マレーシアPDPAガイド：個人データ保護法における消費者の権利

マレーシアでポイントカードの登録やクリニックの受付、ジムの入会をするたびに、個人データを渡しています。名前、IC番号、電話番号、住所、時には収入情報までが企業のデータベースに蓄積されます。しかし、そのデータに対してどのような権利があるか知っていますか？

マレーシアの2010年個人データ保護法（PDPA）は、組織が個人情報をどのように収集、使用、保存、共有するかを規定する主要な法律です。施行から10年以上経ちますが、多くのマレーシア人がこの法律の保護内容を知りません。

PDPAの適用範囲

PDPAは商取引において個人データを処理するすべての個人・組織に適用されます：

• 銀行・金融機関
• 通信会社（Celcom、Maxis、Digi、U Mobile）
• ECプラットフォーム（Shopee、Lazada）
• 医療提供者（私立病院、クリニック）
• 保険会社
• 小売業者・ロイヤルティプログラム運営者
• オンラインサービス提供者

個人データとは？

カテゴリ	例
身元	氏名、IC番号、パスポート番号
連絡先	電話番号、メール、住所
金融	銀行口座、給与、信用履歴
健康	医療記録、処方箋、血液型
生体認証	指紋、顔認識データ
デジタル	IPアドレス、閲覧履歴、位置情報

PDPAが適用されないもの

重要な除外事項があります：

• 連邦・州政府
• 非商業活動（個人・家庭での使用）
• マレーシア国外で処理されるデータ
• 信用報告機関法2010に基づく信用報告機関

PDPAに基づく7つの権利

1. アクセス権（第12条）

組織が保有するあなたの個人データへのアクセスを要求できます。組織は21日以内に回答する必要があります。

2. 訂正権（第34条）

個人データが不正確、不完全、または誤解を招く場合、訂正を要求できます。組織は14日以内に訂正する必要があります。

3. 同意撤回権（第38条）

データ処理への同意はいつでも撤回できます。ただし、撤回によりサービスに影響が出る場合があります。

4. ダイレクトマーケティング拒否権（第43条）

組織にデータのダイレクトマーケティング目的での使用を停止させることができます。

実用的なヒント： 不要なマーケティングメッセージを受信したら、「STOP」と返信するか、PDPA第43条を引用して直接連絡しましょう。

5. 損害を引き起こす処理の防止権（第42条）

データ処理が重大な損害や苦痛を引き起こしているまたは引き起こす可能性がある場合、停止を要求できます。

6. 情報を受ける権利（一般原則）

組織は収集するデータの内容、目的、共有先、任意か義務かを通知する義務があります。

7. 補償を受ける権利

組織がPDPAに違反し損害を受けた場合、裁判所を通じて補償を求められます。

7つのデータ保護原則

原則	意味
一般	同意が必要；データ主体に通知が必要
通知と選択	収集前に明確なプライバシー通知を提供
開示	記載された目的を超えてデータを共有してはならない
セキュリティ	損失、悪用、不正アクセスからデータを保護
保持	必要以上にデータを保持してはならない
データの完全性	データが正確で最新であることを確保
アクセス	データ主体のアクセスと訂正を許可

PDPA苦情の申立て方法

1. まず組織に苦情を申し立てる。
2. 未解決の場合、個人データ保護委員会（PDPC）に申立て：
   • オンライン：www.pdp.gov.my
   • メール：aduan@pdp.gov.my
   • 電話：03-8000 8000
3. 証拠を提供： スクリーンショット、通信のコピー、データ悪用の詳細。

委員会は調査、執行通知の発行、最大RM500,000の罰金または最大3年の懲役を科すことができます。

日常生活でよくあるPDPA違反

解除できないマーケティングメッセージ

削除を要求したにもかかわらず、プロモーションSMSや電話が続く場合、第43条違反です。

情報を共有しすぎる企業

不動産業者があなたの電話番号やIC情報を同意なしに複数の第三者と共有する場合、開示原則違反です。

プライバシー通知の欠如

クリニックがデータの使用方法を説明するプライバシー通知なしにIC番号と医療情報を収集する場合、通知と選択の原則違反です。

自分のデータを守る

法的枠組みに加えて、個人の注意も同様に重要です：

• 同意前にプライバシー通知を読む
• 組織がIC番号や機密データを要求する際は**「これは必要ですか？」と尋ねる**
• サービス登録時は最小限の情報を使用
• スマートフォンのアプリに付与した権限を定期的に見直す

個人データのデジタル共有

保険申請、不動産取引、就職活動でIC番号や銀行口座情報を信頼できる相手に共有する必要がある場合、LINEやWhatsAppの無防備なメッセージやメールで送信するのは避けましょう。

LOCK.PUBを使えば、パスワード保護された暗号化リンクで機密個人データを共有できます。一定時間後に期限切れになるため、MyKadの画像や金融書類を共有する際に特に有用です。

今後の展望：PDPA改正

マレーシアのPDPAは大幅な見直しが進行中です。提案されている改正には以下が含まれます：

• 義務的なデータ漏洩通知 — 一定期間内に影響を受ける個人への通知を義務化
• データポータビリティ — サービスプロバイダー間でのデータ移行を許可
• データ保護責任者の任命 — 大規模組織に義務化
• 越境移転の制限 — マレーシアからのデータ移転に厳格な管理

あなたの権利を知る

PDPAはあなたを守るために存在しますが、権利を知り行使してこそ機能します。次に企業がIC番号を求めてきたら、なぜ必要なのか、どう保護するのかを尋ねましょう。個人データには価値があります——そのように扱いましょう。

---

プライバシーを自分で守りましょう。パスワード付きリンクで個人データを安全に共有 ー LOCK.PUB