Évalué par Wichuda Atthamethakon, LL.M., titulaire de la licence de l’Ordre des avocats thaïlandais 3149/2556, pour ThaiLawOnline, un cabinet d’avocats thaïlandais œuvrant pour des étrangers depuis 2006.
Dernière mise à jour :
Le PDPA (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, the Loi sur la protection des données personnelles B.E. 2562 (2019), parfois écrit PDPA thaïlandaise ou PDPA de la Thaïlande) est la loi générale sur la protection des données de la Thaïlande, modelée sur le RGPD européen et pleinement en vigueur depuis le 1er juin 2022. Elle réglemente quiconque collecte, utilise ou divulgue des informations sur une personne physique identifiable, exige une base légale pour le faire, confère à l'individu des droits sur les données et assortit ces règles d'amendes, dommages-intérêts et, pour les données sensibles, la prison. Un étranger y est confronté en tant que propriétaire d'entreprise, employeur, bailleur et en tant que personne dont le passeport est photocopié.
Table des matières
Ce que la loi impose au responsable du traitement
Portée. La loi s'applique à un responsable du traitement (qui décide pourquoi et comment les données sont utilisées) et à un sous-traitant (qui les traite selon les instructions du responsable) établis en Thaïlande, ainsi que, selon l'article 5, à ceux situés à l'étranger qui proposent des biens ou des services à des personnes en Thaïlande ou qui surveillent leur comportement. L'utilisation purement personnelle ou domestique en est exclue.
Base légale et données sensibles. Les données à caractère personnel ne peuvent être collectées qu’avec le consentement ou sur une autre base énumérée par la loi : exécution d’un contrat, obligation légale, intérêts vitaux, mission de service public ou intérêts légitimes du responsable du traitement. L’article 26 traite des données relatives à la race, à l’origine ethnique, aux opinions politiques, à la religion, au comportement sexuel, casier judiciaire, la santé, le handicap, l'appartenance syndicale, les données génétiques et biométriques comme étant sensibles, nécessitant un consentement explicite à moins qu'une exception étroite ne s'applique. Les responsables du traitement doivent indiquer aux personnes ce qui est collecté et pourquoi, assurer la sécurité des données, notifier l'autorité de régulation d'une violation dans les 72 heures et honorer les demandes d'accès, de rectification, de suppression ou de portabilité des données.
Là où un étranger rencontre la PDPA en pratique
Diriger une entreprise. Une entreprise thaïlandaise ayant des clients, du personnel ou un site web doit disposer d’un avis de confidentialité, d’une formule de consentement pour le marketing, d’un registre des traitements (les petites entreprises en sont partiellement exemptées), de contrats avec ses sous-traitants tels que les prestataires de paie, ainsi que d’un délégué à la protection des données si elle surveille des personnes à grande échelle ou traite des données sensibles dans le cadre de son activité principale. En vertu de l’article 28, les transferts à l’étranger, y compris vers un siège social étranger, exigent une destination offrant une protection adéquate, sauf si une exception s’applique, comme le consentement, l’exécution d’un contrat ou une obligation légale ; l’article 29 permet également les transferts fondés sur des règles d’entreprise contraignantes certifiées ou d’autres garanties appropriées.
En tant que propriétaire, hôte ou copropriété. Copier le passeport d'un locataire pour déposer une TM30 repose sur une obligation légale et ne nécessite aucun consentement, mais conserver la copie pendant des années, ou une personne morale de copropriété partager des images de vidéosurveillance ou des listes de résidents, ne repose pas sur une telle obligation. L'organisme de régulation est le Comité de protection des données personnelles rattaché au ministère de l'Économie numérique et de la Société.
Sanctions et différences entre la PDPA et d'autres lois
Des amendes administratives sont prévues selon trois paliers allant jusqu’à 1 000 000, 3 000 000 et 5 000 000 bahts, le plus élevé pour les manquements portant sur des données sensibles (articles 82 à 84). Dans le cadre d’une action civile de la personne concernée, le tribunal peut accorder des dommages-intérêts punitifs pouvant atteindre le double du préjudice réel. La responsabilité pénale prévue à l’article 79 s’attache à l’utilisation ou à la divulgation illicites de données sensibles : jusqu’à 6 mois d’emprisonnement, une amende pouvant aller jusqu’à 500 000 bahts, ou les deux, lorsque cela est susceptible de causer un dommage ou une humiliation, et jusqu’à 1 an, 1 000 000 bahts, ou les deux, lorsque cela est fait en vue d’un gain illicite ; l’infraction est susceptible de transaction (compoundable). Lorsqu’une société commet une infraction, un administrateur, un dirigeant ou toute autre personne responsable n’est responsable que si l’infraction résulte de l’ordre ou de l’acte de cette personne, ou de son abstention de donner un ordre ou d’agir alors qu’elle en avait le devoir (article 81) ; il n’existe aucune présomption à l’encontre d’un administrateur.
La PDPA n'est pas la Loi sur la cybercriminalité, qui punit le piratage et les faux contenus en ligne, et ce n'est pas la diffamation, qui concerne la réputation. Une liste de clients divulguée relève de la PDPA ; une fausse publication sur un client relève de la diffamation ; s'introduire par effraction dans la base de données relève de la cybercriminalité.
Dernière révision : 29 septembre 2026. Les articles 5, 37, 78, 79, 81 et 82 à 84 de la loi sur la protection des données personnelles B.E. 2562 ont été lus en thaï. La liste des bases légales, la liste des données sensibles, l’allègement relatif au registre des traitements et l’exemple du TM30 sont présentés tels qu’ils sont couramment décrits et n’ont pas été relus article par article dans cette revue.
Foire aux questions
Est-ce que la PDPA s'applique à une petite entreprise ou à une entreprise étrangère en Thaïlande ?
Oui aux deux. Toute entreprise en Thaïlande qui détient des données personnelles sur des clients ou du personnel est un responsable du traitement, et l'article 5 étend la loi aux entreprises étrangères qui vendent à des personnes en Thaïlande ou les surveillent. Les petites entreprises bénéficient d'un allègement limité, principalement en ce qui concerne l'obligation de tenir un registre des activités de traitement, et non de la loi elle-même.
Quelles sont les sanctions prévues par la loi thaïlandaise sur la protection des données personnelles (PDPA) ?
Des amendes administratives pouvant atteindre 5 000 000 bahts par violation, des dommages-intérêts civils comprenant des dommages-intérêts punitifs pouvant atteindre le double de la perte réelle, et, pour l’utilisation ou la divulgation illicite de données sensibles, jusqu’à six mois et 500 000 bahts, ou jusqu’à un an et 1 000 000 bahts lorsqu’elle est commise en vue d’un gain illicite. Un administrateur n’est personnellement responsable de l’infraction d’une société que lorsque celle-ci résulte de son propre ordre, de son propre acte ou de son abstention d’agir.
Un propriétaire en Thaïlande peut-il conserver une copie de mon passeport en vertu de la PDPA ?
Le propriétaire peut copier le passeport pour remplir des obligations légales, telles que la notification TM30, et pour exécuter le bail, sans consentement distinct. Le conserver au-delà de cette finalité, le partager ou l'utiliser à d'autres fins nécessite une base légale, et le locataire peut demander quelles données sont conservées ainsi que leur suppression une fois la finalité atteinte.
Voir aussi : Loi sur la cybercriminalité, Diffamation, TM30, Administrateur, responsabilité pénale des entreprises en Thaïlande et le droit des affaires en Thaïlande.
Actualités juridiques thaïlandaises, gratuites par courriel
Des mises à jour en anglais simple sur les changements législatifs thaïlandais concernant les étrangers : propriété, visas, mariage, affaires et testaments. Un court courriel par mois, envoyé par un cabinet d’avocats établi depuis 2006. Zéro spam, désabonnement possible à tout moment.