PDP в Индонезии: защита персональных данных для бизнеса

Когда бизнес в Индонезии подпадает под закон PDP

Клиент попросил показать виллу на Бали, менеджер сохранил его номер в WhatsApp, а затем переслал коллеге фотографию паспорта. Заказ ещё не оформлен, но компания уже обрабатывает персональные данные. Даже три таких контакта подпадают под общие правила защиты данных, если по ним можно определить конкретного человека.

Закон Индонезии №27/2022, известный как PDP, распространяется на электронные записи и бумажные документы. Его действие не ограничено Бали или крупными интернет-площадками. Для операций за пределами страны предусмотрен и трансграничный охват, если наступают указанные законом последствия в Индонезии или затрагиваются её граждане за рубежом.

Ответственность зависит от роли. Контролёр определяет, зачем и как использовать сведения; обработчик действует по его поручению. Небольшая PT PMA может выступать контролёром, а приглашённая служба рассылок — обработчиком. Их обязанности различаются, но отсутствие собственного сайта и малое количество заявок не освобождают от закона. PDP действует с 17 октября 2022 года, а двухлетний период приведения процессов в соответствие завершился в октябре 2024 года.

Где компания собирает данные клиентов: сайт, WhatsApp и CRM

У заявки редко бывает одно место хранения. Человек оставляет имя и телефон в рекламной форме, пишет менеджеру в WhatsApp, получает предложение из общей таблицы, а после бронирования его данные попадают в систему учёта и к подрядчику, организующему заселение. Параллельно появляются вложения в почте, выгрузки для рекламы и резервные копии. Обычная запись о просмотре виллы незаметно превращается в несколько независимых наборов данных.

Разные сведения требуют разной осторожности. Имя, номер телефона и адрес электронной почты относятся к обычным контактным данным, но всё равно позволяют установить личность. Копии удостоверений, сведения о платежах и адресах создают другие последствия при раскрытии. Закон отдельно выделяет специальные категории, в том числе данные о здоровье, детях и личных финансах. Для ответа на вопрос о свободных датах паспорт обычно не нужен; появление такого файла на раннем этапе требует объяснимой цели.

Полезнее всего проследить одну настоящую заявку от первого сообщения до удаления. Для каждого перехода видно, кто собирает сведения, для чего, на каком основании, где лежит оригинал и где возникают копии. У записи должны быть ответственный, круг получателей, страны хранения и удалённого доступа, а также понятное правило, когда её пересматривают или удаляют. Отдельной строкой фиксируется передача рекламному агентству: оно может работать с той же базой совсем не так, как отдел бронирования.

У компании без сайта эта карта нередко оказывается даже важнее: сотрудники обмениваются контактами через личные мессенджеры, а смена менеджера не удаляет старые выгрузки. Описание движения данных позволяет увидеть эти разрывы до того, как клиент попросит удалить информацию или произойдёт утечка. С января 2027 года PP 33/2026 добавит более подробные требования к документированию операций, поэтому такой учёт полезен уже сейчас.

Основание обработки по PDP: согласие, договор или обязанность по закону

Клиент, который спрашивает цену проживания, ожидает ответа. Он не обязательно ожидает рекламных сообщений через полгода и тем более передачи своего номера другой компании. С точки зрения PDP это разные цели, и для каждой бизнесу нужно самостоятельное законное основание.

Статья 20 закона №27/2022 не требует получать согласие на любое действие с данными. Среди оснований — конкретное согласие, исполнение договора или действия по запросу человека перед его заключением, выполнение правовой обязанности, защита жизненно важных интересов, предусмотренные законом публичные задачи и законный интерес с учётом баланса прав. Для обычного агентства ответ на запрос о просмотре объекта может относиться к преддоговорным действиям, тогда как рассылка предложений после завершения переписки нуждается в отдельной оценке. Обработка сведений для обязательного счёта и рекламная база тоже не совпадают по назначению.

Ссылка на «законный интерес» требует объяснить, почему обработка необходима и почему интерес компании не перевешивает права человека. Общая галочка «согласен на всё» не делает оправданными сбор лишних документов, неограниченное хранение или продажу контактов партнёрам. Там, где основанием служит согласие, компания должна показать, какую цель объяснила человеку, как он согласился и каким способом может отказаться.

В рабочей системе это выглядит довольно прозаично: дата, версия уведомления и выбранное согласие сохраняются рядом с записью клиента. Если человек отписался от рекламы, рассылку прекращают, однако документы, которые ещё нужно хранить по самостоятельной законной обязанности, могут оставаться. Для сообщений в мессенджерах и электронной почте дополнительно имеют значение правила соответствующих каналов связи. Одно основание PDP не отменяет других требований.

Privacy notice для бизнеса: что сообщить клиенту до отправки заявки

Уведомление о конфиденциальности нужно человеку при передаче контакта. Страница с общей фразой «мы бережно относимся к данным» не объясняет, кому попадёт номер после нажатия кнопки. Ещё меньше пользы от текста, который обещает неограниченное использование всей информации.

Нормальное уведомление называет юридическое лицо — контролёра и действующий способ связи с ним. В нём понятным языком описаны собираемые сведения, конкретные цели и основания обработки, категории получателей и подрядчиков, возможный зарубежный доступ, сроки хранения либо способ их определения. Человек должен понимать, как запросить доступ, исправление или удаление. Текст соотносят с реальной обработкой данных.

Разница видна на двух формулировках. «Отправляя форму, вы соглашаетесь на любое использование данных третьими лицами» скрывает цели и не даёт осмысленного выбора. «Имя и телефон нужны, чтобы ответить на запрос о просмотре; рекламные предложения направляются только при отдельном согласии» хотя бы разделяет два действия. Это пример ясного языка, а не готовая политика: в настоящем уведомлении потребуются название компании, контакты и фактические получатели.

Для сайта сообщение должно быть доступно возле формы, а при первом обращении в мессенджере — понятным способом сообщено в переписке. У многоязычного бизнеса уведомление читают те люди, чьи данные он собирает; непонятный текст на чужом языке бесполезен. Внутри компании сохраняют версии уведомлений и привязку к периодам использования. Иначе невозможно установить, что именно видел клиент, когда оставил номер. Более подробные правила PP 33/2026 начнут действовать 16 января 2027 года; нынешние обязанности информировать уже существуют.

CRM и подрядчики: кто отвечает за клиентскую базу

Агентство может оплатить хорошую облачную систему, но это не ответ на вопрос, кто вправе выгружать из неё клиентскую базу. Если компания решила собирать обращения, определила цели и наняла поставщика для хранения записей, контролёром обычно остаётся сама компания. Обработчик обязан работать в пределах полученных поручений; по статье 51 закона PDP действия такого подрядчика в установленной роли входят в зону ответственности контролёра.

Роль рекламного агентства меняется в зависимости от того, что оно делает. Когда подрядчик рассылает сообщения строго по инструкции владельца базы, это один набор обязанностей. Когда он объединяет контакты с собственными списками и самостоятельно решает, кому продавать рекламу, вопрос о самостоятельном контроле над данными возникает уже для другой операции. Если две организации совместно определяют цели и способы обработки, закон предусматривает отдельную конструкцию совместных контролёров с согласованными обязанностями.

Договор с поставщиком должен описывать предмет работы и разрешённые цели, категории данных, права доступа и меры защиты. Из него должно быть ясно, кто может привлечь субподрядчика, из каких стран возможен вход в систему, как фиксируются действия сотрудников, когда приходит сообщение об инциденте и что происходит с данными после завершения отношений. Для привлечения следующего обработчика закон требует предварительного письменного согласия контролёра. Одной рекламной отметки о «безопасной платформе» для этого недостаточно.

Особенно уязвимы переходы между компаниями: подрядчик получает выгрузку, копирует её в личную таблицу, а после окончания договора сотрудники по-прежнему видят контакты. Устное обещание удалить базу не заменяет работающий порядок возврата, удаления копий и отзыва доступа. В небольшом бизнесе достаточно одного неучтённого аккаунта, чтобы формальная политика и реальная работа разошлись. Поэтому полезны журналы входа, ограничение выгрузок и документы, по которым можно подтвердить исполнение договора.

Передача данных из Индонезии за рубеж: как проверить облако и доступ команды

Поставщик системы бронирований зарегистрирован за пределами Индонезии. Это ещё не означает, что пользоваться им запрещено. Существеннее другое: где фактически находятся сведения гостей, кто подключается к системе и получает ли доступ к ним иностранный подрядчик. Даже если сервер расположен в Индонезии, удалённая команда за рубежом может создать отдельный вопрос о международной передаче; обратная ситуация с иностранной регистрацией компании не доказывает, что данные покидают страну.

Статья 56 закона PDP задаёт последовательную проверку. Сначала оценивается, обеспечивает ли государство получателя сопоставимую или более высокую защиту. При отсутствии такого условия нужны достаточные и обязательные к исполнению гарантии. Если первые два варианта не выполняются, закон предусматривает получение согласия субъекта данных. Это три разных правовых пути, а не три взаимозаменяемые галочки в форме регистрации.

Отдельное согласие не узаконивает любую бессрочную пересылку клиентской базы. Компания всё равно отвечает за цель обработки, объём передаваемых сведений и информирование человека; с января 2027 года PP 33/2026 конкретизирует условия и ограничения международных передач. Некоторые механизмы будущего порядка предполагают решения надзорного органа, формирование которого по состоянию на 9 ноября 2026 года ещё продолжалось. Поэтому обещание поставщика «всё соответствует PDP» без документов мало что доказывает.

Для оценки полезна схема конкретного потока: запись о госте создаётся на Бали, хранится в зарубежном облаке, резервируется в другой стране и доступна сотруднику подрядчика из третьей. Для каждого пункта нужны страна, получатель, цель, условия договора, возможные дальнейшие передачи и путь удаления. Особенно чувствительны копии паспортов и платёжные сведения: их необязательно хранить во всех системах вместе с перепиской. У отдельных отраслей могут действовать дополнительные правила хранения и передачи. Требования PDP не следует смешивать с регистрацией электронных систем или правом компании вести деятельность.

Права клиента, срок хранения и удаление персональных данных

Просьба клиента «удалите мой номер» часто обнаруживает, насколько разрозненной стала база. Карточку в системе продаж можно стереть за минуту, но запись может остаться в личной почте менеджера, у рекламного подрядчика и в резервной копии. Полезный ответ начинается с понимания того, где эти копии находятся и на каком основании они ещё хранятся.

Закон PDP даёт человеку права получать информацию и доступ к своим сведениям, исправлять неточности, отзывать согласие, а при предусмотренных условиях требовать прекращения обработки и удаления. Право на удаление не безусловно. Компания может быть обязана сохранять отдельные документы по закону или для допустимых процессуальных целей, даже если рекламный контакт давно больше не нужен. Единого срока «три года для всех клиентов» закон не устанавливает.

Рабочий канал запросов должен приводить к ответственному человеку, а не в потерянный почтовый ящик. Личность заявителя проверяют соразмерно риску: для исправления адреса не стоит требовать новую копию паспорта без достаточного основания. После проверки запрос сопоставляют с CRM, перепиской, выгрузками и системами подрядчиков. По резервным копиям важно понимать сроки их перезаписи и ограничения доступа до окончательного исчезновения записи.

Результат тоже фиксируется: что исправлено или удалено, какие сведения остаются и почему, кому направлено поручение, когда клиент получил ответ. Для отдельных прав закон и вводимое с января 2027 года регулирование предусматривают короткие процедурные сроки, поэтому откладывать запросы до очередной ежемесячной уборки базы нельзя. Хорошая политика хранения различает незавершённую заявку, заключённый договор, обязательный финансовый документ и маркетинговую подписку.

Утечка персональных данных: как действовать в первые 3×24 часа

Менеджер собирался отправить список гостей организатору трансфера, но выбрал чужой контакт. В файле оказались имена, телефоны, даты приезда и номера документов. Здесь уже нельзя ограничиться просьбой «удалите сообщение»: получатель мог скачать файл, а сведения — распространиться дальше. Сначала компания закрывает доступ к документу, отзывает доступные ссылки и сохраняет переписку и системные журналы, чтобы установить объём раскрытия.

Следующие часы нужны для ответов на конкретные вопросы. Какие записи затронуты, были ли там дети, сведения о платежах или копии удостоверений, сколько людей пострадало, кто ещё получил файл, сохраняется ли доступ злоумышленника? Владелец инцидента должен собрать факты от менеджера, облачного провайдера и подрядчиков. Если украден телефон с доступом к системе, смена пароля и отзыв сеансов важнее красивого внутреннего отчёта. Следует сохранять и время обнаружения, и время обоснованного подтверждения происшествия.

Статья 46 закона №27/2022 предусматривает письменное уведомление затронутых людей и уполномоченного органа не позднее 3×24 часов при нарушении защиты персональных данных. Сообщение должно как минимум описывать раскрытые сведения, обстоятельства и меры по устранению последствий. Этот срок нельзя произвольно переносить на конец внутреннего расследования. PP 33/2026, вступающее в силу 16 января 2027 года, подробнее определяет фиксацию инцидента и момент, когда контролёр достоверно и обоснованно установил факт нарушения. Поскольку отдельный орган PDP на 9 ноября 2026 года ещё формировался, действующий официальный канал сообщения необходимо определять на момент конкретного случая, а не брать адрес из случайного шаблона.

Масштаб опасности бывает разным. Ошибочно отправленная общедоступная визитка и экспорт паспортов с финансовыми сведениями требуют разной оценки, хотя оба случая заслуживают документирования. Нарушение может касаться не только разглашения: потеря, повреждение или недоступность данных тоже значимы. Для небольшой компании рабочая готовность — это назначенный ответственный, возможность быстро отозвать доступ, журнал событий и заранее понятный порядок связи с клиентами. Скрытый инцидент редко становится менее серьёзным от молчания.

PP 33/2026: что подготовить к 16 января 2027 года

По состоянию на 9 ноября 2026 года у бизнеса нет «паузы до нового закона». Закон №27/2022 действует с октября 2022 года; предоставленные им два года на приведение обработки данных в соответствие истекли в октябре 2024-го. Постановление правительства PP 33/2026 принято и обнародовано 16 июля 2026 года, а применять его более подробные нормы предстоит с 16 января 2027 года.

В первую очередь новые требования затронут способность компании доказать свои действия. Нужны записи об операциях и международных передачах, правила хранения, договоры с обработчиками, понятные уведомления и работающий порядок ответов на запросы. Операции с высоким риском могут требовать оценки влияния на защиту данных; само наличие CRM не служит таким критерием.

Назначение ответственного за защиту данных тоже зависит от критериев статьи 53, включая масштабный систематический мониторинг или определённую обработку специальных сведений в большом объёме. Конституционный суд уточнил формулировку одного из условий в июле 2025 года. При этом закон допускает выполнение соответствующей функции внутренним или внешним специалистом, а не требует автоматически нанять отдельного сотрудника в каждую малую PT PMA.

Отдельный надзорный орган на указанную дату находился в стадии создания: 4 ноября власти сообщали о завершающей подготовке президентского акта. Это не отменяет уже действующие обязанности и не даёт готового адреса для уведомления об утечке. Спорные основания, международные передачи и утечки требуют оценки конкретных обстоятельств по действующему праву Индонезии.

Читайте дальше