酒店收集的个人信息，比许多业主以为的要多：姓名、护照号码、面部照片、信用卡信息、出入时间和监控录像。大部分信息是因为法律要求才收集的，但法律要求收集，并不意味着可以随意处理。
酒店依法必须收集的信息
**住客登记册。**酒店法规定，经理须按规定格式备置住客登记册，并核验住客的身份证明文件。
外国人住宿通报（TM.30，即向移民局通报外国住客住宿情况的表格）。外国住客入住时，酒店经理必须在24小时内向入境管理官员通报。目前可通过在线系统通报。未按期通报的，将被处以罚款。
这类信息可以依据履行法定义务的基础收集，无需征得住客同意。但仍须通过隐私告知书告知住客，并且只收集法律要求的范围。
酒店常犯的错误
**在LINE群里发送护照复印件。**前台员工把护照拍照后，通过聊天软件发给经理、司机或旅行社。这些图片留在许多人的私人手机里，没有人删除。这是最常见的泄露点。
**收集超出必要范围。**复印护照的每一页，或把泰国住客的身份证完整复印留存。如果身份证复印件上有宗教信息（属于敏感信息），存档前应将其遮盖。
**无限期保存。**住客登记册档案和多年前的护照扫描件，存放在任何人都能打开的前台电脑里。
**把信息用于不当目的。**把住客登记册中的电子邮箱或电话号码用来发送促销信息。直接营销应当另行征得同意。
**信用卡信息。**把卡号抄在纸上或存在文件里，以便日后扣款。
监控摄像头
- 在大堂、走廊、停车场等公共区域出于安全目的安装的摄像头，可以依据合法利益的基础。
- 在入口处张贴告示，说明设有监控摄像头，并提供联系方式。
- 禁止安装在客房、卫生间、更衣室和水疗理疗室。
- 设定保存期限，并限制可以查看或调取录像的人员。
- 发生事件时，应在系统覆盖录像之前，把相关时段的录像调出并单独保存，保存至争议结束为止。
**住客要求查看录像。**住客有权查阅自己的信息。酒店必须在30天内办理。如果画面中还有其他人，交付前应遮挡其他人的面部。
**警方或保险公司的请求。**警方应出具正式的书面调取函。对于保险公司或对方当事人的律师，应先核查披露是否有法律依据，并且只提供相关时段的录像。
拍到员工的摄像头，还涉及工作场所监控的问题。请参阅HR工作中的PDPA：员工信息与监控摄像头。
预订系统与外部服务商
客房预订系统、酒店管理系统和营销公司是代表酒店处理信息的主体。应当订立数据处理协议，明确服务商可以为何种目的使用信息、如何保障安全，以及信息泄露时必须立即通知酒店。
信息泄露时
- 自知悉事件之日起72小时内通知个人数据保护委员会办公室，但事件不会对个人权利造成风险的除外。
- 如果风险较高，例如护照或信用卡泄露，还必须通知受影响的住客，并说明补救措施。
- 记录事件经过和采取的措施，即使评估后认为无需通报的情形也应如此。
违反PDPA，最高可处以500万泰铢的行政罚款，遭受损害的住客还可以起诉要求赔偿。
酒店自查清单
- 制定面向住客的隐私告知书，并在前台和预订页面展示。
- 确定从护照和身份证上保留哪些信息，并遮盖不需要的信息。
- 禁止通过个人聊天软件发送住客证件复印件，并设定替代渠道。
- 为纸质文件和电子文件设定保存期限和销毁方式。
- 建立TM.30通报机制，确保在24小时内完成，包括夜班。
- 检查监控摄像头的位置，张贴告示，并设定录像保存期限。
- 与预订系统和营销服务商订立数据处理协议。
- 准备处理信息查阅请求和报告信息泄露的程序。
延伸阅读
📌 延伸阅读：企业PDPA合规体系建设 · 商业法
如果您想检查酒店的入住登记流程、预订系统和监控摄像头是否符合PDPA，欢迎咨询我们的律师团队。我们会指出风险点，并准备酒店所需的文件。
本文属于一般性信息，不构成针对具体个案的法律意见。
