Malaysia PDPA Guide: Dina integritetsrättigheter enligt Personuppgifter Protection Act

Varje gång du registrerar dig för ett lojalitetskort, registrerar dig på en klinik eller ansöker om gymmedlemskap i Malaysia lämnar du över personuppgifter. Ditt namn, IC-nummer, telefonnummer, adress och ibland även din inkomstnivå hamnar i företagets databaser. Men vet du vilka rättigheter du har över den datan?

Malaysias Personuppgifter Protection Act 2010 (PDPA) – som trädde i kraft 2013 – är landets primära lagstiftning som styr hur organisationer samlar in, använder, lagrar och delar din personliga information. Trots att de är över ett decennium gamla förblir många malaysier omedvetna om skyddet det ger.

Vad PDPA omfattar

PDPA gäller alla personer eller organisationer som behandlar personuppgifter i samband med kommersiella transaktioner. Detta inkluderar:

• Banker och finansiella institutioner
• Telcos (Celcom, Maxis, Digi, U Mobile)
• E-handelsplattformar (Shopee, Lazada)
• Sjukvårdsleverantörer (privata sjukhus, kliniker) – Försäkringsbolag
• Återförsäljare och lojalitetsprogramoperatörer
• Onlinetjänsteleverantörer

Vad räknas som personuppgifter?

Enligt PDPA avser personuppgifter all information som direkt eller indirekt identifierar dig:

Kategori	Exempel
Identitet	Namn, IC-nummer, passnummer
Kontakta	Telefonnummer, e-post, adress
Finansiell	Bankkonto, lön, kredithistorik
Hälsa	Medicinska journaler, recept, blodgrupp
Biometrisk	Fingeravtryck, ansiktsigenkänningsdata
Digital	IP-adress, webbhistorik, platsdata

Vad PDPA INTE täcker

Det finns viktiga luckor. PDPA gäller inte för:

• De federala och delstatliga regeringarna
• Icke-kommersiella aktiviteter (personligt eller hushållsbruk)
• Data som behandlas utanför Malaysia (en betydande begränsning)
• Kreditupplysningsföretag som verkar enligt Credit Reporting Agencies Act 2010

Detta innebär att statliga myndigheter som JPN, LHDN och PDRM verkar under olika regler, och data som behandlas av utländska företag på utländska servrar kanske inte faller under malaysisk jurisdiktion.

Dina sju rättigheter enligt PDPA

1. Rätt till åtkomst (avsnitt 12)

Du har rätt att begära tillgång till alla personuppgifter som en organisation har om dig. Organisationen måste svara inom 21 dagar och kan ta ut en rimlig avgift.

Så här utövar du det: Skriv ett formellt brev eller mejl till organisationens dataskyddsombud och begär tillgång till dina personuppgifter.

2. Rätt att korrigera (avsnitt 34)

Om dina personuppgifter är felaktiga, ofullständiga eller vilseledande kan du begära rättelse. Organisationen måste göra rättelse inom 14 dagar.

3. Rätt att återkalla samtycke (avsnitt 38)

Du kan återkalla samtycke för behandling av din data när som helst. Dock kan återkallelsen påverka de tjänster du får — till exempel, om du återkallar ditt samtycke från ditt telefonbolag kan det innebära att de inte kan behandla dina räkningar.

4. Rätt att förhindra behandling för direktmarknadsföring (avsnitt 43)

Du kan instruera vilken organisation som helst att sluta använda din data för direktmarknadsföringsändamål. Det är därför du kan säga åt företag att sluta skicka SMS-reklammeddelanden och e-postmeddelanden till dig.

Praktiskt tips: När du får oönskade marknadsföringsmeddelanden, svara "STOPP" eller kontakta organisationen direkt med hänvisning till avsnitt 43 i PDPA.

5. Rätt att förhindra behandling som kan orsaka skada (avsnitt 42)

Om databehandlingen orsakar eller sannolikt kommer att orsaka betydande skada eller nöd kan du begära att den stoppas.

6. Rätt att bli informerad (allmän princip)

Organisationer måste informera dig om:

– Vilken data de samlar in – Varför de samlar in det – Vem de får dela det med – Oavsett om det är obligatoriskt eller frivilligt

• Din rätt att få tillgång till och korrigera data

Detta är syftet med de sekretessmeddelanden du ser (och vanligtvis hoppar över) när du registrerar dig för tjänster.

7. Rätt till ersättning

Om en organisation bryter mot PDPA och du lider skada kan du begära ersättning genom domstol.

De sju dataskyddsprinciperna

PDPA fastställer sju principer som organisationer måste följa:

Princip	Vad det betyder
Allmänt	Samtycke krävs; registrerade måste informeras
Meddelande och val	Måste tillhandahålla ett tydligt sekretessmeddelande innan hämtning
Upplysning	Kan inte dela data utöver det angivna syftet
Säkerhet	Måste skydda data från förlust, missbruk och obehörig åtkomst
Retention	Kan inte behålla data längre än nödvändigt
Dataintegritet	Måste säkerställa att data är korrekta och uppdaterade
Tillgång	Måste tillåta registrerade att komma åt och korrigera sina uppgifter

Hur man lämnar in ett PDPA-klagomål

Om du anser att en organisation har brutit mot dina integritetsrättigheter:

1. Klaga till organisationen först. De flesta har en utsedd dataskyddsombud eller klagomålskanal.
2. Om olöst, lämna in ett klagomål till Personuppgifter Protection Commissioner (PDPC):
   • Online: www.pdp.gov.my
   • E-post: aduan@pdp.gov.my
   • Telefon: 03-8000 8000
3. Ge bevis: Skärmdumpar, kopior av kommunikation och detaljer om hur din data missbrukades.

Kommissionären kan utreda, utfärda verkställighetsmeddelanden och utdöma böter på upp till 500 000 RM eller fängelse upp till tre år för allvarliga överträdelser.

Vanliga PDPA-överträdelser i vardagen

Marknadsföringsmeddelandet som inte kan prenumereras

Du fortsätter att få PR-SMS eller samtal från ett företag trots att du begärt borttagning. Detta bryter mot avsnitt 43. Dokumentera meddelandena och lämna in ett klagomål.

The Oversharing Business

En fastighetsmäklare delar ditt telefonnummer och IC-uppgifter med flera tredje parter utan ditt medgivande. Detta bryter mot principen om offentliggörande.

Sekretessmeddelandet saknas

En klinik samlar in ditt IC-nummer och medicinska uppgifter utan att tillhandahålla ett sekretessmeddelande som förklarar hur data kommer att användas. Detta bryter mot principen om meddelande och val.

Dataläcka Cover-Up

Ett företag upplever ett dataläcka som påverkar din personliga information men underlåter att meddela dig. Även om det nuvarande PDPA inte har ett obligatoriskt krav på anmälan om överträdelse (en känd lucka), övervägs ändringar.

Skydda dina egna data

Även om PDPA tillhandahåller en rättslig ram, är personlig vaksamhet lika viktig:

• Läs integritetsmeddelanden innan du samtycker. Kontrollera vilken data som samlas in och vem den delas med.
• Fråga "är detta nödvändigt?" när organisationer begär ditt IC-nummer eller annan känslig data. Många förfrågningar överskrider vad som krävs enligt lag.
• Använd minimal information när du registrerar dig för tjänster. Om ett fält är valfritt lämnar du det tomt.
• Granska regelbundet behörigheter du har gett appar på din telefon.

Dela personuppgifter digitalt

När du behöver dela IC-nummer, bankkontouppgifter eller andra personuppgifter med betrodda parter – för försäkringsansökningar, fastighetstransaktioner eller jobbansökningar – undvik att skicka dem i oskyddade WhatsApp-meddelanden eller e-postmeddelanden.

LOCK.PUB låter dig dela känsliga personuppgifter genom lösenordsskyddade, krypterade länkar som löper ut efter en viss tid. Detta är särskilt användbart när du delar MyKad-bilder eller finansiella dokument, eftersom informationen inte lagras permanent i någons chatthistorik.

Framåtblick: PDPA-tillägg

Malaysias PDPA genomgår betydande översyn. Föreslagna ändringar inkluderar:

• Obligatorisk dataläcka-anmälan — kräver att organisationer underrättar berörda individer inom en bestämd tidsram.
• Dataportabilitet — så att du kan överföra din data mellan tjänsteleverantörer.
• Utnämning av dataskyddsombud — obligatoriskt för stora organisationer.
• Restriktioner för överföring över gränserna — skärpta kontroller av data som lämnar Malaysia.

Dessa ändringar skulle föra PDPA närmare internationella standarder som EU:s GDPR.

Känna till dina rättigheter

PDPA finns till för att skydda dig, men den fungerar bara om du känner till dina rättigheter och utövar dem. Nästa gång ett företag ber om ditt IC-nummer, fråga dem varför de behöver det och hur de kommer att skydda det. Dina personuppgifter har ett värde — behandla dem så.

---

Ta kontroll över din integritet. Dela personuppgifter säkert med lösenordsskyddad länks på LOCK.PUB.