PDPA de Tailandia: El consentimiento para cookies y el seguimiento en webs, explicados

Lo que debe hacer tu web

La PDPA no menciona las cookies. Se aplica cuando las cookies, los píxeles o los formularios recogen información que identifica a una persona directa o indirectamente (artículo 6). Para cada herramienta que dependa del consentimiento, sigue cuatro pasos:

1. Informa a los visitantes del fin. Antes de la recogida o en ese momento, explica el fin, los datos recogidos, cuánto tiempo se conservan, quién los recibe, tus datos de contacto y los derechos del visitante (artículo 23).
2. Obtén el consentimiento que necesitas. Pídelo antes de la recogida o en ese momento, de forma explícita, por escrito o por medios electrónicos, separado de otros asuntos y con un lenguaje claro y sencillo. No condiciones un servicio a un consentimiento innecesario (artículo 19).
3. Controla los scripts afectados. El artículo 19 prohíbe la recogida basada en el consentimiento antes de obtenerlo, así que mantén bloqueadas esas etiquetas y cookies hasta que el visitante acepte, y carga solo los fines que haya aceptado.
4. Facilita la retirada. Los visitantes pueden retirar su consentimiento en cualquier momento, con la misma facilidad con la que lo dieron. Explica cualquier efecto de la retirada y detén el tratamiento que se basaba en él (artículo 19).

Una solicitud de consentimiento que no cumpla el artículo 19 no vincula al visitante, y no puedes basarte en ella para recoger, usar o comunicar los datos.

Consejo práctico: el bloqueo automático de scripts y el botón de ajustes de cookies de Passiro te ayudan con los pasos 3 y 4. Prueba ambos después de cada cambio de etiquetas; consulta Comprueba el bloqueo automático de scripts.

Haz que la solicitud sea fácil de entender

El artículo 19 pide una solicitud accesible e inteligible, en un lenguaje claro y sencillo, que no induzca a error sobre el fin. La prueba es si tus visitantes entienden lo que aceptan.

La ley no establece ninguna norma general que obligue a redactar los avisos en tailandés. Sin embargo, para un público que lee principalmente en tailandés, los textos del banner y los avisos en tailandés son la forma práctica de superar esa prueba; un banner solo en inglés puede dejar a muchos visitantes sin poder tomar una decisión informada.

Consejo práctico: nombra los fines en una primera capa breve, ofrece opciones igual de claras para aceptar, rechazar y abrir los ajustes, y deja sin marcar las categorías opcionales para que cada consentimiento sea una elección activa. Guarda un registro de lo que se mostró y de lo que se eligió.

Elige una base jurídica para cada fin

El consentimiento es el punto de partida (artículo 19), pero el artículo 24 permite la recogida sin él cuando sea necesaria para un contrato con el visitante, por un interés legítimo sobre el que no prevalezcan los derechos fundamentales del visitante, por una obligación legal, para proteger la vida o la salud, para misiones públicas o para investigación con garantías.

Una cesta de la compra o un inicio de sesión que ofrece lo que el visitante pidió puede encajar en la necesidad contractual, y la prevención del fraude puede encajar en el interés legítimo. En nuestra opinión, la publicidad comportamental es difícil de justificar así: rara vez es necesaria y los visitantes pueden oponerse al marketing directo en cualquier momento (artículo 32).

El interés legítimo no es una etiqueta para toda la analítica. Registra el interés, por qué los datos son necesarios y por qué los derechos del visitante no prevalecen sobre él; los visitantes pueden oponerse al tratamiento que se base en él.

Datos sensibles y menores

Los datos sensibles, como la salud, las creencias religiosas, el comportamiento sexual, los datos biométricos o los antecedentes penales, requieren consentimiento explícito salvo que se aplique una excepción del artículo 26. Revisa lo que revelan los nombres de eventos, las URL y los segmentos de audiencia, por ejemplo, una lista creada a partir de visitas a páginas de productos médicos.

Para un menor de diez años, el consentimiento debe darlo quien ejerza la patria potestad, y en el caso de menores de más edad también puede ser necesario según el acto de que se trate (artículo 20).

Atiende las solicitudes de derechos

Los visitantes pueden solicitar el acceso y una copia, la portabilidad, la oposición, la supresión o anonimización, la limitación y la rectificación, cada una con sus propias condiciones (artículos 30–36). Las solicitudes necesitan una vía hasta los sistemas que contienen los datos, no solo un interruptor de cookies.

Transferencias internacionales y proveedores de servicios

Las transferencias al extranjero, por ejemplo a una plataforma publicitaria, necesitan un destino con una protección adecuada según las normas del Comité, una excepción del artículo 28 o las garantías del artículo 29. El consentimiento del artículo 28 exige informar a la persona de que la protección es insuficiente, así que una decisión sobre cookies no es automáticamente un consentimiento para la transferencia.

La ley exige a los responsables del tratamiento adoptar medidas para impedir que los destinatarios usen o comuniquen los datos de forma ilícita (artículo 37). Un responsable situado fuera de Tailandia que esté sujeto al artículo 5 debe designar por escrito un representante en Tailandia, salvo que se aplique una exención del artículo 38.

Ejemplo: una web de viajes con etiquetas publicitarias

Un turoperador establecido fuera de Tailandia vende viajes a clientes en Tailandia mediante un motor de reservas, una herramienta de analítica y un píxel publicitario. Un visitante reserva un circuito, pero rechaza la publicidad opcional.

El motor de reservas trata lo que el contrato necesita. El píxel sigue bloqueado, incluida cualquier segunda copia cargada por un plugin o un gestor de etiquetas, y el visitante queda excluido de las exportaciones de audiencias. Como se dirige a Tailandia desde el extranjero, la empresa también revisa el requisito de representante y adónde envía los datos cada proveedor.

Lista de comprobación para tu web

• Ámbito: confirma si ofreces servicios a personas en Tailandia o controlas su comportamiento.
• Aviso: comprueba que la información del artículo 23 aparece en el momento de la recogida.
• Primera visita: confirma que las cookies y las solicitudes que dependen del consentimiento siguen desactivadas.
• Rechazo y retirada: confirma que las etiquetas y las exportaciones afectadas se detienen.
• Señales sensibles: revisa los nombres de eventos y los segmentos de audiencia.
• Transferencias: registra adónde envía los datos cada proveedor y con qué base.

Preguntas frecuentes