一、核心法律框架概述

印度尼西亞網(wǎng)絡(luò)數(shù)據(jù)安全領(lǐng)域以《電子信息和交易法》（EIT Law，經(jīng) 2024 年修訂）為基礎(chǔ)核心，輔以《個(gè)人數(shù)據(jù)保護(hù)法》（PDP Law）、《2019 年電子系統(tǒng)和交易實(shí)施政府條例》（GR 71/2019）、國(guó)家網(wǎng)絡(luò)和密碼局（BSSN）相關(guān)規(guī)章及行業(yè)專項(xiàng)法規(guī)，構(gòu)建了覆蓋網(wǎng)絡(luò)犯罪懲治、數(shù)據(jù)保護(hù)、系統(tǒng)安全、 incident 響應(yīng)等全鏈條的合規(guī)體系。其中，EIT Law 規(guī)制各類網(wǎng)絡(luò)犯罪與電子系統(tǒng)義務(wù)，PDP Law 聚焦個(gè)人數(shù)據(jù)全生命周期保護(hù)，GR 71/2019 細(xì)化電子系統(tǒng)提供商（ESP）的實(shí)操要求，BSSN 相關(guān)規(guī)章明確 cybersecurity 技術(shù)標(biāo)準(zhǔn)與危機(jī)管理流程，行業(yè)法規(guī)則針對(duì)金融、醫(yī)療、電信等敏感領(lǐng)域提出特殊要求。

二、禁止性網(wǎng)絡(luò)行為及法律責(zé)任

企業(yè)及員工在印尼境內(nèi)外開展活動(dòng)時(shí)，需嚴(yán)格規(guī)避以下網(wǎng)絡(luò)違規(guī)行為，相關(guān)行為均構(gòu)成刑事或行政違法，面臨嚴(yán)厲處罰：

1.非法訪問（黑客行為）：未經(jīng)授權(quán)故意訪問他人計(jì)算機(jī)或電子系統(tǒng)（含繞過安全機(jī)制），違反 EIT Law 第 30 條，最高可處 8 年監(jiān)禁及 8 億印尼盾罰款；若造成物質(zhì)損失，最高刑為 12 年監(jiān)禁及 120 億印尼盾罰款。典型案例中，被告人非法訪問地方政府?dāng)?shù)據(jù)庫(kù)并試圖出售 230 萬條人口記錄，被判處 1 年監(jiān)禁及 2 億印尼盾罰款。

2.拒絕服務(wù)攻擊（DDoS）：通過破壞安全系統(tǒng)訪問電子系統(tǒng)或?qū)е孪到y(tǒng)無法正常運(yùn)行，違反 EIT Law 第 30 條、第 33 條，最高可處 10 年監(jiān)禁及 100 億印尼盾罰款，實(shí)際量刑通常為 2-3 年監(jiān)禁及 200-2000 萬印尼盾罰款。

3.釣魚與信息偽造：偽造、篡改電子信息 / 文檔以欺騙他人，或非法轉(zhuǎn)移他人電子憑證、銀行信息等，違反 EIT Law 第 32 條、第 35 條，最高可處 12 年監(jiān)禁及 120 億印尼盾罰款；同時(shí)可能觸犯《刑法典》欺詐條款，額外面臨 4 年監(jiān)禁。

4.惡意軟件傳播：植入勒索軟件、間諜軟件、病毒等破壞系統(tǒng)或非法訪問數(shù)據(jù)，違反 EIT Law 第 30 條、第 33 條、第 36 條，最高可處 10 年監(jiān)禁及 100 億印尼盾罰款。

5.網(wǎng)絡(luò)犯罪工具相關(guān)行為：創(chuàng)建、銷售、分發(fā)或持有用于網(wǎng)絡(luò)犯罪的軟硬件（如鍵盤記錄器、密碼破解工具），違反 EIT Law 第 34 條，最高可處 8 年監(jiān)禁及 80 億印尼盾罰款。

6.身份盜竊與數(shù)據(jù)濫用：偽造、濫用他人電子身份或個(gè)人數(shù)據(jù)，違反 EIT Law 第 35 條及 PDP Law 相關(guān)條款，最高可處 12 年監(jiān)禁及 120 億印尼盾罰款；若涉及個(gè)人數(shù)據(jù)偽造，還可能面臨 PDP Law 規(guī)定的 6 年監(jiān)禁及 60 億印尼盾罰款。

7.電子盜竊與泄密：未經(jīng)授權(quán)轉(zhuǎn)移、泄露他人電子信息或商業(yè)秘密，違反 EIT Law 第 32 條及《商業(yè)秘密法》，最高可處 8 年監(jiān)禁及 80 億印尼盾罰款；侵犯版權(quán)的，最高可處 4 年監(jiān)禁及 10 億印尼盾罰款。

8.未經(jīng)授權(quán)滲透測(cè)試：無論是否出于惡意，未經(jīng)系統(tǒng)所有者許可的滲透測(cè)試均構(gòu)成非法訪問，違反 EIT Law 第 30 條，最高可處 8 年監(jiān)禁及 8 億印尼盾罰款。

上述罪名均具有域外效力，只要行為對(duì)印尼產(chǎn)生法律影響或損害印尼利益，無論行為人位于何地，均適用印尼法律追究責(zé)任。

三、企業(yè)核心安全義務(wù)與實(shí)操要求

（一）通用安全措施

企業(yè)作為電子系統(tǒng)提供商（ESP，包括所有運(yùn)營(yíng)電子系統(tǒng)的個(gè)人、企業(yè)及機(jī)構(gòu)），需滿足以下最低安全要求：

1.建立并維護(hù)電子系統(tǒng)的物理與非物理安全防護(hù)，制定并更新安全程序與指南，配備充足的人員與機(jī)構(gòu)支持，實(shí)施績(jī)效管理并制定業(yè)務(wù)連續(xù)性計(jì)劃。

2.定期開展網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估，針對(duì)威脅與中斷制定并執(zhí)行緩解措施，確保系統(tǒng)免受干擾、故障與數(shù)據(jù)損失。

3.制定內(nèi)部數(shù)據(jù)保護(hù)與安全政策，明確個(gè)人數(shù)據(jù)處理的安全等級(jí)，采取技術(shù)與運(yùn)營(yíng)措施保障數(shù)據(jù)的保密性、完整性與可用性。

4.留存所有電子系統(tǒng)活動(dòng)（含個(gè)人數(shù)據(jù)處理）的審計(jì)軌跡，用于監(jiān)管核查、執(zhí)法配合及糾紛解決。

5.對(duì)負(fù)責(zé)系統(tǒng)安全與數(shù)據(jù)保護(hù)的員工開展定期培訓(xùn)與教育，確保人員具備相應(yīng)安全意識(shí)與操作能力。

6.對(duì)電子系統(tǒng)進(jìn)行客觀可行性測(cè)試，驗(yàn)證其是否符合安全與運(yùn)營(yíng)要求。

（二）Incident 響應(yīng)與報(bào)告機(jī)制

1.內(nèi)部響應(yīng)能力：建立專門的網(wǎng)絡(luò)事件響應(yīng)團(tuán)隊(duì)（CIRT），負(fù)責(zé)事件緩解、系統(tǒng)恢復(fù)、信息上報(bào)及跨機(jī)構(gòu)協(xié)調(diào)，并向 BSSN 下屬的國(guó)家 CIRT 注冊(cè)。

2.報(bào)告義務(wù)觸發(fā)與要求：

個(gè)人數(shù)據(jù)泄露：發(fā)生數(shù)據(jù)泄露后，需在 3×24 小時(shí)內(nèi)書面通知受影響數(shù)據(jù)主體及監(jiān)管機(jī)構(gòu)（當(dāng)前為通信和數(shù)字事務(wù)部 MOCDA），通知內(nèi)容需包含泄露數(shù)據(jù)類型、時(shí)間、方式及補(bǔ)救措施；若影響公共服務(wù)或公共利益，需向公眾披露。

高風(fēng)險(xiǎn)網(wǎng)絡(luò)事件：發(fā)現(xiàn)高風(fēng)險(xiǎn)或有重大影響的網(wǎng)絡(luò)事件后，需在 24 小時(shí)內(nèi)報(bào)告至行業(yè) CIRT（如有）或相關(guān)監(jiān)管部門，并抄送國(guó)家 CIRT，報(bào)告需包含聯(lián)系人信息、事件描述、時(shí)間線及影響評(píng)估。

系統(tǒng)嚴(yán)重中斷：因外部行為導(dǎo)致電子系統(tǒng)嚴(yán)重故障或中斷時(shí)，需立即向 MOCDA 及 BSSN 報(bào)告。

3.應(yīng)急計(jì)劃制定：制定覆蓋威脅場(chǎng)景、職責(zé)分工、溝通流程、恢復(fù)程序、資金保障及報(bào)告要求的應(yīng)急計(jì)劃，每?jī)赡曛辽匍_展一次模擬測(cè)試，每年接受 BSSN 評(píng)估。

（三）特定主體額外要求

1.公共部門 ESP 需將電子系統(tǒng)與數(shù)據(jù)存儲(chǔ)在印尼境內(nèi)（國(guó)內(nèi)無相關(guān)技術(shù)時(shí)除外），未來需遵守 “單一數(shù)據(jù)” 政策，將數(shù)據(jù)存儲(chǔ)于政府提供的數(shù)據(jù)中心。

2.關(guān)鍵信息基礎(chǔ)設(shè)施（VII）運(yùn)營(yíng)者（涵蓋政府、能源、交通、金融、健康、ICT、食品、國(guó)防等領(lǐng)域），需實(shí)施 ISO/IEC 27001 標(biāo)準(zhǔn)并獲得認(rèn)證，建立風(fēng)險(xiǎn)管理制度、事件響應(yīng)團(tuán)隊(duì)，每年開展安全成熟度評(píng)估，配合 BSSN 的全國(guó)網(wǎng)絡(luò)安全協(xié)調(diào)工作。

四、特定行業(yè)額外合規(guī)要求

（一）金融服務(wù)行業(yè)

需遵守印尼央行（BI）與金融服務(wù)管理局（OJK）的專項(xiàng)規(guī)定：

1.建立健全網(wǎng)絡(luò)韌性與安全管理框架，開展固有風(fēng)險(xiǎn)評(píng)估，定期進(jìn)行漏洞分析、桌面推演、社會(huì)工程學(xué)測(cè)試及對(duì)抗性攻擊模擬。

2.設(shè)立專門的網(wǎng)絡(luò)韌性部門或 CIRT，明確網(wǎng)絡(luò)事件的報(bào)告與通知流程，確保及時(shí)響應(yīng)各類安全威脅。

（二）醫(yī)療行業(yè)

1.嚴(yán)格遵守《健康法》與 PDP Law，醫(yī)療數(shù)據(jù)需在印尼境內(nèi)處理，明確患者對(duì)自身健康信息的所有權(quán)，僅在患者同意、法律要求或公共衛(wèi)生緊急情況下方可披露數(shù)據(jù)。

2.使用符合標(biāo)準(zhǔn)的安全電子病歷系統(tǒng)，數(shù)據(jù)存儲(chǔ)期限不少于 25 年，并需與衛(wèi)生部平臺(tái)實(shí)現(xiàn)互聯(lián)互通。

（三）電信行業(yè)

需遵守 MOCDA 的專項(xiàng)規(guī)定，確保網(wǎng)絡(luò)可靠性與安全性，防范網(wǎng)絡(luò)濫用，配合合法監(jiān)聽要求，落實(shí)電子系統(tǒng)安全標(biāo)準(zhǔn)，保障用戶數(shù)據(jù)安全并支持政府的網(wǎng)絡(luò)事件管理工作。

五、公司治理與責(zé)任追究

（一）管理層責(zé)任

公司董事（BOD）與監(jiān)事（BOC）需以善意和合理謹(jǐn)慎的態(tài)度履行職責(zé)，將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)納入公司整體風(fēng)險(xiǎn)管理范疇。若因未履行安全義務(wù)導(dǎo)致公司損失，管理層可能承擔(dān)個(gè)人責(zé)任；若涉及個(gè)人數(shù)據(jù)非法處理，管理層還可能面臨刑事處罰，最高可處 6 年監(jiān)禁及 60 億印尼盾罰款，公司則可能被處以最高 10 倍于個(gè)人罰款的處罰，甚至面臨執(zhí)照吊銷或解散。

（二）數(shù)據(jù)保護(hù)負(fù)責(zé)人任命

滿足以下條件之一的企業(yè)，需任命數(shù)據(jù)保護(hù)官（DPO）：數(shù)據(jù)處理涉及公共利益、核心業(yè)務(wù)包含大規(guī)模系統(tǒng)性個(gè)人數(shù)據(jù)監(jiān)控，或核心業(yè)務(wù)涉及大規(guī)模特殊類別個(gè)人數(shù)據(jù)及犯罪相關(guān)數(shù)據(jù)處理；DPO 可位于印尼境內(nèi)或境外。同時(shí)，需任命至少一名印尼境內(nèi)的聯(lián)系人，作為與 MOCDA 及執(zhí)法機(jī)構(gòu)的溝通紐帶。

六、國(guó)際合規(guī)與數(shù)據(jù)跨境

（一）數(shù)據(jù)跨境傳輸限制

1.個(gè)人數(shù)據(jù)跨境傳輸需滿足以下條件之一：接收國(guó)具備足夠的數(shù)據(jù)保護(hù)水平、雙方簽訂具有約束力的安全保障協(xié)議，或獲得數(shù)據(jù)主體的明確同意（前兩項(xiàng)的實(shí)施細(xì)則尚未生效）。

2.公共部門 ESP 的所有數(shù)據(jù)需在印尼境內(nèi)存儲(chǔ)與處理，私人部門 ESP 若處理戰(zhàn)略或關(guān)鍵數(shù)據(jù)，未來可能被要求遵守國(guó)內(nèi)存儲(chǔ)要求。

（二）國(guó)際標(biāo)準(zhǔn)對(duì)齊

企業(yè)需參考國(guó)際通用標(biāo)準(zhǔn)提升合規(guī)水平，如 BSSN 要求 ESP 采用 ISO/IEC 27001 信息安全管理體系標(biāo)準(zhǔn)，金融行業(yè)需遵循巴塞爾委員會(huì)相關(guān)網(wǎng)絡(luò)韌性框架。

七、風(fēng)險(xiǎn)防范與保險(xiǎn)

（一）允許的防護(hù)措施

企業(yè)可使用信標(biāo)、蜜罐、sinkholes 等防護(hù)工具，但需遵守以下限制：信標(biāo)不得非法攔截第三方通信，蜜罐不得超范圍收集個(gè)人數(shù)據(jù)，sinkholes 僅可用于內(nèi)部惡意流量分流。同時(shí)，企業(yè)可監(jiān)控自身 IT 系統(tǒng)（含員工郵件與互聯(lián)網(wǎng)使用），但需基于明確的內(nèi)部政策或勞動(dòng)合同，事先通知員工，且不得超出安全防護(hù)目的，不得非法攔截通信內(nèi)容。

（二）保險(xiǎn)與 ransom 支付風(fēng)險(xiǎn)

1.企業(yè)可購(gòu)買網(wǎng)絡(luò)保險(xiǎn)，覆蓋數(shù)據(jù)泄露、業(yè)務(wù)中斷、系統(tǒng)故障、數(shù)字資產(chǎn)恢復(fù)等損失，保險(xiǎn)范圍由保險(xiǎn)合同約定。

2.目前無明確規(guī)定禁止使用保險(xiǎn)支付 ransom，但若收款方為恐怖組織或被列入恐怖主義相關(guān)名單，支付行為將構(gòu)成恐怖主義融資罪，最高可處 15 年監(jiān)禁及 10 億印尼盾罰款，企業(yè)需嚴(yán)格評(píng)估相關(guān)法律風(fēng)險(xiǎn)。

八、執(zhí)法配合與調(diào)查應(yīng)對(duì)

（一）執(zhí)法機(jī)構(gòu)權(quán)力

印尼執(zhí)法機(jī)構(gòu)（包括國(guó)家警察網(wǎng)絡(luò)犯罪部門、總檢察長(zhǎng)辦公室等）在調(diào)查網(wǎng)絡(luò)事件時(shí)，可行使以下權(quán)力：搜查與扣押證據(jù)、要求 ESP 提供系統(tǒng)信息、查封或扣押涉案 IT 設(shè)備、責(zé)令 ESP 暫停社交媒體賬號(hào)、銀行賬戶及數(shù)字資產(chǎn)的訪問權(quán)限，以及在法定條件下攔截電子通信。

（二）企業(yè)配合義務(wù)

企業(yè)需配合執(zhí)法機(jī)構(gòu)的合法調(diào)查請(qǐng)求，按要求提供電子系統(tǒng)數(shù)據(jù)、訪問權(quán)限及相關(guān)證據(jù)，但無義務(wù)在系統(tǒng)中設(shè)置后門或提供加密密鑰。ESP 需確保系統(tǒng)具備合法訪問能力，以便在收到執(zhí)法機(jī)構(gòu)合法請(qǐng)求時(shí)提供必要數(shù)據(jù)。

免責(zé)聲明

法律及程序可能發(fā)生變更。本文僅提供一般性信息，不構(gòu)成法律建議。若您在海外遭遇法律糾紛，請(qǐng)立即聯(lián)系我們咨詢專業(yè)涉外律師。