Cẩm nang
Chính sách bảo mật và cookie trên website khách sạn: viết sao cho đúng
Đăng ngày
Website đặt phòng thu tên, số điện thoại, email của khách. Chính sách bảo mật cần nêu gì, cookie nào cần khách đồng ý trước, lưu dữ liệu bao lâu thì hợp lý.
Mỗi yêu cầu đặt phòng gửi qua website đều mang theo dữ liệu cá nhân: họ tên, số điện thoại, email, ngày đến, số người, đôi khi cả ghi chú về sức khỏe hay trẻ nhỏ. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn luật này có hiệu lực, thay cho Nghị định 13/2023. Bài này giúp chủ khách sạn hiểu chính sách bảo mật và thông báo cookie trên web cần nói gì, và quan trọng hơn, cần làm gì cho khớp với điều đã viết. Đây là hướng dẫn thực hành, không thay cho tư vấn pháp lý; những điểm phức tạp nên hỏi luật sư.
Nguyên tắc chung: viết đúng điều mình làm
Chính sách bảo mật không phải văn bản để chép cho đủ. Nó là lời cam kết công khai với khách. Nếu chính sách nói “dữ liệu được xóa sau 24 tháng” nhưng hộp thư của lễ tân còn giữ yêu cầu đặt phòng từ năm năm trước, thì chính sách đang nói sai. Vì vậy, trước khi viết, hãy liệt kê thật: dữ liệu khách đi qua những đâu.
- Form đặt phòng, form liên hệ trên web.
- Email nhận thông báo đặt phòng.
- Zalo, điện thoại của lễ tân.
- Phần mềm quản lý khách sạn.
- Các công cụ đo lường, quảng cáo gắn trên web.
Chính sách bảo mật cần có những phần nào
- Ai xử lý dữ liệu: tên khách sạn, pháp nhân, địa chỉ, cách liên hệ về dữ liệu cá nhân. Nếu có đơn vị cung cấp web, phần mềm xử lý dữ liệu thay mặt khách sạn, nêu tên đơn vị đó.
- Thu thập dữ liệu gì: liệt kê cụ thể. Chỉ thu những gì thật sự cần để xử lý đặt phòng.
- Dùng vào việc gì: xác nhận đặt phòng, liên hệ trước ngày đến, xuất hóa đơn, giải quyết khiếu nại. Nếu muốn gửi ưu đãi qua email, Zalo, đó là một mục đích riêng, cần khách đồng ý riêng.
- Chia sẻ cho ai: nhà cung cấp email, máy chủ, phần mềm; ghi rõ tên dịch vụ email thật đang dùng và nếu máy chủ của họ có thể đặt ở nước ngoài thì nói rõ.
- Lưu trong bao lâu: nêu thời hạn cụ thể, ví dụ “yêu cầu đặt phòng lưu tối đa 24 tháng kể từ ngày gửi, sau đó tự xóa”. Chứng từ kế toán, hóa đơn, dữ liệu thông báo lưu trú lưu theo thời hạn mà pháp luật về kế toán, thuế, cư trú quy định.
- Quyền của khách: được biết, xem, sửa, yêu cầu xóa, rút lại sự đồng ý, khiếu nại; kèm kênh gửi yêu cầu và thời hạn khách sạn trả lời.
- Bảo vệ dữ liệu thế nào: https, phân quyền tài khoản, xác thực hai lớp cho tài khoản quản trị, sao lưu.
- Khi có sự cố: cam kết thông báo cho khách và cơ quan có thẩm quyền theo quy định.
Những dữ liệu không nên thu qua website
Website đặt phòng không cần, và không nên, nhận ảnh căn cước, hộ chiếu, số thẻ ngân hàng hay mã OTP. Việc xuất trình giấy tờ để khai báo lưu trú làm tại quầy khi nhận phòng, có thể qua VNeID. Thu ít dữ liệu nhạy cảm qua mạng là cách đơn giản nhất để giảm rủi ro khi có sự cố. Bài bảo vệ dữ liệu khách lưu trú trên Sổ Lưu Trú nói kỹ hơn về cách giữ an toàn dữ liệu khách ở quầy lễ tân và trong phần mềm.
Ô đồng ý trên form đặt phòng
Luật mới yêu cầu sự đồng ý phải rõ ràng, không được suy ra từ việc khách im lặng hay không bỏ chọn. Trên form đặt phòng và form liên hệ:
- Có ô đánh dấu đồng ý, để trống sẵn, khách phải tự tích mới gửi được.
- Câu đồng ý ngắn, có đường dẫn tới chính sách bảo mật.
- Hệ thống lưu lại thời điểm khách đồng ý và nội dung câu đồng ý lúc đó.
- Đồng ý nhận tin ưu đãi là một ô riêng, không gộp với ô đồng ý xử lý đặt phòng.
Cookie: loại nào cần hỏi trước
Cookie là các tệp nhỏ trang web lưu trên trình duyệt của khách. Có thể chia thành hai nhóm:
| Nhóm | Ví dụ | Cách xử lý |
|---|---|---|
| Cần thiết | Ghi nhớ ngôn ngữ, chế độ xem, giữ thông tin đang điền trên form | Được dùng để web chạy đúng; nêu trong chính sách, ghi tên và thời hạn |
| Đo lường, quảng cáo | Google Analytics, Facebook Pixel, mã theo dõi quảng cáo | Chỉ đặt sau khi khách bấm đồng ý trên thanh thông báo cookie |
Điểm nhiều web đang làm sai: gắn mã Google Analytics hay Pixel để chạy ngay khi trang tải, rồi chỉ hiện một dòng “web dùng cookie” cho có. Cách làm đúng hơn:
- Khi khách vào web lần đầu, hiện thanh thông báo với hai nút ngang hàng: “Đồng ý cookie đo lường” và “Chỉ dùng cookie cần thiết”.
- Mã đo lường, quảng cáo chỉ được nạp sau khi khách đồng ý. Với Google Analytics, có thể dùng chế độ đồng ý (Consent Mode) với mặc định từ chối.
- Chân trang có liên kết “Cài đặt cookie” để khách đổi ý bất cứ lúc nào.
- Chính sách cookie liệt kê từng cookie: tên, mục đích, thời hạn, bên cung cấp.
Chuyển dữ liệu ra nước ngoài
Nhiều công cụ phổ biến như dịch vụ email quốc tế hay công cụ đo lường lưu dữ liệu trên máy chủ ở nước ngoài. Theo luật mới, việc chuyển dữ liệu cá nhân ra nước ngoài có thể kéo theo nghĩa vụ lập hồ sơ đánh giá tác động. Hộ kinh doanh, doanh nghiệp nhỏ có được miễn hay giảm trong thời gian chuyển tiếp hay không là điểm còn cần luật sư xác nhận cho từng trường hợp. Trong lúc chờ, cách thận trọng là: nêu rõ trong chính sách, chỉ bật công cụ đo lường khi khách đồng ý, và không gửi dữ liệu nhạy cảm qua những kênh này.
Kiểm tra nhanh website của mình
- Mở web bằng trình duyệt ẩn danh: có thanh thông báo cookie không, từ chối thì mã đo lường có còn chạy không?
- Form đặt phòng có ô đồng ý để trống sẵn không?
- Chính sách bảo mật có nêu thời hạn lưu cụ thể, tên dịch vụ email thật không?
- Hộp thư, điện thoại lễ tân có còn giữ dữ liệu khách quá thời hạn đã nêu không?
- Tài khoản quản trị web có bật xác thực hai lớp không?
Sổ Lưu Trú làm sẵn những gì
Web khách sạn do Sổ Lưu Trú làm có sẵn 6 trang chính sách mẫu, trong đó có chính sách bảo mật liệt kê đủ quyền của khách và kênh gửi yêu cầu; form đặt phòng và liên hệ bắt buộc đánh dấu đồng ý, lưu thời điểm và câu đồng ý; tài khoản quản trị có xác thực hai lớp; web không nhận ảnh giấy tờ, số thẻ hay OTP. Khách sạn điền thông tin thật của mình và chỉnh theo cách vận hành thực tế. Xem cách các trang này hiển thị trên mẫu Mini Gọn hoặc Di Sản Đông Dương, và chi phí các gói ở trang bảng giá.
