RGPD et PDPA : ce que doivent savoir les entreprises basées en Thaïlande avec des clients européens

Pour une entreprise basée en Thaïlande, l’articulation entre RGPD et PDPA en Thaïlande dépend des traitements concernés. Le PDPA thaïlandais constitue le cadre principal, tandis que le RGPD européen peut s’appliquer à certaines activités. Le simple fait d’avoir des clients européens ne suffit pas à rendre le RGPD applicable à tous les traitements. Il faut examiner l’établissement, les personnes visées, les services proposés et les flux de données entre l’Union européenne et la Thaïlande.

Pour une entreprise thaïlandaise qui travaille avec l’Europe, l’enjeu n’est donc pas de choisir entre deux réglementations. Il consiste à construire une gouvernance des données claire. Celle-ci doit identifier précisément quel texte s’applique, à quel traitement et avec quelles obligations.

Le PDPA constitue le cadre de référence en Thaïlande

Le Personal Data Protection Act B.E. 2562 (2019), généralement appelé PDPA, est le principal texte thaïlandais relatif à la protection des données personnelles. Ses principales dispositions sont pleinement applicables depuis le 1er juin 2022. Il encadre notamment la collecte, l’utilisation, la divulgation, la conservation et la sécurité des données personnelles.

Comme le RGPD, le PDPA repose sur plusieurs principes structurants. Il faut disposer d’une base légale, informer les personnes concernées et limiter les finalités ainsi que la durée de conservation. Il faut aussi protéger les données et permettre l’exercice des droits prévus par la loi. Le consentement n’est donc pas l’unique fondement possible d’un traitement.

Une entreprise établie en Thaïlande doit d’abord identifier les traitements relevant du PDPA et les rôles de responsable de traitement ou de sous-traitant. Elle doit ensuite documenter les bases légales utilisées, les éventuelles données sensibles et les mesures de sécurité associées.

Quand le RGPD peut-il s’appliquer à une entreprise thaïlandaise ?

La portée territoriale du RGPD est définie par son article 3. Pour une entreprise implantée en Thaïlande, trois situations doivent notamment être distinguées.

L’entreprise possède un établissement dans l’Union européenne

Le RGPD peut s’appliquer lorsqu’un traitement est effectué dans le cadre des activités d’un établissement situé dans l’Union européenne. Cela reste vrai même si le traitement technique des données est réalisé en Thaïlande. Le lieu des serveurs n’est donc pas, à lui seul, le critère déterminant.

L’entreprise cible des personnes qui se trouvent dans l’Union européenne

Une entreprise sans établissement dans l’Union peut aussi relever du RGPD lorsqu’elle traite les données de personnes qui se trouvent dans l’Union. Le traitement doit alors être lié à une offre de biens ou de services destinée à ces personnes. L’existence ou non d’un paiement ne change pas ce critère.

L’entreprise suit le comportement de personnes dans l’Union européenne

Le RGPD peut aussi s’appliquer lorsqu’une entreprise située hors de l’Union suit le comportement de personnes dans l’Union. Cela peut concerner certains dispositifs de profilage ou de suivi en ligne. Ceux-ci peuvent servir à analyser ou prédire des préférences, des comportements ou des déplacements.

En revanche, avoir un client français, allemand ou plus généralement européen ne suffit pas à rendre automatiquement le RGPD applicable. La nationalité du client n’est pas le critère de l’article 3. L’analyse doit porter sur le contexte réel du traitement.

RGPD et PDPA partagent un socle commun

Les deux cadres présentent suffisamment de principes communs pour permettre une gouvernance cohérente. Dans les deux cas, il faut identifier les traitements et leurs finalités, choisir une base juridique adaptée et informer les personnes. Il faut aussi encadrer la conservation et gérer les demandes d’exercice de droits. Les mesures de sécurité doivent rester proportionnées aux risques.

• Cartographier les traitements et les flux de données.
• Identifier les responsables de traitement, sous-traitants et destinataires.
• Documenter les finalités et les bases légales.
• Organiser l’information des personnes concernées et la gestion de leurs droits.
• Définir des durées de conservation justifiées.
• Mettre en œuvre des mesures techniques et organisationnelles adaptées au risque.
• Préparer la gestion des violations de données et leur documentation.

Cette proximité ne signifie toutefois pas que les deux réglementations sont interchangeables. Les obligations précises, les exceptions, les autorités compétentes et les mécanismes de transfert doivent être examinés séparément.

Les différences doivent être traitées comme des écarts de conformité

Le RGPD et le PDPA n’utilisent pas exactement les mêmes mécanismes ni les mêmes formulations. Une démarche sérieuse consiste donc à créer un socle commun, puis à réaliser une analyse des écarts pour chaque juridiction.

• Les autorités de contrôle et les procédures ne sont pas les mêmes. Dans l’Union européenne, la compétence dépend notamment du pays et du contexte du traitement. En Thaïlande, le cadre relève de la Personal Data Protection Committee et de son Office.
• Les conditions de désignation d’un délégué à la protection des données doivent être évaluées séparément dans les deux régimes.
• Les obligations de documentation, de registre et d’analyse des risques ne sont pas formulées à l’identique.
• Les mécanismes de transfert international diffèrent et doivent être articulés lorsque des données circulent entre l’Europe et la Thaïlande.
• Les sanctions, procédures administratives et voies de recours reposent sur des cadres juridiques distincts.

Le transfert de données entre l’Union européenne et la Thaïlande est un point central

Pour de nombreuses entreprises, le sujet le plus concret dépasse la seule application territoriale du RGPD. Il concerne aussi le transfert de données personnelles depuis l’Espace économique européen vers la Thaïlande.

À ce jour, la Thaïlande ne bénéficie pas d’une décision d’adéquation de la Commission européenne. Lorsque le RGPD s’applique, un transfert de l’EEE vers la Thaïlande doit donc être encadré par un mécanisme prévu par son chapitre V.

Dans les relations commerciales courantes, les clauses contractuelles types de la Commission européenne constituent fréquemment l’un des outils utilisés. Selon le contexte, une analyse des conditions du transfert et des garanties complémentaires peut également être nécessaire. Les règles thaïlandaises relatives aux transferts internationaux doivent être examinées parallèlement.

Concrètement, une entreprise doit identifier les données qui quittent l’Europe, leur finalité, leur destinataire, le rôle contractuel concerné et les garanties prévues. Cette cartographie est indispensable avant de choisir un mécanisme juridique.

DPO et représentant dans l’Union ne sont pas la même chose

Deux fonctions sont souvent confondues. Le délégué à la protection des données ou DPO accompagne l’organisation lorsque sa désignation est obligatoire ou volontaire. Le représentant dans l’Union européenne, prévu par l’article 27 du RGPD dans certaines situations, représente une organisation non établie dans l’Union. Cette organisation doit toutefois relever de l’article 3 paragraphe 2.

Une entreprise thaïlandaise concernée par la portée extraterritoriale du RGPD doit vérifier deux obligations séparément. Elle doit déterminer si elle doit désigner un représentant dans l’Union et si elle entre dans un cas imposant un DPO. L’un ne remplace pas l’autre.

Violation de données : le seuil des 72 heures existe dans les deux cadres

Contrairement à une idée fréquente, le délai principal de notification n’est pas une différence majeure entre le RGPD et le PDPA. Le RGPD prévoit une notification à l’autorité compétente sans retard injustifié et, si possible, dans les 72 heures. Cette obligation ne s’applique pas lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.

Le PDPA thaïlandais prévoit lui aussi une notification sans retard et, lorsque cela est possible, dans un délai de 72 heures. Cette obligation dépend de l’évaluation du risque. Lorsque le risque est élevé, l’information des personnes concernées peut également être requise.

L’enjeu opérationnel consiste à disposer d’un processus commun de gestion des incidents. Ce processus doit permettre d’identifier les données concernées, d’évaluer le risque et de déterminer les autorités ou personnes à informer. Il doit aussi permettre de documenter les décisions et de respecter les obligations propres à chaque réglementation.

Une méthode commune permet de réduire les doublons

Lorsqu’une organisation relève des deux cadres, gérer RGPD et PDPA comme deux projets séparés crée souvent des doublons. Inventaires, procédures et contrôles peuvent alors être répétés inutilement. Une approche plus efficace consiste à construire un socle commun de gouvernance des données. Les exigences propres à chaque réglementation viennent ensuite compléter ce socle.

1. Cartographier les traitements, applications, prestataires et transferts.
2. Déterminer le rôle de l’entreprise et la réglementation applicable à chaque traitement.
3. Documenter les bases légales, informations fournies aux personnes et durées de conservation.
4. Vérifier les contrats de sous-traitance et les mécanismes de transfert international.
5. Évaluer les besoins en DPO, représentant européen et analyses d’impact ou de risques.
6. Formaliser les processus d’exercice des droits et de gestion des violations.
7. Mettre en place un suivi régulier plutôt qu’une conformité ponctuelle.

Cette approche suit une logique de management de la conformité. Les obligations juridiques sont reliées aux processus, aux responsabilités, aux outils et aux mesures de sécurité de l’entreprise.

Les questions à vérifier pour votre entreprise

Avant de conclure qu’une entreprise thaïlandaise est ou non soumise au RGPD, plusieurs questions doivent être documentées.

• L’entreprise possède-t-elle un établissement ou une présence stable dans l’Union européenne ?
• Propose-t-elle volontairement des biens ou services à des personnes se trouvant dans l’Union ?
• Suit-elle le comportement de personnes dans l’Union ?
• Reçoit-elle des données personnelles transférées depuis l’EEE vers la Thaïlande ?
• Quels traitements relèvent du PDPA thaïlandais ?
• Les contrats avec les clients et prestataires décrivent-ils correctement les rôles et les transferts ?
• Les obligations relatives au DPO, au représentant européen et aux violations ont-elles été évaluées ?

Construire une conformité cohérente entre Europe et Thaïlande

Une gouvernance cohérente de RGPD et PDPA en Thaïlande peut s’appuyer sur leurs principes communs, sans effacer leurs différences. Une entreprise basée en Thaïlande doit identifier précisément ses traitements et ses flux internationaux. Elle peut ensuite appliquer à chacun le cadre juridique pertinent.

Cybersiam accompagne cette démarche en reliant cybersécurité et conformité à la cartographie, à la gouvernance, aux mesures de sécurité et aux responsabilités. L’objectif est de construire un système de management cohérent. Il doit couvrir les exigences européennes et thaïlandaises lorsqu’elles s’appliquent réellement.

Cet article présente des principes généraux. L’applicabilité exacte du RGPD, du PDPA et des mécanismes de transfert dépend de la situation de chaque organisation.