PDPA 管什么
《个人数据保护法》（PDPA 2010）规范商业机构收集、使用、披露个人数据的行为。适用于在马来西亚运营的企业。
不管：政府机构（另有规定）、个人用途、执法。
一、你的七项权利
- 知情权：知道数据被收集的目的
- 查阅权：要求查看自己数据
- 更正权：要求更正不准确的数据
- 撤回同意：随时撤回使用授权
- 限制转移：反对数据被用于营销
- 反对权：反对用于直接营销
- 数据可携：部分情况下要求转移数据
二、怎么行使
向企业发书面请求（邮件或表格），内容包括：
- 你的身份信息
- 要求什么（查阅/更正/删除）
- 联系方式
企业应在 21 天内回复（查阅请求），可收取合理费用。
三、常见的场景
营销短信/电话：可要求停止，企业必须遵守。
App 权限：可拒绝非必要权限，但可能影响功能。
数据泄露：2024 年修法后，企业必须在发现泄露后 72 小时内通知监管机构与受影响个人。
求职简历：企业保留有时间限制，可要求删除。
四、企业违规怎么办
- 先向企业投诉（数据保护官 DPO）
- 无回应或不满，向个人数据保护专员（PDPC，隶属数字部）投诉
- 造成损失的可民事索赔
违规企业面临罚款（最高 100 万令吉）与监禁（部分情况）。
五、外国人的适用
PDPA 保护「个人」，不限于公民。在马来西亚使用服务的外国人同样受保护。
跨境传输：数据传出马来西亚需符合条件（同等保护水平）。
六、实用建议
- 看隐私政策：注册前看数据用途
- 少给不必要的信息：能不填的不填
- 定期清理：不用的账号注销
- 保留证据：营销短信、骚扰电话记录
三个提醒
- 21 天回复期：企业超时可投诉
- 可要求停营销：企业必须遵守
- 泄露 72 小时通知：2024 年新规
提示：具体权利与流程以 PDPA 与 PDPC 公告为准。
七、企业必须做的三件事
如果你是做生意的，PDPA 也约束你：
- 告知：收集数据时说明目的（隐私声明）
- 同意：获得明确同意，不用默认勾选
- 保护：采取合理的安全措施（加密、访问控制）
违规的罚款不低（最高 100 万令吉），小生意也适用。开网店收集客户地址与电话，就已经在 PDPA 范围内。
最简做法：在网站放一份隐私政策，收集表单加一个「我同意」勾选框（不预勾选）。
一个常被忽略的点：员工数据也受 PDPA 保护。雇主不能随意查看员工的私人手机、不能把员工资料卖给第三方。离职后，雇主应在合理期限后删除或匿名化员工数据。
求职者的简历也一样：没录用的话，企业不能无限期保留。可以主动要求删除。
最后：数据权利不是「和公司对抗」，而是「知道自己的信息在哪、被怎么用」。定期查一下自己的账号授权列表，关掉不用的第三方应用，是最省事的防护。