PDPAハンドブック案の骨子の公表
タイ個人情報保護委員会（以下「PDPC」という。）はPDPAに関する解釈指針を示したハンドブック案（以下「本件ハンドブック案」という。）の作成を進めており、2026年7月、その骨子をまとめた資料（以下「本件資料」という。）を公表し、公聴会を実施した。本件資料には、PDPA上の重要な規制についての概略と共に、実務上のポイントや事業者に対して奨励する実務対応が記載されており、PDPCによるPDPAの運用の傾向を垣間見ることができる。公聴会においては、本件資料の基となる本件ハンドブック案自体も紹介されたようであるが、一般に入手可能な形での公開はされていない。そのため、本稿で紹介する内容は、基本的には本件資料の内容に依拠していることに留意されたい。
本件資料によれば、本件ハンドブック案は、6つのトピックから構成されている。
-
個人データの収集等の法的根拠
-
安全管理措置及び個人データ侵害の際の通知
-
データ保護責任者
-
マーケティング活動における個人データの収集等
-
データ処理活動の記録
-
ゲーテッド・コミュニティ及びコンドミニアムにおける個人データ保護
紙面の都合上、本稿ではこのうち、「個人データの収集等の法的根拠」、「データ保護責任者」、「マーケティング活動における個人データの収集等」、並びに「ゲーテッド・コミュニティ及びコンドミニアムにおける個人データ保護」を取り上げる。
1. 個人データの収集等の法的根拠
PDPA上、データ管理者※1が個人データを収集等する際の法的根拠※2の一つとして「正当な利益」の存在が認められている。現行法上は、「正当な利益」の該当性に関する具体的な判断基準は実質的に定められておらず、実務上は、他の法的根拠を利用できない場合の最後の砦としてキャッチオール的に依拠される傾向にある。本件資料によれば、個人データの収集等を「正当な利益」に基づいて行う場合には、その内容に応じて正当な利益評価（Legitimate Interest Assessment）を実施すべきとされている。正当な利益評価を慎重に行うべき場面として、例えばマーケティング活動や事業所内での監視カメラの設置が考えられる。
また、本件資料には、個人データの収集等に際し、安易にデータ主体の同意を取得することは避けるべきであることを示唆する記述がある。これはPDPCが過去に示した公的見解※3と整合するものでもある※4。他方、実務上は、個人データの収集等に際しては、他の法的根拠に依拠できる可能性がある場合でも、念のため、可能な限りデータ主体からの同意を取得することが一般的であり、PDPCの見解と実務の間には依然として一定の乖離がみられる。そのため、かかるPDPCの見解が維持される場合には、実務にも一定の影響があり得ると思われるため、その動向を注視する必要がある。
2. データ保護責任者
PDPA上、大量の個人データを扱う場合やセンシティブデータの処理を行っているような場合において所定の要件を充足するときには、データ保護責任者（DPO）の選任が義務づけられている。各要件の内容・判断基準は、2023年12月15日に施行された下位規則において具体的に規定されているが、データ保護責任者の資格要件を定めた下位規則は未制定の状況である。
この点について、本件資料では、CEO、COO、CFO、人事・マーケティング部長等、個人データの収集等を伴う事業に対して主たる意思決定者となり得る者は利益相反の可能性が高いため、データ保護責任者として適任ではない旨が述べられている。他方で、一般的に当該事業に対する主たる意思決定から一定の距離がある法務部長は、法令に対する深い知識とITに関する基本的な知識を保有していればデータ保護責任者になり得る旨が述べられている。また、IT部門からデータ保護責任者を選任することも不可能ではないとされているものの、IT部門長等、個人データが含まれるサーバーの構築・保存や個人データの取扱いに係る体制について実質的な意思決定権を持つような職位にある者については、利益相反の可能性が否定できない旨述べられている。今後、データ保護責任者の資格要件についての下位規則が正式に制定されることが期待されるが、下位規則の制定までの間、データ保護責任者を選任する必要がある場合には、本件資料で述べられている例を基にデータ保護責任者の選任を検討することが考えられる。
3. マーケティング活動における個人データの収集等
PDPA上、特定のサービスの提供に際して収集した個人データを、どの範囲までマーケティング活動に利用できるかは悩ましい問題である。個人データの収集等に係る法的根拠には「正当な利益」の存在が含まれるものの、特定のサービスの提供に関連して収集した個人データを別のサービスのマーケティングに利用することはデータ主体の予見可能性を害するものであり、正当な利益が認められないケースも相応にあると考えられる。そのため、実務上は、個人データの利用目的にマーケティング活動を含める場合には、利用目的等を含むプライバシーポリシーへの内容の同意を包括的に取得することに加えて、マーケティング活動への利用について個別に同意を取得する例（マーケティング活動に対する利用について個別のチェックボックスを設ける等）が比較的多くみられる。
本件資料は、マーケティング活動のための個人データの収集等について、常に同意を法的根拠とすべきとしているわけではなく、その具体的内容に応じて、他の法的根拠に依拠できる余地を認めている。例えば、顧客が過去に購入した商品又は利用したサービスと類似する商品又はサービスについてマーケティングを行う場合に、どの範囲の商品又はサービスであればデータ主体の同意を取得することなく正当な利益の存在を理由に個人データを利用できるかについて今後明確になることが期待される。
また、マーケティング活動との関係では、収集した個人データを他のグループ会社に提供し、当該グループ会社のマーケティング活動に利用するニーズもある。PDPA上は、データ主体以外の第三者から個人データを間接的に収集する場合であっても、原則として、データ主体から直接収集する場合と同様に、収集等に係る法的根拠（データ主体の同意を含む。）の存在及びデータ主体に対するプライバシーポリシーの通知が求められる※5。もっとも、実務上、個人データを間接的に取得する者がデータ主体から直接同意を取得し、かつ、プライバシーポリシーを通知することは現実的でない場合が多く、PDPA上の要件を遵守することが困難なケースもある。
この点、本件資料は、ある事業者が名簿業者から顧客情報等の個人データを間接的に取得する場合を念頭に、当該事業者は、その情報源と当該名簿業者が当該個人データを適法に開示する権限を有することを確認し、かつ、データ主体にプライバシーポリシーを通知することを推奨すべき対応として紹介している。実務上は、データ主体以外の第三者から間接的に個人データを取得する場合には、データ主体から直接個人データを取得した者に対し、開示対象となる個人データの収集等の適法性及び自身に対する個人データの提供の法的根拠の存在について表明保証を求めることがあり、その限度では、本件資料の内容は実務とも親和性があるといえる。もっとも、個人データの直接取得者から間接取得者への開示が適法であること等が確認できれば、データ主体からの同意を含む個人データの収集等の法的根拠までを不要とする趣旨であるかは明確ではない。
4. ゲーテッド・コミュニティ及びコンドミニアムにおける個人データ保護
本件資料では、ゲーテッド・コミュニティ及びコンドミニアム（以下「コンドミニアム等」という。）における個人データの収集等に関する問題点も取り上げている。本件資料では、コンドミニアム等における個人データの収集等の主たる例として、来訪者管理、生体認証システムの導入、監視カメラの設置、車両ナンバープレート認識システムの導入、居住者向けアプリ、警察・保険会社等への個人データの開示が挙げられている。
コンドミニアム等を含む不動産の開発案件ではしばしばデータ管理者とデータ処理者※6の区分が問題になる。本件資料においては、コンドミニアム等の所有者であるプロジェクト会社や管理組合をデータ管理者、警備会社やITシステム提供事業者をデータ処理者として区分している※7。本件資料に特段言及はないものの、かかる区分は、実務上、ホテルの開発案件においてホテルオペレーターに運営委託を行う場合にも問題になる。例えば、ホテルを所有するプロジェクト会社がホテルオペレーターに運営委託する場合、プロジェクト会社をデータ管理者、ホテルオペレーターをデータ処理者として整理することが考えられるが、実際には、プロジェクト会社はホテルの通常運営に関与せず、宿泊客の情報を取得することも基本的にはないため、プロジェクト会社をPDPA上の義務が重いデータ管理者として取り扱ってよいかという問題がある。
データ主体のアクセス権に関する下位規則
PDPA上、データ主体は、データ管理者が保有する自己に関する個人データへのアクセス及びそのコピーの交付を求める権利、並びに、データ主体の同意を取得せずに収集された個人データについて開示を求める権利（以下総称して「アクセス権」という。）を有する。2026年7月16日、アクセス権に関する下位規則が公表されており、2026年9月14日から施行される。
同下位規則の概要は以下の通りである※8。
-
データ管理者は、データ主体から直接収集した個人データ、第三者から間接的に収集した個人データ、及び当該間接収集データのうちデータ主体の同意を得ることなく収集した個人データの取得元に関する情報を整理しておく必要がある。
-
アクセス権行使の申請方法は、郵送による方法を認める必要がある（但し、メール等の電子的な方法を許容するかは任意）。
-
所定の本人確認書類や委任状の提出があれば代理人による申請も可能。
-
PDPAに定めるアクセス権の行使に基づく対応の拒否が法令により許容されている場合や、アクセス権の行使に基づく対応が他の権利・自由に重大な悪影響を与える場合のほか、申請者の権利行使が明らかに根拠を欠くものである場合、又は正当な理由なくデータ管理者に不合理な負担を課すこととなる場合には、申請を拒絶することができる。
-
原則、申請から30日以内に対応が必要であるが、アクセス権行使の対象となるデータが膨大である場合等の理由で期限内の対応ができない場合には、その理由を申請者に通知する必要がある。
-
アクセス権の行使は原則無料で行うことが可能であるが、大量・反復的な請求やデータ管理者に過大な負担が生じる場合には、データ管理者は、申請時に事前に通知することで、合理的な実費相当額の手数料を徴収することが可能である。また、データ管理者の対応に要する費用を勘案して、対応範囲について合理的な制限を行うことも可能である。
BtoC事業を営む企業では、多数の顧客に関する個人データを取り扱うため、個人データの取扱いに関する問合せも比較的多いと考えられる。そのため、同下位規則の施行を踏まえ、申請の受付、本人確認、対応記録の保存を含む社内体制を改めて点検し、データ主体による権利行使に適切に対応できる体制を整備しておくことが望ましいといえる。
個人データ保護基準の認証に関する下位規則
2026年6月18日、個人データ保護基準の認証に関する下位規則が施行された。この認証制度の目的は、組織の個人データ保護体制を向上させ、説明責任に基づく適切なデータ管理を促進するとともに、将来的な国際的相互認証につなげることにある。認証の取得に当たっては、申請に先立ち、PDPCが提供するオンラインシステムであるPrivacy Maturity Model（以下「PMM」という。）を通じて自己評価を実施し、PMMレベル5を取得する必要がある。認証取得のための審査として、ガバナンス、人材教育・研修、法的手続、技術措置・個人データ侵害への対応という観点からPDPCが定める128項目の認証基準を充足する必要がある※9。本稿執筆時点では、PMMはまだ十分に整備されている状態にあるとはいえず、また、申請数も多くないため、認証制度の本格的な利用に向けては、申請体制の整備及び審査基準の明確化が待たれる。
なお、2024年3月24日に施行された個人データの域外移転※10に関する下位規則※11においては、域外移転を適法に行うことのできる根拠の一つとして認証を取得した場合を挙げている。もっとも、現時点では、今回施行された下位規則に基づく認証の取得が域外移転の根拠たり得る「認証」の取得に該当するか否かは明確ではなく、今後PDPCが個人データの域外移転との関係で今回施行された下位規則に基づく認証の取得をどのように位置づけるか注視する必要がある。
まとめ
PDPAの全面施行から約4年が経過し、タイの個人情報保護規制は法令整備の段階から具体的な運用ルールを形成する段階へ移行しつつある。今回のPDPCによる本件資料の公表や本件ハンドブック案に係る公聴会の開催は、そのような運用ルール形成の一環として、今後、より実質的かつ厳格なPDPA対応が求められる可能性を示唆するものといえる。そのため、本件ハンドブック案に関するPDPCによる検討の状況は引き続き注視する必要がある。また、本稿で紹介したとおり、PDPAの下位規則も継続的に整備されていることから、事業者には、最新の規制動向を踏まえ、継続的に社内体制を見直し、整備していくことが求められる。
脚注一覧
※1
データ管理者とは、個人データの収集、利用又は開示について決定する権限及び義務を有する者をいい、データ処理者に比べて課される義務が多い。
※2
個人データの収集等の主たる法的根拠として、(1)データ主体の同意、(2)人の生命・身体の危険を回避するため、(3)契約の履行のため又は契約締結前にデータ主体の要請に応じて行う行為のために必要な場合、(4)正当な利益がある場合、(5)法令遵守が挙げられる。なお、センシティブデータ（人種、民族的な出自、政治的見解、宗教、宗教上若しくは思想上の信条、性的行動、犯罪歴、健康情報、障害情報、労働組合情報、遺伝情報、生体情報等）の収集等の法的根拠は別途厳格な要件が定められている。
※3
特定の事例に対してPDPCが公に意見を述べたもの。
※4
銀行が既存顧客に対する複数の金融サービスの紹介に収集済みの個人データを利用しようとした事例について、PDPCは、当該利用の法的根拠としてデータ主体の同意に依拠することを選択した以上、同意が得られなかった場合に、後から「正当な利益」など他の法的根拠に切り替えて依拠することはできないとの見解を示している。
※5
PDPCが過去に示した公的見解では、PDPA上の要件を遵守するために、データ主体から個人データを直接収集する者が、個人データの間接取得者を代理して、個人データの収集等に係る同意をデータ主体から取得し、また、当該データ主体に対して当該個人データの間接取得者のプライバシーポリシーを通知することを許容しており、個人データを間接的に取得する場合の参考になると考えられる。
※6
データ処理者とは、データ管理者の指示に基づいて又はデータ管理者の代わりに、個人データの収集、利用又は開示に関して活動する者をいい、データ管理者と比較して、PDPA上課される義務は少ない。
※7
コンドミニアム等の管理組合がデータ管理者にあたり、コンドミニアム等の維持管理を行うプロパティマネジャーはデータ処理者に該当するとした公的見解も存在する。
※10
域外移転とは、タイ国内からタイ国外に所在する受領者に対して個人データを移転することをいう。
