对企业而言，情况就不同了：办公室、商店、工厂或其他商业经营者使用摄像头，就是在处理与商业交易有关的个人资料，因此落入法令的管辖范围。马来西亚《个人资料保护法》2010年下最高RM1,000,000的罚款，是针对违反七项个人资料保护原则的处罚，与资料外泄通报并无关系。本指南说明哪些义务适用于使用摄像头的办公室。将照片或平面图发到WhatsApp，我们会在现场勘查后为您报价。
哪些摄像头受法令管辖
在回答任何合规问题之前，须先厘清前提问题：《个人资料保护法》究竟是否适用于这些摄像头？它并非适用于所有装了镜头的东西，其筛选条件是具体而明确的。
逐字引述的原文：马来西亚《个人资料保护法》2010年并不适用于摄像头拍到的一切内容，而且存在两道分开的筛选条件。第2(1)条只将本法令适用于处理、或控制或授权处理“任何与商业交易有关的个人资料”的人；第4条则将商业交易定义为“任何商业性质的交易，无论是否属合约性质，包括涉及商品或服务的供应或交换、代理、投资、融资、银行与保险的任何事项”。
请依定义本身，而非依标签来判断。关键并非“您是不是一家公司”，而是是否正在处理与商业交易有关的个人资料，而该词的定义已依法令原文逐字引述于上。
家庭豁免，以及屋主为何不应依赖PDPA
逐字引述的原文：另外，第45(1)条规定：“凡个人仅为该个人的个人、家庭或家居事务（包括休闲用途）而处理的个人资料，均获豁免适用本法令的规定。”因此，屋主将摄像头对准自己的物业，可能同时基于两项理由而不落入本法令的管辖范围——既不涉及商业交易，目的也属于个人或家居性质。
令人感到不自在的结论：告诉屋主说PDPA能保护他们不受邻居CCTV侵扰，并不安全。任何特定的家用摄像头是否受本法令管辖，是一个尚无个人资料保护局公开指引作答的问题，而邻里纠纷通常也是透过PDPA以外的其他途径处理。
对于分层建筑中的摄像头，家规是另一个独立的问题，详见我们的公寓CCTV规定与JMB →。
我们在这个以企业为对象的页面中纳入这一节，有两个原因。董事们询问自己家中情况的频率，不亚于询问办公室的情况。而且这也是理解本法令范围最清楚的方式：同一台摄像头，在同一条街上，是否受本法令管辖，取决于是谁在使用它、以及为了什么目的。
办公室处于法令的另一边
逐字引述的原文：对企业而言，情况就不同了：办公室、商店、工厂或其他商业经营者使用摄像头，就是在处理与商业交易有关的个人资料，因此落入法令的管辖范围。
因此，对商店、办公室、诊所、工厂或仓库而言，问题不在于规定是否适用，而在于这些规定当中，哪些适用于您目前正在做的事——这正是本页接下来要说明的内容。
七项原则——百万令吉罚款实际适用于哪一项
若您读过任何关于修订后法令的报道，大概都见过把百万令吉与七十二小时绑在一起提起。这个配对是错的，而弄清楚真相，会改变您真正应该关注的重点。
逐字引述的原文：马来西亚《个人资料保护法》2010年下最高RM1,000,000的罚款，是针对违反七项个人资料保护原则的处罚，与资料外泄通报并无关系。第5(1)条要求资料控制者遵守一般原则、通知与选择原则、披露原则、安全原则、保留原则、资料完整原则，以及查阅原则。
罚则，以及修订了什么：经《2024年个人资料保护（修正）法令》修订、自2025年4月1日起生效的第5(2)条规定，违反者一经定罪，可处不超过一百万令吉的罚款，或不超过三年的监禁，或两者兼施。在此次修订之前，同一项罪行的罚则为不超过三十万令吉的罚款或两年监禁。此次修订同时把这项责任扩大至违反安全原则的资料处理者。
为何这对摄像头系统很重要：对于运作CCTV与生物识别门禁的办公室而言，这才是真正相关的数字——它是未能给予通知、未能保护资料，或未能停止保留已不再需要的录像所对应的罚则。
请留意上面最后一句话所指向的重点：给予通知、保护资料，以及不保留已不需要的录像。这正是一间装有摄像头的办公室本周就能着手处理的三件事，也正是接下来几节要说明的内容。这些都不需要购买任何合规产品；它们需要的是一项写下来的决定，以及一台按此设定的录影机。
通知：门口的告示与背后的文件
上文所引原则中，包含通知与选择原则。实务上，对一套摄像头系统而言，这会拆解成两份不同的文件，而大多数办公室两者都没有。
第一份是看得见的：一份在任何人被拍摄之前就能看到的告示，张贴于每个入口以及任何受摄像头覆盖的区域。我们的建议是——作为一般惯常做法，而非陈述法律在您个案中的要求——告示上应说明由谁营运这些摄像头、用途为何，并指向更完整的说明文件。
第二份，正是告示所指向的更完整声明——一份可以交出或公开发布的简短文件，说明记录了什么、为什么记录、大约保留多久、谁可以查看，以及如何联系您咨询相关事宜。写一次，与其他政策一并保存，并在系统有变动时检讨更新。
您自己的告示必须包含什么内容，是一个应咨询顾问、并依您自身情况而定的问题；我们能告诉您的是：完全没有任何告示，是最难以自圆其说的处境，而写一份告示只需花上一个下午。
录像应保留多久
这是本页被问得最多的问题，我们打算诚实地回答：我们找不到任何经查证的马来西亚资料来源，就一般商用CCTV录像订有留存期限，因此我们不会印出一个数字，再把它包装成一项规定。法令所列明的，正如本页上文所引，是一项保留原则。
您能做的——这是我们的工程建议，而非法律要求——是把它变成一项决定，而不是一场意外：
- 刻意地决定一个期限，依据您的业务实际需要多久才能发现一起事件而定。零售商品短缺的问题，与停车场纠纷，浮现的时间轴并不相同。
- 把它写下来，与您的告示放在同一份文件中，让“您们保留多久”这个问题的答案是一项政策，而不是耸耸肩。
- 让录影机真正落实这项政策。大多数系统在硬盘满了之后就会直接覆写，这意味着实际的保留期限，取决于硬盘容量恰好能撑多久，而每增加一台摄像头，这个数字就会改变。若录影机支援明确设定保留期限，请设定它，并按您选定的期限来配置储存空间，而不是反过来。参见我们的CCTV安装造价指南 →，了解影响这个数字的因素。
- 另外处理导出的录像。被复制到某人手机或USB随身碟上的片段，不会随其余录像一起被覆写。请决定谁可以导出、导出的档案存放在哪里，以及何时删除。
- 若您所属行业订有特定义务——如牌照条件、客户合约，或保险公司的要求——请以对方所订的数字为准，并务必取得书面确认。
保护录影机——真正的风险所在
上文所引原则中，包含安全原则。对一套摄像头系统而言，这不是一项抽象的义务——真正可能发生的事故，不是监管机构上门，而是一台从出厂时就保留着原厂密码、且可从互联网访问的录影机。
- 在系统调试时，更改录影机与每一台摄像头上的所有默认密码，并把凭证妥善保存，而不是贴在机架上的一张便条纸上。
- 为具名人员各自设立独立登入账户，而不是共用一个管理员账户，让访问记录真正具有意义。
- 避免透过端口转发让录影机直接暴露于互联网。若需要远程查看，请询问安装商使用的是什么方法、原因为何。
- 询问供应商方面有谁能远程访问您的系统，并将此写入书面协议，而不是日后才发现。
- 保持固件更新，并在交接时询问日后如何更新、由谁负责。
- 将录影机安置在物理上安全且通风良好的地方。一台任何人都能拔线搬走的录影机，同时意味着资料遗失与证据遗失。
- 限制谁可以查看实时与已录制的画面，并把名单写下来。
以上几乎每一项，都是在安装时一次决定、之后再也没有被重新检视的事。它们同时也是本页成本最低的项目。
生物识别门禁属于另一个更严格的类别
若您的办公室使用指纹或人脸辨识器——用于门禁、出勤打卡，或两者兼有——将适用一套不同且更严格的规则，而且规范的对象是资料模板本身，而不是那扇门。
逐字引述的原文：指纹与人脸识别门禁，如今属于《个人资料保护法》管制最严格的类别。《2024年个人资料保护（修正）法令》新增了“生物特征资料”的定义，即“因技术处理与个人的身体、生理或行为特征有关而产生的任何个人资料”，并将生物特征资料纳入本法令第4条“敏感个人资料”的定义之中。这两项修订均自2025年4月1日起生效。
这项修订之所以重要，是因为它把这类资料归入本法令处理最为谨慎的类别，而且许多马来西亚办公室在这项修订之前就已安装这类读取器，此后从未重新检视相关文件。
明确同意，以及常被引错的字眼
逐字引述的原文：第40(1)条接着规定，资料控制者不得处理资料当事人的任何敏感个人资料，除非符合该条所列条件，其中第一项是“资料当事人已就该个人资料的处理给予其明确同意”。明确同意并非唯一途径——第40(1)(b)条允许为特定目的所必要的处理，包括为履行或行使法律赋予或施加于资料控制者、与雇佣有关的权利或义务；第40(1)(c)条则涵盖资料当事人自行刻意公开的资讯。
实务标准：但一般默示同意，对生物识别读取器而言并不足够；推行指纹或人脸辨识出勤打卡的雇主，应备有清楚的隐私告知，并留存明确同意的记录。
有两个常被引错的说法，值得留意，因为两者都很常见，且方向相反。条文中的字眼是明确，而不是书面——把它写下来是良好做法，也值得这么做，但请不要让任何人告诉您法令写的是“书面”。而且明确同意并非唯一列明的条件，因此“没有每位员工同意就绝不能使用生物识别读取器”这个说法，同样言过其实。若您自己的员工提出不寻常的疑虑，那是一个应寻求专业建议的问题。技术方案本身的选择，则请参见我们的人脸识别 vs 指纹门禁 →。
出事时：法令的要求，以及72小时从何而来
这是误解最多的部分，因此以下直接引述条文原文。
逐字引述的原文：《个人资料保护法》2010年本身并未设定以小时计的期限。由《2024年个人资料保护（修正）法令》新增、自2025年6月1日起生效的第12B(1)条规定，有理由相信发生个人资料外泄事故的资料控制者，须以专员所订的方式与形式，“尽快”通知专员。
72小时实际从何而来：72小时这个数字，来自专员的指引，而非法令本身：《个人资料保护外泄通报指引》（第1.0版，依本法令第48(g)条于2025年2月25日发布）第6.1段规定，“通报应尽快作出，且不得迟于个人资料外泄事故发生后七十二（72）小时”，而第7.7段则要求若未能在期限内通报，须提交附有佐证的书面解释。受影响的个人则适用另一套时限：第12B(2)条要求，若外泄已造成或可能造成重大损害，须“毫不迟延”通知资料当事人，而指引第9.1段则将此订为专员获通知后不迟于七天。
罪行内容，以及它对安防系统意味着什么：只有未能通知专员才构成罪行：依第12B(3)条，违反第12B(1)条的资料控制者，一经定罪，可处不超过二十五万令吉的罚款，或不超过两年的监禁，或两者兼施。对一套安防系统而言，这会在NVR被入侵，或存有指纹或人脸模板的门禁资料库被外泄时触发。
把以上两段与本页前段的罚则条文并列，坊间流传的版本就站不住脚了：72小时是专员指引所订，而非法令中的期限；而未能通报所对应的罚则，也不是那个百万令吉的数字。这两点都很重要，也都不代表您可以因此放松——它们是提醒您先弄清楚自己面对的究竟是哪一项义务。
实际的准备工作并不复杂。请弄清楚，若录影机或门禁资料库遭入侵，机构内会最先通知谁、由谁决定是否通报，以及系统文件存放在哪里。事故发生时才发现只有安装商了解系统架构，是很糟糕的时机。
是否需要设立数据保护官？指南实际怎么说
逐字引述的原文：自2025年6月1日起生效的《个人资料保护法》2010年第12A条，要求资料控制者或资料处理者在特定情况下委任一名或多名数据保护官。专员的《数据保护官委任指引》（2025年2月）指出，此要求适用于：处理的个人资料涉及超过20,000名资料当事人；涉及敏感个人资料（包括财务资讯资料）超过10,000名资料当事人；或涉及须对个人资料进行定期与系统性监测的活动。
指引对CCTV具体怎么说：就CCTV而言，指引指出，从事诸如营运电信网络、透过穿戴装置监测健康与体适能资料，以及涉及闭路电视或智能汽车、家居自动化系统等联网装置等活动的资料控制者或资料处理者，“将被视为可能构成定期与系统性监测的活动”。因此，运作摄像头是委任义务已被触发的一项有力指标，但指引本身的措辞是“可能构成”定期与系统性监测，而非自动触发。
因此，诚实的答案是：任何规模营运CCTV或生物识别门禁的机构，都应就是否需要委任数据保护官（DPO）寻求专业建议。
这一点我们必须格外谨慎，因为这正是保安公司最容易借机推销的地方。指引的用词是“可能构成”。它并未说明只要装了摄像头就必须委任一名数据保护官，任何这样告诉您的人——尤其是把这话包装在一份硬件报价单里——都比指引本身说得更绝对。您的机构是否触发这项义务，取决于您整体的资料处理情况，而不是墙上有多少台摄像头。
有人要求调阅录像时
迟早会有员工、顾客、保险公司、邻近租户，或警方要求调阅片段。请在事情发生前就决定好如何处理，而不是等要求到手后的二十分钟内才临时决定。
| 提出要求的对象 | 首先该做什么 | 应避免的做法 |
|---|
| 涉及事件的员工 | 以书面记录请求，包括日期、时段与地点；在录像被覆写前先行保存 | 在未确认画面中还拍到什么之前，就随意交出片段 |
| 顾客或一般民众 | 以相同方式记录，并转交给具名的决策人 | 让柜台当值人员自行决定 |
| 警方 | 询问对方需要什么，并记录是谁在何时、以何种案号提出要求 | 在厘清情况前就删除或覆写相关时段 |
| 保险公司或律师 | 视为正式请求；先保存，再决定 | 认定专业人士提出的请求就一定必须满足 |
| 其他租户或邻近商家 | 先保存，再决定，再以书面回复（无论同意与否） | 非正式的通融，日后可能成为先例 |
几分钟内获取您的专属报价
把工程照片发到WhatsApp给我们 — 我们会立即回复报价。
💬 获取即时报价免费报价固定价格，无隐藏费用经验丰富的吉隆坡与雪兰莪承包商
两个习惯能让以上事项都变得容易许多：先保存、后决定，因为已被覆写的录像无法复原；以及指定一位具名负责人来做决定，让答案不取决于当天恰好是谁在办公室。您在任何特定情况下必须披露什么，是应咨询顾问的问题——您今天就能建立起来的，是这套流程。
一份实用的合规档案
本页所有内容，最终归结为一个可以交出的小文件夹。建立它只需要一个上午，而这正是“有依据可站得住脚”与“单凭记忆辩解”之间的差别。
| 文件 | 内容包含什么 | 由谁保持更新 |
|---|
| 摄像头清单 | 每一台摄像头的位置、拍摄范围与设置原因 | 负责管理场所的人员 |
| 告示与更完整的隐私声明 | 告示上使用的文字，以及背后更完整的版本 | 同一人负责，系统变动时检讨 |
| 保留期限决定 | 选定的期限、原因，以及录影机上落实该期限的设定 | 负责管理系统的人员 |
| 访问名单 | 谁可以查看实时与已录制画面，以及谁负责管理系统 | 员工到职或离职时检讨 |
| 生物识别告知与同意记录 | 向员工提供的告知内容，以及同意记录（若使用读取器） | 负责人力资源的人员 |
| 供应商与支援协议 | 供应商方面谁能远程访问系统，以及方式 | 持有合约的人员 |
| 事故与调阅请求日志 | 每一次调阅录像的请求，以及处理结果 | 具名的决策负责人 |
| 系统文件 | 竣工图纸、摄像头与录影机型号、凭证存放位置、交接说明 | 交接时向安装商索取 |
该向安装商询问什么——以及什么不是他们的职责
安装商不是您的合规顾问，若有安装商这样自称，您应保持警觉。您可以向他们要求的，是以上所有内容所依赖的技术基础。
- 交接时提供摄像头清单与竣工图纸，标示每台摄像头的位置与拍摄范围。
- 确认所有默认密码均已更改，以及凭证记录存放的位置。
- 系统交接时设定的保留期限，以及以目前摄像头数量换算相当于多少天。
- 录影机是否可从互联网访问、透过什么方式，以及谁能访问。
为什么选择ClickBina
ClickBina在吉隆坡与雪兰莪承接CCTV与门禁系统安装工程，也了解合规工作与硬件安装是两回事。我们会在竣工时提供摄像头清单，协助您更改默认密码，并按您选定的保留期限设定录影机——但本页所说明的合规判断，请务必另行咨询专业顾问。将照片或平面图发到WhatsApp，我们会在现场勘查后为您报价。也请参见我们的公寓CCTV规定与JMB →与CCTV安装造价指南 →。