인도네시아에 서버를 둔 VPN

운영자는 감독을 위해 부처에 자신의 시스템과 데이터에 대한 접근 권한을 제공하고, 법 집행을 위해 법 집행기관에도 접근 권한을 제공해야 한다(제21조). 여기에는 인도네시아 거주자 또는 법인에 관한 해외 보유 데이터도 포함된다(제34조). 공식 요청이 있으면 운영자는 5일 이내에 트래픽 데이터와 가입자 정보를 제공한다(제36~37조). 이 규정은 보존 기간을 정하지 않는다. VPN 운영자가 그 적용 범위에 포함되는지는 확인되지 않았다.

등록하지 않은 시스템은 차단된다(제7조 제2항). 운영자는 법을 위반하거나 공공질서를 교란하거나 금지된 콘텐츠에 접근하는 방법을 설명하는 콘텐츠가 자신의 시스템에 게시되지 않도록 해야 한다(제9조 제4항). 운영자는 명령을 받은 후 24시간 이내에 해당 콘텐츠를 삭제해야 하며, 테러·아동 포르노그래피 또는 공공질서를 교란하는 콘텐츠의 경우에는 4시간 이내에 삭제해야 한다. 이를 이행하지 않으면 장관은 시스템 전체의 접근을 차단하거나 인터넷 프로바이더에게 차단을 명령할 수 있다(제14~16조).

전자 정보 및 거래법은 2024년 법률 제1호로 개정되었으며, 정부가 불법 콘텐츠의 접근을 차단하거나 운영자에게 그렇게 하도록 명령할 수 있게 한다(제40조 제2항 b호).

제정된 형태의 형법(2023년 법률 제1호, 2026년 1월 2일부터 시행)은 공개적으로 표시된 글이나 그림을 통한 명예훼손을 최대 1년 6개월의 징역 또는 최대 5,000만 루피아의 벌금으로 처벌하며, 정보기술이 사용된 경우 그 형량을 3분의 1까지 가중한다. 또한 피해자의 고소가 있어야만 처벌할 수 있다(제433조, 제440조, 제441조).

인종, 국적, 민족, 피부색, 성별 또는 장애를 이유로 한 집단에 대해 공개적으로 적대감·증오 또는 경멸을 표현하면 최대 3년의 징역 또는 최대 2억 루피아의 벌금에 처한다(제242조). 정보기술을 통해 그러한 발언을 퍼뜨리고 그 결과 폭력이 발생하면 최대 4년의 징역에 처한다(제243조).

2024년 법률 제1호는 이러한 범죄에 관한 조항이 형법 시행 시까지만 적용되도록 했고(제II조), 형법 제622조는 2008년 법률 제27조 제1항, 제27조 제3항 및 제28조 제2항을 비롯한 여러 조항을 폐지한다. 가입자 정보는 2020년 규정 제36조에 따라 법 집행기관에 제공된다.

헌법재판소는 2016년 9월 7일 결정 20/PUU-XIV/2016에서 감청은 법률에 의해서만 이루어질 수 있고 그 절차는 별도의 법률에 규정되어야 하며, 누군가 이를 감독할 수 있도록 법원의 허가를 받아야 한다고 판시했다. 이러한 절차법이 없다고 판단한 헌법재판소는 경찰, 검사 또는 법률이 지정한 다른 기관의 요청에 따라 법 집행을 위해 수집한 경우에만 감청으로 얻은 전자 증거를 인정할 수 있다고 판시했다.

2020년 규정에 따르면 통신 내용과 특정 개인정보에는 지방법원 수석판사의 명령이 필요하다(제36조 제4~5항). 데이터 접근은 최소 2년의 형량이 부과되는 범죄로 제한되고(제32조), 시스템 접근은 5년 이상 또는 지방법원 명령이 있는 2년 이상 5년 미만의 형량이 부과되는 범죄로 제한된다(제33조). 행의 순서는 보안 점수를 의미하며, 서버의 위치는 권고 사항이 아니다.