The Online Safety Act 2025: Who It Binds and What It Demands

Akta Keselamatan Dalam Talian 2025 (Online Safety Act 2025) Malaysia sering digambarkan sebagai undang-undang media sosial. Sebenarnya bukan, tepatnya. Ia adalah undang-undang kelakuan pemegang lesen, dan perbezaan ini menentukan sama ada ia terpakai kepada anda langsung atau tidak.

Akta 866 menerima Perkenan Diraja pada 6 Mei 2025 dan diwartakan pada 22 Mei 2025, tetapi tidak berkuat kuasa sehingga Menteri menetapkan 1 Januari 2026 sebagai tarikh permulaan kuat kuasanya menerusi P.U.(B) 449/2025, bertarikh 8 Disember 2025 dan diwartakan 12 Disember 2025. Sejak itu, tujuh instrumen subsidiari telah diwartakan — satu lebih banyak daripada yang direkodkan oleh kebanyakan ulasan semasa.

Siapa yang terikat dengan Akta 866?

Seksyen 2(1) memakai Akta ini kepada mana-mana perkhidmatan aplikasi yang menggunakan perkhidmatan capaian internet dan membolehkan komunikasi antara pengguna, mana-mana perkhidmatan aplikasi kandungan yang menyediakan kandungan melalui capaian internet, dan mana-mana perkhidmatan rangkaian.

Namun kewajipan substantif dalam Bahagian III (Part III) terpakai kepada penyedia perkhidmatan aplikasi berlesen dan penyedia perkhidmatan aplikasi kandungan berlesen — dan s.4 mentakrifkan kedua-duanya merujuk kepada berlesen di bawah Akta Komunikasi dan Multimedia 1998 (Communications and Multimedia Act 1998, CMA 1998). Tiada lesen CMA, tiada kewajipan Bahagian III.

Dua pengecualian yang penting:

• Seksyen 2(2) mengecualikan ciri pemesejan peribadi. Seksyen 2(3) mentakrifkan ciri itu sebagai ciri yang membolehkan pengguna menyampaikan kandungan kepada bilangan penerima tertentu dan terhad yang ditentukan oleh pengguna itu sendiri.
• Seksyen 3 memberikan Akta ini capaian ekstrateritorial, tetapi s.3(2) mengehadkannya: ia terpakai kepada orang di luar Malaysia yang menyediakan perkhidmatan di sesuatu tempat dalam Malaysia dan merupakan pemegang lesen di bawah Akta 588. Capaian ekstrateritorial ini mengikut lesen, bukan khalayak.

Apakah kandungan yang dikawal selia?

Jadual Pertama (First Schedule) menyenaraikan sembilan kategori kandungan berbahaya: bahan penderaan seksual kanak-kanak sebagaimana ditakrifkan dalam s.4 Akta Kesalahan-Kesalahan Seksual Terhadap Kanak-Kanak 2017; penipuan kewangan; kandungan lucah; kandungan tidak senonoh; kandungan yang menyebabkan gangguan, kesusahan, ketakutan atau kegusaran; kandungan yang menghasut keganasan atau pengganasan; kandungan yang mendorong kanak-kanak mencederakan diri sendiri; kandungan yang menggalakkan permusuhan atau kebencian atau mengganggu ketenteraman awam; dan kandungan yang menggalakkan penggunaan atau penjualan dadah berbahaya.

Tiga nota mengecualikan bahan pendidikan dan kesedaran mengenai penipuan kewangan dan penyalahgunaan dadah, serta bahan yang menggambarkan bahagian peribadi tubuh badan untuk tujuan pendidikan, saintifik atau perubatan.

Jadual Kedua (Second Schedule) ringkas sahaja: kandungan berbahaya keutamaan (priority harmful content) hanya bermaksud perenggan 1 dan 2 Jadual Pertama — bahan penderaan seksual kanak-kanak dan penipuan kewangan. Selain itu, semuanya kandungan berbahaya pada landasan yang lebih perlahan.

Lapan kewajipan dalam Bahagian III

Seksyen	Kewajipan
13	Melaksanakan langkah-langkah yang dinyatakan dalam kod untuk mengurangkan pendedahan kepada kandungan berbahaya, tanpa menyekat kebebasan bersuara secara tidak munasabah
14	Mengeluarkan garis panduan pengguna yang menerangkan langkah-langkah tersebut berserta terma penggunaan
15	Menyediakan alat dan tetapan yang membolehkan pengguna menguruskan keselamatan dalam talian mereka sendiri
16	Menyediakan mekanisme untuk pengguna melaporkan kandungan berbahaya
17	Menyediakan mekanisme bantuan pengguna yang boleh diakses dan responsif pada setiap masa
18	Melindungi pengguna kanak-kanak, termasuk tetapan lalai yang sesuai dengan umur dan sistem cadangan yang dikawal
19	Mewujudkan mekanisme untuk menjadikan kandungan berbahaya keutamaan tidak boleh diakses
20	Menyediakan Pelan Keselamatan Dalam Talian dan mengemukakan salinannya kepada MCMC

Seksyen 13 dan 18 kedua-duanya membenarkan langkah alternatif menggantikan langkah dalam kod, jika penyedia perkhidmatan membuktikan kepada kepuasan MCMC bahawa alternatif itu mengurangkan risiko dengan lebih baik.

Seksyen 18(3) adalah yang paling tajam bagi pasukan produk: ia menghendaki langkah-langkah untuk menghalang kanak-kanak daripada mengakses kandungan yang disyaki berbahaya, mengehadkan hubungan dewasa-ke-kanak-kanak, mengehadkan ciri-ciri yang meningkatkan, mengekalkan atau memanjangkan penggunaan perkhidmatan oleh kanak-kanak, menyembunyikan maklumat peribadi kanak-kanak daripada orang dewasa, dan mengawal sistem cadangan yang diperibadikan untuk kanak-kanak.

Had masa

Peraturan-Peraturan Keselamatan Dalam Talian (Tempoh) 2025 (Online Safety (Period) Regulations 2025) berkuat kuasa bersama Akta pada 1 Januari 2026, dan di sinilah pematuhan sebenarnya menggigit.

Pencetus	Tempoh
Mengakui penerimaan laporan pengguna (s.21(2)(a))	1 jam dari penerimaan melalui saluran rasmi
Memberitahu status laporan dan menilai laporan (s.21(2)(b), (c))	12 jam dari pengakuan penerimaan
Menjadikan kandungan yang disyaki kandungan berbahaya keutamaan tidak boleh diakses (s.22(1))	24 jam
Menjadikan kandungan berbahaya keutamaan yang disahkan tidak boleh diakses secara kekal (s.22(3)(a))	1 jam dari pengesahan
Bertindak ke atas kandungan yang disyaki berbahaya (s.23(1))	4 jam dari laporan tidak ditolak
Menjadikan kandungan berbahaya yang disahkan tidak boleh diakses secara kekal (s.23(3)(a))	12 jam dari pengesahan
Pertanyaan pengguna selepas laporan ditolak (s.21(5))	15 hari
Keputusan penyedia perkhidmatan mengenai pertanyaan itu (s.21(7))	7 hari
Keputusan penyedia perkhidmatan selepas pertanyaan tindakan (s.22(7))	5 hari
Permintaan pengguna untuk maklumat keselamatan dalam talian lain (s.17(2)(b))	7 hari

Peraturan 3 menjadikan hanya dua daripadanya sebagai kesalahan jenayah: melanggar tempoh 1 jam pembuangan kandungan keutamaan dalam sub-item 7(a), atau tempoh 12 jam pembuangan kandungan berbahaya dalam item 12. Kedua-duanya membawa denda sehingga RM1 juta.

Pelan Keselamatan Dalam Talian

Peraturan-Peraturan Keselamatan Dalam Talian (Pelan Keselamatan Dalam Talian) 2026 (Online Safety (Online Safety Plan) Regulations 2026) diwartakan pada 30 Jun 2026 dan berkuat kuasa pada 1 Julai 2026.

Peraturan 2(1) memberikan pemegang lesen 180 hari dari 1 Julai 2026 untuk menyediakan Pelan dan mengemukakan salinannya kepada MCMC. Penyedia perkhidmatan yang dilesenkan selepas tarikh itu diberikan 180 hari dari tarikh kuat kuasa lesen mereka. Peraturan 2(3) menghendaki Pelan itu dikemas kini dan dikemukakan semula setiap tahun, dan pada bila-bila masa terdapat perubahan ketara kepada perkhidmatan atau kepada kewajipan pematuhan.

Jadual dalam peraturan ini menetapkan borang tersebut. Bahagian A mengambil identiti penyedia perkhidmatan, nombor lesen, tarikh kuat kuasa lesen, jenis perkhidmatan, tarikh pelancaran perkhidmatan dan tarikh kemas kini terakhir. Bahagian B menyusuri setiap kewajipan Bahagian III dan menghendaki tindakan khusus yang diambil berserta maklumat pematuhan.

Peraturan 4 menghendaki pelantikan satu atau lebih pegawai Keselamatan Dalam Talian. Peraturan 5 menjadikan pelanggaran Peraturan-Peraturan ini sebagai suatu kesalahan dengan denda sehingga RM1 juta.

Penguatkuasaan, akujanji dan rayuan

MCMC boleh mengeluarkan arahan di bawah s.30, tetapi mesti terlebih dahulu menyampaikan notis yang menyatakan pematuhan yang dikehendaki dan mempertimbangkan sebarang representasi. Arahan didaftarkan di bawah s.31, dan orang awam boleh memeriksa daftar itu dengan bayaran RM100 atau mendapatkan salinan pada RM1 setiap muka surat di bawah Peraturan-Peraturan Keselamatan Dalam Talian (Fi) 2025 (Online Safety (Fees) Regulations 2025).

Seksyen 36 membenarkan penyedia perkhidmatan memberikan akujanji bertulis sebelum notis ketidakpatuhan dikeluarkan — borang yang ditetapkan terdapat dalam Peraturan-Peraturan Keselamatan Dalam Talian (Borang Akujanji) 2025 (Online Safety (Form of Undertaking) Regulations 2025). Seksyen 37 kemudiannya mentadbir notis ketidakpatuhan, yang mesti menyatakan penalti kewangan; s.38 membenarkan semakan melalui representasi.

Seksyen 39(2) menetapkan siling: penyedia perkhidmatan yang gagal memenuhi mana-mana kewajipan Bahagian III boleh dikenakan penalti kewangan tidak melebihi sepuluh juta ringgit, yang boleh dituntut sebagai hutang sivil.

Rayuan dikemukakan kepada Tribunal Rayuan Keselamatan Dalam Talian (Online Safety Appeal Tribunal) di bawah Bahagian VII, yang dipengerusikan oleh seorang hakim Mahkamah Tinggi bersama sekurang-kurangnya dua ahli lain. Peraturan-Peraturan Tribunal 2025 (Tribunal Regulations 2025) menghendaki notis rayuan dalam tempoh 45 hari daripada penyampaian, dengan fi pemfailan RM1,000, rekod rayuan pada 50 sen setiap muka surat, keputusan pada RM50 setiap salinan dan salinan sah diperakui pada RM10 setiap satu. Pengerusi dan ahli-ahli telah dilantik melalui P.U.(A) 255/2026, diterbitkan 14 Julai 2026.

Kesilapan lazim

Menganggap Akta ini terpakai kepada mana-mana laman web yang mempunyai ulasan pengguna. Bahagian III terikat kepada pemegang lesen di bawah Akta 588. Status pelesenan adalah pintu masuknya.

Mengira enam instrumen subsidiari. Sebenarnya ada tujuh. Perintah Pelantikan Pengerusi dan Ahli-Ahli, P.U.(A) 255/2026, diterbitkan pada 14 Julai 2026 dan lebih terkini daripada kebanyakan ringkasan yang diterbitkan.

Menganggap semua kandungan berbahaya sebagai segera. Tempoh 1 jam dan 24 jam hanya terpakai kepada kandungan berbahaya keutamaan — bahan penderaan seksual kanak-kanak dan penipuan kewangan sahaja. Selain itu, kesemuanya berjalan pada tempoh 4 dan 12 jam.

Membaca s.39 sebagai denda. Ia adalah penalti kewangan pentadbiran yang dikenakan oleh MCMC dan boleh dituntut sebagai hutang sivil, bukan denda yang dikenakan mahkamah, dan ia wujud bersama kesalahan jenayah dalam Peraturan Tempoh dan Peraturan Pelan Keselamatan Dalam Talian.

Mengelirukan ini dengan pelesenan. Sama ada mendapat atau tidak mendapat lesen Kelas ASP diputuskan di bawah Akta Komunikasi dan Multimedia 1998. Akta 866 menganggap anda sudah memilikinya.

Apa seterusnya

Jika anda memegang lesen CMA, tarikh terdekat ialah tarikh akhir Pelan Keselamatan Dalam Talian iaitu 180 hari selepas 1 Julai 2026, dan kerja operasi segera ialah mengautomasikan tempoh 1 jam pengakuan penerimaan dan tempoh 1 jam pembuangan kandungan keutamaan — kedua-duanya tidak dapat dicapai dengan baris gilir manual. Lantik pegawai Keselamatan Dalam Talian yang dikehendaki oleh peraturan 4 pada masa yang sama.

Jika anda tidak memegang lesen tersebut, persoalan yang lebih awal ialah sama ada anda memerlukannya langsung, dan itu adalah persoalan di bawah Akta Komunikasi dan Multimedia 1998, bukan persoalan Akta Keselamatan Dalam Talian.