タイのPDPAにおける越境移転規制の最新動向

カテゴリー： 会計・法務

連載： 知らなきゃ損する！タイビジネス法務 - GVA / TNY法律事務所

公開日 2026.04.10

タイの個人情報保護法（PDPA）は、個人データの越境移転について一定の規制を設けています。企業活動のグローバル化に伴い企業グループ内でのデータ共有や海外システムの利用が一般化する中、越境移転は在タイ日系企業にとっても考慮すべき論点となっています。

本稿では、越境移転規制を概観したうえで、2026年２月17日に施行された拘束的企業準則（Binding Corporate Rules：BCR）認証制度について解説します。

PDPAにおける越境移転の概要

PDPAでは、個人データの越境移転は主に第28条・第29条により規律されています。

第28条は、個人データを外国へ移転する場合、移転先の国または国際機関が十分な個人データ保護水準を有することを原則とし、その他にデータ主体の同意がある場合や契約履行のために必要な場合などに例外的に越境移転を認めています。第29条は、企業グループ内のデータ移転や契約等による適切な保護措置が確保されている場合など、一定の条件の下で越境移転を可能としています。

今回施行された新規則は、グループ企業内におけるBCRの認証制度について、次のとおり、申請、審査および認証の具体的手続きを定めたものです。

BCR認証制度の概要と申請手続き

まず、申請の方法として、BCRをデータ管理者向けとデータ処理者向けに分類し、自社の役割に応じて適切な類型を選択して申請する必要があります。

また、認証申請はタイ法に基づき設立された法人が行う必要があり、当該法人はグループ内の海外法人によるBCR違反について責任を負う主体となります。申請書類は、BCR本文および附属書、BCRに拘束される企業の一覧、グループ内契約などの法的拘束力を担保する文書、監査体制や研修制度などの関連資料を提出する必要があります。

次に審査事項として、①グループ内外においてBCRが法的に拘束力を有する仕組みになっているか、②BCRが実際に遵守されるための運用体制が整備されているか、③グループ企業がタイ個人情報保護委員会（PDPC）の監督や調査に協力する義務を負っているか、④データ主体の権利保護および苦情処理手続きがあるか、⑤個人データの保護措置が定められているか、⑥データ管理を担保する仕組み（アカウンタビリティ体制）が整備されているか、といった事項が対象となり、審査期間は原則180日とされています。

なお、一度認証されたBCRには有効期間は設けられていません。

企業対応と実務ポイント

今回の制度整備により、企業グループ内で継続的に行われる個人データの越境移転について、BCRを利用するための制度的枠組みが明確になりました。

BCRの導入には上記のとおり一定のハードルがあるため、直ちに全ての企業が実施する制度とはならないと思われますが、タイ子会社から本社や他の海外拠点へ個人データを継続的に移転している企業グループにとっては、グループ全体のデータ管理体制を整理する有効な手段となります。

企業としては、自社における個人データの国外移転の実態を把握し、必要に応じて越境移転に関する管理体制や社内ルールの見直しを検討することが重要です。