【2026年最新版】インドネシアの個人情報保護とは？人事担当者・管理職が知っておくべきUU PDPと実務対応
インドネシアで従業員を雇用する企業にとって、個人情報保護は人事部門だけの問題ではありません。従業員の氏名や住所だけでなく、KTP（身分証明書）、KK（家族カード）、銀行口座、給与、BPJS、勤怠、人事評価、健康情報など、人事部門は日常的に多くの個人情報を取り扱っています。インドネシアでは、2022年10月17日に個人情報保護法（Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi、以下「UU PDP」）が公布・施行され、個人情報保護に関する包括的な法的枠組みが整備されました。UU PDPでは、施行後2年間の移行期間が設けられており、個人情報管理者や個人情報処理者などは2024年10月17日までに同法に沿った対応を行うことが求められていました。したがって、2026年現在、企業にとってUU PDPへの対応は「今後準備するもの」ではなく、すでに実務上対応すべき重要なコンプライアンス事項です。特に人事部門では、採用から入社、給与計算、人事評価、退職まで、従業員ライフサイクル全体で個人情報を取り扱います。
本記事では、インドネシアの日系企業向けに、UU PDPの基本的な考え方と、人事担当者・管理職が従業員データを取り扱う際に押さえておきたい実務上のポイントについて解説します。
インドネシアの個人情報保護法（UU PDP）とは？
UU PDPは、インドネシアにおける個人情報の取得、利用、保存、移転、削除などについて包括的に定めた法律です。UU PDPが制定される以前にも、電子情報・電子取引法（UU ITE）など複数の法令に個人情報に関する規定が存在していました。しかし、個人情報保護に関する規定が複数の法律に分散していたことから、個人情報を包括的に保護するためにUU PDPが制定されました。UU PDPでは、個人情報そのものだけでなく、
- 個人情報の種類
- データ主体の権利
- 個人情報の処理
- 個人情報管理者・処理者の義務
- 個人情報の国外移転
- 行政制裁
- 個人情報に関する禁止行為
- 刑事罰
などについて規定されています。そのため、従業員情報を大量に取り扱う企業にとって、UU PDPは人事・労務業務と密接に関係する法律です。
UU PDPにおける3つの立場
個人情報保護の仕組みを理解するうえで、まず「データ主体」「個人情報管理者」「個人情報処理者」の違いを理解しておくことが重要です。
1. データ主体（Data Subject）
データ主体とは、その個人情報によって特定される本人です。企業の人事管理で考えると、基本的には従業員本人がデータ主体となります。また、採用活動で収集する応募者情報については、応募者がデータ主体となります。
2. 個人情報管理者（Data Controller）
個人情報管理者とは、個人情報を「なぜ、どのような目的で処理するのか」を決定し、その処理を管理する主体です。企業が自社の従業員情報を、人事管理、給与計算、BPJSへの登録、人事評価などの目的で取得・利用する場合、企業は一般的に個人情報管理者としての立場になります。UU PDPでは、個人情報管理者に、個人情報処理について責任を負い、その責任を果たしていることを示すことも求めています。
3.個人情報処理者（Data Processor）
個人情報処理者とは、個人情報管理者の指示に基づいて個人情報を処理する主体です。例えば、企業が給与計算やクラウドサービスなどを外部ベンダーへ委託し、そのベンダーが企業の指示に従って従業員データを処理する場合、ベンダーが個人情報処理者となるケースがあります。つまり、HRISやPayrollサービスを導入する際には、自社だけでなく、従業員データを預ける外部ベンダーがどのようにデータを管理しているかも確認することが重要です。
人事部門が管理する個人情報とは？
人事部門では、非常に多くの従業員データを取り扱います。例えば、
- 氏名
- 住所
- 電話番号
- メールアドレス
- KTP
- KK
- NPWP
- 銀行口座情報
- BPJS情報
- 雇用契約情報
- 給与・各種手当
- 勤怠情報
- 休暇情報
- 人事評価
- 研修履歴
- 家族情報
- 健康情報
などです。UU PDPでは、個人情報を「一般的な個人情報」と「特定個人情報（specific personal data）」に分類しています。特に、健康情報、バイオメトリクスデータ、遺伝情報、犯罪歴、子どものデータ、個人の金融情報などは、より慎重な取り扱いが求められる情報として位置づけられています。例えば、人事管理システムに従業員の銀行口座、健康情報、指紋・顔認証データなどを保存する場合には、通常の従業員情報以上にアクセス権限やセキュリティへ注意する必要があります。
個人情報の「処理」とは？
UU PDPにおける個人情報の処理は、単にデータを利用することだけではありません。第16条では、個人情報の処理に、
- 取得・収集
- 処理・分析
- 保存
- 修正・更新
- 表示・公表
- 移転・提供・開示
- 削除・廃棄
などが含まれるとされています。つまり、人事担当者が従業員からKTPを受け取り、HRISへ登録し、日本本社へデータを共有し、退職後に削除するまで、一連のプロセス全体が個人情報管理に関係します。
従業員データを処理するには適法な根拠が必要
ここは、企業がUU PDPを理解するうえで非常に重要なポイントです。個人情報を処理するには、適法な根拠が必要です。UU PDP第20条では、個人情報処理の根拠として、本人からの明示的な同意だけでなく、複数の根拠を認めています。例えば、
- データ主体からの明示的な同意
- 契約上の義務を履行するために必要な場合
- 法令上の義務を履行するために必要な場合
- データ主体の生命・身体など重要な利益を守る場合
- 公共の利益などに必要な場合
- 管理者の正当な利益に基づく場合
などです。したがって、「従業員データはすべて本人の同意を得なければ処理できない」というわけではありません。例えば、給与計算、BPJSへの登録、雇用契約の履行などでは、契約上または法令上必要となる個人情報があります。一方で、業務上必要性のない情報まで無制限に収集してよいわけではありません。人事担当者は、
「このデータを何のために取得するのか」
「その目的のために本当に必要なデータなのか」
を明確にしておくことが重要です。
人事担当者・管理職が押さえるべき6つの実務ポイント
1. 必要な個人情報だけを収集する
人事部門では、「将来使うかもしれないから」という理由だけで、必要以上の個人情報を収集しないことが重要です。例えば、BPJSや給与計算、雇用管理などに必要な情報であれば、目的を明確にしたうえで収集・利用します。一方、業務上の目的との関連性がない情報については、そもそも取得する必要があるのかを検討すべきです。
2. 個人情報の利用目的を明確にする
従業員から個人情報を取得する際には、その情報を何のために利用するのかを整理しておく必要があります。例えば、
「給与計算のため」
「BPJS登録のため」
「緊急連絡のため」
「人事評価・人材管理のため」
などです。収集したデータを、当初説明した目的とまったく異なる目的へ自由に利用できるわけではありません。
3. アクセス権限を適切に設定する
従業員情報は、すべての管理職や従業員が自由に閲覧できる状態にすべきではありません。例えば、人事担当者は従業員情報を確認できる一方、一般の管理職には給与情報を表示しない、といった権限設定が必要です。特に、
- 給与
- 銀行口座
- 健康情報
- 人事評価
- 身分証明書
- 家族情報
などについては、業務上必要な担当者だけがアクセスできるようにすることが重要です。
4. Excel・メール・チャットでの共有に注意する
人事実務では、従業員リストや給与情報をExcelで作成し、メールやチャットで共有することがあります。しかし、一度ファイルを送信すると、その後誰が保存・コピーしているのか把握できなくなる可能性があります。特に給与や銀行口座などの機密情報については、共有方法を社内で明確にし、不要なコピーを増やさない運用が重要です。人事管理システム（HRIS）を利用する場合も、ユーザーごとに適切なアクセス権限を設定しましょう。
5. 退職者データを放置しない
退職した従業員の個人情報を、何年も無期限で保管している企業もあります。しかし、個人情報は「取得したら永久に保存する」ものではありません。法令上や業務上必要な保存期間を確認したうえで、保管する必要がなくなった情報については、適切に削除・廃棄する仕組みを整えることが重要です。UU PDPでも、一定の条件を満たした場合の個人情報の削除・廃棄や、データ主体への通知について規定されています。
6. 情報漏えい発生時の対応を決めておく
個人情報の事故は、サイバー攻撃だけで発生するものではありません。例えば、
「給与ファイルを間違った人へメールした」
「従業員データが入ったPCを紛失した」
「退職した人事担当者のアカウントが残っていた」
といったことも情報漏えいにつながる可能性があります。UU PDPでは、個人情報保護に関する事故が発生した場合、個人情報管理者は原則として3×24時間以内にデータ主体および所管機関へ書面で通知することを定めています。そのため企業は、事故が発生してから対応を考えるのではなく、
「誰に報告するのか」
「誰が影響範囲を確認するのか」
「どのように本人へ通知するのか」
といった対応フローを事前に決めておくことが重要です。
日本本社への従業員データ共有にも注意
インドネシアの日系企業では、従業員情報を日本本社へ共有することもあります。例えば、人員計画、人件費管理、人事評価、グループ人事データベースなどです。しかし、日本本社への共有も個人情報の移転に該当し得るため、「グループ会社だから自由に共有できる」と考えないことが重要です。UU PDPでは、国外への個人情報移転についても条件が設けられています。移転先の個人情報保護水準や適切な保護措置などを確認し、一定の場合にはデータ主体から同意を取得する仕組みとなっています。そのため日系企業では、
「どの従業員データを日本へ送っているのか」
「何の目的で共有しているのか」
「どこに保存されているのか」
を一度整理しておくことをおすすめします。
個人情報保護はHRだけの仕事ではない
従業員情報を最も多く扱うのは人事部門ですが、個人情報保護は人事担当者だけの責任ではありません。例えば、管理職も、
- 部下の評価情報
- 履歴書
- 給与関連資料
- 医療・休暇情報
- 個人の連絡先
などを見る機会があります。そのため、管理職を含めた従業員へ、個人情報をどのように取り扱うべきか教育することも重要です。特に、
「従業員情報を個人のWhatsAppへ送らない」
「給与データを必要のない人へ共有しない」
「退職者のシステムアクセスを速やかに停止する」
など、具体的な運用ルールを決めておくことで、日常業務から情報漏えいリスクを減らすことができます。
人事管理システム（HRIS）で従業員データを一元管理
紙や複数のExcelファイルに従業員情報が分散していると、
「誰がどの情報を持っているのか」
「最新版はどのファイルなのか」
「誰がアクセスしたのか」
を把握することが難しくなります。人事管理システム（HRIS）を活用し、従業員情報を一元管理することで、必要な情報を適切に管理しやすくなります。例えば、
- ユーザーごとのアクセス権限設定
- 従業員情報の一元管理
- 給与・勤怠・休暇データの統合
- 従業員自身による情報更新
- 退職者アカウントの管理
などをシステム上で行うことで、人事担当者の業務効率化とデータ管理の強化を両立できます。ただし、「HRISを導入すれば自動的にUU PDPへ完全準拠できる」というわけではありません。システムのセキュリティだけでなく、社内ルール、アクセス権限、従業員教育、外部ベンダー管理などを含めて個人情報管理体制を構築することが重要です。
まとめ｜個人情報保護はインドネシアの日系企業にとって重要な経営課題
UU PDPの施行により、インドネシアでは個人情報をどのように取得し、利用し、保存し、共有し、削除するのかについて、企業にも明確な管理責任が求められています。特に人事部門は、給与、銀行口座、KTP、BPJS、健康情報、人事評価など、多くの重要な従業員情報を扱います。そのため、
- 必要なデータだけを取得する
- 利用目的を明確にする
- 適切な処理根拠を確認する
- アクセス権限を管理する
- 必要以上にデータを共有しない
- 不要になったデータを適切に削除する
- 情報漏えい時の対応フローを準備する
といった基本的な管理を徹底することが重要です。個人情報保護は、単なる「法令対応」ではありません。従業員が企業へ安心して自分の情報を預けられる環境をつくることは、従業員からの信頼を高め、企業のガバナンスを強化することにもつながります。
Peoplyee HRISでは、インドネシア企業向けに、従業員情報、勤怠管理、休暇管理、給与計算（Payroll）などの人事業務を一つのシステムで管理できます。インドネシアで従業員データ管理の効率化や、人事業務のデジタル化をご検討中の企業は、ぜひPeoplyee HRISの無料デモ・無料トライアルをご活用ください。
※本記事は2026年8月時点の法令情報をもとに一般的な内容を解説したものであり、個別の法的助言を目的とするものではありません。具体的な対応については、必要に応じてインドネシアの法律専門家へご確認ください。
