13 June 2026, by Gabriel

DPO sebagai Perkhidmatan Malaysia: Skop, Keperluan, dan Cara Memulakan

Sejak 1 Jun 2025, keperluan melantik Pegawai Perlindungan Data (DPO) telah berkuat kuasa sepenuhnya di bawah pindaan Akta Perlindungan Data Peribadi 2010 (Akta 709). Syarikat yang gagal mematuhi kini terdedah kepada denda yang lebih tinggi berbanding sebelum pindaan 2024. Artikel ini menjelaskan dengan tepat apa yang termasuk dalam perkhidmatan DPO, siapa yang memerlukannya, dan langkah praktikal untuk memulakan.

Mengapa Pindaan 2024 Mengubah Segalanya

Pindaan Akta 709 yang dibentangkan di Parlimen pada 10 Julai 2024 dan berkuat kuasa pada 17 Oktober 2024 memperkenalkan tiga perubahan besar secara berperingkat. Mulai 1 April 2025, kadar denda bagi ketidakpatuhan tujuh prinsip Perlindungan Data Peribadi (PDP) dan pemindahan data ke luar Malaysia telah dinaikkan. Ini bukan sekadar perubahan teknikal, ini adalah perubahan risiko perniagaan yang ketara.

Bermula 1 Jun 2025, tiga kewajipan baharu mula berkuat kuasa serentak: pelantikan DPO, pemberitahuan pelanggaran data, dan hak kemudahalihan data bagi subjek data. Bagi kebanyakan SME dan GLC, kewajipan ini datang lebih cepat daripada yang mereka jangkakan. Ramai pengawal data masih belum mempunyai DPO yang dilantik secara formal.

Apa yang Sebenarnya Termasuk dalam DPO sebagai Perkhidmatan

DPO sebagai perkhidmatan bukan sekadar penyediaan nama untuk tujuan dokumentasi. Ia adalah fungsi pematuhan yang beroperasi secara aktif bagi pihak organisasi anda.

Skop perkhidmatan lazimnya merangkumi:

• Audit pematuhan PDPA menyeluruh terhadap proses, sistem, dan dasar sedia ada
• Penyediaan dan penyelenggaraan Notis Privasi, Dasar Perlindungan Data, dan Rekod Aktiviti Pemprosesan
• Pengurusan permintaan hak subjek data, termasuk akses, pembetulan, dan pemadaman data
• Pengendalian insiden pelanggaran data dan pemberitahuan kepada Jabatan Perlindungan Data Peribadi (JPDP) dalam tempoh yang ditetapkan
• Latihan kesedaran perlindungan data untuk kakitangan, termasuk program yang boleh dituntut melalui HRD Corp SBL-Khas
• Semakan berkala terhadap kontrak pemproses data pihak ketiga
• Penilaian risiko bagi pemindahan data peribadi ke luar Malaysia

Perbezaan utama antara melantik DPO dalaman berbanding DPO sebagai perkhidmatan terletak pada kos dan kepakaran. DPO sepenuh masa memerlukan gaji yang kompetitif, manakala DPO luaran menyediakan akses kepada pasukan pakar dengan kos yang boleh diurus.

Siapa yang Memerlukan DPO sebagai Perkhidmatan

Akta 709 terpakai kepada mana-mana pengawal data yang memproses data peribadi dalam transaksi komersial di Malaysia. Ini merangkumi syarikat yang terlibat dalam pembekalan atau pertukaran barangan dan perkhidmatan, pelaburan, pembiayaan, perbankan, dan insurans.

Secara praktikalnya, hampir semua syarikat yang beroperasi secara komersial di Malaysia adalah pengawal data. Mereka memproses data pekerja, pelanggan, pembekal, dan rakan niaga setiap hari.

DPO sebagai perkhidmatan amat sesuai untuk:

• SME yang tidak mempunyai sumber dalaman untuk menggaji DPO sepenuh masa
• GLC yang memerlukan kepakaran bebas untuk mengesahkan pematuhan dalaman
• Syarikat yang memproses data sensitif seperti maklumat kesihatan, data biometrik, atau maklumat kewangan
• Organisasi yang menggunakan pemproses data pihak ketiga seperti vendor awan, syarikat gaji luar, atau platform e-dagang
• Syarikat yang baru ditubuhkan dan memerlukan rangka kerja pematuhan dari awal

Latihan Pematuhan yang Boleh Dituntut Melalui HRD Corp

Salah satu kelebihan yang kerap diabaikan oleh syarikat Malaysia ialah kelayakan menuntut kos latihan pematuhan melalui skim HRD Corp SBL-Khas. Program latihan berkaitan PDPA, perlindungan data, dan keselamatan siber yang diluluskan membolehkan majikan mendapatkan semula sebahagian besar kos latihan.

Ini bermakna latihan kesedaran PDPA untuk HR, pengurus IT, pegawai pematuhan, dan kakitangan am boleh dilaksanakan dengan kos bersih yang lebih rendah. Bagi SME dengan bajet terhad, ini adalah faktor penting dalam perancangan program pematuhan tahunan.

Cara Memulakan: Empat Langkah Praktikal

Banyak syarikat menangguhkan tindakan kerana menganggap proses ini rumit. Hakikatnya, memulakan adalah lebih mudah daripada yang dijangkakan jika anda mengikut urutan yang betul.

Langkah 1: Jalankan Penilaian Jurang Pematuhan

Kenal pasti data peribadi apa yang organisasi anda kumpul, di mana ia disimpan, siapa yang boleh mengaksesnya, dan bagaimana ia diproses. Penilaian ini mendedahkan jurang antara amalan semasa dan keperluan Akta 709.

Langkah 2: Lantik DPO secara Formal

Sama ada DPO dalaman atau luaran, pelantikan perlu didokumenkan secara rasmi. Jika anda memilih DPO sebagai perkhidmatan, pastikan perjanjian perkhidmatan menjelaskan skop, tanggungjawab, dan saluran pelaporan dengan tepat.

Langkah 3: Kemaskini Dasar dan Prosedur

Semak semula Notis Privasi, Dasar Perlindungan Data, dan prosedur dalaman supaya selaras dengan pindaan 2024. Ini termasuk prosedur tindak balas pelanggaran data yang mesti membolehkan pemberitahuan kepada JPDP dalam tempoh yang ditetapkan undang-undang.

Langkah 4: Latih Kakitangan dan Tegakkan Budaya Pematuhan

Dasar yang baik tidak memberi sebarang kesan jika kakitangan tidak memahaminya. Laksanakan latihan yang bersesuaian dengan peranan masing-masing, dari pasukan jualan yang mengumpul data pelanggan hinggalah kepada pasukan IT yang menguruskan sistem.