태국 PDPA 대응: 개인정보 처리방침, 위탁 계약, DPO
태국 개인정보보호법(불기 2562년/2019년)은 태국에서 개인정보를 수집·이용하는 모든 사업자에 적용되며, 태국 내 사람에게 상품이나 서비스를 제공하는 해외 사업자에게도 적용됩니다(제5조). 저희는 데이터 현황 파악, 문서 작성, 내부 절차 수립을 지원합니다. 최종 해석은 개인정보보호위원회 사무국(PDPC)과 법원이 합니다.
LINE @THAIL로 PDPA 상담대응 절차
- 보유 데이터, 수집 출처, 보관 위치, 제공 대상, 보존 기간을 파악하고 처리 활동 기록을 작성합니다(제39조)
- 처리 활동별 적법 근거를 정하고 명시적 동의가 필요한 민감정보를 구분합니다
- 고객·직원·지원자용 개인정보 처리방침, 동의서, 웹사이트 쿠키 정책을 마련합니다
- 급여, 클라우드, 마케팅 등 수탁업체와 데이터 처리 계약을 체결합니다
- 정보주체 권리 행사 요청 절차(제30–36조)와 72시간 내 PDPC 신고가 가능한 유출 대응 계획을 마련합니다
- DPO 지정 의무 여부를 검토하고 개인정보 취급 직원을 교육합니다
자주 묻는 질문
소규모 사업자도 적용되나요?
네. 고객, 직원, 거래처의 개인정보를 수집·이용·공개하면 적용됩니다. 이 법은 2022년 6월 1일부터 전면 시행되었습니다. 위원회 고시 일부는 기록 의무 등 일부 의무를 소규모 사업자에게 완화하므로 해당 고시를 확인해야 합니다.
항상 동의가 필요한가요?
아닙니다. 제24조에 따라 계약 이행, 법적 의무, 정당한 이익 등 다른 근거도 사용할 수 있습니다. 건강, 종교, 생체정보 등 제26조의 민감정보는 법정 예외를 제외하고 명시적 동의가 필요합니다.
유출 시 언제까지 신고해야 하나요?
제37조 제4호에 따라 인지 후 지체 없이 72시간 이내에 PDPC에 신고해야 합니다. 다만 개인의 권리에 영향을 줄 위험이 없는 경우는 제외됩니다. 위험이 높으면 정보주체에게도 구제 조치와 함께 알려야 합니다.
DPO를 지정해야 하나요?
제41조에 따라 주요 활동으로 개인정보를 정기적·대규모로 모니터링하거나 민감정보 처리가 주요 활동인 경우, 고시로 지정된 공공기관 등은 지정해야 합니다. 그 밖의 사업자는 자율적으로 지정할 수 있습니다.
해외 모회사나 클라우드로 보낼 수 있나요?
제28–29조를 따르면 가능합니다. 예를 들어 이전 대상국이 고시상 적정 보호 수준을 갖추었거나, 심사를 받은 그룹 내부 정책이 있거나, 위원회 고시에 따른 표준계약조항 등 적절한 보호조치가 있는 경우입니다.
위반 시 처벌은?
민사 책임(법원은 실제 손해의 2배 이내 징벌적 배상을 추가할 수 있음), 일부 형사처벌, 제90조에 따른 최고 500만 바트의 행정 과징금이 있으며 위반 유형에 따라 다릅니다.
관련 서비스
참고 자료
출처 확인일: 2026년 10월 30일. 당사 수수료는 업무 범위에 따라 개별 견적으로 안내합니다.