Thailand PDPA: Samtykke til cookies og sporing på hjemmesider forklaret

Det skal din hjemmeside gøre

PDPA nævner ikke cookies. Loven gælder, når cookies, pixels eller formularer indsamler oplysninger, der direkte eller indirekte identificerer en person (§ 6). For hvert værktøj, der bygger på samtykke, skal du følge fire trin:

1. Fortæl besøgende formålet. Før eller ved indsamlingen skal du forklare formålet, hvilke data der indsamles, hvor længe de opbevares, hvem der modtager dem, dine kontaktoplysninger og den besøgendes rettigheder (§ 23).
2. Indhent det samtykke, du har brug for. Spørg før eller ved indsamlingen, udtrykkeligt, skriftligt eller elektronisk, adskilt fra andre forhold og i et klart, enkelt sprog. Gør ikke en tjeneste betinget af unødvendigt samtykke (§ 19).
3. Styr de berørte scripts. Efter § 19 må indsamling, der bygger på samtykke, ikke ske, før samtykket er givet, så hold de pågældende tags og cookies blokeret, indtil den besøgende siger ja, og indlæs kun de formål, vedkommende har accepteret.
4. Gør tilbagetrækning let. Besøgende kan til enhver tid trække deres samtykke tilbage, lige så let som de gav det. Forklar eventuelle konsekvenser af tilbagetrækningen, og stop den behandling, der byggede på samtykket (§ 19).

En anmodning om samtykke, der ikke følger § 19, er ikke bindende for den besøgende, og du kan ikke bygge på den for at indsamle, bruge eller videregive dataene.

Praktisk tip: Passiros automatiske blokering af scripts og knappen til cookieindstillinger understøtter trin 3 og 4. Test begge efter hver ændring af tags; se Tjek automatisk blokering af scripts.

Gør anmodningen let at forstå

Efter § 19 skal anmodningen være tilgængelig og forståelig, formuleret i et klart, enkelt sprog og ikke vildledende om formålet. Afgørende er, om dine besøgende forstår, hvad de siger ja til.

Loven indeholder ingen generel regel om, at oplysninger skal være på thai. For et publikum, der primært læser thai, er bannertekst og oplysninger på thai dog den praktiske måde at bestå den test på; et banner kun på engelsk kan efterlade mange besøgende ude af stand til at træffe et informeret valg.

Praktisk tip: nævn formålene i et kort første lag, giv lige så tydelige muligheder for at acceptere, afvise og vælge indstillinger, og lad valgfrie kategorier være uafkrydsede, så hvert samtykke er et aktivt valg. Registrér, hvad der blev vist og valgt.

Vælg et behandlingsgrundlag for hvert formål

Samtykke er udgangspunktet (§ 19), men § 24 tillader indsamling uden samtykke, når det er nødvendigt for en kontrakt med den besøgende, for legitime interesser, som den besøgendes grundlæggende rettigheder ikke går forud for, for en retlig forpligtelse, for at beskytte liv eller helbred, for offentlige opgaver eller for forskning med garantier.

En indkøbskurv eller et login, der leverer det, den besøgende har bedt om, kan falde ind under kontraktmæssig nødvendighed, og forebyggelse af svig kan falde ind under legitime interesser. Efter vores vurdering er adfærdsbaseret annoncering svær at begrunde på den måde: Den er sjældent nødvendig, og besøgende kan til enhver tid gøre indsigelse mod direkte markedsføring (§ 32).

Legitime interesser er ikke en etiket, der kan sættes på al analyse. Notér interessen, hvorfor dataene er nødvendige, og hvorfor den besøgendes rettigheder ikke går forud; besøgende kan gøre indsigelse mod behandling på dette grundlag.

Følsomme oplysninger og børn

Følsomme oplysninger, f.eks. helbredsoplysninger, religiøs overbevisning, seksuel adfærd, biometriske data eller strafferegisteroplysninger, kræver udtrykkeligt samtykke, medmindre en undtagelse i § 26 gælder. Tjek, hvad hændelsesnavne, URL’er og målgruppesegmenter afslører, f.eks. en liste bygget på besøg på sider med medicinske produkter.

For en mindreårig under ti år skal samtykket komme fra indehaveren af forældremyndigheden, og for ældre mindreårige kan det også være nødvendigt, afhængigt af den pågældende handling (§ 20).

Håndtér anmodninger om rettigheder

Besøgende kan anmode om indsigt og en kopi, dataportabilitet, indsigelse, sletning eller anonymisering, begrænsning og berigtigelse, hver med sine egne betingelser (§§ 30–36). Anmodninger kræver en vej ind til de systemer, der rummer dataene, ikke bare en kontakt i cookiebanneret.

Internationale overførsler og tjenesteudbydere

Overførsler til udlandet, f.eks. til en annonceplatform, kræver et modtagerland med tilstrækkelig beskyttelse efter komitéens regler, en undtagelse i § 28 eller garantier efter § 29. Samtykke efter § 28 kræver, at personen får at vide, at beskyttelsen er utilstrækkelig, så et cookievalg er ikke automatisk et samtykke til overførsel.

Loven kræver, at dataansvarlige træffer foranstaltninger for at forhindre modtagere i at bruge eller videregive data ulovligt (§ 37). En dataansvarlig uden for Thailand, der er omfattet af § 5, skal skriftligt udpege en repræsentant i Thailand, medmindre en undtagelse i § 38 gælder.

Eksempel: en rejseside med annoncetags

En rejsearrangør med base uden for Thailand sælger rejser til kunder i Thailand og bruger en bookingmotor, et analyseværktøj og en annoncepixel. En besøgende booker en tur, men afviser valgfri annoncering.

Bookingmotoren behandler det, kontrakten kræver. Pixlen forbliver blokeret, også en eventuel ekstra kopi, som et plugin eller en tag manager indlæser, og den besøgende holdes ude af målgruppeeksporter. Fordi virksomheden retter sig mod Thailand fra udlandet, tjekker den også kravet om en repræsentant, og hvor hver leverandør sender data hen.

Tjekliste til hjemmesiden

• Anvendelsesområde: bekræft, om du tilbyder tjenester til eller overvåger personer i Thailand.
• Oplysning: tjek, at oplysningerne efter § 23 vises ved indsamlingen.
• Første besøg: bekræft, at cookies og netværksforespørgsler, der kræver samtykke, forbliver slået fra.
• Afvis og træk tilbage: bekræft, at berørte tags og eksporter stopper.
• Følsomme signaler: gennemgå hændelsesnavne og målgruppesegmenter.
• Overførsler: notér, hvor hver leverandør sender data hen, og på hvilket grundlag.

Ofte stillede spørgsmål