中国企业出海之m88 casino合规 —— 东南亚系列（二）：马来西亚、印度尼西亚

近几年来，我国将东盟国家作为周边外交的优先方向和高质量共建“一带一路”的重点地区。中国同东盟国家在各类经济领域的多方面合作已经成为亚太地区经济区域协作的重要典范。据官方发布的文件显示，中国同东盟国家在基础设施联通、区域经济贸易、数字经济伙伴关系等多方面都正在取得积极的合作成果¹。在此背景下，中国企业向东南亚各国开展各类出海业务的经济活动显著增多，当这些经济活动涉及开展个人m88 casino处理活动，就不得不考虑如何遵守当地m88 casino保护相关法律和监管的要求，规避跨国经营中的m88 casino合规风险。鉴于此，我们初步选取东南亚地区的四个国家：泰国、越南、马来西亚和印度尼西亚进行研究，希望通过对这些国家的m88 casino合规制度和实践的分析讨论，为中国企业开展出海业务提供m88 casino合规指引方向。

《中国企业出海之m88 casino合规—— 东南亚系列（一）：泰国、越南》一文主要介绍了泰国和越南的m88 casino合规制度及实践，本文将聚焦于马来西亚和印度尼西亚。

一、概述

马来西亚在个人m88 casino保护方面的综合性法律文件为2010年颁布并于2013年正式生效的《个人m88 casino保护法》（Personal Data Protection Act, 以下简称“马来西亚PDPA”）。此外，马来西亚还陆续颁布多项配套规定，包括2013年颁布的《个人m88 casino保护条例》（Personal Data Protection Regulations，以下简称“马来西亚PDPR”）、《个人m88 casino保护（m88 casino使用者类别）指令》、《个人m88 casino保护（m88 casino使用者注册）条例》、《个人m88 casino保护（费用）条例》，2015年颁布的《个人m88 casino保护标准》，2016年颁布的《个人m88 casino保护（m88 casino使用者类别）（修订）指令》、《个人m88 casino保护（复合犯罪）条例》，2021年颁布的《个人m88 casino保护（上诉仲裁庭）条例》等。这些法律法规、指南与通信、银行和金融、保险、酒店等行业的相关立法以及相应的司法判例共同构成了马来西亚的个人m88 casino保护法律体系。

印度尼西亚在在个人m88 casino保护方面的综合性法律文件为2022年颁布的《个人m88 casino保护法》（Law No.27 of 2022 regarding Personal Data Protection，以下简称“印尼PDPL”）。印尼政府也正在为该法的实施制定配套制度文件，并已于2023年颁布了《个人m88 casino保护法实施条例草案》（the Draft of the Government Regulation of 2023 regarding the Implementation of Law Number 27 of 2022 regarding Personal Data Protection，以下简称“实施条例草案”）。值得一提的是，在印尼PDPL颁布前，印尼主要以《电子信息及交易法》（Law No. 11 of 2008 on Electronic Information and Transactions）及其实施条例《2019年关于实施电子信息及交易法的第71号政府条例》（Government Regulation No. 71 of 2019 on the Implementation of Electronic Systems and Transactions）、《2016 年关于电子系统中个人m88 casino保护的第29号条例》（Regulation No. 20 of 2016 on Personal Data Protection in Electronic System）三部法律文件形成m88 casino保护法律框架。这三部法律目前在不与印尼PDPL相抵触的情况下仍然有效。由于印尼PDPL在前述法律基础上加强了m88 casino保护力度，保护范围也更全面，因此本文将着重围绕印尼PDPL展开对印尼m88 casino保护法律制度的介绍。

下文将从个人m88 casino保护法的适用范围和重要定义、个人m88 casino处理的合法性基础、告知同意的要求、m88 casino主体权利、m88 casino控制者和处理者的义务、跨境转移规则、m88 casino保护影响评估（简称“DPIA”）、m88 casino保护官（简称“DPO”）的任命要求等方面对两国的法律法规要求展开对比分析，旨在回应企业出海过程中普遍关注的个人m88 casino保护要求，对企业出海业务的开展提供指引。

二、个人m88 casino保护法的适用范围

(一)马来西亚PDPA的适用范围

马来西亚PDPA第2条与第3条分别从正反两方面明确了PDPA的适用范围。根据马来西亚PDPA第2条，该法适用于商业交易中处理（处理包括使用、传播、收集、记录和/或存储）或控制个人m88 casino处理的任何主体，如果（1）该主体在马来西亚设立且个人m88 casino是由该主体或该主体雇佣、聘用的任何其他主体进行处理的；或（2）该主体并未在马来西亚设立，但使用马来西亚的设备处理个人m88 casino且此种处理的目的并非仅从马来西亚过境。而第3条和第45条则明确马来西亚PDPA不适用的场景，包括不适用于（1）联邦政府和州政府；（2）在马来西亚境外处理的个人m88 casino且该个人m88 casino并不打算在马来西亚进一步处理；（3）出于个人、家庭或家庭事务，包括娱乐目的而处理的个人m88 casino。

从条文的规定可以看出，马来西亚PDPA对适用范围规定的较为细致，在主体上排除了对联邦政府和州政府的适用，在内容方面则排除了对未在马来西亚境内设立的主体仅出于在马来西亚过境的目的而进行的个人m88 casino处理活动、在马来西亚境外处理个人m88 casino且该m88 casino不会进一步在马来西亚处理以及出于个人、家庭或家庭事务处理个人m88 casino的三种情形的适用。因此，企业出海马来西亚可以根据自身出海的模式判断是否会受到马来西亚PDPA的约束。

(二)印尼PDPL的适用范围

印尼PDPL第2条规定其适用于在印尼境内处理个人m88 casino的任何个人、企业、公共机构和国际组织，如果m88 casino处理主体（1）位于印尼境内；或（2）位于印尼境外，但个人m88 casino处理行为对印尼或位于印尼境外的印尼个人m88 casino主体会产生法律上的效果。该条款也同时明确其不适用于个人基于个人或家庭活动而开展的个人m88 casino处理行为。

印尼PDPL对于适用范围的表述采用了“产生法律上的效果”这一较为笼统的表述，扩大了其域外效力范围，为立法者与执法者留下了较大的解释空间。因此，企业出海印度尼西亚应当格外留意有关机关对于“产生法律上的效果”的解释，从而判断其业务场景是否将受到印尼PDPL的约束。

(三)重要定义

个人m88 casino保护领域有一些普遍但重要的定义，该等定义对于企业如何开展个人m88 casino保护工作有较大的影响。据此，我们对马来西亚PDPA和印尼PDPL中重要概念/术语的定义，做了如下对比。

(1) 个人m88 casino

在个人m88 casino的定义方面，马来西亚PDPA与印尼PDPL的规定较为类似，均指能够直接或间接与个人相关联并识别具体个人的信息。但马来西亚PDPA还额外强调了个人m88 casino必须是与商业交易相关，且通过设备自动化操作进行处理并作为相关归档系统的一部分进行记录或打算将其作为相关归档系统的一部分的信息。

(2) 敏感个人m88 casino

在敏感个人m88 casino的定义方面，马来西亚PDPA和印尼PDPL均采用列举方式明确其定义。马来西亚PDPA规定敏感个人m88 casino是指m88 casino主体的身体、精神健康状况信息、政治观点、宗教信仰或性质相似的其他信仰、所犯或被指控犯下的任何罪行信息的个人m88 casino，或负责个人信息保护部门的部长通过在《政府公报》上发布的命令确定的任何其他个人m88 casino。马来西亚PDPA没有对健康m88 casino、生物识别m88 casino进行特别说明，但通常这类m88 casino与m88 casino主体的身体、精神健康状况相关，因此也落入敏感个人m88 casino的范畴。

印尼PDPL则采用“特定个人m88 casino”表示敏感个人m88 casino，并规定其包括：健康相关的m88 casino和信息、生物识别m88 casino、遗传m88 casino、犯罪记录、儿童m88 casino、个人财务m88 casino及相关法律法规规定的任何其他m88 casino。

(3) 其他

除了个人m88 casino与敏感个人m88 casino之外，值得注意的是马来西亚PDPA没有采用m88 casino控制者（data controller）的概念，而是采用了m88 casino使用者（data user）的概念，但其定义与m88 casino控制者较为类似，为单独或与他人联合或共同处理任何个人m88 casino或控制或授权处理任何个人m88 casino的主体，但不包括m88 casino处理者。下文马来西亚部分将采用“m88 casino使用者”这一术语。

三、处理个人m88 casino的合法性基础及告知同意的要求

(1) 合法性基础

基于对个人m88 casino的保护，全球各国基本都规定处理个人m88 casino必须具备合法性基础。除了“获取m88 casino主体的同意”之外，还存在为签订和履行与m88 casino主体的合同所必须、为履行法定职责或法定义务所必须、m88 casino主体的切身利益等合法性基础。

马来西亚原则上要求处理个人m88 casino必须获得m88 casino主体的同意，但是也提供了同意之外的其他合法性基础，包括为签订和履行与m88 casino主体的合同所必须、遵守m88 casino使用者的法定义务、保护m88 casino主体的切身利益、司法行政、行使法律职能。印尼原则上也要求处理个人m88 casino必须获得m88 casino主体的同意，但也同样提供了同意之外的其他合法性基础，包括履行与m88 casino主体的合同所必须、遵守m88 casino控制者的法定义务、保护m88 casino主体的切身利益、公共利益、合法利益。

值得注意的是，虽然“m88 casino主体的同意”并非唯一的合法性基础，但其仍然在个人m88 casino处理过程中起到重要作用。马来西亚与印尼两国均对告知和同意提出了严格的要求。

(2) 马来西亚有关告知同意的具体要求

在告知要求方面，马来西亚PDPA第7条对告知原则作出了规定，该原则要求m88 casino使用者向m88 casino主体告知与其正在或即将被处理的个人m88 casino相关的各种事项。其具体规定为，m88 casino使用者应当通过书面形式告知m88 casino主体：

• m88 casino主体的个人m88 casino正在或即将由m88 casino使用者或其代表处理，并应向该m88 casino主体提供对这部分个人m88 casino的描述；

• 收集或将要收集与进一步处理个人m88 casino的目的；

• m88 casino使用者所知的该个人m88 casino来源的任何信息；

• m88 casino主体请求访问和更正个人m88 casino的权利，以及如何就个人m88 casino向m88 casino使用者咨询或投诉；

• m88 casino使用者向其披露或可能向其披露个人m88 casino的第三方类别；

• m88 casino使用者提供给m88 casino主体的限制个人m88 casino处理的选择和手段，包括可能从中识别出的其他人的个人m88 casino；

• m88 casino主体提供个人m88 casino是强制性还是自愿性的；

• 如果m88 casino主体提供个人m88 casino是强制性的要求，m88 casino主体不提供个人m88 casino会导致的后果。

此外，马来西亚PDPA第7条还对通知的时间作出规定，即“尽快提供”。具体而言，m88 casino使用者向m88 casino主体提供前述通知的时间应当为：

• 当m88 casino使用者首次要求m88 casino主体提供其个人m88 casino时；

• 当m88 casino使用者首次收集m88 casino主体的个人m88 casino时；或

• 在任何其他情况下，在m88 casino使用者：

a) 将m88 casino主体的个人m88 casino用于与收集个人m88 casino目的不同的其他目的之前；或

b) 向第三方披露个人m88 casino之前。

同时，在通知的形式上，马来西亚个人m88 casino保护部门（Department of Personal Data Protection）2022年发布的《准备个人m88 casino保护通知指南》还要求m88 casino使用者同时提供通知的马来语及英语版本，并应当向个人提供清晰且易于获取的方式行使选择权。

在同意方面，马来西亚PDPA第6条原则性地规定了除非符合其他规定，否则m88 casino使用者必须就处理个人m88 casino获得m88 casino主体的同意。马来西亚PDPR第3条则进一步明确获取m88 casino主体的同意需要满足如下要求：

• m88 casino使用者获取m88 casino主体同意的形式可以是任何m88 casino使用者能够妥善记录并保存m88 casino主体同意的形式；

• 如果该作出同意的形式同时涉及其他事项，而非仅涉及个人m88 casino的处理，获取同意的要求应当在其表面上能与其他事项显著区分。

(3) 印度尼西亚有关告知同意的要求

印尼PDPL第21、22条对m88 casino主体的同意和m88 casino控制者的告知义务作出了规定。

在告知义务方面，印尼PDPL第21条规定，如果m88 casino控制者处理个人m88 casino的合法性基础为m88 casino主体的同意，则应当向m88 casino主体提供如下的信息：

• 处理个人m88 casino的合法性；

• 处理个人m88 casino的目的；

• 将被处理的个人m88 casino的类型和相关性；

• 包含个人m88 casino的文件的存储期限；

• 收集信息的详细情况；

• 个人m88 casino处理的期限；

• m88 casino主体的权利。

同时，如果上述信息发生变化，m88 casino控制者应当在上述信息变化之前通知m88 casino主体。

关于m88 casino主体的同意必须满足以下要求：

• 同意应当以书面或可记录的形式作出，包括电子与非电子的形式，且不同形式具备同等的法律效力；

• 如果该作出同意的形式同时涉及其他事项，则应当：

a) 将获取同意的请求与其他事项进行清楚显著的区分；

b) 采用易于理解和访问的形式；

c) 使用简单明了的语言。

四、m88 casino主体的权利

马来西亚PDPA与印尼PDPL赋予m88 casino主体的个人m88 casino权利类型均涵盖了查阅复制权、更正权、删除权、撤回同意的权利、限制处理的权利、反对权。然而印尼还规定了m88 casino主体享有m88 casino可携带权以及反对自动化决策权，马来西亚PDPA则未包含该等权利。除此之外，不同于主流体系的m88 casino主体权利，马来西亚PDPA还赋予了m88 casino主体一项独特的权利，即防止可能造成损害或困扰的处理的权利（Right to prevent processing likely to cause damage or distress），该权利允许m88 casino主体随时以书面形式通知m88 casino使用者，要求m88 casino使用者在合理期限内停止或不开始为特定目的处理个人m88 casino或以特定方式处理个人m88 casino，如果m88 casino主体主张（1）该个人m88 casino的处理或为特定目的或以特定方式处理个人m88 casino正在造成或可能造成对m88 casino主体或另一个人的重大损害或重大困扰；且（2）该损害或困扰是或将是不合理的。该权利赋予了m88 casino主体一定程度的反对权和限制处理权，虽然此种权利的行使存在限制，但相较于GDPR中限制处理权的行使条件（如个人m88 casino不准确、m88 casino处理是非法的等），该权利行使的条件较不明确，可能会为企业带来较多基于该权利的权利行使请求，增加一定合规负担。因此，企业应当留意该权利并对其在运营上进行针对性的准备。

在m88 casino主体请求响应的时间要求方面，马来西亚PDPA要求m88 casino使用者在收到相关权利请求的21天内完成响应。而印尼PDPL则要求m88 casino控制者在收到相关权利请求之后的72小时内响应。

五、m88 casino控制者和处理者的权利义务

企业作为m88 casino控制者与m88 casino处理者两种不同的m88 casino处理角色时，需要承担的义务也是不同的。马来西亚与印尼对于两种m88 casino处理角色所需承担义务的规定如下：

在一般义务方面，两国均规定由m88 casino控制者（马来西亚PDPA下称“m88 casino使用者”）落实告知同意的要求、确保个人m88 casino处理存在合法性基础、处理目的合法正当、确保个人m88 casino完整、准确、并采取适当的组织和技术措施保障个人m88 casino的安全。而m88 casino处理者主要是在m88 casino安全方面履行m88 casino保护义务并配合m88 casino控制者履行相关法律义务。印尼PDPL还额外要求，无论是m88 casino控制者还是m88 casino处理者均应履行个人m88 casino处理活动记录义务。

在具体义务方面，m88 casino控制者和m88 casino处理者承担的义务也存在显著差异：

(1) 响应m88 casino主体的权利请求：马来西亚与印尼均规定应当由m88 casino控制者在规定时间内响应m88 casino主体的个人权利请求，而未对m88 casino处理者的义务作出要求。

(2) 发生m88 casino泄露等安全事件时的通知：马来西亚未对此种情况下的通知义务作出规定。而印尼PDPL则仅规定由m88 casino控制者在发生m88 casino泄露时书面通知监管机构和受影响的个人，但没有明确m88 casino处理者在此种情形下的义务。

(3) DPIA：马来西亚PDPA没有对开展DPIA作出具体要求，而印尼PDPL则仅要求m88 casino控制者必须在法定情形下开展DPIA。

(4) 数据跨境转移：两国均要求由m88 casino控制者履行作为m88 casino对外传输方的合规义务，而m88 casino处理者仅可能作为m88 casino的接收方存在。印尼PDPL还额外明确m88 casino控制者同样可能作为个人m88 casino境外接收方并应当履行相应的合规义务。

企业出海拓展业务时，应当先判断在不同场景下自身的m88 casino处理角色，即是属于能够自主决定处理个人m88 casino的目的与方式的m88 casino控制者（m88 casino使用者），还是代表m88 casino控制者根据其指令开展个人m88 casino处理活动的m88 casino处理者。不同角色所需要承担的法律义务与法律责任大不相同，只有明确了m88 casino处理角色，方才能确定自身的法律义务。

六、m88 casino跨境转移规则

(一)马来西亚

马来西亚PDPA由于颁布时间较早，与目前主流的GDPR中的m88 casino跨境转移规则有些许差异。马来西亚PDPA第129条规定，原则上m88 casino使用者不得将m88 casino主体的任何个人m88 casino转移到马来西亚境外，除非：

（1）发布于公报上的国家：转移至通信与多媒体部部长根据专员的建议发布在公报上的国家（即白名单国家）。这些国家应当：

a) 存在一部与马来西亚PDPA在实质上相似的法律，或该法律服务于与马来西亚PDPA相同的目的；或

b) 在个人m88 casino处理方面至少提供与马来西亚PDPA相当的充分保护。

（2）符合法定的例外情形。这些例外情况具体包括：（i）m88 casino主体同意该转移；（ii）该转移对于m88 casino主体和m88 casino使用者之间的合同履行是必要的；（iii）该转移对于m88 casino使用者与第三人之间的合同的订立或履行是必要的，如果该合同是应m88 casino主体的请求而订立的或该合同是为了m88 casino主体的利益；（iv）该转移是出于法律程序的目的，或为了获取法律意见，或为了确立、行使或维护法律权利；（v）m88 casino使用者有合理的理由相信，该转移是为了避免或减轻对m88 casino主体的不利行动且在事实上无法获得m88 casino主体的书面同意，如果获取同意是可行的，m88 casino主体一定会作出书面同意；（vi）m88 casino使用者已经采取了所有合理的预防措施，并行使了应有的勤勉，以确保个人m88 casino在该国的处理方式置于马来西亚也不会违反本法的要求；（vii）该转移是为了保护m88 casino主体的切身利益；（viii）此种转移对于在通信与多媒体部部长确定的符合公共利益的情况而言是必须的。

2017年，马来西亚个人m88 casino保护委员发布了《个人m88 casino保护（向马来西亚以外的地区转移个人m88 casino）令》草案，其中规定m88 casino使用者将无需依赖m88 casino主体的同意或马来西亚PDPA规定的例外情况，即可将个人m88 casino转移到白名单所列的地区（包含中国）。然而，该草案截至目前尚未通过。企业如果出海马来西亚，可以密切关注相关立法的进展以决定企业应当在m88 casino跨境转移方面采取的措施。

(二)印度尼西亚

印尼PDPL的m88 casino跨境转移规则与GDPR较为相似，要求m88 casino控制者在向印尼以外的国家或地区转移任何个人m88 casino之前，应首先确保该等m88 casino转移具有以下任一合法依据：

（1）充分的保护水平。接收个人m88 casino的m88 casino控制者和/或处理者的注册地所在国应当提供等同于或高于印尼PDPL规定的m88 casino保护水平。考虑是否具有同等m88 casino保护水平的判断标准包括：是否制定个人m88 casino保护法、是否存在个人m88 casino保护监管部门或机构、是否已通过国际条约或其他法律文件作出国际性承诺或约定其他义务；是否已加入相关的个人m88 casino保护多边性或区域性的体系等。目前尚未发布被认定具有充分保护水平的国家/地区的名单。

（2）足够且有约束力的个人m88 casino保护。m88 casino控制者应当确保提供了足够且具有约束力的个人m88 casino保障措施。此类个人m88 casino保障措施包括：m88 casino传输方与m88 casino接收方之间的国际条约、个人m88 casino保护标准合同条款、具有约束力的集团政策、个人m88 casino保护监管机构认为是充分且具有约束力的其他文书。

（3）m88 casino主体的同意。m88 casino控制者应当就该m88 casino跨境转移获得m88 casino主体的同意。

需要注意的是，这三种m88 casino跨境转移的法律依据的适用存在先后顺序，只有在前一种法律依据不存在的情况下，才应当考虑是否符合后一种法律依据。

七、DPIA

在DPIA方面，马来西亚PDPA并未对其作出具体规定。

印尼PDPL则规定，如果个人m88 casino处理对个人m88 casino主体构成高潜在风险，m88 casino控制者应当开展DPIA。具有高潜在风险的个人m88 casino处理行为包括：（1）对m88 casino主体产生法律效果或重大影响的自动化决策；（2）特定个人m88 casino的处理；（3）大规模个人m88 casino的处理；（4）为了系统评估、打分或监控m88 casino主体而处理个人m88 casino；（5）为了匹配或组合一组m88 casino的活动而处理个人m88 casino；（6）使用新技术处理个人m88 casino；和/或（7）限制m88 casino主体权利行使的个人m88 casino处理。同时，实施条例草案则进一步要求DPIA必须存在文件记录，且应当包含：对个人m88 casino处理活动和处理目的进行系统性描述（包括m88 casino控制者的利益）、对于个人m88 casino处理活动与处理目的之间的必要性及相称性进行评估、为保护m88 casino主体的权利而进行的风险评估、m88 casino控制者为保护m88 casino主体免受个人m88 casino处理风险而采取的措施。此外，m88 casino控制者还应当在个人m88 casino处理风险发生变化时重新开展评估。

八、组织内设置DPO的要求

关于在企业组织内设置DPO的要求，马来西亚PDPA并未作出相关规定。但2020年马来西亚发布的Public Consultation Paper No. 01/2020中就是否需要引入m88 casino使用者任命DPO的法律义务向社会征求意见。但截至目前，马来西亚尚未发布正式法律文件，故指定DPO在马来西亚并非强制义务。

印尼则对指定DPO的义务作出了要求，规定如下：

(1) 触发任命的情形：

印尼PDPL规定，在以下情况下，m88 casino控制者和m88 casino处理者必须指定一名DPO：

• 为公共利益处理个人m88 casino；

• m88 casino控制者主要活动的性质、范围和/或目的需要定期、系统性地监控大规模的个人m88 casino；

• m88 casino控制者的核心处理活动包括进行大规模的特殊处理和/或进行与犯罪行为有关的处理。

(2)资质和岗位要求：

指定DPO时，应当考虑其是否具有个人m88 casino保护方面的专业水平、相应法律知识、个人m88 casino保护实践经验以及履行任务的能力。DPO可以是内部员工，也可以从外部聘任。

(3)职责要求：

DPO应当履行如下义务：

• 为遵守m88 casino保护法律法规向m88 casino控制者或m88 casino处理者履行告知义务并提供建议；

• 监督并确保m88 casino控制者或m88 casino处理者遵守可适用的m88 casino保护法律法规及相关政策；

• 就DPIA提供建议，并监督m88 casino控制者和m88 casino处理者的表现；

• 协调并担任与个人m88 casino处理相关事宜的联络人；

• 向m88 casino控制者负责个人m88 casino处理安全的部门、负责人或各方提出建议和意见，以确保个人m88 casino处理安全符合法律法规的规定；

• 作出必要努力以确保负责个人m88 casino处理安全的部门、负责人或各方考虑到对m88 casino主体的权利和自由而采取相关技术和实施措施；以及

• 在评估负责个人m88 casino处理安全的部门、负责人或各方是否已经考虑到对m88 casino主体的权利和自由而采取相关技术和实施措施后，向董事会、个人m88 casino保护监管机构报告相关情况。

企业如希望在印度尼西亚设立公司实体，应当关注该国关于m88 casino合规管理人员或组织的任命要求，并密切关注后续具体实施条例的发布。对于希望在马来西亚设立公司实体的中国企业而言，虽然马来西亚目前没有强制要求企业指定DPO，但极有可能马来西亚未来对PDPA进行修订时便会加入相关条款。同时，从最佳实践的角度出发，我们建议企业无论是否触发强制任命DPO的情形，均应任命一名DPO以应对m88 casino保护合规的需求。

1. 参见推进“一带一路”建设工作领导小组办公室发布的《中国—东盟国家 共建“一带一路”发展报告》，https://www.yidaiyilu.gov.cn/a/icmp/2023/12/15/20231215179983118/c720a536a9494c1bb107420dbedacb40.pdf