Licensierade sociala medieplattformar i Malaysia har ett fast datum att förhålla sig till. Enligt lagen om onlinesäkerhet 2025 (Online Safety Act 2025) måste de lämna in sina onlinesäkerhetsplaner till Malaysias kommunikations- och multimediakommission (MCMC) senast den 28 december, och de måste införa åldersverifiering för användare i början av januari 2027. För användarna är den centrala frågan integriteten vid Malaysias åldersverifiering för sociala medier: vilket åldersbevis kommer att efterfrågas, vem kommer att se det och hur det kommer att hållas säkert.

Den korta rapporten från The Sun Malaysia innehåller få tekniska detaljer, så den här artikeln skiljer på vad som är bekräftat och vad som fortfarande är oklart.

Vad Malaysias lag om onlinesäkerhet kräver av plattformarna

Enligt källrapporten ligger skyldigheterna på licensierade sociala medieplattformar och kommer i två steg:

  • Senast den 28 december: lämna in en onlinesäkerhetsplan till MCMC.
  • Början av januari 2027: inför åldersverifiering för användare.

Rapporten anger inte vad en onlinesäkerhetsplan måste innehålla, vilka verifieringsmetoder som kommer att godtas eller hur data som samlas in för ålderskontroller måste hanteras. Dessa detaljer är viktigast för integriteten, och läsare bör hålla utkik efter vägledning från MCMC och plattformarna själva.

Annan rapportering som dyker upp i sökresultat beskriver en minimiålder på 16 år för att inneha konton på sociala medier och användning av officiell legitimation som MyKad eller pass. En del av dessa rapporter anger tidigare ikraftträdandedatum än tidslinjen i början av januari 2027 i den här artikeln. Eftersom tidslinjerna skiljer sig mellan källorna bör specifika datum och metoder behandlas med försiktighet tills tillsynsmyndigheter eller plattformar bekräftar dem.

Hur åldersverifiering kan samla in och exponera användardata

Åldersverifiering är inte en enda teknik. I allmänhet kan en plattform be användare att ange födelsedatum, ladda upp ett statligt dokument, skicka in ett foto eller en video för uppskattning, eller förlita sig på en tredjepartsverifierare. Varje tillvägagångssätt medför en annan integritetskostnad.

Risken är lättast att se vid dokumentbaserade kontroller. Om en plattform eller en underleverantör hanterar en identitetshandling kan dessa data omfatta fullständigt namn, ID-nummer, foto och födelsedatum. Kopplat till ett konto som innehåller meddelanden, surfvanor och sociala kontakter blir det en långt känsligare uppgift än enbart ett födelsedatum. Var dessa data lagras, hur länge de sparas och vem som kan komma åt dem är frågor som onlinesäkerhetsplanerna kan eller inte kan besvara offentligt.

Flera praktiska problem följer:

  • Datalagring: behåller plattformen en kopia av legitimationen, eller bara ett ja/nej-resultat?
  • Tredje parter: är externa verifieringsleverantörer inblandade, och enligt vilka regler?
  • Exponering vid intrång: stora lager av identitetshandlingar är attraktiva mål för angripare.
  • Koppling: kan en verifierad identitet knytas till en användares inlägg och aktivitet?

Källartikeln besvarar ingen av dessa frågor. Det gapet är anledningen till att civilsamhällesorganisationer och integritetsförespråkare tenderar att driva på för dataminimering: samla in så lite information som möjligt, radera den snabbt och föredra kontroller som bekräftar ålder utan att avslöja identitet.

Hur Malaysia jämförs med andra åldersgränsregimer

Malaysia är inte ensamt om att röra sig mot ålderskontroller. Nya Zeelands Department of Internal Affairs uppges bygga ett ramverk för att begränsa åtkomsten till sociala medier för personer under 16 år, och vår rapportering om NZ:s åldersverifieringsplan och övervakningsfarhågor noterar att arbetet pågår innan den möjliggörande lagstiftningen är på plats.

Parallellen är användbar. I båda fallen stöter ett politiskt mål som många stöder, att hålla barn säkrare online, på en svårare fråga om hur man bevisar ålder utan att bygga ett övervakningslager. Malaysias tillvägagångssätt sätter hårda tidsfrister i lag och lägger efterlevnadskyldigheter på licensierade plattformar. Vad man ännu inte har visat offentligt är de skyddsåtgärder som bör åtfölja dessa skyldigheter.

Var VPN kommer in i debatten om åldersverifiering

Källartikeln nämner inte VPN, men de tenderar att dyka upp i alla diskussioner om åldersgränser. Vissa sökresultat om Malaysias regler hävdar att begränsningarna snabbt kringgicks, i ett fall med ett falskt födelsedatum. Det pekar på en bredare verklighet: svaga kontroller är lätta att kringgå, medan starka kontroller kräver mer personuppgifter. Tillsynsmyndigheter svarar ofta på den spänningen genom att skärpa verifieringen, vilket återigen höjer integritetsinsatserna.

Det är värt att vara precis om vad ett VPN gör. Det maskerar din IP-adress och krypterar trafiken mellan din enhet och VPN-servern. Det ändrar inte den identitetsinformation du ger en plattform. Om en tjänst begär din legitimation eller en ansiktsskanning kommer ett VPN inte att göra dessa data mindre känsliga när de väl har skickats in. Läsare bör också undvika att anta att det är riskfritt att kringgå ett lagkrav, eftersom plattformsvillkor och lokal lagstiftning kan gälla.

Vad detta innebär för dig

Om du bor i Malaysia och använder sociala medier, eller är förälder till någon som gör det, förvänta dig uppmaningar att bekräfta ålder när början av januari 2027 närmar sig. Den exakta metoden beror på varje plattforms plan och på MCMC:s krav.

Några förnuftiga steg:

  1. Läs verifieringsuppmaningen noggrant. Kontrollera vad som begärs, varför och om plattformen namnger en tredjepartsverifierare.
  2. Leta efter uppgifter om lagring. Ett integritetsmeddelande bör ange hur länge ID-data sparas och om de raderas efter kontrollen.
  3. Dela minimalt. Om fler än en metod erbjuds, överväg den som exponerar minst identifierande data.
  4. Säkra dina konton. Använd ett unikt lösenord och tvåfaktorsautentisering, eftersom verifierade konton innehåller mer värdefulla data.
  5. Var vaksam mot bedrägerier. Falska verifieringsmeddelanden är en vanlig nätfisketaktik i samband med nya regler. Använd endast verifieringsflödet i den officiella appen eller på webbplatsen.

Slutsatser inför utrullningen 2027

De bekräftade fakta är få: onlinesäkerhetsplaner ska lämnas till MCMC senast den 28 december, och åldersverifiering börjar i början av januari 2027 enligt lagen om onlinesäkerhet 2025. De öppna frågorna kring integriteten vid Malaysias åldersverifiering för sociala medier är mycket bredare och omfattar vilka data som samlas in, hur de skyddas och hur länge de lagras.

Använd månaderna framöver till att förstå avvägningarna innan du ombeds verifiera dig. Följ meddelanden från MCMC och dina plattformar, och för en jämförbar debatt, läs vår rapport om Nya Zeelands åldersverifieringsplan för att se hur liknande farhågor utspelar sig på andra håll.