Malaysia PDPA Guide: Ang Iyong Karapatan sa Privacy sa Ilalim ng Personal Data Protection Act

Tuwing mag-sign up ka sa loyalty card, magpa-register sa klinika, o mag-apply sa gym membership sa Malaysia, nagbibigay ka ng personal na datos. Ang iyong pangalan, IC number, numero ng telepono, address, at minsan kahit ang antas ng kita mo ay napupunta sa mga corporate database. Pero alam mo ba kung ano ang iyong mga karapatan sa datos na iyon?

Ang Personal Data Protection Act 2010 (PDPA) ng Malaysia — na nagkabisa noong 2013 — ang pangunahing batas ng bansa tungkol sa kung paano kinokolekta, ginagamit, iniimbak, at ibinabahagi ng mga organisasyon ang iyong personal na impormasyon. Sa kabila ng mahigit isang dekada na ang nakalipas, maraming Malaysian ang hindi pa rin alam ang mga proteksyon na ibinibigay nito.

Ano ang Sakop ng PDPA

Nalalapat ang PDPA sa sinumang tao o organisasyon na nagpoproseso ng personal data sa konteksto ng mga komersyal na transaksyon. Kasama dito ang:

• Mga bangko at pinansyal na institusyon
• Mga telco (Celcom, Maxis, Digi, U Mobile)
• Mga e-commerce platform (Shopee, Lazada)
• Mga healthcare provider (pribadong ospital, klinika)
• Mga insurance company
• Mga retailer at loyalty programme operator
• Mga online service provider

Ano ang Itinuturing na Personal Data?

Sa ilalim ng PDPA, ang personal data ay anumang impormasyon na direkta o hindi direktang nagpapakilala sa iyo:

Kategorya	Mga Halimbawa
Pagkakakilanlan	Pangalan, IC number, passport number
Kontak	Numero ng telepono, email, address
Pinansyal	Bank account, sahod, credit history
Kalusugan	Medical records, reseta, blood type
Biometric	Fingerprint, facial recognition data
Digital	IP address, browsing history, location data

Ano ang HINDI Sakop ng PDPA

May mga mahalagang puwang na umiiral. Hindi nalalapat ang PDPA sa:

• Pamahalaan ng federal at state
• Mga hindi komersyal na aktibidad (personal o gamit sa bahay)
• Data na pinoproseso sa labas ng Malaysia (isang malaking limitasyon)
• Mga credit reporting agency na nasa ilalim ng Credit Reporting Agencies Act 2010

Ibig sabihin nito, ang mga ahensya ng gobyerno tulad ng JPN, LHDN, at PDRM ay nasa ilalim ng ibang mga patakaran, at ang data na pinoproseso ng mga dayuhang kumpanya sa mga server sa ibang bansa ay maaaring hindi sakop ng hurisdiksyon ng Malaysia.

Ang Iyong Pitong Karapatan sa Ilalim ng PDPA

1. Karapatan na Ma-access (Section 12)

May karapatan kang humiling ng access sa anumang personal data na hawak ng isang organisasyon tungkol sa iyo. Ang organisasyon ay kailangang tumugon sa loob ng 21 araw at maaaring maningil ng makatwirang bayad.

Paano gamitin ito: Sumulat ng pormal na liham o email sa data protection officer ng organisasyon na humihiling ng access sa iyong personal data.

2. Karapatan na Itama (Section 34)

Kung ang iyong personal data ay hindi tama, hindi kumpleto, o nakakapanligaw, maaari kang humiling ng pagwawasto. Kailangang gawin ng organisasyon ang pagwawasto sa loob ng 14 na araw.

3. Karapatan na Bawiin ang Pahintulot (Section 38)

Maaari mong bawiin ang iyong pahintulot para sa pagpoproseso ng iyong data anumang oras. Gayunpaman, ang pagbawi ay maaaring makaapekto sa mga serbisyong natatanggap mo — halimbawa, ang pagbawi ng pahintulot mula sa iyong telco ay maaaring mangahulugan na hindi nila mapoproseso ang iyong mga bill.

4. Karapatan na Pigilan ang Processing para sa Direct Marketing (Section 43)

Maaari mong utusan ang kahit anong organisasyon na itigil ang paggamit ng iyong data para sa direct marketing. Ito ang dahilan kung bakit maaari mong sabihan ang mga kumpanya na itigil ang pagpapadala sa iyo ng mga promotional SMS at email.

Praktikal na tip: Kapag nakatanggap ka ng hindi gustong marketing message, mag-reply ng "STOP" o direktang makipag-ugnayan sa organisasyon na binabanggit ang Section 43 ng PDPA.

5. Karapatan na Pigilan ang Processing na Malamang Magdulot ng Pinsala (Section 42)

Kung ang pagpoproseso ng data ay nagdudulot o malamang magdulot ng malaking pinsala o pagkabalisa, maaari kang humiling na itigil ito.

6. Karapatan na Ma-inform (General Principle)

Kinakailangang ipaalam sa iyo ng mga organisasyon ang:

• Anong data ang kinokolekta nila
• Bakit nila kinokolekta ito
• Kanino nila maaaring ibahagi ito
• Kung ito ba ay obligatory o voluntary
• Ang iyong karapatan na ma-access at maitama ang data

Ito ang layunin ng mga privacy notice na nakikita mo (at kadalasang nini-skip) kapag nagsa-sign up sa mga serbisyo.

7. Karapatan sa Kabayaran

Kung lumalabag ang isang organisasyon sa PDPA at nagdusa ka ng pinsala, maaari kang humingi ng kabayaran sa pamamagitan ng mga hukuman.

Ang Pitong Data Protection Principles

Itinatakda ng PDPA ang pitong prinsipyo na kailangang sundin ng mga organisasyon:

Prinsipyo	Ano ang Ibig Sabihin
General	Kailangan ng pahintulot; kailangang ipaalam sa data subject
Notice and Choice	Kailangang magbigay ng malinaw na privacy notice bago magkolekta
Disclosure	Hindi pwedeng ibahagi ang data nang lampas sa nakasaad na layunin
Security	Kailangang protektahan ang data mula sa pagkawala, maling paggamit, at hindi awtorisadong access
Retention	Hindi pwedeng itago ang data nang mas matagal kaysa sa kailangan
Data Integrity	Kailangang tiyakin na tama at updated ang data
Access	Kailangang payagan ang mga data subject na ma-access at maitama ang kanilang data

Paano Mag-file ng PDPA Complaint

Kung naniniwala kang nilabag ng isang organisasyon ang iyong mga karapatan sa privacy:

1. Magreklamo muna sa organisasyon. Karamihan ay may designated na data protection officer o complaints channel.
2. Kung hindi malutas, mag-file ng reklamo sa Personal Data Protection Commissioner (PDPC):
   • Online: www.pdp.gov.my
   • Email: [email protected]
   • Telepono: 03-8000 8000
3. Magbigay ng ebidensya: Mga screenshot, kopya ng mga komunikasyon, at detalye kung paano ginamit nang mali ang iyong data.

Maaaring mag-imbestiga ang Commissioner, mag-isyu ng enforcement notice, at magpataw ng multa na hanggang RM500,000 o pagkakulong ng hanggang tatlong taon para sa malubhang mga paglabag.

Mga Karaniwang Paglabag sa PDPA sa Pang-araw-araw na Buhay

Ang Hindi Ma-unsubscribe na Marketing Message

Patuloy kang nakakatanggap ng promotional SMS o tawag mula sa isang kumpanya sa kabila ng paghiling na alisin ka. Ito ay paglabag sa Section 43. Idokumento ang mga mensahe at mag-file ng reklamo.

Ang Negosyong Sobrang Nagbabahagi

Ibinabahagi ng isang property agent ang iyong numero ng telepono at IC details sa maraming third party nang walang iyong pahintulot. Ito ay paglabag sa Disclosure Principle.

Ang Nawawalang Privacy Notice

Kinokolekta ng isang klinika ang iyong IC number at medical details nang hindi nagbibigay ng privacy notice na nagpapaliwanag kung paano gagamitin ang data. Ito ay paglabag sa Notice and Choice Principle.

Ang Data Breach Cover-Up

Nakakaranas ang isang kumpanya ng data breach na nakakaapekto sa iyong personal na impormasyon ngunit hindi ka nila inabisuhan. Bagama't ang kasalukuyang PDPA ay walang mandatory na breach notification requirement (isang kilalang puwang), isinasaalang-alang na ang mga susog.

Pagprotekta sa Sarili Mong Data

Bagama't nagbibigay ang PDPA ng legal na framework, pantay na mahalaga ang personal na pagbabantay:

• Basahin ang mga privacy notice bago sumang-ayon. Tingnan kung anong data ang kinokolekta at kanino ito ibinabahagi.
• Itanong "kailangan ba talaga ito?" kapag humingi ng iyong IC number o iba pang sensitibong data ang mga organisasyon. Maraming kahilingan ang lampas sa legal na kinakailangan.
• Gumamit ng minimal na impormasyon kapag nagrerehistro para sa mga serbisyo. Kung optional ang isang field, iwanang blangko ito.
• Regular na suriin ang mga permission na ibinigay mo sa mga app sa iyong telepono.

Pag-share ng Personal Data sa Digital

Kapag kailangan mong magbahagi ng IC number, bank account details, o iba pang personal data sa mga pinagkakatiwalaang partido — para sa insurance application, property transaction, o job application — iwasan ang pagpapadala ng mga ito sa unprotected na Messenger message o email.

Pinapayagan ka ng LOCK.PUB na magbahagi ng sensitibong personal data sa pamamagitan ng mga password-protected at encrypted na link na mag-e-expire pagkatapos ng itinakdang oras. Ito ay lalong kapaki-pakinabang kapag nagbabahagi ng mga MyKad image o pinansyal na dokumento, dahil ang impormasyon ay hindi permanenteng naka-store sa chat history ng sinuman.

Pagtingin sa Hinaharap: Mga Susog sa PDPA

Ang PDPA ng Malaysia ay sumasailalim sa makabuluhang pagsusuri. Kasama sa mga iminumungkahing susog ang:

• Mandatory data breach notification — na nag-oobliga sa mga organisasyon na abisuhan ang mga apektadong indibidwal sa loob ng itinakdang panahon.
• Data portability — na nagpapahintulot sa iyo na ilipat ang iyong data sa iba't ibang service provider.
• Pagtatalaga ng mga data protection officer — mandatory para sa malalaking organisasyon.
• Mga paghihigpit sa cross-border transfer — mas mahigpit na kontrol sa data na umaalis ng Malaysia.

Ang mga pagbabagong ito ay maglalapit sa PDPA sa mga internasyonal na pamantayan tulad ng GDPR ng EU.

Alamin ang Iyong mga Karapatan

Umiiral ang PDPA para protektahan ka, ngunit gagana lamang ito kung alam mo ang iyong mga karapatan at ginagamit mo ang mga ito. Sa susunod na humingi ng iyong IC number ang isang kumpanya, tanungin sila kung bakit kailangan nila ito at kung paano nila ito poprotektahan. May halaga ang iyong personal data — tratuhin ito nang naaayon.

---

Kontrolin ang iyong privacy. Magbahagi ng personal data nang ligtas gamit ang password-protected na mga link sa LOCK.PUB.