马来西亚 PDPA 对学员资料有什么要求？

根据马来西亚《2010年个人资料保护法》，招收学员的机构始终要为学员的个人资料负责，即使资料存放在平台供应商那里也一样。您必须以马来语和英语发出通知，取得同意（未满 18 岁者须由家长或监护人同意），妥善保护资料且保存不超过所需期限，并让当事人查阅和更正自己的资料。2024 年修订之后，您还必须在 72 小时内通报可能造成重大伤害的资料外泄，而平台本身也负有保护资料安全的法定责任。

PDPA 适用于您的机构吗？

《2010年个人资料保护法》（第 709 号法令）适用于在商业交易中处理的个人资料，而法令对商业交易的定义包括提供服务。收费开课的补习中心、私立学校、语言或技能学校，以及培训机构，都是在提供服务。该法令不适用于联邦政府和州政府。

自 2025 年 4 月 1 日起，法令把您的机构称为资料控制者（旧称“资料使用者”）。替您处理资料的平台则是资料处理者。使用平台，并不会把您的责任转给它。

哪些原则对学员资料最重要？

第 5 条列出七项原则：一般原则、通知与选择原则、披露原则、安全原则、保存原则、资料完整性原则和查阅原则。其中五项与学员资料关系最大。

• 同意与最少收集。 除非适用例外情况（例如为履行合约），否则只能在取得同意后处理个人资料，而且资料必须相对于用途“足够但不过量”。
• 通知与选择。 书面通知须说明收集哪些资料、作何用途、可能向哪些人披露、提供资料是否必须，以及如何申请查阅或更正。第 7(3) 条规定通知须“以国语和英语”发出，并在首次索取资料时提供。
• 安全。 采取切实可行的措施，防止资料遗失、被滥用或未经授权查阅，并考虑资料存放在哪里、谁能接触资料，以及资料如何传送。
• 保存。 资料的保存期限不得超过用途所需，之后须销毁或永久删除。
• 查阅。 当事人可以查阅并更正自己的资料。查阅资料的申请须在 21 天内处理。

违反任何一项原则，现在最高可被罚款 100 万令吉、监禁三年，或两者兼施。之前的上限是 30 万令吉和两年。

2024 年修订改了什么？何时生效？

《2024年个人资料保护（修订）法》即第 A1727 号法令，于 2024 年 10 月 9 日获御准。P.U. (B) 522 分三个阶段使其生效：

• 2025 年 1 月 1 日： 程序上的修改，例如允许以电子方式送达通知。
• 2025 年 4 月 1 日： “资料控制者”一词、资料处理者的安全责任、更高的罚则，以及跨境转移的新规定。
• 2025 年 6 月 1 日： 资料保护官、资料外泄通报和资料可携权。

资料外泄通报

第 12B 条规定，您须“在切实可行的范围内尽快”向个人资料保护专员通报个人资料外泄；若外泄造成或可能造成重大伤害，还须“不作不必要拖延”地通知受影响的人。未向专员通报者，最高可被罚款 25 万令吉、监禁两年，或两者兼施。

专员发布的资料外泄通报指南订明了期限：72 小时内通报专员，并在首次通报后不迟于七天通知受影响的人。只有造成或可能造成重大伤害的外泄才须通报。重大伤害包括：可能造成人身伤害或财务损失、被用于非法用途、涉及敏感个人资料、组合起来可能导致身份诈骗的资料，以及（仅就通报专员而言）受影响人数超过 1,000 人。

若资料由处理者持有，72 小时从处理者通知您、或您自己掌握明确证据时起算，以较早者为准。您的合约必须要求处理者及时通知您。所有外泄事件，无论是否通报，都须登记在册，并至少保存两年。

资料保护官

第 12A 条规定资料控制者和资料处理者须委任资料保护官。委任指南规定，若处理的资料涉及超过 20,000 人的个人资料、超过 10,000 人的敏感个人资料（包括财务资料），或须定期且系统地监控个人资料，便须委任。资料保护官须每年在马来西亚居留至少 180 天或可随时联络，须精通马来语和英语，并须在委任后 21 天内向专员登记。

资料处理者本身的安全责任

以前，您须确保处理者就其安全措施提供保证。现在，处理者本身必须遵守安全原则，违者面对与您相同的罚则。

资料可携权

第 43A 条允许学员以电子方式书面要求您，把其资料直接传送给其选择的另一个机构。这项权利须视技术是否可行、资料格式是否兼容而定。

资料转移到马来西亚境外

以前，资料只能转移到部长在宪报中指定的地方。现在，您可以把资料转移到法律与本法令大致相似，或能确保至少同等保护水平的地方；也可以依据例外情况，例如当事人同意，或已采取一切合理预防措施并尽职调查。跨境转移指南介绍了转移影响评估（评估结果有效期最长三年），以及在尽职调查途径下可采用的约束性企业规则、合约条款或经批准的认证。

学员是儿童时有什么不同？

《2013年个人资料保护条例》规定，学员未满 18 岁时，须取得其父母、监护人或负有父母责任者的同意。同意必须以可妥善记录和保存的形式取得，举证责任在您。法令也允许该家长或监护人代孩子申请查阅和更正资料。

在这方面，最少收集尤其重要：学员档案真的需要照片、住址或完整的出生日期吗？记录健康或学习状况时也要小心。关于一个人身体或精神健康或状况的资料属于敏感个人资料，只能在更严格的条件下处理，例如取得明确同意。

应该问平台供应商哪些问题？

1. 合约是否列明您是我们的资料处理者，并说明您的安全措施？
2. 发生资料外泄时，您能否及时通知我们，让我们赶上 72 小时的期限？
3. 我们的资料存放在哪里？哪些类别的供应商会接收其中任何部分，位于哪些国家？
4. 隐私声明和同意书是否有马来语和英语版本？每位家长的同意是否连同日期和版本一并记录？
5. 学员和家长能否查阅、下载和更正自己的资料？
6. 您能否以常用格式导出学员的资料？
7. 各类资料保存多久？我们停止使用后，资料会如何处理？
8. 每项 AI 功能会收到学员的哪些资料？
9. 您的资料保护官是谁？
10. 哪些栏位我们可以不填？

AI Teacher 怎么做？

招收学员的机构是资料控制者，AI Teacher 代表机构处理资料。隐私声明提供马来语和英语版本。未满 18 岁学员的账户由机构开设，并由家长或监护人在首次登录时确认；同意会连同声明版本、日期和时间，以及作出同意者的身份一并记录。学员的照片从不保存（学员从手绘动物头像中挑选一个），也没有位置资料或广告标识符。学员或家长可以在“我的”页面下载自己资料的副本，并在那里申请删除，申请会在 21 天内得到答复。

数据库与应用服务器位于新加坡，媒体文件由全球内容分发网络存储和分发。位于马来西亚境外的 AI 模型供应商只会收到每项任务所需的内容；除学员在作答中自己输入的内容外，不会收到学员的姓名或任何标识符。给家庭看的简明版本在我们的家长页面。

本文是有关马来西亚法律的一般资料，并非法律意见。