国家：马来西亚 · 数据隐私
马来西亚 · 数据隐私
马来西亚《个人数据保护法》(PDPA 2010)经2024年修订案（PDPA Amendment Act 2024生效）强化，为个人数据保护核心法，适用域内+域外。处理须有合法性基础（主要为同意）、告知、安全措施与跨境传输保障。监管为JPDP。跨境传输须充分保护水平或标准合同条款；金融数据另受BNM规则。
核心要点
- PDPA 2010 + 2024修订（强化同意、 breach通知、处罚）
- 合法性基础主要为同意；数据主体享有访问/更正/删除等权利
- 须采取安全措施，breach须及时通知JPDP（修订后强化）
- 跨境传输：须接收方有充分保护水平或签标准合同条款
- 域外适用；金融(BNM)、医疗等行业有特殊规则；最高罚RM100万或营收2%
- 中国数据出境义务（pkulaw 核验 2026-07）：向境内传输/回传数据须走安全评估（网信办令11号）、标准合同（13号）或认证（网信办·市监总局令20号，2025-10-14）三选一；2024–2025 口径已放宽——促进和规范数据跨境流动规定（16号）、网络数据安全管理条例（国务院令790号）落地，部分情形免申报。
办理流程
- 个人数据盘点与映射
- 发布隐私通知并管理同意
- 高风险处理做DPIA
- 跨境传输签署SCC或评估充分性
- 建立breach响应与登记机制
硬性要求
- 合法性基础；告知义务；安全措施；跨境保障；处理记录
费用
合规体系建设；DPO（视规模）；定期审计⏱ 周期：2024修订已生效，须持续合规⚠ 常见风险
- 中国未被列为充分保护国家，跨境须SCC/合同条款
- 同意瑕疵（预勾选无效）被罚
- breach未通知面临高额罚款
- 域外适用：在马无实体也可能受管辖
手册级
📘 操作手册（逐项步骤 · 含责任方/时限/费用/罚则）
适用：中资企业在马来西亚处理马居民个人数据，或将其传回中国的情形（受 PDPA 2010 及 2024 修订案规制，JPDP 监管，域外适用）。
前置条件
- 明确处理活动与合法基础（主要为同意）
- 建立告知义务与处理记录
- 预留 DPO（视规模）与审计成本
| 步骤 | 操作 | 责任方 | 时限 | 费用 | 官方表单/系统 | 要点与罚则 |
|---|---|---|---|---|---|---|
| 1 | 个人数据盘点与映射 梳理个人数据类别、目的、接收方，建立处理记录。 | 法务/IT | 2 周 | 内部成本 | 数据清单、处理记录 | 域外亦适用 罚则：最高 RM100 万或营收 2% |
| 2 | 发布隐私通知并管理同意 发布隐私通知，取得有效同意（预勾选无效），履行告知义务。 | 法务 | 1-2 周 | 内部成本 | 隐私通知、同意记录 | 2024 修订强化同意与通知 罚则：同步骤1上限 |
| 3 | 高风险处理做 DPIA 对大规模或敏感处理做数据保护影响评估(DPIA)。 | 合规/IT | 2-4 周 | 内部成本 | DPIA 报告 | 依修订要求 罚则：未评估被罚 |
| 4 | 跨境传输 SCC/充分性 传输前确认接收方有充分保护水平或签标准合同条款；中国未被列充分性，须 SCC，并衔接 PIPL 出境。 | 法务 | 3-6 周 | 内部/律师费 | 充分性评估、SCC、PIPL 出境文件 | 金融数据另受 BNM 规则 罚则：无保障跨境被罚 |
| 5 | 建立 breach 响应与登记 建立个人数据泄露响应机制，依 2024 修订及时通知 JPDP。 | DPO/IT | 持续 | 内部成本 | breach 预案、JPDP 通知 | 修订后强化通知 罚则：未通知面临高额罚款 |
| 6 | 数据主体权利响应 建立访问、更正、删除等响应（PDPA 权利）。 | DPO/客服 | 持续 | 内部成本 | DSAR 流程 | 须记录 罚则：拒不响应被罚 |
| 7 | 持续合规与定期审计 定期审计、更新政策、培训；视规模设 DPO。 | 合规 | 年度 | 内部成本 | 年度审计、培训 | 2024 修订已生效 罚则：持续违规累积 |
✅ 自查清单
⚠ 深度踩坑
预勾选同意影响：同意无效被罚规避：主动 opt-in
中国未被列充分性仍无 SCC 传输影响：违规（与 PIPL 叠加）规避：签 SCC
回传中国忽略 PIPL 出境影响：双重违规规避：同步办理中国侧机制
breach 未通知 JPDP影响：高额罚款规避：设自动触发上报
误以为域外不适用影响：漏合规规避：PDPA 域外适用
忽视金融等特别规则影响：行业处罚规避：同步 BNM 等要求
📅 成立后持续义务
- breach 通知 JPDP 维护
- DSAR 持续响应
- 定期审计与政策更新
- 回传中国 PIPL 出境机制持续有效
- 员工培训与 DPO 履职（如适用）
🔗 官方入口
📎 来源：马来西亚个人数据保护局(JPDP)；PDPA 2010；PDPA Amendment Act 2024；BNM数据规则 ; https://www.cac.gov.cn
想把它变成可执行的合规动作？
CompliGo · 出海合规自动化
读到这里，您已掌握马来西亚的数据隐私要点。把它交给 CompliGo：自动生成合规文档、实时校验、监管预警一键落地。新用户免费试用。
CompliGo 是独立 SaaS 产品，由出海团队运营；本知识库仅做获客引流，不经手资金、不代收代付。