馬來西亞電子簽名：ECA、DSA 與 PDPA

馬來西亞的 MyDigital 國家倡議正在加速推進數位身分、電子政務服務及數位經濟普及，這既為電子簽章流程帶來了機遇，也提出了合規要求。

首先是國家數位身分（NDI）：馬來西亞正在建設 NDI 系統以配合 MyKad，但其可用性、依賴方接入方式以及是否適用於商業簽署流程，都應在實施前對照最新的政府文件核實。MyKad 本身是國民身分證件，但政府身分資料的存取受到管控——簽署服務商若無經批准的介面與有據可查的依賴方安排，不應聲稱已接入 JPN 或 MyKad。已有兩項先例顯示基礎已經就緒：內陸稅收局（LHDN）自 2004 年起成功運作電子報稅，培養了公眾對數位政務的信任；公司委員會（SSM）提供公司註冊與申報的數位服務，企業簽署流程可透過 SSM 整合驗證公司狀態與授權簽署人。

馬來西亞 PDPA 規範簽署資料。它要求在蒐集、使用與揭露個人資料前取得同意，因此簽署平台必須在處理簽署人個人資料（姓名、電子郵件、IP 位址、身分驗證資料）之前取得明確同意。

PDPA 未明確要求資料本地儲存，但要求對跨境資料傳輸採取合理的保障措施；政府關聯實體與受監管行業可能透過行業特定法規要求資料本地儲存。PDPA 也將個人資料保留期限限制在達成既定目的所需之必要期間，但僱傭合約與受監管申報有單獨的法定保留期限，優先於 PDPA 的一般原則。該法於 2024 年完成修訂，強化了資料外洩通知要求、擴展了資料主體權利，並明確了跨境傳輸規則，簽署平台應依修訂條款檢視自身的合規狀態。

雙軌簽章框架依文件類型與交易金額設定了具體的合規要求。

在 ECA 軌道，第 6 條規定：只要電子簽章在適用目的下足夠可靠，即可滿足任何法律規定的簽章要求——這種技術中立的方式意味著大多數商業電子簽章均屬有效。第 7 條規定了評估可靠性的因素：簽章方法須將簽章與簽署人關聯、簽署人須對簽章擁有獨占控制權、任何篡改均可被偵測，且簽章方法須與交易的目的與複雜程度相符。在 DSA 軌道，第 4 條規定，使用經許可的 CA 所簽發憑證建立的數位簽章，可滿足任何法律規定的簽章要求，由此產生的真實性推定難以被推翻。第 22 條要求 CA 必須取得馬來西亞通訊與多媒體委員會（MCMC）的許可；許可可涵蓋金鑰產生、憑證簽發、撤銷管理與稽核義務。

不同行業在通用 ECA/DSA 框架之上還有特定的附加要求。

馬來西亞國家銀行（BNM）關於電子交易的指引要求銀行使用強客戶驗證，高價值銀行交易預期使用 DSA 數位簽章或同等效力的方式，客戶開戶須符合 BNM 的反洗錢／反恐融資（AML/CFT）要求。依 ECA，電子僱傭合約具有法律效力，工業法庭已在勞動爭議中認可電子簽章，但 HR 團隊應保留完整的稽核紀錄，包括時間戳與簽署人身分資訊。透過 ePerolehan 進行的政府採購要求使用特定類型的數位憑證，承包商必須在經 MCMC 許可的 CA 處註冊；財政部已發布通告，接受在大多數政府合約階段使用電子簽章。

馬來西亞企業在實施電子簽署時，須同時遵守兩部法律與 PDPA 的要求。

對於大多數商業文件，ECA 電子簽章即可滿足要求。對於馬來西亞法律要求蓋章或手寫簽名的文件（如土地轉讓、特定法定聲明），須使用由 CA 簽發憑證的 DSA 數位簽章。簽署過程中蒐集的個人資料（姓名、電子郵件、IP 位址、身分驗證資料）受 PDPA 約束，建議將簽署資料儲存在位於馬來西亞或 PDPA 專員認可國家的伺服器上，並在簽署流程中取得資料處理同意。應依交易風險選擇相稱的身分方法；在提議使用政府身分資料或基於 MyKad 的驗證時，須核實法律依據、經批准的提供方、使用者同意、技術介面以及回傳給簽署流程的證據。在區域層面，馬來西亞是《東協數位框架協定》的簽署國，馬來西亞電子簽章應在已實施《東協電子商務示範法》的其他東協成員國獲得認可——不過跨境實際執行仍在不斷演進。

eSign.AI 透過其在馬來西亞已確認的 Trustgate 整合，支援電子簽章流程以及憑證背書的數位簽章流程；憑證產品、身分驗證方法與保證層級仍須依具體交易選定。

對於較高風險流程，eSign.AI 可擷取已設定身分驗證流程的結果，但任何基於 MyKad 或 JPN 的方法必須有經批准的提供方與有據可查的整合支援——不應僅憑平台本身加以假設。對於 DSA 數位簽章流程，eSign.AI 可連接 Trustgate；部署前請確認所選憑證產品、其依馬來西亞《數位簽章法》的當前狀態、身分驗證步驟以及憑證策略。馬來西亞部署應依 PDPA 與客戶自身政策，設定隱私聲明、合法處理、保留期限、存取控制、跨境傳輸保障措施以及資料存放地要求。跨境信封可為不同簽署人使用不同的已設定身分與簽章方法，但國別電子身分或本地信任服務的可用性必須逐市場確認，稽核追蹤應標明每次簽署事件所使用的方法。