泰国PDPA合规：隐私声明、数据处理协议与DPO
泰国《个人信息保护法》（佛历2562年/2019年）适用于在泰国收集或使用个人信息的所有企业，也适用于向泰国境内人士提供商品或服务的境外企业（第5条）。我们协助梳理数据、起草文件并建立内部流程。最终解释权属于个人信息保护委员会办公室（PDPC）及法院。
通过LINE @THAIL咨询PDPA合规步骤
- 梳理所持有的数据、来源、存放位置、接收方及保存期限，并建立处理活动记录（第39条）
- 为每项处理活动确定合法依据，并区分需取得明确同意的敏感数据
- 为客户、员工及求职者制作隐私声明，并准备同意书和网站Cookie政策
- 与薪资、云服务、营销等外部服务商签订数据处理协议
- 建立数据主体权利请求流程（第30–36条），以及可在72小时内通报PDPC的泄露应对计划
- 评估是否必须任命DPO，并培训接触个人信息的员工
常见问题
小企业也必须遵守吗？
是的，只要收集、使用或披露客户、员工或合作方的个人信息即须遵守。该法自2022年6月1日起全面施行。委员会部分公告对小型企业放宽了某些义务（如记录义务），需核对适用于贵公司的公告。
是否每次都需要取得同意？
不需要。第24条允许其他依据，如履行合同、法定义务或正当利益。第26条规定的敏感数据（如健康、宗教、生物特征）须取得明确同意，法定例外情形除外。
发生数据泄露须多快通报？
第37条第4项要求在知悉后不迟延地、于72小时内通报PDPC，除非泄露不太可能影响个人权利。高风险泄露还须通知数据主体并告知补救措施。
是否必须设立DPO？
第41条规定在某些情形下必须设立，例如核心活动涉及定期、大规模监控个人信息，或以处理敏感数据为核心活动，或属公告指定的公共机构。其他企业可自愿任命。
可以把数据传给境外母公司或云服务吗？
可以，但须符合第28–29条，例如目的地具有公告认可的充分保护标准、集团内部数据保护政策已经审核，或依委员会公告采取标准合同条款等适当保障措施。
违规有哪些后果？
包括民事责任（法院可另判不超过实际损失两倍的惩罚性赔偿）、部分情形下的刑事责任，以及依第90条最高500万泰铢的行政罚款，视违规类型而定。
相关服务
参考来源
来源核对日期：2026年10月30日。我们的服务费按工作范围单独报价。