Le PDPA thaïlandais : ce qu’il exige pour les cookies et le suivi

Qu’est-ce que le PDPA thaïlandais ?

Le Personal Data Protection Act B.E. 2562 (2019) est la loi générale thaïlandaise sur la protection des données. Il a été publié au Journal officiel (Government Gazette) le 27 mai 2019. Ses chapitres de fond devaient s’appliquer un an plus tard, mais ils ont été reportés deux fois et sont pleinement en vigueur depuis le 1er juin 2022. La loi a été calquée sur le RGPD et en partage la structure : responsables de traitement et sous-traitants, bases légales, droits des personnes concernées, notification des violations et délégués à la protection des données. Elle est supervisée par le Personal Data Protection Committee et son Office, désignés ensemble sous le nom de PDPC, qui publient des notifications d’application et des lignes directrices et infligent des amendes administratives par l’intermédiaire de comités d’experts.

À qui s’applique le PDPA ?

La section 5 applique la loi aux responsables de traitement et sous-traitants situés en Thaïlande, où que le traitement ait lieu. Elle s’applique aussi aux responsables de traitement et sous-traitants situés hors de Thaïlande qui traitent les données personnelles de personnes en Thaïlande lorsqu’ils leur proposent des biens ou des services, qu’un paiement soit exigé ou non, ou suivent leur comportement lorsque ce comportement a lieu en Thaïlande. La publicité comportementale et la mesure d’audience qui profilent des visiteurs thaïlandais constituent un tel suivi. Un responsable de traitement étranger dans le champ doit désigner par écrit un représentant en Thaïlande, sauf exceptions fixées par le Committee.

Les cookies exigent-ils un consentement en Thaïlande ?

Le PDPA ne contient aucune disposition sur les cookies. Il s’y applique parce qu’une donnée personnelle est toute information relative à une personne qui permet de l’identifier, directement ou indirectement, ce qui couvre les identifiants de cookies et les identifiants d’appareils qui distinguent un visiteur.

La section 24 liste les bases permettant de collecter des données personnelles sans consentement : la recherche et l’archivage avec des garanties, la protection de la vie ou de la santé, l’exécution d’un contrat avec la personne, les missions d’intérêt public, les intérêts légitimes sur lesquels les droits fondamentaux de la personne ne prévalent pas, et les obligations légales. Tout le reste exige un consentement au titre de la section 19. En pratique :

• Les cookies strictement nécessaires, comme les cookies de session, de sécurité, de panier et de consentement, peuvent reposer sur le contrat ou sur les intérêts légitimes, avec une information.
• Les cookies de mesure d’audience peuvent reposer sur les intérêts légitimes dans des cas limités, après une mise en balance des intérêts documentée, mais de nombreux sites thaïlandais demandent un consentement pour ne prendre aucun risque.
• Les cookies publicitaires et de profilage intersites sont difficiles à justifier sans consentement, car l’intérêt à cibler a peu de chances de l’emporter sur les droits de la personne.

Quelle que soit la base, la section 23 impose une information au moment de la collecte ou avant, qui explique la finalité, la base légale, les données collectées, la durée de conservation, les destinataires et les droits de la personne. Un bandeau ou une politique cookies est l’endroit habituel pour la donner.

À quoi doit ressembler le consentement ?

La section 19 en fixe les conditions. Le consentement doit être obtenu avant ou au moment de la collecte et demandé explicitement, par écrit ou par voie électronique. La demande doit indiquer la finalité, se distinguer clairement des autres sujets, être rédigée en termes clairs et simples et ne pas tromper ni induire en erreur. Le consentement doit être librement donné : un contrat ou un service ne peut pas être subordonné au consentement à un traitement qui ne lui est pas nécessaire. Il peut être retiré à tout moment, aussi facilement qu’il a été donné, et une demande qui ne respecte pas ces conditions ne lie pas la personne. Pour les enfants de moins de 10 ans, le consentement est donné par le titulaire de l’autorité parentale, et les mineurs plus âgés ont besoin du consentement parental pour les actes qu’ils ne peuvent pas accomplir seuls.

Les lignes directrices de la PDPC de 2022 sur le recueil du consentement apportent des précisions pratiques. Le consentement doit être un acte positif clair, comme cocher une case présentée comme un consentement ou appuyer sur un bouton de confirmation après avoir été informé de sa signification. Un consentement unique couvrant plusieurs finalités sans lien n’est pas spécifique, et un consentement enfoui dans des clauses contractuelles n’est pas valable. Le moyen de le retirer doit être bien visible et ne pas être plus difficile que de le donner.

Comment les transferts à l’étranger sont-ils encadrés ?

La section 28 permet les transferts à l’étranger lorsque le pays ou l’organisation internationale de destination offre un niveau de protection des données adéquat selon les règles du Committee. À défaut, un transfert est permis dans des cas listés, notamment le respect de la loi, le consentement donné après que la personne a été informée que le niveau de protection de la destination est inadéquat, l’exécution d’un contrat avec la personne, et la protection de la vie ou de la santé. La section 29 ajoute deux voies : une politique de protection des données personnelles pour les transferts au sein d’un groupe de sociétés, examinée et certifiée par l’Office, et des garanties appropriées qui rendent les droits de la personne opposables, conformément aux notifications du Committee.

Qui fait appliquer le PDPA, et quelles sont les sanctions ?

Des comités d’experts infligent les amendes administratives et peuvent d’abord ordonner une correction ou adresser un avertissement, en tenant compte de la gravité des faits et de la taille de l’entreprise (section 90). L’amende maximale par infraction est de 1 million de bahts pour des manquements comme l’absence d’information ou de délégué à la protection des données (section 82), de 3 millions de bahts pour un traitement sans base légale, un consentement obtenu par la tromperie ou des transferts illicites (section 83), et de 5 millions de bahts pour les manquements portant sur des données sensibles (section 84). Des sanctions pénales allant jusqu’à un an de prison et une amende de 1 million de bahts s’appliquent à l’utilisation ou à la communication illicite de données sensibles dans un but lucratif (section 79), et les tribunaux peuvent accorder des dommages-intérêts punitifs jusqu’au double du préjudice réel (section 78).

La PDPC a annoncé sa première amende en août 2024 : 7 millions de bahts au total contre un grand distributeur en ligne de produits informatiques après une violation de données, pour ne pas avoir désigné de délégué à la protection des données, sécurisé les données ni notifié la violation. Aucune amende publiée de la PDPC n’a porté sur des cookies seulement.

Que doit faire un site qui s’adresse à la Thaïlande ?

• Classer les cookies par finalité et par base légale ; le scanner de cookies liste ce que vos pages déposent.
• Publier en thaï une information au titre de la section 23 couvrant les finalités, les bases, la conservation et les destinataires.
• Demander un consentement préalable pour les cookies publicitaires, finalité par finalité, avec un retrait aussi simple que l’acceptation.
• Vérifier que les transferts vers des prestataires de mesure d’audience et de publicité à l’étranger respectent la section 28 ou 29.

La Thaïlande ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc ajouter la Thaïlande à une liste personnalisée. Les visiteurs thaïlandais voient alors le bandeau de consentement préalable avec « Tout refuser », les catégories restent désactivées jusqu’au choix, et le registre des consentements enregistre chaque choix. Les 24 langues du bandeau n’incluent pas encore le thaï, et chaque texte est modifiable par langue. Voir aussi Singapour et le Vietnam.