2026년에 PDPA가 중요한 이유
태국 개인정보보호법(PDPA, 불기 2562년)은 2022년 6월에 전면 시행되었고, 이후 **개인정보보호위원회(PDPC)**는 30개가 넘는 하위 규정과 50건 넘는 집행 결정을 내렸습니다. 2026년 초 기준 행정 벌금은 누적 3억 8,000만 바트를 넘었으며, 단일 최고액은 부실한 접근 통제를 이유로 한 의료 사업자에 대한 700만 바트였습니다.
PDPA는 사업자의 소재지와 관계없이 태국 내 개인의 데이터를 처리하는 모든 주체에 적용됩니다. 중소기업 적용 제외도, 소량 처리 적용 제외도 없습니다. 고객 명단, 인사 시스템, 또는 문의 양식이 있는 웹사이트를 보유하고 있다면 귀하는 적용 대상입니다.
이 체크리스트는 200곳이 넘는 태국 사업자의 PDPA 구현을 지원하며 얻은 지식을 정리한 것입니다.
면책 고지: 일반적인 정보일 뿐입니다. 귀하 고유의 업무에 맞춘 감사는 본 사무소에 연락해 주세요.
이 가이드가 다루는 내용
- PDPA 개요
- 10단계 컴플라이언스 체크리스트
- 필수 조치와 선택 조치
- DPO 선임——필요한 경우와 방법
- 처리활동 기록(RoPA)
- 개인정보 처리방침 요건
- 정보주체 권리 대응
- 데이터 처리 계약(DPA)
- 국외 이전 규칙
- 유출 통지 절차
- 기업 규모별 비용 견적
- 흔한 감사 지적(과 시정책)
- 처벌 구조
- 향후 6개월——무엇이 오는가
1. PDPA 개요
PDPA는 구조적으로 GDPR와 유사하지만 태국 고유의 세 가지 차이가 있습니다.
- 적법 근거가 더 유연——태국은 GDPR이 요구하는 공식적인 이익 형량 테스트 없이 "정당한 이익" 근거를 인정합니다.
- 민감정보 구분에는 종교, 인종, 범죄 경력이 포함되며, 나아가 GDPR에 없는, 고유 식별 목적으로 처리되는 유전 정보·생체 정보 같은 명시적 구분도 있습니다.
- 처벌은 단계적——행정(최대 500만 바트), 형사(최장 1년 구금), 민사(배상＋징벌적 배상).
조직이 GDPR을 준수한다면 PDPA 준수까지 **80%**는 도달했습니다. 나머지 20%가 많은 기업이 과소평가하는 격차입니다.
2. 10단계 컴플라이언스 체크리스트
PDPA 준수로 가는 길을 우선순위 순으로.
1단계: 데이터 인벤토리(1~2주)
수집하는 모든 개인정보의 구분, 저장 위치, 접근하는 사람, 목적, 보관 기간을 매핑합니다. 이것이 다른 모든 단계의 기반입니다. 이것 없이 RoPA, 개인정보 처리방침, 정보주체 권리를 충족할 수 없습니다.
다음 열을 가진 스프레드시트를 권장합니다.
| 데이터 구분 | 출처 | 저장 위치 | 접근 | 목적 | 적법 근거 | 보관 기간 | 국외 |
|---|
2단계: 적법 근거 분석(1주)
처리활동마다 6가지 적법 근거 중 어느 것이 해당하는지 판단합니다.
- 동의
- 계약의 이행
- 법적 의무
- 중대한 이익
- 공적 임무
- 정당한 이익
함정: 많은 태국 인사 시스템이 "계약의 이행"이나 "법적 의무"가 올바른 근거인데도 잘못 "동의"를 기본값으로 둡니다. 동의는 철회할 수 있지만 계약의 이행은 철회할 수 없으므로 이것은 중요합니다.
3단계: 개인정보 처리방침 갱신(1주)
PDPC 가이드라인이 요구하는 내용.
- 관리자의 신원과 연락처
- DPO 연락처(선임한 경우)
- 처리하는 데이터 구분
- 목적
- 적법 근거
- 수령자(제3자 포함)
- 국외 이전
- 보관 기간
- 정보주체의 권리와 행사 방법
- PDPC에 민원을 제기할 권리
많은 태국 기업이 PDPC의 2024년 구체성 가이드라인을 충족하지 못하는 GDPR형 고지를 여전히 게시하고 있습니다.
11. 기업 규모별 비용 견적
| 기업 규모 | 표준 PDPA 구현 비용 | 연간 유지비 |
|---|---|---|
| 직원 10명 미만 | 5만~10만 바트 | 3만~6만 바트 |
| 10~50명 | 15만~30만 바트 | 8만~15만 바트 |
| 50~200명 | 40만~80만 바트 | 20만~40만 바트 |
| 200~500명 | 80만~150만 바트 | 40만~80만 바트 |
| 500명 이상 | 150만~300만 바트 초과 | 80만~150만 바트 |
위 비용에는 법률 자문, DPO 선임(외부 위탁 또는 내부), 정책 작성, 교육, 주요 지적 사항의 시정이 포함됩니다. 소프트웨어·도구 비용은 제외합니다.
마치며
PDPA는 일회성 프로젝트가 아니라 운영 규율입니다. 어려움을 겪는 기업은 이를 문서 작성 작업으로 다루는 기업입니다. 성공하는 기업은 이를 거버넌스 투자로 다룹니다.
PDPA 감사가 필요하신가요? LINE 또는 본 사이트의 문의 양식으로 연락해 주세요.
— 수완와라 법률사무소