个人资料与社群专页——PDPA 入门

本文仅为一般资讯，并非法律意见。 《个人资料保护法令》是否适用于你，取决于你做什么、以什么身份做。监管机构的指引由个人资料保护局刊登在 pdp.gov.my。

简短回答。 匿名专页同样持有个人资料——大部分是关于投稿里提到的人，另外还有移除要求、私讯，以及表单工具记录的任何技术资料。马来西亚《2010 年个人资料保护法令》适用于与商业交易有关的资料处理，所以纯粹志愿性质的专页也许不在范围内，而有收入的专页很可能在范围内。不管怎样，做法都一样：少收集、少保留、保护好留下来的，并告诉大家表单记录了什么。

“我们是匿名的，所以我们没有持有个人资料”——几乎每一位告白专页管理员都这样以为，而这几乎从来不是事实。匿名专页持有大量关于可识别人物的资讯。只不过，这些资讯大多不是关于投稿的人。

本文要看的是：你实际上持有什么、法律什么时候适用，以及一套合理的处理做法是什么样子。

你持有什么

先盘点一下。一般的专页会有以下大部分项目。

投稿——已发布的、待处理的和被拒绝的。 作者也许是匿名的。内容却常常是关于第三方的：名字、描述、人际关系、指控、健康细节。一篇被拒绝的投稿写着“我班上的[某某]有饮食失调”，那就是关于一个可识别人物的敏感资料，正躺在你的待审投稿里。

关于投稿者的技术资料。 视工具而定，可能包括时间戳、网络地址或设备资讯。你也许从来不去看它。但它可能依然存在于你的表单工具里，或工具背后的平台里。

投稿者主动提供的联络资料。 为了收到投稿副本而填写的电邮地址，或“以防管理员需要核实”而附上的电话号码。

移除要求。 就其性质而言，这是一个身份明确的人发来的讯息，说“那篇帖子说的是我”。它是你持有的最敏感的资料之一，因为它证实了帖子本身只是暗示的那层指认。

发给专页的讯息。 每一则私讯都附带着个人档案。

留言者和追踪者。 这些资料大多由平台持有，而不是你——但截图、导出的资料和封锁名单是你的。

你自己的团队。 姓名、联络资料，以及谁作了什么决定的记录。

PDPA 适用于你吗？

《2010 年个人资料保护法令》适用于与商业交易有关的个人资料处理，对象是在马来西亚设立、或使用位于马来西亚的设备处理资料的人。它不适用于联邦政府或州政府，并且豁免了纯粹为个人的私人、家庭或家务事宜而处理的个人资料。

这样就有三种大致的情况。

纯粹志愿、没有收入的专页。 可以合理地主张这里没有任何“商业”活动，因此该法令不适用。这个主张并不稳当，立足点也很窄。

有收入的专页——赞助帖、付费宣传、周边商品、付费优先刊登投稿。一旦有金钱往来，“商业交易”这项条件就很可能成立，至少对与这些活动相关的资料来说是如此。

提供投稿工具的商家。 平台经营者显然在该法令的范围内：对某些资料来说是资料控制者，对代专页管理员处理的资料来说是资料处理者。

三种情况的实际结论都一样。遵循该法令的原则成本很低，能保护那些资料被你持有的人，而且到了专页开始有收入的那一天，你什么都不用改。

各项原则，一段话说一项

这项法令建立在七项个人资料保护原则之上。

一般原则。 处理个人资料应取得当事人同意，目的必须合法并与你所做的事直接相关，而且不应超出该目的所需。

通知与选择。 应该让当事人知道收集了什么、为什么收集、可能向谁披露，以及他们怎样查阅资料或限制其使用。这就是隐私声明的作用。

披露。 未经同意或没有其他合法依据，不应为收集时的目的以外的用途披露资料，也不应向当事人被告知的对象以外的人披露。

安全。 采取实际可行的措施，保护资料不致遗失、被滥用，或在未经授权的情况下被取用或披露。

保留。 保留个人资料的时间不应超过达成目的所需，不再需要时要妥善销毁。

资料完整。 采取合理措施，确保资料准确、完整并保持更新。

查阅。 除例外情况外，当事人有权查阅自己的个人资料并要求更正。

敏感个人资料

该法令对敏感个人资料给予更高的保护，包括关于一个人的身体或精神健康、政治观点、宗教信仰，以及触犯或被指触犯任何罪行的资料。2024 年的修订加入了生物识别资料。

带着告白专页的待审投稿，再看一遍这份清单。健康、宗教、被指犯罪——这些恰恰是匿名投稿谈论别人时最常写到的题材。一个无限期保留所有被拒绝投稿的专页，等于正在建立一个档案库，里面全是针对自己社群里指名道姓的成员的敏感指控。

2024 年的修订改了什么

《2024 年个人资料保护（修正）法令》在 2025 年分阶段生效。主要改动如下。

• 用语。 “资料使用者”改称“资料控制者”。
• 资料处理者直接受安全原则约束。
• 强制通报资料外泄。 自 2025 年 6 月 1 日起，资料控制者必须向总监通报个人资料外泄事件；如果外泄很可能对当事人造成重大伤害，还必须通知受影响的个人。总监的指引订明了时限和门槛——在本文撰写时，符合条件的个案须在 72 小时内通报总监，其后七天内通知受影响的个人。
• 资料保护官。 自 2025 年 6 月 1 日起，处理量超过总监所定门槛的控制者和处理者，必须委任资料保护官。在本文撰写时，已公布的门槛与被处理资料的人数有关（敏感资料的门槛较低），也与是否进行经常而有系统的监察有关。
• 资料可携权。 个人可以要求把自己的资料传送给另一位控制者，这是一项新的权利，但以技术上可行为限。
• 跨境传输。 过去以核准目的地名单为基础的做法，改为由控制者必须符合的条件取代。
• 违反各项原则的刑罚提高。

门槛和时限由指引订定，而指引可以修订。请到监管机构的网站查看现行版本，不要依赖这里给出的数字。

适合志愿团队的实用做法

这一切都不需要一个合规部门。需要的只是几个决定——作一次，然后坚持下去。

少收集

• 不要在投稿表单上索取姓名、电邮地址或电话号码。如果工具提供“把副本寄到电邮”的选项，要确保它明显是选填的。
• 不要要求提出移除要求的人用证件证明身份。只要帖子说的有可能是他，就把它撤下。你不需要任何人的身份证副本，也不应该想要。
• 把表单工具里任何“收集填答者资料”的设定关掉，之后再检查一次确实关了。

少保留

订出保留期限并照着做：

“删除”是指在工具里、导出的资料里、团队群组的截图里，以及任何人的下载资料夹里，都把它删掉。

保护好留下来的

• 只让有需要的人取用。前任管理员不应该还有任何权限。
• 每一个接触得到待审投稿的账号，都要开启双重验证。
• 不要把投稿复制到个人的聊天、备忘录或文件里。
• 不要在管理员群组以外讨论可识别身份的投稿。
• 用团队共同掌管的收件箱来接收移除要求，而不是某个人的私人电邮。

弄清楚还有谁经手

列出每一项接触到你的资料的服务——表单或投稿平台、排程工具、共用云端硬盘、聊天应用程式。逐一查明它储存什么、存多久、存在哪里。如果某个工具会把投稿送到第三方服务作自动筛查或翻译，这一点应该让你的投稿者知道。

告诉大家

在表单上和专页的“关于”栏里放一则简短的声明，用浅白的话说明：

• 表单记录什么、不记录什么；
• 谁看得到待处理的投稿；
• 被拒绝的投稿保留多久；
• 哪些外部服务会处理投稿；
• 怎样要求移除帖子，以及怎样联系管理员。

四五句话就够了。该放在哪里，见《为匿名专页写规则》。

为资料外泄的那一天准备好计划

对你这样的专页来说，外泄不大可能是黑客所为。更可能的是：待审投稿的截图流传出去、前任管理员仍有权限、共用的密码，或一部登录着账号的手机遗失了。

现在就决定：

1. 团队里谁需要被告知，由谁主导。
2. 怎样切断取用途径——更改密码、移除那个人、撤销登录工作阶段。
3. 怎样查明外泄了什么、牵涉到谁。
4. 要不要通知受影响的人、怎样通知。如果某人的敏感资料外泄了，他应该先从你口中得知，而不是从同学那里听说。
5. 如果该法令适用于你，这次外泄是否必须通报总监，以及时限是什么时候。

当事人提出的要求

如果有人问你持有关于他的什么资料，就如实回答。对大多数人来说，答案是“除了你发给我们的讯息之外，什么都没有”。如果有人要求你删除关于他的东西——待审区里的投稿、一则讯息、一篇已发布的帖子——就照做。你不需要先判断法律是否规定你必须这样做。一个完全建立在信任之上的专页，完全有理由在这件事上慷慨一点。

条文背后的原则

资料保护法的一切，归根结底是一个管理员不必读法令也能问的问题：如果资料所涉及的那个人，看得到我们持有什么、怎样处理，他会觉得合理吗？ 对告白专页待审区里的大部分东西来说，诚实的答案是“只有在你尽快删除的情况下才会”。所以，尽快删除。

常见问题

投稿是匿名的，告白专页还算持有个人资料吗？

算。作者也许是匿名的，但内容常常是关于第三方的：名字、描述、人际关系、指控、健康细节。专页还持有身份明确的人发来的移除要求、附带个人档案的私讯、投稿者主动提供的联络资料，以及表单工具记录的任何技术资料。

PDPA 适用于学生告白专页吗？

《2010 年个人资料保护法令》适用于与商业交易有关的个人资料处理。对纯粹志愿、没有收入的专页，可以合理地主张它不适用，但这个主张并不稳当。有收入的专页很可能受它规管，而提供投稿工具的商家显然在范围内。

PDPA 下，什么算敏感个人资料？

关于一个人的身体或精神健康、政治观点、宗教信仰，以及触犯或被指触犯任何罪行的资料。2024 年的修订加入了生物识别资料。这些恰恰是匿名投稿谈论别人时最常写到的题材。

2024 年的 PDPA 修订改了什么？

“资料使用者”改称“资料控制者”；资料处理者直接受安全原则约束；自 2025 年 6 月 1 日起，通报资料外泄成为强制要求，处理量超过门槛者必须委任资料保护官；新增了资料可携权；跨境传输改为取决于控制者必须符合的条件；刑罚也提高了。

专页应该把被拒绝的投稿保留多久？

大约 30 天：足以应付查询，没有理由保留更久。移除要求可以在处理完毕后保留 12 个月再删除，私讯则每个学期清理一次。删除是指在工具里、导出的资料里、截图里和任何人的下载资料夹里都删掉。

在马来西亚，个人资料外泄什么时候必须通报？

自 2025 年 6 月 1 日起，资料控制者必须向总监通报个人资料外泄事件；如果外泄很可能对当事人造成重大伤害，还必须通知受影响的个人。在本文撰写时，总监的指引规定符合条件的个案须在 72 小时内通报总监，其后七天内通知当事人；请查看现行指引，因为这些数字可能修订。