App出海马来西亚没过PDPA新规，泄露通报迟交被罚款

2026 年 5 月，福州做社交电商 App 的许总过得格外煎熬。他们一款主打东南亚的 App 在马来西亚有 20 多万注册用户，5 月初一次服务器配置错误，导致部分用户的手机号明文落到了公网。技术团队发现后内部修了漏洞，但从发现到真正上报，整整拖了两周。这两周里，运营还在正常投流拉新，新注册的马来用户继续往那个"有缝"的数据库里写。等到有马来西亚用户把截图发到社交平台、引来媒体跟进，个人数据保护专员公署（JPDP）的调查函才"姗姗来迟"地送到许总邮箱：要求说明泄露情况、解释为何未在法定时限内通报。许总事后复盘，最怕的不是罚单本身，而是品牌在马来应用商店的评分一夜掉了 0.8 分，新用户获取成本直接翻倍。一句"我们以为小事，内部消化就行"，让许总吃下一张罚单，还被强制要求做整改审计。

不少出海团队把马来西亚的《个人数据保护法》（PDPA 2010）当成一部"老法"，觉得只要不碰敏感数据就没事。这是致命误判。2024 年修订案（Personal Data Protection (Amendment) Act 2024）已经生效，并在 2025 至 2026 年间分阶段执行，合规门槛被整体抬高。最要命的变化是引入强制数据泄露通报：当泄露可能造成"重大损害"时，数据使用者须在 72 小时内向 JPDP 通报，并通知受影响用户；同时，修订案首次要求指定数据保护官（DPO），并把"数据处理者（processor）"直接纳入监管，不再只管数据控制者。更关键的是，数据出境受到限制，未满足白名单、充分保护或用户同意等例外，跨境传输就可能违规。罚则也明显加重，违规最高可罚 25 万林吉特并可判处监禁，而泄露通报迟交本身就是一项单独的处罚事由，和泄露本身叠加计算。

一、先对照：马来西亚 PDPA 的硬要求

记住：PDPA 不是"注册地法",而是"用户数据属地法"——只要在马来处理或持有马来用户数据，新规就管得到你。

二、三种最容易踩的情形

·情形一：以为注册在新加坡就不管马来用户。团队把主体放在新加坡、服务器也在海外，便认为马来 PDPA 管不到。但监管是按"处理地"与"用户数据属地"综合判断的，20 万马来用户的数据一旦处理或持有，仍可能落入 JPDP 执法范围。

·情形二：泄露后先内部消化，错过 72 小时。技术团队发现泄露，第一反应是"先修好别声张"，等确认影响面、走完内部审批，两周就过去了。而 72 小时是从"可能造成重大损害"的判断点起算，迟一秒都算迟交。

·情形三：把 PDPA 当 2010 年老法，不更新合规。沿用旧版隐私政策和数据地图，没设 DPO、没建泄露通报流程、没评估跨境出境例外，等 JPDP 来查，才发现自己早被新规甩在身后。

三、PDPA 的补救：许总的两周拖延怎么救

许总在收到 JPDP 调查函后，没有再拖，四步把局面往回拉。第一步，立即向 JPDP 补交泄露通报，并同步通过 App 推送和短信通知受影响的 20 余万马来用户，说明泄露范围、已封堵措施与用户自我保护建议，把"迟交"的补救动作做到位。第二步，当天封堵漏洞、下线问题接口，并请第三方安全团队出具事件复盘报告，证明泄露已不可再扩大。第三步，正式指定一名数据保护官（DPO），把数据分类、用户同意记录、跨境传输依据三层台账补全，回应监管对"主体责任"的追问。第四步，按 JPDP 要求的 Security Standard 做自查整改，建立 72 小时通报 SOP 与应急演练，提交整改审计报告。结果是：许总仍因通报迟交被处以罚款（金额低于"从重"档），但未被追加监禁，且因整改主动、用户通知及时，未被列入重点公示名单；全过程约 6 周，整改审计由本地持牌事务所承接，花费另计，却换来一份可对外出示的合规证明。他算过一笔账：这次罚款加审计的总成本，约为提前建好 72 小时 SOP 投入的十倍，而品牌信任的损失更难用钱衡量。复盘一句话：泄露已经发生就无法撤回，但 72 小时内的"主动通报+用户告知"，决定了你是被轻罚还是被重锤。

四、现在就能做的四步

·第一步：做一份数据地图与出境评估。盘点马来用户数据采集项、存储地、是否跨境，逐条对照白名单/充分保护/用户同意等例外，把不合规的传输先停下来。

·第二步：指定 DPO 并留痕。明确数据保护官姓名与职责，把隐私政策、同意记录、处理者合同更新到 2024 修订案口径，别再用 2010 老模板。

·第三步：建 72 小时通报 SOP。写清"发现—判断重大损害—通报 JPDP—通知用户"的时限与责任人，配一次应急演练，确保真出事不靠临场发挥。

·第四步：按 Security Standard 自检。对照安全保标准查配置、查日志、查第三方处理者，把整改做成可提交监管的报告，把"被动挨罚"变成"主动合规"。

写在最后

App 出海东南亚，用户增长快，合规的"债"也积累得快。很多团队把 PDPA 当作上线后才补的功课，等到一张调查函拍到桌上，才发现 72 小时早已流逝、罚款已经叠加。数据合规不是成本中心，而是你 20 万马来用户的信任底座——迟交一次通报，透支的是整个市场的准入资格。把 DPO、72 小时 SOP 和出境评估制度化，才是 App 真正"落得了地、待得长久"的前提。

👉 在公众号后台回复「马来西亚PDPA」，获取 PDPA 泄露通报 SOP 与整改自查清单。

CHENXING GLOBAL

全球设立，合规经营｜Build Globally. Operate Compliantly.

免责声明：本文为一般性信息分享，不构成针对任何具体情形的税务、法律或审计意见。各国及地区的政策、申报要求、费用标准与办理时效可能发生调整，实际操作应以当地现行法规、主管部门要求及专业机构核实结果为准。