PDPA v roce 2026 — Přehled po novele

Novelizovaný PDPA je nadále strukturován kolem sedmi principů v Section 5: Obecný, Oznámení a volba, Zveřejnění, Bezpečnost, Uchovávání, Integrita dat a Přístup. Princip oznámení a volby v Section 7 je pro souhlas se soubory cookie nejzásadnější a vyžaduje, aby uživatelé dat poskytli písemné oznámení v angličtině i v Bahasa Malaysia a před zpracováním získali souhlas (nebo se opřeli o alternativní právní základ v Section 6).

Tři strukturální změny z novely roku 2024 mají pro online vydavatele provozní význam. Za prvé, přejmenovaný Personal Data Protection Department má nyní výslovnou pravomoc ukládat správní sankce vázané na procento ročních příjmů, čímž nahrazuje starší systém pevných pokut. Za druhé, povinné jmenování DPO podle Section 12A se vztahuje na správce překračující definované prahové hodnoty — většina vydavatelů financovaných reklamou a provozovatelů SaaS tyto prahové hodnoty překračuje. Za třetí, nová Section 12B vyžaduje oznámení porušení PDP do 72 hodin od zjištění, přičemž oznámení dotčeným subjektům údajů je vyžadováno, pokud je pravděpodobná závažná újma.

Jak novelizovaný PDPA nakládá se soubory cookie a online sledováním

PDPA neobsahuje ustanovení specifické pro soubory cookie. Povinnosti týkající se souhlasu a informací vycházejí z Sections 5, 6 a 7 zákona a z 2025 Public Consultation Paper on Online Tracking PDP, který formuloval očekávání regulátora po novele ohledně bannerů se soubory cookie a behaviorální reklamy. Čtyři body mají největší provozní dopad.

Výslovný souhlas s neesenciálním sledováním

Konzultační dokument z roku 2025 odmítl implicitní souhlas, pokračování v používání a předem zaškrtnutá políčka jako nesplňující princip oznámení a volby při výkladu v online kontextu. Pro neesenciální soubory cookie je vyžadováno výslovné potvrzující jednání, čímž se malajská praxe sblížila s postojem EDPB Cookie Banner Taskforce.

Požadavek na dvojjazyčné oznámení

Section 7(3) vyžaduje, aby oznámení o ochraně soukromí a mechanismus souhlasu byly dostupné v angličtině i v Bahasa Malaysia. To byl rys původního zákona, který novela potvrdila; PDP je stále výslovnější v tom, že jednojazyčné anglické bannery nesplňují požadavek pro cílové skupiny obsluhující malajské rezidenty.

Granulární ovládání kategorií

Konzultační dokument očekává, že bannery uživateli umožní přijímat a odmítat kategorie nezávisle. Banner s jedním tlačítkem pro přijetí všeho bez granularity je považován za nedostatek v rámci výkladu proporcionality Section 5(c) (sběr by neměl být „nadměrný").

Přeshraniční předávání (Section 129)

Section 129 původního PDPA vyžadovala, aby přeshraniční předávání byla příjemci v „bílé listině" (seznam, který měl ministr udržovat, ale nikdy jej efektivně nezveřejnil). Novela roku 2024 jej nahrazuje funkčnějším rámcem: předávání může probíhat do jurisdikcí se srovnatelnou ochranou, nebo na základě vhodných smluvních záruk, nebo s výslovným souhlasem. PDP vydal vzorové smluvní doložky podobné EU SCCs.

Vymáhací postoj PDP v roce 2026

Postoj Personal Data Protection Department po novele se od přístupu před novelou liší třemi pozorovatelnými způsoby.

Aktivní sektorová prověrky

PDP upřednostnil od vstupu novely v platnost sektory fintech, elektronického obchodování a digitálního půjčování pro proaktivní prověrky. Tyto prověrky obvykle začínají auditem registrace a eskalují do širší inspekce, pokud registrace není aktuální.

Vysokoprofilové pokuty

Nový systém správních sankcí přinesl vyšší a veřejně viditelnější pokuty než starší model pevných pokut. Několik telekomunikačních a fintech operátorů obdrželo v roce 2025 osmimístné pokuty v ringitech, které PDP využil k signalizaci, že novela má skutečné zuby.

Regulatorní koordinace ASEAN

PDP se účastní pracovní skupiny ASEAN Data Management Framework a koordinuje s PDPC Singapuru, PDPC Thajska a NPC Filipín. Přeshraniční vyšetřování zahrnující malajský a jiný provoz ASEAN jsou stále více řešena prostřednictvím koordinovaných postupů.

Praktický kontrolní seznam pro dodržování předpisů

Šest konkrétních otázek, na které je třeba odpovědět pro jakýkoli banner se soubory cookie obsluhující malajský provoz.

• Je správce registrován u PDP? Pokud zpracování spadá do zahrnuté kategorie, ověřte, že registrace je aktuální. Novela roku 2024 rozšířila praktický rozsah registrace.
• Je jmenován DPO? Section 12A vyžaduje jmenování nad prahové hodnoty. Ověřte, že jmenování je zdokumentováno a kontaktní údaje DPO jsou zveřejněny v oznámení o ochraně soukromí.
• Je oznámení dvojjazyčné? Angličtina i Bahasa Malaysia jsou povinné podle Section 7(3).
• Je v první vrstvě výslovné odmítnutí? Cesta odmítnutí musí být na stejném místě jako přijetí. Srolování jako souhlas nesplňuje Konzultační dokument z roku 2025.
• Jsou přeshraniční předávání zdokumentována? Identifikujte každý cíl mimo Malajsii a mechanismus Section 129 opravňující k předávání.
• Je připravena reakce na porušení? Ověřte, že incidenty spojené se soubory cookie spouštějí pracovní postup oznámení podle Section 12B s 72hodinovou lhůtou od zjištění.

Místo Malajsie v multi-jurisdikčním zásobníku

Malajsie je jedním ze čtyř provozně nejvýznamnějších režimů ochrany dat v ASEAN vedle Singapuru, Thajska a Filipín. Novela roku 2024 uzavřela většinu mezery mezi původním PDPA a GDPR, což znamená, že architektura CMP postavená na evropských standardech nyní řeší velkou část malajského compliance třemi konkrétními dodatky: dvojjazyčný (angličtina + Bahasa Malaysia) banner a oznámení, registrace u PDP tam, kde se uplatňují prahové hodnoty zahrnutých kategorií, a pracovní postup oznamování porušení podle Section 12B s 72hodinovou lhůtou. Pro vydavatele budující pan-ASEAN operace je novelizovaný PDPA smysluplnou šablonou — novější regionální zákony pravděpodobně čerpají z jeho struktury — a provozní doplňky jsou proveditelné na vrcholu již nasazeného zásobníku souhlasů evropské třídy.