UU 27/2022Rights of the data subject Top

By Muhammad Deckri Algamar, AIGP
With Prof. Abu Bakar Munir

Powered by
The statute · text and map
Salinan v5.8 · 28 Sep 2026
02The statute · Pasal 5-15

Rights of the data subject

Each article verbatim in Indonesian, then the reading, the text of the implementing articles, and last where the GDPR stands on the same problem. Where a PP paragraph repeats the statute word for word it is marked and dimmed, so what stays bright is what the regulation actually adds.

Markers carries administrative sanctions, Pasal 184(1) detail awaits a Peraturan Lembaga stays at statute level, no PP provision
Where the GDPR stands ported, the wording or structure tracks the GDPR aligned, same work by its own route diverges, the mechanism or threshold differs no GDPR counterpart

UU 27/2022 · BAB IVRights of the data subject

Pasal 5

Right to information official copy p. 5

Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi.

Implemented by PP 33/2026 Pasal 61, 62, 63, 64, 65, 66

The reading The right to information becomes an affirmative controller duty under PP Pasal 62, which fixes the minimum content of a privacy notice, and Pasal 65 voids exoneration clauses within it. Detail on the request channel is deferred to a Peraturan Lembaga under Pasal 66, so the content standard is settled while the delivery mechanism is not.

carries administrative sanctionsawaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 61Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan…official copy p. 31
repeats UU Pasal 5

Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi.

PP Pasal 62Pengendali Data Pribadi wajib menyampaikan Informasi mengenai: a. …official copy p. 32
(1)
Pengendali Data Pribadi wajib menyampaikan Informasi mengenai:
  1. a.
    legalitas dari pemrosesan Data Pribadi;
  2. b.
    tujuan pemrosesan Data Pribadi;
  3. c.
    jenis dan relevansi Data Pribadi yang akan diproses;
  4. d.
    Masa Retensi Data Pribadi;
  5. e.
    rincian mengenai Informasi yang dikumpulkan;
  6. f.
    jangka waktu pemrosesan Data Pribadi; dan
  7. g.
    hak Subjek Data Pribadi.
(2)
Kewajiban menyampaikan Informasi berlaku terhadap semua dasar pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 30 ayat (3).
(3)
Informasi sebagaimana dimaksud pada ayat (1) disampaikan melalui sarana pemberitahuan Pelindungan Data Pribadi yang mudah diakses oleh Subjek Data Pribadi dan tersedia selama pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi.
(4)
Kewajiban menyampaikan Informasi sebagaimana dimaksud pada ayat (2) mulai dilakukan oleh Pengendali Data Pribadi sebelum pemrosesan Data Pribadi.
(5)
Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Subjek Data Pribadi sebelum terjadi perubahan Informasi.
PP Pasal 63Kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 6…official copy p. 32
(1)
Kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 berlaku juga untuk pemrosesan Data Pribadi oleh Pengendali Data Pribadi Bersama.
(2)
Dalam melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi Bersama juga menyampaikan Informasi tambahan yang memuat paling sedikit:
  1. a.
    Informasi Pengendali Data Pribadi yang terlibat dalam pemrosesan Data Pribadi secara bersama-sama;
  2. b.
    keterkaitan antartujuan pemrosesan Data Pribadi yang dikendalikan oleh masing-masing Pengendali Data Pribadi;
  3. c.
    cara pemrosesan Data Pribadi; dan
  4. d.
    narahubung yang ditunjuk secara bersama-sama.
PP Pasal 64Dalam hal Data Pribadi didapatkan secara tidak langsung dari Subje…official copy p. 33

Dalam hal Data Pribadi didapatkan secara tidak langsung dari Subjek Data Pribadi, Pengendali Data Pribadi melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 ayat (1) paling lambat 30 (tiga puluh) Hari setelah Data Pribadi dikumpulkan atau diperoleh.

PP Pasal 65Pengendali Data Pribadi tidak dapat mencantumkan klausul eksoneras…official copy p. 33

Pengendali Data Pribadi tidak dapat mencantumkan klausul eksonerasi dalam pemberitahuan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.

PP Pasal 66Ketentuan lebih lanjut mengenai permintaan dan penyampain Informas…official copy p. 33

Ketentuan lebih lanjut mengenai permintaan dan penyampain Informasi diatur dalam Peraturan Lembaga.

Where the GDPR standsGDPR Articles 12, 13, 14diverges

What the GDPR provides. GDPR Article 13 requires the controller to hand over a fixed list of information at the moment data is collected from the data subject: identity and contact details, the data protection officer, purposes and legal basis, any legitimate interests relied on, recipients and transfers under GDPR Article 13(1), and then under GDPR Article 13(2) the retention period, the data subject rights, the right to complain, whether provision is statutory or contractual, and any automated decision-making.

GDPR Article 14 does the same job where the data came from somewhere else, adds the categories of data and the source, sets an outer limit of one month in GDPR Article 14(3)(a), and allows exemptions including disproportionate effort. GDPR Article 12(1) governs the manner: concise, transparent, intelligible, easily accessible and in clear and plain language, and GDPR Article 12(5) makes it free of charge.

The one-month window in GDPR Article 12(3) is for requests under GDPR Articles 15 to 22, not for the Article 13 and 14 duty, which those articles time themselves.

UU Pasal 5 names four heads, identity, dasar kepentingan hukum, tujuan, and akuntabilitas of the party seeking the data. Three of those sit inside GDPR Article 13(1)(a) and GDPR Article 13(1)(c); the fourth has no counterpart in the information duty at all, because the GDPR treats accountability as a controller obligation under GDPR Article 5(2) and GDPR Article 24 rather than as something disclosed to the subject.

Pasal 5 answers to none of GDPR Article 13(2), but the UU is not silent on that content: UU Pasal 21 ayat (1) huruf d carries the retention period and huruf g carries the subject's rights, with a duty at ayat (2) to notify changes in advance. The divergence is therefore about reach, not absence.

UU Pasal 21 is triggered only where the basis is persetujuan under UU Pasal 20 ayat (2) huruf a, so Indonesia has no general at-collection notice duty across the other five bases, where GDPR Article 13 attaches to every basis. Nothing in either pasal answers to GDPR Article 14, the article that governs data the subject never handed over.

Timing divides the two: the GDPR fixes disclosure at the moment of collection under GDPR Article 13(1) and at one month under GDPR Article 14(3)(a), while Pasal 5 fixes no moment at all. Pasal 5 also sits outside UU Pasal 14, which routes only Pasal 6 to Pasal 11 through a permohonan tercatat, so the right has no statutory request channel, and PP Pasal 66 defers that channel again to a Peraturan Lembaga.

Pasal 5 is drafted around a party requesting data, which reads as a moment-of-collection right, and C-201/14 is the EU case for the situation it does not reach: one public body could not pass data to another without informing the subject, which is what GDPR Article 14 exists for. C-757/22 shows how far the same duty carries in the EU, letting a consumer association sue on a breach of GDPR Article 12(1) and GDPR Article 13(1)(c) and (e) standing alone.

EDPB guidanceArticle 29 Working Party - Guidelines on transparency under Regulation 2016/679Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to recognise and avoid them
Court of JusticeC-201/14 Smaranda Bara and Others v Casa Naţională de Asigurări de Sănătate and Others, 1 October 2015C-757/22 Meta Platforms Ireland Limited v Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V, 11 July 2024

Pasal 6

Right to correct data official copy p. 5

Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi.

Implemented by PP 33/2026 Pasal 70, 71, 72, 73

The reading PP Pasal 70 to 73 operationalise completion, updating and correction, and Pasal 72 extends the duty through to other controllers and processors holding the same data. Without that flow-through the right would end at the first controller, which is the practical failure the provision is drafted against.

carries administrative sanctionsawaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 70Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau mempe…official copy p. 36
repeats UU Pasal 6

Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi.

PP Pasal 71Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kes…official copy p. 36
(1)
Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi.
(2)
Dalam melaksanakan kewajiban memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi melakukan verifikasi atas pelaksanaan hak Subjek Data Pribadi untuk memastikan kesesuaian dengan tujuan pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi melakukan pembaruan dan/atau perbaikan Data Pribadi dengan cara mengganti Data Pribadi awal dengan Data Pribadi baru setelah permintaan sebagaimana dimaksud pada ayat (1) terverifikasi.
(4)
Dalam hal tidak dimungkinkan untuk mengganti Data Pribadi awal sebagaimana dimaksud pada ayat (3), pembaruan dan/atau perbaikan Data Pribadi dapat dilakukan dengan membuat catatan tambahan.
(5)
Pengendali Data Pribadi dapat menolak permintaan pembaruan dan/atau perbaikan Data Pribadi.
(6)
Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Subjek Data Pribadi.
(7)
Penolakan permintaan pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud pada ayat (5) harus diberitahukan kepada Subjek Data Pribadi beserta alasannya sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 72Dalam hal terdapat Pengendali Data Pribadi lain dan/atau Prosesor …official copy p. 37
(1)
Dalam hal terdapat Pengendali Data Pribadi lain dan/atau Prosesor Data Pribadi, kewajiban pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) termasuk penyampaian pembaruan dan/atau perbaikan Data Pribadi kepada Pengendali Data Pribadi lain dan/atau Prosesor Data Pribadi.
(2)
Penyampaian Data Pribadi oleh Pengendali Data Pribadi kepada Pengendali Data Pribadi lain sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal penyampaian keberhasilan dianggap tidak memungkinkan atau melibatkan upaya yang tidak seimbang dari Pengendali Data Pribadi.
PP Pasal 73Ketentuan lebih lanjut mengenai pelengkapan, pembaruan, dan/atau p…official copy p. 37

Ketentuan lebih lanjut mengenai pelengkapan, pembaruan, dan/atau perbaikan Data Pribadi diatur dalam Peraturan Lembaga.

Where the GDPR standsGDPR Articles 16, 19aligned

What the GDPR provides. GDPR Article 16 gives the data subject the right to obtain rectification of inaccurate personal data without undue delay, and to have incomplete data completed, including by a supplementary statement, having regard to the purposes of the processing. Accuracy is also a standing controller duty under Article 5(1)(d), which requires reasonable steps to erase or rectify inaccurate data without delay.

Article 19 then makes the controller communicate every rectification to each recipient of the data, unless that proves impossible or involves disproportionate effort, and tell the data subject who those recipients are on request.

UU Pasal 6 reaches the same two acts as GDPR Article 16, correction of inaccuracy and completion of what is incomplete, but it does not track the article's shape: the limbs run in the reverse order, memperbarui is added as a third act, and the purpose qualifier closes the whole right where GDPR Article 16 attaches it only to the completion limb.

That qualifier decides more than it looks: in C-434/16 the Court measured accuracy against the purpose of the data to hold that rectification reaches the record of what a candidate wrote, not the correctness of the answers. Memperbarui is not a separate act in the EU right, because keeping data up to date sits in the GDPR Article 5(1)(d) duty and runs without any request.

Indonesia has the same standing duty rather than lacking one: UU Pasal 16 ayat (2) huruf d requires data to be mutakhir, and UU Pasal 29 makes accuracy, completeness and consistency a continuing obligation backed by verification. On timing the UU is the harder instrument.

GDPR Article 16 says without undue delay; UU Pasal 30 ayat (1) gives 3 x 24 hours from receipt of the request, and ayat (2) requires the controller to tell the subject the result. The GDPR Article 19 function is the one piece the statute does not carry, since UU Pasal 30 ayat (2) notifies the subject and not the recipients.

PP Pasal 72 supplies it, with ayat (1) reaching other controllers and processors and ayat (2) carrying the impossible-or-disproportionate-effort escape, but nothing there answers to the second sentence of GDPR Article 19, the right to be told who the recipients are.

PP Pasal 71 adds two things the EU right does not have on either side: a supplementary note at ayat (4) where replacement is impossible, which is close to the GDPR Article 16 supplementary statement, and a power to refuse the request at ayat (5), which GDPR Article 16 does not give.

On burden, C-460/20 placed on the person asserting inaccuracy the duty to show it, at least in the de-referencing setting, which is the allocation UU Pasal 6 leaves open.

Court of JusticeC-434/16 Peter Nowak v Data Protection Commissioner, 20 December 2017C-460/20 TU and RE v Google LLC, 8 December 2022

Pasal 7

Right of access and to a copy official copy p. 6

Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.

Implemented by PP 33/2026 Pasal 76, 77, 78

The reading Access and copy are separated into distinct duties by PP Pasal 76 to 78, with the response window in Pasal 77 and provision of a copy on request in Pasal 78. Both limbs are sanction-backed at Pasal 77(1) and (4), which places access among the enforceable rather than the aspirational rights.

carries administrative sanctions
Text of the implementing articles
PP Pasal 76Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salina…official copy p. 40
repeats UU Pasal 7
(1)
Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
what the PP adds
(2)
Salinan Data Pribadi sebagaimana dimaksud pada ayat (1) hanya diberikan untuk Data Pribadi yang tidak berdampak bagi pengungkapan Data Pribadi orang lain.
PP Pasal 77Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data …official copy p. 40
(1)
Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses dari Subjek Data Pribadi.
(2)
Pengendali Data Pribadi memberikan akses kepada Subjek Data Pribadi setelah dilakukan verifikasi terhadap permintaan akses sebagaimana dimaksud pada ayat (1).
(3)
Pemberian akses sebagaimana dimaksud pada ayat (1) paling sedikit meliputi:
  1. a.
    akses terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi;
  2. b.
    Informasi yang diberikan oleh Pengendali Data Pribadi terkait konfirmasi permintaan akses; dan
  3. c.
    akses perubahan Data Pribadi.
(4)
Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal:
  1. a.
    membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain;
  2. b.
    berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau
  3. c.
    bertentangan dengan kepentingan pertahanan dan keamanan nasional.
PP Pasal 78Berdasarkan permohonan salinan Data Pribadi sebagaimana dimaksud d…official copy p. 41
(1)
Berdasarkan permohonan salinan Data Pribadi sebagaimana dimaksud dalam Pasal 76 ayat (1), Pengendali Data Pribadi harus menyampaikan salinan Data Pribadi pemohon pada kesempatan pertama.
(2)
Dalam melaksanakan pemenuhan permohonan salinan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi juga melakukan konfirmasi serta penyampaian jangka waktu yang diperlukan dalam penyediaan salinan Data Pribadi kepada Subjek Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak permohonan diterima dan terverifikasi.
(3)
Dalam hal salinan Data Pribadi yang dimohonkan tidak dapat disediakan, Pengendali Data Pribadi menyampaikan kepada pemohon disertai dengan alasannya.
Where the GDPR standsGDPR Article 15aligned

What the GDPR provides. GDPR Article 15(1) gives the data subject confirmation of whether processing is happening, access to the data itself, and eight named items of information: purposes, categories of data, recipients or categories of recipients, retention period, the rights to rectify, erase, restrict and object, the right to lodge a complaint, the source where the data was not collected from the subject, and the existence and logic of automated decision-making.

Article 15(3) adds a copy of the personal data undergoing processing, free for the first copy and at a reasonable fee for further copies. Article 15(4) limits the copy where it would adversely affect the rights and freedoms of others. Article 12(3) sets the response window at one month, extendable by two.

UU Pasal 7 pairs akses with salinan, the same two-part structure as GDPR Article 15(1) and GDPR Article 15(3), but it transposes none of the content into the right itself. The content sits in the controller duties, and mostly in the statute rather than the regulation.

UU Pasal 32 ayat (1) requires access to the data and to the rekam jejak pemrosesan, and ayat (2) fixes the window at 3 x 24 hours from receipt, against one month extendable by two under GDPR Article 12(3). That timing gap is the largest divergence on this article and it runs in Indonesia's favour.

UU Pasal 33 huruf b then requires refusal where access would disclose another person's personal data, and PP Pasal 76 ayat (2) limits the copy the same way, which is the GDPR Article 15(4) function on the face of both instruments. Two of the EU questions are therefore already answered.

C-579/21 is the closest comparison: the Court held that information about consultation operations, their dates and purposes, is within GDPR Article 15(1), while the identity of the employees who carried them out is not, unless that information is essential to let the subject exercise the rights the Regulation confers and provided those employees' rights and freedoms are taken into account.

Indonesia gives the processing log expressly and answers the rights-of-others half in the statute. What stays open is the copy. C-487/21 held a copy must be a faithful and intelligible reproduction, extending to entire documents where nothing less makes the data intelligible, and C-307/22 held the first copy is free even where the requester wants it for something unrelated to data protection, there a medical malpractice claim, so motive cannot be policed.

Neither question is answered in Indonesia, and PP Pasal 78 leaves the copy itself with no deadline at all, timing only the confirmation. C-154/21, which held that on request the controller must name the actual recipients rather than fall back on categories, unless it is impossible to identify them or the request is manifestly unfounded or excessive, is the third open question, and the rekam jejak in UU Pasal 32 ayat (1) may or may not reach it.

EDPB guidanceGuidelines 01/2022 on data subject rights - Right of access
Court of JusticeC-487/21 F.F. v Österreichische Datenschutzbehörde and CRIF GmbH, 4 May 2023C-154/21 RW v Österreichische Post AG, 12 January 2023C-307/22 FT v DW, 26 October 2023C-579/21 Proceedings brought by J.M, 22 June 2023

Pasal 8

Right to end processing and erase official copy p. 6

Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.

Implemented by PP 33/2026 Pasal 79, 80, 81, 82, 83, 84, 85, 86, 87, 88, 89

The reading PP Pasal 79 to 89 split what the statute treated as a single right into three regimes: ending processing, erasure and destruction, each with its own triggers, notification duties at Pasal 87 and processor flow-down at Pasal 88. The mechanism itself is deferred to a Peraturan Lembaga under Pasal 89, so the architecture is settled and the procedure is not.

carries administrative sanctionsawaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 79Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus,…official copy p. 41
repeats UU Pasal 8
(1)
Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
what the PP adds
(2)
Penghapusan dan/atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dapat dimintakan bersamaan dengan pengakhiran Pemrosesan Data Pribadi oleh Subjek Data Pribadi.
PP Pasal 80Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi d…official copy p. 42
(1)
Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi dalam hal:
  1. a.
    telah mencapai Masa Retensi;
  2. b.
    tujuan pemrosesan Data Pribadi telah tercapai; atau
  3. c.
    terdapat permintaan dari Subjek Data Pribadi.
(2)
Pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 81Pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi s…official copy p. 42
(1)
Pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 80 ayat (1) dilakukan dengan cara menghentikan pemrosesan Data Pribadi tersebut.
(2)
Kewajiban pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam hal pemrosesan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
(3)
Pengendali Data Pribadi harus memberitahukan pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi.
PP Pasal 82Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal: a.…official copy p. 42
(1)
Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal:
  1. a.
    Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi;
  2. b.
    Subjek Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi;
  3. c.
    terdapat permintaan dari Subjek Data Pribadi; atau
  4. d.
    Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum.
(2)
Kewajiban menghapus Data Pribadi dalam hal Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum sebagaimana dimaksud pada ayat (1) huruf d dilaksanakan dalam hal:
  1. a.
    perolehan dan/atau pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi merupakan perbuatan melawan hukum sesuai dengan ketentuan peraturan perundang-undangan;
  2. b.
    pelaksanaan sanksi administratif berupa penghapusan oleh Lembaga; atau
  3. c.
    terdapat putusan pengadilan yang telah memperoleh kekuatan hukum tetap.
(3)
Kewajiban penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal penghapusan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
(4)
Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan dengan cara menghapus Data Pribadi sehingga Data Pribadi tersebut tidak lagi dapat diakses oleh selain Pengendali Data Pribadi.
PP Pasal 83Subjek Data Pribadi tidak dapat mengajukan permintaan penghapusan …official copy p. 43

Subjek Data Pribadi tidak dapat mengajukan permintaan penghapusan Data Pribadi jika penarikan persetujuan pemrosesan Data Pribadi yang diikuti dengan penghapusan Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b.

PP Pasal 84Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal: …official copy p. 43
(1)
Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal:
  1. a.
    telah habis Masa Retensi-nya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip;
  2. b.
    terdapat permintaan dari Subjek Data Pribadi;
  3. c.
    tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/atau
  4. d.
    Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum.
(2)
Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan menghilangkan, melenyapkan, atau menghancurkan Data Pribadi baik elektronik maupun nonelektronik sehingga tidak lagi dapat digunakan untuk mengidentifikasi Subjek Data Pribadi.
(3)
Kewajiban pemusnahan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal pemusnahan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
PP Pasal 85Pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi…official copy p. 44
(1)
Pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 84 ayat (1) huruf b dapat dilakukan apabila Masa Retensi belum tercapai.
(2)
Subjek Data Pribadi tidak dapat mengajukan pembatalan pemusnahan atau pemulihan Data Pribadi jika pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi.
PP Pasal 86Penghapusan Data Pribadi sebagaimana dimaksud dalam Pasal 82 dan/a…official copy p. 44
(1)
Penghapusan Data Pribadi sebagaimana dimaksud dalam Pasal 82 dan/atau pemusnahan Data Pribadi sebagaimana dimaksud dalam Pasal 84 dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Penghapusan dan/atau pemusnahan sebagaimana dimaksud pada ayat (1) dengan melaksanakan paling sedikit:
  1. a.
    identifikasi Data Pribadi yang akan dihapus dan/atau dimusnahkan;
  2. b.
    identifikasi lokasi/tempat penyimpanan Data Pribadi yang akan dihapus dan/atau dimusnahkan;
  3. c.
    pemisahan Data Pribadi yang akan dihapus dan/atau dimusnahkan untuk mencegah penghapusan dan/atau pemusnahan yang tidak sengaja;
  4. d.
    pemilihan metode penghapusan dan/atau pemusnahan Data Pribadi yang sesuai;
  5. e.
    penghapusan dan/atau pemusnahan Data Pribadi secara aman;
  6. f.
    penyusunan laporan kegiatan penghapusan dan/atau pemusnahan Data Pribadi ke dalam suatu berita acara penghapusan dan/atau pemusnahan Data Pribadi;
  7. g.
    audit secara berkala untuk memastikan bahwa Data Pribadi tersebut telah dihapus dan/atau dimusnahkan secara permanen;
  8. h.
    pelaporan kepada Lembaga jika terjadi Kegagalan Pelindungan Data Pribadi selama proses penghapusan dan/atau pemusnahan Data Pribadi; dan
  9. i.
    evaluasi kebijakan penghapusan dan/atau pemusnahan Data Pribadi secara berkala dan melakukan perubahan jika diperlukan untuk memastikan kepatuhan terhadap ketentuan peraturan perundang-undangan.
PP Pasal 87Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau …official copy p. 45
(1)
Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi.
(2)
Pemberitahuan Penghapusan dan/atau Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
  1. a.
    Subjek Data Pribadi;
  2. b.
    Informasi penghapusan dan/atau pemusnahan Data Pribadi;
  3. c.
    jenis Data Pribadi yang dihapus dan/atau dimusnahkan;
  4. d.
    alasan penghapusan dan/atau pemusnahan Data Pribadi;
  5. e.
    tanggal efektif penghapusan dan/atau pemusnahan Data Pribadi; dan
  6. f.
    Informasi kontak Pengendali Data Pribadi.
(3)
Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan sebelum dan setelah penghapusan dan/atau pemusnahan Data Pribadi dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf a dan huruf d dan Pasal 84 ayat (1) huruf a, huruf c, dan huruf d.
(4)
Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan setelah penghapusan dan/atau pemusnahan dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b dan huruf c dan Pasal 84 ayat (1) huruf b.
(5)
Pemberitahuan sebagaimana dimaksud pada ayat (1) dilaksanakan paling lambat 3 x 24 (tiga kali dua puluh empat) jam sebelum atau setelah dilakukan penghapusan dan/atau pemusnahan Data Pribadi.
(6)
Penghapusan dan/atau pemusnahan Data Pribadi dilakukan oleh Pengendali Data Pribadi setelah permohonan dari Subjek Data Pribadi terverifikasi.
PP Pasal 88Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, …official copy p. 46
(1)
Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Pengendali Data Pribadi harus memberitahukan dan memerintahkan penghapusan dan/atau pemusnahan Data Pribadi kepada Prosesor Data Pribadi.
(2)
Pemberitahuan kepada Prosesor Data Pribadi sebagaimana dimaksud pada ayat (1) harus disampaikan sebelum pemberitahuan kepada Subjek Data Pribadi.
PP Pasal 89Ketentuan lebih lanjut mengenai mekanisme pengakhiran pemrosesan, …official copy p. 46

Ketentuan lebih lanjut mengenai mekanisme pengakhiran pemrosesan, penghapusan, dan pemusnahan Data Pribadi diatur dengan Peraturan Lembaga.

Where the GDPR standsGDPR Articles 17, 18, 21diverges

What the GDPR provides. GDPR Article 17(1) gives a right to erasure on six exhaustive grounds, among them that the data is no longer necessary, that consent is withdrawn with no other basis available, that the subject objects under Article 21 and no overriding legitimate grounds exist, and that processing was unlawful.

Article 17(2) requires a controller who made the data public to take reasonable steps, measured against available technology and cost, to tell other controllers to erase links and copies. Article 17(3) then withholds the right for freedom of expression, legal obligations, public health, archiving and research, and legal claims. Stopping processing short of erasure is a separate right in Article 18, and objection is a separate right in Article 21.

UU Pasal 8 states one right spanning three acts, mengakhiri pemrosesan, menghapus and memusnahkan, with no grounds and no exceptions on the face of the article. Both are in the statute elsewhere, not in general law. UU Pasal 43 ayat (1) lists four erasure grounds at huruf a to huruf d, covering the same ground as GDPR Article 17(1)(a), (b) and (d) plus a bare request from the subject.

UU Pasal 44 ayat (1) lists four destruction grounds and UU Pasal 42 ayat (1) three for ending processing. The exceptions sit at UU Pasal 15 ayat (1), which disapplies the Pasal 8 rights for five named interests, with ayat (2) confining their use to the execution of statute. The divergence is therefore not listed exception against general law.

It is that the grounds in Indonesia are framed as controller duties rather than as conditions on the subject's right, that GDPR Article 17(3) carves out named subject matters, freedom of expression, legal obligations, public health, archiving and research and legal claims, where UU Pasal 15 is a blanket interest list with no proportionality test and no equivalent of the GDPR Article 23(2) content requirements, and that GDPR Article 17(2) has no Indonesian counterpart at all.

Restriction is likewise present, just not in Pasal 8: UU Pasal 11 gives a standalone right to menunda atau membatasi pemrosesan and UU Pasal 41 supplies the duty, a 3 x 24 hour deadline, three exceptions at ayat (2) and a notification duty, so GDPR Article 18 has a counterpart even though its four triggers and its during-a-dispute function do not survive the transposition.

Erasure and destruction are one act in EU terms, both being processing under GDPR Article 4(2). The EU erasure right is a balancing exercise the UU text does not set up: C-131/12 built it out of the necessity ground against the search engine's economic interest and the public's interest in access, C-136/17 carried it to special category data on a stricter test, and C-460/20 hinged it on whether the underlying content is accurate.

C-129/21 marks what is missing rather than what is present: it held that a controller notified of a withdrawal must inform both the operator that supplied it the data and the other controllers it supplied in turn, while PP Pasal 87 reaches only the subject and PP Pasal 88 only an appointed Prosesor Data Pribadi.

EDPB guidanceGuidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR (part 1)
Court of JusticeC-131/12 Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González, 13 May 2014C-136/17 GC and Others v Commission nationale de l'informatique et des libertés (CNIL), 24 September 2019C-460/20 TU and RE v Google LLC, 8 December 2022C-129/21 Proximus NV v Gegevensbeschermingsautoriteit, 27 October 2022

Pasal 9

Right to withdraw consent official copy p. 6

Subjek Data Pribadi berhak menarik kembali persetujuan pemrosesan Data Pribadi tentang dirinya yang telah diberikan kepada Pengendali Data Pribadi.

Implemented by PP 33/2026 Pasal 37, 90, 91, 92

The reading Withdrawal of consent is operationalised as a permanently available mechanism under PP Pasal 37, with the effect on prior processing preserved by Pasal 91 and a 3x24 hour stop clock imposed by Pasal 92 once the request is verified. The clock runs from verification rather than from receipt, which places the verification step itself outside any stated deadline.

carries administrative sanctions
Text of the implementing articles
PP Pasal 37Pengendali Data Pribadi harus memastikan pemenuhan hak Subjek Data…official copy p. 21

Pengendali Data Pribadi harus memastikan pemenuhan hak Subjek Data Pribadi untuk menarik persetujuan sewaktu-waktu melalui mekanisme yang disediakan oleh Pengendali Data Pribadi.

PP Pasal 90Subjek Data Pribadi berhak menarik kembali persetujuan pemrosesan …official copy p. 47
repeats UU Pasal 9
(1)
Subjek Data Pribadi berhak menarik kembali persetujuan pemrosesan Data Pribadi tentang dirinya yang telah diberikan kepada Pengendali Data Pribadi.
what the PP adds
(2)
Penarikan kembali persetujuan sebagaimana dimaksud pada ayat (1) dilakukan dengan mempertimbangkan kemudahan akses dan kebebasan menentukan pilihan.
(3)
Pengendali Data Pribadi harus menyediakan mekanisme penarikan kembali persetujuan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1).
PP Pasal 91Penarikan persetujuan pemrosesan Data Pribadi oleh Subjek Data Pri…official copy p. 47
(1)
Penarikan persetujuan pemrosesan Data Pribadi oleh Subjek Data Pribadi tidak membatalkan hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi.
(2)
Hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi sebelum dilakukan penarikan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1) hanya dapat digunakan sesuai ketentuan peraturan perundang-undangan.
PP Pasal 92Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi…official copy p. 47
(1)
Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Subjek Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi.
(2)
Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi melakukan penghentian pemrosesan Data Pribadi setelah permintaan sebagaimana dimaksud pada ayat (2) terverifikasi.
(4)
Pengendali Data Pribadi harus memberitahukan penghentian pemrosesan Data Pribadi telah dilaksanakan kepada Subjek Data Pribadi.
Where the GDPR standsGDPR Article 7diverges

What the GDPR provides. GDPR Article 7(3) gives the data subject the right to withdraw consent at any time. Withdrawal does not affect the lawfulness of processing carried out on consent before it was withdrawn. The controller must inform the subject of the withdrawal right before consent is given. And withdrawal must be as easy as giving consent was, which makes Article 7(3) a design obligation on the controller and not only a right held by the subject.

Under GDPR Article 7(3) withdrawal is a unilateral act: the moment it is made the GDPR Article 6(1)(a) basis falls away, and further processing has no lawful ground unless the controller can stand on another GDPR Article 6(1) basis, which is why GDPR Article 17(1)(b) conditions erasure on there being no other legal ground.

GDPR Article 7(1) leaves the controller carrying the burden of showing consent ever existed, which is what C-61/19 confirms. UU Pasal 9 states the right in one sentence and carries none of the other three limbs, but the consequences are in the statute rather than only in the regulation.

UU Pasal 40 ayat (1) makes the controller stop processing on withdrawal and ayat (2) gives 3 x 24 hours counted from receipt of the withdrawal request. UU Pasal 43 ayat (1) huruf b makes withdrawal an erasure trigger. PP Pasal 91 carries the effect on prior processing and PP Pasal 37 the continuous availability of the mechanism.

What has no located counterpart is the duty to tell the subject about withdrawal before consent is taken, and the ease limb. UU Pasal 14 routes Pasal 9 through a permohonan tercatat, and PP Pasal 92 repeats the statutory clock from receipt at ayat (2) while adding at ayat (3) that the controller stops processing after the request is verified, with no time fixed for the verification itself.

So the regulation inserts an untimed condition between a statutory deadline and its performance. In EU terms a controller who demanded a formal filed request to undo consent given by one click would be failing the ease limb of GDPR Article 7(3) on its own, before any question of delay arose. That untimed verification step is the exposure here, not the 3 x 24 hours that surround it.

One divergence has no EU analogue at all: UU Pasal 15 ayat (1) lets the Pasal 9 right be excluded outright for five interests including law enforcement and public interest, where a GDPR restriction would need a legislative measure meeting GDPR Article 23(1) and carrying the GDPR Article 23(2) content.

EDPB guidanceGuidelines 05/2020 on consent under Regulation 2016/679
Court of JusticeC-61/19 Orange Romania SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), 11 November 2020

Pasal 10

Right to object to automated decisions official copy p. 6
(1)
Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi.
(2)
Ketentuan lebih lanjut mengenai pengajuan keberatan atas pemrosesan secara otomatis sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah.
Implemented by PP 33/2026 Pasal 93, 94, 95, 96

The reading PP Pasal 93 to 96 give the objection right a response mechanism at Pasal 94 and enumerated refusal grounds at Pasal 95. This is the statute's own delegation under UU Pasal 10(2) being discharged, but the substantive detail is deferred again at Pasal 96, so the right remains procedurally sketched rather than fully operational.

awaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 93Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindaka…official copy p. 48
repeats UU Pasal 10

Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi.

PP Pasal 94Pengendali Data Pribadi harus memiliki mekanisme untuk menanggapi …official copy p. 48
(1)
Pengendali Data Pribadi harus memiliki mekanisme untuk menanggapi pengajuan hak keberatan atas keputusan yang hanya berdasarkan atas pemrosesan secara otomatis.
(2)
Pengendali Data Pribadi harus memberikan Informasi yang memadai mengenai teknologi yang digunakan untuk pengambilan keputusan yang didasarkan pada pemrosesan secara otomatis dan konsekuensi yang akan dialami Subjek Data Pribadi.
(3)
Terhadap pengajuan keberatan sebagaimana dimaksud dalam Pasal 93 yang terverifikasi dan diterima keberatannya, Pengendali Data Pribadi memberikan alternatif pemrosesan Data Pribadi dengan melibatkan campur tangan manusia dan/atau tidak berdasarkan hasil pemrosesan secara otomatis.
PP Pasal 95Pengendali Data Pribadi dapat menolak keberatan dalam hal: a. tida…official copy p. 48
(1)
Pengendali Data Pribadi dapat menolak keberatan dalam hal:
  1. a.
    tidak terdapat akibat hukum dan/atau dampak signifikan pada Subjek Data Pribadi; dan
  2. b.
    Pengendali Data Pribadi memiliki akurasi sistem yang sangat baik dan sistem mitigasi untuk menghindari dampak bagi Subjek Data Pribadi.
(2)
Penolakan keberatan oleh Pengendali Data Pribadi tidak menghilangkan hak Subjek Data Pribadi untuk menarik kembali persetujuan pemrosesan Data Pribadi yang telah diberikan sebelumnya.
(3)
Pengendali Data Pribadi harus memberitahukan penolakan sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi.
PP Pasal 96Ketentuan lebih lanjut mengenai pemrosesan secara otomatis diatur …official copy p. 49

Ketentuan lebih lanjut mengenai pemrosesan secara otomatis diatur dalam Peraturan Lembaga.

Where the GDPR standsGDPR Articles 21, 22diverges

What the GDPR provides. GDPR Article 22(1) says the data subject shall not be subject to a decision based solely on automated processing, including profiling, which produces legal effects or similarly significantly affects them. Article 22(2) permits such a decision only where it is necessary for entering into or performing a contract, where it is authorised by Union or Member State law that itself lays down suitable safeguards, or where the subject has given explicit consent.

Where the contract or consent gateway is used, Article 22(3) requires the controller to provide at least human intervention, the right to express a point of view, and the right to contest the decision. Article 21 is a separate and wider right, allowing objection to processing grounded in public task or legitimate interests, and absolute objection to direct marketing.

The trigger wording in UU Pasal 10 ayat (1) tracks Article 22(1) closely, down to profiling and the legal-effect-or-significant-impact threshold, so the qualifying clause reads as a lift. What was not lifted is the operative verb. In C-634/21 the Court held that Article 22(1) lays down a prohibition that applies of itself, so the automated decision is unlawful from the outset unless one of the Article 22(2) gateways is open, and the subject need invoke nothing.

UU Pasal 10 instead permits the decision and gives the subject a keberatan to raise afterwards, with the grounds for refusing it fixed by PP Pasal 95, a regulation rather than the statute, and the substance deferred again at PP Pasal 96.

Neither the statute nor the PP carries an equivalent of the Article 22(3) safeguards or the Article 22(4) restriction on sensitive data, so the human-in-the-loop guarantee that does most of the work in EU practice has no Indonesian counterpart. The whole Indonesian right also presupposes the subject knows a decision was automated, which is what Article 15(1)(h) supplies in the EU and what C-203/22 required to be explained in terms the subject can actually use.

Court of JusticeC-634/21 OQ v Land Hessen, 7 December 2023C-203/22 CK v Magistrat der Stadt Wien, 27 February 2025

Pasal 11

Right to delay or restrict official copy p. 6

Subjek Data Pribadi berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi.

Implemented by PP 33/2026 Pasal 97, 98, 99, 100, 101, 102, 103, 104

The reading Delay and restriction acquire enumerated grounds at PP Pasal 98, a controller duty with exceptions at Pasal 99 and 100, and marking and notification duties at Pasal 101 to 103. The exceptions in Pasal 99(2) are where the right is actually bounded, and they are drawn more widely than the grounds themselves.

carries administrative sanctionsawaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 97Subjek Data Pribadi berhak menunda atau membatasi pemrosesan Data …official copy p. 49
repeats UU Pasal 11

Subjek Data Pribadi berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi.

PP Pasal 98Hak sebagaimana dimaksud dalam Pasal 97 diajukan dalam hal: a. Sub…official copy p. 49

Hak sebagaimana dimaksud dalam Pasal 97 diajukan dalam hal:

  1. a.
    Subjek Data Pribadi mempermasalahkan keakuratan atau kebenaran Data Pribadi yang diproses oleh Pengendali Data Pribadi untuk jangka waktu yang memungkinkan Pengendali Data Pribadi melakukan verifikasi atas keakuratan atau kebenaran Data Pribadi tersebut;
  2. b.
    Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum dan Subjek Data Pribadi tidak mengajukan permohonan penghapusan Data Pribadi, tetapi mengajukan penundaan atau pembatasan pemrosesan Data Pribadi; atau
  3. c.
    Subjek Data Pribadi memiliki kepentingan hukum untuk mengajukan, melaksanakan, atau melakukan pembelaan terhadap tuntutan hukum.
PP Pasal 99Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan p…official copy p. 50
(1)
Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi.
(2)
Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal:
  1. a.
    terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi;
  2. b.
    dapat membahayakan keselamatan pihak lain; dan/atau
  3. c.
    Subjek Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi.
(3)
Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan oleh Pengendali Data Pribadi setelah permintaan Subjek Data Pribadi terverifikasi.
PP Pasal 100Berdasarkan pengecualian sebagaimana dimaksud dalam Pasal 99 ayat …official copy p. 50
(1)
Berdasarkan pengecualian sebagaimana dimaksud dalam Pasal 99 ayat (2), Pengendali Data Pribadi menolak permintaan penundaan atau pembatasan pemrosesan Data Pribadi disertai dengan alasan dan konsekuensi.
(2)
Penolakan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak permintaan diterima dan terverifikasi.
PP Pasal 101Dalam melaksanakan penundaan dan pembatasan pemrosesan Data Pribad…official copy p. 51

Dalam melaksanakan penundaan dan pembatasan pemrosesan Data Pribadi, Pengendali Data Pribadi hanya dapat melakukan penyimpanan Data Pribadi atas Subjek Data Pribadi yang bersangkutan sampai dengan penundaan dan pembatasan pemrosesan Data Pribadi berakhir atau diakhiri oleh Subjek Data Pribadi.

PP Pasal 102Dalam pelaksanaan penundaan dan pembatasan pemrosesan Data Pribadi…official copy p. 51
(1)
Dalam pelaksanaan penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 101, Pengendali Data Pribadi dapat:
  1. a.
    memindahkan Data Pribadi ke sistem lain yang tidak terhubung dengan pemrosesan Data Pribadi lainnya untuk sementara;
  2. b.
    membuat Data Pribadi tidak dapat diakses oleh pihak lainnya;
  3. c.
    mengeluarkan Data Pribadi yang telah dipublikasikan dari situs web yang dikelola oleh Pengendali Data Pribadi untuk sementara; dan/atau
  4. d.
    melakukan langkah teknis lain yang relevan.
(2)
Data Pribadi yang telah ditandai sebagai Data Pribadi yang ditunda dan dibatasi harus teridentifikasi secara jelas dalam sistem yang menyimpan Data Pribadi.
PP Pasal 103Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan pe…official copy p. 51
(1)
Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan penundaan dan pembatasan pemrosesan Data Pribadi kepada Subjek Data Pribadi.
(2)
Pemberitahuan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam setelah penundaan dan pembatasan pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi.
PP Pasal 104Ketentuan lebih lanjut mengenai mekanisme penundaan dan pembatasan…official copy p. 52

Ketentuan lebih lanjut mengenai mekanisme penundaan dan pembatasan pemrosesan Data Pribadi diatur dalam Peraturan Lembaga.

Where the GDPR standsGDPR Articles 18, 19diverges

What the GDPR provides. GDPR Article 18(1) gives a right to restriction of processing on four closed grounds: the accuracy of the data is contested, for a period enabling the controller to verify it; the processing is unlawful but the subject asks for restriction instead of erasure; the controller no longer needs the data but the subject needs them for legal claims; or a GDPR Article 21(1) objection is pending verification.

Only the first and the fourth carry a time limit on their face. GDPR Article 18(2) then defines the effect, which is that restricted data may be stored and otherwise processed only with consent, for legal claims, to protect the rights of another person, or for important public interest. GDPR Article 18(3) requires the controller to inform the subject before a restriction is lifted.

GDPR Article 19 adds a duty to communicate the restriction to each recipient the data were disclosed to, unless that proves impossible or takes disproportionate effort, and to name those recipients to the subject on request.

GDPR Article 18 is an interim measure in two of its four grounds, not in all four. GDPR Article 18(1)(a) runs for a period enabling the controller to verify accuracy, and GDPR Article 18(1)(d) runs pending verification of the GDPR Article 21(1) objection. GDPR Article 18(1)(b) and (c) carry no time limit, and a restriction chosen over erasure can run for as long as the subject prefers it.

UU Pasal 11 sets no grounds and states a proportionality standard tied to the purpose of processing, so on the face of the statute the right is freestanding. PP Pasal 98 supplies grounds after the fact, and its huruf a, b and c track GDPR Article 18(1)(a), (b) and (c); nothing tracks the GDPR Article 18(1)(d) objection ground. The effect of a restriction is regulated too.

PP Pasal 101 allows only storage until the restriction ends or the subject ends it, and PP Pasal 102 lists the technical measures. That is narrower than GDPR Article 18(2), which also permits processing with consent, for legal claims, to protect another person and for important public interest. So the controller's first question is answered, and answered more strictly than in the EU.

What is not answered is the GDPR Article 19 recipient duty. Nothing in PP Pasal 101 to 103 requires a restriction to be communicated to recipients, and the nearest duty of that kind sits in the erasure chapter at PP Pasal 88, reaching only the Prosesor Data Pribadi.

PP Pasal 103 notifies the subject within 3x24 hours after the restriction is imposed, which is not the GDPR Article 18(3) warning before a restriction is lifted, and no provision requires that warning. PP Pasal 99(2) remains the sharp point: exceptions drawn wider than the grounds invert the GDPR Article 18 structure, in which the grounds are the narrow element and the GDPR Article 18(2) effect is fixed.

Court of JusticeC-60/22 UZ v Bundesrepublik Deutschland, 4 May 2023

Pasal 12

Right to compensation official copy p. 6
(1)
Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Ketentuan lebih lanjut mengenai pelanggaran pemrosesan Data Pribadi dan tata cara pengenaan ganti rugi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah.
Implemented by PP 33/2026 Pasal 105, 106, 107, 108, 109, 110

The reading PP Pasal 105 to 110 route compensation to the controller first, requiring a handling policy at Pasal 107 and an assessment at Pasal 108 before any external forum is reached. The draft's 3x24 hour deadline for responding did not survive, and Pasal 110 defers the procedure, so no binding response time currently governs a compensation claim.

awaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 105Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas …official copy p. 52
repeats UU Pasal 12

Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.

PP Pasal 106Permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi dia…official copy p. 52
(1)
Permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi diajukan Subjek Data Pribadi kepada Pengendali Data Pribadi.
(2)
Dalam pengajuan permintaan ganti rugi sebagaimana dimaksud pada ayat (1), Subjek Data Pribadi menyampaikan paling sedikit mengenai:
  1. a.
    identitas Subjek Data Pribadi;
  2. b.
    data, Informasi, dan/atau dokumen yang dijadikan bukti oleh Subjek Data Pribadi untuk mengajukan permintaan ganti rugi; dan
  3. c.
    hubungan hukum antara Subjek Data Pribadi dan Pengendali Data Pribadi terkait pemrosesan Data Pribadi.
PP Pasal 107Pengendali Data Pribadi harus memiliki mekanisme dan kebijakan pen…official copy p. 52

Pengendali Data Pribadi harus memiliki mekanisme dan kebijakan penanganan permintaan ganti rugi.

PP Pasal 108Pengendali Data Pribadi melakukan penilaian terhadap pengajuan per…official copy p. 53
(1)
Pengendali Data Pribadi melakukan penilaian terhadap pengajuan permintaan ganti rugi sebagaimana dimaksud dalam Pasal 106.
(2)
Pengendali Data Pribadi berdasarkan penilaian sebagaimana dimaksud pada ayat (1) menyampaikan jawaban atas permintaan ganti rugi kepada Subjek Data Pribadi.
(3)
Dalam hal:
  1. a.
    jawaban Pengendali Data Pribadi sebagaimana dimaksud pada ayat (2) menolak permintaan ganti rugi; atau
  2. b.
    tidak tercapai kesepakatan terkait ganti rugi, Subjek Data Pribadi dapat mengajukan gugatan sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 109Pengajuan permintaan ganti rugi atas pelanggaran pemrosesan Data P…official copy p. 53

Pengajuan permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang merupakan badan publik negara dilaksanakan berdasarkan ketentuan peraturan perundang-undangan di bidang tata usaha negara.

PP Pasal 110Ketentuan lebih lanjut mengenai penanganan dan penyelesaian ganti …official copy p. 53

Ketentuan lebih lanjut mengenai penanganan dan penyelesaian ganti rugi diatur dengan Peraturan Lembaga.

Where the GDPR standsGDPR Articles 79, 82diverges

What the GDPR provides. GDPR Article 82(1) gives any person who has suffered material or non-material damage from an infringement a right to compensation from the controller or processor. Article 82(2) makes the controller liable for damage caused by processing that infringes the Regulation, and a processor liable only where it breached processor-specific duties or acted outside lawful instructions.

Article 82(3) exempts a controller or processor that proves it is not in any way responsible for the event, which places that burden on the defendant. Article 79 separately guarantees an effective judicial remedy against a controller or a processor, and it is expressed to be without prejudice to any administrative or non-judicial remedy, so the court route does not sit behind the regulator.

GDPR Article 82 is a self-standing cause of action and the Court has filled in its contours. C-300/21 held that an infringement alone is not damage and that the claimant must prove loss, while precluding any national threshold of seriousness for non material damage.

C-340/21 held that fear of possible misuse by third parties can itself be the non-material damage, and that the controller bears the burden under GDPR Article 82(3). C-132/21 held that the remedies in GDPR Article 77(1), GDPR Article 78(1) and GDPR Article 79(1) may be exercised concurrently and independently of each other, so the court route does not sit behind the regulator.

The same ruling leaves it to Member States, under procedural autonomy, to set the rules governing the relationship between those remedies, subject to effectiveness and to Article 47 of the Charter. UU Pasal 12 ayat (1) does the opposite of self-containment. It refers the standard out to ketentuan peraturan perundang-undangan, so the test for fault and for damage comes from outside the PDP statute, which supplies only the entitlement.

PP Pasal 105 to 110 then put the controller first, with a handling policy at PP Pasal 107, an assessment at PP Pasal 108, and a court route that PP Pasal 108 ayat (3) opens on refusal or on failure to agree.

Neither UU Pasal 12 nor PP Pasal 106 says in terms that the internal stage is a condition of suit, so whether it bars a direct gugatan is unresolved on the face of the texts. The GDPR has no equivalent stage, and whether one would survive in the EU is an effectiveness question under C-132/21 rather than something GDPR Article 79 settles by its wording.

The missing deadline is what makes the question bite: the tracker's finding that the draft's 3x24 hour response deadline did not survive matters here, because an internal stage with no deadline is a stage with no end. The one thing that cannot take the claim away is a security or law-enforcement interest, since Pasal 12 is absent from the list of rights UU Pasal 15 allows to be excluded.

Court of JusticeC-300/21 UI v Österreichische Post AG, 4 May 2023C-340/21 VB v Natsionalna agentsia za prihodite, 14 December 2023C-132/21 BE v Nemzeti Adatvédelmi és Információszabadság Hatóság, 12 January 2023

Pasal 13

Right to data portability official copy p. 7
(1)
Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
(2)
Subjek Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi berdasarkan Undang-Undang ini.
(3)
Ketentuan lebih lanjut mengenai hak Subjek Data Pribadi untuk menggunakan dan mengirimkan Data Pribadi sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Pemerintah.
Implemented by PP 33/2026 Pasal 111, 112, 113

The reading Portability is operationalised at PP Pasal 111 to 113 as a right to obtain and to use personal data in an interoperable form. The technical standard that would make interoperability meaningful is deferred to a Peraturan Lembaga under Pasal 113, which leaves the right dependent on an instrument that does not yet exist.

awaiting a Peraturan Lembaga
Text of the implementing articles
PP Pasal 111Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data P…official copy p. 53
repeats UU Pasal 13
(1)
Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
what the PP adds
(2)
Subjek Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi.
(3)
Pengajuan hak sebagaimana dimaksud pada ayat (1) dan ayat (2) dilakukan dengan ketentuan:
  1. a.
    dasar pemrosesan Data Pribadi dilakukan berdasarkan: 1. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi; atau 2. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; dan
  2. b.
    pemrosesan dilakukan secara otomatis.
PP Pasal 112Pengendali Data Pribadi dalam pelaksanaan hak mendapatkan dan/atau…official copy p. 54

Pengendali Data Pribadi dalam pelaksanaan hak mendapatkan dan/atau menggunakan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (1) dan hak menggunakan dan mengirimkan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (2) harus memperhatikan:

  1. a.
    kemampuan Pengendali Data Pribadi dalam memenuhi hak Subjek Data Pribadi yang diinformasikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; dan
  2. b.
    ketentuan peraturan perundang-undangan mengenai larangan praktek monopoli dan persaingan usaha tidak sehat.
PP Pasal 113Ketentuan lebih lanjut mengenai mekanisme pelaksanaan hak mendapat…official copy p. 54

Ketentuan lebih lanjut mengenai mekanisme pelaksanaan hak mendapatkan dan menggunakan portabilitas dan interoperabilitas diatur dalam Peraturan Lembaga.

Where the GDPR standsGDPR Article 20diverges

What the GDPR provides. GDPR Article 20(1) lets the subject receive the personal data he or she provided to a controller, in a structured, commonly used and machine-readable format, and transmit it to another controller without hindrance. It applies only where the processing rests on consent or on a contract and is carried out by automated means. Article 20(2) adds direct controller-to-controller transmission where technically feasible.

Article 20(3) excludes processing necessary for a public task, and Article 20(4) protects the rights and freedoms of others.

The format wording in UU Pasal 13 ayat (1) is the part that tracks GDPR Article 20(1); the gates are not in the statute. GDPR Article 20 is deliberately narrow, reaching only data the subject provided and only consent-based or contract-based automated processing, so most public-sector processing and everything resting on legitimate interests falls outside it.

UU Pasal 13 carries neither gate, but PP Pasal 111 ayat (3) puts both back: huruf a limits the right to processing based on explicit valid consent or on a contract with the subject, and huruf b requires the processing to be automated. Those are the GDPR Article 20(1)(a) and (b) conditions almost word for word.

So the Indonesian right is wider than GDPR Article 20 only as to the data it reaches, since UU Pasal 13 speaks of Data Pribadi tentang dirinya rather than data the subject provided. On the lawful basis the two are the same width once the implementing regulation is read, and PP Pasal 112 then adds two limits the GDPR does not have, the controller's own capability and competition law.

The two texts still treat interoperability in opposite directions. In GDPR Article 20(2) technical feasibility limits the controller's duty to transmit directly, and the GDPR Article 20(1) right survives that limit because the subject can still take delivery of the file and move it.

In UU Pasal 13 ayat (2) secure system-to-system communication is written as a condition of the right itself, and PP Pasal 113 defers the standard to a Peraturan Lembaga, so the transmission limb is suspended while the delivery limb in ayat (1) is not. UU Pasal 15 names both limbs among the rights that may be excluded.

Pasal 14

Mechanism for exercising rights official copy p. 7

Pelaksanaan hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 6 sampai dengan Pasal 11 diajukan melalui permohonan tercatat yang disampaikan secara elektronik atau nonelektronik kepada Pengendali Data Pribadi.

Implemented by PP 33/2026 Pasal 20, 21, 22, 23, 24, 25, 26, 27, 28

The reading PP Pasal 20 to 28 build the recorded-request machinery the statute presupposed: channels at Pasal 21, receipt timing at Pasal 22, mandatory request content at Pasal 24, verification at Pasal 25, fulfilment or refusal conditions at Pasal 26 and remedies for controller inaction at Pasal 27. This is the single most consequential addition for day-to-day compliance, because every subject right now runs through it.

Text of the implementing articles
PP Pasal 20Pelaksanaan hak Subjek Data Pribadi diajukan melalui permohonan te…official copy p. 15

Pelaksanaan hak Subjek Data Pribadi diajukan melalui permohonan tercatat yang disampaikan secara elektronik atau nonelektronik kepada Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.

PP Pasal 21Pengendali Data Pribadi harus menyediakan kanal permohonan pelaksa…official copy p. 15
(1)
Pengendali Data Pribadi harus menyediakan kanal permohonan pelaksanaan hak Subjek Data Pribadi, baik secara elektronik dan/atau nonelektronik yang mudah diakses oleh Subjek Data Pribadi.
(2)
Dalam hal Pengendali Data Pribadi memproses Data Pribadi secara elektronik, permohonan pelaksanaan hak Subjek Data Pribadi disampaikan secara elektronik.
(3)
Pengendali Data Pribadi menyampaikan pemberitahuan pelaksanaan hak Subjek Data Pribadi yang dimohonkan sebagaimana dimaksud pada ayat (1) melalui:
  1. a.
    media komunikasi yang sama dengan media komunikasi yang digunakan Subjek Data Pribadi pada saat pengajuan permohonan; atau
  2. b.
    media komunikasi lain yang dapat diakses Subjek Data Pribadi dengan mudah.
PP Pasal 22Waktu penerimaan atas permohonan tercatat sebagaimana dimaksud dal…official copy p. 16

Waktu penerimaan atas permohonan tercatat sebagaimana dimaksud dalam Pasal 20 ditentukan sebagai berikut:

  1. a.
    permohonan yang disampaikan secara elektronik, waktu penerimaan dihitung sejak permohonan masuk ke dalam sistem elektronik di bawah kendali Pengendali Data Pribadi; atau
  2. b.
    permohonan yang disampaikan secara nonelektronik, waktu penerimaan dihitung sesuai tanggal pada tanda terima permohonan.
PP Pasal 23Permohonan pelaksanaan hak Subjek Data Pribadi sebagaimana dimaksu…official copy p. 16

Permohonan pelaksanaan hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 20 dapat diajukan oleh:

  1. a.
    Subjek Data Pribadi;
  2. b.
    orang tua Anak dan/atau wali Anak;
  3. c.
    wali Penyandang Disabilitas; atau
  4. d.
    pihak kuasa dari Subjek Data Pribadi, sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 24Permohonan tercatat sebagaimana dimaksud dalam Pasal 20 harus memu…official copy p. 16
(1)
Permohonan tercatat sebagaimana dimaksud dalam Pasal 20 harus memuat:
  1. a.
    identitas pihak yang mengajukan permohonan;
  2. b.
    penjelasan mengenai hak Subjek Data Pribadi dan kepentingan Subjek Data Pribadi dalam mengajukan permohonan; dan
  3. c.
    uraian permohonan Subjek Data Pribadi atas Data Pribadi yang diproses oleh Pengendali Data Pribadi.
(2)
Identitas sebagaimana dimaksud pada ayat (1) huruf a dilengkapi dengan melampirkan bukti identitas.
PP Pasal 25Pengendali Data Pribadi harus melakukan verifikasi atas permohonan…official copy p. 17

Pengendali Data Pribadi harus melakukan verifikasi atas permohonan pelaksanaan hak Subjek Data Pribadi dengan mekanisme proporsional.

PP Pasal 26Pengendali Data Pribadi menentukan kondisi pemenuhan dan/atau peno…official copy p. 17

Pengendali Data Pribadi menentukan kondisi pemenuhan dan/atau penolakan atas permohonan pelaksanaan hak Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.

PP Pasal 27Dalam hal Pengendali Data Pribadi tidak melaksanakan kewajibannya …official copy p. 17
(1)
Dalam hal Pengendali Data Pribadi tidak melaksanakan kewajibannya atas permohonan pelaksanaan hak Subjek Data Pribadi, Subjek Data Pribadi dapat melaporkan kepada Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(2)
Laporan sebagaimana dimaksud pada ayat (1) ditindaklanjuti oleh Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
PP Pasal 28Pengendali Data Pribadi harus menyusun dan menetapkan ketentuan pe…official copy p. 17
(1)
Pengendali Data Pribadi harus menyusun dan menetapkan ketentuan pemrosesan Data Pribadi yang berlaku di internal Pengendali Data Pribadi.
(2)
Penyusunan dan penetapan ketentuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) harus dilaksanakan sesuai dengan pedoman penyusunan ketentuan pemrosesan Data Pribadi yang ditetapkan oleh Lembaga.
(3)
Pedoman penyusunan sebagaimana dimaksud pada ayat (2) memuat ketentuan pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(4)
Pengendali Data Pribadi dapat berkonsultasi dengan Lembaga dalam menyusun ketentuan pemrosesan Data Pribadi yang berlaku di internal.
Where the GDPR standsGDPR Article 12diverges

What the GDPR provides. GDPR Article 12 governs how rights are exercised and answered. Requests need take no particular form, the information may be given orally if the subject asks for that and proves identity by other means, and Article 12(2) puts the controller under a positive duty to facilitate the exercise of rights.

Article 12(3) requires a reply without undue delay and in any event within one month of receipt, extendable by two further months for complexity or volume, and Article 12(4) requires a reasoned answer plus notice of remedies where the controller takes no action. Article 12(5) makes the response free and permits a fee or refusal only for manifestly unfounded or excessive requests, with the burden of showing that on the controller.

Two things separate these. Form first. GDPR Article 12 imposes no formality on the subject and loads the duty onto the controller, and in C-307/22 the Court held at paragraph 38 that the controller may not demand reasons for an access request.

UU Pasal 14 makes a permohonan tercatat the gateway and PP Pasal 24 prescribes what the request must contain, so the Indonesian design puts an admissibility burden precisely where the GDPR puts a facilitation duty. Clock second. GDPR Article 12(3) sets one general period for every right, one month from receipt, extendable by two months. The PP sets no general period.

PP Pasal 25 requires verification by a proportionate mechanism and fixes no time limit, and PP Pasal 26 leaves fulfilment or refusal to other legislation. The 3x24 hour clocks are right by right, at PP Pasal 71, 77, 78, 87, 92, 99, 100 and 103, and they start differently: PP Pasal 71, 77, 92 and 99 run from receipt, while PP Pasal 78 ayat (2) and PP Pasal 100 ayat (2) run from receipt and verification.

So the Indonesian clock looks faster than one month, but only for the rights that carry one, and for two of them only after an untimed verification step. GDPR Article 12(6) lets the controller ask for more identity information and says nothing about the GDPR Article 12(3) period. There is also a coverage gap.

UU Pasal 14 reaches Pasal 6 to Pasal 11 only, so the information right at Pasal 5, compensation at Pasal 12 and portability at Pasal 13 sit outside the statutory route, while GDPR Article 12 covers the rights in GDPR Articles 15 to 22 and the information duties in GDPR Articles 13 and 14.

PP Pasal 20 is drafted without that limit and reaches the exercise of rights generally, so the regulation is wider here than the statute it implements. The PP remedy for controller inaction at Pasal 27 is the Indonesian answer to GDPR Article 12(4), but GDPR Article 12(4) also hands the subject the complaint and judicial routes in the same breath, which is what makes silence expensive.

EDPB guidanceArticle 29 Working Party - Guidelines on transparency under Regulation 2016/679Guidelines 01/2022 on data subject rights - Right of access
Court of JusticeC-307/22 FT v DW, 26 October 2023

Pasal 15

Exceptions to subject rights official copy p. 7
(1)
Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2) dikecualikan untuk:
  1. a.
    kepentingan pertahanan dan keamanan nasional;
  2. b.
    kepentingan proses penegakan hukum;
  3. c.
    kepentingan umum dalam rangka penyelenggaraan negara;
  4. d.
    kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
  5. e.
    kepentingan statistik dan penelitian ilmiah.
(2)
Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.
Implemented by PP 33/2026 Pasal 148, 149, 150, 151, 152, 153, 154, 155, 156, 157, 158, 159

The reading PP Pasal 148 to 159 apply the statutory exceptions interest by interest, covering defence and security, law enforcement, the public interest, financial-sector supervision and scientific research, and adding criminal-case data handling at Pasal 155 to 159. Unlike GDPR Article 23, which requires restrictions to respect the essence of the right, the PP states the interests without an equivalent proportionality control.

Text of the implementing articles
PP Pasal 148Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 79 ay…official copy p. 74
repeats UU Pasal 15
(1)
Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 79 ayat (1), Pasal 90 ayat (1), Pasal 93, Pasal 97, dan Pasal 111 ayat (1) dan ayat
what the PP adds
(2)
dikecualikan untuk:
  1. a.
    kepentingan pertahanan dan keamanan nasional;
  2. b.
    kepentingan proses penegakan hukum;
  3. c.
    kepentingan umum dalam rangka penyelenggaraan negara;
  4. d.
    kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
  5. e.
    kepentingan statistik dan penelitian ilmiah.
(2)
Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.
(3)
Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian hak Subjek Data Pribadi.
PP Pasal 149Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal…official copy p. 75
(1)
Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) dan ayat (6), Pasal 77 ayat (1), Pasal 80, Pasal 82 ayat (1) huruf a sampai dengan huruf c, Pasal 84 ayat (1) huruf b, Pasal 87 ayat (1), Pasal 114 ayat (1) huruf a, dan Pasal 125 ayat (1) dikecualikan untuk:
  1. a.
    kepentingan pertahanan dan keamanan nasional;
  2. b.
    kepentingan proses penegakan hukum;
  3. c.
    kepentingan umum dalam rangka penyelenggaraan negara; atau
  4. d.
    kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara.
(2)
Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.
(3)
Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian kewajiban Pengendali Data Pribadi.
PP Pasal 150Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan p…official copy p. 76

Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf a dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf a harus memenuhi kriteria:

  1. a.
    pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pertahanan dan keamanan nasional;
  2. b.
    memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
  3. c.
    melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap pertahanan dan keamanan nasional;
  4. d.
    mendapatkan surat keterangan dari Lembaga atau Kementerian atau lembaga terkait yang menyelenggarakan urusan pemerintahan di bidang pertahanan dan keamanan; dan
  5. e.
    memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
PP Pasal 151Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan p…official copy p. 76

Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf b dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf b harus memenuhi kriteria:

  1. a.
    pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi tujuan penegakan hukum;
  2. b.
    memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
  3. c.
    melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan proses penegakan hukum; dan
  4. d.
    memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
PP Pasal 152Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan u…official copy p. 77

Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf c dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf c harus memenuhi kriteria:

  1. a.
    pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan umum dalam rangka penyelenggaraan negara;
  2. b.
    memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
  3. c.
    melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan umum dalam rangka penyelenggaraan negara; dan
  4. d.
    memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
PP Pasal 153Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan p…official copy p. 78

Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf d dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara Pasal 149 ayat (1) huruf d harus memenuhi kriteria:

  1. a.
    pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara;
  2. b.
    memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
  3. c.
    melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; dan
  4. d.
    memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
PP Pasal 154Penerapan pengecualian hak untuk kepentingan statistik dan penelit…official copy p. 79

Penerapan pengecualian hak untuk kepentingan statistik dan penelitian ilmiah sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf e harus memenuhi kriteria:

  1. a.
    kepentingan statistik dan penelitian ilmiah yang sifatnya nonkomersial;
  2. b.
    memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
  3. c.
    melakukan penilaian keseimbangan antara tujuan pemrosesan Data Pribadi untuk kepentingan statistik dan penelitian ilmiah dan kebutuhan pengecualian hak Subjek Data Pribadi;
  4. d.
    hasil statistik atau penelitian ilmiah tidak digunakan untuk menilai atau mengambil keputusan yang berkaitan dengan Subjek Data Pribadi; dan
  5. e.
    memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
PP Pasal 155Untuk kepentingan penanganan dalam perkara tindak pidana Pelindung…official copy p. 79
(1)
Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, penyidik, penuntut umum, atau hakim berwenang meminta Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk memberikan Data Pribadi yang diprosesnya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Permintaan Data Pribadi sebagaimana dimaksud pada ayat (1) harus diajukan secara tertulis dalam surat permintaan Data Pribadi dengan menyebutkan secara jelas dan spesifik paling sedikit memuat:
  1. a.
    nama dan jabatan penyidik, penuntut umum, atau hakim;
  2. b.
    identitas pihak yang terindikasi sebagai tersangka atau terdakwa;
  3. c.
    uraian singkat tindak pidana yang disangkakan atau didakwakan;
  4. d.
    jenis Data Pribadi yang diminta dan relevansinya dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi;
  5. e.
    jangka waktu pemrosesan Data Pribadi;
  6. f.
    pernyataan telah memiliki dan menerapkan mekanisme pelindungan dan pengamanan yang layak dan memadai dalam memproses Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; dan
  7. g.
    dasar kewenangan untuk meminta Data Pribadi.
(3)
Jenis Data Pribadi yang diminta sebagaimana dimaksud pada ayat (2) huruf d harus bersifat terbatas dan relevan dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi yang disangkakan atau didakwakan.
(4)
Surat permintaan Data Pribadi sebagaimana dimaksud pada ayat (2) harus ditandatangani oleh:
  1. a.
    Kepala Kepolisian Negara Republik Indonesia, kepala kepolisian daerah, kepala kepolisian resor, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik dari Kepolisian Negara Republik Indonesia;
  2. b.
    pimpinan instansi atau lembaga, atau penjabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik selain penyidik Kepolisian Negara Republik Indonesia;
  3. c.
    Jaksa Agung, kepala kejaksaan tinggi, kepala kejaksaan negeri, kepala cabang kejaksaan negeri, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh jaksa dan/atau penuntut umum; atau
  4. d.
    Ketua Mahkamah Agung, ketua pengadilan tinggi, atau ketua pengadilan negeri yang memeriksa perkara yang bersangkutan dalam hal permintaan diajukan oleh hakim.
(5)
Surat permintaan sebagaimana dimaksud pada ayat (4) ditembuskan kepada pimpinan Lembaga.
PP Pasal 156Penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pas…official copy p. 81
(1)
Penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155 ayat (1) dapat meminta bantuan Lembaga dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi.
(2)
Lembaga memberikan bantuan melalui pemberian pendapat atau rekomendasi yang pelaksanaannya dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 157Untuk kepentingan penanganan dalam perkara tindak pidana Pelindung…official copy p. 81
(1)
Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi memberikan Data Pribadi yang diproses atas permintaan Data Pribadi dari penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155.
(2)
Pemberian Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan memastikan pelindungan dan keamanan Data Pribadi yang diberikan sesuai dengan ketentuan peraturan perundang-undangan.
PP Pasal 158Dalam rangka pemrosesan Data Pribadi yang diberikan Pengendali Dat…official copy p. 81
(1)
Dalam rangka pemrosesan Data Pribadi yang diberikan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 157, penyidik, penuntut umum, atau hakim yang melakukan pemrosesan Data Pribadi untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi merupakan Pengendali Data Pribadi atas Data Pribadi yang diprosesnya.
(2)
Pemrosesan Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
PP Pasal 159Pertukaran Data Pribadi antar penegak hukum dalam penanganan perka…official copy p. 82

Pertukaran Data Pribadi antar penegak hukum dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi dilaksanakan melalui mekanisme yang disepakati berdasarkan kerja sama antar lembaga penegak hukum sesuai dengan ketentuan peraturan perundang-undangan dan pemenuhan kewajiban melindungi Data Pribadi.

Where the GDPR standsGDPR Article 23diverges

What the GDPR provides. GDPR Article 23(1) lets Union or Member State law restrict the rights in Articles 12 to 22 and Article 34, and the Article 5 principles so far as they correspond, but only by a legislative measure that respects the essence of the right and is necessary and proportionate in a democratic society, and only for one of ten listed objectives.

Article 23(2) then tells the restricting measure what it must itself contain: the purposes, the categories of data, the scope of the restriction, safeguards against abuse, the controller, storage periods, the risks to subjects, and whether subjects are told the restriction applies. So Article 23 is not a restriction at all. It is the standard that a separate restricting law has to meet.

GDPR Article 23 assumes two instruments: the Regulation, and a later national law that does the restricting under the GDPR Article 23(2) checklist. UU Pasal 15 is a single instrument that disapplies the rights itself, and ayat (2) supplies only a legality condition, so at statute level nothing plays the part of the GDPR Article 23(2) content list. The implementing regulation is not silent, though.

PP Pasal 150 to 154 attach criteria to each ground: processing must be reasonably necessary and proportionately limited to the interest invoked, the controller must hold and be able to demonstrate a lawful basis, it must run a balancing assessment between compliance and the risk to that interest, and it must hold safeguards against misuse and unlawful transfer or access.

PP Pasal 150 huruf d adds a certificate from the Lembaga or the responsible ministry for the defence and security ground, and PP Pasal 155 ayat (2) makes a criminal-process request specify the data sought, their relevance, the retention period and the requester's authority. So naming an objective is not where the Indonesian test stops.

What is genuinely absent is GDPR Article 23(2)(h): no provision says whether a subject ever learns that a restriction has been applied. In C-307/22 the Court put a national rule through the GDPR Article 23(1) conditions and held at paragraph 69 that a rule charging the subject for a first copy, to protect the controller's economic interest, is not covered by GDPR Article 23(1)(i).

What UU Pasal 15 does that GDPR Article 23 does not is name, inside the same instrument, the specific rights that may be set aside: Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, and Pasal 13 ayat (1) and ayat (2).

GDPR Article 23(1) fixes only an outer range, GDPR Articles 12 to 22 and GDPR Article 34 plus GDPR Article 5 so far as it corresponds, and leaves the choice within that range to the restricting national law, which in EU practice most often falls on GDPR Articles 13, 14 and 15.

So an Indonesian security or law-enforcement interest does not on its face displace the information, correction and access rights at Pasal 5, Pasal 6 and Pasal 7. Compensation is out of reach on both sides, since GDPR Article 82 is outside the GDPR Article 23(1) range and Pasal 12 is not in the Pasal 15 list.

EDPB guidanceGuidelines 10/2020 on restrictions under Article 23 GDPR
Court of JusticeC-307/22 FT v DW, 26 October 2023