Соответствие PDPA Таиланда с ConsentX

Правовые основания обработки персональных данных

Согласие не является единственным правовым основанием по тайскому PDPA.

В зависимости от вида обработки организации могут опираться на другие правовые основания, признанные законом.

К ним могут относиться обстоятельства, связанные с:

• Договорной необходимостью
• Правовыми обязанностями
• Жизненно важными интересами
• Публичной функцией или общественным интересом
• Законными интересами
• Иными обстоятельствами, прямо признанными PDPA

Поэтому организациям следует определять подходящее правовое основание для каждой цели обработки, а не запрашивать согласие автоматически для каждой деятельности.

Требования к согласию

Если согласие требуется, PDPA устанавливает конкретные требования к получению действительного согласия.

Согласие, как правило, должно быть:

• Свободным
• Конкретным
• Информированным
• Недвусмысленным
• Чётко отличимым от других вопросов

Людям следует предоставлять достаточную информацию, чтобы понимать, на что они соглашаются.

Согласие также должно поддаваться отзыву с учётом применимых правовых требований и последствий отзыва.

Применительно к сайтам организациям следует избегать:

• Предварительно выбранных вариантов согласия
• Объединённого согласия для не связанных между собой целей
• Неясных формулировок согласия
• Согласия, скрытого внутри длинных условий
• Представления необязательной обработки как обязательной

Чувствительные персональные данные

Тайский PDPA предусматривает дополнительную защиту чувствительных персональных данных.

К чувствительным категориям относится информация о:

• Расовом или этническом происхождении
• Политических взглядах
• Религиозных или философских убеждениях
• Сексуальном поведении
• Судимости
• Состоянии здоровья
• Инвалидности
• Членстве в профсоюзе
• Генетических данных
• Биометрических данных

Обработка чувствительных персональных данных подчиняется более строгим требованиям, чем обработка обычных персональных данных.

Если требуется явное согласие, организациям следует получать его отдельно и обеспечивать, чтобы люди понимали, какая именно обработка чувствительных данных предполагается.

Права субъектов данных

Тайский PDPA наделяет людей рядом прав в отношении их персональных данных.

К ним относятся:

• Право на доступ - человек может запросить доступ к своим персональным данным и сведения об их обработке.
• Право на переносимость - в применимых случаях человек может запросить свои персональные данные в формате, пригодном для передачи другому контролёру.
• Право на исправление - человек может потребовать исправления неточных или неполных персональных данных.
• Право на удаление - при соблюдении правовых требований человек может потребовать удаления или уничтожения персональных данных.
• Право на ограничение - в предусмотренных PDPA случаях человек может потребовать ограничения отдельных операций обработки.
• Право на возражение - человек может возражать против отдельных операций обработки, включая обработку на основании законных интересов в применимых случаях.
• Право отозвать согласие - если обработка основана на согласии, человек может отозвать его с учётом применимых правовых требований.

Организациям следует поддерживать документированные процессы приёма, проверки, отслеживания и рассмотрения таких запросов.

Уведомления о конфиденциальности и прозрачность

Организации должны предоставлять людям надлежащую информацию о сборе и обработке их персональных данных.

Уведомление о конфиденциальности должно ясно сообщать такие сведения, как:

• Личность и контактные данные контролёра
• Собираемые персональные данные
• Цель сбора и обработки
• Применимое правовое основание
• Срок хранения или соответствующие критерии
• Категории получателей
• Международные передачи, когда это применимо
• Права субъектов данных
• Как человек может реализовать свои права
• Контактные данные для вопросов о конфиденциальности

Разъяснения правительства Таиланда также подчёркивают необходимость сообщать цели, для которых персональные данные будут собираться, использоваться или раскрываться.

Безопасность данных

Контролёрам и обработчикам следует применять надлежащие меры безопасности для защиты персональных данных от:

• Несанкционированного доступа
• Утраты
• Уничтожения
• Изменения
• Раскрытия
• Несанкционированного использования

Меры безопасности должны соответствовать характеру и рискам обработки.

Комплексная программа соответствия PDPA должна включать:

• Контроль доступа
• Классификацию данных
• Шифрование там, где это уместно
• Мониторинг безопасности
• Обучение сотрудников
• Реагирование на инциденты
• Управление поставщиками
• Контроль сроков хранения данных
• Регулярные проверки безопасности

Уведомление об утечках данных

Тайский PDPA устанавливает обязанности в связи с утечками персональных данных.

При наступлении подпадающей под требования утечки контролёр должен оценить риск для людей и определить, требуется ли уведомление Комитета по защите персональных данных (PDPC).

Если утечка с большой вероятностью создаёт риск для прав и свобод людей, контролёр должен уведомить PDPC без промедления и, когда это осуществимо, в течение 72 часов с момента, когда стало известно об утечке.

Если утечка с большой вероятностью создаёт высокий риск для людей, может также потребоваться уведомление затронутых субъектов данных.

Поэтому организациям следует поддерживать процесс реагирования на инциденты, способный:

• Обнаружить утечку.
• Оценить затронутые данные.
• Оценить риск.
• Задокументировать инцидент.
• Определить обязанности по уведомлению.
• Уведомить PDPC, где это требуется.
• Уведомить затронутых людей, где это требуется.
• Реализовать корректирующие меры.

Специалист по защите данных

Тайский PDPA обязывает отдельные организации назначить специалиста по защите данных (DPO).

Это требование может применяться исходя из таких факторов, как характер деятельности организации и масштаб или особенности обработки персональных данных.

DPO может отвечать за:

• Консультирование организации по обязанностям PDPA
• Контроль соблюдения требований
• Поддержку оценок воздействия на приватность
• Консультирование по правам субъектов данных
• Взаимодействие с PDPC
• Внутреннее консультирование по вопросам приватности

Организациям следует оценить свою деятельность по обработке, чтобы определить, требуется ли назначение DPO.

Международные передачи данных

Тайский PDPA регулирует передачу персональных данных в другие страны.

Организациям, передающим персональные данные за пределы Таиланда, следует оценить:

• Страну назначения
• Организацию-получателя
• Категории персональных данных
• Цель передачи
• Применимые гарантии
• Требования к адекватности
• Подходящие договорные механизмы
• Применимые исключения

Система PDPA включает правила о передачах в страны с адекватным уровнем защиты данных, а также механизмы для отдельных передач в юрисдикции, не отвечающие применимому стандарту.

Для передач внутри групп компаний могут иметь значение обязательные корпоративные правила (BCR), если применимые требования соблюдены.

Обработчики и договоры об обработке данных

Организациям, привлекающим сторонних поставщиков для обработки персональных данных, следует оформить надлежащие договорные отношения.

Договор об обработке данных (DPA) может определять такие вопросы, как:

• Инструкции по обработке
• Объём и цель обработки
• Требования к безопасности
• Конфиденциальность
• Субобработчики
• Процедуры при утечке данных
• Удаление или возврат данных
• Содействие в рассмотрении запросов субъектов данных

Материалы правительства Таиланда включают типовую документацию и разъяснения, касающиеся договоров об обработке данных.

Файлы cookie и онлайн-отслеживание

Файлы cookie, пиксели, аналитические инструменты, рекламные технологии и другие технологии онлайн-отслеживания могут быть связаны со сбором или использованием персональных данных.

Поэтому операторам сайтов следует оценивать каждую технологию по следующим критериям:

• Какую информацию она собирает
• Идентифицирует ли она человека или может быть с ним связана
• Цель обработки
• Применимое правовое основание
• Получают ли данные третьи лица
• Передаются ли данные за рубеж

Для неосновных файлов cookie и технологий отслеживания, где требуется согласие, организациям следует получать его до активации.

Соответствующая требованиям реализация должна:

• Выявлять файлы cookie и трекеры
• Классифицировать их по цели
• Ясно объяснять их назначение
• Предоставлять надлежащий выбор согласия
• Не допускать срабатывания соответствующих трекеров до согласия
• Фиксировать решение пользователя о согласии

Сроки хранения данных

Организациям не следует хранить персональные данные бессрочно, если они более не нужны для соответствующей цели или правовой обязанности.

Программа приватности должна определять надлежащие сроки хранения исходя из:

• Цели обработки
• Правовых обязанностей
• Договорных требований
• Требований безопасности
• Потребностей бизнеса
• Прав субъектов данных

Когда хранение более не обосновано, организациям следует безопасно удалить, обезличить или иным образом уничтожить информацию в соответствии с применимыми требованиями.