印尼个人数据保护法合规要点与电商适用说明
印度尼西亚《个人数据保护法》（Undang-Undang Pelindungan Data Pribadi，简称 UU PDP 或 PDP Law）于2022年10月通过，2024年起分阶段实施，是东南亚监管强度与欧盟 GDPR 最为接近的隐私立法之一。对于计划出海印尼、或已在 Tokopedia、Shopee、Lazada、TikTok Shop 等平台运营的内地电商团队而言，PDP 法带来的不是”远期风险”，而是当下必须执行的运营改造——从注册流程的勾选项、用户协议的措辞，到跨境回传订单数据的合规评估，都已纳入法律强制要求。
本文以 PDP 法及其配套政府条例（以官方最新公布为准）为依据，按”数据生命周期”梳理电商企业的合规重点。
一、谁受 PDP 法约束？
PDP 法适用面极广，下列主体均在管辖范围内：
- 数据控制者（Pengendali Data Pribadi）：决定数据处理目的与方式的主体，包括电商平台、品牌方、卖家自营站
- 数据处理者（Prosesor Data Pribadi）：代表控制者处理数据的第三方，如云服务商、客服外包、支付通道、ERP/CRM 供应商
- 无论主体是否在印尼境内：只要处理印尼居民的个人数据，即受 PDP 法约束（域外效力）
- 公私部门均适用：不仅限于电商，金融机构、医疗、教育、社交平台同样在内
关键提示：内地总部若向印尼子公司回传订单数据用于风控分析，仍需满足 PDP 法关于”跨境传输”的全部要求。
二、个人数据的法律分类
PDP 法将数据分为两类，处理强度不同：
1. 一般个人数据（Data Pribadi Umum）
包括但不限于：姓名、地址、出生日期、性别、婚姻状况、联系方式、银行账户、电子邮件、IP地址、设备识别码、购物记录、浏览行为、收货地址等。
2. 特定个人数据（Data Pribadi Khusus）
法律给予更高保护，须取得明示同意（explicit consent）才能处理：
- 宗教信仰与世界观
- 健康、身体或精神状况
- 生物识别数据（指纹、面部识别、声纹）
- 性生活取向与性取向
- 财务与资产信息中的敏感部分
- 政治倾向、犯罪记录、子女抚养相关数据
电商中的典型敏感数据：支付卡号、CVV、健康相关问卷答案、人脸识别登录——均落入”特定数据”范畴。
三、PDP 法七项核心合规义务
电商业务涉及面广，下列七项义务是日常运营必须满足的最低线。
1. 同意管理（Consent Management）
- 同意须自愿、具体、知情、明确
- 默认勾选、捆绑勾选、模糊措辞均不构成有效同意
- 用户有权随时撤回，撤回须与给予同意一样容易
- 14岁以下儿童数据须取得父母或监护人同意
2. 目的限制（Purpose Limitation）
- 收集数据前须明确告知处理目的
- 不得超出约定目的使用数据
- 营销推送、风控建模、画像标签均属”新目的”，须重新取得同意或具备其他合法依据
3. 数据最小化与准确性
- 只收集为达成目的所必需的数据
- 不必要的字段一律不收集（典型的过度收集如：购买手机壳时要求填写身份证号）
4. 安全保护义务（Security Obligation）
- 采取合理技术与组织措施防止数据泄露、篡改、丢失
- 发生泄露须72小时内通报监管机构及受影响主体（具体阈值与执行细节以官方最新公布为准）
5. 数据主体权利响应
PDP 法赋予数据主体七项权利，电商企业须建立可执行的响应流程：
| 权利 | 业务场景举例 | 响应建议 |
|---|---|---|
| 知情权 | 用户询问数据被谁收集 | 在隐私政策中披露全部数据流向 |
| 访问权 | 用户索取自己订单数据副本 | 自助下载中心 + 客服通道 |
| 更正权 | 用户修改收货地址 | 表单编辑入口 |
| 删除权 | 注销账户 | 30日内删除并出具证明 |
| 限制处理权 | 用户暂停推送但保留交易记录 | 系统支持精细化关闭 |
| 反对权 | 拒绝画像或营销 | 退订链接 + One-click 拒绝 |
| 数据可携权 | 用户导出消费记录至其他平台 | 结构化数据导出（JSON/CSV） |
6. 跨境数据传输（Cross-Border Transfer）
PDP 法对跨境传输设三档管理：
- 第一档（白名单）：与印尼签订同等保护协议的国家/地区——具体名单尚未公布
- 第二档（合同/集团规则）：通过具有约束力的合同条款、企业集团内部规则（BCR）或同等保护安排进行
- 第三档（明示同意）：取得数据主体的单独明示同意
实务影响：内地电商向总部回传订单、客服记录、风控数据，须走”第二档”路径——签订标准合同条款或加入集团内部规则。不得以”隐私政策一句话”代替单独同意。
7. 数据本地化（Local Storage）
政府可基于”国家安全、公共利益或司法需要”强制特定类型数据必须在印尼境内存储。截至目前，公共部门电子系统数据已被要求本地化，私营部门具体实施细则以官方最新公布为准。
四、电商业务场景的合规落点
场景 1：注册与下单
| 数据字段 | 类别 | 处理要点 |
|---|---|---|
| 姓名 | 一般 | 用于订单交付 |
| 手机号 | 一般 | 须取得发送营销短信的单独同意 |
| 邮箱 | 一般 | 须区分交易通知与营销邮件 |
| 收货地址 | 一般 | 目的须明确告知 |
| 身份证号（NIK） | 敏感（如用于税务或特定场景） | 须明示同意 + 加密存储 |
| 支付卡信息 | 敏感 | 建议交由 PCI-DSS 合规支付通道处理，不留存明文 |
场景 2：营销与画像
- 推送促销短信、电子邮件、WhatsApp 消息前须取得单独的营销同意
- “行为广告”与”个性化推荐”在 PDP 法下属于画像与自动化决策，须提供退出机制
- 与第三方广告平台（如 Meta、Google、TikTok）共享数据时，须评估共同控制者关系并更新披露
场景 3：跨境客服与运营
- 内地客服团队访问印尼订单系统：构成跨境访问，须纳入跨境传输评估
- 通过企业微信、钉钉、飞书处理订单查询：聊天记录同样受 PDP 法约束
- 视频审核团队远程查看用户上传图片/视频：访问日志须留存，权限最小化
场景 4：物流与第三方共享
- 与第三方物流（JNE、J&T、SiCepat 等）共享收件人姓名、地址、电话：属必要共享
- 与保险公司共享购买信息用于运费险：需评估目的、必要性，并签署数据处理协议（DPA）
五、违规处罚与监管动态
PDP 法规定的处罚分为行政处罚与刑事处罚两类：
| 处罚类型 | 内容（以官方最新公布为准） |
|---|---|
| 行政处罚 | 罚款最高 50 亿印尼盾（约合人民币 220 万元等级），含暂停业务、吊销许可 |
| 刑事处罚 | 故意获取或非法披露个人数据最高可判 7 年监禁，或 70 亿印尼盾罚金 |
| 数据泄露通报 | 72 小时内通报监管机构与受影响主体 |
监管机构方面，数据保护专门主管机关的设立细节与执法节奏以官方最新公布为准。企业在过渡期内应保持关注，避免因规则落地节奏不明而误判。
六、合规落地清单（自检用）
下列清单可作为内部合规审计的起点：
- 完成数据映射（Data Mapping）：识别所有涉及印尼用户数据的系统、流程、第三方
- 更新隐私政策：使用印尼语版本，明确数据控制者身份、处理目的、保留期限、第三方共享清单
- 重构同意管理：注册、营销、Cookie、推送均需独立勾选
- 建立数据主体权利响应机制：30日内回复，可提供人工通道
- 签署或更新 DPA：与所有数据处理者签订数据处理协议
- 完成跨境传输评估：选择白名单/合同/同意路径，备齐证明文件
- 安全措施到位：加密、访问控制、日志留存、渗透测试、应急预案
- 准备泄露响应计划：72小时通报流程、对外话术模板
- 员工培训：客服、运营、技术团队均须了解 PDP 法基本要求
- 指定本地代表或对接窗口：便于监管沟通与用户响应
七、与内地《个人信息保护法》的对比要点
| 维度 | 印尼 PDP 法 | 中国《个人信息保护法》 |
|---|---|---|
| 同意要求 | 自愿、明确，可撤回 | 自愿、明确，可撤回 |
| 敏感数据范围 | 较窄（明确列举） | 较宽（”一旦泄露或非法使用容易导致”） |
| 数据主体权利 | 7 项 | 6 项（+解释权） |
| 跨境传输路径 | 白名单/合同/同意 | 安全评估/标准合同/认证/同意 |
| 数据本地化 | 部分公共数据强制 | 关键信息基础设施强制 |
| 处罚上限 | 罚款 + 刑事 | 罚款 5000万/5%营收 + 吊销 |
共性：两者均以”知情同意”为核心机制，强调数据主体权利与跨境传输控制。对内地企业而言，已具备 PIPL 合规基础者，可将印尼 PDP 法视为”PIPL 国际化”的延伸练习。
结语
印尼市场拥有近 2.8 亿人口、互联网渗透率持续走高，电商赛道增长仍在加速。PDP 法的分阶段实施意味着合规窗口已经打开，先合规者将在平台规则、用户信任、监管沟通上获得明显优势。建议内地出海团队在 2026 年内完成核心数据流梳理与同意管理重构，再根据业务节奏逐项落地。
香港大全 提供更多香港相关指南，涵盖人才计划、营商环境、出入境与跨境安排，方便读者一站式查阅。
常见问答
印尼 PDP 法对中国卖家来说到底有多紧迫？已经出海但没做任何调整的卖家会被追溯处罚吗？
文章明确指出 PDP 法已从 2024 年起分阶段实施，属于”当下必须执行的运营改造”，而非远期风险。对内地出海团队而言，合规窗口已经打开，建议在 2026 年内完成核心数据流梳理与同意管理重构。具体的执法节奏与追溯力度，以官方最新公布为准。
中国总部向印尼子公司回传订单、客服、风控数据，算不算跨境传输？需要走哪一档流程？
算跨境传输，且文章特别强调”不得以隐私政策一句话代替单独同意”。内地电商向总部回传上述数据，须走 PDP 法跨境传输管理中的”第二档”——通过具有约束力的合同条款、企业集团内部规则（BCR）或同等保护安排进行，并备齐证明文件。
印尼用户注册时勾选隐私政策后，还需要单独勾选营销同意吗？
需要。文章在同意管理义务中明确，同意须”自愿、具体、知情、明确”，默认勾选、捆绑勾选均不构成有效同意；推送促销短信、电子邮件、WhatsApp 消息前须取得单独的营销同意，且撤回须与给予同意一样容易。
发生数据泄露后，必须在多长时间内向印尼监管机构通报？
须在 72 小时内通报监管机构及受影响主体。文章同时提示，具体的通报阈值与执行细节以官方最新公布为准，企业应据此准备泄露响应计划与对外话术模板。
内地企业已经有 PIPL 合规经验，是否可以直接套用到印尼？
文章在对比部分指出，两部法律均以”知情同意”为核心机制，强调数据主体权利与跨境传输控制；已具备 PIPL 合规基础者，可将印尼 PDP 法视为”PIPL 国际化”的延伸练习。但两者在敏感数据范围、数据主体权利项数、跨境传输路径等方面仍有差异，不能简单等同，建议按文章第七节要点逐条对照落地。