Doanh nghiệp hàng không trước yêu cầu phức tạp về bảo vệ dữ liệu cá nhân khách hàng

Có một điểm khá đặc biệt của ngành hàng không mà nhiều doanh nghiệp ở các lĩnh vực khác không gặp phải. Mỗi chuyến bay không chỉ vận chuyển hành khách mà còn đồng thời "vận chuyển" một khối lượng rất lớn dữ liệu cá nhân xuyên biên giới. Từ thời điểm một hành khách tìm kiếm chuyến bay trên website, đặt vé, thanh toán, làm thủ tục trực tuyến, sử dụng nhận diện khuôn mặt để lên máy bay, kết nối Wi-Fi trên chuyến bay, tích lũy điểm thưởng, yêu cầu suất ăn đặc biệt hay hỗ trợ y tế, gần như toàn bộ hành trình đều được ghi nhận dưới dạng dữ liệu.

Điểm khác biệt của ngành hàng không không nằm ở khối lượng dữ liệu được thu thập mà nằm ở cách dữ liệu liên tục được lưu chuyển giữa rất nhiều chủ thể trong suốt hành trình của hành khách.

Chính vì vậy, khi Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn chính thức có hiệu lực, doanh nghiệp hàng không trở thành một trong những nhóm doanh nghiệp chịu áp lực tuân thủ lớn nhất.

Ngành hàng không: Hệ sinh thái dữ liệu phức tạp hơn bất kỳ ngành nào

Điểm khác biệt của ngành hàng không không nằm ở khối lượng dữ liệu được thu thập mà nằm ở cách dữ liệu liên tục được lưu chuyển giữa rất nhiều chủ thể trong suốt hành trình của hành khách.

Một giao dịch mua vé có thể đồng thời liên quan đến đại lý bán vé, hệ thống đặt chỗ, cổng thanh toán, sân bay, các nhà cung cấp dịch vụ công nghệ, đối tác trong hệ sinh thái du lịch và nhiều cơ quan quản lý nhà nước. Đối với các chuyến bay quốc tế, dữ liệu còn tiếp tục được chuyển đến nhiều quốc gia khác nhau để phục vụ hoạt động vận chuyển và yêu cầu quản lý nhà nước.

Điều này tạo nên một đặc điểm mà rất ít ngành nghề khác gặp phải: dữ liệu của hành khách gần như không bao giờ chỉ nằm trong phạm vi kiểm soát của một doanh nghiệp duy nhất. Mỗi chủ thể trong chuỗi cung ứng đều có thể tham gia vào quá trình thu thập, lưu trữ, truy cập hoặc xử lý dữ liệu theo những vai trò pháp lý khác nhau.

Vì vậy, rủi ro lớn nhất của doanh nghiệp hàng không không phải là nguy cơ bị tấn công mạng hay rò rỉ dữ liệu từ hệ thống nội bộ, mà là việc không kiểm soát được toàn bộ chuỗi xử lý dữ liệu của mình. Chỉ cần một nhà cung cấp dịch vụ công nghệ, một đơn vị phục vụ mặt đất hoặc một đối tác tiếp thị không đáp ứng yêu cầu bảo vệ dữ liệu, doanh nghiệp vẫn có thể phải đối mặt với tranh chấp, khiếu nại hoặc trách nhiệm pháp lý phát sinh.

Một giao dịch nhưng đồng thời chịu sự điều chỉnh của nhiều hệ thống pháp luật

Sự phức tạp của ngành hàng không còn đến từ việc cùng một hoạt động xử lý dữ liệu có thể đồng thời chịu sự điều chỉnh của nhiều hệ thống pháp luật khác nhau.

Ở góc độ quốc gia, doanh nghiệp phải tuân thủ các quy định về bảo vệ dữ liệu cá nhân, an ninh mạng, an toàn thông tin mạng, bảo vệ quyền lợi người tiêu dùng, giao dịch điện tử, dân sự, thương mại và pháp luật chuyên ngành hàng không. Bên cạnh đó là các nghĩa vụ cung cấp thông tin hành khách cho cơ quan quản lý theo quy định về xuất nhập cảnh, hải quan, phòng chống khủng bố hoặc bảo đảm an ninh hàng không.

Đối với các đường bay quốc tế, phạm vi tuân thủ còn mở rộng hơn đáng kể. Dữ liệu của hành khách có thể được chuyển đến hoặc xử lý tại nhiều quốc gia khác nhau, kéo theo việc doanh nghiệp phải đồng thời xem xét các yêu cầu của pháp luật nước ngoài, chẳng hạn như Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR) khi phục vụ hành khách tại thị trường châu Âu, hoặc các quy định tương tự của Singapore, Nhật Bản, Hàn Quốc và nhiều quốc gia khác.

Đáng chú ý, trong cùng một giao dịch, doanh nghiệp vừa là bên thực hiện hợp đồng vận chuyển, vừa là nhà cung cấp dịch vụ số thông qua website, ứng dụng di động và chương trình khách hàng thân thiết, đồng thời còn là chủ thể quản lý một lượng lớn dữ liệu xuyên biên giới. Mỗi vai trò này lại kéo theo các nghĩa vụ pháp lý riêng về thu thập, sử dụng, lưu giữ, chia sẻ và bảo vệ dữ liệu.

Chính sự giao thoa của nhiều khuôn khổ pháp lý khiến việc quản trị dữ liệu trong ngành hàng không trở nên phức tạp hơn rất nhiều so với các lĩnh vực kinh doanh truyền thống. Điều doanh nghiệp cần xây dựng không chỉ là một chính sách bảo vệ dữ liệu cá nhân, mà là một hệ thống quản trị đủ khả năng vận hành thống nhất trong bối cảnh dữ liệu liên tục dịch chuyển qua nhiều chủ thể và nhiều khu vực tài phán

Một trong những thay đổi quan trọng của pháp luật bảo vệ dữ liệu cá nhân là yêu cầu doanh nghiệp phải xác định rõ căn cứ pháp lý đối với từng hoạt động xử lý dữ liệu, thay vì áp dụng một cơ chế chung cho toàn bộ thông tin thu thập được.

Đối với doanh nghiệp hàng không, yêu cầu này đặc biệt quan trọng bởi mỗi loại dữ liệu được xử lý để phục vụ một mục đích hoàn toàn khác nhau. Thông tin hộ chiếu được sử dụng để thực hiện nghĩa vụ theo quy định về xuất nhập cảnh; thông tin thanh toán nhằm thực hiện hợp đồng vận chuyển; dữ liệu sức khỏe được xử lý để bố trí hỗ trợ y tế hoặc đáp ứng yêu cầu về an toàn bay; trong khi địa chỉ thư điện tử hoặc lịch sử mua vé có thể được doanh nghiệp sử dụng cho các chương trình tiếp thị hoặc chăm sóc khách hàng.

Việc tồn tại nhiều mục đích xử lý khác nhau đồng nghĩa với việc không phải mọi dữ liệu đều có thể dựa trên cùng một căn cứ pháp lý. Một thông tin được thu thập nhằm thực hiện hợp đồng vận chuyển không đương nhiên được phép sử dụng để cá nhân hóa quảng cáo, xây dựng hồ sơ khách hàng hoặc chia sẻ cho các đối tác thương mại trong hệ sinh thái du lịch.

AI và dữ liệu nhạy cảm: Hai thách thức mới của ngành hàng không

Song song với chuyển đổi số, trí tuệ nhân tạo (AI) đang được ứng dụng để dự báo nhu cầu và định giá vé theo thời gian thực, tối ưu hóa lịch bay, chatbot chăm sóc khách hàng, cho đến nhận diện khuôn mặt tại sân bay hay phân tích hành vi để cá nhân hóa dịch vụ, AI đang tạo ra những thay đổi căn bản trong cách doanh nghiệp khai thác dữ liệu.

Tuy nhiên, các mô hình AI thường cần lượng dữ liệu lớn để huấn luyện và vận hành, đồng thời có khả năng phân tích, suy luận và kết hợp nhiều nguồn dữ liệu khác nhau để xây dựng hồ sơ hành vi của hành khách. Điều này đặt ra nhiều câu hỏi pháp lý: dữ liệu được sử dụng để huấn luyện AI có phù hợp với mục đích thu thập ban đầu hay không; việc cá nhân hóa dịch vụ có dẫn đến các quyết định tự động ảnh hưởng đáng kể đến quyền lợi của khách hàng hay không; doanh nghiệp cần minh bạch đến mức nào về việc sử dụng AI trong quá trình xử lý dữ liệu.

Đặc thù của ngành hàng không còn nằm ở việc thường xuyên xử lý nhiều nhóm dữ liệu nhạy cảm. Thông tin sức khỏe để bố trí hỗ trợ y tế, dữ liệu sinh trắc học phục vụ quy trình lên máy bay không chạm, hình ảnh từ hệ thống camera an ninh, thông tin về trẻ em đi một mình hay yêu cầu suất ăn có thể phản ánh tình trạng sức khỏe hay niềm tin tôn giáo đều là những loại dữ liệu nhạy cảm cần được áp dụng cơ chế bảo vệ nghiêm ngặt hơn.

Do đó, thay vì áp dụng một chính sách thống nhất cho toàn bộ cơ sở dữ liệu, doanh nghiệp cần xây dựng cơ chế phân loại dữ liệu theo mức độ rủi ro; áp dụng các biện pháp mã hóa, phân quyền truy cập và thời hạn lưu giữ khác nhau; đồng thời đánh giá tác động của các hệ thống AI trước khi đưa vào vận hành. Đây cũng là xu hướng đang được nhiều quốc gia thúc đẩy thông qua nguyên tắc bảo mật theo thiết kế (Privacy by Design) và Quản trị AI, theo đó yêu cầu bảo vệ dữ liệu phải được tích hợp ngay từ giai đoạn thiết kế hệ thống thay vì chỉ được bổ sung sau khi sản phẩm đã đi vào hoạt động.

Những sự cố dữ liệu từng xảy ra trong ngành hàng không quốc tế cho thấy chi phí của một vi phạm không chỉ được đo bằng tiền phạt.

Quản trị vòng đời dữ liệu – trọng tâm của tuân thủ hiện đại

Với doanh nghiệp hiện nay, vấn đề không còn là sở hữu bao nhiêu dữ liệu mà là quản lý dữ liệu đó như thế nào trong suốt vòng đời của nó. Điều này đòi hỏi doanh nghiệp phải trả lời được hàng loạt câu hỏi mang tính quản trị: dữ liệu được thu thập từ đâu; căn cứ pháp lý nào cho từng hoạt động xử lý; dữ liệu được lưu trữ ở quốc gia nào; ai có quyền truy cập; dữ liệu được chia sẻ với những đối tác nào; thời hạn lưu giữ là bao lâu; khi nào phải xóa hoặc ẩn danh dữ liệu; và ai chịu trách nhiệm nếu xảy ra vi phạm.

Để làm được điều đó, nhiều doanh nghiệp trên thế giới đã chuyển từ tư duy xây dựng các chính sách riêng lẻ sang thiết lập một hệ thống quản trị dữ liệu toàn diện. Hệ thống này thường bao gồm việc lập bản đồ dữ liệu (Data Mapping), kiểm kê dữ liệu (Data Inventory), xác định dòng chảy dữ liệu trong doanh nghiệp, xây dựng quy trình quản lý nhà cung cấp, cơ chế phân loại dữ liệu, quy trình ứng phó sự cố, chính sách lưu giữ và hủy dữ liệu, cũng như cơ chế giám sát việc tuân thủ trên phạm vi toàn doanh nghiệp.

Đây cũng là cách tiếp cận phù hợp với nguyên tắc trách nhiệm giải trình của Luật Bảo vệ dữ liệu cá nhân năm 2025. Khi xảy ra sự cố, cơ quan quản lý sẽ không chỉ xem xét việc doanh nghiệp có bị tấn công mạng hay không, mà còn đánh giá liệu doanh nghiệp đã xây dựng một hệ thống quản trị phù hợp với quy mô và mức độ rủi ro của hoạt động xử lý dữ liệu hay chưa.

Bài học từ thực tiễn quốc tế

Những sự cố dữ liệu từng xảy ra trong ngành hàng không quốc tế cho thấy chi phí của một vi phạm không chỉ được đo bằng tiền phạt.

Vụ việc của British Airways là một ví dụ điển hình[1]. Sau sự cố tấn công mạng làm lộ dữ liệu của hàng trăm nghìn khách hàng, doanh nghiệp không chỉ đối mặt với các biện pháp xử lý của cơ quan quản lý mà còn phải chi trả chi phí điều tra, nâng cấp hệ thống, giải quyết khiếu nại, ứng phó với các vụ kiện và khắc phục tổn hại về uy tín. Thiệt hại thực tế kéo dài trong nhiều năm và vượt xa giá trị của khoản xử phạt hành chính.

Một bài học quan trọng rút ra từ các vụ việc quốc tế là cơ quan quản lý ngày càng quan tâm đến năng lực quản trị hơn là kết quả tuyệt đối. Không một hệ thống nào có thể bảo đảm loại bỏ hoàn toàn rủi ro an ninh mạng. Tuy nhiên, doanh nghiệp phải chứng minh rằng mình đã nhận diện rủi ro, xây dựng quy trình kiểm soát phù hợp, quản lý nhà cung cấp hiệu quả và có khả năng phát hiện, ứng phó, thông báo sự cố đúng thời hạn.

Trong nhiều thập kỷ đã qua, các hãng hàng không cạnh tranh bằng đội tàu bay, mạng đường bay và chất lượng dịch vụ. Trong bối cảnh mới, sẽ xuất hiện thêm một tiêu chí mới: năng lực quản trị dữ liệu. Khi dữ liệu vừa là tài sản chiến lược vừa là nguồn rủi ro pháp lý, doanh nghiệp xây dựng được một hệ thống quản trị minh bạch, có thể kiểm chứng và đáp ứng đồng thời nhiều khuôn khổ pháp lý sẽ không chỉ giảm thiểu rủi ro tuân thủ mà còn tạo dựng niềm tin của khách hàng và đối tác. Đó sẽ là lợi thế cạnh tranh bền vững của ngành hàng không số nên hướng đến.