Станом на кінець жовтня 2026 року

Від декларацій до адміністративних штрафів та «Eagle Eye»

‍

Якщо перші роки після набрання чинності Законом про захист персональних даних (Personal Data Protection Act B.E. 2562, PDPA) тайський бізнес та іноземні контрагенти сприймали регулювання переважно як «паперову формальність», то 2026 рік остаточно зафіксував перехід до ери активного правозастосування (Strategic Enforcement).

‍

Комітет із захисту персональних даних Таїланду (PDPC) спільно з Міністерством цифрової економіки та суспільства (MDES) розгорнув цілодобовий автоматизований моніторинг витоків баз даних (зокрема за допомогою системи веб-краулінгу PDPC Eagle Eye Crawler), почав масово накладати прямі штрафи як на контролерів, так і на технічних процесорів даних (аж до 5–7 млн батів), а правила транскордонної передачі інформації (Cross-Border Data Transfers за статтями 28 та 29 PDPA) стали ключовим бар'єром для іноземних провайдерів.

‍

Для українських IT-компаній, SaaS-розробників, аутсорсингових команд, маркетингових агентств і фінтех-проєктів, які обслуговують клієнтів у Таїланді або опрацьовують дані тайських громадян (навіть перебуваючи повністю за межами Королівства), це створює безпосередні юридичні та комерційні ризики. Нижче наведено детальний розбір актуальної регуляторної карти, підводних каменів та практичних кроків.

‍

1. Архітектура транскордонної передачі даних: що вимагають статті 28 та 29 PDPA

‍

Базовий принцип тайського PDPA дзеркалить європейський GDPR: персональні дані жителів Таїланду не повинні втрачати рівень захисту при перетині кордону. Нормативна база PDPC ділить канали передачі на кілька юридичних треків:

‍

Концепція безпечних юрисдикцій (Whitelisting за ст. 28):

‍

• Закон передбачає передачу даних без додаткових гарантій до країн з «належним рівнем захисту» (adequate level of protection).
• Реальний стан: Офіційний «білий список» юрисдикцій досі не сформований у повному обсязі, тому покладатися на статус країни перебування контрагента (ані України, ані більшості третіх країн) наразі неможливо. Бізнес зобов'язаний застосовувати договірні чи корпоративні інструменти.

‍

Обов'язкові стандартні договірні клаузули (Standard Contractual Clauses, SCCs):

‍

• Основним законним інструментом транскордонного експорту є договір між тайським експортером даних (Data Exporter) та іноземним одержувачем (Data Importer).
• PDPC визнає Стандартні договірні клаузули АСЕАН (ASEAN Model Contractual Clauses) або модифіковані SCC Європейського Союзу, за умови, що вони прямо адаптовані під вимоги тайського законодавства та надають суб'єктам даних можливість судового захисту.

‍

Обов'язкові корпоративні правила (Binding Corporate Rules, BCRs):

‍

• Застосовуються для міжнародних груп компаній при внутрішньогруповому обміні.
• Вимагають офіційної подачі та верифікації в PDPC. Навіть за наявності сертифікації за правилами ЄС/GDPR, міжнародна група зобов'язана призначити відповідального резидента в Таїланді (Liable BCR Member).

‍

Окрема явна згода (Explicit Consent):

‍

• Передача можлива за прямою згодою суб'єкта даних, однак вона не може бути «зашита» в загальний текст публічної оферти (Terms of Service). Користувач повинен отримати вичерпне сповіщення про те, що країна призначення може не мати адекватних стандартів захисту, і надати окремий чекбокс. Регулятор розглядає згоду як винятковий інструмент, а не базову модель для регулярного бізнесу.

‍

2. Пряма відповідальність Data Processors та обов'язкові DPA

‍

Історично міжнародні підрядники вважали, що відповідальність перед регулятором несе виключно тайський замовник (Data Controller). Практика PDPC кардинально змінила цей баланс:

‍

• Прямі штрафи для процесорів: Регулятор почав штрафувати безпосередньо технічних підрядників і вендорів за порушення протоколів кібербезпеки та неналежне збереження баз даних (прецедентні адміністративні штрафи сягають 3–5 млн батів).

• Обов'язковість Data Processing Agreement (DPA): Відсутність підписаного письмового договору між контролером і процесором розглядається як окреме адміністративне порушення.

• Вимоги до субобробки (Sub-processing): Будь-який український розробник чи сервіс-провайдер, який залучає хмарні сервери (AWS, Google Cloud, Hetzner) або сторонні аналітичні модулі, зобов'язаний отримати попередню письмову згоду тайського контролера на кожного субпроцесора.

• Вимоги до локалізації та безпеки: Впровадження обов'язкового шифрування каналів передачі та зберігання, а також протоколів повідомлення про витоки даних регулятора протягом 72 годин з моменту виявлення інциденту.

‍

3. Автоматизований нагляд: система «Eagle Eye» та аудит сервісів

‍

Уряд Таїланду перевів моніторинг у цифровий простір:

‍

• Система PDPC Eagle Eye Crawler автоматично сканує вебсайти, мобільні додатки, онлайн-магазини та хмарні репозиторії, зареєстровані в Таїланді або орієнтовані на місцевих користувачів, на предмет незахищених баз даних, відкритих API-портів, відсутності форм згоди чи передачі cookie третім особам без попереднього сповіщення.

• У разі виявлення системних невідповідностей регулятор надсилає попередження з вимогою усунути недоліки в стислі строки або відкриває адміністративне провадження без виїзних перевірок.

‍

4. Критичний аналіз: де криються ризики та невизначеності

‍

• Юрисдикційні колізії екстериторіальності: Стаття 5 PDPA прямо встановлює екстериторіальну дію закону: норми поширюються на будь-яку іноземну компанію, яка пропонує товари чи послуги особам у Таїланді або моніторить їхню поведінку, навіть якщо компанія не має жодної юридичної чи фізичної присутності в країні. Проте механізм прямого стягнення штрафів з іноземних нерезидентів залишається залежним від міжнародних процедур.

• Відсутність єдиного списку «безпечних країн»: Постійне затягування публікації повноцінного білого списку юрисдикцій позбавляє бізнес найпростішого шляху транскордонної інтеграції та змушує підписувати індивідуальні SCC під кожен контракт.

• Кримінальна відповідальність: Закон містить норми не лише про цивільну компенсацію збитків (у подвійному розмірі як штрафні санкції) та адміністративні штрафи (до 5 млн батів), а й кримінальну відповідальність — позбавлення волі до одного року для керівників компаній у випадках незаконного розголошення чи продажу чутливих даних (Sensitive Personal Data) з комерційною метою.

‍

5. Що це означає для українського бізнесу?

‍

• IT-аутсорсинг і вендори програмного забезпечення: Не можна починати розробку чи адміністрування тайських баз даних без підписання двомовного або англомовного DPA, адаптованого до PDPA. Стандартного європейського додатка GDPR недостатньо: необхідні точні посилання на розділи тайського закону, фіксація юрисдикції спорів та узгодження списку субпідрядників.

• SaaS, фінтех та EdTech платформи: Якщо ваш сервіс доступний користувачам у Таїланді, форми реєстрації, політика конфіденційності (Privacy Notice) та банери згоди на cookie повинні відповідати стандартам PDPC (диференційована згода замість загального погодження, легкий механізм відкликання прав).

• Призначення представника або DPO: Якщо масштаби обробки даних у Таїланді підпадають під критерії «регулярного масштабного моніторингу» (наприклад, алгоритми поведінкового трекінгу або робота з платіжними транзакціями), компанія зобов'язана офіційно призначити уповноваженого офіцера із захисту даних (DPO) або місцевого юридичного представника для контактів із PDPC.

• Перевірка корпоративних структур: Цей трек безпосередньо перегукується із заходами Департаменту розвитку бізнесу (DBD) щодо перевірки номінальних структур: сервісні компанії, які мають місцеві філії або представництва, перевіряються регуляторами комплексно — від джерел фінансування до цифрової безпеки зберігання документації клієнтів.

‍

6. Практичний чекліст для контрактів і систем (PDPA Compliance)

‍

1. Договірна база: Чи укладено окремий Data Processing Agreement (DPA) із тайським партнером із включенням адаптованих SCC?

2. Реєстр операцій (ROPA): Чи зафіксовано в системі облік: які дані експортуються з Таїланду, категорія отримувача, технічні засоби захисту та правова підстава?

3. Субпроцесори: Чи погоджено письмово список усіх залучених дата-центрів, CDN та хмарних хостингів?

4. План інцидентів (Data Breach Protocol): Чи налагоджено регламент сповіщення партнера в Таїланді про будь-яку загрозу безпеці протягом не більше 24–48 годин для дотримання їхнього 72-годинного порогу перед PDPC?

5. Аудит налаштувань: Чи перевірені зовнішні порти та бази даних на відповідність базовим кібергігієнічним вимогам перед запуском рекламних чи користувацьких кампаній?

‍

Висновок

‍

Посилення нагляду за транскордонною передачею даних у Таїланді означає кінець періоду неформального аутсорсингу даних. Для українських компаній це не створює непереборних бар'єрів, оскільки базові підходи PDPA близькі до GDPR. Проте робота «за інерцією» загрожує зупинкою контрактів через аудити тайських банків і комплаєнс-офіцерів, які сьогодні відмовляються підписувати акти виконаних робіт без актуальних DPA та SCC.

‍

Приєднуйтесь до TUCC‍

‍

Будьте в курсі останніх ринкових новин, юридичних рекомендацій та можливостей для налагодження ділових контактів у рамках таїландсько-українського бізнес-коридору.

‍

Веб-сайт: thaiukraine.org

‍

Електронна пошта: info@thaiukraine.org

‍

LinkedIn: Thai-Ukrainian Chamber of Commerce