เช็กลิสต์ PDPA สำหรับเว็บไซต์ สำหรับโรงแรม ท่องเที่ยว และบริการจองออนไลน์: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

พนักงานต้อนรับของโรงแรมแห่งหนึ่งเปิดเว็บไซต์จองห้องพักขึ้นมาตรวจสอบยอดจอง แล้วพบว่าฟอร์มจองเก็บทั้งเลขที่หนังสือเดินทาง วันเกิด และเบอร์โทรของแขกโดยไม่มีข้อความอธิบายว่าจะใช้ข้อมูลเหล่านี้ทำอะไร ส่วน Cookie Banner ที่ติดไว้มีเพียงปุ่ม "ตกลง" ปุ่มเดียว ไม่มีทางเลือกปฏิเสธ

สภาพแบบนี้พบได้บ่อยในเว็บไซต์โรงแรม ทัวร์ และแพลตฟอร์มจองออนไลน์ของไทย เพราะทีมที่ดูแลเว็บมักโฟกัสที่ประสบการณ์จองห้องให้ราบรื่นที่สุด จนลืมตรวจว่าข้อมูลส่วนบุคคลของแขกถูกจัดการตาม PDPA หรือไม่ บทความนี้รวมจุดตรวจที่ธุรกิจโรงแรม ท่องเที่ยว และบริการจองออนไลน์ควรทำก่อนเปิดใช้งานเว็บไซต์จริง

ทำไมเว็บไซต์จองห้องพักและทัวร์ต้องดู PDPA ต่างจากเว็บทั่วไป

เว็บไซต์ขายสินค้าทั่วไปมักเก็บแค่ชื่อ ที่อยู่จัดส่ง และช่องทางชำระเงิน แต่เว็บไซต์จองห้องพักหรือทัวร์มีชั้นข้อมูลที่ซับซ้อนกว่านั้นหลายชั้น ตั้งแต่ข้อมูลยืนยันตัวตนสำหรับเช็กอิน ข้อมูลการเดินทางข้ามพรมแดนของนักท่องเที่ยวต่างชาติ ไปจนถึงระบบที่เชื่อมกับ OTA อย่าง Agoda หรือ Booking.com ซึ่งแต่ละจุดมีการส่งข้อมูลผู้ใช้ไปมาระหว่างระบบหลายระบบ

อีกจุดที่ต่างคือฤดูกาลการตลาด ธุรกิจท่องเที่ยวมักยิงแคมเปญโปรโมชันตามเทศกาลหรือ Low Season ทำให้มีการติดตั้ง Pixel และ Tracking Script ใหม่บ่อยกว่าธุรกิจทั่วไป หากไม่มีกระบวนการตรวจสอบ Script ใหม่ทุกครั้งก่อนขึ้นเว็บจริง ความเสี่ยงที่ Tracking จะทำงานก่อนผู้ใช้กดยินยอมก็จะสูงขึ้นตามไปด้วย

ข้อมูลที่เว็บไซต์จองมักเก็บจากผู้ใช้

ก่อนตรวจอะไรก็ตาม ทีมงานควรทำ Data Inventory คร่าว ๆ ก่อนว่าเว็บไซต์เก็บข้อมูลอะไรบ้างจากจุดใด ตัวอย่างที่พบได้ทั่วไปในเว็บไซต์กลุ่มนี้มีดังนี้

เมื่อเห็นภาพรวมนี้แล้ว การตรวจ PDPA จะไม่ใช่แค่ "มี Cookie Banner หรือยัง" แต่ต้องมองว่าแต่ละจุดเก็บข้อมูลต้องมีคำอธิบายวัตถุประสงค์ ทางเลือกยินยอม และการควบคุมความปลอดภัยที่เหมาะกับระดับความอ่อนไหวของมัน

จุดตรวจก่อนเปิดใช้งานเว็บไซต์จอง

หน้าแรกและ Cookie Consent Banner

ตรวจว่า Banner มีทางเลือก Accept All, Reject All และตั้งค่ารายหมวดครบหรือไม่ ปุ่ม Reject ต้องกดง่ายเท่ากับปุ่ม Accept ไม่ใช่ซ่อนอยู่ในเมนูย่อย และ Script การตลาดหรือ Pixel ของแพลตฟอร์มโฆษณาต้องไม่ทำงานก่อนผู้ใช้กดยินยอม

ฟอร์มจองและฟอร์มชำระเงิน

ตรวจว่าใกล้ปุ่มยืนยันการจองมีลิงก์ไปยัง Privacy Policy หรือไม่ ฟิลด์ที่จำเป็นจริงกับฟิลด์ที่ใส่เพิ่มเพื่อการตลาดควรแยกให้ชัด และระบบชำระเงินต้องส่งข้อมูลผ่านช่องทางที่ผู้ให้บริการชำระเงินรับรองความปลอดภัยของตัวเอง เว็บไซต์ไม่ควรเก็บเลขบัตรเครดิตเต็มรูปแบบไว้ในฐานข้อมูลของตัวเองโดยไม่จำเป็น

การเชื่อมต่อกับ OTA และ Booking Engine ภายนอก

เว็บไซต์โรงแรมและทัวร์ส่วนใหญ่ไม่ได้ทำงานลำพัง แต่เชื่อมกับ Booking Engine, Channel Manager และ OTA หลายเจ้าพร้อมกัน ทีมควรตรวจว่าข้อมูลผู้จองถูกส่งไปยังระบบภายนอกใดบ้าง แต่ละระบบมีการยืนยันตัวตนและการเข้ารหัสการส่งข้อมูลอย่างไร และ Privacy Policy ของเว็บไซต์กล่าวถึงผู้ให้บริการภายนอกเหล่านี้ไว้หรือยัง

ข้อมูลหนังสือเดินทางและเอกสารยืนยันตัวตน

สำหรับโรงแรมที่รับนักท่องเที่ยวต่างชาติ ข้อมูลพาสปอร์ตมักถูกขอเพื่อแจ้งตำรวจตรวจคนเข้าเมืองตามกระบวนการที่ธุรกิจต้องปฏิบัติ จุดที่ควรตรวจคือช่องทางอัปโหลดเอกสารมีการเข้ารหัสหรือจำกัดสิทธิ์เข้าถึงหรือไม่ ใครในทีมมีสิทธิ์เปิดดูไฟล์เหล่านี้ได้บ้าง และมีกำหนดระยะเวลาที่จะลบไฟล์ออกจากระบบหลังพ้นความจำเป็นหรือไม่

เอกสาร Policy ที่ควรมีก่อนเปิดใช้งาน

อย่างน้อยเว็บไซต์ควรมี Privacy Policy ที่อธิบายว่าเก็บข้อมูลอะไร ใช้ทำอะไร แชร์กับใคร และผู้ใช้ติดต่อขอใช้สิทธิ์อย่างไร รวมถึง Cookie Policy ที่แจกแจงหมวดคุกกี้แต่ละประเภทให้ตรงกับสิ่งที่ Banner แสดงจริง เครื่องมืออย่าง Policy Generator ของ trusty ช่วยร่างเอกสารเริ่มต้นจากผลสแกนและข้อมูลที่ทีมกรอกเพิ่มได้ แต่ยังต้องมีคนในทีมตรวจให้ตรงกับสิ่งที่เว็บไซต์เก็บจริงก่อนเผยแพร่ โดยเฉพาะธุรกิจที่มีข้อมูลอ่อนไหวอย่างพาสปอร์ตหรือข้อมูลสุขภาพจากคำร้องขอพิเศษ ควรให้ผู้เชี่ยวชาญด้านกฎหมายตรวจซ้ำอีกชั้น

คำถามที่พบบ่อยเกี่ยวกับ PDPA บนเว็บไซต์จองห้องพักและทัวร์

เว็บไซต์โรงแรมต้องขอความยินยอมก่อนเก็บเลขพาสปอร์ตหรือไม่

PDPA กำหนดให้ต้องแจ้งวัตถุประสงค์การเก็บข้อมูลและขอความยินยอมตามฐานที่เหมาะสมก่อนเก็บข้อมูลส่วนบุคคล เว็บไซต์จึงควรมีข้อความอธิบายชัดเจนใกล้ฟอร์มที่ขอเลขพาสปอร์ตหรือบัตรประชาชน ส่วนฐานกฎหมายที่เหมาะกับแต่ละกรณีควรให้ผู้เชี่ยวชาญด้านกฎหมายของธุรกิจพิจารณาตามบริบทจริง

ถ้าใช้ Booking Engine ของผู้ให้บริการภายนอก ใครเป็นผู้รับผิดชอบ PDPA

ความรับผิดชอบมักแบ่งกันระหว่างเจ้าของเว็บไซต์กับผู้ให้บริการ Booking Engine ตามข้อตกลงการใช้บริการ เว็บไซต์ควรตรวจสัญญาหรือเงื่อนไขการใช้งานของผู้ให้บริการว่าระบุบทบาทด้านข้อมูลส่วนบุคคลไว้อย่างไร และปรับ Privacy Policy ของตัวเองให้สอดคล้องกัน

PDPA Readiness Scan ของ trusty ตรวจครอบคลุมเว็บไซต์จองห้องพักทั้งหมดหรือไม่

การสแกนช่วยตรวจ Policy ที่เปิดเผยต่อสาธารณะ การแสดงผลของ Banner ทางเลือก Reject และพฤติกรรม Script บางส่วนที่ทำงานฝั่งเบราว์เซอร์ แต่ไม่เห็นกระบวนการหลังบ้าน เช่น การส่งข้อมูลไป OTA ผ่าน API หรือการจัดเก็บไฟล์พาสปอร์ตในระบบภายใน จึงควรใช้ผลสแกนเป็นจุดเริ่มต้น ไม่ใช่ข้อสรุปสุดท้าย

เช็กลิสต์ปฏิบัติ

• ตรวจว่า Cookie Banner มีปุ่ม Reject All ที่กดง่ายเท่ากับ Accept All
• ทำ Data Inventory ของทุกฟอร์มบนเว็บไซต์จอง รวมฟอร์มยืนยันตัวตนและฟอร์มคำร้องขอพิเศษ
• ตรวจว่า Script การตลาดและ Pixel ไม่ทำงานก่อนได้รับความยินยอม
• ตรวจสัญญาหรือเงื่อนไขการใช้งานของ OTA และ Booking Engine ว่าระบุบทบาทด้านข้อมูลไว้อย่างไร
• กำหนดสิทธิ์การเข้าถึงไฟล์พาสปอร์ตและเอกสารยืนยันตัวตนให้เฉพาะทีมที่จำเป็น
• ตรวจว่า Privacy Policy และ Cookie Policy ตรงกับข้อมูลที่เว็บไซต์เก็บจริงในปัจจุบัน
• กำหนดระยะเวลาลบข้อมูลของผู้ที่ยกเลิกการจองหรือไม่เข้าพัก

ข้อผิดพลาดที่พบบ่อย

• ติด Cookie Banner ไว้แต่ไม่ได้บล็อก Script การตลาดจริง ทำให้ Pixel ยิงตั้งแต่หน้าแรกโดยไม่รอความยินยอม
• เก็บไฟล์สแกนพาสปอร์ตไว้ในโฟลเดอร์ที่พนักงานทุกแผนกเปิดดูได้ โดยไม่จำกัดสิทธิ์
• Privacy Policy เขียนแบบทั่วไปจากเทมเพลตออนไลน์ ไม่ได้ระบุว่าเชื่อมกับ OTA เจ้าใดบ้าง
• เปลี่ยน Booking Engine หรือเพิ่มระบบจองใหม่แล้วลืมอัปเดต Policy และ Cookie Inventory ให้ตรงกัน

สรุป

เว็บไซต์โรงแรม ท่องเที่ยว และบริการจองออนไลน์มีจุดเก็บข้อมูลที่หลากหลายและอ่อนไหวกว่าเว็บทั่วไป การตรวจก่อนเปิดใช้งานจึงควรครอบคลุมทั้ง Banner ฟอร์มจอง ระบบเชื่อมต่อภายนอก และเอกสาร Policy ไปพร้อมกัน ผลตรวจจากเครื่องมืออัตโนมัติเป็นจุดเริ่มต้นที่ดี แต่ธุรกิจที่มีข้อมูลอ่อนไหวอย่างพาสปอร์ตควรให้ผู้เชี่ยวชาญตรวจซ้ำก่อนเปิดใช้งานจริง อ่านรายละเอียดเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับเว็บไซต์ท่องเที่ยว และ วิธี Audit PDPA สำหรับเว็บไซต์ท่องเที่ยว เพื่อวางแผนตรวจสอบอย่างต่อเนื่อง

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)