PDPA（タイ個人情報保護法）

タイで事業を行う企業にとって、PDPA への対応は避けて通れない。全面施行済みのこの法律は、タイ国内の個人データを扱うすべての組織——タイ法人に限らず、タイ居住者のデータを処理する海外企業にも適用される。GDPR と同様に、データ主体（個人）の同意取得、目的外利用の禁止、データ漏洩時の 72 時間以内の通知義務などを定めている。

一方で、適法な根拠（Lawful Basis）の解釈や執行体制には GDPR との違いもあり、「GDPR 準拠だから PDPA も大丈夫」とはならない。AI 活用の文脈では、学習データに含まれる個人情報の取り扱いが論点になる。顧客データを用いてモデルを学習させる場合、目的の明示と同意取得が必要であり、データの匿名化・仮名化の手法選択もガバナンス上の判断事項になる。

違反時の制裁金は最大 500 万バーツ（約 2,000 万円）で、GDPR ほどの巨額ではないが、レピュテーションリスクを考慮すると軽視できない。タイに拠点を持つ日系企業は、現地法務と連携した対応が求められる。