ตัวอย่างและ Template PDPA สำหรับเว็บไซต์โรงแรม ท่องเที่ยว และแพลตฟอร์มจองบริการ

ทีมการตลาดของบริษัททัวร์แห่งหนึ่งเปิดเว็บไซต์จองทัวร์ใหม่และต้องการข้อความ Cookie Banner กับ Privacy Policy ให้เสร็จภายในหนึ่งสัปดาห์ก่อนแคมเปญเปิดตัว จึงคัดลอกข้อความจากเว็บไซต์โรงแรมอีกแห่งมาแปลงเล็กน้อย โดยไม่ได้ตรวจว่าโรงแรมต้นทางเก็บข้อมูลหนังสือเดินทางส่วนบริษัททัวร์ของตัวเองไม่ได้เก็บ แต่กลับไม่ได้พูดถึงข้อมูลผู้ร่วมเดินทางในทัวร์กลุ่มที่ตัวเองเก็บจริง ผลคือ Privacy Policy หน้าใหม่ผ่านการรีวิวเร็ว แต่ไม่ตรงกับสิ่งที่เว็บไซต์เก็บจริงเลย

บทความนี้รวบรวมตัวอย่างข้อความและโครงร่างที่ธุรกิจโรงแรม ทัวร์ และแพลตฟอร์มจองบริการนำไปปรับแก้ได้เร็วขึ้น พร้อมระบุจุดที่ต้องแก้ไขให้ตรงกับข้อมูลจริงของแต่ละธุรกิจก่อนเผยแพร่ ไม่ใช่ข้อความสำเร็จรูปที่ใช้แทนการตรวจสอบโดยผู้เชี่ยวชาญได้

Template ควรเป็นจุดเริ่มต้น ไม่ใช่คำตอบสำเร็จรูป

ก่อนใช้ตัวอย่างใดในบทความนี้ ทีมงานควรเตียมรายการข้อมูลที่เว็บไซต์ของตัวเองเก็บจริงไว้ก่อน เช่น ฟอร์มจองห้องพัก วิดเจ็ต OTA หน้าแพ็กเกจทัวร์ และเคาน์เตอร์เช็กอิน แล้วนำ Template มาเทียบทีละบรรทัดว่าตรงกับสิ่งที่เก็บจริงหรือไม่ ส่วนที่ไม่มีในเว็บไซต์ของตัวเองควรตัดออก ส่วนที่เว็บไซต์เก็บแต่ Template ไม่มีควรเพิ่มเข้าไป การใช้ Template โดยไม่เทียบขั้นตอนนี้คือสาเหตุหลักที่ทำให้ Privacy Policy ไม่ตรงกับความเป็นจริงของธุรกิจ

Template ข้อความ Cookie Banner สำหรับเว็บไซต์จองห้องพักและทัวร์

ข้อความยินยอมสำหรับเว็บจองตรง

ตัวอย่างโครงร่างข้อความบน Banner ที่ปรับใช้ได้ เช่น หัวข้อ "เว็บไซต์นี้ใช้คุกกี้เพื่อให้ระบบค้นหาห้องว่างและจองห้องพักทำงานได้ วิเคราะห์การใช้งาน และแสดงโฆษณาที่เกี่ยวข้อง" ตามด้วยปุ่ม "ยอมรับทั้งหมด" "ปฏิเสธทั้งหมด" และ "ตั้งค่า" ที่มีน้ำหนักการมองเห็นเท่ากัน ส่วนหมวดตั้งค่าควรแยกอย่างน้อยเป็นจำเป็น วิเคราะห์ และโฆษณา พร้อมคำอธิบายสั้นว่าแต่ละหมวดใช้ทำอะไรกับข้อมูลของผู้เข้าชม

ข้อความสำหรับหน้าแพ็กเกจทัวร์ที่มีฟอร์มสอบถาม

หน้าแพ็กเกจทัวร์ที่มีฟอร์มให้กรอกเบอร์โทรเพื่อให้พนักงานขายติดต่อกลับ ควรมีข้อความสั้นใต้ฟอร์มอธิบายว่าข้อมูลจะถูกใช้เพื่อติดต่อเสนอโปรแกรมทัวร์เท่านั้น พร้อมลิงก์ไปหน้านโยบายความเป็นส่วนตัวฉบับเต็ม แทนที่จะมีเพียงปุ่ม "ส่ง" โดยไม่มีคำอธิบายใด

Template หัวข้อ Privacy Policy ที่ต้องปรับให้ตรงกับธุรกิจท่องเที่ยว

โครงร่างหัวข้อที่ Privacy Policy ของธุรกิจโรงแรมและทัวร์ควรมี นอกเหนือจากหัวข้อมาตรฐานทั่วไป ได้แก่

• ประเภทข้อมูลที่เก็บจากช่องทางจองแต่ละประเภท แยกเว็บตรง OTA และ Walk-in
• การเก็บและใช้ข้อมูลหนังสือเดินทางหรือบัตรประชาชนของผู้เข้าพัก
• การส่งข้อมูลให้ผู้ให้บริการวิดเจ็ตจอง Channel Manager และ PMS
• การส่งข้อมูลข้ามพรมแดนเมื่อผู้ให้บริการอยู่นอกประเทศไทย
• สิทธิของเจ้าของข้อมูลและช่องทางติดต่อกรณีต้องการใช้สิทธิ

แต่ละหัวข้อควรเขียนจากสิ่งที่เว็บไซต์เก็บจริง ไม่ใช่คัดลอกชื่อผู้ให้บริการหรือระยะเวลาการเก็บจากเว็บไซต์อื่นมาใส่ เพราะระยะเวลาการเก็บและผู้ให้บริการของแต่ละธุรกิจไม่เหมือนกัน

ตัวอย่างย่อหน้าในหัวข้อการส่งข้อมูลข้ามพรมแดนที่ปรับใช้ได้ เช่น "เมื่อท่านทำการจองผ่านช่องทาง OTA หรือวิดเจ็ตของบุคคลที่สาม ข้อมูลบางส่วนของท่านอาจถูกส่งไปประมวลผลที่เซิร์ฟเวอร์ของผู้ให้บริการดังกล่าวซึ่งอาจตั้งอยู่นอกประเทศไทย ท่านสามารถดูรายชื่อผู้ให้บริการหลักได้ที่หัวข้อผู้ให้บริการภายนอกด้านล่าง" ย่อหน้านี้ต้องผูกกับรายชื่อผู้ให้บริการจริงที่ทีมไอทีรวบรวมไว้ ไม่ใช่เขียนลอย ๆ โดยไม่มีรายชื่อรองรับ

ตัวอย่างข้อความในอีเมลยืนยันการจองที่อ้างถึงนโยบายความเป็นส่วนตัว

อีเมลยืนยันการจองที่ส่งจากระบบจองห้องพักหรือระบบทัวร์ มักถูกมองข้ามว่าไม่ต้องมีข้อความเกี่ยวกับความเป็นส่วนตัว ทั้งที่เป็นจุดสัมผัสที่แขกอ่านจริงมากกว่าหน้า Privacy Policy เสียอีก ตัวอย่างบรรทัดท้ายอีเมลที่ปรับใช้ได้ เช่น "ข้อมูลการจองของท่านถูกเก็บและใช้ตามนโยบายความเป็นส่วนตัวของเรา อ่านรายละเอียดเพิ่มเติมได้ที่ [ลิงก์นโยบาย] หากต้องการแก้ไขหรือขอลบข้อมูล ติดต่อได้ที่ [อีเมลติดต่อ]" ลิงก์และอีเมลติดต่อในวงเล็บต้องเป็นของจริงที่มีคนตอบกลับ ไม่ใช่ที่อยู่ตัวอย่างที่ไม่มีใครดูแล

ตัวอย่างข้อความแจ้งการเก็บข้อมูลหนังสือเดินทางที่เคาน์เตอร์เช็กอิน

ตัวอย่างข้อความบนป้ายหรือใบแจ้งที่เคาน์เตอร์ เช่น "โรงแรมขอเก็บสำเนาหนังสือเดินทางหรือบัตรประชาชนของท่านเพื่อยืนยันตัวตนผู้เข้าพักตามขั้นตอนการลงทะเบียน ข้อมูลนี้จะถูกเก็บไว้ตามระยะเวลาที่กำหนดในนโยบายความเป็นส่วนตัวของโรงแรม สอบถามเพิ่มเติมได้ที่แผนกต้อนรับ" ข้อความนี้ควรพิมพ์ด้วยขนาดตัวอักษรที่อ่านง่ายและวางไว้ในจุดที่แขกเห็นก่อนยื่นเอกสาร ไม่ใช่พิมพ์เล็กไว้มุมใบเสร็จ

Template แบบฟอร์มยินยอมสำหรับผู้ร่วมเดินทางในทัวร์กลุ่ม

สำหรับบริษัททัวร์ที่ให้ผู้จองหลักกรอกข้อมูลแทนผู้ร่วมเดินทาง แบบฟอร์มควรมีช่องยืนยันแยกต่างหาก เช่น ช่องกาเครื่องหมาย "ข้าพเจ้าได้แจ้งผู้ร่วมเดินทางทุกท่านทราบถึงการเก็บและใช้ข้อมูลตามนโยบายความเป็นส่วนตัวของบริษัทแล้ว" วางไว้ก่อนช่องกรอกชื่อและเลขที่หนังสือเดินทางของผู้ร่วมเดินทาง แทนที่จะให้ผู้จองหลักกดยืนยันรวมกับเงื่อนไขการชำระเงินในช่องเดียว ซึ่งมักถูกมองข้ามไป

โครงร่างช่องกรอกที่แนะนำสำหรับผู้ร่วมเดินทางแต่ละคน ได้แก่ ชื่อ-นามสกุลตามหนังสือเดินทาง เลขที่หนังสือเดินทาง วันหมดอายุ และเบอร์โทรฉุกเฉิน โดยควรมีหมายเหตุกำกับใต้ฟอร์มว่าข้อมูลนี้ใช้เพื่อดำเนินการเรื่องตั๋วเดินทางและประกันภัยการเดินทางเท่านั้น ไม่ใช้เพื่อจุดประสงค์การตลาดอื่นโดยไม่ได้แจ้งเพิ่มเติม เพื่อให้ผู้จองหลักและผู้ร่วมเดินทางเข้าใจตรงกันว่าข้อมูลจะถูกนำไปใช้ทำอะไรบ้าง

ตัวอย่างตาราง Cookie Inventory และ Consent Log สำหรับเว็บไซต์ท่องเที่ยว

ตารางด้านล่างเป็นตัวอย่างโครงสร้างที่ทีมไอทีนำไปปรับชื่อคุกกี้และผู้ให้บริการจริงของเว็บไซต์ตัวเองแทนที่ ไม่ใช่ชื่อและระยะเวลาที่ใช้ได้กับทุกเว็บไซต์เหมือนกัน

ส่วน Consent Log ที่บันทึกคู่กันควรมีอย่างน้อยรหัสผู้ให้ความยินยอมหรือ Session ID หมวดที่ยินยอม เวอร์ชันของ Banner ที่แสดง ณ ขณะนั้น และเวลาที่บันทึก เพื่อให้ย้อนตรวจสอบได้ภายหลังว่าผู้เข้าชมเห็นข้อความเวอร์ชันใดตอนกดยินยอม ธุรกิจที่ต้องการเข้าใจโครงสร้าง Consent Log แบบละเอียดกว่านี้สามารถดูแนวทางเพิ่มเติมได้ในบทความ Best Practices ด้าน PDPA สำหรับเว็บไซต์ท่องเที่ยว

สำหรับทีมที่ยังไม่แน่ใจว่าจะเลือกทำ Template เองหรือใช้เครื่องมือช่วยร่าง สามารถดูการเปรียบเทียบแนวทางต่าง ๆ ได้ในบทความ เปรียบเทียบแนวทางจัดการ PDPA สำหรับเว็บไซต์ท่องเที่ยว และหากระบบเริ่มทำงานไม่ตรงกับที่ตั้งค่าไว้ เช่น Banner แสดงแต่ Pixel ยังยิงอยู่ สามารถไล่แก้ตามลำดับในบทความ วิธีวัดผลและแก้ปัญหา PDPA สำหรับเว็บไซต์ท่องเที่ยว

คำถามที่พบบ่อย

ใช้ Template Privacy Policy จากเว็บไซต์อื่นได้เลยหรือไม่ ไม่ควรใช้ทันทีโดยไม่ปรับ เพราะแต่ละธุรกิจเก็บข้อมูลและใช้ผู้ให้บริการไม่เหมือนกัน ต้องเทียบกับสิ่งที่เว็บไซต์ของตัวเองเก็บจริงก่อนทุกครั้ง

Cookie Banner ของเว็บไซต์ท่องเที่ยวควรมีกี่หมวด อย่างน้อยควรแยกเป็นจำเป็น วิเคราะห์ และโฆษณา ส่วนคุกกี้จากวิดเจ็ต OTA ควรตรวจสอบแยกว่าจัดอยู่หมวดใดตามเอกสารของผู้ให้บริการ

แบบฟอร์มทัวร์กลุ่มต้องมีช่องยืนยันแยกสำหรับผู้ร่วมเดินทางหรือไม่ ควรมี เพื่อให้ผู้จองหลักยืนยันว่าได้แจ้งผู้ร่วมเดินทางทราบถึงการเก็บข้อมูลแล้ว แทนที่จะรวมไว้กับเงื่อนไขการชำระเงินช่องเดียว

Consent Log ควรบันทึกข้อมูลอะไรบ้าง อย่างน้อยควรมีรหัสผู้ให้ความยินยอมหรือ Session ID หมวดที่ยินยอม เวอร์ชันของ Banner ที่แสดง และเวลาที่บันทึกเป็นมาตรฐานเดียวกัน

ป้ายแจ้งเก็บหนังสือเดินทางที่เคาน์เตอร์ต้องมีข้อความแบบใด ควรระบุวัตถุประสงค์ที่เก็บ เช่น ยืนยันตัวตนตามขั้นตอนลงทะเบียน และบอกว่าดูรายละเอียดเพิ่มเติมได้จากนโยบายความเป็นส่วนตัวของธุรกิจ

เช็กลิสต์ปฏิบัติ

• เทียบ Template กับรายการข้อมูลที่เว็บไซต์ของตัวเองเก็บจริงทีละบรรทัด
• ปรับข้อความ Cookie Banner ให้ครอบคลุมวิดเจ็ต OTA ที่ฝังอยู่ในหน้าเดียวกัน
• เพิ่มหัวข้อเรื่องข้อมูลหนังสือเดินทางและการโอนข้อมูลข้ามพรมแดนใน Privacy Policy
• ติดป้ายแจ้งวัตถุประสงค์การเก็บเอกสารที่เคาน์เตอร์เช็กอินให้อ่านง่าย
• เพิ่มช่องยืนยันแยกในฟอร์มทัวร์กลุ่มสำหรับข้อมูลผู้ร่วมเดินทาง
• ปรับชื่อคุกกี้และผู้ให้บริการในตาราง Cookie Inventory ให้ตรงกับเว็บไซต์จริง

ข้อผิดพลาดที่พบบ่อยเมื่อใช้ Template

• คัดลอก Privacy Policy จากเว็บไซต์ธุรกิจอื่นโดยไม่ตัดหัวข้อที่ไม่เกี่ยวกับตัวเองออก
• ใช้ข้อความ Cookie Banner สำเร็จรูปที่ไม่ได้พูดถึงวิดเจ็ต OTA ที่ฝังอยู่จริง
• ลืมเพิ่มช่องยืนยันสำหรับข้อมูลผู้ร่วมเดินทางในฟอร์มทัวร์กลุ่ม
• ใช้ระยะเวลาการเก็บข้อมูลจาก Template โดยไม่ตรวจกับนโยบายเก็บรักษาข้อมูลจริงของธุรกิจ
• ติดป้ายแจ้งที่เคาน์เตอร์ด้วยข้อความที่ไม่ตรงกับ Privacy Policy บนเว็บไซต์

สรุป

Template ช่วยให้ธุรกิจโรงแรม ทัวร์ และแพลตฟอร์มจองบริการเริ่มต้นเขียน Cookie Banner, Privacy Policy และแบบฟอร์มยินยอมได้เร็วขึ้น แต่ทุกตัวอย่างในบทความนี้ต้องถูกเทียบกับข้อมูลที่เว็บไซต์เก็บจริงก่อนเผยแพร่ ไม่ใช่นำไปใช้ทันทีโดยไม่ตรวจสอบ ธุรกิจที่มีข้อมูลซับซ้อน เช่น ทัวร์กลุ่มหรือการส่งข้อมูลข้ามพรมแดน ควรให้ผู้เชี่ยวชาญตรวจ Privacy Policy ฉบับเต็มก่อนเผยแพร่จริง การนำตัวอย่างในบทความนี้ไปใช้ควรทำควบคู่กับการตรวจสอบว่าข้อความบนเว็บไซต์ อีเมลยืนยัน และป้ายที่เคาน์เตอร์สื่อสารตรงกันทั้งหมด ไม่ใช่แก้จุดใดจุดหนึ่งแล้วถือว่าเสร็จงาน

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)