태국 PDPA 실무 점검 2026 — 기업이 놓치는 리스크
요약: 태국 PDPA는 개인정보의 수집·이용·보관 전반에 법적 근거를 요구하는 종합 개인정보법이다. 진출 기업이 놓치는 지점은 세 곳이다. 동의만으로 모든 처리를 커버하려는 설계, DPO 지정 요건 오독, 침해 발생 시 통지 기한이다. 한국 개보법과 구조가 비슷해 그럭저럭 넘어가다가 현지 감사에서 걸리는 사례가 많다. 체크표로 정리했다.
PDPA는 어떤 법이고 어디까지 오나
태국 개인정보보호법(PDPA)은 2020년 공포 후 유예 기간을 거쳐 2022년 전면 시행 단계에 들어간 법이다. EU GDPR의 구조를 상당 부분 참고했으나 태국 실정에 맞게 조정되어 있다. 적용 범위를 판단할 때 기준은 사업자의 형태보다 처리 행위가 태국에서 이루어지는지, 태국 내 개인을 향하는지다. 즉 태국 현지법인이 없더라도 태국 이용자·직원 데이터를 다루면 검토 대상이 된다. 태국 AI 관련 법제와 함께 보려면 별도 글이 있다(태국 AI 법제 가이드). 베트남 등 인접 관할과의 비교도 함께 두면 좋다(베트남 AI 법 가이드).
기업 의무 3축 점검표
| 축 | 요구 사항 | 흔한 놓침 |
|---|---|---|
| 처리 근거 | 동의 외에도 계약 이행, 법적 의무, 정당한 이익 등 근거 존재 | 모든 것을 동의서로 해결하려는 설계 |
| DPO·책임 체계 | 핵심 업무·민감 데이터 대규모 처리 등 해당 시 DPO 지정 | 해당 여부 판별 없이 방치 |
| 침해 대응 | 침해 발생 시 규제기관 통지 및 필요시 피험자 통지 | 통지 기한 관리 부재, 기록 미작성 |
DPO 지정 요건의 정확한 기준과 면제 범위는 개정과 해석 지침이 이어지므로 실행 전 원문·현지 변호사 확인이 원칙이다. 침해 통지 기한도 통상 72시간 내외로 알려져 있지만, 기산점과 예외를 직접 확인해야 한다. 본문에서는 구조 점검에 필요한 수준으로만 정리한다.
동의만으로 설계하면 왜 무너지나
한국 기업의 흔한 실수는 한국 개보법 습관을 그대로 옮기는 것이다. 한국도 동의 중심 문화가 있지만, PDPA는 오히려 처리 근거의 목록이 명확하다. 잘못 설계된 동의서는 두 가지 문제를 만든다.
- 동의 거부 = 서비스 불가 구도가 되면 자유로운 동의로 평가되지 않을 위험이 있다. 필수 기능 처리는 동의가 아니라 계약 이행 같은 다른 근거로 두는 설계가 바람직하다.
- 목적별 동의가 섞인다. 필수 처리와 마케팅 활용이 한 체크박스에 묶이면 사후 철회 시 처리 근거 전체가 흔들린다.
설계 원칙은 간단하다. 목적을 쪼개고, 목적마다 근거를 붙이고, 동의는 마케팅 등 선택적 목적에만 쓴다. 개인정보 처리 방침의 실무 설계는 별도 가이드가 있다(개인정보 처리 방침 가이드).
태국 진출 체크포인트
- HR 데이터. 채용·인사 기록도 PDPA 대상이다. 근로계약 체결·유지 근거로 처리 범위를 정리해 둔다.
- 마케팅 채널. 라인·SMS 발송의 근거와 수신 거부 절차를 문서화한다. 동의 기록 보관이 핵심 증거다.
- 국외 이전. 태국 밖(한국 서버 등)으로 데이터를 보내는 구조라면 이전 근거와 보호 조치를 점검한다. 클라우드 사용만으로 끝난다고 보지 않는 것이 안전하다.
- 처리 기록. 어떤 데이터를 어떤 근거로 어떤 목적에 쓰는지 목록(처리 목록)을 만든다. 감사 대응의 기본 단위다.
- 위탁·제3자 제공. 대행사, SaaS, 물류 업체에 넘기는 목록과 계약 조항을 정리한다.
침해 발생 시 대응 흐름
| 단계 | 할 일 | 산출물 |
|---|---|---|
| 1. 확정 | 침해 범위·대상 데이터 파악 | 침해 개요 메모 |
| 2. 통지 판단 | 규제기관 통지 요건·기한 확인 | 통지 판단 기록 |
| 3. 통지 실행 | 기한 내 규제기관 통지, 필요시 피험자 통지 | 통지 사본 |
| 4. 조치 | 원인 차단, 재발 방지 계획 | 시정 보고서 |
| 5. 기록 | 전 과정 기록 보관 | 침해 대장 |
침해 대응 절차 자체는 한국과 구조가 같다. 국내 대응 흐름은 별도 가이드로 정리되어 있으니 절차 설계에 참고할 만하다(개인정보 유출 대응 가이드).
한국 개보법과 비교표
| 구분 | 태국 PDPA | 한국 개보법 |
|---|---|---|
| 참고 구조 | GDPR 계열 | 자체 체계(GDPR 부분 참고) |
| 처리 근거 | 근거 목록 명시, 동의는 그중 하나 | 동의 중심 관행 + 근거 개념 병행 |
| DPO(개인정보보호책임자) | 요건 해당 시 DPO 지정 | 개인정보보호책임자 지정 의무 |
| 침해 통지 | 규제기관 통지(+피험자 통지) | 신고·통지 의무 존재 |
| 국외 이전 | 이전 근거·보호 조치 요구 | 동의 등 요건 하 허용 |
| 제재 | 행정처분·형사벌 존재 | 과징금·형사벌 존재 |
제재 수치는 위반 유형과 개정 이력에 따라 달라진다. 본문에서는 존재 여부까지만 언급하고 구체 금액은 최신 법령 확인으로 대신한다. 한국 법의 AI 확장 축은 별도 글로 다룬다(한국 AI기본법 가이드). 관할 비교 전체는 비교 글을 참고한다(국가별 AI 규제 비교).
동의서 문구에 들어가야 할 최소 요소
- 처리 목적. 어떤 일에 쓰이는지 목적별로 분리해 적는다.
- 수집 항목. 목적과 연결된 항목만 남긴다. 목적 없는 항목은 삭제한다.
- 보유·이용 기간. 기간 또는 기산 기준을 명시한다.
- 제3자 제공·위탁. 제공받는 자와 목적을 적거나, 제공하지 않음을 명시한다.
- 철회 방법. 동의 철회 경로를 실제로 작동하는 방식으로 안내한다.
- 거부 시 불이익. 선택 동의의 거부 불이익은 실제 범위 내에서만 적는다.
동의서는 법무팀 문서가 아니라 운영 화면에 붙는 제품 요소다. 문구를 정교하게 만들어도 화면이 철회 요청을 처리하지 못하면 실효가 없다. 그래서 점검은 문구와 운영 절차를 한 세트로 봐야 하며, 변경 이력을 남겨두면 언제 어떤 버전에 동의했는지 추적이 가능해진다.
MeshLaw로 시작하기
PDPA 점검은 처리 목록, 동의 문구, 침해 대장이라는 세 문서의 유지 작업이다. MeshLaw는 이런 문서의 초안 생성과 사건별 관리를 데스크톱에서 제공한다.
자주 묻는 질문
태국 PDPA는 한국 기업에도 적용되나요?
태국 이용자·직원 데이터를 다루거나 처리 행위가 태국과 연결되면 적용 가능성이 있습니다. 현지법인 유무가 기준이 아니라는 점이 핵심입니다.
DPO는 언제 반드시 지정해야 하나요?
핵심 업무가 개인정보 처리와 관련되거나 민감 데이터를 대규모로 다루는 경우 등 요건이 정해져 있습니다. 해당 여부 판별은 최신 해석 지침으로 확인하세요.
동의를 받았으면 다 되나요?
아닙니다. 동의는 처리 근거의 하나일 뿐입니다. 필수 기능 처리는 계약 이행 등 다른 근거로 두고, 동의는 선택적 목적에 쓰는 설계가 안전합니다.
개인정보 침해가 발생하면 언제까지 신고하나요?
규제기관 통지 의무와 통상 72시간 내외의 기한이 논의되는 구조입니다. 다만 기산점·예외가 있으므로 원문 확인 후 내부 SLA로 굳히는 편이 좋습니다.
한국 PIMS 인증이 태국에서 도움이 되나요?
내부 관리 체계의 성숙도를 보여주는 참고 자료가 되지만 태국법상 요건을 대체하지는 않습니다. 별도 점검이 필요합니다.
태국 고객 데이터를 한국 서버로 옮길 수 있나요?
국외 이전 요건(이전 근거, 보호 조치)을 충족하면 가능한 구조입니다. 클라우드 리전 선택만으로 해결됐다고 보지 말고 문서로 근거를 남기세요.
마케팅 SMS·라인 발송의 근거는?
통상 동의를 근거로 두는 것이 깨끗합니다. 수집 시점, 채널, 수신 거부 절차를 기록으로 남겨야 사후 다툼에 대비할 수 있습니다.
직원 채용 데이터 처리도 PDPA 대상인가요?
대상입니다. 채용 지원자 데이터의 보관 기간, 미채용자 데이터 폐기 주기를 정해두지 않은 회사가 많습니다.
위반 시 처분 수준은 어느 정도인가요?
위반 유형별로 행정처분과 형사벌이 존재합니다. 구체 금액은 개정에 따라 달라지므로 최신 법령으로 확인하세요.
AI 도구로 PDPA 점검표를 만들 수 있나요?
처리 목록 초안, 동의 문구 대안, 침해 대장 양식 작성에 유용합니다. 다만 요건 판별과 최종 문구는 현지 규정·전문가 확인이 필요합니다.
마무리
PDPA 점검의 본질은 근거 문서화다. 어떤 데이터를 어떤 근거로 어떤 목적에 쓰는지 목록 한 장이 있으면 감사든 침해든 대응이 같은 자료로 끝난다. 진출 초기에 처리 목록부터 만들자.