SH5088 タイ：個人情報保護法違反を理由に制裁金が課された初めての事例　箕輪俊介／中翔平（2024/09/10）

タイ：個人情報保護法違反を理由に制裁金が課された初めての事例

長島・大野・常松法律事務所

弁護士　箕　輪　俊　介

弁護士　中　　　翔　平

 

はじめに

　タイでは、2022年6月の個人情報保護法の完全施行以降、下位規則の制定が相次ぎ、法整備が進められている。法整備の進展に伴い、近時では、個人情報保護法違反を理由として改善措置命令が出された案件も散見されるようになったが、今般、タイの個人情報保護法関連の管轄当局である個人情報保護委員会が、個人情報保護法を遵守しなかったことを理由に制裁金を課した初めての事例が2024年8月21日に公表されたので本稿にてご紹介したい。

 

本件の概要

　個人情報保護委員会が公表した内容によれば、本件の概要は以下のとおりである。

1. － 制裁の対象となった事業者はタイ地場のオンライン販売事業を営む者である。年間売上高は100億バーツ（現在のレートでおよそ420億円強）程度とのことである。
2. － 同事業者は、2020年から2024年にかけて、事業運営のために、10万人を超える個人データの収集・利用を行っていた。
3. － 同事業者は、収集していた個人データを漏洩したが、期限内に、法令上求められる通知を個人情報保護委員会に対して行わず、遅滞した。
4. － 上記の漏洩により、コールセンター詐欺を行うグループの手にも、同事業者が保有している個人データが行き渡ってしまった。
5. － 個人情報保護委員会に本件の被害者の一部（21名）が被害報告を行ったが、個人情報保護委員会が確認をしたところによれば、同事業者が利用している個人データのほぼ全て（すなわち10万人分強）が漏洩した可能性がある。
6. － 本件の発覚後、個人情報保護委員会が同事業者の個人情報保護法の遵守状況を確認したところ、法令上要求されるデータ保護責任者（Data Protection Officer (DPO)）を設置していない、安全管理措置が不十分であるという状況が確認された。
7. － そのため、個人情報保護委員会は同事業者に対して個人情報保護法の未遵守の状況を指摘し、改善措置を講じることを命令したが、同事業者はこれに従わなかった。

 

個人情報保護委員会が課した制裁金の内容

　上記の状況に鑑み、大要以下の理由により、個人情報保護委員会は、同事業者に対して合計700万バーツ（約3,000万円）の制裁金を課した。

1. ⑴ DPOの未設置：100万バーツ（約420万円）の制裁金
2. ⑵ 不十分な安全管理措置体制：300万バーツ（約1,260万円）の制裁金
3. ⑶ 個人情報保護委員会への通知の遅滞：300万バーツ（約1,260万円）の制裁金

　上記の制裁金に加え、個人情報保護委員会は同事業者に対して、以下の行為を実施することを命令した。

1. － 今後の情報漏洩の再発を防止するために安全管理措置体制を改善し、個人データへのアクセス、収集、利用および開示に携わるスタッフの教育を行うこと。
2. － 同命令を受領した日から7日以内に改善された安全管理措置の内容を個人情報保護委員会へ報告すること。

この記事はプレミアム向け有料記事です
続きはログインしてご覧ください

（みのわ・しゅんすけ）

2005年東京大学法学部卒業、2007年一橋大学大学院法学研究科（法科大学院・司法試験合格により）退学。2014 年Duke University School of Law 卒業（LL.M.）、2014 年Ashurst LLP（ロンドン）勤務を経て、2014 年より長島・大野・常松法律事務所バンコク・オフィス勤務。
バンコク赴任前は、中国を中心としたアジア諸国への日本企業の進出支援、並びに、金融法務、銀行法務及び不動産取引を中心に国内外の企業法務全般に従事。現在は、タイ及びその周辺国への日本企業の進出、並びに、在タイ日系企業に関連する法律業務を広く取り扱っている。

 

（なか・しょうへい）

2013年に長島・大野・常松法律事務所に入所。プロジェクトファイナンス、不動産取引、金融レギュレーション及び個人情報保護の分野を中心に国内外の案件に従事。2020年5月にUniversity of California, Los Angeles School of Lawを卒業後、2020年12月より当事務所バンコク・オフィスに勤務。現在は、主に、在タイ日系企業の一般企業法務及びM&Aのサポートを中心に幅広く法律業務に従事している。