タイの情報セキュリティ関連法規と企業に求められる対策

One Asia Lawyers (Thailand) Co., Ltd.
所長 日本法弁護士 藤原 正樹
パートナー 日本法弁護士 千葉 広康

Date : 27-08-2026

～日本人ITマネージャが押さえておくべきコンピュータ犯罪法・PDPAの実務～

タイの現地法人でITを担当される日本人の方から、「タイにはどのようなセキュリティ関連の法律があり、どこまで対応すればよいのか」というご相談をいただくことがあります。タイの情報セキュリティに関する規制は、①コンピュータ犯罪法（Computer Crime Act B.E. 2550、2017年改正）、②サイバーセキュリティ法（Cybersecurity Act B.E. 2562）、③個人情報保護法（PDPA、B.E. 2562）の3つを軸としています。実務上は、「やってはいけないこと＝コンピュータ犯罪法」「備えておくべきこと＝PDPA・サイバーセキュリティ法」「起きてしまった後の対応＝PDPA・警察」と整理すると理解しやすいと思われます。以下、日本人ITマネージャが押さえておきたい要点を整理します。

---

1．コンピュータ犯罪法－「悪意のない行為」も犯罪になり得る

コンピュータ犯罪法は、セキュリティ措置が講じられたシステムへの不正アクセス（第5条／6か月以下の拘禁刑または1万バーツ以下の罰金）、他人のコンピュータデータへの不正アクセス（第7条／2年以下または4万バーツ以下）、通信の傍受（第8条／3年以下または6万バーツ以下）、データの毀損・改変やシステムの妨害（第9条・第10条／5年以下または10万バーツ以下）などを処罰しています。国の安全、公共の安全、経済的安全又は公共サービスに関係するコンピュータシステム等の重要情報基盤に対する行為については、刑が加重されます。

ITマネージャが特に注意すべきなのは、業務上の必要から行った行為であっても、形式的には構成要件に該当し得る点です。例えば、①退職者や休職者のメールボックス・PCを、本人の同意や社内規程上の根拠なく開く、②他の従業員のIDでシステムにログインする（アカウントの貸し借りを含む）、③従業員端末に監視ソフトを導入して通信内容を取得する、④取引先やグループ会社のシステムに対して無断で脆弱性診断を行う、といった行為です。

IT利用規程や就業規則においてモニタリングの範囲・目的・方法をあらかじめ従業員に告知し（PDPA上も取得目的の通知が必要です）、正式な承認手続を経て実施することが、法的リスクの低減につながります。外部業者にペネトレーションテストを委託する場合は、対象範囲と許諾を書面で明確にしておくことが不可欠です。

---

2．見落とされやすい「通信ログの90日保存義務」

コンピュータ犯罪法第26条は、サービスプロバイダに対し通信ログ（computer traffic data）を最低90日間保存する義務を課しており、違反には最大50万バーツの罰金が定められています。ここでいう「サービスプロバイダ」は通信事業者に限られません。2564年（2021年）のデジタル経済社会省告示は、インターネット接続の提供、コンピュータ間の通信サービスの提供、データの保存サービスの提供を行う者を広く類型化しており、従業員や来訪者にインターネット接続やWi-Fiを提供している一般の事業会社も対象に含まれ得ると解されています。日系企業の現地法人でも、この点が未対応のまま放置されているケースが少なくありません。

実務上は、①ファイアウォール、プロキシ、DHCP、認証システム等のログを90日以上（できれば1年以上）保存しているか、②ログから利用者を特定できる状態になっているか（ゲストWi-Fiを認証なしで開放していないか）、③ログの改ざん防止措置と時刻同期（NTP）がなされているか、を確認しておくことをお勧めします。

---

3．PDPAが求めるセキュリティ対策の「水準」

PDPAは具体的な技術仕様までは定めていません。2565年（2022年）の個人情報保護委員会（PDPC）告示は、リスクの程度に応じた組織的措置および技術的措置（必要に応じ物理的措置）により、個人データの機密性・完全性・可用性を確保することを求めています。具体的な項目としては、アクセス制御、利用者の権限管理、利用者の責任の明確化、監査証跡（アクセスログ）の確保が挙げられ、加えて、役職員に対する意識啓発、技術の変更時や事故発生時における措置の見直し、委託先（データ処理者）に対するセキュリティ要求の設定が求められています。

「リスクに応じて」とされているため、対策水準に唯一の正解はありません。ISO/IEC 27001等の一般的な基準を参照しつつ、自社が取り扱うデータの機微性と件数に見合った措置を選択し、なぜその水準としたのかという判断過程を文書に残しておくことが、当局対応の観点からも有効です。なお、PDPCは近年執行を強化しており、公表事案では、DPO（個人データ保護責任者）の未選任、安全管理措置の不備、72時間以内の報告の懈怠などを理由に、1件あたり数十万～数百万バーツの行政制裁金が課された例があります（行政制裁金の上限は違反類型により異なり、最も重い上限は500万バーツです。複数の違反が認定された場合には行政制裁金が合算され、総額が500万バーツを超えることがあります。）。

また、サイバーセキュリティ法に基づき、NCSC（国家サイバーセキュリティ委員会）はクラウドセキュリティ基準およびウェブサイトセキュリティ基準1.0を公表しています（2026年9月施行）。直接の適用対象は政府機関・重要情報基盤（CII）等ですが、TLS暗号化、管理者アクセスの二要素認証、入力値の検証、アクセスログの記録・監視、バックアップと復旧テストといった内容であり、自社ウェブサイトの点検項目としても有用です。

---

4．事故が発生したときの対応

IT部門が行うべき初動は、被害拡大の防止（ネットワークからの隔離、アカウントの停止）と、証拠の保全（ログ・ディスクイメージの取得）です。復旧を優先して感染端末を初期化してしまうと、その後の原因究明、当局への報告、保険金請求に支障が生じます。

報告については、個人データの漏えいがある場合、PDPAにより原則として認識から72時間以内にPDPCへ報告する必要があり、本人の権利・自由に高いリスクが生じるおそれがある場合には本人への通知も必要となります。ランサムウェアやビジネスメール詐欺（BEC）等の犯罪被害については、警察（サイバー犯罪捜査局）への被害届の提出を検討します。オンライン詐欺や不正送金については、政府の通報窓口（1441番およびオンライン受付）を通じた通報により、口座凍結等の対応が早まる場合があります。いずれもタイ語での対応が必要となるため、平時からタイ人スタッフを含めた連絡体制と役割分担を決めておくことが重要です。