マレーシアの個人情報保護法（Personal Data Protection Act, PDPA）の2024年改正（PDP Amendment Act 2024）により、国外で個人データを処理する外国企業にも適用される域外適用規定が導入されました。
従来ではマレーシア国内の個人データを処理する場合に同法の適用対象となっていました。今回の法改正では、マレーシア国内に拠点を持たない外国企業であっても、マレーシアの個人データを収集、保存、分析、共有する際には、PDPAの規定を遵守する必要があります。
なお段階的に以下のように段階的に法改正を施行しています。
第1段階：2025年1月1日施行
- 主な内容：
- マレー語版の法文修正
- 文書の電子送達に関する規定の導入
- 個人データ保護委員会（Commissioner）の権限拡大
この段階では、主に技術的・運用的な修正が行われ、新たな義務は導入されていません。
第2段階：2025年4月1日施行
主な内容：
- 用語の変更：「データユーザー（data user）」から「データコントローラー（data controller）」へ
- 「バイオメトリックデータ」のセンシティブデータへの追加
- 「個人データ侵害（personal data breach）」の定義導入
- 「リクエスター（requestor）」の定義拡大（データポータビリティ要求者を含む）
- データプロセッサーへのセキュリティ原則の直接適用と罰則の導入
- 個人データ保護原則違反に対する罰金の上限引き上げ（最大RM1,000,000）
- クロスボーダーデータ移転におけるホワイトリスト制度の廃止
これらの改正は、既に施行されており、企業はこれらの規定を遵守する必要があります。
第3段階：2025年6月1日施行予定
- 主な内容：
- データ保護責任者（DPO）の任命義務化
- 個人データ侵害発生時の通知義務（個人データ保護委員会および影響を受けるデータ主体への通知）
- データ主体のデータポータビリティ権の導入
これらの規定は、2025年6月1日に施行される予定であり、企業はそれまでに対応準備を進める必要があります。
この改正によって、マレーシア国内外の企業にとって、個人データの取り扱いに関する新たな義務と責任を課すものです。特に、マレーシアの個人データを処理する外国企業は、PDPAの遵守を確実にするための体制整備が求められます。
本日は以上になります。
弊社では最新の法改正や経済動向のニュースアップデートを通じて企業、マレーシアの日系企業様へ情報提供を行っております。
会計・税務・法務・労務でお困りの事ありましたらいつでもお気軽にご連絡下さい。
