Průvodce malajsijským PDPA: vaše práva podle zákona o ochraně osobních údajů

Pokaždé, když si v Malajsii zřídíte věrnostní kartu, zaregistrujete se na klinice nebo si pořídíte permanentku do posilovny, předáváte osobní údaje. Vaše jméno, číslo IC (občanského průkazu), telefonní číslo, adresa a někdy i výše příjmu skončí ve firemních databázích. Víte ale, jaká práva k těmto údajům máte?

Malajsijský zákon o ochraně osobních údajů z roku 2010 (Personal Data Protection Act, PDPA), který nabyl účinnosti v roce 2013, je hlavním předpisem země upravujícím, jak organizace shromažďují, používají, uchovávají a sdílejí vaše osobní informace. Přestože je starý přes deset let, mnoho Malajsijců o ochraně, kterou poskytuje, stále neví.

Na co se PDPA vztahuje

PDPA se vztahuje na každou osobu nebo organizaci, která zpracovává osobní údaje v souvislosti s obchodními transakcemi. Patří sem:

• Banky a finanční instituce
• Telekomunikační operátoři (Celcom, Maxis, Digi, U Mobile)
• E-commerce platformy (Shopee, Lazada)
• Poskytovatelé zdravotní péče (soukromé nemocnice, kliniky)
• Pojišťovny
• Maloobchodníci a provozovatelé věrnostních programů
• Poskytovatelé online služeb

Co se považuje za osobní údaje?

Podle PDPA jsou osobními údaji jakékoli informace, které vás přímo nebo nepřímo identifikují:

Kategorie	Příklady
Identita	Jméno, číslo IC, číslo pasu
Kontakt	Telefonní číslo, e-mail, adresa
Finance	Bankovní účet, plat, úvěrová historie
Zdraví	Zdravotní záznamy, recepty, krevní skupina
Biometrie	Otisk prstu, údaje pro rozpoznávání obličeje
Digitální údaje	IP adresa, historie prohlížení, údaje o poloze

Na co se PDPA NEVZTAHUJE

Existují důležité mezery. PDPA se nevztahuje na:

• Federální vládu a vlády jednotlivých států
• Neobchodní činnosti (osobní nebo domácí použití)
• Údaje zpracovávané mimo Malajsii (výrazné omezení)
• Úvěrové registry působící podle zákona o úvěrových registrech z roku 2010 (Credit Reporting Agencies Act 2010)

To znamená, že vládní úřady jako JPN, LHDN a PDRM se řídí jinými pravidly a údaje zpracovávané zahraničními firmami na serverech v cizině nemusí spadat pod malajsijskou jurisdikci.

Vašich sedm práv podle PDPA

1. Právo na přístup (§ 12)

Máte právo požádat o přístup ke všem osobním údajům, které o vás organizace vede. Organizace musí odpovědět do 21 dnů a může si účtovat přiměřený poplatek.

Jak ho uplatnit: Pošlete formální dopis nebo e-mail pověřenci pro ochranu osobních údajů dané organizace se žádostí o přístup ke svým osobním údajům.

2. Právo na opravu (§ 34)

Pokud jsou vaše osobní údaje nepřesné, neúplné nebo zavádějící, můžete požádat o jejich opravu. Organizace je musí opravit do 14 dnů.

3. Právo odvolat souhlas (§ 38)

Souhlas se zpracováním svých údajů můžete kdykoli odvolat. Odvolání však může ovlivnit služby, které dostáváte — například když odvoláte souhlas u svého operátora, nemusí vám být schopen zpracovávat vyúčtování.

4. Právo zabránit zpracování pro přímý marketing (§ 43)

Kterékoli organizaci můžete nařídit, aby přestala používat vaše údaje pro účely přímého marketingu. Proto můžete firmám říct, aby vám přestaly posílat propagační SMS a e-maily.

Praktický tip: Když dostanete nevyžádanou marketingovou zprávu, odpovězte „STOP“ nebo kontaktujte organizaci přímo s odkazem na § 43 PDPA.

5. Právo zabránit zpracování, které pravděpodobně způsobí újmu (§ 42)

Pokud zpracování údajů způsobuje nebo pravděpodobně způsobí podstatnou újmu či tíseň, můžete požádat o jeho ukončení.

6. Právo na informace (obecná zásada)

Organizace vás musí informovat o tom:

• Jaké údaje shromažďují
• Proč je shromažďují
• S kým je mohou sdílet
• Zda je poskytnutí povinné, nebo dobrovolné
• Že máte právo na přístup k údajům a na jejich opravu

K tomu slouží ona oznámení o ochraně soukromí, která vidíte (a obvykle přeskočíte) při registraci ke službám.

7. Právo na náhradu škody

Pokud organizace poruší PDPA a vám vznikne škoda, můžete se domáhat náhrady u soudu.

Sedm zásad ochrany osobních údajů

PDPA stanoví sedm zásad, které musí organizace dodržovat:

Zásada	Co znamená
Obecná zásada	Je nutný souhlas; subjekt údajů musí být informován
Oznámení a volba	Před shromážděním údajů je nutné poskytnout jasné oznámení o ochraně soukromí
Zpřístupnění	Údaje nelze sdílet nad rámec uvedeného účelu
Zabezpečení	Údaje musí být chráněny před ztrátou, zneužitím a neoprávněným přístupem
Uchovávání	Údaje nelze uchovávat déle, než je nutné
Integrita údajů	Údaje musí být přesné a aktuální
Přístup	Subjekty údajů musí mít možnost ke svým údajům přistupovat a opravovat je

Jak podat stížnost podle PDPA

Pokud se domníváte, že organizace porušila vaše právo na soukromí:

1. Nejprve si stěžujte přímo organizaci. Většina má určeného pověřence pro ochranu osobních údajů nebo kanál pro stížnosti.
2. Pokud se věc nevyřeší, podejte stížnost komisaři pro ochranu osobních údajů (Personal Data Protection Commissioner, PDPC):
   • Online: www.pdp.gov.my
   • E-mail: [email protected]
   • Telefon: 03-8000 8000
3. Doložte důkazy: Snímky obrazovky, kopie komunikace a podrobnosti o tom, jak byly vaše údaje zneužity.

Komisař může vést šetření, vydávat výzvy k nápravě a za závažná porušení ukládat pokuty až do výše 500 000 RM nebo trest odnětí svobody až na tři roky.

Běžná porušení PDPA v každodenním životě

Marketingové zprávy, které nejdou odhlásit

Od firmy vám dál chodí propagační SMS nebo hovory, přestože jste požádali o vyřazení. To porušuje § 43. Zprávy si zdokumentujte a podejte stížnost.

Firma, která sdílí víc, než smí

Realitní makléř sdílí vaše telefonní číslo a údaje z IC s několika třetími stranami bez vašeho souhlasu. To porušuje zásadu zpřístupnění.

Chybějící oznámení o ochraně soukromí

Klinika od vás vybírá číslo IC a zdravotní údaje, aniž by vám poskytla oznámení vysvětlující, jak budou údaje použity. To porušuje zásadu oznámení a volby.

Zamlčený únik dat

Firmu postihne únik dat týkající se vašich osobních informací, ale neinformuje vás o tom. Současný PDPA sice nestanoví povinné oznamování úniků (známá mezera), zvažují se však změny zákona.

Ochrana vlastních údajů

PDPA sice poskytuje právní rámec, stejně důležitá je ale vaše vlastní ostražitost:

• Čtěte oznámení o ochraně soukromí dřív, než udělíte souhlas. Zkontrolujte, jaké údaje se shromažďují a s kým se sdílejí.
• Ptejte se „je to nutné?“, když po vás organizace chce číslo IC nebo jiné citlivé údaje. Mnoho žádostí jde nad rámec toho, co vyžaduje zákon.
• Při registraci ke službám uvádějte jen minimum informací. Pokud je pole nepovinné, nechte ho prázdné.
• Pravidelně kontrolujte oprávnění, která jste udělili aplikacím v telefonu.

Digitální sdílení osobních údajů

Když potřebujete sdílet čísla IC, údaje o bankovním účtu nebo jiné osobní údaje s důvěryhodnými stranami — kvůli žádosti o pojištění, převodu nemovitosti nebo žádosti o zaměstnání —, neposílejte je v nechráněných zprávách na WhatsAppu ani e-mailem.

LOCK.PUB vám umožní sdílet citlivé osobní údaje přes šifrované odkazy chráněné heslem, jejichž platnost vyprší po nastavené době (Pro). To se hodí zejména při sdílení snímků MyKad nebo finančních dokumentů, protože informace pak nezůstávají trvale uložené v ničí historii chatu.

Výhled: změny PDPA

Malajsijský PDPA prochází zásadní revizí. Navrhované změny zahrnují:

• Povinné oznamování úniků dat — organizace budou muset informovat dotčené osoby ve stanovené lhůtě.
• Přenositelnost údajů — budete moci převádět své údaje mezi poskytovateli služeb.
• Jmenování pověřenců pro ochranu osobních údajů — povinné pro velké organizace.
• Omezení přeshraničních přenosů — přísnější kontrola údajů opouštějících Malajsii.

Tyto změny by PDPA přiblížily mezinárodním standardům, jako je GDPR Evropské unie.

Znejte svá práva

PDPA existuje proto, aby vás chránil, funguje však jen tehdy, když svá práva znáte a uplatňujete je. Až po vás příště nějaká firma bude chtít číslo IC, zeptejte se, proč ho potřebuje a jak ho ochrání. Vaše osobní údaje mají hodnotu — tak s nimi také zacházejte.

---

Převezměte kontrolu nad svým soukromím. Sdílejte osobní údaje bezpečně pomocí odkazů chráněných heslem na LOCK.PUB.