马来西亚电子签名：ECA、DSA 与 PDPA

马来西亚 PDPA 要求在收集、使用和披露个人数据前获得同意。签署平台必须在处理签署人个人数据（姓名、邮箱、IP 地址、身份验证数据）之前取得明确同意。

PDPA 未明确要求数据本地存储，但要求对跨境数据传输采取合理的保障措施。政府关联实体和受监管行业可能通过行业特定法规要求数据本地存储。

PDPA 将个人数据保留期限限制在实现既定目的所需的最短期限。雇佣合同和受监管申报有单独的法定保留期限，优先于 PDPA 的一般原则。

马来西亚 PDPA 于2024年完成修订，加强了数据泄露通知要求，扩展了数据主体权利，并明确了跨境传输规则。签署平台应根据修订条款审视自身的合规状况。

2006年《电子商业法》第6条规定，只要电子签名在适用目的下足够可靠，即可满足任何法律规定的签名要求。这种技术中立的方式意味着大多数商业电子签名均属有效。

第7条规定了评估可靠性的因素：签名方法须将签名与签署人关联、签署人须对签名拥有独占控制权、任何篡改均可被检测，且签名方法须与交易的目的和复杂程度相匹配。

1997年《数字签名法》第4条规定，使用经许可的 CA 签发的证书创建的数字签名，可满足任何法律规定的签名要求。由此产生的真实性推定难以被推翻。

第22条要求 CA 必须获得马来西亚通信与多媒体委员会（MCMC）的许可。获得许可的 CA 包括 Digicert (M) Sdn Bhd。许可证涵盖密钥生成、证书签发、吊销管理和审计义务。

马来西亚国家银行（BNM）关于电子交易的指引要求银行使用强客户认证。高价值银行交易预期使用 DSA 数字签名或同等效力的方式。客户开户须符合 BNM 的反洗钱/反恐怖融资（AML/CFC）要求。

根据 ECA，电子雇佣合同具有法律效力。工业法庭已在劳动争议中认可电子签名的效力。HR 团队应保留完整的审计记录，包括时间戳和签署人身份信息。

通过 ePerolehan 进行的政府电子采购要求使用特定类型的数字证书。承包商必须在经 MCMC 许可的 CA 处注册。财政部已发布通告，接受在大多数政府合同阶段使用电子签名。

对于大多数商业文件，ECA 电子签名即可满足要求。对于马来西亚法律要求盖章或手写签名的文件（如土地转让、特定法定声明），须使用由 CA 签发证书的 DSA 数字签名。

签署过程中收集的个人数据（姓名、邮箱、IP 地址、身份验证数据）受 PDPA 约束。建议将签署数据存储在位于马来西亚或 PDPA 委员员认可国家的服务器上，并在签署流程中取得数据处理同意。

马来西亚国民注册局（JPN）提供 MyKad 身份验证。与 JPN 集成的签署平台可提供基于 MyKad 的身份验证——这是马来西亚签署人身份认证的黄金标准。

马来西亚是《东盟数字框架协定》的签署国。马来西亚电子签名应在已实施《东盟电子商务示范法》的其他东盟成员国获得认可。然而，跨境实际执行仍在不断完善中。

eSign.AI 通过 JPN 集成支持基于 MyKad 的身份验证。马来西亚签署人可通过 NFC 读卡器或 MyKad 芯片读卡器刷取 MyKad 完成身份验证——这是马来西亚身份认证的黄金标准，满足 DSA 对 CA 认证身份的要求。

eSign.AI 与邮政 CA（DSA 下经 MyCERT 许可的 CA）合作，为需要法定级签名的文件提供 DSA 合规数字签名。签署人需完成一次性注册，后续签名在 eSign.AI 流程中直接完成。

签署数据（姓名、NRIC、IP 地址、身份验证记录）的处理完全符合 PDPA 要求。eSign.AI 提供数据处理通知，在签署流程中获取同意，并为偏好本地存储的组织提供马来西亚数据驻留选项。

在东盟地区运营的马来西亚企业可使用 eSign.AI 向新加坡、印度尼西亚、越南和泰国的签署人发送签署信封——每位签署人通过本地电子身份认证。所有签名均在同一信封中完成，并附带统一的审计记录。