Malajziai PDPA 2024-es módosítás: cookie-hozzájárulás megfelelőségi útmutató kiadók számára 2026-ban
Malajzia Személyes Adatok Védelméről szóló 2010-es törvénye, amikor 2013-ban hatályba lépett, Délkelet-Ázsia egyik első átfogó adatvédelmi jogszabálya volt. Az első évtizedben a működési szabvány viszonylag enyhe volt: a Personal Data Protection Department (JPDP, jelenleg PDP) aktív regisztrációs rendszert működtetett az adatfelhasználók számára a hét lefedett tevékenységi osztályban, de az általános online szolgáltatókkal szembeni végrehajtás mérsékelt maradt, a hozzájárulási szabványt pedig engedékenyként értelmezték. A 2024 Amendment Act, amely Royal Assent jóváhagyást kapott October 2024-ben és 2025 folyamán szakaszosan lépett hatályba, alapvetően megváltoztatta ezt a helyzetet. A módosítás kötelező adatvédelmi tisztviselőket (DPO) írt elő a küszöbértékeket meghaladó adatkezelők számára, bevezette a 72 órán belüli kötelező incidensbejelentést, az adathordozhatósághoz való jogot, átnevezte a szabályozót élesebb végrehajtói hatáskörrel, és megerősítette az eredeti törvény alapján kétértelműen alkalmazott határon átnyúló adattovábbítási követelményeket. A malajziai forgalmat kiszolgáló kiadók és SaaS-üzemeltetők számára — egy olyan piac, amely az ASEAN egyik legaktívabb fintech- és digitálisgazdaság-ökoszisztémáját foglalja magában — a módosított PDPA érdemi működési váltást jelent. Ez az útmutató bemutatja, mi változott 2024-ben, hogyan értelmezi a PDP a módosított hozzájárulási szabványt az online nyomon követés tekintetében, és hol kell összpontosítani a gyakorlati megfelelési munkát.
A PDPA 2026-ban — módosítás utáni áttekintés
A módosított PDPA továbbra is a Section 5 szerinti hét elv köré épül: Általános, Értesítés és Választás, Közzététel, Biztonság, Megőrzés, Adatintegritás és Hozzáférés. A Section 7 szerinti Értesítési és Választási Elv a legfontosabb a cookie-hozzájárulás szempontjából: előírja az adatfelhasználók számára, hogy angolul és Bahasa Malaysia-ban egyaránt nyújtsanak írásbeli értesítést, és szerezzenek hozzájárulást (vagy támaszkodjon a Section 6 szerinti alternatív jogalapra) az adatkezelés megkezdése előtt.
A 2024 Amendment Act három strukturális változása különösen fontos az online kiadók számára. Először is, az átnevezett Personal Data Protection Department explicit felhatalmazást kapott az éves bevételhez arányos közigazgatási bírság kiszabására, felváltva a régi átalánydíjas rendszert. Másodszor, a Section 12A szerinti kötelező DPO-kijelölés a meghatározott küszöbértékeket meghaladó adatkezelőkre vonatkozik — a legtöbb hirdetéstámogatott kiadó és SaaS-üzemeltető átlépi ezeket a küszöbértékeket. Harmadszor, az új Section 12B kötelezi az adatkezelőket, hogy az incidensről a tudomásszerzéstől számított 72 órán belül értesítsék a PDP-t, és tájékoztassák az érintett adatalanyokat is, ha valószínű, hogy jelentős kár keletkezik.
Hogyan kezeli a módosított PDPA a cookie-kat és az online nyomon követést
A PDPA nem tartalmaz cookie-specifikus rendelkezést. A hozzájárulási és tájékoztatási kötelezettségek a törvény Section 5, 6 és 7 szakaszaiból, valamint a PDP 2025 Public Consultation Paper on Online Tracking dokumentumából következnek, amely megfogalmazta a szabályozó módosítás utáni elvárásait a cookie-bannerekkel és a viselkedésalapú hirdetésekkel kapcsolatban. Négy pontnak van a legnagyobb operatív hatása.
Kifejezett hozzájárulás a nem alapvető nyomon követéshez
A 2025 Public Consultation Paper elutasította az implicit hozzájárulást, a folyamatos használatot és az előre bejelölt négyzeteket, mivel ezek nem felelnek meg az Értesítési és Választási Elvnek az online kontextusban. A nem alapvető cookie-khoz kifejezett megerősítő cselekvés szükséges, ami összhangba hozza a malajziai gyakorlatot az EDPB Cookie Banner Taskforce álláspontjával.
Kétnyelvű értesítési kötelezettség
A Section 7(3) előírja, hogy az adatvédelmi értesítés és a hozzájárulási mechanizmus angolul és Bahasa Malaysia-ban egyaránt elérhető legyen. Ez az eredeti törvény egyik rendelkezése volt, amelyet a módosítás megerősített; a PDP egyre egyértelműbben fogalmazta meg, hogy az egynyelvű angol bannerek nem elégítik ki a malajziai közönséget kiszolgáló webhelyek követelményét.
Részletes kategóriavezérlők
A konzultációs dokumentum elvárja, hogy a bannerek lehetővé tegyék a felhasználónak, hogy egymástól függetlenül fogadja el és utasítsa el a kategóriákat. Az egyetlen gombos mindenki-elfogad részletesség nélkül a Section 5(c) arányossági értelmezése alapján hiányosságnak minősül (az adatgyűjtés nem lehet túlzott).
Határon átnyúló adattovábbítás (Section 129)
Az eredeti PDPA Section 129 szakasza előírta, hogy a határon átnyúló adattovábbítások csak fehérlistás országokba irányulhatnak (ez egy lista, amelyet a miniszternek kellett volna fenntartania, de soha nem tette hatékonyan közzé). A 2024 Amendment Act ezt egy praktikusabb keretrendszerrel váltja fel: az adattovábbítások lebonyolíthatók összehasonlítható védelmet nyújtó joghatóságokba, megfelelő szerződéses biztosítékokkal, vagy kifejezett hozzájárulás alapján. A PDP modellszerződéses záradékokat adott ki, amelyek hasonlók az EU SCCs-hez.
A PDP végrehajtási magatartása 2026-ban
A Personal Data Protection Department módosítás utáni magatartása három megfigyelhető szempontból különbözik a módosítás előtti megközelítéstől.
Aktív szektoriális ellenőrzések
A PDP a módosítás hatálybalépése óta a fintech-, e-kereskedelmi és digitális hitelezési szektorokat részesíti előnyben a proaktív ellenőrzések során. Ezek az ellenőrzések jellemzően regisztrációs audittal kezdődnek, és szélesebb körű vizsgálattá bővülnek, ha a regisztráció nem aktuális.
Nagyobb nyilvánosságot kapó bírságok
Az új közigazgatási bírságrendszer nagyobb és nyilvánosabb bírságokat eredményezett, mint a régi átalánydíjas modell. Számos telekommunikációs és fintech-üzemeltető 2025-ben nyolcjegyű ringgit bírságot kapott, amelyeket a PDP kommunikációra használt fel: a módosításnak valódi következményei vannak.
ASEAN szabályozói koordináció
A PDP részt vesz az ASEAN Data Management Framework munkafolyamatban, és koordinál Szingapúr PDPC-jével, Thaiföld PDPC-jével és a Fülöp-szigetek NPC-jével. A malajziai és más ASEAN-forgalmat érintő határon átnyúló vizsgálatokat egyre inkább koordinált eljárások keretében kezelik.
Gyakorlati megfelelési ellenőrzőlista
Hat konkrét kérdés, amelyre választ kell adni a malajziai forgalmat kiszolgáló cookie-bannerek esetén.
- Regisztrálva van az adatkezelő a PDP-nél? Ha az adatkezelés egy lefedett osztályba esik, ellenőrizze, hogy a regisztráció aktuális-e. A 2024 Amendment Act bővítette a regisztráció gyakorlati hatályát.
- Ki van jelölve a DPO? A Section 12A küszöbértékek felett kötelező a kijelölés. Győződjön meg arról, hogy a kijelölés dokumentált, és a DPO elérhetőségei szerepelnek az adatvédelmi értesítésben.
- Kétnyelvű az értesítés? A Section 7(3) alapján mindkét nyelv — angol és Bahasa Malaysia — kötelező.
- Van kifejezett első szintű elutasítás? Az elutasítási útvonalnak ugyanazon a felületen kell elhelyezkednie, mint az elfogadásnak. A görgetés mint hozzájárulás nem felel meg a 2025 Public Consultation Paper elvárásainak.
- Dokumentáltak a határon átnyúló adattovábbítások? Azonosítsa az összes nem malajziai célállomást és a Section 129 szerinti mechanizmust, amely engedélyezi az adattovábbítást.
- Be van kötve az incidensreakció? Ellenőrizze, hogy a cookie-val kapcsolatos incidensek aktiválják-e a Section 12B szerinti értesítési munkafolyamatot a tudomásszerzéstől számított 72 órás határidővel.
Malajzia helye a többjoghatóságú megfelelési keretrendszerben
Malajzia a négy legoperatívabb szempontból meghatározó ASEAN adatvédelmi rezsim egyike Szingapúr, Thaiföld és a Fülöp-szigetek mellett. A 2024 Amendment Act lezárta az eredeti PDPA és a GDPR közötti rés nagy részét, ami azt jelenti, hogy az európai szabványoknak megfelelő CMP-architektúra most már a malajziai megfelelőség zömét lefedi három specifikus kiegészítéssel: kétnyelvű (angol és Bahasa Malaysia) banner és értesítés, PDP-regisztráció, ahol a lefedett osztály küszöbértékei alkalmazandók, és a Section 12B szerinti incidensbejelentési munkafolyamat 72 órás határidővel. A pán-ASEAN-tevékenységek felé törekvő kiadók számára a módosítás utáni PDPA fontos hivatkozási alap — a fiatalabb regionális jogszabályok valószínűleg a struktúráját fogják átvenni —, és az operatív kiegészítések kezelhetők egy már bevezetett európai szintű hozzájárulási keretrendszer tetején.