PDPA u 2026. — Pregled nakon amandmana

Izmijenjeni PDPA nastavlja biti strukturiran oko sedam načela u Section 5: Opće, Obavijest i Izbor, Otkrivanje, Sigurnost, Čuvanje, Integritet podataka i Pristup. Načelo obavijesti i izbora u Section 7 najvažnije je za privolu kolačića, zahtijevajući od korisnika podataka da pruže pisanu obavijest na engleskom i na Bahasa Malaysia te da dobiju privolu (ili se oslone na alternativni temelj u Section 6) prije obrade.

Tri strukturalne promjene izmjene iz 2024. operativno su važne za mrežne izdavače. Prvo, preimenovani Personal Data Protection Department sada ima izričitu ovlast za izricanje administrativnih kazni vezanih uz postotak godišnjih prihoda, zamjenjujući stariji režim fiksnih kazni. Drugo, obvezno imenovanje DPO-a prema Section 12A primjenjuje se na voditelje obrade iznad definiranih pragova — većina oglasima podržanih izdavača i SaaS operatera prelazi te pragove. Treće, novi Section 12B zahtijeva obavijest o kršenju PDP-u u roku od 72 sata od saznanja, s obavijesti pogođenim ispitanicima koja je potrebna kada je vjerojatna značajna šteta.

Kako izmijenjeni PDPA tretira kolačiće i mrežno praćenje

PDPA ne sadrži odredbu specifičnu za kolačiće. Obveze privole i informiranja proizlaze iz Sections 5, 6 i 7 Zakona te iz 2025 Public Consultation Paper PDP-a o mrežnom praćenju, koji je artikulirao regulatorova očekivanja nakon amandmana za bannere kolačića i bihevioralno oglašavanje. Četiri točke imaju najveći operativni utjecaj.

Afirmativna privola za nepotrebno praćenje

2025 Public Consultation Paper odbacio je prešutnu privolu, nastavak korištenja i unaprijed označene okvire kao neispunjavanje Načela obavijesti i izbora kada se tumači u mrežnom kontekstu. Za nepotrebne kolačiće potrebna je izričita afirmativna radnja, usklađujući malezijsku praksu s pozicijom EDPB Taskforce za bannere kolačića.

Zahtjev za dvojezičnom obavijesti

Section 7(3) zahtijeva da obavijest o privatnosti i mehanizam privole budu dostupni na engleskom i na Bahasa Malaysia. To je bila značajka izvornog Zakona koju je izmjena potvrdila; PDP je bio sve izričitiji da jednojezični engleski banneri ne zadovoljavaju zahtjev za publiku koja opslužuje malezijske stanovnike.

Granularne kontrole kategorija

Konzultacijski dokument očekuje da banneri korisniku omoguće neovisno prihvaćanje i odbijanje kategorija. Jednogumb prihvati-sve bez granularnosti tretira se kao nedostatak prema tumačenju proporcionalnosti Section 5(c) (prikupljanje ne smije biti "prekomjerno").

Prekogranični prijenos (Section 129)

Section 129 izvornog PDPA zahtijevao je da prekogranični prijenosi budu primatelju u "whitelistiranoj" zemlji (popis koji je Ministar trebao održavati, ali nikada nije učinkovito objavio). 2024 Amendment Act zamjenjuje to praktičnijim okvirom: prijenosi mogu ići u jurisdikcije s usporedivom zaštitom, ili pod odgovarajućim ugovornim zaštitnim mjerama, ili uz izričitu privolu. PDP je izdao modelne ugovorne klauzule slične EU SCCs.

Provedbeni stav PDP-a u 2026.

Stav Personal Data Protection Departmenta nakon amandmana razlikuje se od pristupa prije amandmana na tri vidljiva načina.

Aktivna sektorska pretraživanja

PDP je od stupanja na snagu izmjene dao prioritet fintech, e-commerce i digitalnom kreditnom sektoru za proaktivna pretraživanja. Ova pretraživanja obično počinju registracijskom revizijom i eskaliraju u širu inspekciju ako registracija nije ažurna.

Novčane kazne višeg profila

Novi režim administrativnih kazni doveo je do većih i javno vidljivijih kazni od starijeg modela fiksnih kazni. Nekoliko telecom i fintech operatora primilo je osmoznamenkaste ringgit kazne 2025., koje je PDP koristio za komunikaciju da izmjena ima prave zube.

ASEAN regulatorna koordinacija

PDP sudjeluje u radnom tijeku ASEAN okvira za upravljanje podacima i koordinira se sa singapurskim PDPC, tajlandskim PDPC i filipinskim NPC. Prekogranične istrage koje uključuju malezijski i drugi ASEAN promet sve više se rješavaju kroz koordinirane postupke.

Praktični popis za provjeru usklađenosti

Šest konkretnih pitanja na koja treba odgovoriti za svaki banner kolačića koji opslužuje malezijski promet.

• Je li voditelj obrade registriran u PDP-u? Ako obrada spada u pokrivenu klasu, potvrdite da je registracija ažurna. 2024 Amendment Act proširio je praktični opseg registracije.
• Je li imenovan DPO? Section 12A zahtijeva imenovanje iznad pragova. Potvrdite da je imenovanje dokumentirano i da su kontakt podaci DPO-a objavljeni u obavijesti o privatnosti.
• Je li obavijest dvojezična? Engleski i Bahasa Malaysia oboje su potrebni prema Section 7(3).
• Postoji li izričito odbijanje prvog sloja? Put odbijanja mora biti na istoj površini kao i prihvaćanje. Pomicanje-kao-privola ne prolazi 2025 Public Consultation Paper.
• Jesu li prekogranični prijenosi dokumentirani? Identificirajte svako non-malezijsko odredište i mehanizam Section 129 koji odobrava prijenos.
• Je li odgovor na kršenje spojen? Potvrdite da incidenti vezani za kolačiće aktiviraju radni tok obavijesti Section 12B s 72-satnim satom od saznanja.

Gdje Malezija odgovara u stogu višestrukih jurisdikcija

Malezija je jedan od četiri operativno najvažnija ASEAN režima zaštite podataka uz Singapur, Tajland i Filipine. 2024 Amendment Act zatvorio je većinu jaza između izvornog PDPA i GDPR-a, što znači da CMP arhitektura izgrađena prema europskim standardima sada obrađuje veći dio malezijske usklađenosti s tri specifična dodatka: dvojezični (engleski + Bahasa Malaysia) banner i obavijest, PDP registracija gdje se primjenjuju pragovi pokrivene klase, te radni tok obavijesti o kršenju Section 12B s 72-satnim satom. Za izdavače koji grade prema pan-ASEAN operacijama, PDPA nakon amandmana je značajan predložak — noviji regionalni zakoni vjerojatno će se osloniti na njegovu strukturu — a operativni dodaci su upravljivi na vrhu već postavljenog europskog seta za privolu.