個人情報保護法：小規模事業者の記録保持免除

カテゴリー： 会計・法務

連載： GVA / TNY法律事務所 - タイビジネス法務

公開日 2025.03.10

2025年1月8日、タイの個人情報保護委員会（PDPC）による、小規模事業者に対する記録保持要件の免除に関する2つの通達（以下、「本件通達」）が官報に掲載された。これらの通達は、個人情報保護法における個人情報管理者（Data Controller）および個人情報処理者（Data Processor）のうち、小規模事業者に該当するものについて記録保持義務を免除するものである。個人情報管理者に関する記録保持義務については既に2022年に同様の通達（以下、「2022年通達」）が出されていたが、今回の通達により置き換えられる。

個人情報管理者および個人情報処理者の記録保持免除

個人情報保護法上、個人情報管理者および個人情報処理者は原則として収集した個人情報について、一定の事項について本人や個人情報保護委員会の確認のために書面または電子的方法によりその記録を作成・保持する必要がある。ただし、小規模事業者についてはこの記録義務を免除することができるとされており（個人情報保護法39条3項、40条4項）、本件通達はその対象となる事業者の詳細を定めたものである。本件通達により小規模事業者の対象となる者は以下のとおりである。

・中小企業振興法に基づく中小企業（SME）
・地域企業振興法に基づくコミュニティ企業またはそのネットワーク
・企業促進法に基づく社会企業または社会企業団体
・協同組合、協同組合連合、農業団体
・財団、協会、宗教団体、非営利団体
・コンドミニアムや住宅地の管理団体
・家内企業またはそれに類似する事業
・個人が運営する事業

ただし、これらの事業者であっても以下のいずれかに該当する場合には、引き続き記録保持義務が課される。

1. 個人情報提供者の権利や自由を侵害するリスクがある場合

2. 個人情報の収集、使用、開示が偶発的でない場合(定期的に個人情報の処理を行う場合)

3. 個人情報がセンシティブ情報（個人情報保護法26条）を取り扱う場合

個人情報管理者に対する通達として、2022年通達では記録保持義務免除の対象として6事業が指定されていたが、今回の通達でコンドミニアム・住宅地の管理および個人が運営する事業が対象として追加された。また2022年通達では、インターネットカフェのサービスプロバイダーについても記録義務を免除されていたが、今回の通達により免除の対象には含まれなくなった。

さらに本件通達により、小規模事業者のDPO（データ保護責任者）の任命義務（個人情報保護法41条（1）（2）および（3））も免除されている。

まとめ

今回の通達は日系企業の対応にそれほど大きな影響を与えるものではないが、個人情報処理者についても免除対象が定められたことは進展といえる。また小規模事業者に該当する場合でも、定量的に個人情報の収集等を行う場合やセンシティブ情報を取り扱う場合には、やはり記録保持義務が生じることには改めて注意する必要がある。