《2019 年個人資料保護法》於 2019 年 5 月 27 日在《皇家公報》上發布。

根據個人資料保護法涉及個人資料的人士
– 法律沒有定義個人資料的所有者 (Data Subject) 。 但一般而言，它指的是訊息的接收者。
– 資料控制者是指有權就個人資料的收集、使用或揭露做出決定的個人或法人，例如政府機構。 或一般私部門 集 使用或揭露使用該服務的公民或客戶的個人資訊。
– 個人資料處理者（Data Processor）是指依照個人資料控制者的指令或代表個人資料控制者進行個人資料收集、使用或揭露的個人或法人，例如雲端服務等。

執法範圍
– 適用於個人資料控制者或個人資料處理者位於泰國的情況。
– 適用於個人資料控制者或個人資料處理者位於泰國境外的情況。 如果有以下活動：
1. 向居住在泰國的個人資料所有者提出出售產品或服務。
2. 監控發生在泰國的個人資料的擁有者。

個人資料保護法執行的例外情況
個人資料保護法 不適用於以下情況：
1.為了個人利益或家庭活動而收集個人資料。
2. 負責維護國家安全的政府機關的行為。
3. 使用或揭露僅為大眾媒體、藝術或文學作品而收集的個人資訊。
4. 根據眾議院、參議院、議會或委員會的職責和權力收集、使用或披露個人資訊。
5. 法院案件的判決和官員在司法過程中的表現
6. 依徵信業務相關法律規定處理徵信公司及會員的資料。

收集、使用或揭露個人資訊的原則
收集、使用或揭露個人資訊必須按照以下方式進行：
• 個人資料擁有者必須同意。
• 必須告知收集、使用或揭露個人資訊的目的。
• 同意必須與其他部分明確分開。
• 表格或資訊易於閱讀和理解，且不得具有欺騙性。
• 個人資料所有者可以隨時撤回同意。

個人資料所有者的權利
1. 個人資料收集詳情的知情權（Right to be informable）
2. 存取個人資訊的權利（Right of access）
3. 數據可攜權 (Right to data portability)
4. 反對收集、使用或揭露個人資訊的權利 (Right to object)
5. 要求刪除或銷毀個人資訊或使個人資訊無法辨識個人身分的權利 (Right to erasure/right to be forgotten)
6. 請求停止使用個人資訊的權利 (Right to restrict processing)
7. 個人資訊更正權（Right to rectification）
8. 在控制者或處理者不遵守個人資料保護法的情況下投訴的權利。

個人資料控制者的職責 個人資料處理器 個人資料保護官的職責
個人資料控制職責 (Data Controller)
• 提供安全措施。
• 有一個系統來檢查資料的刪除/破壞。 當保留期限已過時
• 在72 小時內向辦公室報告違規行為。
• 防止非法使用或洩漏資訊。
• 記錄個人資訊何時被收集、使用或揭露。
• 任命王國代表。 （在國外的情況下）
個人資料處理者的職責 (Data Processor)
• 執行從個人資料控制者收到的命令。
• 提供適當的安全措施。 包括向個人資料控制者通報個人資料違規事件。
• 準備和維護個人資料處理活動的記錄。
個人資料保護官(Data Protection Officer)
• 向個人資料控制者或個人資料處理者提供建議。
• 檢查個人資料控制者或資料處理者的操作。
• 在收集、使用或揭露個人資訊方面出現問題時與辦公室進行協調和合作。
• 對履行職責時已知或獲得的資訊保密。

個人資料控制者和個人資料處理者 在以下情況下必須任命個人資料保護官 (DPO)：
1. 個人資料控制者或個人資料處理者是政府機構。
2.因個人資訊量較大，需定期收集、使用或揭露個人資訊或系統。
3. 主要活動是收集、使用或揭露個人資訊。 這是敏感的個人數據
註：同一業務集團內，個人資料控制者或個人資料處理者可以安排聯合個人資料保護官。

責任和處罰
民事責任
侵犯個人資料的行為人必須向個人資料所有者支付賠償金。 無論該行為是否是故意或疏忽造成的。 法院有權下令額外賠償，最高可達實際賠償的兩倍。

刑事處罰
– 對非法使用或揭露敏感個人資料等嚴重違法行為制定刑事處罰。 知曉他人個人資訊並非法向他人披露的，最高可判處不超過 1 年的監禁或不超過 1,000,000 泰銖的罰款，或兩者併罰。
– 犯罪者為法人時 董事或經理 或對該法人的業務負責的人，可以對該法人所發生的刑事犯罪負連帶責任。

行政處罰
對違法或不遵守法律的犯罪行為（例如未告知個人資料所有者收集個人資料的目的）設定行政罰款。 透過欺騙個人資料所有者、未指定 DPO 等方式請求同意的，最高可處以 5,000,000 泰銖的行政罰款。