২০২৬ সালে PDPA-র কাঠামো

PDPA হল থাইল্যান্ডের প্রাথমিক তথ্য সুরক্ষা আইন এবং এর কাঠামো GDPR-এর সাথে ঘনিষ্ঠভাবে সাদৃশ্যপূর্ণ। ২০২৪ ও ২০২৫ সালের অধীনস্থ বিধিমালা পূর্বে মূল আইন থেকে অনুপস্থিত পরিচালনামূলক বিবরণ যোগ করেছে।

অধীনস্থ বিধিমালা কী যোগ করেছে

২০২৪ ও ২০২৫ সালজুড়ে PDPC অধীনস্থ বিধিমালা জারি করেছে: সীমান্ত-পার তথ্য স্থানান্তর প্রক্রিয়া, ডেটা সুরক্ষা কর্মকর্তাদের নিয়োগ ও দায়িত্ব, তথ্য লঙ্ঘন বিজ্ঞপ্তি পদ্ধতি, প্রক্রিয়াকরণ রেকর্ডের প্রয়োজনীয়তা, তথ্য বিষয়ের অধিকার কর্মপ্রবাহের সময়সীমা এবং সংবেদনশীল ব্যক্তিগত ডেটার জন্য নির্দিষ্ট সম্মতি মান। এই বিধিমালাগুলি সম্মিলিতভাবে PDPA-কে একটি সাধারণ কাঠামো থেকে GDPR-এর মতো বিশদতায় একটি পরিচালনামূলক ব্যবস্থায় স্থানান্তরিত করেছে।

কে নিয়ন্ত্রিত হয়

PDPA বেশিরভাগ ডেটা নিয়ন্ত্রক এবং প্রসেসরদের ক্ষেত্রে প্রযোজ্য, পণ্য বা সেবা প্রদান বা আচরণ পর্যবেক্ষণের সাথে সম্পর্কিতভাবে থাইল্যান্ডের ব্যক্তিদের ব্যক্তিগত ডেটা প্রক্রিয়াকারী বিদেশী সংস্থাগুলির জন্য বহির্ভূত ভৌগোলিক পরিধি সহ। স্থানীয়করণ করা সাইট বা থাই আইপির বিপরীতে কেনা প্রোগ্রামাটিক ইনভেন্টরির মাধ্যমে থাই ব্যবহারকারীদের সেবা প্রদানকারী বিদেশী প্রকাশকরা সাধারণত পরিধির মধ্যে থাকে এবং PDPC প্রাথমিক প্রয়োগ চিঠিতে বহির্ভৌগোলিক বিধান উদ্ধৃত করেছে।

প্রশাসনিক ও ফৌজদারি নিষেধাজ্ঞা

PDPA প্রতি লঙ্ঘনের জন্য ৫ মিলিয়ন THB পর্যন্ত প্রশাসনিক জরিমানা, এবং নির্দিষ্ট পরিস্থিতিতে পরিচালকদের কারাবাস সহ সবচেয়ে গুরুতর লঙ্ঘনের জন্য ফৌজদারি দণ্ডের ব্যবস্থা করে। প্রশাসনিক জরিমানার ঊর্ধ্বসীমা নিরঙ্কুশ মানের দিক থেকে GDPR-এর চেয়ে কম, তবে PDPC-র ক্রমবর্ধমান প্রয়োগ অবস্থান এবং ফৌজদারি দায়বদ্ধতার প্রাপ্যতা কার্যকর ঝুঁকিকে উল্লেখযোগ্য করে তোলে।

PDPA-এর অধীনে ব্যক্তিগত ডেটা কী হিসাবে গণ্য হয়

PDPA-র ব্যক্তিগত ডেটার সংজ্ঞা GDPR-এর সাথে ঘনিষ্ঠভাবে মিলে যায়। ব্যক্তিগত ডেটা হল একজন চিহ্নিত বা চিহ্নিতযোগ্য ব্যক্তির সাথে সম্পর্কিত তথ্য এবং PDPC ধারাবাহিকভাবে কুকি, বিজ্ঞাপন পরিচয়কারী, আইপি ঠিকানা, ডিভাইস ফিঙ্গারপ্রিন্ট এবং আচরণগত প্রোফাইলকে ব্যক্তিগত ডেটা হিসাবে বিবেচনা করেছে যখন সেগুলি সরাসরি বা অন্য তথ্যের সংমিশ্রণে একজন ব্যক্তির সাথে যুক্ত করা যায়।

সংবেদনশীল ব্যক্তিগত ডেটা

PDPA একটি বিস্তৃত সংবেদনশীল বিভাগ মনোনীত করে: জাতিগত বা নৃতাত্ত্বিক উৎস, রাজনৈতিক মতামত, ধর্মীয় বা দার্শনিক বিশ্বাস, যৌন আচরণ, ফৌজদারি রেকর্ড, স্বাস্থ্য ডেটা, অক্ষমতা, ট্রেড ইউনিয়ন সদস্যপদ, জেনেটিক ডেটা এবং বায়োমেট্রিক ডেটা। সংবেদনশীল ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য স্পষ্ট সম্মতি প্রয়োজন এবং অতিরিক্ত নিয়ন্ত্রক বাধ্যবাধকতা সক্রিয় হয়।

কুকির জন্য এটি কেন গুরুত্বপূর্ণ

একটি রুটিন পরিচয়কারী সংরক্ষণকারী কুকি সাধারণ ব্যক্তিগত ডেটা। একটি কুকি যা PDPA সংবেদনশীল তালিকা স্পর্শকারী দর্শক বিভাগকে খাওয়ায় — স্বাস্থ্য আগ্রহ, ধর্মীয় সম্পর্ক, রাজনৈতিক ঝোঁক — সেটি সংবেদনশীল ব্যক্তিগত ডেটা প্রক্রিয়াকরণ এবং সাধারণ বিজ্ঞাপন সম্মতির পরিবর্তে স্পষ্ট সম্মতি প্রয়োজন। সংবেদনশীল তালিকার সাথে ওভারল্যাপ করা থাই-ভাষা দর্শক লক্ষ্যমাত্রা এই সীমানার বিপরীতে বিশেষভাবে অডিট করা উচিত।

২০২৬ সালে PDPA-এর অধীনে কুকি সম্মতি

PDPA প্রক্রিয়াকরণের জন্য একাধিক আইনি ভিত্তির অনুমতি দেয়, কিন্তু কুকি এবং অনুরূপ প্রযুক্তির জন্য যা পরিষেবা প্রদানের জন্য কঠোরভাবে প্রয়োজনীয় নয়, PDPC-র নির্দেশিকা এবং প্রাথমিক প্রয়োগ ব্যবহারিক বেসলাইন হিসাবে সম্মতির উপর একমত হয়েছে।

বৈধ সম্মতির উপাদান

PDPA-র অধীনে সম্মতি অবশ্যই হতে হবে:

• স্বাধীনভাবে দেওয়া — জবরদস্তি বা অপরিহার্য পরিষেবা প্রদানের সাথে বান্ডলিং ছাড়া
• অবহিত — তথ্য বিষয় বোঝে কোন ডেটা প্রক্রিয়া করা হচ্ছে, কার দ্বারা এবং কোন উদ্দেশ্যে
• নির্দিষ্ট — ছাতা সম্মতির পরিবর্তে স্পষ্টভাবে চিহ্নিত উদ্দেশ্যের সাথে আবদ্ধ
• অস্পষ্ট নয় — নিষ্ক্রিয়তা থেকে অনুমান করা নয়, একটি স্পষ্ট ইতিবাচক কাজের মাধ্যমে প্রকাশ করা
• সংবেদনশীল ব্যক্তিগত ডেটা জড়িত ক্ষেত্রে স্পষ্ট, সংবেদনশীল প্রক্রিয়াকরণের জন্য পৃথক এবং নির্দিষ্ট সম্মতি সহ

একটি সম্মতিপূর্ণ CMP কেমন দেখায়

২০২৬ সালে থাই ট্র্যাফিকের জন্য কনফিগার করা একটি CMP উপস্থাপন করা উচিত:

• থাই ব্যবহারকারীদের জন্য ডিফল্টরূপে থাই (ภาษาไทย) ভাষায় যেকোনো অ-অপরিহার্য কুকি বা ট্র্যাকার ফায়ার হওয়ার আগে একটি দৃশ্যমান ব্যানার
• ยอมรับ (গ্রহণ), ปฏิเสธ (প্রত্যাখ্যান) এবং ตั้งค่า (সেটিংস)-এর জন্য সমান ভিজ্যুয়াল বিশিষ্টতা — PDPC এমন ব্যানার ডিজাইন সমালোচনা করেছে যেখানে প্রত্যাখ্যান ক্রিয়া ভিজ্যুয়ালি অনুচ্চারিত
• প্রতিটি উদ্দেশ্যের জন্য বিস্তারিত টগল: বিশ্লেষণ, বিজ্ঞাপন, ব্যক্তিগতকরণ, সীমান্ত-পার স্থানান্তর এবং যেকোনো সংবেদনশীল-বিভাগ প্রক্রিয়াকরণ
• সংবেদনশীল ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য একটি পৃথক, স্পষ্টভাবে লেবেলযুক্ত প্রবাহ, নিজের ক্রিয়ার পিছনে গেটেড
• প্রাথমিক পছন্দের পরে সম্মতি প্রত্যাহারের জন্য একটি স্থায়ী, সহজে পাওয়া যায় এমন প্রক্রিয়া
• নিয়ন্ত্রক, প্রসেসর, উদ্দেশ্য, প্রাপক, ধারণ এবং অধিকারের সম্পূর্ণ প্রকাশ সহ থাই-ভাষা গোপনীয়তা বিজ্ঞপ্তি

সম্মতি রেকর্ড

নিয়ন্ত্রকদের সম্মতির প্রমাণ বজায় রাখতে হবে — কে সম্মতি দিয়েছে, কখন, কোন উদ্দেশ্যে এবং কোন ইন্টারফেসের মাধ্যমে। অপর্যাপ্ত সম্মতি রেকর্ড ২০২৫ সালের বেশ কয়েকটি PDPC প্রয়োগ চিঠিতে উদ্ধৃত হয়েছে এবং রপ্তানিযোগ্য টাইমস্ট্যাম্পড লগ হল বেসলাইন প্রত্যাশা।

২০২৫ বিধিমালার পরে সীমান্ত-পার স্থানান্তর

২০২৫ স্থানান্তর বিধিমালা বিদেশী প্রকাশকদের জন্য সাম্প্রতিক সবচেয়ে পরিণামজনক উন্নয়ন ছিল, সীমান্ত-পার তথ্য প্রবাহের জন্য উপলব্ধ প্রক্রিয়াগুলি স্পষ্ট করে।

স্বীকৃত স্থানান্তর প্রক্রিয়া

২০২৫ বিধিমালা চারটি প্রাথমিক পথ প্রদান করে:

• পর্যাপ্ত-সুরক্ষা উপাধি যেখানে PDPC গন্তব্য দেশটিকে পর্যাপ্ত সুরক্ষা প্রদানকারী হিসাবে মূল্যায়ন করেছে
• PDPC-অনুমোদিত স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারা এবং বাধ্যতামূলক কর্পোরেট নিয়ম সহ চুক্তিভিত্তিক প্রক্রিয়ার মাধ্যমে যথাযথ সুরক্ষা
• পর্যাপ্ত প্রকাশ সহ তথ্য বিষয় থেকে স্পষ্ট সম্মতি, চুক্তির প্রয়োজনীয়তা, গুরুত্বপূর্ণ আগ্রহ এবং উল্লেখযোগ্য জনস্বার্থ সহ নির্দিষ্ট ছাড়
• নির্দিষ্ট সেক্টর বা কার্যক্রমের জন্য PDPC দ্বারা স্বীকৃত সার্টিফিকেশন স্কিম

পর্যাপ্ততার তালিকা

PDPC ২০২৬ সালের প্রথম দিকে মুষ্টিমেয় এখতিয়ারের জন্য পর্যাপ্ততার সিদ্ধান্ত জারি করেছে। মার্কিন যুক্তরাষ্ট্র তালিকায় নেই, যার অর্থ মার্কিন-ভিত্তিক বিজ্ঞাপন-প্রযুক্তি এবং বিশ্লেষণ বিক্রেতাদের কাছে স্থানান্তরের জন্য চুক্তিভিত্তিক ধারা, সার্টিফিকেশন বা সম্মতি-ভিত্তিক ছাড় প্রয়োজন।

ব্যবহারিক ২০২৬ পদ্ধতি

বেশিরভাগ বিদেশী প্রকাশকদের জন্য, কার্যকর পদ্ধতি হল আন্তর্জাতিক প্রসেসরদের সাথে PDPC-অনুমোদিত স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারা কার্যকর করা, থাই-ভাষা গোপনীয়তা বিজ্ঞপ্তিতে স্থানান্তর প্রক্রিয়া নথিভুক্ত করা এবং শুধুমাত্র যেখানে স্ট্যান্ডার্ড প্রক্রিয়া সুস্পষ্টভাবে মেলে না সেখানে সম্মতি-ভিত্তিক অনুমোদনের সাথে পরিপূরক করা।

PDPA-এর অধীনে তথ্য বিষয়ের অধিকার

PDPA GDPR-এর সাথে ঘনিষ্ঠভাবে ট্র্যাকিং করা একটি অধিকারের সেট প্রদান করে:

• নিয়ন্ত্রক কর্তৃক রক্ষিত ব্যক্তিগত ডেটায় অ্যাক্সেসের অধিকার
• অসঠিক বা অসম্পূর্ণ ডেটা সংশোধনের অধিকার
• মুছে ফেলার অধিকার
• প্রক্রিয়াকরণ সীমাবদ্ধ করার অধিকার
• ডেটা বহনযোগ্যতার অধিকার
• প্রক্রিয়াকরণে আপত্তি করার অধিকার
• সম্মতি প্রত্যাহারের অধিকার
• উল্লেখযোগ্য প্রভাব উৎপাদনকারী স্বয়ংক্রিয় সিদ্ধান্ত-গ্রহণের বিষয় না হওয়ার অধিকার
• PDPC-তে অভিযোগ দায়ের করার অধিকার

প্রতিক্রিয়া সময়সীমা

নিয়ন্ত্রকদের সাধারণ কাঠামোর অধীনে তথ্য বিষয়ের অনুরোধে ৩০ দিনের মধ্যে সাড়া দিতে হবে, নির্দিষ্ট অনুরোধের ধরনের জন্য ছোট উইন্ডো সহ। এই উইন্ডোর জন্য পরিচালনামূলক প্রস্তুতি — থাই-ভাষা সরঞ্জাম এবং রানবুক সহ — ইউরোপীয় গতিতে সুর করা বিদেশী প্রকাশকদের জন্য একটি সাধারণ ব্যবধান।

DPO প্রয়োজনীয়তা

২০২৪ সালের অধীনস্থ বিধিমালা স্পষ্ট করেছে কখন একজন DPO প্রয়োজন। বড় পরিমাণে ব্যক্তিগত ডেটা প্রক্রিয়াকারী, তথ্য বিষয়ের পদ্ধতিগত পর্যবেক্ষণ পরিচালনাকারী বা স্কেলে সংবেদনশীল ব্যক্তিগত ডেটা প্রক্রিয়াকারী নিয়ন্ত্রকদের অবশ্যই একজন DPO নিয়োগ করতে হবে। থাই ব্যবহারকারীদের মাধ্যমে ভলিউম থ্রেশহোল্ডে পৌঁছানো বিদেশী নিয়ন্ত্রকরা পরিধির মধ্যে আছে। DPO-র যোগাযোগের তথ্য থাই-ভাষা গোপনীয়তা বিজ্ঞপ্তিতে অ্যাক্সেসযোগ্য হতে হবে।

২০২৬ সালে দণ্ড এবং প্রয়োগ অবস্থান

PDPC-র প্রয়োগ কার্যক্রম ২০২৪ ও ২০২৫ সালজুড়ে অর্থবহভাবে বৃদ্ধি পেয়েছে এবং ২০২৬ একই গতিপথে রয়েছে।

প্রশাসনিক জরিমানার কাঠামো

প্রশাসনিক জরিমানা লঙ্ঘনের ধরন অনুযায়ী মাপ করা হয়, সবচেয়ে গুরুতর লঙ্ঘনের জন্য প্রতি লঙ্ঘনে সর্বোচ্চ ৫ মিলিয়ন THB। রুটিন লঙ্ঘন — অপর্যাপ্ত সম্মতি ব্যানার, অনুপস্থিত গোপনীয়তা বিজ্ঞপ্তি, তথ্য বিষয়ের অনুরোধে সাড়া দিতে ব্যর্থতা — সাধারণত নিচের শত-হাজার-THB পরিসরে জরিমানা আকর্ষণ করে তবে পুনরাবৃত্তি বা বর্ধিত লঙ্ঘনের জন্য দ্রুত বৃদ্ধি পেতে পারে।

ফৌজদারি দায়বদ্ধতার রক্ষাকবচ

GDPR-এর বিপরীতে, PDPA নির্দিষ্ট পরিস্থিতিতে পরিচালকদের কারাবাস সহ সবচেয়ে গুরুতর লঙ্ঘনের জন্য ফৌজদারি দায়বদ্ধতার ব্যবস্থা করে। ২০২৪ সালের অধীনস্থ বিধিমালা ফৌজদারি দায়বদ্ধতার পরিধি স্পষ্ট করেছে এবং যদিও এটি ২০২৬ সালে এখন পর্যন্ত বিদেশী প্রকাশকদের বিরুদ্ধে প্রয়োগ করা হয়নি, তবু সম্ভাবনাটি স্কেলে থাই ডেটা প্রক্রিয়াকারী যেকোনো সংস্থার ঝুঁকি বিশ্লেষণকে প্রভাবিত করে।

প্রয়োগ বিষয়বস্তু

PDPC-র ২০২৫ এবং ২০২৬ সালের প্রথম দিকের ক্রিয়াকলাপ এগুলোর চারপাশে জড়ো হয়েছে: অস্পষ্ট বা অনুপস্থিত সম্মতি ব্যানার, থাই-ভাষা গোপনীয়তা বিজ্ঞপ্তির অভাব, ২০২৫ বিধিমালার অধীনে বৈধ প্রক্রিয়া ছাড়া সীমান্ত-পার স্থানান্তর, ৩০-দিনের উইন্ডোর মধ্যে তথ্য বিষয়ের অনুরোধে সাড়া দিতে ব্যর্থতা এবং পরিধির মধ্যে নিয়ন্ত্রকদের জন্য অনুপস্থিত DPO উপাধি। বিদেশী প্রকাশকদের পাঁচটি বিভাগেই উদ্ধৃত করা হয়েছে।

২০২৬ সালে থাই ট্র্যাফিকের জন্য অডিট চেকলিস্ট

• CMP ব্যানারটি সমান ভিজ্যুয়াল বিশিষ্টতায় ยอมรับ, ปฏิเสธ এবং ตั้งค่า সহ থাই ভাষায় পরিবেশন করা হচ্ছে
• সম্মতির উদ্দেশ্যগুলি বিস্তারিত এবং নিজস্ব সম্মতি প্রবাহের পিছনে সংবেদনশীল-বিভাগ প্রক্রিয়াকরণকে আলাদা করে
• গোপনীয়তা বিজ্ঞপ্তি নিয়ন্ত্রক, প্রসেসর, উদ্দেশ্য, ধারণ, অধিকার এবং DPO যোগাযোগের সম্পূর্ণ প্রকাশ সহ থাই ভাষায় পাওয়া যাচ্ছে
• সীমান্ত-পার স্থানান্তর PDPC-অনুমোদিত স্ট্যান্ডার্ড চুক্তিভিত্তিক ধারা, পর্যাপ্ততার উপাধি, BCRs, সার্টিফিকেশন বা একটি নথিভুক্ত ছাড়ের উপর নির্ভর করে
• সম্মতি লগগুলি টাইমস্ট্যাম্পড, রপ্তানিযোগ্য এবং প্রযোজ্য সময়কালের জন্য সংরক্ষিত
• তথ্য বিষয় অনুরোধ কর্মপ্রবাহ থাই ভাষায় শুরু থেকে শেষ পর্যন্ত ৩০ দিনের মধ্যে সাড়া দিতে পারে
• DPO যেখানে প্রয়োজন সেখানে মনোনীত এবং যোগাযোগের তথ্য গোপনীয়তা বিজ্ঞপ্তিতে প্রকাশিত হয়েছে
• বিক্রেতা তালিকা প্রয়োজনীয়তার জন্য পর্যালোচনা করা হয়েছে, সীমান্ত-পার স্থানান্তরের পৃষ্ঠ কমাতে অব্যবহৃত বা অপ্রয়োজনীয় বিক্রেতাদের সরিয়ে দিয়ে
• সংবেদনশীল-বিভাগ দর্শক বিভাগগুলি স্পষ্ট, আলাদাভাবে ক্যাপচার করা সম্মতির পিছনে গেটেড
• লঙ্ঘন বিজ্ঞপ্তি রানবুক PDPA-র লঙ্ঘন বিজ্ঞপ্তি সময়সীমায় সুর করা হয়েছে

২০২৬ সালের দৃষ্টিভঙ্গি

থাইল্যান্ডের গোপনীয়তা ব্যবস্থা সীমিত পরিচালনামূলক সুনির্দিষ্টতা সহ একটি মূল আইন থেকে অধীনস্থ বিধিমালা, প্রয়োগ ক্ষমতা এবং অর্থবহভাবে প্রয়োগ করার রাজনৈতিক ইচ্ছা সহ একটি ব্যবস্থায় পরিপক্ক হয়েছে। ২০২৫ সালের সীমান্ত-পার স্থানান্তর বিধিমালা সবচেয়ে পরিণামজনক কাঠামোগত ব্যবধান বন্ধ করেছে এবং PDPC-র প্রাথমিক প্রয়োগ অবস্থান একটি গুরুতর নিয়ন্ত্রকের সাথে সামঞ্জস্যপূর্ণ যা মাপকাঠি বাড়ানোর মাঝপথে আছে বরং এমন কেউ নয় যে শান্ত থাকবে। যেসব প্রকাশকরা ইতিমধ্যে GDPR-গ্রেড সম্মতি স্ট্যাক চালাচ্ছেন, তাদের জন্য PDPA সম্মতির ব্যবধান স্থাপত্যগত নয়, পরিচালনামূলক: থাই-ভাষা CMP এবং গোপনীয়তা বিজ্ঞপ্তি, PDPC-অনুমোদিত স্থানান্তর প্রক্রিয়া, ৩০-দিনের প্রতিক্রিয়ার গতি, যেখানে প্রয়োজন DPO উপাধি এবং PDPA-র বিস্তৃত সংবেদনশীল-ডেটা তালিকায় যত্ন। ব্যবধান অগ্রাধিকার দেওয়া হলে সপ্তাহের মধ্যে বন্ধ করা যায় — এবং থাইল্যান্ড একটি অর্থবহ দক্ষিণ-পূর্ব এশিয়ান বাজার, তাই অগ্রাধিকারটি সাধারণত দ্রুত ফেরত পায়। যেসব প্রকাশক ২০২৪ সাল পর্যন্ত থাইল্যান্ডকে একটি হালকা-স্পর্শের বাজার হিসাবে বিবেচনা করেছিলেন তারা ২০২৬ সালকে অর্থবহভাবে আরও দাবিদার মনে করছেন এবং প্রবণতাটি স্পষ্ট।