Conformité des appels sortants en Indonésie : UU PDP et OJK (2026)

L'Indonésie est le marché où la plupart des conseils publiés en matière de télémarketing se trompent d'une façon bien précise : ils décrivent une liste nationale d'opposition qui n'existe pas et publient une plage d'appel nationale unique qu'aucun texte ne contient. Les règles qui vous engagent réellement se répartissent en trois endroits : une loi sur la protection des données qui s'applique à tous, un règlement ministériel des télécoms qui couvre les SMS marketing et non la voix, et un règlement de conduite des services financiers bien plus strict que les deux autres, qui engage l'entreprise et non l'opérateur.

En bref

Qui réglemente les appels sortants en Indonésie

Trois autorités comptent, et aucune n'accorde de licence aux télémarketeurs. Komdigi est le ministère des télécoms et du numérique, anciennement Kominfo jusqu'en 2024, et son texte applicable ici est le Peraturan Menteri Kominfo Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi. L'OJK est l'autorité des services financiers, et le POJK 22/2023 est le règlement de conduite qui encadre la manière dont une entreprise financière peut faire du marketing et du recouvrement. L'UU PDP crée une autorité de contrôle, désignée dans la loi simplement comme le lembaga, que le Pasal 58 prévoit d'instituer par le Président au moyen d'un Peraturan Presiden.

Lisez attentivement le règlement de Komdigi avant de supposer qu'il vous concerne. Son chapitre marketing, BAB XIV, s'adresse aux opérateurs de réseaux mobiles et aux fournisseurs de services de contenu, et non à l'entreprise qui achète les appels, et chaque article opérationnel des Pasal 176 à 186 porte sur les layanan pesan pendek yang bersifat penawaran, c'est-à-dire les SMS marketing. Le marketing vocal sortant n'est tout simplement pas régi par ce texte.

Dans les services financiers, c'est l'inverse. Le POJK 22/2023 engage le PUJK, le Pelaku Usaha Jasa Keuangan, et ses règles de marketing et de recouvrement s'appliquent que l'entreprise appelle elle-même ou confie le travail à un tiers, un prestataire de recouvrement externalisé devant détenir une certification de recouvrement. Tous les autres relèvent de la seule UU PDP : toute organisation qui détermine les finalités du traitement est un Pengendali Data Pribadi, tenu par le Pasal 20(1) de disposer d'une base légale, sans enregistrement ni notification à un régulateur.

Consentement et opposition

L'UU PDP prévoit six bases légales dans son Pasal 20(2). La première est le consentement explicite valable de la personne concernée pour une ou plusieurs finalités précises qui lui ont été communiquées au préalable. Les autres sont l'exécution d'un contrat, une obligation légale, les intérêts vitaux, une mission de service public et d'autres intérêts légitimes mis en balance avec les droits de la personne concernée. Le marketing sur une liste froide résiste rarement à une autre base que le consentement.

Le Pasal 21(1) précise ce qui doit être communiqué avant de recueillir ce consentement : la licéité du traitement, sa finalité, le type et la pertinence des données personnelles, la durée de conservation des documents qui les contiennent, le détail des informations collectées, la durée du traitement et les droits de la personne concernée. C'est une information plus longue que celle de la plupart des scripts d'appels sortants, et elle doit être donnée avant le consentement, pas après la vente.

Le retrait n'est pas une simple préférence. Lorsque la personne concernée retire son consentement, le Pasal 43(1) oblige le responsable du traitement à supprimer les données personnelles, et le Pasal 45 l'oblige à informer la personne que la suppression ou la destruction a eu lieu. L'épuisement de la finalité, une demande de la personne concernée et une collecte illicite déclenchent la même obligation.

Les services financiers ajoutent une couche plus stricte. Le POJK 22/2023 Pasal 39(1) interdit à un PUJK de proposer des produits ou services à un prospect ou client par un canal de communication personnel sans le consentement de cette personne. Le Pasal 39(2) interdit de faire de ce consentement une condition d'utilisation du produit ou service. Le Pasal 39(3) oblige l'entreprise à cesser toute offre dès que la personne retire son consentement. Et le Pasal 39(4)(c) oblige l'appelant à indiquer la source des données de la personne lorsqu'elles proviennent d'un tiers : c'est la règle qui rend un fichier acheté inutilisable dans le télémarketing financier indonésien, sauf si vous êtes prêt à dire pendant l'appel où vous l'avez acheté.

Opposition téléphonique

Il n'existe pas de registre national Do Not Call en Indonésie. Aucun registre de ce type ne figure dans l'UU PDP, le PM Kominfo 5/2021 ou le POJK 22/2023. Il n'y a rien à consulter, et aucune obligation de vérification de liste pour l'entreprise qui achète les appels, car l'obligation se situe ailleurs.

Pour les SMS marketing, l'obligation incombe à l'opérateur, et elle est en apparence plus stricte qu'un simple opt-out. Les Pasal 177 et 178 imposent aux opérateurs mobiles et aux fournisseurs de services de contenu d'offrir aux abonnés un moyen de refuser les SMS marketing et de faire connaître ce choix. Le Pasal 179 interdit l'envoi à toute personne ayant refusé. Puis le Pasal 180 interdit l'envoi à toute personne n'ayant pas choisi de refuser. Pris à la lettre, le silence ne vaut pas autorisation, et la position par défaut est l'absence totale de SMS marketing.

Le Pasal 182 exclut les messages de service portant sur ce que l'abonné détient déjà, comme l'expiration du MSISDN ou d'un forfait data, à condition qu'aucun contenu marketing n'y soit inséré. Le Pasal 183 impose un centre de réclamation pour les SMS marketing, accessible au minimum tous les jours ouvrés, et le Pasal 181(2) prévoit la publication des infractions sur le site du ministère.

Pour la voix, votre liste d'opposition est la vôtre. Constituez-la à partir des retraits au titre de l'UU PDP Pasal 43(1) et, dans les services financiers, des retraits au titre du POJK 22/2023 Pasal 39(3), et appliquez-la comme un blocage strict au moment de la numérotation plutôt que comme une mise à jour périodique de liste.

Horaires et jours d’appel

C'est là qu'une plage nationale unique serait une erreur. Les seuls horaires d'appel publiés en Indonésie figurent dans le POJK 22/2023, et ils s'appliquent aux services financiers.

Pour le marketing, le Pasal 39(4)(a) n'autorise la communication que du lundi au samedi, hors jours fériés nationaux, de 08:00 à 18:00 waktu setempat, sauf accord du prospect ou du client ou à sa demande. Pour le recouvrement, le Pasal 62(2)(f) n'autorise les appels que du lundi au samedi, hors jours fériés nationaux, de 08:00 à 20:00 waktu setempat, et le Pasal 62(3) n'autorise les appels en dehors de ces horaires ou de ce lieu qu'avec l'accord préalable du consommateur.

Waktu setempat signifie heure locale, et le règlement rattache la plage à l'heure locale du consommateur plutôt qu'à celle de Jakarta. L'Indonésie couvre trois fuseaux, WIB, WITA et WIT : un début à 08:00 à Jayapura a donc deux heures d'avance sur un début à 08:00 à Medan. Un numéroteur qui planifie l'Indonésie sur une seule horloge nationale appellera la Papouasie avant l'ouverture de la plage ou s'arrêtera à Sumatra avant sa fermeture.

En dehors des services financiers, aucune règle d'horaires d'appel n'a été trouvée dans l'UU PDP ni dans le PM Kominfo 5/2021. Ne traitez pas la plage de l'OJK comme une règle nationale, et ne considérez pas son absence ailleurs comme une autorisation d'appeler à minuit. Même chose pour les plafonds de fréquence : le POJK 22/2023 Pasal 62(2)(d) exige seulement que le recouvrement ne soit pas continu au point de déranger le consommateur, sans nombre précis.

Identification de l’appelant et présentation du numéro

L'Indonésie n'a pas de préfixe réservé au télémarketing. Aucune plage dédiée aux appels vocaux marketing n'a été trouvée dans le PM Kominfo 5/2021 ou dans les autres textes, et aucune règle sur la présentation masquée ou usurpée du CLI pour les appels commerciaux n'a été identifiée. Il s'agit d'une absence dans les textes lus et non d'une autorisation explicite : confirmez auprès de Komdigi avant de vous y fier.

Ce que l'Indonésie réglemente à la place, c'est l'identification orale. Le POJK 22/2023 Pasal 39(4)(b) impose qu'un appel marketing de services financiers indique le nom du PUJK et explique l'objet et le but de l'appel avant toute offre de produit ou service. Combiné au Pasal 39(4)(c) sur l'indication de la source des données, les trente premières secondes d'un appel de services financiers en Indonésie sont de fait scénarisées par la réglementation.

Côté messagerie, le masquage de l'identifiant d'expéditeur est légal mais encadré. Le Pasal 186 impose que l'usage du masquage d'identité pour les SMS marketing soit déclaré tous les trois mois au Direktur Jenderal par l'opérateur mobile ou le fournisseur de services de contenu. Ce n'est pas à vous de déposer cette déclaration, mais ce sont vos identifiants d'expéditeur qui y figurent.

Enregistrement des appels et information des interlocuteurs

L'Indonésie fait figure d'exception : dans les services financiers, l'enregistrement de l'appel commercial est obligatoire, et pas seulement autorisé. Le POJK 22/2023 Pasal 39(5) oblige le PUJK à réaliser un enregistrement audio ou vidéo lorsqu'il propose des produits ou services par un canal de communication personnel utilisant la voix ou la vidéo. Le Pasal 39(7) l'oblige à documenter l'enregistrement lorsque le prospect ou le client accepte l'offre. Le Pasal 39(8) donne au consommateur qui souscrit le produit un droit d'accès à son propre enregistrement.

Le Pasal 39(6) boucle la boucle en exigeant que l'enregistrement lui-même soit réalisé conformément aux lois en vigueur, ce qui signifie que l'UU PDP s'applique à l'enregistrement en tant que donnée personnelle : une base légale, une finalité déclarée, une durée de conservation communiquée et l'effacement lorsque la base disparaît.

Deux éléments ne sont pas publiés. Le POJK 22/2023 ne fixe aucune durée de conservation pour ces enregistrements, et indique seulement qu'ils sont documentés et accessibles. Et aucune obligation distincte d'annonce orale de l'enregistrement, la mention habituelle indiquant que l'appel est enregistré, n'est énoncée en tant que telle ; ce qui est énoncé, c'est l'identification et l'indication de l'objet du Pasal 39(4)(b). Considérez l'annonce comme une bonne pratique plutôt que comme une règle citée, et vérifiez auprès de l'OJK les attentes en matière de conservation.

Règles applicables aux messages SMS et WhatsApp

Le SMS marketing est le seul canal que le droit indonésien des télécoms traite directement, et la chaîne d'obligations passe par l'opérateur et le fournisseur de services de contenu plutôt que par vous. Concrètement : l'abonné doit s'être vu proposer une option de refus, la règle par défaut du Pasal 180 est de ne rien envoyer, les messages de service doivent rester exempts de marketing, une voie de réclamation doit exister et le masquage doit être déclaré.

Les canaux OTT ne sont pas nommés. Le PM Kominfo 5/2021 traite des layanan pesan pendek, le service de messages courts, et non de WhatsApp ou équivalent. Ils ne sont pas pour autant non réglementés : l'UU PDP s'applique aux données personnelles quel que soit le canal, et le POJK 22/2023 Pasal 39 parle de sarana komunikasi pribadi, canaux de communication personnels, que le règlement ne définit pas par canal. Partez du principe que les obligations de consentement, d'identification et d'arrêt sur retrait suivent le contact plutôt que la technologie, et vérifiez ce point auprès de l'OJK avant de lancer une campagne de services financiers sur une application de messagerie.

Protection des données et durées de conservation

L'UU PDP a été promulguée le 17 octobre 2022 avec une transition de deux ans au titre du Pasal 74. Cette période s'est close le 17 octobre 2024 : la pleine conformité est donc exigible depuis. Il ne reste aucun délai de grâce à prendre en compte.

Le transfert transfrontalier suit une cascade en trois étapes au Pasal 56. D'abord, le responsable du traitement doit s'assurer que le pays du responsable ou sous-traitant destinataire offre un niveau de protection des données personnelles égal ou supérieur à l'UU PDP. À défaut, il doit s'assurer qu'une protection adéquate et contraignante est en place. À défaut des deux, il doit obtenir le consentement de la personne concernée. Le détail est renvoyé à un Peraturan Pemerintah, et aucun règlement d'application de ce type n'a été trouvé : c'est donc à vous de documenter l'auto-évaluation.

Il n'existe pas de liste blanche d'adéquation indonésienne sur laquelle s'appuyer. Le test est une auto-évaluation du niveau de protection du pays destinataire : chaque centre de contact offshore, région cloud et archive d'enregistrements nécessite donc soit une protection contraignante, soit le consentement de la personne concernée, prouvé avant la mise en production et non après un audit.

La conservation est liée à la finalité plutôt que fixe. L'effacement au titre du Pasal 43(1) est déclenché par l'épuisement de la finalité, le retrait du consentement, une demande de la personne concernée ou une collecte illicite, et la destruction au titre du Pasal 44(1) par l'expiration de la durée d'archivage, une demande de la personne concernée, l'absence de procédure judiciaire en cours ou une collecte illicite. La durée de conservation elle-même doit avoir été communiquée au moment du consentement au titre du Pasal 21(1)(d) : c'est donc votre propre information qui fixe le plafond applicable.

La notification des violations est rapide. Le Pasal 46 impose une notification écrite sous 3 x 24 heures à la personne concernée et au lembaga, précisant les données exposées, quand et comment la violation s'est produite, et les mesures correctives.

Sanctions et application de la loi

L'UU PDP Pasal 57 prévoit des sanctions administratives : avertissement écrit, suspension temporaire de l'activité de traitement, effacement ou destruction des données personnelles, et amende administrative pouvant atteindre 2 % du chiffre d'affaires ou des recettes annuels rapportés à la variable de l'infraction. Les manquements aux Pasal 20(1), 21, 43(1), 44(1), 45, 46, 47 et 56 y exposent tous.

Le risque pénal est distinct et plus lourd. Obtenir ou collecter illégalement les données personnelles d'autrui dans un but lucratif, en causant un préjudice, est puni de 5 ans et IDR 5,000,000,000 au maximum. La divulgation illégale est punie de 4 ans et IDR 4,000,000,000 au maximum. L'utilisation illégale, de 5 ans et IDR 5,000,000,000 au maximum. La falsification de données personnelles, de 6 ans et IDR 6,000,000,000 au maximum. Au titre du Pasal 70, une personne morale ne paie qu'une amende, mais jusqu'à dix fois le maximum, ce qui porte le plafond pour les entreprises au titre du Pasal 67(1) à IDR 50 milliards et celui de la falsification à IDR 60 milliards, avec en outre confiscation des produits, gel total ou partiel de l'activité et interdiction définitive de certains actes. Les dirigeants, actionnaires de contrôle, donneurs d'ordre et bénéficiaires effectifs peuvent être poursuivis personnellement.

Dans les services financiers, les sanctions touchent la licence. Le POJK 22/2023 Pasal 39(9) pour le marketing et le Pasal 62(4) pour le recouvrement prévoient l'avertissement écrit, la restriction totale ou partielle des produits, services ou activités, leur gel, la révocation des dirigeants, une amende administrative, le retrait de l'agrément du produit ou service et le retrait de la licence d'exploitation. L'escalade ne commence pas nécessairement par un avertissement. L'amende est plafonnée à IDR 15,000,000,000 au titre des Pasal 39(11) et Pasal 62(6).

Ce qui a changé en 2025 et 2026

L'élément le plus lourd de conséquences n'est pas un changement mais une absence. L'UU PDP Pasal 58 prévoit un lembaga de contrôle institué par le Président et rattaché à lui, les modalités étant fixées par un Peraturan Presiden. Il n'a pas été possible de confirmer si ce Peraturan Presiden a été pris et si l'organisme fonctionne. Partez du principe que les obligations légales vous engagent dès maintenant et que le contrôle peut être mis en place à tout moment, puisque la transition du Pasal 74 est déjà close.

Les Peraturan Pemerintah d'application prévus au Pasal 56(5) pour le transfert transfrontalier et au Pasal 57(5) pour la procédure de sanction n'ont pas non plus été trouvés : deux des mécanismes les plus importants de la loi sur le plan opérationnel restent donc sans modalités détaillées.

Aucun texte de Komdigi de 2025 ou 2026 sur le télémarketing n'a été trouvé. La circulaire ministérielle la plus récente, la Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026 du 26 août 2026, porte sur le reliquat de forfait data et n'a rien à voir avec le marketing. Le PM Kominfo 5/2021 reste le texte télécoms applicable et le POJK 22/2023 la règle contraignante pour la numérotation des services financiers et du recouvrement. Il n'a pas été possible de confirmer si l'OJK a publié en 2025 ou 2026 une circulaire précisant les Pasal 39 et 62 : consultez donc l'index réglementaire de l'OJK avant un lancement.

Comment la plateforme accompagne chaque règle

DialerBee fournit des contrôles qui contribuent à la conformité et vous aident à respecter les obligations ci-dessus. L'Indonésie n'est pas livrée sous forme de pack juridictionnel : les horaires d'appel, la gestion des oppositions et le consentement sont configurés par tenant. La responsabilité juridique reste celle de l'exploitant de la campagne.

Check-list de conformité des appels sortants en Indonésie

• Déterminez votre régime avant d'appeler : services financiers au titre du POJK 22/2023, ou UU PDP seule.
• Consignez une base légale au titre de l'UU PDP Pasal 20 pour chaque fiche contact de la campagne.
• Donnez l'information complète du Pasal 21(1) avant de recueillir le consentement, y compris la durée de conservation.
• Planifiez le marketing des services financiers de 08:00 à 18:00 et le recouvrement de 08:00 à 20:00, du lundi au samedi, hors jours fériés nationaux.
• Appliquez la plage dans l'heure locale du contact, en WIB, WITA et WIT, plutôt que sur une seule horloge nationale.
• Commencez les appels de services financiers en nommant l'entreprise et en expliquant l'objet de l'appel.
• Indiquez la source des données du contact chaque fois qu'elles proviennent d'un tiers.
• Enregistrez les offres vocales faites par des canaux de communication personnels dans les services financiers, et documentez l'enregistrement lorsque l'offre est acceptée.
• Donnez au client accès à son propre enregistrement sur demande.
• Cessez immédiatement toute offre en cas de retrait, et effacez les données personnelles comme l'exige le Pasal 43(1).
• Utilisez votre propre liste de suppression comme liste d'opposition, puisqu'aucun registre national n'existe.
• Documentez l'évaluation de transfert du Pasal 56 avant la mise en service de tout centre de contact offshore, région cloud ou archive d'enregistrements.
• Soyez prêt à notifier une violation sous 3 x 24 heures à la personne concernée et à l'autorité de contrôle.
• Revérifiez les index réglementaires de Komdigi et de l'OJK avant le lancement, car les règlements d'application de l'UU PDP sont toujours attendus.

Sources

1. Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulguée le 17 octobre 2022, Lembaran Negara 2022 No. 196, Tambahan LN No. 6820.
2. Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi, promulgué le 1er avril 2021. JDIH de Komdigi
3. Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan, en vigueur depuis le 22 décembre 2023. PDF du règlement OJK
4. Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026, 26 août 2026. Index JDIH de Komdigi

Questions fréquentes

Quels sont les horaires d'appel légaux en Indonésie ?

Seuls les services financiers ont une plage publiée. Le POJK 22/2023 Pasal 39(4)(a) autorise la communication marketing du lundi au samedi, hors jours fériés nationaux, de 08:00 à 18:00 heure locale, et le Pasal 62(2)(f) autorise le recouvrement du lundi au samedi, hors jours fériés nationaux, de 08:00 à 20:00 heure locale. En dehors de ces horaires, il faut l'accord du consommateur lui-même. Aucune règle générale d'horaires d'appel n'a été trouvée dans l'UU PDP ni dans le PM Kominfo 5/2021.

L'Indonésie a-t-elle un registre Do Not Call ?

Non. Il n'existe pas de registre national Do Not Call en Indonésie, et aucun ne figure dans l'UU PDP, le PM Kominfo 5/2021 ou le POJK 22/2023. Il existe une option au niveau des opérateurs permettant aux abonnés de refuser les SMS marketing et, dans les services financiers, une obligation de consentement et de retrait propre à chaque entreprise. Votre propre liste de suppression, constituée à partir des retraits, est la liste que vous devez appliquer.

Faut-il un consentement pour appeler des numéros indonésiens ?

Il vous faut une base légale au titre de l'UU PDP Pasal 20, et pour le marketing sur une liste froide, cette base est normalement le consentement explicite pour des finalités déclarées au titre du Pasal 20(2)(a). Dans les services financiers, le POJK 22/2023 Pasal 39(1) est explicite : une entreprise ne peut pas proposer de produits ou services par un canal de communication personnel sans le consentement de la personne, ni faire de ce consentement une condition d'utilisation du produit.

L'enregistrement des appels est-il obligatoire en Indonésie ?

Dans les services financiers, oui. Le POJK 22/2023 Pasal 39(5) impose à un PUJK de réaliser un enregistrement audio ou vidéo lorsqu'il propose des produits ou services par un canal de communication personnel utilisant la voix ou la vidéo, le Pasal 39(7) exige que l'enregistrement soit documenté lorsque l'offre est acceptée, et le Pasal 39(8) donne au consommateur le droit d'y accéder. Le règlement ne fixe aucune durée de conservation.

Existe-t-il un préfixe de caller ID pour le télémarketing en Indonésie ?

Aucun préfixe réservé ni plage de numéros dédiée aux appels vocaux de télémarketing n'a été trouvé dans le PM Kominfo 5/2021 ou les autres textes examinés. Ce qui est exigé à la place, c'est l'identification orale : le POJK 22/2023 Pasal 39(4)(b) oblige un appelant de services financiers à indiquer le nom de l'entreprise et à expliquer l'objet de l'appel avant toute offre. Confirmez la situation de la numérotation auprès de Komdigi avant de vous fier à cette absence.

Pourquoi ne pas utiliser une seule plage d'appel nationale pour l'Indonésie ?

Parce que le règlement rattache la plage au waktu setempat, l'heure locale du consommateur, et que l'Indonésie couvre trois fuseaux horaires : WIB, WITA et WIT. Un début à 08:00 dans le fuseau est intervient deux heures plus tôt, en heure absolue, qu'un début à 08:00 dans l'ouest : un calendrier national unique appellera donc avant l'ouverture de la plage à l'est ou s'arrêtera trop tôt à l'ouest.

Que risque-t-on à faire du marketing auprès de consommateurs indonésiens sans consentement ?

Au titre de l'UU PDP Pasal 57, les sanctions administratives vont de l'avertissement écrit à la suspension du traitement, à l'effacement des données et à une amende pouvant atteindre 2 % du chiffre d'affaires ou des recettes annuels rapportés à la variable de l'infraction. Dans les services financiers, le POJK 22/2023 ajoute des conséquences au niveau de la licence, dont la restriction ou le gel de l'activité, la révocation des dirigeants et une amende administrative plafonnée à IDR 15,000,000,000.

L'autorité indonésienne de protection des données a-t-elle commencé ses contrôles ?

L'UU PDP Pasal 58 prévoit un lembaga de contrôle institué par le Président au moyen d'un Peraturan Presiden, et il n'a pas été possible de confirmer si ce texte a été pris et l'organisme mis en place. Les obligations elles-mêmes sont déjà contraignantes : la transition de deux ans du Pasal 74 s'est close le 17 octobre 2024, la conformité est donc exigible quelle que soit la situation du contrôle.

À lire également

• Présentation du numéroteur sortant pour l’Indonésie
• Présentation du numéroteur sortant pour le Brésil
• Présentation du numéroteur sortant pour le Maroc
• Compliance Autopilot
• Caller-ID Pool Control