海外に親会社や関連会社を持つタイの会社には、次のようなメールが届きます。「従業員リストを給与付きで本社に送ってください」「タイの全顧客のCRMにログインできるようにしてください」「内部監査チームが来訪するので、人事ファイルと顧客契約を事前に送ってください」。経理や人事は上からの指示としてそのまま応じがちです。しかし法律上、従業員と顧客に対して責任を負うのは、データの管理者であるタイ子会社です。同じグループであることは、データを渡してよい理由にはなりません。
結論
従業員や顧客のデータを親会社に送る前に、タイ子会社は次の五点に答えられなければなりません。何のための要求か。求められたデータはその目的に本当に必要か。親会社の役割は何か(別の管理者、共同管理者、処理者のいずれか)。目的ごとの適法な根拠は何か。データが国外に出るとき、個人データ保護法 B.E. 2562(2019年)の第28条または第29条のどの手段を使うか。あわせて、顧客契約に秘密保持条項がないかも確認してください。これはPDPAとは別に、タイ子会社を拘束するからです。
最も安全な答えは「送る」か「送らない」かではなく、「どこまで、どのように」であることがほとんどです。個人別のデータではなく合計値や個人を特定しないデータを送る、必要な項目と必要な人にだけアクセスを許可する、最初のデータがタイを出る前にグループ内データ移転契約を結ぶ、といった対応です。
当事務所の実務上の見方 よくある問題は、悪意ではなく、先に送ってから書類を探すことです。従業員から苦情が出たり、顧客からデータの行き先を聞かれたりしたとき、タイ子会社は送付の理由も閲覧者も説明できません。本社に回答する前に1ページのデータマップを作るほうが、後から長い契約書を整えるより役に立ちます。
1. まず要求を整理する:何を、誰の、何のために
「送れますか」から始めないでください。本社に要求を書面で明示させ、判断の前にタイ子会社が次の表を埋めます。
| 項目 | 答えるべき問い |
|---|---|
| どのデータか | どの項目か(氏名、身分証番号、給与、健康記録、住所、購買履歴)。要配慮データを含むか |
| 誰のデータか | 現従業員、元従業員、応募者、個人顧客、法人顧客の担当者のいずれか |
| 何のためか | グループの給与集計、財務報告、内部監査、地域人事、国境をまたぐ販売など |
| 誰が見るか | 親会社のどのチームか、何人か、どの国か、再委託先やクラウド事業者はいるか |
| どこに保存するか | 誰のサーバーまたはクラウドか、どの国か |
| いつまでか | 期限はいつか。削除または返却はいつか、誰が削除を確認するか |
「念のため」「グループ方針だから」のように、「何のため」に明確に答えられない要求は少なくありません。答えられないなら、送る時期ではないと考えてください。法律は、適法な目的に必要な範囲でのみ収集を認め(第22条)、収集時に通知した目的の範囲でのみ利用・開示を認めています(第21条)。
2. タイ子会社と親会社の役割は何か
PDPAは、収集・利用・開示を決める「データ管理者」と、管理者の指示に従う「データ処理者」を区別します。役割は、誰が目的と方法を決めているかという事実で決まり、契約書の名称では決まりません。
- タイ子会社 は、すでに保有している従業員・顧客データの管理者です。本社から要求があるかどうかは関係ありません。
- 親会社 は、実際に行うことに応じて次の三つのいずれかになり得ます。
| 役割 | よくあるパターン | 書類への影響 |
|---|---|---|
| 別の管理者 | 本社が自らの目的(グループの人件費分析、地域の昇進判断など)でデータを使う | 本社に固有の適法根拠と義務が必要。受領者について従業員・顧客へ通知する |
| 共同管理者 | タイ子会社と本社が、何を収集しどう使うかを共同で決める(両社が条件を定める共通のHRシステムやCRMなど) | データ主体への通知、請求対応、漏えい時の責任を誰が負うかを書面で合意する |
| 処理者 | 本社がタイ子会社の指示でシステムをホストし、または給与計算を代行するだけ | データ処理契約が必要。処理者は指示に従い、安全管理を行い、漏えいを報告し、記録を保持する(第40条)。指示の範囲を超えれば、その処理について管理者とみなされる |
答えを変えかねない点があります。契約で処理者とされていても、本社がタイの従業員のデータを自らの目的に使うなら、事実は別の管理者を示しており、役割を誤って書いた書類はタイ子会社を守りません。
3. 目的ごとにどの適法根拠を使うか
適法根拠は、要求全体に一つ当てるのではなく、目的ごとに決めます。第24条は、同意なしに収集できる根拠として、契約、法令の遵守、管理者または第三者の正当な利益(データ主体の基本的権利が優先する場合を除く)、生命の保護、公共の利益に関する任務、歴史・研究目的を定めています。第19条は同意を扱います。
| 目的 | よく使える根拠 | 注意点 |
|---|---|---|
| タイ人従業員の給与、税、社会保険 | 雇用契約と法令の遵守 | すでにタイ国内で行っており、個人別の記録を本社に送る必要があるという意味ではない |
| 本社がグループの人件費レポートを作る | グループの正当な利益 | 従業員の権利との比較衡量が必要。集計データで足りることが多い |
| グループの内部監査・財務監査 | 正当な利益 | サンプルと期間を限定し、監査に必要な範囲に絞る |
| 複数国で使う共通HRシステム | 契約または正当な利益 | プライバシー通知で受領者と移転先の国を明示する |
| 本社が顧客データをグループのマーケティングに使う | 多くは顧客の同意 | 新しい目的での利用は、法律が許さない限り、通知と新たな同意が必要(第21条) |
| 顧客が注文し、親会社が一部を提供する | 顧客との契約 | その契約の履行に必要な範囲だけ送る |
従業員の同意には特別な注意が必要です。第19条は、管理者が本人の自由な判断を尊重することを求め、契約に必要のないデータについて同意を契約の条件にすることを禁じています。データ主体はいつでも同意を撤回できます。同意だけを根拠にしていると、撤回した従業員が出たときに会社は行き詰まります。可能であれば、別の根拠を主にしてください。
4. 最小限だけ送る:個人別の給与ではなく集計給与
データ最小化は、最も安価で効果的な手段です。本社の要求の多くは、個人別データを必要としません。
| 本社が必要とするもの | 全項目(リスク大) | 最小化した形 |
|---|---|---|
| グループ決算用の人件費 | 氏名・身分証番号付きの個人別給与 | 部門や等級別の合計、平均 |
| 報酬体系の分析 | 氏名付きの個人記録 | 氏名の代わりに従業員コード。身分証番号、住所、生年月日の全体を除く |
| 給与が正しく支払われているかの内部監査 | ファイル全体の写し | 限定した無作為サンプルを、タイ子会社のデータルームで閲覧 |
| 離職レポート | 退職者の個別理由付き一覧 | 理由区分ごとの件数と率 |
真に匿名化されたデータは個人データではありません。一方、氏名をコードに置き換えただけ(仮名化)のデータは、本社が元に戻せる場合、たとえばコードと氏名の対応表がある場合には、個人データのままであり得ます。対応表はタイ子会社だけが保管し、また、1人しかいない部門のように、役職や給与から個人が特定できるほどデータが小さくないかも確認してください。
要配慮データ 第26条は、健康情報、犯罪歴、生体データ、遺伝情報、障害、労働組合への加入などを挙げ、明示的な同意なしの収集を禁止しています。例外は、労働者保護や社会保障に関する法令の遵守に必要な場合や、法的請求権の確立に必要な場合などです。職場の例は、病欠の診断書、年次健康診断の結果、指紋式タイムレコーダーのデータ、採用前の犯罪経歴調査です。出発点は、これらを本社に送らないことです。「経歴調査に合格」のような要約で足りるなら、要約だけを送ってください。
5. データが国外に出るとき:第28条と第29条
タイ国内に保存されたデータを本社が海外から閲覧できるようにすること、またはファイルを国外へ送ることは、個人データの国外移転にあたります。管理者には主に四つの手段があります。
手段1:移転先に十分な保護水準がある(第28条) 第28条は、移転先の国または国際機関が、個人データ保護委員会の定める基準に従った十分な保護水準を持つことを求めています。第28条・第29条に関する2023年の告示は、2024年3月24日に施行されました。告示によれば、移転先にはPDPAと整合する法的措置と監督機関が必要で、委員会は個別に判断することがあります。この手段に頼る前に、本社の所在国が十分と認められているかを確認してください。思い込みは禁物です。
手段2:認証を受けたグループ内方針(BCR、第29条) 同じ企業グループ・事業グループに属する受領者への移転に使え、双方の方針が委員会事務局の審査・認証を受けている必要があります。方針は、グループの全社と従業員を拘束し、データ主体の権利と苦情対応を保証し、最低限の安全管理基準を満たさなければなりません。BCRは、データのやり取りが頻繁で、認証手続に投資できる大規模グループに向いています。本社が認証済みのBCRを持たないなら、この手段は使えません。
手段3:適切な保護措置(第29条第2項) 十分性の判断がなく、認証済みBCRもない場合でも、データ主体が権利を行使でき、有効な法的救済がある適切な保護措置があれば、移転は可能です。告示によれば、形式の一つは契約条項で、告示が認める標準条項(ASEANモデル契約条項、EU標準契約条項など)か、告示が定める最低限の内容を備えて当事者が作成した契約のいずれかです。もう一つは、送り手または受け手の実務に対する認証です。個人データ保護委員会事務局は、ひな形契約をウェブサイトで公開しています。外資グループのタイ子会社にとっては、これが実務上最も早い手段です。
手段4:第28条の例外 最初の三つに当てはまらなくても、法令の遵守、移転先の保護水準が不十分であることを知らされたうえでの同意、データ主体が当事者である契約の履行に必要な場合、生命の保護などでは移転できます。これらの例外は狭く解釈され、日常的な移転にはほとんど合いません。
- 同意 は、第3項の理由から従業員には使いにくく、移転先のリスクを先に説明する必要もあります。
- 契約上の必要性 は、移転が契約に真に必要な場合、たとえば親会社へ出向する従業員のデータがそこで必要な場合に当てはまります。タイ人従業員への雇用契約上の給与支払は、通常、本社に個人別記録を持たせる必要がないため、本社へのレポートの根拠にするのは容易ではありません。
第28条と第29条が解決するのは「国外に出る」という問題だけです。本社への開示について、第24条または第19条に基づく適法根拠が引き続き必要で、データ主体への通知も必要です。
6. 顧客契約に開示禁止条項はないか
PDPAが許すことと契約が許すことは同じではありません。法人顧客、とくに銀行、病院、官公庁、上場企業の多くは、秘密保持条項、再委託の制限、データの国内保存要件を契約に入れています。本社にCRMを開放する前に、次を確認します。
- その顧客のデータが「秘密情報」と定義され、関連会社への開示が禁じられていないか
- 第三者のアクセス前に書面の承認が必要か。親会社は第三者にあたるか
- タイ国外での保存・処理が禁止されていないか
- 本社が従うべき安全基準、監査権、事故通知の定めがないか
制限があるなら、顧客の書面同意を得る、その顧客と無関係のデータだけを送る、タイのチームが作業する、といった対応になります。秘密保持条項の違反は契約違反であり、PDPAを満たしていても、損害賠償や契約解除につながり得ます。
7. プライバシー通知は本社への送付をカバーしているか
第23条は、収集前または収集時に、目的、収集するデータと保存期間、開示先の類型、管理者の情報、本人の権利を通知するよう求めています。従業員と顧客にすでに出した通知が、次の点に触れているか確認してください。
- データが親会社やグループ会社に開示されること、およびその目的
- データが国外に送られ、または保存されること(可能な限り国や地域を明記)
- 適用する保護措置(標準契約条項など)
触れていなければ、送る前に改めて通知します。新しい目的が当初通知した目的と異なるなら、第21条により、法律が許さない限り、新しい目的を通知し、先に同意を得る必要があります。データ収集後に方針へ広い文言を足すだけでは足りない可能性があります。
8. 送付後:アクセス、記録、削除
タイ子会社の義務は送付で終わりません。第37条は、安全管理措置、管理者でない受領者が不正に利用・開示しないようにする措置、保存期間の経過後や不要になったときにデータを削除・破棄する仕組みを求めています。実務では次を定めます。
- 必要な範囲のアクセス 本社の利用者を一覧にし、閲覧のみで必要な項目に限る。不要ならダウンロードやエクスポートを無効にする
- アクセスログ 誰が何をいつ見たかを記録し、定期的に確認する
- 再移転の禁止 タイ子会社の許可なく、本社が他社や委託先に渡すことを禁止する
- 監査:終了後に削除 監査の終了後、期限までに本社が写しを削除または返却し、書面で確認するようにする
- 漏えいの報告 本社はただちにタイ子会社へ通知する。管理者であるタイ子会社は、不当に遅れることなく、可能なら認識から72時間以内に事務局へ通知する義務がある(個人の権利自由へのリスクが生じるおそれがない場合を除く。第37条)。対応計画は顧客データ漏えいの初動に関するガイドを参照
管理者であるタイ子会社は、第39条に基づく処理記録の作成も必要です。保有データ、目的、保存期間、受領者、安全管理措置を含み、本社への移転もこの記録に載せてください。
9. 準備する書類
| 書類 | 使う場面 | 主な内容 |
|---|---|---|
| グループ内データ移転契約 | 本社が別の管理者または共同管理者 | 目的、データの種類、アクセス者、第29条の標準条項、データ主体の権利、再移転、漏えい通知、削除、準拠法と管轄 |
| データ処理契約 | 本社が処理者 | 指示のみに従う、安全管理、漏えい通知、再処理者、返却または削除(第40条) |
| 移転記録 | 新しいデータセットを送るたび | 日付、データセット、受領者、適法根拠、第28/29条の手段、承認者 |
| 簡易リスク評価メモ(DPIA相当) | 要配慮データ、大量データ、広いアクセス | 必要性、より侵害の少ない選択肢、データ主体へのリスク、軽減策 |
| 改訂版プライバシー通知 | 既存の通知が対象外のとき | 受領者、目的、移転先の国、保護措置 |
| 顧客の同意書 | 顧客契約が開示を禁止している | データ、受領者、範囲、期間 |
書類はすべてタイ子会社の権限ある取締役が署名し、従業員の苦情や当局の求めに応じて示せるよう、一つのファイルにまとめて保管してください。
10. 場面別の判断表
| 場面 | より安全な方法 | 必要なもの |
|---|---|---|
| 給与データを本社に送る(グループ決算用) | 部門別の合計、または氏名の代わりにコードを付けた個人記録を送る。身分証番号と健康情報は除く | 正当な利益または契約の根拠、グループ内データ移転契約、従業員への通知 |
| 本社にCRMアクセスを与える(タイの顧客の閲覧) | 必要な項目とチームに限った閲覧専用アクセス。エクスポートは無効。先に顧客契約を確認 | 移転契約または処理契約、アクセスログ、契約が禁止するなら顧客の同意 |
| 海外チームが内部監査を行う | タイ子会社のデータルームまたは画面共有で閲覧。無作為サンプル。ファイル全体は送らない | 書面の監査範囲、秘密保持の誓約、監査後の削除 |
| 本社が共通HRシステムを運用する(タイ人従業員のデータを保持) | システムに載せる項目を定め、要配慮データはタイ国内に置く | 移転契約または共同管理の取り決め、リスクメモ、新しいプライバシー通知 |
| 本社が健康情報や犯罪歴を求める | 原本ではなく要約結果だけを送る | 先に第26条の例外を確認。必要なら明示的な同意 |
| 本社が国境をまたぐマーケティングに顧客データを使いたい | 顧客から別個の同意を得る | 同意の根拠、撤回の方法、受領者の通知 |
11. よくある間違い
- グループ会社は書類なしでデータをやり取りできると考える。 PDPAに親子会社への自動的な例外はありません。直接関係する仕組みは、第29条の認証済みBCRです。
- 従業員の同意だけに頼る。 同意は撤回でき、使用者と従業員の力関係から、その自由さに疑問が生じます。
- 本社に求められたから全項目を送る。 多くの要求は集計データで足ります。先に「何に使うのか」を尋ねてください。
- 書類上は本社を処理者としながら、本社が自らのためにデータを使う。 実際の役割は契約上の呼び名より重く見られます。
- 顧客契約を忘れる。 PDPAの確認は通っても、秘密保持条項に違反します。
- ファイルをメールや私的チャットで送る。 ログがなく、転送を管理できず、取り戻せません。
- 監査後の削除日を決めない。 データが本社に無期限に残ります。
- 従業員と顧客に知らせない。 既存のプライバシー通知は親会社にも海外の受領者にも触れていません。
12. 本社に回答する前のチェックリスト
- 本社に要求を書面で示させる:どのデータか、誰のか、何のためか、誰が見るか、どこに保存するか、いつまでか
- そのデータが目的に本当に必要か、氏名の代わりに合計やコードで足りないかを確認する
- 本社の実際の役割を特定する:別の管理者、共同管理者、処理者
- 目的ごとに適法根拠を決め、従業員の同意だけに頼らない
- 要配慮データ(健康、犯罪、生体など)を除くか、要約結果だけを送る
- 越境移転の手段を選ぶ:十分性のある移転先、BCR、標準契約条項、第28条の例外
- 主要顧客の契約を読む:秘密保持、第三者アクセスの制限、データの国内保存条件
- プライバシー通知が親会社と海外の受領者をカバーしているか確認し、なければ再通知する
- 最初のデータセットを送る前に、データ移転契約または処理契約に署名する
- アクセスを制限し、ログを有効にし、再移転を禁止し、データの削除または返却の期日を定める
- 送付を処理記録(第39条)に記載し、すべての書類を一つのファイルに保管する
関連ガイド
- 法務部門のない外国企業が、タイの子会社を管理する方法 — 本社とタイ子会社の間の報告系統と承認
- 顧客データが漏えいしたとき、最初にすべきこと — 本社に送ったデータが漏れた場合の72時間対応計画
- 従業員が顧客データをChatGPTで扱う場合に会社が必要とするAI方針 — 外部ツールに出ていく顧客データの管理
- 元従業員が顧客リストを持ち出した場合 — 営業秘密と事前に備えるべき書類
従業員や顧客のデータを親会社に送る前に、何のためか、必要な範囲だけか、親会社の役割は何か、第28条と第29条のどの手段によるのか、顧客契約が許しているかを説明できるようにしてください。そして、最初のデータがタイを出る前に書類を整えてください。
当事務所は、外国親会社を持つタイの会社のために、グループ内データ移転契約とデータ処理契約の起案、開示を制限する顧客契約の確認、プライバシー通知の改訂、本社からの要求への対応方法の整備をお手伝いします。初回相談をご希望の方は、+66 92 254 2045 までお電話いただくか、詳細をお送りください。あわせてPDPA対応、契約書・書類もご覧ください。
本ガイドはスワンワラ法律事務所（コンケン県の法律事務所、1986年設立）が発行したものです。一般的な情報であり、特定の事項に関する法的助言ではありません。
