Pindaan PDPA 2024: apa yang berubah untuk perisian perniagaan anda

Apa yang berubah dalam PDPA pada 2024?

Pindaan itu berkuat kuasa secara berperingkat sepanjang 2025. Perubahan utama ialah peralihan daripada pengguna data kepada pengawal data, kewajipan keselamatan langsung bagi pemproses data, data biometrik dikira sebagai data peribadi sensitif, penalti yang lebih tinggi, asas baharu untuk pemindahan rentas sempadan, pegawai perlindungan data yang wajib, notifikasi pelanggaran dan hak kepada kebolehpindahan data.

Menurut jadual pelaksanaan yang diterbitkan, perubahan istilah, kewajipan pemproses, data biometrik, penalti dan perubahan pemindahan rentas sempadan berkuat kuasa dahulu, manakala peruntukan pegawai perlindungan data, notifikasi pelanggaran dan kebolehpindahan data menyusul mulai 1 Jun 2025.

Denda maksimum bagi pelanggaran prinsip perlindungan data naik daripada RM300,000 kepada RM1,000,000, dan tempoh penjara maksimum daripada dua tahun kepada tiga tahun. Pemindahan rentas sempadan beralih daripada senarai putih negara yang diluluskan kepada pemindahan ke tempat yang mempunyai undang-undang yang sangat serupa atau tahap perlindungan yang setara. Artikel ini ialah ringkasan teknikal, bukan nasihat undang-undang; semak garis panduan semasa Pesuruhjaya untuk butirannya.

• Pengawal dataIstilah baharu bagi apa yang dipanggil pengguna data dalam Akta 2010.
• Pemproses dataKini terikat secara langsung dengan prinsip keselamatan, bukan melalui kontrak sahaja.
• Data biometrikKini data peribadi sensitif, yang penting bagi sistem kehadiran cap jari atau pengecaman muka.

Apakah maksud notifikasi pelanggaran untuk sistem anda?

Jika berlaku pelanggaran data peribadi, pengawal mesti memaklumkan Pesuruhjaya Perlindungan Data Peribadi, dan memaklumkan individu yang terjejas jika kemudaratan ketara berkemungkinan berlaku. Dalam praktiknya, sistem anda mesti membolehkan anda mengesan pelanggaran, mengenal pasti data dan individu yang terjejas, dan berbuat demikian dengan pantas.

Banyak sistem perniagaan kecil tidak dapat menjawab soalan asas selepas sesuatu insiden: siapa yang mengakses senarai pelanggan, bila, dan apa yang dieksport. Tanpa log akses dan rekod yang jelas tentang lokasi penyimpanan data, laporan pelanggaran menjadi tekaan semata-mata.

Minta pembangun anda menyediakan akaun staf berasaskan peranan, jejak audit bagi tindakan sensitif, amaran untuk eksport yang luar biasa, dan senarai berdokumen bagi setiap tempat data pelanggan disimpan, termasuk hamparan, e-mel dan alat pihak ketiga.

Adakah pembangun perisian dikira sebagai pemproses data?

Selalunya, ya. Jika pembangun atau penyedia pengehosan menyimpan atau mengendalikan data peribadi bagi pihak anda, contohnya dengan menjalankan pelayan aplikasi anda atau menyokong CRM anda, ia berkemungkinan bertindak sebagai pemproses data dan kini mempunyai kewajipan keselamatan langsungnya sendiri. Persetujui tanggungjawab tersebut dalam kontrak.

Kontrak harus menyatakan di mana data dihoskan, siapa di pihak pembekal yang boleh mengakses data sebenar (production), bagaimana akses dibatalkan apabila staf berhenti, bagaimana sandaran dilindungi, dan seberapa cepat pembekal mesti memaklumkan anda tentang insiden supaya anda dapat memenuhi kewajipan notifikasi anda sendiri.

Perubahan ini berguna bagi pembeli. Ia memberi anda asas yang lebih jelas untuk bertanya kepada pembekal bagaimana data anda dilindungi, dan sebab untuk memilih pembekal yang boleh menjawab secara bertulis.

Apa yang perlu anda baiki dahulu?

Mulakan dengan inventori: senaraikan setiap sistem yang menyimpan data peribadi, apa yang disimpan dan siapa yang boleh mengaksesnya. Kemudian buang data yang tidak anda perlukan, tutup log masuk berkongsi, hidupkan pengelogan akses, dan sahkan sandaran boleh dipulihkan. Lantik pegawai perlindungan data yang kini dikehendaki oleh undang-undang.

Pengurangan data ialah kawalan yang paling murah. Sistem kehadiran yang menyimpan templat cap jari kini menyimpan data peribadi sensitif; sistem yang hanya memerlukan nombor staf tidak. Semak apa yang dikumpul oleh setiap borang dan padam medan yang tidak berkaitan dengan aliran kerja.

Macoin membina aplikasi, CRM dan sistem perniagaan dengan akses berasaskan peranan, jejak audit dan lokasi data yang didokumenkan sejak awal. Jika anda sedang menyemak sistem sedia ada berkaitan pindaan ini, hantarkan huraian kepada kami melalui WhatsApp dan kami boleh memberitahu apa yang akan kami semak.