La loi indonésienne sur la protection des données personnelles : ce qu’elle implique pour les cookies

Qu’est-ce que la loi PDP indonésienne ?

La loi nº 27 de 2022 sur la protection des données personnelles, dite UU PDP, est la première loi générale indonésienne sur la protection des données. Elle a été promulguée et est entrée en vigueur le 17 octobre 2022. L’article 74 a laissé aux responsables de traitement, sous-traitants et autres parties deux ans à compter de la promulgation pour mettre leurs traitements en conformité : la loi s’applique donc pleinement depuis le 17 octobre 2024. Les règles sectorielles existantes sur les données personnelles, comme celles issues de la réglementation des systèmes électroniques, restent valables tant qu’elles ne la contredisent pas (article 75).

La loi a renvoyé beaucoup de points à des textes d’application. Le Government Regulation nº 33 de 2026 sur la protection des données personnelles, adopté et promulgué le 16 juillet 2026, précise les obligations des responsables de traitement et des sous-traitants, les droits des personnes concernées, les transferts à l’étranger et les sanctions administratives. Il entre en vigueur six mois après sa promulgation, le 16 janvier 2027. L’agence censée superviser la loi manque toujours : le 22 juillet 2026, le ministère de la Communication et des Affaires numériques (Komdigi) a indiqué que le gouvernement finalisait un règlement présidentiel créant une autorité indépendante de protection des données personnelles qui rendrait compte au Président par l’intermédiaire du ministère, et des articles de presse de septembre 2026 la décrivaient comme toujours en attente.

À qui s’applique la loi ?

L’article 2 applique la loi à toute personne, tout organisme public ou toute organisation internationale qui accomplit des actes juridiques qu’elle régit, en Indonésie, ou hors d’Indonésie lorsque l’acte produit des effets juridiques en Indonésie ou à l’égard de citoyens indonésiens à l’étranger. Un site ou une application étrangère qui traite les données personnelles de personnes en Indonésie entre dans ce libellé. Les traitements réalisés par des particuliers pour des activités personnelles ou domestiques sont exclus. Il n’y a pas de seuil de taille.

Les cookies exigent-ils un consentement en Indonésie ?

La loi ne mentionne pas les cookies. Elle s’y applique lorsqu’ils traitent des données personnelles, c’est-à-dire des données sur une personne identifiée ou identifiable, directement ou indirectement, seules ou combinées à d’autres informations, au moyen de systèmes électroniques ou non électroniques. L’article 20 impose à chaque responsable de traitement d’avoir une base légale et en liste six :

1. un consentement explicite et valable pour une ou plusieurs finalités précises communiquées à la personne ;
2. l’exécution d’un contrat auquel la personne est partie, ou de mesures prises à sa demande avant sa conclusion ;
3. une obligation légale du responsable de traitement ;
4. la protection des intérêts vitaux de la personne ;
5. une mission d’intérêt public, un service public ou l’autorité légale du responsable de traitement ;
6. d’autres intérêts légitimes, compte tenu de la finalité, de la nécessité et de l’équilibre entre les intérêts du responsable de traitement et les droits de la personne.

Les cookies strictement nécessaires peuvent reposer sur le contrat ou sur les intérêts légitimes, avec une information. Les cookies publicitaires et de suivi intersites sont difficiles à justifier par les intérêts légitimes : le consentement est donc la base la plus sûre. Avant de s’appuyer sur le consentement, le responsable de traitement doit indiquer à la personne la base légale et la finalité du traitement, le type et la pertinence des données, la durée de conservation, la durée du traitement et les droits de la personne (article 21).

À quoi doit ressembler le consentement ?

L’article 22 exige un consentement écrit ou enregistré, qui peut être donné par voie électronique. Lorsque la demande porte aussi sur d’autres sujets, elle doit s’en distinguer clairement, sous une forme compréhensible et accessible, et dans un langage simple et clair. Un consentement qui ne respecte pas ces conditions est nul, et une clause contractuelle qui demande un traitement sans consentement explicite et valable est également nulle (article 23). L’article 24 impose au responsable de traitement de présenter la preuve du consentement sur lequel il s’appuie. Le traitement des données personnelles d’enfants exige le consentement d’un parent ou d’un tuteur (article 25). Le Government Regulation nº 33 de 2026 ajoute, selon les synthèses publiées, une obligation de fournir des mécanismes de consentement et de conserver la preuve du consentement, ainsi que des mesures pour identifier les utilisateurs enfants et vérifier le consentement parental.

Comment les transferts à l’étranger sont-ils encadrés ?

L’article 56 permet à un responsable de traitement de transférer des données personnelles à des responsables de traitement ou sous-traitants situés hors d’Indonésie selon trois niveaux. D’abord, le responsable de traitement doit s’assurer que le pays du destinataire offre un niveau de protection égal ou supérieur à celui de la loi. À défaut, il doit s’assurer qu’il existe une protection adéquate et contraignante, comme des garanties contractuelles. Si aucun des deux n’est possible, il doit obtenir le consentement de la personne. Le Government Regulation nº 33 de 2026 précise la procédure.

Qui fait appliquer la loi, et quelles sont les sanctions ?

Selon les articles 58 à 60, l’agence instituée par le Président définira la politique, contrôlera le respect de la loi, fera appliquer le droit administratif et facilitera le règlement extrajudiciaire des litiges. Les sanctions administratives de l’article 57 sont l’avertissement écrit, la suspension temporaire du traitement, l’effacement ou la destruction des données, et une amende administrative jusqu’à 2 % du chiffre d’affaires ou des recettes annuels rapportés à l’infraction, infligée par l’agence. Comme l’agence n’existait pas encore au moment de la rédaction de cette page, aucune amende administrative n’avait été infligée au titre de la loi.

Les sanctions pénales s’appliquent déjà par la voie judiciaire. Obtenir, collecter ou utiliser illégalement les données personnelles d’autrui à son profit ou au profit d’autrui est passible de 5 ans de prison et d’une amende jusqu’à 5 milliards de roupies (IDR), la divulgation illicite de 4 ans et 4 milliards de roupies, et la falsification de données personnelles de 6 ans et 6 milliards de roupies (articles 67 et 68). Les personnes morales encourent des amendes jusqu’à 10 fois ces maximums et le gel ou la fermeture de leur activité (article 70).

Que doit faire un site qui s’adresse à l’Indonésie ?

• Lister les cookies et balises qui traitent des données personnelles ; le scanner de cookies donne un premier inventaire.
• Choisir une base légale pour chaque finalité, et demander un consentement explicite pour les cookies publicitaires et de suivi.
• Conserver la preuve du consentement, puisque l’article 24 en fait peser la charge sur le responsable de traitement.
• Revoir, avant le 16 janvier 2027, les transferts vers des prestataires de mesure d’audience et de publicité à l’étranger au regard des trois niveaux de l’article 56.

L’Indonésie ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc ajouter l’Indonésie à une liste personnalisée. Les visiteurs qui s’y trouvent voient alors le bandeau de consentement préalable avec « Tout refuser », et le registre des consentements garde la trace de chaque choix. Les 24 langues du bandeau n’incluent pas encore l’indonésien, et chaque texte est modifiable par langue. Voir aussi Singapour, les Philippines et le RGPD.