À l’issue d’une période de transition de deux ans, la loi indonésienne sur la protection des données personnelles, UU PDP, est entrée dans une phase d’application pleinement obligatoire le 17 octobre 2024. Elle qualifie les numéros de téléphone mobile de données personnelles et soumet également les entreprises transfrontalières traitant des numéros de résidents indonésiens à des fins d’A2P SMS à sa surveillance. Elle impose ainsi des exigences de conformité claires concernant la collecte des données, le consentement des utilisateurs et la gestion des demandes de désabonnement dans les activités SMS.
La loi prévoit que le consentement des utilisateurs doit être spécifique, éclairé et explicite. Les consentements relatifs aux SMS de notification transactionnelle et aux SMS marketing doivent être recueillis séparément et ne peuvent pas être obtenus dans le cadre d’une autorisation groupée. Dès qu’un utilisateur retire son consentement à recevoir des SMS, l’entreprise doit cesser le traitement des données concerné et l’envoi des SMS dans un délai de 72 heures. Cela impose aux entreprises de mettre en place un système de traitement des désabonnements en temps réel, un traitement par lots hebdomadaire ne permettant pas d’assurer la gestion des retraits.
L’autorité indonésienne de protection des données, la DPA, devrait être officiellement créée en 2026. Dans l’attente de sa mise en place, le ministère des Communications et du Numérique, Komdigi, exerce la surveillance en matière de conformité. Entre 2024 et la mi-2025, Komdigi a contrôlé environ 350 plateformes numériques. Les résultats ont montré que 41 % des sites web et 34 % des applications mobiles présentaient des violations potentielles relatives à la protection des données personnelles.
