Bảo vệ dữ liệu cá nhân ngành khách sạn: khách sạn, resort, homestay và căn hộ dịch vụ

1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành khách sạn?

Bảo vệ dữ liệu cá nhân ngành khách sạn áp dụng cho mọi cơ sở nhận khách lưu trú qua đêm và các bên cùng xử lý dữ liệu của khách:

• Khách sạn, resort, nhà nghỉ: hồ sơ nhận phòng, thanh toán, camera, nhà hàng, spa.
• Homestay, villa, căn hộ dịch vụ: thường là hộ kinh doanh, nhận khách qua OTA và ứng dụng nhắn tin.
• Chuỗi khách sạn, công ty quản lý vận hành: hệ thống đặt phòng trung tâm, chương trình hội viên, CRM.
• Nhà cung cấp công nghệ: phần mềm quản lý khách sạn (PMS), channel manager, cổng Wi-Fi.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không có điều riêng cho ngành lưu trú như với bảo hiểm (Điều 26) hay ngân hàng (Điều 27). Bảo vệ dữ liệu cá nhân ngành khách sạn vì thế kết hợp nghĩa vụ chung của Luật 91, các điều về ghi hình, trẻ em, người lao động, quảng cáo và luật về cư trú.

Ngành này khó được hưởng ưu đãi cho doanh nghiệp nhỏ. Ảnh căn cước và thông tin thẻ ngân hàng là dữ liệu cá nhân nhạy cảm (điểm i, điểm k khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Số khách tích lũy cũng tăng nhanh: theo ước tính của LexData, một khách sạn vài trăm phòng có thể vượt ngưỡng 100 nghìn chủ thể dữ liệu sau vài năm. Doanh nghiệp nhỏ, hộ kinh doanh trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt ngưỡng này không được bỏ qua hồ sơ DPIA và nhân sự bảo vệ dữ liệu (khoản 2, 3 Điều 38 Luật 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP).

2. Thông báo lưu trú: căn cứ pháp lý đầu tiên của bảo vệ dữ liệu cá nhân ngành khách sạn

Cơ sở lưu trú phải yêu cầu người nước ngoài xuất trình hộ chiếu hoặc giấy tờ đi lại quốc tế trước khi đồng ý cho tạm trú (khoản 1 Điều 33).

Xử lý dữ liệu khách lưu trú cho hai thủ tục trên thuộc trường hợp không cần sự đồng ý tại khoản 1 Điều 19 Luật 91/2025/QH15: điểm đ (trường hợp khác theo quy định của pháp luật) và điểm c (phục vụ quản lý nhà nước). Dữ liệu để thực hiện đặt phòng có thể dựa vào điểm d (thực hiện thỏa thuận với khách). Xem xử lý dữ liệu không cần consent.

Tuy vậy, khoản 2 Điều 19 vẫn yêu cầu quy trình xử lý, biện pháp bảo vệ, kiểm tra định kỳ và kênh tiếp nhận phản ánh. Điều 47 Nghị định 330/2026/NĐ-CP phạt tổ chức 10–20 triệu đồng khi thiếu quy trình, kiểm tra, kênh phản ánh (khoản 1); 20–30 triệu đồng khi thiếu biện pháp bảo vệ làm lộ dữ liệu (khoản 2); 30–50 triệu đồng khi lợi dụng trường hợp này để thu thập vượt phạm vi cần thiết (khoản 3).

3. Chụp căn cước, giữ hộ chiếu: bảo vệ dữ liệu cá nhân ngành khách sạn giới hạn đến đâu?

Lễ tân photo căn cước, chụp hộ chiếu bằng điện thoại, gửi vào nhóm chat rồi lưu vô thời hạn: đây là rủi ro lớn nhất trong bảo vệ dữ liệu cá nhân ngành khách sạn.

• Vượt nội dung thông báo lưu trú. Khoản 2 Điều 30 Luật Cư trú chỉ liệt kê các trường thông tin, không có ảnh giấy tờ. Khoản 2 Điều 3 Luật 91/2025 chỉ cho thu thập đúng phạm vi, mục đích. Xem nguyên tắc bảo vệ dữ liệu cá nhân.
• Ảnh căn cước là dữ liệu nhạy cảm (điểm i khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP), cần phân quyền truy cập và quy trình bảo mật riêng (khoản 2 Điều 4). Số hộ chiếu, số định danh cá nhân là dữ liệu cơ bản (khoản 7 Điều 3). Ảnh hộ chiếu không có trong danh mục nhạy cảm, nhưng đủ để giả mạo danh tính, nên LexData khuyến nghị bảo vệ tương đương.
• Lưu quá thời hạn. Dữ liệu chỉ được lưu trong thời gian phù hợp với mục đích (khoản 3 Điều 3) và phải xóa khi đã hoàn thành mục đích (điểm b khoản 1 Điều 14). Ngoại lệ là nghĩa vụ lưu thông tin khách lưu trú và người đến thăm ít nhất 36 tháng (khoản 6 Điều 44 Nghị định 96/2016/NĐ-CP); đây là lưu thông tin, không phải lưu ảnh giấy tờ.

Mức phạt với tổ chức (cá nhân chịu một nửa, khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP): thu thập không đúng phạm vi, mục đích 30–50 triệu đồng, với dữ liệu nhạy cảm 50–80 triệu đồng (khoản 1, khoản 4 Điều 48); không thông báo cho khách biết dữ liệu nhạy cảm của họ đang được xử lý 30–50 triệu đồng (điểm h khoản 1 Điều 43).

Để bảo vệ dữ liệu cá nhân ngành khách sạn ngay tại quầy lễ tân, LexData khuyến nghị: nhập các trường cần khai báo từ giấy tờ gốc rồi trả lại ngay; nếu phần mềm cần quét giấy tờ, cấu hình để ảnh không lưu trên máy lễ tân; nếu có quy định riêng buộc lưu bản chụp, ghi rõ căn cứ, thời hạn, người được truy cập. Việc giữ căn cước, hộ chiếu của khách đến lúc trả phòng và mức phạt được phân tích tại bài có được giữ căn cước công dân không.

4. Camera khách sạn được lắp ở đâu và phải thông báo thế nào?

Camera là hạng mục dễ bị kiểm tra nhất trong bảo vệ dữ liệu cá nhân ngành khách sạn. Khoản 1 Điều 32 Luật 91/2025/QH15 cho phép ghi hình tại nơi công cộng mà không cần sự đồng ý khi nhằm bảo đảm trật tự, an toàn xã hội, bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân. Đổi lại, khách sạn phải thông báo để khách biết mình đang bị ghi hình (khoản 2), chỉ dùng đúng mục đích (khoản 3) và chỉ lưu trong thời gian cần thiết (khoản 4). Luật không ấn định số ngày lưu; khách sạn tự đặt thời hạn và cấu hình tự ghi đè.

Điều 71 Nghị định 330/2026/NĐ-CP nêu rõ "khu vực cung cấp dịch vụ cho khách hàng", nên áp dụng thẳng cho camera khách sạn ở sảnh, nhà hàng, hành lang:

• 10–20 triệu đồng: không có biển báo vật lý hoặc thông báo điện tử dễ nhận biết; không cung cấp thông tin liên hệ khi khách yêu cầu truy xuất hình ảnh của mình (khoản 1).
• 30–50 triệu đồng: dùng hình ảnh vào mục đích thương mại, phân tích hành vi, nhận diện khuôn mặt tự động để lập hồ sơ khi không có sự đồng ý hợp pháp; trích xuất, chia sẻ, công khai trái phép, trừ khi theo yêu cầu bằng văn bản của cơ quan có thẩm quyền (khoản 2).

Nơi không lắp. Phòng nghỉ, phòng tắm, phòng thay đồ, phòng trị liệu spa không phải nơi công cộng nên không được hưởng ngoại lệ của Điều 32; hình ảnh ở đây gắn với đời sống riêng tư, nhóm dữ liệu nhạy cảm tại điểm c khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP. Không lắp camera tại các khu vực này.

Camera cũng ghi hình nhân viên. Khoản 3 Điều 25 Luật 91/2025 chỉ cho áp dụng biện pháp công nghệ khi người lao động biết rõ. Lắp camera tại nơi làm việc mà không thông báo cho người lao động bị phạt 50–70 triệu đồng (điểm c khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP). Xem quy định lắp camera theo Luật Bảo vệ dữ liệu cá nhân.

5. OTA, channel manager, PMS: ai chịu trách nhiệm dữ liệu khách lưu trú?

Một đặt phòng qua Booking.com, Agoda hay Expedia đi qua OTA, channel manager và PMS trước khi khách đến quầy. Trong bảo vệ dữ liệu cá nhân ngành khách sạn, phân vai đúng quyết định ai chịu nghĩa vụ gì. Theo phân tích của LexData:

Với PMS, CRM trên đám mây, hợp đồng phải nêu luồng dữ liệu, vai trò, biện pháp bảo mật; dữ liệu phải mã hóa khi lưu và khi truyền (khoản 2, khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP). Hợp đồng thiếu nội dung bị phạt 20–50 triệu đồng; không mã hóa bị phạt 50–70 triệu đồng (điểm b khoản 1, điểm b khoản 2 Điều 69 Nghị định 330/2026/NĐ-CP). Xem bên kiểm soát và bên xử lý dữ liệu.

6. Chuyển dữ liệu ra nước ngoài trong bảo vệ dữ liệu cá nhân ngành khách sạn

Phần lớn PMS, channel manager, hệ thống đặt phòng trung tâm đặt máy chủ ở nước ngoài, nên đây là nghĩa vụ bảo vệ dữ liệu cá nhân ngành khách sạn mà gần như cơ sở nào cũng gặp. Đây là chuyển dữ liệu xuyên biên giới theo khoản 1 Điều 20 Luật 91/2025/QH15. Khách sạn phải lập hồ sơ theo Mẫu số 09 và gửi Cục A05 trong 60 ngày kể từ lần chuyển đầu tiên (khoản 2 Điều 20; Điều 18 Nghị định 356/2025/NĐ-CP). Xem chuyển dữ liệu ra nước ngoài là gì.

Ba ngoại lệ hay được viện dẫn, cần đọc kỹ:

• Khách tự chuyển dữ liệu của mình (điểm c khoản 6 Điều 20): khách tự đặt phòng trên OTA nước ngoài. Khi khách sạn đưa dữ liệu vào PMS ở nước ngoài thì người chuyển là khách sạn.
• Dữ liệu người lao động lưu trên đám mây (điểm b khoản 6 Điều 20): chỉ áp dụng cho dữ liệu nhân viên, không cho dữ liệu khách.
• Cung cấp dữ liệu để ký kết hợp đồng hoặc làm thủ tục liên quan đến khách sạn (điểm đ khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP). Theo phân tích của LexData, ngoại lệ này phù hợp với việc xác nhận, thực hiện từng đặt phòng, nhưng khó áp dụng cho việc lưu lâu dài toàn bộ cơ sở dữ liệu khách hay tiếp thị của tập đoàn.

Điều 56 Nghị định 330/2026/NĐ-CP phạt 30–50 triệu đồng khi không lập, không nộp hồ sơ đúng hạn (khoản 1); 50–100 triệu đồng khi thiếu hợp đồng ràng buộc bên nhận hoặc không thông báo cho khách về việc chuyển dữ liệu ra nước ngoài (khoản 2); 1–5% doanh thu năm trước tại Việt Nam khi không lập hồ sơ, khai sai luồng dữ liệu dẫn đến lộ dữ liệu của từ 10.000 công dân Việt Nam trở lên (khoản 3). Xem thêm bài dùng CRM nước ngoài có vi phạm không.

7. Thẻ thanh toán, sức khỏe, trẻ em: dữ liệu nhạy cảm nào khách sạn đang giữ?

Ba nhóm dữ liệu dưới đây hay bị bỏ quên khi rà soát bảo vệ dữ liệu cá nhân ngành khách sạn.

Thẻ thanh toán. Thông tin thẻ ngân hàng là dữ liệu nhạy cảm (điểm k khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Thói quen rủi ro: yêu cầu khách gửi ảnh hai mặt thẻ qua email, lưu phiếu ủy quyền thanh toán, ghi số thẻ vào ghi chú PMS. Nên dùng liên kết thanh toán hoặc mã hóa thẻ (tokenization) của cổng thanh toán. Chuẩn PCI DSS là yêu cầu của tổ chức thẻ, không phải của Luật 91, nhưng là thước đo tốt cho biện pháp bảo mật.

Sức khỏe. Dị ứng, khuyết tật, phiếu sức khỏe spa là dữ liệu nhạy cảm (điểm d khoản 1 Điều 4). Khi xin sự đồng ý, phải báo cho khách biết đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP).

Trẻ em. Ghi thông tin trẻ em để thông báo lưu trú thuộc khoản 1 Điều 19 Luật 91/2025, nên không cần sự đồng ý riêng. Với câu lạc bộ trẻ em hay ảnh trẻ đăng lên mạng xã hội thì khác: người đại diện theo pháp luật thực hiện quyền thay trẻ, và công bố thông tin đời sống riêng tư của trẻ từ đủ 07 tuổi cần sự đồng ý của cả trẻ và người đại diện (khoản 2 Điều 24). Điều 60 Nghị định 330/2026/NĐ-CP phạt 30–50 triệu đồng khi xử lý dữ liệu trẻ em thiếu sự đồng ý theo quy định (khoản 1), 50–100 triệu đồng khi công bố đời sống riêng tư của trẻ thiếu sự đồng ý của cả hai (điểm a khoản 2). Xem dữ liệu cá nhân trẻ em.

8. Loyalty, email marketing và Wi-Fi: khi nào cần sự đồng ý riêng?

Dùng dữ liệu sau khi khách trả phòng cho hội viên, khuyến mãi, quảng cáo là mục đích mới, cần căn cứ riêng; đây là phần bảo vệ dữ liệu cá nhân ngành khách sạn hay bị xem nhẹ.

• Đồng ý theo từng mục đích, không kèm điều kiện bắt buộc cho mục đích khác (điểm a, b khoản 4 Điều 9 Luật 91/2025). Ô "đồng ý nhận khuyến mãi" đánh dấu sẵn là phương thức mặc định đồng ý, bị cấm tại khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP.
• Quảng cáo. Điều 28 Luật 91/2025 viết cho kinh doanh dịch vụ quảng cáo; nó áp dụng khi khách sạn chia sẻ dữ liệu cho đơn vị, mạng quảng cáo, và là chuẩn tham chiếu khi khách sạn tự gửi khuyến mãi. Khách phải biết rõ nội dung, tần suất và có cách từ chối (khoản 3); theo dõi hành vi qua website, ứng dụng để quảng cáo cần sự đồng ý (điểm a khoản 8). Xem cookie banner có bắt buộc không.
• Wi-Fi. Cổng Wi-Fi buộc khách đồng ý nhận quảng cáo mới cho dùng mạng là kèm điều kiện bắt buộc. Cổng Wi-Fi nên chỉ hỏi số phòng hoặc mã truy cập.

Mức phạt: kèm điều kiện bắt buộc hoặc mặc định đồng ý 30–50 triệu đồng (điểm b, c khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP); dùng dữ liệu cơ bản để phân phối quảng cáo không có sự đồng ý 30–50 triệu đồng, dữ liệu nhạy cảm 50–70 triệu đồng (điểm a khoản 1, điểm a khoản 2 Điều 63). Bài quản lý dữ liệu hội viên, loyalty app có quy trình mẫu.

9. Bốn rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành khách sạn

Đây là các tình huống LexData gặp nhiều nhất khi rà soát bảo vệ dữ liệu cá nhân ngành khách sạn.

• Hệ thống đặt phòng bị xâm nhập nhiều năm. Vụ Marriott: cơ sở dữ liệu đặt phòng của Starwood bị xâm nhập từ năm 2014, đến tháng 9/2018, hai năm sau khi Marriott mua lại, mới bị phát hiện. Khoảng 339 triệu bản ghi khách bị ảnh hưởng, gồm hơn 5 triệu số hộ chiếu không mã hóa; năm 2020, ICO Vương quốc Anh phạt Marriott 18,4 triệu bảng. Xem case study British Airways và Marriott.
• Ảnh giấy tờ trong ứng dụng nhắn tin, trên điện thoại của nhân viên đã nghỉ việc.
• Tiết lộ thông tin khách qua điện thoại. Người gọi xưng là người thân, hỏi số phòng. Cung cấp dữ liệu cho người khác khi chưa được khách đồng ý bị phạt 20–30 triệu đồng (khoản 2 Điều 49 Nghị định 330/2026/NĐ-CP).
• Tài khoản OTA, PMS dùng chung mật khẩu: một tài khoản bị chiếm là kẻ gian có thể nhắn cho khách từ kênh chính thức để lừa chuyển tiền.

10. Khi lộ dữ liệu khách, khách sạn phải thông báo cho ai trong 72 giờ?

Khi phát hiện vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của khách, khách sạn phải thông báo cho Cục A05 chậm nhất 72 giờ (khoản 1 Điều 23 Luật 91/2025), theo nội dung tại khoản 1 Điều 28 và Mẫu số 08 Nghị định 356/2025/NĐ-CP. Nhà cung cấp PMS phát hiện sự cố phải báo kịp thời cho khách sạn (khoản 1 Điều 23). Xem quy tắc 72 giờ.

Khác với ngân hàng, luật không buộc khách sạn thông báo cho từng khách khi lộ dữ liệu thẻ. Nghĩa vụ báo cho khách trong 72 giờ chỉ áp dụng với dữ liệu vị trí và sinh trắc học (Điều 29 Nghị định 356/2025/NĐ-CP), ví dụ khi lộ dữ liệu nhận diện khuôn mặt dùng lúc nhận phòng. Dù vậy, kế hoạch bảo vệ dữ liệu cá nhân ngành khách sạn nên có bước báo sớm để khách khóa thẻ, vì đó là cách giảm thiệt hại tốt nhất. Báo Cục A05 chậm hơn 72 giờ bị phạt 40–60 triệu đồng (khoản 3 Điều 54 Nghị định 330/2026/NĐ-CP). DPO thuê ngoài của LexData hỗ trợ xử lý sự cố và thông báo Cục A05 trong hạn 72 giờ.

11. Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành khách sạn

Mỗi dòng là một hạng mục trong kế hoạch bảo vệ dữ liệu cá nhân ngành khách sạn; mức phạt áp dụng với tổ chức theo Nghị định 330/2026/NĐ-CP.

12. Bảo vệ dữ liệu cá nhân ngành khách sạn cho chuỗi quốc tế và công ty quản lý FDI

Nhiều khách sạn cao cấp vận hành theo hợp đồng quản lý: chủ đầu tư Việt Nam sở hữu tài sản, tập đoàn quốc tế cung cấp thương hiệu, hệ thống và đội ngũ quản lý. Ba việc hay bị bỏ sót khi áp dụng bảo vệ dữ liệu cá nhân ngành khách sạn cho mô hình này:

• Phân vai trong hợp đồng. Hợp đồng phải nêu rõ trách nhiệm, quyền, nghĩa vụ của các bên về xử lý dữ liệu (điểm a khoản 1 Điều 37 Luật 91/2025): ai là bên kiểm soát dữ liệu lưu trú, dữ liệu hội viên, dữ liệu nhân viên; ai lập hồ sơ DPIA; ai báo sự cố.
• Chuẩn thương hiệu toàn cầu. Quy trình quét hộ chiếu của mọi khách để lưu trong hệ thống toàn cầu cần điều chỉnh theo nguyên tắc thu thập đúng phạm vi của Việt Nam.
• Hồ sơ chuyển dữ liệu. Mỗi luồng về trung tâm dữ liệu của tập đoàn cần hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Khác GDPR, Luật 91 không có cơ chế "quốc gia có mức bảo vệ tương đương", cũng không có căn cứ "lợi ích hợp pháp" chung: điểm a khoản 1 Điều 19 chỉ cho xử lý không cần đồng ý để bảo vệ quyền, lợi ích chính đáng trước hành vi xâm phạm, và bên kiểm soát, bên xử lý dữ liệu phải tự chứng minh trường hợp này.