Theo Luật Chuyển đổi số 2025, nền tảng đặt phòng khách sạn xử lý dữ liệu các bên thế nào?

Dữ liệu lưu trú tiết lộ ai ở đâu với ai. Bài viết chỉ ra ranh giới bảo mật và các nghĩa vụ minh bạch với khách sạn đối tác.

Nền tảng đặt phòng nắm loại dữ liệu đặc biệt nhạy cảm: ai ở đâu, vào thời gian nào, với ai. Đây là thông tin mà việc rò rỉ có thể ảnh hưởng nghiêm trọng tới đời sống riêng tư và an toàn của người dùng.

Lưu ý trước: hoạt động lưu trú du lịch chịu điều chỉnh của pháp luật chuyên ngành về du lịch và quy định về khai báo lưu trú. Bài viết bàn về khía cạnh dữ liệu và nền tảng số.

Mức nhạy cảm của dữ liệu lưu trú

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Chín nguyên tắc:

• Không tiết lộ một người có đặt phòng hay không cho bất kỳ ai hỏi;
• Xác minh chặt mọi yêu cầu cung cấp thông tin;
• Phân quyền hẹp, nhân viên chỉ xem đơn đang xử lý;
• Ghi nhật ký mọi lần tra cứu;
• Giám sát tra cứu bất thường — tìm tên một người cụ thể nhiều lần;
• Chỉ gửi cho khách sạn thông tin cần cho việc nhận phòng;
• Không lưu ảnh giấy tờ lâu hơn cần thiết;
• Cho phép xóa lịch sử đặt phòng;
• Mã hóa dữ liệu.

Điểm thứ nhất và thứ năm là hai biện pháp bảo vệ quan trọng nhất: yêu cầu tìm xem một người đang ở khách sạn nào thường đến từ tranh chấp cá nhân, ghen tuông, hoặc theo dõi — và trong nhiều trường hợp liên quan tới bạo lực gia đình, việc tiết lộ có thể gây nguy hiểm tính mạng.

Điểm thứ ba đáng nhấn mạnh với các trung tâm chăm sóc khách hàng lớn: hàng trăm nhân viên có quyền tra cứu là bề mặt rủi ro rất rộng.

Minh bạch giá và xếp hạng

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Chín nguyên tắc:

• Giá hiển thị đầy đủ ngay từ đầu — gồm thuế, phí dịch vụ, phí dọn phòng;
• Không hiện giá thấp rồi cộng thêm ở bước cuối;
• Ghi rõ khách sạn nào trả phí để hiển thị ưu tiên;
• Công bố tiêu chí xếp hạng;
• Không tạo khan hiếm giả — "chỉ còn 1 phòng", "12 người đang xem";
• Không đếm ngược giả;
• Chính sách hủy rõ ràng, hiển thị trước khi thanh toán;
• Không định giá khác nhau dựa trên thiết bị, lịch sử tìm kiếm mà không thông báo;
• Đánh giá của khách hiển thị trung thực.

Điểm thứ năm và thứ sáu là thủ thuật tâm lý phổ biến nhất trong ngành và cần bị loại bỏ khi không phản ánh thực tế: đây là hành vi cung cấp thông tin sai lệch để thúc ép quyết định.

Điểm thứ tám là vấn đề ngày càng đáng chú ý: hiển thị giá cao hơn cho người dùng thiết bị đắt tiền hoặc người đã tìm kiếm nhiều lần là phân biệt đối xử về giá mà người dùng không nhận ra.

Quan hệ với khách sạn đối tác

Bảy nguyên tắc:

• Minh bạch mức hoa hồng và cách tính;
• Không ràng buộc giá khiến khách sạn không được bán rẻ hơn ở kênh của mình;
• Chuyển thông tin liên hệ khách cho khách sạn ở mức cần cho việc phục vụ;
• Không dùng dữ liệu của khách sạn này cho khách sạn khác;
• Khách sạn xuất được dữ liệu đặt phòng của mình;
• Quy trình khiếu nại khi bị hạ thứ hạng, khóa tài khoản;
• Thông báo trước khi thay đổi điều kiện hợp tác.

Điểm thứ ba là ranh giới gây tranh cãi: nền tảng thường giữ thông tin liên hệ khách để ngăn khách sạn tiếp cận trực tiếp lần sau, nhưng khách sạn cần liên hệ được với khách khi có sự cố về đặt phòng.

Điểm thứ sáu quan trọng: một khách sạn nhỏ bị khóa tài khoản mất phần lớn nguồn khách ngay lập tức, và quyết định đó cần có người xem xét.

Đánh giá của khách

Bảy nguyên tắc: chỉ cho đánh giá khi đã thực sự lưu trú; không xóa đánh giá tiêu cực trung thực; cho phép khách sạn phản hồi; kiểm duyệt nội dung xúc phạm, nội dung tiết lộ thông tin cá nhân người khác; xử lý đánh giá giả từ cả hai phía; cho phép đánh giá dưới hình thức ẩn danh với nội dung nhạy cảm; và cơ chế khiếu nại.

Điểm thứ hai đáng nhấn mạnh: gỡ đánh giá xấu theo yêu cầu của khách sạn trả phí cao là hành vi lừa dối người tiêu dùng và phá hủy giá trị cốt lõi của hệ thống đánh giá.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Năm tình huống: bán dữ liệu hành trình, thói quen du lịch cho bên thứ ba; chia sẻ cho đơn vị quảng cáo ở mức định danh; cung cấp cho công ty bảo hiểm, tài chính; nhân viên bán thông tin về nơi lưu trú của một người; và ghép dữ liệu với nguồn khác để lập hồ sơ cá nhân.

Tình huống thứ tư là rủi ro nội bộ nghiêm trọng nhất trong ngành này vì hậu quả có thể là an toàn thân thể của khách.

An ninh hệ thống

Sáu biện pháp: xác thực nhiều lớp cho tài khoản khách và tài khoản nội bộ; không lưu thông tin thẻ; cảnh báo đăng nhập bất thường; kiểm soát chức năng xuất dữ liệu; thu hồi quyền khi nhân sự nghỉ; và quy trình thông báo sự cố lộ dữ liệu cho khách hàng bị ảnh hưởng.

Khai báo lưu trú và nghĩa vụ pháp lý

Khách sạn có nghĩa vụ khai báo lưu trú theo quy định. Sáu lưu ý về khía cạnh dữ liệu:

• Chỉ thu thập đúng phạm vi quy định yêu cầu;
• Không sao lưu ảnh giấy tờ lâu hơn thời hạn cần;
• Không dùng dữ liệu khai báo cho mục đích tiếp thị;
• Bảo mật đặc biệt với dữ liệu giấy tờ tùy thân;
• Kênh truyền tới hệ thống quản lý có mã hóa;
• Phân quyền hẹp cho người thực hiện khai báo.

Điểm thứ ba là nguyên tắc quan trọng: nghĩa vụ pháp lý là cơ sở để thu thập dữ liệu, và cơ sở đó không mở rộng sang việc khai thác thương mại.

An toàn của khách lưu trú

Sáu biện pháp mà nền tảng nên yêu cầu ở đối tác và hỗ trợ thực hiện:

• Không cung cấp số phòng của khách cho người hỏi;
• Không đọc to số phòng khi giao chìa khóa tại quầy;
• Kênh báo cáo khi khách gặp vấn đề về an toàn;
• Xử lý nhanh báo cáo về camera ẩn trong phòng;
• Gỡ khách sạn khỏi nền tảng khi có vi phạm nghiêm trọng về an toàn;
• Không để khách sạn tiếp cận khách sau khi trả phòng nếu khách không muốn.

Điểm thứ tư là vấn đề nghiêm trọng đã xảy ra ở nhiều nơi: camera giấu trong phòng nghỉ là hành vi xâm phạm nghiêm trọng, và nền tảng nhận được báo cáo cần xử lý ngay chứ không chuyển về cho khách sạn tự giải quyết.

Danh sách kiểm tra

• Có tiết lộ thông tin lưu trú cho người ngoài hỏi không?
• Có giám sát tra cứu bất thường không?
• Giá hiển thị có đầy đủ mọi khoản ngay từ đầu không?
• Có tạo khan hiếm giả, đếm ngược giả không?
• Có định giá khác nhau theo thiết bị, lịch sử tìm kiếm không?
• Có gỡ đánh giá tiêu cực theo yêu cầu khách sạn không?
• Khách sạn có quy trình khiếu nại khi bị khóa tài khoản không?

Đọc thêm cùng chủ đề

• Doanh nghiệp xây dựng và bất động sản số hóa cần chuẩn bị gì?
• Doanh nghiệp gia công phần mềm hưởng ưu đãi và chịu nghĩa vụ nào?
• Chuỗi bán lẻ nhiều chi nhánh số hóa cần lưu ý gì?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 41
• Luật 148/2025/QH15 Điều 5
• Luật 116/2025/QH15 Điều 15

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.