简短回答
能不能追责，取决于公司平时有没有把客户资料当作商业秘密来管。泰国《商业秘密法》B.E. 2545（2002）保护未公开、因保密而有商业价值、且公司采取了合理保密措施的信息，客户数据库符合条件可以受保护。在职员工带走资料，可以依《劳动保护法》第 119 条解雇；离职员工带走的，可以民事起诉、申请禁令，严重的追究刑事责任。资料里有客户联系人等个人数据的，公司作为数据控制者，还要按《个人数据保护法》（PDPA）评估是否需要报告。
规则和依据
- 商业秘密的条件：《商业秘密法》把商业秘密定义为尚未公开、因保密而具有商业价值、且控制人已采取适当保密措施的商业信息。Chambers 2026 实务指南指出，含非公开采购记录、价格条件、关键联系人的客户数据库，满足条件时受保护。
- 民事救济：法院可以判令停止使用或披露，销毁或没收侵权材料；赔偿可以包括侵权人的获利；故意或恶意侵权的，可另判不超过基础赔偿两倍的惩罚性赔偿。诉讼时效为知道侵权行为和侵权人之日起 3 年，自侵权行为起最长 10 年。
- 刑事责任：据 Chambers 指南，第 33 条规定恶意公开导致丧失秘密性的，处 1 年以下监禁和/或 20 万泰铢以下罚金；第 34 条针对因职务掌握秘密而非法披露的，处 2 年以下监禁和/或 20 万泰铢以下罚金。这些罪可以和解。
- 越权访问系统：《计算机犯罪法》B.E. 2550 第 7 条禁止非法访问有专门访问限制措施的计算机数据。最高法院第 2600/2563 号判决认定，前员工离职后登录公司邮箱、把文件转到个人邮箱，违反第 7 条。
- PDPA 报告义务：数据控制者发现个人数据泄露，除评估为对个人权利自由无风险外，应在知悉后 72 小时内向个人数据保护委员会（PDPC）报告（PDPA 第 37 条第 (4) 项）。
- 在职员工：带走资料属于对雇主的不诚实或故意造成损失，可依《劳动保护法》第 119 条第 (1) 项、第 (2) 项解雇，不付遣散费。
来源：Chambers：Trade Secrets 2026 泰国篇、Tilleke & Gibbins：泰国商业秘密法概述、Mondaq：最高法院对《计算机犯罪法》的适用、Forvis Mazars：个人数据泄露的处理标准与程序、《劳动保护法》第 119 条
怎么处理
- 立即止损：停用该员工的 ERP、CRM、邮箱、云盘、VPN 账号，收回电脑和 U 盘；不要格式化设备，交 IT 做镜像。
- 固定证据：导出邮件转发记录、文件下载日志、USB 拷贝日志、打印记录，请公证或第三方取证机构保全。
- 书面通知：向员工（及其新雇主，如已知）发律师函，要求返还并删除资料、出具书面确认，并提示保密义务和法律后果。
- 评估 PDPA：资料含客户个人数据（姓名、电话、邮箱）的，由 DPO 或法务在 72 小时内评估风险，需要的话向 PDPC 报告，并考虑是否通知受影响的客户。
- 选择追责路径：民事起诉并申请禁令；涉及系统越权访问或恶意披露的，向警方或经济犯罪调查部门报案。
- 补管理漏洞：给客户清单、报价表标注“机密”，按岗位授权，离职流程中加入“资料返还确认书”。
常见错误和风险
- 平时没有任何保密措施：所有人都能下载、没有标注、没签保密协议的资料，很难被认定为商业秘密。
- 劳动合同里只有一句“保密”：建议在劳动合同或单独的保密协议中写明保密范围、离职后仍有效、违约责任。
- 以为只是员工的问题：客户个人数据外泄，公司本身是 PDPA 下的责任主体，未按规定报告有行政罚款风险。
- 扣发离职工资作为“保证金”：违反《劳动保护法》第 76 条。