PDPA у 2026. — Преглед после измене

Измењени PDPA наставља да буде структуриран oko седам принципа у Section 5: Општи, Обавештење и избор, Откривање, Безбедност, Задржавање, Интегритет података и Приступ. Принцип обавештења и избора у Section 7 је најзначајнији за сагласност за колачиће, захтевајући од корисника података да пруже писано обавештење на енглеском и Bahasa Malaysia и да прибаве сагласност (или се ослоне на алтернативни основ у Section 6) пре обраде.

Три структурне промене из измене 2024. оперативно су важне за онлајн издаваче. Прво, преименовани Personal Data Protection Department сада има изричита овлашћења да изриче административне казне везане за проценат годишњих прихода, замењујући старији режим фиксних казни. Друго, обавезно именовање DPO под Section 12A примењује се на контролоре изнад дефинисаних прагова — већина издавача подржаних огласима и SaaS оператера прелази те прагове. Треће, нови Section 12B захтева обавештавање PDP о кршењу у року од 72 сата од сазнања, са обавештавањем погођених субјеката података када је вероватна значајна штета.

Kako Измењени PDPA третира колачиће и онлајн праћење

PDPA не садржи одредбу специфичну за колачиће. Обавезе сагласности и информисања произилазе из Sections 5, 6 и 7 Закона и из 2025 Public Consultation Paper PDP о онлајн праћењу, који је артикулисао очекивања регулатора после измене за баннере колачића и понашајно оглашавање. Четири тачке имају највећи оперативни утицај.

Афирмативна сагласност за неесенцијално праћење

2025 Consultation Paper одбацио је имплицирану сагласност, наставак коришћења и унапред означена поља као неиспуњавање принципа обавештења и избора када се тумаче у онлајн контексту. Изричита афирмативна радња је потребна за неесенцијалне колачиће, усклађујући малезијску праксу са ставом EDPB Cookie Banner Taskforce.

Захтев двојезичног обавештења

Section 7(3) захтева да обавештење о приватности и механизам сагласности буду доступни на енглеском и Bahasa Malaysia. Ово је била одлика оригиналног Закона коју је измена поновно потврдила; PDP је све изричитији да банери само на енглеском не испуњавају захтев за публику која опслужује малезијске резиденте.

Детаљне контроле категорија

Consultation Paper очекује да банери омогуће кориснику да независно прихвати и одбије категорије. Прихватање свега једним дугметом без гранулације третира се као недостатак под тумачењем пропорционалности Section 5(c) (прикупљање не сме бити «прекомерно»).

Прекогранични пренос (Section 129)

Section 129 оригиналног PDPA захтевао је да прекогранични преноси буду примаоцу у земљи са «беле листе» (листа коју је министар требало да одржава, али никада није ефективно објавио). Измена 2024. замењује ово функционалнијим оквиром: преноси могу да се одвијају у јурисдикције са упоредивом заштитом, или под одговарајућим уговорним гаранцијама, или уз изричиту сагласност. PDP је издао узорне уговорне клаузуле сличне EU SCCs.

Примена PDP у 2026.

Став Personal Data Protection Department после измене разликује се од приступа пре измене на три уочљива начина.

Активне секторске провере

PDP је приоритизовао финтек, е-трговину и сектор дигиталног позајмљивања за проактивне провере откако је измена ступила на снагу. Ове провере обично почињу ревизијом регистрације и ескалирају у шири инспекцијски преглед ако регистрација није ажурна.

Казне вишег профила

Нови режим административних казни произвео је веће и јавно видљивије казне него старији модел фиксних казни. Неколико телекомуникационих и финтек оператера примило је казне у износу осмоцифрених рингита у 2025., које је PDP користио да саопшти да измена има стварне зубе.

ASEAN регулаторна координација

PDP учествује у радном току ASEAN Data Management Framework и координира са PDPC Сингапура, PDPC Тајланда и NPC Филипина. Прекогранична истраживања која укључују малезијски и други ASEAN саобраћај све чешће се обрађују кроз координиране процедуре.

Практична контролна листа за усклађеност

Шест конкретних питања на која треба одговорити за сваки банер колачића који опслужује малезијски саобраћај.

• Да ли је контролор регистрован у PDP? Ако обрада спада у покривену класу, потврдите да је регистрација ажурна. Измена 2024. проширила је практичан обухват регистрације.
• Да ли је именован DPO? Section 12A захтева именовање изнад прагова. Потврдите да је именовање документовано и да су контакт подаци DPO објављени у обавештењу о приватности.
• Да ли је обавештење двојезично? Енглески и Bahasa Malaysia су обоје обавезни под Section 7(3).
• Да ли постоји изричито одбијање у првом слоју? Пут одбијања мора бити на истој површини као и прихватање. Скроловање као сагласност не задовољава 2025 Consultation Paper.
• Да ли су прекогранични преноси документовани? Идентификујте сваку немалезијску дестинацију и механизам Section 129 који овлашћује пренос.
• Да ли је одговор на кршење успостављен? Потврдите да инциденти везани за колачиће покрећу радни ток обавештавања Section 12B са сатом од 72 сата од сазнања.

Где Malaysia стаје у стек са више јурисдикција

Malaysia је један од четири оперативно најзначајнија режима заштите података у ASEAN поред Сингапура, Тајланда и Филипина. Измена 2024. затворила је већину јаза između оригиналног PDPA и GDPR, što значи да CMP архитектура изграђена по европским стандардима сада обрађује велики део малезијске усклађености са три специфична додатка: двојезични банер и обавештење (енглески + Bahasa Malaysia), PDP регистрација где се примењују прагови покривених класа и радни ток обавештавања о кршењу Section 12B са сатом од 72 сата. За издаваче који граде паналне ASEAN операције, PDPA после измене је значајан образац — новији регионални закони ће вероватно се ослонити на његову структуру — а оперативна додатна се могу применити поврх већ постављеног стека сагласности европске класе.