【タイ進出・M&A】タイのデータ保護法（PDPA）とは？

皆さん、こんにちは。東京コンサルティングファーム　タイ拠点の片山です！タイへ赴任してから、現地企業との打ち合わせやM&A案件について学ぶ中で、近年特に重要性が高まっていると感じた制度の一つが「PDPA（Personal Data Protection Act）」です。

近年のM&Aでは、財務や税務だけではなく、顧客情報や従業員情報などの個人情報も重要な調査対象となっています。一方で、個人情報の取り扱いを誤ると、買収前後を問わず法令違反となるリスクがあるため、慎重な対応が求められます。

タイでは2022年6月にPDPAが全面施行され、その後も越境データ移転等に関する下位規定が順次発表される中、多くの日系企業で対応が進められています。しかし、日本の個人情報保護法と似ている部分も多い一方で、運用方法や実務上の注意点には違いがあります。

今回は、タイのデータ保護法（PDPA）の概要と、クロスボーダーM&Aで注意すべき個人情報管理について整理していきます。

タイのデータ保護法（PDPA）とは？

PDPAとは、タイにおける個人情報保護法であり、個人情報の取得・利用・保管・第三者提供などに関するルールを定めた法律です。

日本の個人情報保護法やEUのGDPRを参考に制定され、当初は施行が延期されていましたが、2022年6月1日から全面施行されました。現在では、タイ国内で事業を行う企業だけでなく、タイ国内の個人情報を取り扱う外国企業にも影響するケースがあります。

また、監督機関はPersonal Data Protection Committee（PDPC）であり、PDPA違反があった場合には行政措置や罰則の対象となる可能性があります。

日本の個人情報保護法との違い

PDPAは日本の個人情報保護法と共通点が多い一方で、実務上はいくつか重要な違いがあります。例えば、

• 本人への通知義務
• 利用目的の明確化
• 同意取得が必要となる場面
• 海外への個人情報移転

などについて、それぞれ異なるルールが採用されています。

特に、日本本社へ従業員情報や顧客情報を共有する場合には、PDPA上の越境移転に関するルールを確認する必要があります。日本では問題ない運用であっても、タイでは追加対応が必要となるケースもあるため注意が必要です。

なぜM&AでPDPAが重要なのか？

M&Aでは、企業価値を評価するために多くの個人情報へアクセスするため、PDPAへの対応状況が重要な調査項目となります。例えばDDでは、

• 顧客情報
• 従業員情報
• 給与データ
• 人事評価資料
• 契約書

などを確認します。これらには個人情報が含まれているケースが多く、必要以上の情報を開示するとPDPA違反となる可能性があります。

近年では、個人情報保護体制そのものが企業価値の一部として評価されるケースも増えており、PDPAへの対応状況が買収価格や契約条件へ影響することもあります。

DD（デューデリジェンス）で確認したいポイント

DDでは、対象会社がPDPAへ適切に対応しているかを確認することが重要です。例えば、

• プライバシーポリシーを整備しているか
• 従業員から適切な同意を取得しているか
• 顧客情報の管理方法が整備されているか
• 情報漏えい時の対応フローがあるか
• 外部委託先との契約が適切か

などを確認します。

また、DD資料を買手へ提出する際には、

• 氏名をイニシャルへ変更する
• 住所や電話番号をマスキングする
• 個人が特定できないよう匿名化する

などの対応を行い、必要最小限の情報で調査を進めることが一般的です。

PMI（買収後統合）で注意したいポイント

PDPAへの対応は買収前だけではなく、PMIにおいても重要なテーマとなります。PMIでは、

• 人事システムの統合
• ERPの統合
• 顧客データベースの統合
• グループ会社間での情報共有
• 日本本社へのデータ移転

などを行うケースがあります。

しかし、システム統合を優先するあまり、個人情報の利用目的や管理ルールを十分に確認しないままデータを移行すると、PDPA違反となる可能性があります。

そのため、PMIではIT部門だけでなく、法務・人事・情報システム部門が連携し、利用目的や社内ルールを整理したうえで統合作業を進めることが重要です。

タイPDPA違反によるリスクと具体的な罰則内容

PDPAに違反した場合、企業は行政上・民事上・刑事上の責任を問われる可能性があります。例えば、

• 本人の同意なく個人情報を第三者へ提供した
• 安全管理措置が不十分で情報漏えいが発生した
• 本人からの開示請求や削除請求へ適切に対応しなかった

といったケースでは、PDPC（Personal Data Protection Committee）から是正命令などの行政措置を受ける可能性があります。

また、違反内容によっては、最高500万バーツの行政罰や、最高1年の禁錮刑を含む刑事罰、さらに民事上の損害賠償の対象となる場合もあります。

近年では、企業に対して情報セキュリティや個人情報保護への社会的要請が高まっており、PDPAへの対応状況は企業のコンプライアンス体制を評価する重要な指標となっています。

日系企業で実務上論点になりやすいポイント

PDPAへの対応は、法令遵守だけでなく、M&Aの成功にも影響する重要な実務課題です。例えば、DDで個人情報管理体制の不備が判明した場合、

• 表明保証条項の追加
• 補償条項（Indemnity）の追加
• 買収価格の調整

などが協議されるケースがあります。

また、買収後にグループ全体で情報システムを統合する際も、タイ法人独自のPDPA対応が必要になることがあります。

財務や税務だけではなく、個人情報保護の観点も含めて企業価値を評価することが、近年のクロスボーダーM&Aでは重要になっています。

【FAQ】PDPAでよくある質問

実務上のチェックポイント3選

① DDでは個人情報をそのまま共有していないか

M&Aのデューデリジェンスでは、顧客リストや従業員名簿などを買手へ提出する場面があります。しかし、氏名や住所、電話番号など個人を特定できる情報をそのまま共有すると、PDPA違反となる可能性があります。

実務では、氏名をイニシャルへ変更したり、住所や電話番号をマスキングしたりするなど、必要最小限の情報に加工して開示することが一般的です。

② 日本本社へのデータ移転ルールを確認しているか

PMIでは、日本本社とタイ法人との間で、

• 人事情報
• 顧客情報
• 取引先情報

などを共有するケースがあります。その際には、PDPAに基づく越境移転のルールや利用目的を確認したうえで情報を取り扱うことが重要です。

システム統合だけを優先するのではなく、法務・人事・IT部門が連携して管理体制を整備することが求められます。

③ PDPA対応を企業価値として評価しているか

近年では、

• 情報セキュリティ
• サイバーリスク
• 個人情報保護体制

も企業価値を評価する重要な項目となっています。PDPAへの対応が不十分であることが判明した場合には、表明保証条項の追加、補償条項の追加、買収価格の見直しなどにつながるケースもあります。

そのため、PDPA対応は法務部門だけでなく、経営上の重要課題として取り組むことが大切です。

まとめ

タイのPDPAは、個人情報保護を目的として2022年に全面施行された重要な法律です。近年では、M&AにおけるDDやPMIでもPDPAへの対応が重要視されており、個人情報管理体制そのものが企業価値の評価対象となるケースも増えています。

また、DDでは個人情報の匿名化やマスキング、PMIではデータ統合時の管理体制整備など、日本とタイ双方の法令を踏まえた対応が求められます。

私自身、現在はM&A事業部　兼　タイ拠点として業務に携わっていますが、タイ進出やクロスボーダーM&Aでは、財務・税務だけでなく、法務や個人情報保護も重要な論点であることを日々実感しています。

今後も、タイで事業を展開する企業の皆様に役立つ情報を、実務の視点から発信していきたいと思います。

以上、お読みいただきありがとうございました！

東京コンサルティングファームのサポート

東京コンサルティングファームでは、タイ進出やクロスボーダーM&Aを検討する日系企業向けに、会社設立支援、会計・税務・法務支援、M&Aアドバイザリー業務を提供しています。

M&Aでは、財務・税務だけではなく、PDPAを含めた法務デューデリジェンスやPMI支援も重要なテーマとなります。当社では、タイ現地法人の設立からクロスボーダーM&A、買収後の統合支援まで、現地実務を踏まえたトータルサポートを行っています。

タイの法令に準拠したクロスボーダーM&Aや現地法人運営についてご相談がございましたら、当社ホームページの【お問い合わせフォーム】よりお気軽にご相談ください。

株式会社東京コンサルティングファーム　M&A事業部兼 タイ拠点
片山