タイPDPAは「同意書だけ」では守れない｜行政罰事例から見る会社の個人情報管理

タイでは、個人情報保護法であるPDPA（Personal Data Protection Act）が全面施行された2022年6月以降、個人情報管理に対する行政の執行が本格化しています。

以前は、PDPA対応というと、プライバシーポリシーや同意書を作成することに関心が集まりがちでした。

しかし、タイ政府広報局（PRD）やデジタル経済社会省（MDES）の公式発表を見ると、実際に行政罰の対象となっているのは、単なる書類不備だけではありません。

むしろ、次のような実務上の管理不足が問題になっています。

• 個人情報漏えい時の対応不足
• 適切な安全管理措置の不足
• DPO（個人情報保護責任者）の未選任
• 委託先とのDPA（データ処理契約）の未締結
• 委託先の監督不足
• 書類廃棄時の管理不足
• システムや予約フォームなど外部委託先の管理不足

つまり、PDPA対応は「同意書を作ったら終わり」ではありません。

会社として、どの個人情報を持ち、誰がアクセスでき、外部委託先に何を渡し、漏えいが起きたときに誰が判断するのかを決めておく必要があります。

この記事では、タイ政府・行政機関の公開情報に基づき、実際の行政制裁事例から、タイ現地法人が確認すべき実務ポイントを整理します。

まず知っておきたいPDPAの基本用語

PDPAの記事を読む際には、いくつかの用語を押さえておくと理解しやすくなります。

ここでは、専門的な説明ではなく、会社実務に必要な範囲で整理します。

PDPA

PDPAとは、タイの個人情報保護法である Personal Data Protection Act のことです。

タイ語では、พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 といいます。日本語では「個人情報保護法」と訳されます。

タイのPDPAは2019年に制定され、2022年6月に全面施行されました。現在は、企業・団体に対して実際に行政執行が行われる段階に入っています。

個人情報

PDPA上の個人情報とは、個人を直接または間接に識別できる情報を指します。

例えば、次のような情報が該当します。

• 氏名
• 住所
• 電話番号
• メールアドレス
• 身分証番号
• パスポート番号
• 従業員番号
• 履歴書
• 給与情報
• 防犯カメラ映像
• 顧客リスト
• 予約情報

会社が普段扱っている従業員情報、顧客担当者の名刺情報、採用応募者の履歴書、防犯カメラ映像も、個人情報に該当し得ます。

センシティブ個人情報

PDPAでは、特に慎重な取り扱いが必要な個人情報も定められています。

例えば、健康情報、障害、宗教、政治的意見、犯罪歴、生体情報などです。

行政制裁事例の中でも、病院の医療記録が外部に流出した事例では、健康情報というセンシティブ個人情報の管理が問題になっています。

データ主体

データ主体とは、その個人情報の本人のことです。

会社実務では、次のような人がデータ主体になります。

• 従業員
• 採用応募者
• 顧客
• 顧客企業の担当者
• 取引先担当者
• 来訪者
• 防犯カメラに映る人

個人向けビジネスをしていないBtoB企業でも、従業員情報や取引先担当者情報を扱っていれば、PDPAと無関係ではありません。

データ管理者

データ管理者とは、個人情報を収集・使用・開示する目的や方法を決定する者です。

会社が従業員情報、顧客情報、採用応募者情報を自社の目的で管理している場合、通常、その会社はデータ管理者になります。

例えば、給与計算のために従業員情報を集める会社、顧客管理のために顧客リストを持つ会社、採用活動のために履歴書を集める会社は、データ管理者としての責任を負います。

データ処理者

データ処理者とは、データ管理者の指示に従って個人情報を処理する者です。

例えば、次のような外部委託先がデータ処理者に該当する可能性があります。

• 給与計算代行会社
• 会計事務所
• 採用会社
• ITシステム会社
• クラウドサービス会社
• 予約システムの運用・管理事業者
• 書類廃棄業者
• 防犯カメラ管理会社

重要なのは、外部委託先に情報を渡したからといって、会社側の責任が消えるわけではないという点です。

DPA

DPAとは、Data Processing Agreement の略で、データ処理契約、または個人情報処理に関する委託契約と考えると分かりやすいです。

会社が外部委託先に個人情報を扱わせる場合、委託先がどの範囲で個人情報を扱うのか、どのように安全管理するのか、漏えいが起きた場合にどう報告するのかを、契約や合意書で明確にしておく必要があります。

2025年の公開制裁事例でも、政府機関がシステム関連の委託先とDPAを締結していなかったことが問題点として指摘されています。

DPO

DPOとは、Data Protection Officer の略で、個人情報保護責任者と訳されます。

すべての会社に一律でDPO選任義務があるわけではありませんが、一定の場合にはDPOの選任が必要になります。

2024年の公式発表では、大量の顧客情報を扱うオンライン販売大手について、DPOを選任していなかったことが行政罰の理由の一つとして挙げられています。

したがって、自社がDPOを選任すべき事業規模・業務内容かどうかは、経営者または管理部門が確認しておくべき事項です。

行政制裁事例は公開されているのか

タイPDPAに関して、裁判所の判決として確立した「判例」を一般企業向け記事の中心に据えるのは、現時点ではやや難しいです。

一方で、タイ政府広報局（PRD）やデジタル経済社会省（MDES）は、PDPCによる行政制裁事例を公式に公表しています。

したがって、この記事では「判例」ではなく、行政の公開制裁事例として扱います。

公開情報として特に重要なのは、次の2つです。

• 2024年8月21日付のMDES発表：オンライン販売大手に対する700万バーツの行政罰
• 2025年8月1日付のPRD発表：5事案・行政罰8件

いずれも、企業名は一部非公表ですが、違反類型、発生した問題、罰金額、行政が重視したポイントは公表されています。

2024年の制裁事例：オンライン販売大手に700万バーツの行政罰

2024年8月21日、タイ・デジタル経済社会省（MDES）は、オンライン販売大手に対し、合計700万バーツの行政罰を科したことを発表しました。

公式発表によれば、この会社は10万人を超える顧客の個人情報を大量に収集し、事業の中核として利用していました。

しかし、次のような問題が指摘されています。

• DPOを選任していなかった
• 適切な安全管理措置を講じていなかった
• 個人情報が漏えいし、コールセンター詐欺グループに悪用された
• データ主体から苦情があったにもかかわらず、適切な対応を怠った
• PDPCへの漏えい通知が遅れた

この事例では、23名のデータ主体から苦情があったにもかかわらず、72時間以内にPDPCへ通知していなかったことも問題とされています。

この事例で重要なのは、行政罰の理由が「同意書がなかった」という単純な話ではないことです。

問題になったのは、大量の個人情報を扱っているにもかかわらず、会社として適切な管理体制を整えていなかったことです。

特に、DPO、安全管理措置、漏えい時の通知対応が重く見られています。

これは、EC事業者だけの問題ではありません。

従業員情報、顧客情報、会員情報、予約情報、問い合わせ履歴などを大量に扱う会社であれば、同じような論点が生じ得ます。

2025年の公開制裁事例：5事案・行政罰8件

2025年8月1日、タイ政府広報局（PRD）は、PDPC事務局長の説明として、5つの事案について、合計8件の行政罰が科されたことを公表しました。

この発表では、政府機関、病院、IT機器販売会社、化粧品販売会社、玩具販売会社および予約システムを運用・管理する事業者など、幅広い業種・組織が対象になっています。

つまり、PDPAの制裁は、特定の業種だけに限られるものではありません。

なお、2025年8月に公表された行政罰8件の合計額は約1,453万バーツです。2024年の700万バーツの制裁事例を含めると、累計では約2,150万バーツ規模になります。2025年分と累計額を混同しないよう注意が必要です。

事例1：政府機関とシステム関連の委託先

1つ目の事例は、オンラインサービスを提供する政府機関のWebアプリが攻撃され、20万人を超える個人情報がダークウェブ上で販売された事案です。

行政発表では、政府機関側について、次のような問題が指摘されています。

• 情報システムの安全管理措置が不十分だった
• 弱いパスワードを使用していた
• リスク評価をしていなかった
• 安全管理措置を継続的に見直していなかった
• システム関連の委託先とのDPAを締結していなかった

また、委託先側についても、次のような問題が指摘されています。

• 最初から適切な安全設計をしていなかった
• アクセス制御が不十分だった
• リスク評価をしていなかった
• DPAがない状況でも、漏えいリスクへの対応をしていなかった

この事例では、政府機関とシステム関連の委託先の双方に、各153,120バーツの行政罰が科されています。

この事例から分かるのは、IT会社に委託しているからといって、委託元が安心できるわけではないということです。

委託元は、委託先に任せるだけでなく、DPAを締結し、アクセス管理、パスワード管理、リスク評価、システムの見直しについて確認する必要があります。

事例2：私立病院と書類廃棄を請け負った個人の委託先

2つ目の事例は、私立病院の医療記録が、書類廃棄の過程で外部に流出した事案です。

行政発表によれば、患者の医療記録1,000枚以上が流出し、その一部が菓子の包装に使われている様子がSNS上で広がりました。

病院は、個人の請負業者に医療記録の廃棄を委託していましたが、廃棄プロセスを十分に追跡・管理・確認していなかったとされています。

また、委託先は、病院から受け取った医療記録を自宅に保管し、合意された手順に従わず、漏えいを病院に通知しなかったと説明されています。

この事例では、病院に1,210,000バーツ、委託先の個人の請負業者に16,940バーツ、合計1,226,940バーツの行政罰が科されています。

この事例は、紙の書類を扱うすべての会社に関係します。

PDPA対応というと、どうしてもITシステムやクラウドの話に見えがちですが、紙の履歴書、従業員ファイル、給与資料、医療証明書、身分証コピーなども個人情報です。

廃棄業者に渡した後も、会社側の管理責任が問題になり得ます。

事例3：IT機器・PC周辺機器販売会社

3つ目の事例は、IT機器やPC周辺機器などを販売する会社に関するものです。

行政発表では、この会社について、次の3点が問題とされています。

• 適切な安全管理措置を講じていなかった
• 個人情報漏えいをPDPCに通知していなかった
• 大量の個人情報を継続的に扱っているにもかかわらず、DPOを設置していなかった

この事例では、7,000,000バーツの行政罰が科されています。

なお、この事例は、2024年に700万バーツの行政罰が科されたオンライン販売大手の事例とは別の会社・別の事案です。金額や違反類型が似ていますが、二重計上ではありません。

2024年の事例では23名の苦情が問題とされていましたが、2025年のこの事例では100件を超える苦情があったとされています。

2024年のオンライン販売大手の事例と同じく、ここでも安全管理措置、漏えい通知、DPOが重要な論点になっています。

事例4：化粧品販売会社

4つ目の事例は、化粧品販売会社に関するものです。

行政発表では、次の2点が問題とされています。

• 適切な安全管理措置を講じていなかった
• 個人情報漏えいをPDPCに通知していなかった

この事例では、2,500,000バーツの行政罰が科されています。

化粧品、健康食品、会員制販売、オンライン販売、LINE経由の顧客管理などを行う会社は、顧客情報を蓄積しやすい業態です。

顧客名簿や購入履歴を持っている会社は、漏えい時の対応を事前に決めておく必要があります。

事例5：玩具販売会社と予約システムを運用・管理する事業者

5つ目の事例は、収集玩具を販売する会社と、その予約システムを運用・管理する事業者に関するものです。

行政発表では、適切な安全管理措置が講じられていなかったことが問題とされています。

この事例では、データ管理者である販売会社に500,000バーツ、データ処理者である予約システムの運用・管理事業者に3,000,000バーツの行政罰が科されています。

この事例から分かるのは、予約システム、会員システム、ECシステム、問い合わせフォームなどを外部委託している場合でも、委託元・委託先の双方が責任を問われ得るということです。

公開制裁事例から見える共通点

これらの事例を見ると、行政が重視しているポイントはかなりはっきりしています。

重要なのは、同意書の有無だけではありません。

むしろ、実際に問題となっているのは、次のような実務管理です。

• 個人情報をどこに保存しているか
• 誰がアクセスできるか
• パスワードやアクセス権限を管理しているか
• リスク評価をしているか
• 安全管理措置を見直しているか
• 外部委託先とDPAを締結しているか
• 委託先の作業を確認しているか
• 紙の書類を適切に廃棄しているか
• 漏えい時にPDPCへ通知する体制があるか
• DPOが必要な場合に選任しているか

また、一部の事案では、漏えい後に被害を受けたデータ主体への救済措置が行われていたにもかかわらず、行政罰が科されています。

つまり、事後対応をしたからといって、当然に行政責任を免れるわけではありません。

漏えいを防ぐための事前の安全管理措置、漏えい発生時の通知、委託先管理が重視されていると考えるべきです。

PDPA対応は、法律文書を作るだけでは足りません。

会社の実際の情報管理体制を整える必要があります。

日系企業がまず確認すべき個人情報

日系企業の場合、個人向けECや医療機関でなくても、次のような個人情報を日常的に扱っています。

従業員情報

• 氏名
• 住所
• 電話番号
• 身分証コピー
• パスポートコピー
• ビザ・労働許可証情報
• 銀行口座情報
• 給与情報
• 社会保険情報
• 家族情報
• 健康診断書

人事・総務・経理部門は、非常に多くの個人情報を扱っています。

給与計算を会計事務所へ委託している場合、従業員情報を外部へ提供していることになります。

採用応募者の履歴書

採用活動では、履歴書、職務経歴書、身分証コピー、学歴、職歴、連絡先などを受け取ります。

不採用になった応募者の書類を、いつまで保管するのか、誰がアクセスできるのか、どのように削除・廃棄するのかを決めていない会社は少なくありません。

履歴書管理は、PDPA対応の中でも見落とされやすい部分です。

顧客・取引先担当者情報

BtoB企業でも、顧客企業の担当者名、役職、電話番号、メールアドレス、名刺情報、商談履歴を持っています。

これらも個人を識別できる情報です。

名刺管理アプリ、CRM、営業担当者のスマートフォン、LINE、メールボックスなどに情報が分散している場合、管理が難しくなります。

防犯カメラ映像

防犯カメラ映像も、個人を識別できる場合には個人情報に該当し得ます。

工場、オフィス、店舗、倉庫、駐車場に防犯カメラを設置している会社は、少なくとも次の点を確認すべきです。

• 撮影目的を明確にしているか
• 掲示をしているか
• 映像の保存期間を決めているか
• 誰が映像を閲覧できるか
• 警備会社や管理会社に映像を渡していないか
• 不要になった映像を削除しているか

紙の書類

PDPA対応というとデジタルデータの話に偏りがちですが、紙の書類も重要です。

2025年の病院の制裁事例では、紙の医療記録が廃棄過程で流出したことが問題になりました。

会社でも、次のような紙の書類があります。

• 従業員ファイル
• 身分証コピー
• パスポートコピー
• 履歴書
• 給与資料
• 健康診断書
• 労働契約書
• 退職者資料

これらを廃棄する際、普通のゴミとして捨てていないか、廃棄業者に渡した後の処理を確認しているかを見直す必要があります。

外部委託先の管理は経営課題

公開制裁事例で特に重要なのは、委託先管理です。

システム関連の委託先、書類廃棄業者、予約システムの運用・管理事業者など、外部委託先が関与した事例で、委託元だけでなく委託先側も行政罰の対象になっています。

日系企業でも、次のような委託先が個人情報を扱っている可能性があります。

• 会計事務所
• 給与計算会社
• 人材紹介会社
• 採用サイト運営会社
• IT保守会社
• クラウドサービス会社
• 防犯カメラ管理会社
• 警備会社
• 書類保管会社
• 書類廃棄業者

会社としては、少なくとも次の点を確認する必要があります。

• どの委託先に、どの個人情報を渡しているか
• 委託先との契約に個人情報保護条項があるか
• DPAまたはそれに相当する合意があるか
• 委託先が再委託していないか
• 漏えい時に委託先から速やかに連絡が来る仕組みがあるか
• 契約終了後にデータを削除・返却することになっているか
• 紙の書類を廃棄する場合、廃棄証明や処理記録が残るか

外部業者に任せているから安心、ではありません。

外部業者に任せているからこそ、会社側で管理ルールを決めておく必要があります。

漏えい時の対応を先に決めておく

個人情報漏えいが起きた場合、現場担当者だけで判断するのは危険です。

漏えい時には、次のような判断が必要になります。

• 何が漏えいしたのか
• 何人分の情報か
• センシティブ個人情報が含まれているか
• 本人に被害が及ぶ可能性があるか
• PDPCへ通知する必要があるか
• 本人へ通知する必要があるか
• 外部委託先が関与しているか
• 証拠保全をどうするか
• 日本本社へいつ報告するか

2024年および2025年の制裁事例では、漏えい後の通知不足や対応不足が行政罰の理由として挙げられています。

そのため、漏えいが起きてから慌てるのではなく、事前に社内の連絡ルートを決めておくことが重要です。

経営者が決めるべき最低限のこと

PDPA対応は、法務担当者やIT担当者だけの仕事ではありません。

会社としてどこまで管理するか、どこに費用をかけるか、誰に権限を持たせるかを決める必要があるため、経営者の判断が必要です。

最低限、次の点は経営レベルで決めておくべきです。

1. 個人情報管理の責任者

まず、社内で誰が個人情報管理を担当するのかを決める必要があります。

DPOの法定選任義務があるかどうかとは別に、日常的な窓口や責任者を曖昧にしないことが重要です。

2. 外部委託先の管理方針

会計事務所、給与計算会社、IT会社、書類廃棄業者など、個人情報を扱う委託先を一覧化し、契約内容を確認する必要があります。

DPAが必要な委託先については、契約書の見直しも検討すべきです。

3. 紙書類の保管・廃棄ルール

従業員ファイルや履歴書を、誰でも見られる棚に保管していないか、退職者や不採用者の書類をいつまで保管するのか、廃棄時にシュレッダーや廃棄証明を利用するのかを決めておく必要があります。

4. ITセキュリティの基本

高度なシステムを導入する前に、まず基本的な管理を確認することが大切です。

• 弱いパスワードを使っていないか
• 退職者のアカウントが残っていないか
• 共有IDを使い回していないか
• アクセス権限を必要最小限にしているか
• クラウド上の共有リンクを放置していないか
• バックアップを取っているか

5. 漏えい時の報告ルート

個人情報の漏えいが疑われる場合、現場担当者が誰に報告するのか、日本本社へいつ報告するのか、外部専門家へ相談する判断を誰がするのかを決めておく必要があります。

まず作るべきチェックリスト

PDPA対応を始める際には、いきなり完璧な文書を作るより、まず自社の情報の流れを確認することが大切です。

次のチェックリストから始めるとよいでしょう。

保有している個人情報

• 従業員情報を一覧化しているか
• 採用応募者の履歴書をどこに保管しているか
• 顧客・取引先担当者情報をどこに保管しているか
• 防犯カメラ映像の保存期間を決めているか
• 紙の書類とデジタルデータの両方を確認しているか

アクセス管理

• 誰が従業員情報にアクセスできるか
• 給与情報にアクセスできる人を限定しているか
• 退職者のアカウントを削除しているか
• 共有フォルダの権限を定期的に確認しているか
• 個人情報を含むファイルを個人PCや私用クラウドに保存していないか

外部委託先

• 個人情報を渡している委託先を一覧化しているか
• 委託先との契約に個人情報保護条項があるか
• DPAまたは同等の合意があるか
• 委託先から再委託先へ情報が渡っていないか
• 契約終了後のデータ削除・返却ルールがあるか

書類廃棄

• 履歴書や身分証コピーを普通ゴミに出していないか
• 廃棄業者を使う場合、処理方法を確認しているか
• 廃棄証明を取得しているか
• 保存期間を過ぎた書類を放置していないか

漏えい対応

• 漏えい時の社内連絡先を決めているか
• PDPCへの通知要否を誰が判断するか
• 本人通知の要否を誰が判断するか
• 日本本社への報告ルートがあるか
• 委託先からの漏えい報告ルールがあるか

PDPA対応は「書類作成」ではなく「会社の管理体制」

今回の行政制裁事例から分かるのは、PDPA対応が単なる書類作成ではないということです。

もちろん、プライバシーポリシー、同意書、社内規程、DPAなどの文書は重要です。

しかし、実際に行政罰の対象となっているのは、情報漏えい、安全管理措置不足、委託先管理不足、漏えい通知不足、DPO未選任など、会社の実際の管理体制に関わる問題です。

そのため、経営者としては、まず次のように考える必要があります。

自社にはどの個人情報があり、どこに保存され、誰が見られ、誰に渡しており、漏えいしたときに誰が判断するのか。

この問いに答えられない場合、PDPA対応はまだ十分とは言えません。

まとめ

タイPDPAは、すでに実際の行政執行段階に入っています。

2024年にはオンライン販売大手に対する700万バーツの行政罰が公表され、2025年には政府機関、病院、IT機器販売会社、化粧品販売会社、玩具販売会社および予約システムを運用・管理する事業者などに関する5事案・行政罰8件が公表されました。

これらの事例に共通しているのは、個人情報漏えい、安全管理措置不足、DPO未選任、DPA未締結、委託先管理不足、漏えい通知不足といった、実務上の管理不足です。

日系企業にとっても、PDPAは大企業やIT企業だけの問題ではありません。

従業員情報、採用応募者の履歴書、顧客担当者情報、防犯カメラ映像、紙の書類、外部委託先に渡すデータなど、どの会社にも関係する情報管理の問題です。

まずは、自社が持っている個人情報と、外部委託先に渡している情報を洗い出すことから始めるのがよいでしょう。

PDPA対応は、同意書を作って終わりではありません。

会社として、個人情報を守る仕組みを持っているかが問われています。

---

参考情報

• タイ政府広報局（PRD）：2025年8月1日付 PDPA行政制裁事例に関する発表
• タイ・デジタル経済社会省（MDES）：2024年8月21日付 オンライン販売大手に対する700万バーツ行政罰の発表
• 官報：พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562（Personal Data Protection Act B.E. 2562）

本記事は、タイ政府広報局、タイ・デジタル経済社会省、官報掲載法令等の公開情報に基づき、タイ現地法人向けの一般的な実務確認ポイントを整理したものです。個別企業の事業内容、保有データ、委託先、システム構成、DPO選任義務の有無等により必要な対応は異なります。実際の制度整備や漏えい対応にあたっては、必要に応じてタイの法律専門家・個人情報保護専門家に確認することをお勧めします。

最寄りの販売店が見つからない、複数の地域での実施をご希望、などの場合はフォームからお気軽にお問い合わせください。