※本記事は、タイPDPAに基づく個人データ侵害時の初動対応を整理した一般的な実務情報です。 個別案件では、タイの弁護士、個人情報保護の専門家、ITセキュリティ専門家、関係当局に必ず確認してください。

72時間ルールは「通知」よりも「判断体制」が重要

タイPDPA第37条(4)では、個人データ侵害を知った場合、 個人の権利・自由に影響するリスクがない場合を除き、 PDPC事務局へ遅滞なく、可能な限り72時間以内に通知する義務が定められています。 また、高リスクの場合は、データ主体本人にも遅滞なく通知し、救済方法を知らせる必要があります。

ここで重要なのは、72時間以内に「通知するかどうか」を判断するためには、 その前に、社内で相当量の情報を集めなければならないという点です。

PDPA上の侵害は、「外部漏えい」だけではない

日本語では分かりやすく「情報漏えい」と表現されることが多いですが、 PDPA上の個人データ侵害は、外部にデータが流出した場合だけを意味するものではありません。

PDPC告示では、個人データ侵害について、概ね次のような類型を含むものとして整理されています。

つまり、PDPA対応では、「外に漏れたかどうか」だけを見ていては不十分です。 誤送信、紛失、改ざん、削除、システム停止、委託先での事故も含めて、 個人データ侵害に該当するかを確認する必要があります。

最初に確認すべきこと

個人データ侵害の疑いがある場合、最初に行うべきことは、騒ぎを大きくすることでも、 逆に見なかったことにすることでもありません。 まず、事実を確認し、証拠を残し、被害拡大を止めることです。

PDPC通知が必要かを判断する

PDPAでは、個人データ侵害を知った場合でも、すべての事案を無条件にPDPCへ通知するという建て付けではありません。 個人の権利・自由に影響するリスクがない場合を除き、PDPC事務局へ通知する必要があります。

したがって、会社として判断すべきなのは、次の点です。

• 個人データ侵害に該当するか
• 個人の権利・自由に影響するリスクがあるか
• PDPC事務局への通知が必要か
• 通知が必要な場合、72時間以内に必要情報を揃えられるか
• 72時間を超える可能性がある場合、その理由を説明できるか

PDPC告示では、通知が72時間を超える場合でも、単に遅れてよいわけではありません。 避けられない必要性がある場合には、その理由や詳細をPDPC事務局に説明し、 遅延通知に関する責任の免除を求めることができます。 ただし、その説明は、個人データ侵害を知ってから15日以内に行う必要があります。

高リスクの場合は、本人通知も必要

個人データ侵害が、データ主体本人の権利・自由に高いリスクをもたらす場合は、 PDPC事務局だけでなく、本人にも遅滞なく通知し、救済方法を知らせる必要があります。

本人通知が問題になりやすいのは、たとえば次のような場合です。

• ID番号、パスポート番号、銀行口座情報など、なりすましや詐欺につながりやすい情報が含まれる場合
• 健康情報、障害、犯罪歴、宗教など、センシティブな情報が含まれる場合
• 大量の顧客情報、従業員情報、応募者情報が外部に流出した可能性がある場合
• 流出データが第三者に販売・公開・転送されている可能性がある場合
• 本人に具体的な対応を促す必要がある場合

本人通知は、単なる謝罪文ではありません。 何が起きたのか、どの情報が関係するのか、本人にどのようなリスクがあるのか、 会社が何を行ったのか、本人が何をすべきかを、分かりやすく伝える必要があります。

72時間以内に揃えるべき情報

PDPC告示では、PDPC事務局への通知に含めるべき内容として、 侵害の性質、関係する個人データ、影響を受ける本人や件数、DPOまたは連絡担当者、 想定される影響、実施済み・実施予定の防止・是正・救済措置などが示されています。

委託先で起きた事故も、自社の問題になる

情報漏えい等は、自社の社内システムだけで起きるわけではありません。 会計事務所、給与計算会社、採用会社、IT会社、クラウドサービス、予約システム、警備会社、書類保管・廃棄業者など、 委託先で事故が起きることもあります。

PDPC告示では、データ管理者が処理者に個人データ処理を委託する場合、 処理者が侵害を知ったときには、管理者へ遅滞なく、可能な限り72時間以内に通知する義務を契約等に入れるべきことが示されています。

したがって、委託先に個人データを預けている会社は、次の点を確認しておくべきです。

• 委託先が個人データ侵害を知った場合、自社の誰に連絡するのか
• 何時間以内に初報を入れるのか
• どの情報を報告させるのか
• 委託先だけで判断せず、自社へ報告するルールになっているか
• DPAや業務委託契約に、事故報告・協力義務が入っているか

行政罰事例から見える実務上の注意点

2024年、MDESとPDPCは、個人データ10万件超を扱う民間企業について、 DPO未設置、安全管理措置不足、PDPCへの通知遅延・不実施などを理由に、 合計700万バーツの行政罰を科したと発表しました。

また、2025年のPRD発表では、Webアプリから20万件超の個人情報がDark Webで販売された事例、 病院の医療記録廃棄委託に関する事例、IT機器販売、化粧品販売、 収集玩具販売と予約システム運営会社の事例などが示されています。

これらの事例から分かるのは、問題になるのは単に「漏えいしたかどうか」だけではないということです。 安全管理措置、DPO、委託先管理、DPA、PDPC通知、本人への影響評価、事故後の説明可能性が見られています。

初動72時間チェックリスト

日本本社への報告も、早めに行う

タイ現地法人で個人データ侵害が起きた場合、日本本社への報告も重要です。 特に、日系企業では、顧客データ、従業員データ、駐在員情報、採用情報、グループ共通システムなどが、 日本本社や他国拠点とつながっていることがあります。

日本本社へ報告する際は、単に「漏えいが起きました」と伝えるのではなく、 次のように整理して報告すると、判断がしやすくなります。

• 発生日時・発覚日時
• 対象データの種類
• 対象人数・件数
• 外部流出の有無
• 本人へのリスク
• PDPC通知・本人通知の要否
• 72時間以内に通知できない場合の理由と15日以内の説明準備
• 現在行っている拡大防止措置
• 今後必要な対応

まとめ：事故が起きてから体制を作るのでは遅い

タイPDPAの72時間ルールは、事故が起きてから慌てて調べ始める会社には厳しいルールです。 72時間以内に判断するためには、普段から、どこに個人データがあり、誰が管理し、 委託先は誰で、事故が起きたら誰に連絡するのかを決めておく必要があります。

情報漏えい等が起きたときに重要なのは、隠すことでも、過剰に騒ぐことでもありません。 事実を確認し、証拠を残し、被害拡大を止め、本人へのリスクを評価し、 PDPC通知・本人通知の要否を判断できる状態にすることです。

72時間以内に何を判断するか。 それを事前に決めておくことが、タイPDPA対応の第一歩です。

主な参考情報

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562（Personal Data Protection Act B.E. 2562）
  https://ratchakitcha.soc.go.th/documents/17082307.pdf
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
  https://www.mdes.go.th/law/detail/6336
• MDES発表：PDPA行政罰事例
  https://www.mdes.go.th/news/detail/8539-...
• PRD発表：PDPA行政罰事例
  https://www.prd.go.th/th/content/category/detail/id/39/iid/411160