Năm 2018, ngành khách sạn thế giới chứng kiến một trong những vụ lộ lọt dữ liệu lớn nhất trong lịch sử khi Marriott International công bố hệ thống đặt phòng của Starwood Hotels đã bị truy cập trái phép trong thời gian dài trước khi được phát hiện[1]. Theo các thông tin được công bố, dữ liệu của hàng trăm triệu khách hàng trên toàn cầu đã bị ảnh hưởng. Không chỉ bao gồm họ tên, địa chỉ thư điện tử hay số điện thoại, nhiều thông tin bị xâm phạm còn liên quan đến hộ chiếu, lịch sử lưu trú và các dữ liệu có khả năng tái hiện gần như toàn bộ hành trình di chuyển của khách hàng trong nhiều năm.
Nhiều người cho rằng đây đơn thuần là một vụ tấn công mạng. Tuy nhiên, nhìn từ góc độ quản trị dữ liệu, sự cố Marriott cho thấy một vấn đề lớn hơn nhiều. Một doanh nghiệp có thể vận hành hàng nghìn khách sạn trên toàn thế giới, sở hữu những hệ thống công nghệ hiện đại nhất nhưng vẫn có thể không kiểm soát đầy đủ dữ liệu mà mình đang nắm giữ.
Nếu một ngân hàng biết khách hàng có bao nhiêu tiền thì một khách sạn lại có thể biết khách hàng là ai, đang ở đâu, đi cùng ai, tiêu tiền như thế nào và thường xuất hiện ở đâu trong những thời điểm nhất định.
Năm 2023, MGM Resorts International tiếp tục trở thành nạn nhân của một cuộc tấn công mạng làm gián đoạn hoạt động của hàng loạt khách sạn và khu nghỉ dưỡng[2]. Hệ thống đặt phòng, thanh toán điện tử, khóa phòng và nhiều dịch vụ khác bị ảnh hưởng trong nhiều ngày. Thiệt hại không chỉ nằm ở dữ liệu bị lộ mà còn ở việc toàn bộ hoạt động kinh doanh bị đình trệ.
Những vụ việc này phản ánh một thực tế quan trọng: dữ liệu trong ngành khách sạn ngày nay không còn là thông tin hỗ trợ cho hoạt động kinh doanh mà đã trở thành một loại tài sản chiến lược. Và giống như mọi loại tài sản có giá trị khác, nó cũng trở thành mục tiêu của những hành vi xâm phạm.
Dữ liệu lưu trú có gì đặc biệt?
Nếu một ngân hàng biết khách hàng có bao nhiêu tiền thì một khách sạn lại có thể biết khách hàng là ai, đang ở đâu, đi cùng ai, tiêu tiền như thế nào và thường xuất hiện ở đâu trong những thời điểm nhất định. Đây chính là điểm khác biệt khiến dữ liệu lưu trú trở thành một trong những loại dữ liệu có giá trị cao nhất trong nền kinh tế số.
Trong quá trình cung cấp dịch vụ, doanh nghiệp khách sạn thường thu thập nhiều lớp dữ liệu khác nhau. Lớp đầu tiên là dữ liệu nhận dạng như họ tên, quốc tịch, số căn cước công dân hoặc hộ chiếu, địa chỉ liên hệ và thông tin thanh toán. Lớp thứ hai là dữ liệu giao dịch, bao gồm lịch sử đặt phòng, hóa đơn, phương thức thanh toán và các dịch vụ đã sử dụng. Lớp thứ ba là dữ liệu hành vi. Đây là loại dữ liệu mà nhiều khách hàng ít chú ý nhất nhưng lại có giá trị thương mại rất lớn. Thông qua lịch sử lưu trú, doanh nghiệp có thể biết khách hàng thích loại phòng nào, thường đi công tác hay nghỉ dưỡng, mức chi tiêu trung bình là bao nhiêu và khả năng quay lại trong tương lai như thế nào. Lớp thứ tư là các dữ liệu nhạy cảm có thể phát sinh trong quá trình lưu trú, chẳng hạn dữ liệu sức khỏe tại các khu nghỉ dưỡng chăm sóc sức khỏe, dữ liệu sinh trắc học phục vụ nhận diện khách hàng hoặc các thông tin phản ánh đời sống riêng tư của khách hàng.
Nếu từng loại dữ liệu riêng lẻ chỉ phản ánh một khía cạnh nhất định thì khi được kết hợp với nhau, chúng có thể tạo thành một hồ sơ tương đối hoàn chỉnh về một cá nhân. Đó là lý do vì sao các cơ sở dữ liệu khách sạn luôn có giá trị rất lớn đối với các đối tượng tấn công mạng, các tổ chức thu thập dữ liệu trái phép hoặc các hoạt động gián điệp kinh tế.
Rủi ro không chỉ đến từ các hành vi tấn công mạng
Rủi ro lớn nhất của doanh nghiệp lưu trú không nằm ở một cuộc tấn công mạng đơn lẻ, mà nằm ở việc dữ liệu khách hàng bị phân tán trong một hệ sinh thái gồm thương hiệu khách sạn, đơn vị vận hành, chủ sở hữu, nền tảng đặt phòng, cổng thanh toán, chương trình khách hàng thân thiết và nhiều nhà cung cấp công nghệ.
Trong nhiều trường hợp, nguyên nhân của sự cố dữ liệu lại nằm ngay bên trong doanh nghiệp.
Một nhân viên có thể tải dữ liệu khách hàng về máy tính cá nhân để phục vụ công việc. Một bộ phận kinh doanh có thể chia sẻ danh sách khách hàng cho đối tác tiếp thị. Một nhà cung cấp dịch vụ công nghệ có thể được cấp quyền truy cập rộng hơn mức cần thiết. Một hệ thống cũ không còn sử dụng vẫn tiếp tục lưu trữ dữ liệu trong nhiều năm mà không được kiểm tra hoặc xóa bỏ.
Nhìn dưới góc độ quản trị dữ liệu, rủi ro thường xuất hiện trong toàn bộ vòng đời dữ liệu cá nhân.
Rủi ro có thể phát sinh từ thời điểm thu thập dữ liệu nếu doanh nghiệp thu thập quá nhiều thông tin không thực sự cần thiết. Rủi ro có thể phát sinh trong quá trình lưu trữ khi dữ liệu được phân tán trên nhiều hệ thống khác nhau mà không có cơ chế quản lý tập trung. Rủi ro có thể xuất hiện trong quá trình sử dụng khi dữ liệu được khai thác cho các mục đích vượt quá phạm vi ban đầu. Rủi ro cũng có thể phát sinh trong quá trình chia sẻ dữ liệu với các nhà cung cấp công nghệ, nền tảng đặt phòng trực tuyến, cổng thanh toán hoặc các đối tác kinh doanh khác. Nói cách khác, dữ liệu không chỉ bị mất vì doanh nghiệp bị tấn công. Dữ liệu có thể bị mất đơn giản vì doanh nghiệp không thực sự biết mình đang quản lý những gì.
Từ quản lý dữ liệu sang quản trị dữ liệu
Các vụ việc trên thế giới cho thấy một sự thay đổi quan trọng trong tư duy quản lý. Trước đây, doanh nghiệp thường tập trung vào câu hỏi làm thế nào để bảo mật hệ thống. Ngày nay, câu hỏi quan trọng hơn là doanh nghiệp có thực sự kiểm soát được dữ liệu của mình hay không.
Đây cũng là “triết lý” đang được phản ánh trong Luật Bảo vệ dữ liệu cá nhân 2025 của Việt Nam.
Nếu như trước đây doanh nghiệp thường xem việc bảo vệ dữ liệu là trách nhiệm của bộ phận công nghệ thông tin thì hiện nay pháp luật đặt trách nhiệm đó lên toàn bộ hệ thống quản trị doanh nghiệp: pháp chế, hành chính nhân sự, công nghệ thông tin và đặc biệt là ban điều hành doanh nghiệp. Do đó, điều quan trọng không chỉ là dữ liệu có được mã hóa hay không. Điều quan trọng hơn là doanh nghiệp phải biết mình đang xử lý dữ liệu nào, vì mục đích gì, trên cơ sở pháp lý nào, ai được quyền tiếp cận dữ liệu đó và dữ liệu được lưu giữ trong bao lâu. Từ góc độ này, bảo vệ dữ liệu cá nhân không còn là một vấn đề kỹ thuật mà đã trở thành một nội dung của quản trị doanh nghiệp.
Rủi ro cũng có thể phát sinh trong quá trình chia sẻ dữ liệu với các nhà cung cấp công nghệ, nền tảng đặt phòng trực tuyến, cổng thanh toán hoặc các đối tác kinh doanh khác.
Thách thức mới từ AI và cá nhân hóa dịch vụ
Trong nhiều năm qua, ngành khách sạn đã đầu tư mạnh vào các chương trình khách hàng thân thiết, hệ thống CRM và các công cụ phân tích dữ liệu nhằm cá nhân hóa trải nghiệm khách hàng. Một khách sạn hiện đại có thể biết khách hàng thích loại gối nào, thường dùng món ăn nào, thích ở tầng nào và có xu hướng quay lại vào thời điểm nào trong năm. Những thông tin đó giúp doanh nghiệp tạo ra trải nghiệm tốt hơn và nâng cao khả năng cạnh tranh. Tuy nhiên, càng cá nhân hóa sâu thì doanh nghiệp càng phải xử lý nhiều dữ liệu hơn.
Sự phát triển của trí tuệ nhân tạo đang làm gia tăng đáng kể xu hướng này. Các hệ thống AI có khả năng phân tích lịch sử lưu trú, dự đoán nhu cầu khách hàng và tự động đưa ra các đề xuất dịch vụ phù hợp. Điều đó đồng nghĩa với việc doanh nghiệp không chỉ lưu trữ dữ liệu mà còn đang xây dựng các hồ sơ hành vi ngày càng chi tiết về khách hàng.
Từ góc độ pháp lý, đây chính là khu vực rủi ro mới của ngành khách sạn trong những năm tới.
Doanh nghiệp Việt Nam cần làm gì?
Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP đã có hiệu lực, giải pháp quan trọng nhất đối với doanh nghiệp lưu trú không phải là mua thêm phần mềm bảo mật mà là xây dựng năng lực quản trị dữ liệu.
Bước đầu tiên là lập bản đồ dữ liệu để xác định chính xác doanh nghiệp đang thu thập những dữ liệu nào, dữ liệu được lưu trữ ở đâu, ai đang truy cập dữ liệu và dữ liệu đang được chia sẻ cho những chủ thể nào.
Bước thứ hai là rà soát toàn bộ căn cứ pháp lý của hoạt động xử lý dữ liệu. Doanh nghiệp cần bảo đảm rằng mỗi hoạt động thu thập, sử dụng hoặc chia sẻ dữ liệu đều có cơ sở pháp lý phù hợp theo quy định của pháp luật.
Bước thứ ba là áp dụng nguyên tắc tối thiểu hóa dữ liệu. Dữ liệu không cần thiết không nên được thu thập. Dữ liệu không còn cần thiết không nên tiếp tục được lưu giữ.
Bước thứ tư là xây dựng cơ chế quản lý đối với các nhà cung cấp dịch vụ công nghệ và các bên thứ ba có quyền tiếp cận dữ liệu khách hàng. Trong thực tế, nhiều rủi ro dữ liệu phát sinh từ chuỗi cung ứng công nghệ chứ không phải từ chính doanh nghiệp.
Bước thứ năm là thiết lập quy trình đánh giá tác động xử lý dữ liệu, quản lý chuyển dữ liệu xuyên biên giới, ứng phó sự cố dữ liệu và đào tạo nhân sự thường xuyên.
Quan trọng hơn cả, doanh nghiệp cần thay đổi nhận thức. Dữ liệu cá nhân không chỉ là tài sản của doanh nghiệp mà trước hết là quyền của khách hàng. Việc khai thác dữ liệu chỉ có thể bền vững khi được thực hiện trên cơ sở tôn trọng quyền đó.
Trong bối cảnh dữ liệu ngày càng trở thành một loại tài sản chiến lược của nền kinh tế số, năng lực quản trị dữ liệu sẽ dần trở thành một năng lực cạnh tranh cốt lõi của doanh nghiệp khách sạn. Khách hàng có thể lựa chọn một khách sạn vì vị trí, chất lượng dịch vụ hoặc giá cả. Nhưng trong tương lai, họ cũng sẽ lựa chọn những doanh nghiệp mà họ tin tưởng có khả năng bảo vệ dữ liệu cá nhân của mình một cách an toàn và có trách nhiệm.
