个人资料保护局（JPDP）

几乎每一份马来西亚资料隐私指南都在解释这项法律，却鲜少有人解释执掌它的那个机关。那个机关就是个人资料保护局——Jabatan Perlindungan Data Peribadi（JPDP）——在国会通过《2010年个人资料保护法令》（第709号法令）之后，于2011年5月16日成立。它是隶属数字部的机构，职责是协助个人资料保护专员执行该法令。这正是马来西亚企业前往登记、普通公民前往投诉的部门。

JPDP究竟做什么？

JPDP的主要职责，是规范资料使用者处理商业交易所涉个人资料的方式，使这些资料不被滥用或利用。其愿景是成为保护个人资料的主要领导者，以在成为发达国家的进程中实现福祉；其使命是规范资料保护，以建立信任、进而推动商业交易的增长。

在实务上，该部门做着三件公民与企业会直接接触到的事：

• 登记——为资料控制者签发与管理登记证书。
• 投诉——受理并处理个人资料被不当处理的申诉。
• 执法与指引——适用第709号法令，并发布对其加以细化的各项指南。

它所执掌的法令于2013年11月15日全面生效，是马来西亚首个同类立法框架。

JPDP执行的是哪些规则？

PDPA建立在七项个人资料保护原则之上：一般原则、通知与选择原则、披露原则、安全原则、保留原则、资料完整性原则，以及查阅原则。这些原则共同规范任何机构如何收集、使用、保存和披露个人资料。

资料被处理的个人享有相应的权利——被告知其资料正在被处理、查阅其资料、更正资料、撤回同意，以及阻止为直销目的的处理。

谁必须登记，我又该如何投诉？

并非人人都必须登记，但落入**《2013年个人资料保护（资料使用者类别）命令》所指定13类别的资料使用者，必须根据该法令第14条**向JPDP登记，并持有有效证书。登记通过 daftar.pdp.gov.my 的SPDP门户在线办理。

如果你认为自己的个人资料在违反该法令的情况下被处理，可通过电邮 aduan@pdp.gov.my 或致电 03-7456 3888 向专员投诉。

2024年修正法令如何改变了JPDP的职责？

《2024年个人资料保护（修正）法令》（第A1727号法令）于2024年7月16日经下议院通过、2024年7月31日经上议院通过，于2024年10月9日获御准，并于2024年10月17日刊宪。2024年12月24日，数字部长刊宪公布分阶段生效日期，跨越2025年1月1日、4月1日及6月1日。主要变动如下：

变动	含义
「资料使用者」→「资料控制者」	该用语在主法令中全面替换。
资料保护官	自2025年6月1日起，控制者与处理者必须委任至少一名资料保护官（DPO）；门槛包括处理超过20,000名主体的资料，或超过10,000名主体的敏感资料。
资料外泄通报	控制者必须在72小时内通报专员；在可能造成重大损害的情况下，须在七天内通报受影响的主体。
资料可携	主体可要求将其资料直接传输给另一控制者，惟须视技术可行性而定（自2025年6月起）。
跨境传输	旧有的「白名单」被以风险为本的框架取代。
敏感资料	现明确涵盖生物特征资料。
罚则	违反安全原则的最高罚款从RM300,000提高至RM1,000,000，最高监禁刑期从两年提高至三年。

接下来该做什么

如果你的机构处理客户或员工资料，请检视自己是否落入13个登记类别之一，依据第A1727号法令确认你的DPO与资料外泄通报安排，并对照七项原则审视你的实务做法。JPDP位于Level 8, Galeria PjH, Persiaran Perdana, Precinct 4, 62100 Putrajaya，并在 pdp.gov.my 发布法定条文与现行指南。