タイPDPA対応：プライバシー通知、委託契約、DPO
タイ個人情報保護法（仏暦2562年／2019年）は、タイで個人情報を収集・利用するすべての事業者に適用され、タイ国内の人に商品やサービスを提供する海外事業者にも及びます（第5条）。当事務所はデータの棚卸し、文書作成、社内手順の整備を支援します。最終的な解釈は個人情報保護委員会事務局（PDPC）と裁判所が行います。
LINE @THAILでPDPAを相談対応の流れ
- 保有するデータ、取得元、保管場所、提供先、保存期間を把握し、処理活動の記録を作成する（第39条）
- 処理活動ごとに適法根拠を定め、明示の同意が必要なセンシティブデータを区別する
- 顧客・従業員・応募者向けのプライバシー通知、同意書、ウェブサイトのクッキーポリシーを用意する
- 給与計算、クラウド、マーケティングなどの委託先とデータ処理契約を結ぶ
- 本人からの権利行使請求（第30–36条）の手順と、72時間以内にPDPCへ通知できる漏えい対応計画を整える
- DPOの選任義務の有無を確認し、個人情報を扱う従業員を研修する
よくある質問
小規模事業者も対象ですか？
はい。顧客、従業員、取引先の個人情報を収集・利用・開示する場合は対象です。同法は2022年6月1日から全面施行されています。委員会告示の一部は、記録義務など一定の義務を小規模事業者について緩和しているため、自社に適用される告示を確認してください。
常に同意が必要ですか？
いいえ。第24条により、契約の履行、法令上の義務、正当な利益などの根拠も使えます。健康、宗教、生体情報など第26条のセンシティブデータは、法定の例外を除き明示の同意が必要です。
漏えいはどれくらいの期間で報告しますか？
第37条第4号により、認知してから遅滞なく72時間以内にPDPCへ通知します。ただし本人の権利に影響するおそれがない場合を除きます。リスクが高い場合は本人にも救済措置とともに通知が必要です。
DPOの選任は必要ですか？
第41条により、主要な活動として個人情報を定期的かつ大規模に監視する場合や、センシティブデータの処理を主要な活動とする場合、告示で指定された公的機関などでは選任が必要です。それ以外は任意で選任できます。
海外の親会社やクラウドへ送れますか？
第28–29条に従えば可能です。例えば移転先が告示で十分な保護水準とされている場合、審査済みのグループ内規程がある場合、委員会告示に基づく標準契約条項など適切な保護措置がある場合です。
違反した場合の罰則は？
民事責任（裁判所は実損害の2倍を上限に懲罰的賠償を追加できる）、一部の刑事罰、第90条による最高500万バーツの行政罰金があり、違反の種類によって異なります。
関連サービス
参考資料
情報源の確認日：2026年10月30日。当社の料金は業務範囲に応じて個別にお見積りします。