タイ王国のサイバーセキュリティ法および個人情報保護法が国民立法議会で可決(その２完)

(4) 個人データの収集にあたってのデータ主体への通知義務 

　個人データの収集は合法的な目的のためであり、データ管理者の活動に直接関連し、そのために必要でなければならない。データ管理者は、個人データの収集前または収集時に、次の事項をデータ主体に通知する必要がある。

1. 収集の目的  
2. 収集される個人データの内容 
3. 個人情報が開示される可能性のある人 (個人・法人)
4. データ管理者の連絡先情報
5. データ主体の権利 

　これらの情報は通常、収集にかかる通知として提供される。 

　法草案に定められた限られた状況下を除いて、個人データはデータ主体から直接収集されなければならない。また、宗教的信念、政治的嗜好、性的行動、または医療記録などの機密性の高い個人データの収集は、法草案または省令で定められた限られた状況下を除き、禁止される。機密データの収集に関して許可されている状況の例には、1)個人の生命、身体または健康への危害を保護または防止するため、あるいは2)データ管理者の法的要件を遵守するために機密データが収集される場所が含まれる。

(5) 個人データのタイの国境を越えた転移 

　以下の場合を除き、個人データは、厳格なデータ保護措置を講じ、個人データ保護委員会が定めるガイドラインに従って、その国に移転することができる。 

1. 移転は、適用される法律に従って行われる。
2. 同意はデータ主体から得る。 
3. 移転は、データ主体とデータ管理者との間で締結された契約に準拠する。
4. 移転は、同意を与えることができないデータ主体の利益のため、 
5. または省令で別段の定めがある場合に行いうる。

(6) データ主体の権利 

 　データ主体は、データ管理者によって保持されている自身の個人データにアクセスするか、またはそのような個人データが同意なしに収集された場合には情報源の開示をデータ管理者に要求する権利を有する。 データ管理者が法草案の規定を遵守しなかった場合、データ主体はデータ管理者に個人データの削除、破棄、一時的な使用の停止、または匿名化を要求することができる。

(7) 民事罰と刑罰 

　法草案の規定に違反した場合、民事上および刑事上の罰則がデータ管理者に科される可能性がある。

(8) 既得権条項 (Grandfathering provisions)

　データ管理者は、以下の条件で、法草案が施行される日より前に収集された個人データを引き続き使用することができる。

1.そのような個人データは、最初に収集された目的のためにのみ使用される。

2. データ主体が自分の個人データの削除を容易に要求できるようにするメカニズムがデータ管理者によって利用可能になり、公表される。 

***********************************************************************

Copyright © 2006-2019 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution．