الامتثال لقانون حماية البيانات الشخصية الإندونيسي مع ConsentX

ما البيانات المشمولة؟

يقسّم قانون PDP البيانات الشخصية إلى فئتين رئيسيتين.

تشمل البيانات الشخصية المحددة ما يلي:

• المعلومات الصحية والطبية
• البيانات البيومترية
• البيانات الجينية
• السجلات الجنائية
• بيانات الأطفال
• البيانات المالية الشخصية
• فئات أخرى تحددها اللوائح المعمول بها

وتشمل البيانات الشخصية العامة ما يلي:

• الاسم الكامل
• الجنس
• الجنسية
• الديانة
• الحالة الاجتماعية
• البيانات الشخصية المقترنة بمعلومات أخرى تتيح تحديد هوية الفرد

وهذا التمييز مهم لأن البيانات الشخصية المحددة قد تنشئ مخاطر أكبر على الأفراد، ومن ثم قد تستلزم ضمانات إضافية.

الأسس القانونية لمعالجة البيانات الشخصية

يشترط قانون PDP الإندونيسي أن يكون لدى المتحكم في البيانات أساس قانوني لمعالجة البيانات الشخصية.

وتحدد المادة 20 ستة أسس قانونية:

• موافقة صريحة وصحيحة على غرض محدد أو أكثر جرى إبلاغ الفرد به.
• الضرورة التعاقدية، بما في ذلك المعالجة اللازمة لتنفيذ عقد أو الاستجابة لطلب سابق على إبرامه.
• التزام قانوني يقع على المتحكم.
• المصالح الحيوية لصاحب البيانات.
• المصلحة العامة أو الخدمة العامة أو ممارسة السلطة الرسمية بموجب القانون المنطبق.
• المصالح المشروعة، مع مراعاة الغرض والضرورة وتوازن المصالح وحقوق صاحب البيانات.

لذا ينبغي للمؤسسات ألا تعامل الموافقة تلقائياً بوصفها الأساس القانوني لكل نشاط معالجة.

متطلبات الموافقة بموجب قانون PDP الإندونيسي

عند استخدام الموافقة أساساً قانونياً، يضع قانون PDP متطلبات محددة.

يجب أن تكون الموافقة:

• صحيحة
• صريحة
• متصلة بغرض محدد أو أكثر
• موثّقة على النحو المناسب
• قائمة على المعلومات المقدَّمة إلى صاحب البيانات
• مفهومة
• قابلة للتمييز بوضوح عن المسائل الأخرى عند تعدد الأغراض

ويمكن تقديم الموافقة كتابةً أو في صورة مسجَّلة، كما يمكن تقديمها إلكترونياً أو بغير الوسائل الإلكترونية.

وعندما تشمل الموافقة أغراضاً إضافية، يجب أن يكون الطلب قابلاً للتمييز بوضوح ومتاحاً ومكتوباً بلغة بسيطة وواضحة.

كما يجب أن يكون المتحكم قادراً على إثبات الموافقة التي حصل عليها. وهذا يجعل سجلات الموافقة ومسارات التدقيق بالغة الأهمية للمؤسسات التي تعتمد على الموافقة.

سحب الموافقة

للأفراد الحق في سحب موافقتهم على المعالجة.

وعندما يسحب صاحب البيانات موافقته، يجب على المتحكم وقف المعالجة القائمة على تلك الموافقة خلال 3 × 24 ساعة من تلقي طلب السحب، مع مراعاة القانون والظروف المنطبقة.

ويمكن لـ ConsentX مساعدة المؤسسات على تسجيل الموافقة الأصلية، واستقبال طلبات السحب، والاحتفاظ بدليل على ما ينتج عن ذلك من تغيير في التفضيلات.

إشعارات الخصوصية والشفافية

عندما تستند المعالجة إلى الموافقة، يجب على المؤسسات تقديم معلومات تشمل:

• الأساس القانوني للمعالجة
• الغرض من المعالجة
• أنواع البيانات الشخصية التي تجري معالجتها ومدى صلتها
• مدة الاحتفاظ بالمستندات التي تتضمن بيانات شخصية
• تفاصيل المعلومات التي يجري جمعها
• مدة المعالجة
• حقوق صاحب البيانات

وإذا تغيرت هذه المعلومات، وجب إبلاغ صاحب البيانات قبل أن يصبح التغيير نافذاً.

لذا ينبغي أن تكون إشعارات الخصوصية واضحة ومتاحة ومحددة بما يكفي لبيان كيفية التعامل مع البيانات الشخصية.

مبادئ معالجة البيانات

يرسي قانون PDP عدة مبادئ جوهرية لمعالجة البيانات الشخصية.

يجب أن تُعالَج البيانات الشخصية:

• على نحو محدود ومحدد
• بصورة مشروعة
• بشفافية
• لأغراض محددة
• مع احترام حقوق أصحاب البيانات
• بدقة واكتمال
• بصورة محدَّثة وخاضعة للمساءلة
• مع ضمانات أمنية مناسبة
• مع الحفاظ على السرية المناسبة
• وفقاً لمتطلبات الاحتفاظ المعمول بها

كما يقتضي القانون حذف البيانات الشخصية أو إتلافها بعد انقضاء مدة الاحتفاظ أو عندما تستوجب الظروف المنطبقة ذلك.

حقوق أصحاب البيانات بموجب قانون PDP

يمنح قانون PDP الأفراد مجموعة واسعة من الحقوق المتعلقة ببياناتهم الشخصية.

وتشمل هذه الحقوق ما يتصل بما يلي:

• المعلومات عن المعالجة
• الاطلاع على البيانات الشخصية
• التصحيح والتحديث
• الحذف أو الإتلاف
• سحب الموافقة
• تقييد المعالجة أو تعليقها
• الاعتراض على أنشطة معالجة معينة
• قابلية نقل البيانات
• التعويض عن المخالفات
• الحقوق المتصلة باتخاذ القرارات الآلية في الحالات المنطبقة

كما يضع القانون متطلبات محددة للاستجابة لبعض الطلبات. فعلى سبيل المثال، يجب عادةً معالجة طلبات الاطلاع خلال 3 × 24 ساعة من تلقيها، مع مراعاة الأحكام القانونية واستثناءاتها.

دقة البيانات وتصحيحها

يجب على المتحكمين ضمان أن تكون البيانات الشخصية دقيقة وكاملة ومتسقة.

وعندما يطلب فرد تحديثاً أو تصحيحاً، يجب على المتحكم عادةً إجراء التصحيح اللازم خلال 3 × 24 ساعة من تلقي الطلب وإخطار الفرد بالنتيجة.

وهذا ينشئ متطلباً تشغيلياً مهماً للمؤسسات التي تتعامل مع أحجام كبيرة من معلومات العملاء أو الموظفين.

حذف البيانات الشخصية وإتلافها

يحدد قانون PDP الحالات التي يجب فيها حذف البيانات الشخصية أو إتلافها.

ويجب على المتحكم حذف البيانات الشخصية في حالات من بينها:

• عندما لا تعود البيانات لازمة لغرض المعالجة.
• عندما يسحب صاحب البيانات موافقته حيث تكون الموافقة هي الأساس المنطبق.
• عندما يطلب صاحب البيانات الحذف.
• عندما تكون البيانات الشخصية قد جُمعت أو عولجت بصورة غير مشروعة.

ويتناول القانون الإتلاف على نحو منفصل، بما في ذلك عند انقضاء مدة الاحتفاظ المنطبقة أو عند طلب الإتلاف والسماح به قانوناً.

ويمكن لـ ConsentX دعم مسارات عمل منظمة لطلبات الخصوصية لدى المؤسسات التي تحتاج إلى إدارة الحذف وغيره من طلبات أصحاب البيانات.

البيانات الشخصية للأطفال

ينص قانون PDP على حماية خاصة للبيانات الشخصية للأطفال.

ويجب أن تتم معالجة البيانات الشخصية للأطفال وفقاً للمتطلبات المنطبقة، وتستلزم موافقة أحد والدي الطفل و/أو الوصي عليه حيثما اشترط القانون الموافقة.

لذا ينبغي للمؤسسات التي تقدّم مواقع إلكترونية أو تطبيقات أو خدمات تعليمية أو منصات ألعاب أو غيرها من الخدمات التي يُرجَّح أن يستخدمها الأطفال أن تقيّم ضوابط الخصوصية المرتبطة بالعمر لديها.

البيانات الشخصية الحساسة وعالية المخاطر

لا يستخدم قانون PDP الإندونيسي المصطلحات نفسها تماماً التي يستخدمها النظام الأوروبي العام لحماية البيانات في «الفئات الخاصة من البيانات الشخصية».

وبدلاً من ذلك يحدد بيانات شخصية محددة تشمل:

• المعلومات الصحية
• المعلومات البيومترية
• المعلومات الجينية
• السجلات الجنائية
• بيانات الأطفال
• البيانات المالية الشخصية

وقد تؤدي أنشطة المعالجة التي تشمل هذه الفئات أيضاً إلى متطلبات إضافية لإدارة المخاطر.

تقييم أثر حماية البيانات (DPIA)

يجب على المتحكمين إجراء تقييم لأثر حماية البيانات عندما تنشئ المعالجة مستوى مرتفعاً من المخاطر على أصحاب البيانات.

وتشمل المعالجة عالية المخاطر التي حددها قانون PDP ما يلي:

• اتخاذ قرارات آلية تُحدث آثاراً قانونية أو آثاراً جوهرية
• معالجة البيانات الشخصية المحددة
• المعالجة واسعة النطاق
• التقييم أو التسجيل بالنقاط أو الرصد المنهجي
• مطابقة مجموعات البيانات أو دمجها
• استخدام التقنيات الجديدة
• المعالجة التي تقيّد ممارسة أصحاب البيانات لحقوقهم

وينص القانون على أن المتطلبات التفصيلية لتقييمات أثر حماية البيانات ستُحدَّد بلوائح تنفيذية.

لذا ينبغي للمؤسسات التي تستخدم الذكاء الاصطناعي أو التنميط أو البيومترية أو التحليلات واسعة النطاق أو غيرها من التقنيات عالية المخاطر أن تُدرج تقييم أثر الخصوصية ضمن برنامج الامتثال لديها.

التزامات أمن البيانات

يجب على المتحكمين حماية البيانات الشخصية من خلال تدابير تقنية وتشغيلية مناسبة.

ويشترط قانون PDP على المتحكمين ما يلي:

• حماية البيانات الشخصية من المعالجة غير المشروعة.
• منع الوصول غير المصرح به.
• الحفاظ على أنظمة أمنية مناسبة.
• تحديد مستوى أمني مناسب استناداً إلى طبيعة البيانات الشخصية ومخاطرها.
• الحفاظ على السرية.
• مراقبة الأطراف المشاركة في المعالجة الخاضعة لسيطرتهم.

لذا ينبغي أن تكون الضوابط الأمنية متناسبة مع طبيعة نشاط المعالجة ومخاطره.

الإخطار بانتهاك البيانات الشخصية

يتعلق أحد أهم المتطلبات التشغيلية في قانون PDP الإندونيسي بانتهاكات البيانات الشخصية.

في حال وقوع إخفاق في حماية البيانات الشخصية، يجب على المتحكم تقديم إخطار كتابي في موعد لا يتجاوز 3 × 24 ساعة إلى:

• صاحب البيانات المتأثر
• الجهة الرقابية المختصة

ويجب أن يتضمن الإخطار، كحد أدنى، ما يلي:

• البيانات الشخصية المتأثرة أو المكشوفة
• متى وكيف جرى كشف البيانات الشخصية
• التدابير التي اتخذها المتحكم لمعالجة الحادث والتعافي منه

وفي ظروف معينة قد يلزم أيضاً الإخطار العلني.

لذا ينبغي للمؤسسات الحفاظ على عملية للاستجابة للحوادث قادرة على التحديد السريع للبيانات والأفراد والأنظمة المتأثرة وتدابير المعالجة.

مسؤول حماية البيانات ووظيفة PDP

يشترط قانون PDP على المتحكمين والمعالجين تعيين شخص مسؤول عن وظائف حماية البيانات في الحالات المحددة.

وينطبق ذلك عندما:

• تُعالَج البيانات الشخصية لأغراض الخدمة العامة.
• تنطوي الأنشطة الأساسية للمتحكم على رصد منتظم ومنهجي للبيانات الشخصية على نطاق واسع.
• تنطوي الأنشطة الأساسية للمتحكم على معالجة واسعة النطاق لبيانات شخصية محددة و/أو بيانات شخصية تتعلق بأفعال جنائية.

وينبغي أن يتمتع الشخص الذي يؤدي وظيفة حماية البيانات بالكفاءة المهنية المناسبة والمعرفة القانونية والمعرفة بالخصوصية والقدرة على أداء المسؤوليات المطلوبة. ويمكن أن يكون من داخل المؤسسة أو من خارجها.

مسؤوليات المعالج والمتحكم

يميّز قانون PDP بين دورين.

المتحكم في البيانات. الطرف الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها.

معالج البيانات. الطرف الذي يعالج البيانات الشخصية نيابة عن المتحكم.

ويظل المتحكمون مسؤولين عن ضمان امتثال أنشطة المعالجة لقانون PDP، وعليهم مراقبة الأطراف المشاركة في المعالجة الخاضعة لسيطرتهم.

لذا ينبغي للمؤسسات تقييم التزامات الخصوصية عبر منظومة مورديها ومعالجيها بالكامل.

نقل البيانات عبر الحدود

يجيز قانون PDP نقل البيانات الشخصية إلى خارج إندونيسيا، لكنه يرسي تدرجاً في الضمانات.

وعلى المتحكم الذي ينقل بيانات شخصية إلى خارج إندونيسيا أن يضمن عموماً ما يلي:

• أن يوفّر بلد الوجهة مستوى من حماية البيانات الشخصية مساوياً للحماية المقررة بموجب قانون PDP الإندونيسي أو أعلى منها؛ أو
• في حال عدم استيفاء هذا الشرط، أن يوفّر المتحكم حماية كافية وملزمة؛ أو
• في حال عدم استيفاء أي من الشرطين، أن يحصل المتحكم على موافقة صاحب البيانات.

وستُحدَّد المتطلبات التفصيلية للنقل الدولي بلوائح تنفيذية.

لذا ينبغي للمؤسسات التي تستعين بمزوّدي خدمات سحابية دوليين أو خدمات تحليلات أو منصات إعلانية أو تطبيقات SaaS أو غيرهم من المورّدين في الخارج أن توثّق ترتيبات النقل والضمانات الخاصة بها.

ملفات تعريف الارتباط والتتبع عبر الإنترنت

لا يعمل قانون PDP الإندونيسي بوصفه قانوناً قائماً بذاته لموافقة ملفات تعريف الارتباط يشترط الموافقة على كل ملف.

غير أن ملفات تعريف الارتباط والبكسلات وأدوات التحليلات والتقنيات الإعلانية وغيرها من تقنيات التتبع قد تنطوي على معالجة بيانات شخصية.

لذا ينبغي للمؤسسات تقييم ما يلي:

• ما المعلومات التي تجمعها التقنية
• ما إذا كان يمكن تحديد هوية الأفراد بصورة مباشرة أو غير مباشرة
• الغرض من الجمع
• الأساس القانوني المنطبق
• ما إذا كانت الموافقة مطلوبة أو مختارة كأساس قانوني
• ما إذا كانت المعلومات تُفصح لأطراف ثالثة
• ما إذا كانت المعلومات تُنقل إلى خارج إندونيسيا
• المدة التي تُحفظ فيها المعلومات

وعند الاعتماد على الموافقة، ينبغي أن تستوفي آلية الموافقة متطلبات قانون PDP الخاصة بموافقة صحيحة وصريحة ومستنيرة وموثّقة.

ويمكن لـ ConsentX مساعدة المؤسسات على تحديد أدوات التتبع في الموقع، وتهيئة ضوابط الموافقة، وحجب التقنيات غير الضرورية عند الاقتضاء، والاحتفاظ بأدلة على اختيارات المستخدمين.

التسويق المباشر والموافقة

لا يجعل قانون PDP الموافقة أساساً قانونياً شاملاً لكل نشاط تسويقي.

وينبغي للمؤسسات تحديد الأساس القانوني المناسب لمعالجة البيانات الشخصية المستخدمة في:

• التسويق عبر البريد الإلكتروني
• التسويق عبر الرسائل النصية
• الإعلانات
• الحملات المخصصة
• تنميط العملاء
• إعادة التسويق
• تقسيم الجمهور

وعند الاعتماد على الموافقة، ينبغي للمؤسسات التأكد من أن طلب الموافقة يحدد الغرض المعني بوضوح ويكون قابلاً للتمييز بشكل منفصل عند عرض أغراض متعددة.

كما ينبغي الاحتفاظ بسجلات الموافقة بوصفها دليلاً.

اتخاذ القرارات الآلية والتنميط

يصنّف قانون PDP اتخاذ القرارات الآلية التي تُحدث نتائج قانونية أو آثاراً جوهرية على الأفراد ضمن المعالجة عالية المخاطر.

وقد يؤدي ذلك إلى نشوء التزام بإجراء تقييم لأثر حماية البيانات.

وينبغي للمؤسسات التي تستخدم ما يلي أن تقيّم ما إذا كانت معالجتها تندرج ضمن فئات المخاطر العالية في القانون، وأن تضمن الشفافية والضمانات المناسبة:

• أنظمة اتخاذ القرار القائمة على الذكاء الاصطناعي
• التسجيل الآلي بالنقاط
• التنميط
• كشف الاحتيال
• تقييم الجدارة الائتمانية
• التحليل السلوكي
• قرارات الأهلية الآلية

الجهة الرقابية

ينص قانون PDP على إنشاء مؤسسة مخصصة تتولى ما يلي:

• وضع سياسة واستراتيجية حماية البيانات الشخصية
• الإشراف على معالجة البيانات الشخصية
• إنفاذ القانون الإداري
• تيسير تسوية المنازعات خارج المحاكم

وحتى عام 2026، تعمل الحكومة الإندونيسية على إنشاء هيئة مستقلة لحماية البيانات الشخصية. وفي يوليو 2026، أفادت وزارة الاتصالات والشؤون الرقمية بأن الحكومة تضع اللمسات الأخيرة على إنشاء الهيئة واللائحة الرئاسية المرتبطة بها.

لذا ينبغي للمؤسسات متابعة التطورات التنظيمية اللاحقة المتعلقة بالإطار المؤسسي النهائي واللوائح التنفيذية.

التنفيذ الحالي والتطورات التنظيمية

تواصل إندونيسيا تطوير الإطار التنفيذي الداعم للقانون رقم 27 لسنة 2022.

وقد عملت وزارة الاتصالات والشؤون الرقمية على لوائح تنفيذية تغطي مجالات من بينها:

• معالجة البيانات الشخصية
• حوكمة حماية البيانات
• الأمن السيبراني
• التقنيات الناشئة
• النقل الدولي للبيانات
• متطلبات تقييم أثر حماية البيانات
• الإنفاذ الإداري

وفي عام 2025، أفادت الوزارة بأن مشروع لائحة حكومية لتنفيذ قانون PDP كان قيد المواءمة.

لذا ينبغي للمؤسسات التمييز بين المتطلبات التي أرساها قانون PDP مباشرةً بالفعل والمتطلبات التفصيلية التي تتوقف على اللوائح التنفيذية.