Le Personal Data Protection Act (PDPA) B.E. 2562 est entré en vigueur intégrale le 1er juin 2022. Depuis, la Thaïlande a franchi une étape décisive : après deux années de pédagogie, le régulateur est passé à l’enforcement actif. En 2024, la première amende administrative a été prononcée — 7 millions de THB. En 2025, huit amendes supplémentaires ont été infligées pour un total de 21,5 millions de THB. Si vous gérez une entreprise qui collecte des données personnelles de résidents thaïlandais — que vous soyez basé en Thaïlande ou à l’étranger — la PDPA vous concerne et son application n’est plus théorique.
Qu’est-ce que la PDPA thaïlandaise ?
Le Personal Data Protection Act B.E. 2562 (2019) est la première loi thaïlandaise de protection des données personnelles. Inspirée du RGPD européen dont elle reprend les grands principes, elle régit la collecte, l’utilisation et la divulgation des données personnelles de toute personne physique se trouvant en Thaïlande.
La loi est administrée par le Personal Data Protection Committee (PDPC), comité officiel chargé de l’application, de la publication des lignes directrices et de la délivrance des sanctions. Une sous-structure, l’Expert Committee, est habilitée à prononcer les amendes administratives.
Qui est concerné par la PDPA ?
C’est le premier point souvent mal compris : la PDPA a une portée extraterritoriale. Elle s’applique à :
- Toute organisation basée en Thaïlande qui collecte ou traite des données personnelles
- Toute organisation basée hors de Thaïlande qui collecte ou traite des données personnelles de personnes se trouvant en Thaïlande, dès lors qu’elle leur offre des biens ou services, ou surveille leurs comportements
Concrètement, un site e-commerce français qui vend à des clients thaïlandais, une application mobile utilisée en Thaïlande, ou un cabinet de conseil étranger travaillant avec des clients thaïlandais peuvent tous être soumis à la PDPA.
Exemptions : activités personnelles ou domestiques, sécurité publique, organes de presse agissant dans le cadre de l’éthique professionnelle, certaines activités de recherche académique.
Les définitions clés
Données personnelles : toute information permettant d’identifier directement ou indirectement une personne physique — nom, adresse, email, numéro de téléphone, adresse IP, données de localisation, identifiant en ligne.
Données sensibles : catégorie spéciale soumise à des règles renforcées — origine raciale ou ethnique, opinion politique, conviction religieuse ou philosophique, données génétiques, données biométriques, données de santé, orientation sexuelle, antécédents judiciaires, données syndicales. Leur collecte requiert un consentement explicite.
Responsable de traitement (Data Controller) : l’entité qui décide des finalités et moyens du traitement des données.
Sous-traitant (Data Processor) : l’entité qui traite les données pour le compte du responsable de traitement.
Les bases légales du traitement
Toute collecte ou utilisation de données personnelles doit reposer sur l’une des bases légales suivantes :
- Consentement : explicite, libre, informé, granulaire et révocable à tout moment
- Exécution d’un contrat : si le traitement est nécessaire à l’exécution d’un contrat avec la personne concernée
- Obligation légale : si le traitement est requis par la loi
- Intérêt vital : pour protéger la vie d’une personne
- Mission d’intérêt public : pour l’exercice d’une mission publique
- Intérêt légitime : sous réserve que les intérêts du responsable de traitement ne l’emportent pas sur les droits et libertés de la personne concernée
Le consentement est la base la plus utilisée en pratique, mais aussi la plus contraignante : il doit être recueilli avant toute collecte, clairement distingué des autres clauses contractuelles, et le retrait du consentement ne peut pas être conditionné à des contreparties financières — la PDPC a explicitement sanctionné une entreprise qui proposait des tokens en échange de données biométriques.
Les obligations principales des entreprises
Politique de confidentialité (Privacy Notice)
Toute organisation traitant des données personnelles doit informer les personnes concernées, au moment de la collecte ou avant, de :
- L’identité et les coordonnées du responsable de traitement
- La finalité du traitement et sa base légale
- La durée de conservation des données
- Les destinataires des données (y compris hors de Thaïlande)
- Les droits de la personne concernée et comment les exercer
Mesures de sécurité technique et organisationnelle
Les organisations doivent mettre en place des mesures appropriées pour protéger les données contre l’accès non autorisé, la perte, la destruction ou la divulgation. Ces mesures comprennent des volets organisationnels (politiques internes, formations), techniques (chiffrement, contrôles d’accès) et physiques (sécurisation des locaux).
Notification des violations de données (Data Breach)
En cas de violation de données susceptible d’affecter les droits et libertés des personnes concernées :
- Notification au PDPC dans les 72 heures suivant la découverte
- Notification aux personnes concernées « sans délai » si le risque est élevé
Le non-respect de ce délai de 72 heures a été un facteur aggravant dans les premières sanctions prononcées.
Délégué à la protection des données (DPO)
La nomination d’un Data Protection Officer (DPO) est obligatoire pour :
- Les organismes publics
- Les organisations dont les activités principales impliquent le traitement à grande échelle de données personnelles sensibles
- Les organisations traitant des données de plus de 100 000 personnes
- Depuis le 9 octobre 2025 : obligatoire pour toutes les agences d’État, avec extension attendue au secteur privé
L’absence de DPO lorsqu’il est requis constitue une infraction distincte et a été citée comme facteur aggravant dans les premières sanctions.
Registre des activités de traitement
Les responsables de traitement doivent tenir un registre documentant l’ensemble de leurs activités de traitement de données, accessible sur demande du PDPC.
Transferts internationaux de données
Les règles sur les transferts de données hors de Thaïlande sont régies par les Sections 28 et 29 du PDPA, précisées par deux notifications PDPC publiées en décembre 2023 et entrées en vigueur le 24 mars 2024.
Les données personnelles ne peuvent être transférées hors de Thaïlande que vers des pays offrant un niveau de protection adéquat ou sous réserve de garanties appropriées :
- Liste d’adéquation : à ce jour (juin 2026), le PDPC n’a pas encore publié de liste officielle des pays reconnus comme adéquats
- Clauses contractuelles types (SCCs) : basées sur les modèles ASEAN ou RGPD — mécanisme le plus utilisé en pratique
- Règles d’entreprise contraignantes (BCRs) : pour les groupes multinationaux — le PDPC a publié son règlement de certification BCR en septembre 2025
- Consentement explicite de la personne concernée pour le transfert spécifique
Les droits des personnes concernées
La PDPA accorde aux personnes dont les données sont traitées les droits suivants :
- Droit d’accès : obtenir une copie de ses données et savoir comment elles sont utilisées
- Droit de rectification : faire corriger des données inexactes
- Droit à l’effacement : demander la suppression de ses données sous certaines conditions
- Droit d’opposition : s’opposer à certains traitements
- Droit à la portabilité : recevoir ses données dans un format structuré et les transférer
- Droit de retrait du consentement : à tout moment, sans conséquence sur la légalité du traitement antérieur
- Droit de ne pas faire l’objet d’une décision automatisée : dans certains cas
L’enforcement en 2024-2026 : la fin de la période de grâce
La PDPA est passée du stade pédagogique à l’enforcement actif à partir de mi-2024. Voici les faits documentés :
Première sanction — août 2024
Le 21 août 2024, le PDPC a prononcé la première amende administrative depuis l’entrée en vigueur de la loi. Une grande plateforme de commerce en ligne (non nommée) a été condamnée à 7 millions de THB pour :
- Violation de données affectant plus de 100 000 clients
- Absence de DPO alors que l’obligation s’appliquait
- Mesures de sécurité techniques et organisationnelles insuffisantes
- Non-notification au PDPC dans le délai de 72 heures
- Les données volées ont été exploitées par des réseaux d’arnaques téléphoniques — circonstance aggravante retenue par le PDPC
Vague de sanctions — août 2025
Le 1er août 2025, le PDPC a annoncé huit amendes administratives dans cinq affaires distinctes, totalisant environ 14,5 millions de THB, touchant des entités publiques et privées :
- Affaire 1 — Agence publique et prestataire informatique : cyberattaque suite à un contrat de traitement sans accord de protection adéquat, fuite de 200 000 données. Amendes : 153 120 THB chacun.
- Affaire 2 — Entité de réservation : failles de sécurité dans un système de réservation en ligne. Montant non divulgué.
- Affaires 3-5 : secteurs e-commerce, santé et services publics. Montants partiels publiés.
L’affaire Worldcoin — novembre 2025
La PDPC a ordonné à l’entreprise d’iris scanning Worldcoin (rebaptisée World) de cesser ses opérations en Thaïlande et de supprimer 1,2 million d’enregistrements d’iris collectés auprès d’utilisateurs thaïlandais. Le PDPC a jugé que les tokens offerts en échange des données biométriques constituaient une incitation financière rendant le consentement non libre et donc invalide sous la PDPA.
Total des sanctions à ce jour
Au 1er juin 2026 : 21,5 millions de THB d’amendes administratives prononcées. Le PDPC a annoncé que l’e-commerce, la santé, les télécommunications et les services publics sont ses secteurs prioritaires d’investigation pour 2026.
Le système PDPC Eagle Eye
En 2025, le PDPC a opérationnalisé son système Eagle Eye — un outil de surveillance proactive des activités de traitement à haut risque. Il permet au régulateur d’identifier des organisations dont les pratiques peuvent présenter un risque avant même qu’une plainte soit déposée. Les activités de traitement biométrique à grande échelle et les transferts internationaux non conformes sont parmi les premiers ciblés.
Les sanctions applicables
La PDPA prévoit trois niveaux de sanctions :
Sanctions administratives
- Jusqu’à 1 million de THB pour les violations de Section 82
- Jusqu’à 3 millions de THB pour les violations de Section 83
- Jusqu’à 5 millions de THB pour les violations de Section 84 (violations les plus graves)
Note : la première amende de 7 millions de THB a dépassé ce plafond apparent en cumulant plusieurs violations distinctes.
Sanctions pénales
- Utilisation ou divulgation non autorisée causant un préjudice : jusqu’à 6 mois d’emprisonnement et/ou 500 000 THB d’amende
- Mêmes actes commis dans un but illicite : jusqu’à 1 an d’emprisonnement et/ou 1 million de THB d’amende
Nouveau décret d’urgence — avril 2025
Le Décret d’urgence sur la répression des crimes technologiques (No.2) B.E. 2568, entré en vigueur le 13 avril 2025, ajoute des infractions pénales spécifiques pour l’utilisation malveillante de données personnelles en lien avec des crimes technologiques :
- Collecte, possession ou divulgation de données dans un but criminel : jusqu’à 1 an d’emprisonnement et/ou 100 000 THB
- Achat, vente ou profit illicite tiré de données personnelles : jusqu’à 5 ans d’emprisonnement et/ou 500 000 THB
Les obligations pratiques pour les entreprises opérant en Thaïlande
Voici ce que chaque entreprise traitant des données de résidents thaïlandais doit avoir mis en place :
- Politique de confidentialité : accessible, rédigée en termes clairs, mise à jour régulièrement
- Bandeau de consentement (cookie banner) : obligatoire pour les sites web collectant des données via cookies ou traceurs
- Registre des activités de traitement : document interne listant toutes les activités de traitement
- Accords de traitement : contrats formels avec tout sous-traitant accédant à des données personnelles
- Procédure de notification de violation : plan documenté permettant de respecter le délai de 72 heures
- DPO nommé : si l’organisation traite des données de plus de 100 000 personnes ou des données sensibles à grande échelle
- Mécanisme de transfert international : SCCs signées ou BCRs approuvées pour tout transfert hors de Thaïlande
En résumé
- La PDPA thaïlandaise est en vigueur depuis juin 2022 et son application est devenue active depuis août 2024 avec les premières amendes
- Elle s’applique à toute organisation traitant des données de personnes en Thaïlande — même basée à l’étranger
- Les obligations clés sont : base légale pour tout traitement, politique de confidentialité, mesures de sécurité, notification sous 72h en cas de violation, DPO si requis
- Les transferts internationaux de données sont encadrés depuis mars 2024 — SCCs ou BCRs nécessaires en l’absence de liste d’adéquation
- Au 1er juin 2026 : 21,5 millions de THB d’amendes prononcées, secteurs prioritaires 2026 : e-commerce, santé, télécoms, services publics
- Un nouveau décret d’avril 2025 ajoute des sanctions pénales allant jusqu’à 5 ans d’emprisonnement pour la vente de données personnelles
Questions fréquentes sur la PDPA en Thaïlande
Q : La PDPA s’applique-t-elle à une PME étrangère vendant en ligne à des clients thaïlandais ?
R : Oui. La PDPA a une portée extraterritoriale. Toute organisation offrant des biens ou services à des personnes en Thaïlande, ou surveillant leurs comportements, est soumise à la loi — quelle que soit sa localisation. Une PME européenne gérant un site e-commerce avec des clients thaïlandais est concernée.
Q : Le RGPD européen suffit-il pour être conforme à la PDPA ?
R : Une conformité RGPD couvre l’essentiel des exigences PDPA, les deux lois étant proches dans leurs principes. Mais des différences subsistent — notamment sur les bases légales (la PDPA donne plus de poids au consentement), les transferts internationaux (pas encore de liste d’adéquation publiée), et certaines exigences spécifiques thaïlandaises. Une vérification de conformité spécifique est recommandée.
Q : Quand la nomination d’un DPO est-elle obligatoire ?
R : Pour les organismes publics (depuis octobre 2025), les organisations traitant des données de plus de 100 000 personnes, et celles dont l’activité principale implique le traitement à grande échelle de données sensibles. L’absence de DPO lorsqu’il est requis est une infraction distincte.
Q : Comment gérer les transferts de données vers des serveurs en Europe ou aux États-Unis ?
R : En l’absence de liste d’adéquation publiée par le PDPC, le mécanisme le plus sûr est la signature de Clauses Contractuelles Types (SCCs) avec le destinataire des données, basées sur les modèles ASEAN ou RGPD. Les BCRs sont disponibles pour les groupes multinationaux depuis septembre 2025.
Q : Que faire en cas de violation de données ?
R : Notifier le PDPC dans les 72 heures suivant la découverte. Si le risque pour les personnes concernées est élevé, les notifier sans délai supplémentaire. Documenter la violation, les mesures prises et la notification. Le non-respect du délai de 72 heures a été un facteur aggravant dans les premières sanctions.
Q : Les données de salariés thaïlandais sont-elles couvertes par la PDPA ?
R : Oui. Les données des employés (contrats, bulletins de paie, évaluations, données de santé, etc.) sont des données personnelles soumises à la PDPA. Les employeurs doivent avoir une base légale pour les traiter et informer leurs employés de ce traitement.
Conclusion
La PDPA thaïlandaise a quitté la phase de grâce pour entrer dans une phase d’enforcement soutenu. Les amendes prononcées en 2024-2025 ne sont pas des signaux d’alerte — elles sont des précédents qui orientent les prochaines décisions du régulateur. Pour les entreprises opérant en Thaïlande ou proposant des services à des clients thaïlandais, la mise en conformité n’est plus une option : c’est une nécessité opérationnelle et légale.
Si vous souhaitez évaluer la conformité PDPA de votre structure ou vous faire accompagner dans la mise en place des obligations réglementaires, contactez notre équipe depuis nos différents bureaux en Thaïlande.
