App出海印尼没做PDP合规，两年过渡期一过就挨罚

广州一家社交应用公司「趣连科技」，2025年起把出海重心压在印尼，主打年轻人匿名社交。到2026年8月，印尼月活用户冲到三百多万，团队正盘算加投广告、冲东南亚第一。问题出在8月中旬一次例行扩容：一名新入职运维把数据库白名单配置写错，部分用户手机号数小时内可被外部接口读取。技术同事发现后悄悄改了配置，谁也没往「数据合规」上想。

等到2026年9月，印尼监管机构一纸问询函发到趣连科技的当地代理邮箱，指名要说明「用户数据泄露事件及处置情况」。团队这才慌了：既没在3×24小时内通报，也没做过任何个人数据保护影响评估，连隐私政策都还是英文版套模板。两年过渡期早在2024年10月结束，他们却还当UU PDP只是「将来要管」的事。

一、先对照：印尼PDP合规的硬要求

二、三种最容易踩的情形

·把过渡期当成「以后再说」。很多出海团队看到UU PDP是2022年立法，就以为离执行还远。其实两年过渡期已在2024年10月结束，如今是全面执法期。趣连科技就是典型：用户都三百万了，隐私政策还是英文模板，合规评估一次没做过。

·泄露只修不报。这是最致命的误区。技术同事发现手机号可读，第一反应是改配置压下去，而非启动通报。UU PDP要求3×24小时内书面通知用户与监管机构，沉默只会把「泄露」升级成「瞒报」，处罚更重。

·隐私政策与同意机制形同虚设。不少App的同意勾选只是摆设，收集手机号、通讯录时没明确告知用途，也没有单独的敏感数据同意。等监管来查，连「合法依据」都拿不出，整条处理链都站不住。

第一种情形里，趣连科技从上线就欠着账。团队精力全在拉新留存，觉得「印尼监管宽松」。UU PDP过渡期条款明明白白，2024年10月后就是执法期，三百多万用户连一份印尼语隐私政策都没有，本身已踩线。

第二种情形把他们送进问询函。配置错误技术侧两小时修复，但没人通知用户也没报监管。9月问询函下来，监管已通过其他渠道掌握线索。3×24小时通报义务是「发现即启动」，迟一秒都算逾期。

第三种情形雪上加霜。趣连科技收集手机号只用一个全屏「同意并继续」按钮，无分项告知，更无敏感数据同意。监管问「处理依据」时，法务只找到英文模板一句「we may use your data」，连辩解支点都没有。

三、完整案例：趣连科技的处置过程

收到问询函，趣连科技先做「补课」而非「辩解」。我们建议补印尼语隐私政策，把手机号、通讯录用途、存储地、期限逐项写明；存量用户重新分项同意，把「全屏一键同意」拆成可勾选明细，先补合法依据。

第二步补通报与评估。虽3×24小时已过，团队仍向监管提交事件说明，附修复时间线、受影响范围与已采取措施，并主动做影响评估（PDPA-style DPIA），证明泄露可控、无二次扩散，体现「已尽合理努力」以争取从轻。

最后是整改与归档。趣连科技在当地聘了数据保护官（DPO），建立泄露7×24通报演练和季度合规自查。监管最终以警告并责令限期整改收尾，未直接罚款，但要求季度报送整改进度。CEO事后说，若上线前花两周做合规评估，根本不会走到被点名这一步。

四、现在就能做的四步

·先做一次PDP合规体检。对照UU PDP，把数据收集、存储、跨境传输、用户权利响应逐项过一遍，找出印尼语隐私政策、同意机制、泄露流程三块短板。

·把3×24小时通报写进应急预案。明确数据安全负责人与通报模板，一旦泄露，先通知、后修复，把「发现即上报」变成肌肉记忆，别等监管找上门。

·重做同意与隐私政策。弃用一键全屏同意，改为分项告知与单独敏感数据同意，隐私政策本地化并公示，让用户权利请求有处可提。

·设本地数据保护官与季度自查。在印尼侧配DPO，按季度做合规自查与演练，把年度营收2%罚款上限挡在门外。

写在最后

出海App的增长曲线可以很陡，但合规的底线不能塌。印尼UU PDP的两年过渡期已经走完，执法不是会不会来的问题，而是什么时候查到你。把个人数据当成负债来管，比被点名后花数月救火划算得多。

👉 在公众号后台回复「印尼PDP」，获取印尼PDP合规落地清单。

CHENXING GLOBAL

数据合规，出海底线｜Build Globally. Operate Compliantly.

免责声明：本文为一般性信息分享，不构成针对任何具体情形的税务、法律或审计意见。各国及地区的政策、申报要求、费用标准与办理时效可能发生调整，实际操作应以当地现行法规、主管部门要求及专业机构核实结果为准。