在境外設有母公司或關聯公司的泰國企業，常會收到這樣的郵件："請把員工名單連同工資發給總部。""請給我們泰國全部客戶CRM的登入權限。""內部審計團隊將前來，請提前傳送人事檔案和客戶合同。"財務或人事往往因為是上級的指示就照辦了。但在法律上，對員工和客戶負責的是作為資料控制者的泰國公司。同屬一個集團，並不是可以交出資料的理由。
核心答案
在向母公司傳送員工或客戶資料之前，泰國公司必須能回答五個問題：這項要求的目的是什麼？所要求的資料對該目的是否真的必要？母公司的角色是什麼（獨立的控制者、共同控制者還是處理者）？每個目的的合法依據是什麼？資料出境時，依據個人資料保護法 B.E. 2562（2019年）第28條或第29條走哪一條途徑？同時還要檢視客戶合同中有沒有保密條款，因為這類條款獨立於PDPA約束泰國公司。
最穩妥的答案通常不是"發或不發"，而是"發多少、怎麼發"。例如傳送合計數或無法識別個人的資料，而不是逐人資料；只向需要的人開放必要欄位的權限；在第一批資料離開泰國之前簽好集團內資料傳輸協議。
我們的實務觀點 我們最常見的問題並非出於惡意，而是先發出去，事後再補文件。員工投訴或客戶詢問資料去了哪裡時，泰國公司答不出為什麼傳送、誰能看到。回覆總部之前先做一頁資料地圖，比事後起草冗長的協議更有幫助。
1. 先梳理請求：什麼資料、誰的、為什麼
不要從"能不能發"開始。請總部以書面寫明要求，決定之前由泰國公司填寫下表。
| 專案 | 需要回答的問題 |
|---|---|
| 什麼資料 | 哪些欄位（姓名、身份證號、工資、健康記錄、地址、購買記錄）？是否含敏感資料？ |
| 誰的資料 | 在職員工、離職員工、應聘者、個人客戶，還是企業客戶的聯絡人？ |
| 為什麼 | 集團薪酬彙總、財務報告、內部審計、區域人事、跨境銷售？ |
| 誰能看到 | 母公司哪個團隊、多少人、在哪個國家，有無分包方或雲服務商？ |
| 存在哪裡 | 誰的伺服器或雲，在哪個國家？ |
| 保存多久 | 到什麼時候？何時刪除或返還，由誰確認已刪除？ |
不少要求答不清"為什麼"，例如"以防萬一"或"集團政策"。答不出來，就視為還不到傳送的時候。法律只允許在合法目的所必需的範圍內收集（第22條），並只允許在收集時告知的目的範圍內使用或披露（第21條）。
2. 泰國公司和母公司各是什麼角色
PDPA區分決定收集、使用或披露的"資料控制者"，與按控制者指示行事的"資料處理者"。角色取決於誰在決定目的和方式這一事實，而不是合同裡寫的名稱。
- 泰國公司 是其已持有的員工和客戶資料的控制者，無論總部是否提出要求。
- 母公司 視其實際所做之事，可能是以下三種之一。
| 角色 | 常見情形 | 對文件的影響 |
|---|---|---|
| 獨立的控制者 | 總部為自身目的使用資料，例如集團人力成本分析、區域晉升決定 | 總部需要自己的合法依據和義務；須就接收方告知員工和客戶 |
| 共同控制者 | 泰國公司與總部共同決定收集什麼、如何使用，例如雙方共同設定條件的統一HR系統或CRM | 以書面約定由誰向資料主體告知、誰處理請求、洩露時誰負責 |
| 處理者 | 總部只是按泰國公司的指示託管系統或代為處理工資 | 需要資料處理協議；處理者必須按指示行事、保障安全、報告洩露並保存記錄（第40條）。超出指示處理的，就該處理而言視為控制者 |
有一點可能改變結論：如果合同寫總部是處理者，但總部為自己的目的使用泰國員工的資料，事實就指向獨立的控制者，角色寫錯的文件保護不了泰國公司。
3. 每個目的適用什麼合法依據
依據要按目的分別確定，而不是給整個請求套一個依據。第24條規定了無需同意即可收集的依據：合同、遵守法律、控制者或他人的正當利益（資料主體的基本權利優先的除外）、保護生命、公共利益任務，以及歷史或研究目的。第19條規定同意。
| 目的 | 常用的依據 | 注意事項 |
|---|---|---|
| 泰國員工的工資、稅務、社保 | 勞動合同和遵守法律 | 這在泰國本就已在辦理，並不意味著要把逐人記錄發給總部 |
| 總部編制集團人力成本報告 | 集團的正當利益 | 需與員工權利權衡；彙總資料往往已夠 |
| 集團內部審計或財務審計 | 正當利益 | 限定樣本和期間，範圍以審計所需為限 |
| 多國共用的統一HR系統 | 合同或正當利益 | 在隱私告知中寫明接收方和目的地國家 |
| 總部把客戶資料用於集團營銷 | 通常需客戶同意 | 將資料用於新目的，除非法律允許，須告知並重新取得同意（第21條） |
| 客戶下單，由母公司提供其中一部分 | 與客戶的合同 | 只發送履行該合同所需的資料 |
員工同意需要特別小心。第19條要求控制者尊重當事人的自由決定，並禁止把同意作為合同條件去處理該合同並不必需的資料。資料主體也可隨時撤回同意。如果只靠同意，一旦有員工撤回，公司就陷入被動。能用其他依據的，儘量以其他依據為主。
4. 發最少的資料：彙總工資，而非逐人工資
資料最小化是成本最低、效果最好的手段。總部的許多要求並不需要逐人資料。
| 總部需要 | 完整版本（風險較高） | 最小化版本 |
|---|---|---|
| 集團賬目所需的人力成本 | 附姓名和身份證號的逐人工資 | 按部門或職級的合計、平均值 |
| 薪酬結構分析 | 帶姓名的逐人記錄 | 用員工編號代替姓名；去掉身份證號、地址、完整出生日期 |
| 內部審計工資發放是否正確 | 整個檔案的影印件 | 有限的隨機樣本，在泰國公司的資料室檢視 |
| 離職報告 | 帶逐人理由的離職名單 | 按理由類別的人數和比率 |
真正匿名化的資料不是個人資料。但僅用程式碼代替姓名（假名化）的資料，如果總部能還原，例如存在程式碼與姓名的對照表，仍可能是個人資料。對照表只留在泰國公司，並檢查資料集是否小到憑職位或工資就能識別個人，例如只有一個人的部門。
敏感資料 第26條列舉了健康資訊、犯罪記錄、生物識別資料、基因資料、殘障、工會會員身份等，未經明確同意禁止收集。例外包括為遵守勞動保護或社會保障方面的法律所必需，或為確立法律請求權所必需等。職場中的例子有病假醫生證明、年度體檢結果、指紋考勤資料、入職前的犯罪背景核查。出發點應是不把這些發給總部。如果摘要就夠，例如"背景核查通過"，就只發摘要。
5. 資料出境時：第28條和第29條
讓總部從境外檢視存放在泰國的資料，或把文件發往境外，都屬於個人資料的境外傳輸。控制者主要有四條途徑。
途徑一：目的地具備充分的保護水平（第28條） 第28條要求目的地國家或國際組織按個人資料保護委員會公告的標準，具備充分的資料保護水平。2023年關於第28條和第29條的公告於2024年3月24日生效。依公告，目的地需有與PDPA相符的法律措施和監管機構，委員會可逐案判斷。依賴此途徑之前，要先核查總部所在國是否被認可為充分，不要想當然。
途徑二：經認證的集團內政策，即BCR（第29條） 適用於向同一企業集團或業務集團內的接收方傳輸，且雙方的政策須經委員會辦公室審查並認證。政策必須約束集團所有公司和員工，保障資料主體權利和投訴處理，並達到最低安全標準。BCR適合資料往來頻繁、能投入認證流程的大型集團。如果總部沒有經認證的BCR，這條途徑就用不了。
途徑三：適當的保障措施（第29條第二款） 在沒有充分性認定、也沒有經認證BCR的情況下，只要有適當的保障措施，使資料主體能夠行使權利並獲得有效的法律救濟，仍可傳輸。依公告，一種形式是合同條款：要麼是公告認可的標準條款，如東盟示範合同條款或歐盟標準合同條款，要麼是當事人自行起草、具備公告規定的最低內容的合同。另一種形式是對傳送方或接收方做法的認證。個人資料保護委員會辦公室在其網站上公佈了合同範本。對外資集團的泰國子公司而言，這在實踐中是最快的途徑。
途徑四：第28條的例外 即使前三條都不適用，在遵守法律、在被告知目的地保護水平不足後表示同意、為履行資料主體作為一方的合同所必需、保護生命等情形下，仍可傳輸。這些例外從嚴解釋，很少適合常規性傳輸。
- 同意 因第3節所述原因，對員工很難使用，而且須先說明目的地的風險。
- 合同必需 適用於傳輸確為合同所必需的情形，例如被派往母公司工作的員工，其資料在那邊需要使用。按勞動合同向泰國員工發薪，通常不需要總部持有逐人記錄，所以難以作為向總部報送報告的依據。
要記住，第28條和第29條只解決"出境"這一問題。向總部披露仍須有第24條或第19條的合法依據，並且必須告知資料主體。
6. 客戶合同是否禁止披露
PDPA允許的，合同不一定允許。許多企業客戶，尤其是銀行、醫院、政府機構和上市公司，會在合同裡寫保密條款、限制分包，或要求資料存放在泰國境內。向總部開放CRM之前，請核查：
- 該客戶的資料是否被定義為"保密資訊"，是否禁止向關聯公司披露？
- 第三方訪問前是否需要書面批准？母公司算不算第三方？
- 是否禁止在泰國境外儲存或處理？
- 是否有總部必須遵守的安全標準、審計權或事件通知規定？
如有限制，可選擇取得客戶的書面同意，只發送與該客戶無關的資料，或由泰國團隊來做。違反保密條款是違約，即使滿足了PDPA，也可能導致賠償和合同被終止。
7. 隱私告知是否涵蓋向總部發送
第23條要求在收集前或收集時，告知目的、所收集的資料及保存期限、可能披露的物件類別、控制者資訊以及當事人的權利。請核查已發給員工和客戶的告知是否說明：
- 資料可能披露給母公司和集團公司，以及目的；
- 資料可能發往或存放在境外（儘量寫明國家或地區）；
- 採取的保障措施，例如標準合同條款。
沒有的話，傳送前要重新告知。若新目的與最初告知的不同，依第21條，除非法律允許，須先告知新目的並取得同意。資料收集之後再往政策里加寬泛的措辭，可能不夠。
8. 傳送之後：訪問、記錄與刪除
泰國公司的義務不止於傳送。第37條要求採取安全措施，採取措施防止不是控制者的接收方不當使用或披露，並建立在保存期屆滿或不再必要時刪除或銷燬資料的機制。實踐中應約定：
- 按需訪問 列出總部的使用人員，只給只讀權限和必要欄位；不需要時關閉下載或匯出。
- 訪問日誌 記錄誰在何時查看了什麼，並定期檢查。
- 禁止再轉移 未經泰國公司許可，總部不得轉給其他公司或承包商。
- 審計：結束後刪除 審計結束後，要求總部在期限內刪除或返還副本，並書面確認。
- 洩露報告 總部應立即告知泰國公司，因為作為控制者的泰國公司有義務不得無故遲延、儘可能在知悉後72小時內通知辦公室（但該洩露不太可能對個人權利和自由造成風險的除外，第37條）。應對計劃見客戶資料洩露首要應對指南。
作為控制者，泰國公司還須依第39條保存處理記錄，內容包括所持資料、目的、保存期限、接收方和安全措施。向總部的傳輸應當列入這些記錄。
9. 需要準備的文件
| 文件 | 適用時機 | 主要內容 |
|---|---|---|
| 集團內資料傳輸協議 | 總部是獨立控制者或共同控制者 | 目的、資料型別、訪問人員、第29條標準條款、資料主體權利、再轉移、洩露通知、刪除、適用法律和管轄 |
| 資料處理協議 | 總部是處理者 | 僅按指示、安全措施、洩露通知、分處理者、返還或刪除（第40條） |
| 傳輸記錄 | 每次傳送新的資料集時 | 日期、資料集、接收方、合法依據、第28/29條途徑、批准人 |
| 簡短風險說明（類似DPIA） | 敏感資料、大批次資料或訪問範圍廣 | 必要性、侵擾較小的替代方案、對資料主體的風險、緩解措施 |
| 更新後的隱私告知 | 原有告知未涵蓋時 | 接收方、目的、目的地國家、保障措施 |
| 客戶同意函 | 客戶合同禁止披露 | 資料、接收方、範圍、期限 |
所有文件應由泰國公司有權的董事簽署，並歸入同一份檔案，以便員工投訴或主管機關要求時能夠出示。
10. 按場景的決策表
| 場景 | 更穩妥的做法 | 所需條件 |
|---|---|---|
| 把工資資料發給總部（用於集團賬目） | 傳送按部門的合計，或用程式碼代替姓名的逐人記錄；不含身份證號和健康資訊 | 正當利益或合同依據、集團內資料傳輸協議、告知員工 |
| 向總部開放CRM（檢視泰國客戶） | 只讀權限，限於必要欄位和團隊；關閉匯出；先查客戶合同 | 傳輸協議或處理協議、訪問日誌、合同禁止時取得客戶同意 |
| 境外團隊做內部審計 | 在泰國公司資料室或通過螢幕共享檢視；隨機抽樣；不發整個檔案 | 書面審計範圍、保密承諾、審計後刪除 |
| 總部運營統一HR系統（含泰國員工資料） | 確定上線系統的欄位，敏感資料留在泰國 | 傳輸協議或共同控制安排、風險說明、新的隱私告知 |
| 總部要求提供健康資訊或犯罪記錄 | 只發摘要結果，不發原始文件 | 先核查第26條例外；必要時取得明確同意 |
| 總部想用客戶資料做跨境營銷 | 另行取得客戶同意 | 同意依據、撤回方式、告知接收方 |
11. 常見錯誤
- 以為集團公司之間無需文件即可互傳資料。 PDPA對母子公司沒有自動例外。與此直接相關的機制只有第29條下經認證的BCR。
- 只靠員工同意。 同意可以撤回，僱主與員工之間的不對等也使同意是否自願存疑。
- 總部要求就整套傳送。 許多要求用匯總資料即可滿足。先問總部拿去做什麼。
- 文件上稱總部為處理者，實際卻由總部為自己使用資料。 實際角色比合同稱謂更重要。
- 忘了客戶合同。 PDPA核查通過了，卻違反了保密條款。
- 用電子郵件或私人聊天傳送文件。 沒有日誌，無法控制轉發，也無法收回。
- 審計後不設定刪除日期。 資料無限期留在總部。
- 沒有告知員工和客戶。 現有隱私告知對母公司和境外接收方隻字未提。
12. 回覆總部前的核查清單
- 請總部書面寫明要求：什麼資料、誰的、為什麼、誰能看到、存在哪裡、保存多久
- 核查該資料對目的是否真的必要，能否用合計或程式碼代替姓名
- 確定總部的實際角色：獨立控制者、共同控制者還是處理者
- 按目的確定合法依據，不要只靠員工同意
- 去掉敏感資料（健康、犯罪、生物識別等），或只發摘要結果
- 選定跨境途徑：充分性目的地、BCR、標準合同條款，或第28條例外
- 閱讀重要客戶合同：保密、第三方訪問限制、資料留存境內條件
- 核查隱私告知是否涵蓋母公司和境外接收方；沒有的話重新告知
- 在傳送第一批資料前，簽署資料傳輸協議或處理協議
- 限制訪問、開啟日誌、禁止再轉移，並約定刪除或返還資料的日期
- 把傳輸記入處理記錄（第39條），並將全部文件歸入同一份檔案
延伸閱讀
- 在泰國沒有法務團隊的外國公司如何管理泰國子公司 —— 總部與泰國子公司之間的彙報線與審批
- 客戶資料洩露後首先要做什麼 —— 發給總部的資料外洩時的72小時應對計劃
- 員工用ChatGPT處理客戶資料，公司需要什麼AI政策 —— 管控流向外部工具的客戶資料
- 前員工帶走客戶名單 —— 商業秘密以及事先應備好的文件
向母公司傳送員工或客戶資料之前，要能說清為什麼發、是否只發必要的部分、母公司是什麼角色、依第28條還是第29條的哪條途徑，以及客戶合同是否允許。並在第一批資料離開泰國之前把文件辦妥。
我們為有境外母公司的泰國企業起草集團內資料傳輸協議和資料處理協議，審查限制披露的客戶合同，更新隱私告知，並協助建立回應總部要求的方式。如需首次諮詢，請致電 +66 92 254 2045 或傳送詳情給我們。另請參閱PDPA合規和合同與文件。
本指南由蘇婉瓦拉律師事務所發布 —— 該律師事務所位於孔敬府，成立於 1986 年。本文僅為一般性資訊，不構成針對任何特定事項的法律建議。
