個人資料與社群專頁——PDPA 入門

本文僅為一般資訊，並非法律意見。 《個人資料保護法令》是否適用於你，取決於你做什麼、以什麼身份做。監管機構的指引由個人資料保護局刊登在 pdp.gov.my。

簡短回答。 匿名專頁同樣持有個人資料——大部分是關於投稿裡提到的人，另外還有移除要求、私訊，以及表單工具記錄的任何技術資料。馬來西亞《2010 年個人資料保護法令》適用於與商業交易有關的資料處理，所以純粹志願性質的專頁也許不在範圍內，而有收入的專頁很可能在範圍內。不管怎樣，做法都一樣：少收集、少保留、保護好留下來的，並告訴大家表單記錄了什麼。

「我們是匿名的，所以我們沒有持有個人資料」——幾乎每一位告白專頁管理員都這樣以為，而這幾乎從來不是事實。匿名專頁持有大量關於可識別人物的資訊。只不過，這些資訊大多不是關於投稿的人。

本文要看的是：你實際上持有什麼、法律什麼時候適用，以及一套合理的處理做法是什麼樣子。

你持有什麼

先盤點一下。一般的專頁會有以下大部分項目。

投稿——已發布的、待處理的和被拒絕的。 作者也許是匿名的。內容卻常常是關於第三方的：名字、描述、人際關係、指控、健康細節。一篇被拒絕的投稿寫著「我班上的[某某]有飲食失調」，那就是關於一個可識別人物的敏感資料，正躺在你的待審投稿裡。

關於投稿者的技術資料。 視工具而定，可能包括時間戳、網路位址或裝置資訊。你也許從來不去看它。但它可能依然存在於你的表單工具裡，或工具背後的平臺裡。

投稿者主動提供的聯絡資料。 為了收到投稿副本而填寫的電子郵件地址，或「以防管理員需要核實」而附上的電話號碼。

移除要求。 就其性質而言，這是一個身份明確的人發來的訊息，說「那篇貼文說的是我」。它是你持有的最敏感的資料之一，因為它證實了貼文本身只是暗示的那層指認。

發給專頁的訊息。 每一則私訊都附帶著個人檔案。

留言者和追蹤者。 這些資料大多由平臺持有，而不是你——但截圖、匯出的資料和封鎖名單是你的。

你自己的團隊。 姓名、聯絡資料，以及誰作了什麼決定的記錄。

PDPA 適用於你嗎？

《2010 年個人資料保護法令》適用於與商業交易有關的個人資料處理，對象是在馬來西亞設立、或使用位於馬來西亞的裝置處理資料的人。它不適用於聯邦政府或州政府，並且豁免了純粹為個人的私人、家庭或家務事宜而處理的個人資料。

這樣就有三種大致的情況。

純粹志願、沒有收入的專頁。 可以合理地主張這裡沒有任何「商業」活動，因此該法令不適用。這個主張並不穩當，立足點也很窄。

有收入的專頁——贊助文、付費宣傳、周邊商品、付費優先刊登投稿。一旦有金錢往來，「商業交易」這項條件就很可能成立，至少對與這些活動相關的資料來說是如此。

提供投稿工具的商家。 平臺經營者顯然在該法令的範圍內：對某些資料來說是資料控制者，對代專頁管理員處理的資料來說是資料處理者。

三種情況的實際結論都一樣。遵循該法令的原則成本很低，能保護那些資料被你持有的人，而且到了專頁開始有收入的那一天，你什麼都不用改。

各項原則，一段話說一項

這項法令建立在七項個人資料保護原則之上。

一般原則。 處理個人資料應取得當事人同意，目的必須合法並與你所做的事直接相關，而且不應超出該目的所需。

通知與選擇。 應該讓當事人知道收集了什麼、為什麼收集、可能向誰披露，以及他們怎樣查閱資料或限制其使用。這就是隱私宣告的作用。

披露。 未經同意或沒有其他合法依據，不應為收集時的目的以外的用途披露資料，也不應向當事人被告知的對象以外的人披露。

安全。 採取實際可行的措施，保護資料不致遺失、被濫用，或在未經授權的情況下被取用或披露。

保留。 保留個人資料的時間不應超過達成目的所需，不再需要時要妥善銷燬。

資料完整。 採取合理措施，確保資料準確、完整並保持更新。

查閱。 除例外情況外，當事人有權查閱自己的個人資料並要求更正。

敏感個人資料

該法令對敏感個人資料給予更高的保護，包括關於一個人的身體或精神健康、政治觀點、宗教信仰，以及觸犯或被指觸犯任何罪行的資料。2024 年的修訂加入了生物識別資料。

帶著告白專頁的待審投稿，再看一遍這份清單。健康、宗教、被指犯罪——這些恰恰是匿名投稿談論別人時最常寫到的題材。一個無限期保留所有被拒絕投稿的專頁，等於正在建立一個檔案庫，裡面全是針對自己社群裡指名道姓的成員的敏感指控。

2024 年的修訂改了什麼

《2024 年個人資料保護（修正）法令》在 2025 年分階段生效。主要改動如下。

• 用語。 「資料使用者」改稱「資料控制者」。
• 資料處理者直接受安全原則約束。
• 強制通報資料外洩。 自 2025 年 6 月 1 日起，資料控制者必須向總監通報個人資料外洩事件；如果外洩很可能對當事人造成重大傷害，還必須通知受影響的個人。總監的指引訂明瞭時限和門檻——在本文撰寫時，符合條件的個案須在 72 小時內通報總監，其後七天內通知受影響的個人。
• 資料保護官。 自 2025 年 6 月 1 日起，處理量超過總監所定門檻的控制者和處理者，必須委任資料保護官。在本文撰寫時，已公佈的門檻與被處理資料的人數有關（敏感資料的門檻較低），也與是否進行經常而有系統的監察有關。
• 資料可攜權。 個人可以要求把自己的資料傳送給另一位控制者，這是一項新的權利，但以技術上可行為限。
• 跨境傳輸。 過去以核准目的地名單為基礎的做法，改為由控制者必須符合的條件取代。
• 違反各項原則的刑罰提高。

門檻和時限由指引訂定，而指引可以修訂。請到監管機構的網站檢視現行版本，不要依賴這裡給出的數字。

適合志願團隊的實用做法

這一切都不需要一個合規部門。需要的只是幾個決定——作一次，然後堅持下去。

少收集

• 不要在投稿表單上索取姓名、電子郵件地址或電話號碼。如果工具提供「把副本寄到電子郵件」的選項，要確保它明顯是選填的。
• 不要要求提出移除要求的人用證件證明身份。只要貼文說的有可能是他，就把它撤下。你不需要任何人的身份證副本，也不應該想要。
• 把表單工具裡任何「收集填答者資料」的設定關掉，之後再檢查一次確實關了。

少保留

訂出保留期限並照著做：

「刪除」是指在工具裡、匯出的資料裡、團隊群組的截圖裡，以及任何人的下載資料夾裡，都把它刪掉。

保護好留下來的

• 只讓有需要的人取用。前任管理員不應該還有任何權限。
• 每一個接觸得到待審投稿的帳號，都要開啟雙重驗證。
• 不要把投稿複製到個人的聊天、備忘錄或文件裡。
• 不要在管理員群組以外討論可識別身份的投稿。
• 用團隊共同掌管的收件箱來接收移除要求，而不是某個人的私人電子郵件。

弄清楚還有誰經手

列出每一項接觸到你的資料的服務——表單或投稿平臺、排程工具、共用雲端硬碟、聊天應用程式。逐一查明它儲存什麼、存多久、存在哪裡。如果某個工具會把投稿送到第三方服務作自動篩查或翻譯，這一點應該讓你的投稿者知道。

告訴大家

在表單上和專頁的「關於」欄裡放一則簡短的宣告，用淺白的話說明：

• 表單記錄什麼、不記錄什麼；
• 誰看得到待處理的投稿；
• 被拒絕的投稿保留多久；
• 哪些外部服務會處理投稿；
• 怎樣要求移除貼文，以及怎樣聯絡管理員。

四五句話就夠了。該放在哪裡，見《為匿名專頁寫規則》。

為資料外洩的那一天準備好計劃

對你這樣的專頁來說，外洩不大可能是駭客所為。更可能的是：待審投稿的截圖流傳出去、前任管理員仍有權限、共用的密碼，或一部登入著帳號的手機遺失了。

現在就決定：

1. 團隊裡誰需要被告知，由誰主導。
2. 怎樣切斷取用途徑——更改密碼、移除那個人、撤銷登入工作階段。
3. 怎樣查明外洩了什麼、牽涉到誰。
4. 要不要通知受影響的人、怎樣通知。如果某人的敏感資料外洩了，他應該先從你口中得知，而不是從同學那裡聽說。
5. 如果該法令適用於你，這次外洩是否必須通報總監，以及時限是什麼時候。

當事人提出的要求

如果有人問你持有關於他的什麼資料，就如實回答。對大多數人來說，答案是「除了你發給我們的訊息之外，什麼都沒有」。如果有人要求你刪除關於他的東西——待審區裡的投稿、一則訊息、一篇已發布的貼文——就照做。你不需要先判斷法律是否規定你必須這樣做。一個完全建立在信任之上的專頁，完全有理由在這件事上慷慨一點。

條文背後的原則

資料保護法的一切，歸根結底是一個管理員不必讀法令也能問的問題：如果資料所涉及的那個人，看得到我們持有什麼、怎樣處理，他會覺得合理嗎？ 對告白專頁待審區裡的大部分東西來說，誠實的答案是「只有在你儘快刪除的情況下才會」。所以，儘快刪除。

常見問題

投稿是匿名的，告白專頁還算持有個人資料嗎？

算。作者也許是匿名的，但內容常常是關於第三方的：名字、描述、人際關係、指控、健康細節。專頁還持有身份明確的人發來的移除要求、附帶個人檔案的私訊、投稿者主動提供的聯絡資料，以及表單工具記錄的任何技術資料。

PDPA 適用於學生告白專頁嗎？

《2010 年個人資料保護法令》適用於與商業交易有關的個人資料處理。對純粹志願、沒有收入的專頁，可以合理地主張它不適用，但這個主張並不穩當。有收入的專頁很可能受它規管，而提供投稿工具的商家顯然在範圍內。

PDPA 下，什麼算敏感個人資料？

關於一個人的身體或精神健康、政治觀點、宗教信仰，以及觸犯或被指觸犯任何罪行的資料。2024 年的修訂加入了生物識別資料。這些恰恰是匿名投稿談論別人時最常寫到的題材。

2024 年的 PDPA 修訂改了什麼？

「資料使用者」改稱「資料控制者」；資料處理者直接受安全原則約束；自 2025 年 6 月 1 日起，通報資料外洩成為強制要求，處理量超過門檻者必須委任資料保護官；新增了資料可攜權；跨境傳輸改為取決於控制者必須符合的條件；刑罰也提高了。

專頁應該把被拒絕的投稿保留多久？

大約 30 天：足以應付查詢，沒有理由保留更久。移除要求可以在處理完畢後保留 12 個月再刪除，私訊則每個學期清理一次。刪除是指在工具裡、匯出的資料裡、截圖裡和任何人的下載資料夾裡都刪掉。

在馬來西亞，個人資料外洩什麼時候必須通報？

自 2025 年 6 月 1 日起，資料控制者必須向總監通報個人資料外洩事件；如果外洩很可能對當事人造成重大傷害，還必須通知受影響的個人。在本文撰寫時，總監的指引規定符合條件的個案須在 72 小時內通報總監，其後七天內通知當事人；請檢視現行指引，因為這些數字可能修訂。