PDPA для ресторана в Таиланде: данные гостей и камеры
Как закон о персональных данных PDPA касается ресторана в Таиланде — телефоны гостей, адреса доставки, камеры. Штрафы до 5 млн бат и реальные дела 2025 года.
Обновлено:
PDPA — Закон о защите персональных данных Таиланда 2019 года (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562). Ресторан редко думает о себе как о компании, которая работает с персональными данными. Но телефоны гостей в брони, адреса доставки, имена в программе лояльности, записи камер наблюдения — всё это персональные данные. С 2025 года регулятор перешёл от разъяснений к реальным штрафам. Ниже — что известно о штрафах, что касается ресторана и с чего начать, на октябрь 2026 года.
Это справочный материал, а не юридическая консультация: требования PDPA к вашему заведению лучше разобрать с юристом.
Какие персональные данные есть у ресторана
| Данные | Откуда | Кто обычно видит |
|---|---|---|
| Имя и телефон гостя | Бронь столика, заказ по телефону | Администратор, хостес |
| Адрес доставки | Заказы на доставку | Кассир, курьер |
| История заказов | Доставка, программа лояльности | Администратор, управляющий |
| Записи камер | Зал, касса, вход | Владелец, охрана, иногда все |
| Данные сотрудников | Кадры, зарплата, соцстрах | Владелец, бухгалтер |
Это наш рабочий перечень, а не формулировка закона. Но он показывает главное: данные гостей есть почти в любом ресторане, и обычно их видит больше людей, чем нужно.
Штрафы
По сводкам юрфирм (Forvis Mazars, KPMG); с текстом закона мы их не сверили:
| Вид ответственности | Наказание |
|---|---|
| Административная | до 5 млн бат (от 0,5 до 5 млн в зависимости от нарушения) |
| Уголовная (ст. 79) | до 6 месяцев и/или до 1 млн бат; при корыстном мотиве — до 1 года и/или до 1 млн бат |
| Гражданская | реальный ущерб плюс штрафные убытки до 2-кратного размера |
| Руководители | могут отвечать лично (ст. 81) |
Штрафы реально выписываются
01.08.2025 Комиссия по защите персональных данных (PDPC) объявила 8 штрафов по 5 делам (Tilleke & Gibbins):
- торговец компьютерами — 7 млн бат: нет защиты данных, не сообщил об утечке, не назначил ответственного за данные (DPO);
- косметическая компания — 2,5 млн бат: утечка данных к колл-центру мошенников;
- частная больница — 1,21 млн бат;
- магазин игрушек — 0,5 млн бат, его обработчик данных — 3 млн бат.
Штраф в 7 млн бат больше «потолка» в 5 млн — потому что в одном деле было несколько нарушений. Общий объём штрафов источник называет около 21,5 млн бат, хотя перечисленные дела дают около 14,5 млн — расхождение в самом источнике.
Что объединяет эти дела: почти во всех — утечка. Не сам факт хранения данных, а то, что они ушли к посторонним, и компания не защитила их или не сообщила об утечке.
Почему это важно для ресторана
Среди оштрафованных — обычные бизнесы: магазин игрушек, продавец компьютеров. Ресторан с базой телефонов гостей и адресами доставки по своему типу ближе к ним, чем к банку. Отдельно стоит заметить штраф обработчику данных: отвечать может не только тот, кто собрал данные, но и тот, кто их обрабатывал по его поручению.
Камеры наблюдения
PDPC разъяснял, что камера сама по себе не нарушает PDPA, если её цель — безопасность жизни и имущества или сбор доказательств происшествия. Но это разъяснение касалось камер частных домов (Thansettakij).
Обязательна ли для бизнеса табличка «ведётся видеонаблюдение» по PDPA, мы подтверждения не нашли: мнения расходятся. На практике крупные компании вешают такие уведомления у входов. PDPC готовил руководство по камерам для жилых комплексов (Tilleke & Gibbins), но утверждено ли оно и касается ли ресторанов — не подтверждено.
Табличка у входа стоит недорого, поэтому многие заведения её вешают, не дожидаясь разъяснений.
Камеры над кассой
Камера над кассой — обычная практика контроля наличных. С точки зрения данных важно, кто смотрит записи и сколько они хранятся. Записи, которые доступны всем сотрудникам через общий телефон, — это и риск утечки, и повод для конфликтов внутри команды.
С чего начать
Ниже — практические шаги, которые снижают риск. Это не перечень требований закона, а здравый порядок работы с данными:
- Собирайте только нужное. Для брони хватит имени и телефона. Дата рождения и паспорт гостя ресторану обычно не нужны.
- Ограничьте доступ. Адрес доставки нужен кассиру и курьеру, но не всем официантам.
- Уберите данные из личных чатов. Список гостей в общем мессенджере команды — самое частое место утечки.
- Закрывайте доступ уволенным в день увольнения, а не «когда вспомним».
- Не используйте общий пароль. Если в систему входят все под одним именем, нельзя понять, кто открывал данные.
- Определите, что делать при утечке. Кто решает, кого уведомлять и как быстро. В деле с 7 млн бат одним из нарушений было именно несообщение об утечке.
- Разместите уведомление о камерах у входа.
- Покажите политику юристу, если у ресторана есть сайт с формой брони или программа лояльности.
PDPA и проверки
За PDPA отвечает отдельный регулятор — Комиссия по защите персональных данных (PDPC), а реальные дела, которые мы нашли, связаны с утечками. Но последствия у них самые дорогие из всех, что перечислены в статье Как не получить штраф в Таиланде. Кто приходит в ресторан с обычными проверками — в статье Проверки ресторанов на Пхукете.
Ограничение доступа к данным — то же самое, что ограничение доступа к деньгам: у каждого свой вход и свои права. Об этом — в статье Как контролировать персонал и не терять деньги.
Как это решается в POSitive
В POSitive права выдаются на действие и по заведениям: кассир видит то, что нужно для работы, а не всю историю (Роли и права). Пароли и PIN хранятся только в виде необратимого хеша, видно, кто и с какого устройства в системе, сессию уволенного можно завершить сразу, а отдельные чувствительные поля показываются только по нажатию (Безопасность и сессии). Карточка гостя хранит историю заказов доставки и заметки персонала рядом с заказом, отдельной базы для рассылок нет (Карточка гостя).
Частые вопросы
Касается ли PDPA маленького ресторана?
Закон не делает исключения по размеру бизнеса в найденных нами сводках. Среди оштрафованных в 2025 году — магазин игрушек и торговец компьютерами, то есть обычные небольшие компании.
Какой штраф по PDPA?
Административный — до 5 млн бат, уголовный — до 6 месяцев (при корыстном мотиве до 1 года) и/или до 1 млн бат, гражданский — ущерб плюс до 2-кратного размера.
Нужна ли табличка о видеонаблюдении в ресторане?
Обязательность по PDPA мы не подтвердили, мнения расходятся. Табличка у входа — распространённая практика, и разместить её проще, чем потом спорить.
Можно ли хранить телефоны гостей для рассылок?
Это вопрос согласия гостя и цели обработки — разберите его с юристом до запуска рассылок. Для брони и доставки телефон нужен по делу, для рекламы — отдельный вопрос.
Материал справочный и не заменяет консультацию юриста или бухгалтера в Таиланде: правила меняются, перед решением сверьтесь с официальным источником.