不合法，在一个法治社会，不是每个人都有罚款权的。

根据法律规定，行政处罚的实施机关包括行政主管机关、法律法规授权的组织和行政机关委托的组织。而商家作为营利性经济组织，不具有行政处罚权，即没有对外罚款权。可见，商家自行制定的“偷一罚十”并无合法依据。

法律依据：

第十五条【实施行政处罚的主体要求】行政处罚由具有行政处罚权的行政机关在法定职权范围内实施。

【释义】：本条是对实施行政处罚主体要求的一般规定。在一般情况下(例外情况下面讲)，只有有行政处罚权的行政机关才能实施行政处罚;而且要在法定的范围内实施。首先，实施行政处罚的行政机关要具有行政处罚权，这项职权是国家赋予的，有行政处罚权的行政机关是国家法律或行政法规规定的，这些行政机关具有与其管理对象相适应的行政处罚权。其次，行政处罚要在行政机关的法定职权范围内实施，不同的行政机关有不同的职权范围。