เก็บข้อมูลผู้เข้าพักอย่างไร ในขั้นตอนการลงทะเบียนเข้าพัก (Checked-in Process) ให้ถูกต้องตาม PDPA

แชร์

อ่าน

ครั้ง

โดย : ไพศาล สามิภัตย์

เก็บข้อมูลผู้เข้าพักอย่างไร ในขั้นตอนการลงทะเบียนเข้าพัก (Checked-in Process) ให้ถูกต้องตาม PDPA

แชร์

อ่าน

ครั้ง

โดย : ไพศาล สามิภัตย์

        จากบทความครั้งที่แล้ว เรื่อง Hotel limousine กับ PDPA สิ่งที่ต้องกังวลเมื่อส่งข้อมูลไปนอกโรงแรม ที่ได้มีการกล่าวถึงกระบวนการการรับส่งผู้เข้าพักจากสนามบินหรือสถานที่ต่างๆ ไปยังโรงแรม ซึ่งอาจมีความเสี่ยงเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ ในบทความนี้จะกล่าวถึง กระบวนการการลงทะเบียนเข้าพัก (Checked-in Process) ซึ่งเป็นขั้นตอนที่เมื่อลูกค้าได้ทำการค้นหาที่พัก เปรียบเทียบราคา ทำการจองห้องพักและได้เดินทางมาที่โรงแรม สิ่งแรกที่ผู้เข้าพักจะต้องทำคือการลงทะเบียนเข้าพัก ซึ่งการที่โรงแรมจะสามารถดำเนินการให้ครอบคลุมตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล โรงแรมต้องพิจารณาจากวงจรการไหลเวียนข้อมูล ตั้งแต่ การเก็บ การเก็บรักษา การใช้ การเปิดเผย และการทำลายข้อมูล

         ในการเก็บข้อมูลการลงทะเบียนเข้าพัก โดยทั่วไปแล้วข้อมูลที่มีการจัดเก็บในกระบวนการนี้ เช่น ชื่อ นามสกุล เลขประจำตัวประชาชน/เลขหนังสือเดินทาง อีเมล หมายเลขโทรศัพท์ ช่วงเวลาการเข้าพักและการเดินทาง หลักฐานการโอนเงิน ข้อมูลบัตรเครดิต ข้อมูลการแพ้ทางร่างกายและอาหารที่แพ้ ข้อมูลโรค สภาพความพิการ เป็นต้น

      ในการจัดเก็บข้อมูลทางโรงแรมสามารถใช้ฐานสัญญา ตามมาตรา 24 (3) ในการจัดเก็บข้อมูลส่วนบุคคลทั่วไป ของผู้เข้าพักได้ เนื่องจากเป็นการดำเนินการการตามสัญญาใช้บริการ ในส่วนข้อมูลที่มีความอ่อนไหว (Sensitive data) เช่น ข้อมูลการแพ้ ข้อมูลโรค ซึ่งเป็นสุขภาพ โรงแรมควรใช้ฐานความยินยอม (Consent) ตามมาตรา 19 ประกอบมาตรา 26 โดยการขอความยินยอม นั้นอาจทำเป็นเอกสารกระดาษหรือรูปแบบอิเล็กทรอนิกส์ก็ได้ ควรขอความยินยอมเจ้าของข้อมูลก่อนหรือขณะที่ลูกค้าทำการลงทะเบียนเข้าพัก ต้องมีการแจ้งวัตถุประสงค์ในการเก็บที่ชัดเจน ต้องใช้รูปแบบของข้อความที่เข้าใจง่าย ต้องให้ความอิสระกับผู้เข้าพักโดยไม่เป็นการบังคับให้ต้องเลือกหรือเป็นการเลือกไว้แล้วล่ววงหน้า ต้องไม่มีเงื่อนไขในการให้บริการ และต้องแจ้งผลกระทบการถอนความยินยินยอม

ภาพแสดงตัวอย่างการขอความยินยอมที่ถูกต้อง

               นอกจากหนังสือขอความยินยอมแล้ว ทางโรงแรมต้องมีการแจ้งประกาศความเป็นส่วนตัว (Privacy notice) ให้ผู้เข้าพักทราบในจุดต่างๆ เพื่อแจ้งรายละเอียดในการประมวลผลข้อมูลส่วนบุคคล โดยอาจแจ้งผ่านหน้าเว็บไซต์ ทางอีเมล เอกสาร หรือผ่านทาง QR code เพื่อให้ผู้เข้าพักทราบ ทั้งนี้ขึ้นอยู่กับความสะดวกของโรงแรม โดยต้องมีรายละเอียดขั้นต่ำที่กฎหมายกำหนด ได้แก่

  1. วัตถุประสงค์ของการเก็บรวบรวม ใช้ เปิดเผย
  2. แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติ ตามกฎหมายหรือสัญญาหรือรวมทั้งแจ้งถึง ผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูล
  3. ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้
  4. ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย
  5. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อ
  6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

               เว็บไซต์                                    ป้ายประกาศ                                 QR Code                              ข้อความเสียง

ภาพแสดงตัวอย่างช่องทางการแจ้งประกาศความเป็นส่วนตัว

        ในบางโรงแรมอาจมีการเก็บข้อมูลศาสนา โดยขอบัตรประชาชนผู้เข้าพักและทำการถ่ายเอกสารบัตรประชาชนซึ่งอาจมีข้อมูลศาสนาติดไปด้วย ซึ่งข้อมูลศาสนานั้นถือว่าเป็นข้อมูลอ่อนไหว (Sensitive data) การประมวลผลต้องขอความยินยอมหากไม่สามารถหาฐานทางกฎหมายอื่น ตามมาตรา 26 มารองรับได้ หากโรงแรมยังจำเป็นในการที่จะต้องเก็บรวบรวม โรงแรมควรมีมาตรการให้มีการเซ็นหรือขีดกำกับแจ้งวัตถุประสงค์ของเจ้าของข้อมูลก่อน แต่หากไม่มีความจำเป็นต้องเก็บข้อมูลในส่วนนี้ควรมีการขีดฆ่าหรือถมดำก่อนที่จะมีการจัดเก็บข้อมูลดังกล่าว

        ในการเก็บรักษา โดยส่วนใหญ่ข้อมูลที่มีการจัดเก็บจะมีทั้งรูปแบบอิเล็กทรอนิกส์และรูปแบบกระดาษ ในส่วนรูปแบบอิเล็กทรอนิกส์นั้นโรงแรมอาจมีการใช้ระบบจัดการข้อมูล โรงแรมควรมีการกำหนดสิทธิการเข้าถึงข้อมูลให้พนักงานแต่ละคน เพื่อป้องกันการรั่วไหลของข้อมูล กรณีที่เป็นโรงแรมขนาดเล็กที่ไม่ได้มีการใช้ระบบ เนื่องจากงบประมาณที่จำกัดหรือไม่มีความจำเป็นต้องใช้ อาจมีการกำหนดการเข้าถึงโดยใช้การตั้งรหัสผ่าน ในการเข้าถึงเอกสารเฉพาะบุคคล ในส่วนรูปแบบกระดาษ โรงแรมควรมีการจัดเก็บในพื้นที่มีการกำหนดการเข้าถึงว่าบุคคลระดับใดบ้างที่เข้าถึงได้และอาจมีการล็อคกุญแจ

         เมื่อผู้เข้าพักได้ทำการเช็คเอ้าแล้ว เอกสารหรือข้อมูลส่วนบุคคลที่โรงแรมมีการเก็บนั้นควรพิจารณากรอบความจำเป็นในการเก็บ ว่ามีระยะเวลาเท่าใด และหากไม่มีความจำเป็นแล้ว โรงแรมต้องทำลายเอกสารหรือข้อมูลดังกล่าวทิ้ง ซึ่งข้อมูลที่โรงแรมจัดเก็บโดยทั่วไปจะมีด้วยกัน 2 รูปแบบ คือเอกสารกระดาษ อาจกำหนดการทำลายด้วยเครื่องย่อยกระดาษ การเผา หรือการส่งให้บริษัทที่ทำหน้าที่ทำลายเอกสาร ส่วนกรณีเอกสารอิเล็กทรอนิกส์อาจใช้วิธีการลบ หรือทำให้เป็นข้อมูลนิรนาม ที่ไม่สามารถระบุตัวบุคคลได้

         กระบวนการการลงทะเบียนเข้าพัก (Checked-in Process) เป็นกิจกรรรมที่มีความสำคัญเนื่องจากมีการเก็บข้อมูลเพิ่มเติมจากขั้นตอนการจองห้องพัก มีการเก็บข้อมูลจำนวนมากทั้งข้อมูลทั่วไปและข้อมูลอ่อนไหว หากโรงแรมไม่มีมาตรการที่เพียงพอในเก็บการรักษา ซึ่งเป็นสิ่งที่ผู้ประกอบการธุรกิจโรงแรมและที่พัก ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องให้ความสำคัญและระมัดระวัง เพราะจะส่งผลต่อความน่าเชื่อถือและความไว้วางใจของเจ้าของข้อมูลส่วนบุคคลในการเข้าใช้บริการ รวมถึงเพื่อป้องกันโอกาสในการรั่วไหลหรือการล่วงละเมิดข้อมูลส่วนบุคคล และเพื่อเป็นการสร้างมั่นใจให้กับผู้เข้าพัก ซึ่งเป็นเจ้าของข้อมูล (Data Subject) ในกิจกรรมนี้ ว่าเมื่อมาใช้บริการของท่านแล้ว ข้อมูลจะได้รับการคุ้มครองอย่างมั่นคงและปลอดภัย

วิทยากร E-Larning-13
ไพศาล สามิภัตย์
ที่ปรึกษากฎหมายคุ้มครองข้อมูลส่วนบุคคล จาก PDPA Thailand

บทความที่เกี่ยวข้อง

PDPA Thailand เตือนภัย LINE OA ปลอม อ้างเป็นหน่วยงานรัฐ ขอข้อมูลลูกค้า