你的网站违反泰国 PDPA 了吗？10 分钟合规自查

泰国《个人数据保护法》（通常称为 PDPA）自 2022 年 6 月起全面生效。很多小企业主以为它只和银行、医院有关。实际上，只要你的网站有联系表单、预订表单、数据分析、聊天插件或邮件订阅，你就在收集个人数据，这部法律就适用于你。下面是一份你可以自己动手完成的快速实用检查。

本文仅为一般性指南，不构成法律意见。对于健康数据或大型客户数据库等高风险情况，请咨询专门从事数据保护的泰国律师。

网站上哪些信息属于个人数据

根据 PDPA，个人数据是指任何能够直接或间接识别一个人的信息。在典型的企业网站上，包括：

• 表单中的姓名、电话号码、电子邮箱和 LINE ID。
• 预订信息、地址和付款记录。
• 数据分析和广告工具使用的 IP 地址和 Cookie 标识符（当它们能关联到具体个人时）。
• 网站聊天插件和即时通讯机器人中的聊天记录。
• 客户上传的照片或文件。

PDPA 的处罚并非象征性的

PDPA 规定了最高 500 万泰铢的行政罚款、针对某些严重违法行为的刑事处罚，以及民事索赔，法院可判处最高为实际损失两倍的惩罚性赔偿。执法起初进展缓慢，但泰国个人数据保护委员会已经开始开出罚单，而很多案件都是从一位客户的投诉开始的。

10 分钟网站 PDPA 自查

• 隐私声明：是否有一份清晰、容易找到的隐私政策，说明你收集什么、为什么收集、保存多久以及与谁共享？
• 表单：每个表单是否说明了收集数据的目的，并在提交按钮旁附上隐私声明链接？
• 营销同意：如果你要发送促销信息，是否有一个单独的、默认不勾选的复选框，而不是捆绑在“我同意全部条款”里？
• Cookie：分析和广告类 Cookie 是否会等待用户同意，并提供便捷的拒绝方式，还是一打开页面就加载？
• 第三方：你是否清楚哪些工具会接收访客数据，例如 Google Analytics、Meta Pixel、聊天插件或预订引擎？
• 数据请求：如果客户要求查看或删除自己的数据，你是否知道由谁处理、如何处理？
• 安全：网站是否使用 HTTPS，后台登录是否受到保护，软件是否保持最新？
• 泄露预案：你是否知道，对他人构成风险的数据泄露通常必须在 72 小时内向监管机构报告？

同意并不是唯一的合法依据

一个常见错误是凡事都要求用户同意。PDPA 还允许其他合法依据，例如履行合同（送货需要地址）或正当利益。滥用“同意”会让表单冗长难懂，而且用户可以随时撤回同意。只在真正需要的地方使用同意，通常是营销和非必要 Cookie，其他用途则在隐私声明中说明。

别忘了 LINE、聊天工具和预订系统

很多泰国企业的大部分客户数据其实是在网站之外收集的：LINE 官方账号聊天、Facebook Messenger、预订平台和电子表格。这些地方同样适用相同的规则。你需要知道数据存放在哪里、团队中谁能访问、保存多长时间。一个永久保存每段对话的聊天机器人是隐患，而不是资产。

优先修复什么

如果自查发现了漏洞，先从访客能看到的部分入手：一份规范的隐私声明、诚实的表单说明、单独的营销复选框，以及在访客同意前真正阻止非必要 Cookie 的 Cookie 横幅。然后再处理内部问题：访问权限、保存期限，以及处理数据请求的简单流程。

OutDept 从一开始就按照 PDPA 的同意和数据处理要求来构建网站、表单和机器人，也可以审查现有网站并补齐缺失的部分。我们不是律师事务所，因此在问题较为复杂时，会与你的法律顾问协同工作。