新经济出海东南亚系列研究之二——印度尼西亚出海合规

印度尼西亚是世界人口第四大国、东南亚最大经济体，其在东南亚地区的地位不容忽视。近年来，由于人口红利和移动互联网的发展，印尼成为了东南亚是最重要的互联网市场之一是中国互联网公司出海的兵家必争之地。在公司出海印尼的过程中，尤其须重视内容合规与数据合规的相关规定，遵守当地法律法规。
一、内容审查
印尼抖音网红Bowo Alpenliebe走红后在社交平台表示希望创建自己的宗教，粉丝则成为他的信徒。这样的偏激言论在印尼这个伊斯兰教占主体的国家引起了强烈的舆论反响。印尼政府因包含“色情、不当和亵渎神灵”的不良内容自2018年7月3日起封禁Tik Tok，3天后整改完毕的Tik Tok才于印尼全面恢复服务。
印尼为维护政治、社会和宗教的和谐，通过法律法规、宗教教令等规范性文件对网络内容进行极为细分的规定。针对印尼的社会特色，互联网出海印尼须严格遵守印尼内容审查的法律规定，避免因此造成损失。
1、概述
GR 71/2019 第95条对印尼网络禁止内容进行了列举规定：政府有权通过阻止访问、向电子系统运营商发出阻止访问的指令的方式阻止电子信息、电子文件的传播和使用。其第96条的解释进一步说明，禁止内容包括电子信息、包含或宣传以下任何元素的电子文档：色情、诽谤、欺诈、对特定民族、宗教、种族或群体的仇恨，对儿童的暴力；侵犯知识产权；违禁商品、服务的交易；恐怖主义、激进主义；分裂主义、危险的禁止组织；违反数据安全；违反消费者保护；卫生领域的违规行为；以及与食品药品监管有关的违法行为。
2020年印尼通信部第5号法案对网络平台运营以及网络平台运营商的管理责任作了进一步规定，希望加强互联网行业互联网平台对违法信息的监管。公众、通信部门、执法部门、司法部门等主体可以申请对平台链接进行终止访问，尤其对于涉及恐怖主义、儿童色情、扰乱公共秩序及造成公众不安的内容，将会被视为紧急信息，平台应对上述几类信息在收到终止访问申请后尽快删除以终止访问。而对于不执行上述措施的网络平台运营商，通信部有权给予行政处罚；网络平台运营商可以申请恢复被终止的网络服务。被终止通信服务三次以上的申请者，通信部有权拒绝其恢复申请。[1]
2、宗教内容
印尼的宗教信仰多种多样，信仰神明是印尼建国五项原则中的内容之一。而总体而言，印尼有87%的人口信奉伊斯兰教，是世界上穆斯林人口最多的国家，信仰宗教已经成为印尼人民不可或缺的一部分。因此，人们对事物的看法和行为准则都会带有宗教的因素，在出海印尼时绝不可忽视宗教领域的一些习惯与禁忌。浓厚的宗教氛围似的他们对网络中的反伊斯兰内容特别反感，印尼法律条款中有许多涉及对本国宗教文化的保护。如《信息与电子交易法》第28条第2款规定：“禁止未经授权故意传播企图利用民族、宗教、社会种族等因素激发仇恨或者引起个人或团体间纠纷的信息。”
具体而言，伊斯兰教中对于动物的禁忌较为敏感，须避免使用猪、狗等动物作为内容元素。伊斯兰教的《古兰经》中有规定不能食用猪肉；伊斯兰教中狗被认为是不洁的象征，规定禁止把狗当作宠物养在家中，且不允许狗与人有密切接触。例如京东的标志在国内网站上为小狗，而在印度尼西亚网站上则为了当地本地化的需要改为了小马。
除此之外，穆斯林对于左右手手势也有须注意之处。在印尼，用左手递给别人东西，或者用左手握手都是粗鲁和无礼的行为。
3、赌博问题
2008年第11号《电子信息与交易法》（EIT法）中第27条第（2）款规定：任何人在知情的情况下，未经授权分发、传送有赌博内容的电子信息、电子记录是禁止行为。作为穆斯林国家，印尼禁止一切形式的赌博。目前在印尼也没有合法的赌场、扑克室、博彩店，甚至因穆斯林社区的抗议，连印尼政府经营的国家彩票也被关闭。因此，在出海印尼时，不要出现老虎机、扑克牌等元素。[2]
4、色情内容
2008年第44号法令《色情法》对印尼色情问题进行了专门规制，《色情法》第1条明文将网络色情纳入法律规制的范围，其具体内容为“色情服务是指个人或公司向他人提供的色情类服务，包括现场表演、有线电视，地面无线电视，收音机，电话，互联网和其他电子通讯以及报纸，杂志和其他印刷材料。”
另外，为打击网络色情犯罪，印尼政府还采取了其他配套制度，例如2010年7月21日印尼政府通信和信息部发布规章，要求网络接入运营商和网络访问站点（Internet Service Provider/Network Access Piont）遵守有关色情服务的法律法规。[3]
二、数据合规
2020年，印尼消费者团体（KKI）对印尼电商平台Tokopedia和通信和信息部（MCI）提起诉讼，一起大规模数据泄露案件被提交到印尼法院，涉及1500万Tokopedia客户的数据泄露。[4]尽管这起案件最终被法院驳回，但印尼较为普遍的数据泄露情况对出海的互联网公司而言仍存风险。
目前而言，印尼在东南亚地区对于数据合规有着较高的要求，许多条款已与欧盟GDPR的规定大体一致，这足以看出印尼有关部门对于网络数据安全的重视。印尼数据合规管理的主要部门是通信和信息部（MCI），与电子数据有关的数据保护法主要由通信和信息部负责执行，且任何电子系统运营商在其用户使用电子系统之前必须在通信和信息部注册。
然而，印度尼西亚暂未正式出台统一的数据保护法。关于数据合规，主要涉及到的法律法规有：2008年第11号《电子信息与交易法》（EIT法）及其实施条例；2019年第71号《关于实施电子系统与交易的政府条例》（GR 71/2019）；以及2016年第20号《关于电子系统中个人数据保护的条例》（Reg 20）。目前，为了结束印尼个人数据保护法规过于分散的局面，印尼政府正在起草旨在成为印尼的主要隐私法的PDP法案，而该法案目前正在定稿阶段，值得我们持续关注。
1、处理数据必须事先获得数据主体的明确同意
根据EIT法，除非根据其他适用法律或条例获得豁免，否则必须事先获得数据主体的明确同意，才能在电子系统中处理其个人数据。收集此类个人数据的实体需要在同意文件中详细解释数据使用、处理、转移和披露的目的，并且只能根据数据主体同意的范围使用或处理此类个人数据。
此外，收集这些个人数据的实体在收集数据时，或在使用或处理这些个人数据之前，以及在对个人数据采取任何行动之前，必须告知数据主体他们的个人数据将如何被使用和处理。这些个人数据只能基于数据主体同意的目的而使用或处理。
2、数据被遗忘权（删除权、除名权）
根据EIT法和GR 71，数据主体有权要求电子系统运营商删除与他们有关的任何不再相关的数据。这项权利被细分为删除权与除名权两个独立的权利。
删除权，这是指根据数据主体的要求而从电子系统中删除。具体而言，享有删除权的“不相关数据”包括个人数据：（1）未经同意获得和处理的；（2）使用同意被撤销的；（3）非法获得和处理的；（4）不再符合其收集目的的；（5）其使用已超过适用的使用期限的；（6）由电子系统运营商显示并对数据主体造成损失的。如果现行法律和法规禁止删除无关数据，则电子系统运营商删除无关数据的义务不适用。
除名权，即从搜索引擎结果中删除个人数据。属于除名权的不相关数据并没有明确的定义。除名必须根据法院命令进行，而法院命令将根据数据主体的申请发布。
3、数据跨境转移
根据印尼EIT法，电子系统运营商必须在转移前向通信和信息部通知其将个人数据转移到印尼境外的计划。转移后，电子系统运营商必须向通信和信息部提交一份转移后报告，其中必须包括转移的细节, 内容至少包括目的地国家、数据接收人、数据传输日期、数据传输的原因。向通信和信息部的通知不需要针对每次跨境转移的情况，可以包括未来几次跨境转移的计划。
通信和信息部目前的政策是，尽管有GR 71的规定（允许在印尼境外管理、处理、存储电子系统和电子数据），但通知和报告义务与GR 71并不矛盾，因此可以适用。
根据MR 20/2016，个人数据的跨境转移不受限制，前提是转移得到数据主体的同意，并与印尼通信和信息技术部或其他相关部门进行协调。根据印尼通信和信息技术部的现行政策，应通过提交年度报告来实施强制性协调。
4、数据存储本地化
印度尼西亚要求私人电子系统运营商在印度尼西亚境内存储数据。而与现已撤销的 GR 82相比，GR 71法令中第21条特别允许私人电子系统运营商在印度尼西亚境外定位电子系统和电子数据，但需满足以下条件：（1）电子系统和电子数据在印度尼西亚境外的位置不会降低相关国家部委或机构和执法机构进行监督的有效性；且（2）必须依法为监督执法提供电子系统和电子数据的访问权限。
三、未成年人保护
1、未成年人信息收集
对于未满18岁的人的个人数据，数据收集者必须事先获得该人的父母或法定监护人的明确同意。
2、游戏分级制度
印尼根据游戏内容对各年龄段用户进行游戏分级；分别是3+、7+、13+、18+以及SU（适用于所有年龄段）。每个出版商都要求届时通过游戏分级制度网站来注册游戏。其中18+以下等级的设有货币交易功能的游戏，要求不得储存用户的个人数据，并且游戏当中的货币交易行为必须要由父母或其监护人完成。[5]
四、广告营销
1、电子邮件
根据EIT法及其实施条例，只有在事先征得数据主体同意的情况下才允许进行个人数据处理。在实践中，通过电子邮件进行直接营销的发送者使用以下程序来遵守EIT法：1.发送一封电子邮件，表明发送者的身份，并向收件人解释电子邮件的目的；2.如果收件人没有回复第一封电子邮件，则停止向收件人发送直接营销电子邮件。
2、电话营销
在实践中，电话营销人员使用以下程序来遵守EIT法：1.拨打电话，确认来电者身份，并向收件人解释通话目的；以及2.如果收件人不希望继续通话，则停止通话。
五、电商平台
2016年，印尼放宽外商投资限制，使外商更容易在曾经受限的三十多个领域进行投资，电子商务就涵盖其中。在立法层面，印尼2017年颁布的《第74号2017-2019年国家电子商务交易指南的总统令》，2019年11月发布了《2019年第80号关于在线交易政府条例》（GR 80/2019）。受新冠疫情影响，2020年之后，印尼消费者对电子商务的消费需求不断上涨，电商平台出海印尼机会仍存。
1、数据存储期限
GR 80/2019法令也对电商平台数据存储期限方面提出了具体规定：GR 80第25条要求，电子交易平台运营商必须在特定时期内保留储存数据。对于与金融交易有关的数据，保留期为10年。对于其他数据，保留期为5年。“其他数据”是指包括但不限于客户信息、电子要约和承诺信息、数据和信息、电子确认信息、付款信息、物流信息、贸易索赔争议记录、电子合同、交易商品或服务的类型。
违反GR 80/2019中的相关条款，将可能受到警告信、列入优先监测名单、列入黑名单、暂时中止电子交易平台运营商的服务以及吊销营业执照的行政处罚。
2、境外电商平台的特殊规定
在GR 80/2019中，印尼对于电子商务业务参与者之一的电子商务运营商下了定义，即提供电子系统以实现电子商务交易的业务参与者。电子商务运营商的业务模型包括市场，在线零售/电子零售，在线分类广告，价格比较平台和每日交易。
非印尼本土的线上店铺将面临更严格的法律规制。GR 80/2019第七条中规定，为印尼消费者提供在线交易服务的外国平台，在满足以下特定条件时，将可能被视为在印尼从事商业运营的印尼本地法律实体，需要指派驻印尼代表或在印尼设立本地法律实体：1.交易数量；2.交易金额；3.邮寄包裹的数量；4.网站访问量或用户数量。这意味着满足上述条件的电商平台将可能被认为属于印尼常设机构，进而须根据印尼税法要求纳税或设立本地法律实体，且必须在印度尼西亚任命一名当地代表并遵守所有适用的税收法规。[6]
注释
[1] 《通信部5号法案|本地App运营商的信息管理合规要求》,
https://mp.weixin.qq.com/s/tLLhUzWm6gtD8V8RJ4Mt0Q
[2] 《本地化产品设计差异（印尼篇）》,
https://www.cnwebe.com/articles/224949.html
[3] 夏燕，魏瑛婕.印尼网络法律制度初探——以《信息与电子交易法》为考察对象[J].广西大学学报(哲学社会科学版)，2017，39(04):120-124.
[4] 《印尼个人数据保护法的现状简介》,
https://mp.weixin.qq.com/s/w9zjrVyQn3SR1TBu3LeQ2A
[5] 《出海合规那些事之四：东南亚地区游戏监管|“游”法可依》，
https://mp.weixin.qq.com/s/aZowcNAsy-61ntUvw7-KZw
[6] 《印尼最新<在线交易法>对在线交易的新影响》,
https://mp.weixin.qq.com/s/FYz2NmDHr6xNkrIC1Y99VA