知らなきゃ損する！タイビジネス法務

個人情報保護に関する下位規則草案

まず、ＰＤＰＡの全体像を把握するために大まかな枠組みについて紹介する。スペースが限られているため非常に大まかな表現になるが、ＰＤＰＡとは個人情報を取扱うにあたって適正な法的根拠を備えることを求める法律である。

そのため、事業者には個人情報を取り扱う趣旨・目的を本人に説明した上で、原則として本人からの同意を得て個人情報を処理することが求められている。

現在、多くの在タイ企業がプライバシーポリシーやプライバシーノーティスを策定したり、本人向けの同意書を準備しているのはこのためである。そしてＰＤＰＡは、それらの同意や処理の記録化を義務づけると共に、情報保護体制として相応のセキュリティ措置の実施や、漏洩時の報告等を求めている。

ＰＤＰＣによる下位規則の草案が続々と

ＰＤＰＡの中には、「〜については委員会が定める規則に従う」といった形で、ＰＤＰＣが定める規則に一部を委ねている箇所が複数ある。そのため、それらの部分については下位規則が定められていない限り内容が不明であったが、同5月10日付で

①個人情報の処理記録の作成義務（ＰＤＰＡ第39条）に関して、当該作成義務が免除される事業者の範囲

②データ処理者が作成すべき個人情報の処理記録の内容（ＰＤＰＡ第40条）

③事業者が取るべき最低限のセキュリティ措置（ＰＤＰＡ第37条）に関する下位規則

の草案が公表された。

またＰＤＰＣは同5月19日付で、ＰＤＰＡの一部について法解釈の指針を示す２つのガイドラインの草案を公表した。一つは、ＰＤＰＡで求められている本人の同意について、適法な同意の要件を説明したもの。

もう一方は、個人情報を取り扱う際に本人に通知すべき事項について説明したプライバシーノーティスに関するもの。これらはＰＤＰＡの肝とも言える箇所についての解釈指針を示したものであり、その重要性は極めて高いと言えよう。

加えて、同5月23日付けで新たに

①個人情報に関する苦情対応を行う専門委員会の資格

②ＰＤＰＡ違反の苦情等を受けた場合の専門委員会の手続き

③行政罰等の罰則適用時の手続きに関する下位規則

の３つの草案を公表した。

①は事業者側にとって重要度は高くないかもしれないが、②③についてはＰＤＰＡ違反時の行政手続きについて規定するものであり、有事の際の対応指針を検討するための参考になる。

前述した下位規則は、草案は公表されたものの現時点ではパブリックヒアリングという意見公募期間が経過したに過ぎず、最終的な内容確定及び施行には至っていない。

また、ＰＤＰＡにはこの他にも下位規則で明らかにされるべき事項が残されているため、今後も同様の草案公表は続くものと思われる。まずは慌てずに、動向を注視していただきたい。