Постановление правительства №33/2026 конкретизирует действующий закон о защите персональных данных. С 16 января 2027 г. компании обяжут вести реестр операций с информацией, включая источники ее получения, цели обработки, сроки хранения и передачу третьим лицам. За нарушение основных требований предусмотрены штрафы до 2% годовой валовой выручки.
Для интернет-магазинов сложности связаны в том числе с управлением согласием на обработку данных. Покупатель может разрешить использовать информацию для доставки заказа, но отказаться от рекламного профилирования. Если сведения о нем хранятся в нескольких базах, запрет необходимо учитывать в каждой системе, где продолжается обработка данных. Устаревшие платформы электронной коммерции не всегда поддерживают такое разграничение.
Дополнительные сложности возникают при передаче данных за рубеж. Постановление предусматривает использование договорных гарантий, получение согласия пользователя или передачу информации в страны с признанным достаточным уровнем защиты. Однако специализированный орган по защите персональных данных в Индонезии еще не создан.
«Новые требования повышают значение систем учета данных, управления согласием и контроля доступа, а также устанавливают порядок уведомления об инцидентах. Компании должны сообщать регулятору и пострадавшим пользователям о нарушении защиты персональных данных в течение 72 часов после его установления на достаточных основаниях. Для расследования потребуются журналы событий и средства анализа, позволяющие определить обстоятельства происшествия. Для разработчиков корпоративного ПО основной задачей становится согласованная работа клиентских баз и сервисов: изменение условий обработки информации должно учитываться во всех системах, где используются данные пользователя», — комментирует Иван Горковенко, региональный директор ГК Softline по Юго-Восточной Азии.
