（１）タイの個人情報保護法に違反した場合の刑事罰について

タイの個人情報保護法（以下「PDPA」といいます。）は、違反時のペナルティが多様です。「行政罰」「刑事罰」「懲罰的損害賠償制度」が定められていますが、場合によっては多層的に責任を負う場合があります。このうち、「刑事罰」についてはPDPAの第79条から第81条にかけて規定されており、今回は、第79条と第80条についてご紹介します。

（２）第79条と第80条

ア　PDPA第79条は、データ管理者が、PDPA第26条が定める政治信条や犯罪歴などのセンシティブデータに関する同意のない利用や目的外利用等の違反行為（（第27条違反）、または不適切な国外移転（第28条違反）についての罰則を定める規定です。第1項で、違反行為により他人の名誉を傷つけたり、社会的嫌悪・侮辱の対象にさせたり、損害を与えるおそれがある場合に、最長 6ヶ月の懲役又は最高50万バーツの罰金あるいはその両方が科されるとされています。

また、第２項では、違反行為により自分自身や第三者のために不正な利益を得る目的であった場合には最高１年の懲役又は最高100万バーツの罰金が科されると規定されています。また、第3項で、本条に関しては当事者同士での和解（示談）が可能とされています。

　イ　PDPA第80条では、PDPAに基づく職務を遂行する中で個人データを知り得た者が職務上アクセスできた個人データを、正当な理由なく第三者に公開した場合に、最長 6ヶ月の懲役又は最高50万バーツの罰金あるいはその両方が科されるとされています。同条については、第79条のように示談が可能であるというような定めはありません。

　ウ　PDPA第79条は罰則の対象がセンシティブデータに限定される点、不正の目的の立証の難しさ、和解が可能であり立件前に示談で被害届が取下げられるケースがあること等を考慮すると、同条のみを根拠に検察が立件・起訴を行うハードルは高いと考えられます。他方対象データの制限がなく示談も不可とされる第80条はこのようなハードルが低いといえるでしょう。