印尼《个人数据保护法》UU PDP 在两年过渡期结束后，自 2024 年 10 月 17 日进入全面强制执行阶段，该法案将手机号认定为个人数据，跨境企业处理印尼居民手机号用于 A2P 短信也纳入监管范围，对短信业务的数据收集、用户授权与退订响应提出明确合规要求。
法案规定，获取用户同意需要满足具体、知情、明确的标准，交易通知短信和营销短信的授权必须分开收集，不能合并获取许可。一旦用户撤回接收短信的同意，企业必须在 72 小时内停止相关的数据处理与短信下发，这就要求企业搭建实时的退订响应系统，无法依靠每周批量处理的模式完成退出管理。
印尼的数据保护主管机构 DPA 计划在 2026 年正式设立，在机构落地前由通信与数字部 Komdigi 承担合规监督工作。2024 年至 2025 年年中，Komdigi 一共审查约 350 个数字平台，核查结果显示 41% 的网站、34% 的移动应用存在潜在的个人数据保护违规问题。
