Complete Guide to PDPA Compliance in Thailand ✓

✓ Legal content last reviewed 11 September 2026 · review corrections published 29 September 2026

The definitive English-language guide to Thailand's Personal Data Protection Act B.E. 2562 (2019) — lawful bases, data subject rights, penalties, cross-border transfers, and a complete compliance checklist

1. What is PDPA? (Thailand's Personal Data Protection Act B.E. 2562)

The Personal Data Protection Act B.E. 2562 (2019), commonly known as PDPA, is Thailand's first comprehensive data protection legislation. Often compared to the European Union's General Data Protection Regulation (GDPR), the PDPA establishes a legal framework governing the collection, use, disclosure, and transfer of personal data by organizations operating in or targeting individuals within the Kingdom of Thailand.

The PDPA was enacted to address growing concerns about data privacy in Thailand's rapidly digitalizing economy. Before PDPA, data protection obligations were scattered across sector-specific regulations — including the Computer Crime Act B.E. 2550 (2007), the Credit Information Business Act, and various notifications from the National Broadcasting and Telecommunications Commission (NBTC). The PDPA consolidated and strengthened these protections into a single, unified law with extraterritorial reach.

The PDPA defines "personal data" broadly as any information relating to a person that enables the identification of that person, whether directly or indirectly — but not including information of a deceased person. This includes names, identification numbers, addresses, phone numbers, email addresses, photographs, biometric data, IP addresses, cookie identifiers, location data, and any other information that can identify a natural person.

      มาตรา ๖ ในพระราชบัญญัตินี้  “ข้อมูลส่วนบุคคล”  หมายความว่า  ข้อมูลเกี่ยวกับบุคคลซึ่งท าให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม  แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ “ผู้ควบคุมข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งมีอ านาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคล

      “ผู้ประมวลผลข้อมูลส่วนบุคคล”  หมายความว่า  บุคคลหรือนิติบุคคลซึ่งด าเนินการเกี่ยวกับการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลตามค าสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล  ทั้งนี้  บุคคลหรือนิติบุคคลซึ่งด าเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล “บุคคล”  หมายความว่า  บุคคลธรรมดา  “คณะกรรมการ”  หมายความว่า  คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “พนักงานเจ้าหน้าที่”  หมายความว่า  ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้  “ส านักงาน”  หมายความว่า  ส านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “เลขาธิการ”  หมายความว่า  เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  “รัฐมนตรี”  หมายความว่า  รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

Read มาตรา ๖ in the box. The PDF definition is the statutory text.

The law further recognizes a special category of "sensitive personal data" (Section 26), which includes data relating to racial or ethnic origin, political opinions, religious or philosophical beliefs, criminal records, trade union membership, genetic data, biometric data used for identification, health data, disability, sexual orientation, and any other data prescribed by the PDPC. Sensitive data is subject to heightened protection requirements and generally cannot be processed without explicit consent.

Key Roles Under PDPA

2. When Did PDPA Come Into Effect?

The PDPA's path to full enforcement was marked by several postponements, largely due to the COVID-19 pandemic. Understanding this timeline is important for organizations assessing their compliance obligations and potential liability exposure.

3. Who Must Comply with PDPA?

The PDPA has a broad scope of application. It applies to the collection, use, and disclosure of personal data by data controllers and data processors in the following circumstances:

• Organizations located in Thailand — Any company, partnership, foundation, association, or governmental body that collects, uses, or discloses personal data within the Kingdom of Thailand.
• Organizations outside Thailand (extraterritorial scope) — The PDPA applies to foreign organizations if they: (a) offer goods or services to data subjects in Thailand, regardless of whether payment is required; or (b) monitor the behavior of data subjects in Thailand.

Entities Subject to PDPA

Exemptions

The PDPA provides limited exemptions (Section 4), including:

• Personal or household activities with no commercial connection (Section 4(1))
• Operations of state agencies responsible for national security (including fiscal security), public safety, anti-money laundering, forensic science or cybersecurity (Section 4(2))
• Operations of public media in accordance with professional ethics
• Activities of the House of Representatives, Senate, and Parliament
• Court proceedings and judicial activities
• Credit bureau operations already governed by specific legislation

It is critical to note that these exemptions are narrowly construed. Most organizations — regardless of size, industry, or nationality — must comply with PDPA if they process personal data of individuals in Thailand.

4. The 6 Lawful Bases for Data Processing

Under PDPA Section 24, a data controller may not collect personal data without the consent of the data subject, unless one of the other lawful bases applies. This "consent by default" framework is one of the key features of the PDPA that organizations must understand.

Note: Section 24(1) additionally permits collection without consent for historical documents or archives, research or statistics in the public interest, subject to the safeguards prescribed by the PDPC.

      มาตรา ๑๙ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระท าการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น  เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระท าได้ การขอความยินยอมต้องท าโดยชัดแจ้ง  เป็นหนังสือหรือท าโดยผ่านระบบอิเล็กทรอนิกส์  เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้  ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย  และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน  มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้  รวมทั้ง ใช้ภาษาที่อ่านง่าย  และไม่เป็นการหลอกลวงหรือท าให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว  ทั้งนี้  คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศก าหนดก็ได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  ผู้ควบคุมข้อมูลส่วนบุคคลต้องค านึง อย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม  ทั้งนี้  ในการเข้าท าสัญญาซึ่งรวมถึงการให้บริการใด ๆ  ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจ าเป็นหรือเกี่ยวข้องส าหรับการเข้าท าสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ

      เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม  เว้นแต่มีข้อจ ากัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือ สัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล  ทั้งนี้  การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่ก าหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด  ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่ก าหนดไว้ในหมวดนี้  ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล  และไม่ท าให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถท าการเก็บรวบรวม  ใช้  หรือเปิดเผยข้อมูลส่วนบุคคลได้

Read มาตรา ๑๙ in the box.

Special Rules for Sensitive Data

For sensitive personal data (Section 26), the PDPA imposes stricter requirements. Processing of sensitive data is generally prohibited unless:

• The data subject has given explicit consent (not merely implied)
• Processing is necessary to protect the vital interests of the data subject who is incapable of giving consent
• Processing relates to data manifestly made public by the data subject
• Processing is necessary for the establishment, exercise, or defense of legal claims
• Processing is necessary for compliance with a law (e.g., occupational health requirements)
• Processing is carried out by a non-profit body for its members, with appropriate safeguards

5. 8 Data Subject Rights Under PDPA

The PDPA grants data subjects eight fundamental rights regarding their personal data. Organizations must establish internal processes to handle these rights requests and respond without undue delay — for access requests, within 30 days of receipt (Section 30, paragraph 4). The Act sets no fixed statutory period for the other rights, so 30 days is the recommended internal benchmark.

6. Key Compliance Requirements

Beyond understanding lawful bases and data subject rights, organizations must implement several operational compliance measures under the PDPA. This section covers the five most critical requirements that every data controller and data processor must address.

6.1 Privacy Notice (Section 23)

Data controllers must provide a privacy notice to data subjects before or at the time of data collection. The privacy notice must include:

• The purpose of collecting, using, or disclosing personal data
• The categories of personal data collected
• The period of data retention (or the criteria used to determine that period)
• The categories of persons or entities to whom personal data may be disclosed
• Contact details of the data controller and, where applicable, the DPO
• The rights of the data subject
• If applicable, consequences of refusing to provide personal data

6.2 Consent Management (Sections 19-20)

Where consent is the lawful basis for processing, the PDPA imposes specific requirements:

• Consent must be freely given, specific, informed, and unambiguous
• The request for consent must be clearly distinguishable from other matters
• Consent for sensitive data must be explicit
• Pre-ticked boxes or silence do not constitute valid consent
• Consent must be as easy to withdraw as it was to give
• The data controller bears the burden of proving that valid consent was obtained
• Consent obtained through deception or misleading the data subject is void

6.3 Data Processing Agreement (Section 40)

When a data controller engages a data processor (e.g., a cloud service provider, payroll vendor, or marketing platform), the controller must enter into a written Data Processing Agreement (DPA) (Section 40, paragraph 3) that specifies:

• The scope and purpose of data processing
• Instructions from the controller to the processor
• Data security measures the processor must implement
• Obligations regarding sub-processing
• Data breach notification obligations
• Data return or destruction upon termination of the agreement

6.4 Data Protection Officer (Sections 41-42)

A Data Protection Officer (DPO) must be appointed in the following situations:

• The data controller or processor is a public authority
• The processing activities require regular monitoring of personal data or systems because of the large volume of personal data prescribed by the PDPC (Notification on DPO appointment under Section 41(2), B.E. 2566, effective 13 December 2023)
• Core activities involve processing of sensitive personal data under Section 26 (Section 41(3)); no large-scale threshold applies

The DPO's responsibilities include:

• Advising the data controller or processor on PDPA compliance
• Monitoring data processing operations for compliance
• Cooperating with the PDPC and serving as the contact point for the PDPC
• Maintaining confidentiality in performing their duties

The DPO can be an internal employee or an external service provider. The data controller must ensure the DPO has sufficient independence, resources, and access to carry out their functions without interference. The DPO's contact details must be published and communicated to the PDPC.

6.5 Data Breach Notification (Section 37(4))

The breach notification to the PDPC must include:

• The nature of the personal data breach, including categories and approximate number of affected data subjects
• The name and contact details of the DPO or relevant contact point
• The likely consequences of the breach
• The measures taken or proposed to address the breach and mitigate adverse effects

7. Cross-Border Data Transfer Under PDPA

Sections 28 and 29 of the PDPA regulate the transfer of personal data to foreign countries. This is particularly relevant for multinational companies, organizations using cloud services hosted abroad, and businesses that share data with overseas partners.

General Rule

A data controller may transfer personal data to a foreign country only if the destination country has adequate data protection standards as prescribed by the PDPC. The criteria are set out in the PDPC Notification on the Protection of Personal Data Transferred Abroad under Section 28, B.E. 2566 (in force since 24 March 2024). As of the latest available information, the PDPC has not published a list of countries deemed to have adequate standards, so transfers in practice rely on the Section 29 safeguards: PDPC-certified Binding Corporate Rules (BCRs) or appropriate safeguards such as Standard Contractual Clauses (SCCs) under the Section 29 Notification B.E. 2566 [ต้องยืนยันสถานะล่าสุด].

Exceptions Allowing Cross-Border Transfer

Even without an adequacy determination, cross-border transfers are permitted in the following circumstances:

8. PDPA Penalties and Enforcement

The PDPA imposes three categories of penalties for non-compliance: administrative, criminal, and civil. These can be imposed concurrently, meaning an organization could face all three types of liability for a single violation.

8.1 Administrative Penalties (Sections 82–90)

8.2 Criminal Penalties

8.3 Civil Liability

Under Sections 77-78 of the PDPA:

• A data controller or processor who violates the PDPA and causes damage to a data subject is liable for actual damages
• The court may award punitive damages of up to twice the actual damages
• The burden of proof is on the data controller/processor to be exempt: liability applies regardless of intent or negligence, and the controller/processor escapes only by proving force majeure, the data subject's own act or omission, or compliance with a lawful order of an official (Section 77)
• Limitation period: 3 years from the date the injured party knew of the damage and the liable person, or 10 years from the date of the breach (Section 78, paragraph 2)
• Data subjects may file complaints with the PDPC or bring civil lawsuits directly
• Class actions are possible under the Thai Class Action Procedure

9. Step-by-Step PDPA Compliance Checklist

The following checklist provides a structured, practical roadmap for organizations seeking to achieve and maintain PDPA compliance. This is the methodology used by Legal Advance Solution (LAS) in advising clients across industries.

10. How LAS Helps with PDPA Compliance

Legal Advance Solution Co., Ltd. (LAS), founded by Thundthornthep Yamoutai, Ph.D., provides comprehensive PDPA advisory services that combine over 20 years of legal practice expertise with cutting-edge AI-powered legal technology.

11. Frequently Asked Questions

Related Resources

Disclaimer: บทความนี้จัดทำเพื่อวัตถุประสงค์ทางวิชาการและให้ความรู้ทั่วไปเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมายเฉพาะราย ผู้อ่านควรปรึกษาที่ปรึกษากฎหมายก่อนตัดสินใจดำเนินการใด ๆ

About the Author