Cumplimiento en llamadas outbound en Indonesia: UU PDP y OJK (2026)

Indonesia es el mercado en el que la mayoría de los consejos publicados sobre telemarketing se equivocan de una forma concreta: describen una lista nacional de exclusión que no existe y publican una franja de llamadas nacional única que no recoge ningún instrumento. Las normas que sí le obligan están repartidas en tres lugares: una ley de protección de datos que se aplica a todos, un reglamento ministerial de telecomunicaciones que cubre los SMS de marketing y no la voz, y un reglamento de conducta de servicios financieros mucho más estricto que ambos y que obliga a la empresa, no al operador.

De un vistazo

Quién regula las llamadas salientes en Indonesia

Importan tres autoridades, y ninguna otorga licencias a telemarketers. Komdigi es el ministerio de telecomunicaciones y digital, antes llamado Kominfo hasta 2024, y su instrumento operativo aquí es el Peraturan Menteri Kominfo Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi. La OJK es la autoridad de servicios financieros, y el POJK 22/2023 es el reglamento de conducta que rige cómo una empresa financiera puede comercializar y cobrar. La UU PDP crea un organismo supervisor, al que la ley llama simplemente lembaga, que según el Pasal 58 crea el Presidente mediante un Peraturan Presiden.

Lea con atención el reglamento de Komdigi antes de suponer que le aplica. Su capítulo de marketing, BAB XIV, va dirigido a los operadores de redes móviles y a los proveedores de servicios de contenido, no a la empresa que compra las llamadas, y todos los artículos operativos de los Pasal 176 a 186 giran en torno a layanan pesan pendek yang bersifat penawaran o marketing, es decir, SMS de marketing. El marketing saliente por voz sencillamente no está regulado por ese instrumento.

En servicios financieros, la situación se invierte. El POJK 22/2023 obliga a la PUJK, la Pelaku Usaha Jasa Keuangan, y sus normas de marketing y cobranza se aplican tanto si la empresa marca ella misma como si encarga el trabajo a un tercero, y un proveedor de cobranza subcontratado necesita una certificación de cobranza. Todos los demás quedan solo bajo la UU PDP: cualquier organización que decida los fines del tratamiento es un Pengendali Data Pribadi, obligado por el Pasal 20(1) a contar con una base legal, sin registro ni notificación a un regulador.

Consentimiento y bajas

La UU PDP enumera seis bases legales en el Pasal 20(2). La primera es el consentimiento explícito válido del titular de los datos para uno o más fines concretos que se le hayan comunicado previamente. Las demás son la ejecución de un contrato, una obligación legal, intereses vitales, una misión pública y otros intereses legítimos ponderados frente a los derechos del titular. El marketing a una lista fría rara vez se sostiene con una base distinta del consentimiento.

El Pasal 21(1) establece qué debe informarse antes de obtener ese consentimiento: la legalidad del tratamiento, la finalidad, el tipo y la pertinencia de los datos personales, el plazo de conservación de los documentos que los contienen, el detalle de la información recopilada, el período de tratamiento y los derechos del titular de los datos. Es un aviso más largo que el que incluyen la mayoría de los guiones salientes, y debe darse antes del consentimiento, no después de la venta.

La retirada no es una preferencia blanda. Cuando el titular de los datos retira su consentimiento, el Pasal 43(1) obliga al responsable a suprimir los datos personales, y el Pasal 45 lo obliga a informar a la persona de que la supresión o destrucción se ha realizado. El agotamiento de la finalidad, una solicitud del titular y la obtención ilícita activan la misma obligación.

Los servicios financieros añaden una capa más estricta. El POJK 22/2023 Pasal 39(1) prohíbe a una PUJK ofrecer productos o servicios a un cliente potencial o actual por un canal de comunicación personal sin el consentimiento de esa persona. El Pasal 39(2) prohíbe condicionar el uso del producto o servicio a ese consentimiento. El Pasal 39(3) exige a la empresa dejar de ofrecer en el momento en que la persona retira el consentimiento. Y el Pasal 39(4)(c) exige que quien llama indique la fuente de los datos de la persona cuando se obtuvieron de un tercero, la norma que hace inutilizable una lista comprada en el telemarketing financiero indonesio, salvo que esté dispuesto a decir en la llamada dónde la compró.

No llamar

En Indonesia no existe un registro nacional de no llamar. Ese registro no aparece en la UU PDP, en el PM Kominfo 5/2021 ni en el POJK 22/2023. No hay nada contra lo que depurar ni obligación de consultar listas para la empresa que compra las llamadas, porque la obligación está en otro lugar.

En los SMS de marketing, la obligación recae en el operador, y a primera vista es más estricta que una baja voluntaria. Los Pasal 177 y 178 exigen a los operadores de redes móviles y a los proveedores de servicios de contenido que den a los abonados una forma de rechazar los SMS de marketing y que difundan esa opción. El Pasal 179 prohíbe enviar a quien lo haya rechazado. Y el Pasal 180 prohíbe enviar a quien no haya optado por rechazarlo. Leído literalmente, el silencio no es permiso, y la posición por defecto es ningún SMS de marketing.

El Pasal 182 exceptúa los mensajes de servicio sobre lo que el abonado ya tiene contratado, como el MSISDN o el vencimiento del paquete de datos, siempre que no se inserte marketing en ellos. El Pasal 183 exige un centro de reclamaciones para SMS de marketing, accesible como mínimo todos los días hábiles, y el Pasal 181(2) dispone que las infracciones se publiquen en el sitio web del ministerio.

En voz, su lista de no llamar es propia. Constrúyala a partir de las retiradas según la UU PDP Pasal 43(1) y, en servicios financieros, de las retiradas según el POJK 22/2023 Pasal 39(3), y aplíquela como un bloqueo estricto en el momento de marcar, no como una actualización periódica de la lista.

Horarios y días de llamada

Este es el punto en el que una franja nacional única sería un error. El único horario de llamadas publicado en Indonesia está en el POJK 22/2023 y se aplica a los servicios financieros.

Para marketing, el Pasal 39(4)(a) permite la comunicación solo de lunes a sábado, fuera de festivos nacionales, de 08:00 a 18:00 waktu setempat, salvo acuerdo del propio cliente potencial o cliente, o a petición suya. Para cobranza, el Pasal 62(2)(f) permite llamadas solo de lunes a sábado, fuera de festivos nacionales, de 08:00 a 20:00 waktu setempat, y el Pasal 62(3) permite llamar fuera de ese horario o lugar solo con el acuerdo previo del consumidor.

Waktu setempat significa hora local, y el reglamento vincula la franja a la hora local del consumidor y no a la de Yakarta. Indonesia abarca tres zonas, WIB, WITA y WIT, así que las 08:00 en Jayapura llegan dos horas antes que las 08:00 en Medan. Un marcador que programe Indonesia con un único reloj nacional llamará a Papúa antes de que abra la franja o dejará de llamar en Sumatra antes de que cierre.

Fuera de los servicios financieros, no se encontró ninguna norma de horario de llamadas en la UU PDP ni en el PM Kominfo 5/2021. No trate la franja de la OJK como una norma nacional, ni su ausencia en otros ámbitos como permiso para marcar a medianoche. Con los límites de frecuencia ocurre lo mismo: el POJK 22/2023 Pasal 62(2)(d) solo exige que la cobranza no sea continua de forma que moleste al consumidor, sin fijar ninguna cifra.

Identificador de llamadas y presentación del número

Indonesia no tiene prefijo reservado para telemarketing. No se encontró ningún rango dedicado a llamadas de voz de marketing en el PM Kominfo 5/2021 ni en los demás instrumentos, ni ninguna norma sobre la presentación de CLI oculto o falsificado en llamadas comerciales. Es una ausencia en los instrumentos consultados, no un permiso expreso, así que confírmelo con Komdigi antes de basarse en ello.

Lo que Indonesia regula en su lugar es la identificación verbal. El POJK 22/2023 Pasal 39(4)(b) exige que una llamada de marketing de servicios financieros indique el nombre de la PUJK y explique el propósito y el objetivo antes de ofrecer cualquier producto o servicio. Sumado al Pasal 39(4)(c) sobre la revelación de la fuente de los datos, los primeros treinta segundos de una llamada de servicios financieros en Indonesia quedan, en la práctica, guionizados por el reglamento.

En mensajería, el enmascaramiento del sender ID es legal pero está supervisado. El Pasal 186 exige que el operador de red móvil o el proveedor de servicios de contenido informe cada tres meses al Direktur Jenderal del uso de enmascaramiento de identidad en SMS de marketing. No le corresponde a usted presentar ese informe, pero sus sender IDs son lo que aparece en él.

Grabación de llamadas y avisos

Indonesia es un caso poco habitual: en servicios financieros, grabar la llamada de venta es obligatorio, no solo permitido. El POJK 22/2023 Pasal 39(5) obliga a la PUJK a grabar en voz o video cuando ofrece productos o servicios por un canal de comunicación personal que use voz o video. El Pasal 39(7) la obliga a documentar la grabación cuando el cliente potencial o cliente acepta la oferta. El Pasal 39(8) da al consumidor que contrata el producto el derecho a acceder a su propia grabación.

El Pasal 39(6) cierra el círculo al exigir que la grabación se haga conforme a las leyes vigentes, lo que significa que la UU PDP se aplica a la grabación como dato personal: una base legal, una finalidad declarada, un plazo de conservación informado y la supresión cuando la base desaparece.

Hay dos cosas que no se publican. El POJK 22/2023 no fija ningún plazo de conservación para esas grabaciones; solo dice que se documentan y son accesibles. Y no se establece como tal una obligación separada de aviso verbal de grabación, el conocido anuncio de que la llamada se está grabando; lo que sí se establece es la identificación y la explicación del propósito del Pasal 39(4)(b). Trate el anuncio como una buena práctica y no como una norma citada, y confirme con la OJK qué conservación se espera.

Normas de mensajería para SMS y WhatsApp

El SMS de marketing es el único canal que la legislación indonesia de telecomunicaciones regula directamente, y la cadena de obligaciones pasa por el operador y el proveedor de servicios de contenido, no por usted. En la práctica, al abonado se le debe haber ofrecido una opción de rechazo, la posición por defecto según el Pasal 180 es no enviar, los mensajes de servicio no deben llevar marketing, debe existir una vía de reclamación y el enmascaramiento debe reportarse.

Los canales OTT no se mencionan. El PM Kominfo 5/2021 trata de layanan pesan pendek, el servicio de mensajes cortos, no de WhatsApp ni similares. Eso no los deja sin regular: la UU PDP se aplica a los datos personales sea cual sea el canal, y el POJK 22/2023 Pasal 39 habla de sarana komunikasi pribadi, canales de comunicación personal, que el reglamento no define por canal. Parta de que las obligaciones de consentimiento, identificación y cese al retirar el consentimiento siguen al contacto y no a la tecnología, y confírmelo con la OJK antes de lanzar una campaña de servicios financieros en una app de mensajería.

Protección de datos y conservación

La UU PDP se promulgó el 17 de octubre de 2022 con una transición de dos años según el Pasal 74. Ese plazo terminó el 17 de octubre de 2024, así que el cumplimiento pleno es exigible desde entonces. No queda ningún período de gracia con el que contar.

La transferencia internacional es una cascada de tres pasos en el Pasal 56. Primero, el responsable debe asegurarse de que el país donde está el responsable o encargado receptor tenga un nivel de protección de datos personales igual o superior al de la UU PDP. Si no, debe asegurarse de que exista una protección adecuada y vinculante. Si no se da ninguna de las dos, debe obtener el consentimiento del titular de los datos. El detalle se delega en un Peraturan Pemerintah, y no se localizó ese reglamento de desarrollo, así que le corresponde a usted documentar la autoevaluación.

No hay una lista blanca indonesia de adecuación en la que apoyarse. La prueba es una autoevaluación del nivel de protección del país receptor, así que cada centro de contacto offshore, región de nube y archivo de grabaciones necesita protección vinculante o el consentimiento del titular de los datos, acreditados antes de la puesta en marcha y no después de una auditoría.

La conservación depende de la finalidad, no de un plazo fijo. La supresión según el Pasal 43(1) se activa por agotamiento de la finalidad, retirada del consentimiento, solicitud del titular u obtención ilícita, y la destrucción según el Pasal 44(1) por vencimiento del plazo de conservación del archivo, solicitud del titular, ausencia de procedimientos judiciales en curso u obtención ilícita. El propio plazo de conservación debe haberse informado en el momento del consentimiento según el Pasal 21(1)(d), lo que convierte su propio aviso en el límite efectivo.

La notificación de brechas es rápida. El Pasal 46 exige una notificación por escrito en un plazo de 3 x 24 horas al titular de los datos y al lembaga, que cubra los datos expuestos, cuándo y cómo ocurrió y la remediación.

Sanciones y aplicación

La UU PDP Pasal 57 prevé sanciones administrativas: amonestación por escrito, suspensión temporal de la actividad de tratamiento, supresión o destrucción de los datos personales y una multa administrativa de hasta el 2 por ciento de los ingresos o entradas anuales según la variable de la infracción. Las infracciones de los Pasal 20(1), 21, 43(1), 44(1), 45, 46, 47 y 56 la conllevan.

La exposición penal es independiente y mayor. Obtener o recopilar ilícitamente datos personales ajenos con ánimo de lucro, causando un perjuicio, conlleva hasta 5 años e IDR 5,000,000,000. La revelación ilícita conlleva hasta 4 años e IDR 4,000,000,000. El uso ilícito conlleva hasta 5 años e IDR 5,000,000,000. Falsificar datos personales conlleva hasta 6 años e IDR 6,000,000,000. Según el Pasal 70, una empresa solo paga multa, pero de hasta diez veces el máximo, lo que sitúa el tope empresarial del Pasal 67(1) en IDR 50 mil millones y el de falsificación en IDR 60 mil millones, junto con el decomiso de ganancias, la congelación total o parcial del negocio y la prohibición permanente de determinados actos. Los directivos, accionistas de control, quienes dan las órdenes y los beneficiarios finales pueden ser imputados personalmente.

En servicios financieros, las sanciones afectan a la licencia. El POJK 22/2023 Pasal 39(9) para marketing y el Pasal 62(4) para cobranza prevén amonestación por escrito, restricción total o parcial de productos, servicios o actividad, su congelación, destitución de la dirección, multa administrativa, revocación de la licencia del producto o servicio y revocación de la licencia comercial. La escalada no tiene por qué empezar con una amonestación. La multa tiene un tope de IDR 15,000,000,000 según el Pasal 39(11) y el Pasal 62(6).

Qué cambió en 2025 y 2026

El elemento más relevante no es un cambio, sino una ausencia. La UU PDP Pasal 58 prevé un lembaga supervisor creado por el Presidente y que responde ante él, con el detalle fijado por un Peraturan Presiden. No se pudo confirmar si ese Peraturan Presiden se ha emitido ni si el organismo está en funcionamiento. Planifique suponiendo que las obligaciones legales ya le vinculan y que la supervisión puede ponerse en marcha en cualquier momento, porque la transición del Pasal 74 ya terminó.

Tampoco se localizó el Peraturan Pemerintah de desarrollo previsto en el Pasal 56(5) para la transferencia internacional y en el Pasal 57(5) para el procedimiento sancionador, así que dos de los mecanismos más importantes de la ley en la práctica siguen sin detalle.

No se encontró ningún instrumento de Komdigi de 2025 o 2026 sobre telemarketing. La circular ministerial más reciente, Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026 del 26 de agosto de 2026, trata sobre la cuota de datos restante y no tiene nada que ver con el marketing. El PM Kominfo 5/2021 sigue siendo el instrumento de telecomunicaciones vigente y el POJK 22/2023 la norma vinculante para la marcación de servicios financieros y cobranza. No se pudo confirmar si la OJK emitió alguna circular en 2025 o 2026 que desarrolle los Pasal 39 y 62, así que consulte el índice de normativa de la OJK antes de un lanzamiento.

Cómo respalda la plataforma cada norma

DialerBee ofrece controles que apoyan el cumplimiento y le ayudan a cumplir las obligaciones anteriores. Indonesia no se entrega como paquete jurisdiccional, así que el horario de llamadas, la gestión de no llamar y el consentimiento se configuran por tenant. La responsabilidad legal sigue siendo del operador de la campaña.

Lista de verificación de cumplimiento saliente para Indonesia

• Decida en qué régimen está antes de marcar: servicios financieros bajo el POJK 22/2023, o solo la UU PDP.
• Registre una base legal según la UU PDP Pasal 20 para cada registro de contacto de la campaña.
• Dé la información completa del Pasal 21(1) antes de obtener el consentimiento, incluido el plazo de conservación.
• Programe el marketing de servicios financieros de 08:00 a 18:00 y la cobranza de 08:00 a 20:00, de lunes a sábado, fuera de festivos nacionales.
• Aplique la franja en la hora local del propio contacto en WIB, WITA y WIT, no con un único reloj nacional.
• Abra las llamadas de servicios financieros nombrando la empresa y explicando el propósito.
• Indique la fuente de los datos de contacto siempre que procedan de un tercero.
• En servicios financieros, grabe las ofertas por voz hechas por canales de comunicación personal y documente la grabación cuando se acepte la oferta.
• Dé al cliente acceso a su propia grabación cuando lo solicite.
• Deje de ofrecer de inmediato cuando se retire el consentimiento y suprima los datos personales como exige el Pasal 43(1).
• Mantenga su propia lista de supresión como lista de no llamar, ya que no existe un registro nacional contra el que depurar.
• Documente la evaluación de transferencia del Pasal 56 antes de que entre en funcionamiento cualquier centro de contacto offshore, región de nube o archivo de grabaciones.
• Esté preparado para notificar una brecha en un plazo de 3 x 24 horas al titular de los datos y al organismo supervisor.
• Vuelva a revisar los índices de normativa de Komdigi y la OJK antes del lanzamiento, ya que los reglamentos de desarrollo de la UU PDP siguen pendientes.

Fuentes

1. Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulgada el 17 de octubre de 2022, Lembaran Negara 2022 No. 196, Tambahan LN No. 6820.
2. Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi, promulgado el 1 de abril de 2021. Komdigi JDIH
3. Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan, vigente desde el 22 de diciembre de 2023. PDF del reglamento de la OJK
4. Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026, 26 de agosto de 2026. Índice JDIH de Komdigi

Preguntas frecuentes

¿Cuál es el horario legal de llamadas en Indonesia?

Solo los servicios financieros tienen una franja publicada. El POJK 22/2023 Pasal 39(4)(a) permite la comunicación de marketing de lunes a sábado, fuera de festivos nacionales, de 08:00 a 18:00 hora local, y el Pasal 62(2)(f) permite la cobranza de lunes a sábado, fuera de festivos nacionales, de 08:00 a 20:00 hora local. Fuera de ese horario necesita el acuerdo del propio consumidor. No se encontró ninguna norma general de horario de llamadas en Indonesia en la UU PDP ni en el PM Kominfo 5/2021.

¿Indonesia tiene un registro de no llamar?

No. En Indonesia no existe un registro nacional de no llamar, y no aparece ninguno en la UU PDP, el PM Kominfo 5/2021 ni el POJK 22/2023. Lo que existe es una opción a nivel de operador para que los abonados rechacen los SMS de marketing y, en servicios financieros, una obligación de consentimiento y retirada por empresa. Su propia lista de supresión, construida a partir de las retiradas, es la lista que debe aplicar.

¿Necesito consentimiento para llamar a números indonesios?

Necesita una base legal según la UU PDP Pasal 20, y para el marketing a una lista fría esa base suele ser el consentimiento explícito para fines declarados del Pasal 20(2)(a). En servicios financieros, el POJK 22/2023 Pasal 39(1) es explícito: una empresa no puede ofrecer productos o servicios por un canal de comunicación personal sin el consentimiento de la persona, ni puede condicionar el uso del producto a ese consentimiento.

¿Es obligatorio grabar las llamadas en Indonesia?

En servicios financieros, sí. El POJK 22/2023 Pasal 39(5) exige a una PUJK grabar en voz o video cuando ofrece productos o servicios por un canal de comunicación personal que use voz o video, el Pasal 39(7) exige documentar la grabación cuando se acepta la oferta y el Pasal 39(8) da acceso a ella al consumidor. El reglamento no fija ningún plazo de conservación.

¿Hay un prefijo de caller ID para telemarketing en Indonesia?

No se encontró ningún prefijo reservado ni rango de numeración dedicado a llamadas de voz de telemarketing en el PM Kominfo 5/2021 ni en los demás instrumentos revisados. Lo que se exige en su lugar es la identificación verbal: el POJK 22/2023 Pasal 39(4)(b) obliga a quien llama en servicios financieros a indicar el nombre de la empresa y explicar el propósito antes de ofrecer nada. Confirme la situación de numeración con Komdigi antes de basarse en esa ausencia.

¿Por qué no puedo usar una única franja de llamadas nacional para Indonesia?

Porque el reglamento vincula la franja a waktu setempat, la hora local del propio consumidor, e Indonesia abarca tres zonas horarias: WIB, WITA y WIT. Las 08:00 en la zona oriental llegan dos horas antes, en términos de reloj, que las 08:00 en la occidental, así que un único calendario nacional o bien marcará antes de que abra la franja en el este o bien se detendrá antes de tiempo en el oeste.

¿Qué pasa si hago marketing a consumidores indonesios sin consentimiento?

Según la UU PDP Pasal 57, las sanciones administrativas van desde una amonestación por escrito hasta la suspensión del tratamiento, la supresión de los datos y una multa de hasta el 2 por ciento de los ingresos o entradas anuales según la variable de la infracción. En servicios financieros, el POJK 22/2023 añade consecuencias sobre la licencia, como la restricción o congelación de la actividad, la destitución de la dirección y una multa administrativa con tope de IDR 15,000,000,000.

¿Ya supervisa el regulador de protección de datos de Indonesia?

La UU PDP Pasal 58 prevé un lembaga supervisor creado por el Presidente mediante un Peraturan Presiden, y no se pudo confirmar si ese instrumento se ha emitido ni si el organismo se ha constituido. Las obligaciones en sí ya son vinculantes: la transición de dos años del Pasal 74 terminó el 17 de octubre de 2024, así que el cumplimiento es exigible sea cual sea la situación de la supervisión.

Lecturas relacionadas

• Panorama del marcador saliente en Indonesia
• Panorama del marcador saliente en Brasil
• Panorama del marcador saliente en Marruecos
• Compliance Autopilot
• Control del pool de identificadores de llamadas