馬來西亞個資保護法(PDPA):你的客戶與員工資料合規了嗎?

馬來西亞的個人資料保護法是什麼?

馬來西亞的個人資料保護法(PDPA)規範的是「在商業交易中處理個人資料」這件事。只要你的公司在馬來西亞蒐集、記錄、保存、使用、揭露或刪除可以識別到特定個人的資料,就落在它的管轄範圍內。它的核心精神跟台灣的個資法很接近:資料不是公司的,是當事人的,公司只是在特定目的下被允許使用。制度上會要求你在蒐集的當下就講清楚目的、要有合法依據、要讓當事人知道資料可能會給誰、要提供查閱與更正的管道,也要求你採取合理的安全措施保護資料不外洩。很多台灣企業在落地初期只顧著把公司開起來、把生意跑起來,個資這塊往往等到客戶提出質疑、或是主管機關來函才開始補,那時候要回頭重建告知與同意的紀錄,難度會比一開始就做好高上好幾倍。

哪些資料算個人資料?

判斷標準是「能不能識別到特定的人」,而不是資料看起來重不重要。姓名、身分證件號碼、住址、電話、電子郵件當然算;但線上訂單紀錄、會員編號、消費偏好、應徵者履歷、員工的出勤與薪資明細,只要能連回到某個具體的人,一樣算。實務上最常被忽略的是那些「不像個資的個資」:業務手機裡的客戶通訊錄、行銷部門買來或換來的名單、門市的監視影像、客服的通話錄音、以及散落在各種試算表裡的舊聯絡人清單。另外,涉及健康、宗教信仰、政治立場或前科這類敏感性質的資料,規範上通常會更嚴格,處理前更要確認你有站得住腳的依據。與其逐項爭辯某筆資料算不算,不如先做一次盤點,把公司實際握有的資料攤開來看。

蒐集客戶個資要先做什麼?

蒐集之前先回答兩個問題:你為什麼要這筆資料、以及你憑什麼可以拿。目的要具體到能寫下來,像是為了出貨、為了開發票、為了處理售後服務,而不是含糊的「營運需要」。依據則要在蒐集的當下就成立,常見的是取得當事人同意,也可能是履行契約所必需或法規本身有要求。告知這一步不能省:要讓當事人在留下資料之前就知道你要拿去做什麼、會不會給第三方、他可以怎麼查閱或更正。落到操作面,就是你的訂購表單、會員註冊頁、報名連結、實體門市的填單,都應該有一段看得懂的個資告知,而不是藏在沒人點開的條款最後一頁。行銷推播尤其要留意,把「買東西」跟「願意收廣告」綁在一起,往往是最容易出問題的地方。

員工的資料也受規範嗎?

員工資料一樣受規範,而且風險常常比客戶資料更高,因為它更敏感、也更集中。從招募開始就進入範圍:履歷、面試紀錄、未錄取者的資料都算。到職後的身分文件、銀行帳戶、緊急聯絡人、薪資與扣繳明細、考績、健康檢查與請假理由,全都是需要被妥善對待的個人資料。台灣企業常見的兩個破口,一是人資檔案放在共用的雲端資料夾,權限一開就是全公司都看得到;二是離職員工的資料放到天荒地老,沒人想過該不該清。合理的做法是把人資資料的存取權限收斂到真正需要的人,設定明確的保存與清理規則,並且在僱用文件裡就把資料處理的目的講明白。薪資如果委外給服務商處理,雙方的責任分工也要事先講清楚。

個資可以傳回台灣總部嗎?

跨境傳輸是台灣企業最容易踩到、卻最少人事先想過的一塊。集團的日常運作幾乎必然涉及資料跨境:馬來西亞子公司的客戶名單匯進總部的系統、人資資料回傳台灣做集團報表、用的雲端服務伺服器根本不在馬來西亞。制度上對於把個人資料傳送到境外是有條件與限制的,不是「都是自己集團的公司」就可以自由流通 —— 母子公司在法律上是不同的個體,傳出去就是揭露給第三方。實務上你要能說清楚幾件事:資料要傳去哪、為什麼要傳、當事人知不知道、接收方會怎麼保護它。集團內部通常會用資料處理協議把責任與保護標準綁起來。這件事的適用條件依當期規定,建議在導入集團系統之前就先評估,不要等資料都串好了才回頭拆。

個資保存期限要怎麼拿捏?

原則是目的達成了就不該繼續留著。這聽起來簡單,但實際上絕大多數公司都是資料只進不出:名單一直累積、系統一直備份、離職的人的檔案永遠在。合理的拿捏方式是把資料依用途分類,分別想清楚它為什麼還需要存在。有些是還在履行契約或售後責任、有些是稅務或勞動法規本身要求要保留一段時間、有些則純粹是沒人記得刪。前兩類有正當理由,第三類就是風險。你該做的是替每一類資料訂出保存規則,並且真的執行到底 —— 包含備份、離線檔案與員工個人電腦裡的副本,不然刪了正本卻留了三份副本,等於沒刪。具體的保留年限依相關法規與當期規定,建議跟稅務與人資的要求一起看,避免刪過頭反而違反其他義務。

委外給第三方處理要注意什麼?

把資料交給別人處理,不代表責任也一起交出去了。用外部的薪資服務商、客服系統、電子報平台、雲端倉儲、甚至是找行銷公司代操廣告,資料都離開了你的手,但在制度上你通常仍然是要為它負責的那一方。所以選擇服務商時不能只比價格與功能,要問清楚資料存在哪裡、有沒有再委外給別人、安全措施是什麼、合約結束後資料會怎麼處理。合約上要把處理的目的與範圍寫清楚,限制對方不能拿去做別的用途,也要約定發生事故時要通知你。台灣企業落地初期常為了求快,直接沿用總部既有的系統或隨手找個現成工具,等到要盤點時才發現客戶資料散在一堆沒人管的平台上。導入任何會碰到個資的工具之前,先問一句「這家是誰、資料放哪」,成本很低,但能省掉很多麻煩。

當事人來要求查閱或更正怎麼辦?

當事人有權利知道你握有他的什麼資料,也有權利要求更正錯誤的內容,在特定情況下還可以要求你停止某些使用方式,最典型的就是不要再收到行銷訊息。公司該做的不是等到有人來問才手忙腳亂,而是事先準備好一條明確的路徑:對外要有一個看得到的聯絡窗口,對內要有人負責、知道收到請求後該做什麼、去哪裡撈資料、多久之內要回覆。這件事的困難點通常不在法律,而在資料太散 —— 同一個客戶的資料同時躺在訂單系統、客服信箱、行銷平台跟某位業務的手機裡,你根本撈不齊。這又回到盤點。處理請求的時限與例外情形依當期規定,但把窗口與內部流程先建立起來,永遠不會白費。

發生外洩時公司該怎麼反應?

資料外洩不是只有被駭客攻擊才算。員工把含有客戶名單的檔案寄錯對象、離職前把資料整包帶走、雲端資料夾的分享連結設成公開、筆電在機場遺失,這些都是實務上更常發生的情境。真的出事時,反應速度決定損害大小:先止血,把還在外流的管道關掉、把權限收回;再釐清範圍,搞清楚哪些資料、多少人受影響、怎麼流出去的;然後才是依規定該通知誰就通知誰,並把整個過程留下紀錄。事前能做的準備其實不多也不難:知道資料放在哪、誰有權限、備份怎麼來,再加上一份簡單的應變流程,讓事情發生時大家知道第一通電話要打給誰。通報的義務與時限依當期規定,建議與專業顧問一起確認你的情境適用什麼。

台灣企業落地時該先建立哪些基本做法?

如果你的馬來西亞公司剛設立、或還在規劃階段,不必一開始就上一整套龐大的制度,但有幾件事值得在開始營運前就定下來。第一是盤點:把你會蒐集哪些資料、從哪些管道進來、存在哪裡、誰會用到,列成一張表。第二是告知:讓所有會蒐集資料的入口 —— 網站表單、會員註冊、門市填單、僱用文件 —— 都有一段人看得懂的說明。第三是權限:別讓全公司都能開人資與客戶檔案。第四是委外:碰個資的服務商,合約裡把責任講清楚。第五是窗口:對外留一個聯絡方式,對內指定一個負責的人。這五件事做完,你就已經領先大多數同規模的公司了。細節的適用條件依當期規定,建議在導入系統與流程之前,先跟熟悉當地法規的專業團隊確認你的業態需要做到哪個程度。

個資合規的價值不只是避免罰則,更實際的是它會反映在你的商業關係上。當你要跟馬來西亞的大型客戶或通路合作,對方的採購與法務常常會來問你怎麼處理資料;當你要接單、要串接平台、要導入集團系統,個資的處理方式也會被檢視。事先把架構搭好,這些場合你只要拿出既有的做法,而不是臨時生一份文件出來。反過來說,如果落地兩三年後才回頭補,你要面對的是散落在各處的歷史資料、沒有告知紀錄的舊名單、以及早就習慣便宜行事的內部流程,那時候的成本與風險都會比現在高得多。合規這種事,越早做越便宜。