马来西亚个人数据保护法合规要点与电商适用说明
马来西亚是东南亚第二大电商市场，跨境卖家在布局 Lazada、Shopee、TikTok Shop、独立站等渠道时，几乎不可避免要收集当地消费者的姓名、地址、电话、邮箱、身份证号乃至支付信息。这些都属于 个人数据，受《2010年个人数据保护法》（Personal Data Protection Act 2010，简称 PDPA）及其 2013 年生效的附属法规约束。
对内地出海团队而言，PDPA 的逻辑与中国《个人信息保护法》（PIPL）、欧盟 GDPR 都高度相似：合法性基础、最小必要、数据主体权利、跨境传输、安全义务。差异主要落在 申报登记（Notification）、注册数据保护官（DPO）、罚款上限 与 本地数据存储 等执行细节。本文按”什么是 PDPA、电商要做什么、什么时候罚款、跨境要不要单独做”四层逻辑展开。
一、PDPA 的法律定位与监管框架
| 维度 | 内容 |
|---|---|
| 法律名称 | Personal Data Protection Act 2010（Act 709） |
| 主管机关 | Jabatan Perlindungan Data Peribadi（JPDP，个人数据保护局） |
| 核心义务人 | “Data User”——任何以商业目的独立或联合处理个人数据的实体 |
| 适用范围 | 在马来西亚境内”收集、处理、提供商业服务”使用个人数据的主体；不在马来西亚境内、但使用马来西亚境内的设备处理数据也受管辖 |
| 罚则上限 | 行政罚款 30 万—50 万林吉特；监禁最高 3 年；具体金额以官方最新公布为准 |
需要注意：PDPA 对 “公共机构”（政府部门、法定机构）和 “非商业用途处理” 设有豁免，例如纯家庭或纯新闻用途不受本法约束。电商卖家属于典型商业实体，几乎必然落入 PDPA 管辖。
二、数据用户的七项核心义务（General Principles）
PDPA 第 5—14 条列出 七大处理原则，是所有合规操作的”母法”：
- General Principle（一般原则）：取得数据主体的明示或默示同意；告知其处理目的；不得超范围使用。
- Notice and Choice Principle（告知与选择原则）：收集时须以书面或同等方式告知目的、用途、第三方披露、查阅更正权利。
- Disclosure Principle（披露原则）：仅在数据主体书面同意或法律授权下向第三方披露；可在”必要且不致损害”前提下做有限披露。
- Security Principle（安全原则）：采取合理技术与组织措施，防止数据遗失、滥用、未经授权访问；发生泄露应及时通报 JPDP 与受影响主体。
- Retention Principle（保留原则）：仅在为实现目的所必需的期限内保留数据；超出后须销毁或永久匿名化。
- Data Integrity Principle（完整性原则）：保证数据准确、完整、不误导；必要时及时更新。
- Access Principle（访问原则）：数据主体有权要求访问与更正其数据；Data User 须在合理期限内（通常 21 天）响应。
实务上，这七条直接对应电商场景的”用户协议—隐私政策—Cookie 弹窗—注销/删除功能—安全审计—数据保留策略—客服响应 SOP”。
三、数据主体的八项法定权利
PDPA 第 7—11 条赋予数据主体以下可行使权利：
- 要求访问个人数据副本
- 要求更正错误或过时数据
- 撤回同意（撤回前已发生的处理仍可合法）
- 阻止进一步处理（用于直接营销时尤重要）
- 要求删除（若处理已无必要或违反法律）
- 退出直销名单（Do Not Call 制度，详见下文）
- 反对自动化决策与画像（部分情形）
- 就违规处理向 JPDP 投诉
电商场景里最常被行使的是 撤回直销同意 与 要求删除账户数据。卖家必须在产品层面提供「取消订阅」「删除账户」「导出个人数据」三项闭环入口。
四、电商必须做好的五件落地事项
1. 完成 Data User 申报（Notification）
- 提交主体：所有 Data User 在处理数据前须向 JPDP 提交 Notification Form（在线/纸质均可），并按周期缴费。
- 费用：一次性申请费 + 年度续费，金额以 JPDP 最新公告为准。
- 例外：员工人数 < 21 人且属于”B2B 处理以外”的小型商户可申请豁免——但跨境电商通常涉及大量 C 端数据，多数情况下不适用。
卖家务必保留 Notification 受理回执，用于配合 JPDP 现场核查与续期。
2. 任命数据保护官（DPO）
| 行业 | 是否强制要求 DPO |
|---|---|
| 通讯、银行、保险、医疗、教育等公共/敏感领域 | 强制 |
| 跨境电商（涉及支付 + 跨境传输） | 实务上强烈建议任命 |
| 小型 B2B SaaS | 可由管理层兼任 |
DPO 的职责包括：监督合规、设计培训、接收投诉、与 JPDP 对接、主导 DPIA（数据保护影响评估）。内地企业可在马来西亚委任本地代理 DPO，也可由驻马负责人兼任。
3. 部署隐私政策与同意机制
合规文案要点：
- 明示同意（Explicit Consent）：处理敏感数据（宗教、健康、生物识别、政治倾向等）必须明示同意。
- 默示同意（Implied Consent）：普通个人数据在”未明确拒绝且合理预期范围内”可成立默示同意，但用于直销则不行。
- 再同意（Re-consent）：处理目的变更前必须重新取得同意。
- 未成年人：18 岁以下须取得父母/监护人同意。
落地动作：网站底部”Privacy Policy”链接、独立勾选框（默认不勾）、独立 Cookie Banner、退订邮件一键可达。
4. 遵守 Do Not Call（DNC）制度
DNC 法规对 电话、短信、传真直销 设置全国禁呼名单：
- 个人注册 DNC 后 30 天 起生效，违规拨打将被罚款最高 50 万林吉特/次（具体以官方最新公布为准）。
- B2B、已建立客户关系、未注册 DNC 的号码可在”合理期间”内继续联系。
- 短信、WhatsApp 等虽不在 DNC 原函中，但若构成骚扰，受害者仍可通过《2010 年通讯与多媒体法》追责。
5. 设计数据保留与销毁策略
| 数据类型 | 建议保留期限 | 处理方式 |
|---|---|---|
| 订单与发票数据 | 7 年（税务要求） | 加密存档，到期销毁 |
| 营销订阅数据 | 退订后 12 个月内可继续用于非营销目的；之后需删除 | 自动化退订脚本 |
| 客服对话记录 | 24 个月 | 匿名化处理后归档 |
| 浏览器 Cookie/设备 ID | 会话级/功能必需项 vs. 营销追踪项分别对待 | 弹窗分级同意 |
五、跨境数据传输：是否要”本地化”？
PDPA 未强制本地化存储——这是与俄罗斯、印尼、中国《数据安全法》的重要区别。卖家既可使用 AWS Singapore 节点，也可使用境内服务器，但须满足：
- 跨境传输 不影响数据主体的权利保护水平；
- 已采取 同等或更高 的安全措施；
- 在隐私政策中明示 跨境传输目的地与处理者；
- 必要时与境外接收方签订 Data Processing Agreement（DPA）或合同条款。
实务提醒：若同时面向欧盟用户，须叠加遵守 GDPR；面向中国大陆用户须叠加 PIPL。建议使用 分层架构 + 模块化合规 复用同一套隐私政策。
六、违规后果：行政、民事与刑事三层追责
| 处罚类型 | 触发情形 | 后果（金额以官方最新公布为准） |
|---|---|---|
| 行政罚款 | 违反七项原则、未申报、未任命 DPO、未响应数据主体请求 | 30 万—50 万林吉特 |
| 监禁 | 未经授权披露/出售个人数据、违规再处理、伪造文件 | 最高 3 年 |
| 民事赔偿 | 数据主体因违规处理遭受损害 | 由法院裁定实际损失 + 精神损害 |
| 行政处罚 | JPDP 现场检查后下达整改令，逾期未改可加重 | 罚款 + 公开通报 |
2022 年起，JPDP 已多次对电商、电信、地产中介开出百万林吉特级别罚单，并公开违规者名称与处置详情——罚款不是空头威胁。
七、跨境电商 30 天落地清单（精简版）
| 阶段 | 动作 | 责任方 |
|---|---|---|
| D1—D7 | 完成 PDPA 合规差距诊断，识别收集哪些个人数据、流转路径 | 法务 / 隐私顾问 |
| D8—D14 | 起草并上线条目化隐私政策（EN + BM 双语）、Cookie Banner、同意记录系统 | 产品 + 法务 |
| D15—D20 | 提交 JPDP Notification；任命 DPO；与海外接收方签订 DPA | 法务 + HR |
| D21—D25 | 部署退订、删除、导出三件套；客户支持 SOP 培训 | 运营 + 客服 |
| D26—D30 | 数据保留策略上线；安全审计（SSL、加密、访问控制）；首次 DPIA 留档 | IT + 法务 |
八、与 PIPL、GDPR 的关键差异速查
| 维度 | PDPA（马来西亚） | PIPL（中国） | GDPR（欧盟） |
|---|---|---|---|
| 合法性基础 | 同意 + 合同必要 + 法律义务等 | 同意 + 合同 + 法定职责等 | 同意 + 合同必要等 6 类 |
| 强制本地化 | 否 | 关键信息基础设施运营者有要求 | 否 |
| 强制 DPO | 部分行业 | 处理达一定量级须指定 | 部分情形必须 |
| 强制申报 | 是（向 JPDP） | 否 | 否 |
| 罚款上限 | 30 万—50 万林吉特 | 5,000 万元/上年度营收 5% | 2,000 万欧元/4% 全球营收 |
| 敏感数据范围 | 含宗教、健康、犯罪记录等 13 类 | 含生物识别、宗教、特定身份、医疗等 | 含种族、政治、宗教、基因等 |
| 数据主体访问权 | 有 | 有 | 有 |
进入马来西亚市场时，Notification + DPO + 隐私政策这三件套是不可省略的”入门动作”，缺一即处于违规状态。
马来西亚电商市场仍在以双位数速度增长，跨境卖家面对的不是”要不要做 PDPA 合规”的问题，而是”以怎样的成本尽快闭环”的问题。把 Notification、隐私政策、同意机制、退订链路四件事做扎实，已经能挡掉 80% 的合规风险；剩余 20% 属于数据安全与跨境传输层面，需要 IT 与法务联动补足。
如需了解香港个人资料私隐专员公署（PCPD）的合规框架、内地企业赴港数据中心的选址考量，或 Shopify / Shopee 入驻前需要准备的资料清单，欢迎前往 hkguide.org 浏览更多香港与跨境出海合规指南。
常见问答
PDPA 的 Notification 申报需要每年做一次吗？年度续费金额大概是多少？
Data User 在向 JPDP 提交 Notification Form 后，需按周期缴费，”金额以 JPDP 最新公告为准”。建议卖家首次申报完成后，留存受理回执并关注官方续期通知，避免因逾期未续被认定为违规。
跨境电商一定要任命数据保护官（DPO）吗？
原文指出，DPO 在通讯、银行、保险、医疗、教育等领域属强制要求；跨境电商因涉及支付与跨境传输，”实务上强烈建议”任命。内地企业可由驻马负责人兼任，也可委任本地代理 DPO，原文未给出强制门槛的硬性数字。
Do Not Call 制度对短信和 WhatsApp 营销是否适用？
原文明确 DNC 法规针对电话、短信、传真三类直销设置全国禁呼名单，个人注册 30 天起生效，违规拨打最高罚款 50 万林吉特/次（具体以官方最新公布为准）。对于 WhatsApp 等未列入 DNC 原函的渠道，若构成骚扰，受害者仍可援引《2010 年通讯与多媒体法》追责。
把马来西亚用户数据存放在新加坡 AWS 节点，是否违反 PDPA？
不违反。原文明确 PDPA 未强制本地化存储，可使用 AWS Singapore 节点或境内服务器，但须满足四项条件：不影响数据主体权利保护水平、已采取同等或更高安全措施、在隐私政策中明示跨境传输目的地与处理者、必要时与境外接收方签订 DPA 或合同条款。
同时面向马来西亚和欧盟用户，是否可以共用同一套隐私政策？
原文建议”分层架构 + 模块化合规”复用同一套隐私政策，但前提是叠加遵守各司法辖区的具体规则。面向马来西亚用户须遵循 PDPA（含 Notification、DPO、退订链路），面向欧盟用户须叠加 GDPR，面向中国大陆用户须叠加 PIPL，建议按地区配置差异化条款与同意记录。