《2010 年个人数据保护法》（709 号法令）
马来西亚国会 · 个人数据保护局（JPDP）/ 个人数据保护专员公署执法 · Act 709
马来西亚以 709 号法令为核心构建个人数据保护制度，由个人数据保护局（JPDP）执法。就当前官方渠道可核实的监管要求而言，企业面对三条落地主线：（1）属于法定“数据控制者类别”的主体须向 JPDP 申请登记并持有有效登记证书，JPDP 公布的完整申请审核期为 14 个工作日，并另设变更、更换与注销登记证书的办理指引；（2）须依 JPDP 发布的《数据保护官（DPO）胜任能力指引》指定并登记数据保护官，JPDP 同时发布了 DPO 培训服务提供者管理指引；（3）发生数据泄露时须通过 JPDP 的数据泄露通知（DBN）系统申报，JPDP 提供了 DBN 系统用户手册。法令层面的义务仍围绕通知、同意、披露限制、安全、保留、数据完整性与访问七项原则展开。
中国 AI 企业在以下情形须处理马来西亚合规：（1）在马来西亚设立实体并处理客户或员工个人数据，若落入 JPDP 公布的数据控制者类别（涵盖通信、金融、保险、医疗、教育、旅游、就业中介、房地产、公用事业、当铺、放贷人等行业）则须完成登记；（2）为马来西亚企业客户提供 SaaS、模型 API 或数据处理服务，须配合客户履行安全与泄露通报义务，并在合同中约定通报时限；（3）在马来西亚发生涉及个人数据的安全事件，须经 DBN 系统申报。需要注意：本条目未核实 709 号法令 2024 年修订各条的生效日期与条文措辞，涉及跨境传输、处理者直接义务、罚则金额等具体判断须回到官方法令文本确认。
重点行业：通用、企业软件 SaaS、金融科技 AI、大模型 / 生成式 AI
2025-08-01
JPDP 发布《数据保护官（DPO）胜任能力指引》与《DPO 培训服务提供者管理指引》
为 DPO 的资格与培训确立监管期待，配合 DPO 指定与登记要求落地。
2025-08-25
JPDP 就修订《2013 年个人数据保护条例》发布第 4/2025 号公开咨询文件
条例层面的细则仍在修订中，相关操作要求可能变化，落地方案须预留调整空间。
每条都写明触发条件、需要留存的证据与条款出处
先判断本企业在马来西亚的业务是否落入 JPDP 公布的数据控制者类别（如通信、银行与金融、保险、医疗、教育、旅游与酒店、就业中介、房地产开发、公用事业、当铺、放贷人等）；落入的须提交新登记或更新申请并取得登记证书，JPDP 公布完整申请的审核与状态通知期为 14 个工作日。登记信息发生变更、证书需更换或需注销的，须另行按 JPDP 相应指引办理。
首次达标投入估算：4–12 人日（估算，非承诺）
按 JPDP 于 2025-08-01 发布的《数据保护官（DPO）胜任能力指引》确定 DPO 的能力要求与职责范围，完成指定并按 JPDP 的 DPO 登记指引办理登记。JPDP 同期发布《DPO 培训服务提供者管理指引》，表明监管对 DPO 培训来源亦有期待，选择培训机构时应核对其是否符合该指引。
首次达标投入估算：4–10 人日（估算，非承诺）
建立可在马来西亚侧启动的数据泄露响应流程，并通过 JPDP 的数据泄露通知（DBN）系统提交申报；JPDP 官网提供 DBN 系统用户手册，应据此预先完成账号开通、填报字段准备与内部演练，避免事件发生后才摸索系统。作为受托处理方的中国供应商，须在合同中承诺向马来西亚客户即时通报，使其能按时申报。
首次达标投入估算：4–10 人日（估算，非承诺）
709 号法令以一组个人数据保护原则为骨架（通知与选择、同意、披露、安全、保留、数据完整性、访问）。企业应据此建立：双语（马来文与英文）隐私通知；同意取得与记录机制；对外披露的限制与审批；安全措施；保留期限表与销毁机制；数据准确性维护；以及数据主体访问与更正请求的处理流程。具体条文措辞与 2024 年修订后的表述须以官方法令文本为准。
首次达标投入估算：8–20 人日（估算，非承诺）
本轮未从官方渠道取得 709 号法令的现行合并条文，因此不列具体罚则金额。可核实的执法工具包括：JPDP 依第 101 条对企业实施个人数据系统检查（其官网公布了对具体企业开展检查的公告），以及依法令签发的复合罚款（compound）——JPDP 官网设有“709 号法令项下复合案件清单”页面。引用具体金额前须以官方法令文本与 JPDP 公告为准。
本条目置信度为 low，理由：本轮未能从官方渠道取得 709 号法令的现行合并条文。马来西亚联邦立法网站（lom.agc.gov.my）的条文检索接口在本环境返回 “Invalid request”，个人数据保护局官网的法令页面为前端渲染且未暴露可直接抓取的条文文本，因此以下事项一律未写入具体内容：2024 年修订法令的编号与各条生效日期、“data user”改称“data controller”的生效时点、数据处理者直接义务的范围、跨境传输白名单废止后的替代要件、数据泄露通知的法定时限与门槛、数据可携权的适用条件、以及全部罚则金额。上述任一项对外引用前，必须先取得 709 号法令官方文本与相关条例。可核实的内容仅限 JPDP 官网当前公布的登记、DPO 与 DBN 三项操作要求及其日期。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。