PDPA 注册马来西亚：你的公司需要办理吗？哪些类别必须注册

简单说明哪些公司必须向 JPDP 注册为数据控制者，以及不注册会有什么后果。

2026年11月12日

Penny Lim

马来西亚并不是每家公司都需要办理 PDPA 注册。本文写给中小企业主和新创业者，说明哪些公司必须向个人资料保护局（JPDP）注册为数据控制者（data controller）、注册怎么办理，以及不注册会有什么处罚。简单来说：只有业务属于政府规定的 13 个类别时才须要注册，但无论是否需要注册，2010 年个人资料保护法令（Act 709）都适用于你的公司。

数据控制者是决定如何收集和使用个人资料的个人或公司，旧文件称为“data user（数据使用者）”。2024 年个人资料保护（修正）法令（Act A1727）把“data user”改为“data controller”，但部分官方文件的标题仍沿用旧称。本文中两个词指的是同一方。

重点摘要

Act 709 第 15 条规定，属于 13 个类别的企业必须申请注册。
类别包括通讯、银行、保险、医疗、旅游、教育、房地产，以及服务类别下的批发与零售、审计、会计、法律、工程和建筑师行业。
注册通过 JPDP 的个人资料保护系统（SPDP）在线办理。
没有注册，最高可被罚款 RM500,000，或监禁最长三年，或两者兼施。
注册为数据控制者，与委任并注册数据保护主任（DPO）是两件不同的事。

马来西亚 PDPA 注册：哪些企业必须办理

13 个类别来自两项政府命令：P.U.(A) 336/2013 和 P.U.(A) 326/2016。你的业务若属于其中一个类别，就必须申请注册。若不属于，你不需要注册证书，但 JPDP 表示，其他从事商业个人资料处理的机构仍受 Act 709 约束。

类别	涵盖对象（摘要）
1. 通讯	持有 1998 年通讯与多媒体法令及 2012 年邮政服务法令牌照的机构
2. 银行与金融机构	持牌银行、伊斯兰银行和发展金融机构
3. 保险	持牌保险公司和伊斯兰保险（takaful）营运商
4. 医疗	私人医疗设施、私人医务所和牙科诊所，以及药剂师法人团体
5. 旅游与酒店业	旅游业者、旅行社、导游、旅游培训机构和已注册的旅游住宿场所
6. 交通运输	命令中列明的航空公司
7. 教育	已注册的私立高等教育机构和私立学校
8. 直销与直接营销	持有 1993 年直销与反金字塔计划法令牌照的机构
9. 服务	从事法律、审计、会计、工程或建筑设计的公司和合伙企业；批发与零售；私人职业介绍所
10. 房地产	持牌房屋发展商
11. 公用事业	命令中列明的公用事业公司
12. 当铺	持有 1972 年当铺法令牌照的机构
13. 放贷人	持有 1951 年放贷人法令牌照的机构

许多中小企业属于第 9 类，原因是从事批发与零售，或是会计、审计、工程公司。决定之前，请先在 JPDP 网页核对你所属类别的确切字眼。

如何注册为数据控制者

注册是在线办理的。JPDP 列出的步骤如下：

在个人资料保护系统（SPDP）开设账户。
提交注册申请，并附上你所属类别要求的证明文件。
缴付注册费。缴费后注册才算完成。
JPDP 核实申请后，下载证书。

JPDP 表示会在 14 个工作日内审核申请，并把结果发送到你登记的电邮。费用视业务类型和你选择的有效期而定，申请前请先查看 JPDP 的收费页面。证书有到期日，请把续期日期记入你的合规日历。你也必须把证书展示在营业场所。

不注册的处罚

问题	JPDP 列出的最高处罚
业务属于 13 个类别却没有注册	罚款最高 RM500,000，或监禁最长三年，或两者兼施
没有在营业场所展示证书	罚款最高 RM10,000，或监禁最长一年，或两者兼施（P.U.(A) 337/2013 第 8 条规则）
证书过期未续期仍处理个人资料	罚款最高 RM250,000，或监禁最长两年，或两者兼施
没有证书或证书被取消后仍处理个人资料	JPDP 列为刑事罪行

以上是最高处罚，实际判决由法庭决定。如果你收到通知，请向 JPDP 或律师查询。

注册不等于 DPO 注册

数据保护主任（DPO）是负责你公司个人资料合规的人员。自 2025 年 6 月 1 日起，如果你处理超过 20,000 人的个人资料、超过 10,000 人的敏感个人资料，或进行定期和系统性的监控（例如追踪网上行为），JPDP 要求委任 DPO。委任 DPO 后须在 21 天内通知 JPDP，DPO 的资料有变动时须在 14 天内更新。

JPDP 表示，注册为数据控制者不是注册 DPO 的前提条件。请把两者当作两件独立的事。有关 DPO、资料外泄和影响评估的规定，请阅读我们的马来西亚中小企业 PDPA 合规清单。