Qu'est-ce que la loi PDP &? Quand entre-t-elle en vigueur ?
La loi indonésienne sur la protection des données personnelles (PDP) régit les activités de traitement des données personnelles pour tous les types d'entreprises et d'industries, qu'elles soient privées ou publiques. Largement inspirée du règlement général sur la protection des données de l'Union européenne ("GDPR") et devant entrer en vigueur en octobre 2024, la loi (loi n° 27 de 2022) réglemente la collecte, l'utilisation, la divulgation et le traitement des données à caractère personnel.
Première réglementation complète en matière de protection des données dans le pays, la loi a été créée en réponse à des violations de données qui ont révélé des lacunes dans les lois existantes, à l'utilisation et à la collecte accrues de données personnelles et à la tendance mondiale, au fil des ans, à l'adoption de réglementations plus strictes et plus rigoureuses en matière de protection de la vie privée.
Promulguée en 2022, la nouvelle réglementation indonésienne en matière de protection de la vie privée est la suivante Loi n° 27 de 2022 sur la protection des données personnelles (loi PDP) - est actuellement dans sa période transitoire de deux ans. Les organisations doivent mettre en conformité leurs activités de traitement des données lorsqu'elles traitent des données appartenant à des personnes résidant en Indonésie et même en dehors de l'Indonésie si leurs actions ont des conséquences juridiques dans le pays.
À qui s'applique la loi PDP ?
La loi est conçue pour régir la protection des données personnelles dans tous les secteurs. Elle s'applique aux entreprises basées à l'intérieur du pays. et en dehors de l'Indonésie ; chaque fois qu'une personne, une entreprise, une entité ou une organisation internationale traite des données personnelles ou des données sensibles appartenant à un citoyen indonésien ou si cela peut avoir des répercussions juridiques sur le territoire indonésien, la loi PDP s'applique.
Il existe des exemptions partielles, notamment dans les domaines de la sécurité et de la défense nationales, de l'application de la loi et de certains services financiers.
Qu'est-ce qu'une donnée personnelle au sens de la loi PDP ?
La loi PDP définit deux catégories principales de données à caractère personnel, à savoir les données à caractère général et les données à caractère spécifique ou sensible. Les données générales à caractère personnel désignent les données relatives à des personnes identifiées ou identifiables, séparément ou en combinaison avec d'autres informations, directement ou indirectement, par le biais d'un système électronique ou non électronique. Il peut s'agir de données potentiellement moins risquées qui se trouvent sur des documents d'identité et d'autres registres généraux. Les données spécifiques ou sensibles sont généralement plus risquées si elles sont compromises.
Les exemples généraux les plus courants sont les suivants :
- Nom complet de la personne
- Genre
- Nationalité
- Religion
- État civil
Exemples de données personnelles spécifiques ou sensibles :
- Informations sur la santé et les soins médicaux
- Données biométriques et génétiques
- Casier judiciaire
- Données sur les enfants
- Données financières personnelles
- Toute autre donnée jugée sensible par la loi
Quelles sont les exigences de la loi PDP ?
La loi PDP définit plusieurs responsabilités pour les organisations, notamment :
Quelles sont les sanctions en cas de non-respect de la loi PDP ?
La loi PDP impose des sanctions strictes en cas de non-respect, soulignant l'importance d'adhérer aux normes de protection des données. Les sanctions peuvent être administratives ou pénales, en fonction de la gravité de l'infraction :
Que doivent faire les organisations pour se conformer à la loi PDP ?
Si elles ne l'ont pas encore fait, les organisations qui traitent des données personnelles en Indonésie doivent commencer à se préparer à se conformer à la loi PDP dès aujourd'hui. Voici quelques mesures que les organisations peuvent prendre :
Comment se conformer à la loi PDP ?
Pour garantir le respect de la loi PDP, les organisations doivent traiter les données d'une manière qui assure la sécurité, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou l'endommagement accidentel.
La mise en œuvre d'une solution de prévention des pertes de données (DLP) comme Digital Guardian peut aider les organisations à atteindre les meilleures pratiques en matière de protection des données personnelles, y compris un résultat souhaité de la loi PDP : Protéger les données traitées contre l'accès non autorisé ou illégal, la divulgation, l'altération, l'utilisation abusive, la perte ou les dommages.
Comme de nombreuses réglementations récentes sur la confidentialité des données, la loi indonésienne sur le PDP emprunte plusieurs éléments au règlement général sur la protection des données ou GDPR. Digital Guardian, qui peut aider à identifier automatiquement les données réglementées par le GDPR et à les protéger, en cours d'utilisation, en transit et au repos, peut également aider les organisations à démontrer leur conformité avec les obligations du PDP.
La loi PDP stipule que les sous-traitants doivent veiller à ce que les données à caractère personnel ne soient pas utilisées à d'autres fins que les services auxquels elles sont destinées. Data Loss Prevention de Digital Guardian aide à la conformité PDP en permettant aux organisations de découvrir, surveiller et contrôler efficacement les données personnelles transmises sur le réseau, en cours d'utilisation sur les postes de travail, ou au repos dans les postes de travail, les serveurs de réseau et le stockage en nuage. Les données sont protégées de manière appropriée contre la transmission, la diffusion, l'utilisation et le stockage non autorisés, tandis que les fonctionnalités d'analyse et de reporting peuvent fournir une documentation essentielle pour démontrer la conformité du PDP.
Avantages de l'utilisation des solutions Fortra pour aider le PDP
Trouver et protéger les données personnelles
La loi PDP classe les données en deux catégories : les données personnelles générales et les données personnelles spécifiques, dites sensibles. Selon la loi, il s'agit de tout ce qui nécessite une protection particulière, y compris les données et informations relatives à la santé, les données biométriques, les données génétiques, les casiers judiciaires, les données relatives aux mineurs, les données financières et d'autres données à caractère personnel. Digital Guardian peut découvrir, surveiller et contrôler efficacement des types de données spécifiques, en veillant à ce qu'elles restent exactes, complètes et cohérentes afin qu'elles puissent être manipulées en toute sécurité.
La loi PDP classe les données en deux catégories : les données personnelles générales et les données personnelles spécifiques, dites sensibles. Selon la loi, il s'agit de tout ce qui nécessite une protection particulière, y compris les données et informations relatives à la santé, les données biométriques, les données génétiques, les casiers judiciaires, les données relatives aux mineurs, les données financières et d'autres données à caractère personnel. Digital Guardian peut découvrir, surveiller et contrôler efficacement des types de données spécifiques, en veillant à ce qu'elles restent exactes, complètes et cohérentes afin qu'elles puissent être manipulées en toute sécurité.
Efforts de sécurisation du traitement des données
L'article 35 de la nouvelle loi indonésienne sur la protection de la vie privée impose au responsable du traitement et au sous-traitant de protéger et d'assurer la sécurité des données personnelles traitées. Digital Guardian dispose de mesures techniques conçues pour protéger les données personnelles transmises sur le réseau, en cours d'utilisation sur les postes de travail ou au repos sur les postes de travail, les serveurs du réseau et stockées dans le nuage.
L'article 35 de la nouvelle loi indonésienne sur la protection de la vie privée impose au responsable du traitement et au sous-traitant de protéger et d'assurer la sécurité des données personnelles traitées. Digital Guardian dispose de mesures techniques conçues pour protéger les données personnelles transmises sur le réseau, en cours d'utilisation sur les postes de travail ou au repos sur les postes de travail, les serveurs du réseau et stockées dans le nuage.
Faciliter les transferts de données en toute sécurité
En vertu de la loi PDP, les responsables du traitement des données personnelles doivent s'assurer que les pays hors de la juridiction de l'Indonésie qui reçoivent le transfert de données personnelles ont un niveau de protection des données égal ou supérieur à la loi PDP. Les entreprises qui cherchent à empêcher le transfert de données peuvent utiliser des politiques pour répondre aux exigences réglementaires en s'assurant que les données ne peuvent pas être déplacées vers des endroits non autorisés.
En vertu de la loi PDP, les responsables du traitement des données personnelles doivent s'assurer que les pays hors de la juridiction de l'Indonésie qui reçoivent le transfert de données personnelles ont un niveau de protection des données égal ou supérieur à la loi PDP. Les entreprises qui cherchent à empêcher le transfert de données peuvent utiliser des politiques pour répondre aux exigences réglementaires en s'assurant que les données ne peuvent pas être déplacées vers des endroits non autorisés.