La Personal Data Protection (Amendment) Act 2024 fue el mayor cambio de la ley de protección de datos de Malasia desde 2010. Sus obligaciones están vigentes desde 2025. En 2026 el Comisionado de Protección de Datos Personales se ha centrado en los detalles y ha publicado nuevas directrices que explican cómo evaluar los riesgos, diseñar los tratamientos y gestionar las decisiones automatizadas.
Repaso: las reformas vigentes desde 2025
Las reformas entraron en vigor en tres fases:
- 1 de enero de 2025: cambios principalmente administrativos
- 1 de abril de 2025: el "data user" pasa a llamarse "data controller", los datos biométricos se consideran datos personales sensibles, los encargados del tratamiento quedan obligados directamente por el principio de seguridad y la multa máxima por infringir los principios de protección de datos sube de RM300.000 a RM1.000.000
- 1 de junio de 2025: Delegados de Protección de Datos obligatorios, notificación de brechas de datos y el nuevo derecho a la portabilidad
Según la ley, una brecha debe notificarse al Comisionado lo antes posible; la directriz del Comisionado sobre notificación de brechas fija como referencia 72 horas. Las personas afectadas deben ser informadas cuando la brecha pueda causar un daño significativo. La designación del DPO debe comunicarse al Comisionado en un plazo de 21 días. Las transferencias internacionales siguen la directriz sobre transferencias transfronterizas publicada en abril de 2025, que sustituyó al antiguo sistema de "lista blanca".
Tres nuevas directrices publicadas el 30 de abril de 2026
1. Evaluación de impacto relativa a la protección de datos (EIPD)
Los responsables deben realizar una EIPD cuando prevean un riesgo alto para los datos personales. La directriz utiliza criterios cuantitativos y cualitativos:
- Cuantitativos: tratamiento de datos personales de más de 20.000 interesados, o de datos sensibles de más de 10.000
- Cualitativos: por ejemplo efectos jurídicos o significativos, monitoreo sistemático, tecnologías innovadoras, personas vulnerables o decisiones automatizadas
El DPO participa en la evaluación, la alta dirección sigue siendo la responsable última y los encargados deben prestar una asistencia razonable.
2. Protección de datos desde el diseño
Esta directriz describe cómo integrar la protección en todo el ciclo de vida de un tratamiento, basándose en la proactividad, la protección de extremo a extremo, la transparencia y el enfoque en el usuario. Es una guía de buenas prácticas, no un requisito obligatorio, pero indica claramente lo que el Comisionado considera una buena práctica.
3. Decisiones automatizadas y elaboración de perfiles
El uso de decisiones automatizadas o de perfiles es por sí mismo un motivo para realizar una EIPD. Cuando los resultados puedan tener efectos jurídicos o significativos para las personas, la directriz espera salvaguardas específicas, y el DPO tiene una función de supervisión. Si intervienen datos sensibles, se aplican las reglas más estrictas de la PDPA para este tipo de datos.
Registro de responsables del tratamiento
Determinadas categorías de responsables siguen obligadas a inscribirse ante el Comisionado. El Comisionado ha emitido la Circular n.º 1/2026 sobre el registro de responsables; las organizaciones de las categorías reguladas deben revisarla y comprobar que su registro está actualizado.
Su lista de verificación PDPA 2026
- Confirme que su DPO está designado y comunicado al Comisionado
- Revise sus tratamientos frente a los umbrales de EIPD y realice las evaluaciones necesarias
- Enumere todas las decisiones automatizadas y perfiles en RR. HH., crédito, marketing y prevención del fraude, y evalúelos
- Integre la privacidad desde el diseño en su gestión de proyectos y cambios
- Pruebe su respuesta ante brechas frente a la referencia de 72 horas
- Documente las transferencias internacionales y la garantía utilizada en cada una
Cómo puede ayudar ResGuard
El Gestor de Protección de Datos de ResGuard incluye el registro de actividades de tratamiento, un módulo de EIPD, la gestión de brechas y la evaluación de proveedores. Nuestros servicios de DPD externalizado y apoyo al DPD ayudan a las organizaciones en Malasia a cumplir las nuevas obligaciones. Contáctenos para una evaluación.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuentes: Personal Data Protection (Amendment) Act 2024, publicaciones y directrices del Personal Data Protection Department y resúmenes publicados por despachos de abogados.