PDPA della Thailandia: Consenso ai cookie e tracciamento sui siti web: cosa sapere

Cosa deve fare il tuo sito web

Il PDPA non menziona i cookie. Si applica quando cookie, pixel o moduli raccolgono informazioni che identificano una persona, direttamente o indirettamente (sezione 6). Per ogni strumento che si basa sul consenso, segui quattro passaggi:

1. Comunica la finalità ai visitatori. Prima o al momento della raccolta, spiega la finalità, i dati raccolti, per quanto tempo vengono conservati, chi li riceve, i tuoi recapiti e i diritti del visitatore (sezione 23).
2. Ottieni il consenso necessario. Chiedilo prima o al momento della raccolta, in modo esplicito, per iscritto o per via elettronica, separatamente da altre questioni e con un linguaggio chiaro e semplice. Non subordinare un servizio a un consenso non necessario (sezione 19).
3. Controlla gli script interessati. La sezione 19 vieta la raccolta basata sul consenso prima che il consenso sia stato dato, quindi tieni bloccati quei tag e cookie finché il visitatore non accetta e carica solo le finalità che ha accettato.
4. Rendi la revoca semplice. I visitatori possono revocare il consenso in qualsiasi momento, con la stessa facilità con cui l’hanno dato. Spiega gli eventuali effetti della revoca e interrompi il trattamento che si basava sul consenso (sezione 19).

Una richiesta di consenso che non rispetta la sezione 19 non vincola il visitatore, e non puoi basarti su di essa per raccogliere, usare o comunicare i dati.

Consiglio pratico: il blocco automatico degli script e il pulsante delle impostazioni cookie di Passiro supportano i passaggi 3 e 4. Testa entrambi dopo ogni modifica ai tag; consulta Verificare il blocco automatico degli script.

Rendi la richiesta facile da capire

La sezione 19 chiede una richiesta accessibile e comprensibile, formulata in un linguaggio chiaro e semplice e non ingannevole riguardo alla finalità. Il criterio è se i tuoi visitatori capiscono a cosa stanno acconsentendo.

La legge non stabilisce una regola generale secondo cui le informative debbano essere in thailandese. Per un pubblico che legge principalmente in thailandese, però, testi del banner e informative in thailandese sono il modo pratico per soddisfare questo criterio; un banner solo in inglese può lasciare molti visitatori senza la possibilità di fare una scelta informata.

Consiglio pratico: indica le finalità in un primo livello breve, offri opzioni altrettanto chiare per accettare, rifiutare e aprire le impostazioni, e lascia deselezionate le categorie facoltative, così ogni consenso è una scelta attiva. Conserva una traccia di ciò che è stato mostrato e scelto.

Scegli una base giuridica per ogni finalità

Il consenso è il punto di partenza (sezione 19), ma la sezione 24 consente la raccolta senza consenso quando è necessaria per un contratto con il visitatore, per legittimi interessi su cui non prevalgono i diritti fondamentali del visitatore, per un obbligo di legge, per tutelare la vita o la salute, per compiti di interesse pubblico o per la ricerca con adeguate garanzie.

Un carrello o un login che fornisce ciò che il visitatore ha chiesto può rientrare nella necessità contrattuale, e la prevenzione delle frodi nel legittimo interesse. A nostro avviso, la pubblicità comportamentale è difficile da giustificare in questo modo: raramente è necessaria, e i visitatori possono opporsi al marketing diretto in qualsiasi momento (sezione 32).

Il legittimo interesse non è un’etichetta valida per tutti gli strumenti di analisi. Documenta l’interesse, perché i dati sono necessari e perché i diritti del visitatore non prevalgono; i visitatori possono opporsi al trattamento fondato su questa base.

Dati sensibili e minori

I dati sensibili, come salute, convinzioni religiose, comportamento sessuale, dati biometrici o precedenti penali, richiedono il consenso esplicito, salvo che si applichi un’eccezione della sezione 26. Verifica cosa rivelano i nomi degli eventi, gli URL e i segmenti di audience, per esempio un elenco creato dalle visite a pagine di prodotti medicali.

Per un minore di dieci anni, il consenso deve essere dato da chi esercita la responsabilità genitoriale, e anche per i minori più grandi può essere necessario a seconda dell’atto in questione (sezione 20).

Gestisci le richieste di esercizio dei diritti

I visitatori possono chiedere accesso e copia, portabilità, opposizione, cancellazione o anonimizzazione, limitazione e rettifica, ciascuno con le proprie condizioni (sezioni 30–36). Le richieste devono poter raggiungere i sistemi che contengono i dati, non solo un interruttore dei cookie.

Trasferimenti internazionali e fornitori di servizi

I trasferimenti all’estero, per esempio verso una piattaforma pubblicitaria, richiedono una destinazione con un livello di protezione adeguato secondo le regole del Comitato, un’eccezione della sezione 28 o le garanzie della sezione 29. Il consenso ai sensi della sezione 28 richiede di informare la persona della protezione inadeguata, quindi una scelta sui cookie non è automaticamente un consenso al trasferimento.

La legge impone ai titolari del trattamento di adottare misure per impedire che i destinatari usino o comunichino i dati in modo illecito (sezione 37). Un titolare del trattamento al di fuori della Thailandia che rientra nella sezione 5 deve nominare per iscritto un rappresentante in Thailandia, salvo che si applichi un’esenzione della sezione 38.

Esempio: un sito di viaggi con tag pubblicitari

Un tour operator con sede fuori dalla Thailandia vende viaggi a clienti in Thailandia, usando un motore di prenotazione, uno strumento di analisi e un pixel pubblicitario. Un visitatore prenota un tour ma rifiuta la pubblicità facoltativa.

Il motore di prenotazione tratta ciò che serve per il contratto. Il pixel resta bloccato, compresa un’eventuale seconda copia caricata da un plugin o da un tag manager, e il visitatore viene escluso dalle esportazioni di audience. Poiché si rivolge alla Thailandia dall’estero, l’azienda verifica anche l’obbligo di nominare un rappresentante e dove ogni fornitore invia i dati.

Checklist per il sito web

• Ambito: verifica se offri servizi a persone in Thailandia o ne monitori il comportamento.
• Informativa: verifica che le informazioni della sezione 23 compaiano al momento della raccolta.
• Prima visita: verifica che i cookie e le richieste che dipendono dal consenso restino disattivati.
• Rifiuto e revoca: verifica che i tag e le esportazioni interessati si fermino.
• Segnali sensibili: controlla i nomi degli eventi e i segmenti di audience.
• Trasferimenti: registra dove ogni fornitore invia i dati e su quale base.

Domande frequenti