호텔은 많은 소유자가 생각하는 것보다 더 많은 개인정보를 수집합니다. 이름, 여권 번호, 얼굴 사진, 신용카드 정보, 출입 시각, CCTV 영상 등입니다. 대부분 법이 요구하기 때문에 수집하지만, 법이 수집을 요구한다고 해서 어떻게 다루어도 된다는 뜻은 아닙니다.
호텔이 법에 따라 수집해야 하는 정보
투숙객 명부. 호텔법은 관리자가 정해진 서식으로 투숙객 명부를 갖추고 투숙객의 신분 증명 서류를 확인하도록 요구합니다.
외국인 숙박 신고(TM.30, 외국인 투숙객의 체류를 출입국에 알리는 서식). 외국인 투숙객이 체크인하면 호텔 관리자는 24시간 이내에 출입국 담당 공무원에게 신고해야 합니다. 현재는 온라인 시스템으로 신고할 수 있습니다. 기한 내에 신고하지 않으면 벌금이 부과됩니다.
이런 종류의 정보는 법적 의무 이행의 근거로 수집할 수 있으며 투숙객의 동의가 필요하지 않습니다. 다만 개인정보 처리방침을 통해 투숙객에게 알려야 하고, 법이 요구하는 범위로만 수집해야 합니다.
호텔이 자주 실수하는 부분
여권 사본을 LINE 그룹에 보내는 것. 프런트 직원이 여권을 촬영해 채팅 앱으로 지배인, 운전기사, 여행사에 보냅니다. 이 이미지들은 아무도 지우지 않은 채 여러 사람의 개인 휴대전화에 남습니다. 가장 흔한 유출 지점입니다.
필요 이상으로 수집하는 것. 여권의 모든 페이지를 복사하거나, 태국인 투숙객의 신분증을 앞뒤 전체 복사해 보관합니다. 신분증 사본에 종교 정보(민감정보)가 있다면 보관하기 전에 가리는 것이 좋습니다.
기한 없이 보관하는 것. 투숙객 명부 파일과 수년 전의 여권 스캔 파일을 누구나 열 수 있는 프런트 컴퓨터에 둡니다.
정보를 목적 외로 사용하는 것. 투숙객 명부의 이메일이나 전화번호를 프로모션 발송에 사용합니다. 직접 마케팅은 별도로 동의를 받는 것이 좋습니다.
신용카드 정보. 나중에 청구하려고 카드 번호를 종이나 파일에 적어 둡니다.
CCTV
- 로비, 복도, 주차장 같은 공용 공간에 안전을 위해 설치하는 카메라는 정당한 이익의 근거를 쓸 수 있습니다.
- 출입구에 CCTV가 있음과 연락처를 알리는 안내문을 붙입니다.
- 객실, 화장실, 탈의실, 스파 시술실에는 설치해서는 안 됩니다.
- 보관 기간을 정하고, 영상을 볼 수 있거나 추출할 수 있는 사람을 제한합니다.
- 사건이 발생하면 시스템이 덮어쓰기 전에 관련 시간대의 영상을 추출해 따로 보관하고, 분쟁이 끝날 때까지 보관합니다.
투숙객의 영상 열람 요청. 투숙객은 자신의 정보에 접근할 권리가 있습니다. 호텔은 30일 이내에 처리해야 합니다. 영상에 다른 사람이 있으면 전달하기 전에 다른 사람의 얼굴을 가리십시오.
경찰이나 보험사의 요청. 경찰에게는 정식 서면 정보 제공 요청서를 받는 것이 좋습니다. 보험사나 상대방 변호사에게는 공개할 법적 근거가 있는지 먼저 확인하고, 관련 시간대의 영상만 제공합니다.
직원이 함께 찍히는 카메라에는 직장 내 감시라는 추가 쟁점이 있습니다. HR 업무의 PDPA: 직원 정보와 CCTV를 참고하십시오.
예약 시스템과 외부 서비스 제공자
객실 예약 시스템, 호텔 관리 시스템, 마케팅 회사는 호텔을 대신해 정보를 처리합니다. 제공자가 정보를 무엇을 위해 쓸 수 있는지, 보안을 어떻게 유지하는지, 정보가 유출되면 호텔에 즉시 알려야 한다는 점을 정한 데이터 처리 계약을 체결해야 합니다.
정보가 유출되었을 때
- 유출 사실을 안 때부터 72시간 이내에 개인정보보호위원회 사무국에 신고합니다. 다만 개인의 권리에 영향을 줄 위험이 없는 경우는 제외합니다.
- 여권이나 신용카드가 유출된 경우처럼 위험이 높으면 영향을 받은 투숙객에게도 구제 방안과 함께 알려야 합니다.
- 신고가 필요 없다고 평가한 경우에도 사건과 조치 내용을 기록합니다.
PDPA를 위반하면 최대 500만 바트의 행정 과태료가 부과되고, 피해를 입은 투숙객은 손해배상을 청구하는 소송을 제기할 수도 있습니다.
호텔을 위한 체크리스트
- 투숙객용 개인정보 처리방침을 만들어 프런트와 예약 페이지에 표시합니다.
- 여권과 신분증에서 어떤 정보를 보관할지 정하고, 필요 없는 정보는 가립니다.
- 개인 채팅 앱으로 투숙객 서류 사본을 보내지 못하게 하고, 대체 수단을 정합니다.
- 종이 서류와 파일 모두에 대해 보관 기간과 폐기 방법을 정합니다.
- 야간 근무를 포함해 24시간 이내에 TM.30 신고를 마칠 수 있도록 체계를 갖춥니다.
- CCTV 카메라 위치를 점검하고, 안내문을 붙이고, 영상 보관 기간을 정합니다.
- 예약 시스템 및 마케팅 서비스 제공자와 데이터 처리 계약을 체결합니다.
- 정보 열람 요청 처리 절차와 정보 유출 신고 절차를 마련합니다.
함께 읽기
📌 함께 보기: 기업을 위한 PDPA 체계 구축 · 기업 법무
호텔의 체크인 절차, 예약 시스템, CCTV가 PDPA에 부합하는지 확인하고 싶다면 저희 변호사 팀과 상담하십시오. 위험한 지점을 짚고 호텔에 필요한 서류를 준비해 드립니다.
이 글은 일반적인 정보이며, 개별 사안에 대한 법률 자문이 아닙니다.
