印尼PDP法实施条例GR 33/2026落地：225条细化全生命周期义务，六个月过渡期2027年1月届满

关键条款包括：数据泄露须在3×24小时内以书面方式通知数据主体与监管机构，通知时点自知悉起算而非自泄露起算，涉及公共服务或公共利益的须公开通报，并须留存泄露记录与内部处置政策；高风险处理前须开展DPIA，涵盖自动化决策、大规模处理、系统性监控、数据匹配与新技术使用；DPO在满足公共服务处理、核心活动需定期大规模监控、或大规模处理特定数据与犯罪数据三类触发条件之一时即须任命。

合法基础沿用PDP法六项，未新增，但“正当利益”须形成书面化的必要性、比例性与风险缓解衡平评估，数据主体可要求说明、反对并要求停止或调整处理，使该基础从一次性理由变为持续合规义务。跨境传输采层级路径：优先流向保护水平等同或更高的国家，否则通过标准合同条款、有约束力企业规则等保障手段，并以传输风险评估为前提。

ABNR提示两项现实约束：一是监管机构DPA本身尚未设立，第223—224条以过渡安排弥合制度缺口，通知渠道与监督执法权尚不能全面运转；二是六个月的过渡期相对于所需整改偏短。建议企业优先推进数据映射、问责文档、合同安排、数据主体权利响应流程、漏洞响应、高风险处理与跨境传输等可即刻落地的事项，而非等待DPA后续细则。