ConsentXで実現するタイPDPAコンプライアンス

個人データ取扱いの適法根拠

タイPDPAにおいて同意は唯一の適法根拠ではありません。

取扱活動に応じて、組織は同法が認める他の適法根拠に依拠できる場合があります。

これには次のような状況が含まれ得ます。

• 契約上の必要性
• 法的義務
• 生命に関わる利益
• 公的任務または公共の利益
• 正当な利益
• PDPAが特に認めるその他の状況

したがって組織は、すべての活動について自動的に同意を求めるのではなく、取扱目的ごとに適切な適法根拠を判断すべきです。

同意の要件

同意が必要な場合、PDPAは有効な同意を取得するための具体的な要件を定めています。

同意は原則として次のものであるべきです。

• 自由意思に基づくこと
• 特定的であること
• 十分な情報を得たうえでのものであること
• 一義的であること
• 他の事項と明確に区別できること

本人には、何に同意しているのかを理解するのに十分な情報が提供されるべきです。

また同意は、適用される法的要件および撤回の効果に従って、撤回できるものであるべきです。

ウェブサイトについては、組織は次の点を避けるべきです。

• あらかじめ選択された同意オプション
• 関連性のない目的をまとめた一括同意
• 不明確な同意文言
• 長大な規約の中に埋もれた同意
• 不要な取扱いを必須であるかのように見せること

機微な個人データ

タイPDPAは機微な個人データに追加の保護を与えています。

機微なカテゴリーには次のような情報が含まれます。

• 人種または民族的出自
• 政治的意見
• 宗教的または哲学的信条
• 性的行動
• 犯罪歴
• 健康情報
• 障害
• 労働組合に関する情報
• 遺伝データ
• 生体データ

機微な個人データの取扱いは、通常の個人データよりも厳格な要件に服します。

明示的な同意が必要な場合、組織はこれを別途取得し、本人が該当する機微データの取扱いを具体的に理解していることを確保すべきです。

データ主体の権利

タイPDPAは、個人に対し自らの個人データに関する複数の権利を認めています。

これには次のものが含まれます。

• アクセス権 - 本人は自らの個人データおよびその取扱いに関する情報へのアクセスを求めることができます。
• データポータビリティ権 - 該当する状況において、本人は他の管理者へ移転できる形式での個人データの提供を求めることができます。
• 訂正権 - 本人は不正確または不完全な個人データの修正を求めることができます。
• 消去権 - 法的要件が満たされる場合、本人は個人データの削除または破棄を求めることができます。
• 制限権 - PDPAが定める状況において、本人は一定の取扱活動の制限を求めることができます。
• 異議権 - 本人は、該当する状況における正当な利益に基づく取扱いを含め、一定の取扱活動に異議を唱えることができます。
• 同意撤回権 - 取扱いが同意に基づく場合、本人は適用される法的要件に従ってその同意を撤回できます。

組織は、これらの請求を受け付け、本人確認を行い、進捗を管理し、回答するための文書化された手続を維持すべきです。

プライバシー通知と透明性

組織は、個人データの収集および取扱いについて、本人に適切な情報を提供しなければなりません。

プライバシー通知では、次のような関連情報を明確に伝えるべきです。

• 管理者の身元および連絡先
• 収集される個人データ
• 収集および取扱いの目的
• 適用される適法根拠
• 保存期間または関連する基準
• 提供先の類型
• 該当する場合の国外移転
• データ主体の権利
• 本人が権利を行使する方法
• プライバシーに関する問い合わせ先

タイ政府のガイダンスは、個人データが収集、利用、開示される目的を伝えることの重要性も強調しています。

データセキュリティ

管理者および処理者は、次の事態から個人データを保護するため、適切な安全管理措置を実施すべきです。

• 権限のないアクセス
• 滅失
• 破壊
• 改変
• 開示
• 権限のない利用

安全管理措置は、取扱いの性質とリスクに見合ったものであるべきです。

包括的なPDPAコンプライアンス体制には次の要素を含めるべきです。

• アクセス制御
• データの分類
• 適切な場合の暗号化
• セキュリティ監視
• 従業員研修
• インシデント対応
• ベンダー管理
• データ保存期間の管理
• 定期的なセキュリティレビュー

データ侵害の通知

タイPDPAは、個人データの侵害に関する義務を定めています。

該当する侵害が発生した場合、管理者は個人に対するリスクを評価し、個人データ保護委員会(PDPC)への通知が必要かどうかを判断しなければなりません。

侵害が個人の権利および自由に対するリスクを生じるおそれがある場合、管理者は遅滞なく、また実行可能な場合には侵害を知ってから72時間以内にPDPCへ通知しなければなりません。

侵害が個人に高いリスクを生じるおそれがある場合には、影響を受けるデータ主体への通知も必要となることがあります。

したがって組織は、次のことができるインシデント対応プロセスを維持すべきです。

• 侵害を検知する。
• 影響を受けたデータを評価する。
• リスクを評価する。
• インシデントを記録する。
• 通知義務の有無を判断する。
• 必要な場合にPDPCへ通知する。
• 必要な場合に影響を受ける個人へ通知する。
• 是正措置を実施する。

データ保護責任者

タイPDPAは、一定の組織にデータ保護責任者(DPO)の選任を求めています。

この要件は、組織の活動の性質や個人データ取扱いの規模・特性といった要素に基づいて適用され得ます。

DPOは次の事項を担うことがあります。

• PDPA上の義務について組織に助言する
• 遵守状況を監視する
• プライバシー影響評価を支援する
• データ主体の権利について助言する
• PDPCと協力する
• 社内にプライバシーに関する指針を提供する

組織は、DPOの選任が必要かどうかを判断するため、自らの取扱活動を評価すべきです。

国外へのデータ移転

タイPDPAは、個人データの他国への移転を規律しています。

個人データをタイ国外へ移転する組織は、次の点を評価すべきです。

• 移転先の国
• 受領組織
• 個人データの種類
• 移転の目的
• 適用される保護措置
• 十分性の要件
• 適切な契約上の仕組み
• 適用される適用除外

PDPAの枠組みには、十分なデータ保護水準を有する国への移転に関する規則と、適用される基準を満たさない移転先への一定の移転のための仕組みが含まれています。

企業グループ内の移転については、適用される要件が満たされる場合に拘束的企業準則(BCR)が関係することがあります。

処理者とデータ処理契約

個人データの取扱いを第三者ベンダーに委託する組織は、適切な契約上の取決めを整備すべきです。

データ処理契約(DPA)では、次のような事項を定めることができます。

• 取扱いの指示
• 取扱いの範囲と目的
• セキュリティ要件
• 秘密保持
• 再委託先
• データ侵害時の手続
• データの削除または返還
• データ主体の請求への協力

タイ政府の提供資料には、データ処理契約に関するひな型文書とガイダンスが含まれています。

Cookieとオンライントラッキング

Cookie、ピクセル、分析ツール、広告技術、その他のオンライントラッキング技術は、個人データの収集または利用を伴う場合があります。

したがってウェブサイト運営者は、各技術を次の観点から評価すべきです。

• どのような情報を収集するか
• 個人を識別するか、個人に結び付け得るか
• 取扱いの目的
• 適用される適法根拠
• 第三者がデータを受領するか
• データが国外へ移転されるか

同意が必要な非必須のCookieおよびトラッキング技術については、組織は作動前に同意を取得すべきです。

適合した実装では次のことを行うべきです。

• Cookieとトラッカーを特定する
• 目的別に分類する
• その目的を明確に説明する
• 適切な同意の選択肢を提供する
• 該当するトラッカーが同意前に発火しないようにする
• 利用者の同意の判断を記録する

データの保存期間

組織は、該当する目的や法的義務のために必要でなくなった個人データを無期限に保存すべきではありません。

プライバシー体制では、次の点に基づいて適切な保存期間を定めるべきです。

• 取扱いの目的
• 法的義務
• 契約上の要件
• セキュリティ上の要件
• 事業上の必要性
• データ主体の権利

保存が正当化されなくなった場合、組織は適用される要件に従って情報を安全に削除、匿名化、その他の方法で廃棄すべきです。