Quy định mới khách sạn 2026: việc cần làm theo từng văn bản

Quy định mới khách sạn 2026 chạm vào kênh bán ở sáu nhóm văn bản, và cả sáu đã có hiệu lực: dữ liệu cá nhân và quảng cáo từ 01/01/2026; hóa đơn điện tử, thông báo lưu trú và thương mại điện tử từ 01/07/2026; nghị định xử phạt dữ liệu cá nhân từ 19/08/2026. Hai hạn tính bằng giờ: thông báo lưu trú trước 23 giờ ngày khách đến, và báo cơ quan chuyên trách trong 72 giờ khi vi phạm dữ liệu có thể gây hại cho khách. Mốc dài hạn là 30/06/2027: website đã xác nhận thông báo hoặc đăng ký trước 01/07/2026 được hoạt động theo nội dung đã xác nhận đến hết ngày này.

Bài dành cho khách sạn, resort từ khoảng 20 phòng; đây là bản tóm tắt, không phải tư vấn pháp lý.

Quy định mới khách sạn 2026 nào chạm vào kênh bán?

Tính đến 18/10/2026, sáu nhóm văn bản sau đều đã có hiệu lực và chạm vào kênh bán của khách sạn: dữ liệu cá nhân, xử phạt dữ liệu cá nhân, hóa đơn điện tử, thông báo lưu trú, thương mại điện tử (website nhận đặt phòng) và quảng cáo (thuê KOL, KOC). Bảng dưới ghi số hiệu, ngày và việc nên làm trước.

Luật bảo vệ dữ liệu cá nhân khách sạn đòi gì ở form đặt phòng, email và Zalo?

Từ 01/01/2026, khách sạn chỉ gửi ưu đãi qua email, Zalo cho khách đã đồng ý riêng cho mục đích đó; sự đồng ý phải rõ ràng, kiểm chứng và lưu lại được, không được đánh dấu sẵn (Điều 9 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 6 Nghị định 356/2025/NĐ-CP). Nghị định 356 thay Nghị định 13/2023/NĐ-CP từ cùng ngày (khoản 2 Điều 42). Chi tiết từng điều xem trong bài về luật bảo vệ dữ liệu cá nhân của khách sạn.

• Marketing và website: ô đồng ý nhận ưu đãi để trống, tách khỏi việc đặt phòng; mỗi mục đích một sự đồng ý (điểm a, b khoản 4 Điều 9 Luật); im lặng không phải là đồng ý (điểm d khoản 4 Điều 9); cấm thiết lập mặc định đồng ý (khoản 3 Điều 6 Nghị định 356).
• Sales và CRM: lưu nhật ký đồng ý, vì khi có tranh chấp, khách sạn là bên phải chứng minh (khoản 2 Điều 6 Nghị định 356). Hoạt động xử lý đã được khách đồng ý trước 01/01/2026 tiếp tục, không phải xin lại (khoản 1 Điều 39 Luật).
• Lễ tân: ảnh thẻ căn cước, căn cước công dân là dữ liệu nhạy cảm (điểm i khoản 1 Điều 4 Nghị định 356); nếu vẫn chụp, khi xin đồng ý phải báo khách đó là dữ liệu nhạy cảm (khoản 4 Điều 6) và có quy định phân quyền, quy trình, biện pháp bảo mật (khoản 2 Điều 4).
• IT và kế toán: khi chuyển dữ liệu khách cho nhà cung cấp PMS, booking engine, CRM (điểm d khoản 1 Điều 17 Luật), nên rà hợp đồng theo nội dung thỏa thuận chuyển giao dữ liệu: mục đích, cơ sở pháp lý, thời hạn xử lý và xóa hủy, trách nhiệm bảo vệ, phối hợp khi có vi phạm (khoản 1 Điều 7 Nghị định 356). Dữ liệu trên đám mây của nhà cung cấp ở nước ngoài được xem là chuyển dữ liệu xuyên biên giới (điểm a khoản 1 Điều 17 Nghị định 356), kèm hồ sơ đánh giá tác động nộp trong 60 ngày (khoản 2 Điều 20 Luật).
• GM: khi vi phạm có thể gây tổn hại đến an ninh, trật tự hoặc quyền của khách, phải báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện và lập biên bản (khoản 1, 2 Điều 23 Luật). Viết sẵn ai báo, báo ai.

ZNS (nay Zalo gọi là ZBS Template Message) chỉ gửi tới người đã phát sinh giao dịch với doanh nghiệp, theo mẫu Zalo duyệt trước, chia ba nhóm: Tag 1 giao dịch, Tag 2 chăm sóc khách hàng, Tag 3 hậu mãi, khuyến mãi (quy định kiểm duyệt mẫu của Zalo). Tin ưu đãi chỉ gửi cho khách đã đồng ý nhận tiếp thị (xem Zalo ZNS cho khách sạn).

Mức phạt. Nghị định 330/2026/NĐ-CP tính mức phạt về dữ liệu cá nhân cho tổ chức; cá nhân chịu một nửa (khoản 1 Điều 7). Các mức chạm vào kênh bán:

• 30–50 triệu đồng: thiết lập mặc định đồng ý, xin đồng ý không theo từng mục đích, không lưu nhật ký đồng ý, không báo khách dữ liệu nhạy cảm đang được xử lý (điểm c, e, g, h khoản 1 Điều 43).
• 50–70 triệu đồng: coi im lặng là đồng ý (điểm b khoản 2 Điều 43).
• 40–60 triệu đồng: báo cơ quan chuyên trách chậm hơn 72 giờ (khoản 3 Điều 54).
• 20–40 triệu đồng: gửi email, tin nhắn quảng cáo khi chưa được người nhận đồng ý (điểm a khoản 1 Điều 37, nhóm chống thư rác tính mức cá nhân 10–20 triệu đồng, tổ chức gấp đôi).

Mức tối đa là 3 tỷ đồng; riêng chuyển dữ liệu xuyên biên giới tối đa 5% doanh thu năm trước liền kề, mua, bán dữ liệu tối đa 10 lần khoản thu (khoản 4 Điều 7).

Hóa đơn điện tử khách sạn: phải làm gì từ 01/07/2026?

Từ 01/07/2026, khách sạn dùng hóa đơn điện tử theo Nghị định 254/2026/NĐ-CP (ban hành 30/06/2026), thay Nghị định 123/2020/NĐ-CP và Nghị định 70/2025/NĐ-CP (khoản 2 Điều 43); cơ sở bán trực tiếp cho người tiêu dùng, trong đó có khách sạn, dùng hóa đơn khởi tạo từ máy tính tiền (điểm c khoản 1 Điều 6). Cơ sở đã đăng ký hóa đơn điện tử có mã hoặc không có mã của cơ quan thuế (điểm a, b) không bắt buộc đăng ký thêm loại này.

Phần chạm vào kênh bán là thời điểm lập hóa đơn. Theo khoản 2 Điều 9, hóa đơn dịch vụ lập khi hoàn thành dịch vụ; thu tiền trước hoặc trong khi cung cấp dịch vụ thì lập khi thu tiền; tiền đặt cọc theo Bộ luật Dân sự để bảo đảm thực hiện hợp đồng không thuộc trường hợp này. Văn bản không nói khoản thu qua booking engine hay OTA là thu tiền trước hay đặt cọc, nên bốn tình huống sau cần đưa cho kế toán:

Thông báo lưu trú khách sạn: hạn mấy giờ, báo qua kênh nào?

Từ 01/07/2026, người đại diện cơ sở lưu trú du lịch thông báo lưu trú trước 23 giờ của ngày khách bắt đầu lưu trú; khách đến sau 23 giờ thì thông báo trước 08 giờ ngày hôm sau (khoản 3 Điều 30 Luật Cư trú, do khoản 9 Điều 4 Luật 118/2025/QH15 sửa đổi). Thông tư 116/2026/TT-BCA (ban hành 29/06/2026, hiệu lực 01/07/2026) cho phép thông báo qua số điện thoại, trang thông tin điện tử hoặc hộp thư điện tử của cơ quan đăng ký cư trú, Cổng dịch vụ công quốc gia, VNeID hoặc phần mềm thông báo lưu trú (khoản 1 Điều 14).

• Nội dung thông báo: họ tên, ngày tháng năm sinh, số định danh cá nhân hoặc số hộ chiếu, lý do, thời gian và địa chỉ lưu trú.
• Giấy tờ: chủ cơ sở đề nghị người đến lưu trú xuất trình giấy tờ pháp lý hoặc thông tin tích hợp trên ứng dụng định danh quốc gia (điểm a khoản 3 Điều 14 Thông tư 116). Văn bản dùng chữ "xuất trình"; chụp và lưu ảnh giấy tờ là việc khác và là dữ liệu nhạy cảm.
• Khách nước ngoài: thuộc Luật Nhập cảnh, xuất cảnh, quá cảnh, cư trú của người nước ngoài (văn bản hợp nhất 62/VBHN-VPQH, 23/03/2026); điều khoản khai báo tạm trú chưa kiểm được, hãy hỏi công an địa phương.

Mức xử phạt khi thông báo chậm hoặc thiếu nằm ở văn bản xử phạt riêng, bài này chưa kiểm được; hãy hỏi luật sư hoặc công an địa phương. Tiêu chí chọn phần mềm nối được kênh thông báo có trong bài chọn PMS cho khách sạn.

Luật Thương mại điện tử: website có đặt phòng trực tuyến phải thông báo không?

Luật Thương mại điện tử (khoản 1 Điều 14) và Nghị định 248/2026/NĐ-CP (khoản 1 Điều 23) yêu cầu nền tảng kinh doanh trực tiếp có chức năng đặt hàng trực tuyến được xác nhận thông báo trước khi vận hành; Ủy ban nhân dân cấp tỉnh xác nhận (khoản 5 Điều 24). Luật không nêu riêng dịch vụ lưu trú; xếp website khách sạn có booking engine vào nhóm này là cách đọc của bài, cần luật sư hoặc cơ quan tiếp nhận xác nhận. Nếu thuộc nhóm này, áp dụng các nghĩa vụ sau.

• Căn cứ: Luật Thương mại điện tử 122/2025/QH15 (10/12/2025, hiệu lực 01/07/2026) và Nghị định 248/2026/NĐ-CP (30/06/2026, hiệu lực 01/07/2026). Nền tảng kinh doanh trực tiếp là nền tảng do tổ chức, cá nhân thiết lập để trực tiếp bán hàng hóa hoặc cung ứng dịch vụ (khoản 3 Điều 3).
• Mốc chuyển tiếp: website hoặc ứng dụng đã được xác nhận thông báo hoặc đăng ký trước 01/07/2026 tiếp tục hoạt động theo nội dung đã xác nhận đến hết 30/06/2027 (khoản 1 Điều 41 Luật). Điều cần làm trước mốc này, chưa thấy văn bản mô tả; hãy hỏi luật sư hoặc cơ quan tiếp nhận.
• Trang chính sách: phải công khai chính sách chấm dứt dịch vụ và hoàn tiền (điểm c khoản 3 Điều 11). Với khách sạn, đó là chính sách hủy, đổi và hoàn tiền của booking engine.
• Bước xác nhận đặt phòng: trước khi đặt, khách phải xem chi tiết số tiền phải trả, gồm thuế và các chi phí khác (điểm d khoản 1 Điều 12). Kiểm tra booking engine hiện đủ giá phòng, thuế, phí trước nút xác nhận.

Luật Quảng cáo sửa đổi ảnh hưởng gì khi thuê KOL, KOC?

Theo khoản 3 Điều 15a Luật Quảng cáo sửa đổi 75/2025/QH15 (thông qua 16/06/2025, hiệu lực 01/01/2026), người có ảnh hưởng khi chuyển tải quảng cáo phải xác minh độ tin cậy của người quảng cáo, không giới thiệu dịch vụ chưa sử dụng hoặc chưa hiểu rõ, và thông báo rõ việc quảng cáo ngay trước và trong khi thực hiện. Khách sạn nên ghi vào hợp đồng: KOL, KOC đã lưu trú trước khi đăng, gắn nhãn quảng cáo, lưu bằng chứng.

Lịch việc 30 ngày cho khách sạn

1. Tuần 1: kê dữ liệu khách và nơi lưu; giao người phụ trách từng nhóm văn bản.
2. Tuần 2: sửa form đặt phòng và website (ô đồng ý để trống, tách mục đích, có nhật ký); rà hợp đồng phần mềm; viết kịch bản sự cố 72 giờ.
3. Tuần 3: chốt hóa đơn từng khoản thu; phân công ca đêm thông báo lưu trú; kiểm xác nhận thông báo của website và trang chính sách hủy, hoàn tiền.
4. Tuần 4: hẹn luật sư, kế toán thuế với bộ câu hỏi dưới đây; diễn tập ca khách đến sau 23 giờ và ca lộ dữ liệu; rà hợp đồng KOL.

Hỏi luật sư và kế toán thuế những gì?

Hỏi luật sư về dữ liệu cá nhân, xác nhận thông báo thương mại điện tử và hợp đồng quảng cáo; hỏi kế toán thuế về hóa đơn điện tử. Hãy mang theo hợp đồng phần mềm, mẫu form đặt phòng, sơ đồ luồng dữ liệu khách và luồng tiền từng kênh.

1. Luật sư: khách sạn thuộc nhóm doanh nghiệp nào theo quy mô, có được miễn hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu không?
2. Luật sư: máy chủ PMS, booking engine, CRM đặt ở đâu, có phải lập hồ sơ chuyển dữ liệu xuyên biên giới không?
3. Luật sư: website có booking engine thuộc diện xác nhận thông báo chưa, cần làm gì trước 30/06/2027, hợp đồng KOL cần điều khoản nào?
4. Kế toán thuế: loại hóa đơn và thời điểm lập cho booking engine, đặt cọc, OTA, quầy; xử lý hóa đơn khi khách hủy hoặc được hoàn tiền.

Bắt đầu từ đâu

1. Lập bảng sáu nhóm văn bản, ghi người chịu trách nhiệm và việc đang làm cho từng nhóm.
2. Sửa ô đồng ý trên form đặt phòng và website trước.
3. Giao người trực ca đêm việc thông báo lưu trú cho khách đến sau 23 giờ.
4. Đưa bốn tình huống thu tiền cho kế toán trưởng và hẹn chốt thời điểm lập hóa đơn.
5. Hỏi luật sư về tình trạng xác nhận thông báo của website có đặt phòng trực tuyến.

Bạn có thể tải Checklist dữ liệu khách, email và Zalo ZNS: 24 điểm kiểm tra; các bài khác nằm ở mục Kinh doanh khách sạn. Khi chọn website, booking engine hay CRM, hãy hỏi mọi nhà cung cấp, kể cả StayUP: ô đồng ý có tách theo kênh và lưu nhật ký không, máy chủ đặt ở đâu, hết hợp đồng thì trả và xóa dữ liệu thế nào. Đó cũng là điều chúng tôi trả lời khi tư vấn CRM và Marketing Hub của StayCMS; bạn có thể đặt lịch tư vấn.

Nội dung tóm tắt theo văn bản có hiệu lực đến tháng 10/2026; với trường hợp cụ thể, hãy hỏi luật sư hoặc kế toán thuế.

Câu hỏi thường gặp

Hộ kinh doanh hoặc khách sạn nhỏ có được miễn luật bảo vệ dữ liệu cá nhân không?

Chỉ được miễn Điều 21, Điều 22 và khoản 2 Điều 33 Luật 91/2025/QH15 (hồ sơ đánh giá tác động, nhân sự bảo vệ dữ liệu): hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện; doanh nghiệp nhỏ, khởi nghiệp được chọn trong 05 năm kể từ 01/01/2026 (Điều 38 Luật). Miễn trừ không áp dụng nếu kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên (Điều 41 Nghị định 356/2025/NĐ-CP). Văn bản chưa giải thích cụm "trực tiếp xử lý", nên lưu ảnh căn cước có mất miễn trừ hay không là câu hỏi cho luật sư. Yêu cầu về sự đồng ý của khách không được miễn.

Khách đặt cọc online thì phải xuất hóa đơn ngay không?

Tiền đặt cọc theo Bộ luật Dân sự để bảo đảm thực hiện hợp đồng không thuộc trường hợp lập hóa đơn khi thu tiền; thu tiền trước thì lập hóa đơn khi thu (khoản 2 Điều 9 Nghị định 254/2026/NĐ-CP). Khoản thu trước là đặt cọc hay thanh toán trước tùy điều khoản đặt phòng, nên ghi rõ và hỏi kế toán.

Khách đến lúc 1 giờ sáng thì khách sạn thông báo lưu trú khi nào?

Khách đến sau 23 giờ thì thông báo trước 08 giờ ngày hôm sau, theo Điều 30 Luật Cư trú sửa bởi Luật 118/2025/QH15. Kênh thông báo gồm cả VNeID và phần mềm thông báo lưu trú (Điều 14 Thông tư 116/2026/TT-BCA). Lễ tân ca đêm cần người được giao việc và tài khoản dùng được vào giờ đó.

Website chỉ có form gửi yêu cầu đặt phòng có phải xác nhận thông báo thương mại điện tử không?

Nghị định 248/2026/NĐ-CP đặt điều xác nhận thông báo cho nền tảng kinh doanh trực tiếp có chức năng đặt hàng trực tuyến (Điều 23). Chưa thấy văn bản nói form gửi yêu cầu đặt phòng có thuộc chức năng này không; hãy hỏi luật sư hoặc cơ quan tiếp nhận.