2024.09.30

タイ【タイ】森・濱田松本法律事務所 アジアニュース／第107回「個人情報保護法（PDPA）施行以来、初の行政罰が適用された注目事例」

【タイ】森・濱田松本法律事務所 アジアニュース／第107回「個人情報保護法（PDPA）施行以来、初の行政罰が適用された注目事例」

◇タイ

タイの個人情報保護委員会（Personal Data Protection Committee：「PDPC」）は、2024年8月21日、タイ個人情報保護法（Personal Data Protection Act：「PDPA」）の違反による初の行政罰を科したことを発表しました。PDPAの違反による行政罰の実際の適用は、PDPAが2022年に全面的に施行されて以来初めての事例となり、現地でも注目されています。
 
PDPAの違反による初の行政罰の適用事例（「本件」）は、オンライン通販事業を行う現地企業（「本企業」）から、詐欺的なScam Callを行う詐欺グループに、大量の個人情報が流出したという事例です。本件では、以下の義務違反につき、合計700万バーツ（約3,010万円）の過料が科されており、初の事例にして、相応に高額の過料を科している点も注目されます。
 
(1) 情報漏洩時の報告義務違反：過料300万バーツ（約1,290万円）
 
データ管理者は、本人の権利及び自由に対するリスクを及ぼさない場合を除き、原則として、個人情報の侵害事象を認識してから72時間以内に、PDPCに報告する義務があります。
本企業は、その保有する顧客する大量の顧客情報（10万人超）が漏洩したにもかかわらず、適時にPDPCへの報告を行っていませんでした。
 
(2) データ保護責任者の任命義務違反：過料100万バーツ（約430万円）
 
大規模な個人情報を取り扱う業務を行うデータ管理者等には、PDPAの遵守に関する助言、個人情報の収集、利用又は開示の履行状況の調査、問題発生時のPDPC事務局との折衝等を職務とするデータ保護責任者（DPO）の選任が義務付けられています。データ保護責任者の選任が必要な場合については、MHM Asian Legal Insights第156号（2023年10月号）※1をご確認ください。

上記の漏洩事案に基づき、PDPCが本企業の法令遵守体制について確認を行ったところ、本企業は、データ保護責任者の選任が必要であったにもかかわらず、選任していないことが発覚しました。データ保護責任者選任義務のある事業者はその選任者等についてPDPCに通知することとされており、現在多くの企業がデータ保護責任者選任を行っている中で、この選任義務の不遵守は目立った違反になると思われます。
 
(3) 適切なセキュリティ対策の実施義務違反：過料300万バーツ
 
データ管理者は、無権限者による個人情報へのアクセスや個人情報の改変又は開示等を避けるための適切なセキュリティ対策を実施し、必要に応じて、当該セキュリティ対策の確認及びシステムのアップデート等を行う必要があります。「必要なセキュリティ対策」の具体的な基準は、PDPAの下位規則において定められています。
PDPCの行った本企業の法令遵守体制の確認の中で、本企業は必要なセキュリティ対策も講じていないと判断され、本罰則の適用となりました。
 
PDPAの施行以来、PDPCには660件を超えるPDPA違反に関する通報・告発が寄せられていたにもかかわらず、PDPCはここまで一定の調査は行いつつも、実際の罰則の適用までは行ってきませんでしたが、本件においては一転して、行政罰の適用がなされました。このことは、PDPCがPDPAを周知する段階から違反行為に対して厳格な執行を行う段階に移行したことを示す、大きなマイルストーンといえるという見方もあり、日系企業においても、タイでの事業に関して個人情報を取り扱う事業者は、より一層、PDPAの遵守状況を継続的に監視することが重要となります。
 
（ご参考）
MHM Asian Legal Insights第96号（2019年3月号）
　　 2. タイ： Personal Data Protection Act（個人情報保護法）最終法案の国会通過
https://www.mhmjapan.com/content/files/00036390/20190320-011345.pdf
※1　MHM Asian Legal Insights第156号（2023年10月号）
　　 2. タイ： 個人情報保護法（PDPA）におけるデータ保護責任者の選定が必要な場合に関する告示
https://www.mhmjapan.com/content/files/00069085/20231020-115639.pdf
 
本記事掲載URL
20240920-021448.pdf (mhmjapan.com)

（直近記事）
○第104回【フィリピン】「エディ・ガルシア法（映画及びテレビ業界の労働者の保護に関する法律）」
○第105回【インド】「インド総選挙の結果と労働法改正の趨勢」
○第106回【タイ】「タイにおけるAI規制の動向」

前のページへ戻る