Révisé par ThaiLawOnline, un cabinet d'avocats thaïlandais agréé exerçant en Thaïlande depuis 2006. Avocate thaïlandaise en charge du dossier : Wichuda Atthamethakon, LL.M., licence du barreau thaïlandais 3149/2556.
Dernière mise à jour :
Le PDPA (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, the Loi sur la protection des données personnelles de B.E. 2562 (2019), parfois écrit PDPA thaïlandaise ou PDPA de la Thaïlande) est la loi générale sur la protection des données de la Thaïlande, modelée sur le RGPD européen et pleinement en vigueur depuis le 1er juin 2022. Elle réglemente quiconque collecte, utilise ou divulgue des informations sur une personne physique identifiable, exige une base légale pour le faire, confère à l'individu des droits sur les données et assortit ces règles d'amendes, dommages-intérêts et, pour les données sensibles, la prison. Un étranger y est confronté en tant que propriétaire d'entreprise, employeur, bailleur et en tant que personne dont le passeport est photocopié.
Table des matières
Ce que la loi impose au responsable du traitement
Portée. La loi s'applique à un responsable du traitement (qui décide pourquoi et comment les données sont utilisées) et à un sous-traitant (qui les traite selon les instructions du responsable) établis en Thaïlande, ainsi que, selon l'article 5, à ceux situés à l'étranger qui proposent des biens ou des services à des personnes en Thaïlande ou qui surveillent leur comportement. L'utilisation purement personnelle ou domestique en est exclue.
Base légale et données sensibles. Les données à caractère personnel ne peuvent être collectées que avec le consentement ou sur d’autres bases énumérées par la loi : exécution d’un contrat, obligation légale, intérêts vitaux, mission de service public ou intérêts légitimes du responsable du traitement. L’article 26 traite des données relatives à la race, à l’origine ethnique, à l’opinion politique, à la religion, au comportement sexuel, casier judiciaire, la santé, le handicap, l'appartenance syndicale, les données génétiques et biométriques comme étant sensibles, nécessitant un consentement explicite à moins qu'une exception étroite ne s'applique. Les responsables du traitement doivent indiquer aux personnes ce qui est collecté et pourquoi, assurer la sécurité des données, notifier l'autorité de régulation d'une violation dans les 72 heures et honorer les demandes d'accès, de rectification, de suppression ou de portabilité des données.
Là où un étranger rencontre la PDPA en pratique
Diriger une entreprise. Une entreprise thaïlandaise ayant des clients, du personnel ou un site web doit disposer d’un avis de confidentialité, d’un formulaire de consentement pour la publicité, d’un registre des traitements (les petites entreprises sont partiellement exemptées), de contrats avec des prestataires de services tels que les fournisseurs de paie, ainsi que d’un délégué à la protection des données si elle supervise des personnes à grande échelle ou traite des données sensibles dans le cadre de ses activités principales. Conformément à l’article 28, les transferts à l’étranger, notamment vers un siège social étranger, doivent avoir une destination offrant une protection adéquate, sauf si une exception s’applique, telle que le consentement, l’exécution d’un contrat ou une obligation légale ; l’article 29 permet également les transferts en vertu de règles d’entreprise certifiées juridiquement contraignantes ou d’autres garanties appropriées.
En tant que propriétaire, hôte ou copropriété. Copier le passeport d'un locataire pour déposer une TM30 repose sur une obligation légale et ne nécessite aucun consentement, mais conserver la copie pendant des années, ou une personne morale de copropriété partager des images de vidéosurveillance ou des listes de résidents, ne repose pas sur une telle obligation. L'organisme de régulation est le Comité de protection des données personnelles rattaché au ministère de l'Économie numérique et de la Société.
Sanctions et différences entre la PDPA et d'autres lois
Des amendes administratives sont imposées en trois tranches allant jusqu’à 1 000 000, 3 000 000 et 5 000 000 bahts, la plus élevée pour les infractions impliquant des données sensibles (articles 82 à 84). Les recours civils de la personne concernée permettent au tribunal d’accorder des dommages-intérêts punitifs pouvant atteindre le double du préjudice réel. La responsabilité pénale prévue à l’article 79 s’applique à l’utilisation ou à la divulgation illicites de données sensibles : jusqu’à 6 mois d’emprisonnement, une amende de jusqu’à 500 000 bahts, ou les deux, lorsque cela risque de causer des dommages ou une humiliation, et jusqu’à 1 an, 1 000 000 bahts, ou les deux, lorsque cela est fait pour un gain illicite ; l’infraction est punissable par la loi. Lorsque des sociétés commettent une infraction, un administrateur, un dirigeant ou toute autre personne responsable est responsable uniquement si cette infraction résulte de l’ordre ou de l’acte de cette personne, ou d’un manquement à cet ordre ou à cet acte lorsqu’elle était tenue de le faire (article 81). Il n’existe aucune présomption contre un administrateur.
La PDPA n'est pas la Loi sur la cybercriminalité, qui punit le piratage et les faux contenus en ligne, et ce n'est pas la diffamation, qui concerne la réputation. Une liste de clients divulguée relève de la PDPA ; une fausse publication sur un client relève de la diffamation ; s'introduire par effraction dans la base de données relève de la cybercriminalité.
Dernière révision : 29 septembre 2026. Les articles 5, 37, 78, 79, 81 et 82 à 84 de la loi sur la protection des données personnelles B.E. 2562 ont été lus en thaïlandais. La liste des bases légales, la liste des données sensibles, le document de traitement et l’exemple de TM30 sont indiqués comme étant généralement présentés et n’ont pas été lus paragraphe par paragraphe dans cette revue.
Foire aux questions
Est-ce que la PDPA s'applique à une petite entreprise ou à une entreprise étrangère en Thaïlande ?
Oui aux deux. Toute entreprise en Thaïlande qui détient des données personnelles sur des clients ou du personnel est un responsable du traitement, et l'article 5 étend la loi aux entreprises étrangères qui vendent à des personnes en Thaïlande ou les surveillent. Les petites entreprises bénéficient d'un allègement limité, principalement en ce qui concerne l'obligation de tenir un registre des activités de traitement, et non de la loi elle-même.
Quelles sont les sanctions prévues par la loi thaïlandaise sur la protection des données personnelles (PDPA) ?
Des amendes administratives pouvant atteindre 5 000 000 bahts par violation, des dommages-intérêts civils comprenant des dommages-intérêts punitifs pouvant atteindre le double de la perte réelle, et pour toute utilisation ou divulgation illicite de données sensibles, des peines pouvant aller jusqu’à six mois et 500 000 bahts, ou jusqu’à un an et 1 000 000 bahts lorsque cette pratique est effectuée à des fins illicites. Un administrateur est personnellement responsable de l’infraction d’une société uniquement lorsque celle-ci résulte de son propre ordre, acte ou manquement à agir.
Un propriétaire en Thaïlande peut-il conserver une copie de mon passeport en vertu de la PDPA ?
Le propriétaire peut copier le passeport pour remplir ses obligations légales, telles que la notification TM30 et l'exécution du bail, sans consentement distinct. Le conserver au-delà de cette finalité, le partager ou l'utiliser à d'autres fins nécessite une base légale, et le locataire peut demander quelles données sont conservées ainsi que leur suppression une fois la finalité atteinte.
Voir aussi : Loi sur la cybercriminalité, Diffamation, TM30, Directeur, responsabilité pénale des entreprises en Thaïlande et le droit des affaires en Thaïlande.
Actualités juridiques thaïlandaises, gratuites par courriel
Des informations claires et concises sur les changements législatifs thaïlandais concernant les étrangers : propriété, visas, mariage, affaires et testaments. Un court courriel par mois, envoyé par un cabinet d’avocats établi depuis 2006. Zéro spam, désabonnement possible à tout moment.