马来西亚电子签名：ECA、DSA 与 PDPA

马来西亚的 MyDigital 国家倡议正在加速推进数字身份、电子政务服务及数字经济普及，这既为电子签名流程带来了机遇，也提出了合规要求。

首先是国家数字身份（NDI）：马来西亚正在建设 NDI 系统以配合 MyKad，但其可用性、依赖方接入方式以及是否适用于商业签署流程，都应在实施前对照最新的政府文件核实。MyKad 本身是国民身份证件，但政府身份数据的访问受到管控——签署服务商若无经批准的接口和有据可查的依赖方安排，不应声称已接入 JPN 或 MyKad。已有两项先例表明基础已经就绪：内陆税收局（LHDN）自 2004 年起成功运行电子报税，培养了公众对数字政务的信任；公司委员会（SSM）提供公司注册与申报的数字服务，企业签署流程可通过 SSM 集成来验证公司状态与授权签署人。

马来西亚 PDPA 规范签署数据。它要求在收集、使用和披露个人数据前取得同意，因此签署平台必须在处理签署人个人数据（姓名、邮箱、IP 地址、身份验证数据）之前取得明确同意。

PDPA 未明确要求数据本地存储，但要求对跨境数据传输采取合理的保障措施；政府关联实体和受监管行业可能通过行业特定法规要求数据本地存储。PDPA 还将个人数据保留期限限制在实现既定目的所需的必要期限，但雇佣合同和受监管申报有单独的法定保留期限，优先于 PDPA 的一般原则。该法于 2024 年完成修订，强化了数据泄露通知要求，扩展了数据主体权利，并明确了跨境传输规则，签署平台应根据修订条款审视自身的合规状态。

双轨签名框架根据文件类型和交易金额设定了具体的合规要求。

在 ECA 轨道，第 6 条规定：只要电子签名在适用目的下足够可靠，即可满足任何法律规定的签名要求——这种技术中立的方式意味着大多数商业电子签名均属有效。第 7 条规定了评估可靠性的因素：签名方法须将签名与签署人关联、签署人须对签名拥有独占控制权、任何篡改均可被检测，且签名方法须与交易的目的和复杂程度相匹配。在 DSA 轨道，第 4 条规定，使用经许可的 CA 签发的证书创建的数字签名，可满足任何法律规定的签名要求，由此产生的真实性推定难以被推翻。第 22 条要求 CA 必须获得马来西亚通信与多媒体委员会（MCMC）的许可；许可涵盖密钥生成、证书签发、吊销管理和审计义务。

不同行业在通用 ECA/DSA 框架之上还有特定的附加要求。

马来西亚国家银行（BNM）关于电子交易的指引要求银行使用强客户认证，高价值银行交易预期使用 DSA 数字签名或同等效力的方式，客户开户须符合 BNM 的反洗钱/反恐融资（AML/CFT）要求。根据 ECA，电子雇佣合同具有法律效力，工业法庭已在劳动争议中认可电子签名，但 HR 团队应保留完整的审计记录，包括时间戳和签署人身份信息。通过 ePerolehan 进行的政府采购要求使用特定类型的数字证书，承包商必须在经 MCMC 许可的 CA 处注册；财政部已发布通告，接受在大多数政府合同阶段使用电子签名。

马来西亚企业在实施电子签署时，须同时遵守两部法律与 PDPA 的要求。

对于大多数商业文件，ECA 电子签名即可满足要求。对于马来西亚法律要求盖章或手写签名的文件（如土地转让、特定法定声明），须使用由 CA 签发证书的 DSA 数字签名。签署过程中收集的个人数据（姓名、邮箱、IP 地址、身份验证数据）受 PDPA 约束，建议将签署数据存储在位于马来西亚或 PDPA 专员认可国家的服务器上，并在签署流程中取得数据处理同意。应根据交易风险选择相称的身份方法；在提议使用政府身份数据或基于 MyKad 的验证时，须核实法律依据、经批准的提供方、用户同意、技术接口以及返回给签署流程的证据。在区域层面，马来西亚是《东盟数字框架协定》的签署国，马来西亚电子签名应在已实施《东盟电子商务示范法》的其他东盟成员国获得认可——不过跨境实际执行仍在不断演进。

eSign.AI 通过其在马来西亚已确认的 Trustgate 集成，支持电子签名流程以及证书背书的数字签名流程；证书产品、身份验证方法与保证级别仍须按具体交易选定。

对于较高风险流程，eSign.AI 可采集已配置身份验证流程的结果，但任何基于 MyKad 或 JPN 的方法必须有经批准的提供方和有据可查的集成支持——不应仅凭平台本身加以假设。对于 DSA 数字签名流程，eSign.AI 可连接 Trustgate；部署前请确认所选证书产品、其依据马来西亚《数字签名法》的当前状态、身份验证步骤以及证书策略。马来西亚部署应根据 PDPA 和客户自身政策，配置隐私声明、合法处理、保留期限、访问控制、跨境传输保障措施以及数据存放地要求。跨境信封可为不同签署人使用不同的已配置身份与签名方法，但国别电子身份或本地信任服务的可用性必须逐市场确认，审计追踪应标明每次签署事件所使用的方法。