PDPA Таиланда: политика конфиденциальности, договоры и DPO

Да, если компания собирает, использует или раскрывает данные клиентов, сотрудников или партнёров. Закон действует в полном объёме с 1 июня 2022 года. Некоторые уведомления Комиссии смягчают отдельные обязанности для малых предприятий, например ведение реестра; проверьте, какие применимы к вам.

Нет. Статья 24 допускает другие основания: исполнение договора, обязанность по закону, законный интерес. Для чувствительных данных по ст. 26, например о здоровье, религии или биометрии, требуется явное согласие, если нет законного исключения.

Пункт 4 ст. 37 требует уведомить PDPC без промедления и в течение 72 часов с момента обнаружения, если утечка не создаёт риска для прав граждан. При высоком риске нужно также уведомить субъектов данных и сообщить о мерах по устранению.

Статья 41 требует его назначения, например если основная деятельность включает регулярный масштабный мониторинг персональных данных или обработку чувствительных данных, а также для госорганов, указанных в уведомлении. Остальные могут назначить DPO добровольно.

Да, по ст. 28–29: например, если страна назначения имеет достаточный уровень защиты согласно уведомлению, действуют проверенные внутригрупповые правила или приняты надлежащие гарантии, такие как стандартные договорные условия по уведомлениям Комиссии.

Гражданская ответственность (суд может дополнительно взыскать штрафные убытки до двукратного размера фактического ущерба), уголовная ответственность в некоторых случаях и административные штрафы по ст. 90 до 5 млн бат в зависимости от нарушения.