Homestay chỉ nên thu đúng những thông tin khách cần cho việc lưu trú và khai báo theo quy định, cất chúng ở một nơi có khoá thay vì rải rác trong các cuộc trò chuyện, cho một hai người được xem, và xoá khi không còn cần. Đó là cốt lõi của Luật Bảo vệ dữ liệu cá nhân (Quốc hội thông qua năm 2025, hiệu lực từ ngày 1/1/2026), vốn nâng các nguyên tắc của Nghị định 13/2023/NĐ-CP lên tầm luật.
Một homestay nhỏ ở Tà Đùng mỗi tuần có thể nhận hàng chục ảnh căn cước gửi qua Zalo, Messenger, danh sách đoàn gồm họ tên, ngày sinh, số giấy tờ, số điện thoại. Những tấm ảnh đó nằm trong thư viện ảnh điện thoại, trong nhóm chat gia đình, trong máy của người trực, có khi tồn tại nhiều năm. Nếu điện thoại bị mất hay tài khoản bị chiếm, đó là kho dữ liệu sẵn cho kẻ gian mạo danh, vay tiền, đăng ký sim.
Bài này viết cho chủ cơ sở nhỏ, theo nguyên lý, không thay cho tư vấn pháp lý. Quy định cụ thể về khai báo lưu trú, nghĩa vụ của cơ sở kinh doanh có thể thay đổi, nên kiểm văn bản hiện hành hoặc hỏi công an xã.
Homestay đang giữ những dữ liệu gì của khách
Thử liệt kê một lần, bạn sẽ ngạc nhiên vì nhiều hơn mình nghĩ. Có dữ liệu định danh: họ tên, ngày sinh, số căn cước hoặc hộ chiếu, ảnh chụp giấy tờ hai mặt. Có dữ liệu liên lạc: số điện thoại, tài khoản mạng xã hội, email. Có dữ liệu tài chính: tên và số tài khoản ngân hàng khách đã dùng để chuyển cọc, ảnh giao dịch. Có dữ liệu về chuyến đi: ngày đến, ngày đi, đi cùng ai, biển số xe, giờ đến bến.
Ngoài ra còn những dữ liệu nhạy cảm hơn mà cơ sở nhận được một cách tình cờ: khách dặn bị dị ứng thức ăn, khách có người già bệnh nền, khách đi cùng trẻ nhỏ, cặp đôi không muốn người nhà biết. Ảnh chụp khách trong bữa tối, video khách chơi trên thuyền mà nhân viên quay để đăng mạng cũng là dữ liệu cá nhân.
Mỗi loại có mục đích khác nhau. Thông tin để khai báo lưu trú là nghĩa vụ theo quy định. Số điện thoại để liên lạc, chỉ đường. Thông tin sức khoẻ để chuẩn bị bữa ăn an toàn. Vấn đề bắt đầu khi dữ liệu được giữ lâu hơn mục đích, đem dùng vào việc khác (ví dụ đưa số điện thoại khách vào nhóm quảng cáo mà không hỏi), hoặc để ở nơi ai cũng xem được.
Một cách nhìn dễ nhớ: mỗi mẩu thông tin của khách giống một chiếc chìa khoá phòng. Phát ra lúc khách nhận phòng là cần thiết, nhưng sau khi khách trả phòng mà chìa vẫn nằm rải trong túi áo của nhiều người thì đó là chuyện đáng lo, dù chưa ai dùng tới.
Thu gì, cất đâu, giữ bao lâu: bảng tự rà cho cơ sở nhỏ
Bảng dưới đây là gợi ý thực hành theo tinh thần "thu tối thiểu, dùng đúng mục đích", không phải danh mục pháp lý. Thời hạn lưu giữ bắt buộc với từng loại giấy tờ, nếu có, cần kiểm theo quy định hiện hành:
| Dữ liệu | Dùng để | Nên cất ở | Khi nào xoá |
|---|---|---|---|
| Ảnh căn cước, hộ chiếu | Khai báo lưu trú | Một thư mục riêng có khoá, không để trong thư viện ảnh chung | Sau khi đã khai báo xong và hết thời gian cần đối chiếu |
| Danh sách đoàn | Khai báo, xếp phòng | Một tệp riêng, chỉ người quản lý xem | Sau khi đoàn trả phòng và đã đối soát |
| Số điện thoại, tài khoản liên lạc | Liên lạc, chỉ đường, hỗ trợ | Danh bạ hoặc sổ khách | Giữ nếu khách đồng ý nhận tin; không thì xoá sau chuyến đi |
| Thông tin sức khoẻ, ăn uống | Chuẩn bị bữa ăn, an toàn | Ghi chú cho bếp theo ngày | Sau khi khách rời đi |
| Ảnh, video có khách | Kỷ niệm, quảng bá nếu được phép | Kho ảnh cơ sở, tách riêng ảnh được phép đăng | Xoá nếu khách không đồng ý đăng |
Điểm mấu chốt ở cột "nên cất ở": dữ liệu khách không nên nằm rải trong các cuộc trò chuyện. Khi nhận ảnh căn cước qua Zalo, lưu vào thư mục riêng, khai báo xong thì xoá ảnh trong cuộc trò chuyện và trong thư viện ảnh của điện thoại.
Quy trình nhận giấy tờ khách cho một homestay gia đình
Một quy trình nhỏ, làm giống nhau với mọi khách, giúp giảm rủi ro mà không làm chậm việc đón khách:
- Khi khách đặt phòng, nói rõ cơ sở cần thông tin gì để khai báo lưu trú theo quy định, và chỉ xin đúng những thông tin đó.
- Ưu tiên kiểm giấy tờ trực tiếp khi khách đến, nhập thông tin cần thiết vào hệ thống khai báo, hạn chế xin ảnh chụp giấy tờ qua tin nhắn từ trước.
- Nếu phải nhận ảnh trước (đoàn đông, đến muộn), chỉ một người nhận, trên một thiết bị có khoá màn hình.
- Khai báo xong, chuyển ảnh vào thư mục riêng hoặc xoá theo quy ước của cơ sở; xoá cả trong cuộc trò chuyện và thùng rác của thư viện ảnh.
- Không chuyển tiếp ảnh giấy tờ khách vào nhóm chat gia đình, nhóm nhân viên, nhóm với người chạy thuyền hay xe đưa đón.
- Cuối mỗi tháng, người quản lý rà thư mục, xoá những gì đã quá thời gian cần giữ.
Quy trình này cũng bảo vệ chính cơ sở. Khi có sự cố như mất điện thoại, nhân viên nghỉ việc, càng ít dữ liệu khách tồn tại ở nhiều nơi, thiệt hại càng nhỏ, và cơ sở càng dễ trả lời khi khách hỏi thông tin của họ được giữ thế nào.
Những chỗ dữ liệu khách hay bị lộ mà chủ cơ sở không để ý
Nhóm chat là chỗ đầu tiên. Ảnh căn cước gửi vào nhóm gia đình để "ai rảnh khai báo giúp" sẽ nằm trong máy của mọi thành viên, kể cả người không làm việc cho cơ sở. Khi một máy trong số đó bị mất hay bị chiếm tài khoản, ảnh đi theo.
Thư viện ảnh tự đồng bộ lên đám mây là chỗ thứ hai. Nhiều điện thoại tự sao lưu mọi ảnh lên tài khoản đám mây; ảnh căn cước đã xoá trong máy vẫn nằm trên đó. Nếu tài khoản đám mây dùng mật khẩu yếu, đó là một cánh cửa mở. Kiểm cài đặt đồng bộ, và xoá cả bản trên đám mây.
Bài đăng quảng bá là chỗ thứ ba. Ảnh khách vui vẻ check-in có khi lộ biển số xe, lộ khuôn mặt trẻ nhỏ, lộ thời điểm cả gia đình khách đi vắng nhà. Hỏi khách trước khi đăng, che những chi tiết không cần, và không gắn thẻ vị trí nhà riêng của khách.
Sổ khách giấy để ở quầy là chỗ thứ tư. Khách sau lật sổ đọc được tên, số điện thoại của khách trước. Cất sổ vào ngăn kéo, hoặc dùng sổ chỉ người quản lý ghi.
Cuối cùng là máy tính chung ở quầy, nơi đăng nhập sẵn tài khoản khai báo và email của cơ sở. Đặt mật khẩu cho máy, đăng xuất khi không dùng.
Quy định nói gì, nói gọn theo nguyên lý
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/7/2023, đặt ra các nguyên tắc như: xử lý dữ liệu đúng mục đích đã thông báo, thu thập ở mức cần thiết, bảo đảm an toàn, và tôn trọng quyền của người có dữ liệu như được biết, được đồng ý, được yêu cầu xoá trong những trường hợp nhất định. Năm 2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/1/2026; từ đó luật là văn bản gốc, các nguyên tắc trên được giữ và nâng lên tầm luật, còn văn bản hướng dẫn được ban hành lại theo luật; mức độ nghĩa vụ đối với hộ kinh doanh, doanh nghiệp nhỏ có thể có quy định riêng, nên kiểm văn bản hướng dẫn hiện hành.
Song song là quy định về khai báo lưu trú: cơ sở cho khách lưu trú có nghĩa vụ thông báo lưu trú với cơ quan công an theo Luật Cư trú và văn bản hướng dẫn, ngày nay phần lớn làm trực tuyến. Nghĩa vụ này là lý do chính đáng để cơ sở thu thông tin giấy tờ của khách. Nhưng nó không phải lý do để giữ ảnh giấy tờ vô thời hạn hay dùng thông tin vào việc khác.
Với chủ homestay, cách hiểu thực tế là: thu cho đúng việc khai báo và phục vụ khách, nói cho khách biết, giữ cẩn thận, xoá khi xong. Trường hợp cơ sở lớn, có nhiều nhân viên, làm việc với nền tảng đặt phòng, đơn vị lữ hành, nên hỏi ý kiến người có chuyên môn pháp lý về nghĩa vụ cụ thể.
Khi khách hỏi, hoặc khi lỡ để lộ dữ liệu
Khách ngày càng quan tâm đến chuyện thông tin của mình được giữ ra sao. Chuẩn bị sẵn vài câu trả lời giúp cơ sở chuyên nghiệp hơn:
- Khách hỏi vì sao cần căn cước: giải thích đó là để thông báo lưu trú theo quy định, và cơ sở chỉ dùng cho việc đó.
- Khách hỏi ảnh giấy tờ được giữ bao lâu: nói rõ quy ước của cơ sở, ví dụ xoá sau khi khai báo xong.
- Khách yêu cầu xoá số điện thoại khỏi danh sách nhận tin: xoá và xác nhận lại với khách.
- Khách không muốn xuất hiện trong ảnh đăng mạng: tôn trọng, gỡ ảnh nếu đã lỡ đăng.
- Lỡ mất điện thoại có ảnh giấy tờ khách: khoá máy từ xa nếu được, đổi mật khẩu các tài khoản, báo công an xã, và cân nhắc báo cho những khách bị ảnh hưởng để họ cảnh giác với kẻ mạo danh.
Việc báo cho khách khi lỡ để lộ dữ liệu nghe có vẻ khó nói, nhưng khách được báo sớm có thể đề phòng những cuộc gọi, tin nhắn mạo danh dùng thông tin của họ. Sự thẳng thắn đó thường được đánh giá cao hơn việc im lặng rồi để khách tự phát hiện.
Chia sẻ thông tin khách với người chạy thuyền, xe đưa đón, đơn vị lữ hành
Ở vùng hồ, chuyến đi của khách thường đi qua nhiều người: homestay đặt thuyền ra đảo, gọi xe đón ở trung tâm, nhận đoàn từ một đơn vị lữ hành ở thành phố. Mỗi lần như vậy, thông tin của khách lại đi thêm một chặng. Câu hỏi đặt ra là đưa cho người khác thông tin gì thì vừa đủ.
Người chạy thuyền cần biết số người, giờ đi, có trẻ nhỏ hay người lớn tuổi để chuẩn bị áo phao; không cần ảnh căn cước của khách. Xe đưa đón cần tên người liên hệ, số điện thoại, điểm đón; không cần ngày sinh hay số giấy tờ. Gửi đúng phần cần, bằng tin nhắn riêng thay vì chuyển tiếp cả danh sách đoàn vào nhóm chung.
Với đơn vị lữ hành gửi đoàn tới, hai bên nên thống nhất ai giữ danh sách đoàn, ai khai báo lưu trú, danh sách được gửi bằng cách nào. Nếu đơn vị lữ hành gửi danh sách qua tin nhắn, cơ sở xử lý như ảnh căn cước: cất riêng, xoá khi xong.
Khi cộng tác lâu dài, một thoả thuận ngắn về việc giữ bí mật thông tin khách, dù chỉ bằng tin nhắn xác nhận, cũng giúp các bên có ý thức hơn. Khách không phân biệt lỗi do homestay hay do người chạy thuyền; thông tin lộ ra từ chặng nào thì tên cơ sở vẫn bị nhắc.
Câu hỏi thường gặp
Homestay có được yêu cầu khách gửi ảnh căn cước qua Zalo trước khi đến không?
Cơ sở cần thông tin giấy tờ để thông báo lưu trú theo quy định, nhưng nên hạn chế nhận ảnh qua tin nhắn khi có thể kiểm trực tiếp lúc khách đến. Nếu phải nhận trước, chỉ một người nhận, cất ở nơi có khoá và xoá khi đã khai báo xong.
Giữ ảnh căn cước của khách sau khi họ trả phòng có vi phạm không?
Theo tinh thần quy định bảo vệ dữ liệu cá nhân, dữ liệu chỉ nên giữ trong thời gian cần cho mục đích đã thu thập. Giữ ảnh giấy tờ vô thời hạn làm tăng rủi ro và khó giải thích với khách. Thời hạn lưu giữ cụ thể, nếu có quy định, cần kiểm văn bản hiện hành.
Đưa số điện thoại khách vào nhóm Zalo khuyến mãi của homestay có được không?
Nên hỏi ý kiến khách trước. Số điện thoại được cung cấp để liên lạc cho chuyến đi; dùng vào việc quảng cáo khi khách chưa đồng ý là dùng sai mục đích và dễ khiến khách khó chịu. Khách đồng ý thì mới thêm, và xoá khi họ yêu cầu.
Luật Bảo vệ dữ liệu cá nhân có áp dụng cho homestay hộ gia đình không?
Luật áp dụng cho việc xử lý dữ liệu cá nhân nói chung, nhưng mức độ nghĩa vụ đối với hộ kinh doanh, doanh nghiệp nhỏ có thể có quy định riêng hoặc lộ trình riêng. Nguyên tắc thu tối thiểu, dùng đúng mục đích, giữ an toàn thì nên làm ngay; chi tiết nghĩa vụ cần kiểm văn bản hướng dẫn hiện hành.
Lỡ mất điện thoại có nhiều ảnh giấy tờ khách thì làm gì?
Khoá máy từ xa hoặc xoá dữ liệu từ xa nếu đã bật tính năng này, đổi mật khẩu các tài khoản, báo nhà mạng khoá sim và trình báo công an xã. Cân nhắc báo cho những khách bị ảnh hưởng để họ cảnh giác với cuộc gọi, tin nhắn mạo danh.
Đăng ảnh khách lên Fanpage homestay có cần xin phép không?
Nên xin phép, nhất là ảnh thấy rõ mặt, ảnh có trẻ em. Ảnh khách là dữ liệu cá nhân của họ. Hỏi một câu trước khi đăng vừa đúng tinh thần quy định, vừa tránh trường hợp khách không muốn người khác biết họ đang ở đâu, đi cùng ai.