هيكل قانون PDPA في عام 2026

PDPA هو قانون حماية البيانات الأساسي في تايلاند، وهيكله يشبه عن كثب GDPR. أضافت اللوائح التابعة لعامَي 2024 و2025 تفاصيل تشغيلية كانت مفقودة سابقًا من القانون الأساسي.

ما أضافته اللوائح التابعة

خلال عامَي 2024 و2025، أصدرت PDPC لوائح تابعة تغطي: آليات نقل البيانات عبر الحدود، وتعيين مسؤولي حماية البيانات وواجباتهم، وإجراءات الإخطار بخرق البيانات، ومتطلبات سجل المعالجة، والجداول الزمنية لسير عمل حقوق أصحاب البيانات، ومعايير الموافقة المحددة للبيانات الشخصية الحساسة. نقلت هذه اللوائح مجتمعةً قانون PDPA من إطار عام إلى نظام تشغيلي مماثل لـ GDPR في تفصيله.

من يخضع للتنظيم

ينطبق PDPA على معظم المتحكمين في البيانات والمعالجين، مع امتداد خارج الحدود للمنظمات الأجنبية التي تعالج البيانات الشخصية للأفراد في تايلاند فيما يتعلق بتقديم البضائع أو الخدمات أو مراقبة السلوك. عادةً ما يكون الناشرون الأجانب الذين يخدمون المستخدمين التايلانديين من خلال مواقع محلية أو مخزون برمجي مشتراة مقابل عناوين IP تايلاندية ضمن النطاق، وقد استند PDPC إلى الحكم الخارجي في رسائل التطبيق المبكرة.

العقوبات الإدارية والجنائية

ينص PDPA على غرامات إدارية تصل إلى 5 ملايين باht تايلاندي (THB) لكل مخالفة، إلى جانب عقوبات جنائية لأشد الانتهاكات خطورة بما في ذلك السجن للمديرين في ظروف محددة. سقف الغرامة الإدارية أقل من GDPR بالقيم المطلقة، لكن النهج التصاعدي لـ PDPC وإمكانية المسؤولية الجنائية تجعل المخاطر الفعلية كبيرة.

ما يُعدّ بيانات شخصية بموجب PDPA

يتتبع تعريف البيانات الشخصية في PDPA عن كثب GDPR. البيانات الشخصية هي المعلومات المتعلقة بشخص محدد أو قابل للتحديد، وقد عاملت PDPC باستمرار ملفات تعريف الارتباط ومعرّفات الإعلانات وعناوين IP وبصمات الأجهزة والملفات التعريفية السلوكية بوصفها بيانات شخصية عندما يمكن ربطها بفرد مباشرة أو بالجمع مع معلومات أخرى.

البيانات الشخصية الحساسة

يحدد PDPA فئة حساسة واسعة تشمل: الأصل العرقي أو الإثني، والرأي السياسي، والمعتقد الديني أو الفلسفي، والسلوك الجنسي، والسجل الجنائي، وبيانات الصحة، والإعاقة، والعضوية في النقابات العمالية، والبيانات الجينية، والبيانات البيومترية. تتطلب معالجة البيانات الشخصية الحساسة موافقة صريحة وتُفعّل التزامات إضافية للمتحكم.

لماذا يهم هذا لملفات تعريف الارتباط

ملف تعريف الارتباط الذي يخزن معرّفًا اعتياديًا هو بيانات شخصية عادية. أما ملف تعريف الارتباط الذي يُغذّي شريحة جمهور تمس القائمة الحساسة في PDPA — الاهتمامات الصحية، والانتماء الديني، والميول السياسية — فهو معالجة للبيانات الشخصية الحساسة ويستلزم موافقة صريحة بدلًا من موافقة الإعلانات العامة. ينبغي تدقيق استهداف الجمهور باللغة التايلاندية الذي يتداخل مع القائمة الحساسة تحديدًا في مواجهة هذا الحد الفاصل.

موافقة ملفات تعريف الارتباط بموجب PDPA في عام 2026

يتيح PDPA أسسًا قانونية متعددة للمعالجة، لكن بالنسبة لملفات تعريف الارتباط والتقنيات المماثلة غير الضرورية بالكامل لتقديم الخدمة، تقاربت توجيهات PDPC والتطبيق المبكر على الموافقة بوصفها الخط الأساسي العملي.

عناصر الموافقة الصحيحة

يجب أن تكون الموافقة بموجب PDPA:

• مُعطاة بحرية — دون إكراه أو ربط بتقديم الخدمة الأساسية
• مُستنيرة — يفهم صاحب البيانات ما يُعالَج من بيانات، ومن يعالجها، ولأي غرض
• محددة — مرتبطة بأغراض محددة بوضوح بدلًا من موافقة شاملة
• لا لبس فيها — معبّر عنها من خلال فعل إيجابي واضح، لا مستنتجة من السلبية
• صريحة في الحالات المتعلقة بالبيانات الشخصية الحساسة، مع موافقة منفصلة ومحددة للمعالجة الحساسة

كيف يبدو نظام CMP المتوافق

ينبغي أن يقدّم نظام CMP المُهيأ لحركة المرور التايلاندية في عام 2026:

• لافتة مرئية قبل أي ملف تعريف ارتباط غير ضروري أو أداة تتبع تعمل، باللغة التايلاندية (ภาษาไทย) بشكل افتراضي للمستخدمين التايلانديين
• بروز بصري متساوٍ لـ ยอมรับ (قبول) وปฏิเสธ (رفض) وตั้งค่า (الإعدادات) — وقد انتقدت PDPC تصميمات اللافتات التي يكون فيها إجراء الرفض أقل وضوحًا بصريًا
• أزرار تبديل تفصيلية لكل غرض: التحليلات والإعلانات والتخصيص والنقل عبر الحدود وأي معالجة للفئات الحساسة
• تدفق منفصل وموسوم بوضوح لمعالجة البيانات الشخصية الحساسة، مُقيّد بإجراء خاص به
• آلية دائمة وسهلة الإيجاد لسحب الموافقة بعد الاختيار الأولي
• إشعار خصوصية باللغة التايلاندية مع الإفصاح الكامل عن المتحكم والمعالجين والأغراض والمستلمين والاحتفاظ والحقوق

سجلات الموافقة

يجب على المتحكمين الاحتفاظ بأدلة الموافقة — من وافق، ومتى، وعلى أي غرض، ومن خلال أي واجهة. تمت الإشارة إلى سجلات الموافقة غير الكافية في عدة رسائل تطبيق من PDPC في عام 2025، وتُعدّ السجلات المختومة بالوقت القابلة للتصدير هي التوقع الأساسي.

النقل عبر الحدود بعد لوائح 2025

كانت لوائح النقل لعام 2025 أكثر التطورات الأخيرة أهمية للناشرين الأجانب، إذ أوضحت الآليات المتاحة لتدفقات البيانات عبر الحدود.

آليات النقل المعترف بها

توفر لوائح 2025 أربعة مسارات رئيسية:

• تعيين الحماية الكافية حيث قيّمت PDPC الدولة المستقبِلة على أنها توفر حماية كافية
• الضمانات الملائمة من خلال الآليات التعاقدية بما في ذلك البنود التعاقدية القياسية المعتمدة من PDPC وقواعد الشركات الملزمة
• الاستثناءات المحددة بما في ذلك الموافقة الصريحة من صاحب البيانات مع الإفصاح الكافي وضرورة العقد والمصلحة الحيوية والمصلحة العامة الجوهرية
• أنظمة الشهادات التي تعترف بها PDPC لقطاعات أو أنشطة محددة

قائمة الكفاية

أصدرت PDPC قرارات كفاية لعدد محدود من الولايات القضائية حتى مطلع 2026. الولايات المتحدة ليست على القائمة، مما يعني أن النقل إلى موردي تقنية الإعلانات والتحليلات المستندين إلى الولايات المتحدة يستلزم بنودًا تعاقدية أو شهادات أو إعفاءً قائمًا على الموافقة.

النهج العملي لعام 2026

بالنسبة لمعظم الناشرين الأجانب، يتمثل النهج العملي في تنفيذ البنود التعاقدية القياسية المعتمدة من PDPC مع المعالجين الدوليين، وتوثيق آلية النقل في إشعار الخصوصية باللغة التايلاندية، والتكميل بتصريح قائم على الموافقة فقط حيث لا تنطبق الآلية القياسية بشكل نظيف.

حقوق أصحاب البيانات بموجب PDPA

يمنح PDPA مجموعة من الحقوق تتتبع عن كثب GDPR:

• الحق في الوصول إلى البيانات الشخصية التي يحتفظ بها المتحكم
• الحق في تصحيح البيانات غير الدقيقة أو غير المكتملة
• الحق في المحو
• الحق في تقييد المعالجة
• الحق في قابلية نقل البيانات
• الحق في الاعتراض على المعالجة
• الحق في سحب الموافقة
• الحق في عدم الخضوع لاتخاذ القرار الآلي الذي ينتج آثارًا كبيرة
• الحق في تقديم شكوى إلى PDPC

الجداول الزمنية للردود

يجب على المتحكمين الرد على طلبات أصحاب البيانات في غضون 30 يومًا في إطار الإطار العام، مع نوافذ أقصر لأنواع طلبات محددة. يُعدّ الاستعداد التشغيلي لهذه النافذة — بأدوات وكتب تشغيل باللغة التايلاندية — فجوة شائعة لدى الناشرين الأجانب المضبوطين على إيقاع أوروبي.

متطلب مسؤول حماية البيانات DPO

أوضح النظام الفرعي لعام 2024 متى يكون تعيين مسؤول حماية البيانات مطلوبًا. يجب على المتحكمين الذين يعالجون كميات كبيرة من البيانات الشخصية، أو يجرون مراقبة منهجية لأصحاب البيانات، أو يعالجون البيانات الشخصية الحساسة على نطاق واسع، تعيين مسؤول حماية البيانات. المتحكمون الأجانب الذين يبلغون عتبة الحجم من خلال المستخدمين التايلانديين ضمن النطاق. يجب أن تكون معلومات الاتصال بمسؤول حماية البيانات متاحة في إشعار الخصوصية باللغة التايلاندية.

العقوبات ونهج التطبيق في عام 2026

تصاعد نشاط تطبيق PDPC بشكل ملموس خلال عامَي 2024 و2025، وعام 2026 على مسار مماثل.

هيكل الغرامات الإدارية

تتدرج الغرامات الإدارية حسب نوع المخالفة، بحد أقصى 5 ملايين باht تايلاندي (THB) لكل مخالفة للانتهاكات الأشد خطورة. تجذب الانتهاكات الروتينية — لافتات الموافقة غير الكافية، وغياب إشعارات الخصوصية، والإخفاق في الرد على طلبات أصحاب البيانات — عادةً غرامات في نطاق مئات الآلاف من باht التايلاندي (THB) الأدنى، لكنها يمكن أن تتصاعد بسرعة للانتهاكات المتكررة أو المشددة.

المسؤولية الجنائية كضمان أخير

خلافًا لـ GDPR، ينص PDPA على المسؤولية الجنائية للانتهاكات الأشد خطورة، بما في ذلك سجن المديرين في ظروف محددة. أوضح النظام الفرعي لعام 2024 نطاق المسؤولية الجنائية، وبينما لم يُطبَّق ضد الناشرين الأجانب في عام 2026 حتى الآن، فإن الاحتمالية تُشكّل تحليل المخاطر لأي منظمة تعالج البيانات التايلاندية على نطاق واسع.

مواضيع التطبيق

تتمحور إجراءات PDPC لعامَي 2025 وأوائل 2026 حول: لافتات الموافقة الغامضة أو الغائبة، وغياب إشعارات الخصوصية باللغة التايلاندية، والنقل عبر الحدود دون آلية صحيحة بموجب لوائح 2025، والإخفاق في الرد على طلبات أصحاب البيانات في غضون نافذة 30 يومًا، وغياب تعيينات مسؤول حماية البيانات للمتحكمين الخاضعين للنطاق. تمت الإشارة إلى الناشرين الأجانب في جميع الفئات الخمس.

قائمة تدقيق لحركة المرور التايلاندية في عام 2026

• يُعرض بانر CMP باللغة التايلاندية مع ยอมรับ وปฏิเสธ وตั้งค่า ببروز بصري متساوٍ
• أغراض الموافقة تفصيلية وتفصل معالجة الفئات الحساسة خلف تدفق موافقتها الخاص
• إشعار الخصوصية متاح باللغة التايلاندية مع الإفصاح الكامل عن المتحكم والمعالجين والأغراض والاحتفاظ والحقوق وجهة اتصال مسؤول حماية البيانات
• تعتمد عمليات النقل عبر الحدود على البنود التعاقدية القياسية المعتمدة من PDPC أو تعيين الكفاية أو BCRs أو الشهادات أو استثناء موثق
• سجلات الموافقة مختومة بالوقت وقابلة للتصدير ومحتفظ بها للفترة المنطبقة
• سير عمل طلبات أصحاب البيانات يمكنه الرد في غضون 30 يومًا من البداية إلى النهاية باللغة التايلاندية
• مسؤول حماية البيانات مُعيَّن عند الاقتضاء ومعلومات الاتصال منشورة في إشعار الخصوصية
• تمت مراجعة قائمة الموردين للضرورة مع إزالة الموردين غير المستخدمين أو المكررين للحد من سطح النقل عبر الحدود
• شرائح الجمهور ذات الفئات الحساسة مُقيَّدة خلف موافقة صريحة ومُجمَّعة بشكل منفصل
• كتيّب تشغيل الإخطار بالاختراق مُضبَّط على الجداول الزمنية للإخطار بالاختراق وفق PDPA

التوقعات لعام 2026

نضج نظام الخصوصية في تايلاند من قانون أساسي ذي تفاصيل تشغيلية محدودة إلى نظام يتمتع باللوائح التابعة وقدرة التطبيق والإرادة السياسية للتطبيق الفعّال. أغلقت لوائح النقل عبر الحدود لعام 2025 الثغرة الهيكلية الأكثر أهمية، ونهج التطبيق المبكر لـ PDPC يتسق مع جهة تنظيمية جادة في منتصف التوسع بدلًا من واحدة ستظل هادئة. بالنسبة للناشرين الذين يديرون بالفعل حزمة موافقة على مستوى GDPR، فإن الفجوة لامتثال PDPA تشغيلية لا معمارية: نظام CMP وإشعار خصوصية باللغة التايلاندية، وآليات نقل معتمدة من PDPC، وإيقاع الاستجابة خلال 30 يومًا، وتعيين مسؤول حماية البيانات عند الاقتضاء، والعناية بقائمة البيانات الحساسة الأوسع في PDPA. يمكن سد الفجوة في غضون أسابيع إذا أُعطيت الأولوية — وتايلاند سوق جنوب شرق آسيوي ذو أهمية، لذا فإن إعطاء الأولوية يؤتي ثماره عادةً بسرعة. الناشرون الذين تعاملوا مع تايلاند كسوق أخف وطأة خلال عام 2024 يجدون عام 2026 أكثر صرامة بشكل ملموس، والاتجاه واضح.