โรงแรมเป็นธุรกิจที่เก็บข้อมูลส่วนบุคคลมากกว่าที่เจ้าของหลายคนคิด ทั้งชื่อ เลขพาสปอร์ต ภาพถ่ายหน้า ข้อมูลบัตรเครดิต เวลาเข้าออก และภาพกล้องวงจรปิด ส่วนใหญ่เก็บเพราะกฎหมายบังคับ แต่ การที่กฎหมายบังคับให้เก็บ ไม่ได้แปลว่าเก็บอย่างไรก็ได้
ข้อมูลที่โรงแรมต้องเก็บตามกฎหมาย
ทะเบียนผู้พัก กฎหมายโรงแรมกำหนดให้ผู้จัดการจัดให้มีทะเบียนผู้พักตามแบบที่กำหนด และตรวจหลักฐานแสดงตนของผู้พัก
แจ้งที่พักของคนต่างด้าว (ตม.30) เมื่อแขกต่างชาติเข้าพัก ผู้จัดการโรงแรมต้องแจ้งต่อพนักงานเจ้าหน้าที่ตรวจคนเข้าเมือง ภายใน 24 ชั่วโมง ปัจจุบันแจ้งผ่านระบบออนไลน์ได้ ถ้าไม่แจ้งตามกำหนดมีโทษปรับ
ข้อมูลกลุ่มนี้เก็บได้โดยอาศัย ฐานการปฏิบัติตามกฎหมาย ไม่ต้องขอความยินยอมจากแขก แต่ยังต้องแจ้งแขกผ่านประกาศความเป็นส่วนตัว และเก็บเท่าที่กฎหมายต้องการ
จุดที่โรงแรมมักพลาด
ส่งสำเนาพาสปอร์ตในกลุ่มไลน์ พนักงานต้อนรับถ่ายรูปพาสปอร์ตส่งให้ผู้จัดการ คนขับรถ หรือบริษัททัวร์ผ่านแอปแชต ภาพเหล่านี้ค้างอยู่ในโทรศัพท์ส่วนตัวหลายเครื่องโดยไม่มีใครลบ เป็นจุดรั่วที่พบบ่อยที่สุด
เก็บเกินจำเป็น ถ่ายสำเนาทุกหน้าของพาสปอร์ต หรือเก็บสำเนาบัตรประชาชนของแขกไทยไว้ทั้งใบ ถ้าสำเนาบัตรมีข้อมูลศาสนา ซึ่งเป็นข้อมูลอ่อนไหว ควรปิดทับก่อนเก็บ
เก็บไม่มีกำหนด แฟ้มทะเบียนผู้พักและไฟล์สแกนพาสปอร์ตย้อนหลังหลายปีในเครื่องคอมพิวเตอร์หน้าเคาน์เตอร์ที่ทุกคนเปิดได้
ใช้ข้อมูลผิดวัตถุประสงค์ นำอีเมลหรือเบอร์โทรจากทะเบียนผู้พักไปส่งโปรโมชั่น การตลาดทางตรงควรขอความยินยอมแยกต่างหาก
ข้อมูลบัตรเครดิต จดเลขบัตรไว้บนกระดาษหรือในไฟล์เพื่อเรียกเก็บภายหลัง
กล้องวงจรปิด
- กล้องในพื้นที่ส่วนกลาง เช่น ล็อบบี้ ทางเดิน ที่จอดรถ เพื่อความปลอดภัย อาศัย ฐานประโยชน์โดยชอบด้วยกฎหมาย ได้
- ติดป้ายแจ้ง ที่ทางเข้าว่ามีกล้องวงจรปิด และบอกช่องทางติดต่อ
- ห้ามติด ในห้องพัก ห้องน้ำ ห้องเปลี่ยนเสื้อผ้า และห้องทรีตเมนต์ของสปา
- กำหนดระยะเวลาเก็บ และจำกัดคนที่ดูหรือดึงภาพได้
- เมื่อเกิดเหตุ ดึงภาพช่วงที่เกี่ยวข้องออกมาเก็บแยก ก่อนระบบบันทึกทับ แล้วเก็บไว้จนกว่าข้อพิพาทจะจบ
คำขอดูภาพจากแขก แขกมีสิทธิขอเข้าถึงข้อมูลของตนเอง โรงแรมต้องดำเนินการภายใน 30 วัน ถ้าภาพมีคนอื่นอยู่ด้วย ให้ปิดบังใบหน้าคนอื่นก่อนส่งมอบ
คำขอจากตำรวจหรือบริษัทประกัน ตำรวจควรมีหนังสือขอข้อมูลอย่างเป็นทางการ ส่วนบริษัทประกันหรือทนายของอีกฝ่าย ให้ตรวจก่อนว่ามีฐานทางกฎหมายในการเปิดเผย และส่งเฉพาะช่วงที่เกี่ยวข้อง
กล้องที่จับภาพพนักงานด้วยมีประเด็นเพิ่มเติมเรื่องการเฝ้าติดตามในที่ทำงาน ดู PDPA สำหรับงาน HR: ข้อมูลพนักงานและกล้องวงจรปิด
ระบบจองและผู้ให้บริการภายนอก
ระบบจองห้องพัก ระบบจัดการโรงแรม และบริษัททำการตลาด ทำหน้าที่ประมวลผลข้อมูลแทนโรงแรม ควรมี ข้อตกลงการประมวลผลข้อมูล ที่กำหนดว่าผู้ให้บริการใช้ข้อมูลได้เพื่ออะไร ดูแลความปลอดภัยอย่างไร และต้องแจ้งโรงแรมทันทีเมื่อข้อมูลรั่ว
เมื่อข้อมูลรั่วไหล
- แจ้ง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง นับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงที่จะกระทบสิทธิของบุคคล
- ถ้ามีความเสี่ยงสูง เช่น พาสปอร์ตหรือบัตรเครดิตรั่ว ต้อง แจ้งแขกที่ได้รับผลกระทบ พร้อมแนวทางเยียวยาด้วย
- บันทึกเหตุการณ์และสิ่งที่ทำ แม้กรณีที่ประเมินแล้วว่าไม่ต้องแจ้ง
การฝ่าฝืน PDPA มีโทษปรับทางปกครองสูงสุดห้าล้านบาท และแขกที่ได้รับความเสียหายยังฟ้องเรียกค่าเสียหายได้
เช็กลิสต์สำหรับโรงแรม
- ทำประกาศความเป็นส่วนตัวสำหรับแขก แสดงที่เคาน์เตอร์และในหน้าจอง
- กำหนดว่าเก็บข้อมูลอะไรจากพาสปอร์ตและบัตรประชาชน และปิดทับข้อมูลที่ไม่จำเป็น
- ห้ามส่งสำเนาเอกสารแขกผ่านแอปแชตส่วนตัว และกำหนดช่องทางที่ใช้แทน
- กำหนดระยะเวลาเก็บและวิธีทำลายทั้งเอกสารกระดาษและไฟล์
- วางระบบแจ้ง ตม.30 ให้ทันภายใน 24 ชั่วโมง รวมถึงกะกลางคืน
- ตรวจตำแหน่งกล้องวงจรปิด ติดป้าย และกำหนดระยะเวลาเก็บภาพ
- ทำข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการระบบจองและการตลาด
- เตรียมขั้นตอนรับคำขอดูข้อมูลและขั้นตอนแจ้งเหตุข้อมูลรั่ว
อ่านต่อ
- เช็กลิสต์ทำ PDPA ให้ธุรกิจ
- แขกบาดเจ็บหรือทรัพย์สินหายในโรงแรม เจ้าของต้องรับผิดแค่ไหน
- จะเปิดโรงแรมหรือที่พัก ต้องขอใบอนุญาตอะไรบ้าง
📌 ดูเพิ่ม: วางระบบ PDPA สำหรับธุรกิจ · กฎหมายธุรกิจ
ถ้าอยากตรวจว่าขั้นตอนเช็กอิน ระบบจอง และกล้องวงจรปิดของโรงแรมสอดคล้องกับ PDPA หรือยัง ปรึกษาทีมทนายของเรา เราจะชี้จุดเสี่ยงและเตรียมเอกสารที่โรงแรมต้องมี
บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมายสำหรับกรณีเฉพาะราย
