Tras finalizar el período de transición de dos años, la Ley de Protección de Datos Personales de Indonesia, UU PDP, entró en una fase de aplicación plenamente obligatoria desde el 17 de octubre de 2024. Esta ley considera los números de teléfono móvil como datos personales y también somete a supervisión el procesamiento, por parte de empresas transfronterizas, de números de usuarios indonesios utilizados para mensajes A2P SMS, estableciendo requisitos de cumplimiento claros para la recopilación de datos, el consentimiento del usuario y la gestión de bajas en los servicios de SMS.
La ley establece que la obtención del consentimiento del usuario debe cumplir criterios de ser específica, informada y explícita. El consentimiento para los SMS de notificación de transacciones y para los SMS comerciales debe recopilarse por separado, sin que sea posible obtener una autorización combinada. Una vez que el usuario retira su consentimiento para recibir mensajes, la empresa debe suspender el procesamiento de datos correspondiente y el envío de SMS en un plazo de 72 horas, lo que exige disponer de un sistema de respuesta a bajas en tiempo real, sin poder depender de un procesamiento semanal por lotes para gestionar las cancelaciones.
La autoridad de protección de datos de Indonesia, DPA, está previsto que se constituya formalmente en 2026. Hasta la puesta en marcha de dicho organismo, el Ministerio de Comunicaciones y Asuntos Digitales, Komdigi, asume las labores de supervisión del cumplimiento. Entre 2024 y mediados de 2025, Komdigi revisó alrededor de 350 plataformas digitales; los resultados de la verificación mostraron que el 41% de los sitios web y el 34% de las aplicaciones móviles presentaban posibles infracciones en materia de protección de datos personales.
