Indo­ne­si­en: neu­es Daten­schutz­ge­setz PDPA in Kraft; extra­ter­ri­to­ria­le Wirkung

Indo­ne­si­en hat ein neu­es Daten­schutz­ge­setz in Kraft gesetzt, auf den 17. Okto­ber 2022, den Per­so­nal Data Pro­tec­tion Act (PDPA, hier auf Indo­ne­sisch und hier als Maschi­nen­über­set­zung auf Deutsch).

Der PDPA hat extra­ter­ri­to­ria­le Wir­kung – er gilt für die Bear­bei­tung von Per­so­nen­da­ten inner­halb Indo­ne­si­ens, aber auch ausser­halb von Indo­ne­si­en, sofern die Bear­bei­tung in Indo­ne­si­en Rechts­fol­gen hat oder indo­ne­si­sche Bür­ger ausser­halb Indo­ne­si­ens betrifft:

Arti­kel 2

1. Die­ses Gesetz gilt für alle Per­so­nen, öffent­li­chen Ein­rich­tun­gen und inter­na­tio­na­len Orga­ni­sa­tio­nen, die Rechts­hand­lun­gen vor­neh­men, die in die­sem Gesetz gere­gelt sind:
a. die sich im Hoheits­ge­biet der Repu­blik Indo­ne­si­en befin­den; und
b. außer­halb der Gerichts­bar­keit der Repu­blik Indo­ne­si­en, was recht­li­che Fol­gen hat:
1. in der Gerichts­bar­keit der Repu­blik Indo­ne­si­en; und/oder
2. für per­so­nen­be­zo­ge­ne Daten indo­ne­si­scher Bür­ger außer­halb des Hoheits­ge­biets der Repu­blik Indonesien
2. Die­ses Gesetz gilt nicht für die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten durch natür­li­che Per­so­nen im Rah­men pri­va­ter oder häus­li­cher Tätigkeiten.

Die Idee, auch die Bear­bei­tung ausser­halb des Hoheits­ge­biets zu regeln, wenn sie Staats­bür­ger betrifft, ent­spricht nicht unbe­dingt der Idee des Ter­ri­to­ri­a­li­täts­prin­zips nach euro­päi­schem Ver­ständ­nis, gilt aber auch in ande­ren Staa­ten, bspw. für Nige­ria, wo ein stren­ges Daten­schutz­recht nach dem Vor­bild der DSGVO gilt. Art. 1.2 der Nige­ria Data Pro­tec­tion Regu­la­ti­on 2019:

1.2 SCOPE OF THE REGULATION

a. this Regu­la­ti­on applies to all tran­sac­tions inten­ded for the pro­ce­s­sing of Per­so­nal Data, to the pro­ce­s­sing of Per­so­nal Data not­wi­th­stan­ding the means by which the data pro­ce­s­sing is being con­duc­ted or inten­ded to be con­duc­ted in respect of natu­ral per­sons in Nigeria;
b. this Regu­la­ti­on applies to natu­ral per­sons resi­ding in Nige­ria or resi­ding out­side Nige­ria who are citi­zens of Nige­ria;
c. this Regu­la­ti­on shall not ope­ra­te to deny any Nige­ri­an or any natu­ral per­son the pri­va­cy rights he is entit­led to under any law, regu­la­ti­on, poli­cy, con­tract for the time being in force in Nige­ria or in any for­eign jurisdiction.

Als ausser­eu­ro­päi­sche Spe­zia­li­tät lässt sich das aller­dings nicht ganz abtun. Das fran­zö­si­sche Loi Infor­ma­tique et Liber­tés etwa sieht in Art. 3(II) für das natio­na­le Umset­zungs­recht vor, dass es für die Bear­bei­tung der Daten von Per­so­nen mit Wohn­sitz in Frank­reich gilt:

Artic­le 3

I – Sans pré­ju­di­ce, en ce qui con­cer­ne les trai­te­ments ent­rant dans le champ du règle­ment (UE) 2016/679 du 27 avril 2016, des critères pré­vus par l’ar­tic­le 3 de ce règle­ment, l’en­sem­ble des dis­po­si­ti­ons de la pré­sen­te loi s’ap­pli­quent aux trai­te­ments des don­nées à carac­tère per­son­nel effec­tués dans le cad­re des acti­vi­tés d’un éta­blis­se­ment d’un responsable du trai­te­ment ou d’un sous-trai­tant sur le ter­ri­toire fran­çais, que le trai­te­ment ait lieu ou non en France.
II – Les règles natio­na­les pri­ses sur le fon­de­ment des dis­po­si­ti­ons du même règle­ment ren­voyant au droit natio­nal le soin d’ad­ap­ter ou de com­plé­ter les droits et obli­ga­ti­ons pré­vus par ce règle­ment s’ap­pli­quent dès lors que la per­son­ne con­cer­née rési­de en France, y com­pris lorsque le responsable de trai­te­ment n’est pas éta­b­li en France.
Tou­te­fois, lorsque est en cau­se un des trai­te­ments men­ti­onnés au 2 de l’ar­tic­le 85 du même règle­ment, les règles natio­na­les men­ti­onnées au pre­mier ali­néa du II sont cel­les dont relè­ve le responsable de trai­te­ment, lorsqu’il est éta­b­li dans l’U­ni­on européenne.

Die Geset­zes­be­grün­dung dazu ist interessant:

3. – Le légis­la­teur a choi­si d’in­stau­rer un critère de rat­ta­che­ment ter­ri­to­ri­al par­ti­cu­lier pour les spécificités
fran­çai­ses, tra­dui­sant un choix poli­tique de la France, tein­té de sou­ve­rai­nis­me, qu’il est pos­si­ble de
résu­mer de la maniè­re suivante.
4. – Par prin­ci­pe, les spé­ci­fi­ci­tés fran­çai­ses s’ap­pli­quent « dès lors que la per­son­ne con­cer­née rési­de en
France », et ce « y com­pris lorsque le responsable de trai­te­ment n’est pas éta­b­li en France ». Ce
critère de rat­ta­che­ment exor­bi­tant (lieu de rési­dence des per­son­nes con­cer­nées) con­fè­re un large
ray­on­ne­ment au droit fran­çais, écar­tant les droits des aut­res États mem­bres. Ce choix, qui peut
paraît­re curieux, est appa­ru oppor­tun au légis­la­teur fran­çais, car « plus pro­tec­teur pour les personnes
phy­si­ques con­cer­nées, qui n’ont alors pas à s’in­ter­ro­ger sur le droit appli­ca­ble dans un aut­re État membre de l’U­ni­on, lequel n’est bien sou­vent pas acce­s­si­ble dans leur langue ».

Nicht anders ist Art. 139 IPRG – auch hier kann es zur Anwen­dung des Hei­mat­rechts des Betrof­fe­nen kom­men, jeden­falls wenn mit die­ser loka­len Betrof­fen­heit zu rech­nen war:

1 Ansprü­che aus Ver­let­zung der Per­sön­lich­keit durch Medi­en, ins­­besondere durch Pres­se, Radio, Fern­se­hen oder durch ande­re Infor­ma­ti­onsmittel in der Öffent­lich­keit unter­ste­hen nach Wahl des Geschä­dig­ten:
a. dem Recht des Staa­tes, in dem der Geschä­dig­te sei­nen gewöhn­lichen Auf­ent­halt hat, sofern der Schä­di­ger mit dem Ein­tritt des Erfol­ges in die­sem Staat rech­nen musste;
b. dem Recht des Staa­tes, in dem der Urhe­ber der Ver­let­zung sei­ne Nie­der­las­sung oder sei­nen gewöhn­li­chen Auf­ent­halt hat, oder
c. dem Recht des Staa­tes, in dem der Erfolg der ver­let­zen­den Hand­lung ein­tritt, sofern der Schä­di­ger mit dem Ein­tritt des Er­folges in die­sem Staat rech­nen musste.
2 Das Gegen­dar­stel­lungs­recht […] 3 Absatz 1 ist auch anwend­bar auf Ansprü­che aus Ver­let­zung der Per­sön­lich­keit durch das Bear­bei­ten von Per­so­nen­da­ten sowie aus Beein­träch­ti­gung des Rechts auf Aus­kunft über Personendaten.