Online Safety Act 2025：它约束谁，又要求什么

马来西亚的 Online Safety Act 2025 常被形容为一部社交媒体法。其实不太是。它是一部 持照人行为法，而这个分别决定了它究竟会不会触及你。

Act 866 于 2025 年 5 月 6 日获御准，并于 2025 年 5 月 22 日宪报颁布，但在部长以日期为 2025 年 12 月 8 日、2025 年 12 月 12 日宪报颁布的 P.U.(B) 449/2025 指定 2026 年 1 月 1 日为其生效日之前，它什么都没做。此后已有七份附属法律文书经宪报颁布——比目前多数评论所记录的多一份。

Act 866 约束谁？

第 2(1) 条把该法令适用于任何使用互联网接入服务、并使用户之间得以通讯的应用服务， 任何透过互联网接入提供内容的内容应用服务，以及任何网络服务。

但 Part III 中的实质义务，落在持照的应用服务供应商与持照的内容应用服务供应商 身上——而 s.4 对两者的定义，都是以在 Communications and Multimedia Act 1998 之下持照 为准。没有 CMA 执照，就没有 Part III 的义务。

有两项划出在外的规定很重要：

• 第 2(2) 条把私人通讯功能排除在外。 第 2(3) 条把它界定为让用户向由该用户所决定 的特定且有限数目的接收者传达内容的功能。
• 第 3 条赋予该法令域外效力，但 s.3(2) 加以限定：它触及身处马来西亚境外、在马来 西亚境内某地提供服务、并且是 Act 588 之下持照人的人。域外效力跟着执照走， 不跟着受众走。

哪些内容受管制？

First Schedule 列出九类有害内容：Sexual Offences against Children Act 2017 s.4 所 定义的儿童性虐待材料；金融诈骗；淫亵内容；不雅内容；造成骚扰、困扰、恐惧或惊恐的 内容；煽动暴力或恐怖主义的内容；诱使儿童自残的内容；助长恶意或敌意或扰乱公共安宁的 内容；以及宣传使用或销售危险毒品的内容。

三项注释把关于金融诈骗与滥药的教育与醒觉材料、以及为教育、科学或医疗目的而描绘 私处的材料，划出在外。

Second Schedule 很短：优先有害内容仅指 First Schedule 的第 1 与第 2 段——儿童性 虐待材料与金融诈骗。其余一切都属于走较慢轨道的有害内容。

Part III 中的八项义务

条文	义务
13	实施守则所订明的措施以减低接触有害内容的风险，同时不得不合理地限制表达
14	发出用户指南，说明那些措施及使用条款
15	提供工具与设定，让用户管理自身的网络安全
16	提供让用户举报有害内容的机制
17	提供用户协助机制，须随时可用并作出回应
18	保护儿童用户，包括适龄的预设设定与受控的推荐系统
19	建立使优先有害内容无法被接触的机制
20	拟备 Online Safety Plan 并向 MCMC 提交一份副本

第 13 与第 18 条都容许以替代措施取代守则所订的措施，前提是供应商向 MCMC 证明 至其满意，该替代措施能更好地减低风险。

第 18(3) 条对产品团队而言是其中最锋利的一条：它要求采取措施，防止儿童接触可疑的有害 内容、限制成人与儿童之间的接触、限制那些增加、维持或延长儿童使用该服务时间的功能、 对成人隐藏儿童的个人资料，并控制针对儿童的个人化推荐系统。

各道时限

Online Safety (Period) Regulations 2025 与该法令一同在 2026 年 1 月 1 日生效，而合规 真正咬人的地方就在这里。

触发点	期限
确认收到用户举报（s.21(2)(a)）	自透过官方渠道收到起 1 小时
通知举报状态并评估该举报（s.21(2)(b)、(c)）	自确认收讫起 12 小时
使可疑的优先有害内容无法被接触（s.22(1)）	24 小时
使已裁定的优先有害内容永久无法被接触（s.22(3)(a)）	自裁定起 1 小时
就可疑的有害内容采取行动（s.23(1)）	自该举报未被驳回起 4 小时
使已裁定的有害内容永久无法被接触（s.23(3)(a)）	自裁定起 12 小时
举报被驳回后的用户查询（s.21(5)）	15 天
供应商对该查询的决定（s.21(7)）	7 天
供应商在行动查询之后的决定（s.22(7)）	5 天
用户索取其他网络安全资讯的要求（s.17(2)(b)）	7 天

第 3 条规例只把其中两项列为刑事：违反 subitem 7(a) 的 1 小时优先内容移除，或违反 item 12 的 12 小时有害内容移除。两者皆可处最高 RM1 million 罚款。

Online Safety Plan

Online Safety (Online Safety Plan) Regulations 2026 于 2026 年 6 月 30 日宪报颁布， 并于 2026 年 7 月 1 日开始生效。

第 2(1) 条规例给持照人自 2026 年 7 月 1 日起 180 天，去拟备一份 Plan 并向 MCMC 提交副本。在该日之后才领照的供应商，则自其执照生效日起计 180 天。第 2(3) 条规例要求 该 Plan 保持更新并每年重新提交，而在服务或合规义务出现重大变动时亦须随时提交。

该 Schedule 订明了格式。Part A 收取供应商身份、执照号码、执照生效日期、服务类型、 服务推出日期与最后更新日期。Part B 逐项走过 Part III 的每项义务，并要求列明所采取的 具体行动及合规资讯。

第 4 条规例要求委任一名或多名 Online Safety officer。第 5 条规例使违反该规例成为 罪行，可处最高 RM1 million 罚款。

执法、承诺书与上诉

MCMC 可依 s.30 发出指示，但必须先送达一份订明所须遵守事项的通知，并考虑任何 陈述。指示依 s.31 登记，而公众人士可依 Fees Regulations 2025 以 RM100 查阅该登记册， 或以每页 RM1 索取副本。

第 36 条容许供应商在不遵守通知发出之前提交书面承诺书——订明的格式载于 Online Safety (Form of Undertaking) Regulations 2025。第 37 条随后规管不遵守通知，该通知必须 列明财务罚则；s.38 容许透过陈述申请覆核。

第 39(2) 条订下上限：未履行 Part III 任何一项义务的供应商，可被课以不超过一千万 令吉的财务罚则，并可作为民事债项追讨。

上诉依 Part VII 交由网络安全上诉仲裁庭处理，由一名高等法院法官主持，另有至少两名 成员。Tribunal Regulations 2025 要求在送达后 45 天内提交上诉通知，入禀费 RM1,000， 上诉记录每页 50 sen，决定书每份 RM50，核证副本每份 RM10。主席与成员由 P.U.(A) 255/2026 委任，于 2026 年 7 月 14 日刊登。

常见错误

以为该法令触及任何设有用户留言的网站。 Part III 约束的是 Act 588 之下的持照人。 持照身份就是那道闸门。

数成六份附属法律文书。 是七份。主席与成员委任令 P.U.(A) 255/2026 于 2026 年 7 月 14 日刊登，晚于大多数已发表的摘要。

把所有有害内容都当成紧急。 1 小时与 24 小时的时限，只依附于优先有害内容 ——仅限儿童性虐待材料与金融诈骗。其余一切走的是 4 小时与 12 小时。

把 s.39 读成罚款。 它是由 MCMC 课以、并可作为民事债项追讨的行政财务罚则， 不是法庭判处的罚款；而它与 Period Regulations 及 Online Safety Plan Regulations 中的 刑事罪行是并存的。

把这件事与发照混淆。 拿不拿得到 ASP Class licence，是依 Communications and Multimedia Act 1998 决定的。Act 866 假定你已经有了一张。

下一步

如果你持有 CMA 执照，眼前的日期是 2026 年 7 月 1 日之后 180 天的 Online Safety Plan 期限，而眼前的营运工作，是把 1 小时确认收讫与 1 小时优先内容移除这两道时限仪表化 ——两者都不可能靠人手队列做到。同时委任第 4 条规例所要求的 Online Safety officer。

如果你并未持照，那么先要回答的问题是你到底需不需要一张，而那是一个 Communications and Multimedia Act 1998 的问题，不是 Online Safety Act 的问题。