概要
タイの「個人情報保護法 B.E.2562（2019年）」（PDPA）は、小規模な事業者に対し、個人データ取扱記録（Record of Processing Activities、以下「RoPA」という。）の作成・記録・保持義務（RoPA義務）を免除しています。
2025年2月4日、個人情報保護委員会（PDPC）は、RoPA義務の免除対象となる「小規模事業者」の具体的な要件を明確化するため、新たなガイドラインを発表しました。このガイドラインの内容は、以下の通りです。
- PDPC告示：「小規模データ処理事業者に対するRoPA作成および保持義務免除に関する告示 B.E.2567（2024年）」
- PDPC告示：「小規模データ管理事業者に対するRoPA記録義務免除に関する告示 B.E.2567（2024年）」
なお、データ処理事業者に対する告示は2025年1月9日から施行されており、データ管理事業者に対する告示は、タイ官報への掲載日から90日後の2025年4月8日に施行されます。これらをまとめて「小規模事業者向けRoPA義務免除」と呼ぶこととします。
主要なポイント
小規模事業者向けRoPA義務免除に関する主なポイントは以下の通りです。
A. RoPA義務免除の対象となる小規模事業者
小規模事業者として、RoPA（データ取扱記録）の作成・保持義務が免除されるのは、以下に該当する事業者です。
- 中小企業振興法に基づく中小企業（SME）
- コミュニティ事業振興法に基づくコミュニティ事業者およびコミュニティ事業者ネットワーク
- 社会的企業振興法に基づく社会的企業または社会的企業グループ
- 共同組合法に基づく協同組合および協同組合連合会、農民団体
- 財団法人、社団法人、宗教法人、その他非営利団体
- コンドミニアム法に基づく区分所有建物の管理組合法人または土地開発法に基づく住宅団地の管理組合法人
- 家内工業の事業体
- 個人データ管理者が単独で運営する個人事業体 中小企業（SME）の具体例
- 製造業：従業員数が200人以下、または年間売上高が5億バーツ以下
- サービス業、卸売業、小売業：従業員数が100人以下、または年間売上高が3億バーツ以下
従業員数および売上高のうち、いずれかが基準を超える場合は、売上高を優先して判断します。
ただし、PDPA（個人情報保護法）第41条に基づき「データ保護責任者（DPO）」を設置する義務を負う以下の事業者は、小規模事業者であってもRoPA義務免除の対象外となります。
- 政府機関
- 個人データ処理を主たる業務として行う事業者
- 機微な個人情報（Sensitive Personal Information：SPI）を取り扱う事業者
例えば、病院、銀行、クレジットサービス提供企業、学校、法律事務所、会計監査事務所などがこれに該当します。（これらの例示は、対象事業者のイメージを示すものであり、すべてを網羅するものではありません。）
B. RoPA免除が適用されないケース
小規模事業者であっても、以下に該当する場合は、RoPA（データ取扱記録）の作成・保持義務の免除対象とはなりません。
- データ主体の権利や自由に影響を及ぼす可能性のある個人データを取り扱う場合
- 通常業務の一部として継続的に個人データを処理する場合
- 個人情報保護法第26条で規定された機微な個人情報（健康情報、宗教的信条、生体認証データ等）を取り扱う場合
まとめ
小規模事業者にとって、タイの個人情報保護法（PDPA）に基づく個人データ取扱記録（RoPA）の義務免除を正しく理解することは、法的責任の管理やコンプライアンスの維持を確保するために非常に重要です。一定の条件下ではRoPAの義務が免除されますが、事業者は自身が行うデータ処理の内容を慎重に評価し、意図しない法令違反を避ける必要があります。
RoPAの免除は、すべての小規模事業者に無条件に適用されるものではないということは注意すべき点です。特に、データ主体の権利や自由に大きな影響を与える可能性のある個人データや、日常的・継続的に個人データ処理活動を行う場合、事業者は引き続きRoPA義務を遵守する必要があります。これらのガイドラインは多くの小規模事業者にとって負担軽減となるものですが、免除要件を満たしているかどうかについては綿密な評価が不可欠です。
ILAWASIAでは、PDPAに関する専門的なリーガルアドバイスを提供し、クライアントの皆様が法令遵守を確実に行えるようサポートしております。RoPAの免除基準やその他PDPAに関連するご相談がございましたら、ぜひお気軽に当事務所までお問い合わせください。
免責事項：本ニュースレターは、あくまで情報提供を目的として作成されたものであり、法的助言（リーガルアドバイス）を提供するものではありません。