Tailandia introduce nueva legislación sobre transferencia transfronteriza de datos

El Comité de Protección de Datos Personales (PDPC) de Tailandia ha emitido dos regulaciones subordinadas sobre transferencias transfronterizas de datos personales, como se describe en la Ley de Protección de Datos Personales (PDPA) de 2019.

Estas regulaciones se publicaron oficialmente en el Boletín Oficial el 25 de diciembre de 2023. Las regulaciones incluyen los artículos 28 y 29 de la PDPA y proporcionan aspectos y criterios cruciales para las transferencias transfronterizas de datos personales. Con efecto a partir del 24 de marzo de 2024, entraron en vigor el Aviso de lista blanca, las Normas corporativas vinculantes (BCR) y el Aviso de protección adecuada, ampliando las opciones disponibles para las empresas para las transferencias transfronterizas legales de datos personales fuera de Tailandia, según lo estipulado por la PDPA.

Normas corporativas vinculantes y notificación adecuada de salvaguardas

El Comité para la Protección de Datos Personales ha emitido una notificación que detalla los criterios para la protección de datos personales transmitidos a países extranjeros en virtud del artículo 29 de la Ley de Protección de Datos Personales, BE 2562 BE 2566 (2023), conocidas como «BCR y Notificación de Medidas de seguridad adecuadas».

Según esta notificación, el cumplimiento de las Normas Corporativas Vinculantes (BCR) implica la implementación de políticas aprobadas destinadas a salvaguardar los datos personales intercambiados entre empresas afiliadas o dentro de un mismo grupo empresarial. Además, los requisitos clave incluyen la disponibilidad de recursos legales, como cláusulas contractuales estándar, certificación de la aplicación de normas mediante criterios establecidos por el PDPC y acuerdos vinculantes entre instituciones gubernamentales tailandesas y extranjeras involucradas en las transferencias de datos personales.

La implementación de las BCR implica establecer políticas acordadas para proteger los datos personales transferidos dentro de empresas afiliadas o la misma entidad corporativa para actividades comerciales colaborativas.

Se recomienda a las empresas que evalúen sus BCR existentes, si las hubiera, y determinen si se requieren ajustes para alinearse con los requisitos descritos en las BCR y las notificaciones de salvaguardia apropiadas.

Además, las salvaguardias apropiadas no sólo sirven para proteger los datos personales sino que también sirven para proteger los derechos de los interesados, incluida la provisión de recursos legales efectivos. Estas salvaguardias pueden manifestarse de diversas formas, como cláusulas contractuales estándar.

Requisitos de transferencia de datos transfronteriza

La clave para facilitar las transferencias transfronterizas de datos según el artículo 28 de la PDPA es garantizar que el país de destino o la organización internacional que recibe los datos personales de los controladores y procesadores en Tailandia mantenga un nivel adecuado de protección de datos. La Sección 5 del Aviso de Adecuación describe factores específicos para evaluar los estándares de protección:

1. Verificación de si los mecanismos legales del país u organización de destino se alinean con las leyes de protección de datos personales de Tailandia.
2. Evaluación de la existencia de una agencia u organización designada encargada de hacer cumplir las leyes de protección de datos en el destino, garantizando un seguimiento y cumplimiento activos.
3. Confirmación de la disponibilidad de recursos legales para los titulares de datos en el país de destino en caso de una violación de la protección de datos.

El PDPC evalúa la adecuación de los estándares de protección de datos en el país de destino u organización internacional. Según el artículo 28, párrafo 3 de la PDPA, la oficina del PDPC puede abordar las inquietudes planteadas por los controladores de datos o recopilar de forma independiente la información pertinente.

Además, el Aviso de Adecuación estipula que el PDPC puede tomar decisiones caso por caso o contemplar la compilación de una lista de países de destino u organizaciones internacionales que se considere que cumplen con estándares suficientes de protección de datos personales.

ASEAN Briefing incluye noticias comerciales, actualizaciones regulatorias y datos extensos sobre el libre comercio de la ASEAN, los acuerdos de doble imposición y las leyes de inversión extranjera directa en la región. Cubriendo a todos los miembros de la ASEAN (Brunei, Camboya, Indonesia, Laos, Malasia, Myanmar, Filipinas, Singapur, Tailandia y Vietnam)