Ваш сайт нарушает PDPA Таиланда? Проверка соответствия за 10 минут

Закон Таиланда о защите персональных данных, который обычно называют PDPA, полностью действует с июня 2022 года. Многие владельцы малого бизнеса считают, что он касается только банков и больниц. На деле, если на вашем сайте есть форма обратной связи, форма бронирования, аналитика, чат-виджет или подписка на рассылку, вы собираете персональные данные, и закон распространяется на вас. Вот быстрая практическая проверка, которую можно провести самостоятельно.

Эта статья — общий обзор, а не юридическая консультация. Если речь о чём-то рискованном, например о медицинских данных или больших клиентских базах, обратитесь к тайскому юристу, который специализируется на защите данных.

Что считается персональными данными на сайте

По PDPA персональные данные — это любая информация, по которой можно прямо или косвенно установить человека. На обычном сайте компании это:

• Имена, номера телефонов, адреса электронной почты и LINE ID из форм.
• Данные бронирований, адреса и записи об оплате.
• IP-адреса и идентификаторы cookie в инструментах аналитики и рекламы, если их можно связать с человеком.
• Переписка из чат-виджетов на сайте и ботов в мессенджерах.
• Фотографии и документы, которые загружают клиенты.

Штрафы по PDPA — не символические

PDPA предусматривает административные штрафы до 5 миллионов батов, уголовную ответственность за отдельные серьёзные нарушения и гражданские иски, по которым суд может взыскать штрафные убытки в размере до двукратного фактического ущерба. Применение закона начиналось медленно, но Комитет по защите персональных данных Таиланда уже начал выписывать штрафы, а многие дела начинаются с одной жалобы клиента.

Проверка сайта на соответствие PDPA за 10 минут

• Уведомление о конфиденциальности: есть ли понятная политика конфиденциальности, которую легко найти, и объясняет ли она, что вы собираете, зачем, как долго храните и кому передаёте?
• Формы: указано ли в каждой форме, зачем собираются данные, и есть ли рядом с кнопкой отправки ссылка на политику конфиденциальности?
• Согласие на рассылку: если вы будете отправлять акции, есть ли для этого отдельная, не отмеченная заранее галочка, а не общее «Я согласен со всем»?
• Cookie: ждут ли аналитические и рекламные cookie согласия и можно ли легко от них отказаться, или они загружаются сразу при открытии страницы?
• Третьи стороны: знаете ли вы, какие сервисы получают данные посетителей, например Google Analytics, пиксель Meta, чат-виджеты или системы бронирования?
• Запросы клиентов: если клиент попросит показать или удалить его данные, знаете ли вы, кто и как это сделает?
• Безопасность: работает ли сайт по HTTPS, защищён ли вход в админку и обновлено ли программное обеспечение?
• План на случай утечки: знаете ли вы, что об утечке данных, которая создаёт риск для людей, как правило, нужно сообщить регулятору в течение 72 часов?

Согласие — не единственное правовое основание

Частая ошибка — просить согласие на всё подряд. PDPA допускает и другие законные основания, например исполнение договора (адрес нужен, чтобы доставить заказ) или законный интерес. Злоупотребление согласием делает формы длинными и запутанными, к тому же согласие можно отозвать в любой момент. Используйте его там, где оно действительно нужно, обычно для маркетинга и необязательных cookie, а остальные цели объясните в политике конфиденциальности.

Не забывайте про LINE, чаты и системы бронирования

Многие тайские компании собирают большую часть клиентских данных вне сайта: в чатах LINE Official Account, Facebook Messenger, на платформах бронирования и в таблицах. Там действуют те же правила. Знайте, где хранятся данные, у кого в команде есть к ним доступ и сколько вы их храните. Чат-бот, который вечно хранит каждую переписку, — это риск, а не актив.

Что исправить в первую очередь

Если проверка выявила пробелы, начните с того, что видят посетители: нормальная политика конфиденциальности, честные формулировки в формах, отдельная галочка для рассылки и cookie-баннер, который действительно блокирует необязательные cookie до согласия посетителя. Затем переходите к внутренним вещам: права доступа, сроки хранения и простой порядок обработки запросов о данных.

OutDept с самого начала создаёт сайты, формы и ботов с учётом требований PDPA к согласию и обработке данных, а также может проверить существующий сайт и доработать недостающее. Мы не юридическая фирма, поэтому в сложных вопросах работаем вместе с вашим юристом.