Assinaturas eletrônicas na Malásia: ECA, DSA e PDPA

A PDPA da Malásia requer consentimento para coletar, usar e divulgar dados pessoais. As plataformas de assinatura eletrônica devem obter consentimento dos signatários antes de processar seus dados pessoais (nome, e-mail, IP, dados de verificação de identidade).

A PDPA não manda explicitamente o armazenamento de dados locais, mas requer salvaguardas razoáveis para transferências interestaduais. Entidades ligadas ao governo e indústrias regulamentadas podem impor requisitos de armazenamento local através de regulamentações específicas do setor.

A PDPA limita a retenção de dados pessoais ao período necessário para a finalidade declarada. Contratos de emprego e comunicações regulamentadas têm períodos de retenção estatutários separados que prevalecem sobre os princípios gerais da PDPA.

A PDPA da Malásia foi alterada em 2024 para fortalecer os requisitos de notificação de violação de dados, expandir os direitos dos sujeitos dos dados e esclarecer as regras de transferência transfronteiriça. As plataformas de assinatura devem revisar sua postura de conformidade em relação às disposições alteradas.

O artigo 6º da Lei de Comércio Eletrônico de 2006 estabelece que a exigência de assinatura sob qualquer lei é atendida se a assinatura eletrônica for tão confiável quanto apropriado para a finalidade. Essa abordagem tecnologicamente neutra significa que a maioria das assinaturas eletrônicas comerciais é válida.

O artigo 7º estabelece fatores para avaliar a confiabilidade: o método liga a assinatura ao assinante, o assinante tem controle exclusivo, qualquer alteração é detectável e o método é apropriado para a finalidade e complexidade da transação.

O artigo 4º da Lei de Assinatura Digital de 1997 estabelece que uma assinatura digital criada usando um certificado de uma CA licenciada satisfaz qualquer exigência legal de assinatura. Isso cria uma presunção legal de autenticidade que é difícil de refutar.

O artigo 22 requer que as CAs sejam licenciadas pela Comissão de Comunicações e Multimídia da Malásia (MCMC). As CAs licenciadas incluem a Digicert (M) Sdn Bhd. A licença cobre geração de chaves, emissão de certificados, gestão de revogação e obrigações de auditoria.

As diretrizes do Banco Negara da Malásia sobre transações eletrônicas exigem que os bancos usem autenticação forte do cliente. Assinaturas digitais DSA ou equivalentes são esperadas para transações bancárias de alto valor. O onboarding de clientes deve cumprir os requisitos de AML/CFC do BNM.

Contratos de emprego eletrônicos são válidos sob a ECA. O Tribunal Industrial aceitou assinaturas eletrônicas em disputas de emprego. As equipes de RH devem manter trilhas de auditoria completas incluindo marcas de tempo e registros de identidade do assinante.

A aquisição governamental eletrônica através de ePerolehan requer tipos específicos de certificados digitais. Os contratados devem se registrar com CAs licenciadas pela MCMC. O Ministério das Finanças emitiu circulares aceitando assinaturas eletrônicas para a maioria das etapas de contratos governamentais.

Para a maioria dos documentos comerciais, assinaturas eletrônicas ECA são suficientes. Para documentos que exigem selo ou assinatura manuscrita sob a lei malásia (transfers de terra, certas declarações estatutárias), use assinaturas digitais DSA com certificado emitido por uma CA.

Dados pessoais coletados durante a assinatura (nome, e-mail, endereço IP, dados de verificação de identidade) estão sujeitos à PDPA. Armazene dados de assinatura em servidores localizados na Malásia ou em países aprovados pelo Comissário da PDPA. Obtenha consentimento para processamento de dados como parte do fluxo de assinatura.

O Departamento de Registro Nacional (JPN) fornece verificação de identidade MyKad. Plataformas de assinatura que se integram com o JPN podem oferecer verificação de identidade baseada em MyKad — o padrão ouro para autenticação de assinantes malaios.

A Malásia é signatária do Acordo de Quadro Digital da ASEAN. Assinaturas eletrônicas malásias devem ser reconhecidas em outros estados membros da ASEAN que implementaram o Acordo de Comércio Eletrônico Modelo da ASEAN. No entanto, a aplicação prática transfronteiriça ainda está em evolução.

A eSign.AI suporta a verificação de identidade baseada em MyKad através da integração JPN. Os signatários malaios podem verificar sua identidade tocando seu MyKad em um leitor NFC ou usando o leitor de chip MyKad — o padrão ouro para prova de identidade malaios. Isso atende ao requisito DSA para identidade verificada pela CA.

A eSign.AI parceira com Post-lined CA (uma CA licenciada pela MyCERT sob o DSA) para oferecer assinaturas digitais compatíveis com o DSA para documentos que exigem assinaturas de nível estatutário. O signatário realiza um registro único; as assinaturas subsequentes são aplicadas dentro do fluxo eSign.AI.

Os dados de assinatura (nome, NRIC, endereço IP, registros de verificação de identidade) são tratados em conformidade com a PDPA. A eSign.AI fornece avisos de processamento de dados, obtém consentimento como parte do fluxo de assinatura e oferece residência de dados malaios para organizações que preferem armazenamento local.

Empresas malaias operando na ASEAN podem usar a eSign.AI para enviar envelopes para signatários em Singapura, Indonésia, Vietnã e Tailândia — cada signatário autentica-se com seu eID local. Todas as assinaturas são capturadas em um envelope com um rastreamento de auditoria unificado.