Το PDPA το 2026 — Περίληψη μετά την Τροπολογία

Ο τροποποιημένος PDPA εξακολουθεί να είναι δομημένος γύρω από επτά αρχές στη Section 5: Γενική, Ειδοποίηση και Επιλογή, Γνωστοποίηση, Ασφάλεια, Διατήρηση, Ακεραιότητα Δεδομένων και Πρόσβαση. Η Αρχή Ειδοποίησης και Επιλογής στη Section 7 είναι η πιο καθοριστική για τη συγκατάθεση cookies, απαιτώντας από τους χρήστες δεδομένων να παρέχουν γραπτή ειδοποίηση τόσο στα αγγλικά όσο και στα Bahasa Malaysia και να λαμβάνουν συγκατάθεση (ή να βασίζονται σε εναλλακτική βάση στη Section 6) πριν από την επεξεργασία.

Τρεις δομικές αλλαγές από την τροπολογία του 2024 έχουν λειτουργική σημασία για τους διαδικτυακούς εκδότες. Πρώτον, το μετονομασμένο Personal Data Protection Department έχει πλέον ρητή αρχή να επιβάλλει διοικητικές κυρώσεις συνδεδεμένες με ποσοστό ετήσιων εσόδων, αντικαθιστώντας το παλαιότερο σύστημα σταθερών προστίμων. Δεύτερον, ο υποχρεωτικός ορισμός DPO βάσει Section 12A ισχύει για υπευθύνους επεξεργασίας πάνω από καθορισμένα όρια — οι περισσότεροι εκδότες με υποστήριξη διαφημίσεων και χειριστές SaaS ξεπερνούν αυτά τα όρια. Τρίτον, η νέα Section 12B απαιτεί γνωστοποίηση παραβίασης στο PDP εντός 72 ωρών από τη γνώση, με γνωστοποίηση στα επηρεαζόμενα υποκείμενα δεδομένων να απαιτείται όταν είναι πιθανή σημαντική βλάβη.

Πώς ο τροποποιημένος PDPA αντιμετωπίζει τα Cookies και την Διαδικτυακή Παρακολούθηση

Ο PDPA δεν περιέχει ειδική διάταξη για cookies. Οι υποχρεώσεις συγκατάθεσης και πληροφόρησης απορρέουν από τα Sections 5, 6 και 7 του Νόμου και από το 2025 Public Consultation Paper on Online Tracking του PDP, που διατύπωσε τις μεταρρυθμιστικές προσδοκίες του ρυθμιστή για τα banner cookies και τη συμπεριφορική διαφήμιση. Τέσσερα σημεία έχουν τη μεγαλύτερη λειτουργική επίδραση.

Καταφατική συγκατάθεση για μη-ουσιώδη παρακολούθηση

Το Έγγραφο Διαβούλευσης 2025 απέρριψε την σιωπηρή συγκατάθεση, τη συνεχιζόμενη χρήση και τα προεπιλεγμένα πλαίσια ελέγχου ως αποτυχία της Αρχής Ειδοποίησης και Επιλογής όταν ερμηνεύεται στο διαδικτυακό πλαίσιο. Απαιτείται ρητή καταφατική ενέργεια για μη-ουσιώδη cookies, φέρνοντας τη μαλαισιανή πρακτική σε ευθυγράμμιση με τη θέση της EDPB Cookie Banner Taskforce.

Απαίτηση δίγλωσσης ειδοποίησης

Η Section 7(3) απαιτεί η ειδοποίηση απορρήτου και ο μηχανισμός συγκατάθεσης να είναι διαθέσιμα τόσο στα αγγλικά όσο και στα Bahasa Malaysia. Αυτό ήταν χαρακτηριστικό του αρχικού Νόμου που επαναβεβαίωσε η τροπολογία· το PDP είναι ολοένα και πιο σαφές ότι τα μονόγλωσσα αγγλικά banner δεν ικανοποιούν την απαίτηση για κοινό που εξυπηρετεί μαλαισιανούς κατοίκους.

Λεπτομερείς έλεγχοι κατηγοριών

Το Έγγραφο Διαβούλευσης αναμένει ότι τα banner θα επιτρέπουν στον χρήστη να αποδέχεται και να απορρίπτει κατηγορίες ανεξάρτητα. Ένα banner μονού κουμπιού αποδοχής-όλων χωρίς λεπτομέρεια αντιμετωπίζεται ως ελάττωμα υπό την ανάγνωση αναλογικότητας της Section 5(c) (η συλλογή δεν πρέπει να είναι «υπερβολική»).

Διασυνοριακή μεταφορά (Section 129)

Η Section 129 του αρχικού PDPA απαιτούσε οι διασυνοριακές μεταφορές να γίνονται σε παραλήπτη σε «λευκή λίστα» χώρας (μια λίστα που ο Υπουργός έπρεπε να τηρεί αλλά ποτέ δεν δημοσίευσε αποτελεσματικά). Η τροπολογία 2024 την αντικαθιστά με ένα πιο εφαρμόσιμο πλαίσιο: οι μεταφορές μπορούν να προχωρήσουν σε δικαιοδοσίες με συγκρίσιμη προστασία, ή υπό κατάλληλες συμβατικές εγγυήσεις, ή με ρητή συγκατάθεση. Το PDP έχει εκδώσει πρότυπες συμβατικές ρήτρες παρόμοιες με τις EU SCCs.

Η Στάση Επιβολής του PDP το 2026

Η μεταρρυθμιστική στάση του Personal Data Protection Department διαφέρει από την προ-τροπολογίας προσέγγισή του σε τρεις παρατηρήσιμους τρόπους.

Ενεργοί τομεακοί έλεγχοι

Το PDP έχει δώσει προτεραιότητα στους τομείς fintech, ηλεκτρονικού εμπορίου και ψηφιακής δανειοδότησης για προληπτικούς ελέγχους από τότε που τέθηκε σε ισχύ η τροπολογία. Αυτοί οι έλεγχοι ξεκινούν συνήθως με έλεγχο καταχώρισης και κλιμακώνονται σε ευρύτερη επιθεώρηση εάν η καταχώριση δεν είναι ενημερωμένη.

Υψηλόβαθμα πρόστιμα

Το νέο σύστημα διοικητικών κυρώσεων έχει παράγει μεγαλύτερα και πιο δημόσια ορατά πρόστιμα από το παλαιότερο μοντέλο σταθερών προστίμων. Αρκετοί χειριστές τηλεπικοινωνιών και fintech έλαβαν οκταψήφια πρόστιμα σε ringgit το 2025, τα οποία το PDP χρησιμοποίησε για να επικοινωνήσει ότι η τροπολογία έχει πραγματικά δόντια.

ASEAN ρυθμιστικός συντονισμός

Το PDP συμμετέχει στη ροή εργασίας ASEAN Data Management Framework και συντονίζεται με το PDPC της Σιγκαπούρης, το PDPC της Ταϊλάνδης και το NPC των Φιλιππίνων. Διασυνοριακές έρευνες που αφορούν μαλαισιανή και άλλη κυκλοφορία ASEAN αντιμετωπίζονται ολοένα και περισσότερο μέσω συντονισμένων διαδικασιών.

Πρακτική Λίστα Ελέγχου Συμμόρφωσης

Έξι συγκεκριμένες ερωτήσεις για απάντηση για οποιοδήποτε banner cookies εξυπηρετεί μαλαισιανή κυκλοφορία.

• Είναι ο υπεύθυνος επεξεργασίας εγγεγραμμένος στο PDP; Εάν η επεξεργασία εμπίπτει σε καλυπτόμενη κατηγορία, επιβεβαιώστε ότι η καταχώριση είναι ενημερωμένη. Η τροπολογία 2024 διεύρυνε το πρακτικό πεδίο της καταχώρισης.
• Έχει οριστεί DPO; Η Section 12A απαιτεί ορισμό πάνω από τα όρια. Επιβεβαιώστε ότι ο ορισμός είναι τεκμηριωμένος και τα στοιχεία επικοινωνίας του DPO δημοσιεύονται στην ειδοποίηση απορρήτου.
• Είναι η ειδοποίηση δίγλωσση; Τόσο τα αγγλικά όσο και το Bahasa Malaysia απαιτούνται βάσει Section 7(3).
• Υπάρχει ρητή απόρριψη στο πρώτο επίπεδο; Η διαδρομή απόρριψης πρέπει να βρίσκεται στην ίδια επιφάνεια με την αποδοχή. Η κύλιση ως συγκατάθεση αποτυγχάνει στο Έγγραφο Διαβούλευσης 2025.
• Είναι τεκμηριωμένες οι διασυνοριακές μεταφορές; Προσδιορίστε κάθε προορισμό εκτός Μαλαισίας και τον μηχανισμό Section 129 που εξουσιοδοτεί τη μεταφορά.
• Είναι έτοιμη η αντίδραση σε παραβίαση; Επιβεβαιώστε ότι τα περιστατικά σχετικά με cookies ενεργοποιούν τη ροή εργασίας γνωστοποίησης Section 12B με ρολόι 72 ωρών από τη γνώση.

Η Θέση της Μαλαισίας σε ένα Πολυδικαιοδοτικό Σύνολο

Η Μαλαισία είναι ένα από τα τέσσερα πιο λειτουργικά σημαντικά καθεστώτα προστασίας δεδομένων της ASEAN μαζί με τη Σιγκαπούρη, την Ταϊλάνδη και τις Φιλιππίνες. Η τροπολογία 2024 έκλεισε το μεγαλύτερο μέρος του χάσματος μεταξύ του αρχικού PDPA και του GDPR, πράγμα που σημαίνει ότι μια αρχιτεκτονική CMP χτισμένη σύμφωνα με ευρωπαϊκά πρότυπα αντιμετωπίζει τώρα το μεγαλύτερο μέρος της μαλαισιανής συμμόρφωσης με τρεις συγκεκριμένες προσθήκες: δίγλωσσο (αγγλικά + Bahasa Malaysia) banner και ειδοποίηση, καταχώριση στο PDP όπου ισχύουν τα όρια καλυπτόμενων κατηγοριών, και η ροή εργασίας γνωστοποίησης παραβίασης Section 12B με το 72-ώρο ρολόι. Για εκδότες που χτίζουν προς πανASEAN λειτουργίες, ο τροποποιημένος PDPA είναι ένα ουσιαστικό πρότυπο — πιθανότατα οι νεότεροι περιφερειακοί νόμοι αντλούν από τη δομή του — και οι λειτουργικές προσθήκες είναι διαχειρίσιμες πάνω σε ήδη εγκατεστημένο σύνολο συγκατάθεσης ευρωπαϊκού επιπέδου.