Khách sạn, booking và PDPL: Dữ liệu khách xử lý thế nào?

Khách sạn booking dữ liệu khách PDPL là gì?

Trả lời ngắn: đây là câu chuyện về việc khách sạn, resort, homestay, OTA và app booking thu thập, lưu, chia sẻ và chuyển dữ liệu cá nhân của khách theo quy định bảo vệ dữ liệu cá nhân.

Trong thực tế, một ca booking thường sinh ra nhiều loại dữ liệu: họ tên, số điện thoại, email, ngày ở, lịch sử lưu trú, ghi chú phòng, thông tin thanh toán, ảnh CCCD/hộ chiếu, quốc tịch, thậm chí yêu cầu đặc biệt như “phòng gần thang máy” hoặc “ăn chay”. Với khách quốc tế, dữ liệu còn đi qua OTA nước ngoài, cổng thanh toán, channel manager, PMS, CRM và nhà cung cấp cloud. Mỗi điểm chạm đều có thể làm phát sinh nghĩa vụ theo PDPL.

Điểm cần nhớ: không phải cứ dùng phần mềm booking là “xong”. Doanh nghiệp phải biết mình là bên kiểm soát dữ liệu, bên xử lý dữ liệu hay cùng chia sẻ trách nhiệm với đối tác theo hợp đồng và luồng dữ liệu thực tế.

Khách sạn cần xử lý dữ liệu khách như thế nào theo PDPL?

Trả lời ngắn: chỉ thu đúng dữ liệu cần thiết, nói rõ mục đích, lưu đúng thời hạn, hạn chế chia sẻ và bảo đảm khách biết dữ liệu của họ đang đi đâu.

Với khách sạn, dữ liệu đặt phòng thường phục vụ 4 nhóm mục đích: xác nhận đặt chỗ, thực hiện hợp đồng lưu trú, chăm sóc khách, và tuân thủ nghĩa vụ pháp luật liên quan đến lưu trú/kiểm tra an ninh nếu có. Nếu muốn dùng thêm cho marketing, remarketing, phân tích hành vi hay chương trình khách thân thiết, doanh nghiệp nên tách riêng thông báo và xin sự đồng ý phù hợp theo quy định.

Không nên gom tất cả vào một checkbox kiểu “Tôi đồng ý với mọi thứ”. Về vận hành, điều này dễ làm yếu bằng chứng tuân thủ. Tốt hơn là tách: đồng ý nhận email marketing, đồng ý chia sẻ dữ liệu với OTA/đối tác thanh toán, đồng ý lưu giấy tờ định danh khi cần.

Khách sạn có được lưu CCCD hoặc hộ chiếu của khách không?

Trả lời ngắn: được xử lý khi có mục đích và căn cứ phù hợp theo quy định, nhưng không nên sao chép, lưu tràn lan hoặc giữ lâu hơn cần thiết.

Đây là điểm nhạy cảm với SME. Nhiều khách sạn yêu cầu chụp CCCD/hộ chiếu ngay khi khách đặt phòng online, dù thực tế chưa cần thiết ở giai đoạn đó. Theo nguyên tắc PDPL, nên chỉ thu ở thời điểm phù hợp với mục đích thật sự. Ví dụ, khách đặt phòng online cần xác nhận danh tính khi check-in thì có thể thu vào giai đoạn nhận phòng, thay vì thu sớm từ lúc khách mới xem giá.

Nếu dùng app, hãy kiểm tra liệu ảnh giấy tờ có tự động lưu vào database, cloud log, hệ thống hỗ trợ hay ticket CRM không. Nhiều rủi ro phát sinh không phải từ hành động “thu”, mà từ việc file được đồng bộ sang nhiều hệ thống phụ mà không ai kiểm soát.

Chuyển dữ liệu cho OTA nước ngoài có cần lưu ý gì?

Trả lời ngắn: có. Khi dữ liệu khách được chuyển cho OTA nước ngoài, cloud hoặc nhà cung cấp ở nước ngoài, doanh nghiệp cần xem đây là luồng chuyển dữ liệu ra nước ngoài và xử lý theo quy định.

Ví dụ thực tế: khách đặt qua Booking.com, Agoda, Expedia hoặc qua website tích hợp widget của bên thứ ba. Dữ liệu booking, email, số điện thoại, yêu cầu phòng, lịch sử hủy phòng có thể được truyền qua nhiều hệ thống và máy chủ đặt ngoài Việt Nam. Khi đó, doanh nghiệp Việt Nam không nên chỉ hỏi “có ký hợp đồng chưa”, mà phải hỏi thêm:

• Dữ liệu nào được gửi?
• Gửi cho ai?
• Mục đích gì?
• Có lưu ở quốc gia nào?
• Có cơ chế xóa, sửa, phản hồi yêu cầu dữ liệu không?

Về nguyên tắc, hãy có hợp đồng hoặc điều khoản xử lý dữ liệu với OTA/nền tảng nước ngoài, đánh giá rủi ro chuyển dữ liệu, và bảo đảm khách được thông báo rõ. Nếu khối lượng dữ liệu lớn, nhiều quốc gia hoặc dùng nhiều nhà cung cấp hạ tầng, nên nhờ luật sư rà soát luồng chuyển dữ liệu trước khi triển khai.

Khách sạn nên làm gì để giảm rủi ro PDPL ngay bây giờ?

Trả lời ngắn: chuẩn hóa luồng đặt phòng, tách consent, kiểm soát nhà cung cấp và chuẩn bị quy trình phản ứng sự cố.

Bảng dưới đây là checklist thực dụng cho khách sạn, resort, chuỗi lưu trú nhỏ và đội product của nền tảng booking:

Với team kỹ thuật, nên map các nguồn như booking form, API OTA, PMS, CRM, email service, analytics và S3/cloud storage. Chỉ cần một webhook đẩy nhầm ảnh hộ chiếu sang service log là đã tạo ra sự cố tuân thủ.

Vi phạm PDPL trong khách sạn, booking có bị phạt không?

Trả lời ngắn: có thể bị xử lý theo nghị định hướng dẫn; vi phạm nghiêm trọng có thể bị xử lý hình sự.

Cơ quan thực thi là Bộ Công an, cụ thể Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Mức phạt cụ thể hiện do nghị định hướng dẫn của Chính phủ ban hành, chưa cố định con số trong luật. Vì vậy, với khách sạn và nền tảng booking, cách an toàn nhất là tập trung vào chứng cứ tuân thủ: thông báo, đồng ý, hợp đồng, log xử lý, phân quyền, và quy trình xử lý sự cố.

Nếu doanh nghiệp đã có web/app booking, hãy kiểm tra ngay ba điểm: banner cookie, mẫu đồng ý thu thập dữ liệu, và cách lưu bằng chứng đồng ý. Đây là những thứ consent.vn hỗ trợ tốt nếu bạn muốn chuẩn hóa nhanh quy trình lưu consent và DSAR.

Nếu bạn đang vận hành website đặt phòng hoặc app booking, hãy rà lại banner cookie, lưu bằng chứng đồng ý và quy trình DSAR ngay từ bây giờ — consent.vn có thể giúp chuẩn hóa phần này để đội vận hành và dev cùng dùng được.

Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn ; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn ; Cơ quan thực thi A05: https://bocongan.gov.vn