UU 27/2022Foundations and categories of personal data Top

By Muhammad Deckri Algamar, AIGP
With Prof. Abu Bakar Munir

Powered by
The statute · text and map
Salinan v5.8 · 28 Sep 2026
01The statute · Pasal 1-4

Foundations and categories of personal data

Each article verbatim in Indonesian, then the reading, the text of the implementing articles, and last where the GDPR stands on the same problem. Where a PP paragraph repeats the statute word for word it is marked and dimmed, so what stays bright is what the regulation actually adds.

Markers carries administrative sanctions, Pasal 184(1) detail awaits a Peraturan Lembaga stays at statute level, no PP provision
Where the GDPR stands ported, the wording or structure tracks the GDPR aligned, same work by its own route diverges, the mechanism or threshold differs no GDPR counterpart

UU 27/2022 · BAB IGeneral provisions

Pasal 1

Definitions official copy p. 2

Dalam Undang-Undang ini yang dimaksud dengan:

  1. 1.
    Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.
  2. 2.
    Pelindungan Data Pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional subjek Data Pribadi.
  3. 3.
    Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta, maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik.
  4. 4.
    Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.
  5. 5.
    Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi.
  6. 6.
    Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi.
  7. 7.
    Setiap Orang adalah orang perseorangan atau korporasi.
  8. 8.
    Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum.
  9. 9.
    Badan Publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, sumbangan masyarakat, dan/atau luar negeri.
  10. 10.
    Organisasi Internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional.
  11. 11.
    Pemerintah Pusat yang selanjutnya disebut Pemerintah adalah Presiden Republik Indonesia yang memegang kekuasaan pemerintahan Negara Republik Indonesia sebagaimana dimaksud dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945.
Implemented by PP 33/2026 Pasal 1

The reading PP Pasal 1 carries the definitional architecture forward and extends it from 25 terms to 27, adding Lembaga, PPDP, Masa Retensi, Kegagalan Pelindungan Data Pribadi, Mediasi and Hari. The additions are not cosmetic: Hari is defined as a working day, which lengthens every deadline in the PP that is denominated in Hari.

Text of the implementing articles
PP Pasal 1official copy p. 2

Dalam Peraturan Pemerintah ini yang dimaksud dengan:

  1. 1.
    Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan Informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.
  2. 2.
    Pelindungan Data Pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional Subjek Data Pribadi.
  3. 3.
    Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta, maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik.
  4. 4.
    Pengendali Data Pribadi adalah Setiap Orang, Badan Publik, dan Organisasi Internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.
  5. 5.
    Prosesor Data Pribadi adalah Setiap Orang, Badan Publik, dan Organisasi Internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi.
  6. 6.
    Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi.
  7. 7.
    Setiap Orang adalah orang perseorangan atau korporasi.
  8. 8.
    Badan Publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah, sumbangan masyarakat, dan/atau luar negeri.
  9. 9.
    Organisasi Internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional.
  10. 10.
    Mediasi Pelindungan Data Pribadi yang selanjutnya disebut sebagai Mediasi adalah cara penyelesaian Sengketa Pelindungan Data Pribadi terkait Data Pribadi melalui proses perundingan untuk memperoleh kesepakatan Para Pihak yang Bersengketa dengan dibantu Mediator.
  11. 11.
    Mediator adalah seorang atau beberapa orang yang memiliki kompetensi yang ditetapkan oleh Lembaga dan/atau terdaftar pada badan Arbitrase atau Lembaga Mediasi sesuai dengan ketentuan peraturan perundang-undangan yang berkedudukan di wilayah Negara Republik Indonesia untuk membantu Para Pihak yang Bersengketa mencari kemungkinan penyelesaian Sengketa Pelindungan Data Pribadi.
  12. 12.
    Arbitrase adalah cara penyelesaian suatu Sengketa Pelindungan Data Pribadi perdata di luar peradilan umum yang didasarkan pada perjanjian arbitrase yang dibuat secara tertulis oleh Para Pihak yang Bersengketa.
  13. 13.
    Para Pihak yang Bersengketa adalah Pengendali Data Pribadi, Prosesor Data Pribadi, atau Subjek Data Pribadi yang Bersengketa.
  14. 14.
    Kesepakatan Perdamaian adalah kesepakatan hasil Mediasi dalam bentuk dokumen yang memuat klausul perdamaian dan ketentuan penyelesaian Sengketa Pelindungan Data Pribadi serta ditandatangani oleh Para Pihak yang Bersengketa dan Mediator.
  15. 15.
    Lembaga adalah lembaga yang menyelenggarakan Pelindungan Data Pribadi sebagaimana diatur dalam Undang-Undang yang mengatur mengenai Pelindungan Data Pribadi.
  16. 16.
    Lembaga Mediasi adalah lembaga alternatif penyelesaian Sengketa Pelindungan Data Pribadi yang berkedudukan hukum dalam wilayah Negara Republik Indonesia sesuai dengan ketentuan peraturan perundang-undangan.
  17. 17.
    Sengketa Pelindungan Data Pribadi yang selanjutnya disebut sebagai Sengketa adalah perbedaan kepentingan atau perselisihan yang terjadi antara Para Pihak yang Bersengketa mengenai pelaksanaan atau pemenuhan hak dan/atau kewajiban Pelindungan Data Pribadi salah satu pihak berdasarkan hubungan hukum di antara mereka.
  18. 18.
    Kegagalan Pelindungan Data Pribadi adalah kegagalan melindungi Data Pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan Data Pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap Data Pribadi yang dikirim, disimpan, atau diproses.
  19. 19.
    Hari adalah hari kerja.
  20. 20.
    Pengendali Data Pribadi Bersama adalah Pengendali Data Pribadi yang terdiri atas 2 (dua) atau lebih Pengendali Data Pribadi yang secara bersama-sama menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.
  21. 21.
    Anak adalah setiap orang yang berusia di bawah 18 (delapan belas) tahun dan belum menikah.
  22. 22.
    Penyandang Disabilitas adalah setiap orang yang mengalami keterbatasan fisik, intelektual, mental, dan/atau sensorik dalam jangka waktu lama yang dalam berinteraksi dengan lingkungan dapat mengalami hambatan dan kesulitan untuk berpartisipasi secara penuh dan efektif dengan warga negara lainnya berdasarkan kesamaan hak.
  23. 23.
    Masa Retensi adalah periode waktu pemrosesan Data Pribadi yang diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi dan/atau karena kewajiban hukum lainnya.
  24. 24.
    Kerja Sama Internasional dalam Bidang Pelindungan Data Pribadi yang selanjutnya disebut Kerja Sama Internasional adalah kegiatan secara bersama-sama yang dilakukan secara bilateral, regional, atau multilateral dalam rangka memberikan Pelindungan Data Pribadi.
  25. 25.
    Pejabat atau Petugas yang Melaksanakan Fungsi Pelindungan Data Pribadi yang selanjutnya disebut PPDP adalah pejabat atau petugas yang bertanggung jawab untuk memastikan pemenuhan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi.
  26. 26.
    Pemerintah Pusat yang selanjutnya disebut Pemerintah adalah Presiden Republik Indonesia yang memegang kekuasaan pemerintahan Negara Republik Indonesia sebagaimana dimaksud dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945.
  27. 27.
    Kementerian atau lembaga adalah instansi penyelenggara negara yang bertugas mengawasi dan mengeluarkan pengaturan terhadap sektornya.
Where the GDPR standsGDPR Article 4ported from the GDPR

What the GDPR provides. GDPR Article 4 is a single definitions article carrying 26 numbered terms that the rest of the Regulation runs on. Article 4(1) defines personal data by reference to an identified or identifiable natural person, names sample identifiers, and covers identification both directly and indirectly.

Article 4(7) defines the controller by the determination of purposes and means, alone or jointly with others, and Article 4(8) defines the processor as one who processes on the controller's behalf. Article 4(2) defines processing as any operation on personal data, automated or not.

The identified-or-identifiable formula in UU Pasal 1 angka 1, with its direct and indirect limbs, tracks GDPR Article 4(1) closely enough to read as a transposition. The controller and processor pair in angka 4 and angka 5 tracks GDPR Article 4(7) and GDPR Article 4(8), including the atas nama construction on the processor side.

One substitution changes the test: the GDPR fixes control by purposes and means, the UU by tujuan and kendali pemrosesan. Both EU limbs work together rather than separately.

C-210/16 made the administrator of a Facebook fan page a controller under the predecessor of GDPR Article 4(7) because it took part in determining purposes and means, and C-683/21 reached an entity that had performed no processing operations on the same combined test, holding that participation in the determination of the purposes and means is enough unless the entity expressly objected before release.

Whether kendali pemrosesan carries the same reach as means is the open question, and neither text answers it. The UU also puts sistem elektronik atau nonelektronik inside the definition of Data Pribadi, but that phrase qualifies how identification happens rather than how processing happens, so it is not the counterpart of the filing-system limb in GDPR Article 2(1).

The UU imposes no filing-system condition at all, which makes its reach over manual processing wider on its face than the GDPR's. Identifiability in EU law is not a property of the data but a test about the means reasonably likely to be used, settled in C-582/14 and stretched to a pseudonymised consent string in C-604/22; nothing in Pasal 1 supplies that test.

EDPB guidanceGuidelines 07/2020 on the concepts of controller and processor in the GDPR
Court of JusticeC-582/14 Patrick Breyer v Bundesrepublik Deutschland, 19 October 2016C-434/16 Peter Nowak v Data Protection Commissioner, 20 December 2017C-604/22 IAB Europe v Gegevensbeschermingsautoriteit, 7 March 2024C-210/16 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH, 5 June 2018C-683/21 Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v Valstybinė duomenų apsaugos inspekcija, 5 December 2023

Pasal 2

Scope of application official copy p. 3
(1)
Undang-Undang ini berlaku untuk Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum sebagaimana diatur dalam Undang-Undang ini:
  1. a.
    yang berada di wilayah hukum Negara Republik Indonesia; dan
  2. b.
    di luar wilayah hukum Negara Republik Indonesia, yang memiliki akibat hukum: 1. di wilayah hukum Negara Republik Indonesia; dan/atau 2. bagi Subjek Data Pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia.
(2)
Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.
Implemented by PP 33/2026 Pasal 2, 3, 4

The reading PP Pasal 2 fixes the addressees and Pasal 3 carves out purely personal or household processing. The exemption is bounded rather than absolute, since Pasal 3 attaches its own conditions, so a controller cannot reach it merely by characterising the activity as private.

Text of the implementing articles
PP Pasal 2Peraturan Pemerintah ini mengatur Setiap Orang, Badan Publik, dan …official copy p. 6

Peraturan Pemerintah ini mengatur Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum dalam pelaksanaan Pelindungan Data Pribadi yang berada:

  1. a.
    di wilayah hukum Negara Republik Indonesia; dan
  2. b.
    di luar wilayah hukum Negara Republik Indonesia yang memiliki akibat hukum: 1. di wilayah hukum Negara Republik Indonesia; dan/atau 2. bagi Subjek Data Pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia.
PP Pasal 3Orang perseorangan yang melakukan pemrosesan Data Pribadi dalam ke…official copy p. 6
(1)
Orang perseorangan yang melakukan pemrosesan Data Pribadi dalam kegiatan pribadi atau rumah tangga tidak termasuk pemrosesan Data Pribadi sebagaimana yang dimaksud dalam Peraturan Pemerintah ini.
(2)
Pemrosesan Data Pribadi dalam kegiatan pribadi atau rumah tangga sebagaimana yang dimaksud pada ayat (1) meliputi:
  1. a.
    kegiatan pemrosesan Data Pribadi yang dilakukan oleh orang perseorangan untuk kepentingan dan pemenuhan kebutuhan pribadi atau rumah tangga;
  2. b.
    kegiatan pemrosesan Data Pribadi yang bukan merupakan kegiatan profesional dan/atau komersial; dan/atau
  3. c.
    kegiatan pemrosesan Data Pribadi yang tidak diperuntukkan bagi publik.
PP Pasal 4Ruang lingkup Peraturan Pemerintah ini meliputi: a. Data Pribadi; …official copy p. 7

Ruang lingkup Peraturan Pemerintah ini meliputi:

  1. a.
    Data Pribadi;
  2. b.
    pemrosesan Data Pribadi;
  3. c.
    hak dan kewajiban;
  4. d.
    transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia;
  5. e.
    Kerja Sama Internasional;
  6. f.
    partisipasi masyarakat;
  7. g.
    pengawasan terhadap kepatuhan Pengendali Data Pribadi;
  8. h.
    sanksi administratif; dan
  9. i.
    penyelesaian Sengketa.
Where the GDPR standsGDPR Articles 2, 3diverges

What the GDPR provides. GDPR Article 2 sets material scope: processing wholly or partly by automated means, plus non-automated processing of data in a filing system. It carves out activities outside Union law, common foreign and security policy, purely personal or household activity, and law enforcement processing governed by the Law Enforcement Directive.

Article 3 sets territorial scope on three hooks: processing in the context of the activities of an establishment in the Union wherever the processing happens, processing by a controller or processor outside the Union that offers goods or services to or monitors the behaviour of data subjects who are in the Union, and places where member state law applies by public international law.

The extraterritorial trigger differs on both sides. GDPR Article 3(2) keys on data subjects who are in the Union and is indifferent to nationality, while UU Pasal 2 ayat (1) huruf b keys on legal effect in Indonesia and on Indonesian citizens wherever they are. An EU citizen living in Jakarta shows the gap.

UU Pasal 2 ayat (1) huruf b angka 2 would reach the mirror case, while GDPR Article 3(2) does not reach that person at all, because it asks where the data subject is and not who the data subject is, leaving only establishment under GDPR Article 3(1) and the narrow public international law hook in GDPR Article 3(3).

The EU trigger under GDPR Article 3(2) is conduct, targeting or monitoring, bounded by EDPB Guidelines 3/2018. The separate establishment hook in GDPR Article 3(1) is read broadly in C-131/12 on a local subsidiary selling advertising and in C-230/14, where a representative, a letter box and a bank account were enough.

The UU trigger is effect, which is wider on its face than either and has no equivalent doctrine holding it in. The household exemption in UU Pasal 2 ayat (2) is close to GDPR Article 2(2)(c) but drops its narrowing word: the GDPR exempts a purely personal or household activity, and the Indonesian text carries no counterpart of purely.

That word is what C-101/01 and C-212/13 turn on, so publishing to the open internet or filming beyond one's own door falls outside the EU exemption. PP Pasal 3 ayat (2) huruf c reaches the same result by regulation, by confining the exemption to processing not intended for the public.

The UU has no counterpart to the GDPR Article 2(2)(d) law enforcement carve-out, so criminal justice processing sits inside the same statute rather than in a parallel instrument. Indonesia handles it instead at UU Pasal 15 ayat (1) huruf b, by disapplying named rights rather than by removing the processing from scope.

EDPB guidanceGuidelines 3/2018 on the territorial scope of the GDPR (Article 3) - version adopted after public consultationGuidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR
Court of JusticeC-131/12 Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González, 13 May 2014C-230/14 Weltimmo s.r.o. v Nemzeti Adatvédelmi és Információszabadság Hatóság, 1 October 2015C-101/01 Criminal proceedings against Bodil Lindqvist, 6 November 2003C-212/13 František Ryneš v Úřad pro ochranu osobních údajů, 11 December 2014

UU 27/2022 · BAB IIPrinciples

Pasal 3

Principles official copy p. 4

Undang-Undang ini berasaskan:

  1. a.
    pelindungan;
  2. b.
    kepastian hukum;
  3. c.
    kepentingan umum;
  4. d.
    kemanfaatan;
  5. e.
    kehati-hatian;
  6. f.
    keseimbangan;
  7. g.
    pertanggungjawaban; dan
  8. h.
    kerahasiaan.
Implemented by PP 33/2026 Pasal 9

The reading The statutory principles return in PP Pasal 9 as binding conditions on every processing activity rather than as interpretive guidance. Their operative force comes from elsewhere: each principle is given effect through the specific duties in BAB IV, and it is those duties, not Pasal 9, that appear in the sanction list.

Text of the implementing articles
PP Pasal 9official copy p. 9

Pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 8 dilakukan sesuai dengan prinsip Pelindungan Data Pribadi meliputi:

  1. a.
    pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan;
  2. b.
    pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya;
  3. c.
    pemrosesan Data Pribadi dilakukan dengan menjamin hak Subjek Data Pribadi;
  4. d.
    pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan;
  5. e.
    pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan Data Pribadi;
  6. f.
    pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan Data Pribadi, serta Kegagalan Pelindungan Data Pribadi;
  7. g.
    Data Pribadi dimusnahkan dan/atau dihapus setelah Masa Retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh ketentuan peraturan perundang-undangan; dan
  8. h.
    pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas.
Where the GDPR standsGDPR Article 5diverges

What the GDPR provides. GDPR Article 5(1) sets six processing principles: lawfulness, fairness and transparency; purpose limitation; data minimisation; accuracy; storage limitation; and integrity and confidentiality. Article 5(2) adds accountability, making the controller responsible for compliance and required to demonstrate it. These are operative duties addressed to the controller, not interpretive aids addressed to the reader of the statute.

A breach of Article 5 sits in the higher fine tier under Article 83(5)(a), so a supervisory authority can build a whole case on one of them.

UU Pasal 3 is an asas provision in the Indonesian drafting tradition, addressed to how the statute is read; GDPR Article 5 is addressed to the controller and enforced on its own, in the higher fine tier under GDPR Article 83(5)(a). Only pertanggungjawaban and kerahasiaan have named counterparts, in GDPR Article 5(2) and GDPR Article 5(1)(f).

The four principles that carry most EU enforcement, purpose limitation, minimisation, accuracy and storage limitation, are absent from Pasal 3. They are not absent from the statute: UU Pasal 16 ayat (2) huruf a carries limits, specificity, lawfulness and transparency, huruf b purpose, huruf d accuracy, and huruf g retention and erasure.

PP Pasal 9 reproduces that same list rather than converting the asas into anything, so on this point the regulation adds nothing and the comparison runs between two primary instruments.

What changes is what a regulator has to plead, because the principles bind processing rather than reading: C-77/21 turned on purpose limitation and storage limitation alone, C-175/20 on whether an open-ended tax authority request met minimisation, and the first limb of C-446/21 on whether data may be aggregated for advertising with no limit of time or type. The trade runs the other way too.

Kepentingan umum, kemanfaatan and keseimbangan give an Indonesian court an interpretive lever with no named counterpart among the GDPR principles, since the GDPR keeps that balancing inside GDPR Article 6(1)(e) and 6(1)(f) and GDPR Article 23, where it is tied to a named basis or a legislative restriction, and leaves only fairness in GDPR Article 5(1)(a) as an open-textured test.

EDPB guidanceArticle 29 Working Party - Guidelines on transparency under Regulation 2016/679
Court of JusticeC-77/21 Digi Távközlési és Szolgáltató Kft. v Nemzeti Adatvédelmi és Információszabadság Hatóság, 20 October 2022C-175/20 SIA 'SS' v Valsts ieņēmumu dienests, 24 February 2022C-446/21 Maximilian Schrems v Meta Platforms Ireland Limited, 4 October 2024

UU 27/2022 · BAB IIICategories of personal data

Pasal 4

Categories of personal data official copy p. 4
(1)
Data Pribadi terdiri atas:
  1. a.
    Data Pribadi yang bersifat spesifik; dan
  2. b.
    Data Pribadi yang bersifat umum.
(2)
Data Pribadi yang bersifat spesifik sebagaimana dimaksud pada ayat (1) huruf a meliputi:
  1. a.
    data dan informasi kesehatan;
  2. b.
    data biometrik;
  3. c.
    data genetika;
  4. d.
    catatan kejahatan;
  5. e.
    data anak;
  6. f.
    data keuangan pribadi; dan/atau
  7. g.
    data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
(3)
Data Pribadi yang bersifat umum sebagaimana dimaksud pada ayat (1) huruf b meliputi:
  1. a.
    nama lengkap;
  2. b.
    jenis kelamin;
  3. c.
    kewarganegaraan;
  4. d.
    agama;
  5. e.
    status perkawinan; dan/atau
  6. f.
    Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
Implemented by PP 33/2026 Pasal 5, 6, 7

The reading PP Pasal 5 to 7 close several of the open letters the statute left in its list of specific and general personal data. The list remains open at its final letter, so the boundary of specific personal data continues to depend on future instruments rather than on the PP itself.

awaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 5Data Pribadi terdiri atas: a. Data Pribadi yang bersifat spesifik;…official copy p. 7
repeats UU Pasal 4

Data Pribadi terdiri atas:

  1. a.
    Data Pribadi yang bersifat spesifik; dan
  2. b.
    Data Pribadi yang bersifat umum.
PP Pasal 6Data Pribadi yang bersifat spesifik sebagaimana dimaksud dalam Pas…official copy p. 7
(1)
Data Pribadi yang bersifat spesifik sebagaimana dimaksud dalam Pasal 5 huruf a meliputi:
  1. a.
    data dan Informasi kesehatan;
  2. b.
    data biometrik;
  3. c.
    data genetika;
  4. d.
    catatan kejahatan;
  5. e.
    data Anak;
  6. f.
    data keuangan pribadi; dan/atau
  7. g.
    data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (1) huruf g ditentukan oleh Kementerian atau lembaga.
(3)
Dalam menentukan data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (2), Kementerian atau lembaga berkoordinasi dengan Lembaga.
(4)
Penentuan data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (1) huruf g dilaksanakan berdasarkan pertimbangan Data Pribadi yang pemrosesannya berpotensi menimbulkan dampak lebih besar kepada Subjek Data Pribadi.
PP Pasal 7Data Pribadi yang bersifat umum sebagaimana dimaksud dalam Pasal 5…official copy p. 8
(1)
Data Pribadi yang bersifat umum sebagaimana dimaksud dalam Pasal 5 huruf b meliputi:
  1. a.
    nama lengkap;
  2. b.
    jenis kelamin;
  3. c.
    kewarganegaraan;
  4. d.
    agama;
  5. e.
    status perkawinan; dan/atau
  6. f.
    Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
(2)
Pengombinasian sebagaimana dimaksud pada ayat (1) huruf f dilakukan melalui:
  1. a.
    referensi langsung;
  2. b.
    referensi pemetaan;
  3. c.
    triangularisasi; dan/atau
  4. d.
    kombinasi lainnya.
(3)
Pengombinasian sebagaimana dimaksud pada ayat (1) huruf f termasuk penggunaan data yang tersedia pada domain publik.
(4)
Ketentuan lebih lanjut mengenai pengombinasian Data Pribadi sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Lembaga.
Where the GDPR standsGDPR Articles 9, 10diverges

What the GDPR provides. GDPR Article 9(1) prohibits processing of a closed list of special categories: racial or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership, genetic data, biometric data processed for the purpose of uniquely identifying a person, health data, and data concerning sex life or sexual orientation. Article 9(2) reopens the prohibition through ten exemptions, including explicit consent and substantial public interest resting on a legal basis.

Article 10 keeps criminal convictions and offences out of that list and allows their processing only under the control of official authority or where authorised by law. There is no defined category of ordinary personal data; anything not caught by Article 9 or 10 is personal data under Article 4(1) and nothing more.

The largest difference is structural and it is easy to miss while the two lists are being compared. GDPR Article 9(1) is a prohibition, reopened by the ten gateways at GDPR Article 9(2), so special category data may not be processed at all unless one of them is open. UU Pasal 4 prohibits nothing.

It sorts personal data into umum and spesifik and leaves the consequences to attach elsewhere, for example the impact assessment trigger at UU Pasal 34 ayat (2) huruf b. Nothing in the Indonesian text plays the part of the prohibition, so both instruments can put a category on the same side of the line and still reach different results. On the lists themselves the sharpest difference is agama.

UU Pasal 4 ayat (3) huruf d places it in the umum list, while GDPR Article 9(1) makes religious or philosophical belief special and prohibited by default. Biometrics run the other way: the GDPR qualifies the category by purpose, so a photograph is not automatically Article 9 data, whereas data biometrik in UU Pasal 4 ayat (2) huruf b is unqualified and therefore wider.

The UU adds data anak and data keuangan pribadi, and neither is a special category in the EU. Children are protected there by rules spread across the Regulation instead of by a category, among them the consent rule for information society services at GDPR Article 8, the balancing at GDPR Article 6(1)(f), the plain language duty at GDPR Article 12(1) and the erasure ground at GDPR Article 17(1)(f).

Financial data has no category of its own and is reached through GDPR Article 22 on automated decisions and GDPR Article 35 on impact assessment, which is where credit scoring lands, as C-634/21 shows. Catatan kejahatan sits inside the same UU list, where the GDPR deliberately holds it apart in GDPR Article 10 behind an official-authority gate, a separation the Court treated as load-bearing in C-439/19 when it struck down open publication of driving penalty points.

The closed EU list is what forced the Court to build a doctrine of indirect revelation in C-184/20 and C-252/21, so data from which a special category can be inferred is itself special, and again in C-21/23 for pharmacy orders.

That doctrine answers a question the open final letter of UU Pasal 4 ayat (2) does not reach, because adding a category by instrument settles what is on the list and not whether ordinary data reveals something already on it. Indonesia will need an answer of its own.

EDPB guidanceGuidelines 03/2020 on the processing of data concerning health for the purpose of scientific research in the context of the COVID-19 outbreak
Court of JusticeC-184/20 OT v Vyriausioji tarnybinės etikos komisija, 1 August 2022C-21/23 ND v DR, 4 October 2024C-252/21 Meta Platforms Inc and Others v Bundeskartellamt, 4 July 2023C-439/19 Proceedings brought by B, 22 June 2021C-634/21 OQ v Land Hessen, 7 December 2023