Firma digitale in Malesia: ECA, DSA e PDPA

La PDPA del Malaysia richiede il consenso per la raccolta, l'uso e la divulgazione dei dati personali. Le piattaforme di firma devono ottenere il consenso dai firmatari prima di elaborare i loro dati personali (nome, email, IP, dati di verifica dell'identità).

La PDPA non impone esplicitamente lo stoccaggio locale dei dati, ma richiede misure ragionevoli di sicurezza per i trasferimenti transfrontalieri. Le entità collegate al governo e le industrie regolamentate possono imporre requisiti di stoccaggio locale attraverso regolamenti settoriali specifici.

La PDPA limita la conservazione dei dati personali al periodo necessario per lo scopo dichiarato. I contratti di lavoro e le presentazioni regolate hanno periodi di conservazione statutari separati che prevalgono sui principi generali della PDPA.

La PDPA malese è stata modificata nel 2024 per rafforzare i requisiti di notifica delle violazioni dei dati, espandere i diritti degli interessati e chiarire le regole di trasferimento transfrontaliero. Le piattaforme di firma devono revisionare la loro posizione di conformità rispetto alle disposizioni modificate.

La sezione 6 della legge sul commercio elettronico 2006 stabilisce che un requisito di firma sotto qualsiasi legge è soddisfatto se la firma elettronica è quanto meno affidabile per lo scopo. Questo approccio tecnologicamente neutrale significa che la maggior parte delle firme elettroniche commerciali è valida.

La sezione 7 elenca i fattori per valutare l'affidabilità: il metodo collega la firma al firmatario, il firmatario ha controllo esclusivo, qualsiasi alterazione è detectabile e il metodo è appropriato per lo scopo e la complessità della transazione.

La sezione 4 della legge sulla firma digitale 1997 stabilisce che una firma digitale creata utilizzando un certificato da una CA licenziata soddisfa qualsiasi requisito di firma legale. Questo crea una presunzione legale di autenticità che è difficile da confutare.

La sezione 22 richiede che le CA siano licenziate dalla Commissione delle Comunicazioni e dei Media malese (MCMC). Le CA licenziate includono Digicert (M) Sdn Bhd. La licenza copre la generazione di chiavi, l'emissione di certificati, la gestione della revoca e gli obblighi di audit.

Le linee guida di Bank Negara Malaysia sulle transazioni elettroniche richiedono alle banche di utilizzare l'autenticazione forte del cliente. Le firme digitali DSA o equivalenti sono attese per le transazioni bancarie ad alto valore. L'ammissione dei clienti deve conformarsi ai requisiti AML/CFC di BNM.

I contratti di lavoro elettronici sono validi secondo l'ECA. La Corte Industriale ha accettato le firme elettroniche nelle controversie di lavoro. Le squadre HR devono mantenere tracce di audit complete inclusi i timestamp e i record dell'identità del firmatario.

L'e-procurement governativo attraverso ePerolehan richiede tipi specifici di certificato digitale. I contraenti devono registrarsi con le CA licenziate dalla MCMC. Il Ministero delle Finanze ha emesso circolari che accettano le firme elettroniche per la maggior parte delle fasi dei contratti governativi.

Per la maggior parte dei documenti commerciali, le firme elettroniche ECA sono sufficienti. Per i documenti che richiedono una sigillo o una firma a mano secondo la legge malese (trasferimenti di terra, determinate dichiarazioni statutarie), utilizzare firme digitali DSA con certificato emesso da una CA.

I dati personali raccolti durante la firma (nome, email, indirizzo IP, dati di verifica dell'identità) sono soggetti alla PDPA. Archiviare i dati di firma sui server situati in Malesia o in paesi approvati dal Commissario della PDPA. Ottenere il consenso per il trattamento dei dati come parte del flusso di firma.

Il Dipartimento della Registrazione Nazionale (JPN) fornisce la verifica dell'identità MyKad. Le piattaforme di firma che si integrano con JPN possono offrire la verifica dell'identità basata su MyKad — lo standard d'oro per l'autenticazione dei firmatari malese.

Malesia è firmataria dell'Accordo di Quadro Digitale ASEAN. Le firme elettroniche malese devono essere riconosciute negli altri stati membri dell'ASEAN che hanno implementato l'Atto Modello di Commercio Elettronico ASEAN. Tuttavia, l'applicazione pratica transfrontaliera è ancora in evoluzione.

eSign.AI supporta la verifica dell'identità basata su MyKad attraverso l'integrazione JPN. I firmatari malasiani possono verificare la loro identità toccando il loro MyKad su un lettore NFC o utilizzando il lettore di chip MyKad — lo standard d'oro per la prova dell'identità malaysiana. Questo soddisfa i requisiti DSA per l'identità verificata dalla CA.

eSign.AI si asocia con Post-lined CA (una CA autorizzata MyCERT sotto il DSA) per offrire firme digitali conformi al DSA per documenti che richiedono firme a livello legislativo. Il firmatario deve effettuare una registrazione una tantum; le firme successive vengono applicate all'interno del flusso eSign.AI.

I dati di firma (nome, NRIC, indirizzo IP, record di verifica dell'identità) sono gestiti in conformità con la PDPA. eSign.AI fornisce avvisi di elaborazione dei dati, ottiene il consenso come parte del flusso di firma e offre la residenza dei dati malaysiana per le organizzazioni che preferiscono lo stoccaggio locale.

Le imprese malaysiane operanti nell'area ASEAN possono utilizzare eSign.AI per inviare buste ai firmatari a Singapore, Indonesia, Vietnam e Thailandia — ogni firmatario si autentica con la loro eID locale. Tutte le firme vengono catturate in una busta con un tracciato di audit unificato.