เช็กลิสต์ PDPA สำหรับโรงแรมและท่องเที่ยว สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานระบบจองการเดินทางหรือเซ็นสัญญากับโรงแรม/OTA รายใหม่ องค์กรการเงินและประกันควรตรวจสามกลุ่มหลัก คือข้อตกลงการใช้ข้อมูลกับผู้ให้บริการ ช่องทางส่งข้อมูลพาสปอร์ตของผู้บริหาร และวิธีจัดเก็บหลักฐานการเข้าพักที่ใช้ประกอบการเคลมประกัน แต่ละกลุ่มมีรายการตรวจที่เป็นรูปธรรมก่อนอนุมัติให้ใช้งานจริง

ทีมเดินทางองค์กรของธนาคารระดับภูมิภาคแห่งหนึ่งจองห้องพักผ่าน OTA มากกว่าร้อยละ 70 ของทริปธุรกิจทั้งหมดในแต่ละปี เหตุผลคือราคาที่ดีกว่าและความสะดวกในการจองหลายเมืองพร้อมกัน แต่ตัวเลขนี้แปลว่าข้อมูลผู้บริหารและพนักงานส่วนใหญ่ที่เดินทาง ไม่ได้ถูกส่งตรงจากองค์กรไปยังโรงแรม แต่ไหลผ่านคนกลางอย่างน้อยหนึ่งชั้นก่อนถึงปลายทางเสมอ หากไม่มีเช็กลิสต์ตรวจสอบก่อนเปิดใช้งานผู้ให้บริการรายใหม่หรือระบบจองใหม่ องค์กรจะรู้ตัวว่าข้อมูลไหลผ่านช่องทางที่ไม่รัดกุมก็ต่อเมื่อเกิดปัญหาขึ้นแล้วเท่านั้น

เช็กลิสต์นี้เขียนขึ้นสำหรับฝ่ายกฎหมาย Privacy Security และ Compliance ที่ต้องอนุมัติก่อนองค์กรเริ่มใช้งานระบบจองการเดินทางใหม่ หรือก่อนเซ็นสัญญากับโรงแรมและ OTA รายใหม่

ทำไมต้องเช็กก่อนเริ่มใช้งานระบบจองการเดินทางใหม่ทุกครั้ง

ธุรกิจการเงินและกลุ่มธุรกิจประกันภัยมักมีข้อผูกพันด้านการควบคุมข้อมูลภายในที่เข้มงวดกว่าธุรกิจทั่วไปอยู่แล้ว การเปิดใช้งานระบบจองใหม่หรือเซ็นสัญญากับผู้ให้บริการรายใหม่โดยไม่ผ่านการตรวจสอบตามรายการที่กำหนดไว้ล่วงหน้า มักเป็นจุดที่ทำให้ช่องโหว่หลุดรอดเข้าไปในกระบวนการโดยไม่มีใครตั้งใจ เพราะทีมจัดซื้อหรือทีมเดินทางมักโฟกัสที่ราคาและความสะดวกเป็นหลัก ไม่ได้มองมุมข้อมูลส่วนบุคคลเป็นอันดับแรก เช็กลิสต์นี้จึงมีไว้เพื่อให้ทีม Compliance เข้ามาตรวจก่อนอนุมัติ ไม่ใช่มาแก้ไขทีหลัง

เช็กลิสต์ก่อนเซ็นสัญญากับโรงแรมหรือ OTA รายใหม่

ก่อนเซ็นสัญญากับโรงแรมหรือ OTA รายใหม่ ทีม Compliance ควรตรวจว่าสัญญาระบุชัดเจนว่าใครเป็นผู้ควบคุมข้อมูลและใครเป็นผู้ประมวลผลข้อมูลในแต่ละขั้นตอนของการจอง ตรวจว่ามีข้อกำหนดเรื่องระยะเวลาการเก็บข้อมูลและการลบข้อมูลเมื่อยกเลิกสัญญาระบุไว้เป็นลายลักษณ์อักษร และตรวจว่าผู้ให้บริการมีมาตรการรักษาความปลอดภัยขั้นต่ำที่สอดคล้องกับมาตรฐานภายในองค์กร ไม่ใช่แค่คำรับรองปากเปล่าจากฝ่ายขาย

นอกจากนี้ควรตรวจด้วยว่าสัญญาระบุช่องทางติดต่อเมื่อองค์กรต้องการใช้สิทธิ์ขอลบหรือแก้ไขข้อมูลของพนักงานที่เดินทาง เพราะหากไม่มีช่องทางที่ชัดเจน การขอใช้สิทธิ์ในอนาคตอาจล่าช้าจนเกินกำหนดเวลาที่ควรตอบสนอง

เช็กลิสต์เรื่องข้อมูลพาสปอร์ตและเอกสารระบุตัวตนของผู้บริหาร

ก่อนอนุมัติให้ทีมเดินทางใช้ระบบใหม่ส่งข้อมูลพาสปอร์ตของผู้บริหารให้โรงแรม ควรตรวจว่าช่องทางที่ใช้ส่งข้อมูลมีการเข้ารหัสระหว่างทาง ไม่ใช่การแนบไฟล์ส่งทางอีเมลธรรมดาที่พนักงานคนไหนก็เปิดอ่านได้ ตรวจว่าระบบมีการกำหนดสิทธิ์เข้าถึงเฉพาะพนักงานที่รับผิดชอบทริปนั้นจริง และตรวจว่ามีขั้นตอนลบสำเนาไฟล์ออกจากอุปกรณ์หรือระบบชั่วคราวหลังจบทริปแล้ว เพราะข้อมูลพาสปอร์ตของผู้บริหารระดับสูงมีความเสี่ยงต่อการถูกนำไปใช้แอบอ้างตัวตนสูงกว่าพนักงานทั่วไป

เช็กลิสต์เรื่องหลักฐานที่ใช้ประกอบการเคลมประกันการเดินทาง

สำหรับกลุ่มธุรกิจประกันภัยที่รับเคลมประกันการเดินทางจากลูกค้าองค์กร ก่อนเปิดระบบรับเอกสารการเข้าพักโรงแรมจากลูกค้าออนไลน์ ควรตรวจว่าระบบแยกพื้นที่จัดเก็บหลักฐานการเข้าพักออกจากฐานข้อมูลกรมธรรม์ทั่วไป ตรวจว่าเฉพาะทีมสินไหมที่รับผิดชอบเคสนั้นเท่านั้นที่เข้าถึงเอกสารได้ และตรวจว่ามีกำหนดระยะเวลาเก็บเอกสารหลังปิดเคสที่ชัดเจน ไม่ใช่เก็บไว้ไม่มีกำหนด เพราะเอกสารการเข้าพักมักมีทั้งชื่อคู่เดินทาง สถานที่ และช่วงเวลาที่อาจเปิดเผยข้อมูลส่วนตัวมากกว่าข้อมูลกรมธรรม์ทั่วไป

เช็กลิสต์เรื่องบทบาทของโรงแรมเมื่อรับข้อมูลที่ OTA เก็บมาก่อนแล้ว

จุดที่ทีม Compliance ขององค์กรการเงินมักมองข้ามคือ ข้อมูลของผู้บริหารที่เดินทางไม่ได้เริ่มต้นที่โรงแรมเลย แต่เริ่มต้นที่แพลตฟอร์ม OTA ตั้งแต่วันที่มีการค้นหาห้องพักและกรอกข้อมูลผู้เข้าพัก โรงแรมจึงอยู่ในสถานะผู้รับข้อมูลที่ถูกเก็บมาก่อนแล้วโดยคนกลาง ไม่ใช่ผู้เก็บข้อมูลรายแรก ก่อนอนุมัติให้ทีมเดินทางใช้ OTA รายใดเป็นช่องทางหลัก ควรตรวจว่าสัญญาระหว่างองค์กรกับ OTA และสัญญาระหว่าง OTA กับโรงแรมปลายทาง ระบุสอดคล้องกันหรือไม่ว่าใครมีหน้าที่ตอบคำขอใช้สิทธิ์ของพนักงานที่เดินทาง เพราะหากพนักงานต้องการขอลบข้อมูลการจอง แล้วทั้งสองฝ่ายโยนความรับผิดชอบกันไปมา การขอใช้สิทธิ์นั้นจะไม่มีผู้รับผิดชอบจริงเลย

ควรตรวจเพิ่มด้วยว่า เมื่อ OTA ส่งข้อมูลการจองมาถึงระบบของโรงแรมแล้ว โรงแรมมีการยืนยันความถูกต้องของข้อมูลก่อนนำไปใช้หรือไม่ เพราะข้อมูลที่ผิดพลาดจาก OTA (เช่น ชื่อสะกดผิดจากพาสปอร์ต หรือหมายเลขห้องพักที่สลับกัน) อาจถูกส่งต่อเข้าสู่ระบบของโรงแรมโดยไม่มีใครตรวจทานซ้ำ ทีม Compliance ควรกำหนดให้มีจุดยืนยันข้อมูลอย่างน้อยหนึ่งครั้งก่อนวันเข้าพักจริง โดยเฉพาะทริปที่มีผู้บริหารระดับสูงร่วมเดินทาง

เช็กลิสต์เรื่องโปรไฟล์สะสมของนักเดินทางองค์กรที่เดินทางบ่อย

ธนาคารและบริษัทประกันหลายแห่งให้ผู้บริหารระดับสูงเข้าโปรแกรมสมาชิกสะสมคะแนนของเครือโรงแรมเพื่อความสะดวกในการจองและอัปเกรดห้องพัก แต่โปรแกรมเหล่านี้มักเก็บประวัติการเข้าพักย้อนหลังหลายปี ทั้งวันที่เดินทาง เมืองที่ไปบ่อย และรูปแบบการเข้าพักที่คาดเดาได้ ก่อนอนุมัติให้ผู้บริหารระดับสูงสมัครโปรแกรมสมาชิกของโรงแรมหรือเครือ OTA ใด ควรตรวจว่ามีช่องทางให้ปิดการเก็บประวัติการเดินทางแบบสะสมได้หากผู้บริหารต้องการ และตรวจว่าใครในโรงแรมหรือ OTA เข้าถึงประวัติสะสมนี้ได้บ้าง เพราะรูปแบบการเดินทางที่คาดเดาได้ของผู้บริหารระดับสูงเป็นข้อมูลที่มีความอ่อนไหวต่อความปลอดภัยส่วนบุคคลมากกว่าพนักงานทั่วไป

ควรตรวจด้วยว่าฝ่ายการตลาดของโรงแรมหรือ OTA นำประวัติการเข้าพักสะสมไปใช้ส่งข้อเสนอส่วนบุคคลกลับมาที่อีเมลองค์กรหรือไม่ หากมีการส่งข้อเสนอที่ระบุรายละเอียดการเดินทางในอดีตอย่างเจาะจงเกินไป ควรมีช่องทางแจ้งขอถอนความยินยอมรับข่าวสารลักษณะนี้แยกจากการถอนความยินยอมทั่วไป เพื่อไม่ให้ข้อมูลรูปแบบการเดินทางของผู้บริหารถูกใช้ในทางที่ไม่จำเป็น

เช็กลิสต์เรื่องกล้องวงจรปิดในพื้นที่ประชุมและพื้นที่ส่วนกลางของโรงแรม

ทริปธุรกิจขององค์กรการเงินมักใช้ห้องประชุมหรือพื้นที่จัดสัมมนาภายในโรงแรม ซึ่งมีกล้องวงจรปิดติดตั้งอยู่ทั้งในทางเดินและบางครั้งอยู่ในตัวห้องประชุมเอง ก่อนจัดกิจกรรมที่มีการพูดคุยเรื่องข้อมูลลูกค้าหรือข้อมูลทางการเงินในห้องประชุมของโรงแรม ควรตรวจกับโรงแรมว่ามีกล้องวงจรปิดหรือไมโครโฟนบันทึกเสียงอยู่ในห้องนั้นหรือไม่ และหากมี ควรขอปิดชั่วคราวหรือเลือกห้องที่ไม่มีการบันทึกภาพและเสียงระหว่างการประชุมที่มีเนื้อหาอ่อนไหว การตรวจจุดนี้ล่วงหน้าช่วยลดโอกาสที่ข้อมูลลูกค้าจะถูกพูดถึงในพื้นที่ที่มีการบันทึกโดยไม่ตั้งใจ

ข้อผิดพลาดที่พบบ่อยก่อนเปิดใช้งานระบบเดินทางใหม่

• อนุมัติสัญญากับ OTA หรือโรงแรมรายใหม่โดยดูแค่ราคา ไม่ตรวจข้อกำหนดเรื่องผู้ควบคุมและผู้ประมวลผลข้อมูล
• ให้ทีมเดินทางส่งไฟล์พาสปอร์ตผู้บริหารผ่านอีเมลธรรมดาโดยไม่มีการเข้ารหัส
• ไม่กำหนดระยะเวลาลบสำเนาเอกสารระบุตัวตนออกจากอุปกรณ์ของพนักงานหลังจบทริป
• เก็บหลักฐานเคลมประกันการเดินทางปนกับฐานข้อมูลกรมธรรม์ทั่วไปโดยไม่จำกัดสิทธิ์เข้าถึง

สรุป

เช็กลิสต์ก่อนเปิดใช้งานระบบจองการเดินทางหรือเซ็นสัญญากับโรงแรมและ OTA รายใหม่ ควรครอบคลุมสามเรื่องหลักเสมอ คือข้อกำหนดในสัญญาเรื่องบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล ความปลอดภัยของช่องทางส่งข้อมูลพาสปอร์ตผู้บริหาร และการจัดเก็บหลักฐานเคลมประกันแยกจากข้อมูลกรมธรรม์ทั่วไป การตรวจตามรายการนี้ก่อนอนุมัติทุกครั้งไม่ได้ทำให้ความเสี่ยงหมดไปทั้งหมด แต่ช่วยลดโอกาสที่จะต้องแก้ไขปัญหาย้อนหลังหลังจากระบบเปิดใช้งานไปแล้ว ทีมที่ต้องการภาพรวมเพิ่มเติมควรอ่าน คู่มือภาพรวม PDPA สำหรับโรงแรมและท่องเที่ยวขององค์กรการเงิน และใช้ แนวทาง Audit ประจำรอบหกเดือน ควบคู่กับเช็กลิสต์นี้เพื่อดูแลระบบต่อเนื่องหลังเปิดใช้งานแล้ว

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และดูภาพรวมหมวดอื่นเพิ่มเติมได้ที่ หน้ารวมความรู้ Business, Industry & SEO ของ trusty