タイのPDPA（個人情報保護法）とは？日本企業が知るべき対象範囲と対応を解説

タイに現地法人や支店を構える企業や、タイ国内に所在する利用者へ商品・サービスを提供したり、その行動をモニタリングしたりするウェブサイトを運営する企業にとって、PDPA（個人情報保護法）への対応は重要な課題です。「PDPA」という単語を見聞きしたものの、自社がどこまで対応すべきか判断できていない担当者の方も多いのではないでしょうか。本記事では、タイのPDPAの基本的な内容から適用対象、求められる義務、違反時の罰則、そしてウェブサイト運営者が押さえるべきCookie（クッキー）等の取り扱いまで、実務に沿ってわかりやすく解説します。

タイのPDPA（個人情報保護法）とは

PDPA（Personal Data Protection Act）は、タイで初めて個人データの取り扱いを包括的に規定した法律です。それまでタイでは、憲法や民商法、通信ビジネス法などに個人情報保護に関する規定が個別に存在していましたが、業種や事業内容を問わず適用される包括的な法律としてはPDPAが初めてとなります。データ管理者やデータ処理者に対して、個人データの収集・利用・開示に関するルールを課しており、タイ国内に拠点を置く事業者だけでなく、タイ国内にいる個人に商品・サービスを提供している場合や、その行動を監視している場合には、タイ国外の事業者にも適用される点が特徴です。適用の有無や必要な対応は、事業者の拠点の所在、取り扱う個人データの種類・規模、機微情報の有無、個人データを処理する目的などによって異なります。

タイのPDPA成立から完全施行までの経緯

タイでは、デジタルプラットフォームやオンライン取引の拡大に伴い個人データの取り扱いが急速に広がった一方、包括的な保護ルールが存在しない状況が続いていました。国際的な取引における信頼確保という観点からも法整備の必要性が指摘されており、こうした背景からEUのGDPRなど国際的な動向も踏まえてPDPAの立法が進められたとされています。

タイのPDPAは2019年5月24日に国王の承認を受け、同月27日に官報に掲載、翌28日に一部条文が施行されました。ただし、個人データの収集・利用・開示や罰則規定など、企業対応が必要となる主要な章については1年間の移行期間が設けられ、当初は2020年5月27日から適用される予定でした。その後、新型コロナウイルスの感染拡大により企業側の準備が間に合わないという声が相次いだことを理由に、完全施行は2021年5月31日まで延期、続いて2022年5月末まで、合計2度にわたり延期されています。最終的に2022年6月1日から主要規定が完全施行されました。また、2022年1月18日には委員長・有識者委員の任命が官報に掲載され、個人情報保護委員会（PDPC）の構成が整いました。

GDPRとタイのPDPAの関係性

タイのPDPAは、EUのGDPR（EU一般データ保護規則）を参考に設計された法律とされています。適法な処理根拠、透明性・事前通知、データ主体（個人データによって特定される本人）の権利、個人データの国外移転規制、データ保護責任者の任命、漏えい通知など、GDPRと共通する考え方が随所に盛り込まれています。ただし、同意は複数ある適法な処理根拠の一つであり、常に明示的な同意が必要なわけではありません。また、罰則の水準や適用除外の範囲などタイ独自の規定も存在するため、GDPR対応の経験がある企業であっても、PDPA固有の要件を個別に確認しておくことが重要です。

比較項目	PDPA（タイ）	GDPR（EU）
完全施行日	2022年6月1日	2018年5月25日
罰則の上限	行政上の過料は違反条項に応じ最大500万バーツ。刑事罰は違反内容に応じて最大1年の懲役・100万バーツ以下の罰金（併科あり）の可能性	制裁金は違反条項に応じ、最大1,000万ユーロまたは全世界年間売上高2%、もしくは最大2,000万ユーロまたは同4%（原則として高い方）
域外適用	あり（タイ国内のデータ主体への商品・サービス提供、またはタイ国内での行動監視など）	あり（EU域内のデータ主体への商品・サービス提供、またはEU域内での行動監視など）
データ漏えい時の通知義務	認識後遅滞なく、可能な場合72時間以内にPDPCへ通知。ただし権利・自由へのリスクが生じる可能性が低い場合は不要。高リスクの場合は本人にも遅滞なく通知	原則72時間以内に監督機関へ通知。ただし権利・自由へのリスクが生じる可能性が低い場合は不要。高リスクの場合は本人にも遅滞なく通知

GDPRの詳細は「GDPR（EU一般データ保護規則）とは？日本企業が知るべき適用範囲と対策を解説」をご確認ください。

タイのPDPAの適用対象

自社がタイのPDPAの対象になるかどうかを判断するには、規制対象となる個人データの範囲と、事業者の区分を理解する必要があります。

適用対象となる個人データ

タイのPDPAにおける個人データとは、氏名や連絡先、識別番号など、直接的または間接的に特定の個人を識別できる情報を指します。ただし、死亡した者に特有の情報は除かれます。機微情報には、民族・人種、政治的意見、宗教・信条、性行動、犯罪歴、健康情報、障害、労働組合情報、遺伝情報、生体情報などが含まれます。機微情報の取り扱いには原則として本人の明示的な同意が必要ですが、生命・身体・健康の保護など法律上の例外もあります。

また、IPアドレスやCookie識別子などは、それ自体または他の情報との組み合わせによって個人を直接または間接に識別できる場合、個人データに該当します。したがって、すべてのCookie情報が当然に個人データとなるわけではなく、実際の利用・照合可能性に即した判断が必要です。

適用対象となる事業者

タイのPDPAは、適用除外や業種別法との関係を除き、個人・法人を問わず、個人データを収集・利用・開示する事業者に広く適用されます。そのうえで、法律上の役割に応じて事業者は「データ管理者」と「データ処理者」に区分され、データ管理者は個人データの収集・利用・開示について意思決定する主体、データ処理者はデータ管理者の指示に基づいて処理を行う主体として位置付けられています。両者は求められる義務の範囲が異なるため、自社がどの処理についてどの立場に当たるかをあらかじめ整理しておくことが重要です。

また、タイ国外のデータ管理者・データ処理者であっても、タイ国内に所在するデータ主体に商品・サービスを提供する活動（支払いの有無を問いません）またはタイ国内で行われるデータ主体の行動をモニタリングする活動に伴って個人データを取り扱う場合、PDPAの域外適用を受けます。

例えば、日本企業がタイ国内の消費者向けに越境ECで商品を販売し、その過程で個人データを取り扱う場合や、タイ国内の利用者の行動を広告・解析タグでモニタリングする場合は、域外適用の対象となり得ます。タイ語表示はタイ市場への提供を示す事情の一つになり得ますが、それだけで適用の有無が決まるわけではない点に注意が必要です。タイに現地法人や支店がないことだけを理由に、PDPA対応が不要と判断することはできません。

なお、域外適用を受けるタイ国外のデータ管理者・データ処理者は、一定の例外を除き、タイ国内に書面で代理人を選任しなければなりません。代理人は、個人データの収集・利用・開示に関して管理者または処理者を代理する権限を持つ必要があります。

タイのPDPAで求められる主な義務

タイのPDPAはさまざまな義務を事業者に課していますが、実務上優先度の高いものとして、処理目的ごとの適法な根拠と通知、必要な場合の同意取得、データ主体の権利への対応、国際移転規制、安全管理措置、DPO任命、データ漏えい時の通知、域外適用時の代理人選任などが挙げられます。

適法な処理根拠・同意取得・通知

個人データの収集・利用・開示には、同意のほか、契約の履行、法的義務、正当な利益、公共の利益、生命・身体・健康に対する危険の防止など、PDPAが定める適法な根拠があります。したがって、すべての処理で同意を取得するのではなく、目的ごとに根拠を特定する必要があります。

同意を根拠とする場合は、目的を示したうえで、明確かつ分かりやすく、他の事項と区別し、自由意思に基づいて取得しなければなりません。契約やサービスに不要な処理への同意を条件とすることはできず、撤回は同意取得と同程度に容易である必要があります。収集前または収集時には、利用目的と処理根拠、提供が法令・契約上必要かどうかと不提供時の影響、個人データの種類、保管期間、開示先の区分、管理者・代理人・DPOの連絡先（該当する場合）、データ主体の権利などを通知します。外部の広告代理店やシステム開発会社などにデータ処理を委託する場合は、管理者と処理者の間で、処理内容、指示、安全管理措置、漏えい時の連絡などを定める契約を整備する必要があります。

個人データの国際移転（越境移転）規制

個人データをタイ国外に送信・移転する場合、原則として移転先の国・国際機関に十分な保護水準があることが求められます。十分性が認められない場合でも、法定の例外、PDPCの認証を受けた拘束的企業準則（BCR）、またはデータ主体の権利行使と実効的な救済を確保する適切な保護措置に基づいて移転できる場合があります。

2024年3月24日に施行されたPDPC通知では、ASEANの越境データ移転向け標準契約条項（MCC）やEUの標準契約条項（SCC）を基礎にした契約条項も、PDPCの要件を満たす限り利用し得ますが、既存の条項をそのまま採用すれば常に足りるわけではありません。日本のグループ会社への共有、日本のサーバーや海外クラウドでの保管・処理も対象になり得るため、移転経路、再移転、データセンター所在地、契約上の保護措置を確認する必要があります。

データ主体の権利への対応

タイのPDPAは、データ主体に対して、アクセス・写しの取得、同意なく取得した場合の取得元の開示、訂正、削除・匿名化、利用制限、データポータビリティ、異議申立て、同意撤回、PDPCへの苦情申立てなどの権利を保障しています。各権利には適用要件や法定の拒否事由があるため、請求を一律に受け入れる、または拒否するのではなく、本人確認、判断、回答、記録の手続きを整備する必要があります。アクセス請求への対応期限は原則として30日以内です。2026年9月14日以降は、2026年のPDPC通知が定める本人確認、期限延長、提供方法、手数料、記録保存などの手続きへの対応も求められます。同意撤回についても、同意取得と同程度に容易な方法で行えるようにしておく必要があります。

適切な安全管理措置（セキュリティ対策）の実施

タイのPDPAは、データ管理者とデータ処理者に対し、それぞれの立場に応じて、無権限または違法な紛失、アクセス、利用、変更、訂正、開示を防ぐ適切な安全管理措置を求めています。アクセス制御や権限管理などの技術的対策に加え、社内規程、責任分担、従業員教育などの組織的対策、必要に応じた物理的対策を整備し、技術やリスクの変化に応じて見直す必要があります。ウェブサイトに組み込む外部サービスについても、役割分担を契約で明確にし、委託先のセキュリティ水準と実際の運用を継続的に確認することが重要です。

データ保護責任者（DPO）の任命

データ管理者・データ処理者は、1.PDPCが指定する公的機関、2.中核的活動が大規模な個人データの定期的・体系的なモニタリングを伴う場合、または3.中核的活動が機微情報の処理である場合に、データ保護責任者（DPO）を選任しなければなりません。2023年の通知では、10万人以上のデータ主体に関する処理や、大規模な利用者基盤を用いる行動ターゲティング広告などが大規模処理の例として挙げられています。

DPOは従業員から選任することも外部に委託することもでき、連絡先をデータ主体とPDPCに通知する必要があります。管理者・処理者には処理活動記録（ROPA）の作成・保持義務も課されます。小規模事業者向けの免除はありますが、権利・自由へのリスクがある処理、一時的・偶発的でない処理、機微情報の処理などは対象外です。また、管理者については、アクセス請求等を拒否した事実と理由の記録は小規模事業者でも免除されません。

個人データ漏えい時の通知義務

データ管理者は、個人データ漏えいを認識した場合、遅滞なく、実行可能なときは認識後72時間以内にPDPCへ通知します。ただし、データ主体の権利・自由に対するリスクが生じる可能性が低い場合は通知不要です。高リスクが見込まれる場合は、影響を受けるデータ主体にも漏えいの内容と是正措置を遅滞なく通知する必要があります。データ処理者は、漏えいを認識したときにデータ管理者へ通知します。CMPツールによる外部サービスの可視化は調査の助けになりますが、通知判断、証拠保全、社内連絡、当局・本人通知を含むインシデント対応計画も別途整備しておく必要があります。

タイのPDPA違反時の罰則

タイのPDPAには刑事罰・行政罰・民事責任の3種類の罰則が定められています。

刑事罰はすべての違反に適用されるわけではなく、機微情報について一定の違法な利用・開示・国外移転を行い、他人に損害や名誉侵害等を生じさせるおそれがある場合などに限られます。該当する場合、6か月以下の懲役もしくは50万バーツ以下の罰金、または不正な利益を得る目的がある場合は1年以下の懲役もしくは100万バーツ以下の罰金が科される可能性があり、いずれも併科される場合があります。法人の違反が取締役、管理者等の指示・行為・不作為に起因するときは、その個人も刑事責任を問われる可能性があります。

行政上の過料は、違反した条項に応じて最大100万バーツ、300万バーツまたは500万バーツと段階的に定められています。専門委員会は、事情に応じて、過料を科す前に警告や是正命令を行うこともできます。したがって、「一般的な個人データは一律300万バーツ、機微情報は一律500万バーツ」という区分ではありません。

民事責任については、PDPA違反によってデータ主体に損害を与えた場合、故意・過失の有無にかかわらず賠償責任を負うのが原則です。ただし、不可抗力やデータ主体自身の行為・不作為、適法な公務員の命令に従ったことを立証した場合などは例外があります。裁判所は、実損の賠償に加えて、実損額の2倍を上限とする懲罰的損害賠償を命じることができます。

ウェブサイトにおけるタイのPDPA対応

PDPAへの対応というと社内の個人データ管理体制の整備をイメージしがちですが、ウェブサイト運営そのものにも対応が必要な場面が多くあります。

Cookie・アクセス解析がタイのPDPAの対象になり得る理由

タイのPDPA自体にはCookieを直接規定する条文はありません。ただし、Cookie識別子、IPアドレス、閲覧履歴などが、それ自体または他の情報との組み合わせにより個人を識別できる場合、その情報は個人データとしてPDPAの対象になります。例えば、Cookie識別子単体では個人を識別できなくても、会員IDや購買履歴とひも付けて特定のユーザーを継続的に識別できる状態になれば、個人データとして扱われます。また、外部サービスのタグを設置したサイト運営者がデータ管理者に当たるか、サービス提供者がデータ管理者またはデータ処理者に当たるかは、実際に誰が処理目的と方法を決定しているかによって判断します。アクセス解析、広告配信、SNS埋め込み、チャットなどのタグについて、送信先、取得項目、目的、処理根拠、保存期間、越境移転の有無を洗い出すことが対応の出発点です。

Cookie同意バナーを設置する場合のポイント

タイのPDPAがCookie全般について一律にオプトインを要求しているわけではありません。まず、Cookieごとに、何のために使うのか（目的）、何を取得しているのか（取得情報）、個人を識別できる情報かどうか（識別可能性）、そして同意を取らなくても契約の履行など他の適法な根拠で扱えるかどうか（処理根拠）を整理します。契約の履行等に必要なCookieは、同意以外の根拠を用いる余地があります。一方、分析・広告などの非必須Cookieについて同意を根拠とする場合は、有効な同意を得る前に読み込ませない運用が必要です。「サイトの閲覧継続をもって同意」とするだけでは、通常、明示的で自由意思に基づく同意の要件を満たしません。拒否や設定変更を容易にし、目的別の選択肢、同意・撤回の記録を整えることは、PDPAの条文が特定のUIを一律に指定しているわけではないものの、同意の有効性を示すうえで重要です。

プライバシーポリシーの見直しポイント

タイのPDPAへの対応にあたっては、プライバシーポリシーまたはプライバシーノーティスの記載内容も見直しが必要です。収集前または収集時の通知には、処理目的と処理根拠、データ提供が法令・契約上必要かどうかと不提供時の影響、個人データの種類、保管期間、開示先の区分、データ管理者・タイ国内代理人・DPOの連絡先（該当する場合）、データ主体の権利と行使方法などを含める必要があります。

越境移転を行う場合は、移転の概要と用いる保護措置も分かりやすく説明することが望まれます。通知はアクセスしやすく、理解可能な平易な表現で行わなければなりません。タイ語版が条文上常に義務と明記されているわけではありませんが、タイ国内の利用者を対象とする場合、実際に理解できる言語としてタイ語を用意することが実務上重要です。GDPRや日本の電気通信事業法向けの既存文書を流用する場合も、PDPA固有の要件を個別に確認する必要があります。

CMPツールを活用したタイのPDPA対応

ウェブサイトへCookie同意バナーの設置やプライバシーポリシーの整備を自社のみで行う場合、外部サービスの洗い出し、多言語対応、同意記録など、担当者の負荷が大きくなりがちです。CMPツール（同意管理プラットフォーム）を活用することで、これらの作業を効率化できます。ただし、CMPは法令対応を支援するツールであり、処理根拠の判断、契約、社内体制、設定後の検証まで自動的に代替するものではありません。

CMPツールでできること

CMPツールの基本機能は、ウェブサイトに組み込まれた外部サービスについて、同意状況に応じてCookieや外部通信を制御することです。外部サービスの把握方法はツールによって異なり、Cookie・タグの設定にもとづいて個別に制御する製品もあれば、通信ベースで自動的に検知・遮断する製品もあります。また、バナーのデザイン・文言のカスタマイズ、タイ語を含む多言語表示、アクセス元の地域に応じた出し分け、同意状況の記録・出力といった機能の充実度も、ツールによって差があります。選定時には、対応言語・地域、検知・制御の方式、同意記録の保存期間と出力形式、撤回手段、PDPA以外の適用法への対応範囲を比較します。導入後も、実際のタグ発火、文言、目的分類、処理根拠が自社のデータフローと一致しているかを検証する必要があります。

タイのPDPA対応を支援するCMPツール『webtru』

『webtru（ウェブトゥルー）』は、タイのPDPAやGDPR、日本の電気通信事業法の外部送信規律などへの対応を支援する国産シェアNo.1のCMPツールです。（2026年8月時点当社調べ）

独自開発の特許技術により、ウェブサイト上で動作する広告タグやアクセス解析タグなどの外部送信先を通信ベースで自動的に検知・分類します。Cookie・タグの個別設定に頼る従来型のツールと異なり、検知漏れや分類漏れが生じにくく、新しい外部サービスを追加した際も設定の手間がかかりません。ユーザーが同意するまで非必須のCookieを同意前に読み込ませない「ゼロクッキーロード」に対応しており、タイのPDPAが求めるオプトイン方式の同意取得を実現します。

外部サービスの自動検知・分類

ウェブサイトに設置されている広告・アクセス解析などの外部サービスを自動検知・分類します。自社サイトにどのような外部通信が発生しているかを効率的に把握でき、タイのPDPA対応の第一歩となる外部サービスの棚卸しをサポートします。

同意バナーのデザイン・カスタマイズ

同意と拒否を同等かつ容易に選択できるUI要件に対応した同意バナーを、自社サイトのデザインに合わせてかんたんにカスタマイズできます。

多言語・地域別対応

webtruはタイ語の同意バナーをはじめ、世界140か国以上の言語に対応しています。また、CCPAのオプトアウトバナーなど、国・地域の法規制に応じて異なる方式の同意バナーを出し分けることも可能です。タイのPDPA対応を検討されている方は、ぜひwebtruの無料のサービス資料をご確認ください。

タイのPDPAにおいてよくある質問