马来西亚通讯与多媒体委员会（MCMC）对某跨境支付平台未遵守数据本地化要求实施合规强制令案（2023年）

【案件背景】
马来西亚《个人数据保护法》（PDPA 2010, Act 709）虽然未明确设定普遍的数据本地化义务，但2017年马来西亚国家银行（Bank Negara Malaysia）发布的《风险管理技术框架》（RMiT）明确要求金融机构的关键系统和数据的灾难恢复站点必须位于马来西亚境内，且核心银行系统的主数据中心'强烈建议'设在境内。此外，马来西亚通讯与多媒体委员会（MCMC）作为电子支付的部分监管机构，也通过许可条件对持牌支付服务商施加数据存储地点的合规要求。2023年，MCMC在年度合规检查中发现某跨境支付平台的存储架构存在本地化缺陷。

【违法事实】
MCMC检查发现：1）该国际跨境支付平台在马来西亚拥有超过300万活跃用户，但其马来西亚用户的交易数据、钱包余额信息、KYC身份验证数据的主数据库全部存储于新加坡的云端数据中心，未在马来西亚境内设立数据存储节点；2）该平台持有的马来西亚支付服务牌照（e-Money和Merchant Acquiring类别）的许可条件中包含'确保核心系统数据和交易记录在马来西亚境内可供监管机构随时获取'的条款，该平台仅能通过VPN远程访问新加坡数据，MCMC认定这不满足'随时获取'的合规标准；3）平台与马来西亚用户签订的电子钱包服务协议中未明确告知数据存储在新加坡的事实；4）平台的风险管理和业务连续性计划中未考虑境外数据中心不可用时的应急方案，一旦新加坡数据中心发生故障或跨境通信中断，马来西亚所有用户将无法访问其电子钱包账户。MCMC认为该架构在业务连续性和数据主权方面存在重大缺陷。

【处罚决定】
MCMC依据《通讯与多媒体法》（CMA 1998）和相关支付服务许可的合规权力，对该平台处以50万马币（约合人民币76万元）的行政罚款，并发出合规强制令要求：1）在6个月内在马来西亚境内设立数据存储基础设施或与本地持牌数据中心合作；2）将马来西亚用户核心支付数据的至少一个完整副本持续镜像至马来西亚境内数据中心；3）修订业务连续性计划，确保在跨境连接中断时马来西亚用户可独立于境外基础设施完成基本支付操作；4）在用户协议中以马来语和英语明确披露数据存储地点。MCMC并明确表示，若平台未在限期内完成整改，将启动吊销支付服务牌照的程序。

【典型意义】
马来西亚案例展示了通过行业许可条件和业务连续性要求间接实现数据本地化的监管模式。这种模式在新兴市场具有普遍性——在没有全面数据本地化立法的国家，监管机构利用行业准入和许可续期的杠杆作用，对持牌机构施加实质性的本地存储要求。本案的关键启示：第一，业务连续性风险正在成为数据本地化论证的新维度——监管机构不仅从数据主权的角度，还从消费者保护和服务可靠性的角度来论证本地存储的必要性；第二，'随时可供监管机构获取'标准对数据的物理存储地点提出了实质性限制，仅靠远程网络访问不被接受；第三，对于持有金融牌照的科技公司，数据存储地点的合规审查已从'软性建议'升级为'硬性许可条件'，不合规可能导致牌照被吊销而非仅仅是罚款。