โรงแรม มีสถานะเป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามนิยามของกฎหมาย PDPA คือ บุคคลหรือนิติบุคคลที่มีอำนาจในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ขณะเดียวกันยังมีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processer) หรือมีการแต่งตั้งตัวแทนเพื่อทำหน้าที่ประมวลผลจากข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ทั้งยังมีการส่งต่อข้อมูลแก่บุคคลที่สาม (Third Party) อาทิเช่น บริษัททัวร์ นำเที่ยว แอปพลิเคชันจองห้องพักออนไลน์ ฯลฯ  จึงต้องมีการดำเนินการของธุรกิจให้สอดคล้องตามข้อบังคับของกฎหมายดังนี้

1. ประกาศนโยบายความเป็นส่วนตัว (Privacy Notice) และสร้าง Privacy Policy หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคลให้ลูกค้าทราบ โดยการแจ้งเจ้าของข้อมูลส่วนบุคคลถึงรายละเอียดและวัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคลตามอำนาจหรือฐานทางกฎหมาย ฐานสัญญา หรือฐานความจำเป็นและประโยชน์โดยชอบที่กฎหมายระบุว่าสามารถดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้มาใช้บริการ และหากโรงแรมมีเว็บไซต์ที่เก็บข้อมูลคุกกี้ (Cookie) จะต้องทำ Cookie Policy ด้วย
2. ขอความยินยอม(Consent) การเก็บรวบรวม ประมวลผล หรือเปิดเผยข้อมูล ผู้ควบคุมข้อมูลฯ และผู้ประมวลผลข้อมูลฯ จะต้องขอความยินยอมจากเจ้าของข้อมูล และต้องทำโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบไอที และต้องคำนึงถึงความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลเป็นสำคัญ โดยต้องแจ้งถึงผลกระทบหากเจ้าของข้อมูลไม่อนุญาตให้เก็บข้อมูลด้วย
3. มาตรการคุ้มครองข้อมูลที่เหมาะสม ควรตรวจสอบให้แน่ใจว่าระบบไอทีของโรงแรมมีมาตรฐานเพียงพอ รวมถึงระบบการจัดเก็บข้อมูลบนอินเทอร์เน็ตที่มีมาตรฐานความปลอดภัยสูง และมีมาตรการในการป้องกันการโจมตีหรือการเข้าถึงข้อมูลของผู้ไม่ประสงค์ดี ที่สำคัญคือต้องมีบุคลากรที่มีความสามารถในการจัดการเรื่องความปลอดภัยของข้อมูลลูกค้าโดยเฉพาะ เนื่องจากข้อมูลลูกค้าที่โรงแรมจัดเก็บมีมากมายและมีความอ่อนไหวดังที่ยกตัวอย่างในตอนต้น ทั้งควรมีการอัพเดตและลบทำลายข้อมูลที่ไม่มีความจำเป็นแล้วอยู่เสมอ
4. จัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล การแบ่งบันหรือส่งต่อข้อมูลส่วนบุคคลให้กับผู้ประมวลผลข้อมูลฯ หรือคู่ค้าซึ่งเป็นบุคคลที่สาม จะต้องมีการจัดทำข้อตกลงในการใช้ข้อมูลส่วนบุคคล ซึ่งในอดีตเราจะเห็นว่ามีการลงนามในเอกสาร NDA (Non-Disclosure Agreement) แต่ภายใต้กฎหมาย PDPA บริบทจะมุ่งเน้นที่การรักษาและปกป้องข้อมูลส่วนบุคคลเพื่อป้องกันการละเมิดและการดำเนินการตามวัตถุประสงค์ที่ได้ขอความยินยอมจากเจ้าของข้อมูล ข้อตกลงที่เป็นสัญญาอันมีผลทางกฎหมายจึงการป้องกันการนำข้อมูลไปใช้ผิดวัตถุประสงค์
5. แจ้งสิทธิแก่เจ้าของข้อมูลส่วนบุคคล โรงแรมจะต้องมีการจัดทำระบบเพื่อแจ้งสิทธิและการเข้าถึงข้อมูลส่วนบุคคลเพื่อประโยชน์แก่เจ้าของข้อมูลทั้งในด้านการใช้สิทธิต่างๆ เช่น ขอให้แก้ไข ระงับ เพิกถอนการยินยอม หรือให้ลบทำลายข้อมูลผ่านช่องทางที่เข้าถึงได้ง่ายและสะดวกทั้งไม่เป็นการผลักภาระค่าใช้จ่ายส่วนนี้แก่เจ้าของข้อมูล
6. ทำบันทึกรายการ (Record of Processing Activities :RoPA) โรงแรมเป็นธุรกิจประเภทบริการ และบ่อยครั้งจะต้องมีกรณีพิพาทหรือคำร้องเรียนของผู้ใช้บริการอยู่เสมอ ทั้งนี้ในส่วนของการจัดการข้อมูลส่วนบุคคล ทางโรงแรมจึงต้องมีการทำบันทึกรายการ ซึ่งเบื้องต้นอาจจะเป็นการทำบันทึกการเก็บ รวบรวมใช้ และเปิดเผยข้อมูล ในกิจกรรมใดและวัตถุประสงค์ใดบ้าง รวมถึงต้องบันทึกคำร้องที่เจ้าของข้อมูลร้องขอให้ดำเนินการ และการบันทึกรายการเหตุการณ์ละเมิด โดยสามารถทำบันทึกในรูปแบบดิจิทัลเพื่อประโยชน์ในการแก้ไข ระงับ หรือ ลบออกได้โดยง่าย อย่างไรก็ตามการทำบันทึกรายการมีข้อยกเว้นสำหรับกิจการขนาดเล็ก หรือมีการเก็บข้อมูลเป็นครั้งคราว ตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด
7. ประเมินความเสี่ยง กรณีโรงแรมที่การเก็บข้อมูลเป็นจำนวนมาก หรือมีการเก็บข้อมูลอย่างต่อเนื่อง ผลกระทบมีความจำป็นอย่างยิ่งจะต้องทำ DPIA (Data Protection Impact Assessment) หรือการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล โดยการสำรวจและวิเคราะห์ข้อมูลส่วนบุคคลเพื่อประเมินความเสี่ยงที่ธุรกิจอาจจะต้องเจอโดยมีการจัดลำดับความสำคัญ ปริมาณ และผลกระทบที่อาจเกิดขึ้น หากข้อมูลนั้นเกิดการรั่วไหล ซึ่งตามกฎหมาย PDPA จะต้องแจ้งข้อมูลการละเมิดแก่คณะกรรมการคุ้มครองข้อมูลไม่เกิน 72 ชั่วโมง และหากการรั่วไหลนั้นอาจส่งผลกระทบต่อเจ้าของข้อมูล โรงแรมจะต้องแจ้งเหตุนั้นแก่เจ้าของข้อมูลให้ทราบด้วย
8. แต่งตั้ง DPO ในโรงแรม เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer :DPO) เป็นบุคคลากรที่จะมาให้คำปรึกษา แนะนำ และดำเนินการในส่วนของธุรกิจที่มีการจัดเก็บข้อมูลส่วนบุคคลให้สามารถปฏิบัติได้ถูกต้องตามข้อกฎหมาย ซึ่งเป็นภาคบังคับสำหรับธุรกิจที่มีข้อมูลจำนวนมาก คือ มีข้อมูลส่วนบุคคลทั่วไป 50,000 ราย/ปี หรือมีข้อมูลส่วนบุคคลอ่อนไหว 5000 ราย/ปี หรือมีการเก็บข้อมูลส่วนบุคคลอย่างต่อเนื่อง ซึ่งกฎหมายบังคับว่าจะต้องแต่งตั้ง DPO กรณีของโรงแรมจึงต้องดูที่ความเหมาะสม แต่หากจะเอาให้ชัวร์การแต่งตั้ง DPO ในช่วงแรกๆ ก็เป็นผลที่คือทำให้องค์กรสามารถปรับตัวกับกฎหมาย PDPA ได้เร็วและปลอดภัยขึ้น