Recht kompakt | Thailand | Datenschutzrecht
Thailand: Datenschutz und KI
Am 27. Mai 2019 wurde der Personal Data Protection Act, B.E. 2562 (2019) (PDPA, Gesetz zum Schutz persönlicher Daten) veröffentlicht. Es ist Thailands erstes Datenschutzgesetz. (Stand: 22.04.2025)
Von Julia Merle | Bonn
Datenschutzrecht
Zuvor bestanden in Thailand noch keine Datenschutzbestimmungen, diese Rechte wurden nur durch die Verfassung sowie zum Beispiel strafrechtliche Vorschriften geschützt.
Der PDPA enthält nun Datenschutzbestimmungen und Sanktionen, wenn personenbezogene Daten etwa ohne Einwilligung des Inhabers gesammelt, bearbeitet oder weitergegeben werden. Einige Grundsätze aus der EU-Datenschutzgrundverordnung (DSGVO) wurden übernommen. Die Benennung eines Datenschutzbeauftragten sowie dessen Vertreter in Thailand ist gegebenenfalls erforderlich. Die wichtigsten operativen Regelungen des PDPA, insbesondere zum Sammeln der Daten und zu den Rechten der betroffenen Personen, sollten zunächst ab 27. Mai 2020 Anwendung finden. Mit einem am 21. Mai 2020 veröffentlichten Royal Decree wurde die Anwendbarkeit dieser Bestimmungen in zahlreichen Geschäftsfeldern verschoben bis zum 31. Mai 2021. Gemäß einer Notification des zuständigen Ministeriums vom 24. Juni 2020 hatten für die Datenverarbeitung Verantwortliche bis dahin dennoch bestimmte Maßnahmen in Bezug auf die Datensicherheit zu ergreifen.
Mit einem am 8. Mai 2021 veröffentlichten zweiten Royal Decree ist das Datum um ein weiteres Jahr bis zum 31. Mai 2022 verschoben worden, sodass der PDPA für viele Verantwortliche (personal data controllers) erst seit dem 1. Juni 2022 seine Wirksamkeit in vollem Umfang entfaltet.
Im März 2024 traten Implementierungsvorschriften zum PDPA in Bezug auf den grenzüberschreitenden Transfer von Daten in Kraft.
Als Mitglied des Asia Pacific Economic Forum (APEC) finden in Thailand die Cross Border Privacy Rules Anwendung.
Weitere Informationen finden sich auf der Webseite des Office of the Personal Data Protection Commission (PDPC).
Onlinerecht und Cybersicherheit
Neben den Richtlinien für den Schutz des geistigen Eigentums ist im E-Commerce der Computer Crime Act B.E. 2550 (2007), zuletzt geändert durch Computer Crime Act (No. 2) B.E. 2560 (2017), zu beachten (Gesetzestexte auf Thai). Dieser regelt die Verwendung falscher Daten und die Versendung von E-Mails für Werbezwecke.
Ende Mai 2019 ist das Cybersicherheitsgesetz (Cybersecurity Act, B.E. 2562 (2019)) mit der Veröffentlichung in der Royal Thai Government Gazette in Kraft getreten (Thai). Das Gesetz war im Februar 2019 verabschiedet worden. Es betrifft grundsätzlich Unternehmen mit einer Internetpräsenz, insbesondere Social-Media-Unternehmen. Es ergeben sich Verpflichtungen im Falle von sogenannten kritischen Informationsinfrastrukturorganisationen (Critical Information Infrastructure Organizations) und bei Bedrohungen für die Cybersicherheit. Die Befugnisse und Eingriffsmöglichkeiten der Behörden werden durch das Gesetz erweitert. Bei Verstößen gegen das Gesetz sind Bußgelder, aber auch Freiheitsstrafen vorgesehen.
Cybersicherheit meint alle Maßnahmen, die zur Vorbeugung, Bewältigung oder Milderung von Bedrohungen für die Cybersicherheit aus In- und Ausland ergriffen werden und die die nationale, wirtschaftliche und militärische Sicherheit sowie die öffentliche Ordnung betreffen. Die Bedrohungen für die Cybersicherheit werden in drei Stufen eingeteilt: unkritische, kritische sowie Krisenfälle. Je nach Einstufung unterscheiden sich die Eingriffsbefugnisse des Staates. Beispielsweise haben Unternehmen unter Umständen Zugang zu Computerdaten im erforderlichen Maße zu gewähren oder die Beschlagnahme des Computers zu dulden. In bestimmten Fällen ist eine gerichtliche Anordnung erforderlich.
Hinsichtlich digitaler Plattformen existiert insbesondere das "Royal Decree on the Operation of Digital Platform Service Businesses that are subject to prior Notification, B.E. 2565 (2022)" (englische Übersetzung), das im August 2023 in Kraft trat. Ein Gesetz über die digitale Plattformökonomie befindet sich derzeit im Entstehen (Draft Digital Platform Economy Act).
Künstliche Intelligenz
Im Bereich Künstliche Intelligenz (KI) befindet sich ein eigenes Gesetz im Entstehen: Ein "Draft Act on Promotion and Support of Artificial Intelligence (AI) Innovations in Thailand" wurde im Jahr 2023 seitens der Electronic Transactions Development Agency (ETDA) vorgelegt (zum Entwurf auf Thai).
Ferner besteht der inzwischen mehrfach angepasste Electronic Transactions Act, B.E. 2544 (2001). Auf dessen Grundlage basiert insbesondere ein Entwurf eines Dekrets im Zusammenhang mit KI-Systemen aus dem Jahr 2022 (Draft Royal Decree on Business Operations that Use Artificial Intelligence Systems, Thai), den das Office of the National Digital Economy and Society Commission (ONDE) eingebracht hat. Darin findet sich ein risikobasierter Ansatz mit drei Risikokategorien (vgl. EU AI Act).
Darüber hinaus existieren bereits verschiedene Richtlinien zur KI, unter anderem in Verbindung mit ethischen Prinzipien (zu den Richtlinien auf Thai) oder auch die "Generative AI Governance Guideline for Organizations" (Thai).
