Majikan boleh menggunakan saringan AI di bawah PDPA Malaysia, dengan syarat pemohon diberi notis bertulis dalam bahasa Melayu dan bahasa Inggeris, persetujuan diperoleh, data yang dikumpul berkaitan dengan jawatan, dan data dipadam apabila tidak lagi diperlukan. Akta Perlindungan Data Peribadi 2010 (PDPA) dipinda pada 2024, dan pindaan itu berkuat kuasa sepenuhnya pada 1 Jun 2025. Pada 30 April 2026, Pesuruhjaya Perlindungan Data Peribadi pula mengeluarkan garis panduan tentang keputusan automatik dan pemprofilan. Panduan ini menerangkan maksud semua itu untuk pasukan HR yang sedang menggunakan atau memilih alat saringan AI.
Artikel ini bukan nasihat undang-undang. Gunakannya sebagai senarai semak, kemudian sahkan butirannya dengan penasihat undang-undang syarikat anda.
Adakah PDPA terpakai kepada data pemohon kerja?
Ya, bagi majikan sektor swasta. Nama, nombor telefon, alamat, nombor kad pengenalan, resume, rakaman temu duga dan keputusan ujian ialah data peribadi. Syarikat yang menentukan tujuan pengambilan dan cara data itu diproses ialah pengawal data (istilah "pengguna data" ditukar kepada "pengawal data" melalui pindaan 2024). Vendor perisian yang memproses data bagi pihak syarikat ialah pemproses data.
PDPA tidak terpakai kepada Kerajaan Persekutuan dan Kerajaan Negeri. Teks akta, garis panduan dan notis Pesuruhjaya boleh didapati di laman Jabatan Perlindungan Data Peribadi.
Apa yang berubah selepas pindaan PDPA 2024?
Akta Perlindungan Data Peribadi (Pindaan) 2024 mendapat perkenan diraja pada 9 Oktober 2024 dan berkuat kuasa dalam tiga fasa (ringkasan DFDL).
| Tarikh berkuat kuasa | Perubahan | Kesan kepada pengambilan pekerja |
|---|---|---|
| 1 Januari 2025 | Notis dan dokumen boleh disampaikan secara elektronik | Tiada kewajipan baharu |
| 1 April 2025 | "Pengguna data" menjadi "pengawal data"; data biometrik menjadi data peribadi sensitif; pemproses data tertakluk terus kepada Prinsip Keselamatan; denda maksimum naik kepada RM1,000,000 dan penjara sehingga 3 tahun; senarai putih negara untuk pemindahan rentas sempadan dimansuhkan | Cap jari atau imbasan wajah untuk pengesahan identiti calon atau kehadiran pekerja kini data sensitif; vendor anda juga bertanggungjawab atas keselamatan data |
| 1 Jun 2025 | Pelantikan pegawai perlindungan data (DPO), notifikasi pelanggaran data, hak kemudahalihan data | Syarikat yang memproses data pemohon dalam jumlah besar mungkin perlu DPO; pelanggaran data yang ketara mesti dilaporkan kepada Pesuruhjaya |
Tujuh prinsip PDPA dalam proses pengambilan
PDPA menetapkan tujuh prinsip perlindungan data. Jadual di bawah memetakan setiap prinsip kepada proses pengambilan yang menggunakan saringan AI.
| Prinsip | Maksudnya dalam pengambilan | Bukti yang perlu disimpan |
|---|---|---|
| Am (seksyen 6) | Pemohon memberi persetujuan sebelum datanya diproses, dan data yang dikumpul berkaitan dengan tujuan pengambilan | Teks persetujuan dan masa persetujuan bagi setiap pemohon |
| Notis dan Pilihan (seksyen 7) | Notis bertulis dalam bahasa Melayu dan bahasa Inggeris, termasuk tujuan, pihak yang menerima data dan cara membuat pertanyaan | Notis privasi pemohon dalam dua bahasa |
| Penzahiran (seksyen 8) | Data tidak didedahkan untuk tujuan lain tanpa persetujuan, contohnya kepada klien lain | Senarai pihak yang menerima data |
| Keselamatan (seksyen 9) | Langkah praktikal untuk melindungi data, termasuk oleh vendor | Jawapan bertulis vendor tentang keselamatan |
| Penyimpanan (seksyen 10) | Data tidak disimpan lebih lama daripada yang perlu | Dasar tempoh simpanan dan rekod pemadaman |
| Integriti Data (seksyen 11) | Data tepat, lengkap dan terkini | Cara pemohon membetulkan maklumat |
| Akses (seksyen 12) | Pemohon boleh meminta akses dan pembetulan | Saluran permintaan dan rekod tindakan |
Kalau anda mahu menyimpan data pemohon untuk jawatan kosong lain pada masa hadapan (talent pool), nyatakan tujuan itu secara berasingan dalam notis. Persetujuan untuk memohon satu jawatan tidak semestinya meliputi penyimpanan untuk jawatan lain.
Data peribadi sensitif dalam pengambilan
Seksyen 40 PDPA menghendaki persetujuan nyata untuk memproses data peribadi sensitif. Kategorinya ialah kesihatan fizikal atau mental, pendapat politik, kepercayaan agama, pelakuan atau dakwaan kesalahan, dan sejak 1 April 2025, data biometrik.
| Kategori sensitif | Contoh dalam pengambilan |
|---|---|
| Kesihatan | Laporan pemeriksaan perubatan, ujian dadah, sijil sakit |
| Kepercayaan agama | Ruang "agama" pada borang permohonan |
| Kesalahan | Semakan rekod jenayah |
| Biometrik | Cap jari atau pengecaman wajah untuk pengesahan identiti |
Sesetengah borang permohonan di Malaysia masih meminta maklumat agama. Jika maklumat itu tidak diperlukan untuk menilai calon pada peringkat saringan, keluarkannya. Pemeriksaan perubatan dan semakan latar belakang pula hanya perlu selepas calon dipilih, iaitu apabila jumlahnya sudah kecil.
Keputusan automatik: apa kata garis panduan ADMP 2026?
PDPA sendiri tidak mempunyai seksyen khusus tentang keputusan yang dibuat sepenuhnya oleh mesin. Jurang itu diisi oleh Garis Panduan Pembuatan Keputusan Automatik dan Pemprofilan (ADMP) yang dikeluarkan pada 30 April 2026, bersama garis panduan Penilaian Impak Perlindungan Data (DPIA) dan Perlindungan Data Melalui Reka Bentuk.
Menurut ringkasan firma guaman, garis panduan ini tidak mengikat dari segi undang-undang, tetapi menunjukkan apa yang dijangka oleh Pesuruhjaya (Hogan Lovells, Mei 2026). Antara isinya:
- DPIA perlu dijalankan sebelum sebarang aktiviti ADMP dilaksanakan.
- Bagi keputusan yang memberi kesan undang-undang atau kesan yang ketara dan berpanjangan kepada individu, pemohon perlu diberi notis bertulis yang jelas tentang aktiviti ADMP, serta cara mudah untuk menarik balik persetujuan.
- Peluang pekerjaan disebut sebagai contoh keputusan yang memberi kesan ketara, dan AI tidak patut dijadikan satu-satunya asas keputusan (Allen & Gledhill, Mei 2026).
Penolakan permohonan kerja jelas memberi kesan kepada pemohon. Jika anda menggunakan ambang skor yang menolak pemohon secara automatik, sediakan empat perkara ini:
- DPIA yang dijalankan sebelum fungsi ini mula digunakan.
- Notis kepada pemohon bahawa saringan peringkat awal dibantu AI, dan kriteria yang digunakan.
- Saluran untuk pemohon menarik balik persetujuan atau meminta semakan semula oleh perekrut.
- Rekod alasan bagi setiap skor, supaya perekrut boleh menyemak dengan asas yang jelas.
Bilakah perlu DPO dan DPIA?
Garis panduan DPO yang berkuat kuasa pada 1 Jun 2025 menetapkan bahawa pengawal data dan pemproses data perlu melantik DPO jika pemprosesan melibatkan (DLA Piper, Mac 2025):
- data peribadi lebih daripada 20,000 subjek data;
- data peribadi sensitif, termasuk maklumat kewangan, lebih daripada 10,000 subjek data; atau
- pemantauan data peribadi yang tetap dan sistematik.
DPO mesti fasih dalam bahasa Melayu dan bahasa Inggeris, dan bermastautin di Malaysia atau mudah dihubungi. Pesuruhjaya perlu dimaklumkan tentang pelantikan dalam tempoh 21 hari. DPO boleh dilantik dalam kalangan kakitangan atau secara luaran.
Ambang 20,000 subjek data mudah dicapai oleh agensi pengambilan, BPO atau rangkaian peruncitan yang menerima permohonan sepanjang tahun. Garis panduan DPIA 2026 menggunakan ambang angka yang sama, ditambah kriteria kualitatif seperti pemantauan sistematik dan penggunaan teknologi baharu. Saringan AI untuk pengambilan beramai-ramai boleh memenuhi lebih daripada satu kriteria itu.
Apa yang berlaku jika berlaku pelanggaran data?
Sejak 1 Jun 2025, pengawal data perlu memberitahu Pesuruhjaya dalam tempoh 72 jam dari masa pelanggaran berlaku jika pelanggaran data menyebabkan atau mungkin menyebabkan kemudaratan ketara, atau melibatkan lebih daripada 1,000 subjek data. Pemohon yang terjejas perlu dimaklumkan dalam tempoh tujuh hari selepas notifikasi kepada Pesuruhjaya, jika pelanggaran itu mungkin menyebabkan kemudaratan ketara. Rekod pelanggaran perlu disimpan sekurang-kurangnya dua tahun.
Sebagai pengawal data, syarikat anda yang perlu membuat notifikasi, termasuk untuk insiden yang berlaku di pihak vendor. Jadi tanya vendor berapa cepat mereka akan memaklumkan anda.
Pemindahan data ke luar negara
Pindaan 2024 memansuhkan sistem senarai putih. Seksyen 129 kini membenarkan pemindahan ke negara yang mempunyai undang-undang yang pada dasarnya serupa dengan PDPA atau tahap perlindungan yang setara, serta dalam keadaan tertentu yang lain. Garis panduan pemindahan data rentas sempadan dikeluarkan pada 29 April 2025 (Mayer Brown, Julai 2025).
Banyak alat AI menggunakan pelayan atau model AI di luar Malaysia. Itu tidak semestinya dilarang, tetapi anda perlu tahu di mana data diproses supaya boleh menilai sama ada syarat seksyen 129 dipenuhi.
Berapa lama data pemohon boleh disimpan?
PDPA tidak menyebut angka. Prinsip Penyimpanan melarang data disimpan lebih lama daripada yang perlu untuk tujuan ia dikumpul, dan data perlu dimusnahkan atau dipadam secara kekal selepas itu.
Maksudnya, syarikat perlu menetapkan tempoh simpanan sendiri dan boleh menerangkan sebabnya. Contohnya, data pemohon yang tidak berjaya disimpan sehingga jawatan diisi, ditambah tempoh tertentu untuk menjawab pertanyaan. Data talent pool disimpan lebih lama hanya jika pemohon bersetuju. Tulis dasar ini, nyatakannya dalam notis privasi pemohon, dan pastikan perisian yang anda gunakan boleh melaksanakannya.
Soalan untuk vendor saringan AI
Sebelum memilih vendor, minta jawapan bertulis untuk soalan berikut. Jawapan yang jelas lebih berguna daripada kenyataan umum seperti "selamat" atau "mematuhi peraturan".
- Di negara mana data pemohon disimpan, dan di mana data diproses oleh model AI?
- Siapakah subpemproses yang digunakan (pengehosan, storan fail, e-mel, perkhidmatan suara, model AI), dan bagaimana anda dimaklumkan jika senarai itu berubah?
- Adakah data syarikat anda diasingkan daripada data pelanggan lain?
- Bagaimana data disulitkan semasa disimpan dan semasa dihantar?
- Bolehkah tempoh simpanan ditetapkan, dan apa yang berlaku apabila data dipadam: dipadam secara kekal atau hanya disembunyikan?
- Bolehkah AI menolak pemohon secara automatik, dan bolehkah fungsi itu dimatikan atau disertakan semakan manusia?
- Adakah setiap skor disertakan alasan bertulis yang boleh ditunjukkan kepada pemohon yang bertanya?
- Bagaimana vendor mengendalikan permintaan akses, pembetulan, pemadaman dan kemudahalihan data daripada pemohon?
- Berapa lama vendor akan mengambil masa untuk memaklumkan anda tentang pelanggaran data?
- Adakah vendor menyediakan perjanjian pemprosesan data?
Sesetengah sistem menggunakan soft delete, iaitu data disembunyikan daripada paparan tetapi masih disimpan. Tanya terus mana satu yang terpakai.
Bagaimana Inhire menyokong proses ini
Inhire (inhireai.app) ialah platform saringan AI dan temu duga AI untuk pengambilan pekerja beramai-ramai. Beberapa perkara dalam Inhire yang berkaitan dengan senarai semak di atas:
- Apabila pemohon memohon melalui halaman kerjaya, Inhire menyimpan tanda persetujuan dan masa persetujuan bagi setiap calon.
- Data setiap syarikat diasingkan daripada syarikat lain pada peringkat pangkalan data.
- Menurut dasar privasi Inhire, data disulitkan semasa disimpan dan semasa dihantar (TLS).
- Perekrut menetapkan rubrik penilaian, ambang lulus dan syarat penyingkiran bagi setiap jawatan. AI memberi skor, alasan dan senarai pendek, dan perekrut boleh melihat alasan itu serta memindahkan mana-mana calon.
- Perekrut boleh mengeksport data calon.
- Calon berhak mengakses, membetulkan, memadam atau mengeksport data mereka. Permintaan dihantar ke hi@ideact.id, seperti yang dinyatakan dalam dasar privasi.
- Inhire menggunakan penyedia pihak ketiga untuk pengehosan, storan fail, temu duga suara, e-mel dan penilaian AI, seperti yang dijelaskan dalam dasar privasi.
Syarikat juga boleh menggunakan ambang skor automatik. Jika fungsi ini digunakan, pastikan prosedur semakan manusia untuk pemohon yang bertanya sudah sedia. Untuk soalan seperti lokasi pemprosesan data dan tempoh simpanan, minta jawapan bertulis daripada pasukan Inhire, sama seperti dengan vendor lain.
Gambaran penuh aliran saringan ada di halaman saringan calon AI, dan pembahagian kerja antara AI dan perekrut dibincangkan dalam saringan calon automatik. Jika anda sedang membandingkan vendor, baca juga cara memilih perisian temu duga AI.
Status peraturan setakat Oktober 2026
Semua fasa pindaan 2024 sudah berkuat kuasa sejak 1 Jun 2025. Garis panduan DPO dan notifikasi pelanggaran data terpakai sejak tarikh yang sama, garis panduan pemindahan rentas sempadan sejak April 2025, dan garis panduan ADMP, DPIA serta Perlindungan Data Melalui Reka Bentuk dikeluarkan pada 30 April 2026. Kami akan mengemas kini artikel ini apabila Pesuruhjaya mengeluarkan garis panduan atau perubahan baharu.
