Conformidade com a PDPA da Tailândia usando o ConsentX

Bases legais para o tratamento de dados pessoais

O consentimento não é a única base legal sob a PDPA da Tailândia.

Dependendo da atividade de tratamento, as organizações podem se apoiar em outras bases legais reconhecidas pela Lei.

Estas podem incluir circunstâncias relativas a:

• Necessidade contratual
• Obrigações legais
• Interesses vitais
• Função pública ou interesse público
• Legítimos interesses
• Outras circunstâncias especificamente reconhecidas pela PDPA

Por isso, as organizações devem determinar a base legal adequada para cada finalidade de tratamento, em vez de solicitar automaticamente o consentimento para toda atividade.

Requisitos de consentimento

Quando o consentimento é exigido, a PDPA estabelece requisitos específicos para a obtenção de um consentimento válido.

Em geral, o consentimento deve ser:

• Livre
• Específico
• Informado
• Inequívoco
• Claramente distinguível de outros assuntos

As pessoas devem receber informações suficientes para compreender aquilo com que estão concordando.

O consentimento também deve poder ser revogado, observados os requisitos legais aplicáveis e as consequências da revogação.

Para sites, as organizações devem portanto evitar:

• Opções de consentimento pré-selecionadas
• Consentimento agrupado para finalidades não relacionadas
• Linguagem de consentimento pouco clara
• Consentimento escondido em termos extensos
• Fazer com que um tratamento desnecessário pareça obrigatório

Dados pessoais sensíveis

A PDPA da Tailândia oferece proteção adicional aos dados pessoais sensíveis.

As categorias sensíveis incluem informações como:

• Origem racial ou étnica
• Opiniões políticas
• Crenças religiosas ou filosóficas
• Comportamento sexual
• Antecedentes criminais
• Informações de saúde
• Deficiência
• Informações sindicais
• Dados genéticos
• Dados biométricos

O tratamento de dados pessoais sensíveis está sujeito a requisitos mais rigorosos do que o de dados pessoais comuns.

Quando o consentimento explícito for exigido, as organizações devem obtê-lo separadamente e assegurar que as pessoas compreendam o tratamento específico de dados sensíveis envolvido.

Direitos dos titulares

A PDPA da Tailândia confere às pessoas diversos direitos relativos aos seus dados pessoais.

Entre eles estão:

• Direito de acesso: as pessoas podem solicitar acesso aos seus dados pessoais e a informações sobre seu tratamento.
• Direito à portabilidade: nas circunstâncias aplicáveis, as pessoas podem solicitar seus dados pessoais em formato que possa ser transmitido a outro controlador.
• Direito de retificação: as pessoas podem solicitar a correção de dados pessoais inexatos ou incompletos.
• Direito de eliminação: as pessoas podem solicitar a exclusão ou destruição de dados pessoais quando os requisitos legais forem atendidos.
• Direito de restrição: as pessoas podem solicitar a restrição de determinadas atividades de tratamento nas circunstâncias previstas pela PDPA.
• Direito de oposição: as pessoas podem se opor a determinadas atividades de tratamento, incluindo o tratamento baseado em legítimos interesses nas circunstâncias aplicáveis.
• Direito de revogar o consentimento: quando o tratamento se baseia no consentimento, as pessoas podem revogá-lo, observados os requisitos legais aplicáveis.

As organizações devem manter fluxos de trabalho documentados para receber, verificar, acompanhar e responder a essas solicitações.

Avisos de privacidade e transparência

As organizações devem fornecer às pessoas informações adequadas sobre a coleta e o tratamento de seus dados pessoais.

Um aviso de privacidade deve comunicar com clareza informações pertinentes, como:

• Identidade e dados de contato do controlador
• Dados pessoais coletados
• Finalidade da coleta e do tratamento
• Base legal aplicável
• Prazo de retenção ou critérios pertinentes
• Categorias de destinatários
• Transferências internacionais, quando aplicável
• Direitos dos titulares
• Como as pessoas podem exercer seus direitos
• Dados de contato para questões de privacidade

As orientações do governo tailandês também destacam a comunicação das finalidades para as quais os dados pessoais serão coletados, usados ou divulgados.

Segurança dos dados

Controladores e operadores devem implementar medidas de segurança adequadas para proteger os dados pessoais contra:

• Acesso não autorizado
• Perda
• Destruição
• Alteração
• Divulgação
• Uso não autorizado

As medidas de segurança devem ser adequadas à natureza e aos riscos do tratamento.

Um programa abrangente de conformidade com a PDPA deve incluir:

• Controles de acesso
• Classificação de dados
• Criptografia quando apropriado
• Monitoramento de segurança
• Treinamento de colaboradores
• Resposta a incidentes
• Gestão de fornecedores
• Controles de retenção de dados
• Revisões periódicas de segurança

Notificação de violação de dados

A PDPA da Tailândia estabelece obrigações relativas a violações de dados pessoais.

Quando ocorre uma violação enquadrada, o controlador deve avaliar o risco às pessoas e determinar se é necessária a notificação ao Comitê de Proteção de Dados Pessoais (PDPC).

Quando for provável que a violação resulte em risco aos direitos e liberdades das pessoas, o controlador deve notificar o PDPC sem demora e, quando viável, em até 72 horas após tomar conhecimento da violação.

Quando for provável que a violação resulte em alto risco às pessoas, também pode ser exigida a notificação aos titulares afetados.

Por isso, as organizações devem manter um processo de resposta a incidentes capaz de:

• Detectar a violação.
• Avaliar os dados afetados.
• Avaliar o risco.
• Documentar o incidente.
• Determinar as obrigações de notificação.
• Notificar o PDPC quando exigido.
• Notificar as pessoas afetadas quando exigido.
• Implementar medidas corretivas.

Encarregado de proteção de dados

A PDPA da Tailândia exige que determinadas organizações nomeiem um encarregado de proteção de dados (DPO).

A exigência pode se aplicar com base em fatores como a natureza das atividades da organização e a escala ou as características do tratamento de dados pessoais.

Um DPO pode ser responsável por:

• Orientar a organização quanto às obrigações da PDPA
• Monitorar a conformidade
• Apoiar avaliações de impacto à privacidade
• Orientar sobre os direitos dos titulares
• Cooperar com o PDPC
• Fornecer orientação interna sobre privacidade

As organizações devem avaliar suas atividades de tratamento para determinar se um DPO é exigido.

Transferências internacionais de dados

A PDPA da Tailândia regula a transferência de dados pessoais para outros países.

As organizações que transferem dados pessoais para fora da Tailândia devem avaliar:

• País de destino
• Organização destinatária
• Categorias de dados pessoais
• Finalidade da transferência
• Salvaguardas aplicáveis
• Requisitos de adequação
• Mecanismos contratuais apropriados
• Isenções aplicáveis

O marco da PDPA inclui regras sobre transferências para países com padrões adequados de proteção de dados e mecanismos para determinadas transferências a destinos que não atendam ao padrão aplicável.

Para transferências dentro de grupos empresariais, as normas corporativas vinculantes (BCRs) podem ser relevantes quando os requisitos aplicáveis forem atendidos.

Operadores e acordos de tratamento de dados

As organizações que usam fornecedores terceiros para tratar dados pessoais devem estabelecer arranjos contratuais adequados.

Um acordo de tratamento de dados (DPA) pode definir aspectos como:

• Instruções de tratamento
• Escopo e finalidade do tratamento
• Requisitos de segurança
• Confidencialidade
• Suboperadores
• Procedimentos em caso de violação de dados
• Exclusão ou devolução dos dados
• Assistência com solicitações dos titulares

Os recursos do governo tailandês incluem documentação modelo e orientações relativas a acordos de tratamento de dados.

Cookies e rastreamento on-line

Cookies, pixels, ferramentas de analytics, tecnologias de publicidade e outras tecnologias de rastreamento on-line podem envolver a coleta ou o uso de dados pessoais.

Por isso, os operadores de sites devem avaliar cada tecnologia conforme:

• Quais informações ela coleta
• Se identifica uma pessoa ou pode ser associada a ela
• A finalidade do tratamento
• A base legal aplicável
• Se terceiros recebem os dados
• Se os dados são transferidos internacionalmente

Para cookies e tecnologias de rastreamento não essenciais em que o consentimento é exigido, as organizações devem obtê-lo antes da ativação.

Uma implementação em conformidade deve:

• Identificar cookies e rastreadores
• Categorizá-los por finalidade
• Explicar sua finalidade com clareza
• Oferecer opções de consentimento adequadas
• Impedir que os rastreadores aplicáveis disparem antes do consentimento
• Registrar a decisão de consentimento do usuário

Retenção de dados

As organizações não devem reter dados pessoais indefinidamente quando eles não forem mais necessários para a finalidade pertinente ou para uma obrigação legal.

Um programa de privacidade deve definir prazos de retenção adequados com base em:

• Finalidade do tratamento
• Obrigações legais
• Requisitos contratuais
• Requisitos de segurança
• Necessidades do negócio
• Direitos dos titulares

Quando a retenção deixar de ser justificada, as organizações devem excluir, anonimizar ou descartar as informações de forma segura e conforme os requisitos aplicáveis.