La legge sulla protezione dei dati personali per villaggi, scuole ed enti pubblici: quali sono gli obblighi?

Di Mohammad Hilmi Bisri, S.Kom.. Pubblicato il 10 ottobre 2026.

La Legge (Undang-Undang, UU) n. 27 del 2022 sulla protezione dei dati personali (UU PDP) disciplina il modo in cui i dati che riguardano una persona vengono raccolti, conservati, usati e cancellati. La legge è in vigore dalla promulgazione, avvenuta il 17 ottobre 2022 (art. 76). Il periodo di adeguamento di due anni previsto dall'art. 74 si è concluso il 17 ottobre 2024. Il regolamento di attuazione, il Regolamento governativo (Peraturan Pemerintah, PP) n. 33 del 2026, entra in vigore a gennaio 2027.

La UU PDP vincola anche gli uffici pubblici. L'art. 19 indica gli enti pubblici (badan publik) tra i titolari e i responsabili del trattamento dei dati personali. Sono enti pubblici, tra gli altri, gli organi esecutivi e gli altri organismi finanziati in tutto o in parte dall'APBN o dall'APBD, cioè dal bilancio dello Stato o da quello di un'amministrazione regionale (art. 1, numero 9). Sono compresi anche i dati annotati nei registri di carta (art. 1, numero 1).

I termini da conoscere

• I dati personali (data pribadi) sono i dati su una persona che permettono di identificarla, da soli o combinati con altre informazioni (art. 1, numero 1).
• I dati personali specifici (data pribadi yang bersifat spesifik) comprendono i dati sanitari, i dati biometrici come le impronte digitali e le immagini del volto, i dati genetici, i precedenti penali, i dati dei minori, i dati finanziari personali e altri dati previsti dalle norme (art. 4, comma 2). Il loro trattamento è considerato ad alto rischio, quindi il titolare deve valutarne l'impatto, cioè i rischi che ne derivano e il modo di ridurli (art. 34).
• Il titolare del trattamento (pengendali data pribadi) è il soggetto che stabilisce le finalità e controlla il trattamento dei dati (art. 1, numero 4): in questo caso il Suo ufficio di villaggio, la Sua scuola o il Suo ente.
• Il responsabile del trattamento (prosesor data pribadi) è il soggetto che tratta i dati per conto del titolare (art. 1, numero 5), per esempio il fornitore dell'applicazione o del server.
• L'interessato (subjek data pribadi) è la persona i cui dati vengono trattati (art. 1, numero 6), per esempio i cittadini, gli studenti e i loro genitori.

Gli obblighi principali del titolare

Avere una base per il trattamento

Il titolare deve avere una base per il trattamento. L'art. 20 ne elenca sei, e il consenso dell'interessato è solo una di queste. Altre due riguardano direttamente i compiti degli enti: l'adempimento di un obbligo di legge (lettera c) e lo svolgimento di compiti di interesse pubblico, di servizio pubblico o di poteri attribuiti dalle norme (lettera e). Per i dati dei minori, l'art. 25, comma 2, richiede il consenso dei genitori o del tutore secondo le disposizioni di legge.

Usare i dati secondo la loro finalità

I dati devono essere trattati in modo limitato e specifico, lecito e trasparente (art. 27), e secondo la loro finalità (art. 28). Per esempio, il numero di cellulare dei genitori raccolto con l'iscrizione dei nuovi studenti non va dato ad altri per fini promozionali.

Garantire sicurezza e riservatezza

Il titolare deve adottare misure tecniche per proteggere i dati, con un livello di sicurezza adeguato alla loro natura e ai rischi (art. 35), mantenere la riservatezza dei dati (art. 36) e impedire gli accessi non autorizzati (art. 39). In un piccolo ufficio questo significa, per esempio, un account separato per ogni addetto, password non condivise e link ai fogli di calcolo non aperti al pubblico.

Registrare le attività di trattamento

Il titolare deve registrare tutte le attività di trattamento dei dati personali (art. 31). Il PP 33/2026 precisa il contenuto di questo registro: tra l'altro la base e la finalità del trattamento, i tipi di dati, chi può accedervi, il periodo di conservazione e le misure di sicurezza (art. 74, comma 2).

Avvisare entro 3 x 24 ore in caso di violazione dei dati

Se la protezione dei dati personali fallisce, per esempio perché i dati vengono divulgati, persi o consultati senza diritto, il titolare deve informare per iscritto gli interessati e l'autorità di controllo entro 3 x 24 ore (art. 46, comma 1, e relativa spiegazione). L'avviso indica almeno i dati divulgati, quando e come è avvenuta la divulgazione e le misure adottate per gestire l'evento e ripristinare la situazione (art. 46, comma 2). Se l'evento compromette i servizi pubblici o ha conseguenze gravi, deve essere informata anche la popolazione (art. 46, comma 3).

Nominare un addetto alla protezione dei dati

Il titolare che tratta dati per servizi pubblici deve nominare un funzionario o addetto alla protezione dei dati personali, interno o esterno all'ente (art. 53). La sentenza della Corte costituzionale (Mahkamah Konstitusi) n. 151/PUU-XXII/2024 chiarisce che basta questa condizione del servizio pubblico, senza che debbano ricorrere anche le altre condizioni dello stesso articolo.

Se l'ente si affida a un fornitore di applicazioni

Il fornitore che conserva o elabora dati per Suo conto è un responsabile del trattamento. Deve lavorare secondo le Sue istruzioni, e il trattamento che svolge resta sotto la Sua responsabilità di titolare (art. 51, commi 1 e 3). Il fornitore ha bisogno del Suo consenso scritto prima di coinvolgere un altro responsabile (art. 51, comma 5). Se tratta i dati al di fuori delle istruzioni e delle finalità da Lei stabilite, la responsabilità passa al fornitore (art. 51, comma 6).

Il PP 33/2026 precisa anche il contenuto minimo del contratto con il responsabile, tra cui l'ambito e le modalità del trattamento, i tipi di dati, la durata e i meccanismi di controllo e di audit (art. 14).

Che cosa chiedere al fornitore

1. Dove sono conservati i dati (server dell'ufficio, server del fornitore o servizio cloud) e in quale Paese? Il trasferimento di dati fuori dall'Indonesia è soggetto a condizioni aggiuntive (art. 56).
2. Chi può aprire i dati dei cittadini, compresi gli addetti del fornitore e chi fornisce il server?
3. Con quale frequenza si fanno le copie di backup, dove sono conservate e quanto tempo serve per il ripristino se il server si guasta?
4. Alla fine del contratto, i dati vengono restituiti in un formato leggibile da altre applicazioni, e le copie sul server del fornitore vengono cancellate con una prova scritta?
5. In quanto tempo il fornitore segnala una violazione dei dati? Il limite di 3 x 24 ore vale per Lei, e il PP 33/2026 obbliga il responsabile a informare il titolare alla prima occasione utile (art. 118).

Riporti le risposte in un contratto scritto. Le applicazioni di HanzCodes si possono installare sul server dell'ente; i dettagli sono nella pagina Servizi.

Lo stato delle norme di attuazione e dell'autorità di controllo

Il PP 33/2026, regolamento di attuazione della UU 27/2022, è stato emanato e promulgato il 16 luglio 2026 ed entra in vigore sei mesi dopo la promulgazione (art. 225).

L'autorità di controllo è istituita dal Presidente e disciplinata con un Regolamento presidenziale (Peraturan Presiden) (art. 58). Al 10 ottobre 2026 non abbiamo trovato questo Regolamento presidenziale nelle banche dati normative ufficiali. Nell'udienza della Corte costituzionale del 27 luglio 2026 il governo ha dichiarato che la bozza è già stata sottoposta al Presidente e che, in via provvisoria, le funzioni di protezione dei dati personali sono svolte dal Ministero della Comunicazione e del Digitale (Kementerian Komunikasi dan Digital) attraverso la Direzione generale per la vigilanza sullo spazio digitale.

Sanzioni

La violazione degli obblighi descritti sopra comporta sanzioni amministrative (art. 57, comma 1): ammonimento scritto, sospensione temporanea del trattamento, cancellazione o distruzione dei dati e/o sanzione pecuniaria amministrativa fino al 2 per cento dei ricavi o delle entrate annue rispetto alla variabile della violazione (art. 57, commi 2 e 3). Le sanzioni sono applicate dall'autorità di controllo.

Le disposizioni penali richiedono un comportamento intenzionale. L'art. 67 prevede la reclusione fino a 5 anni per chi illecitamente ottiene, raccoglie o usa dati personali che non gli appartengono, e fino a 4 anni per chi li divulga. Per l'ottenimento o la raccolta occorre l'intenzione di trarne vantaggio per sé o per altri, con un possibile danno per l'interessato. L'art. 68 prevede la reclusione fino a 6 anni per chi crea dati personali falsi o li falsifica con un'intenzione simile, con un possibile danno per altri.

Alla reclusione si aggiunge una multa con la formula «dan/atau» (e/o). Dal 2 gennaio 2026 l'importo segue le categorie di multa del codice penale indonesiano (KUHP) in base alla UU n. 1 del 2026 sull'adeguamento delle pene: al massimo la categoria IV (200 milioni di IDR) per l'art. 67 e la categoria V (500 milioni di IDR) per l'art. 68.

Questo articolo è una sintesi e non costituisce consulenza legale. Per decisioni specifiche faccia riferimento al testo della UU 27/2022 nella banca dati JDIH della BPK (sito esterno) e del PP 33/2026, e si rivolga ai funzionari o agli uffici competenti, per esempio l'ufficio legale dell'amministrazione regionale, l'APIP (l'apparato di controllo interno della pubblica amministrazione) o il facilitatore dei villaggi (pendamping desa).