この法律は、データ処理業者またはデータ管理者によるタイ王国内での個人データの収集、使用、開示に適用されます。データ処理者またはデータ管理者がタイ国外に所在する場合でも、本法はタイ国内のデータ主体に適用されます。
「個人情報」とは、特定の個人に関する情報であって、直接的であるか間接的であるかを問わず、当該個人を識別することができるものをいう；
「データ管理者」とは、個人データの収集、利用または開示に関する決定を行う権限および義務を有する一般人または法人をいう；
「データ処理者」とは、データ管理者の命令に従って、またはデータ管理者に代わって、個人データの収集、使用または開示に関して業務を行う自然人または法人を意味します。
個人データ保護法は2019年に初めて公布され、1年間は企業などがコンプライアンス違反の罰則、データ管理者の義務、データ主体の権利などの面で同法に準拠できるようになる期間が設けられた。
データ保護委員会事務局が主な監督官庁であり、デジタル経済社会省がPDPAの監督官庁である。
PDPA遵守の適用
一般的に、PDPAはタイ国内またはタイ国民に関するデータの開示、使用、収集に適用される。データ処理者およびデータ管理者がタイ国外で業務を行う場合でも、PDPAを遵守しなければならない場合があります：
個人データの収集、使用、および開示に関する法的根拠
この慣行に関する合法的な許可は6つしかありません。それ以外の場合は、データ対象者の同意が必要です。
法的に許可されている慣行は以下の通りです：
同意が有効とみなされるためには、満たさなければならない基準がある：
個人情報保護に関する通知は、データが収集されるまでに対象者に行われる必要があります。通知には以下の情報が含まれなければならない：
データ管理者が個人データ保護に影響を及ぼすデータ侵害に気づいた場合、72時間以内に事務局に通知しなければならない。データ侵害が重大な影響を及ぼす場合、または対象者の自由と権利に高いリスクをもたらす場合は、対象者にもできるだけ早く通知しなければならない。
データを安全に保管することはデータ管理者の義務である：
適切なデータ保護基準」はまだ公式には確立されていないが、個人データが世界の他の場所に転送される場合、その国はデータ保護を管理する適切な保護基準を有していなければならないという期待がある。唯一の例外は、適用除外に該当する場合である。
個人情報保護法違反の重大性に応じて、行政罰、刑事罰、刑事責任、民事責任のいずれかが適用される。
例えば、法律で同意が義務付けられていたにもかかわらず、データ管理者が同意なしにデータ対象者からデータを収集した場合、最高300万バーツの罰金が科される。
2020年5月27日以前に収集されたデータは、データ管理者が以下の措置を講じることを条件に、引き続き使用することができる：
小規模な企業では、不当な搾取などを隠蔽することが難しいため、コンプライアンスを確保しやすいと感じるかもしれない。その他の重要な側面も把握しやすくなり、対象者との直接的なコミュニケーションも可能になる。データ所有者は、必要であればデータポータビリティに実時間と労力を投資することができ、また、必要な場合には同意を得ることを追求し、データ管理者が統合法にしっかりと従うことを確認することができる。データ収集に先立つデータ主体とのコミュニケーションと透明性もデジタル時代には容易であり、データプールが小さければ処理活動も時間がかかりません。
データ移転の場合、データ管理者がそのような情報について通知を出すようにする必要があることを忘れないでください。タイ政府は、守秘義務違反や知的財産基準を満たさない場合、懲罰的損害賠償と刑事罰の両方を適用する。デジタル時代の到来は、世界中のデータやそのような利益の管理方法に大きな影響を及ぼしており、データ保護に関する新しい法律が制定されたのはタイだけではありません。
特に非常に機密性の高い（例えば公衆衛生）、あるいは大規模なデータ侵害の場合には、多額の罰金や最高1年の禁固刑といった厳しい罰則が科される可能性があります。この法律は勅令であり、タイが国際基準に適合できるようにするためのものであることを忘れてはならない。
万が一、個人情報の侵害や漏洩の被害に遭われた場合は、遠慮なくご連絡ください。Juslaws&Consultは、常にお客様の利益を守るために存在します。
