Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) có hiệu lực từ ngày 01/01/2026 và thay thế cách quản lý dữ liệu cá nhân trước đây theo Nghị định 13/2023/NĐ-CP. Khách sạn, nhà nghỉ là nơi thu thập rất nhiều dữ liệu nhạy cảm: số căn cước, hộ chiếu, ảnh chân dung, số điện thoại, lịch sử lưu trú. Bài viết tóm tắt những điểm khách sạn cần biết và 8 việc nên làm để tuân thủ.
Tóm tắt nhanh: Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 01/01/2026, được hướng dẫn bởi Nghị định 356/2025/NĐ-CP. Khách sạn chỉ được thu thập dữ liệu cần thiết cho mục đích rõ ràng (như thông báo lưu trú theo Luật Cư trú), phải thông báo cho khách, bảo mật, phân quyền truy cập, không mua bán dữ liệu và xóa khi hết thời hạn lưu trữ. Vi phạm có thể bị phạt nặng, mức tối đa với một số hành vi tính theo phần trăm doanh thu hoặc bội số khoản thu từ vi phạm.
Nội dung bài viết
Luật Bảo vệ dữ liệu cá nhân 2025 áp dụng với khách sạn thế nào?
Trả lời ngắn: mọi cơ sở lưu trú thu thập, lưu trữ, sử dụng thông tin của khách đều là bên xử lý dữ liệu cá nhân và phải tuân thủ luật, không phân biệt khách sạn lớn hay homestay vài phòng.
Luật số 91/2025/QH15 được Quốc hội thông qua năm 2025, có hiệu lực từ 01/01/2026; Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành và thay thế Nghị định 13/2023/NĐ-CP. Có thể tra cứu toàn văn tại Thư viện Pháp luật hoặc Cổng thông tin điện tử Chính phủ.
Khách sạn đang xử lý những dữ liệu cá nhân nào?
| Dữ liệu | Mục đích thường gặp | Mức độ nhạy cảm |
|---|---|---|
| Họ tên, ngày sinh, giới tính, số căn cước/hộ chiếu, nơi thường trú | Thông báo lưu trú, khai báo tạm trú | Cao |
| Quốc tịch, thị thực, ngày nhập cảnh | Khai báo tạm trú người nước ngoài | Cao |
| Ảnh chân dung | Đối chiếu khi giao chìa khóa (nếu cơ sở áp dụng) | Cao (dữ liệu sinh trắc) |
| Số điện thoại, email | Liên hệ đặt phòng, gửi hóa đơn | Cơ bản |
| Lịch sử lưu trú, chi tiêu | Chăm sóc khách quen | Cơ bản, có thể nhạy cảm khi kết hợp |
| Hình ảnh camera | An ninh | Tùy vị trí đặt camera |
Nguyên tắc chính của Luật Bảo vệ dữ liệu cá nhân 2025
- Hợp pháp, có mục đích rõ ràng: chỉ thu thập dữ liệu phục vụ mục đích đã thông báo.
- Tối thiểu: không thu thập dư thừa, ví dụ không chụp lưu ảnh giấy tờ nếu không cần.
- Minh bạch: khách biết dữ liệu dùng để làm gì, lưu bao lâu.
- Bảo mật: có biện pháp kỹ thuật và tổ chức chống lộ, mất, truy cập trái phép.
- Giới hạn thời gian lưu: xóa hoặc hủy khi hết mục đích, trừ trường hợp luật khác yêu cầu lưu.
- Không mua bán dữ liệu cá nhân dưới mọi hình thức.
8 việc khách sạn nên làm để tuân thủ
- Liệt kê dữ liệu đang thu thập và lý do cho từng loại.
- Thông báo cho khách qua nội quy, trang đặt phòng hoặc bảng ở quầy: thu thập gì, để làm gì.
- Không lưu ảnh chụp căn cước, hộ chiếu nếu chỉ cần thông tin để thông báo lưu trú.
- Phân quyền: chỉ lễ tân, quản lý xem được hồ sơ khách; bảo vệ, buồng phòng, kế toán không cần.
- Ghi nhật ký truy cập: ai xem số giấy tờ, ai xuất file, lúc nào.
- Bảo vệ thiết bị: máy quầy có mật khẩu, không dùng chung tài khoản, không gửi danh sách khách qua nhóm chat.
- Xử lý sự cố: khi lộ dữ liệu, thông báo theo quy định và cho khách bị ảnh hưởng.
- Đào tạo nhân viên và ký cam kết bảo mật.
Mức xử phạt theo Luật Bảo vệ dữ liệu cá nhân 2025
Luật quy định mức phạt tiền tối đa rất cao với một số hành vi: mua bán dữ liệu cá nhân có thể bị phạt tới 10 lần khoản thu có được từ hành vi vi phạm; vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tới 5% doanh thu năm liền trước; các vi phạm khác có mức tối đa tính bằng tiền theo quy định. Ngoài phạt tiền, người vi phạm có thể phải bồi thường thiệt hại cho khách hoặc bị truy cứu trách nhiệm hình sự nếu đủ yếu tố. Mức áp dụng cụ thể theo luật và nghị định xử phạt hiện hành.
Luật Bảo vệ dữ liệu cá nhân 2025 và nghĩa vụ thông báo lưu trú
Nhiều chủ khách sạn lo hai luật mâu thuẫn: Luật Cư trú buộc thu thập thông tin khách, còn Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu hạn chế thu thập. Thực tế không mâu thuẫn: thu thập thông tin để thông báo lưu trú là thực hiện nghĩa vụ pháp luật, là căn cứ hợp pháp. Điều cần tránh là thu thập vượt mục đích (chụp lưu giấy tờ khi không cần), dùng dữ liệu cho việc khác (quảng cáo khi khách chưa đồng ý) và để lộ dữ liệu.
Sổ Lưu Trú thiết kế theo Luật Bảo vệ dữ liệu cá nhân 2025
Sổ Lưu Trú không lưu ảnh giấy tờ, chỉ đọc thông tin cần thiết từ mã QR căn cước hoặc dòng MRZ hộ chiếu. Số giấy tờ hiển thị dạng che bớt, bấm Hiện mới thấy đủ và được ghi nhật ký; bảo vệ, buồng phòng, kế toán không xem được hồ sơ khách; mỗi lần xuất file sổ lưu trú đều ghi lại người xuất. Đọc thêm bảo vệ dữ liệu khách lưu trú và quét căn cước khi nhận phòng.
Câu hỏi thường gặp về Luật Bảo vệ dữ liệu cá nhân 2025
Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực khi nào?
Từ ngày 01/01/2026; Nghị định 356/2025/NĐ-CP hướng dẫn thi hành và thay thế Nghị định 13/2023/NĐ-CP.
Khách sạn có được chụp lại căn cước của khách?
Chỉ nên thu thập thông tin cần thiết cho thông báo lưu trú; lưu ảnh giấy tờ khi không cần là thu thập vượt mục đích và tăng rủi ro lộ lọt.
Khách yêu cầu xóa dữ liệu thì làm thế nào?
Xem xét yêu cầu theo quyền của chủ thể dữ liệu; dữ liệu đang phải lưu theo luật khác (như hồ sơ lưu trú) được giữ đến hết thời hạn rồi mới xóa.
Homestay nhỏ có phải tuân thủ luật này không?
Có. Luật áp dụng với mọi tổ chức, cá nhân xử lý dữ liệu cá nhân, không phụ thuộc quy mô.
Kết luận về Luật Bảo vệ dữ liệu cá nhân 2025
Luật Bảo vệ dữ liệu cá nhân 2025 đặt khách sạn vào vị trí người giữ dữ liệu nhạy cảm của hàng nghìn khách mỗi năm. Thu thập vừa đủ cho thông báo lưu trú, không lưu ảnh giấy tờ, phân quyền, ghi nhật ký và đào tạo nhân viên là những việc làm được ngay. Tuân thủ không chỉ tránh phạt mà còn tạo niềm tin để khách yên tâm quay lại.
Phần mềm quản lý khách sạn, nhà nghỉ trên điện thoại do Công ty TNHH Thương mại Dịch vụ Việt Thái Group phát triển. Bài viết mang tính tham khảo; quy định pháp luật có thể thay đổi, vui lòng đối chiếu văn bản hiện hành.
