Adakah Laman Web Malaysia Anda Memerlukan Banner Kuki? PDPA, Analitik dan Persetujuan

Buka hampir mana-mana laman web yang dibina beberapa tahun kebelakangan ini dan sebuah banner akan muncul meminta anda menerima kuki. Pemilik laman web perniagaan kecil di Malaysia melihat ini dan tertanya-tanya sama ada laman mereka melanggar undang-undang tanpanya, atau adakah banner itu hanya diperlukan oleh syarikat besar. Jawapan yang jujur berada di antara keduanya: Malaysia tidak mempunyai undang-undang yang menyatakan "setiap laman web mesti memaparkan banner kuki", tetapi ada undang-undang perlindungan data yang menjangkakan notis privasi yang jelas di mana-mana anda mengumpul data peribadi, dan beberapa alat yang mungkin sudah anda gunakan (borang hubungan, Google Analytics, piksel Facebook) mengumpul data yang sama. Panduan ini menerangkan apa yang sebenarnya dinyatakan oleh peraturan Malaysia, bahagian mana pada laman perniagaan kecil biasa yang mencetuskannya, dan persediaan sederhana yang boleh dilaksanakan tanpa menjadikan laman penuh dengan pop-up. Ini maklumat umum untuk pemilik laman, bukan nasihat undang-undang.

Jawapan ringkas: tiada undang-undang kuki, tetapi ada kewajipan notis yang nyata

Undang-undang privasi utama Malaysia ialah Akta Perlindungan Data Peribadi 2010 (PDPA). Panduan amalan undang-undang semasa menyifatkannya sebagai tidak mempunyai peruntukan yang khusus menangani kuki atau penjejakan dalam talian yang lain, sebab itulah Malaysia tidak mempunyai setara "undang-undang kuki" Eropah yang memaksa banner persetujuan pada setiap laman. PDPA sebaliknya berfungsi melalui prinsip am, dan prinsip itu terpakai kepada data peribadi yang diproses dalam urusan komersial. Laman web perniagaan yang menerima pertanyaan, tempahan atau pesanan jelas termasuk dalam skop itu.

Vendor perisian persetujuan kuki membaca Akta yang sama dengan lebih tegas dan memberitahu pemilik laman di Malaysia bahawa kuki penjejakan hanya boleh dihidupkan selepas pelawat bersetuju. Itu tafsiran vendor, bukan peraturan yang tertulis dalam statut, dan ia bercanggah dengan panduan firma guaman. Pemilik yang bijak boleh memegang kedua-dua fakta sekali gus: tiada sesiapa dapat menunjukkan klausa Malaysia yang menyebut "banner kuki", dan mengumpul data yang boleh mengenal pasti seseorang tanpa memberitahu mereka ialah perkara yang PDPA direka untuk menghalang.

Kuki apa yang mungkin ada pada laman perniagaan kecil anda

Kuki ialah sekeping teks kecil yang diminta oleh laman web agar disimpan oleh pelayar pelawat, supaya laman itu dapat mengenali pelayar yang sama pada halaman atau lawatan seterusnya. Tidak semua kuki sama, dan perbezaannya menentukan apa yang anda berhutang kepada pelawat. Kebanyakan laman perniagaan kecil mempunyai campuran berikut:

Lajur sebelah kanan ialah inti pati praktikalnya. Pendedahan terpakai untuk setiap baris. Permintaan persetujuan pelawat paling penting untuk baris analitik dan pemasaran, kerana kuki itu wujud untuk manfaat anda, bukan untuk membolehkan halaman berfungsi. Jika anda menggunakan Google Analytics, pendedahan juga ialah syarat penggunaannya: terma Analytics Google mewajibkan anda menyiarkan dasar privasi yang memaklumkan pelawat tentang kuki yang digunakan untuk mengumpul data, dan mendapatkan persetujuan jika undang-undang menghendakinya.

Apa yang sebenarnya dikehendaki PDPA daripada sebuah laman web

PDPA menetapkan tujuh prinsip. Tiga daripadanya paling penting untuk laman kecil:

• Prinsip Am: data peribadi yang digunakan untuk tujuan komersial hendaklah diproses dengan persetujuan individu, kecuali pengecualian terpakai. Persetujuan hendaklah tindakan yang jelas oleh individu itu, dan anda harus dapat menunjukkan bahawa anda memperolehnya.
• Prinsip Notis dan Pilihan: anda mesti memberitahu individu secara bertulis bahawa data mereka sedang diproses, untuk tujuan apa, dengan siapa ia mungkin dikongsi, dan bagaimana mereka boleh menghubungi anda atau meminta untuk melihat dan membetulkannya. Notis perlu diberikan apabila anda mula-mula meminta atau mengumpul data itu, atau secepat yang praktikal selepas itu. Ia hendaklah tersedia dalam Bahasa Malaysia dan Bahasa Inggeris.
• Prinsip Keselamatan: anda mesti mengambil langkah praktikal untuk melindungi data yang anda pegang daripada kehilangan, penyalahgunaan atau akses tanpa kebenaran. Bagi laman web, ini biasanya bermakna HTTPS, kawalan akses yang munasabah, dan tidak menghantar lembaran hamparan pertanyaan melalui e-mel ke sana sini.

Pindaan 2024 kepada PDPA, yang menurut ringkasan firma guaman berkuat kuasa secara berperingkat sepanjang 2025, menaikkan hukuman maksimum bagi pelanggaran prinsip kepada RM1,000,000 dan/atau penjara sehingga tiga tahun, serta menambah kewajipan lain seperti pemberitahuan pelanggaran data. Bagi laman kecil, pengajarannya bukan untuk panik tentang denda tetapi untuk mengambil serius notis itu: ia langkah pematuhan paling murah dan paling kerap tertinggal. Jabatan Perlindungan Data Peribadi menyiarkan Akta dan panduannya di pdp.gov.my; semaklah di sana, atau tanya peguam Malaysia, sebelum bergantung pada ringkasan ini untuk perkara yang berisiko tinggi.

Di mana data peribadi sebenarnya masuk ke laman perniagaan kecil

Pemilik sering membayangkan "pengumpulan data" sebagai sesuatu yang luar biasa. Pada laman perniagaan kecil Malaysia yang biasa, senarainya pendek dan mudah diramal:

Coraknya konsisten: borang hubungan ialah tempat utama perniagaan kecil Malaysia mengumpul data peribadi dalam erti kata biasa, jadi notis privasi diletakkan di sebelahnya dahulu dan di pengaki kedua. Soal kuki datang kemudian.

Adakah anda perlukan banner persetujuan? Padankan dengan situasi anda

Kerana undang-undang Malaysia tidak memberi arahan khusus tentang kuki, pendekatan yang munasabah ialah memadankan persediaan dengan apa yang dilakukan laman anda dan siapa yang melawatinya:

Baris EU dan UK perlu diberi catatan. Dasar Google sendiri mewajibkan pemilik laman yang menggunakan produk pengiklanan dan pengukurannya mendapatkan persetujuan sah daripada pelawat di Kawasan Ekonomi Eropah dan UK. Kedai Malaysia yang menghantar ke Eropah atau mengiklan di sana oleh itu mempunyai kewajipan yang tiada kaitan dengan PDPA. Klinik atau bengkel tempatan yang hanya melayan pelanggan di Selangor tidak mempunyainya.

Apa yang dinyatakan oleh notis privasi yang baik

Notis ialah halaman dalam bahasa mudah, bukan esei undang-undang. Tulislah supaya pemilik benar-benar dapat memastikannya tepat. Rangka yang boleh digunakan untuk laman kecil:

• Siapa anda: nama perniagaan, nombor pendaftaran SSM dan butiran hubungan supaya orang tahu siapa yang memegang data mereka.
• Apa yang dikumpul: senaraikan item khusus daripada borang dan alat, seperti nama, nombor telefon, e-mel, mesej, pengecam pelayar.
• Mengapa: satu tujuan bagi setiap item, dalam perkataan biasa ("untuk membalas pertanyaan anda", "untuk mengira lawatan supaya kami tahu halaman mana yang membantu").
• Siapa lagi yang melihatnya: penyedia hosting, penyedia e-mel, WhatsApp, platform analitik dan iklan, serta rakan penghantaran atau pembayaran.
• Berapa lama disimpan: tempoh sebenar, bukan "selama yang perlu", contohnya "pertanyaan dipadam selepas dua belas bulan melainkan anda menjadi pelanggan" jika itu yang benar-benar akan dilakukan.
• Hak mereka: cara meminta untuk melihat, membetulkan atau menghentikan penggunaan data mereka, dan siapa untuk dihubungi.
• Bahasa: terbitkan dalam Bahasa Malaysia dan Inggeris; tambah bahasa Cina jika pelawat anda membacanya.

Pautkan dari pengaki setiap halaman dan di sebelah setiap borang. Jika anda juga menjalankan banner kuki, pastikan ia memaut ke halaman yang sama dan bukannya halaman kedua yang bercanggah.

Rupa banner persetujuan yang adil, dan perkara yang perlu dielakkan

Jika anda memutuskan untuk memaparkan banner, jadikan ia pilihan sebenar, bukan hiasan:

• Butang sama rata: "Terima" dan "Tolak" (atau "Urus pilihan") dengan saiz dan keterlihatan yang sama, bukan butang terima yang terang dan pautan kelabu yang pudar.
• Tiada yang dimuatkan lebih awal: tag analitik dan iklan tidak sepatutnya aktif sehingga pelawat bersetuju. Banner yang muncul ketika penjejak sudah berjalan hanyalah lakonan.
• Perkataan mudah: nyatakan fungsi kuki dan siapa yang menerima data, dalam bahasa halaman itu sendiri.
• Jalan balik: pautan di pengaki yang membuka semula pilihan supaya pelawat boleh menukar fikiran.
• Jangan menyekat: jangan sembunyikan seluruh halaman di belakang banner atau menjadikan laman tidak boleh digunakan sehingga seseorang menekan terima.

Berhati-hatilah dengan pemalam banner percuma yang membawa penjejakan sendiri, dan banner yang menutup separuh skrin telefon. Banner yang bersepah merugikan pelawat, dan pelawat mudah alih ialah kebanyakan khalayak.

Contoh praktikal: audit laman anda sendiri dalam tiga puluh minit

Anda tidak memerlukan peguam atau pengimbas untuk mengetahui kedudukan laman anda. Bayangkan sebuah firma pengubahsuaian kecil dengan borang hubungan, butang WhatsApp, Google Analytics, piksel Facebook dan Google Map yang dibenamkan. Ikuti langkah ini:

1. Senaraikan alat. Buka laman dalam tetingkap peribadi. Dalam alat pembangun pelayar anda, buka tab Application (atau Storage) dan lihat di bawah Cookies. Catat nama setiap kuki dan domain yang menetapkannya.
2. Asingkan pihak pertama daripada pihak ketiga. Kuki daripada domain anda sendiri biasanya penting atau analitik. Kuki daripada domain lain (Google, Meta, YouTube) bermakna pihak ketiga terlibat dan perlu ada dalam notis anda.
3. Senaraikan setiap borang. Borang hubungan, permintaan sebut harga, surat berita. Bagi setiap satu, tulis satu baris: apa yang dikumpul dan mengapa.
4. Senaraikan setiap benaman dan butang sembang. Peta, video, pautan WhatsApp. Catat siapa yang menerima apa-apa.
5. Semak masa. Dengan tab Network terbuka, muatkan halaman dan lihat sama ada permintaan analitik dan piksel aktif sebelum anda mengklik apa-apa. Jika ya, ia berjalan tanpa sebarang pilihan.
6. Draf notis daripada senarai anda. Setiap baris daripada langkah 2 hingga 4 menjadi satu ayat. Tambah tempoh penyimpanan dan butiran hubungan.
7. Tentukan banner dengan jadual di atas. Firma ini mempunyai piksel Facebook, jadi ia berada dalam baris "analitik serta piksel iklan": dedahkan semuanya dan muatkan tag selepas persetujuan.
8. Tetapkan tarikh semakan. Setiap kali pemalam, borang atau tag penjejakan baharu ditambah, notis perlu dikemas kini. Letakkan peringatan dalam diari selepas sebarang perubahan laman.

Hasil latihan ini ialah notis satu halaman, senarai ringkas tag yang perlu dikawal di belakang persetujuan, dan gambaran lebih jelas tentang apa yang sebenarnya dilakukan laman web dengan data pelawat. Itulah sebahagian besar kerjanya.

Kesilapan lazim

• Menyalin dasar privasi syarikat lain. Ia menerangkan alat dan amalan yang tidak anda ada dan terlepas yang anda ada, jadi ia salah sejak perenggan pertama.
• Memaparkan banner tetapi tetap memuatkan penjejak. Pilihan itu tidak bermakna jika tag sudah berjalan.
• Terlupa borang hubungan. Pemilik terlalu fokus pada kuki dan membiarkan borang, tempat nama dan nombor telefon sebenar tiba, tanpa sebarang notis.
• Notis dalam bahasa Inggeris sahaja. Prinsip Notis dan Pilihan menjangkakan Bahasa Malaysia serta Inggeris; notis dalam satu bahasa sahaja tidak memenuhinya.
• Kotak surat berita yang sudah ditanda. Persetujuan hendaklah tindakan yang jelas oleh pelawat, bukan lalai yang perlu dinyahtanda.
• Membiarkan tag lama. Piksel daripada kempen yang berakhir bertahun lalu masih mengumpul data dan masih perlu didedahkan, atau dibuang.
• Menganggap notis sudah siap. Notis yang tidak lagi sepadan dengan laman sejak dua kali reka bentuk semula menimbulkan lebih risiko daripada notis ringkas yang terkini.

Di mana Gotka Technologies berperanan

Setiap pakej reka bentuk web Gotka merangkumi borang pertanyaan hubungan dengan anti-spam, butang sembang pantas WhatsApp dan SSL, jadi sambungan selamat dan borang yang dibincangkan dalam panduan ini ialah sebahagian binaan standard. Kandungan pakej tidak menamakan penulisan notis privasi atau alat persetujuan, jadi jika anda mahukan salah satunya pada laman anda, minta ia disenaraikan dalam sebut harga bertulis anda. Oleh kerana notis perlu seiring dengan laman, pelan Care pilihan ialah satu cara untuk mengendalikannya: ia merangkumi suntingan kandungan bulanan (sehingga 1 jam sebulan pada Care Basic). SSL juga disertakan pada pelan hosting Gotka. Untuk pandangan kos pemilikan bagi semua yang diperlukan laman web selepas pelancaran, lihat berapa kos penyelenggaraan laman web di Malaysia.

Istilah penting dalam panduan ini

• PDPA: Akta Perlindungan Data Peribadi 2010 Malaysia, seperti dipinda pada 2024, yang mengawal data peribadi yang diproses dalam urusan komersial.
• Data peribadi: maklumat yang mengenal pasti seseorang atau boleh dikaitkan dengannya, seperti nama, nombor telefon, alamat e-mel atau, dalam sesetengah kes, pengecam dalam talian.
• Prinsip Notis dan Pilihan: kewajipan PDPA untuk memberitahu orang secara bertulis apa yang anda kumpul, mengapa, dan dengan siapa anda kongsi.
• Kuki: fail teks kecil yang diminta oleh laman web agar disimpan pelayar, digunakan untuk mengenali pelayar itu kemudian.
• Kuki pihak pertama dan pihak ketiga: satu ditetapkan oleh laman yang anda lawati, berbanding satu lagi ditetapkan oleh syarikat lain yang kod atau benamannya dimuatkan oleh halaman.
• Banner persetujuan: pop-up atau bar yang meminta pelawat menerima, menolak atau mengurus kuki yang tidak penting.
• Piksel (tag penjejakan): coretan kod daripada platform iklan atau analitik yang merekod lawatan dan memadankannya dengan akaunnya sendiri.
• Pengguna data dan subjek data: dalam PDPA, organisasi yang mengendalikan data, dan individu yang menjadi pemilik data itu.
• Tempoh penyimpanan: berapa lama anda menyimpan data peribadi sebelum memadamnya.