皆さま、こんにちは。
東京コンサルティングファームタイ法人の植村です。
以前、タイ国個人情報保護法（Personal Data Protection Act “PDPA”）について、本ブログでも取り上げました。
新型コロナウィルスの感染拡大による緊急対策等で、個人情報保護に関する社内整備には手が回っていない企業様もいらっしゃると思います。
現在も、PDPAの細則については、政府から発表は出ておらず、実際に運用が開始されるのか、延期されるのか、不明な状況が続いておりますが、本ブログで、PDPAの大枠を一緒に把握していきましょう。
個人情報の適用範囲については、以下の通りとなります。
- タイ国内にいる情報管理者・情報処理者が、個⼈情報の収集・使⽤、開⽰を行う場合
- タイ国外にいる情報管理者・情報処理者が、以下の⾏為をする場合
2-1. タイ所在者にサービスや商品を提供する場合（⽀払の有無を問わない）
2-2. タイ国内における⾏動の監視を⾏う場合（例：ターゲティング広告）
なお、個⼈的利益や家族の活動のみのための個⼈情報の収集である場合や、裁判所や司法担当官による司法⼿続き、法の執⾏の場合、国家の安全保障の責任を担う政府機関の活動等は、PDPAの適用外となります。
PDPA整備における、全体的な流れは以下の通りになります。
目次
①Privacy Notice/Policy
プライバシーノーティスやプライバシーポリシーとは、会社が個人情報保護に関する考え方や方針、利用目的等を明文化したものをいいます。サイト上へ、記載が必ず必要ではないですが、個人情報を収集する場合は、プライバシーノーティスの記載が必要になります。
②同意
同意については、前回のブログでもお伝えした通り、情報収集の目的や、収集対象となる情報、情報の保管期間、情報管理者の連絡先や、データ主体（＝情報提供者）の権利の記載が必要となります。
同意書のフォーマットについては、細則によって定められるとのことですが、現段階ではまだ細則は出ておりません。
③社内整備
データ主体から受け取った個人情報の管理方法については、今後細則が定められる予定です。
タイのPDPAは、EU加盟国及び欧州経済領域（EEA）の一部の個人データ保護のために制定された一般データ保護規則（General Data Protection Regulation “GDPR”）に強く影響されているため、GDPR第 32条にある安全管理措置の部分が反映される可能性も考えられます。
また、個⼈情報をタイ国外にいる第三者へ提供する場合、タイの個⼈情報保護委員会が定める「個⼈情報保護⽔準」を満たしている必要があります。
（※詳細については、今後の細則によって定められる予定です）
④対応
万が一、データ主体の個人情報が漏洩してしまった場合、漏洩の発覚から72時間以内に個人情報保護委員会へ通知する必要があります。
データ主体にも通知が必要となりますが、委員会への通知同様、基準については、今後細則が発表される予定となっています。
弊社でも個人情報保護法に関するアドバイザリーや、各種実務サポートを行っております。
お気軽にお問い合わせ下さいませ。
【 Wiki-Investment 】
～ 『海外投資の赤本シリーズ』、待望のデータベース化！ ～
海外進出の対応国数30か国！ ビジネスサポート企業数550社以上！！
新興国を中心に海外ビジネス情報（会計、税務、労務、基礎知識、設立、M&Aなど）をまとめたデータベース！
各国のビジネス基礎情報に加え、最新の法改正やアップデートについて、逐一更新しております！
以下、URLより無料会員登録（24時間お試し）も可能ですので、ぜひご覧ください！
URL：https://www.wiki-investment.jp
東京コンサルティングファーム タイ拠点
植村 寛子
※）記載しました内容は、作成時点で得られる情報をもとに、最新の注意を払って作成しておりますが、その内容の正確性及び安全性を保障するものではありません。該当情報に基づいて被ったいかなる損害についても情報提供者及び当社（株式会社東京コンサルティングファーム並びにTokyo Consulting Firm Co., Ltd.）は一切の責任を負うことはありませんのでご了承ください。
