Setiap mesej WhatsApp, panggilan telefon, chat di laman web dan e-mel daripada pelanggan membawa data peribadi: nama, nombor telefon, alamat, kadang-kadang nombor IC atau butiran akaun. Di Malaysia, semua itu tertakluk kepada Akta Perlindungan Data Peribadi 2010 (Akta 709), atau PDPA. Pindaan 2024 menambah kewajipan baharu yang berkuat kuasa sepanjang 2025: pegawai perlindungan data, notifikasi pelanggaran data, kewajipan terus untuk pemproses data, hak kemudahalihan data, peraturan baharu pemindahan rentas sempadan dan denda yang lebih tinggi. Panduan ini menerangkan apa maksudnya bagi pasukan yang melayan pelanggan setiap hari, dengan senarai semak praktikal di hujungnya.
Nota: artikel ini maklumat umum, bukan nasihat undang-undang. Untuk keadaan perniagaan anda, rujuk peguam atau Jabatan Perlindungan Data Peribadi.
Akta Perlindungan Data Peribadi secara ringkas
PDPA terpakai kepada sesiapa yang memproses data peribadi dalam transaksi komersial — kedai, klinik, agensi hartanah, syarikat e-dagang, pusat panggilan. Kerajaan Persekutuan dan Negeri dikecualikan; perniagaan kecil tidak. Akta ini dibina atas tujuh prinsip, yang disenaraikan oleh Jabatan Perlindungan Data Peribadi (JPDP):
- Prinsip Am — proses data hanya untuk tujuan yang sah dan berkaitan dengan aktiviti anda.
- Prinsip Notis dan Pilihan — beritahu pelanggan data apa yang dikumpul, untuk apa, dan kepada siapa ia mungkin didedahkan. Notis bertulis mesti dalam bahasa kebangsaan dan bahasa Inggeris (seksyen 7(3)).
- Prinsip Penzahiran — jangan dedahkan data untuk tujuan lain tanpa persetujuan.
- Prinsip Keselamatan — ambil langkah praktikal untuk melindungi data daripada kehilangan, salah guna dan akses tanpa kebenaran.
- Prinsip Penyimpanan — jangan simpan lebih lama daripada yang perlu.
- Prinsip Integriti Data — pastikan data tepat dan terkini.
- Prinsip Akses — pelanggan berhak melihat dan membetulkan data mereka.
Bagi pasukan khidmat pelanggan, tiga yang paling kerap diuji ialah Notis, Keselamatan dan Penyimpanan: adakah pelanggan tahu perbualan mereka disimpan, siapa dalam pasukan boleh membacanya, dan berapa lama ia disimpan. Platform seperti JomConnect, yang menghimpunkan semua saluran dalam satu inbox, memudahkan ketiga-tiganya kerana data berada di satu tempat dan bukannya bertaburan di telefon peribadi staf.
Pindaan PDPA 2024: apa yang berubah dan bila
Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727) berkuat kuasa dalam tiga fasa, menurut warta P.U. (B) 522 bertarikh 19 Disember 2024. Teks penuh pindaan boleh dibaca di laman JPDP.
| Berkuat kuasa | Perubahan | Maksudnya untuk anda |
|---|---|---|
| 1 Jan 2025 | Perkara pentadbiran, termasuk penyampaian notis secara elektronik | Tiada kewajipan baharu |
| 1 Apr 2025 | "Pengguna data" kini "pengawal data"; data biometrik menjadi data sensitif; takrif "pelanggaran data peribadi" | Semak notis privasi dan cara anda mengendalikan cap jari atau pengecaman muka |
| 1 Apr 2025 | Pemproses data wajib mematuhi Prinsip Keselamatan secara terus | Pembekal perisian, pusat panggilan luar dan penyedia hosting kini bertanggungjawab sendiri |
| 1 Apr 2025 | Denda maksimum melanggar prinsip naik daripada RM300,000 kepada RM1,000,000, penjara daripada 2 kepada 3 tahun | Risiko kewangan jauh lebih tinggi |
| 1 Apr 2025 | Seksyen 129 dipinda: senarai negara yang diluluskan Menteri dimansuhkan | Pemindahan ke luar negara dinilai oleh anda sendiri (lihat di bawah) |
| 1 Jun 2025 | Pegawai perlindungan data (DPO) wajib (seksyen 12A) | Lantik DPO dan maklumkan Pesuruhjaya |
| 1 Jun 2025 | Notifikasi pelanggaran data wajib (seksyen 12B) | Laporan kepada Pesuruhjaya dalam 72 jam |
| 1 Jun 2025 | Hak kemudahalihan data (seksyen 43A) | Pelanggan boleh minta data mereka dihantar terus kepada pengawal data lain, tertakluk kepada kebolehlaksanaan teknikal dan peraturan Pesuruhjaya |
Ringkasan firma guaman seperti DFDL dan Sidley Austin menerangkan perubahan yang sama.
Pegawai perlindungan data (DPO)
Seksyen 12A mewajibkan pengawal data — dan pemproses data yang memproses bagi pihaknya — melantik seorang atau lebih DPO. Garis panduan Pesuruhjaya yang dikeluarkan pada Februari 2025 menghadkan kewajipan ini kepada organisasi yang memproses data peribadi lebih daripada 20,000 subjek data, data sensitif (termasuk maklumat kewangan) lebih daripada 10,000 subjek data, atau yang menjalankan pemantauan data secara tetap dan sistematik (DLA Piper). Pelantikan perlu didaftarkan dengan Pesuruhjaya dalam 21 hari melalui sistem pendaftaran DPO, dan DPO mesti fasih bahasa Melayu dan Inggeris.
Pangkalan data pelanggan 20,000 orang tidak sukar dicapai: kedai dalam talian yang aktif atau rangkaian klinik di Lembah Klang mungkin sudah melepasinya. Kiralah kenalan unik dalam CRM, inbox WhatsApp dan senarai panggilan anda.
Notifikasi pelanggaran data
Seksyen 12B: jika anda ada sebab untuk mempercayai berlakunya pelanggaran data peribadi, maklumkan Pesuruhjaya secepat yang dapat dilaksanakan. Garis panduan menetapkan tidak lewat daripada 72 jam. Jika pelanggaran itu berkemungkinan menyebabkan kemudaratan ketara, subjek data juga perlu dimaklumkan, tidak lewat daripada 7 hari selepas notifikasi kepada Pesuruhjaya (CMS). Jika lewat, alasan kelewatan perlu dikemukakan secara bertulis. Laporan dibuat melalui portal DBN JPDP. Gagal memaklumkan Pesuruhjaya boleh membawa denda sehingga RM250,000, penjara sehingga 2 tahun, atau kedua-duanya. Rekod semua pelanggaran, walaupun yang tidak perlu dilaporkan, perlu disimpan sekurang-kurangnya 2 tahun.
Contoh dalam khidmat pelanggan: telefon staf yang mengandungi ratusan chat WhatsApp pelanggan hilang; fail eksport senarai pelanggan dihantar ke alamat e-mel yang salah; akaun ejen digodam dan rakaman panggilan dimuat turun.
Pemindahan rentas sempadan (seksyen 129)
Sebelum April 2025, data hanya boleh dipindahkan ke tempat yang diwartakan oleh Menteri — dan senarai itu tidak pernah diterbitkan. Seksyen 129 yang dipinda membenarkan pengawal data memindahkan data ke tempat yang mempunyai undang-undang yang sebahagian besarnya serupa dengan PDPA, atau yang memastikan tahap perlindungan sekurang-kurangnya setara. Pengecualian sedia ada kekal, antaranya persetujuan subjek data, keperluan untuk melaksanakan kontrak dengan pelanggan, dan apabila anda telah mengambil langkah berjaga-jaga yang munasabah supaya data tidak diproses dengan cara yang melanggar Akta. Pesuruhjaya juga mengeluarkan garis panduan pemindahan data peribadi rentas sempadan pada 29 April 2025. Kesannya: penilaian kini tanggungjawab anda, jadi dokumentasikannya.
PDPA mengikut saluran: WhatsApp, panggilan, chat, e-mel dan AI
Masalah PDPA paling biasa bukan WhatsApp itu sendiri, tetapi WhatsApp di telefon peribadi staf. Apabila staf berhenti, sejarah perbualan pelanggan pergi bersamanya, dan anda tidak boleh memadam, mengeksport atau mengawal aksesnya. Dengan WhatsApp Business API, perbualan berada dalam sistem syarikat, akses mengikut peranan, dan staf yang berhenti hanya perlu dinyahaktifkan. Ingat juga bahawa mesej pemasaran memerlukan persetujuan (opt-in) dan cara mudah untuk berhenti langganan.
Panggilan dan rakaman panggilan
Rakaman suara seseorang yang boleh dikenal pasti ialah data peribadi. PDPA tidak mempunyai peraturan khusus untuk rakaman panggilan; prinsip umum terpakai. Amalan biasa ialah memaklumkan pemanggil pada awal panggilan, contohnya "Panggilan ini mungkin dirakam untuk tujuan kualiti dan latihan / This call may be recorded for quality and training", dan menerangkan tujuan serta tempoh simpanan dalam notis privasi anda. Hadkan siapa boleh mendengar rakaman dan tetapkan tempoh simpanan. Lebih lanjut dalam panduan kami tentang rakaman panggilan di Malaysia.
Chat laman web dan borang web
Letakkan pautan ke notis privasi pada widget chat dan borang. Minta hanya maklumat yang anda perlukan — nama dan nombor telefon biasanya cukup untuk pertanyaan pertama. Jangan minta nombor IC melalui chat melainkan memang perlu.
E-mel
Peti mel bersama yang kata laluannya dikongsi oleh lima orang ialah risiko keselamatan. Gunakan akaun individu, hadkan akses mengikut pasukan, dan berhati-hati dengan lampiran yang mengandungi data pelanggan.
AI dan chatbot
Chatbot AI mengumpul data peribadi seperti saluran lain. Maklumkan pelanggan bahawa mereka bercakap dengan AI, pastikan AI menjawab daripada pangkalan pengetahuan anda dan bukan meneka, dan serahkan perbualan kepada manusia untuk aduan, hal kewangan atau data sensitif. Tanya pembekal anda di mana data disimpan dan siapa yang boleh mengaksesnya. Baca lebih lanjut dalam panduan chatbot AI kami.
Senarai semak PDPA untuk pasukan khidmat pelanggan
- Notis privasi dalam bahasa Melayu dan Inggeris, dipautkan dari laman web, widget chat, borang dan profil WhatsApp.
- Mesej rakaman pada awal setiap panggilan yang dirakam.
- Persetujuan pemasaran direkodkan untuk WhatsApp, SMS dan e-mel, dengan cara mudah untuk berhenti.
- Tiada WhatsApp peribadi untuk urusan pelanggan; semua saluran dalam sistem syarikat.
- Akses ikut peranan: ejen melihat pelanggan mereka, penyelia melihat pasukan, hanya admin boleh mengeksport.
- Akaun individu untuk setiap staf, tiada kata laluan dikongsi; nyahaktif segera apabila staf berhenti.
- Tempoh simpanan ditetapkan untuk perbualan, rakaman panggilan dan lampiran.
- Kira subjek data anda untuk menentukan sama ada DPO wajib.
- Pelan pelanggaran data: siapa memutuskan, siapa melapor kepada Pesuruhjaya dalam 72 jam, dan daftar pelanggaran.
- Senarai pembekal yang memproses data pelanggan (inbox, CRM, AI, hosting), di mana data mereka disimpan, dan penilaian seksyen 129 untuk yang di luar Malaysia.
- Proses permintaan pelanggan untuk akses, pembetulan dan kemudahalihan data.
Kebanyakan perkara ini lebih mudah apabila semua saluran berada dalam satu platform. Itulah idea di sebalik khidmat pelanggan omnichannel: satu tempat untuk mengawal akses, tempoh simpanan dan eksport.
Di mana JomConnect menyimpan data
JomConnect ialah inbox bersama untuk WhatsApp Business (API rasmi), chat laman web, e-mel, panggilan telefon, SMS, borang web dan faks, dengan ejen AI, tiket dan rakaman panggilan. Fakta yang relevan untuk PDPA:
- Dihoskan di Singapura, dengan terma PDPA Malaysia. Ini bermakna data pelanggan anda disimpan di luar Malaysia, jadi seksyen 129 terpakai. Singapura mempunyai undang-undang perlindungan data sendiri, Personal Data Protection Act 2012; sama ada itu memenuhi ujian seksyen 129 untuk kes anda ialah penilaian anda sebagai pengawal data.
- Peranan, pasukan dan kebenaran menentukan siapa melihat perbualan mana.
- Rakaman panggilan dan transkrip disimpan bersama sejarah pelanggan, bukan dalam fail berasingan.
- Ejen AI menyerahkan kepada manusia apabila tidak pasti, dan menjawab daripada pangkalan pengetahuan anda sendiri.
- Dipasang, dilatih dan disokong oleh JomCloud dari Kuala Lumpur.
Harga JomConnect berdasarkan sebut harga, mengikut saluran dan saiz pasukan anda.