Esta Ley se aplica a la recogida, uso o divulgación de datos personales en el Reino de Tailandia por parte de cualquier procesador o controlador de datos, incluso cuando dicha divulgación, uso o recogida no tenga lugar en Tailandia. En caso de que un encargado del tratamiento o un responsable del tratamiento esté situado fuera de Tailandia, la Ley seguirá aplicándose a los interesados dentro de Tailandia.
"Datos personales": toda información relativa a una persona determinada que permita identificarla, ya sea directa o indirectamente, pero sin incluir la información de las personas fallecidas;
"Responsable del tratamiento" es una persona física o jurídica que tiene el poder y las obligaciones de tomar decisiones sobre la recogida, uso o divulgación de datos personales;
"Encargado del tratamiento": una persona física o jurídica que opera en relación con la recogida, el uso o la divulgación de los datos personales con arreglo a las órdenes dadas por un responsable del tratamiento o en su nombre, cuando dicha persona física o jurídica no es el responsable del tratamiento.
La Ley de Protección de Datos Personales se publicó por primera vez en 2019, y hubo un período de un año durante el cual las empresas y otras entidades podían adaptarse a la Ley en términos de sanciones por incumplimiento, obligaciones de un controlador de datos y derechos de un sujeto de datos.
La Oficina del Comité de Protección de Datos es la principal autoridad supervisora, y el Ministerio de Economía y Sociedad Digital es el supervisor de la PDPA.
Aplicación del cumplimiento de la PDPA
En general, la PDPA se aplica a cualquier divulgación, uso y recogida de datos en Tailandia o relativos a ciudadanos tailandeses. Hay algunos casos en los que los procesadores y controladores de datos deben adherirse a la PDPA incluso cuando operan fuera de Tailandia:
Fundamentos legales para la recogida, uso y divulgación de datospersonales
Sólo existen seis permisos legales para esta práctica. En cualquier otro caso, se requiere el consentimiento del interesado.
Las prácticas legalmente permitidas incluyen:
Hay criterios que deben cumplirse para que el consentimiento se considere válido:
En el momento de recopilar los datos, el interesado debe recibir un aviso de confidencialidad. El aviso debe incluir la siguiente información:
Una vez que un responsable del tratamiento tiene conocimiento de una violación de datos que afecta a la protección de datos personales, dispone de 72 horas para notificarlo a la oficina. Si la violación de datos tiene un impacto significativo o conlleva un alto riesgo para la libertad y los derechos del interesado, también debe notificarse al interesado lo antes posible.
Es obligación del responsable del tratamiento mantener los datos seguros:
Aunque todavía no se han establecido oficialmente "normas adecuadas de protección de datos", se espera que cuando se transfieran datos personales a otro lugar del mundo, el país tenga normas de protección adecuadas para que rijan la protección de datos. La única excepción es cuando se cumplen las excepciones.
Dependiendo de la gravedad de las infracciones de la Ley de Protección de Datos Personales, pueden aplicarse multas administrativas, multas penales, responsabilidad penal o responsabilidad civil.
Por ejemplo, cuando la ley exige el consentimiento, pero un responsable del tratamiento recoge datos de un interesado sin su consentimiento, recibirá una multa de hasta 3 millones de THB.
Cualquier dato recogido antes del 27 de mayo de 2020 puede seguir utilizándose, siempre que el responsable del tratamiento tome las siguientes medidas:
Puede que le resulte más fácil garantizar el cumplimiento en empresas más pequeñas, ya que es más difícil encubrir cosas como la explotación indebida. Otros aspectos clave son más fáciles de controlar y es posible una comunicación más directa con los interesados. Los propietarios de los datos pueden invertir tiempo y esfuerzo reales en la portabilidad de los datos si es necesario, así como en la búsqueda del consentimiento cuando sea necesario y en asegurarse de que la legislación consolidada es seguida de cerca por los responsables del tratamiento. La comunicación y la transparencia con el interesado antes de la recogida de datos también son más fáciles en la era digital, y las actividades de tratamiento requieren menos tiempo cuando el conjunto de datos es más reducido.
Recuerde que, en caso de transferencia de datos, debe asegurarse de que el responsable del tratamiento envía notificaciones al respecto. El gobierno tailandés aplicará tanto sanciones punitivas como penales por violación de la confidencialidad e incumplimiento de las normas de propiedad intelectual. La era digital ha influido mucho en cómo se gestionan los datos y esos intereses en todo el mundo, y Tailandia no es el único país con una nueva ley sobre protección de datos.
Las sanciones pueden ser tan severas como una cuantiosa multa o hasta un año de cárcel, especialmente en caso de violaciones de datos muy sensibles (por ejemplo, de salud pública) o de gran envergadura. Recuerde que esta ley es un Real Decreto y pretende que Tailandia esté preparada para cumplir las normas internacionales.
En caso de que sea víctima de cualquier infracción o filtración de datos personales, no dude en ponerse en contacto con nosotros. Juslaws & Consult está siempre aquí para proteger sus intereses.
