Theo Luật Chuyển đổi số 2025, khách sạn và doanh nghiệp du lịch số hóa cần lưu ý gì?

Ba vấn đề đặc thù: dữ liệu định danh khách lưu trú, hệ thống đặt phòng trực tuyến, và các công cụ tự động tương tác với khách.

Ngành lưu trú và du lịch xử lý khối lượng dữ liệu định danh lớn — giấy tờ tùy thân, thông tin thanh toán, lịch trình di chuyển. Đây là đặc thù cần chú ý khi triển khai các giải pháp số.

Vấn đề thứ nhất — dữ liệu khách lưu trú

Hồ sơ khách lưu trú chứa nhiều loại dữ liệu cá nhân: thông tin trên giấy tờ tùy thân, thông tin liên hệ, thông tin thanh toán, và lịch sử lưu trú. Với khách nước ngoài còn có thông tin hộ chiếu, thị thực.

Khoản 1 Điều 27 Luật Chuyển đổi số 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.

Khoản 2 Điều 26 Luật An ninh mạng 116/2025/QH15 nêu các nội dung bảo đảm an ninh dữ liệu, trong đó với ngành lưu trú đáng chú ý:

• Điểm a — xây dựng chính sách, thiết lập quy trình về bảo đảm an ninh dữ liệu;
• Điểm c — sử dụng mật mã cơ yếu, mật mã dân sự để bảo đảm an ninh dữ liệu;
• Điểm d — triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu;
• Điểm đ — kiểm tra, đánh giá rủi ro định kỳ.

Điểm d đặc biệt phù hợp với ngành lưu trú: lễ tân có quyền truy cập vào toàn bộ thông tin khách, và tỷ lệ luân chuyển nhân sự trong ngành thường cao.

Ba biện pháp cụ thể, chi phí thấp:

• Cấp tài khoản riêng cho từng nhân viên, thu hồi ngay khi nghỉ việc;
• Phân quyền theo vai trò — lễ tân không cần xem lịch sử lưu trú của khách từ nhiều năm trước;
• Ghi nhật ký truy cập, đặc biệt với thao tác xuất dữ liệu hàng loạt.

Điểm a khoản 1 Điều 15 Luật 116/2025/QH15 liệt kê hành vi chiếm đoạt, mua bán, thu giữ, cố ý làm lộ thông tin thuộc bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp — thông tin về nơi lưu trú và người cùng đi thuộc phạm vi này.

Khoản 3 Điều 5 Luật 148/2025/QH15 cũng nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Vấn đề thứ hai — hệ thống đặt phòng trực tuyến

Website hoặc ứng dụng đặt phòng là hệ thống thông tin phục vụ giao dịch điện tử theo khoản 1 Điều 45 Luật Giao dịch điện tử 20/2023/QH15.

Yêu cầu về nguồn thời gian

Điểm c khoản 4 Điều 46 quy định lịch sử giao dịch của tài khoản giao dịch điện tử có giá trị pháp lý để chứng minh giao dịch khi bảo đảm chính xác thời gian giao dịch từ nguồn thời gian theo quy định của pháp luật về nguồn thời gian chuẩn quốc gia.

Với ngành lưu trú, thời điểm đặt phòng và thời điểm hủy có ý nghĩa trực tiếp tới việc áp dụng chính sách hủy và hoàn tiền. Đồng bộ thời gian máy chủ là biện pháp chi phí gần bằng không nhưng bảo vệ được doanh nghiệp trong tranh chấp.

Giao dịch tự động

Khoản 1 Điều 34 Luật 20/2023/QH15 khẳng định hợp đồng điện tử giao kết từ tương tác giữa hệ thống thông tin tự động với người không bị phủ nhận giá trị pháp lý chỉ vì không có sự kiểm tra hay can thiệp của con người.

Nghĩa là xác nhận đặt phòng tự động có giá trị ràng buộc. Đây là lý do cần kiểm soát chặt: hiển thị sai giá hoặc sai tình trạng phòng trống dẫn tới hợp đồng có hiệu lực với nội dung sai.

Khoản 3 Điều 14 Luật 20/2023/QH15 cũng có quy định về lỗi nhập thông tin: trường hợp một bên mắc lỗi nhập thông tin thông qua hệ thống tự động mà hệ thống không cung cấp cho bên đó cơ hội sửa lỗi thì bên mắc lỗi có quyền rút lại thông tin đã nhập nếu đáp ứng các yêu cầu — trong đó có việc thông báo về lỗi ngay khi nhận ra.

Hàm ý thiết kế: có bước xem lại và sửa trước khi khách xác nhận đặt phòng.

Quyền hủy của khách

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng được lựa chọn sử dụng hoặc ngừng sử dụng sản phẩm, dịch vụ số trên cơ sở được cung cấp thông tin đầy đủ, rõ ràng, chính xác, minh bạch, kịp thời về điều khoản, điều kiện sử dụng; không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử.

Với ngành lưu trú, điều này nghĩa là chính sách hủy phòng và hoàn tiền phải được nêu rõ ràng, dễ thấy trước khi khách xác nhận — không giấu trong điều khoản dài.

Vấn đề thứ ba — công cụ tự động tương tác với khách

Hộp thoại tư vấn, tổng đài tự động, trợ lý ảo trong ứng dụng đều thuộc phạm vi Luật Trí tuệ nhân tạo 134/2025/QH15.

Điểm b khoản 1 Điều 9 định nghĩa hệ thống rủi ro trung bình là hệ thống có khả năng gây nhầm lẫn, tác động hoặc thao túng người sử dụng do không nhận biết được chủ thể tương tác là hệ thống trí tuệ nhân tạo hoặc nội dung do hệ thống tạo ra.

Khoản 1 Điều 11 yêu cầu bảo đảm người sử dụng nhận biết khi đang tương tác với hệ thống — cần thực hiện qua thiết kế và vận hành, không phải một dòng trong điều khoản sử dụng.

Với khách quốc tế, việc này còn có ý nghĩa thực tế: khách cần biết khi nào cần yêu cầu chuyển sang nhân viên thật để xử lý vấn đề phức tạp.

Hình ảnh quảng bá

Nếu doanh nghiệp dùng công cụ tạo sinh để tạo hình ảnh quảng bá cơ sở lưu trú, khoản 3 Điều 11 áp dụng: bên triển khai có trách nhiệm thông báo rõ ràng khi cung cấp ra công cộng văn bản, âm thanh, hình ảnh, video được tạo ra hoặc chỉnh sửa bằng hệ thống trí tuệ nhân tạo nếu nội dung đó có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật.

Ảnh mô phỏng phòng nghỉ hoặc cảnh quan không đúng thực tế là vùng rủi ro rõ ràng — vừa chạm tới khoản 3 Điều 11, vừa liên quan tới trách nhiệm cung cấp thông tin chính xác cho khách hàng.

Nếu triển khai nhận diện khuôn mặt

Một số cơ sở lưu trú cân nhắc dùng nhận diện khuôn mặt cho việc nhận phòng tự động hoặc kiểm soát ra vào. Đây là hệ thống xử lý dữ liệu sinh trắc học — nhóm dữ liệu cá nhân nhạy cảm.

Khoản 3 Điều 7 Luật 134/2025/QH15 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Điểm đ khoản 1 Điều 15 Luật 116/2025/QH15 cũng nêu hành vi cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại — liên quan tới hệ thống camera có thu âm tại khu vực công cộng của cơ sở.

Cách tiếp cận thận trọng: cân nhắc kỹ nhu cầu thực sự. Nhiều mục tiêu — như rút ngắn thời gian nhận phòng — có thể đạt được bằng giải pháp không cần nhận diện sinh trắc học, chẳng hạn mã đặt phòng và xác thực qua điện thoại.

Nghĩa vụ với nội dung do khách đăng

Nếu doanh nghiệp vận hành nền tảng có đánh giá của khách, khoản 2 Điều 27 Luật 148/2025/QH15 áp dụng: trách nhiệm xây dựng công cụ để chủ động sàng lọc, phát hiện, thông báo, xử lý nhằm bảo vệ người sử dụng khỏi các nội dung xấu, độc hại, thông tin vi phạm pháp luật, tin giả, nội dung lừa đảo.

Với cơ sở quy mô nhỏ, một kênh báo cáo cho người dùng kèm quy trình xử lý là mức triển khai phù hợp.

Danh mục việc cần làm

• Rà soát quyền truy cập dữ liệu khách của từng vị trí công việc;
• Cấp tài khoản riêng, thu hồi ngay khi nhân sự nghỉ việc;
• Bật nhật ký truy cập, đặc biệt với thao tác xuất dữ liệu;
• Mã hóa dữ liệu khách khi lưu trữ;
• Đồng bộ thời gian máy chủ với nguồn thời gian chuẩn quốc gia;
• Bổ sung bước xem lại trước khi khách xác nhận đặt phòng;
• Hiển thị chính sách hủy và hoàn tiền rõ ràng trước khi xác nhận;
• Gắn dấu hiệu nhận biết cho hộp thoại tự động;
• Rà soát hình ảnh quảng bá tạo bằng công cụ tự động;
• Thiết lập kênh báo cáo và xử lý nội dung đánh giá vi phạm;
• Sao lưu dữ liệu và kiểm thử khôi phục.

Đọc thêm cùng chủ đề

• Ngân sách nhà nước chi bao nhiêu cho chuyển đổi số mỗi năm?
• Chữ ký điện tử của đối tác nước ngoài có được chấp nhận không?
• Kỹ sư công nghệ nước ngoài được ưu đãi gì khi làm việc tại Việt Nam?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 20/2023/QH15 Điều 46

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.