有会员制度的咖啡店、为送货而记录客户姓名和地址的网店、保存顾客档案的诊所、装有监控摄像头的商店——它们都在收集个人信息，都要遵守泰国佛历2562年《个人信息保护法》（PDPA）。该法自2022年6月1日起全面施行。本文以客户资料为重点，说明小型企业需要做什么。

小店也要遵守PDPA吗

要。该法适用于所有个人信息控制者，即有权决定如何收集、使用或披露个人信息的个人或法人，不论规模大小。个人信息是指能够直接或间接识别某人的信息（第6条），例如姓名、电话、地址、电子邮箱，或能看清面孔的监控画面。

该法不区分经营者的国籍，也适用于在泰国境外向泰国境内的人提供商品或服务的企业（第5条）。

三条基本规则：

  • 只在合法目的范围内收集必要的信息（第22条）。
  • 只按已告知的目的使用和披露；用于新目的须重新告知并取得同意，法律另有规定的除外（第21条）。
  • 必须有合法依据：同意，或第24条规定的例外。

并非事事都要征得同意

商家收集客户资料的四种合法依据：合同、法定义务、正当利益和同意

很多人以为PDPA要求每次都征得同意。其实第24条规定了多种无需同意即可收集的情形，商家最常用的是：

  • 为履行合同所必需，或为在订立合同前按对方的请求办理，例如为配送订单而收集姓名、地址和电话。
  • 为遵守法律，例如开具税务单据所需的资料。
  • 为商家的正当利益所必需，但该利益不得轻于信息主体的基本权利，例如维护店铺安全。

不属于例外的情形须取得同意，第19条的要求是：

  1. 在收集之前或收集时明确征求，采用书面或电子方式。
  2. 说明目的，同意条款须与其他内容明显分开，用语浅显，不得误导。
  3. 不得把同意提供非必要信息作为销售商品或提供服务的条件。
  4. 客户可随时撤回同意，撤回须与给予同意一样方便。

信息主体是10岁以下儿童的，须取得监护人的同意（第20条）。

敏感信息，例如健康信息、残疾、宗教、犯罪记录，以及指纹、人脸识别数据等生物识别信息，未经明确同意不得收集，除非符合第26条的特定例外。

隐私声明要写什么

无论依据哪一项，商家都须在收集之前或收集时告知下列事项（第23条）：

  1. 收集目的，包括依据第24条例外收集的情形。
  2. 客户是否必须为订立合同或依法提供信息，以及不提供可能产生的后果。
  3. 收集哪些信息、保存多久。
  4. 信息可能披露给哪些类型的个人或机构。
  5. 商家的名称和联系方式。
  6. 信息主体的权利。

店内的监控摄像头

能识别个人的监控画面属于个人信息。为安全目的安装摄像头的商家可以依据正当利益，无需逐一征得客户同意，但仍须履行第23条的告知义务。常见做法是在显眼位置张贴告示，说明正在录像、录像目的以及商家的联系方式。纯粹为个人用途安装在家中的摄像头，依第4条不适用PDPA。

客户的权利与商家的义务

信息主体的权利 商家须做的事
查阅并取得本人信息的副本（第30条） 及时办理，最迟在收到请求之日起30天内
撤回同意（第19条） 提供方便的撤回方式，并告知撤回的影响
反对用于直接营销（第32条） 停止为该目的使用信息
要求删除、销毁或匿名化（第33条） 符合条件时照办，例如信息已无保存必要，或同意已撤回且无其他依据
要求更正并保持信息准确（第35条和第36条） 予以更正；不更正的，须记录该请求和理由

保管与对外提供

商家须采取适当的安全措施，防止信息遗失或被擅自查阅、使用、更改或披露，并建立检查机制，在保存期限届满后删除或销毁信息（第37条）。

委托他人代为处理信息时，例如会员系统或短信发送服务商，对方即为个人信息处理者，只能按商家的指示处理；商家须与其订立协议，以规范其履行职责（第40条）。

信息泄露：72小时内通报

客户资料泄露后的4个步骤：从评估风险到检讨安全措施

发生个人信息泄露（例如客户名单外流）时，商家须及时通报个人信息保护委员会办公室（PDPC），在可行范围内不得超过知悉后72小时，除非该事件不存在影响个人权利和自由的风险。风险较高的，还须及时通知信息主体，并说明补救措施（第37条）。

小型企业享有的豁免

控制者通常须编制处理记录，例如收集的信息、目的和保存期限，供信息主体和PDPC查核（第39条）。个人信息保护委员会2022年发布公告，豁免小型企业的这项义务，包括中小企业、社区企业、社会企业、合作社、基金会、协会和家庭经营。

这项豁免范围有限：

  • 所收集的信息存在影响信息主体权利和自由的风险，或收集第26条敏感信息的，不适用豁免。
  • 拒绝信息主体行使权利的请求时，仍须记录并说明理由。
  • 豁免的只是处理记录，本文所述的其他义务一项也不能少。

至于个人信息保护专员（DPO），核心业务是收集或使用敏感信息，或持有大量个人信息、需要按委员会公告的标准定期检查的，法律要求必须设置（第41条）。

违法的后果

  • 行政罚款：最高100万泰铢，例如未按第23条告知，或未按请求提供查阅（第82条）；最高300万泰铢，例如没有合法依据而收集，或未遵守第37条（第83条）；涉及敏感信息的最高500万泰铢（第84条）。专家委员会可以先责令改正或警告，并须考虑企业规模（第90条）。
  • 民事责任：须向信息主体赔偿损失，法院还可判令支付不超过实际损失两倍的惩罚性赔偿（第77条和第78条）。
  • 刑事责任：违法使用或披露敏感信息，可能使他人受损或蒙羞的，处6个月以下监禁或50万泰铢以下罚金，或两者并处（第79条）。

就PDPA咨询律师

隐私声明、同意书和与处理者的协议，都应当符合您实际的经营方式。如果需要律师审阅或起草，可以在 Lawmanee 上免费发布您的情况，有意向的律师会通过平台聊天与您联系；也可以按案件类型、府和语言查找律师。