補償条項は、タイを含む多くの法域において一般的な契約条項ですが、タイ法の観点からは、その強制執行は困難な場合があります。 一般的に、「補償する」とは、潜在的なリスクや損失について他方当事者に責任を負わせないようにすることを意味します。一方の当事者（「補償者」）が他方の当事者（「被補償者」）に補償するという場合、補償者は、（契約で合意された範囲内で）被補償者に債務または損害を支払い、補償する義務を負います。このように、補償条項は潜在的なリスクに対する責任を当事者間でシフトするための有用な規定となります。 一部の法域では、「補償」には、被補償者が負担した弁護士費用も含まれると解されています。これには、被補償者に対して提起された請求を防御する義務または防御するための資金提供の義務を伴う場合もあります。そのような法域の場合は、契約書に明確に記載されていなくても、補償者は、弁護士を雇って被補償者のための弁護士費用を支払わなければなりません。 補償条項を含む契約では、補償に上記のような防御義務を含めることが通常です。事例を用いてこの点を説明いたします。例えば、小売業者が、機械の供給者（サプライヤー）から機械を購入する場合、サプライヤーは、その機械に欠陥が生じた場合に小売業者の顧客からのクレームに対して小売業者を補償し、防御することに同意するとします。実際に機械に欠陥が生じた場合には、サプライヤーは、契約法又は過失に基づいて小売業者が被る損害を支払う義務に加え、小売業者の顧客が訴訟を起こした場合、サプライヤーは小売業者を防御するための弁護士費用も支払わなければなりません。 しかしながら、タイでは、この種の補償条項は強制できない可能性があります。多くの法域における契約法とは異なり、タイの契約法には「契約上の補償」について明記されていません。タイでは一般的に、「補償（Indemnity）」とは民商法典第222条に基づく「補償（Compensation）」を意味すると理解されています（最高裁判所判決7943/2542も同旨）。民商法典は、損害賠償請求は契約の不履行に起因して「通常」発生するすべての損害を含むと規定し、さらに「特別な事情により発生した損害で、当事者が当該状況を予見していた又 は当然予見すべきであった場合」にも、請求者は損害賠償を求めることが認められると規定します。 民商法典の222条の「補償」には通常補償と特別（結果的）補償の2種類があります。通常の補償は、合理的に予想される「直接的」損害に対するものです。これには、機会、便益、収入、利益の損失が含まれる場合もあります。例えば、前述のシナリオを使用すると、小売業者は欠陥のある機械を供給したサプライヤーに対して、機械の修理費用や修理の間のリース料を含む直接損害を請求して訴えることができます。 特別補償とは、原告が既に被告に危険性を知らせていたか、契約違反の前に被告が損害を予見すべきであったために、被告が予見可能と考えられる「間接的」損害に対する補償をいいます。同じ事例に戻りますと、もし小売業者が顧客に対し、機械を期限までに引き渡せなかった場合に違約金を支払うことに同意していた場合、その違約金は「間接的」又は「特別」損害とみなされます。サプライヤーは、当該機械の売買が行われた時点で小売業者と顧客間の当該違約金に関する合意を認識していた場合にのみ、これらの間接的損害を補償する責任を負います。 ここで１つ問題になるのは、サプライヤーと小売業者との間の契約に、サプライヤーは顧客のクレームに対して小売業者を補償し、防御することに同意すると書かれている場合、サプライヤーが小売業者を防御するための弁護士を雇用しなかったとき、小売業者は自分が負担した弁護士の費用を請求できるかということです。 タイの法典には契約上の補償に関する記載がないため、指針として関連する最高裁判所の決定を参照する必要があります。1998年の最高裁決定4023/2541において、最高裁は、被告の債務不履行があった場合に、原告が負担した弁護士費用を被告に支払わせる契約条項の有効性を検討しました。最高裁は、この契約条項は、裁判所が敗訴者に対して、弁護士費用の勝訴者への支払いを命じるかについての裁量権を有するとした民事訴訟法に反し、公序良俗に反するとして、無効と判断しました。 しかしながら、逆に、2005年には、最高裁判所は、契約書に明記された弁護士費用は、民商法典の第222条第1段落に基づく通常補償として請求しうる直接損害であると判断しました（決定6288/2548）。 これが新しい指針と思われたところ、さらにその後の2008年の最高裁決定（決定2147/2551）においては、2005年の決定と矛盾するように思える決定が出され、債務不履行当事者の弁護士費用を支払う契約上の義務は、いかなる法律に基づくものでもなく、弁護士費用は民商法典第222条に基づく直接損害でも特別損害でもないと判示されました。 これらのいくつかの異なる最高裁の決定によれば、弁護士費用をカバーする補償義務に関して、タイの裁判所が将来どのような判決を下すかは明らかでありません。したがって、当事者は、かかる契約条項に関して争いが生じた場合、具体的にどのように解決すべきかを決定する必要があります。しかし、今後この問題をめぐってさらなる紛争や事件が起これば、最高裁はこの論点を再検討することになると思われますので、裁判所が、世界中で補償条項の交渉を行うことがいかに一般的か認識することを期待したいと思います。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Enforcing Indemnification Clauses in Thailand

新型コロナウイルスの危機の際、タイ政府は企業に対し、職場での感染を防ぐために労働者に在宅勤務を許可するよう求め、その後、在宅勤務が全国の労働者の標準となりました。しかし、現在はパンデミックの異なるフェーズに入り、ほとんどの企業は在宅勤務を廃止しています。在宅勤務は過去のものになりつつあるのでしょうか。 いいえ、そんなことはありません。タイ議会は最近、現状を反映するためにタイの労働者保護法を改正する、いわゆる「在宅勤務法案」を第一読会において可決しました。法案に付随する立法覚書では、労働者保護法の改正案は、使用者と労働者のより柔軟な雇用の取り決めと解決を促進すると述べられています。興味深いことに、さらに覚書には、当該法案がバンコクなどの交通渋滞の解消とエネルギー消費の削減を目指していることも記されています。 現在の法案は、労働者保護法に「雇用者と労働者は雇用契約において、労働者が自宅または居宅で勤務することを合意できる (may agree)」という条項を一つ追加するものとしています。本条項案によれば、この在宅勤務は週8時間以上でなければならないとされており、それは従業員の通常の勤務時間として計算されることになります。 「合意してもよい」という文言は、使用者が合意する必要はないことを示唆しており、したがってこの条項を労働者保護法に追加する意味はないのではないかと考えられます。しかし、この改正の意図は、従業員が在宅勤務を希望する場合、使用者は合意しなければならないという点にあるとのことです。法案に関する公聴会では、複数の当事者が「may agree（合意してもよい）」という用語の曖昧さに対して懸念を表明しました。法案が成立した場合の最終的な文言はまだ明らかになっていません。 労働保護福祉局をはじめとする多くの関係者は、この法案がさらなる労働問題を引き起こす可能性があるとして反対しています。法案は簡潔ですが、使用者にとっては、これをどのように実行に移すかについて多くの疑問点が生じます。例えば: 一定の業務、例えば、建設、工場運営、清掃サービス、レストラン、接待サービス業などは例外となるか。 雇用者はどのようにして労働者の生産性を監督することができるか。 雇用者はどのように残業を監督すべきか。 従業員は「自宅」や「住居」の代わりにカフェから働くことができるか。 雇用主は、従業員が仕事をするために使用したインターネットと電気代を支払う必要があるか。 従業員は事務用品を持ち帰って使用することができるか。 雇用者はどのようにして労働安全管理を行うことができるか などです。 この法案は、現在、議会の第2読会を通過する前の小委員会によって検討されています。多くの専門家は、同法案が上院に送付される前の第2、第3読会において激しい議論を巻き起こすと予想しています。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand considers New Labor Law on Work-from-Home Arrangements

2022年7月、タイ内閣は、個人情報保護法 B.E.2562（PDPA）の一部につき一定の企業や団体への適用を免除する勅令をおおむね承認した。 勅令案は、一定の事業者及び活動をPDPAの以下の部分の要件から免除することを提案している。 第2章 個人情報の保護―個人情報の要件の同意、通知、国境を越えた移転等。 第3章 データ主体の権利―データ主体の権利に関する要件及び基準。 第5章 申立て―個人情報保護委員会事務局に対する請求申立てに関する要件。 第6章 民事責任―データ管理者又はデータ処理者の民事責任に関する条件。 第７章 罰則―行政罰及び刑事罰。 提案された適用除外の規定は、以下の3つの主要なカテゴリーの事業者や活動に適用される予定である。   以下の目的のために、特定の法律に従って政府の要請に応じて行動するデータ管理者 国家の安全と公共の安全。 適用除外となる活動には、国家安全保障、機密情報、国家安全保障に関連する情報の保護を目的とした活動や、財政・経済安全保障、公共安全保障の維持を目的とした活動が含まれる。また、資金洗浄、麻薬違法取引、国境を越える脅威とテロ、国境を越える犯罪、人身売買などの特定の犯罪活動の防止と抑制する活動も除外される。また、汚職防止やサイバーセキュリティ対策を強化する活動、公衆衛生、伝染病予防のための衛生、並びに公衆の生命、健康及び財産の保護に関連する活動も除外される。 課税。 適用除外となる活動には、法律に基づく税の徴収に関連する活動で、歳入局（Revenue Department）、関税局（Customs Department）、物品税局（Excise Department）が行う活動が含まれる。これはまた、租税又は関税の執行に関する行為、及び社会保障、義務の履行又は国際協力に関する行為にも及ぶ。 リスク軽減、モニタリング、及び監視。 適用除外となる活動には、国家安全保障への脅威によって引き起こされる損害を軽減するための措置を提供し、監視する活動が含まれる。このカテゴリーの行為は、監督官庁や政府機関が、公共の災害又は公衆に影響を及ぼすおそれのある脅威を予防するための法律に従い、実施するものである。 本勅令案や他の進展などPDPAに関連するご相談については、その他に関する件については、下記の執筆者にご連絡ください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thai Cabinet Approves Draft PDPA Exemptions for Specific Activities

タイの個人情報保護法（2019）（Personal Data Protection Act B.E. 2562、「PDPA」）は、2022年6月1日に全面施行され、効力を生じました。PDPAが円滑かつ効率的に実施されるように、個人情報保護委員会（PDPC）は、さまざまな下位規則を発令することになっています。2022年6月20日、はじめて下位規則の一部が発令され、政府官報に掲載されました。デジタル経済社会省（MDES）によると、別の下位規則の一部が2022年6月末までに発令される予定です1。 発令された下位規則は、次の4つです。   1) 小規模事業者がデータ管理者の場合のデータ取扱い記録（ROPA）義務免除に関する通知 (Notification of PDPC Re: Exemption to the Record of Processing Activities Requirement for Data Controllers that Are Small Businesses B.E.2565 (2022)) (「ROPA免除通知」) PDPAの下では、データ管理者は、収集された個人データ、個人データの取扱いの目的、保存期間等を含む、 39条に規定されたデータ取扱い記録（ROPA）を作成し、保持する義務を負います。しかし、データ管理者が、以下の小規模事業者に該当する場合、上記ROPA免除通知に基づき、この記録作成・保持義務を免除されます。但し、データ主体からの（i）データへのアクセス権、(ii）データポータビリティ権、(iii) 異議を述べる権利（iv）訂正する権利の行使のリクエストを拒絶した場合の記録義務は免除されません。 中小企業等の振興に関する法律に基づく中小企業等であって、次に掲げるもの 社会的企業促進法（Social Enterprise Promotion Law）に基づく社会的企業 協同組合法に基づく協同組合、農業団体 財団、協会、宗教団体、非営利団体 家内工業またはこれと同種の事業 インターネットカフェのサービスプロバイダー。 この免除は、コンピューター犯罪に関連する法律によりコンピュータトラフィックデータを保持することが義務付けられている場合、個人の権利及び自由に影響を及ぼすおそれのある個人データに関係する場合、センシティブデータを取り扱う場合、データ管理者が定期的に個人データを処理する場合などには適用されません。 このROPA免除通知は、2022年6月21日に施行されました。   2) データ処理者によるデータ取扱い記録の作成及び保持に関する規則及び手続に関する通知 (Notification of the PDPC Re: Rules and Procedures for the Preparation and Maintenance of the Record of Processing Activities by the Data Processor B.E. 2565 (2022)) (「データ処理者通知」)) PDPAは、データ処理者に対して、データ取扱い記録（ROPA）を作成及び保持する義務を課しています。上記データ処理者通知によれば、データ処理者は、ROPAにつき少なくとも次の情報を含めなければなりません。 データ処理者の情報 データ処理者のタイ国内代理人に関する情報（該当する場合） データプロテクションオフィサーの連絡先などの情報（該当する場合） データ処理者がその代理として又はその指示に従って行動するデータ管理者及びデータ管理者のタイ国内代理人（該当する場合）に関する情報 データ処理者がデータ管理者の代理として又はデータ管理者の指示に従って収集、使用又は開示する個人データの種類又は特徴、収集、使用又は開示の目的 個人データがタイ国外に移転される場合、個人データを受領する個人又は事業者のカテゴリー データ処理者によって実装されるセキュリティ対策の説明 データ取扱い記録（ROPA）は、書面又は電子的な様式で保持されなければならず、PDPCの事務局、データ管理者又は指定された者が要請した場合には、容易にアクセスでき、かつ、速やかに閲覧が可能でなければなりません。 データ処理者通知は、官報で公表された日から180日後、すなわち2022年12月17日に発効します。したがって、データ処理者にとっては、このROPA要件に準拠するための猶予期間があります   3) データ管理者のセキュリティ対策に関する通知 (Notification of the PDPC Re: Security Measures of the Data Controller B.E.2565 (2022)) (「セキュリティ対策通知」) セキュリティ対策通知に規定されている最低限必要とされるセキュリティ基準は、2022年5月31日をもって失効したセキュリティ対策に係るMDES（デジタル経済社会省）の前回の告示（以下、MDES告示）に概ね沿ったものです。したがって、MDES告示への準拠の準備を行っていた場合は、2022年6月21日に発効した本セキュリティ対策通知に準拠することは容易です。 セキュリティ対策通知で要求される主な要件は次のとおりです。 データ管理者は、いかなる形式であれ、個人データにセキュリティ対策が適用されることを確実にしなければならない。 データ管理者は、セキュリティ対策として、適切な組織的対策及び技術的対策を行わなければならない。また、データ侵害が起こるリスクのレベルおよびデータ侵害が起こった場合の結果により、必要に応じて、物理的対策も行わなければならない場合もある。 セキュリティ対策を準備する際、データ管理者は、重要な情報に対するリスクの特定、重要なリスクの発生の防止、データ侵害の発生やそのおそれについての監視、それらへの対応、リスクの取扱い及びデータ侵害の回復を、リスクのレベルに応じて適切に考慮しなければならない。 データ管理者は、技術的要因、事情、状況及び類似の業種で受け入れられている基準を考慮して、リスクのレベルに応じて適切に個人データの機密性、完全性及び利用可能性を維持しなければならない。 電子化された個人データのセキュリティ対策は、リスクのレベルに応じて適切に、サーバ、クライアント、ストレージシステム及びデバイス、ソフトウェア等の情報システムの構成要素をカバーするものでなければならない。 個人データのアクセス、使用、変更、修正、削除、又は開示に関するセキュリティ対策については、MDES告示の要件―例えば、アクセス制御、ユーザーアクセス管理、ユーザーの責任、オーディット・トレール等―について実質的に同様である。しかし、セキュリティ対策通知では、さらなる要件が課されている。 上記とは別に、セキュリティ対策通知では、データ管理者が以下を行うことも要求しています。（i）データ管理者の職員及び利用者に対しプライバシー及びセキュリティについての意識を高めること。（ii）必要に応じ、または技術の変更があった場合、データ侵害が発生した場合に、セキュリティ対策を見直すこと。（iii）データ処理者の行うセキュリティ対策に関する要件を設定すること。   4）専門委員会による行政罰の適用の検討についての規則に関する通知 (Notification of PDPC Re: Rules for the Consideration of the Imposition of Administrative Penalties by the Expert Committee B.E. 2565 (2022))（「行政処分通知」） PDPAの下で任命される専門家委員会は、違反者に罰金を科すだけでなく、行政処分の執行（押収、没収、競売による売買を含む）に関する命令を出す権限も与えられています。 2022年6月21日に施行された行政処分通知の要点は以下のとおりです。 専門家委員会は、制裁金又は行政処分を決定するに当たっては、故意又は重過失の有無、犯罪の重大性の程度、事業の規模、行政処分を行った場合にデータ主体が受ける利益、損害の額、犯罪時の責任の程度及び基準等の一定の要素を考慮する。また、専門家委員会は、違反者に対し、または違反者が法人である場合はその関係者に対し、既に科され又は執行された制裁金又は行政処分がある場合はその記録についても、重要な要素の一つとして考慮する。 行政処分通知では、犯罪を重大性のない犯罪と重大性のある犯罪の2つに分類し、専門委員会では、これらの犯罪について異なる取扱いをする。   非重大犯罪 専門委員会は、データ管理者、データ処理者又はその他の関係者に対し、次の命令を発することができる。 違反者に対して、指定された期間内にPDPAの違反又は不遵守を是正、中止、停止、又は差し控えるように求める警告又は命令 行為者が個人データ主体に損害を与えることの禁止又は損害を救済するための命令 損害救済をはかるため、指定された期間内に、犯罪が行われた個人データの収集、使用又は開示の制限することを命じる命令 上記に加え、専門委員会は、その有効性及び適合性を担保するため、専門委員会が適切と考える人事、プロセス又はテクノロジーの改善の条件又は手順を定めることができる。   重大な犯罪 専門家委員会は、犯罪の重大性及びその他の状況を考慮した上で、違反者に行政罰を科すものとする。また、専門家委員会は、非重大犯罪に関する命令と同様の命令を発することができる。 専門委員会は、違反者に制裁金が科されている場合において、違反者が所定の期間内に納付しないときは、7日以上の期間内に当該納付を催告し、なお納付しないときは、行政手続法の規定を適用する。   これらの下位規則に基づく要件を遵守しない場合、違反によっては、データ管理者又はデータ処理者がPDPAに規定される罰則の対象となる可能性があることに留意が必要です。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 First Set of Subordinate Regulations Enacted for Thailand’s PDPA – Tilleke & Gibbins