不合法，在一个法治社会，不是每个人都有罚款权的。

根据法律规定，行政处罚的实施机关包括行政主管机关、法律法规授权的组织和行政机关委托的组织。而商家作为营利性经济组织，不具有行政处罚权，即没有对外罚款权。可见，商家自行制定的“偷一罚十”并无合法依据。

【法律依据】

《行政处罚法》第十五条，行政处罚由具有行政处罚权的行政机关在法定职权范围内实施。