タイ個人情報保護委員会（PDPC）は昨年、犯罪記録に関連する個人情報の収集に関する告示案を公表し、当該国事案のパブリックヒアリングを実施したが、本年1月8日、正式に「犯罪記録にかかる個人情報の収集に関する保護措置を定める基準に関するPDPC告示」（以下「本告示」）が発表され、王室官報に掲載された。本告示は2024年4月7日に施行される。本告示原文はこちらから閲覧可能である。

タイ国内で事業を行う会社においては、人材採用プロセスの過程で、履歴書の提出、面接の実施、雇用契約締結といった情報収集の中で、採用応募者や従業員の犯罪記録（賞罰情報）に関する個人情報の提供を求めることがある。犯罪記録は個人情報保護法（Personal Data Protection Act B.E.2562、以下「PDPA」）第26条におけるセンシティブ個人情報にあたるため、取扱いに際して特段の注意を要するから、本告示に準拠して犯罪記録に関する個人情報の取扱いを行うべきである。

本通知案の主要な内容は以下の通りである。

　1.定義

「犯罪記録関連個人情報」とは、犯罪捜査、刑事手続または刑事責任に関する個人情報であって、本告示において、当該処分の確定・未確定を問わず、当該処分に関する公的情報または法的権限を有する官公署が証明したものをいうとされている。本定義上、あくまでも公的な書類やその写しのみが犯罪記録関連個人情報とされているため、履歴書に本人が記載した（自己申告の）犯罪歴等はこれに該当しない。

　2.適用範囲

本通知案は、PDPA第26条第3項に基づき、法律に基づいて権限を与えられた公的機関の管理下で行われない、犯罪記録関連個人情報の収集に適用される。

　3.犯罪記録収集にかかる法的根拠および目的

データ管理者は、以下の場合に限って、犯罪記録関連個人情報を収集することができる。
(1) 犯罪歴の確認または犯罪行為もしくは刑事責任に関する資格または欠格事由に関する確認を必要とする法律の規定がある場合。
(2) データ主体から明示的な同意を得た場合。

また、犯罪記録関連個人情報の収集は以下の目的のために行われなければならない。
(I) 人を雇用することを検討するため、資格や欠格事由の有無を確認するため、または職種における雇用適正の評価を行うため。
(II) 政府機関または政府機関に代わって公的権限を行使する権限を与えられたデータ管理者が、人に対する認可、ライセンスの発行、承認、登録、加入、通知受領、証明、認証、意見提供、検討、不服申立て、苦情または請願、実施、支払い、便益の提供またはその他サービス提供を行うために、資格および欠格事由を確認するため。
(III) 上記(II)に規定されたデータ管理者以外のデータ管理者が、人に対する認可、ライセンス承認、証明、認証、意見提供、検討、不服申立て、苦情または請願、実施、支払い、便益の提供またはその他サービス提供を行うために、資格および欠格事由を確認するため。 

　4.犯罪記録に関する通知

4-1. 犯罪記録関連個人情報の収集が、上記3に記載した法的根拠および目的に照らして必要である場合、データ管理者は、当該職務または地位の応募、採用、または選任に関する発表、公表、またはこれらの行為に対する要望を受ける段階において、犯罪歴記録関連個人情報を収集する必要性があることを通知しなければならない。

4-2. データ管理者は、データ主体から犯罪記録関連個人情報を収集することに同意を求める場合、同意しない場合または同意を撤回する場合に生じる結果を通知しなければならない。

　5.安全管理措置

本告示に従って、必要な法的根拠の範囲内において、個人情報を収集、利用および開示するために、データ管理者は、(i)必要な物理的安全管理措置を含む適切な組織的安全管理措置および技術的安全管理措置を講じ、(ii)権利および人の自由に対するリスクに適したPDPA第37条(1)に基づく安全措置を提供しなければならない。

　6. 保存期間および破棄

6-1.法律に特別な規定がなく、「3. 収集の法的根拠および目的」に記載されている目的のために犯罪記録関連個人情報を収集する必要がなくなった場合、データ管理者は、データ主体から明示的な同意がない限り、目的の履行が完了した日から6ヶ月を超えて犯罪記録関連個人情報を保持してはならない。

6-2. データ管理者は、保存期間が終了した場合、または当該個人情報の処理目的との関係で保存する必要がなくなった場合、当該個人情報を消去、破棄、または匿名化することにより、データ主体を識別できないようにしなければならない。

執筆者:

Monchai Varatthan
杉浦翔太
Marin Viriyapongpanich (Lin)