Firmas electrónicas en Malasia: ECA, DSA y PDPA

La PDPA de Malasia requiere consentimiento para la recopilación, el uso y la divulgación de datos personales. Las plataformas de firma deben obtener el consentimiento de los firmantes antes de procesar sus datos personales (nombre, correo electrónico, IP, datos de verificación de identidad).

La PDPA no manda explícitamente el almacenamiento de datos locales, pero requiere salvaguardas razonables para las transferencias transfronterizas. Las entidades vinculadas al gobierno y las industrias reguladas pueden imponer requisitos de almacenamiento local a través de regulaciones específicas del sector.

La PDPA limita la retención de datos personales al período necesario para el propósito declarado. Los contratos de empleo y los archivos reglamentados tienen períodos de retención estatutarios separados que se imponen a los principios generales de la PDPA.

La PDPA de Malasia fue modificada en 2024 para fortalecer los requisitos de notificación de violaciones de datos, ampliar los derechos de los sujetos de datos y aclarar las reglas de transferencias transfronterizas. Las plataformas de firma deben revisar su postura de cumplimiento en contra de las disposiciones modificadas.

El artículo 6 de la Ley de Comercio Electrónico de 2006 establece que se cumple con el requisito de firma bajo cualquier ley si la firma electrónica es tan confiable como sea apropiado para el propósito. Este enfoque tecnológicamente neutral significa que la mayoría de las firmas electrónicas comerciales son válidas.

El artículo 7 establece factores para evaluar la confiabilidad: el método vincula la firma al firmante, el firmante tiene control exclusivo, cualquier alteración es detectable y el método es apropiado para el propósito y complejidad de la transacción.

El artículo 4 de la Ley de Firma Digital de 1997 establece que una firma digital creada utilizando un certificado de una CA licenciada satisface cualquier requisito legal de firma. Esto crea una presunción legal de autenticidad que es difícil de rebatir.

El artículo 22 requiere que las CAs sean licenciadas por la Comisión de Comunicaciones y Medios de Malasia (MCMC). Las CAs licenciadas incluyen Digicert (M) Sdn Bhd. La licencia cubre la generación de claves, la emisión de certificados, la gestión de revocación y las obligaciones de auditoría.

Las directrices de Bank Negara Malaysia sobre transacciones electrónicas requieren que los bancos utilicen autenticación de cliente fuerte. Se esperan firmas digitales DSA o equivalentes para transacciones bancarias de alto valor. La incorporación de clientes debe cumplir con los requisitos de AML/CFC de BNM.

Los contratos de empleo electrónicos son válidos bajo la ECA. El Tribunal Industrial ha aceptado firmas electrónicas en disputas laborales. Los equipos de RRHH deben mantener rastros de auditoría completos, incluyendo marcas de tiempo y registros de identidad de firmantes.

La adquisición electrónica del gobierno a través de ePerolehan requiere tipos específicos de certificados digitales. Los contratistas deben registrarse con CAs licenciadas por el MCMC. El Ministerio de Hacienda ha emitido circulares aceptando firmas electrónicas para la mayoría de las etapas de contratos gubernamentales.

Para la mayoría de los documentos comerciales, las firmas electrónicas ECA son suficientes. Para documentos que requieren un sello o firma manuscrita según la ley malaya (transferencias de tierras, ciertas declaraciones estatutarias), utilice firmas digitales DSA con certificado emitido por una CA.

Los datos personales recopilados durante la firma (nombre, correo electrónico, dirección IP, datos de verificación de identidad) están sujetos a la PDPA. Almacene los datos de firma en servidores ubicados en Malasia o en países aprobados por el Comisionado de la PDPA. Obtenga el consentimiento para el procesamiento de datos como parte del flujo de firma.

El Departamento de Registro Nacional (JPN) proporciona verificación de identidad con MyKad. Las plataformas de firma que se integran con JPN pueden ofrecer verificación de identidad basada en MyKad, el estándar de oro para la autenticación de firmantes malayos.

Malasia es signataria del Acuerdo Marco Digital de la ASEAN. Las firmas electrónicas malayasas deben ser reconocidas en otros estados miembros de la ASEAN que hayan implementado la Ley Modelo de Comercio Electrónico de la ASEAN. Sin embargo, la aplicación práctica transfronteriza sigue evolucionando.

eSign.AI admite la verificación de identidad basada en MyKad a través de la integración JPN. Los firmantes malasios pueden verificar su identidad tocando su MyKad en un lector NFC o utilizando el lector de chip MyKad — el estándar de oro para la prueba de identidad malaya. Esto cumple con el requisito DSA para identidad verificada por CA.

eSign.AI se asocia con Post-lined CA (una CA con licencia de MyCERT bajo el DSA) para ofrecer firmas digitales compatibles con el DSA para documentos que requieren firmas a nivel estatutario. El firmante realiza un registro único; las firmas posteriores se aplican dentro del flujo de eSign.AI.

Los datos de firma (nombre, NRIC, dirección IP, registros de verificación de identidad) se manejan de acuerdo con la PDPA. eSign.AI proporciona avisos de procesamiento de datos, obtiene consentimiento como parte del flujo de firma y ofrece residencia de datos malaya para organizaciones que prefieren el almacenamiento local.

Las empresas malayasias operando en la ASEAN pueden utilizar eSign.AI para enviar sobres a firmantes en Singapur, Indonesia, Vietnam y Tailandia — cada firmante se autentica con su eID local. Todas las firmas se capturan en un solo sobre con un rastro de auditoría unificado.