泰国个人数据保护法

第 37(5) 条规定：属于第 5 条第二款项下的数据控制者，须以书面指定一名数据控制者的代表，该代表须在泰国境内，并获授权就该控制者的收集、使用或披露个人数据之目的代表其行事，且该等责任不设限制。该义务违反直接落入第 83 条 300 万泰铢罚款范围。但第 38 条第一款设有两类豁免，判定时必须先行适用：（1）属委员会规定并公告的公共机构的控制者；（2）以收集、使用或披露个人数据为职业或业务、但其处理不具有第 26 条（敏感个人数据）性质、且所持个人数据未达第 41(2) 条委员会规定的数量者。因此中小规模、不处理敏感数据的境外控制者未必须指定代表——但“未达数量门槛”须以委员会公告为准并留存判定记录，不得默认豁免。第 38 条第二款另规定：第 5 条第二款项下的控制者若有数据处理者，第 37(5) 条与第 38 条第一款准用于该处理者。

触发条件

在泰国境外、但向泰国数据主体提供商品服务或监测其在泰国境内行为的控制者（未落入第 38 条第一款豁免者）；其数据处理者经第 38 条第二款准用亦须指定。

做完之后应留存的证据

• · 第 38 条第一款豁免适用性判定记录（敏感数据性质与数量门槛）
• · 代表指定的书面授权文件（泰文/英文）
• · 代表在泰国境内的地址与联系方式公示
• · 代表接收数据主体请求与监管往来的台账
• · 代表与控制者之间的责任与配合机制约定

首次达标投入估算：4–10 人日（估算，非承诺）

第 37(4) 条：数据控制者须在知悉个人数据泄露后不迟延地、且在可行范围内于 72 小时内通知办公室，除非该泄露不大可能对个人的权利与自由产生风险；若该泄露可能对个人的权利与自由产生高风险，控制者还须不迟延地将泄露及补救措施通知数据主体。通知与豁免的规则与程序由委员会另行规定。

触发条件

所有落入泰国 PDPA 的控制者；中国供应商作为处理者须以合同承诺即时向控制者通报。

时限：不迟延，且在可行范围内自知悉起 72 小时内通知办公室；高风险时另行不迟延通知数据主体

做完之后应留存的证据

• · 事件响应预案（含 72 小时计时起点定义）
• · 知悉时点记录与通知提交回执
• · 风险等级判定记录（是否“不大可能产生风险”/“高风险”）
• · 向数据主体的通知文本与补救措施说明

首次达标投入估算：5–12 人日（估算，非承诺）

第 37(1) 条要求数据控制者提供适当的安全措施，防止个人数据被未经授权或非法地丢失、访问、使用、变更、更正或披露，并在必要时或技术变化时复核这些措施，且须符合委员会指定与公告的最低标准。第 37(2) 条要求：向控制者以外的其他人或法人提供个人数据时，控制者须采取措施防止该人非法或未经授权地使用或披露该个人数据。第 37(3) 条要求建立到期、无关或超出必要目的、或数据主体请求或撤回同意时的删除或销毁核查机制。

触发条件

所有落入泰国 PDPA 的控制者与其下游接收方。

做完之后应留存的证据

• · 安全措施清单与最低标准对照表
• · 安全措施复核记录（含技术变化触发的复核）
• · 下游接收方合同中的使用与披露限制条款
• · 删除/销毁核查机制的运行日志

首次达标投入估算：10–25 人日（估算，非承诺）

第 39 条要求数据控制者至少以书面或电子形式保存下列记录，供数据主体与办公室查核：所收集的个人数据；各类别个人数据的收集目的；数据控制者的详细信息；个人数据的保留期限；访问个人数据的权利与方式，包括有权访问者的条件与访问条件；第 27 条第三款项下的使用或披露；以及依第 30 条第三款、第 31 条第三款、第 32 条第三款与第 36 条第一款拒绝请求或反对的情况；以及第 37(1) 条项下适当安全措施的说明。第 39 条第二款把该义务准用于第 5 条第二款项下控制者的代表；第三款规定，按委员会所定规则属小型组织的控制者，可不适用第（1）至（6）与（8）项——但该豁免以委员会规则为准，须留存适用性判定。

触发条件

所有落入泰国 PDPA 的控制者；记录须能在监管查核时即时调取。

做完之后应留存的证据

• · 处理活动记录（ROPA，覆盖第 39 条全部项目）
• · 安全措施说明章节
• · 请求拒绝与反对处理的记录
• · 记录更新与版本管理机制

首次达标投入估算：6–15 人日（估算，非承诺）

第 41 条：数据控制者与数据处理者在下列情形须指定数据保护官——（1）控制者或处理者属委员会规定并公告的公共机构；（2）其收集、使用或披露个人数据的活动因个人数据数量巨大（数量由委员会规定并公告）而需要对个人数据或系统进行定期监测；（3）其核心活动是依第 26 条收集、使用或披露个人数据（即敏感个人数据）。同属关联业务或同一集团、按第 29 条第二款由委员会规定并公告共同经营的，可共同指定一名 DPO。

触发条件

在泰国大规模处理用户数据、或以人脸、健康、生物识别等第 26 条敏感数据为核心业务的中国 AI 企业；处理者同样负有该义务，违反者按第 85 条处不超过 100 万泰铢罚款。

做完之后应留存的证据

• · DPO 指定文件与联系方式公示
• · 触发情形判定记录（数量门槛/核心活动/公共机构）
• · 集团共同指定时各营业场所的可联络性安排
• · DPO 履职资源与独立性保障说明

首次达标投入估算：4–10 人日（估算，非承诺）

第 28 条：数据控制者向外国发送或传输个人数据的，接收该数据的目的地国家或国际组织须具备充分的数据保护标准，且须按第 16(5) 条由委员会规定的个人数据保护规则进行；例外包括：为遵守法律；已取得数据主体同意且已告知其目的地国家或国际组织数据保护标准不充分；为履行数据主体为当事方的合同所必需，或为应数据主体请求在订约前采取措施所必需；为履行数据控制者与其他自然人或法人之间为数据主体利益订立的合同；为防止或制止危险等法定情形。第 29 条另设集团内传输路径：在泰国境内的控制者或处理者制定了关于向同属关联业务或同一集团、为共同经营业务之目的而在外国的控制者或处理者发送或传输个人数据的个人数据保护政策，且该政策经办公室审查并认证的，依该政策进行的跨境传输可免于遵守第 28 条。

触发条件

把泰国用户数据传至中国境内或第三国处理的中国 AI 企业；集团内传输可考虑第 29 条经办公室认证的保护政策路径，否则须依赖已充分告知的数据主体同意或合同必要性。

做完之后应留存的证据

• · 跨境传输清单（接收方、国家、目的、数据类别）
• · 目的地保护标准充分性评估或例外适用判定记录
• · 依同意路径时：已告知“保护标准不充分”的告知文本与同意记录
• · 第 29 条集团个人数据保护政策及办公室审查认证文件
• · 与接收方的传输合同条款

首次达标投入估算：10–25 人日（估算，非承诺）

收集、使用或披露个人数据须落在法定基础之一；第 26 条项下的敏感个人数据（如种族、政治见解、宗教信仰、性取向、犯罪记录、健康数据、残障、工会信息、生物识别数据等）原则上须取得数据主体的明示同意，且仅在有限法定情形下可无同意处理。第 84 条把违反第 26 条第一款或第三款单列为最高 500 万泰铢的罚款档，是泰国 PDPA 中的最高罚则层级。

触发条件

在泰国处理人脸、声纹、健康或其他第 26 条数据的中国 AI 企业，包括人脸识别、健康管理、保险科技与具身智能视觉感知产品。

做完之后应留存的证据

• · 处理活动与合法性基础映射表
• · 敏感数据明示同意界面与同意记录（泰文）
• · 无同意处理时的法定情形适用判定
• · 敏感数据识别与分级处理规则

首次达标投入估算：8–20 人日（估算，非承诺）