Apa kewajipan PDPA untuk tuan rumah dan host homestay?

Adakah PDPA terpakai kepada tuan rumah persendirian?

Akta ini terpakai kepada sesiapa yang memproses data peribadi berkenaan transaksi komersial, iaitu apa-apa urusan bersifat komersial termasuk pembekalan perkhidmatan ^[1]. Data yang diproses semata-mata untuk urusan peribadi, keluarga atau rumah tangga dikecualikan ^[1].

JPDP menyatakan semua individu dan organisasi yang memproses data peribadi perlu mematuhi Akta, dan membaca atau mengakses maklumat sudah dikira sebagai pemprosesan ^[3]. Tiada dokumen JPDP yang menamakan tuan rumah secara khusus, tetapi menyewakan rumah atau bilik dengan bayaran ialah pembekalan perkhidmatan, jadi kami menganggap Akta terpakai.

Nombor kad pengenalan, nombor pasport, alamat dan imej CCTV semuanya data peribadi ^[3].

Apa yang perlu dibuat dengan data penyewa dan tetamu?

Akta menetapkan tujuh prinsip perlindungan data ^[1].

• Am: ambil data yang mencukupi tetapi tidak berlebihan untuk tujuannya ^[1].
• Notis dan Pilihan: beri notis bertulis tentang tujuan, pihak ketiga dan hak akses, dalam Bahasa Malaysia dan Bahasa Inggeris ^[1].
• Penzahiran: jangan dedahkan data untuk tujuan lain tanpa persetujuan ^[1].
• Keselamatan: ambil langkah praktikal untuk melindungi data daripada hilang atau disalah guna ^[1].
• Penyimpanan: jangan simpan data lebih lama daripada yang diperlukan, kemudian musnahkan atau padam ^[1].
• Integriti Data: pastikan data tepat dan terkini ^[1].
• Akses: penyewa boleh meminta akses kepada datanya, dan permintaan itu perlu dipenuhi dalam 21 hari ^[1].

Bolehkah saya mengambil salinan IC atau pasport?

JPDP tidak mengeluarkan panduan khusus tentang salinan kad pengenalan. Ujian yang terpakai ialah prinsip am: data mesti mencukupi tetapi tidak berlebihan bagi tujuannya ^[1].

Salinan IC yang bocor berisiko tinggi, kerana garis panduan pelanggaran data menyenaraikan data yang boleh membolehkan penipuan identiti sebagai kemudaratan yang ketara ^[6]. Simpan salinan di tempat yang terkawal, bukan dalam kumpulan WhatsApp.

Bolehkah saya memasang CCTV di rumah sewa?

Soalan lazim JPDP menyatakan notis CCTV yang ringkas, seperti pengawasan untuk keselamatan, sudah memadai ^[3].

Garis panduan pegawai perlindungan data menyenaraikan CCTV sebagai aktiviti yang mungkin dikira pemantauan tetap dan sistematik ^[7]. Garis panduan itu tidak memberi pengecualian bagi pengusaha kecil, jadi kami tidak dapat mengesahkan sama ada satu atau dua kamera mewajibkan pelantikan pegawai.

Berapa lama data bekas penyewa boleh disimpan?

Standard Perlindungan Data Peribadi 2015 meminta data tidak disimpan lebih lama daripada yang perlu, melainkan undang-undang lain mensyaratkannya ^[8]. Borang pengumpulan data perlu dilupuskan dalam tempoh 14 hari melainkan ia mempunyai nilai undang-undang, dan data tidak aktif perlu mempunyai jadual pelupusan 24 bulan ^[8].

Rekod cukai mempunyai tempoh simpanan sendiri yang ditetapkan oleh LHDN, jadi resit dan perjanjian yang diperlukan untuk cukai boleh disimpan lebih lama.

Perlukah tuan rumah mendaftar dengan JPDP?

Hanya golongan pengguna data yang disenaraikan dalam perintah Menteri perlu mendaftar ^{[1] [4]}. Golongan hartanah hanya meliputi pemaju perumahan berlesen, dan tuan rumah atau ejen hartanah tidak disenaraikan ^[4].

Pengusaha premis penginapan pelancong yang berdaftar di bawah Akta Industri Pelancongan 1992 termasuk dalam golongan pelancongan ^[4]. Sejak 1 Jun 2026, Pekeliling Pesuruhjaya 1/2026 mewajibkan pendaftaran hanya bagi golongan tersenarai yang beroperasi sebagai milikan tunggal, perkongsian atau syarikat, dengan fi tahunan bermula RM100 ^[5].

Tuan rumah yang tidak perlu mendaftar tetap terikat kepada semua peruntukan lain Akta ^[3].

Apa yang berubah dengan pindaan PDPA 2024?

Pindaan 2024 berkuat kuasa secara berperingkat antara 1 Januari dan 1 Jun 2025 ^[9].

• Istilah pengguna data ditukar kepada pengawal data ^[2].
• Denda maksimum bagi melanggar prinsip perlindungan data naik kepada RM1,000,000 atau penjara tiga tahun, berkuat kuasa 1 April 2025 ^{[2] [9]}.
• Sejak 1 Jun 2025, pelanggaran data yang boleh menyebabkan kemudaratan ketara perlu dilaporkan kepada Pesuruhjaya dalam 72 jam, dan kepada individu terjejas dalam tujuh hari selepas itu ^{[6] [9]}.
• Pegawai perlindungan data diwajibkan bagi yang memproses data lebih 20,000 individu, lebih 10,000 dengan data sensitif, atau yang menjalankan pemantauan tetap dan sistematik ^[7].

Soalan lazim

Saya cuma sewakan satu bilik. PDPA terpakai?

Besar kemungkinan ya, kerana ia pembekalan perkhidmatan berbayar ^{[1] [3]}. Pengecualian hanya untuk urusan peribadi, keluarga atau rumah tangga ^[1].

Perlu daftar dan bayar fi JPDP sebagai host Airbnb?

Tidak, melainkan premis anda berdaftar di bawah Akta Industri Pelancongan 1992 dan anda beroperasi sebagai perniagaan berdaftar ^{[4] [5]}.

Perlu notis privasi dalam dua bahasa?

Ya. Notis bertulis di bawah prinsip notis dan pilihan mesti dalam Bahasa Malaysia dan Bahasa Inggeris ^[1].

Telefon saya dengan gambar IC tetamu hilang. Perlu lapor?

Jika ia boleh menyebabkan kemudaratan ketara, seperti membolehkan penipuan identiti, laporkan kepada Pesuruhjaya dalam 72 jam ^[6].

Berapa denda jika melanggar PDPA?

Sehingga RM1,000,000 atau penjara sehingga tiga tahun, atau kedua-duanya, bagi melanggar prinsip perlindungan data ^[2].