อัปเดต PDPA สำหรับโรงแรมและท่องเที่ยว ปี 2026: สิ่งที่องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงต้องทบทวน

ปี 2026 จุดที่องค์กรการเงิน ประกันภัย และธุรกิจเสี่ยงสูงต้องทบทวนคือการไหลของข้อมูลจาก OTA เข้าสู่ระบบพันธมิตรของตัวเอง การเก็บสำเนาหนังสือเดินทางที่ยังผูกกับสัญญาเดิม และขอบเขตการแชร์ข้อมูลผู้เข้าพักกับบุคคลที่สามเพื่อทำประกันการเดินทางหรือประเมินความเสี่ยง ควรตรวจสอบทุก 3 เดือนตามระดับความเสี่ยงของธุรกิจ ไม่ใช่รอจนมีปัญหาแล้วค่อยแก้

หลายทีม Compliance ในธุรกิจประกันภัยและสถาบันการเงินที่ทำโปรแกรมพันธมิตรกับโรงแรมหรือแพลตฟอร์มจองห้องพักมักเข้าใจว่า ข้อมูลผู้เข้าพักที่ไหลมาจาก OTA หรือโรงแรมคู่ค้าเป็น "ข้อมูลของฝ่ายโรงแรมล้วนๆ" องค์กรตัวเองแค่รับมาใช้ปลายทาง ไม่มีภาระต้องตรวจสอบต้นทาง ความเข้าใจนี้ผิดตั้งแต่จุดเริ่ม เพราะเมื่อองค์กรการเงินหรือประกันภัยนำข้อมูลนั้นไปประมวลผลต่อ เช่น คำนวณเบี้ยประกันการเดินทาง ตรวจสอบเคลมที่เกี่ยวกับการเข้าพัก หรือผูกกับโปรแกรมบัตรเครดิตพรีเมียมที่มีสิทธิพิเศษโรงแรม องค์กรกลายเป็นผู้ควบคุมข้อมูลร่วมทันที ไม่ใช่ผู้รับข้อมูลแบบไม่มีภาระใดๆ และนี่คือสิ่งที่ปี 2026 ทำให้ชัดเจนขึ้นกว่าที่เคย

สิ่งที่เปลี่ยนไปจริงในปี 2026 ไม่ใช่แค่ตัวเลขปีที่เปลี่ยน

สิ่งที่ต้องจับตาไม่ใช่กฎหมายใหม่ทั้งฉบับ แต่คือแนวปฏิบัติและการบังคับใช้ที่เข้มขึ้นในสามจุด จุดแรกคือการตรวจสอบคู่สัญญาระดับ Data Processing Agreement ระหว่างองค์กรการเงินหรือประกันภัยกับโรงแรม พันธมิตรท่องเที่ยว หรือ OTA ที่ส่งข้อมูลผู้เข้าพักเข้ามา หลายองค์กรเซ็นสัญญาไว้ตั้งแต่ก่อนที่แนวทางการกำกับดูแลจะชัดเจน แล้วไม่เคยกลับไปทบทวนเงื่อนไขการแชร์ข้อมูลอีกเลย จุดที่สองคือระยะเวลาการเก็บสำเนาหนังสือเดินทางหรือบัตรประชาชนของผู้เข้าพักที่ผูกกับกรมธรรม์ประกันการเดินทางหรือผลิตภัณฑ์การเงินที่มีอายุสัญญายาว บางกรมธรรม์มีเงื่อนไขเคลมย้อนหลังได้หลายปี ทำให้ข้อมูลอัตลักษณ์นักท่องเที่ยวถูกเก็บนานเกินความจำเป็นโดยไม่มีใครตั้งคำถาม จุดที่สามคือขอบเขตการใช้ข้อมูลพฤติกรรมการเข้าพักเพื่อประเมินความเสี่ยงลูกค้า ซึ่งธุรกิจเสี่ยงสูงบางประเภทเริ่มนำมาใช้แบบไม่ระวังขอบเขตวัตถุประสงค์เดิมที่แจ้งไว้กับผู้เข้าพัก

ข้อมูลหนังสือเดินทางที่เข้ามาทาง OTA คือจุดที่ต้องตรวจซ้ำก่อน

สำหรับโรงแรมและธุรกิจท่องเที่ยว การเก็บสำเนาหนังสือเดินทางหรือบัตรประชาชนตอนเช็คอินเป็นข้อกำหนดทางกฎหมายที่มีมาก่อน PDPA อยู่แล้ว แต่สิ่งที่องค์กรการเงินหรือประกันภัยที่รับข้อมูลนี้ต่อจากโรงแรมมักมองข้ามคือ ข้อมูลชุดเดียวกันอาจผ่านมือมาแล้วหลายทอด เริ่มจากนักท่องเที่ยวกรอกข้อมูลในแพลตฟอร์มจอง ส่งต่อให้โรงแรมตอนยืนยันการจอง แล้วโรงแรมส่งให้พันธมิตรประกันหรือธนาคารอีกทอดเพื่อออกผลิตภัณฑ์ที่เกี่ยวข้อง เช่น ประกันการเดินทางที่แถมมากับการจอง หรือสิทธิพิเศษบัตรเครดิตที่ผูกกับโรงแรมเครือข่าย แต่ละทอดที่ข้อมูลถูกส่งต่อควรมีการบันทึกว่าใครส่งให้ใคร ด้วยวัตถุประสงค์อะไร และผู้เข้าพักรับทราบเรื่องการส่งต่อนี้จากช่องทางไหน หากองค์กรการเงินหรือประกันภัยตอบคำถามนี้ไม่ได้ทันทีที่ถูกถาม นั่นคือสัญญาณว่าถึงเวลาต้องกลับไปตรวจ Data Flow ทั้งสายใหม่

สิ่งที่ทีม Compliance ควรทำก่อนไตรมาสหน้า

ก่อนรอบทบทวนถัดไป มีสามงานที่ควรเริ่มทำจริง ไม่ใช่แค่ตั้งเป็นวาระประชุม งานแรกคือขอสำเนาหรือสรุปแนวทางล่าสุดจากพันธมิตรโรงแรมและ OTA ว่าเก็บข้อมูลอัตลักษณ์ผู้เข้าพักอะไรบ้าง เก็บนานแค่ไหน และส่งต่อให้ใครบ้างนอกเหนือจากองค์กรตัวเอง งานที่สองคือตรวจสอบว่าฐานการประมวลผลที่องค์กรใช้อ้างอิงในการรับข้อมูลผู้เข้าพักมาทำผลิตภัณฑ์ประกันหรือการเงินยังตรงกับสิ่งที่แจ้งผู้เข้าพักไว้จริง ไม่ใช่แจ้งอย่างหนึ่งแต่ใช้ข้อมูลไปอีกอย่างเพราะธุรกิจขยายขอบเขตไปโดยไม่ปรับเอกสาร งานที่สามคือทบทวนอายุการเก็บข้อมูลหนังสือเดินทางหรือบัตรประชาชนของลูกค้าที่กรมธรรม์หรือสัญญาสิ้นสุดไปแล้ว หลายองค์กรเก็บต่อ "เผื่อมีเคลมย้อนหลัง" โดยไม่มีกำหนดเวลาที่ชัดเจน ซึ่งเป็นความเสี่ยงที่สะสมเงียบๆ มาหลายปี

ธุรกิจเสี่ยงสูงต้องระวังเรื่องการนำข้อมูลไปใช้นอกวัตถุประสงค์เดิม

ธุรกิจที่จัดอยู่ในกลุ่มเสี่ยงสูง เช่น ผู้ให้บริการโปรแกรมสมาชิกวีไอพีที่ผูกกับโรงแรมเครือข่ายพันธมิตร มักมีแรงจูงใจนำข้อมูลพฤติกรรมการเข้าพักไปทำโปรไฟล์ลูกค้าเชิงลึกเพื่อประเมินมูลค่าหรือความเสี่ยงของลูกค้าแต่ละราย จุดที่ต้องระวังคือการนำข้อมูลที่ผู้เข้าพักให้ไว้เพื่อวัตถุประสงค์การเข้าพักปกติ ไปใช้ประเมินความเสี่ยงด้านเครดิตหรือด้านอื่นที่ไม่ได้แจ้งไว้ตั้งแต่ต้น แม้กระบวนการคัดกรองลูกค้าจะออกแบบมาอย่างรัดกุมเพียงใด ก็ไม่มีสูตรตายตัวที่ทำให้ผลการประเมินแม่นยำร้อยเปอร์เซ็นต์หรือปิดความเสี่ยงเรื่องขอบเขตวัตถุประสงค์ได้ทั้งหมด สิ่งที่ทำได้จริงคือกำหนดขอบเขตการใช้ข้อมูลให้ชัดตั้งแต่ต้น แจ้งผู้เข้าพักอย่างตรงไปตรงมา และมีบันทึกทุกครั้งที่ขยายขอบเขตการใช้งาน

กรณีตัวอย่างที่พบบ่อยในองค์กรการเงินและประกันภัยที่จับมือกับโรงแรม

ลองนึกภาพบริษัทประกันภัยที่ออกกรมธรรม์ประกันการเดินทางแบบแถมมากับการจองห้องพักผ่านแพลตฟอร์มพันธมิตร ลูกค้าจองห้องพักและกดยอมรับข้อเสนอประกันในหน้าเดียวกันโดยแทบไม่ทันสังเกตว่าข้อมูลชื่อ หมายเลขหนังสือเดินทาง และวันที่เดินทางของตัวเองถูกส่งต่อให้บริษัทประกันทันที เมื่อเกิดเหตุระหว่างเดินทางและลูกค้ายื่นเคลม ทีมตรวจสอบเคลมของบริษัทประกันจะดึงข้อมูลชุดนี้มาใช้ยืนยันตัวตนและระยะเวลาการเข้าพัก แต่คำถามที่มักตอบไม่ได้คือ ข้อมูลที่ใช้ยืนยันตัวตนนี้เก็บไว้ที่ระบบไหน ใครเข้าถึงได้บ้างนอกทีมตรวจสอบเคลม และจะลบเมื่อไหร่หลังกรมธรรม์หมดอายุ อีกตัวอย่างคือธนาคารที่ผูกสิทธิพิเศษโรงแรมเครือข่ายไว้กับบัตรเครดิตพรีเมียม รับข้อมูลประวัติการเข้าพักของผู้ถือบัตรมาคำนวณคะแนนสะสมและจัดระดับสิทธิประโยชน์ หากไม่มีการกำหนดขอบเขตชัดเจน ข้อมูลชุดนี้อาจถูกดึงไปใช้ประกอบการพิจารณาสินเชื่อหรือผลิตภัณฑ์การเงินอื่นโดยลูกค้าไม่เคยรับทราบว่าจะถูกใช้ในลักษณะนี้ ทั้งสองกรณีสะท้อนปัญหาเดียวกันคือ ข้อมูลที่เก็บมาเพื่อวัตถุประสงค์หนึ่งถูกดึงไปใช้ต่อในอีกบริบทหนึ่งโดยไม่มีใครทบทวนว่ายังอยู่ในขอบเขตที่แจ้งลูกค้าไว้หรือไม่ องค์กรที่ตั้งรอบทบทวนทุก 3 เดือนตามที่แนะนำข้างต้น จะจับปัญหาลักษณะนี้ได้ก่อนที่จะกลายเป็นเรื่องใหญ่ตอนถูกลูกค้าร้องเรียนหรือถูกหน่วยงานกำกับดูแลตรวจสอบ

ข้อผิดพลาดที่พบบ่อยเมื่อองค์กรการเงินและประกันภัยตรวจสอบ PDPA ของโรงแรมและท่องเที่ยว

• เชื่อว่าเพราะโรงแรมเก็บข้อมูลถูกต้องตามกฎหมายท้องถิ่นแล้ว องค์กรตัวเองที่รับข้อมูลต่อจึงไม่มีภาระตรวจสอบเพิ่ม
• ไม่แยกแยะว่าข้อมูลชุดไหนมาจาก OTA โดยตรง กับชุดไหนโรงแรมเก็บเองตอนเช็คอิน ทำให้ตอบคำถามผู้เข้าพักเรื่องแหล่งที่มาของข้อมูลไม่ได้
• เก็บสำเนาหนังสือเดินทางต่อเนื่องหลังกรมธรรม์หรือสัญญาสิ้นสุดโดยไม่มีกำหนดเวลาลบหรือทำลายที่ชัดเจน
• ใช้ข้อมูลพฤติกรรมการเข้าพักไปทำโปรไฟล์ความเสี่ยงลูกค้าโดยไม่ได้แจ้งวัตถุประสงค์นี้ไว้ตั้งแต่ต้น
• ปล่อยให้ทีมขายหรือทีมการตลาดเข้าถึงข้อมูลอัตลักษณ์ระดับหนังสือเดินทางเหมือนข้อมูลติดต่อทั่วไป ทั้งที่ควรจำกัดสิทธิ์เข้าถึงแคบกว่านี้มาก

สรุป: อัปเดตอะไรบ้างและต้องทำต่ออย่างไร

โดยรวมแล้วปี 2026 ไม่ได้พลิกกฎเกณฑ์ใหม่ทั้งหมด แต่ทำให้แนวปฏิบัติที่เคยคลุมเครือชัดเจนขึ้น โดยเฉพาะเรื่องการไหลของข้อมูลผ่าน OTA การเก็บสำเนาหนังสือเดินทางที่ผูกกับสัญญาระยะยาว และขอบเขตการใช้ข้อมูลพฤติกรรมการเข้าพักในธุรกิจเสี่ยงสูง องค์กรการเงิน ประกันภัย และธุรกิจเสี่ยงสูงที่จับมือกับโรงแรมหรือแพลตฟอร์มท่องเที่ยวควรตั้งรอบทบทวนทุก 3 เดือน ไม่ใช่รอให้หน่วยงานกำกับดูแลถามก่อนแล้วค่อยไปหาเอกสารย้อนหลัง เพราะข้อมูลอัตลักษณ์ระดับหนังสือเดินทางเป็นข้อมูลที่มีความอ่อนไหวสูงกว่าข้อมูลติดต่อทั่วไปมาก

แหล่งข้อมูลอ้างอิง

ตรวจสอบแนวทางล่าสุดกับคู่มือภาพรวม PDPA สำหรับโรงแรมและท่องเที่ยวสำหรับองค์กรการเงินและประกันภัยและดูหมวดความรู้ทั้งหมดได้ที่ ศูนย์ความรู้ธุรกิจและ SEO ของ trusty เพื่อติดตามการอัปเดตในหมวดอื่นด้วย

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) — pdpc.or.th
• สัญญา Data Processing Agreement ระหว่างองค์กรกับพันธมิตรโรงแรม/OTA ที่ใช้งานจริง
• บันทึกภายในว่าด้วยระยะเวลาการเก็บข้อมูลหนังสือเดินทางที่ผูกกับกรมธรรม์หรือสัญญาการเงิน