Chữ ký số điện tử Malaysia: ECA, DSA và PDPA

Luật PDPA của Malaysia yêu cầu sự đồng ý cho việc thu thập, sử dụng và tiết lộ dữ liệu cá nhân. Các nền tảng ký tên phải nhận được sự đồng ý từ người ký trước khi xử lý dữ liệu cá nhân của họ (tên, email, IP, dữ liệu xác thực danh tính).

Luật PDPA không yêu cầu cụ thể lưu trữ dữ liệu địa phương, nhưng nó yêu cầu các biện pháp bảo vệ hợp lý cho việc chuyển dữ liệu biên giới. Các tổ chức liên kết với chính phủ và ngành công nghiệp được quản lý có thể áp đặt yêu cầu lưu trữ địa phương thông qua các quy định cụ thể của ngành.

PDPA hạn chế việc lưu trữ dữ liệu cá nhân trong thời gian cần thiết cho mục đích đã nêu. Hợp đồng lao động và các tài liệu đăng ký được quy định có thời gian lưu trữ pháp lý riêng biệt, vượt qua các nguyên tắc chung của PDPA.

Luật PDPA của Malaysia đã được sửa đổi vào năm 2024 để tăng cường các yêu cầu thông báo về vi phạm dữ liệu, mở rộng quyền lợi của chủ thể dữ liệu và làm rõ các quy định về chuyển giao dữ liệu xuyên biên giới. Các nền tảng ký tên nên xem xét lại vị trí tuân thủ của họ đối với các quy định đã được sửa đổi.

Điểm 6 của Luật Thương mại Điện tử 2006 quy định rằng yêu cầu ký tên dưới bất kỳ luật nào được đáp ứng nếu chữ ký điện tử là đáng tin cậy như cần thiết cho mục đích. Cách tiếp cận không sử dụng công nghệ này có nghĩa là hầu hết các chữ ký điện tử thương mại đều hợp lệ.

Điểm 7 liệt kê các yếu tố để đánh giá độ tin cậy: phương pháp liên kết chữ ký với người ký, người ký có quyền kiểm soát duy nhất, bất kỳ sự thay đổi nào đều có thể phát hiện ra, và phương pháp phù hợp với mục đích và độ phức tạp của giao dịch.

Điểm 4 của Luật Chữ ký Điện tử 1997 quy định rằng chữ ký điện tử được tạo ra bằng chứng chỉ từ CA được cấp phép thỏa mãn bất kỳ yêu cầu ký tên pháp lý nào. Điều này tạo ra một giả định pháp lý về tính xác thực khó có thể phản bác lại.

Điểm 22 yêu cầu CA phải được cấp phép bởi Cục Truyền thông và Truyền thông số Malaysia (MCMC). Các CA được cấp phép bao gồm Digicert (M) Sdn Bhd. Giấy phép bao gồm việc tạo khóa, phát hành chứng chỉ, quản lý thu hồi và nghĩa vụ kiểm toán.

Hướng dẫn về giao dịch điện tử của Ngân hàng Trung ương Malaysia yêu cầu ngân hàng sử dụng xác thực khách hàng mạnh. Chữ ký điện tử DSA hoặc tương đương được mong đợi cho các giao dịch ngân hàng có giá trị cao. Quá trình đăng ký khách hàng phải tuân thủ các yêu cầu AML/CFC của BNM.

Hợp đồng lao động điện tử hợp lệ dưới Luật Thương mại Điện tử. Tòa án Công nghiệp đã chấp nhận chữ ký điện tử trong các tranh chấp lao động. Đội ngũ HR nên duy trì các vết theo dõi hoàn chỉnh bao gồm dấu thời gian và hồ sơ nhận dạng người ký.

Mua sắm điện tử của Chính phủ thông qua ePerolehan yêu cầu các loại chứng chỉ số cụ thể. Các nhà thầu phải đăng ký với CA được cấp phép bởi MCMC. Bộ Tài chính đã ban hành thông báo chấp nhận chữ ký điện tử cho hầu hết các giai đoạn hợp đồng Chính phủ.

Đối với hầu hết các tài liệu thương mại, chữ ký điện tử ECA là đủ. Đối với các tài liệu yêu cầu con dấu hoặc chữ ký tay theo luật Malaysia (chuyển nhượng đất đai, một số tuyên bố pháp lý), sử dụng chữ ký số DSA với chứng chỉ do CA cấp.

Dữ liệu cá nhân thu thập được trong quá trình ký (tên, email, địa chỉ IP, dữ liệu xác thực danh tính) thuộc về PDPA. Lưu dữ liệu ký trên các máy chủ đặt tại Malaysia hoặc các quốc gia được Ủy viên PDPA phê duyệt. Nhận được sự đồng ý cho việc xử lý dữ liệu như một phần của quy trình ký.

Cục Đăng ký Quốc gia (JPN) cung cấp xác thực danh tính MyKad. Các nền tảng ký kết tích hợp với JPN có thể cung cấp xác thực danh tính dựa trên MyKad — tiêu chuẩn vàng cho xác thực danh tính của người ký Malaysia.

Malaysia là bên ký kết Hiệp định Khung Điện tử ASEAN. Các chữ ký điện tử của Malaysia nên được công nhận ở các quốc gia thành viên ASEAN khác đã thực hiện Luật Thương mại Điện tử Mô hình ASEAN. Tuy nhiên, việc thực hiện thực tế biên giới vẫn đang phát triển.

eSign.AI hỗ trợ xác thực danh tính dựa trên MyKad thông qua tích hợp JPN. Người ký hợp đồng Malaysia có thể xác thực danh tính bằng cách chạm MyKad vào thiết bị đọc NFC hoặc sử dụng thiết bị đọc chip MyKad — tiêu chuẩn vàng cho việc chứng thực danh tính Malaysia. Điều này đáp ứng yêu cầu của DSA đối với danh tính được CA xác thực.

eSign.AI hợp tác với Post-lined CA (CA được cấp phép bởi MyCERT theo DSA) để cung cấp chữ ký số tuân thủ DSA cho các tài liệu yêu cầu chữ ký pháp lý. Người ký thực hiện đăng ký một lần; các chữ ký sau đó được áp dụng trong luồng eSign.AI.

Dữ liệu ký tên (tên, CMND, địa chỉ IP, hồ sơ xác thực danh tính) được xử lý tuân thủ PDPA. eSign.AI cung cấp thông báo xử lý dữ liệu, thu thập sự đồng ý như một phần của luồng ký tên và cung cấp lưu trữ dữ liệu Malaysia cho các tổ chức ưa thích lưu trữ địa phương.

Các doanh nghiệp Malaysia hoạt động ở khu vực ASEAN có thể sử dụng eSign.AI để gửi phong bì ký tên đến người ký ở Singapore, Indonesia, Việt Nam và Thái Lan — mỗi người ký xác thực bằng eID địa phương của họ. Tất cả các chữ ký được capture trong một phong bì với vết theo dõi kiểm tra thống nhất.