You are using an outdated browser and your browsing experience will not be optimal. Please update to the latest version of Microsoft Edge, Google Chrome or Mozilla Firefox. Install Microsoft Edge

2月 19, 2024

タイの越境個人データ移転規制

ジャパンデスク

2023年12月25日、タイの個人データ保護委員会 (PDPC: Personal Data Protection Committee) は、2019年個人データ保護法 (PDPA: Personal Data Protection Act) の第28条および第29条に基づき、個人データの越境移転に関する重要な側面と基準について言及した二つの通知を発行した。これらの通知は2024年3月24日に施行される予定である。

通知の要点は以下の通りである。

適切なデータ保護基準 (第28条)

PDPAによって別段の定めがない限り、移転された個人データを受け取る移転先の国または国際機関は、以下の要因によって決定される 「適切なデータ保護基準」 を有していなければならない。

  • 法的措置と仕組み：移転先の国または国際機関は、タイの個人データ保護法に沿った法的措置または仕組みを有していなければならない。具体的には、データ管理者の義務には、適切なセキュリティ措置の提供、適切でデータ主体の権利の行使を可能にする個人データ保護措置の実施、効果的な法的救済措置の確立が含まれる必要がある。
  • 規制当局：個人データ保護に関する法令を執行する義務と権限を委任された機関または組織の存在も重要な要素である。

さらに、この通知により、PDPC事務局(Office of the Personal Data Protection Committee)は、独自に特定された、またはデータ管理者によって提出された事件を、PDPCに付託して裁定を求める権限を与えることになる。PDPCは、事件ごとに決定を下したり、適切なデータ保護基準を有していると考えられる相手国または国際機関のリストを作成したりする裁量権を有することになる。

拘束力のある企業規則と適切な保護措置 (第29条)

グローバルなデータ交換の分野では、個人データの安全かつ準拠した転送を可能にする主要なメカニズムとして、次の2つが存在する。

  • 拘束力のある企業規則 (BCR: Binding Corporate Rules) ：BCRの実施には、事業を共同で運営するために、関連事業間または同一企業グループ内で転送される個人データを保護するための承認されたポリシーの実施が含まれる。
  • 適切な保護措置：適切な保護措置は、個人データを保護するだけでなく、データ主体の権利を行使し、効果的な法的救済措置を含めることも可能である。これらの保護措置は、標準的な契約条項など、さまざまな形式をとることができる。

データの越境移転のための効果的なメカニズムと見なされるためには、BCRと適切な保護措置の両方が次のことを行う必要がある。

  • 個人データ保護法を遵守し、職員、従業員、スタッフ、個人データのその他の送信者/譲渡者および受信者にに関連するその他の者を拘束しながら、法人、自然人、データ処理者、送信者/譲渡者、個人データの受信者を含むすべての関係者に対して法的有効性と法的強制力を維持すること；
  • 外国に送信または移転された個人データに関する個人データ保護、データ主体の権利、および苦情の申し立てを認識すること;および
  • 個人データ保護法の下で制定された一連の下位規則に記述されているような、個人データ保護法および法律で規定された最低基準を遵守する個人データ保護対策とセキュリティ対策を提供すること「参考First Set of Subordinate Regulations Enacted for Thailand’s PDPA – Tilleke & Gibbins」

適切なデータ保護基準に関する決定がない場合、またはBCRが存在しない場合、適切な保護措置が実施されていれば、個人データの越境移転は許容される。この実施は、以下のいずれかの形式をとることができる。

  • 標準契約条項 (SCC: Standard contractual clauses)、特にデータの越境移転の文脈において、法的合意を確立するための基本的な枠組みとして機能する標準契約条項

この点に関して、タイは現在、タイモデルと海外モデルという2つの異なるSCCモデルを受け入れている。それぞれのモデルの具体的な規定と適用 (必要に応じてどちらを採用してもよい) を以下の表に要約する。

  • PDPCによって決定される承認された基準に従った適切な保護措置の実施の証明

これには、通知に規定された個人データ保護の内容が含まれていなければならない。

  • タイの国家機関と、相互に個人データを移転する外国の国家機関との間で法的拘束力と執行力を持つ法令または協定

国境を越えた個人データの移転に関するタイの要件、またはPDPAの遵守に関するあらゆる側面の詳細については、Athistha (Nop) Chitranukroh ([email protected]) 、Nopparat Lalitkomon ([email protected]) 、Gvavalin Mahakunkitchareon ([email protected]) 、Thammapas Chanpanich ([email protected]) 、Punyavee Koaysomboon ([email protected]) までお問い合わせください。

 

備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。

Thailand Unveils Regulations for Cross-Border Personal Data Transfer

執筆者

Industries

Technology

Location

    Thailand

その他の情報 

7月 18, 2025
タイ銀行（BOT: Bank of Thailand）は、金融セクターにおける人工知能（AI）リスク管理の原則を定めるガイドライン草案を公表した。このガイドライン草案は、AI技術の責任ある導入のための構造化された枠組みを提供している。金融サービス提供者は、このガイドラインを参考に、国際的に認められたベスト・プラクティスに沿ってリスクを適切に管理することができる。 BOTは2025年6月30日までガイドライン草案に対するパブリックコメントを募集している。 範囲および適用 本ガイドライン草案は、金融機関業法（Financial Institution Business Act）に基づく金融機関及び特別金融機関、並びに資金決済法（Payment Systems Act）に基づく決済事業者を含む全ての金融サービス提供者に適用される。本ガイドライン草案は、ITリスク管理、サードパーティリスク管理、データ・ガバナンス、市場行動規範を含む既存のBOTリスク管理ガイドラインを補完するものである。 ガイドライン草案では、AIシステムを、機械学習、ディープラーニング、生成AI（大規模言語モデルなど）、エージェンティックAIなど、人間の知能を模倣するシステムと定義している。この定義では、ロボティック・プロセス・オートメーション（RPA）等のルール・ベースの自動化システムは明確に除外されている。 主要なリスク管理原則 ガイドライン草案では、AI リスクを管理するための 2 つの主要な原則が示されている。 ガバナンス：金融サービス提供者は、FEAT (公平性（fairness）、倫理性（ethics）、説明責任（accountability）、透明性（transparency）) の原則を遵守するために、金融サービス提供者の職員と AI システム監督構造の明確な役割と責任を次のように定義し、確立する必要がある。 ステークホルダーの役割と責任　金融サービス提供者は、AIリスクの監視に関する取締役と経営陣の役割と責任を定義する必要がある。責任には、AIシステム利用ポリシーの策定、AIリスク管理責任者の任命、組織内におけるAI関連リスクに関する意識向上などが含まれる。 AIシステム利用ポリシー　AIシステム利用ポリシーは、組織の目標、規制要件、およびFEAT原則と整合させる必要がある。これらのポリシーは、技術の進歩とリスクプロファイルの変化に対応するために定期的に見直す必要がある。 AIライフサイクル全体にわたるリスク管理　リスク管理は、リスク許容度の確立から、継続的なリスク評価と特定の利用ケースに合わせた管理策の実施まで、AIライフサイクル全体を網羅する必要がある。AIシステムが戦略的な機能や顧客とのインタラクション（例：融資の承認、口座開設）に使用される場合、意思決定プロセスには人間による監視が組み込まれている必要がある。顧客とAIシステムのインタラクションにおいては、顧客に通知を行い、AI機能を無効化またはバイパスするオプションを提供する必要がある。 開発およびセキュリティ管理：金融サービス提供者は、次のように AI の開発と展開のライフサイクルをカバーするリスク管理を行う必要がある。 データリスク　金融サービス提供者は、AIモデルの学習に使用するデータの品質、正確性、最新性、量、多様性を評価し、確保するための対策を講じる必要がある。また、データ漏洩防止対策も実施する必要がある。 モデル開発リスク　金融サービス提供者は、(1)導入前後の継続的なテストとモニタリングを通じてモデルの精度と信頼性を評価するための明確な評価指標、および、(2)AIの結果の説明可能性を確保するための手段を備える必要がある。生成AIアプリケーションについては、AIハルネーションリスク（AI hallucination risks）を低減するための具体的な対策が必要である。 サイバーセキュリティリスク　金融サービス提供者は、OWASP機械学習セキュリティトップ10などの確立された標準に基づいて、AIシステムを標的とした新たなサイバー脅威を防止および検出するための対策を講じる必要がある。 タイのフィンテック、テクノロジー、サイバーセキュリティに関する詳細については、 Athistha Chitranukroh（[email protected]）、Nopparat Lalitkomon（[email protected]）、Pornpan Wichawut（[email protected]）、 Napassorn Lertussavavivat（[email protected]）、またはRujaporn Paritsantik（[email protected]）までお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Drafts AI Risk Management Guidelines for Financial Service Providers
Read More
6月 10, 2025
タイ食品医薬品局（FDA: Food and Drug Administration）は、オンライン販売される健康関連製品に対する規制監督を強化するため、大手電子商取引プラットフォームのLazadaおよびShopeeとの戦略的提携を開始した。本提携は、消費者保護の強化、タイの保健関連規制の遵守の徹底、そして健康関連製品のより安全なデジタルマーケットプレイスの促進を目指す、より広範な取り組みの一環である。 この取り組みの一環として、タイ食品医薬品局は、すべての販売業者、特に越境販売業者に対し、市場参入前に製品の適切なFDA登録を取得するよう強く求めている。その目的は、合法的に認可され、安全で品質が保証されたヘルスケア製品のみがタイの消費者に提供されるようにすることである。 この目標達成のため、タイ食品医薬品局は、LazadaおよびShopeeと緊密に協力し、不適合であったり、基準を満たさない、または未登録の製品を特定・削除するための積極的な監視メカニズムを導入してきた。このような連携は既に目に見える成果を上げている。2023年9月から2024年の間に、Lazadaは9,454件の不適合商品を削除し、30社の販売業者をリストから削除することで、規制の執行を支援した。さらに、134社の販売業者が規制違反で法的措置を受けた。Shopeeも同様に厳格な姿勢をとっており、FDA規制に違反していることが判明した製品は直ちに削除することを約束している。Shopeeはまた、販売業者向けの教育資料を提供し、説明責任を強化するために消費者からの苦情受付メカニズムも導入している。 タイ食品医薬品局は今後、API技術を活用したデータ統合システムを導入し、タイ食品医薬品局と電子商取引プラットフォームとの間で規制データをシームレスかつ安全に交換できるようにする予定である。このシステムは、タイ食品医薬品局職員と電子商取引担当者との両方を対象とした包括的な研修によってサポートされ、特にタイ政府のLaw Enforcement Request Portal（政府機関とプラットフォーム運営者と間のエンフォースメント措置を調整するための安全なコミュニケーション・チャネル）の活用に重点が置かれている。 さらに、LazadaおよびShopeeとの提携により、共同製品検査フレームワークの開発が現在進められている。このフレームワークには、厳格なコンプライアンス基準が組み込まれており、公衆衛生法に違反する販売業者に対してエンフォースメント可能な罰則が規定されている。タイ食品医薬品局はまた、オンラインマーケットプレイスにおける違法な健康関連製品の販売の検出及び防止を強化するために、先進技術を駆使した次世代のインテリジェント検査システムの導入も準備している。 これらの共同の取り組みは、急速に進化する電子商取引環境において、タイ食品医薬品局が公衆衛生及び法令遵守に継続的に取り組んでいることの具体的な例である。したがって、これらのプラットフォームで事業を展開する越境販売業者は、自社製品がタイの規制要件を完全に遵守していることを強く推奨します。遵守しない場合、製品の撤去や法的措置につながる可能性がある。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thai FDA Partners with E-commerce Platforms to Regulate Health Products Online
Read More
12月 16, 2024
近年、タイはデジタル資産を規制し、金融エコシステムに統合するための重要な措置を講じてきた。本記事では、タイにおけるデジタル資産ビジネスを規制する枠組みについて検討し、主要な法律、規制対象の活動、および急速に進化するこの分野における最近の動向に焦点を当てている。 規制環境 2018年、タイはデジタル資産ビジネスに関する緊急法令を制定し、暗号通貨　（cryptocurrencies）およびデジタルトークン（digital tokens）に対するタイ国のアプローチにおいて重要な瞬間を迎えた。法令は、証券取引委員会（SEC: Securities and Exchange Commission）および財務省の監督の下、デジタル資産のプライマリー市場とセカンダリー市場の両方に対する包括的な規制枠組みを提供している。 プライマリー市場において、法令は、イニシャル・コイン・オファリング（ICO：initial coin offerings）を通じたデジタル資産の発行および販売を規制している。規制の重要な特徴は、ICOがSEC承認のICOポータルを通じて実施される必要があるということが要求されている点である。このアプローチは、デジタルトークン販売を通じて資金を調達しようとする企業に対して、構造化され監督された環境を提供することを目的としている。 セカンダリー市場において、法令は、デジタル資産取引所、ブローカー、ディーラー、アドバイザリーサービス、ファンドマネージャー、およびカストディアン(custodian)を含むさまざまなデジタル資産仲介業者に対する規制枠組みを概説している。 SECは、デジタル資産関連の政策を実施する際に、ライセンスを受けたデジタル資産仲介業者に対して継続的な義務を課している。これには、デジタル資産取引所での特定のデジタル資産の上場に対する制限や、支払手段としてのデジタル資産を仲介する業者に対する制限が含まれる。 規制の動向と展望 SECは、グローバルなトレンドや市場の発展に対応するために、デジタル資産規制を定期的に改正することに尽力している。このアプローチの顕著な例として、SECが規制外の即時利用可能なユーティリティトークンの分類を以下の2つのグループに分けて精緻化しようとしていることが挙げられる： グループ1：消費目的または認証のデジタル表現として発行された即時利用可能なユーティリティトークン（例：権利者が特定の権利を持つNFT、カーボンクレジットの認証）。 グループ2：グループ1に指定されていない即時利用可能なユーティリティトークン（例：ネイティブ/ガバナンストークンおよび取引所トークン）で、発行者がタイのデジタル資産取引所に上場する意図がないもの。 もう一つの興味深い潜在的な発展として、SECがデジタル資産ビジネス専用の規制サンドボックスの設立を提案していることが挙げられる。このサンドボックスでは、参加者が最大1年間、管理された環境内でイノベーションをテストすることができ、参加期間中はデジタル資産ビジネスのライセンス要件から免除される可能性が高い。 今後の展望 タイにおけるデジタル資産ビジネスの統治アプローチは、明確な規制枠組みと、市場の進展を支えるために継続的な更新が必要であるという理解を組み合わせたものである。 タイのデジタル資産分野で事業を展開している、または参入を検討している企業にとって、最新の規制更新について情報を常に把握し、新しい要件に適応する準備を整えることは、重要な競争優位性を提供し、タイのデジタル資産エコシステムに参加するための新たな機会を開く可能性がある。 タイのデジタル資産ビジネス規制の詳細については、Athistha (Nop) Chitranukroh又Pornpan Wichawutまでお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Fintech Insights: Digital Asset Business Regulations in Thailand
Read More
3月 28, 2024
タイ中央銀行 (BOT:  Bank of Thailand) は、2024年3月19日から2024年4月17日までの期間、 「バーチャル銀行監督基準（Criteria for Supervising Virtual Banks）」 と題する協議文書 (consultation paper)に対する公聴会を開催する。協議文書は、BOTがバーチャル銀行に対して伝統的な商業銀行監督基準を適用することを明らかにしている。しかしながら、BOTはまた、バーチャル銀行により提供されるサービスがすべてデジタルであるため、追加的な規制監督が必要であると説明している。 バーチャル銀行の追加監督基準 金融ビジネスグループ バーチャル銀行が他の金融機関と同じ金融ビジネスグループに属する場合、その親会社はバーチャル銀行を単一連結金融ビジネスグループの下に構築しなければならない。バーチャル銀行が開業当初の 「制限段階」 (下記参照) を経た後は、グループ内の他の金融機関は、バーチャル銀行に対して信用を供与したり、融資活動に類似した取引を行ったりすることが禁止される。 株式保有構造 金融機関システムの資本の増加が、銀行の株式保有構造に起因する実際の資本注入よりも大きい場合、BOTは、二重計上を防ぐために、バーチャル銀行と金融機関システムの資本を監督する追加規制を発行することを目指している。 オペレーショナルリスク バーチャル銀行は、他の金融機関や金融機関グループと類似したり、関連を示唆したりする商標やロゴを使用してはならない。 ガバナンス バーチャル銀行には、ITまたはデジタルサービスの分野で3年以上の経験を持つ取締役と最高技術責任者 (CTO) が少なくとも1人必要だ。さらに、CTOはバーチャル銀行でフルタイムで勤務しなければならず、他の法人の従業員であってはならない。 関連する融資および関連当事者取引の制限 バーチャル銀行は、主要株主や受益者との取引を行う前に、取締役会の全会一致の承認を得る必要があります。 サービスチャネルとアウトソーシング バーチャル銀行は、他のチャネルを通じてサービスを提供する必要がある場合を除き、デジタルチャネルを通じてのみサービスを提供する必要がある。 ITシステム バーチャル銀行は、ITシステムが中断のないサービスを提供できるようにする必要がある。さらに、バーチャル銀行は、預金システム、融資システム、インターネットバンキングサービス、モバイルバンキングサービスを他の国内または国際金融機関と共有してはならない。 制限段階基準 BOTは、新しい監督基準の導入に加えて、制限段階(すなわち、最初の3～5年)の間に適用される特定の既存規則を緩和する予定である。これには、ガバナンス、ストレステスト、事業継続計画の要件が含まれる。 バーチャルバンクまたはその他の金融技術に関するタイの規制の詳細については、Athistha (Nop) Chitranukroh ([email protected]) 、Pornpan Wichawut ([email protected]) 、Rada Lamsam ([email protected]) 、Rujaporn Paritsantik ([email protected]) にお問い合わせください。   備考：本和文は英文記事を翻訳したものです。原文については、以下のリンクをご参照ください。 Thailand Launches Public Consultation on Virtual Banks Supervision Notification
Read More