酒店收集的個人資訊，比許多業主以為的要多：姓名、護照號碼、面部照片、信用卡資訊、出入時間和監控錄影。大部分資訊是因為法律要求才收集的，但法律要求收集，並不意味著可以隨意處理。
酒店依法必須收集的資訊
**住客登記冊。**酒店法規定，經理須按規定格式備置住客登記冊，並核驗住客的身份證明檔案。
外國人住宿通報（TM.30，即向移民局通報外國住客住宿情況的表格）。外國住客入住時，酒店經理必須在24小時內向入境管理官員通報。目前可通過線上系統通報。未按期通報的，將被處以罰款。
這類資訊可以依據履行法定義務的基礎收集，無需徵得住客同意。但仍須通過隱私告知書告知住客，並且只收集法律要求的範圍。
酒店常犯的錯誤
**在LINE群裡傳送護照影印件。**前臺員工把護照拍照後，通過聊天軟體發給經理、司機或旅行社。這些圖片留在許多人的私人手機裡，沒有人刪除。這是最常見的洩露點。
**收集超出必要範圍。**影印護照的每一頁，或把泰國住客的身份證完整影印留存。如果身份證影印件上有宗教資訊（屬於敏感資訊），存檔前應將其遮蓋。
**無限期儲存。**住客登記冊檔案和多年前的護照掃描件，存放在任何人都能開啟的前臺電腦裡。
**把資訊用於不當目的。**把住客登記冊中的電子郵箱或電話號碼用來發送促銷資訊。直接營銷應當另行徵得同意。
**信用卡資訊。**把卡號抄在紙上或存在檔案裡，以便日後扣款。
監控攝像頭
- 在大堂、走廊、停車場等公共區域出於安全目的安裝的攝像頭，可以依據合法利益的基礎。
- 在入口處張貼告示，說明設有監控攝像頭，並提供聯絡方式。
- 禁止安裝在客房、衛生間、更衣室和水療理療室。
- 設定儲存期限，並限制可以檢視或調取錄影的人員。
- 發生事件時，應在系統覆蓋錄影之前，把相關時段的錄影調出並單獨儲存，儲存至爭議結束為止。
**住客要求檢視錄影。**住客有權查閱自己的資訊。酒店必須在30天內辦理。如果畫面中還有其他人，交付前應遮擋其他人的面部。
**警方或保險公司的請求。**警方應出具正式的書面調取函。對於保險公司或對方當事人的律師，應先核查披露是否有法律依據，並且只提供相關時段的錄影。
拍到員工的攝像頭，還涉及工作場所監控的問題。請參閱HR工作中的PDPA：員工資訊與監控攝像頭。
預訂系統與外部服務商
客房預訂系統、酒店管理系統和營銷公司是代表酒店處理資訊的主體。應當訂立資料處理協議，明確服務商可以為何種目的使用資訊、如何保障安全，以及資訊洩露時必須立即通知酒店。
資訊洩露時
- 自知悉事件之日起72小時內通知個人資料保護委員會辦公室，但事件不會對個人權利造成風險的除外。
- 如果風險較高，例如護照或信用卡洩露，還必須通知受影響的住客，並說明補救措施。
- 記錄事件經過和採取的措施，即使評估後認為無需通報的情形也應如此。
違反PDPA，最高可處以500萬泰銖的行政罰款，遭受損害的住客還可以起訴要求賠償。
酒店自查清單
- 制定面向住客的隱私告知書，並在前臺和預訂頁面展示。
- 確定從護照和身份證上保留哪些資訊，並遮蓋不需要的資訊。
- 禁止通過個人聊天軟體傳送住客證件影印件，並設定替代渠道。
- 為紙質檔案和電子檔案設定儲存期限和銷燬方式。
- 建立TM.30通報機制，確保在24小時內完成，包括夜班。
- 檢查監控攝像頭的位置，張貼告示，並設定錄影儲存期限。
- 與預訂系統和營銷服務商訂立資料處理協議。
- 準備處理資訊查閱請求和報告資訊洩露的程式。
延伸閱讀
📌 延伸閱讀：企業PDPA合規體系建設 · 商業法
如果您想檢查酒店的入住登記流程、預訂系統和監控攝像頭是否符合PDPA，歡迎諮詢我們的律師團隊。我們會指出風險點，並準備酒店所需的檔案。
本文屬於一般性資訊，不構成針對具體個案的法律意見。
