Dieses Gesetz gilt für die Erhebung, Verwendung oder Weitergabe personenbezogener Daten im Königreich Thailand durch einen Datenverarbeiter oder Datenverantwortlichen, auch wenn diese Weitergabe, Verwendung oder Erhebung nicht in Thailand stattfindet. Sollte sich ein Datenverarbeiter oder Datenverantwortlicher außerhalb Thailands befinden, gilt das Gesetz dennoch für die betroffenen Personen in Thailand.
"Personenbezogene Daten" sind alle Informationen, die sich auf eine bestimmte Person beziehen und die direkt oder indirekt die Identifizierung dieser Person ermöglichen, jedoch nicht die Informationen über Verstorbene;
Der Begriff "für die Datenverarbeitung Verantwortlicher" bezeichnet eine natürliche oder juristische Person, die die Befugnis und die Pflichten hat, Entscheidungen über die Erhebung, Verwendung oder Weitergabe von personenbezogenen Daten zu treffen;
"Datenverarbeiter" bezeichnet eine natürliche oder juristische Person, die im Zusammenhang mit der Erhebung, Verwendung oder Weitergabe personenbezogener Daten gemäß den von einem für die Datenverarbeitung Verantwortlichen oder in dessen Namen erteilten Aufträgen tätig wird, wobei diese natürliche oder juristische Person nicht der für die Datenverarbeitung Verantwortliche ist.
Das Gesetz zum Schutz personenbezogener Daten wurde erstmals 2019 veröffentlicht, und es gab einen Zeitraum von einem Jahr, in dem Unternehmen und andere Einrichtungen das Gesetz hinsichtlich der Strafen bei Nichteinhaltung, der Pflichten eines für die Datenverarbeitung Verantwortlichen und der Rechte einer betroffenen Person umsetzen konnten.
Das Büro des Datenschutzausschusses ist die wichtigste Aufsichtsbehörde, und das Ministerium für digitale Wirtschaft und Gesellschaft ist die Aufsichtsbehörde des PDPA.
Anwendung des PDPA
Im Allgemeinen gilt das PDPA für jede Weitergabe, Verwendung und Sammlung von Daten in Thailand oder in Bezug auf thailändische Bürger. Es gibt einige Fälle, in denen Datenverarbeiter und für die Datenverarbeitung Verantwortliche das PDPA einhalten müssen, auch wenn sie außerhalb Thailands tätig sind:
Rechtliche Grundlagen für die Erhebung, Verwendung und Weitergabe von personenbezogenen Daten
Es gibt nur sechs rechtmäßige Erlaubnisse für diese Praxis. In allen anderen Fällen ist die Zustimmung der betroffenen Person erforderlich.
Zu den rechtlich zulässigen Praktiken gehören:
Es gibt Kriterien, die erfüllt sein müssen, damit die Einwilligung als gültig angesehen wird:
Die betroffene Person muss zum Zeitpunkt der Erhebung der Daten einen Datenschutzhinweis erhalten. Der Hinweis muss die folgenden Informationen enthalten:
Sobald ein für die Datenverarbeitung Verantwortlicher von einer Datenschutzverletzung erfährt, die den Schutz personenbezogener Daten beeinträchtigt, hat er 72 Stunden Zeit, um das Amt zu benachrichtigen. Wenn die Datenschutzverletzung erhebliche Auswirkungen hat oder ein hohes Risiko für die Freiheit und die Rechte der betroffenen Person darstellt, muss die betroffene Person ebenfalls so schnell wie möglich informiert werden.
Es ist die Pflicht des für die Datenverarbeitung Verantwortlichen, die Daten sicher zu verwahren:
Zwar wurden "angemessene Datenschutzstandards" noch nicht offiziell festgelegt, aber es wird erwartet, dass bei der Übermittlung personenbezogener Daten in andere Länder der Welt das betreffende Land über angemessene Datenschutzstandards verfügen muss. Die einzige Ausnahme ist, wenn Ausnahmen erfüllt sind.
Je nach Schwere der Verstöße gegen das Gesetz zum Schutz personenbezogener Daten können entweder Bußgelder, Geldstrafen, strafrechtliche Haftung oder zivilrechtliche Haftung verhängt werden.
Wenn beispielsweise die Zustimmung gesetzlich vorgeschrieben war, ein für die Datenverarbeitung Verantwortlicher aber ohne Zustimmung Daten von einer betroffenen Person erhoben hat, wird er mit einer Geldstrafe von bis zu THB 3 Millionen belegt.
Daten, die vor dem 27. Mai 2020 erhoben wurden, können weiterhin verwendet werden, sofern der für die Datenverarbeitung Verantwortliche die folgenden Schritte unternimmt:
In kleineren Unternehmen ist es vielleicht einfacher, die Einhaltung der Vorschriften zu gewährleisten, da Dinge wie unzulässige Ausbeutung schwieriger zu vertuschen sind. Andere wichtige Aspekte sind leichter zu überblicken und eine direktere Kommunikation mit den Betroffenen ist möglich. Dateneigentümer können bei Bedarf wirklich Zeit und Mühe in die Datenübertragbarkeit investieren, sowie in das Bestreben, bei Bedarf eine Einwilligung zu erhalten und sicherzustellen, dass das konsolidierte Gesetz von den für die Datenverarbeitung Verantwortlichen genau befolgt wird. Auch die Kommunikation und Transparenz mit der betroffenen Person vor der Datenerfassung ist im digitalen Zeitalter einfacher, und die Verarbeitungsaktivitäten sind weniger zeitaufwendig, wenn der Datenbestand kleiner ist.
Denken Sie daran, dass Sie im Falle einer Datenübertragung sicherstellen sollten, dass der für die Datenverarbeitung Verantwortliche entsprechende Mitteilungen versendet. Die thailändische Regierung wird sowohl Strafschadensersatz als auch strafrechtliche Sanktionen für die Verletzung der Vertraulichkeit und die Nichteinhaltung der Standards für geistiges Eigentum verhängen. Das digitale Zeitalter hat die Art und Weise, wie Daten und solche Interessen auf der ganzen Welt verwaltet werden, stark beeinflusst, und Thailand ist nicht das einzige Land mit einem neuen Gesetz zum Datenschutz.
Die Strafen können bis zu einer hohen Geldstrafe oder bis zu einem Jahr Haft reichen, insbesondere bei sehr sensiblen (z.B. im Bereich der öffentlichen Gesundheit) oder umfangreichen Datenverstößen. Denken Sie daran, dass dieses Gesetz ein königlicher Erlass ist und Thailand auf internationale Standards vorbereiten soll.
Sollten Sie Opfer einer Verletzung oder eines Verlustes Ihrer persönlichen Daten geworden sein, zögern Sie nicht, uns zu kontaktieren. Juslaws & Consult ist immer da, um Ihre Interessen zu schützen.
