.

Jika business anda berada hampir kepada mana-mana kategori tersebut, semak current DPO rules secara rasmi dan dapatkan compliance advice yang sesuai.

Rujukan rasmi: Data Protection Officer registration portal.

Apa Yang Berlaku Jika Berlaku Personal Data Breach?

Personal Data Protection (Amendment) Act 2024 memperkenalkan data-breach notification requirements.

Current official guideline menetapkan notification kepada Commissioner apabila relevant notification criteria dipenuhi.

Guideline semasa menetapkan notification tersebut dibuat secepat practicable dan tidak lewat daripada 72 jam mengikut framework yang ditetapkan.

Apabila breach menyebabkan atau mungkin menyebabkan significant harm kepada data subject, separate notification kepada affected data subject juga boleh diperlukan.

Rujuk Personal Data Protection Guidelines on Data Breach Notification.

Untuk website owner, perkara utama ialah:

Jangan tunggu incident berlaku sebelum menentukan siapa yang perlu bertindak.

Sediakan Data-Breach Response Plan

Basic incident plan boleh menjawab:

• Siapa perlu diberitahu?
• Siapa boleh disable compromised access?
• Di mana logs berada?
• Bagaimana vendor dihubungi?
• Apa data mungkin terlibat?
• Bagaimana incident didokumentasikan?
• Siapa menentukan sama ada notification requirement terpakai?

Website developer boleh membantu technical investigation, tetapi legal notification decision mungkin memerlukan compliance atau legal input.

Data Protection by Design: Privacy Patut Dirancang dari Awal

Pejabat Pesuruhjaya Perlindungan Data Peribadi kini juga menerbitkan Data Protection By Design Guideline.

Untuk website project, concept ini sangat practical.

Sebelum build, tanya:

• Data apa yang benar-benar diperlukan?
• Boleh tak kurangkan fields?
• Siapa perlu access?
• Di mana data akan disimpan?
• Berapa lama perlu disimpan?
• Apa third-party tools digunakan?
• Adakah sensitive data terlibat?
• Adakah user perlu diberikan choice?
• Apakah security controls?

Lebih mudah membina flow yang baik dari awal daripada cuba memperbaikinya selepas database sudah dipenuhi customer data.

Privacy Patut Dimasukkan Dalam Website Brief

Apabila meminta web designer membina website, jangan hanya beri:

• logo;
• company profile;
• service list;
• warna;
• gambar.

Berikan juga information seperti:

• form apa diperlukan;
• data apa dikumpulkan;
• siapa menerima submissions;
• adakah CRM digunakan;
• adakah newsletter digunakan;
• analytics platform;
• advertising pixels;
• booking tools;
• payment provider;
• privacy requirement khusus.

Gunakan Website Brief Malaysia sebagai starting point untuk menyusun requirement sebelum development.

Privacy Policy, Terms & Conditions dan Cookie Notice Bukan Perkara Yang Sama

Document / Notice	Purpose Umum
Privacy / Personal Data Protection Notice	Menerangkan bagaimana personal data dikumpul dan diproses
Terms & Conditions	Mengawal terms penggunaan, transaksi atau service relationship
Cookie Notice / Controls	Menerangkan cookies/tracking dan memberikan controls apabila applicable
Disclaimer	Menerangkan limitation atau context tertentu bergantung kepada business

Jangan copy satu document dan menganggap ia menggantikan semua yang lain.

Apa Struktur Practical untuk Website Privacy Notice?

Exact wording perlu disesuaikan dengan business, tetapi structure boleh mempertimbangkan:

1. Introduction dan identity organisation.
2. Types of personal data collected.
3. Sources of personal data.
4. Purposes of processing.
5. Disclosure / classes of third parties.
6. Cookies dan online technologies jika relevant.
7. Cross-border processing jika relevant.
8. Security.
9. Retention.
10. Data-subject rights.
11. Compulsory vs optional information.
12. Contact details.
13. Effective / last reviewed date.

Jangan menggunakan template ini sebagai legal wording secara automatik.

Ia ialah website information architecture.

Jangan Copy Privacy Policy Daripada Website Lain

Ini antara kesilapan yang paling common.

Privacy Policy website lain mungkin menyebut:

• software yang anda tidak gunakan;
• country yang tidak relevant;
• vendor yang anda tiada;
• purposes yang anda tidak lakukan;
• legal framework yang salah;
• contact details syarikat lain.

Lebih teruk, website anda mungkin melakukan perkara yang langsung tidak diterangkan dalam copied policy.

Privacy notice perlu mencerminkan actual data processing.

Jangan Claim “Kami Tidak Berkongsi Data Dengan Mana-Mana Pihak” Jika Third Parties Memprosesnya

Website moden biasanya bergantung kepada external systems.

Jika form submission dihantar ke:

• email provider;
• CRM;
• cloud database;
• booking platform;
• payment gateway;
• newsletter system;

statement yang mengatakan data “tidak pernah diberikan kepada pihak ketiga” mungkin tidak accurate.

Map data flow dahulu sebelum menulis claim tersebut.

Jangan Claim “100% Secure”

Tiada website boleh dijamin kebal daripada semua security incidents.

Gunakan factual wording tentang security controls yang memang digunakan.

Contohnya:

• HTTPS.
• Access control.
• MFA jika digunakan.
• Encrypted storage jika memang digunakan.
• Backups.
• Monitoring.

Jangan invent security controls dalam privacy policy semata-mata supaya document nampak lebih professional.

Letakkan Effective Date dan Last Reviewed Date

Privacy notice patut mempunyai clear version information.

Contohnya:

• Effective date.
• Last updated / reviewed date.

Ini membantu organisation mengetahui bila document terakhir diperiksa.

Bila Privacy Notice Perlu Dikemas Kini?

Review apabila terdapat perubahan seperti:

• new contact form;
• CRM baru;
• newsletter system baru;
• analytics change;
• new advertising pixel;
• payment provider baru;
• booking platform baru;
• hosting migration;
• new mobile app;
• customer portal;
• different data-processing purposes.

Jangan treat privacy notice sebagai page yang dibuat sekali ketika launch kemudian tidak pernah disentuh.

Website Redesign Patut Termasuk Privacy Review

Redesign bukan sekadar menukar colours dan layout.

Website baru mungkin:

• menghapuskan old forms;
• menambah new forms;
• menukar analytics;
• menukar hosting;
• menambah CRM;
• menambah chatbot;
• menukar booking platform;
• menambah new integrations.

Semasa redesign, audit data flow supaya Privacy Notice tidak masih menerangkan old website.

Website Migration Juga Boleh Mengubah Data Processing

Apabila website berpindah ke hosting atau platform baru, semak:

• adakah database dipindahkan;
• di mana backups dibuat;
• siapa mendapat temporary access;
• adakah test copy dibuat;
• adakah new vendor berada di luar Malaysia;
• adakah old server masih mempunyai copy data.

Migration plan tidak patut memberi full customer database kepada vendor tanpa access dan disposal planning yang jelas.

Website Handover Perlu Meliputi Data Access

Apabila menukar developer atau agency, jangan hanya mengambil:

• domain password;
• hosting password;
• source code.

Semak juga:

• siapa mempunyai database access;
• form-submission storage;
• old backups;
• CRM integrations;
• analytics;
• tag manager;
• third-party accounts.

Gunakan Website Handover Checklist Malaysia untuk broader ownership dan access checks.

Privacy dan Website Ownership Berkait Rapat

Jika pemilik bisnes tidak tahu siapa mengawal:

• hosting;
• domain;
• database;
• website admin;
• CRM;
• email account;

mereka juga mungkin tidak tahu siapa mempunyai access kepada personal data.

Untuk memahami ownership dan access dengan lebih lanjut, baca Website Ownership Malaysia.

Privacy Checklist Sebelum Website Launch

Area	Semakan
Data inventory	Senaraikan semua personal data yang dikumpulkan
Purpose	Tentukan kenapa setiap data diperlukan
Forms	Buang fields yang tidak perlu
Privacy Notice	Pastikan content menggambarkan actual processing
Languages	Semak Bahasa Malaysia dan English requirements
Forms	Provide privacy link/context sebelum submission
Marketing	Pisahkan marketing choice apabila applicable
Cookies	Kenal pasti cookies dan tracking technologies
Analytics	Semak configuration dan data flow
Third parties	Senaraikan hosting, CRM, email, booking, payment dan vendors
Cross-border	Kenal pasti processing/storage di luar Malaysia
Security	HTTPS, accounts, access, updates dan backups
Retention	Tentukan berapa lama data disimpan
Rights	Sediakan contact process untuk access/correction requests
Breach	Tahu siapa perlu bertindak jika incident berlaku
Review	Record effective/last-reviewed date

Quick Website Privacy Audit untuk Pemilik Bisnes

Anda boleh mulakan dengan practical exercise ini:

1. Buka website dalam incognito/private browser.
2. Senaraikan semua forms.
3. Submit setiap form sebagai test.
4. Periksa ke mana submission dihantar.
5. Buka browser developer tools atau tag manager jika anda tahu menggunakannya.
6. Senaraikan analytics dan advertising tools.
7. Senaraikan chat dan booking widgets.
8. Semak Privacy Notice.
9. Bandingkan apa yang notice kata dengan actual website.
10. Semak siapa mempunyai admin/database access.

Jika anda menemui tool yang tidak dikenali, jangan terus delete dari production.

Identify function terlebih dahulu supaya anda tidak memecahkan important business tracking atau functionality.

Soalan Yang Patut Ditanya kepada Web Designer atau Developer

1. Data apa yang contact form simpan?
2. Adakah submission disimpan dalam database selain dihantar melalui email?
3. Di mana database dihost?
4. Siapa mempunyai access?
5. Apa analytics yang dipasang?
6. Apa advertising tags yang dipasang?
7. Adakah Tag Manager digunakan?
8. Apa third-party widgets yang digunakan?
9. Adakah website mempunyai cookies?
10. Adakah real customer data digunakan di staging?
11. Berapa lama form submissions disimpan?
12. Bagaimana data boleh dipadam?
13. Bagaimana backup disimpan?
14. Adakah website mempunyai Privacy Notice link berhampiran forms?
15. Adakah website memerlukan Bahasa Malaysia dan English notice?
16. Siapa bertanggungjawab terhadap legal wording?

Siapa Patut Menulis Privacy Notice?

Web designer boleh membantu:

• membina Privacy page;
• menyusun layout;
• menambah footer link;
• menambah notice berhampiran form;
• mengimplementasikan approved consent controls;
• mengenal pasti technical data flows;
• menghubungkan relevant tools.

Tetapi web designer tidak patut secara automatik dianggap sebagai lawyer atau DPO.

Jika business mempunyai:

• sensitive personal data;
• regulated sector;
• large-scale customer database;
• international data transfers;
• complex profiling;
• formal tender requirement;
• atau high-risk processing;

dapatkan specialist privacy/compliance input untuk wording dan obligations.

Bagaimana Nibong Web Studio Boleh Membantu?

Nibong Web Studio menyediakan Web Design dan Website Development untuk business websites Malaysia.

Dari sudut website implementation, perkara yang boleh dirancang termasuk:

• contact dan enquiry forms;
• form fields;
• Privacy Notice page structure;
• footer dan contextual privacy links;
• approved consent controls;
• responsive forms;
• external integrations;
• analytics dan tracking implementation;
• technical security foundations.

Nibong Web Studio juga boleh membantu website owner memahami technical data flow — contohnya ke mana form submission dihantar dan third-party services apa yang digunakan — supaya organisation boleh menyediakan privacy wording yang lebih accurate.

Namun, Nibong Web Studio tidak memposisikan web-design service sebagai formal legal PDPA advice, DPO service atau legal compliance certification.

Jika formal compliance interpretation diperlukan, approved legal/compliance wording perlu diberikan atau disahkan oleh appropriate professional sebelum implementation.

Soalan Lazim Tentang Website Privacy & PDPA Malaysia

Adakah website bisnes Malaysia perlu Privacy Policy?

Jika organisation memproses personal data dalam scope PDPA, Notice and Choice Principle memerlukan written notice mengenai processing tersebut. Untuk website, dedicated Privacy atau Personal Data Protection Notice page ialah common practical implementation.

Adakah Privacy Notice perlu dalam Bahasa Malaysia?

Section 7 PDPA menetapkan notis dalam national language dan English. Jadi organisation perlu mengambil language requirement ini serius dan tidak menganggap English-only notice sentiasa mencukupi.

Adakah contact form dikira personal data?

Jika form mengumpul information yang mengenal pasti atau boleh mengenal pasti individu seperti nama, email atau telefon, information tersebut boleh menjadi personal data.

Adakah WhatsApp termasuk dalam PDPA?

PDPA bukan khusus kepada satu platform. Jika organisation menerima dan memproses personal data pelanggan melalui WhatsApp sebagai sebahagian daripada commercial activity, broader data-handling obligations masih perlu dipertimbangkan.

Adakah semua website perlu cookie banner?

Tidak sesuai untuk membuat general claim bahawa setiap Malaysian website mesti mempunyai EU-style cookie banner. Requirement bergantung kepada cookies, tracking technology, purpose, data processing dan applicable legal obligations. Website owner sekurang-kurangnya perlu tahu cookies dan tracking apa yang digunakan dan memastikan privacy information accurate.

Adakah Google Analytics melibatkan privacy?

Ya, analytics implementation patut dimasukkan dalam privacy review kerana technical information dan usage information boleh dihantar kepada analytics provider bergantung kepada configuration.

Adakah Meta Pixel atau advertising pixel perlu disebut?

Advertising tracking patut dimasukkan dalam data/tracking inventory dan privacy notice perlu mencerminkan relevant processing. Exact consent requirement bergantung kepada setup dan applicable law.

Adakah Privacy Policy template percuma boleh digunakan?

Template boleh membantu memahami structure, tetapi jangan publish tanpa menyesuaikannya kepada actual business. Generic template mungkin mempunyai vendor, purpose, country atau claims yang tidak tepat.

Adakah SSL bermaksud website sudah PDPA compliant?

Tidak. HTTPS membantu melindungi data in transit tetapi PDPA juga melibatkan notice, purpose, disclosure, security, retention, integrity, access dan other obligations.

Adakah semua small business perlu DPO?

Tidak semestinya. Current DPO framework mempunyai conditions dan thresholds yang perlu dinilai. Organisation yang memproses data pada skala tertentu atau menjalankan regular and systematic monitoring patut semak current official requirements.

Apakah data breach?

Personal Data Protection (Amendment) Act 2024 memperkenalkan definition dan notification framework untuk personal data breach, termasuk situations seperti loss, misuse atau unauthorised access kepada personal data.

Berapa cepat data breach perlu dilaporkan?

Current official Data Breach Notification guideline menetapkan notification kepada Commissioner secepat practicable dan tidak lewat daripada 72 jam apabila applicable notification criteria dipenuhi. Organisations yang mengalami incident patut merujuk current official guideline dan mendapatkan suitable compliance advice dengan segera.

Adakah privacy notice perlu link daripada footer?

Footer link ialah common dan useful implementation kerana ia membuat notice mudah dicari dari seluruh website. Untuk forms atau specific data collection, contextual link atau short notice berhampiran collection point juga boleh membantu.

Bolehkah web designer tulis Privacy Policy untuk saya?

Web designer boleh membantu structure, implementation dan technical data mapping. Tetapi jika anda memerlukan formal legal wording atau compliance opinion, document tersebut patut disediakan atau disahkan oleh appropriately qualified professional.

Adakah website lama perlu dikemas kini selepas PDPA amendments?

Jika website atau privacy notice belum disemak sejak sebelum perubahan 2024/2025, audit semasa boleh membantu menentukan sama ada terminology, data-processing description, vendors, security process atau notice masih accurate.

Rujukan Rasmi untuk Pemilik Website Malaysia

Untuk semakan lanjut, gunakan sumber rasmi berikut:

• Personal Data Protection Act 2010 [Act 709].
• Personal Data Protection (Amendment) Act 2024.
• Guidance on the Preparation of Personal Data Protection Notices.
• Data Breach Notification Guidelines.
• Cross-Border Transfer Guidelines.
• Data Protection By Design Guideline.

Kerana data-protection requirements dan official guidance boleh berubah, review latest version daripada Pejabat Pesuruhjaya Perlindungan Data Peribadi apabila membuat compliance decision.

Kesimpulan

Website privacy bukan sekadar menambah Privacy Policy link di footer.

Langkah yang lebih penting ialah memahami bagaimana personal data bergerak melalui website dan business.

Mulakan dengan soalan berikut:

• Data apa yang kami kumpulkan?
• Kenapa kami memerlukannya?
• Adakah semua fields benar-benar diperlukan?
• Ke mana data dihantar?
• Vendor mana mempunyai access?
• Adakah data dipindahkan ke luar Malaysia?
• Berapa lama data disimpan?
• Siapa boleh access?
• Bagaimana user boleh meminta access atau correction?
• Apa berlaku jika data breach berlaku?

Kemudian pastikan Privacy Notice, forms, consent mechanisms, tracking dan website functionality sepadan dengan actual process tersebut.

Privacy juga perlu dikaji semula apabila website berubah.

New forms, CRM, analytics, advertising pixels, booking systems, payment providers, chatbots dan hosting migrations semuanya boleh mengubah data flow.

Jika anda sedang merancang website baru atau mahu memperbaharui website sedia ada dan perlukan bantuan untuk menyusun forms, integrations, privacy-notice placement dan technical website structure, hubungi Nibong Web Studio dan terangkan jenis website serta systems yang akan digunakan.

Untuk formal interpretation mengenai PDPA obligations atau legal wording, dapatkan review daripada qualified privacy, compliance atau legal professional yang sesuai.