泰国个人数据保护委员会（PDPC）对某跨境电商物流企业将泰国用户收件数据存储于海外云平台予以警告处分案（2024年）

【案件背景】
泰国《个人数据保护法》（PDPA B.E. 2562）于2022年6月1日全面生效，为泰国建立了全面的个人数据保护法律框架。该法第28条和第29条对数据跨境传输设定了一系列条件，包括目的地国家须具备充分的数据保护标准，或控制者须采取适当保护措施。虽然泰国PDPA未设置普遍的本地化存储义务，但部分行业——特别是物流快递和涉及用户位置数据的行业——因涉及大量用户的精确地址和联系方式信息，被PDPC列为重点监管对象。2024年，PDPC启动了针对跨境电商和物流行业数据处理合规的专项执法行动。

【违法事实】
PDPC调查发现某在泰国运营的国际电商物流企业存在以下违规行为：1）该企业在泰国日均处理数十万件包裹，收集了包括用户姓名、电话号码、详细家庭地址、身份证号码（跨境电商清关所需）等大量个人数据，但上述数据全部存储和集中处理于新加坡和香港的阿里云/Google Cloud数据中心，在泰国境内未设立完整的数据存储设施；2）当包裹的发件人或收件人为泰国境内用户时，数据在产生后即被实时发送至境外云平台进行分拣和路由计算——这意味着泰国用户的个人数据的'首次记录'并不发生在泰国境内，PDPC认为这增加了数据在传输过程中被不当访问或泄露的风险；3）该企业以全球运营效率和物流路由优化为由，未向PDPC提交为何无法在泰国本地存储的技术可行性评估，也未提供替代的同等保护水平的证明；4）企业的泰语隐私政策将数据存储地点的披露埋藏在冗长的法律文本中，普通泰国用户难以从普通阅读中获知其个人地址信息事实上存储于境外。

【处罚决定】
PDPC依据泰国PDPA发布正式警告（Takteuhn/Administrative Warning），同时施加以下整改措施：1）要求企业在9个月内在泰国设立数据存储节点，实现泰国用户核心数据的至少一个完整副本在泰国境内安全存储；2）在跨境数据传输前完成数据保护影响评估（DPIA）并向PDPC提交摘要报告；3）在用户隐私通知中以泰语和通俗语言醒目披露数据存储地点；4）PDPC将在整改期满后进行复查，如未完成整改将处以行政罚款（每次违规最高可达500万泰铢，约合人民币100万元），情节严重的可移交刑事追诉。PDPC同时表示将扩大对物流和快递行业的检查范围。

【典型意义】
泰国PDPC通过警告与整改相结合的方式，展现了PDPA执法从酝酿期进入活跃执行期的信号。本案的核心启示：第一，即使PDPA未规定明文的本地化义务，PDPC通过'数据的首次记录地点'和'传输安全评估'的柔性路径，实质上要求处理大量用户数据的运营者在泰国境内保有数据存储和控制能力；第二，物流快递等涉及大量精确地址数据的行业，因其个人数据的高度可识别性和敏感度，成为PDPC数据本地化执法的优先领域——这与马来西亚、印尼等东南亚国家的监管趋势一致；第三，PDPC从警告到罚款再到刑事追诉的递进式执法框架，表明企业应认真对待警告阶段并主动整改，而非等到罚款阶段才采取行动。