印尼PDP法实施条例GR 33/2026落地：2027年1月16日生效，72小时泄露通报、强制DPO与跨境三层机制齐备

印尼《个人数据保护法》（2022年第27号法）自2022年颁布、两年过渡期于2024年10月届满后，其关键条款长期待实施细则落地而处于不确定状态。2023年8月政府曾发布实施条例草案公开征求意见。在PDP法颁布近三年后，印尼政府正式发布2026年第33号政府条例（GR 33/2026），2026年7月16日签署，自公布之日起六个月即2027年1月16日生效，这是印尼PDP监管框架全面执法的起点。

条例延续PDP法六项处理合法基础，但为各项适用附加条件，其中对“合法利益”实质要求形成书面正当利益评估。同时强制建立并维护详细的处理活动记录（RoPA），并明确必须载明的法定事项。儿童与残障人士保护方面，儿童被明确定义为未满18岁且未婚者，控制者须主动识别儿童、运用可得技术核验监护人同意，并在儿童成年时设置过渡机制；残障人士亦需相应的无障碍机制。

数据泄露方面，条例细化PDP法3×24小时通报要求，起算点为控制者基于事件文档结论明确、正当且合理知悉泄露之时，并重申无论事件性质、规模与严重程度均须强制通报。安全与隐私设计方面，控制者须自系统规划阶段起实施风险导向的技术与组织措施，包括假名化、加密、韧性、恢复能力与定期安全测试，系统默认仅处理为特定目的所必需的个人数据。

跨境传输方面，条例落实三层框架：一是向监管机构“充分性”名单所列法域传输；二是依赖充分且有约束力的保障措施，包括监管机构发布的标准合同条款（SCC）或批准的约束性公司规则（BCR）；三是以数据主体同意为最后手段。传输前须映射并评估传输、确保数据最小化、评估工具与风险、必要时实施补充保障并通知数据主体。执法方面，行政处罚包括书面警告、暂停处理活动、删除或销毁个人数据及行政罚款，罚款上限为年营收或收入的2%，可合并适用且无需事先警告；异议须在14个工作日内提出且不停止执行。