Theo Luật Chuyển đổi số 2025, chuỗi nhà hàng số hóa đặt bàn và tích điểm cần chuẩn bị gì?

Dữ liệu tích điểm phản ánh thói quen ăn uống, thời gian và người đi cùng — nhóm dữ liệu tưởng vô hại nhưng nói lên nhiều điều về đời sống riêng tư của khách.

Một chuỗi nhà hàng vừa mở ứng dụng đặt bàn, tích điểm, gửi ưu đãi sinh nhật. Nhìn qua thì đây chỉ là chuyện kinh doanh thông thường. Nhưng dữ liệu tích lũy được từ hệ thống này nói lên khá nhiều về khách: ăn gì, đi với ai, tần suất thế nào, khả năng chi trả ra sao.

Dữ liệu nhà hàng nói lên điều gì

Liệt kê những gì một hệ thống tích điểm thường có sau vài tháng vận hành:

• Họ tên, số điện thoại, ngày sinh;
• Lịch sử đặt bàn — ngày giờ, số người, chi nhánh;
• Lịch sử món ăn — từ đó suy ra khẩu vị, kiêng khem, có thể cả tôn giáo hoặc tình trạng sức khỏe;
• Mức chi tiêu mỗi lần và tổng tích lũy;
• Thời điểm hay đi — trưa ngày thường thì có thể là ăn công việc, tối cuối tuần thì là gia đình.

Ghép lại, đây là bức tranh khá chi tiết về nếp sinh hoạt của một người. Nhóm dữ liệu về khẩu vị đặc biệt đáng lưu ý: món chay đều đặn, tránh một số nguyên liệu, hoặc chọn thực đơn dành cho người bệnh — những dấu hiệu này có thể gợi ra thông tin nhạy cảm mà khách không có ý định tiết lộ.

Nguyên tắc minh bạch và không áp đặt

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng được lựa chọn sử dụng hoặc ngừng sử dụng sản phẩm, dịch vụ số trên cơ sở được cung cấp thông tin đầy đủ, rõ ràng, chính xác, minh bạch, kịp thời về điều khoản, điều kiện sử dụng; không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Ba tình huống thường gặp trong ngành ăn uống cần soi lại theo nguyên tắc này:

Bắt cài ứng dụng mới được đặt bàn. Nếu nhà hàng vẫn nhận đặt bàn qua điện thoại thì không vấn đề gì. Nếu bỏ hoàn toàn kênh truyền thống, khách không dùng điện thoại thông minh sẽ bị loại — cần cân nhắc.

Bắt đồng ý nhận quảng cáo mới được tích điểm. Việc tích điểm không cần tới việc nhận quảng cáo. Nên tách hai lựa chọn.

Chỉ giảm giá cho khách cài ứng dụng. Đây là chính sách kinh doanh thông thường và thường được chấp nhận, miễn là dịch vụ cơ bản không bị phân biệt — khách không cài vẫn được phục vụ như bình thường.

Nghĩa vụ bảo vệ dữ liệu

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Với chuỗi nhà hàng, "quy trình" cần trả lời được mấy câu:

• Nhân viên tại chi nhánh xem được gì? Nhân viên phục vụ cần biết khách là thành viên hạng nào, không cần xem lịch sử ăn uống chi tiết của khách;
• Ai xuất được toàn bộ danh sách khách hàng? Đây là quyền nên giới hạn ở rất ít người và có ghi nhật ký;
• Dữ liệu lưu ở đâu? Nếu dùng nền tảng của bên thứ ba, cần biết rõ;
• Khách yêu cầu xóa thì xử lý thế nào? Cần có quy trình và người phụ trách.

Câu thứ hai đáng lưu ý nhất trong thực tế. Danh sách khách hàng của một chuỗi nhà hàng có giá trị thương mại, và rủi ro lớn nhất thường không phải tin tặc bên ngoài mà là nhân viên mang dữ liệu đi khi nghỉ việc.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Hai tình huống trong ngành ăn uống dễ vi phạm mà không nhận ra:

Trao đổi danh sách khách với đối tác. Chẳng hạn nhà hàng và một thương hiệu đồ uống cùng làm chương trình chung, trao đổi danh sách khách hàng. Đây là chia sẻ dữ liệu và cần có cơ sở, không thể mặc định.

Mua danh sách để chạy quảng cáo. Danh sách số điện thoại mua từ bên ngoài không có cơ sở hợp pháp để sử dụng.

Hóa đơn và chứng từ điện tử

Phần này đơn giản hơn nhiều so với dữ liệu khách hàng. Khoản 1 Điều 9 Luật 20/2023/QH15 quy định thông điệp dữ liệu được xem là đáp ứng yêu cầu về văn bản nếu thông tin trong thông điệp dữ liệu đó có thể truy cập và sử dụng được để tham chiếu.

Nghĩa là phần lớn chứng từ nội bộ — phiếu nhập kho, biên bản kiểm kê, bảng chấm công — hoàn toàn có thể lưu điện tử mà vẫn đáp ứng yêu cầu về hình thức văn bản. Riêng hóa đơn thì theo pháp luật chuyên ngành về hóa đơn, chứng từ.

Điều quan trọng là bảo đảm khả năng truy cập lâu dài: hệ thống quản lý nhà hàng thay đổi khá thường xuyên, dữ liệu cũ cần xuất được ra định dạng phổ thông trước khi chuyển hệ thống.

Camera trong nhà hàng

Hầu hết nhà hàng đều có camera. Vài nguyên tắc thực hành:

• Có biển thông báo ở khu vực có camera;
• Không lắp ở khu vực riêng tư — nhà vệ sinh, phòng thay đồ nhân viên;
• Cân nhắc kỹ với phòng riêng — khách thuê phòng riêng có kỳ vọng riêng tư cao hơn khu vực chung;
• Tắt ghi âm nếu không thực sự cần — ghi lại nội dung trò chuyện của khách là mức xâm phạm khác hẳn so với ghi hình;
• Giới hạn thời gian lưu và người xem được.

Điểm thứ tư ít được chú ý. Nhiều camera hiện nay mặc định bật micro, và chủ nhà hàng không biết mình đang lưu lại các cuộc trò chuyện của khách.

Khi đổi nền tảng quản lý

Chuỗi nhà hàng đổi phần mềm quản lý khá thường xuyên — trung bình vài năm một lần. Đây là thời điểm dữ liệu dễ thất thoát nhất.

Ba việc cần làm khi chuyển đổi: xuất toàn bộ dữ liệu ra định dạng phổ thông và kiểm tra tính đầy đủ trước khi ngắt hệ thống cũ; yêu cầu nhà cung cấp cũ xác nhận bằng văn bản việc đã xóa dữ liệu trên hệ thống của họ; và thông báo cho khách hàng nếu nền tảng mới có thay đổi về cách xử lý dữ liệu.

Việc thứ hai thường bị bỏ qua. Hợp đồng chấm dứt không đồng nghĩa với việc dữ liệu tự biến mất khỏi máy chủ của nhà cung cấp cũ.

Danh sách việc cần làm

• Rà soát màn hình đăng ký thành viên — có nói rõ thu gì, dùng gì không;
• Tách việc tích điểm và việc nhận quảng cáo thành hai lựa chọn;
• Phân quyền nhân viên chi nhánh và quản lý chuỗi khác nhau;
• Giới hạn và ghi nhật ký quyền xuất danh sách khách hàng;
• Kiểm tra micro trên camera và tắt nếu không cần;
• Có quy trình xử lý khi khách yêu cầu xóa dữ liệu;
• Rà soát hợp đồng với nền tảng quản lý nhà hàng về điều khoản dữ liệu.

Với chuỗi có nhiều chi nhánh, việc phân quyền là ưu tiên cao nhất — mỗi chi nhánh chỉ nên thấy dữ liệu cần cho công việc của mình.

Đọc thêm cùng chủ đề

• Chữ ký điện tử của đối tác nước ngoài có được chấp nhận không?
• Kỹ sư công nghệ nước ngoài được ưu đãi gì khi làm việc tại Việt Nam?
• Phát hiện dấu hiệu khủng bố mạng thì doanh nghiệp phải làm gì?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 41
• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 5
• Luật 20/2023/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.