個人情報保護法第33条に基づくもの

2024年08月13日、個人情報保護委員会（PDPC,Personal Data Protection Committee）は個人情報の削除、破壊、もしくは匿名化（個人情報主を特定できないようにすること）に関する告示を官報公布しました。この告示は官報公布日より90日の猶予期間を経て発効となります。

今回の告示内容

今回の告示は、個人情報の削除、破壊、もしくは匿名化を要求する権利に関し、個人情報保護法第33条に基づきその内容を明確にしたもので、2024年06月14日から06月28日まで中央システム（Law Portal）上でパブリック・コメントが募集されていました。そのコメントを反映した上で今回の告示発出となったものです。

個人情報保護法第33条とは

個人情報保護法第33条は、以下の場合において個人情報主が個人情報管理事業者に対し、自身の個人情報を削除、破壊、もしくは個人情報の匿名化を要求する権利を保障したものとなっています。
　　▪個人情報を取り扱う目的に対し、その取り扱いが不要となった場合
　　▪個人情報主が自身の個人情報の取り扱いに関する同意を撤回し、個人情報取扱事業者が法に照らして個人情報の取り扱いを継続する権限が無い場合
　　▪個人情報主が個人情報の取り扱いに対し異議を唱え、個人情報管理事業者が้それを拒否できない場合
　　▪個人情報が不法に取り扱われた場合

告示内容の概要

この告示で定められている主な内容は以下の通りです。
　■個人情報主が個人情報保護法第33条に基づき個人情報管理事業者に個人情報の削除、破壊、もしくは匿名化を要求した時は、個人情報管理事業者は要求のあった日から90日以内に、速やかにそれらを実行しなければなりません。また、個人情報の控えやコピーも対象に含まれます。
　　ただし、個人情報の削除、破壊、もしくは匿名化をすることで、技術的な問題により他者の個人情報に悪影響を及ぼしたり不利益をもたらしてしまうなど、その措置を講じることができない然るべき理由がある情報には、上記は適用されません。その際、個人情報管理事業者は個人事業主に対しその旨を通知、その理由を提示しなければなりません。

　■もし個人情報管理事業者が何らかの事情で上記で定められた期間内に個人情報の削除、破壊、もしくは匿名化を行えない場合（例えば技術的な理由により、他のデータにより情報が上書きされるのを待っている期間において電子的な個人情報を一定期間保管している場合など）然るべき組織的・技術的、もしくは物理的対策を講じることにより、個人情報の利用が難しい形式にしておく必要があります。

　■個人情報管理事業者が個人情報の匿名化を行う際の削除または消去する情報（氏名やミドルネーム、ID番号、パスポートナンバーなど）の基準が定められています。

個人情報保護委員会（PDPC)とは

　タイにおける個人情報保護法は「仏暦2562年（西暦2019年）個人情報保護法（PDPA, Personal Data Protection Act)」として2022年06月01日に全面的に施行されました。このPDPA第8条に基づき選出、任命されるのが委員長1名、副委員長1名、職権委員5名、有識者委員9名、全16名から成る個人情報保護委員会(PDPC)で、主に下記の任務と権利を有しています。
　▪国家戦略および関連の国家計画に適合した個人情報の保護と利活用の推進に関するマスタープランの作成
　▪マスタープランの実行における政府および民間機関に対する支援と評価
　▪個人情報措置の施策と指針の策定
　▪少なくとも5年毎の、PDPAの適切性の検討と提言
　▪PDPAに則った措置を取るための下位法令（告示や規則）の発出
　▪タイ国外に送信もしくは移す個人情報の保護に関する規定の策定
　▪個人情報の管理者および処理者に対するガイドラインの策定
　▪PDPAの使用により問題が生じた際の解釈と調査
　▪国民の個人情報保護に関するスキルや意識向上の支援および促進
　▪個人情報保護に関する技術発展のための研究に対する支援および促進

参考情報

「個人情報保護委員会告示　個人情報の削除、破壊、もしくは所有者を特定できないようにする基準」2024年08月13日官報公布、90日後発効（2024年07月31日発出）

「個人情報の削除、破壊、もしくは所有者を特定できないようにする基準を定めた個人情報保護委員会告示草案に対する意見聴取」2024年06月14日から06月28日まで中央システム（Law Portal）上にて募集

「仏暦2562年（西暦2019年）個人情報保護法」