• Instgram
  • LinkeIn
  • Lexologoy
One Asia Lawyers > ニューズレター > インドネシア > インドネシア：インドネシアの個人データ保護に関する新たな施行規則の公布

インドネシア：インドネシアの個人データ保護に関する新たな施行規則の公布

2026年09月14日（月）

「インドネシアの個人データ保護に関する新たな施行規則の公布」についてニューズレターを発行いたしました。こちらの内容は以下のPDFからご覧いただけます。
→インドネシアの個人データ保護に関する新たな施行規則の公布

インドネシアの個人データ保護に関する新たな施行規則の公布

2026年9月
One Asia Lawyers Indonesia Office
日本法弁護士　馬居 光二
インドネシア法弁護士　Prisilia Sitompul
インドネシア法弁護士　Kevin Anggiat Harahap

1. はじめに

2026年7月16日、インドネシア政府は、個人データ保護に関する2022年法律第27号の実施に関する2026年政令第33号（以下「GR 33/2026」といいます。）を公布しました。GR 33/2026は、公布から6か月後の2027年1月16日に施行されると規定されております。
GR 33/2026は、個人データ保護に関する法律2022年第27号（以下「PDP法」といいます。）の施行規則として制定されております。PDP法は2022年10月17日に施行されましたが、2年間の移行期間が設けられ、当該期間は、2024年10月17日に終了しております（PDP法第74条）。もっとも、PDP法では多くの事項が、政府規則で定める旨規定されており、詳細が不明な点が多くありました。GR 33/2026は、PDP法上の義務について、その内容や実施方法をより具体的かつ詳細に定めるものです。

2. GR 33/2026が定める主な追加・具体化事項

a. 適法な処理の根拠

PDP法第20条は、個人データ管理者に対し、個人データを処理するにあたり、①データ主体からの明示的な同意、②契約上の義務の履行、③法的義務の履行、④データ主体の重大な利益の保護、⑤公共の利益に係る任務の遂行又は公的権限の行使、又は⑥その他の正当な利益のいずれかの適法な処理根拠を有することを求めています。
2023年に公表された施行規則案は、これらの処理根拠について、それぞれ依拠するための要件をより詳細に規定していました[1]。GR 33/2026も、この基本的な枠組みを概ね踏襲しています。例えば、同意については、自由意思に基づき、内容を認識した上で、特定の事項について明確に与えられること等を求めるとともに、欺罔的又は誤解を招く方法による同意取得を禁止しております。また、個人データの処理が商品又はサービス等の提供に必要な場合を除き、データ主体が同意しなかったことを理由として、商品又はサービス等の提供を拒否し、又はその品質を低下させることを禁止しています（第32条〜第39条）。
契約上の義務の履行については、データ主体が当事者である契約上の義務を履行するために必要な場合、又は契約締結前にデータ主体からの要請に応じて措置を講じるために必要な場合を、個人データ処理の根拠として規定しています。さらに、処理の根拠となる契約に最低限含まれるべき事項、契約締結時のデータ主体からの要請の条件、処理の停止等の詳細が規定されております（第40条〜第44条）。
その他の正当な利益を処理根拠とする場合には、処理の目的及び必要性、管理者の利益とデータ主体の権利との均衡、データ主体に生じ得る法的影響又は不利益並びにその軽減措置について分析・評価を行い、その結果を文書化すべき旨が規定されております（第53条〜第57条）。
上記処理根拠に関するGR 33/2026の基本的な枠組みは2023年の施行規則案から大きく変更されたものではありませんが、一部の規定は修正されております。
特に注目されるのが、契約上の義務の履行を処理根拠とする場合の取扱いです。2023年の施行規則案では、個人データ処理を伴う契約について、データ主体から明示的かつ有効な同意を得ることを要求する規定が置かれており、契約という独立した処理根拠と同意との関係が必ずしも明確ではありませんでした。
これに対し、GR 33/2026では、契約上の義務の履行は、同意とは独立した処理根拠としてより明確に整理されております。

b. 情報の提供について

PDP法第21条は、同意を処理根拠とする場合に提供すべき情報を定めていましたが、その他すべての処理根拠について同様の通知義務が適用されることを明示してはいませんでした。これに対し、GR 33/2026第62条は、原則として処理開始前に、処理根拠の種類を問わず所定の情報を提供することを求めています。また、個人データをデータ主体から間接的に取得した場合、個人データ管理者は、取得後30営業日以内に上記の情報をデータ主体に通知する必要があると規定されております（第64条）。
さらに、GR 33/2026は商品又はサービスの提供・案内を目的として同意を取得する場合、個人データを受領する第三者に関する情報、提供・案内の形態、同意撤回の方法等について明確に情報提供することを求めています（第35条2項）。当該「第三者の情報」について、同条の解説文において、これは第三者の特定情報、受領目的及び受領する個人データの種類等を指す旨が規定されております。第三者に関する情報を提供すべきこと自体は2023年の施行規則案にも規定されていましたが、その具体的内容が明示された点はGR 33/2026における変更点であり、今後の商品又はサービスの提供・案内に関する同意取得の実務に影響を及ぼす可能性があります。

c. ガバナンス及びアカウンタビリティ

PDP法は、処理活動の記録（PDP法第31条）、高リスクの個人データ処理の際のデータ保護影響評価（「DPIA」）（PDP法第34条）、個人データ保護責任者（「DPO」）（PDP法第53条及び第54条）、共同管理者・処理者に関する基本的な義務（PDP法第18条）を定めております。また、同法は、合併等に伴う個人データの移転について、データ主体への通知を定めております（PDP法第48条）。
この点について、GR 33/2026第74条は、個人データ管理者に対し、データフローの棚卸し・マッピング、処理目的及び法的根拠、個人データ及びデータ主体の類型、保存期間、セキュリティ措置、国外移転等を含む処理活動の記録を作成・維持することを求めています。また、共同管理者及び処理者との関係について、契約等に定めるべき事項を具体化するとともに、再委託先となる処理者についても同等の個人データ保護水準を確保するための書面による取決めを求めています。

また、GR 33/2026は、DPIAについては、高リスクの個人データ処理を開始する前に実施することを明確化し、その評価項目や見直しについて詳細に規定しています（第120条〜第122条）。DPOについても、最高位の経営層への報告経路、独立した職務遂行、必要なリソース及び処理活動へのアクセスの確保、利益相反の回避等、その実効性を確保するための組織上の要件を定めています（第142条〜第147条）。
さらに、同規則は、合併等に伴うデータ移転前の評価、通知内容及びデータ主体による権利行使を含め、データ移転の手続をより詳細に規定しています（第131条〜第137条）。特に、新たなデータ管理者は、データ主体による異議申立期間が終了した後でなければ、移転された個人データを新たなデータ管理者自身の目的のために処理することができない旨が規定されております（135条2項）。

d. 個人データの国外移転

多国籍企業にとって、国外移転に関する規定は、特に重要な事項の一つとなります。その基本的な枠組み自体は、既にPDP法第56条に定められています。すなわち、PDP法第56条は、国外移転について、以下の段階的な要件を定めています。

  • (a) 受領国の個人データ保護レベルが、インドネシアの個人データの保護レベルと同等かそれ以上であること
  • (b) (a)が満たされない場合：受領国において十分かつ拘束力のある個人データ保護措置が確保されていること
  • (c) (a)および(b)のいずれも満たされない場合：データ主体の移転に関する同意を取得していること

もっとも、これらに関する詳しい規定は、施行規則で定められるとされておりました（PDP法第56条5項）。
GR 33/2026は、データ管理者に対し、国外移転に係るリスク評価を行うとともに、移転目的、データ保護のために用いられる手段、権利行使の方法、移転に伴うリスク及びその軽減措置等について、事前にデータ主体へ情報提供する必要がある旨を規定しております（第164条1項及び第2項）。当該情報提供義務について、第164条は、第165条に定める前述の移転要件とは別に情報提供義務を定めているため、移転先国が同等以上の保護水準を有する場合や、適切かつ拘束力のある保護措置に基づいて移転する場合にも、原則として当該情報提供が必要となると考えられます。
また、同規則は、当局による十分性評価の基準を定めるとともに、同等以上の保護水準を有する法域又は国際機関のリストを当局が作成することを求めています（第168条）。
さらに、GR33/2026は、標準契約条項、拘束的企業準則（BCR）その他認められた手段を、適切かつ拘束力のある保護措置となり得る仕組みとして位置付けています（第169条）。
加えて、同規則は、同意は無制限に利用できる代替手段ではなく、移転が反復的でないこと、対象となるデータ主体が限定されること、並びに適切なリスク評価及び保護措置が講じられていること等の要件を定めています（第173条）。
もっとも、いずれの要件についても、さらなる詳細が当局の規則によって規定される旨が定められており、今後の立法に留意が必要となります（第168条4項、第172条、第174条）。

e. データ侵害対応及び執行

PDP法は、個人データ保護上の事故が発生した場合、データ主体及び所管当局に対し、3×24時間以内に書面で通知すべき旨を定めています（PDP法第46条）。
GR 33/2026はこの期限自体を変更するものではありませんが、当該期間の起算点を、データ侵害の発生を確実かつ合理的に認識した時点と明確化しています（第114条2項）。また、データ管理者に対し、事故の予防及び対応に関する社内方針・手続を整備し、責任分担、事故の分析及び優先順位付け、報告、記録並びに定期的な見直しを行うことを義務づけています（第117条）。データ処理者は、関連する事故について、可能な限り速やかにデータ管理者へ報告しなければなりません（第118条）。
行政制裁について、PDP法第57条は、書面による警告、処理活動の一時停止、個人データの削除又は廃棄、並びに年間売上高又は年間収入の2％を上限とする行政罰金を規定しています。GR 33/2026は、行政制裁の対象となる規定、制裁の賦課及び罰金額の算定において考慮される要素・変数、並びに調査、決定及び異議申立ての手続を定めることにより、執行の枠組みをより具体化しています（第184条〜第199条）。また、複数の行政制裁を同時に科すことを認めるとともに、他の制裁に先立って書面による警告を科すことを必須としていません（第184条7項、8項）。

3. 企業に求められる実務対応

GR 33/2026の施行により、これまで行ってきたPDP法対応を一からやり直す必要があるわけではありません。むしろ、これまでに整備したPDP法対応について、GR 33/2026によって具体化・追加された要件を踏まえて見直し、必要な対応を追加することが重要と考えられます。
その際、個人データ保護上の問題が生じた場合にも、自社の管理体制及び対応が適切であったことを合理的に説明・立証できるよう、必要な記録や根拠を残しておくことが重要となります。
そのために、特に、2027年1月16日の施行に向けて、以下の対応を検討することが考えられます。

  • ・処理根拠及び情報提供の見直し：各処理活動の処理根拠を改めて確認し、正当な利益に関する評価等の必要な文書を整備するとともに、プライバシー通知や同意取得の方法がGR 33/2026の情報提供要件を満たしているか確認する。
  • ・データ処理に関する管理体制の整備：処理活動記録を整備・更新するとともに、共同管理者、処理者、ベンダー等との契約を確認し、DPIAやDPOを含むガバナンス体制がGR 33/2026の要件を満たしているか確認する。
  • ・国外移転への対応：国外へのデータフローを把握し、各移転について適用される移転メカニズム及び必要なリスク評価・保護措置を確認するとともに、国外移転に関するデータ主体への情報提供を見直す。
  • ・個人データ保護上の事故等への対応：個人データ侵害の予防・対応に関する社内方針・手続を整備する。
  • ・組織再編・企業取引への対応：合併、買収、会社分割等に伴う個人データの移転について、通知、異議申立て対応その他の必要な手続を確認する。

その上で、上記を踏まえて、社内のプライバシーポリシー、プライバシーノーティス、同意書、Data Processing Agreement等の整備、データ侵害発生時の対応準備等を進めることが推奨されます。

4. 結論

上記のように、GR 33/2026は、PDP法で定められた個人データ保護の基本的な枠組みを変更するものではなく、その実施に必要な手続や要件をより具体化するものです。これにより、インドネシアの個人データ保護制度は、より実務的な運用段階へ移行することになると考えられます。
そのため、インドネシアで事業を行う企業においては、本レターで触れた点も含め、GR 33/2026の具体的な要件を確認し、追加の対応を行っていく必要があると考えられます。
また、GR 33/2026には、今後、所管する個人データ保護当局の規則により詳細が定められる事項も残されています。そのため、今後制定される下位規則について引き続き注視しつつ、2027年1月16日の施行に向けて対応を進めていくことが望まれます。

[1] 施行規則案については、下記ニュースレターも合わせてご参照下さい。
インドネシアの個人データ保護法、施行規則の発出に向けて（1）
インドネシアの個人データ保護法施行規則の発出に向けて（２）＝「越境移転」
インドネシアの個人データ保護法, 施行規則の施行に向けて（３）＝個人データの処理（Processing）


  ｜