印尼通信与信息部对某流媒体平台违反数据本地化规定处以行政罚款案（2024年）

【案件背景】
印度尼西亚于2022年10月颁布的《个人数据保护法》（UU PDP, Law No. 27/2022）在隐私保护框架外设定了数据本地化的相关义务，配合此前已有的政府条例第71/2019号（电子系统与交易运营商治理），要求公共服务类电子系统运营商和特定行业的'战略电子系统运营商'将数据存储在印尼境内。2024年初，印尼通信与信息部（Kominfo）陆续对大型数字平台开展数据本地化合规审查，流媒体平台因其处理大量用户行为数据的特性成为首批检查对象。

【违法事实】
Kominfo对某国际流媒体平台（在印尼拥有超过1500万订阅用户）的调查认定：1）该平台收集的印尼用户观看历史、偏好数据、搜索记录、设备标识等核心数据全部存储于新加坡和美国的境外服务器，未在印尼境内建立任何数据存储节点，违反了第71/2019号政府条例关于战略电子系统运营商数据本地化的要求；2）平台在其隐私政策中以概括性条款声明'数据可能在全球服务器间传输和处理'，但未向印尼用户明确说明数据的实际境外存储地点及接收国的数据保护水平；3）Kominfo在2023年第三季度已向该平台发出警告函要求在规定期限内提交本地化整改计划，但平台未在期限内作出实质性回应；4）该平台在印尼的实际运营实体仅为市场营销和客户关系管理部门，不具备数据管理和存储能力，其业务架构设计本身未将印尼数据本地化义务纳入考量。

【处罚决定】
Kominfo依据政府条例第71/2019号（经第80/2019号修正）和《个人数据保护法》相关条款，对该平台印尼子公司处以50亿印尼盾（约合人民币230万元）的行政罚款，并要求在12个月内：1）在印尼境内建设至少一个符合安全标准的数据存储中心；2）完成现有用户数据向印尼境内存储设施的安全迁移；3）建立印尼用户数据本地化存储的持续性机制和定期审计制度；4）每季度向Kominfo报告合规进展。如未能按期完成，将面临每次违规最高100亿印尼盾的加重罚款和可能的服务暂停措施。

【典型意义】
印尼作为东南亚最大的数字消费市场之一，正通过将数据本地化要求嵌入《个人数据保护法》和电子系统治理框架，构建一个从数据收集到存储的全链条监管体系。本案的意义在于：第一，印尼的数据本地化要求从'公共服务电子系统运营商'扩展至'战略电子系统运营商'，涵盖了大量商业数字平台，标志着本地化义务的适用范围在迅速扩大；第二，Kominfo的执法策略是'先警告后处罚'，但警告不等于无限期宽限——如果企业在收到警告后仍无实质性行动，将直接触发正式处罚；第三，对于在印尼有大量用户但未设立技术团队的跨国数字平台，'组织架构不足'本身就表明其缺乏合规意愿和能力，是加重处罚的依据。