PDPA 2026 m. — Po pakeitimo apžvalga

Pakeistas PDPA toliau struktūruojamas aplink septynis principus Section 5: Bendrasis, Pranešimas ir pasirinkimas, Atskleidimas, Saugumas, Saugojimas, Duomenų vientisumas ir Prieiga. Section 7 esantis Pranešimo ir pasirinkimo principas yra svarbiausias slapukų sutikimui: jis įpareigoja duomenų naudotojus pateikti rašytinį pranešimą anglų ir Bahasa Malaysia kalbomis ir gauti sutikimą (arba remtis alternatyvu pagrindu Section 6) prieš tvarkant duomenis.

Trys struktūriniai 2024 m. pakeitimo pokyčiai yra svarbūs internetinių leidėjų veiklai. Pirma, pervadintas Personal Data Protection Department dabar turi aiškius įgaliojimus skirti administracines sankcijas, susietas su metinių pajamų procentu, pakeičiant senąjį fiksuoto baudų režimą. Antra, privalomas DPO paskyrimas pagal Section 12A taikomas valdytojams, viršijantiems nustatytus slenksčius — dauguma reklamuojamų leidėjų ir SaaS operatorių viršija šiuos slenksčius. Trečia, naujasis Section 12B įpareigoja pranešti PDP apie pažeidimą per 72 valandas nuo sužinojimo, o paveiktiems duomenų subjektams pranešama, kai tikėtina didelė žala.

Kaip pakeistas PDPA reglamentuoja slapukus ir internetinį sekimą

PDPA nėra specialios nuostatos dėl slapukų. Sutikimo ir informavimo pareigos kyla iš įstatymo Section 5, 6 ir 7 bei PDP 2025 Public Consultation Paper on Online Tracking, kuriame išdėstyti reguliatoriaus lūkesčiai po pakeitimo dėl slapukų juostų ir elgsenos reklamos. Keturi aspektai daro didžiausią veiklos poveikį.

Aiškus sutikimas neesminiam sekimui

2025 Public Consultation Paper atmetė numanomą sutikimą, tolesnį naudojimą ir iš anksto pažymėtus langelius kaip neatitinkančius Pranešimo ir pasirinkimo principo internetiniame kontekste. Neesmininiams slapukams reikalingas aiškus patvirtinantis veiksmas, suderinantis Malaizijos praktiką su EDPB Cookie Banner Taskforce pozicija.

Dvikalbio pranešimo reikalavimas

Section 7(3) reikalauja, kad privatumo pranešimas ir sutikimo mechanizmas būtų prieinami anglų ir Bahasa Malaysia kalbomis. Tai buvo pradinio įstatymo savybė, kurią pakeitimas patvirtino; PDP vis aiškiau pareiškia, kad vien anglų kalba parengtos juostos neatitinka reikalavimo auditorijai, aptarnaujančiai Malaizijoje gyvenančius asmenis.

Išsamūs kategorijų valdikliai

Konsultacinis dokumentas tikisi, kad juostos leis naudotojui savarankiškai priimti ir atmesti kategorijas. Vieno mygtuko priimti-viską be granuliacijos laikoma trūkumu pagal Section 5(c) proporcingumo aiškinimą (rinkimas neturėtų būti pernelyg didelis).

Tarpvalstybinis perdavimas (Section 129)

Pradinio PDPA Section 129 reikalavo, kad tarpvalstybiniai perdavimai vyktų tik į gavėją baltojo sąrašo šalyje (sąrašas, kurį turėjo tvarkyti ministras, bet kuris nebuvo efektyviai paskelbtas). 2024 m. pakeitimas pakeičia jį praktiškesne sistema: perdavimai gali vykti į jurisdikcijas su palyginamuoju apsaugos lygiu, arba pagal tinkamas sutartines apsaugos priemones, arba su aiškiu sutikimu. PDP paskelbė sutarčių tipines sąlygas, panašias į EU SCCs.

PDP vykdymo pozicija 2026 m.

Personal Data Protection Department pozicija po pakeitimo skiriasi nuo iki pakeitimo taikyto požiūrio trimis pastebimais būdais.

Aktyvios sektorių patikros

PDP pirmenybę teikė fintech, el. prekybos ir skaitmeninio skolinimo sektoriams, atliekant aktyvias patikras nuo pakeitimo įsigaliojimo. Šios patikros paprastai prasideda registracijos auditu ir perauga į platesnę inspekciją, jei registracija nėra aktuali.

Aukšto profilio baudos

Naujasis administracinių sankcijų režimas davė didesnes ir viešiau matomesnes baudas nei senasis fiksuotos baudos modelis. Keli telekomunikacijų ir fintech operatoriai 2025 m. gavo aštuonženkles ringgitų baudas, kurias PDP panaudojo komunikuodamas, kad pakeitimas turi realią galią.

ASEAN reguliavimo koordinavimas

PDP dalyvauja ASEAN Data Management Framework darbo sraute ir koordinuoja su Singapūro PDPC, Tailando PDPC ir Filipinų NPC. Tarpvalstybiniai tyrimai, apimantys Malaizijos ir kitų ASEAN šalių srautą, vis dažniau vykdomi per koordinuotas procedūras.

Praktinis atitikties kontrolinis sąrašas

Šeši konkretūs klausimai, į kuriuos reikia atsakyti dėl bet kurios slapukų juostos, aptarnaujančios Malaizijos srautą.

• Ar valdytojas registruotas PDP? Jei tvarkymas patenka į aptariamą klasę, patvirtinkite, kad registracija yra aktuali. 2024 Amendment Act išplėtė registracijos praktinę taikymo sritį.
• Ar paskirtas DPO? Section 12A reikalauja paskyrimo viršijant slenksčius. Patikrinkite, ar paskyrimas yra dokumentuotas ir ar DPO kontaktiniai duomenys paskelbti privatumo pranešime.
• Ar pranešimas dvikalbiamas? Anglų kalba ir Bahasa Malaysia abi privalomos pagal Section 7(3).
• Ar yra aiškus pirmojo sluoksnio atsisakymas? Atsisakymo kelias turi būti tame pačiame paviršiuje kaip ir priėmimas. Slinkimas kaip sutikimas neatitinka 2025 Public Consultation Paper standartų.
• Ar tarpvalstybiniai perdavimai dokumentuoti? Nustatykite kiekvieną ne Malaizijos paskirties vietą ir Section 129 mechanizmą, leidžiantį perdavimą.
• Ar incidentų reagavimas sujungtas? Patikrinkite, ar su slapukais susiję incidentai suaktyvina Section 12B pranešimo darbo eigą su 72 valandų laikrodžiu nuo sužinojimo.

Malaizijos vieta daugiajurisdikciniame atitikties rinkinyje

Malaizija yra viena iš keturių veiklos požiūriu reikšmingiausių ASEAN duomenų apsaugos sistemų kartu su Singapūru, Tailandu ir Filipinais. 2024 m. pakeitimas užpildė didžiąją dalį atotrūkio tarp pradinio PDPA ir GDPR, o tai reiškia, kad pagal Europos standartus sukurta CMP architektūra dabar tvarko didžiąją dalį Malaizijos atitikties su trimis konkrečiais papildymais: dvikalbė (anglų kalba ir Bahasa Malaysia) juosta ir pranešimas, PDP registracija, kai taikomi aptariamosios klasės slenksčiai, ir Section 12B pažeidimo pranešimo darbo eiga su 72 valandų laikrodžiu. Leidėjams, kuriantiems visos ASEAN operacijas, pakeistas PDPA yra reikšmingas šablonas — naujesniai regioniniai įstatymai greičiausiai pasinaudos jo struktūra — o veiklos papildymai yra valdomi ant jau diegiamo Europos lygio sutikimo rinkinio.