1706661757
2024-01-30 15:21:51
導入
タイの個人データ保護法 BE 2562 (2019) (“PDPA“) は 2022 年半ばに完全に発効し、それ以来、特定の規定を明確にするためにさまざまな下位法が発行されました。以下に 2023 年の PDPA 開発のスナップショットを示します。
PDPAの開発
最近、タイの個人情報保護委員会（「PDPC“) は、PDPA 違反の疑いでデータ管理者に対する調査を実施しました。最近の 2 つの調査事件は次のように要約されます。
- 個人情報収集の疑いで保険会社を調査
この調査は、Facebook の人気ソーシャル メディア ページでの暴露を受けて開始され、多くの保険代理店がアンケートや宿題を通じてタイ全土の学生とその保護者の個人データを収集していたことが明らかになりました。 収集されたデータには、学生の家族に関する名前、年齢、住所、電話番号、月収、資金計画の詳細が含まれていました。 データ主体にはそのような収集の詳細について通知されず、同意も得られませんでした。
2023年11月23日、PDPCは保険会社を呼び出して追加の詳細を提供するとともに、代理店を厳しく規制する保険会社の義務を改めて強調した。 違反容疑の捜査は現在も続いており、PDPCは保険会社に対して行政制裁を課す可能性がある。 PDPC はまた、この問題の調整を支援するために、保険委員会事務局 (OIC)、タイ生命保険協会などのいくつかの関連組織と連絡を取った。
- 情報漏えい事件でソーシャルメディア通信アプリケーション会社を調査
2023 年 11 月 27 日、ソーシャル メディア コミュニケーション アプリケーション会社は、不正アクセスにより最大 440,000 件の個人データが漏洩し、そのうち 300,000 件がアプリケーション ユーザーに関連付けられたことを明らかにしました。 PDPC はただちに同社を呼び出し、影響を受けた個人データの種類と量に関する追加の詳細を提供するよう求めた。 PDPC はまた、影響を受けた人々に対する是正および救済方針の策定を検討するよう同社に通知しました。
PDPC の統計によると、2022 年の PDPA 発効日から 2024 年 1 月 19 日までに、PDPC は約 91 件の行政命令を発令し、主にデータ管理者/処理者に措置の講じ、問題の修正、または特定の活動の停止を要求しました。 この統計では、PDPC 事務局が 390 件を超える苦情を受け取り、380 件を超えるケースでデータ侵害事件が通知されたことも明らかになりました。
規制執行の観点から見ると、上記の調査と PDPC の行政命令は、PDPC によるより積極的な執行アプローチを実証しました。
- 苦情があった場合の行政命令の発行について – 2023 年 6 月 22 日発効
2023年6月2日、PDPCは専門委員会の行政命令を発行するための規則と方法を確立する通知を発行し、2023年6月22日に発効した。
PDPA に基づき、データ管理者/処理者が PDPA に違反しているというデータ主体からの苦情がある場合、専門委員会はデータ管理者/処理者に対し、指定された期間内でその行為を実行、中止、または是正するよう行政命令を発令することができます。期間。 この通知はさらに、そのような行政命令には次の内容を含める必要があると規定しています。
また、データ管理者/処理者には書面で通知するものとします。
- データ保護責任者の任命について – 2023 年 12 月 13 日発効
2023 年 8 月 31 日、PDPC は、PDPA のセクション 41(2) に基づき、データ保護担当者の任命基準を確立する通知を発行しました (“DPO“) データ管理者およびデータ処理者向け。2023 年 12 月 13 日に発効します。
この通知に基づき、データ管理者/処理者は次の場合に DPO を任命する必要があります。
PDPC 事務局はまた、組織が DPO を任命する必要があるかどうかを内部で検討するのに役立つ DPO 任命のための自己評価フォームと、PDPC に通知する DPO の必要な情報を含む DPO 任命の通知フォームを発表しました。オフィス。 この義務を促進するために、PDPC 事務局は、電子メールで PDPC 事務局に提出できる DPO 任命の通知フォームも発表しました。 [email protected]。
ただし、PDPA と DPO の任命基準を確立する通知は、DPO 任命の通知のタイムラインに記載されていないことは注目に値します。 したがって、通知期間の慣行は引き続き監視される必要があります。
- PDPA から免除されるデータ管理者のセキュリティ対策について – 2024 年 3 月 7 日発効
PDPA のセクション 4 に基づき、以下のような特定のデータ管理者は PDPA の施行から免除されます。 国家の安全を維持する義務を負う特定の公的機関、マスメディア、下院、上院、議会、裁判所、信用調査会社。 国王令によって他の免除も行われる可能性があります。 ただし、PDPA は、免除されたデータ管理者に対し、個人データを保護するためのセキュリティ対策を講じることを依然として要求しています。
これに関連して、PDPC は 2023 年 12 月 1 日に、PDPA から免除されるデータ管理者のセキュリティ基準を設定する通知を発行しました。この通知は 2024 年 3 月 7 日に発効します。主な対策には、たとえば次のようなものがあります。
- 公益目的の歴史文書またはアーカイブに対する適切な保護措置について – 2024 年 3 月 7 日発効
PDPA では、データ主体の権利を保護するための適切な措置がある場合に限り、公益のための歴史文書またはアーカイブの作成に関連する目的の達成のためであれば、個人データの収集を同意なしで行うことができます。
その結果、2023 年 12 月 1 日に PDPC は通知設定を発行しました。 この通知は、データ管理者に対し、PDPC に規定されているものと同様の適切な保護措置を導入することを要求しています。 以前に発行された 組織的、技術的、物理的対策の実施、仮名化または暗号化対策の採用など、データ管理者のセキュリティ対策に関する通知。
- より広範なデータ転送について – 2024 年 3 月 24 日発効
2023 年 12 月 12 日、PDPC は、外国への国境を越えた転送におけるデータ保護の規定に関する規則 (PDPA の第 28 条) に関する通知を発行し、これは 2024 年 3 月 24 日に発効する予定です。受領国/国際機関のデータ保護基準の適切性を検討するための 2 つの基準:
さらに、この通知により、受領国/国際機関のデータ保護基準の適切性に関する問題を PDPC に提出して決定することが可能になります。 この点に関して、PDPC 自体が適切なレベルのデータ保護を提供するとみなされる国のリストを発行する場合があります。
- アフィリエイト間の広範なデータ転送についてd ビジネス – 2024 年 3 月 24 日発効
2023 年 12 月 12 日、PDPC は関連事業に対する拘束力のある企業規則と適切な保護措置 (PDPA の第 29 条) に関する通知も発行しました。この通知は 2024 年 3 月 24 日に発効します。この通知は、拘束力のある企業規則を確立するための基準を定めています。 (“BCR“) およびそのような BCR を認証する PDPC オフィスのプロセス。
この通知では、BCR や受信国や国際機関のデータ保護基準の適切性に関する PDPC の決定がない場合でも、データ管理者またはデータ処理者がデータ転送を実行できるようにするための適切な保護措置についても概説しています。
次のいずれかを遵守することで、適切な保護措置を実現できます。
さらに、適切な保護措置には法的強制力があり、関連当事者を拘束し、データ保護とデータ主体の権利と苦情を保証し、最低基準に沿ったセキュリティ対策を含める必要があります。
- 犯罪記録を収集する際の適切な保護措置について – 2024 年 4 月 7 日発効
PDPA は、犯罪記録の収集は、権限を与えられた公的機関の管理下で、または適切な保護措置が講じられた場所で実施することを義務付けています。 2023年12月28日、PDPCは、認可された公的機関の管理下で行われない犯罪記録の収集に対する適切な保護措置に関する通知を発行し、これは2024年4月7日に発効する予定である。
この通知に基づいて、法律で義務付けられている場合には、権限のある公的機関の管理下で行われない犯罪記録の収集が行われる可能性があります。 このような収集が法律で義務付けられていない場合は、データ主体から明示的な同意を得る必要があります。 このような収集は、たとえば、仕事/ポジションの資格確認など、限定された目的にも適用されます。
データ管理者は、犯罪記録の収集、使用、開示が確実に行われるように、物理的措置を含む場合がある組織的および技術的措置を講じる必要もあります。 データ管理者の合法的な目的に基づいて必要な範囲で。 データ管理者は、他の法律で別段の定めがない限り、またはデータ主体から明示的な同意が得られていない限り、犯罪記録に関連する業務の完了後、最長 6 か月間、そのような犯罪記録を保持することができます。。
- 研究または統計のためのデータ収集に対する適切な保護措置について – 2024 年 4 月 7 日発効
PDPA は、研究または統計を目的とする場合、同意なしで個人データを収集することを許可しています。 科学的、歴史的、統計的研究に関して目的を達成する法的義務がある場合、機密性の高い個人データにも同じことが当てはまります。 ただし、どちらのシナリオでも、データ管理者はデータ主体の権利を保護するための適切な措置を実装する必要があります。 2023 年 12 月 28 日、PDPC は以下の目的でのデータ収集の適切な保護措置に関する通知を発行しました。(i) 研究または統計。 (ii) 科学的、歴史的、または統計的研究。 または (iii) その他の公益。 この通知は 2024 年 4 月 7 日に発効します。
#タイの個人データ保護法 #年を振り返る