泰国《个人数据保护法》（PDPA）B.E. 2562自2022年6月1日起全面生效。经过两年的指导期后，监管机构转入积极执法阶段。首笔行政罚款700万泰铢于2024年8月作出。2025年8月，监管机构又宣布在五起案件中作出八笔罚款。如果您的企业收集泰国境内人员的个人数据，无论您位于泰国还是境外，PDPA都适用于您，其执法已不再停留在理论层面。
最后更新：2026年10月
什么是泰国PDPA？
《个人数据保护法》B.E. 2562（2019年）是泰国第一部综合性个人数据保护法律。该法借鉴欧盟《通用数据保护条例》（GDPR），遵循其主要原则，规范对泰国境内个人的个人数据的收集、使用和披露。
该法由个人数据保护委员会（PDPC）负责实施，PDPC发布条例和指引，并通过其办公室执行法律。由PDPC任命的专家委员会负责处理投诉并作出行政罚款。
PDPA适用于哪些主体？
这是常被误解的第一个问题：PDPA具有域外效力。它适用于：
- 在泰国设立、收集、使用或披露个人数据的任何机构
- 在泰国境外、收集、使用或披露泰国境内人员个人数据的任何机构，只要其向这些人员提供商品或服务（无论是否收费），或监控其在泰国境内的行为
实际上，向泰国客户销售商品的境外电商网站、在泰国使用的应用程序，或为泰国客户提供服务的外国咨询公司，都可能受PDPA约束。
豁免情形包括个人或家庭活动、与国家安全和公共安全相关的部分国家活动，以及依照职业道德开展的媒体活动。
重要定义
个人数据：能够直接或间接识别自然人身份的任何信息，例如姓名、地址、电子邮箱、电话号码、IP地址、位置数据或网络标识符。已故者的数据除外。
敏感数据：适用更严格规则的特殊类别，涵盖种族或民族、政治观点、宗教或哲学信仰、性行为、犯罪记录、健康数据、残疾、工会信息、基因数据和生物识别数据。收集此类数据通常须取得明确同意，除非适用其他特定的法律依据。
数据控制者：决定个人数据的收集、使用或披露方式和目的的个人或实体。
数据处理者：代表数据控制者处理个人数据的个人或实体。
处理数据的法律依据
每一次收集或使用个人数据，都必须基于以下法律依据之一：
- 同意：自愿、知情、具体、与其他条款分开，并可随时撤回
- 合同：处理数据是履行与数据主体之间的合同所必需
- 法定义务：法律要求进行处理
- 重大利益：为防止或制止对个人生命、身体或健康的危险
- 公共任务：为执行公共利益任务或行使公权力
- 合法利益：除非数据主体的基本权利优先
- 研究、统计或历史档案：须采取适当的保障措施
同意是要求最高的法律依据。同意必须在收集之前取得，与其他合同条款明确分开，且不得以同意作为提供服务的条件，除非该数据为提供服务所必需。在2025年11月的Worldcoin案中，主管部门质疑以加密代币换取虹膜扫描是否构成真正自愿的同意。
企业的主要义务
隐私声明
处理个人数据的每一家机构，都必须在收集时或收集之前告知数据主体以下内容：
- 处理的目的及其法律依据
- 所收集的数据及保存期限
- 可能向其披露数据的人员或机构类别
- 数据控制者的身份和联系方式，以及（如适用）其数据保护官的联系方式
- 数据主体的权利
安全措施
机构必须采取适当措施，防止数据遭到未经授权的访问、丢失、使用、更改或披露。按照PDPC关于安全措施的公告，这些措施包括组织措施（内部政策、培训）、技术措施（加密、访问控制）和物理措施（安全场所）。2025年8月的罚款表明，弱密码、未进行风险评估以及缺少数据处理协议都会受到处罚。
数据泄露通知
发生个人数据泄露时：
- 须在知悉后及时通知PDPC，并尽可能在72小时内通知，除非该泄露不太可能造成风险
- 如对相关人员的风险较高，须及时通知受影响的个人，并告知补救措施
未通知PDPC是迄今多笔罚款所援引的违法行为之一。
数据保护官（DPO）
以下主体必须任命数据保护官：
- PDPC指定的政府机关
- 核心业务涉及大规模、定期和系统性监控个人数据的机构（例如涉及10万人或以上的数据）
- 核心业务涉及处理敏感数据的机构
PDPC于2025年10月9日发布、自2025年12月9日起生效的一项公告，扩大了必须任命数据保护官的国家机关范围。应任命而未任命数据保护官本身即构成一项违法行为：2024年8月的首笔罚款就援引了这一点。
处理活动记录
数据控制者必须保存处理活动记录，PDPC可要求查阅。小型企业可享受部分豁免，但处理敏感数据或开展高风险处理的除外。
数据处理协议
当服务商代您处理个人数据时（IT、薪资核算、呼叫中心、云服务、档案销毁），您需要与其签订书面协议，明确其义务。在2025年8月的案件中，数据控制者和数据处理者均被处以罚款，其中包括一名受雇销毁病历的承包商。
跨境数据传输
向泰国境外传输个人数据受PDPA第28条和第29条，以及PDPC于2023年12月发布、自2024年3月24日起生效的两项公告规范。
个人数据只能传输至具有充分保护水平的国家，或在采取适当保障措施的情况下传输：
- 充分性名单：PDPC尚未公布具有充分保护水平的国家名单。
- 标准合同条款：实践中使用最广泛的机制。PDPC既接受其自身的范本，也接受东盟示范合同条款和欧盟标准合同条款等范本。
- 有约束力的公司规则（BCR）：适用于集团内部传输。PDPC于2025年9月29日发布BCR认证规则，并于次日批准了首份BCR。
- 其他例外：例如数据主体在知悉风险后给予的明确同意，或为履行合同所需。
数据主体的权利
PDPA赋予数据被处理的个人以下权利：
- 访问权：获取其数据副本并了解数据的取得方式
- 可携带权：以结构化、机器可读的格式获取其数据并要求传输
- 反对权：反对某些处理，包括直接营销
- 删除权：在特定情况下要求删除、销毁或匿名化其数据
- 限制处理权：在特定情况下要求暂停使用其数据
- 更正权：要求更正不准确的数据并保持更新
- 撤回同意权：可随时撤回，不影响此前已进行的处理
- 投诉权：向PDPC提出投诉
与GDPR不同，PDPA并未专门规定不受自动化决策约束的权利。
2024年以来的执法：宽限期结束
自2024年年中起，PDPA从指导阶段转入积极执法阶段。以下是有据可查的事实。
首笔罚款：2024年8月
2024年8月21日，PDPC宣布了该法生效以来的首笔行政罚款：对一家大型IT产品私营网络零售商罚款700万泰铢。该公司收集了超过10万名客户的数据，却未任命数据保护官，安全措施不足，延迟向PDPC通报泄露事件，并对投诉置之不理。泄露的数据被电话诈骗团伙利用。
罚款潮：2025年8月
2025年8月1日，PDPC宣布在五起案件中对公共和私营机构作出八笔行政罚款，合计约1,450万泰铢：
- 一家政府机构及其系统开发商：各罚153,120泰铢。一次网络攻击导致超过20万人的数据泄露，并在暗网上被兜售。该机构存在弱密码、未进行风险评估且没有数据处理协议等问题。
- 一家私立医院：罚款121万泰铢，受雇销毁其病历的个人被罚16,940泰铢，此前约1,000份患者病历遭泄露。
- 一家电脑设备零售商：因安全措施不足、未通报泄露事件且未任命数据保护官，罚款700万泰铢。
- 一家化妆品公司：因安全措施不足及未通报泄露事件，罚款250万泰铢。
- 一家收藏玩具销售商及其预订系统开发商：黑客入侵预订系统后，销售商被罚50万泰铢，开发商被罚300万泰铢。
PDPC还责令上述机构在30天内整改其系统。据有关该公告的报道，自PDPA生效以来，行政罚款总额已超过2,150万泰铢。
Worldcoin案：2025年11月
2025年11月24日，泰国主管部门责令虹膜扫描项目World（原Worldcoin）停止在泰国的虹膜扫描，并删除已收集的生物识别数据，据报道约120万条记录。所提出的关切包括：提供加密代币可能损害同意的自愿性；虹膜数据属于高风险生物识别数据；以及数据可能被用于超出所述目的的用途。
PDPC Eagle Eye
PDPC设有一个名为PDPC Eagle Eye的部门，利用技术手段监测搜索引擎、网络来源和暗网上的数据泄露。这使监管机构无需等待投诉，即可就疑似泄露事件主动联系相关机构。
监管机构当前的重点
近期案件和指引显示出几个重点领域：医疗及病历销毁、生物识别数据处理（数字身份、金融科技开户、门禁控制），以及外包处理（呼叫中心、云服务、预订系统）。2025年底，PDPA修正草案也已公开征求意见。
处罚
PDPA规定了三类处罚。
行政罚款
视违法行为而定，每项违法行为的行政罚款最高可达100万、300万或500万泰铢（第82条至第90条）。首笔700万泰铢的罚款之所以超过500万泰铢，是因为合并了数项独立的违法行为。PDPC还可责令采取整改措施，未执行的将另处罚款。
刑事处罚
刑事处罚主要针对非法使用或披露敏感数据的行为：
- 可能造成损害的，处最高6个月有期徒刑和/或最高50万泰铢罚款
- 为获取非法利益的，处最高1年有期徒刑和/或最高100万泰铢罚款
如犯罪行为系由董事和管理人员的指示或不作为所致，其可能须承担个人责任。
民事责任
因违法行为受到损害的数据主体可就实际损失要求赔偿。法院还可在此之外判处惩罚性赔偿。
科技犯罪紧急法令：2025年4月
自2025年4月13日起生效的《预防和打击科技犯罪措施紧急法令（第2号）》B.E. 2568，针对滥用个人数据增设了专门的刑事罪名：
- 为实施犯罪而收集、持有或披露个人数据：处最高1年有期徒刑和/或最高10万泰铢罚款
- 买卖、交换个人数据或从中非法获利：处最高5年有期徒刑和/或最高50万泰铢罚款
在泰企业实用核查清单
在泰国处理个人数据的每一家企业都应具备以下内容：
- 隐私声明：针对客户、员工和求职者，清晰且及时更新
- 同意管理：包括按照PDPC指引管理网站非必要Cookie
- 处理活动记录：列明所有处理活动的内部文件
- 数据处理协议：与每一家接触个人数据的服务商签订
- 安全措施：密码、访问控制、风险评估及定期审查
- 泄露应对计划：确保满足72小时时限的书面程序
- 数据保护官：如核心业务有此要求，须予任命
- 传输机制：任何向泰国境外的传输（包括传输至境外母公司或云服务器）均须采用标准合同条款或BCR
要点
- 泰国PDPA自2022年6月起全面生效，2024年8月随首笔罚款开始积极执法。
- 该法适用于处理泰国境内人员个人数据的任何机构，即使其位于境外。
- 主要义务：所有处理均须有法律依据、隐私声明、安全措施、72小时内通报泄露、按要求任命数据保护官，以及与服务商签订处理协议。
- 自2024年3月起，跨境传输受到规范：由于尚无充分性名单，须采用标准合同条款或BCR。
- 据报道，行政罚款总额已超过2,150万泰铢，数据控制者和数据处理者均被处罚。
- 自2025年4月起，一项紧急法令对买卖个人数据增设最高5年有期徒刑的刑事处罚。
关于泰国PDPA的常见问题
PDPA是否适用于向泰国客户在线销售的外国中小企业？
是的。PDPA具有域外效力。任何向泰国境内人员提供商品或服务、或监控其行为的机构，无论位于何处，均受该法约束。经营电商网站并拥有泰国客户的外国中小企业（包括中国企业）同样适用。
符合GDPR是否就足以符合PDPA？
由于两部法律原则相同，符合GDPR可以满足PDPA的大部分要求。但两者仍有差异：泰国特有的公告（安全措施、数据保护官、泄露通知、跨境传输）、尚无充分性名单、向PDPC提交的文件（例如BCR申请）须使用泰文，以及数据主体权利方面的差异。建议专门进行PDPA合规审查。
什么情况下必须任命数据保护官？
PDPC指定的政府机关、核心业务涉及大规模、定期和系统性监控个人数据的机构，以及核心业务涉及处理敏感数据的机构。应任命而未任命数据保护官本身即构成一项违法行为。
向中国、欧洲或美国的服务器传输数据应如何处理？
由于PDPC尚未公布充分性名单，最稳妥的机制是与接收方签订标准合同条款，并采用PDPC认可的范本，例如东盟示范合同条款或欧盟标准合同条款。自2025年9月起，集团还可申请PDPC认证有约束力的公司规则。
发生数据泄露时应该怎么做？
在知悉后及时通知PDPC，并尽可能在72小时内通知。如对相关人员的风险较高，还须及时通知他们。对泄露事件、所采取的措施及通知情况作书面记录。未通知PDPC是迄今多笔罚款所援引的违法行为之一。
泰国员工的数据是否受PDPA保护？
是的。员工数据（合同、工资单、绩效评估、健康数据等）属于受PDPA保护的个人数据，其中健康数据属于敏感数据。雇主处理这些数据须有法律依据，并须告知员工其数据的使用方式。
如果您尚未设立泰国公司，请参阅如何在DBD注册公司。
结论
泰国PDPA已告别宽限期，进入持续执法阶段。2024年和2025年作出的罚款不只是警告：它们确立了将指导监管机构后续决定的先例，并表明数据处理者与数据控制者同样会受到处罚。对于在泰国经营或向泰国境内人员提供服务的企业而言，合规已不再是可选项。
数据保护是在泰国经营需要管理的多个合规领域之一，此外还有外资持股规则，详见我们关于泰国《外国人经营法》的文章。如果您希望评估PDPA合规情况，或需要在落实相关措施方面获得支持，欢迎联系我们在泰国的团队。
