VPN có máy chủ tại Indonesia

Nhà vận hành phải cho các bộ tiếp cận hệ thống và dữ liệu của mình để giám sát, đồng thời cho cơ quan thực thi pháp luật tiếp cận để thực thi pháp luật (điều 21), bao gồm dữ liệu được lưu giữ ở nước ngoài về cư dân hoặc tổ chức Indonesia (điều 34). Khi có yêu cầu chính thức, nhà vận hành phải cung cấp dữ liệu lưu lượng và thông tin thuê bao trong vòng năm ngày theo lịch (điều 36–37). Quy định không nêu thời hạn lưu giữ dữ liệu. Việc một nhà vận hành VPN có thuộc phạm vi điều chỉnh hay không chưa được xác lập.

Các hệ thống chưa đăng ký sẽ bị cắt quyền truy cập (điều 7(2)). Nhà vận hành phải ngăn nội dung bị cấm xuất hiện trên hệ thống của mình: nội dung vi phạm pháp luật, gây rối trật tự công cộng hoặc hướng dẫn cách tiếp cận nội dung bị cấm (điều 9(4)). Nhà vận hành phải gỡ nội dung đó trong vòng 24 giờ kể từ khi có lệnh, hoặc trong vòng bốn giờ đối với nội dung khủng bố, nội dung khiêu dâm trẻ em hoặc nội dung gây rối trật tự công cộng; nếu không, bộ trưởng có thể cắt quyền truy cập vào toàn bộ hệ thống hoặc ra lệnh cho các nhà cung cấp internet thực hiện việc đó (điều 14–16).

Luật Thông tin và Giao dịch Điện tử, được sửa đổi bởi Luật số 1 năm 2024, cho phép chính phủ cắt quyền truy cập vào nội dung trái pháp luật hoặc ra lệnh cho nhà vận hành thực hiện việc đó (điều 40(2b)).

Bộ luật Hình sự (Luật số 1 năm 2023, có hiệu lực từ ngày 2 tháng 1 năm 2026), theo nội dung được ban hành, xử phạt hành vi phỉ báng bằng chữ viết hoặc hình ảnh được công khai với mức phạt tù lên đến một năm sáu tháng hoặc phạt tiền lên đến 50 triệu Rp; mức phạt được tăng thêm một phần ba khi sử dụng công nghệ thông tin, và chỉ được áp dụng khi nạn nhân có đơn khiếu nại (điều 433, 440, 441).

Hành vi công khai thể hiện sự thù địch, căm ghét hoặc khinh miệt đối với một nhóm dân cư vì lý do chủng tộc, quốc tịch, dân tộc, màu da, giới tính hoặc khuyết tật bị phạt tù lên đến ba năm hoặc phạt tiền lên đến 200 triệu Rp (điều 242). Việc phát tán những lời phát biểu như vậy thông qua công nghệ thông tin, nếu dẫn đến bạo lực, bị phạt tù lên đến bốn năm (điều 243).

Luật số 1 năm 2024 quy định các điều về những tội danh này chỉ được áp dụng cho đến khi Bộ luật Hình sự có hiệu lực (điều II), và điều 622 của Bộ luật bãi bỏ, cùng với các quy định khác, các điều 27(1), 27(3) và 28(2) của luật năm 2008. Thông tin thuê bao được cung cấp cho cơ quan thực thi pháp luật theo điều 36 của quy định năm 2020.

Trong phán quyết 20/PUU-XIV/2016 ngày 7 tháng 9 năm 2016, Tòa án Hiến pháp nhận định rằng việc nghe lén chỉ được thực hiện theo một đạo luật, thủ tục thực hiện phải được quy định trong một đạo luật riêng, và việc này cần có sự cho phép của tòa án để có cơ quan giám sát. Nhận thấy pháp luật về thủ tục còn thiếu, tòa án phán quyết rằng bằng chứng điện tử từ hoạt động nghe lén chỉ có giá trị nếu được thu thập để thực thi pháp luật theo yêu cầu của cảnh sát, công tố viên hoặc cơ quan khác được một đạo luật chỉ định.

Theo quy định năm 2020, nội dung liên lạc và dữ liệu cá nhân cụ thể cần có lệnh của chánh án tòa án cấp huyện (điều 36(4)–(5)); quyền tiếp cận dữ liệu bị giới hạn đối với các tội danh có mức phạt tù ít nhất là hai năm (điều 32), còn quyền tiếp cận hệ thống bị giới hạn đối với các tội danh có mức phạt tù từ năm năm trở lên, hoặc từ hai đến năm năm khi có lệnh của tòa án cấp huyện (điều 33). Thứ tự của các hàng là điểm bảo mật, còn vị trí của máy chủ không phải là một khuyến nghị.