Esta lei aplica-se à recolha, utilização ou divulgação de dados pessoais no Reino da Tailândia por qualquer subcontratante ou responsável pelo tratamento de dados, mesmo que essa divulgação, utilização ou recolha não tenha lugar na Tailândia. Se um subcontratante ou responsável pelo tratamento de dados estiver localizado fora da Tailândia, a lei continua a aplicar-se às pessoas em causa na Tailândia.
"Dados pessoais", qualquer informação relativa a uma determinada pessoa que permita a sua identificação, direta ou indiretamente, mas não incluindo as informações relativas a pessoas falecidas;
Por "responsável pelo tratamento de dados" entende-se uma pessoa singular ou colectiva com poderes e deveres para tomar decisões relativas à recolha, utilização ou divulgação de dados pessoais;
"Subcontratante" é uma pessoa singular ou colectiva que opera no domínio da recolha, utilização ou divulgação de dados pessoais por ordem de um responsável pelo tratamento de dados ou em seu nome, sem que essa pessoa singular ou colectiva seja o responsável pelo tratamento de dados.
A Lei da Proteção de Dados Pessoais foi publicada pela primeira vez em 2019, tendo havido um período de um ano durante o qual as empresas e outras entidades puderam cumprir a Lei em termos de sanções por incumprimento, obrigações de um responsável pelo tratamento de dados e direitos de um titular de dados.
O Gabinete da Comissão de Proteção de Dados é a principal autoridade de supervisão e o Ministério da Economia e Sociedade Digital é o supervisor da PDPA.
Aplicação da conformidade com a PDPA
Em geral, a PDPA aplica-se a qualquer divulgação, utilização e recolha de dados na Tailândia ou relativos a cidadãos tailandeses. Existem alguns casos em que os processadores e controladores de dados devem aderir à PDPA mesmo quando operam fora da Tailândia:
Fundamentos legais para a recolha, utilização e divulgação de dados pessoais
Existem apenas seis permissões legais para esta prática. Em qualquer outro caso, é necessário o consentimento do titular dos dados.
As práticas legalmente permitidas incluem:
Existem critérios que devem ser cumpridos para que o consentimento seja considerado válido:
A declaração de privacidade tem de ser entregue à pessoa em causa no momento em que os dados são recolhidos. A nota deve incluir as seguintes informações:
Assim que um responsável pelo tratamento de dados tiver conhecimento de uma violação de dados que afecte a proteção de dados pessoais, tem 72 horas para notificar o Gabinete. Se a violação de dados tiver um impacto significativo ou implicar um risco elevado para a liberdade e os direitos da pessoa em causa, esta deve também ser notificada o mais rapidamente possível.
O responsável pelo tratamento dos dados tem o dever de os manter seguros:
Embora ainda não tenham sido oficialmente estabelecidas "normas adequadas de proteção de dados", espera-se que, quando os dados pessoais são transferidos para outro local do mundo, o país em causa tenha normas de proteção adequadas que regulem a proteção de dados. A única exceção é quando são cumpridas as isenções.
Dependendo da gravidade das violações da Lei de Proteção de Dados Pessoais, podem ser aplicadas multas administrativas, multas penais, responsabilidade penal ou responsabilidade civil.
Por exemplo, quando o consentimento era exigido por lei, mas um responsável pelo tratamento de dados recolheu dados de um titular de dados sem consentimento, receberá uma multa de até 3 milhões de THB.
Quaisquer dados recolhidos antes de 27 de maio de 2020 podem ainda ser utilizados, desde que o responsável pelo tratamento dos dados tome as seguintes medidas:
Poderá achar mais fácil garantir a conformidade em empresas mais pequenas, uma vez que coisas como a exploração indevida são mais difíceis de encobrir. Outros aspectos fundamentais são mais fáceis de acompanhar e é possível uma comunicação mais direta com os sujeitos. Os proprietários dos dados podem investir tempo e esforço reais na portabilidade dos dados, se necessário, bem como na procura de consentimento, sempre que necessário, e na garantia de que a lei consolidada é seguida de perto pelos responsáveis pelo tratamento de dados. A comunicação e a transparência com o seu titular de dados antes da recolha de dados também são mais fáceis na era digital e as actividades de tratamento são menos morosas quando o conjunto de dados é mais pequeno.
Lembre-se de que, em caso de transferência de dados, deve garantir que o responsável pelo tratamento de dados envia notificações sobre essas informações. O governo tailandês aplicará indemnizações punitivas e sanções penais por violação da confidencialidade e incumprimento das normas de propriedade intelectual. A era digital influenciou fortemente a forma como os dados e esses interesses são geridos em todo o mundo e a Tailândia não é o único país com uma nova lei sobre proteção de dados.
As sanções podem ser tão graves como uma multa elevada ou até um ano de prisão, especialmente no caso de violações de dados muito sensíveis (por exemplo, saúde pública) ou de grande dimensão. Lembre-se que esta lei é um decreto real e destina-se a preparar a Tailândia para cumprir as normas internacionais.
Se for vítima de uma violação ou fuga de dados pessoais, não hesite em contactar-nos. A Juslaws & Consult está sempre disponível para proteger os seus interesses.
