本法律简报旨在概述泰国个人数据保护委员会（“PDPC”）于 2025 年 9 月 29 日发布的《企业约束性规则的审查与认证条例〔佛历2568年（2025年）〕》（“BCR条例”）。以下为BCR条例的主要原则及规定。

1.  总则、适用范围及定义

BCR条例确立了用于审查与认证企业约束性规则（“BCR”）的指引，而BCR构成泰国《个人数据保护法〔佛历2562年（2019年）〕》（“PDPA”）第29条项下的一种个人数据跨境传输机制。BCR条例适用于针对数据控制者的BCR（“BCR-C”），即成员以数据控制者身份进行个人数据传输与处理的情形；BCR条例也适用于针对数据处理者的BCR（“BCR-P”），即成员代表外部数据控制者处理个人数据的情形（BCR条例第2条）。

BCR条例规定了“承担责任的BCR成员”，指设立在泰国境内的明确同意就其境外成员所实施的违规行为承担责任并支付赔偿的企业集团成员。该规定旨在确保泰国境内的数据主体在泰国拥有有效的投诉渠道及法律救济途径。此外，BCR条例明确规定了第三方受益人权利，使数据主体能够像协议方一样，依据BCR直接向相关成员主张并行使其权利（BCR 条例第2条）。

2.  申请人资格及提交渠道

申请人须为同一关联企业或企业集团的成员，并须依据泰国法律设立且在泰国境内具有实体存在。申请人可以是该企业集团在泰国设立的总部，或在未设立泰国总部的情况下，申请人是被指定在泰国境内负责个人数据保护事务的成员。申请可直接提交至个人数据保护委员会办公室（“OPDPC”），提交方式包括邮寄、电子邮件，或通过OPDPC指定的其他渠道提交（BCR条例第7条及第9条）。

3. 申请文件

申请文件及相关支持性文件必须以泰文提交。如原始文件为外文文件，须提交经认证并公证的泰文译本。申请文件包括：

(1) 载明 BCR 类型（BCR-C 或 BCR-P）的申请表；
(2) 完整的BCR文件，包括所有附件及受 BCR 约束的成员名单；
(3) 具有约束力的文件，如企业集团内部协议（“IGA”）；
(4) 将BCR条例要求与申请人的BCR 内容进行对照的参考性清单，以加快审查（可选项）；及
(5) 其他补充文件（如申请人的个人数据保护政策、培训文件）、企业宣誓书，以及授权委托书（如适用）（BCR 条例第8条）。

4. 已获他国认证的 BCR 特别程序

BCR条例还规定了特别程序，适用于已依据欧盟《通用数据保护条例》、英国《通用数据保护条例》或其他由PDPC认可的国家数据保护法律而获得认证的BCR。在此情形下，申请人可提交经境外认证的证明文件及已获认证的BCR文本，并同时提交一份泰国BCR附录，载明适用于泰国的特定条款，且至少应包括以下内容：

(1) 确定设立于泰国境内的承担责任的BCR成员；
(2) 确认泰国数据主体享有第三方受益人权利；
(3) 接受泰国个人数据保护委员会办公室的监管权及泰国法院的司法管辖权；及
(4) 说明并确保与泰国《个人数据保护法》保持一致（BCR 条例第 11 条）。

5.  评估要点及原则

就认证而言，个人数据保护委员会办公室将依据其核心原则对申请人的BCR进行评估，包括其法律效力及约束力、有效执行机制、协助配合义务、保障个人数据保护的相关条款、个人数据保护措施，以及问责机制及其他配套机制（BCR条例第12条）。

6.  审查流程及结果

个人数据保护委员会办公室在收到申请后，将于15日内进行形式性审查。如申请文件齐备，案件负责人将开展实质性审查，该审查须在180日内完成；如有必要，可予以延长（BCR条例第13条及第16条）。审查结果可能是以下三种情形之一：

(1) 通过认证：BCR 完全符合相关标准。
(2) 附条件通过认证：BCR 需在规定期限内作出少量修改。
(3) 不予认证：BCR 不符合相关标准（BCR条例第 15 条）。

7.  有效期、申诉及费用

有效期：BCR一经认证，在被修订或撤销前持续有效，不设期限（BCR条例第17条）。

申诉：申请人可依据行政法程序，就不予认证或附条件通过认证的决定提出申诉（BCR条例第18条）。

费用：受理及审查申请不收取任何费用或服务费（BCR 条例第19条）。

LawPlus Ltd.
January 2026

To see the archive of our past newsletters and articles please click here.