VPNs com servidores na Tailândia

«Fornecedor de serviços» abrange qualquer pessoa que forneça a terceiros acesso à Internet ou qualquer outro serviço que permita comunicações através de um sistema informático, bem como qualquer pessoa que armazene dados informáticos para terceiros (s. 3). Não está comprovado que um operador de VPN se enquadre nessa definição.

Um fornecedor que coopere, consinta ou se conforme com uma infração ao abrigo da Lei, incluindo a secção 14, fica sujeito à mesma pena que o infrator, mas está isento se provar que seguiu o procedimento ministerial de notificação e remoção dos dados (s. 15, conforme alterada em 2017).

A secção 20, alterada em 2017 (publicada no Diário do Governo em 24 de janeiro de 2017), cria um Comité de Triagem de Dados Informáticos composto por nove membros, três dos quais do setor privado, nomeados pelo ministério responsável pelo digital.

Os funcionários podem solicitar uma ordem judicial para bloquear ou remover dados informáticos contrários à ordem pública ou aos bons costumes, mesmo quando não violem nenhuma lei penal, e a alteração alargou esse poder aos dados que constituam uma infração ao abrigo da legislação de propriedade intelectual ou de outras leis, mediante pedido do funcionário responsável por essa legislação.

A secção 14 da Lei, alterada em 2017, pune a introdução num sistema informático de dados falsos que possam prejudicar o público, causar pânico ou prejudicar infraestruturas públicas, a segurança nacional, pública ou económica, com até cinco anos de prisão, uma multa até THB 100,000 ou ambas. O reencaminhamento consciente desses dados é punido com a mesma pena.

No Código Penal, a difamação (s. 326) é punida com até um ano de prisão, uma multa até THB 20,000 ou ambas, e a difamação por publicação (s. 328) com até dois anos de prisão e uma multa até THB 200,000. A secção 112 pune a difamação, o insulto ou a manifestação de animosidade contra o rei, a rainha, o herdeiro aparente ou o regente com três a quinze anos de prisão.

Os titulares das contas são identificados através dos dados de tráfego e dos dados dos clientes conservados. Os dados não relacionados com o conteúdo podem ser obtidos mediante ordem ou pedido de um funcionário competente ou de investigação; os dados de conteúdo geralmente exigem uma ordem judicial (ss. 18 e 19).

Os pedidos de autoridades estrangeiras relativos a dados detidos por fornecedores tailandeses são encaminhados através do auxílio judiciário mútuo, tendo o Gabinete do Procurador-Geral como autoridade central, em parte devido aos limites estabelecidos pela Lei de Proteção de Dados Pessoais B.E. 2562 (2019), segundo o próprio relato da Tailândia ao Escritório das Nações Unidas sobre Drogas e Crime. A ordem das linhas corresponde à pontuação de segurança, e a localização de um servidor não constitui uma recomendação.