Le 7 juillet 2026, le Bureau du Comité de protection des données personnelles de Thaïlande (PDPC) a publié deux projets de lignes directrices complémentaires dans le cadre de la PDPA. Ces documents précisent les « bases juridiques du traitement des données personnelles » et le « marketing et marketing direct », et une consultation publique est ouverte. Même s’ils n’ont pas encore de valeur juridique contraignante, ces projets révèlent clairement les orientations de contrôle futures et sont une référence essentielle pour toutes les opérations marketing, notamment les SMS marketing A2P.
Sur les bases juridiques du traitement, les projets proposent aux entreprises une procédure en cinq étapes : identifier les traitements de données, évaluer les bases juridiques applicables, vérifier la nécessité du traitement, réaliser une évaluation d’intérêt légitime (LIA) si nécessaire, et respecter les obligations de transparence via des notices d’information. Les projets analysent l’ensemble des bases légales prévues à l’article 24 de la PDPA. Ils rappellent aux entreprises de ne pas considérer le « consentement de l’utilisateur » comme une solution universelle, mais de choisir la base juridique adaptée selon le contexte opérationnel. Lorsque le traitement repose sur « l’intérêt légitime », l’entreprise doit établir et conserver le document LIA. Pour les données personnelles sensibles, des mesures de protection supplémentaires doivent être mises en place selon le niveau de risque. Par ailleurs, les projets renforcent les obligations de responsabilité : les entreprises doivent conserver les notices d’information, les registres des activités de traitement (ROPA), rapports LIA et autres documents de conformité pour les audits réglementaires.
Pour les services de SMS marketing A2P, les exigences principales se résument en trois points : le consentement doit provenir d’une case cochée activement et explicitement par l’utilisateur ; les cases pré-cochées ou le consentement groupé sont interdits. Chaque SMS marketing doit inclure un moyen simple de désabonnement, et l’envoi doit cesser aussitôt que l’utilisateur retire son consentement. Les entreprises doivent archiver intégralement les enregistrements de consentement, demandes de désabonnement et documents de conformité pour les audits. Les deux projets sont toujours en consultation publique, mais ils indiquent clairement la ligne de conduite du PDPC. Il est recommandé aux entreprises concernées d’adapter à l’avance leurs processus de conformité pour se préparer à une réglementation plus stricte.
