Bảo vệ dữ liệu cá nhân trong doanh nghiệp du lịch và khách sạn

Một tệp dữ liệu chứa thông tin thẻ tín dụng của hàng nghìn khách lưu trú bị khai thác trái phép từ lỗ hổng phần mềm quản lý khách sạn, hay danh sách lịch trình tour kèm hình ảnh hộ chiếu của đoàn khách du lịch bị chia sẻ công khai không chỉ làm sụp đổ uy tín thương hiệu mà còn khiến doanh nghiệp đối diện với mức phạt lên tới 5% tổng doanh thu hoặc bị đình chỉ hoạt động. Kể từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP chính thức đi vào cuộc sống, bài toán bảo vệ dữ liệu cá nhân trong doanh nghiệp du lịch và khách sạn là vấn đề mà các cơ sở kinh doanh lưu trú cần phải quan tâm. Thông qua bài viết này, Luật Việt An sẽ phân tích chi tiết khung pháp luật hiện hành và định hướng giải pháp tư vấn pháp lý xử lý dữ liệu cá nhân toàn diện nhằm hỗ trợ Quý khách hàng phòng ngừa tối đa rủi ro pháp lý

Nhận diện và phân loại dữ liệu khách du lịch tại khách sạn và doanh nghiệp lữ hành

Theo quy định tại khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân, dữ liệu cá nhân được phân định thành dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Ngành du lịch và khách sạn là một trong những lĩnh vực có mật độ thu thập và xử lý dữ liệu đa dạng bậc nhất, đòi hỏi doanh nghiệp phải nhận diện chính xác từng danh mục dữ liệu để thiết lập phương án bảo vệ tương xứng.

Dữ liệu cá nhân cơ bản thu thập trong quy trình đặt tour và lưu trú

Căn cứ khoản 2 Điều 2 Luật Bảo vệ dữ liệu cá nhân và Điều 3 Nghị định số 356/2025/NĐ-CP, dữ liệu cá nhân cơ bản của khách du lịch được hình thành ngay từ khâu tiếp nhận thông tin đặt dịch vụ (booking) và đăng ký lưu trú, bao gồm:

• Thông tin định danh và nhân thân: Họ tên khai sinh, ngày tháng năm sinh, giới tính, quốc tịch.
• Giấy tờ pháp lý phục vụ khai báo: Số hộ chiếu, số định danh cá nhân, số giấy phép lái xe đối với dịch vụ thuê phương tiện.
• Thông tin liên lạc và gia đình: Số điện thoại di động, địa chỉ thư điện tử, nơi ở hiện tại, thông tin người liên hệ khẩn cấp hoặc thân nhân đi cùng đoàn.
• Hình ảnh cá nhân: Hình ảnh chụp chân dung khách hàng phục vụ làm thủ tục nhận phòng hoặc làm thủ tục xuất nhập cảnh, cấp thị thực du lịch.

Dữ liệu cá nhân nhạy cảm đặc thù: Định vị, thông tin thanh toán và sức khỏe du khách

Căn cứ khoản 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân và Điều 4, Điều 31 Nghị định số 356/2025/NĐ-CP, nhóm dữ liệu cá nhân nhạy cảm gắn liền với quyền riêng tư của khách hàng trong lĩnh vực du lịch và lưu trú bao gồm:

• Thông tin tài chính và thanh toán: Tên chủ tài khoản, số thẻ tín dụng hoặc thẻ ghi nợ, ngày hết hạn thẻ, mã bảo mật, lịch sử thanh toán hóa đơn lưu trú và sử dụng dịch vụ.
• Dữ liệu định vị và lịch trình di chuyển: Vị trí cụ thể và lộ trình di chuyển thực tế của du khách được thu thập qua ứng dụng dẫn tour, hệ thống thẻ khóa thông minh hoặc thiết bị định vị trên phương tiện vận chuyển.
• Thông tin sức khỏe, thói quen và tôn giáo: Hồ sơ tiền sử bệnh lý, dị ứng thực phẩm, yêu cầu chăm sóc y tế đặc biệt, chế độ ăn kiêng theo tín ngưỡng hoặc thông tin về người khuyết tật.
• Bí mật đời sống riêng tư: Thông tin về người ở cùng phòng, các ghi chú về sở thích, thói quen sinh hoạt và lịch sử sử dụng các dịch vụ chăm sóc cá nhân.

Nguyên tắc và điều kiện thu thập, xử lý dữ liệu khách du lịch hợp pháp

Căn cứ Điều 3 Luật Bảo vệ dữ liệu cá nhân, dữ liệu cá nhân chỉ được xử lý đúng mục đích đã đăng ký và phải áp dụng đồng bộ các giải pháp kỹ thuật, quản trị. Doanh nghiệp du lịch và lưu trú cần chuẩn hóa các nghiệp vụ dưới đây.

Quy chuẩn xác lập sự đồng ý của khách hàng khi đặt phòng và mua tour

Căn cứ Điều 9, Điều 28 Luật Bảo vệ dữ liệu cá nhân và Điều 6 Nghị định số 356/2025/NĐ-CP, việc xin sự đồng ý của khách hàng chỉ có giá trị pháp lý khi đáp ứng đầy đủ các tiêu chuẩn sau:

• Tính tự nguyện và minh bạch: Khách hàng phải được cung cấp đầy đủ thông tin về loại dữ liệu thu thập, mục đích xử lý, danh tính đơn vị xử lý và quyền của mình trước khi đồng ý.
• Thông báo rõ đối với dữ liệu nhạy cảm: Trường hợp thu thập thông tin thẻ thanh toán, dữ liệu định vị hoặc tình trạng sức khỏe, doanh nghiệp bắt buộc phải thông báo rõ đây là dữ liệu nhạy cảm.
• Tách biệt mục đích sử dụng: Phải phân tách rõ ràng sự đồng ý phục vụ cung cấp dịch vụ đặt tour, đặt phòng với sự đồng ý nhận thông tin tiếp thị, quảng cáo.
• Cấm thiết lập mặc định đồng ý: Nghiêm cấm đánh dấu chọn sẵn vào các ô đồng ý trên giao diện đặt phòng trực tuyến; sự im lặng hoặc không phản hồi của khách hàng không được coi là đồng ý.
• Lưu trữ bằng chứng xác thực: Doanh nghiệp phải lưu giữ văn bản ký nhận, tệp ghi âm cuộc gọi hoặc bản ghi điện tử có mốc thời gian để chứng minh sự đồng ý khi phát sinh tranh chấp.

Xử lý dữ liệu cá nhân của trẻ em trong các tour gia đình và đoàn học sinh

Căn cứ Điều 24 Luật Bảo vệ dữ liệu cá nhân, hoạt động thu thập và xử lý dữ liệu của người dưới 16 tuổi trong các chương trình du lịch phải tuân thủ các nguyên tắc sau:

• Sự chấp thuận của người đại diện: Cha, mẹ hoặc người giám hộ hợp pháp phải thay mặt trẻ em thực hiện quyền đồng ý cho phép xử lý dữ liệu cá nhân.
• Đồng thuận kép đối với trẻ em từ đủ 07 tuổi: Khi doanh nghiệp có nhu cầu công bố, chia sẻ hình ảnh hoặc thông tin cá nhân của trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của cả trẻ em và người đại diện.
• Dừng xử lý khi có yêu cầu: Doanh nghiệp phải chấm dứt ngay hoạt động xử lý và tiến hành xóa dữ liệu khi người đại diện rút lại sự đồng ý.

Quy định lắp đặt hệ thống camera an ninh (CCTV) tại khách sạn và khu nghỉ dưỡng

Căn cứ Điều 7 và Điều 32 Luật Bảo vệ dữ liệu cá nhân, việc quản lý và vận hành hệ thống camera giám sát tại cơ sở lưu trú phải bảo đảm các yêu cầu sau:

• Lắp đặt tại khu vực công cộng hợp pháp: Được phép ghi hình tại quầy lễ tân, sảnh đón tiếp, hành lang, nhà hàng, bãi đỗ xe nhằm bảo vệ an ninh trật tự và tài sản mà không cần sự đồng ý của từng cá nhân.
• Nghĩa vụ cảnh báo rõ ràng: Khách sạn phải bố trí biển thông báo trực quan tại vị trí dễ quan sát để khách hàng nhận biết được khu vực đang có camera giám sát.
• Khu vực cấm ghi âm, ghi hình: Tuyệt đối không lắp đặt thiết bị giám sát trong phòng ngủ của khách, phòng vệ sinh, phòng thay đồ hoặc các không gian dịch vụ cá nhân riêng tư.
• Giới hạn thời gian lưu trữ: Dữ liệu hình ảnh chỉ được lưu trữ trong thời hạn cần thiết theo mục đích an ninh và phải tự động xóa, hủy khi hết thời hạn quy định.

Chuyển dữ liệu cá nhân xuyên biên giới qua các nền tảng OTA và hệ thống lưu trú quốc tế

Chuyển dữ liệu xuyên biên giới là một trong những hoạt động cốt lõi nhưng tiềm ẩn rủi ro xử phạt nặng nề nhất đối với các doanh nghiệp du lịch.

Các luồng luân chuyển dữ liệu xuyên biên giới điển hình trong ngành du lịch

Căn cứ khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 17 Nghị định số 356/2025/NĐ-CP, các trường hợp chuyển dữ liệu cá nhân ra nước ngoài phổ biến trong lĩnh vực du lịch và khách sạn bao gồm:

• Kết nối phân phối qua kênh OTA quốc tế: Cơ sở lưu trú tại Việt Nam tiếp nhận và đồng bộ thông tin đặt phòng qua các nền tảng trực tuyến có máy chủ đặt tại nước ngoài.
• Tích hợp hệ thống quản lý chuỗi khách sạn đa quốc gia: Khách sạn nhượng quyền hoặc khách sạn liên kết chuyển dữ liệu hồ sơ khách hàng về hệ thống đặt phòng tập trung của tập đoàn ở nước ngoài.
• Tổ chức các tour du lịch quốc tế ra nước ngoài: Doanh nghiệp lữ hành chuyển giao danh sách du khách kèm số hộ chiếu, visa cho các đối tác cung cấp dịch vụ địa phương, hãng bay hoặc đại sứ quán ở nước ngoài.

Điều kiện và thủ tục lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới

Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 18 Nghị định số 356/2025/NĐ-CP, thủ tục chuyển dữ liệu khách du lịch ra nước ngoài được thực hiện theo các bước sau:

• Chuẩn bị hồ sơ đánh giá tác động, bao gồm:
  • Văn bản thông báo chuyển dữ liệu;
  • Báo cáo đánh giá tác động theo mẫu quy định;
  • Bản sao thỏa thuận chuyển giao dữ liệu ràng buộc trách nhiệm hai bên và chính sách bảo mật nội bộ.
• Thời hạn và cơ quan tiếp nhận: Nộp 01 bộ hồ sơ chính thức về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong thời hạn 60 ngày kể từ ngày bắt đầu chuyển dữ liệu.
• Thời hạn thẩm định và hoàn thiện: Cơ quan chuyên trách thẩm định và phản hồi trong thời hạn 15 ngày; nếu hồ sơ chưa đạt chuẩn, doanh nghiệp có thời hạn 30 ngày để bổ sung, hoàn thiện.

Bảng so sánh trách nhiệm bảo vệ dữ liệu giữa khách sạn độc lập và chuỗi lưu trú quốc tế

Để hỗ trợ Quý khách hàng xác định chính xác nghĩa vụ thực thi tương ứng với mô hình kinh doanh, Luật Việt An xây dựng bảng đối chiếu chi tiết sau:

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và điều kiện nhân sự phụ trách

Phân định vai trò bên kiểm soát và bên xử lý dữ liệu giữa công ty du lịch và khách sạn

Căn cứ Điều 2, Điều 37 Luật Bảo vệ dữ liệu cá nhân và Điều 7 Nghị định số 356/2025/NĐ-CP, việc phân định quyền hạn và trách nhiệm giữa các bên trong chuỗi dịch vụ du lịch bao gồm:

• Vai trò của công ty lữ hành: Là bên kiểm soát dữ liệu khi trực tiếp thu thập thông tin khách hàng, quyết định mục đích sử dụng và chuyển giao danh sách dịch vụ cho các đối tác.
• Vai trò của cơ sở lưu trú tiếp nhận: Là bên xử lý dữ liệu chỉ được sử dụng danh sách khách hàng để xếp phòng, cung cấp dịch vụ lưu trú theo đúng thỏa thuận hợp đồng, không được tự ý tiếp thị riêng.
• Thỏa thuận xử lý dữ liệu bắt buộc: Hai bên phải ký kết hợp đồng hoặc thỏa thuận xử lý dữ liệu quy định rõ ràng nghĩa vụ bảo mật, biện pháp kỹ thuật và trách nhiệm bồi thường khi xảy ra sự cố.

Điều kiện chỉ định nhân sự bảo vệ dữ liệu hoặc thuê đơn vị tư vấn chuyên trách

Căn cứ khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhânvà các Điều 13, 15, 16 Nghị định số 356/2025/NĐ-CP, doanh nghiệp du lịch và khách sạn phải bố trí nhân sự chuyên trách theo một trong các phương án sau:

• Bố trí nhân sự bảo vệ dữ liệu nội bộ: Cá nhân được bổ nhiệm phải có bằng tốt nghiệp cao đẳng trở lên, tối thiểu 02 năm kinh nghiệm trong lĩnh vực pháp chế, an toàn thông tin hoặc quản trị rủi ro và đã qua đào tạo chuyên môn về bảo vệ dữ liệu.
• Thuê chuyên gia hoặc tổ chức dịch vụ bảo vệ dữ liệu bên ngoài: Doanh nghiệp được ký hợp đồng dịch vụ với các đơn vị pháp lý chuyên nghiệp có tư cách pháp nhân và đội ngũ nhân sự đáp ứng chứng chỉ chuyên sâ.

Trình tự nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) về Bộ Công an

Căn cứ Điều 21, Điều 22 Luật Bảo vệ dữ liệu cá nhânvà Điều 19, Điều 20, Điều 25 Nghị định số 356/2025/NĐ-CP, việc lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu được tiến hành như sau:

• Chuẩn bị bộ hồ sơ:
  • Tờ khai thông báo xử lý dữ liệu
  • Báo cáo đánh giá tác động
  • Bản sao hợp đồng với các đối tác
  • sơ đồ luồng luân chuyển dữ liệu và quy chế nội bộ.
• Nộp hồ sơ theo thời hạn quy định: Nộp trực tiếp, trực tuyến hoặc qua đường bưu điện về Bộ Công an trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu.
• Cập nhật hồ sơ định kỳ: Cập nhật định kỳ 06 tháng một lần khi phát sinh mục đích hoặc đối tác mới, hoặc cập nhật ngay trong 10 ngày nếu có sự thay đổi về tổ chức, ngành nghề.

Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân trong doanh nghiệp du lịch và khách sạn

Khách sạn nhỏ, homestay hoặc công ty du lịch quy mô nhỏ có được miễn trừ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không?

Mặc dù khoản 2, khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhânvà Điều 41 Nghị định số 356/2025/NĐ-CP quy định lộ trình áp dụng cho doanh nghiệp nhỏ, siêu nhỏ, hộ kinh doanh, nhưng quy định này loại trừ các cơ sở trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Do mọi khách sạn, homestay đều thu thập thông tin thẻ thanh toán và công ty du lịch thu thập thông tin sức khỏe hoặc chế độ ăn uống của khách hàng nên các đơn vị này bắt buộc phải nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo đúng luật định.

Khách sạn chụp lại toàn bộ trang hộ chiếu hoặc căn cước công dân của khách nước ngoài khi làm thủ tục check-in có vi phạm không?

Khách sạn được phép thu thập thông tin hộ chiếu để thực hiện nghĩa vụ khai báo tạm trú theo luật cư trú căn cứ điểm c khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân. Tuy nhiên, việc sao chụp, lưu giữ hình ảnh giấy tờ tùy thân trên hệ thống máy tính phải có cơ chế mã hóa, phân quyền và xóa hủy an toàn khi hết thời hạn lưu trữ theo Điều 14, Điều 18 Luật Bảo vệ dữ liệu cá nhân. Nếu khách sạn để lộ lọt tệp ảnh hộ chiếu này lên mạng internet thì sẽ bị xử phạt theo quy định pháp luật.

Doanh nghiệp du lịch sử dụng số điện thoại của khách hàng đã đi tour năm trước để gửi tin nhắn SMS tiếp thị chương trình khuyến mại mới có bị coi là vi phạm không?

Hành vi này bị coi là vi phạm pháp luật nếu trước đó khách hàng chưa đồng ý riêng cho mục đích nhận tin nhắn quảng cáo. Căn cứ khoản 3 Điều 28 Luật Bảo vệ dữ liệu cá nhân, việc xử lý dữ liệu khách hàng để kinh doanh dịch vụ quảng cáo phải được sự đồng ý riêng biệt của khách hàng trên cơ sở biết rõ tần suất, hình thức giới thiệu, đồng thời doanh nghiệp phải cung cấp phương thức để khách hàng từ chối nhận tin nhắn.

Khách sạn có bắt buộc phải chỉ định nhân viên riêng phụ trách bảo vệ dữ liệu hay có thể thuê luật sư bên ngoài?

Căn cứ khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhânvà khoản 4 Điều 16 Nghị định số 356/2025/NĐ-CP, khách sạn có quyền lựa chọn:

• Chỉ định nhân sự nội bộ (phải đáp ứng đủ các tiêu chuẩn tại khoản 2 Điều 13 Nghị định số 356/2025/NĐ-CP)
• Ký hợp đồng thuê tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân chuyên nghiệp bên ngoài để đảm nhiệm toàn bộ chức năng của bộ phận bảo vệ dữ liệu.

Khi công ty du lịch xây dựng ứng dụng di động để bán tour và tích hợp theo dõi vị trí khách đoàn, doanh nghiệp có cần xin giấy phép gì không?

Căn cứ khoản 4, khoản 9 Điều 21 và Điều 24 Nghị định số 356/2025/NĐ-CP, dịch vụ ứng dụng thu thập dữ liệu cá nhân và cung cấp dữ liệu vị trí cá nhân thuộc danh mục kinh doanh có điều kiện. Doanh nghiệp phải thực hiện thủ tục đề nghị Bộ Công an cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân trước khi vận hành ứng dụng căn cứ Điều 25 Nghị định số 356/2025/NĐ-CP.

Tuân thủ quy định về bảo vệ dữ liệu cá nhân trong doanh nghiệp du lịch và khách sạn là nền tảng cốt lõi giúp các đơn vị lữ hành, lưu trú phát triển bền vững. Khi cần hỗ trợ chuyên sâu về dịch vụ tư vấn pháp lý xử lý dữ liệu cá nhân, Quý khách hàng hãy liên hệ ngay với Luật Việt An để được tư vấn kịp thời.