A PDPA Szerkezete 2026-ban

A PDPA Thaiföld elsődleges adatvédelmi törvénye, és szerkezete szorosan hasonlít a GDPR-ra. A 2024-es és 2025-ös alárendelt rendeletek olyan operatív részleteket adtak hozzá, amelyek korábban hiányoztak az alaptörvényből.

Mit Adtak Hozzá az Alárendelt Rendeletek

2024 és 2025 folyamán a PDPC alárendelt rendeleteket adott ki a következő témákban: határon átnyúló adattovábbítási mechanizmusok, adatvédelmi tisztviselők kinevezése és feladatai, adatsértési értesítési eljárások, feldolgozási nyilvántartási követelmények, érintetti jogok munkafolyamat-ütemezése, valamint az érzékeny személyes adatokra vonatkozó specifikus hozzájárulási szabványok. Ezek a rendeletek összességében a PDPA-t egy általános keretrendszerből a GDPR specifikusságához hasonló operatív rendszerré alakították.

Kire Vonatkozik a Szabályozás

A PDPA a legtöbb adatkezelőre és adatfeldolgozóra vonatkozik, és területen kívüli hatállyal rendelkezik azon külföldi szervezetek esetében, amelyek áruk vagy szolgáltatások kínálásával vagy magatartás megfigyelésével összefüggésben Thaiföldön tartózkodó személyek személyes adatait kezelik. A thai felhasználókat lokalizált oldalakon vagy thai IP-k ellen vásárolt programmatic készleten keresztül kiszolgáló külföldi kiadók jellemzően a hatály alá esnek, és a PDPC a területen kívüli rendelkezésre hivatkozott a korai végrehajtási levelekben.

Közigazgatási és Büntetőjogi Szankciók

A PDPA jogsértésenként legfeljebb 5 millió THB közigazgatási bírságot ír elő, a legsúlyosabb jogsértések esetén büntetőjogi szankciókat is, beleértve bizonyos körülmények között az igazgatók bebörtönzését. A közigazgatási bírság felső határa a GDPR-nál alacsonyabb abszolút értelemben, de a PDPC fokozódó végrehajtási hozzáállása és a büntetőjogi felelősség lehetősége a tényleges kockázatot jelentőssé teszi.

Mi Minősül Személyes Adatnak a PDPA Szerint

A PDPA személyes adat definíciója szorosan követi a GDPR-t. A személyes adat egy azonosított vagy azonosítható személyre vonatkozó információ, és a PDPC következetesen személyes adatként kezeli a cookie-kat, a reklám-azonosítókat, az IP-címeket, az eszköz ujjlenyomatokat és a viselkedési profilokat, ha azok közvetlenül vagy más információkkal kombinálva köthetők egy személyhez.

Érzékeny Személyes Adatok

A PDPA széles érzékeny kategóriát határoz meg, amely magában foglalja: faji vagy etnikai származást, politikai véleményt, vallási vagy filozófiai meggyőződést, szexuális magatartást, büntetett előéletet, egészségügyi adatokat, fogyatékosságot, szakszervezeti tagságot, genetikai adatokat és biometrikus adatokat. Az érzékeny személyes adatok kezelése explicit hozzájárulást igényel és további adatkezelői kötelezettségeket von maga után.

Miért Fontos Ez a Cookie-k Szempontjából

Egy rutinszerű azonosítót tároló cookie közönséges személyes adat. Egy olyan cookie, amely a PDPA érzékeny listájával érintkező közönségszegmenst táplál — egészségügyi érdeklődés, vallási hovatartozás, politikai irányultság —, érzékeny személyes adatkezelés, és explicit hozzájárulást igényel az általános reklám-hozzájárulás helyett. Az érzékeny listával átfedő thai nyelvű közönségcélzást kifejezetten ezen határ alapján kell felülvizsgálni.

Cookie-hozzájárulás a PDPA Alapján 2026-ban

A PDPA több jogszerű feldolgozási alapot engedélyez, de a szigorúan a szolgáltatásnyújtáshoz szükségesnek nem minősülő cookie-k és hasonló technológiák esetében a PDPC iránymutatása és korai végrehajtása a hozzájárulást hozta ki a gyakorlati alapkövetelményként.

Az Érvényes Hozzájárulás Elemei

A PDPA szerinti hozzájárulásnak a következőknek kell megfelelnie:

• Önkéntesen adott — kényszer vagy az alapszolgáltatás nyújtásával való összekapcsolás nélkül
• Tájékozottan adott — az érintett megérti, hogy milyen adatokat kezelnek, ki kezeli és milyen célból
• Konkrét — egyértelműen azonosított célokhoz kötött, nem általános hozzájárulás
• Egyértelmű — egyértelmű megerősítő aktussal kifejezett, nem inaktivitásból következtetett
• Explicit az érzékeny személyes adatokat érintő esetekben, az érzékeny kezeléshez külön és specifikus hozzájárulással

Hogyan Néz Ki egy Megfelelő CMP

A thai forgalomhoz 2026-ban konfigurált CMP-nek a következőket kell bemutatnia:

• Látható szalag bármely nem alapvető cookie vagy nyomkövető tüzelése előtt, alapértelmezés szerint thai nyelven (ภาษาไทย) a thai felhasználók számára
• Egyenlő vizuális kiemelkedés a ยอมรับ (Accept), ปฏิเสธ (Reject) és ตั้งค่า (Settings) számára — a PDPC bírálta azokat a szalagdesignokat, ahol az Elutasítás művelet vizuálisan le van minimalizálva
• Részletes kapcsolók célonként: analitika, reklám, személyre szabás, határon átnyúló átvitel és bármely érzékeny kategóriájú feldolgozás
• Külön, egyértelműen megjelölt folyamat az érzékeny személyes adatok kezeléséhez, saját megerősítő művelet mögé zárolva
• Állandó, könnyen megtalálható mechanizmus a hozzájárulás visszavonásához a kezdeti választás után
• Thai nyelvű adatvédelmi nyilatkozat az adatkezelő, feldolgozók, célok, címzettek, megőrzés és jogok teljes közzétételével

Hozzájárulási Nyilvántartások

Az adatkezelőknek fenn kell tartaniuk a hozzájárulás bizonyítékát — ki adott hozzájárulást, mikor, milyen célhoz és melyik felületen keresztül. A nem megfelelő hozzájárulási nyilvántartásokat több PDPC végrehajtási levélben idézték 2025-ben, és az exportálható időbélyeges naplók az alapkövetelmény.

Határon Átnyúló Adattovábbítások a 2025-ös Rendeletek Után

A 2025-ös átviteli rendeletek a legjelentősebb közelmúltbeli fejlemény a külföldi kiadók számára, amelyek tisztázták a határon átnyúló adatáramlásokhoz rendelkezésre álló mechanizmusokat.

Az Elismert Átviteli Mechanizmusok

A 2025-ös rendeletek négy elsődleges utat biztosítanak:

• Megfelelő védelem jelölés, ahol a PDPC értékelte a célországot megfelelő védelmet biztosítóként
• Megfelelő biztosítékok szerződéses mechanizmusokon keresztül, beleértve a PDPC által jóváhagyott standard szerződési záradékokat és kötelező vállalati szabályokat
• Specifikus mentességek, beleértve az érintett explicit hozzájárulását megfelelő közzététellel, szerződéses szükségességet, életfontosságú érdeket és lényeges közérdeket
• Tanúsítási rendszerek, amelyeket a PDPC adott szektorok vagy tevékenységek esetén elismer

A Megfelelőségi Lista

A PDPC 2026 elejéig megfelelőségi határozatokat adott ki néhány joghatóság számára. Az Egyesült Államok nincs a listán, ami azt jelenti, hogy az USA-ban székhellyel rendelkező reklámtechnológiai és analitikai szállítóknak történő adattovábbítások szerződéses záradékokat, tanúsítást vagy hozzájárulás alapú mentességet igényelnek.

A Praktikus 2026-os Megközelítés

A legtöbb külföldi kiadó számára a működő megközelítés az, hogy PDPC által jóváhagyott standard szerződési záradékokat kötnek a nemzetközi feldolgozókkal, dokumentálják az átviteli mechanizmust a thai nyelvű adatvédelmi nyilatkozatban, és hozzájárulás alapú felhatalmazással egészítik ki csak ott, ahol a standard mechanizmus nem illeszkedik egyértelműen.

Érintetti Jogok a PDPA Alapján

A PDPA a GDPR-t szorosan követő jogokat biztosít:

• Hozzáférési jog az adatkezelő által tárolt személyes adatokhoz
• Helyesbítési jog a pontatlan vagy hiányos adatok esetén
• Törlési jog
• Adatkezelés-korlátozási jog
• Adathordozhatósági jog
• Tiltakozási jog az adatkezeléssel szemben
• Hozzájárulás visszavonásának joga
• Jog arra, hogy az érintett ne legyen automatizált döntéshozatal tárgya, amely jelentős hatásokat produkál
• Panasz benyújtásának joga a PDPC-hez

Válaszadási Határidők

Az adatkezelőknek az általános keretrendszer szerint 30 napon belül kell válaszolniuk az érintetti kérelmekre, egyes kérelemtípusok esetén rövidebb ablakokkal. Az erre az ablakra való operatív felkészültség — thai nyelvű eszközökkel és folyamatleírásokkal — általános hiányosság az európai ütemet megszokott külföldi kiadóknál.

A DPO Követelmény

A 2024-es alárendelt rendelet tisztázta, mikor szükséges DPO kinevezése. A nagy mennyiségű személyes adatot kezelő, az érintetteket szisztematikusan megfigyelő vagy érzékeny személyes adatokat nagyszabásban kezelő adatkezelőknek DPO-t kell kinevezniük. A thai felhasználókon keresztül a mennyiségi küszöböt elérő külföldi adatkezelők a hatály alá esnek. A DPO elérhetőségi adatainak hozzáférhetőnek kell lenniük a thai nyelvű adatvédelmi nyilatkozatban.

Szankciók és Végrehajtási Hozzáállás 2026-ban

A PDPC végrehajtási tevékenysége 2024-ben és 2025-ben érdemlegesen fokozódott, és 2026 hasonló pályán halad.

A Közigazgatási Bírság Struktúrája

A közigazgatási bírságok jogsértési típusonként skálázódnak, a legsúlyosabb jogsértések esetén jogsértésenként legfeljebb 5 millió THB összeggel. A rutinszerű jogsértések — nem megfelelő hozzájárulási szalagok, hiányzó adatvédelmi nyilatkozatok, az érintetti kérelmekre való válasz elmulasztása — jellemzően néhány százezer THB tartományban vonzanak bírságokat, de az ismételt vagy súlyosbított jogsértések esetén gyorsan emelkedhetnek.

A Büntetőjogi Felelősség Biztonsági Hálója

A GDPR-ral ellentétben a PDPA büntetőjogi felelősséget ír elő a legsúlyosabb jogsértésekért, beleértve bizonyos körülmények között az igazgatók bebörtönzését. A 2024-es alárendelt rendelet pontosította a büntetőjogi felelősség hatályát, és bár 2026-ban eddig nem alkalmazták külföldi kiadókkal szemben, a lehetőség befolyásolja a kockázatelemzést minden olyan szervezet számára, amely nagyszabásban kezeli a thai adatokat.

Végrehajtási Témák

A PDPC 2025-ös és 2026 eleji intézkedései a következők köré csoportosulnak: kétértelmű vagy hiányzó hozzájárulási szalagok, thai nyelvű adatvédelmi nyilatkozatok hiánya, határon átnyúló adattovábbítások a 2025-ös rendeletek szerinti érvényes mechanizmus nélkül, az érintetti kérelmekre a 30 napos határidőn belüli válasz elmulasztása, és a hatálya alá eső adatkezelőknél hiányzó DPO kinevezések. Külföldi kiadókat mind az öt kategóriában idéztek.

Audit Ellenőrzőlista a Thai Forgalomhoz 2026-ban

• A CMP szalag thai nyelven jelenik meg a ยอมรับ, ปฏิเสธ és ตั้งค่า egyenlő vizuális kiemelkedéssel
• A hozzájárulási célok részletesek, és az érzékeny kategóriájú feldolgozás saját hozzájárulási folyamat mögé van zárva
• Az adatvédelmi nyilatkozat thai nyelven elérhető az adatkezelő, feldolgozók, célok, megőrzés, jogok és DPO elérhetőség teljes közzétételével
• A határon átnyúló adattovábbítások PDPC által jóváhagyott standard szerződési záradékokra, megfelelőségi határozatra, BCRs-re, tanúsítványra vagy dokumentált mentességre támaszkodnak
• A hozzájárulási naplók időbélyegesek, exportálhatók és az alkalmazandó időszakra megőrzöttek
• Az érintetti kérelem munkafolyamat 30 napon belül képes reagálni végponttól végpontig, thai nyelven
• A DPO ki van nevezve ahol szükséges, és elérhetőségi adatai közzé vannak téve az adatvédelmi nyilatkozatban
• A szállítói listát felülvizsgálták a szükségesség szempontjából, a nem használt vagy redundáns szállítókat eltávolítottak a határon átnyúló adattovábbítási felület csökkentése érdekében
• Az érzékeny kategóriájú közönségszegmensek explicit, külön rögzített hozzájárulás mögé vannak zárva
• Az adatsértési értesítési folyamatleírás a PDPA adatsértési értesítési határidőihez van igazítva

A 2026-os Kilátások

Thaiföld adatvédelmi rendszere egy korlátozott operatív specifikusságú alaptörvényből olyan rendszerré érett, amely rendelkezik az alárendelt rendeletekkel, a végrehajtási kapacitással és a politikai akarattal ahhoz, hogy érdemlegesen érvényesítsék. A 2025-ös határon átnyúló átviteli rendeletek lezárták a legjelentősebb strukturális hiányosságot, és a PDPC korai végrehajtási hozzáállása összhangban van egy komoly szabályozóval, amely éppen a skálázás közepén van, nem pedig olyannal, amely csendes marad. Azoknak a kiadóknak, amelyek már futtatnak GDPR-szintű hozzájárulási rendszert, a PDPA megfelelőséghez vezető szakadék operatív, nem architekturális: thai nyelvű CMP és adatvédelmi nyilatkozat, PDPC által jóváhagyott átviteli mechanizmusok, a 30 napos válaszadási ütem, DPO kinevezés ahol szükséges, és figyelem a PDPA szélesebb érzékeny adatlistájával kapcsolatban. A szakadék hetek alatt áthidalható, ha prioritást kap — és Thaiföld egy jelentős délkelet-ázsiai piac, így a prioritizálás jellemzően gyorsan megtérül. Azok a kiadók, amelyek 2024-en át könnyebb piacként kezelték Thaiföldeket, 2026-ban érezhetően nagyobb igényeket találnak, és a tendencia egyértelmű.