印尼《个人数据保护法》实施细则落地：2027年1月16日生效，泄露通报3×24小时、DPIA覆盖AI与物联网，但执法机构仍缺位

泄露通报方面，条例澄清72小时（3×24小时）的通报时限自“以确凿且合理的方式确认”个人数据保护失败之时起算，控制者需依托系统日志、取证调查报告等佐证材料作出判断；通报须同时发给数据主体与监管机构，并载明DPO或其他联系方式。

条例还新增了事故前即可强制执行的义务：须保存可向监管机构报告的数据泄露文档，并制定书面的数据泄露防范与处置政策，覆盖角色职责、分级处置、文档记录与定期评审。

跨境传输机制得到细化：充分性认定由数据保护机构作出并维护“白名单”；缺乏充分性时可采用该机构发布的标准合同条款或经其批准的有约束力的公司规则。DPIA方面，大规模处理、系统性监控、敏感数据处理、画像与自动化决策、数据融合以及AI、机器学习、智能技术与物联网等新技术的应用均被纳入强制评估情形。

风险提示：条例多数关键环节——充分性白名单、标准合同模板、有约束力公司规则的审批——均依赖尚未设立的独立数据保护机构。在印尼开展业务的企业应在2027年1月前完成数据映射与同意机制改造，但须把跨境传输路径的最终落地方案列为待定项。