企业 PDPA 合规：遵守《个人数据保护法》的最低要求
泰国《个人数据保护法》（佛历2562年，PDPA）自佛历2565年（2022年）6月1日起全面施行，几乎适用于所有类型的企业，因为每家企业都持有客户、员工或合作伙伴的数据。本文梳理企业为遵守该法至少应具备的措施。
PDPA 与您的企业有什么关系
个人数据是指能够直接或间接识别特定个人的信息，例如姓名、电话号码、电子邮箱、身份证号码、监控摄像画面，或与个人关联的网站使用数据。收集、使用或披露这些数据的企业，作为个人数据控制者负有法定义务。
处理个人数据的合法依据
同意并不是唯一可用的依据。只要有合法依据，就可以处理个人数据，例如：
- 为履行合同，或应对方请求在订立合同前采取相应措施
- 为履行法定义务，例如为履行税务或劳动方面的义务而保存数据
- 为企业的正当利益，且不过度影响数据主体的权利
- 为防止对生命、身体或健康造成危害
- 在没有其他依据时，取得数据主体的同意
敏感数据，如健康、宗教或生物识别数据，适用更严格的条件，一般须取得明示同意，法律规定的例外情形除外。
至少应具备的措施
- 隐私声明：告知数据主体收集哪些数据、用于什么目的、保存多久、向谁披露，以及如何联系企业。
- 处理活动记录：掌握每组数据存放在哪里、谁可以访问、依据哪项合法基础处理。部分小型企业可依个人数据保护委员会的公告获得部分豁免，但仍应清楚自己的数据存放在哪里。
- 安全保障措施：既包括技术措施，如权限限制和加密；也包括组织措施，如员工培训。
- 与数据处理者签订协议：委托他人代为处理数据时适用，例如薪资系统或客户关系管理系统的服务商。
- 受理权利请求的流程：数据主体有权要求访问、更正、删除其数据，提出反对，或要求暂停使用。企业应设立受理渠道，并在法定期限内处理。
- 数据泄露应对流程：如果泄露事件可能危及数据主体的权利，须在知悉之时起72小时内通报个人数据保护委员会办公室；风险较高的，还须通知数据主体。
- 数据保护官（DPO）：符合法定条件时必须任命，例如核心业务需要经常监控大量数据。
罚则
违反 PDPA 可能承担民事责任（包括惩罚性赔偿）、某些情况下的刑事责任，以及每宗最高500万泰铢的行政罚款。此外，还会损害客户和合作伙伴的信任。
如何着手
- 盘点企业在各个系统中保存的数据，包括纸质文件、电子文件和在线系统。
- 确定每组数据的合法依据和保存期限。
- 制定或更新隐私声明，以及与服务商之间的协议。
- 培训员工，并演练数据泄露应对流程。
常见问题
每次都要征得客户同意吗？
不一定。如果使用数据有其他合法依据（如履行合同），就无需征得同意，但仍须通过隐私声明告知相关细节。不必要地征求同意，反而可能在数据主体撤回同意时带来负担和混乱。
在办公室安装监控摄像头需要注意什么？
应张贴告示，限制可查看画面的人员，设定合理的保存期限，并且不要安装在会过度侵犯隐私的区域。
员工数据也受 PDPA 约束吗？
同样受 PDPA 约束。企业应告知员工数据的收集和使用情况，并对健康数据等敏感数据采取更严格的保护措施。
让我们协助您建立数据保护体系
Kerwin & Vance 从法律和信息技术两方面提供 PDPA 合规咨询，涵盖数据盘点、文件编制，直至安全措施。如需了解详情，请查看我们的法律与知识产权和信息技术服务，或与我们预约咨询。
本文内容仅为一般性知识介绍，不构成针对具体个案的法律意见。相关规则可能随个人数据保护委员会的公告而变化，办理前请咨询专业人士。