如在印尼处理个人数据，需要履行什么义务以保证合法性？

根据PDP第20条，出海印尼的中资企业作为个人数据控制者处理个人数据时，必须具备合法性基础，除“明确且有效的同意”外，其他合法性基础主要包括：

(1)为订立或履行合同所必需。即为履行个人数据主体作为一方当事人的合同，或者应其请求在订立该合同前采取必要措施而进行的数据处理;

(2)为履行法定义务所必需;

(3)为保护个人数据主体的重要利益所必需;

(4)为实现公共利益、提供公共服务，或者依据法律法规行使法定职权所必需;

(5)为履行其他正当利益所必需。

参考PDP实施条例草案，出海印尼的中国企业拟以“为履行其他正当利益所必需”作为个人数据处理的合法性基础的，建议在处理个人数据前履行以下合规步骤：

(1)就处理目的、必要性以及控制者利益与个人数据主体权利之间的利益衡量进行分析;

(2)对该处理是否可能对数据主体产生法律影响或造成损害及拟采取的减缓措施开展评估;

(3)将前述分析与评估过程及结论形成书面记录向个人数据主体予以告知。