PDPA 2026. aastal — muudatusejärgne ülevaade

Muudetud PDPA on endiselt struktureeritud ümber seitsme põhimõtte Section 5-s: Üldine, Teade ja Valik, Avalikustamine, Turvalisus, Säilitamine, Andmete terviklus ja Juurdepääs. Section 7 teavitamis- ja valikupõhimõte on küpsiste nõusoleku seisukohalt kõige olulisem, nõudes, et andmekasutajad esitaksid kirjaliku teate nii inglise kui ka Bahasa Malaysia keeles ning saaksid nõusoleku (või tugineksid alternatiivsele alusele Section 6-s) enne töötlemist.

Kolm strukturaalset muudatust 2024. aasta muudatusest on veebikirjastajate jaoks operatiivselt olulised. Esiteks on ümber nimetatud Personal Data Protection Department saanud selgesõnalise volituse kehtestada aastakäibega seotud haldustrahve, asendades varasema fikseeritud trahvirežiimi. Teiseks kohaldub kohustuslik DPO määramine Section 12A alusel määratletud künnistest kõrgemate töötlejate suhtes — enamik reklaamitoetusega kirjastajaid ja SaaS-operaatoreid ületab need künnised. Kolmandaks nõuab uus Section 12B rikkumisest teavitamist PDP-le 72 tunni jooksul teadlikkusest, kusjuures teavitamine mõjutatud andmesubjektidele on nõutav, kui tõenäoline on oluline kahju.

Kuidas muudetud PDPA kohtleb küpsiseid ja veebijälgimist

PDPA ei sisalda küpsistele spetsiifilist sätet. Nõusoleku- ja teavitamiskohustused tulenevad seaduse Sections 5, 6 ja 7-st ning PDP 2025 Public Consultation Paper veebijälgimise kohta, mis sõnastas regulaatori muudatusejärgsed ootused küpsistebännerite ja käitumispõhise reklaami suhtes. Neljal punktil on suurim operatiivne mõju.

Kinnitav nõusolek mittevajalikuks jälgimiseks

2025 Public Consultation Paper lükkas tagasi kaudsed nõusolekud, jätkuva kasutamise ja eeltäidetud kastikesed kui teavitamis- ja valikupõhimõtte nõuetele mittevastavad, kui neid tõlgendatakse veebikontekstis. Mittevajalike küpsiste puhul on nõutav selge kinnitav tegevus, mis viib Malaysia tava kooskõlla EDPB küpsistebänneri töörühma seisukohtadega.

Kakskeelne teavitusnõue

Section 7(3) nõuab, et privaatsusteade ja nõusolekumehhanism oleksid kättesaadavad nii inglise kui ka Bahasa Malaysia keeles. See oli algse seaduse tunnus, mille muudatus kinnitas; PDP on üha selgemalt öelnud, et ühe keelega ingliskeelsed bännerid ei vasta Malaysia elanikke teenindavate sihtgruppide nõuetele.

Granulaarsed kategooriakontrollid

Konsultatsioonidokument eeldab, et bännerid võimaldavad kasutajal kategooriaid iseseisvalt aktsepteerida ja tagasi lükata. Ühe nupuga kõik-aksepteeri ilma granulaarsuseta loetakse Section 5(c) proportsionaalsustõlgenduse alusel puuduseks (kogum ei tohiks olla "liigne").

Piiriülene edastamine (Section 129)

Algse PDPA Section 129 nõudis, et piiriülesed edastused toimuksid saajale "valge nimekirja" riigis (nimekiri, mida minister pidi haldama, kuid mida ei avaldatud kunagi tõhusalt). 2024 Amendment Act asendab selle töökõlblikuma raamistikuga: edastused võivad toimuda võrreldava kaitsega jurisdiktsioonidesse, asjakohaste lepinguliste kaitsemeetmete alusel või selgesõnalise nõusolekuga. PDP on väljastanud lepingulised näidisklauslid, mis sarnanevad EU SCCs-iga.

PDP jõustamishoiak 2026. aastal

Personal Data Protection Department'i muudatusejärgne hoiak erineb kolmel jälgitaval viisil muudatuseeelsest lähenemisest.

Aktiivsed sektoraalsed kontrolliringid

PDP on alates muudatuse jõustumisest prioriseerinud fintech-, e-kaubanduse ja digitaalse laenamisega seotud sektoritele aktiivseid kontrolliringid. Need kontrolliringid algavad tavaliselt registreerimisauditiga ja laienevad ulatuslikumaks kontrolliks, kui registreerimine ei ole ajakohane.

Kõrgema profiiliga trahvid

Uus haldustrahvirežiim on andnud suuremaid ja avalikkusele nähtavamaid trahve kui vanem fikseeritud trahvimudel. Mitu telekommunikatsiooni- ja fintech-operaatorit sai 2025. aastal kaheksaarvulised ringgit-karistused, mida PDP on kasutanud selgitamaks, et muudatusel on tõelised hambad.

ASEAN regulatiivne koordineerimine

PDP osaleb ASEAN-i andmehalduse raamistiku töövoos ning koordineerib Singapore PDPC, Tai PDPC ja Filipiinide NPC-ga. Piiriüleseid uurimisi, mis hõlmavad Malaysia ja muude ASEAN-i liiklusega seotud juhtumeid, käsitletakse üha enam koordineeritud menetluste kaudu.

Praktiline vastavuskontrollnimekiri

Kuus konkreetset küsimust, millele vastata iga Malaysia liiklust teenindava küpsistebänneri puhul.

• Kas töötleja on PDP-s registreeritud? Kui töötlemine kuulub kaetud klassi, kinnitage, et registreerimine on ajakohane. 2024 Amendment Act laiendas registreerimise praktilist ulatust.
• Kas DPO on määratud? Section 12A nõuab määramist üle künniste. Kinnitage, et määramine on dokumenteeritud ja DPO kontaktandmed on privaatsusteates avaldatud.
• Kas teade on kakskeelne? Inglise ja Bahasa Malaysia keeled on mõlemad nõutavad vastavalt Section 7(3)-le.
• Kas esimese taseme tagasilükkamine on selge? Tagasilükkamise tee peab asuma samal pinnal kui aktsepteerimine. Kerimisega-nõusolek ei vasta 2025 Public Consultation Paper-ile.
• Kas piiriülesed edastused on dokumenteeritud? Tuvastage iga mitte-Malaysia sihtkoht ja Section 129 mehhanism, mis volitab edastust.
• Kas rikkumisele reageerimine on seadistatud? Kinnitage, et küpsistega seotud intsidendid käivitavad Section 12B teavitamistöövoo koos 72-tunnise kellaga teadlikkusest.

Kuhu Malaysia sobib mitmejurisdiktsioonilises pinus

Malaysia on üks neljast operatiivselt olulisemast ASEAN-i andmekaitsemenetlustest koos Singapore, Tai ja Filipiinidega. 2024 Amendment Act sulges suurema osa lõhest algse PDPA ja GDPR-i vahel, mis tähendab, et Euroopa standarditele ehitatud CMP-arhitektuur käsitleb nüüd enamikku Malaysia vastavusest kolme konkreetse lisandusega: kakskeelne (inglise + Bahasa Malaysia) bänner ja teade, PDP registreerimine seal, kus kaetud klassi künnised kehtivad, ning Section 12B rikkumisest teavitamise töövoog 72-tunnise kellaga. Kirjastajatele, kes ehitavad pan-ASEAN-i tegevust, on muudatusejärgne PDPA tähendusrikas mall — uuemad piirkondlikud seadused toetuvad tõenäoliselt selle struktuurile — ning operatiivsed lisandused on juba kasutuselevõetud Euroopa tasemega nõusolekupinu peale juhitavad.