La Malaisie est en pleine accélération de ses technologies numériques et de son économie numérique. La stratégie « Cloud First » a été lancée en Malaisie pour promouvoir l'adoption du cloud dans les secteurs privé et public afin de permettre une transformation numérique rapide du pays. La Malaysia Digital Economy Corporation (MDEC) et les régulateurs de secteurs tels que la banque et les services financiers, la santé et les télécommunications remanient le cadre réglementaire et de supervision afin de suivre le rythme des innovations et de permettre aux entreprises de bénéficier de l'utilisation et de l'adoption des services cloud.

Régulateurs :
Le Département de la protection des données personnelles (JPDP) , agence rattachée au ministère du Numérique, assiste le commissaire à la protection des données personnelles dans la réglementation et l'application de la loi sur la protection des données personnelles (PDPA) à travers la Malaisie.

Législation générale sur la confidentialité :
La loi sur la protection des données personnelles de 2010 (loi 709) , en vigueur depuis le 15 novembre 2013, régit le traitement des données personnelles dans les transactions commerciales. Afin d'aligner les normes de protection des données de la Malaisie sur les références internationales, la loi modificative sur la protection des données personnelles de 2024 (loi A1727) a été promulguée. Les principales améliorations comprennent des obligations légales directes pour les sous-traitants, la notification obligatoire des violations de données personnelles (DBN) dans un délai de 72 heures, ainsi que l'obligation de désigner des délégués à la protection des données (DPO), entre autres.

Exigences relatives au transfert transfrontalier de données :
Les responsables du traitement peuvent transférer des données personnelles hors de Malaisie si au moins l'un des motifs légaux prévus par la loi et les lignes directrices sur le transfert transfrontalier de données personnelles (CBPDT) est satisfait :
1.La juridiction destinataire dispose d'une législation substantiellement similaire en matière de protection des données ou offre un niveau de protection équivalent.
2.La personne concernée a été dûment informée et a accordé son consentement explicite au transfert transfrontalier.
3.Le transfert est nécessaire à l'exécution ou à la conclusion d'un contrat impliquant la personne concernée.
4.Le transfert est nécessaire dans le cadre de procédures judiciaires, pour l'obtention de conseils juridiques, la défense de droits légaux ou la protection des intérêts vitaux de la personne concernée.
5.Le responsable du traitement a pris toutes les précautions raisonnables et fait preuve de diligence raisonnable (y compris des garanties contractuelles contraignantes telles que des accords de traitement des données) afin de garantir que les données ne soient pas traitées en violation de la PDPA.

Aperçu :
Alibaba Cloud fournit une infrastructure cloud résiliente et hautement disponible en Malaisie, avec trois zones de disponibilité (AZ) à Kuala Lumpur et deux AZ à Johor. Avec une conception de solution adaptée, elle peut répondre aux exigences de sécurité, de résilience, de récupérabilité et de performance des entités réglementées du secteur des services financiers. Alibaba Cloud a aidé plusieurs clients à minimiser les risques de perte de confidentialité, d'intégrité et de disponibilité lors de leur migration vers un cloud public.

Alibaba Cloud s'engage à accompagner ses clients dans leur conformité aux exigences réglementaires spécifiques au secteur financier, notamment la diligence raisonnable initiale et l'évaluation des risques, la sélection des solutions, la mise en œuvre et la transition, ainsi que l'assurance post-mise en œuvre. Alibaba Cloud propose une gamme complète de services pour y contribuer, comprenant des réponses à chaque aspect de l'évaluation de diligence raisonnable, des bonnes pratiques en matière de configuration des services et des produits, des outils automatisés et continus de vérification de la sécurité, ainsi qu'une assurance sur la conception et l'efficacité opérationnelle des contrôles internes, attestée par nos rapports d'audit indépendants.

Régulateur :
• Bank Negara Malaysia (BNM) : La banque centrale de Malaisie, responsable de la stabilité monétaire et financière, ainsi que de la réglementation prudentielle et de la supervision des banques, des assureurs, des opérateurs takaful, des opérateurs de systèmes de paiement et des prestataires de services de paiement.
• Securities Commission Malaysia (SC) : L'organisme statutaire chargé de la réglementation et du développement systématique des marchés de capitaux malaisiens, supervisant les bourses, les intermédiaires, les gestionnaires de fonds et les entités d'actifs numériques.

Réglementations et lignes directrices à consulter lors de l'utilisation de services de cloud computing :
1.Document de politique BNM sur la gestion des risques technologiques (RMiT)

(Dernière révision : novembre 2025)
Le cadre RMiT de la BNM établit des normes obligatoires en matière de gouvernance technologique, de résilience opérationnelle, de gestion des risques et de cybersécurité pour les institutions financières. Les institutions financières qui adoptent le cloud public doivent se conformer à l'annexe 10 (Principaux risques et mesures de contrôle pour les services cloud). Cette annexe fournit des orientations supplémentaires aux institutions financières pour l'évaluation des principaux risques courants et l'examen des mesures de contrôle lors de l'adoption du cloud public pour les systèmes critiques. Ces orientations sont largement applicables à divers modèles de services cloud, et les institutions financières doivent adopter une approche fondée sur les risques pour leur mise en œuvre.

2.Exigences technologiques de la BNM pour les entités réglementées des services de paiement (TR PD)

(Publié le : 12 mars 2026)
Le TR PD établit des normes de gestion des risques technologiques, de cybersécurité et de résilience opérationnelle adaptées aux entités réglementées des services de paiement non bancaires (PSR), y compris les émetteurs de monnaie électronique, les acquéreurs commerçants, les entreprises de services monétaires et les opérateurs de systèmes de paiement désignés. Il introduit un cadre échelonné avec des exigences explicites concernant la gestion des prestataires tiers, les évaluations des risques liés aux services cloud, les contrôles d'accès et le signalement des incidents de cybersécurité.

3.Document de politique de la BNM sur l'externalisation

(Publié le : 23 octobre 2019)
La BNM a mis à jour les lignes directrices sur les dispositifs d'externalisation pour les institutions financières en octobre 2019. Ces lignes directrices définissent les exigences en matière de gestion des processus et des risques d'externalisation pour les institutions financières. Un processus de diligence raisonnable complet et rigoureux doit être mené par les institutions financières auprès de leurs prestataires de services externalisés, y compris les fournisseurs de services cloud.

4. Lignes directrices de la SC sur la gestion des risques technologiques (GTRM)

(Révisé le : 19 août 2024)
Le GTRM définit les attentes en matière de gouvernance des risques technologiques, de fiabilité opérationnelle et de cyber-résilience pour les entités du marché des capitaux. Pour l'adoption du cloud, il met l'accent sur une gouvernance robuste des tiers, la résilience opérationnelle et la sécurité des données dans les environnements cloud, ainsi que sur le signalement proactif des incidents.

Le cloud est-il autorisé ?
Oui.

Une approbation supplémentaire est-elle nécessaire ?
L'accord écrit préalable de la BNM doit être obtenu avant de conclure un nouvel accord d'externalisation important ou de modifier de manière significative un accord d'externalisation important existant. Pour les accords d'externalisation non importants, les institutions financières sont tenues de tenir un registre complet, exact et à jour, et de le mettre à la disposition de la BNM sur demande.

Les dispositifs d'externalisation offshore sont-ils autorisés ?
La BNM autorise l'externalisation hors de Malaisie, à condition que les institutions financières traitent les risques supplémentaires (tels que les risques pays) associés aux dispositifs d'externalisation à l'étranger, garantissent une capacité équivalente à surveiller les prestataires de services et à assurer la reprise d'activité en cas de défaillance de ces prestataires, et maintiennent la capacité de la BNM à accéder rapidement et sans restriction aux systèmes, aux informations ou aux documents. Alibaba Cloud dispose de deux zones de disponibilité en Malaisie, ce qui permet aux institutions financières locales de les utiliser et de les gérer afin d'atténuer les risques associés à l'externalisation à l'étranger.