PDPA de Thaïlande: Comprendre le consentement aux cookies et le suivi sur les sites web

Ce que votre site web doit faire

Le PDPA ne mentionne pas les cookies. Il s’applique lorsque des cookies, des pixels ou des formulaires collectent des informations qui identifient une personne directement ou indirectement (article 6). Pour chaque outil qui repose sur le consentement, suivez quatre étapes :

1. Indiquez la finalité aux visiteurs. Avant ou au moment de la collecte, expliquez la finalité, les données collectées, leur durée de conservation, leurs destinataires, vos coordonnées et les droits du visiteur (article 23).
2. Obtenez le consentement nécessaire. Demandez-le avant ou au moment de la collecte, de manière explicite, par écrit ou par voie électronique, séparément des autres questions et dans un langage clair et simple. Ne subordonnez pas un service à un consentement non nécessaire (article 19).
3. Contrôlez les scripts concernés. L’article 19 interdit toute collecte fondée sur le consentement avant que celui-ci soit donné : maintenez donc ces balises et cookies bloqués jusqu’à l’accord du visiteur, et ne chargez que les finalités qu’il a acceptées.
4. Facilitez le retrait. Les visiteurs peuvent retirer leur consentement à tout moment, aussi facilement qu’ils l’ont donné. Expliquez les éventuels effets du retrait et cessez le traitement qui reposait sur ce consentement (article 19).

Une demande de consentement non conforme à l’article 19 n’engage pas le visiteur, et vous ne pouvez pas vous en prévaloir pour collecter, utiliser ou communiquer les données.

Conseil pratique : le blocage automatique des scripts de Passiro et son bouton de paramètres des cookies facilitent la mise en œuvre des étapes 3 et 4. Testez les deux après chaque modification de balise ; consultez Vérifier le blocage automatique des scripts.

Rendez la demande facile à comprendre

L’article 19 exige une demande accessible et intelligible, rédigée dans un langage clair et simple, qui n’induit pas en erreur sur la finalité. Le critère est de savoir si vos visiteurs comprennent ce qu’ils acceptent.

La loi ne fixe aucune règle générale imposant que les informations soient rédigées en thaï. Pour un public qui lit principalement le thaï, toutefois, un texte de bandeau et des informations en thaï sont le moyen pratique de satisfaire à ce critère ; un bandeau uniquement en anglais peut laisser de nombreux visiteurs dans l’incapacité de faire un choix éclairé.

Conseil pratique : nommez les finalités dans un premier niveau court, proposez des options d’acceptation, de refus et de paramétrage tout aussi claires, et laissez les catégories optionnelles décochées afin que chaque consentement soit un choix actif. Conservez une trace de ce qui a été affiché et choisi.

Choisissez une base légale pour chaque finalité

Le consentement est le point de départ (article 19), mais l’article 24 permet la collecte sans consentement lorsqu’elle est nécessaire à un contrat avec le visiteur, à des intérêts légitimes sur lesquels ne prévalent pas les droits fondamentaux du visiteur, au respect d’une obligation légale, à la protection de la vie ou de la santé, à des missions d’intérêt public ou à la recherche assortie de garanties.

Un panier ou une connexion qui fournit ce que le visiteur a demandé peut relever de la nécessité contractuelle, et la prévention de la fraude peut relever des intérêts légitimes. À notre avis, la publicité comportementale est difficile à justifier de cette manière : elle est rarement nécessaire, et les visiteurs peuvent s’opposer au marketing direct à tout moment (article 32).

L’intérêt légitime n’est pas une étiquette à apposer sur toute analyse d’audience. Documentez l’intérêt, la raison pour laquelle les données sont nécessaires et pourquoi les droits du visiteur ne prévalent pas ; les visiteurs peuvent s’opposer au traitement fondé sur cette base.

Données sensibles et enfants

Les données sensibles, comme la santé, les convictions religieuses, le comportement sexuel, les données biométriques ou les antécédents judiciaires, nécessitent un consentement explicite, sauf exception prévue à l’article 26. Vérifiez ce que révèlent les noms d’événements, les URL et les segments d’audience, par exemple une liste constituée à partir de visites de pages de produits médicaux.

Pour un mineur de moins de dix ans, le consentement doit émaner du titulaire de l’autorité parentale, et les mineurs plus âgés peuvent aussi en avoir besoin selon l’acte concerné (article 20).

Traiter les demandes d’exercice des droits

Les visiteurs peuvent demander l’accès et une copie, la portabilité, l’opposition, l’effacement ou l’anonymisation, la limitation et la rectification, chacun de ces droits ayant ses propres conditions (articles 30 à 36). Les demandes doivent pouvoir être acheminées vers les systèmes qui détiennent les données, pas seulement vers un interrupteur de cookies.

Transferts internationaux et prestataires de services

Les transferts à l’étranger, par exemple vers une plateforme publicitaire, nécessitent une destination offrant une protection adéquate selon les règles du Comité, une exception de l’article 28 ou des garanties de l’article 29. Le consentement au titre de l’article 28 exige d’informer la personne de l’insuffisance de la protection : un choix de cookies ne vaut donc pas automatiquement consentement au transfert.

La loi impose aux responsables du traitement de prendre des mesures pour empêcher les destinataires d’utiliser ou de communiquer les données de manière illicite (article 37). Un responsable du traitement établi hors de Thaïlande et couvert par l’article 5 doit désigner par écrit un représentant en Thaïlande, sauf si une exemption de l’article 38 s’applique.

Exemple : un site de voyages avec des balises publicitaires

Un voyagiste établi hors de Thaïlande vend des voyages à des clients en Thaïlande, à l’aide d’un moteur de réservation, d’un outil d’analyse et d’un pixel publicitaire. Un visiteur réserve un circuit mais refuse la publicité optionnelle.

Le moteur de réservation traite ce dont le contrat a besoin. Le pixel reste bloqué, y compris toute seconde copie chargée par un plugin ou un gestionnaire de balises, et le visiteur est exclu des exports d’audience. Comme elle cible la Thaïlande depuis l’étranger, l’entreprise vérifie aussi l’obligation de désigner un représentant et la destination des données envoyées par chaque fournisseur.

Liste de contrôle pour votre site web

• Champ d’application : vérifiez si vous proposez des services à des personnes en Thaïlande ou suivez leur comportement.
• Information : vérifiez que les éléments de l’article 23 apparaissent au moment de la collecte.
• Première visite : vérifiez que les cookies et les requêtes soumis au consentement restent désactivés.
• Refus et retrait : vérifiez que les balises et les exports concernés s’arrêtent.
• Signaux sensibles : passez en revue les noms d’événements et les segments d’audience.
• Transferts : documentez où chaque fournisseur envoie les données et sur quelle base.

FAQ