タイPDPA BCR認証規則 / 他国承認済みBCRの特例手続と管轄権の係留 雑感

Ⅰ　越境データ移転の適法化根拠としてのBCR

　仏暦2569年（西暦2026年）2月17日付のタイ王国官報において、タイ個人情報保護委員会事務局（สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล。以下「PDPC事務局」）による「同一企業グループまたは同一事業グループ内における個人データ保護ポリシーの審査および認証に関するPDPC事務局規則 B.E. 2568（2025年）」（以下「本規則」）が掲載された〔注1〕。本規則は、タイ個人データ保護法（พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562。以下「PDPA」）第29条が定める第三国への個人データ移転の適法化根拠として、企業拘束準則（Binding Corporate Rules。以下「BCR」）の審査・認証手続を具体化するものである。

　各国のデータ保護法制がデータの域外移転に厳格な制限を課すなか、多国籍企業はいかにして適法かつ実効的なデータ流通網を維持するかという難題に直面している。独自のデータ保護法体系を有する国家が、先行するEUの巨大な法域のルールと自国法をどのように接続し、かつ主権的な管轄権を確保しようとしているのか。本規則の制度設計は、この問いに対する実践的な解答を提示していると筆者は考える。

1　二種のBCRと「責任を負うメンバー」の設定

　本規則はBCRを二類型に区分する。データの管理者（Controller）として越境移転を行うグループ構成員を対象とするBCR-Cと、管理者の指示に基づきデータ処理を担う処理者（Processor）を対象とするBCR-Pである〔注2〕。この二元的区分はEU GDPRの枠組みと整合しており、国際標準との相互運用性を意識した設計といえる。

　制度設計上とりわけ注目されるのが、「責任を負うBCRメンバー（Liable BCR Member）」の概念化である〔注3〕。これはタイに設立され、タイに主たる事務所を有するグループ構成員として、他の構成員によるBCR違反が生じた場合に損害賠償責任を連帯して引き受ける主体を指す。

　データ主体の権利保護を実質化するには、権利侵害が発生した際に遠く離れた外国法人を直接相手取ることなく、タイ国内の法人に対して救済を求められる体制が不可欠である。タイ当局がこの「責任の係留点」をタイ域内に物理的かつ法的に固定させるアプローチを採ったことは、国内データ主体が実効的な苦情申し立てと被害回復の手段にアクセスできるよう担保する意図に基づくと解される。

2　申請手続の構造

　申請者はタイ国内に設立されたグループ構成員に限定され、グループ内に主たる事務所を有するタイ設立法人がない場合は、国内で個人データ保護を担当する構成員が責任を負うメンバーとなることが求められる〔注4〕。

　申請に必要な書類は、種別に応じたBCR申請書本体、BCRポリシー全文と附属書の全構成員一覧、Intra-Group Agreement（IGA）、参照チェックリスト（Referential Checklist）、その他関連文書から構成される〔注5〕。PDPC事務局は書類受理後15日以内に完全性審査を行い、180日以内に実質審査を完了することとされているが、企業グループの組織的複雑性やデータの性質によって審査期間が変動しうると明示されており、180日は上限の目安と理解すべきである〔注6〕。申請手数料は無償である〔注7〕。

Ⅱ　他国承認済みBCRへの特例手続と法域間の均衡

3　Thai BCR Addendumの仕組み

　実務運用上、本規則のなかで最も機能すると見込まれるのが第11条に規定された特例手続である〔注8〕。EU GDPRまたはUK GDPRに基づく監督機関の承認、あるいはPDPAに基づきPDPC事務局が指定した国の機関による承認を既に取得している企業グループに対しては、通常の審査書類一式に代えて「Thai BCR Addendum」の提出を求める簡略経路が認められている。

　このAddendumには最低限、タイに設立されたLiable BCR Memberの一覧、タイ国内のデータ主体に対する第三者受益権（Third-Party Beneficiary Rights）の付与の確認、PDPC事務局の監督権限とタイ裁判所の管轄権に服する旨の受諾、およびPDPA適合に必要な追加規定という内容が求められる。

　グローバル企業にとって、事業展開国ごとに社内規則を一から構築し個別の当局審査を受けることは現実的ではない。PDPC事務局が他の厳格な法域で審査済みのBCRの客観的評価を実質的に援用しつつ、自国法秩序に不可欠な要件を追加条項として補完させる手法を採用したことは、手続の重複を避ける観点から合理的な設計である。

4　主権の確保という問題

　ただし、この制度は外国法の無批判な受容ではない。PDPC事務局は、タイ管轄権の受諾とLiable BCR Memberによる連帯責任の引き受けを明示的に要求することで、法執行権限が空洞化することを防いでいる。EUのプライバシー保護体制を実体的基準として間接的に援用しつつ、最終的な権利救済の回路はタイの主権下に確実に確保するという均衡点を設定しようとする意図が制度構造から読み取れる。この均衡がどこまで機能するかは、認定後の体制変更への対応やPDPC事務局の事後監視の実効性にかかっており、運用の蓄積を待つ課題である。

Ⅲ　むすびにかえて

　本規則の制度設計は、国内データ主体の権利保護とグローバル企業の実務的負担軽減という緊張関係の調整を図ったものとして評価できる。特例手続の枠組みは、独自の法体系を有する国がグローバルデータ流通網に組み込まれる際の制度的接続モデルとして、今後ASEAN他国の立法にも参照される可能性がある。

　認定されたBCRは、PDPC事務局による廃止・変更・取消がない限り効力を保持し、本規則施行前に審査を受けていた既存BCRについては本規則に基づき認定されたものとみなす経過措置も設けられている〔注9〕。翻訳や解釈が誤っている可能性も否めないため、詳細は原典をご確認いただきたい。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。