在境外设有母公司或关联公司的泰国企业，常会收到这样的邮件："请把员工名单连同工资发给总部。""请给我们泰国全部客户CRM的登录权限。""内部审计团队将前来，请提前发送人事档案和客户合同。"财务或人事往往因为是上级的指示就照办了。但在法律上，对员工和客户负责的是作为数据控制者的泰国公司。同属一个集团，并不是可以交出数据的理由。
核心答案
在向母公司发送员工或客户数据之前，泰国公司必须能回答五个问题：这项要求的目的是什么？所要求的数据对该目的是否真的必要？母公司的角色是什么（独立的控制者、共同控制者还是处理者）？每个目的的合法依据是什么？数据出境时，依据个人数据保护法 B.E. 2562（2019年）第28条或第29条走哪一条途径？同时还要查看客户合同中有没有保密条款，因为这类条款独立于PDPA约束泰国公司。
最稳妥的答案通常不是"发或不发"，而是"发多少、怎么发"。例如发送合计数或无法识别个人的数据，而不是逐人数据；只向需要的人开放必要字段的权限；在第一批数据离开泰国之前签好集团内数据传输协议。
我们的实务观点 我们最常见的问题并非出于恶意，而是先发出去，事后再补文件。员工投诉或客户询问数据去了哪里时，泰国公司答不出为什么发送、谁能看到。回复总部之前先做一页数据地图，比事后起草冗长的协议更有帮助。
1. 先梳理请求：什么数据、谁的、为什么
不要从"能不能发"开始。请总部以书面写明要求，决定之前由泰国公司填写下表。
| 项目 | 需要回答的问题 |
|---|---|
| 什么数据 | 哪些字段（姓名、身份证号、工资、健康记录、地址、购买记录）？是否含敏感数据？ |
| 谁的数据 | 在职员工、离职员工、应聘者、个人客户，还是企业客户的联系人？ |
| 为什么 | 集团薪酬汇总、财务报告、内部审计、区域人事、跨境销售？ |
| 谁能看到 | 母公司哪个团队、多少人、在哪个国家，有无分包方或云服务商？ |
| 存在哪里 | 谁的服务器或云，在哪个国家？ |
| 保存多久 | 到什么时候？何时删除或返还，由谁确认已删除？ |
不少要求答不清"为什么"，例如"以防万一"或"集团政策"。答不出来，就视为还不到发送的时候。法律只允许在合法目的所必需的范围内收集（第22条），并只允许在收集时告知的目的范围内使用或披露（第21条）。
2. 泰国公司和母公司各是什么角色
PDPA区分决定收集、使用或披露的"数据控制者"，与按控制者指示行事的"数据处理者"。角色取决于谁在决定目的和方式这一事实，而不是合同里写的名称。
- 泰国公司 是其已持有的员工和客户数据的控制者，无论总部是否提出要求。
- 母公司 视其实际所做之事，可能是以下三种之一。
| 角色 | 常见情形 | 对文件的影响 |
|---|---|---|
| 独立的控制者 | 总部为自身目的使用数据，例如集团人力成本分析、区域晋升决定 | 总部需要自己的合法依据和义务；须就接收方告知员工和客户 |
| 共同控制者 | 泰国公司与总部共同决定收集什么、如何使用，例如双方共同设定条件的统一HR系统或CRM | 以书面约定由谁向数据主体告知、谁处理请求、泄露时谁负责 |
| 处理者 | 总部只是按泰国公司的指示托管系统或代为处理工资 | 需要数据处理协议；处理者必须按指示行事、保障安全、报告泄露并保存记录（第40条）。超出指示处理的，就该处理而言视为控制者 |
有一点可能改变结论：如果合同写总部是处理者，但总部为自己的目的使用泰国员工的数据，事实就指向独立的控制者，角色写错的文件保护不了泰国公司。
3. 每个目的适用什么合法依据
依据要按目的分别确定，而不是给整个请求套一个依据。第24条规定了无需同意即可收集的依据：合同、遵守法律、控制者或他人的正当利益（数据主体的基本权利优先的除外）、保护生命、公共利益任务，以及历史或研究目的。第19条规定同意。
| 目的 | 常用的依据 | 注意事项 |
|---|---|---|
| 泰国员工的工资、税务、社保 | 劳动合同和遵守法律 | 这在泰国本就已在办理，并不意味着要把逐人记录发给总部 |
| 总部编制集团人力成本报告 | 集团的正当利益 | 需与员工权利权衡；汇总数据往往已够 |
| 集团内部审计或财务审计 | 正当利益 | 限定样本和期间，范围以审计所需为限 |
| 多国共用的统一HR系统 | 合同或正当利益 | 在隐私告知中写明接收方和目的地国家 |
| 总部把客户数据用于集团营销 | 通常需客户同意 | 将数据用于新目的，除非法律允许，须告知并重新取得同意（第21条） |
| 客户下单，由母公司提供其中一部分 | 与客户的合同 | 只发送履行该合同所需的数据 |
员工同意需要特别小心。第19条要求控制者尊重当事人的自由决定，并禁止把同意作为合同条件去处理该合同并不必需的数据。数据主体也可随时撤回同意。如果只靠同意，一旦有员工撤回，公司就陷入被动。能用其他依据的，尽量以其他依据为主。
4. 发最少的数据：汇总工资，而非逐人工资
数据最小化是成本最低、效果最好的手段。总部的许多要求并不需要逐人数据。
| 总部需要 | 完整版本（风险较高） | 最小化版本 |
|---|---|---|
| 集团账目所需的人力成本 | 附姓名和身份证号的逐人工资 | 按部门或职级的合计、平均值 |
| 薪酬结构分析 | 带姓名的逐人记录 | 用员工编号代替姓名；去掉身份证号、地址、完整出生日期 |
| 内部审计工资发放是否正确 | 整个档案的复印件 | 有限的随机样本，在泰国公司的数据室查看 |
| 离职报告 | 带逐人理由的离职名单 | 按理由类别的人数和比率 |
真正匿名化的数据不是个人数据。但仅用代码代替姓名（假名化）的数据，如果总部能还原，例如存在代码与姓名的对照表，仍可能是个人数据。对照表只留在泰国公司，并检查数据集是否小到凭职位或工资就能识别个人，例如只有一个人的部门。
敏感数据 第26条列举了健康信息、犯罪记录、生物识别数据、基因数据、残障、工会会员身份等，未经明确同意禁止收集。例外包括为遵守劳动保护或社会保障方面的法律所必需，或为确立法律请求权所必需等。职场中的例子有病假医生证明、年度体检结果、指纹考勤数据、入职前的犯罪背景核查。出发点应是不把这些发给总部。如果摘要就够，例如"背景核查通过"，就只发摘要。
5. 数据出境时：第28条和第29条
让总部从境外查看存放在泰国的数据，或把文件发往境外，都属于个人数据的境外传输。控制者主要有四条途径。
途径一：目的地具备充分的保护水平（第28条） 第28条要求目的地国家或国际组织按个人数据保护委员会公告的标准，具备充分的数据保护水平。2023年关于第28条和第29条的公告于2024年3月24日生效。依公告，目的地需有与PDPA相符的法律措施和监管机构，委员会可逐案判断。依赖此途径之前，要先核查总部所在国是否被认可为充分，不要想当然。
途径二：经认证的集团内政策，即BCR（第29条） 适用于向同一企业集团或业务集团内的接收方传输，且双方的政策须经委员会办公室审查并认证。政策必须约束集团所有公司和员工，保障数据主体权利和投诉处理，并达到最低安全标准。BCR适合数据往来频繁、能投入认证流程的大型集团。如果总部没有经认证的BCR，这条途径就用不了。
途径三：适当的保障措施（第29条第二款） 在没有充分性认定、也没有经认证BCR的情况下，只要有适当的保障措施，使数据主体能够行使权利并获得有效的法律救济，仍可传输。依公告，一种形式是合同条款：要么是公告认可的标准条款，如东盟示范合同条款或欧盟标准合同条款，要么是当事人自行起草、具备公告规定的最低内容的合同。另一种形式是对发送方或接收方做法的认证。个人数据保护委员会办公室在其网站上公布了合同范本。对外资集团的泰国子公司而言，这在实践中是最快的途径。
途径四：第28条的例外 即使前三条都不适用，在遵守法律、在被告知目的地保护水平不足后表示同意、为履行数据主体作为一方的合同所必需、保护生命等情形下，仍可传输。这些例外从严解释，很少适合常规性传输。
- 同意 因第3节所述原因，对员工很难使用，而且须先说明目的地的风险。
- 合同必需 适用于传输确为合同所必需的情形，例如被派往母公司工作的员工，其数据在那边需要使用。按劳动合同向泰国员工发薪，通常不需要总部持有逐人记录，所以难以作为向总部报送报告的依据。
要记住，第28条和第29条只解决"出境"这一问题。向总部披露仍须有第24条或第19条的合法依据，并且必须告知数据主体。
6. 客户合同是否禁止披露
PDPA允许的，合同不一定允许。许多企业客户，尤其是银行、医院、政府机构和上市公司，会在合同里写保密条款、限制分包，或要求数据存放在泰国境内。向总部开放CRM之前，请核查：
- 该客户的数据是否被定义为"保密信息"，是否禁止向关联公司披露？
- 第三方访问前是否需要书面批准？母公司算不算第三方？
- 是否禁止在泰国境外存储或处理？
- 是否有总部必须遵守的安全标准、审计权或事件通知规定？
如有限制，可选择取得客户的书面同意，只发送与该客户无关的数据，或由泰国团队来做。违反保密条款是违约，即使满足了PDPA，也可能导致赔偿和合同被终止。
7. 隐私告知是否涵盖向总部发送
第23条要求在收集前或收集时，告知目的、所收集的数据及保存期限、可能披露的对象类别、控制者信息以及当事人的权利。请核查已发给员工和客户的告知是否说明：
- 数据可能披露给母公司和集团公司，以及目的；
- 数据可能发往或存放在境外（尽量写明国家或地区）；
- 采取的保障措施，例如标准合同条款。
没有的话，发送前要重新告知。若新目的与最初告知的不同，依第21条，除非法律允许，须先告知新目的并取得同意。数据收集之后再往政策里加宽泛的措辞，可能不够。
8. 发送之后：访问、记录与删除
泰国公司的义务不止于发送。第37条要求采取安全措施，采取措施防止不是控制者的接收方不当使用或披露，并建立在保存期届满或不再必要时删除或销毁数据的机制。实践中应约定：
- 按需访问 列出总部的使用人员，只给只读权限和必要字段；不需要时关闭下载或导出。
- 访问日志 记录谁在何时查看了什么，并定期检查。
- 禁止再转移 未经泰国公司许可，总部不得转给其他公司或承包商。
- 审计：结束后删除 审计结束后，要求总部在期限内删除或返还副本，并书面确认。
- 泄露报告 总部应立即告知泰国公司，因为作为控制者的泰国公司有义务不得无故迟延、尽可能在知悉后72小时内通知办公室（但该泄露不太可能对个人权利和自由造成风险的除外，第37条）。应对计划见客户数据泄露首要应对指南。
作为控制者，泰国公司还须依第39条保存处理记录，内容包括所持数据、目的、保存期限、接收方和安全措施。向总部的传输应当列入这些记录。
9. 需要准备的文件
| 文件 | 适用时机 | 主要内容 |
|---|---|---|
| 集团内数据传输协议 | 总部是独立控制者或共同控制者 | 目的、数据类型、访问人员、第29条标准条款、数据主体权利、再转移、泄露通知、删除、适用法律和管辖 |
| 数据处理协议 | 总部是处理者 | 仅按指示、安全措施、泄露通知、分处理者、返还或删除（第40条） |
| 传输记录 | 每次发送新的数据集时 | 日期、数据集、接收方、合法依据、第28/29条途径、批准人 |
| 简短风险说明（类似DPIA） | 敏感数据、大批量数据或访问范围广 | 必要性、侵扰较小的替代方案、对数据主体的风险、缓解措施 |
| 更新后的隐私告知 | 原有告知未涵盖时 | 接收方、目的、目的地国家、保障措施 |
| 客户同意函 | 客户合同禁止披露 | 数据、接收方、范围、期限 |
所有文件应由泰国公司有权的董事签署，并归入同一份档案，以便员工投诉或主管机关要求时能够出示。
10. 按场景的决策表
| 场景 | 更稳妥的做法 | 所需条件 |
|---|---|---|
| 把工资数据发给总部（用于集团账目） | 发送按部门的合计，或用代码代替姓名的逐人记录；不含身份证号和健康信息 | 正当利益或合同依据、集团内数据传输协议、告知员工 |
| 向总部开放CRM（查看泰国客户） | 只读权限，限于必要字段和团队；关闭导出；先查客户合同 | 传输协议或处理协议、访问日志、合同禁止时取得客户同意 |
| 境外团队做内部审计 | 在泰国公司数据室或通过屏幕共享查看；随机抽样；不发整个档案 | 书面审计范围、保密承诺、审计后删除 |
| 总部运营统一HR系统（含泰国员工数据） | 确定上线系统的字段，敏感数据留在泰国 | 传输协议或共同控制安排、风险说明、新的隐私告知 |
| 总部要求提供健康信息或犯罪记录 | 只发摘要结果，不发原始文件 | 先核查第26条例外；必要时取得明确同意 |
| 总部想用客户数据做跨境营销 | 另行取得客户同意 | 同意依据、撤回方式、告知接收方 |
11. 常见错误
- 以为集团公司之间无需文件即可互传数据。 PDPA对母子公司没有自动例外。与此直接相关的机制只有第29条下经认证的BCR。
- 只靠员工同意。 同意可以撤回，雇主与员工之间的不对等也使同意是否自愿存疑。
- 总部要求就整套发送。 许多要求用汇总数据即可满足。先问总部拿去做什么。
- 文件上称总部为处理者，实际却由总部为自己使用数据。 实际角色比合同称谓更重要。
- 忘了客户合同。 PDPA核查通过了，却违反了保密条款。
- 用电子邮件或私人聊天发送文件。 没有日志，无法控制转发，也无法收回。
- 审计后不设定删除日期。 数据无限期留在总部。
- 没有告知员工和客户。 现有隐私告知对母公司和境外接收方只字未提。
12. 回复总部前的核查清单
- 请总部书面写明要求：什么数据、谁的、为什么、谁能看到、存在哪里、保存多久
- 核查该数据对目的是否真的必要，能否用合计或代码代替姓名
- 确定总部的实际角色：独立控制者、共同控制者还是处理者
- 按目的确定合法依据，不要只靠员工同意
- 去掉敏感数据（健康、犯罪、生物识别等），或只发摘要结果
- 选定跨境途径：充分性目的地、BCR、标准合同条款，或第28条例外
- 阅读重要客户合同：保密、第三方访问限制、数据留存境内条件
- 核查隐私告知是否涵盖母公司和境外接收方；没有的话重新告知
- 在发送第一批数据前，签署数据传输协议或处理协议
- 限制访问、开启日志、禁止再转移，并约定删除或返还数据的日期
- 把传输记入处理记录（第39条），并将全部文件归入同一份档案
延伸阅读
- 在泰国没有法务团队的外国公司如何管理泰国子公司 —— 总部与泰国子公司之间的汇报线与审批
- 客户数据泄露后首先要做什么 —— 发给总部的数据外泄时的72小时应对计划
- 员工用ChatGPT处理客户数据，公司需要什么AI政策 —— 管控流向外部工具的客户数据
- 前员工带走客户名单 —— 商业秘密以及事先应备好的文件
向母公司发送员工或客户数据之前，要能说清为什么发、是否只发必要的部分、母公司是什么角色、依第28条还是第29条的哪条途径，以及客户合同是否允许。并在第一批数据离开泰国之前把文件办妥。
我们为有境外母公司的泰国企业起草集团内数据传输协议和数据处理协议，审查限制披露的客户合同，更新隐私告知，并协助建立回应总部要求的方式。如需首次咨询，请致电 +66 92 254 2045 或发送详情给我们。另请参阅PDPA合规和合同与文件。
本指南由苏婉瓦拉律师事务所发布 —— 该律师事务所位于孔敬府，成立于 1986 年。本文仅为一般性信息，不构成针对任何特定事项的法律建议。
