بعد انتهاء الفترة الانتقالية التي استمرت عامين، دخل قانون «حماية البيانات الشخصية» الإندونيسي UU PDP مرحلة التنفيذ الإلزامي الكامل اعتبارًا من 17 أكتوبر 2024. ويصنّف القانون أرقام الهواتف المحمولة كبيانات شخصية، ويُخضع الشركات عبر الحدود التي تعالج أرقام هواتف المقيمين في إندونيسيا لأغراض رسائل A2P SMS للإشراف التنظيمي، كما يفرض متطلبات امتثال واضحة تتعلق بجمع البيانات، والحصول على إذن المستخدم، والاستجابة لطلبات إلغاء الاشتراك في أنشطة الرسائل النصية.
ينص القانون على أن الحصول على موافقة المستخدم يجب أن يستوفي معايير كونها محددة ومستنيرة وصريحة، كما يجب جمع الإذن برسائل الإشعارات المتعلقة بالمعاملات والرسائل التسويقية بشكل منفصل، إذ لا يجوز الحصول على التصريحين معًا بشكل مدمج. وفور سحب المستخدم لموافقته على تلقي الرسائل النصية، يجب على الشركة التوقف عن معالجة البيانات ذات الصلة وإرسال الرسائل خلال 72 ساعة، وهو ما يتطلب من الشركات بناء نظام فوري للاستجابة لطلبات إلغاء الاشتراك، حيث لا يمكن الاعتماد على نموذج المعالجة الأسبوعية بالجملة لإدارة الانسحاب.
من المقرر إنشاء سلطة حماية البيانات DPA في إندونيسيا رسميًا في عام 2026، وحتى تأسيسها، تتولى وزارة الاتصالات والرقمنة Komdigi مهام الإشراف على الامتثال. وفي الفترة من عام 2024 وحتى منتصف عام 2025، قامت Komdigi بمراجعة نحو 350 منصة رقمية، وأظهرت نتائج الفحص أن 41% من المواقع الإلكترونية و34% من تطبيقات الهواتف المحمولة تنطوي على مخالفات محتملة في حماية البيانات الشخصية.
