Malaysia Elektronische Signaturen: ECA, DSA und PDPA

Malaysias PDPA erfordert Zustimmung zur Sammlung, Verwendung und Offenlegung personenbezogener Daten. Unterschriftsplattformen müssen Zustimmung von Unterschriftengebern erhalten, bevor ihre personenbezogenen Daten (Name, E-Mail, IP, Identitätsverifizierungsdaten) verarbeitet werden.

Die PDPA schreibt keine lokale Datenspeicherung ausdrücklich vor, aber sie erfordert angemessene Sicherungen für grenzüberschreitende Übertragungen. Government-linked entities und regulierte Branchen können lokale Speicheranforderungen durch sektorspezifische Vorschriften auferlegen.

Die PDPA begrenzt die Aufbewahrung persönlicher Daten auf die für den angegebenen Zweck notwendige Dauer. Arbeitsverträge und regulierte Einreichungen haben separate gesetzliche Aufbewahrungsfristen, die die allgemeinen Prinzipien der PDPA außer Kraft setzen.

Die PDPA Malaysias wurde 2024 geändert, um die Anforderungen an die Benachrichtigung über Datenverletzungen zu stärken, die Rechte der Datenbetroffenen zu erweitern und die Regeln für grenzüberschreitende Übertragungen zu klären. Plattformen für die Unterschrift sollten ihre Konformitätsposition im Vergleich zu den geänderten Bestimmungen überprüfen.

Abschnitt 6 des Electronic Commerce Act 2006 besagt, dass eine Unterschriftsverpflichtung unter jedem Gesetz erfüllt ist, wenn die elektronische Unterschrift so zuverlässig ist, wie es für den Zweck erforderlich ist. Dieser technologieneutrale Ansatz bedeutet, dass die meisten kommerziellen elektronischen Unterschriften gültig sind.

Abschnitt 7 gibt Kriterien für die Bewertung der Zuverlässigkeit vor: die Methode verknüpft die Unterschrift mit dem Unterzeichner, der Unterzeichner hat alleinigen Zugriff, jede Änderung ist erkennbar und die Methode ist angemessen für den Zweck und die Komplexität der Transaktion.

Abschnitt 4 des Digital Signature Act 1997 besagt, dass eine digitale Unterschrift, die mit einem Zertifikat eines lizenzierten CA erstellt wird, jede rechtliche Unterschriftsverpflichtung erfüllt. Dies schafft eine rechtliche Vermutung der Echtheit, die schwer widerlegt werden kann.

Abschnitt 22 verlangt von CAs, dass sie von der Malaysian Communications and Multimedia Commission (MCMC) lizenziert werden. Lizenzierte CAs umfassen Digicert (M) Sdn Bhd. Die Lizenz umfasst Schlüsselerstellung, Zertifikatserstellung, Widerrufsmanagement und Auditpflichten.

Die Leitlinien von Bank Negara Malaysia zu elektronischen Transaktionen verlangen, dass Banken starke Kundenauthentifizierung verwenden. DSA-Digitalunterschriften oder Äquivalente werden für hochwertige Banktransaktionen erwartet. Der Kundeneintrag muss den AML/CFC-Anforderungen der BNM entsprechen.

Elektronische Arbeitsverträge sind unter dem ECA gültig. Der Industrial Court hat elektronische Unterschriften in Arbeitsstreitigkeiten akzeptiert. HR-Teams sollten vollständige Audit Trails mit Zeitstempeln und Unterzeichneridentitätsdaten führen.

Die staatliche e-Procurement über ePerolehan erfordert spezifische Arten digitaler Zertifikate. Auftragnehmer müssen sich bei lizenzierten CAs der MCMC registrieren. Das Finanzministerium hat Rundschreiben herausgegeben, die elektronische Unterschriften für die meisten Stufen staatlicher Verträge akzeptieren.

Für die meisten kommerziellen Dokumente sind ECA-elektronische Unterschriften ausreichend. Für Dokumente, die nach malaysischem Recht eine Siegel oder eine handschriftliche Unterschrift erfordern (Grundstücksübertragungen, bestimmte gesetzliche Erklärungen), verwenden Sie DSA-digitale Unterschriften mit einem von einer CA ausgestellten Zertifikat.

Persönliche Daten, die während der Unterschrift gesammelt werden (Name, E-Mail, IP-Adresse, Identitätsverifizierungsdaten), unterliegen der PDPA. Speichern Sie Unterschriften-Daten auf Servern, die sich in Malaysia oder in Ländern befinden, die vom PDPA-Kommissar genehmigt wurden. Erhalten Sie Einwilligung für Datenverarbeitung als Teil des Unterschriftenflusses.

Das Ministerium für die nationale Registrierung (JPN) bietet die Identitätsverifizierung mit MyKad. Unterschriftenplattformen, die mit JPN integriert sind, können MyKad-basierte Identitätsverifizierung anbieten — das Goldstandard für die Authentifizierung von malaysischen Unterschriftern.

Malaysia ist Unterzeichner des ASEAN-Digital Framework Agreement. Malaiische elektronische Unterschriften sollten in anderen ASEAN-Mitgliedstaaten anerkannt werden, die das ASEAN-Modell für elektronischen Geschäftsverkehr umgesetzt haben. Allerdings entwickelt sich die praktische grenzüberschreitende Durchsetzung noch.

eSign.AI unterstützt die Identitätsverifizierung basierend auf MyKad durch JPN-Integration. Malaiische Unterzeichner können ihre Identität bestätigen, indem sie ihren MyKad an einem NFC-Leser berühren oder den MyKad-Chip-Leser verwenden – das Goldstandard für die Identitätsbestätigung in Malaysia. Dies erfüllt die Anforderungen der DSA für CA-geprüfte Identität.

eSign.AI arbeitet mit Post-lined CA (einem unter der DSA lizenzierten MyCERT-CA) zusammen, um DSA-konforme digitale Signaturen für Dokumente anzubieten, die eine gesetzliche Unterschrift erfordern. Der Unterzeichner durchläuft eine Einmalregistrierung; nachfolgende Unterschriften werden im eSign.AI-Flow angewendet.

Unterschriftdaten (Name, NRIC, IP-Adresse, Identitätsverifizierungsprotokolle) werden im Einklang mit der PDPA behandelt. eSign.AI stellt Datenverarbeitungsbenachrichtigungen bereit, erhält Einwilligung als Teil des Unterschriftenflusses und bietet Malaysische Datenresidenz für Organisationen, die lokale Speicherung bevorzugen.

Malaiische Unternehmen, die in der ASEAN tätig sind, können eSign.AI verwenden, um Umschläge an Unterzeichner in Singapur, Indonesien, Vietnam und Thailand zu senden – jeder Unterzeichner authentifiziert sich mit seinem lokalen eID. Alle Unterschriften werden in einem Umschlag mit einem einheitlichen Audit-Trail erfasst.