วิธีวางระบบ PDPA สำหรับโรงแรมและท่องเที่ยว สำหรับ SME แบบเป็นขั้นตอน

เช้าวันจันทร์ เจ้าของรีสอร์ทขนาด 18 ห้องริมทะเลแห่งหนึ่งในกระบี่เปิดอีเมลแล้วเจอข้อความจากแขกชาวเยอรมันที่เพิ่งเช็คเอาท์ไปเมื่อสัปดาห์ก่อน เขาถามตรงๆ ว่ารีสอร์ทเก็บสำเนาพาสปอร์ตและเลขบัตรเครดิตของเขาไว้ที่ไหน ใครเข้าถึงได้บ้าง และจะลบให้เมื่อไหร่ เจ้าของรีสอร์ทเปิดลิ้นชักหลังเคาน์เตอร์แล้วเจอแฟ้มกระดาษเช็คอินย้อนหลังสามปี ไม่มีการแบ่งชั้นการเข้าถึง ไม่มีกำหนดทำลาย และไม่รู้ด้วยซ้ำว่าจะตอบอีเมลนี้อย่างไรให้ถูกต้อง นี่คือจุดเริ่มต้นทั่วไปของธุรกิจโรงแรมและท่องเที่ยวขนาดเล็กที่ไม่มีแผนกกฎหมายหรือ DPO ประจำ แต่ต้องรับมือกับข้อมูลส่วนบุคคลของแขกทุกวัน

บทความนี้เขียนขึ้นสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์โรงแรม เกสต์เฮาส์ ทัวร์ หรือรีสอร์ทขนาดเล็กถึงกลางโดยเฉพาะ ไม่ใช่คู่มือระดับเชนโรงแรมใหญ่ที่มีทีม Compliance เต็มรูปแบบ เป้าหมายคือให้ทีมเล็กๆ หนึ่งถึงสามคนสามารถวางระบบ PDPA ได้จริงภายในงบประมาณจำกัด โดยอ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก

ทำไมโรงแรมและท่องเที่ยวถึงมีความเสี่ยงด้านข้อมูลสูงกว่าธุรกิจทั่วไป

ธุรกิจที่พักและท่องเที่ยวเก็บข้อมูลส่วนบุคคลที่ละเอียดอ่อนกว่าร้านค้าทั่วไปหลายชั้น เพราะกฎหมายและระเบียบราชการไทยกำหนดให้ที่พักต้องเก็บสำเนาบัตรประชาชนหรือพาสปอร์ตของแขกเพื่อแจ้งตำรวจตรวจคนเข้าเมืองและสำนักทะเบียน ขณะเดียวกันก็ต้องเก็บข้อมูลบัตรเครดิตเพื่อยืนยันการจองห้องพัก ข้อมูลสุขภาพบางส่วนจากคำขอพิเศษ เช่น อาหารแพ้ หรือคำขอห้องสำหรับผู้พิการ และยังต้องแชร์ข้อมูลบางส่วนกับแพลตฟอร์มจองห้องพักอย่าง Booking.com, Agoda หรือ Airbnb ซึ่งเป็นผู้ควบคุมข้อมูลร่วมกันในบางกรณี ความซับซ้อนนี้ทำให้จุดรั่วไหลของข้อมูลเกิดขึ้นได้ง่ายกว่าธุรกิจที่ขายสินค้าออนไลน์ทั่วไปมาก และเมื่อเกิดปัญหาขึ้น แขกต่างชาติจำนวนไม่น้อยรู้สิทธิของตนตามกฎหมายคุ้มครองข้อมูลในประเทศบ้านเกิด จึงมักตั้งคำถามตรงๆ กับที่พักเช่นในกรณีข้างต้น

6 ขั้นตอนวางระบบ PDPA สำหรับที่พักและธุรกิจท่องเที่ยวขนาด SME

ขั้นตอนที่ 1: ทำแผนที่ข้อมูล (Data Mapping) แบบง่ายที่สุดเท่าที่ทำได้จริง

ก่อนแก้อะไร ต้องรู้ก่อนว่าตอนนี้ข้อมูลแขกไหลผ่านจุดไหนบ้าง ให้ทีมเล็กๆ นั่งคุยกันหนึ่งชั่วโมงแล้วไล่ตามเส้นทางจริงของแขกหนึ่งคน ตั้งแต่จองผ่านเว็บไซต์หรือ OTA กรอกฟอร์มเช็คอิน สแกนบัตรประชาชน จ่ายเงินผ่านเครื่องรูดบัตร ไปจนถึงข้อมูลที่อาจถูกส่งต่อให้แผนกทัวร์หรือรถรับส่ง เขียนลงกระดาษหรือ Excel ธรรมดาก็พอ ไม่จำเป็นต้องใช้ซอฟต์แวร์แพง ให้ระบุว่าข้อมูลแต่ละจุดเก็บไว้ที่ไหน เป็นกระดาษหรือไฟล์ดิจิทัล ใครมีสิทธิ์เข้าถึง และมีการส่งต่อให้บุคคลภายนอกหรือไม่

ขั้นตอนที่ 2: ปรับแบบฟอร์มเช็คอินและป้ายแจ้ง CCTV ให้มีคำแจ้งเตือน (Privacy Notice)

แบบฟอร์มเช็คอินกระดาษหรือดิจิทัลต้องมีข้อความสั้นๆ แจ้งแขกว่าเก็บข้อมูลอะไรบ้าง เก็บไปเพื่ออะไร เก็บนานแค่ไหน และติดต่อใครได้หากต้องการใช้สิทธิ ไม่จำเป็นต้องเขียนยาวเป็นหน้ากระดาษ ข้อความสามถึงสี่บรรทัดที่อ่านเข้าใจง่ายเพียงพอสำหรับที่พักขนาดเล็ก เช่นเดียวกับป้าย CCTV ที่ต้องติดให้เห็นชัดเจนบริเวณล็อบบี้ ทางเดิน และจุดที่มีกล้องวงจรปิด ระบุวัตถุประสงค์ เช่น เพื่อความปลอดภัยของแขกและทรัพย์สิน และระยะเวลาที่เก็บภาพไว้โดยประมาณ

ขั้นตอนที่ 3: ทบทวนสัญญาและการแชร์ข้อมูลกับ OTA และพันธมิตรทัวร์

ที่พักส่วนใหญ่แชร์ข้อมูลแขกกับแพลตฟอร์มจองห้องพักโดยอัตโนมัติผ่านระบบ Channel Manager แต่หลายเจ้าของกิจการไม่เคยอ่านเงื่อนไขว่าใครเป็นผู้รับผิดชอบข้อมูลส่วนไหน ให้กลับไปอ่านข้อตกลงกับ OTA แต่ละราย และหากทำงานร่วมกับบริษัททัวร์หรือรถรับส่งภายนอก ควรมีข้อตกลงเป็นลายลักษณ์อักษรอย่างน้อยแบบสั้นๆ ระบุว่าห้ามนำข้อมูลแขกไปใช้นอกเหนือจากบริการที่ตกลงกันไว้

ขั้นตอนที่ 4: กำหนดระยะเวลาเก็บและวิธีทำลายเอกสาร

สำเนาบัตรประชาชนและพาสปอร์ตที่เก็บไว้เพื่อแจ้งตรวจคนเข้าเมืองมักมีกรอบเวลาที่กฎหมายอื่นกำหนดไว้อยู่แล้ว ให้ตรวจสอบกรอบเวลานั้นแล้วกำหนดเป็นนโยบายเก็บข้อมูลของกิจการเอง เช่น เก็บสำเนาบัตร 1 ปีตามรอบบัญชี แล้วทำลายด้วยเครื่องย่อยกระดาษหรือฟังก์ชันลบถาวรในระบบดิจิทัล อย่าปล่อยให้แฟ้มเช็คอินกองพะเนินอยู่หลังเคาน์เตอร์เป็นปี ๆ อย่างในกรณีตัวอย่างข้างต้น

ขั้นตอนที่ 5: ตั้งผู้รับผิดชอบด้านข้อมูลแทนตำแหน่ง DPO เต็มรูปแบบ

ที่พักขนาดเล็กไม่จำเป็นต้องจ้าง DPO เต็มเวลา แต่ควรมีคนหนึ่งคน อาจเป็นผู้จัดการหรือเจ้าของเอง ทำหน้าที่เป็นจุดติดต่อเมื่อแขกสอบถามเรื่องข้อมูลส่วนตัว รวมถึงเป็นคนตัดสินใจเมื่อเกิดเหตุข้อมูลรั่วไหลเล็กๆ เช่น อีเมลส่งผิดคน หรือแฟ้มเช็คอินหาย บทบาทนี้ควรระบุไว้ในเอกสารภายในให้ชัดเจนว่าใครทำ ไม่ใช่ปล่อยให้เป็นหน้าที่ลอยๆ ของทุกคน

ขั้นตอนที่ 6: ฝึกพนักงานหน้างานให้ตอบคำถามแขกได้อย่างมั่นใจ

พนักงานต้อนรับคือด่านหน้าที่ต้องเจอคำถามแบบในกรณีเปิดเรื่องนี้จริง การฝึกอบรมไม่จำเป็นต้องเป็นคอร์สยาว ใช้เวลา 30 นาทีสอนพนักงานว่าเมื่อแขกถามเรื่องข้อมูลส่วนตัวควรพูดอย่างไร ส่งต่อให้ใคร และห้ามพูดคำมั่นสัญญาที่เกินจริงเกี่ยวกับความปลอดภัยของข้อมูล เพราะการพูดเกินจริงอาจสร้างปัญหามากกว่าการยอมรับตรงๆ ว่ากำลังปรับปรุงระบบอยู่

ตารางสรุปจุดเก็บข้อมูลแขกและความเสี่ยงที่ควรจับตา

เพื่อให้ทีมงานเห็นภาพรวมได้เร็วขึ้น ลองสรุปจุดเก็บข้อมูลหลักของที่พักลงในตารางง่ายๆ แบบนี้ก่อนเริ่มลงมือแก้ไขจริง จะช่วยให้ทีมเล็กๆ จัดลำดับความสำคัญได้ว่าควรทำอะไรก่อนหลัง แทนที่จะพยายามแก้ทุกจุดพร้อมกันจนไม่มีจุดไหนเสร็จสมบูรณ์เลย

ทำไมการจัดลำดับความสำคัญถึงสำคัญกว่าการทำทุกอย่างพร้อมกัน

ทีมงานที่พักขนาดเล็กมักมีเวลาว่างจากงานประจำไม่มากนัก การพยายามแก้ทุกจุดในตารางพร้อมกันมักจบลงด้วยการไม่มีจุดไหนเสร็จสมบูรณ์สักจุด แนวทางที่ได้ผลกว่าคือเลือกจุดที่มีความเสี่ยงสูงสุดและแก้ไขได้เร็วที่สุดก่อน เช่น การติดป้าย CCTV ใหม่ทำเสร็จได้ภายในหนึ่งวัน ขณะที่การเจรจาข้อตกลงกับพันธมิตรทัวร์อาจต้องใช้เวลาหลายสัปดาห์ การเริ่มจากงานเร็วก่อนจะสร้างแรงจูงใจให้ทีมทำงานต่อในจุดที่ยากขึ้น

ตัวอย่าง Evidence ที่ควรเก็บไว้เมื่อถูกตรวจสอบ

เมื่อวางระบบตามหกขั้นตอนข้างต้นแล้ว สิ่งที่มักถูกมองข้ามคือการเก็บหลักฐานว่าทำจริง ไม่ใช่แค่พูดว่าทำ ตัวอย่าง Evidence ที่ควรมีติดแฟ้มไว้ ได้แก่ ภาพถ่ายป้ายแจ้ง CCTV ที่ติดจริงพร้อมวันที่ถ่าย แบบฟอร์มเช็คอินเวอร์ชันล่าสุดที่มีข้อความแจ้งข้อมูลส่วนบุคคล บันทึกการฝึกอบรมพนักงานพร้อมรายชื่อผู้เข้าร่วม อีเมลหรือเอกสารตอบกลับแขกที่เคยขอใช้สิทธิ และบันทึกการทำลายเอกสารประจำปี เอกสารเหล่านี้ไม่ต้องสวยหรูแต่ต้องมีจริงและมีวันที่กำกับชัดเจน เพื่อให้ตอบได้ทันทีหากมีการสอบถามจากแขกหรือหน่วยงานกำกับดูแล

ข้อผิดพลาดที่พบบ่อยของที่พักขนาด SME เมื่อวางระบบ PDPA

• เก็บสำเนาบัตรประชาชนและพาสปอร์ตไว้นานเกินความจำเป็นโดยไม่มีกำหนดทำลาย
• ใช้แบบฟอร์มเช็คอินเดิมที่ไม่มีข้อความแจ้งวัตถุประสงค์การเก็บข้อมูลเลย
• ไม่เคยอ่านเงื่อนไขการแชร์ข้อมูลกับ OTA จึงไม่รู้ว่าใครรับผิดชอบข้อมูลส่วนไหน
• ติดกล้อง CCTV เพิ่มโดยไม่ปรับป้ายแจ้งให้ครอบคลุมจุดใหม่
• ไม่มีใครในทีมรู้ว่าต้องทำอย่างไรเมื่อแขกขอใช้สิทธิเข้าถึงหรือลบข้อมูล

สรุป: เริ่มจากจุดเสี่ยงสูงสุดก่อน ไม่ต้องรอให้ระบบสมบูรณ์

ที่พักและธุรกิจท่องเที่ยวขนาด SME ไม่จำเป็นต้องมีระบบ PDPA ที่ซับซ้อนเท่าเชนโรงแรมใหญ่ สิ่งสำคัญคือเริ่มจากจุดที่มีความเสี่ยงสูงสุดก่อน เช่น สำเนาบัตรประชาชนที่กองอยู่หลังเคาน์เตอร์ หรือป้าย CCTV ที่ไม่มีข้อความแจ้ง แล้วค่อยขยายไปทีละขั้นตอนตามหกขั้นตอนที่กล่าวมา พร้อมเก็บ Evidence ไว้ทุกครั้งที่ทำ เพื่อให้ตอบคำถามแขกหรือหน่วยงานกำกับดูแลได้อย่างมั่นใจ หากต้องการดูภาพรวมทั้งหมดของกลุ่มหัวข้อนี้ สามารถอ่านเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับโรงแรมและท่องเที่ยว สำหรับ SME ฉบับเต็ม และแบบตรวจสอบเร็วที่ Checklist PDPA สำหรับโรงแรมและท่องเที่ยว สำหรับ SME

แหล่งข้อมูลอ้างอิง

เนื้อหาในบทความนี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก เพื่อใช้เป็นแนวทางเบื้องต้นสำหรับธุรกิจที่พัก ไม่ใช่คำแนะนำทางกฎหมายที่ครอบคลุมทุกกรณี หากมีข้อสงสัยเฉพาะกรณี ควรปรึกษาที่ปรึกษากฎหมายหรือหน่วยงานกำกับดูแลโดยตรง ดูข้อมูลเพิ่มเติมได้ที่ ศูนย์ความรู้ Business, Industry & SEO ของ trusty