Signatures électroniques malaisiennes : ECA, DSA et PDPA

La PDPA de Malaisie nécessite le consentement pour la collecte, l'utilisation et la divulgation des données personnelles. Les plateformes de signature doivent obtenir le consentement des signataires avant de traiter leurs données personnelles (nom, email, IP, données de vérification d'identité).

La PDPA ne mandate pas explicitement le stockage local des données, mais elle nécessite des garanties raisonnables pour les transferts transfrontaliers. Les entités liées au gouvernement et les industries réglementées peuvent imposer des exigences de stockage local par des réglementations spécifiques au secteur.

La PDPA limite la conservation des données personnelles à la période nécessaire pour le but déclaré. Les contrats de travail et les dépôts réglementés ont des périodes de conservation statutaires distinctes qui prévalent sur les principes généraux de la PDPA.

La PDPA malaisienne a été modifiée en 2024 pour renforcer les exigences de notification des violations de données, élargir les droits des personnes concernées et clarifier les règles de transfert transfrontalier. Les plateformes de signature doivent réviser leur position de conformité par rapport aux dispositions modifiées.

L'article 6 de la loi sur le commerce électronique de 2006 stipule que la nécessité d'une signature sous toute loi est satisfaite si la signature électronique est aussi fiable que nécessaire pour le but. Cette approche technologiquement neutre signifie que la plupart des signatures électroniques commerciales sont valides.

L'article 7 énonce les facteurs pour évaluer la fiabilité : la méthode lie la signature au signataire, le signataire a un contrôle exclusif, toute modification est détectable et la méthode est appropriée pour le but et la complexité de la transaction.

L'article 4 de la loi sur la signature numérique de 1997 stipule que la signature numérique créée à l'aide d'un certificat d'une CA agréée satisfait toute exigence légale de signature. Cela crée une présomption juridique d'authenticité difficile à réfuter.

L'article 22 exige que les CAs soient agréées par la Commission des communications et des médias de Malaisie (MCMC). Les CAs agréées incluent Digicert (M) Sdn Bhd. La licence couvre la génération de clés, l'émission de certificats, la gestion de révocation et les obligations d'audit.

Les directives de Bank Negara Malaysia sur les transactions électroniques exigent que les banques utilisent une authentification forte du client. Des signatures numériques DSA ou équivalentes sont attendues pour les transactions bancaires à valeur élevée. L'adhésion des clients doit être conforme aux exigences AML/CFC du BNM.

Les contrats de travail électroniques sont valides en vertu de la LCE. La Cour industrielle a accepté les signatures électroniques dans les litiges relatifs à l'emploi. Les équipes RH doivent maintenir des traces d'audit complètes, y compris les horodatages et les enregistrements d'identité des signataires.

L'achat public électronique via ePerolehan nécessite des types de certificats numériques spécifiques. Les entrepreneurs doivent s'enregistrer auprès des CAs agréés par le MCMC. Le ministère des Finances a publié des circulaires acceptant les signatures électroniques pour la plupart des étapes des contrats publics.

Pour la plupart des documents commerciaux, les signatures électroniques ECA sont suffisantes. Pour les documents nécessitant une sceau ou une signature manuscrite selon la législation malaisienne (transferts de terrain, certaines déclarations statutaires), utilisez des signatures numériques DSA avec un certificat délivré par une CA.

Les données personnelles collectées pendant la signature (nom, adresse e-mail, adresse IP, données de vérification d'identité) sont soumises à la PDPA. Stockez les données de signature sur des serveurs situés en Malaisie ou dans des pays approuvés par le commissaire de la PDPA. Obtenez le consentement pour le traitement des données dans le cadre du flux de signature.

Le Département de l'Enregistrement National (JPN) fournit la vérification d'identité MyKad. Les plateformes de signature qui intègrent JPN peuvent offrir une vérification d'identité basée sur MyKad — le standard d'or pour l'authentification des signataires malaisiens.

La Malaisie est signataire de l'Accord-cadre numérique de l'ASEAN. Les signatures électroniques malaisiennes devraient être reconnues dans les autres États membres de l'ASEAN ayant mis en œuvre la Loi modèle de commerce électronique de l'ASEAN. Cependant, l'application pratique transfrontalière est encore en évolution.

eSign.AI prend en charge la vérification d'identité basée sur MyKad via une intégration JPN. Les signataires malaisiens peuvent vérifier leur identité en tapotant leur MyKad sur un lecteur NFC ou en utilisant le lecteur de puce MyKad — le standard d'or pour la preuve d'identité malaisienne. Cela répond aux exigences de la DSA pour une identification vérifiée par une CA.

eSign.AI collabore avec Post-lined CA (une CA sous licence MyCERT dans le cadre de la DSA) pour offrir des signatures numériques conformes à la DSA pour les documents nécessitant des signatures de niveau juridique. Le signataire souscrit à une inscription unique ; les signatures suivantes sont appliquées dans le flux eSign.AI.

Les données de signature (nom, NRIC, adresse IP, enregistrements de vérification d'identité) sont gérées conformément à la PDPA. eSign.AI fournit des avis de traitement des données, obtient le consentement dans le cadre du flux de signature et offre la résidence des données malaisienne pour les organisations préférant le stockage local.

Les entreprises malaisiennes opérant dans la région ASEAN peuvent utiliser eSign.AI pour envoyer des enveloppes à des signataires en Singapour, en Indonésie, au Vietnam et en Thaïlande — chaque signataire s'authentifie avec son eID locale. Toutes les signatures sont capturées dans une seule enveloppe avec un journal d'audit unifié.