PDPA thaïlandaise : avis de confidentialité, contrats et DPO
La loi sur la protection des données personnelles B.E. 2562 (2019) s'applique à toute entreprise qui collecte ou utilise des données personnelles en Thaïlande, ainsi qu'aux entreprises étrangères proposant des biens ou services à des personnes en Thaïlande (article 5). Nous cartographions vos données, rédigeons les documents et mettons en place les procédures internes. L'interprétation finale relève de la PDPC et des tribunaux.
Question PDPA sur LINE @THAILÉtapes de mise en conformité
- Recenser les données détenues, leur origine, leur lieu de stockage, leurs destinataires et leur durée de conservation, et tenir un registre des traitements (article 39)
- Attribuer une base légale à chaque traitement et isoler les données sensibles exigeant un consentement explicite
- Préparer les avis de confidentialité pour clients, salariés et candidats, ainsi que les formulaires de consentement et la politique de cookies du site
- Signer des contrats de traitement avec les prestataires : paie, cloud, marketing
- Organiser le traitement des demandes des personnes concernées (articles 30 à 36) et un plan de réponse permettant de notifier la PDPC sous 72 heures
- Vérifier si un DPO est obligatoire et former le personnel ayant accès aux données
Questions fréquentes
Les petites entreprises sont-elles concernées ?
Oui, dès qu'elles collectent, utilisent ou divulguent des données de clients, salariés ou partenaires. La loi s'applique pleinement depuis le 1er juin 2022. Certaines notifications de la Commission allègent des obligations, comme le registre, pour les petites entreprises ; vérifiez celles qui vous concernent.
Le consentement est-il toujours nécessaire ?
Non. L'article 24 admet d'autres bases : exécution d'un contrat, obligation légale ou intérêt légitime. Les données sensibles de l'article 26, comme la santé, la religion ou la biométrie, exigent un consentement explicite, sauf exception légale.
Sous quel délai signaler une violation ?
L'article 37(4) impose de notifier la PDPC sans délai et dans les 72 heures après en avoir pris connaissance, sauf si la violation ne risque pas d'affecter les droits des personnes. En cas de risque élevé, les personnes concernées doivent aussi être informées des mesures correctives.
Faut-il désigner un DPO ?
L'article 41 l'impose notamment lorsque l'activité principale implique un suivi régulier et à grande échelle de données personnelles ou le traitement de données sensibles, ou pour les organismes publics désignés par notification. Les autres peuvent en désigner un volontairement.
Peut-on transférer des données à la maison mère ou vers un cloud étranger ?
Oui, selon les articles 28 et 29 : par exemple si le pays de destination offre un niveau de protection adéquat selon notification, si des règles internes au groupe ont été validées, ou si des garanties appropriées comme des clauses contractuelles types prévues par la Commission sont en place.
Quelles sanctions ?
Responsabilité civile (le tribunal peut ajouter des dommages punitifs jusqu'au double du préjudice réel), sanctions pénales dans certains cas et amendes administratives jusqu'à 5 millions de bahts selon l'article 90, selon la nature du manquement.
Services associés
Sources
- Loi sur la protection des données personnelles B.E. 2562, Journal officiel vol. 136 partie 69 Kor (thaï)
- Bureau de la Commission de protection des données (PDPC) : notifications et guides
Sources vérifiées le 30 oct. 2026. Nos honoraires font l’objet d’un devis selon le périmètre de la mission.