thailand-pdpa

タイのPDPAコンプライアンス

概要

タイの個人情報保護法 B.E. 2562（PDPA）は、2019年5月27日に官報で公布され、当初の2020年の施行予定日から2度延期された後、2022年6月1日に全面施行されました。PDPAは、タイ国内のデータ管理者およびデータ処理者による個人データの収集、利用、開示に適用されます。また、タイ国内のデータ主体を対象とする活動については、域外にも適用されます（第5条）。

個人情報保護委員会（PDPC、คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล）は、第8条に基づいて設置された監督機関です。個人情報保護委員会事務局（OPDPC）は、運営事務局として機能します。

処理の適法な根拠（第24条）

根拠	条項	詳細
同意	第19条	明示的な同意。自由意思に基づき、特定され、十分な情報が提供されていること。書面または電子的方法で取得し、いつでも撤回可能
契約の履行	第24条（3）	データ主体が当事者である契約の履行に必要
生命・身体・健康に関わる重大な利益	第24条（4）	生命、身体、または健康への危険を防止または抑止するために必要
公共の任務	第24条（4）	公共の利益に関わる任務、または公的権限の行使に必要
正当な利益	第24条（5）	データ主体の基本的権利との均衡を考慮した、管理者または第三者の正当な利益
法的義務	第24条（6）	管理者が従うべき法律の遵守
保存・研究	第24条（1）	適切な保護措置のもとで、公共の利益に資する保存、研究、または統計のために必要

要配慮データ（第26条）

要配慮データのカテゴリ：人種または民族的出自、政治的見解、宗教的または哲学的信条、犯罪歴、労働組合への加入、遺伝データ、生体データ、健康データ、障害に関するデータ、性的指向、およびPDPCが定めるその他のデータ。

以下の場合を除き、処理には明示的な同意が必要です。

• 生命、身体、または健康への危険を防止または抑止するために必要な場合（第26条（1））
• 非営利団体の構成員に関する適法な活動に関連する場合（第26条（2））
• データ主体が明らかに公開した個人データである場合（第26条（3））
• 法的請求に必要な場合（第26条（4））
• 雇用法の遵守に必要な場合（第26条（5））

同意の枠組み

同意要件（第19条）

要件	詳細
明示的	明確に同意を示す意思表示または行為でなければなりません
自由意思に基づく	不要な場合にサービス提供の条件としてはなりません。利用規約との一括同意も認められません（第19条（4））
特定されている	目的ごとに同意を取得します。包括的な同意は無効です
十分な情報が提供されている	目的、データ項目、受領者、保存期間をすべて開示します
書面または電子的方法	同意の書面による依頼は、明確で、誤解を招かず、容易にアクセスできるものでなければなりません
撤回	データ主体はいつでも同意を撤回できます。撤回は同意と同じくらい容易でなければなりません（第19条（5））
子ども	10歳未満：親または法定後見人の同意が必要です。10歳以上：年齢に応じた理解力が認められる場合は、本人が同意できます

Zenith Global Enterprises における実施

処理活動	同意の種類	方法
顧客向け貨物輸送サービス	契約の履行（第24条（3））— 同意不要	N/A
マーケティングに関する連絡	明示的な同意（第19条）	タイ語と英語のオプトインチェックボックス
従業員の健康データの処理	要配慮データに関する明示的な同意（第26条）	入社時の書面による同意書
EU本社への越境移転	移転に関する開示を伴う明示的な同意（第28条）	専用の移転同意書

DPOの要件（第41〜42条）

DPO の選任が必要な場合

DPO の選任基準に関する PDPC 通知（2022 年）では、次の場合に DPO の選任が義務付けられています。

• データ管理者または処理者が公的機関である場合（司法機関としての裁判所を除く）
• 中核的な活動として、大規模なデータ主体の定期的かつ体系的な監視が必要な場合
• 中核的な活動が、大規模な機微データまたは犯罪歴の処理である場合

DPO の責任（第 42 条）

責任	詳細
コンプライアンスに関する助言	管理者／処理者に PDPA のコンプライアンス義務について助言します
コンプライアンスの監視	PDPA および内部ポリシーの遵守状況を監視します
監査の調整	OPDPC に協力し、OPDPC の連絡窓口を務めます
機密保持	職務の遂行中にアクセスした個人データの機密性を維持します
独立性	職務を独立して遂行できなければならず、職務の遂行を理由に解雇されることはありません

Zenith Global Enterprises の DPO

項目	詳細
DPO（タイ）	Siriporn Chaiyaporn、コンプライアンスマネージャー — バンコクオフィス
連絡先	[email protected]
報告先	Chief Privacy Officer に報告し、取締役会への独立した報告経路を持ちます

国境を越える移転（第 28 条）

移転の条件

個人データは、次の条件を満たす場合に限り、外国または国際機関に移転できます。

条件	条項	詳細
適切な保護	第 28 条（1）	移転先が PDPC の定める個人データ保護基準を満たしていること
グループ規則への準拠	第 28 条（3）	共同で事業を行う企業グループ内での移転であり、適切なデータ保護ポリシーが OPDPC の審査および認証を受けていること（BCR 相当）
契約上の必要性	第 28 条（4）（a）	データ主体との契約を履行するために必要であること
同意	第 28 条（4）（b）	保護基準が不十分であることについて説明を受けた後の、データ主体の同意があること
重大な利益	第 28 条（4）（c）	生命、身体または健康に対する危険を防止または抑止するために必要であること
法的義務	第 28 条（4）（d）	公共の利益に関する重要な理由により必要であること
法的請求	第 28 条（4）（e）	法的請求の確立、行使または防御に必要であること
適切な保護措置	第 28 条（2）	PDPC が定める適切な保護措置が講じられていること

PDPC による十分性の判断

2026 年 3 月現在、PDPC は十分な保護が確保されている国の正式なリストを公表していません。移転は主に、同意、契約上の必要性、または適切な保護措置に基づいて行われます。

データ主体の権利（第 30～36 条）

権利	条項	対応期限	実施方法
アクセス権	第 30 条	30 日以内	タイ語および英語のプライバシーポータル
データポータビリティ権	第 31 条	30 日以内	構造化形式（JSON/CSV）
異議を申し立てる権利	第 32 条	不合理な遅延なく	顧客ポータルの異議申立て機能
消去権	第 33 条	不合理な遅延なく	法的保全の確認を伴う自動削除
処理の制限を求める権利	第 34 条	不合理な遅延なく	処理のフラグ付けシステム
訂正権	第 35 条	不合理な遅延なく	ポータルでのセルフサービスによる訂正
同意を撤回する権利	第 19 条（5）	不合理な遅延なく	ワンクリックでの撤回機能

漏えい通知（第 37 条（4））

項目	要件
OPDPC への通知	漏えいを認識してから 72 時間以内
データ主体への通知	漏えいが権利および自由に影響を及ぼす可能性がある場合、遅滞なく通知
内容	漏えいの性質、DPO の連絡先、想定される影響、是正措置
国境を越える漏えい	タイのデータ主体が影響を受ける場合、漏えいがタイ国外で発生していても OPDPC に通知

執行（第90～91条）

行政罰金

• 違反1件につき最大500万THB（約14万USD）

刑事罰

• 特定の違反について、最長1年の懲役および／または最大100万THBの罰金（第90条）
• 違反に責任を負う自然人に適用されます

懲罰的損害賠償

• 裁判所は、実損害額の最大2倍の懲罰的損害賠償を命じることができます（第78条）

PDPCによる主な措置

• PDPCは2022年以降、複数のコンプライアンスガイダンス文書を発行しています
• 当初は教育とコンプライアンスガイダンスを重視していましたが、2024年から正式な執行へと移行しています
• 金融サービス、通信、ヘルスケア、Eコマースを対象とする分野別ガイダンスが公開されています

コンプライアンスプログラム

項目	詳細
DPO	バンコクオフィスのSiriporn Chaiyaporn
プライバシー通知	zenithglobal.co.th/privacy でタイ語および英語にて公開
同意管理	タイ語に対応したプラットフォーム。目的ごとに個別の同意を取得
ROPA	第39条に基づく処理活動記録を維持
漏えい通知	OPDPCへの72時間以内の通知ワークフロー、およびデータ主体への通知手順
越境移転の保護措置	開示を伴う同意に基づく移転。本社への移転にはグループ内ポリシーを適用
従業員研修	タイ国内の全従業員を対象に毎年PDPA研修を実施
データ主体の権利	プライバシーポータルを通じた30日以内の対応ワークフロー