不合法，在一個法治社會，不是每個人都有罰款權的。
根據法律規定，行政處罰的實施機關包括行政主管機關、法律法規授權的組織和行政機關委託的組織。而商家作爲營利性經濟組織，不具有行政處罰權，即沒有對外罰款權。可見，商家自行制定的“偷一罰十”並無合法依據。
法律依據：
第十五條【實施行政處罰的主體要求】行政處罰由具有行政處罰權的行政機關在法定職權範圍內實施。
【釋義】：本條是對實施行政處罰主體要求的一般規定。在一般情況下(例外情況下面講)，只有有行政處罰權的行政機關才能實施行政處罰;而且要在法定的範圍內實施。首先，實施行政處罰的行政機關要具有行政處罰權，這項職權是國家賦予的，有行政處罰權的行政機關是國家法律或行政法規規定的，這些行政機關具有與其管理對象相適應的行政處罰權。其次，行政處罰要在行政機關的法定職權範圍內實施，不同的行政機關有不同的職權範圍。
