Данные гостей при аренде виллы и тайский PDPA: что владелец на Ко Пангане обязан делать помимо TM30

Закрывает ли подача TM30 на гостя ваши обязательства по защите данных как владельца виллы? Нет — TM30 это отдельная иммиграционная обязанность. В момент, когда вы собираете копии паспортов, сканы документов, платёжные данные или записи камер у платных гостей, вы становитесь оператором персональных данных по тайскому Закону о защите персональных данных (PDPA) B.E. 2562 (2019), который полностью действует с июня 2022 года — а Комитет по защите персональных данных (PDPC) с 2024 года выносит реальные административные штрафы, а не просто рекомендации.

Почему бытовое исключение вас не спасает

Статья 4 PDPA освобождает от действия закона обработку данных исключительно "в личных целях или для домашней деятельности" без коммерческой связи. Это исключение толкуется узко и перестаёт действовать в тот момент, когда данные гостя собираются в рамках платной аренды — виллы, комнаты или квартиры, сдаваемой через Airbnb, через платформу бронирования или напрямую. Владелец, сдающий жильё платным гостям, — такой же оператор данных, как и любой другой бизнес, независимо от масштаба деятельности.

Что реально нужно сделать

• Иметь законное основание для каждого способа использования данных гостя. Отчётность TM30 перед Иммиграцией покрывается основанием 'исполнение юридической обязанности' и не требует отдельного согласия именно для этого отчёта. Использование той же копии паспорта для чего-то ещё — рассылки, передачи платформе бронирования сверх необходимого для самого бронирования, бессрочного хранения записей камер — требует отдельного основания, обычно согласия или основания 'необходимо для исполнения договора', которое покрывает обычное администрирование брони.
• Сообщить гостям, что вы делаете с их данными. Короткое уведомление о конфиденциальности — цель, срок хранения, с кем передаются данные — закрывает большую часть базового требования PDPA о прозрачности. Это не обязательно юридический документ, а просто понятный текст, предоставленный до или в момент сбора данных.
• Копия паспорта или скан документа — это обычные персональные данные, а не автоматически 'специальные категории'. Специальные категории данных по статье 26 — это конкретный список: здоровье, биометрические данные, судимость, религия, этническая принадлежность и похожие категории, каждая из которых требует отдельного явного согласия. Обычная страница паспорта с фото сама по себе под это не подпадает. Данные переходят в категорию специальных только если вы извлекаете из них биометрический идентификатор — например, при заселении через терминал с распознаванием лица или при замке с привязкой к отпечатку пальца.
• Камеры видеонаблюдения требуют отдельного уведомления и более узкого охвата. Камеры в местах общего пользования и у входов — стандартная практика при наличии заметной таблички; камеры в спальнях или ванных комнатах не обоснованы ни при каком законном основании.
• Назначение ответственного за защиту данных (DPO) крайне маловероятно требуется для одной виллы или небольшой сдачи в аренду. Порог для DPO — это масштабная обработка данных (собственные разъяснения PDPC указывают ориентир около 100 000+ субъектов данных) или регулярный систематический мониторинг как основная деятельность бизнеса — и то, и другое далеко за пределами нескольких бронирований в месяц.
• Сообщать о реальной утечке в течение 72 часов. Если данные гостей оказались раскрыты — взломана система бронирования, потерян ноутбук со сканами паспортов — отсчёт срока уведомления PDPC идёт с момента, когда вы узнали об утечке, а не с момента, когда она произошла.

Штрафы реальны, а не гипотетичны

Административные штрафы PDPC делятся на три условных уровня в зависимости от нарушения: примерно до 1 млн бат — за такие нарушения, как отсутствие обязательного DPO или неинформирование субъектов данных о целях обработки; до 3 млн бат — за использование данных за пределами заявленной цели или обработку без законного основания; до 5 млн бат — за неправильное обращение со специальными категориями данных или небезопасную трансграничную передачу. Это не гипотетика — в ноябре 2024 года PDPC вынес свой первый крупный административный штраф в размере 7 млн бат против компании, которая не назначила DPO, не обеспечила должных мер безопасности при утечке данных, связанной с мошенничеством через колл-центр, и не уложилась в срок уведомления об утечке. Помимо этого существует и уголовная ответственность — до года лишения свободы или штраф до 1 млн бат (либо оба вида наказания) за незаконное раскрытие специальных категорий данных в целях незаконной выгоды.

Как это соотносится с другими обязанностями при сдаче в аренду

Это отдельный уровень требований — не то же самое, что сама иммиграционная отчётность, описанная в Уведомление TM30 об иностранном госте, вопрос лицензирования из Airbnb и краткосрочная аренда: облава 2026 года, и Сдача виллы в аренду: правила и налоги. Если бронирования и заселение гостей ведёт управляющая компания, письменно зафиксируйте, кто является оператором данных гостя — вы, управляющий или оба совместно, — поскольку ответственность по PDPA следует за статусом оператора данных, а не просто за тем, кто физически хранит копии паспортов.

Для небольшой сдачи в аренду планка не так высока: короткое уведомление о конфиденциальности, законное основание для всего, что выходит за рамки строгой отчётности TM30, разумное размещение камер и надёжное, ограниченное по сроку хранение копий паспортов закрывают большую часть практического риска — но относитесь к этому как к реальной обязанности по соблюдению закона, а не к формальности на бумаге, учитывая, насколько активным стал контроль со стороны PDPC с 2024 года.