Этот закон применяется к сбору, использованию или раскрытию персональных данных в Королевстве Таиланд любым обработчиком данных или контролером данных, даже если такое раскрытие, использование или сбор происходит не в Таиланде. Если обработчик или контролер данных находится за пределами Таиланда, Закон все равно будет применяться к субъектам данных в Таиланде.
"Личные данные" означают любую информацию, относящуюся к конкретному лицу, которая позволяет идентифицировать это лицо, прямо или косвенно, но не включая информацию об умерших людях;
"Контролер данных" означает обычное или юридическое лицо, имеющее полномочия и обязанности принимать решения относительно сбора, использования или раскрытия персональных данных;
"Обработчик данных" означает физическое или юридическое лицо, которое действует в отношении сбора, использования или раскрытия персональных данных в соответствии с распоряжениями, отданными контролером данных или от его имени, при этом такое физическое или юридическое лицо не является контролером данных.
Закон о защите персональных данных был впервые опубликован в 2019 году, и в течение года компании и другие организации могли привести его в соответствие с требованиями закона в части штрафов за несоблюдение, обязательств контролера данных и прав субъекта данных.
Управление Комитета по защите данных является основным контролирующим органом, а Министерство цифровой экономики и общества - надзорным органом за соблюдением PDPA.
Применение PDPA
В целом, PDPA применяется к любому раскрытию, использованию и сбору данных в Таиланде или относящихся к гражданам Таиланда. Есть некоторые случаи, когда обработчики и контролеры данных должны соблюдать PDPA, даже если они работают за пределами Таиланда:
Правовые основания для сбора, использования и раскрытия персональных данных
Существует только шесть законных разрешений на такую практику. В любом другом случае требуется согласие субъекта данных.
К разрешенным законом видам практики относятся:
Существуют критерии, которые должны быть соблюдены, чтобы согласие считалось действительным:
Уведомление о конфиденциальности должно быть направлено субъекту к моменту сбора данных. Уведомление должно содержать следующую информацию:
Как только контролеру данных становится известно об утечке данных, влияющей на защиту персональных данных, у него есть 72 часа, чтобы уведомить об этом ведомство. Если нарушение данных имеет значительное влияние или несет высокий риск для свободы и прав субъекта, то он также должен быть уведомлен как можно скорее.
Обязанностью контроллера данных является обеспечение безопасности данных:
Хотя "адекватные стандарты защиты данных" официально еще не установлены, существует ожидание, что при передаче персональных данных в другие страны мира, страна должна иметь адекватные стандарты защиты, поскольку они регулируют защиту данных. Единственным исключением являются случаи, когда соблюдаются исключения.
В зависимости от тяжести нарушения Закона о защите персональных данных могут применяться либо административные штрафы, либо уголовные штрафы, либо уголовная ответственность, либо гражданская ответственность.
Например, если по закону требуется согласие, но контролер данных собирает данные субъекта данных без согласия, он получит штраф в размере до 3 млн. табаков.
Любые данные, собранные до 27 мая 2020 года, могут быть использованы при условии, что контроллер данных предпримет следующие шаги:
Возможно, вам будет легче обеспечить соответствие требованиям на небольших предприятиях, поскольку такие вещи, как неправомерная эксплуатация, сложнее скрыть. Другие ключевые аспекты легче отследить, и можно наладить более прямую связь с субъектами. Владельцы данных могут потратить реальное время и усилия на переносимость данных, если это необходимо, а также на получение согласия в случае необходимости и на то, чтобы контролеры данных строго следовали консолидированному закону. Общение и прозрачность с субъектом данных до сбора данных также проще в цифровую эпоху, а обработка данных занимает меньше времени, если пул данных меньше.
Помните, что в случае передачи данных вы должны убедиться, что контроллер данных рассылает уведомления о такой информации. Правительство Таиланда будет применять как штрафные санкции, так и уголовное наказание за нарушение конфиденциальности и несоблюдение стандартов интеллектуальной собственности. Цифровой век сильно повлиял на то, как управляют данными и подобными интересами во всем мире, и Таиланд - не единственная страна, где принят новый закон о защите данных.
Наказания могут быть как крупными штрафами, так и тюремным заключением сроком до одного года, особенно в случае очень чувствительных (например, в сфере здравоохранения) или крупных утечек данных. Помните, что этот закон является королевским указом и призван привести Таиланд в соответствие с международными стандартами.
Если вы стали жертвой нарушения или утечки персональных данных, не стесняйтесь обращаться к нам. Juslaws & Consult всегда готова защитить ваши интересы.
