（１）タイの個人情報保護法に違反した場合の行政罰について
タイの個人情報保護法（以下「PDPA」といいます。）は、違反時のペナルティが多様です。「行政罰」「刑事罰」「懲罰的損害賠償制度」が定められていますが、場合によっては多層的に責任を負う場合があります。このうち、今回は「行政罰」についてご紹介します。
PDPAにおける行政罰金（以下「過料」といいます。）は、第82条から第90条にかけて規定されており、違反の深刻度や扱うデータの性質に応じて「100万バーツ」「300万バーツ」「500万バーツ」の3段階の上限額が設定されていますが、個々の違反行為に対して過料が個別に算定されるため、それらが併せて科せられることもあります。
例えば、サイバー攻撃や内部不正を防ぐためのセキュリティ対策を怠ったこと（第37条1項違反）、インシデント発覚後72時間以内に当局への報告を行わなかったこと（第37条4項違反）、そして法定義務であるデータ保護責任者を任命していなかったこと（第41条違反）などが同時に発覚した場合、それぞれの過料が合算されます。
（２）事例のご紹介
実際にタイ個人情報保護委員会（PDPC）が公表した摘発事例では、この条文の重ね掛けにより、オンライン販売の大手民間企業に対して総額700万バーツ（約3,100万円）という過料命令が下されました。700万バーツの内訳は、安全管理措置の不備（第85条違反）に関して300万バーツ、72時間以内の報告義務違反（第86条違反）に関して300万バーツ、データ保護責任者の未設置（第89条違反）に関して100万バーツでした。また、データ管理者の責任は自社内だけに留まりません。民間病院がカルテの廃棄を外部業者に委託したものの、業者が適切に破棄せず情報が流出した事例では、委託先に対する管理監督義務（第37条5項）を怠ったとして、病院側に121万バーツの過料が科されました。委託先業者に対しても、16,940バーツの過料が科されています。