2024年7月31日，马来西亚议会通过《2024年个人数据保护（修正）法》（PDPA Amendment），这是马来西亚《个人数据保护法》（PDPA）自2010年颁布以来最重大的一次修订。修正案采取分阶段实施策略——跨境传输相关条款于2025年4月1日生效，DPO任命、数据泄露通知及数据可携权等核心义务于2025年6月1日全面生效。违反七项个人数据保护原则的最高处罚从30万令吉飙升至100万令吉（约23.6万美元），监禁期限从2年延长至3年。
紧接着，2025年4月29日，个人数据保护专员发布了《跨境个人数据传输指南》（CBPDT Guidelines），为第129条规定的跨境传输条件提供了操作性指引。2026年4月30日，个人数据保护部又发布了《数据保护影响评估指南》《自动化决策与分析指南》《设计隐私指南》三份重磅指南。至此，马来西亚已构建起涵盖DPO任命、数据泄露通知、跨境传输、数据可携性、DPIA、自动化决策、设计隐私的七份指南体系。
马来西亚是全球汽车制造的重要节点。根据马来西亚汽车协会（MAA）的数据，2025年马来西亚汽车总销量达80.7万辆，创历史新高。中国车企正加速布局——吉利持有宝腾汽车49.9% 股份，比亚迪、奇瑞、长城等品牌纷纷进入马来西亚市场。同时，马来西亚大约聚集着700多家汽车零部件厂商，中国零部件企业也在积极拓展。
对于在马设有办公机构或开展业务的中国零部件供应商而言，需要合规的数据远不止客户信息——员工个人信息、供应商联系人数据、研发测试数据、零部件规格与图纸、供应链交易数据等各类业务数据，都面临跨境传输的合规挑战。马来西亚已取消白名单机制，转向基于实质相似法律或同等保护水平的评估模式-——将马来西亚境内产生的各类数据回传中国总部，面临马来西亚PDPA的出口管制与中国《汽车数据出境安全指引（2026版）》的双向监管双重夹击。
更值得注意的是，汽车行业正在成为数据安全攻击的重点目标——2025年以来，马来西亚已出现多起数据泄露事件，从学生数据遭滥用到零售平台数据库在暗网出售，监管执法正在全面收紧。供应链数据安全已不是“可选项”，而是“必答题”。
马来西亚《个人数据保护法》（PDPA）于2010年6月2日通过，2013年11月15日正式生效。PDPA是马来西亚数据保护的核心法律，共分为11个部分，涵盖适用范围、七项数据处理原则、监管机制、数据主体权利和处罚措施等内容。其主要配套法规包括《2013年个人数据保护条例》《个人数据保护标准》《个人数据保护通用行为守则》等。
2024年7月31日，马来西亚议会通过PDPA修正案。Mayer Brown指出，此次修法“代表了马来西亚数据保护法自颁布以来最重大的改革”。修正案采取分阶段实施策略：
根据PDPA第2条，PDPA适用于在商业交易中处理或控制个人数据处理的主体，如果满足以下任一条件：
国樽律师事务所指出：“一家中国跨境电商若通过马来西亚本地服务器收集用户信息，也可能落入PDPA管辖范围”。这意味着，即使中国车企或零部件供应商未在马设立实体，只要通过马来西亚本地服务器处理数据或向马来西亚车企提供产品服务，也可能落入PDPA的管辖范围。
大成律师事务所指出，2024修法新增“生物识别数据”纳入敏感个人数据，Trowers & Hamlins的分析也确认了这一变化。
2024修法的重大突破在于，首次将数据处理者（如云服务商、IT外包商）纳入直接责任主体。去仅由数据控制者承担合规义务，如今数据处理者若因安全措施不足导致泄露，也将面临最高100万令吉罚款或3年监禁的刑事责任。数据处理者现在直接受PDPA安全原则（第9条）的约束，必须采取切实措施保护个人数据免受丢失、滥用或未经授权访问。
企业应通过数据处理协议（DPA） 明确双方权责，并确保处理方具备同等安全能力。
PDPA第129条对跨境数据传输进行了专门规制。2024修法取消了原有的白名单机制——此前数据控制者只能将数据传输至部长指定的国家。新法允许数据控制者在满足以下任一条件时将个人数据传输至马来西亚境外：
目的地国家已制定与PDPA实质相似的法律。数据控制者须进行传输影响评估（TIA），审查接收国的相关个人数据保护法律。评估须考虑接收国法律是否赋予数据主体类似权利，评估结果有效期不超过三年。
目的地国家提供与PDPA同等水平的保护。数据控制者须进行传输影响评估，考虑接收国是否已制定符合安全原则和个人数据保护标准的安全措施和政策。评估结果有效期不超过三年。
数据主体在获得包含接收方类别和传输目的详细信息的隐私通知后，明确同意该传输，同意须能够被记录和维护。
传输是履行数据主体与数据控制者之间合同所必需的，或为应数据主体的请求或为数据主体的利益，数据控制者与第三方之间合同的订立或履行所必需的。传输须为实现特定目的，且不存在可行的替代手段来实现该特定目的。
数据控制者已采取所有合理预防措施并履行尽职调查，确保个人数据不会以违反PDPA的方式被处理。能够证明已采取合理预防措施和尽职调查的机制包括有约束力的公司规则（BCRs） 、标准合同条款（SCCs） （包括东盟跨境数据流示范合同条款和/或欧盟GDPR标准合同条款）。
关键提示：中国与马来西亚之间并无可自由传输个人数据的相关法规或协定。对于向中国传输数据，供应商通常需要依赖路径一（实质相似法律+ TIA） 、路径二（同等保护水平+ TIA） 或路径三（数据主体同意） 来满足合规要求。
2024修法在PDPA中新增第12A条，确立了任命数据保护官（DPO）的法定义务。要求从2025年6月1日起，所有数据控制者和数据处理者必须任命一名或多名DPO。
DPO须向个人数据保护专员报备任命。DPO不仅需对企业的PDPA合规承担直接问责责任，还需主导开展DPIA、推动内部合规体系建设，并作为组织与监管机构之间的关键联络人。
2024修法新增第43A条，正式确立数据可携权。数据主体有权要求企业将其个人数据（如账户信息、交易记录）直接传输至另一数据控制者，前提是技术可行且数据格式兼容。
2026年4月30日，个人数据保护部发布了《自动化决策与分析指南》（ADMP Guideline）。该指南对使用算法、AI系统或其他自动化流程做出影响个人的决策的组织提出了新的合规要求。Skrine律师事务所指出，2025年是马来西亚个人数据保护格局的重要发展期，而2026年这一趋势仍在延续-。
对于在马来西亚部署智能系统（如生产自动化、供应链AI分析）的中国零部件供应商而言，这是一个需要特别关注的新合规领域。
执法趋势：Low Partners指出，实践中罚款范围从12,500令吉到108,000令吉不等，但监管机构有权处以最高30万令吉罚款和/或2年监禁。TMI総合法律事務所指出，违反七项数据保护原则的罚款已提升至100万令吉（约23.7万美元）和/或最高3年监禁。
2026年3月，律师Shamesh警告，根据马来西亚买球平台法律，远程办公的员工和雇主对数据泄露仍负有全部责任。Shamesh警告，未能根据PDPA保护公司和客户数据的雇主和员工可能面临刑事处罚，包括数年监禁。
合规启示：远程办公场景下的数据保护责任不可忽视——员工个人也可能承担刑事责任。供应商须建立远程办公的数据安全政策和员工培训机制。
案例警示：Bank Rakyat网络安全与数据保护违规（2026年1月）
2026年1月20日，马来西亚国家银行对Bank Rakyat处以100万令吉罚款，涉及网络安全与数据保护违规，银行已于2026年1月26日缴纳该罚款。
合规启示：监管机构正在积极行使处罚权，100万令吉的最高罚款已在实际案例中得到适用。
将马来西亚产生的数据回传中国，在中国法下属于“数据进境”后的再处理。核心监管框架包括《数据安全法》《个人信息保护法》及2026年1月30日八部门联合印发的《汽车数据出境安全指引（2026版）》。
《安全指引》明确，汽车数据处理者包括汽车制造商、零部件和软件供应商、电信运营企业、自动驾驶服务商、平台运营企业、经销商、维修机构以及出行服务企业等。对于在泰有业务的中国零部件供应商而言，只要其处理的数据属于“汽车设计、生产、销售、使用、运维等过程中涉及的个人信息和重要数据”，即落入《安全指引》的适用范围。
《安全指引》面向研发设计、生产制造、驾驶自动化、软件升级、联网运行等业务场景细化了重要数据判定规则。此外，2026年4月1日起正式实施的通信行业标准YD/T 6617-2025 《车联网平台重要数据识别指南》 ，进一步规定了车联网平台数据分类和重要数据识别的规则、流程和方法。
《安全指引》共识别出27个类别、51种可能触发强化监管的数据类型。涉及重要数据的，须申报数据出境安全评估。
对供应商而言，“安全漏洞/安全事件报告”豁免尤其具有实践价值——当供应商发现零部件存在安全漏洞需要向马来西亚OEM报告时，可免于繁琐的出境申报流程。
对于在马零部件供应商而言，数据分类分级需要额外关注供应链特有数据类型和敏感个人数据的识别。
建议建立马来西亚数据资产全景清单，按“员工/客户/供应链/研发”分类，并对敏感个人数据进行专项标注。
大成律师事务所指出，中企在马开展业务时“需遵守数据保护规则，避免因违规导致罚款、声誉损失及市场准入限制等风险。
TISAX已成为汽车行业供应商信息安全的行业基准。TISAX认证在马来西亚同样适用，对于向国际OEM（包括宝腾等吉利体系企业）供货的中国零部件供应商而言，TISAX认证正逐渐成为准入的“软门槛”。TISAX评估涵盖信息安全管理、原型保护、数据保护与隐私等关键领域。
马来西亚已发布《保险行业个人数据保护实践准则》等行业规范。虽然目前未见马来西亚针对汽车领域的专门立法，但汽车行业的数据保护要求正在快速提升，供应商应主动对标国际标准。
构建“传输层加密 + 存储层匿名化 + 处理层脱敏 + 访问层控制”的多层次防护体系：
中国零部件供应商在马办公并将数据回传中国，面临的是双向合规的双重考验：既要满足马来西亚PDPA对数据出境的严格管控（TIA评估、BCR/SCC机制、DPO任命、72小时泄露报告、最高100万令吉罚款+3年监禁），又要遵守中国《汽车数据出境安全指引（2026版）》的监管要求。
2025—2026年是马来西亚数据保护立法的历史性转折期。2024年修法将罚款提升至100万令吉、新增DPO强制任命、建立强制性数据泄露通知制度、取消白名单机制、新增生物识别数据为敏感数据、首次将数据处理者纳入直接责任主体——这一系列改革使马来西亚的数据保护框架“更接近全球数据保护制度”。Mayer Brown指出，这些改革“标志着马来西亚数据保护法自颁布以来最重大的改革”。
与此同时，马来西亚汽车产业对供应链数据安全的关注正在快速升温——从学生数据遭滥用到零售平台数据库在暗网出售，从Bank Rakyat被罚100万令吉-到酒店因数据泄露被调查——执法力度正在从“有法可依”走向“全面执法”。供应链数据安全已成为马来西亚汽车行业的核心合规议题。
对于在马运营的中国零部件供应商而言，主动合规不是成本，而是市场准入的通行证。PDPA合规、TISAX认证、TIA+BCR/SCC机制——这三者共同构成了中国供应商进入马来西亚汽车供应链的三道“合规门槛” 。
建议安全合规部门结合自身业务规模和数据类型，尽快启动合规差距分析，制定分阶段落地的技术与管理方案。
