2023年12月25日、タイの個人データ保護委員会 (PDPC: Personal Data Protection Committee) は、2019年個人データ保護法 (PDPA: Personal Data Protection Act) の第28条および第29条に基づき、個人データの越境移転に関する重要な側面と基準について言及した二つの通知を発行した。これらの通知は2024年3月24日に施行される予定である。 通知の要点は以下の通りである。 適切なデータ保護基準 (第28条) PDPAによって別段の定めがない限り、移転された個人データを受け取る移転先の国または国際機関は、以下の要因によって決定される 「適切なデータ保護基準」 を有していなければならない。 法的措置と仕組み：移転先の国または国際機関は、タイの個人データ保護法に沿った法的措置または仕組みを有していなければならない。具体的には、データ管理者の義務には、適切なセキュリティ措置の提供、適切でデータ主体の権利の行使を可能にする個人データ保護措置の実施、効果的な法的救済措置の確立が含まれる必要がある。 規制当局：個人データ保護に関する法令を執行する義務と権限を委任された機関または組織の存在も重要な要素である。 さらに、この通知により、PDPC事務局(Office of the Personal Data Protection Committee)は、独自に特定された、またはデータ管理者によって提出された事件を、PDPCに付託して裁定を求める権限を与えることになる。PDPCは、事件ごとに決定を下したり、適切なデータ保護基準を有していると考えられる相手国または国際機関のリストを作成したりする裁量権を有することになる。 拘束力のある企業規則と適切な保護措置 (第29条) グローバルなデータ交換の分野では、個人データの安全かつ準拠した転送を可能にする主要なメカニズムとして、次の2つが存在する。 拘束力のある企業規則 (BCR: Binding Corporate Rules) ：BCRの実施には、事業を共同で運営するために、関連事業間または同一企業グループ内で転送される個人データを保護するための承認されたポリシーの実施が含まれる。 適切な保護措置：適切な保護措置は、個人データを保護するだけでなく、データ主体の権利を行使し、効果的な法的救済措置を含めることも可能である。これらの保護措置は、標準的な契約条項など、さまざまな形式をとることができる。 データの越境移転のための効果的なメカニズムと見なされるためには、BCRと適切な保護措置の両方が次のことを行う必要がある。 個人データ保護法を遵守し、職員、従業員、スタッフ、個人データのその他の送信者/譲渡者および受信者にに関連するその他の者を拘束しながら、法人、自然人、データ処理者、送信者/譲渡者、個人データの受信者を含むすべての関係者に対して法的有効性と法的強制力を維持すること； 外国に送信または移転された個人データに関する個人データ保護、データ主体の権利、および苦情の申し立てを認識すること;および 個人データ保護法の下で制定された一連の下位規則に記述されているような、個人データ保護法および法律で規定された最低基準を遵守する個人データ保護対策とセキュリティ対策を提供すること「参考First Set of Subordinate Regulations Enacted for Thailand’s PDPA – Tilleke & Gibbins」 適切なデータ保護基準に関する決定がない場合、またはBCRが存在しない場合、適切な保護措置が実施されていれば、個人データの越境移転は許容される。この実施は、以下のいずれかの形式をとることができる。 標準契約条項 (SCC: Standard contractual clauses)、特にデータの越境移転の文脈において、法的合意を確立するための基本的な枠組みとして機能する標準契約条項 この点に関して、タイは現在、タイモデルと海外モデルという2つの異なるSCCモデルを受け入れている。それぞれのモデルの具体的な規定と適用 (必要に応じてどちらを採用してもよい) を以下の表に要約する。 PDPCによって決定される承認された基準に従った適切な保護措置の実施の証明 これには、通知に規定された個人データ保護の内容が含まれていなければならない。 タイの国家機関と、相互に個人データを移転する外国の国家機関との間で法的拘束力と執行力を持つ法令または協定 国境を越えた個人データの移転に関するタイの要件、またはPDPAの遵守に関するあらゆる側面の詳細については、Athistha (Nop) Chitranukroh ([email protected]) 、Nopparat Lalitkomon ([email protected]) 、Gvavalin Mahakunkitchareon ([email protected]) 、Thammapas Chanpanich ([email protected]) 、Punyavee Koaysomboon ([email protected]) までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Unveils Regulations for Cross-Border Personal Data Transfer

タイの個人情報保護委員会（PDPC）は、データ管理者がデータ主体の同意を得て必要な情報をデータ主体に通知する際に従うべき個別のガイドラインを発表した（個人データの収集、使用、又は開示に関するもの）。同ガイドラインに従うことで、データ管理者は個人情報保護法 B.E.2562（2019）（PDPA）に違反するリスクを軽減できる。 「個人情報保護法に基づくデータ主体からの同意の取得に関するガイドライン」及び「個人情報保護法に基づくデータ主体からの個人情報収集時における目的及び内容の通知に関するガイドライン」が2022年9月7日に公表された。   同意ガイドライン PDPCの同意取得に関するガイドラインには、同意が有効とみなされるための要件が記載されている。これらの要件には、同意依頼のタイミング、同意依頼に含める必要がある要素、及び同意依頼の性質に関する規定が含まれる。 例えば、同意は、個人データの取得前又は取得時に得なければならず、データ主体は、とりわけ、個人データの取扱いの目的及び詳細の両方について知らされなければならない。そして、データ主体が同意を与える際には、データ主体の明確で肯定的な行為が存在しなければならない。 未成年者からの同意の取得は、より厳格な要件の対象となり、データ管理者は、未成年者に関する個人情報を収集する際に、適切な本人確認及び年齢確認措置を実施する必要がある。このガイドラインでは、未成年者の年齢に応じて、10歳から20歳までと10歳未満に分けて、二種類の要件を定めている。大まかに言って、10歳から20歳までは、すべての状況において親の同意が必要とされるわけではないが、10歳未満は、親が代理して同意することが必要となる。 無能力者又は無能力者に準じる者は、必ず法定後見人の同意が必要となる。   通知ガイドライン 個人データを収集する際のデータ主体への通知に関するガイドラインは、公平性と利用目的の制限という2つの重要な原則を定めている。 公平性の原則のためには、データ管理者が明確かつ理解しやすい文言及び用語を使用すること、収集の前又は収集時にデータ処理に関する適切な目的、結果及びその他の関連情報を個人情報主体に通知することが必要である。本通知ガイドラインはさらに、データ管理者が個人データを取り扱う際に依拠する法的根拠、及び個人データの国境を越えた移転に関する詳細を通知に含めるべきであることを明確にしている。 利用目的を限定するという原則のためには、一般にプライバシーポリシーと呼ばれる通知が、明確、具体的で、合法的であることが必要である。 本ガイドラインは、プライバシーポリシーの形式に関してはフレキシブルである。プライバシーポリシーの提供は、書面でも口頭でもよく、提供手段は、様々な物理的手段、電気通信手段又は電子的手段でもよい。プライバシーポリシーへのアクセスにリンクを用いることも許容される。 データ主体自身以外の情報源から個人情報を収集する場合、データ保護に対するインパクトの評価を行うべきである。特に、データ主体が個人情報の収集について認識していない場合、若しくはデータ主体が同意しなかった場合、又はデータ管理者が大量の個人データを処理する際に新技術を使用する場合は、その評価を行うべきである。   同意依頼書及びプライバシーポリシー データ管理者が各分野の規制当局（例:タイ中央銀行、証券取引委員会事務局、保険委員会事務局など）の下で特定の法律の適用を受ける場合、そのデータ管理者は、その法律で規定されている標準フォームを採用しなければならない。規定された標準フォームがない場合、データ管理者は、PDPCガイドラインの規定を遵守する際に、業界団体が推奨する標準フォームを使用することができる。   Tilleke & GibbinsのPDPAチームによる本ガイドラインに関する詳細情報、又はPDPA要件への準拠については、以下の執筆者までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Issues Guidelines on PDPA Consent and Notification Requirements

2022年7月、タイ内閣は、個人情報保護法 B.E.2562（PDPA）の一部につき一定の企業や団体への適用を免除する勅令をおおむね承認した。 勅令案は、一定の事業者及び活動をPDPAの以下の部分の要件から免除することを提案している。 第2章 個人情報の保護―個人情報の要件の同意、通知、国境を越えた移転等。 第3章 データ主体の権利―データ主体の権利に関する要件及び基準。 第5章 申立て―個人情報保護委員会事務局に対する請求申立てに関する要件。 第6章 民事責任―データ管理者又はデータ処理者の民事責任に関する条件。 第７章 罰則―行政罰及び刑事罰。 提案された適用除外の規定は、以下の3つの主要なカテゴリーの事業者や活動に適用される予定である。   以下の目的のために、特定の法律に従って政府の要請に応じて行動するデータ管理者 国家の安全と公共の安全。 適用除外となる活動には、国家安全保障、機密情報、国家安全保障に関連する情報の保護を目的とした活動や、財政・経済安全保障、公共安全保障の維持を目的とした活動が含まれる。また、資金洗浄、麻薬違法取引、国境を越える脅威とテロ、国境を越える犯罪、人身売買などの特定の犯罪活動の防止と抑制する活動も除外される。また、汚職防止やサイバーセキュリティ対策を強化する活動、公衆衛生、伝染病予防のための衛生、並びに公衆の生命、健康及び財産の保護に関連する活動も除外される。 課税。 適用除外となる活動には、法律に基づく税の徴収に関連する活動で、歳入局（Revenue Department）、関税局（Customs Department）、物品税局（Excise Department）が行う活動が含まれる。これはまた、租税又は関税の執行に関する行為、及び社会保障、義務の履行又は国際協力に関する行為にも及ぶ。 リスク軽減、モニタリング、及び監視。 適用除外となる活動には、国家安全保障への脅威によって引き起こされる損害を軽減するための措置を提供し、監視する活動が含まれる。このカテゴリーの行為は、監督官庁や政府機関が、公共の災害又は公衆に影響を及ぼすおそれのある脅威を予防するための法律に従い、実施するものである。 本勅令案や他の進展などPDPAに関連するご相談については、その他に関する件については、下記の執筆者にご連絡ください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thai Cabinet Approves Draft PDPA Exemptions for Specific Activities

タイの個人情報保護法（2019）（Personal Data Protection Act B.E. 2562、「PDPA」）は、2022年6月1日に全面施行され、効力を生じました。PDPAが円滑かつ効率的に実施されるように、個人情報保護委員会（PDPC）は、さまざまな下位規則を発令することになっています。2022年6月20日、はじめて下位規則の一部が発令され、政府官報に掲載されました。デジタル経済社会省（MDES）によると、別の下位規則の一部が2022年6月末までに発令される予定です1。 発令された下位規則は、次の4つです。   1) 小規模事業者がデータ管理者の場合のデータ取扱い記録（ROPA）義務免除に関する通知 (Notification of PDPC Re: Exemption to the Record of Processing Activities Requirement for Data Controllers that Are Small Businesses B.E.2565 (2022)) (「ROPA免除通知」) PDPAの下では、データ管理者は、収集された個人データ、個人データの取扱いの目的、保存期間等を含む、 39条に規定されたデータ取扱い記録（ROPA）を作成し、保持する義務を負います。しかし、データ管理者が、以下の小規模事業者に該当する場合、上記ROPA免除通知に基づき、この記録作成・保持義務を免除されます。但し、データ主体からの（i）データへのアクセス権、(ii）データポータビリティ権、(iii) 異議を述べる権利（iv）訂正する権利の行使のリクエストを拒絶した場合の記録義務は免除されません。 中小企業等の振興に関する法律に基づく中小企業等であって、次に掲げるもの 社会的企業促進法（Social Enterprise Promotion Law）に基づく社会的企業 協同組合法に基づく協同組合、農業団体 財団、協会、宗教団体、非営利団体 家内工業またはこれと同種の事業 インターネットカフェのサービスプロバイダー。 この免除は、コンピューター犯罪に関連する法律によりコンピュータトラフィックデータを保持することが義務付けられている場合、個人の権利及び自由に影響を及ぼすおそれのある個人データに関係する場合、センシティブデータを取り扱う場合、データ管理者が定期的に個人データを処理する場合などには適用されません。 このROPA免除通知は、2022年6月21日に施行されました。   2) データ処理者によるデータ取扱い記録の作成及び保持に関する規則及び手続に関する通知 (Notification of the PDPC Re: Rules and Procedures for the Preparation and Maintenance of the Record of Processing Activities by the Data Processor B.E. 2565 (2022)) (「データ処理者通知」)) PDPAは、データ処理者に対して、データ取扱い記録（ROPA）を作成及び保持する義務を課しています。上記データ処理者通知によれば、データ処理者は、ROPAにつき少なくとも次の情報を含めなければなりません。 データ処理者の情報 データ処理者のタイ国内代理人に関する情報（該当する場合） データプロテクションオフィサーの連絡先などの情報（該当する場合） データ処理者がその代理として又はその指示に従って行動するデータ管理者及びデータ管理者のタイ国内代理人（該当する場合）に関する情報 データ処理者がデータ管理者の代理として又はデータ管理者の指示に従って収集、使用又は開示する個人データの種類又は特徴、収集、使用又は開示の目的 個人データがタイ国外に移転される場合、個人データを受領する個人又は事業者のカテゴリー データ処理者によって実装されるセキュリティ対策の説明 データ取扱い記録（ROPA）は、書面又は電子的な様式で保持されなければならず、PDPCの事務局、データ管理者又は指定された者が要請した場合には、容易にアクセスでき、かつ、速やかに閲覧が可能でなければなりません。 データ処理者通知は、官報で公表された日から180日後、すなわち2022年12月17日に発効します。したがって、データ処理者にとっては、このROPA要件に準拠するための猶予期間があります   3) データ管理者のセキュリティ対策に関する通知 (Notification of the PDPC Re: Security Measures of the Data Controller B.E.2565 (2022)) (「セキュリティ対策通知」) セキュリティ対策通知に規定されている最低限必要とされるセキュリティ基準は、2022年5月31日をもって失効したセキュリティ対策に係るMDES（デジタル経済社会省）の前回の告示（以下、MDES告示）に概ね沿ったものです。したがって、MDES告示への準拠の準備を行っていた場合は、2022年6月21日に発効した本セキュリティ対策通知に準拠することは容易です。 セキュリティ対策通知で要求される主な要件は次のとおりです。 データ管理者は、いかなる形式であれ、個人データにセキュリティ対策が適用されることを確実にしなければならない。 データ管理者は、セキュリティ対策として、適切な組織的対策及び技術的対策を行わなければならない。また、データ侵害が起こるリスクのレベルおよびデータ侵害が起こった場合の結果により、必要に応じて、物理的対策も行わなければならない場合もある。 セキュリティ対策を準備する際、データ管理者は、重要な情報に対するリスクの特定、重要なリスクの発生の防止、データ侵害の発生やそのおそれについての監視、それらへの対応、リスクの取扱い及びデータ侵害の回復を、リスクのレベルに応じて適切に考慮しなければならない。 データ管理者は、技術的要因、事情、状況及び類似の業種で受け入れられている基準を考慮して、リスクのレベルに応じて適切に個人データの機密性、完全性及び利用可能性を維持しなければならない。 電子化された個人データのセキュリティ対策は、リスクのレベルに応じて適切に、サーバ、クライアント、ストレージシステム及びデバイス、ソフトウェア等の情報システムの構成要素をカバーするものでなければならない。 個人データのアクセス、使用、変更、修正、削除、又は開示に関するセキュリティ対策については、MDES告示の要件―例えば、アクセス制御、ユーザーアクセス管理、ユーザーの責任、オーディット・トレール等―について実質的に同様である。しかし、セキュリティ対策通知では、さらなる要件が課されている。 上記とは別に、セキュリティ対策通知では、データ管理者が以下を行うことも要求しています。（i）データ管理者の職員及び利用者に対しプライバシー及びセキュリティについての意識を高めること。（ii）必要に応じ、または技術の変更があった場合、データ侵害が発生した場合に、セキュリティ対策を見直すこと。（iii）データ処理者の行うセキュリティ対策に関する要件を設定すること。   4）専門委員会による行政罰の適用の検討についての規則に関する通知 (Notification of PDPC Re: Rules for the Consideration of the Imposition of Administrative Penalties by the Expert Committee B.E. 2565 (2022))（「行政処分通知」） PDPAの下で任命される専門家委員会は、違反者に罰金を科すだけでなく、行政処分の執行（押収、没収、競売による売買を含む）に関する命令を出す権限も与えられています。 2022年6月21日に施行された行政処分通知の要点は以下のとおりです。 専門家委員会は、制裁金又は行政処分を決定するに当たっては、故意又は重過失の有無、犯罪の重大性の程度、事業の規模、行政処分を行った場合にデータ主体が受ける利益、損害の額、犯罪時の責任の程度及び基準等の一定の要素を考慮する。また、専門家委員会は、違反者に対し、または違反者が法人である場合はその関係者に対し、既に科され又は執行された制裁金又は行政処分がある場合はその記録についても、重要な要素の一つとして考慮する。 行政処分通知では、犯罪を重大性のない犯罪と重大性のある犯罪の2つに分類し、専門委員会では、これらの犯罪について異なる取扱いをする。   非重大犯罪 専門委員会は、データ管理者、データ処理者又はその他の関係者に対し、次の命令を発することができる。 違反者に対して、指定された期間内にPDPAの違反又は不遵守を是正、中止、停止、又は差し控えるように求める警告又は命令 行為者が個人データ主体に損害を与えることの禁止又は損害を救済するための命令 損害救済をはかるため、指定された期間内に、犯罪が行われた個人データの収集、使用又は開示の制限することを命じる命令 上記に加え、専門委員会は、その有効性及び適合性を担保するため、専門委員会が適切と考える人事、プロセス又はテクノロジーの改善の条件又は手順を定めることができる。   重大な犯罪 専門家委員会は、犯罪の重大性及びその他の状況を考慮した上で、違反者に行政罰を科すものとする。また、専門家委員会は、非重大犯罪に関する命令と同様の命令を発することができる。 専門委員会は、違反者に制裁金が科されている場合において、違反者が所定の期間内に納付しないときは、7日以上の期間内に当該納付を催告し、なお納付しないときは、行政手続法の規定を適用する。   これらの下位規則に基づく要件を遵守しない場合、違反によっては、データ管理者又はデータ処理者がPDPAに規定される罰則の対象となる可能性があることに留意が必要です。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 First Set of Subordinate Regulations Enacted for Thailand’s PDPA – Tilleke & Gibbins