小規模な事業者もPDPAに対応する必要がありますか？

原則として、個人情報を収集・利用・開示するすべての組織は、規模を問わずPDPAの適用を受けます。対応の範囲はデータの量や機微性に応じて変わりますが、小規模な事業者であっても、最低限、適切なプライバシー通知と有効な同意取得の仕組みを備えておくべきです。

すべての会社にDPO（個人情報保護責任者）が必要ですか？

いいえ。DPOの選任が義務となるのは、大規模な行動監視や機微情報の処理を中核業務とするなど、処理の性質と規模が一定の基準に達する場合に限られます。法律上の義務がない場合でも、社内で個人情報保護を担う責任者を定めておくことをお勧めします。

PDPAに対応しないとどのような罰則がありますか？

違反した場合、行政罰金、被害を受けたデータ主体に対する民事責任、さらに一部のケースでは刑事罰が科されることがあります。罰則そのもの以上に、評判や顧客の信頼への打撃の方が深刻になりがちで、後から是正するより最初から正しく整備しておく方が結果的に割安です。

すでに保有している既存顧客のデータはどう扱えばよいですか？

既存データは、引き続き利用するための適法な根拠があるかを見直す必要があり、場合によっては新たな目的の通知や同意の取得が求められます。あわせて、削除や利用停止などデータ主体が権利を行使できる手続きも整える必要があり、当事務所が既存データベースを法令に適合させる方法をご支援します。

個人情報が漏えいした場合は何をすべきですか？

個人情報の漏えいが発生した場合、組織はリスクを評価し、法律が定める期限内に所管当局へ通知する義務があり、一定の場合にはデータ主体本人への通知も必要です。あらかじめ漏えい対応計画（インシデントレスポンス）を整えておくことで、被害と責任の双方を大きく軽減できます。

タイ企業のためのPDPAコンプライアンス・チェックリスト（2026年版）

2026年にPDPAが重要な理由

タイの個人情報保護法（PDPA、仏暦2562年）は2022年6月に全面施行され、以降、**個人情報保護委員会（PDPC）**は30を超える下位規則と50件超の執行決定を出しています。2026年初頭時点で、行政罰金は累計3億8,000万バーツを超え、単一の最高額は不十分なアクセス管理を理由とした医療事業者に対する700万バーツでした。

PDPAは、事業者の所在地を問わず、タイ国内の個人のデータを取り扱うすべての主体に適用されます。中小企業の適用除外も、少量処理の適用除外もありません。顧客リスト、人事システム、または問い合わせフォームのあるウェブサイトをお持ちなら、あなたは適用対象です。

このチェックリストは、200を超えるタイの事業者のPDPA実装を支援して得た知見をまとめたものです。

免責事項：一般的な情報のみです。お客様固有の業務に合わせた監査については、当事務所にご連絡ください。

このガイドの内容

PDPAの概要
10ステップのコンプライアンス・チェックリスト
必須措置と任意措置
DPOの選任——必要となる場合と方法
処理活動の記録（RoPA）
プライバシー通知の要件
データ主体の権利への対応
データ処理契約（DPA）
越境移転のルール
漏えい通知の手順
企業規模別の費用見積り
よくある監査指摘（と是正策）
罰則の構造
今後6か月——何が来るか

1. PDPAの概要

PDPAは構造的にGDPRと類似していますが、タイ固有の3つの違いがあります。

適法な根拠がより柔軟——タイはGDPRが求める正式な利益衡量テストなしに「正当な利益」根拠を認めています。
要配慮情報の区分には宗教、人種、犯罪歴が含まれ、さらにGDPRにはない、固有識別目的で処理される遺伝情報や生体情報といった明示的な区分もあります。
罰則は段階的——行政（最大500万バーツ）、刑事（最長1年の拘禁）、民事（賠償＋懲罰的賠償）。

組織がGDPRに準拠していれば、PDPA準拠まで**80%**は到達しています。残り20%が、多くの企業が過小評価するギャップです。

2. 10ステップのコンプライアンス・チェックリスト

PDPA準拠への道のりを優先順に。

ステップ1：データ棚卸し（1〜2週間）

収集するすべての個人データの区分、保存場所、アクセスする者、目的、保存期間をマッピングします。これが他のすべてのステップの基盤です。これなしにRoPA、プライバシー通知、データ主体の権利を満たすことはできません。

次の列を持つスプレッドシートをお勧めします。

データ区分	取得元	保存先	アクセス	目的	適法な根拠	保存期間	越境

ステップ2：適法な根拠の分析（1週間）

処理活動ごとに、6つの適法な根拠のいずれが当てはまるかを判断します。

同意
契約の履行
法的義務
重大な利益
公的任務
正当な利益

落とし穴：多くのタイの人事システムは、「契約の履行」や「法的義務」が正しい根拠であるのに、誤って「同意」を既定にしています。同意は撤回できるのに対し、契約の履行は撤回できないため、これは重要です。

ステップ3：プライバシー通知の更新（1週間）

PDPCガイドラインで求められる内容。

管理者の身元と連絡先
DPOの連絡先（選任している場合）
処理するデータの区分
目的
適法な根拠
受領者（第三者を含む）
越境移転
保存期間
データ主体の権利と行使方法
PDPCへ苦情を申し立てる権利

多くのタイ企業は、PDPCの2024年の具体性ガイドラインを満たさないGDPR型の通知をいまだに掲載しています。

11. 企業規模別の費用見積り

企業規模	標準的なPDPA実装費用	年間維持費
従業員10名未満	5万〜10万バーツ	3万〜6万バーツ
10〜50名	15万〜30万バーツ	8万〜15万バーツ
50〜200名	40万〜80万バーツ	20万〜40万バーツ
200〜500名	80万〜150万バーツ	40万〜80万バーツ
500名以上	150万〜300万バーツ超	80万〜150万バーツ

上記の費用には、法律顧問、DPO選任（外部委託または内部）、ポリシー作成、研修、主要指摘の是正が含まれます。ソフトウェア・ツールの費用は含みません。

おわりに

PDPAは一度きりのプロジェクトではなく、運用の規律です。苦戦する企業は、これを文書作成の作業として扱う企業です。成功する企業は、これをガバナンスへの投資として扱います。

PDPA監査が必要ですか？LINEまたは当サイトのお問い合わせフォームよりご連絡ください。

— スワンワラ法律事務所