关于 thailand-pdpa
面向处理泰国个人数据的控制者和处理者，整理泰国 PDPA 的合规要求与实践要点。涵盖处理依据、数据主体权利、跨境传输、DPO 职责及违规通报。
主要功能
- 01处理个人数据的合法依据
- 02敏感数据与同意要求
- 03DPO 任命及职责
- 04跨境传输条件
- 05数据主体权利与响应时限
- 06泄露通报和处罚规定
适用场景
- 01评估泰国个人数据处理活动
- 02制定同意收集与撤回流程
- 03规划跨境数据传输保障措施
- 04建立权利请求和泄露响应流程
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/thailand-pdpa确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
泰国 PDPA 合规
概述
泰国《个人数据保护法》B.E. 2562（PDPA）于 2019 年 5 月 27 日刊登于《皇家公报》，在原定于 2020 年生效的日期两度推迟后，于 2022 年 6 月 1 日全面生效。PDPA 适用于泰国境内数据控制者和数据处理者对个人数据的收集、使用和披露；如果相关活动以泰国境内的数据主体为对象，也具有域外适用效力（第 5 条）。
个人数据保护委员会（PDPC，คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล）是根据第 8 条设立的监管机构。个人数据保护委员会办公室（OPDPC）负责履行其日常秘书处职能。
处理的合法依据（第 24 条）
| 依据 | 条款 | 说明 |
|---|---|---|
| 同意 | 第 19 条 | 明确同意；须自愿、具体且知情；可采用书面或电子形式；可随时撤回 |
| 履行合同 | 第 24(3) 条 | 为履行数据主体作为一方当事人的合同所必需 |
| 重大利益 | 第 24(4) 条 | 为防止或制止对生命、身体或健康的危险所必需 |
| 公共任务 | 第 24(4) 条 | 为执行公共利益任务或行使官方职权所必需 |
| 合法利益 | 第 24(5) 条 | 控制者或第三方的合法利益，但须与数据主体的基本权利进行权衡 |
| 法定义务 | 第 24(6) 条 | 为遵守控制者所受约束的法律所必需 |
| 归档／研究 | 第 24(1) 条 | 为公共利益进行归档、研究或统计所必需，并采取适当的保障措施 |
敏感数据（第 26 条）
敏感数据类别包括：种族或族裔出身、政治观点、宗教或哲学信仰、犯罪记录、工会会员身份、遗传数据、生物识别数据、健康数据、残疾数据、性取向，以及 PDPC 规定的任何其他数据。
除以下情形外，处理敏感数据须取得明确同意：
- 为防止或制止对生命、身体或健康的危险所必需（第 26(1) 条）
- 与非营利组织就其成员开展的合法活动有关（第 26(2) 条）
- 数据主体已明显公开的个人数据（第 26(3) 条）
- 为提出法律主张所必需（第 26(4) 条）
- 为遵守劳动法所必需（第 26(5) 条）
同意框架
同意要求（第 19 条）
| 要求 | 说明 |
|---|---|
| 明确 | 必须通过明确声明或清晰表明同意的行为表示 |
| 自愿 | 在不必要时，不得将同意作为提供服务的条件；不得与条款和条件捆绑（第 19(4) 条） |
| 具体 | 每项处理目的分别取得同意；概括性同意无效 |
| 知情 | 充分披露处理目的、数据项目、接收方和保留期限 |
| 书面或电子形式 | 书面同意请求必须清楚、不具误导性且易于查阅 |
| 撤回 | 数据主体可随时撤回；撤回同意的操作必须与给予同意同样便利（第 19(5) 条） |
| 儿童 | 不满 10 岁：须取得父母／法定监护人同意；年满 10 岁：如能证明具备符合年龄的理解能力，可自行同意 |
Zenith Global Enterprises 的实施方式
| 处理活动 | 同意类型 | 机制 |
|---|---|---|
| 客户货运服务 | 履行合同（第 24(3) 条）——无需同意 | 不适用 |
| 营销通信 | 明确同意（第 19 条） | 使用泰语和英语的主动勾选框 |
| 员工健康数据处理 | 处理敏感数据须取得明确同意（第 26 条） | 入职时签署书面同意书 |
| 向欧盟总部跨境传输 | 明确同意并披露传输信息（第 28 条） | 专用跨境传输同意书 |
DPO 要求（第 41-42 条）
需要任命 DPO 的情形
《DPO 任命标准通知》（2022 年）规定，出现以下情形时必须任命 DPO：
- 数据控制者或处理者是公共机构（以司法身份行事的法院除外）
- 核心活动需要大规模、定期且系统地监控数据主体
- 核心活动包括大规模处理敏感数据或犯罪记录
DPO 职责（第 42 条）
| 职责 | 详情 |
|---|---|
| 提供合规建议 | 就 PDPA 合规义务向控制者／处理者提供建议 |
| 监督合规 | 监督对 PDPA 和内部政策的遵守情况 |
| 协调审计 | 配合 OPDPC；作为 OPDPC 的联络点 |
| 保密 | 对履行职责过程中接触到的个人数据保密 |
| 独立性 | 必须能够独立履行职责；不得因履行职责而被解雇 |
Zenith Global Enterprises 的 DPO
| 项目 | 详情 |
|---|---|
| DPO（泰国） | Siriporn Chaiyaporn，合规经理——曼谷办公室 |
| 联系方式 | [email protected] |
| 汇报关系 | 向首席隐私官汇报；可独立向董事会汇报 |
跨境传输（第 28 条）
传输条件
只有符合以下条件之一，个人数据才可传输至外国或国际组织：
| 条件 | 条款 | 详情 |
|---|---|---|
| 充分保护 | 第 28(1) 条 | 目的地具备由 PDPC 确定的充分个人数据保护标准 |
| 遵守集团规则 | 第 28(3) 条 | 在共同开展业务的企业集团内部传输，且已制定适当的数据保护政策，并经 OPDPC 检查和认证（相当于 BCR） |
| 合同所需 | 第 28(4)(a) 条 | 为履行与数据主体的合同所必需 |
| 同意 | 第 28(4)(b) 条 | 数据主体在获知保护标准不足后给予同意 |
| 重大利益 | 第 28(4)(c) 条 | 为防止或消除对生命、身体或健康的危险所必需 |
| 法律义务 | 第 28(4)(d) 条 | 出于重要公共利益所必需 |
| 法律请求 | 第 28(4)(e) 条 | 为提出、行使或抗辩法律请求所必需 |
| 适当保障措施 | 第 28(2) 条 | 已采取 PDPC 规定的适当保护措施 |
PDPC 的充分性认定
截至 2026 年 3 月，PDPC 尚未公布充分保护国家的正式名单。跨境传输主要依据同意、合同所需或适当保障措施。
数据主体权利（第 30–36 条）
| 权利 | 条款 | 响应期限 | 实施方式 |
|---|---|---|---|
| 访问权 | 第 30 条 | 30 天内 | 泰语和英语隐私门户 |
| 数据可携权 | 第 31 条 | 30 天内 | 结构化格式（JSON/CSV） |
| 反对权 | 第 32 条 | 不得无理延迟 | 客户门户中的反对机制 |
| 删除权 | 第 33 条 | 不得无理延迟 | 自动删除并检查法律保留要求 |
| 限制处理权 | 第 34 条 | 不得无理延迟 | 处理标记系统 |
| 更正权 | 第 35 条 | 不得无理延迟 | 通过门户自助更正 |
| 撤回同意权 | 第 19(5) 条 | 不得无理延迟 | 一键撤回机制 |
数据泄露通知（第 37(4) 条）
| 项目 | 要求 |
|---|---|
| 通知 OPDPC | 自知悉泄露事件起 72 小时内 |
| 通知数据主体 | 如果泄露事件可能影响其权利和自由，应立即通知 |
| 内容 | 泄露事件性质、DPO 联系方式、可能后果、补救措施 |
| 跨境情形 | 即使泄露事件发生在泰国境外，只要影响泰国数据主体，也须通知 OPDPC |
执法（第 90—91 条）
行政罚款
- 每项违规最高 500 万泰铢（约合 140,000 美元）
刑事处罚
- 对某些违规行为，可处最高 1 年监禁和／或最高 100 万泰铢罚款（第 90 条）
- 适用于对违规行为负有责任的自然人
惩罚性赔偿
- 法院可判处最高为实际损失两倍的惩罚性赔偿（第 78 条）
PDPC 的重要行动
- 自 2022 年以来，PDPC 已发布多份合规指导文件
- 执法重点最初是教育和合规指导，自 2024 年起逐步转向正式执法
- 已发布以下领域的行业指导：金融服务、电信、医疗保健、电子商务
合规计划
| 组成部分 | 详情 |
|---|---|
| DPO | Siriporn Chaiyaporn，曼谷办公室 |
| 隐私声明 | 发布于 zenithglobal.co.th/privacy，提供泰语和英语版本 |
| 同意管理 | 支持泰语的平台；针对每种用途分别征求同意 |
| ROPA | 按照第 39 条维护处理活动登记册 |
| 泄露通知 | 向 OPDPC 报告的 72 小时工作流；数据主体通知程序 |
| 跨境保障措施 | 基于同意并进行披露的传输；向总部传输时适用集团内部政策 |
| 员工培训 | 面向所有泰国员工的年度 PDPA 培训 |
| 数据主体权利 | 通过隐私门户在 30 天内响应的工作流 |
评论
支持 Markdown