Voldoen aan de Personal Data Protection Act (PDPA)

Wat is de PDPA?

De Thailand Personal Data Protection Act (PDPA) is een wet op de gegevensbescherming in Thailand. De wet beschermt de persoonsgegevens van mensen door regels te stellen aan hoe organisaties persoonsgegevens verzamelen, gebruiken en openbaar maken. De wet legt beginselen vast zoals het vragen van toestemming voor het verzamelen, gebruiken en openbaar maken van persoonsgegevens, mensen inzage geven in hun persoonsgegevens en persoonsgegevens beschermen met passende beveiligingsmaatregelen. De PDPA geldt voor alle organisaties die persoonsgegevens verwerken, in zowel de publieke als de private sector. De wet verplicht organisaties om een functionaris voor gegevensbescherming (Data Protection Officer, DPO) aan te stellen, de nodige maatregelen te nemen om persoonsgegevens te beschermen, een beheersysteem voor de bescherming van persoonsgegevens op te zetten en datalekken te melden bij het Personal Data Protection Committee (PDPC). Daarnaast geeft de wet mensen het recht op inzage in, correctie of verwijdering van hun persoonsgegevens, en het recht om bezwaar te maken tegen het verzamelen, gebruiken of openbaar maken van persoonsgegevens.

De PDPA legt beginselen vast voor de omgang met persoonsgegevens, waaronder het vragen van toestemming aan mensen voor het verzamelen, gebruiken en openbaar maken van persoonsgegevens, en het nemen van passende maatregelen om persoonsgegevens te beveiligen. Ook richt de PDPA het Personal Data Protection Committee (PDPC) op, dat toezicht houdt op de naleving van de wet en die handhaaft.

Wat gebeurt er als ik me niet aan de PDPA houd?

Wie de Thailand Personal Data Protection Act (PDPA) niet naleeft, riskeert flinke boetes en sancties. Het Personal Data Protection Committee (PDPC) kan bij niet-naleving bestuurlijke boetes opleggen. Die kunnen oplopen tot 5 miljoen baht (ongeveer 160.000 USD) per overtreding.

Boetes kunnen om verschillende redenen worden opgelegd, onder meer als de beginselen van gegevensbescherming niet worden nageleefd, als er geen functionaris voor gegevensbescherming (DPO) is aangesteld, als er geen beheersysteem voor de bescherming van persoonsgegevens is opgezet, als een datalek niet is gemeld of als mensen hun rechten onder de PDPA niet krijgen.

Naast boetes kunnen toezichthouders ook andere sancties opleggen, zoals bedrijven opdragen te stoppen met het verwerken van persoonsgegevens, eisen dat ze de niet-naleving herstellen, of een berisping geven.

Bij de PDPA gaat het overigens niet alleen om het vermijden van boetes en sancties, maar ook om het beschermen van persoonsgegevens en het respecteren van de rechten van mensen.

Aan de PDPA voldoen

De PDPA is een van de uitgebreide privacywetten, en ook andere landen, zoals Singapore, Maleisië en Indonesië, voeren hun eigen privacyregels in. Omdat bedrijven in meerdere rechtsgebieden actief zijn, wordt het steeds lastiger om het complexe netwerk van internationale privacywetten te overzien en na te leven.

Compliant blijven begint ermee dat je op de hoogte blijft van nieuwe wetgeving die je bedrijf kan raken. Het is belangrijk om deze wetten te volgen terwijl ze door nationale wetgevende organen gaan. Relevante nieuwsbrieven en bronnen kunnen daarbij helpen.

Is een nieuwe wet aangenomen maar nog niet in werking, bekijk de tekst dan samen met een jurist. Die kan beoordelen hoe je ervoor staat en je adviseren over wat je moet doen.

Om je compliance eenvoudiger te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Een CMP ontlast je team met aanpasbaar toestemmingsbeheer, automatische afhandeling van inzageverzoeken van betrokkenen en tools om cookies en leveranciers te beheren. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels en helpt je om in het steeds veranderende privacylandschap aan de regels te voldoen en te blijven voldoen.