Adakah Anda Perlukan Lesen untuk Menjual dalam Talian di Malaysia?

Tidak wujud apa-apa yang dipanggil lesen e-dagang di Malaysia. Tiada statut yang mewujudkannya, tiada agensi yang mengeluarkannya, dan tiada yuran yang perlu dibayar untuknya.

Namun begitu, ada masalah yang jauh lebih mahal: hampir setiap panduan menjual dalam talian di Malaysia memetik undang-undang yang telah dimansuhkan. Peraturan-Peraturan Pelindungan Pengguna (Transaksi Perdagangan Elektronik) 2012 telah dimansuhkan pada 25 Disember 2024. Jika senarai semak pematuhan anda mempunyai lapan item pendedahan padanya, ia kira-kira lapan belas bulan ketinggalan zaman.

Mengapa tiada lesen — dan bagaimana kita mengetahuinya

KPDN mentadbir sepuluh Akta, dan tiada satu pun daripadanya mewujudkan lesen e-dagang. Kajian Semula Kawal Selia E-Dagang sendiri melayan pelesenan perantara e-dagang sebagai pilihan dasar yang telah dipertimbangkan dan tidak diterima pakai, dan merekodkan pendirian MCMC bahawa platform e-dagang berada di luar bidang kuasanya dan bahawa s.126 Akta Komunikasi dan Multimedia 1998 tidak digunakan untuk melesenkannya.

Itu ialah suatu penemuan negatif yang dihimpun daripada senarai statut dan kajian dasar dan bukannya satu ayat rasmi tunggal — tetapi ia adalah bukti terkuat yang tersedia, dan ia menghala ke satu arah.

Pelesenan MCMC yang memang wujud bukan mengenai anda. Sejak 1 Januari 2025, perkhidmatan media sosial dan perkhidmatan pemesejan internet boleh dilesenkan secara kelas di bawah P.U.(A) 205/2024. Angka “8 juta pengguna” yang banyak dilaporkan datang daripada P.U.(A) 206/2024 dan merupakan ambang pengecualian — penyedia dengan kurang daripada lapan juta pengguna Malaysia dikecualikan. Ia kerap dilaporkan secara terbalik, dan ia terpakai kepada platform, bukan kepada penjual di atasnya.

Daftarkan perniagaan

Di Semenanjung Malaysia, ROBA 1956 s.2 mentakrifkan perniagaan sebagai “setiap bentuk perdagangan, niaga, ketukangan, pekerjaan, profesion, atau aktiviti lain yang dijalankan bagi tujuan keuntungan”. Tiada apa dalam takrifan itu yang bergantung pada premis atau stok. Seseorang yang menjual daripada telefon adalah menjalankan perniagaan.

• s.5(1) — memohon dalam tempoh 30 hari dari permulaan
• s.11A — mempamerkan sijil di tempat perniagaan utama; denda s.12(2) RM2,000 atau enam bulan
• s.12(1)(a) — menjalankan perniagaan yang tidak berdaftar: denda sehingga RM50,000, penjara sehingga dua tahun, atau kedua-duanya

Sanksi yang hampir tiada sesiapa menulis tentangnya ialah s.8. Sementara butir-butir yang ditetapkan bagi seorang rakan kongsi perniagaan tidak berada dalam daftar, tiada hak orang itu yang timbul daripada suatu kontrak yang dibuat berkaitan dengan perniagaan itu boleh dikuatkuasakan melalui saman, dalam apa jua nama. Relif hanya datang atas permohonan kepada Mahkamah Tinggi. Seorang penjual dalam talian yang tidak berdaftar yang ditipu oleh pembekal memulakan pertikaian tanpa boleh menyaman atas kontrak.

ROBA 1956 terpakai kepada Semenanjung Malaysia sahaja (s.1(2), diperluas ke Labuan pada 1996); Sabah dan Sarawak tidak pernah menerima pakainya. Penjual di sana mendaftar di bawah instrumen negeri sebaliknya: di Sarawak, Ordinan Nama Perniagaan (Bab 64) dan Ordinan Pelesenan Perniagaan, Profesion dan Perdagangan (Bab 33); di Sabah, pendaftaran perniagaan dan perdagangan dijalankan melalui Ordinan Pelesenan Perdagangan (Sabah Bab 144), yang ditadbir oleh pihak berkuasa tempatan.

Apa yang mesti dipaparkan pada penyenaraian — sepuluh item

Instrumen semasa ialah Peraturan-Peraturan Pelindungan Pengguna (Transaksi Perdagangan Elektronik) 2024, P.U.(A) 449/2024, yang dibuat di bawah s.150(2)(a) Akta Pelindungan Pengguna 1999, dibuat pada 20 Disember 2024 dan berkuat kuasa pada 25 Disember 2024. Peraturan 10 memansuhkan peraturan 2012 secara mutlak.

Peraturan 2 mentakrifkan pasar dalam talian sebagai “apa-apa platform perdagangan elektronik yang dijalankan melalui cara elektronik oleh mana-mana pembekal”, dan pembekal pasar dalam talian sebagai “mana-mana orang yang menjalankan perdagangan atau iklan melalui pasar dalam talian”. Pada zahirnya perkataan itu cukup luas untuk merangkumi laman web penjual itu sendiri, bukan hanya platform pihak ketiga seperti Shopee atau Lazada — tetapi KPDN tidak menerbitkan garis panduan tafsiran yang menyelesaikan perkara itu, jadi sama ada e-kedai milikan sendiri tertakluk masih benar-benar terbuka.

Jadual kepada peraturan 3 menghendaki pembekal pasar dalam talian mendedahkan:

1. Nama pembekal atau syarikat
2. Alamat laman web pasar dalam talian, jika ada
3. Alamat e-mel dan nombor telefon
4. Alamat perdagangan atau iklan
5. Huraian ciri-ciri utama barangan atau perkhidmatan
6. Harga penuh termasuk kos pengangkutan, cukai dan apa-apa kos lain
7. Kaedah pembayaran
8. Terma dan syarat jualan dan pembelian
9. Anggaran masa penghantaran
10. Sijil bahawa barangan atau perkhidmatan memenuhi standard keselamatan dan kesihatan yang ditentukan oleh pihak berkuasa yang berwibawa, jika ada

Tiga perubahan yang menyulitkan orang ramai.

Peraturan 4 menghendaki pendedahan dibuat dalam bahasa kebangsaan, dengan bahasa lain dibenarkan sebagai tambahan. Tiada yang setara dalam 2012, dan halaman produk yang hanya dalam bahasa Inggeris tidak mematuhi.

Nombor pendaftaran perniagaan atau syarikat bukan lagi item pendedahan. Ia berpindah ke peraturan 8(1)(c), sebagai rekod yang mesti disimpan oleh pengendali. Memaparkannya masih berhemah; ia bukan lagi apa yang dikehendaki oleh Jadual.

Peraturan 6(1)(a) kini menghendaki cara untuk membetulkan ralat “sebelum atau selepas pengesahan pesanan”. Versi 2012 berhenti pada sebelum. Peraturan 6(1)(b) masih menghendaki pengakuan penerimaan tanpa kelewatan yang tidak wajar.

Peraturan 5 adalah baharu: pembekal menanggung kos penghantaran semula apabila barangan berbeza secara material atau rosak, atau mesti menyediakan perkhidmatan yang munasabah sesuai bagi tujuannya.

Rekod, dan siapa yang menyimpannya

Tiga tahun, bukan dua. Peraturan 8(1) mengenakan ke atas pengendali kewajipan untuk menyimpan nama pembekal, alamat, nombor telefon, nombor kad pengenalan atau pasport, nombor akaun perniagaan dan e-mel; alamat laman web; nama perdagangan atau syarikat dan nombor pendaftaran; serta rekod transaksi perdagangan elektronik atau iklan. Peraturan 8(2) memperluas kewajipan menyimpan rekod transaksi dan iklan itu kepada pembekal.

Peraturan 7 ialah kewajipan pengawal pintu pengendali — memastikan pembekal mematuhi peraturan 3 sebelum apa-apa transaksi dibenarkan, menyediakan saluran aduan, dan memastikan iklan mematuhi. Inilah sebabnya pasar dalam talian mengejar anda untuk dokumen: mereka sedang melunaskan kewajipan mereka sendiri, bukan mengesahkan kewajipan anda.

Penalti — dan di sinilah undang-undang benar-benar belum ditetapkan. Peraturan 9 memperuntukkan bahawa “mana-mana orang yang gagal mematuhi mana-mana peruntukan Peraturan-Peraturan ini melakukan suatu kesalahan”, tetapi tidak menetapkan penalti tersendiri. Dua laluan boleh mengisi jurang itu, dan tiada duluan kes menyelesaikan yang mana mengawal. Pada satu bacaan, penalti am dalam s.145 Akta Pelindungan Pengguna 1999 terpakai — individu sehingga RM50,000 atau tiga tahun, meningkat kepada RM100,000 atau lima tahun; badan korporat sehingga RM100,000, meningkat kepada RM200,000; ditambah sehingga RM1,000 bagi setiap hari suatu kesalahan berterusan berlanjutan. Tetapi s.150(3) menetapkan rejim khusus bagi kesalahan yang diwujudkan oleh perundangan subsidiari di bawah Akta itu — denda sehingga RM100,000 atau tiga tahun, meningkat kepada RM250,000 atau enam tahun bagi kesalahan kedua atau berikutnya. Kerana P.U.(A) 449 tidak menetapkan penalti tersendiri di bawah s.150(3), sama ada laluan sandaran ialah s.145 (sebagai “suatu kesalahan di bawah Akta ini yang baginya tiada penalti diperuntukkan secara nyata”) atau laluan s.150(3) yang tidak digunakan itu masih terbuka.

Itu juga menjelaskan angka-angka yang dipetik oleh panduan lain. RM250,000 ialah had kesalahan berikutnya s.150(3) bagi kesalahan perundangan subsidiari; RM500,000 ialah penalti PDPA s.16(4) yang berasingan bagi memproses data peribadi dalam kelas yang ditetapkan tanpa sijil pendaftaran pengawal data yang sah — bukan rekaan, tetapi peruntukan yang berbeza.

Lapisan perlindungan data yang tiba pada 2025

Akta Pelindungan Data Peribadi (Pindaan) 2024 (Akta A1727, bukan A1717 — itu ialah pindaan Zon Bebas) berkuat kuasa dalam tiga fasa di bawah P.U.(B) 522/2024:

Tarikh	Apa yang berubah
1 Jan 2025	Pendaftar menjadi Pesuruhjaya; peruntukan penyampaian elektronik
1 Apr 2025	Pengguna data menjadi pengawal data; Prinsip Keselamatan diperluas kepada pemproses data; senarai putih rentas sempadan dalam s.129(1) dipadamkan
1 Jun 2025	s.12A pegawai perlindungan data, s.12B pemberitahuan pelanggaran, dan s.43A kemudahalihan data

Ambang DPO menangkap peruncit dalam talian biasa. Garis panduan JPDP Februari 2025, dibaca bersama Pekeliling 1/2025, menetapkan tiga cabang: lebih daripada 20,000 subjek data; lebih daripada 10,000 subjek data yang datanya data peribadi sensitif; atau pemantauan berkala dan sistematik. Contoh berhuraian cabang ketiga itu dalam garis panduan itu sendiri ialah laman web runcit yang menggunakan algoritma untuk memantau carian dan pembelian serta menawarkan cadangan. Jika anda menjalankan enjin cadangan, jumlah tidak menyelamatkan anda. Seorang DPO mesti didaftarkan dengan Pesuruhjaya dalam tempoh 21 hari daripada pelantikan.

Pemberitahuan pelanggaran berjalan dari kejadian, bukan kesedaran. Beritahu Pesuruhjaya secepat yang boleh dilaksanakan dan tidak lewat daripada 72 jam dari kejadian pelanggaran, apabila ia menyebabkan atau berkemungkinan menyebabkan kemudaratan yang ketara, atau menjejaskan lebih daripada 1,000 subjek data. Individu yang terjejas mesti diberitahu tanpa kelewatan yang tidak perlu dan tidak lewat daripada tujuh hari selepas Pesuruhjaya diberitahu — dan cabang itu dicetuskan oleh kemudaratan yang ketara sahaja, bukan oleh ujian skala 1,000 subjek. Seksyen 12B(3) membawa denda sehingga RM250,000 atau dua tahun.

Pendaftaran sebagai pengawal data ialah persoalan berasingan sekali lagi. Perintah Pelindungan Data Peribadi (Kelas Pengguna Data) 2013 (P.U.(A) 336/2013) menyenaraikan kelas-kelas yang mesti mendaftar; kelas 9(b) meliputi syarikat atau perkongsian “yang menjalankan urus niaga runcit dan urus niaga borong sebagaimana ditakrifkan di bawah Akta Kawalan Bekalan 1961”. Kerana istilah itu terikat dengan Akta itu — yang mengawal bekalan terkawal dan berjadual — sama ada peruncit dalam talian biasa yang tidak berurus niaga dalam barangan terkawal termasuk dalam kelas 9(b) adalah benar-benar terbuka, dan JPDP tidak menerbitkan tafsiran. Pekeliling 1/2026 JPDP (berkuat kuasa 1 Jun 2026, dan memansuhkan pekeliling 2024) menyatakan semula kewajipan pendaftaran dan pembaharuan: memproses data peribadi dalam kelas yang ditetapkan tanpa sijil pendaftaran yang sah ialah suatu kesalahan di bawah s.16(4) dengan denda sehingga RM500,000 atau tiga tahun, dan terus memproses selepas sijil luput ialah suatu kesalahan di bawah reg 5(2) P.U.(A) 337/2013 dengan denda sehingga RM250,000 atau dua tahun. Kewajipan pendaftaran ini berbeza daripada ambang DPO s.12A di atas.

Produk masih menentukan lesen

Menjual dalam talian mengubah saluran, bukan pengawal selia. Makanan, kosmetik, suplemen, peranti perubatan, alkohol, tembakau dan produk kewangan menjawab kepada pihak berkuasa yang sama sama ada ia meninggalkan kedai atau penyenaraian. Mengimport stok anda sendiri meletakkan anda di dalam Perintah Kastam (Larangan Mengenai Import) 2023, di mana sesetengah barangan memerlukan lesen import dan yang lain memerlukan sijil yang ditetapkan.

Kesilapan lazim

• Bekerja daripada peraturan 2012. Ia telah dimansuhkan pada 25 Disember 2024. Lapan item pendedahan ialah undang-undang lama.
• Halaman produk hanya dalam bahasa Inggeris. Peraturan 4 menghendaki bahasa kebangsaan.
• Penyimpanan rekod dua tahun. Ia tiga tahun, dan senarai medannya lebih panjang.
• Menganggap hobi bukan perniagaan. ROBA bergantung pada aktiviti yang dijalankan untuk keuntungan.
• Menganggap PDPA hanya untuk syarikat besar. Cabang pemantauan tiada lantai jumlah.
• Melayan permintaan dokumen pasar dalam talian sebagai ujian undang-undang. Itu ialah peraturan 7, kewajipan mereka, bukan kewajipan anda.

Apa yang seterusnya

Buat tiga perkara minggu ini. Baca semula halaman produk anda terhadap sepuluh item Jadual dan letakkan pendedahan itu dalam Bahasa Malaysia. Perluaskan penyimpanan rekod kepada tiga tahun dan tambah medan yang kini dinamakan oleh peraturan 8. Kemudian fikirkan secara jujur sama ada apa jua yang anda lakukan berjumlah kepada pemantauan berkala dan sistematik — kerana jika ya, kewajipan DPO telah berkuat kuasa sejak 1 Jun 2025.