Do You Need a Data Protection Officer in Malaysia?

Kebanyakan perniagaan di Malaysia membaca ambang DPO, melihat “20,000 subjek data”, membuat kesimpulan bahawa mereka jauh daripada angka itu, lalu berhenti membaca. Syarat ketiga terletak satu baris di bawahnya, ia langsung tidak mempunyai sebarang angka, dan contoh sebenar yang diberikan sendiri oleh Pesuruhjaya adalah sebuah kedai dalam talian yang mengesyorkan produk.

Itulah perangkapnya. Ia bukan satu kesilapan dalam penggubalan, dan ia telah berkuat kuasa sejak 1 Jun 2025.

Apakah sebenarnya yang dikehendaki oleh seksyen 12A?

Seksyen 12A dimasukkan ke dalam Akta Perlindungan Data Peribadi 2010 (Personal Data Protection Act 2010) melalui s.6 Akta A1727 dan berkuat kuasa pada 1 Jun 2025 di bawah P.U.(B) 522/2024.

Seksyen 12A(1) menghendaki seorang pengawal data melantik seorang atau lebih pegawai perlindungan data yang bertanggungjawab terhadap pematuhan Akta. Seksyen 12A(2) mengenakan kewajipan yang sama ke atas seorang pemproses data yang memproses bagi pihak pengawal data. Seksyen 12A(3) menghendaki pengawal data memaklumkan Pesuruhjaya tentang pelantikan itu. Seksyen 12A(4) menjelaskan bahawa pelantikan itu tidak melepaskan sebarang kewajipan.

Akta itu sendiri tidak menetapkan sebarang ambang. Syarat-syaratnya terkandung dalam Personal Data Protection Guideline: Appointment of Data Protection Officer, Versi 1.0, yang dikeluarkan pada 25 Februari 2025, dibaca bersama Pekeliling Pesuruhjaya Perlindungan Data Peribadi No. 1/2025.

Siapakah yang terikat dengan ambang ini?

Perenggan 4.2 menetapkan tiga syarat. Ketiga-tiganya digabungkan dengan “atau” — mana-mana satu sahaja mencetuskan kewajipan itu.

Syarat	Keadaan	Ambang jumlah
4.2.1	Data peribadi melebihi 20,000 subjek data	20,000
4.2.2	Data peribadi sensitif termasuk maklumat kewangan melebihi 10,000 subjek data	10,000
4.2.3	Aktiviti yang memerlukan pemantauan berkala dan sistematik ke atas data peribadi	tiada

Tiada ambang hasil dan tiada ambang bilangan pekerja di mana-mana bahagian perenggan ini.

Apakah yang dianggap sebagai pemantauan berkala dan sistematik?

Perenggan 4.3 memberikan contoh, bukan definisi. Membacanya mengikut turutan:

• Apa-apa bentuk aktiviti di mana subjek data dikesan dan diprofilkan dalam talian atau luar talian untuk pengiklanan tingkah laku (behavioural advertising) adalah pemantauan.
• Laman web runcit yang menggunakan algoritma untuk memantau carian dan pembelian penggunanya dan, berdasarkan maklumat itu, menawarkan cadangan kepada mereka “akan dianggap menjalankan pemantauan berkala dan sistematik ke atas subjek data”.
• Mengendalikan rangkaian telekomunikasi; memantau data kesejahteraan, kecergasan dan kesihatan melalui peranti boleh pakai (wearable devices); serta aktiviti yang melibatkan CCTV atau peranti bersambung seperti kereta pintar dan sistem automasi rumah — kesemuanya dianggap sebagai pemantauan.
• Menguruskan program kesetiaan (loyalty programme) “mungkin tidak dianggap” sebagai pemantauan jika tujuannya semata-mata untuk menguruskan akaun dan bukan untuk memantau tingkah laku pembelian.

Baca semula bullet kedua itu. Ia bukan kes terpencil yang tersembunyi dalam lampiran — ia adalah ilustrasi utama garis panduan tersebut, dan ia menggambarkan sebuah kedai dalam talian Shopify atau WooCommerce yang biasa dengan widget cadangan produk dihidupkan. Tambahkan piksel penyasaran semula (retargeting pixel) Meta atau TikTok dan anda turut berada tepat di dalam bullet pertama.

Kebanyakan panduan menyatakan ambang DPO sebagai “20,000 subjek data”. Itu hanyalah yang pertama daripada tiga alternatif, dan yang paling kurang berkemungkinan menentukan persoalan ini bagi sebuah perniagaan kecil di Malaysia.

Pengecualian program kesetiaan ini menunjukkan garis pemisah yang ditetapkan oleh Pesuruhjaya. Pemprosesan untuk pentadbiran akaun bukan pemantauan. Pemprosesan untuk memahami atau meramalkan tingkah laku adalah pemantauan. Baki mata adalah baik-baik sahaja; skor kecenderungan churn (churn-propensity score) bukan.

Bagaimana anda melantik dan mendaftarkan seorang pegawai perlindungan data?

Kelayakan. Perenggan 5.4 tidak menetapkan sebarang kelayakan profesional minimum. Perenggan 5.5 menghendaki pengetahuan yang dapat dibuktikan tentang Akta 709, pemahaman tentang perniagaan dan operasi pemprosesannya, pemahaman tentang IT dan keselamatan data, integriti peribadi, serta keupayaan untuk membina budaya perlindungan data. JPDP mengeluarkan DPO Competency Guideline yang berasingan pada 1 Ogos 2025.

Konflik kepentingan. Perenggan 6.2 membenarkan pemegangan dua jawatan (dual-hatting) tetapi menerangkannya melalui satu contoh khusus: seorang Ketua Pemasaran yang diminta menjalankan kempen tidak seharusnya memegang peranan DPO, kerana usaha memaksimumkan pengumpulan data pelanggan dan jualan bercanggah dengan fungsi pematuhan. Pengurus rekod dan pegawai pematuhan dinyatakan sebagai umumnya selamat.

Struktur. Perenggan 6.3 membenarkan jawatan sepenuh masa atau separuh masa. Perenggan 6.4 menghendaki penggantian dalam tempoh masa yang munasabah apabila seorang DPO meninggalkan jawatan, dengan pelantikan sementara secepat mungkin.

Pendaftaran. Perenggan 7.1 memberikan tempoh 21 hari dari tarikh pelantikan untuk mendaftarkan DPO dan mengemukakan maklumat perhubungan perniagaan mereka. Perenggan 7.2 menyalurkan pendaftaran ini melalui Sistem Perlindungan Data Peribadi (SPDP) di daftar.pdp.gov.my. Perenggan 7.4 menghendaki sebarang perubahan DPO atau butiran perhubungan dikemas kini tidak lewat daripada 14 hari dari tarikh berkuat kuasa pelantikan baharu.

Kebebasan dan tempoh perkhidmatan. Perenggan 12.2 menyatakan bahawa seorang DPO tidak boleh diberhentikan kerana menjalankan tugas dengan suci hati, kecuali jika mereka telah melanggar undang-undang atau didapati cuai atau bersalah atas salah laku.

Apakah yang perlu dilakukan oleh organisasi untuk DPO?

Bahagian D garis panduan itu meletakkan kewajipan ke atas perniagaan yang melantik, bukan setakat ke atas pegawai itu sahaja.

Perenggan 13.1 menghendaki DPO dilibatkan dalam semua perkara berkaitan perlindungan data peribadi secara tepat pada masanya — dan perenggan 13.2 mengaitkan hal ini dengan peringkat paling awal kitaran hayat pemprosesan data, bermula daripada penggubalan dasar hinggalah kepada pengumpulan, penyimpanan dan pemusnahan. Ilustrasinya jelas: DPO seharusnya turut hadir dalam mesyuarat pengurusan kanan atau lembaga pengarah, atau kumpulan kerja yang berkaitan, di mana tadbir urus data peribadi dibincangkan.

Garis panduan itu juga menghendaki perniagaan memperuntukkan sumber kepada peranan ini, menyiarkan dan menyampaikan butiran perhubungan DPO, serta menyimpan rekod. Seorang DPO yang baru mengetahui tentang produk baharu dua minggu sebelum pelancarannya adalah bukti kegagalan syarikat di bawah perenggan 13.2, bukan kegagalan pegawai itu.

Terdapat juga kaitan praktikal dengan tindak balas pelanggaran data. Apabila DPO adalah mandatori, perenggan 7.8 Data Breach Notification Guideline menjadikan pegawai itu sebagai titik hubungan utama Pesuruhjaya bagi sebarang pertanyaan tentang pelanggaran data. Apabila ia tidak mandatori, pengawal data tetap perlu melantik seorang wakil yang mempunyai kekananan dan kepakaran yang mencukupi. Walau apa pun, seseorang mesti boleh dihubungi semasa jam 72 jam sedang berjalan.

Kesilapan lazim

Menganggap syarat-syarat ini sebagai kumulatif. Ia adalah alternatif. Anda tidak perlu mempunyai 20,000 subjek data dan pemantauan.

Menganggap jumlah adalah satu-satunya laluan. Syarat 4.2.3 tiada sebarang angka. Sebuah perniagaan dengan 800 pelanggan dan enjin cadangan produk adalah calon yang lebih berkemungkinan berbanding perniagaan dengan 19,000 pelanggan dan pangkalan data pesanan biasa.

Menganggap “data peribadi sensitif” hanya meliputi hal perubatan. Seksyen 4 Akta 709 merangkumi kesihatan fizikal atau mental, pandangan politik, kepercayaan agama, pelakuan atau dakwaan pelakuan sesuatu kesalahan, dan — sejak 1 April 2025 — data biometrik. Perenggan 4.2.2 turut memasukkan maklumat kewangan ke dalam kiraan yang sama. Sebuah syarikat fintech dengan 10,001 pengguna adalah terikat.

Melantik tetapi tidak mendaftar. Pelantikan dan pendaftaran adalah dua tindakan berasingan dengan jurang 21 hari antara kedua-duanya. Seorang DPO yang tidak didaftarkan tidak memenuhi s.12A(3).

Menganggap DPO pemproses data turut melindungi pengawal data. Seksyen 12A(1) dan 12A(2) mewujudkan dua kewajipan yang berasingan. Pelantikan DPO oleh vendor anda tidak memberi sebarang manfaat kepada anda.

Tidak pernah merekodkan keputusan negatif. Perenggan 4.5 menggalakkan anda merekodkan sebab-sebab kesimpulan bahawa anda berada di luar perenggan 4.2. Nota rekod itu murah untuk dibuat sekarang dan bernilai sekiranya JPDP bertanya kelak.

Langkah seterusnya

Uji ketiga-tiga syarat terhadap setiap aktiviti pemprosesan, bukan terhadap perniagaan secara keseluruhan — pemasaran, HR dan sokongan pelanggan boleh memberikan hasil yang berbeza. Jika mana-mana syarat dipenuhi, lantiklah DPO, kemudian catatkan tarikh akhir pendaftaran 21 hari melalui SPDP dalam kalendar anda. Jika tiada satu pun dipenuhi, tuliskan rekod perenggan 4.5 dan uji semula setiap kali anda menambah analitis, pengiklanan atau pemprofilan.

Kemudian semak kewajipan pemberitahuan pelanggaran data di bawah s.12B, yang turut berkuat kuasa pada hari yang sama dan terpakai sama ada anda memerlukan DPO atau tidak.