不合法，在一个法治社会，不是每个人都有罚款权的。根据法律规定，行政处罚的实施机关包括行政主管机关、法律法规授权的组织和行政机关委托的组织。而商家作为营利性经济组织，不具有行政处罚权，即没有对外罚款权。可见，商家自行制定的“偷一罚十”并无合法依据。

一、行政处罚的主体

(一)行政机关实施行政处罚

行政处罚由具有行政处罚权的行政机关在法定职权范围内实施，没有行政处罚权的行政机关或其他组织一般不能实施行政处罚。国务院或者国务院授权的省、自治区、直辖市人民政府可以决定一个行政机关行使有关的行政处罚权，但限制人身自由的行政处罚权只能由公安机关行使。

(二)授权实施行政处罚法律、法规授权的具有管理公共事务职能的组织，可以在法定授权范围内实施行政处罚。

(三)委托实施行政处罚

1、受委托的组织必须在授权范围内，以委托行政机关名义实施行政处罚，不能再委托其他任何组织或个人实施行政处罚。

2、依法行使行政处罚的组织必须符合以下条件：

(1)依法成立的管理公共事务的事业组织。

(2)具有熟悉有关法律、法规、规章和业务的工作人员。

(3)对违法行为需要进行技术检查或技术鉴定的，应当由有条件的组织进行相应技术检查或技术鉴定。

二、有权实施行政处罚的机关都有哪些？

根据行政处罚法的规定：有权实施行政处罚的机关有三类：

1、具有法定行政处罚权的行政机关

具有法定行政处罚权的行政机关主要是依法履行外部行政管理职能，依法得到明确授权，代表国家在某一领域内行使行政管理权限的行政机关。包括各级人民政府以及公安、工商、税务、土地、审计、卫生等部门。

2、法律、法规授权的具有管理公共事务职能的组织

工商所、税务所、公安派出所等行政机关的派出机构依相应法律、法规享有一定的行政处罚权，他们必须在授权法规定的行政处罚的种类、幅度范围内实施行政处罚。超过授权法规定的处罚种类、幅度、数额的限制，该行政处罚无效。如《税收征收管理法》第四十九条规定，税务所可对个体工商户及未取得营业执照而从事经营的单位、个人实施罚款数额在一千元以下的行政处罚。

3、受行政机关委托行使一定行政处罚权的受托组织

根据行政管理的实际的需要，行政机关依照法律、法规、规章的规定，可以在其法定权限内符合法定条件的组织实施行政处罚，如《治安管理处罚法》规定在农村没有公安派出所的地方，对违反治安管理行为处以警告、五十元以下罚款的，可以由公安机关委托乡(镇)人民政府裁决。

三、行政处罚的法定原则包括

行政处罚涉及公民的基本权利，必须采取法定原则，这是现代法治的要求。行政处罚的法定原则，包括：

1，公民、法人或者其他组织违反行政管理秩序的行为，依照法律、法规或者规章明文规定应予行政处罚的，应当给予行政处罚。

2，行政处罚由有权设定行政处罚的国家机关在职权范围内设定，无权设定的不得设定，也不得越权设定。

3，实施行政处罚应当由行政机关依照法定程序实施。行政处罚的实施主要由行政机关实施，但也有法律、行政法规或者地方性法规授权的组织也可以行使某些行政处罚权。这里，应注意，并不是所有的行政机关都有行政处罚权，法律、法规或者规章规定具有行政处罚权的行政机关，依照法律、法规或者规章确定的违法行为和规定给予的行政处罚，实施行政处罚。

4，行政机关实施行政处罚，要严格依法进行，没有法定依据或者不遵守法定程序的，行政处罚无效。实施行政处罚必须遵守法律规定的程序，既包括行政处罚法规定的程序，也包括其他行政法律关于程序的规定。行政处罚法是一部程序法，是时行政机关如何实施行政处罚进行规范，一方面保障行政机关有效实施行政管理，另一方面也要在程序上进行必要的规范，防止滥施处罚。