PDPA 2026. gadā — pēc grozījumu apskats

Grozītais PDPA turpina būt strukturēts ap septiņiem principiem Section 5: vispārīgais, paziņojums un izvēle, atklāšana, drošība, saglabāšana, datu integritāte un piekļuve. Paziņojuma un izvēles princips Section 7 ir vissvarīgākais sīkdatņu piekrišanai, prasot datu lietotājiem sniegt rakstveida paziņojumu gan angļu, gan Bahasa Malaysia valodā un saņemt piekrišanu (vai paļauties uz alternatīvu pamatu Section 6) pirms apstrādes.

Trīs strukturālas izmaiņas no 2024. gada grozījuma ir darbības ziņā svarīgas tiešsaistes izdevējiem. Pirmkārt, pārdēvētajam Personal Data Protection Department tagad ir skaidra pilnvara uzlikt administratīvos sodus, kas saistīti ar gada ieņēmumu procentuālo daļu, aizstājot vecāko fiksētā naudas soda režīmu. Otrkārt, obligātā DPO iecelšana saskaņā ar Section 12A attiecas uz kontrolieriem virs noteiktām robežvērtībām — lielākā daļa reklāmu atbalstīto izdevēju un SaaS operatoru pārsniedz šīs robežvērtības. Treškārt, jaunais Section 12B prasa pārkāpumu paziņošanu PDP 72 stundu laikā pēc apzināšanās, ar paziņošanu skartajiem datu subjektiem, kas nepieciešama, ja ir iespējams būtisks kaitējums.

Kā grozītais PDPA attiecas uz sīkdatnēm un tiešsaistes izsekošanu

PDPA nesatur sīkdatnēm specifiskus noteikumus. Piekrišanas un informācijas pienākumi izriet no likuma Section 5, 6 un 7 un no PDP 2025 Public Consultation Paper par tiešsaistes izsekošanu, kas izklāstīja regulatora pēc grozījumu cerības attiecībā uz sīkdatņu baneriem un uzvedības reklāmu. Četri punkti ir ar lielāko ietekmi uz darbību.

Apstiprinoša piekrišana nebūtiskai izsekošanai

2025 Public Consultation Paper noraidīja netiešu piekrišanu, turpinātu lietošanu un iepriekš atzīmētas izvēles rūtiņas kā neatbilstošas paziņojuma un izvēles principam, kad interpretēts tiešsaistes kontekstā. Skaidra apstiprinoša darbība ir nepieciešama nebūtiskām sīkdatnēm, saskaņojot Malaysia praksi ar EDPB Cookie Banner Taskforce pozīciju.

Divvalodu paziņojuma prasība

Section 7(3) prasa, lai privātuma paziņojums un piekrišanas mehānisms būtu pieejami gan angļu, gan Bahasa Malaysia valodā. Tas bija sākotnējā likuma iezīme, ko grozījums apstiprināja; PDP ir kļuvis arvien skaidrāks, ka vienvalodas angļu valodas baneri neatbilst prasībām auditorijām, kas apkalpo Malaysia iedzīvotājus.

Detalizēta kategoriju kontrole

2025 Public Consultation Paper sagaida, ka baneri ļaus lietotājam pieņemt un noraidīt kategorijas neatkarīgi. Vienas pogas pieņemt-visu bez detalizācijas tiek uzskatīts par defektu saskaņā ar proporcionalitātes lasījumu Section 5(c) (vākšana nedrīkst būt pārmērīga).

Pārrobežu pārsūtīšana (Section 129)

Sākotnējā PDPA Section 129 prasīja pārrobežu pārsūtīšanu uz saņēmēju baltajā sarakstā esošā valstī (saraksts, kas ministram bija jāuztur, bet nekad netika efektīvi publicēts). 2024. gada grozījums to aizstāj ar labāk darbojas sistēmu: pārsūtīšana var notikt uz jurisdikcijām ar salīdzināmu aizsardzību, vai saskaņā ar atbilstošām līgumiskām garantijām, vai ar skaidru piekrišanu. PDP ir izdevis modeļa līguma klauzulas, kas līdzīgas EU SCCs.

PDP izpildes nostāja 2026. gadā

Personal Data Protection Department pēc grozījuma nostāja atšķiras no tā pirmsgrozījuma pieejas trīs novērojamos veidos.

Aktīvas nozaru pārbaudes

PDP ir piešķīris prioritāti fintech, e-komercijas un digitālās kreditēšanas nozarēm proaktīvām pārbaudēm kopš grozījuma stāšanās spēkā. Šīs pārbaudes parasti sākas ar reģistrācijas auditu un eskalējas plašākā inspekcijā, ja reģistrācija nav aktuāla.

Augstāka profila naudas sodi

Jaunais administratīvā soda režīms ir radījis lielākus un publiski redzamākus naudas sodus nekā vecākais fiksētā soda modelis. Vairāki telekomunikāciju un fintech operatori saņēma astoņciparu ringitu sodus 2025. gadā, ko PDP izmantoja, lai paziņotu, ka grozījumam ir īstas zobi.

ASEAN regulējošā koordinācija

PDP piedalās ASEAN Data Management Framework darba plūsmā un koordinējas ar Singapore PDPC, Thailand PDPC un Philippines NPC. Pārrobežu izmeklēšanas, kas ietver Malaysia un citu ASEAN trafiku, arvien biežāk tiek apstrādātas ar koordinētām procedūrām.

Praktisks atbilstības kontrolsaraksts

Seši konkrēti jautājumi, uz kuriem jāatbild jebkuram sīkdatņu banerim, kas apkalpo Malaysia trafiku.

• Vai kontrolieris ir PDP reģistrēts? Ja apstrāde iekrīt apskatītajā klasē, apstipriniet, ka reģistrācija ir aktuāla. 2024. gada grozījums paplašināja praktisku reģistrācijas tvērumu.
• Vai ir iecelts DPO? Section 12A prasa iecelšanu virs robežvērtībām. Apstipriniet, ka iecelšana ir dokumentēta un DPO kontaktinformācija ir publicēta privātuma paziņojumā.
• Vai paziņojums ir divvalodu? Angļu un Bahasa Malaysia valoda abas ir nepieciešamas saskaņā ar Section 7(3).
• Vai ir skaidra pirmā slāņa noraidīšana? Noraidīšanas ceļam jāatrodas uz tās pašas virsmas kā pieņemšanai. Ritināšana kā piekrišana neizdodas 2025 Public Consultation Paper.
• Vai pārrobežu pārsūtīšana ir dokumentēta? Identificējiet katru ne-Malaysia galamērķi un Section 129 mehānismu, kas atļauj pārsūtīšanu.
• Vai pārkāpumu reakcija ir savienota? Apstipriniet, ka ar sīkdatnēm saistīti incidenti aktivizē Section 12B paziņošanas darba plūsmu ar 72 stundu pulksteni no apzināšanās.

Kur Malaysia iekļaujas daudzjurisdikciju kaudzē

Malaysia ir viena no četrām darbības ziņā vissvarīgākajām ASEAN datu aizsardzības režīmām līdzās Singapore, Thailand un Philippines. 2024. gada grozījums slēdza lielāko daļu no atšķirības starp sākotnējo PDPA un GDPR, kas nozīmē, ka CMP arhitektūra, kas būvēta pēc Eiropas standartiem, tagad apstrādā lielāko daļu Malaysia atbilstības ar trim specifiskiem papildinājumiem: divvalodu (angļu + Bahasa Malaysia) baneris un paziņojums, PDP reģistrācija, ja piemērojamas apskatītās klases robežvērtības, un Section 12B pārkāpumu paziņošanas darba plūsma ar tās 72 stundu pulksteni. Izdevējiem, kas būvē uz pan-ASEAN operācijām, pēc grozījuma PDPA ir nozīmīgs paraugs — jaunāki reģionālie likumi, visticamāk, balstīsies uz tā struktūru — un darbības papildinājumi ir risināmi virs jau izvietotas Eiropas klases piekrišanas kaudzes.