La loi sur la protection des données personnelles pour les villages, les écoles et les administrations : que faut-il faire ?

Par Mohammad Hilmi Bisri, S.Kom.. Publié le 10 octobre 2026.

La loi n° 27 de 2022 relative à la protection des données personnelles (Undang-Undang Pelindungan Data Pribadi, UU PDP) encadre la manière dont les données sur une personne sont collectées, conservées, utilisées et effacées. Elle est en vigueur depuis sa promulgation, le 17 octobre 2022 (article 76). La période d’adaptation de deux ans prévue à l’article 74 a pris fin le 17 octobre 2024. Son règlement d’application, le règlement gouvernemental (Peraturan Pemerintah, PP) n° 33 de 2026, entre en vigueur en janvier 2027.

La loi UU PDP s’applique aussi aux bureaux de l’administration. L’article 19 cite les organismes publics parmi les responsables du traitement et les sous-traitants de données personnelles. Selon l’article 1, point 9, les organismes publics comprennent notamment les institutions exécutives et les autres organismes financés en tout ou partie par le budget de l’État (APBN) ou celui d’une collectivité régionale (APBD). Les données consignées dans un registre papier sont également concernées (article 1, point 1).

Les termes à connaître

• Les données personnelles sont des données sur une personne qui permettent de l’identifier, seules ou combinées à d’autres informations (article 1, point 1).
• Les données personnelles spécifiques comprennent les données de santé, les données biométriques comme les empreintes digitales et l’image du visage, les données génétiques, les antécédents judiciaires, les données relatives aux enfants, les données financières personnelles et d’autres données prévues par les textes (article 4, paragraphe 2). Leur traitement est classé à haut risque : le responsable du traitement doit donc en évaluer l’impact, c’est-à-dire les risques qu’il entraîne et les moyens de les réduire (article 34).
• Le responsable du traitement (pengendali data pribadi) est la personne ou l’entité qui détermine les finalités du traitement et le contrôle (article 1, point 4) : ici, votre bureau de village, votre école ou votre administration.
• Le sous-traitant (prosesor data pribadi) traite les données pour le compte du responsable du traitement (article 1, point 5), par exemple le prestataire de l’application ou le fournisseur du serveur.
• La personne concernée (subjek data pribadi) est la personne dont les données sont traitées (article 1, point 6), par exemple les habitants, les élèves et leurs parents.

Les obligations essentielles du responsable du traitement

Disposer d’une base légale pour le traitement

Le responsable du traitement doit disposer d’une base légale pour traiter des données. L’article 20 en cite six, et le consentement de la personne n’en est qu’une. Deux autres bases concernent directement les missions des administrations : le respect d’une obligation légale (lettre c) et l’exécution d’une mission d’intérêt général, d’un service public ou d’une compétence fondée sur les textes (lettre e). Pour les données d’enfants, l’article 25, paragraphe 2, exige le consentement des parents ou du tuteur, conformément aux textes en vigueur.

Utiliser les données conformément à leur finalité

Les données doivent être traitées de manière limitée et spécifique, licite et transparente (article 27), et conformément à leur finalité (article 28). Par exemple, le numéro de téléphone portable des parents recueilli lors de l’inscription d’un nouvel élève n’est pas communiqué à des tiers à des fins de promotion.

Assurer la sécurité et la confidentialité

Le responsable du traitement doit appliquer des mesures techniques pour protéger les données, avec un niveau de sécurité adapté à leur nature et aux risques (article 35), en préserver la confidentialité (article 36) et empêcher tout accès non autorisé (article 39). Dans un petit bureau, cela signifie par exemple un compte distinct pour chaque agent, des mots de passe qui ne sont pas partagés et des liens de tableur qui ne sont pas ouverts au public.

Tenir un registre des traitements

Le responsable du traitement doit consigner toutes ses activités de traitement de données personnelles (article 31). Le PP 33/2026 détaille le contenu de ce registre, notamment la base et la finalité du traitement, les types de données, les personnes qui peuvent y accéder, la durée de conservation des données et les mesures de sécurité (article 74, paragraphe 2).

Informer dans les 3 x 24 heures en cas de fuite de données

En cas de défaillance de la protection des données personnelles, par exemple si des données sont divulguées, perdues ou consultées sans droit, le responsable du traitement doit en informer par écrit les personnes concernées et l’autorité de contrôle au plus tard dans les 3 x 24 heures (article 46, paragraphe 1, et sa note explicative officielle, appelée penjelasan). La notification indique au minimum les données divulguées, quand et comment elles l’ont été, et les mesures prises pour traiter l’incident et rétablir la situation (article 46, paragraphe 2). Si l’incident perturbe le service public ou a des conséquences graves, le public doit aussi être informé (article 46, paragraphe 3).

Désigner un responsable de la protection des données

Le responsable du traitement qui traite des données pour un service public doit désigner un responsable ou un agent chargé de la protection des données personnelles, au sein de l’administration ou à l’extérieur (article 53). La décision de la Cour constitutionnelle (Mahkamah Konstitusi) n° 151/PUU-XXII/2024 précise que cette condition de service public suffit à elle seule, sans devoir être remplie en même temps que les autres conditions de cet article.

Si vous faites appel à un prestataire pour l’application

Le prestataire qui conserve ou traite des données pour vous est un sous-traitant. Il doit agir selon vos instructions, et le traitement qu’il effectue reste sous votre responsabilité en tant que responsable du traitement (article 51, paragraphes 1 et 3). Il doit obtenir votre accord écrit avant de faire appel à un autre sous-traitant (article 51, paragraphe 5). S’il traite des données en dehors des instructions et des finalités que vous avez fixées, la responsabilité lui revient (article 51, paragraphe 6).

Le PP 33/2026 détaille aussi le contenu minimal du contrat avec le sous-traitant, notamment l’étendue et les modalités du traitement, les types de données, la durée, ainsi que les mécanismes de contrôle et d’audit (article 14).

Les questions à poser au prestataire

1. Où les données sont-elles stockées (serveur du bureau, serveur du prestataire ou service cloud), et dans quel pays ? Le transfert de données hors d’Indonésie est soumis à des conditions supplémentaires (article 56).
2. Qui peut consulter les données des habitants, y compris le personnel du prestataire et le fournisseur du serveur ?
3. À quelle fréquence les sauvegardes sont-elles faites, où sont-elles conservées, et combien de temps faut-il pour restaurer les données si le serveur tombe en panne ?
4. À la fin du contrat, les données sont-elles restituées dans un format lisible par d’autres applications, et les copies sur le serveur du prestataire sont-elles effacées, avec une preuve écrite ?
5. Dans quel délai le prestataire signale-t-il une fuite de données ? Le délai de 3 x 24 heures s’impose à vous, et le PP 33/2026 oblige le sous-traitant à prévenir le responsable du traitement à la première occasion (article 118).

Consignez les réponses dans un contrat écrit. Les applications de HanzCodes peuvent être installées sur le propre serveur de l’administration ; le détail figure sur la page Services.

Où en sont le règlement d’application et l’autorité de contrôle

Le PP 33/2026 portant application de la loi UU 27/2022 a été adopté et promulgué le 16 juillet 2026. Il entre en vigueur six mois après sa promulgation (article 225).

L’autorité de contrôle est désignée par le président de la République, et son organisation est fixée par un règlement présidentiel (article 58). Au 10 octobre 2026, nous n’avons pas trouvé ce règlement présidentiel dans la base de données officielle des textes. Lors d’une audience de la Cour constitutionnelle le 27 juillet 2026, le gouvernement a déclaré que le projet avait été soumis au président et que, à titre provisoire, la protection des données personnelles est assurée par le ministère de la Communication et du Numérique, par l’intermédiaire de sa direction générale de la surveillance de l’espace numérique.

Les sanctions

La violation des obligations ci-dessus est passible de sanctions administratives (article 57, paragraphe 1) : avertissement écrit, suspension temporaire du traitement, effacement ou destruction des données et/ou amende administrative d’au plus 2 % du revenu ou des recettes annuels, calculée sur les variables de l’infraction (article 57, paragraphes 2 et 3). Ces sanctions sont prononcées par l’autorité de contrôle.

Les dispositions pénales exigent un acte intentionnel. L’article 67 prévoit jusqu’à 5 ans d’emprisonnement pour quiconque obtient, collecte ou utilise illégalement des données personnelles qui ne lui appartiennent pas, et jusqu’à 4 ans pour quiconque les divulgue. Pour l’obtention ou la collecte, il faut en outre l’intention d’en tirer profit pour soi-même ou pour autrui, d’une manière qui peut nuire à la personne concernée. L’article 68 prévoit jusqu’à 6 ans d’emprisonnement pour quiconque crée de fausses données personnelles ou les falsifie dans une intention semblable, d’une manière qui peut nuire à autrui.

Ces peines d’emprisonnement s’accompagnent, selon la formule « dan/atau » (et/ou), d’une amende. Depuis le 2 janvier 2026, son montant suit les catégories d’amendes du code pénal (KUHP) en application de la loi (UU) n° 1 de 2026 relative à l’ajustement des peines : au plus la catégorie IV (200 millions d’IDR) pour l’article 67 et la catégorie V (500 millions d’IDR) pour l’article 68.

Cet article est un résumé, pas un avis juridique. Pour une décision précise, reportez-vous au texte de la loi UU 27/2022 sur le JDIH de la BPK (site externe) et du PP 33/2026, et adressez-vous aux responsables ou services compétents, par exemple le service juridique de la collectivité régionale, l’APIP (le contrôle interne de l’administration) ou l’accompagnateur des villages (pendamping desa).