Cette loi s'applique à la collecte, à l'utilisation ou à la divulgation de données à caractère personnel dans le Royaume de Thaïlande par tout sous-traitant ou responsable du traitement des données, même si cette divulgation, cette utilisation ou cette collecte n'a pas lieu en Thaïlande. Si un responsable du traitement des données ou un contrôleur des données est situé en dehors de la Thaïlande, la loi s'appliquera toujours aux personnes concernées en Thaïlande.
On entend par "données à caractère personnel" toute information concernant une personne déterminée et permettant de l'identifier, directement ou indirectement, à l'exclusion des informations relatives aux personnes décédées ;
Le "responsable du traitement" est une personne physique ou morale qui a le pouvoir et le devoir de prendre des décisions concernant la collecte, l'utilisation ou la divulgation des données à caractère personnel ;
Le "responsable du traitement des données" est une personne physique ou morale qui opère dans le cadre de la collecte, de l'utilisation ou de la divulgation de données à caractère personnel conformément aux ordres donnés par un responsable du traitement des données ou en son nom, cette personne physique ou morale n'étant pas le responsable du traitement des données.
La loi sur la protection des données personnelles a été publiée pour la première fois en 2019, et une période d'un an a été prévue pour permettre aux entreprises et autres entités de se conformer à la loi en ce qui concerne les sanctions en cas de non-respect, les obligations d'un responsable du traitement des données et les droits d'une personne concernée.
Le Bureau du Comité de protection des données est la principale autorité de contrôle, et le ministère de l'économie et de la société numériques est le superviseur de la loi sur la protection des données personnelles.
Application de la conformité à la PDPA
En général, la PDPA s'applique à toute divulgation, utilisation et collecte de données en Thaïlande ou concernant des citoyens thaïlandais. Dans certains cas, les sous-traitants et les responsables du traitement des données doivent se conformer à la PDPA même s'ils opèrent en dehors de la Thaïlande :
Motifs juridiques de la collecte, de l'utilisation et de la divulgation de données à caractère personnel
Il n'existe que six autorisations légales pour cette pratique. Dans tous les autres cas, le consentement de la personne concernée est requis.
Les pratiques légalement autorisées sont les suivantes :
Certains critères doivent être remplis pour que le consentement soit considéré comme valide :
Un avis de confidentialité doit être remis à la personne concernée au moment où les données sont collectées. L'avis doit contenir les informations suivantes :
Lorsqu'un responsable du traitement des données prend connaissance d'une violation de données affectant la protection des données à caractère personnel, il dispose de 72 heures pour en informer le bureau. Si la violation de données a un impact significatif ou comporte un risque élevé pour la liberté et les droits de la personne concernée, cette dernière doit également être notifiée dans les meilleurs délais.
Le responsable du traitement des données a le devoir d'assurer la sécurité des données :
Bien que les "normes de protection des données adéquates" n'aient pas encore été officiellement établies, on s'attend à ce que, lorsque des données personnelles sont transférées ailleurs dans le monde, le pays doit avoir des normes de protection adéquates car elles régissent la protection des données. La seule exception est lorsque les exemptions sont respectées.
Selon la gravité des violations de la loi sur la protection des données personnelles, des amendes administratives, des amendes pénales, la responsabilité pénale ou la responsabilité civile peuvent s'appliquer.
Par exemple, lorsque le consentement est requis par la loi, mais qu'un responsable du traitement des données a collecté des données auprès d'une personne concernée sans son consentement, il recevra une amende pouvant aller jusqu'à 3 millions THB.
Les données collectées avant le 27 mai 2020 peuvent encore être utilisées, à condition que le responsable du traitement prenne les mesures suivantes :
Il peut être plus facile de garantir la conformité dans les petites entreprises, car il est plus difficile de dissimuler des éléments tels que l'exploitation indue. D'autres aspects clés sont plus faciles à suivre et une communication plus directe avec les personnes concernées est possible. Les propriétaires de données peuvent consacrer du temps et des efforts à la portabilité des données si nécessaire, ainsi qu'à l'obtention du consentement le cas échéant, et s'assurer que la loi consolidée est suivie de près par les responsables du traitement des données. La communication et la transparence avec la personne concernée avant la collecte des données sont également plus faciles à l'ère numérique, et les activités de traitement prennent moins de temps lorsque le pool de données est plus petit.
N'oubliez pas qu'en cas de transfert de données, vous devez vous assurer que le responsable du traitement des données envoie des notifications à ce sujet. Le gouvernement thaïlandais appliquera des dommages-intérêts punitifs et des sanctions pénales en cas de violation de la confidentialité et de non-respect des normes de propriété intellectuelle. L'ère numérique a fortement influencé la manière dont les données et les intérêts sont gérés dans le monde entier, et la Thaïlande n'est pas le seul pays à s'être doté d'une nouvelle loi sur la protection des données.
Les sanctions peuvent être aussi sévères qu'une forte amende ou une peine d'emprisonnement pouvant aller jusqu'à un an, en particulier dans le cas de violations de données très sensibles (par exemple, dans le domaine de la santé publique) ou de grande ampleur. N'oubliez pas que cette loi est un décret royal et qu'elle vise à préparer la Thaïlande à se conformer aux normes internationales.
Si vous êtes victime d'une violation ou d'une fuite de données personnelles, n'hésitez pas à nous contacter. Juslaws & Consult est toujours là pour protéger vos intérêts.
