2024 年 PDPA 修正案：您的业务软件有哪些变化

2024 年 PDPA 有哪些变化？

修正案于 2025 年分阶段生效。主要变化包括：“数据使用者”改称“数据控制者”、数据处理者直接承担安全义务、生物识别数据列为敏感个人资料、罚款加重、跨境传输有了新依据、必须委任数据保护官、必须通报数据泄露，以及数据可携权。

根据已公布的实施时间表，术语变更、处理者义务、生物识别数据、罚则和跨境传输的修改先生效，数据保护官、泄露通报和数据可携的条文则从 2025 年 6 月 1 日起生效。

违反个人资料保护原则的最高罚款从 RM300,000 提高到 RM1,000,000，最高刑期从 2 年增至 3 年。跨境传输不再采用核准国家白名单，改为传输到法律实质相似或保护水平相当的地方。本文只是技术层面的摘要，不构成法律意见，详情请查阅专员公署的最新指南。

• 数据控制者（Data controller）2010 年法令中“数据使用者”的新称呼。
• 数据处理者（Data processor）现在直接受安全原则约束，不再只是通过合同约束。
• 生物识别数据现已列为敏感个人资料，对使用指纹或人脸的考勤系统尤其重要。

泄露通报对您的系统意味着什么？

个人资料一旦泄露，控制者必须通知个人资料保护专员，如有可能造成重大伤害，还须通知受影响的个人。实际上，您的系统必须能发现泄露、查明涉及哪些数据和哪些人，并且动作要快。

许多小型企业的系统在事故发生后答不出最基本的问题：谁看过客户名单、什么时候看的、导出了什么。没有访问日志，也不清楚数据存放在哪里，泄露报告就只能靠猜。

请向您的开发人员要求：按角色分配的员工账号、敏感操作的审计记录、异常导出的警报，以及一份列明所有客户数据存放位置的文件，包括电子表格、电邮和第三方工具。

软件开发商算是数据处理者吗？

通常算。如果开发商或托管服务商代您存储或处理个人资料，例如运行您的应用服务器或支持您的 CRM，它很可能就是数据处理者，现在对安全负有自己的直接义务。请在合同中约定各方责任。

合同应写明数据托管在哪里、供应商哪些人可以接触正式环境的数据、员工离职后如何撤销权限、备份如何保护，以及供应商必须在多短时间内通知您出现事故，让您能履行自己的通报责任。

这项变化对买家有利。它让您更有依据去询问供应商如何保护您的数据，也有理由优先选择能以书面回答的供应商。

应该先改善什么？

先做盘点：列出每个存有个人资料的系统、存了什么、谁能访问。然后删除不需要的数据、取消共用登录、开启访问日志，并确认备份可以还原。同时委任法律现在要求的数据保护官。

减少数据收集是成本最低的控制措施。存储指纹模板的考勤系统，现在持有的是敏感个人资料；只需要员工编号的系统则不然。请检查每份表格收集了什么，并删除对工作流程没有用处的字段。

Macoin 开发应用、CRM 和业务系统时，从一开始就加入按角色分配的权限、审计记录和有文件记录的数据位置。如果您正在对照修正案检查现有系统，请通过 WhatsApp 把情况发给我们，我们会告诉您我们会检查哪些方面。