Une entreprise installée en Thaïlande qui travaille avec des clients, partenaires ou filiales en Europe se retrouve rarement soumise à un seul cadre réglementaire. Deux textes s’appliquent alors en parallèle : le RGPD européen et le PDPA thaïlandais. Voici les points de convergence et les différences à connaître.
Deux textes, une même logique de fond
Le RGPD (Règlement Général sur la Protection des Données, européen, en vigueur depuis 2018) et le PDPA (Personal Data Protection Act, thaïlandais, entré pleinement en application en 2022) reposent tous deux sur des principes proches : consentement ou base légale pour chaque traitement, information des personnes concernées, limitation de la durée de conservation, sécurisation des données et droits d’accès, de rectification et d’effacement pour les personnes concernées.
Le RGPD peut s’appliquer même si votre siège est en Thaïlande
C’est le point le plus souvent méconnu : le RGPD a une portée extraterritoriale (article 3 du règlement). Dès lors qu’une entreprise thaïlandaise traite les données personnelles de résidents européens, que ce soit pour leur proposer des biens ou services ou pour suivre leur comportement, le RGPD peut s’appliquer, indépendamment du lieu d’établissement de l’entreprise. Une société basée à Bangkok qui facture des clients français ou allemands ne peut donc pas ignorer le RGPD au seul motif qu’elle n’a pas de bureau en Europe.
Ce qui diffère entre les deux cadres
- Les autorités de contrôle et les procédures de sanction ne sont pas les mêmes (CNIL et homologues européens d’un côté, PDPC thaïlandaise de l’autre).
- Les délais de notification en cas de violation de données diffèrent selon le texte applicable.
- Les exigences documentaires (registre des traitements, analyses d’impact) ne sont pas formulées à l’identique, même si l’esprit est proche.
Notre approche
Plutôt que de traiter le RGPD et le PDPA comme deux chantiers séparés, Cybersiam construit une base de conformité commune (cartographie des traitements, mesures de sécurité, gestion des droits) qui couvre les exigences des deux textes, puis ajoute les points spécifiques à chacun. Cela évite de dupliquer le travail et de multiplier les interlocuteurs.