Malaysiya Electronic Signatures: ECA, DSA at PDPA

Ang PDPA ng Malaysia ay nangangailangan ng pahintulot para sa pagkolekta, paggamit, at paglabas ng personal data. Ang mga platform ng pag-sign ay dapat makuha ang pahintulot mula sa mga signatory bago magproseso ng kanilang personal data (pangalan, email, IP, data ng pag-verify ng identity).

Ang PDPA ay hindi malinaw na nangangailangan ng lokal na pag-iimbak ng data, ngunit ito ay nangangailangan ng makatuwirang pangangalaga para sa paglilipat ng data sa ibang bansa. Ang mga entidad na konektado sa pamahalaan at ang pinagsubaybayang industriya ay maaaring ipataw ang mga pangangailangan ng lokal na pag-iimbak ng data sa pamamagitan ng sektor-tanging regulasyon.

Ang PDPA ay nagbabawal sa pag-iimbak ng personal data sa panahon na kailangan para sa ipinangalang layunin. Ang mga kontrata ng trabaho at ang pinagbabawalang mga papeles ay may magkahiwalay na panahon ng pag-iimbak na hahalili sa pangkalahatang prinsipyo ng PDPA.

Ang PDPA ng Malaysia ay binago noong 2024 upang pagpapatibayin ang mga hinihingi ng pagbabalita sa pagkabagabag ng data, palakasin ang mga karapatan ng subject ng data, at klarihin ang mga alituntunin ng paglilipat ng data sa ibang bansa. Dapat suriin ng mga platform ng pagpapatpisang pangkat ang kanilang posisyon sa pagtugon sa binagong probisyon.

Seksyon 6 ng Electronic Commerce Act 2006 ay nagsasabing ang hinihingi ng pagpapatpis sa anumang batas ay natutugunan kung ang elektronikong pagpapatpis ay tulad ng mapapakinabangan para sa layunin. Ang teknolohiya na walang pinagkakasalungat na pamamaraan ay nangangahulugan na ang karamihan sa mga komersyal na elektronikong pagpapatpis ay may bisa.

Seksyon 7 ay naglalahad ng mga dahilan para sa pagtassasyon ng katiyakan: ang paraan ay nagkakabit sa signatory, ang signatory ay may nag-iisang kontrol, ang alinmang pagbabago ay madetectable, at ang paraan ay mapapakinabangan para sa layunin at kumplikasyon ng transaksyon.

Seksyon 4 ng Digital Signature Act 1997 ay nagsasabing ang digital na pagpapatpis na ginawa gamit ang sertipiko mula sa lisensyadong CA ay sumasakatuparan sa anumang hinihingi ng legal na pagpapatpis. Ito ay gumawa ng legal na paghahalata ng katotohanan na mahirap na mapaganti.

Seksyon 22 ay nangangailangan na ang CAs ay lisensyado ng Malaysian Communications and Multimedia Commission (MCMC). Ang lisensyadong CAs ay kasama ang Digicert (M) Sdn Bhd. Ang lisensya ay sumasaklaw ng paglikha ng susi, paglilisensya ng sertipiko, pamamahala ng pagbubuwag, at mga obligasyon ng pag-audit.

Ang mga alituntunin ng Bank Negara Malaysia sa elektronikong transaksyon ay nangangailangan na ang mga bangko ay gumamit ng malakas na pagpapatunay ng kliyente. Ang DSA digital signature o katulad ay inaasahan para sa mataas na halaga ng transaksyong pang-bank. Ang pagpapasok ng kliyente ay dapat sumunod sa mga hinihingi ng AML/CFC ng BNM.

Ang elektronikong kontrata ng trabaho ay may bisa sa ilalim ng ECA. Ang Industrial Court ay tinanggap ang elektronikong pagpapatpis sa mga alitan ng trabaho. Ang mga pangkat ng HR ay dapat mapanatili ang kumpletong trail ng pag-audit kasama ang mga oras at mga rekord ng identity ng signatory.

Ang pamprosesong e-procurement ng pamahalaan sa pamamagitan ng ePerolehan ay nangangailangan ng partikular na uri ng sertipiko ng digital. Ang mga kontraktista ay dapat magparehistro sa lisensyadong CA ng MCMC. Ang Ministry of Finance ay nagpalabas ng sirkulasyon na tinatanggap ang elektronikong pagpapatpis para sa karamihan ng mga yugto ng kontrata ng pamahalaan.

Para sa karamihan sa mga komersyal na dokumento, sapat ang ECA electronic signatures. Para sa mga dokumento na nangangailangan ng tanda o pampirmang pampapag-ulat sa ilalim ng batas ng Malaysiya (paglipat ng lupa, ilang pampapag-ulat na batas), gamitin ang DSA digital signatures na may sertipiko na inilabas ng CA.

Ang personal data na nakolekta sa panahon ng pagpirmahan (pangalan, email, IP address, data ng pagpapatunay ng pagkakakilanlan) ay sumasailalim sa PDPA. I-imbak ang datos ng pagpirmahan sa server na matatagpuan sa Malaysiya o sa mga bansa na inaprubahan ng Komisyoner ng PDPA. Makuha ang pahintulot para sa pagproseso ng data bilang bahagi ng fluw ayon sa pagpirmahan.

Ang Kagawaran ng Pambansang Pagtatalaga (JPN) ay nagbibigay ng pagpapatunay ng pagkakakilanlan na MyKad. Ang mga platform ng pagpirmahan na nakakasama sa JPN ay maaaring magbigay ng pagpapatunay ng pagkakakilanlan na nakabase sa MyKad — ang gintong pamantayan para sa pagpapatunay ng pagkakakilanlan ng tagapirmahan sa Malaysiya.

Ang Malaysiya ay kasignatoryo ng ASEAN Digital Framework Agreement. Ang elektronikong pagpirmahan ng Malaysiya ay dapat ay kinikilala sa ibang estado ng ASEAN na nagpatupad ng ASEAN Model Electronic Commerce Act. Gayunpaman, ang praktikal na pagpapatupad sa ibang bansa ay patuloy na nagpapaunlad.

eSign.AI ay sumusuporta sa pag-verify ng pagkakakilanlan na nakabase sa MyKad sa pamamagitan ng pagkakasama sa JPN. Maaaring verify ang kanilang pagkakakilanlan ng mga tagapirmahan ng Malaysiya sa pamamagitan ng pagtangkang MyKad sa isang NFC reader o gamit ang reader ng chip ng MyKad — ang gintong pamantayan para sa pagpapatunay ng pagkakakilanlan ng Malaysiya. Ito ay sumusunod sa kinakailangan ng DSA para sa CA-verified identity.

Nagkakasama ang eSign.AI sa Post-lined CA (isang CA na may lisensya ng MyCERT sa ilalim ng DSA) upang magbigay ng DSA-compliant digital signatures para sa mga dokumento na nangangailangan ng pampublikong antas ng pagpirmahan. Ang tagapirmahan ay nangangailangan ng isang beses lamang na pagrehistro; ang mga susunod na pagpirmahan ay ginagamit sa loob ng flow ng eSign.AI.

Ang pagpapatanggap ng datos (pangalan, NRIC, IP address, mga rekord ng pag-verify ng pagkakakilanlan) ay ginagawa ayon sa PDPA. Nagbibigay ang eSign.AI ng mga notice ng pagproseso ng datos, kumukuha ng pahintulot bilang bahagi ng flow ng pagpirmahan, at nag-aalok ng Malaysian data residency para sa mga organisasyon na nagnanais ng lokal na imbakan.

Maaaring gamitin ng mga negosyo ng Malaysiya na nagpatakbo sa buong ASEAN ang eSign.AI upang ipagpadala ng mga envelope sa mga tagapirmahan sa Singapore, Indonesia, Vietnam, at Thailand — ang bawat tagapirmahan ay nagpapatunay gamit ang kanilang lokal na eID. Ang lahat ng mga pagpirmahan ay nakakatagpo sa isang envelope na may pinagsamang audit trail.