印尼PP 33/2026实施条例六项优先事项解读：AI与机器学习被明确纳入高风险处理须做DPIA

印尼于2026年7月16日颁布第33/2026号政府条例（PP 33/2026），作为2022年第27号《个人数据保护法》（UU PDP）的实施条例。依第225条，该条例将在颁布六个月后即2027年1月16日生效。需要强调的是，这并非印尼PDP合规的起点：UU PDP已经生效，其两年调整期亦已结束。PP 33/2026的作用是把既有义务转化为更详细的运营与举证要求，监管的期待从“声明合规”转向“证明合规”。

六项实施优先事项的第一项是处理清单、合法基础、通知与同意。条例第30条列明合法处理基础；以同意为基础时，同意须明确、自由作出、知情、具体且无歧义，并须具备获取与撤回机制以及同意已作出的证据（第30条第3款a项及第32至37条）。此外，控制者须维护全部处理活动的记录（第74条），这是处理清单的底层支撑。企业应确保处理清单、隐私通知、内部程序、系统与合同之间的表述一致。

第二、三项涉及数据主体权利与高风险处理。反对权仅适用于完全基于自动化处理（含画像）且对数据主体产生法律效力或重大影响的决策（第93至96条），并非覆盖所有自动化处理；数据可携权与互操作性仅适用于基于明示同意或合同履行、且以自动化方式进行的处理（第111条第3款）。DPIA适用于对数据主体构成高风险的处理，第120条第2款列举的高风险类别包括：产生法律或重大影响的自动化决策、特定（敏感）个人数据处理、大规模处理、对数据主体的系统性评估与监测、数据集的匹配或合并、使用包括人工智能与机器学习在内的新技术，以及限制数据主体权利行使的处理。

第四、五项聚焦泄露管理、处理者与国际传输。条例为控制者设定了内部与外部个人信息保护审计要求（第138条），并要求处理者与国际传输安排具备更完整的合同与治理文件。这意味着跨境传输的合规档案（传输机制、接收方评估、保障措施）将从“备查文件”升级为“随时可提交的举证材料”。

第六项是治理、问责与制裁。PP 33/2026要求组织不仅要有政策，还要能证明控制措施在实际运行。对在印尼开展业务的中资企业与跨境电商而言，最紧迫的动作是把AI功能、IoT设备与画像系统纳入DPIA范围，重新梳理处理清单与同意证据链，并在2027年1月16日生效前完成国际传输安排的文档化。条例第120条的释义把AI明确点名，意味着使用大模型处理个人数据在印尼将默认触发影响评估义务，这是与越南第330/2026号法令并列的东南亚2026至2027年关键合规节点。