Luật An ninh mạng mới đã có hiệu lực từ ngày 01/7/2026, trong đó có nghĩa vụ lưu trữ dữ liệu người dùng tại Việt Nam. Bài này nêu rõ cho quý Khách hàng nghĩa vụ đó áp cho ai, với loại dữ liệu nào, và phần nào còn chờ văn bản hướng dẫn, để doanh nghiệp không hiểu rộng hơn hoặc hẹp hơn quy định thật.
Mục lục
1. Luật nào đang áp dụng
| Nội dung | Chi tiết |
|---|---|
| Tên văn bản | Luật An ninh mạng số 116/2025/QH15 |
| Quốc hội thông qua | 10/12/2025 |
| Hiệu lực thi hành | 01/7/2026 |
| Kết cấu | 8 chương, 45 điều |
Luật này hợp nhất hai luật trước đó là Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018. Tức là doanh nghiệp không còn phải đối chiếu hai khung quy định song song như trước.
Cần phân biệt với một luật khác cũng mới: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026. Hai luật nhìn vào hai việc khác nhau. Luật Bảo vệ dữ liệu cá nhân nói về quyền của người có dữ liệu và nghĩa vụ của bên xử lý dữ liệu. Luật An ninh mạng nói về nghĩa vụ với cơ quan nhà nước và an ninh của không gian mạng, trong đó có chỗ lưu dữ liệu.
2. Nghĩa vụ lưu trữ dữ liệu tại Việt Nam, nguyên văn
Quy định nằm tại khoản 3 Điều 25 của luật. Nguyên văn:
Doanh nghiệp trong nước và ngoài nước cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra phải áp dụng các biện pháp bảo vệ dữ liệu theo quy định của pháp luật và lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ.
Doanh nghiệp ngoài nước quy định tại khoản này phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Bài này trích nguyên văn thay vì diễn giải, vì đây là chỗ hay bị tóm tắt sai thành "mọi dữ liệu của mọi doanh nghiệp đều phải để trong nước". Đọc kỹ sẽ thấy quy định có ba lớp điều kiện: loại hình dịch vụ, có hoạt động xử lý các nhóm dữ liệu được nêu, và dữ liệu do người dùng tại Việt Nam tạo ra.
3. Doanh nghiệp nào thuộc diện áp dụng
Theo câu chữ của khoản 3, một doanh nghiệp thuộc diện khi hội đủ hai vế:
- Cung cấp dịch vụ trên mạng viễn thông, mạng Internet, hoặc dịch vụ gia tăng trên không gian mạng tại Việt Nam;
- Có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, hoặc dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.
Doanh nghiệp nước ngoài thuộc diện này còn có thêm nghĩa vụ đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Một doanh nghiệp dùng máy chủ cho việc nội bộ của chính mình thì khác với một doanh nghiệp cung cấp dịch vụ cho người dùng. Ranh giới giữa hai trường hợp không phải lúc nào cũng hiển nhiên, nhất là với các công ty vừa bán hàng vừa vận hành ứng dụng cho khách. Nếu doanh nghiệp đang ở vùng giáp ranh, nên hỏi ý kiến tư vấn pháp lý thay vì tự kết luận theo cảm tính.
4. Những loại dữ liệu được nêu tên
Khoản 2 Điều 25 liệt kê cụ thể hơn, tại điểm d, nhóm dữ liệu mà doanh nghiệp cung cấp dịch vụ phải lưu trữ:
| Loại dữ liệu | Ví dụ trong một hệ thống thật |
|---|---|
| Tên tài khoản | tên đăng nhập, địa chỉ thư điện tử dùng để đăng ký |
| Thời gian sử dụng dịch vụ | mốc đăng ký, mốc đăng nhập, mốc ngừng dùng |
| Thông tin thanh toán phí sử dụng dịch vụ | hoá đơn, giao dịch nạp tiền, lịch sử gia hạn |
| Địa chỉ IP truy cập | nhật ký đăng nhập có ghi IP |
| Các dữ liệu liên quan khác | phần mở, phụ thuộc hướng dẫn của Chính phủ |
Cũng tại khoản 2, luật nêu các nghĩa vụ khác với mốc thời gian rất ngắn, đáng chú ý với bộ phận vận hành: cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an chậm nhất 24 giờ kể từ khi có yêu cầu, trường hợp khẩn cấp là 03 giờ; ngăn chặn chia sẻ, xoá bỏ thông tin vi phạm chậm nhất 24 giờ kể từ khi có yêu cầu, trường hợp khẩn cấp là 06 giờ, đồng thời lưu nhật ký hệ thống để phục vụ xác minh.
Mốc 24 giờ đó là thứ quyết định cách tổ chức vận hành. Một hệ thống không ai trực, không có người được phân công nhận yêu cầu, thì rất khó đáp ứng, kể cả khi dữ liệu đã nằm sẵn trong nước.
5. Phần còn chờ Chính phủ quy định
Cả khoản 2 và khoản 3 đều kết thúc bằng cụm "trong thời gian theo quy định", và khoản 4 Điều 25 ghi rõ Chính phủ quy định chi tiết hai khoản này.
Nghĩa là thời hạn lưu trữ cụ thể là bao nhiêu tháng nằm ở nghị định hướng dẫn, không nằm trong luật. Tại thời điểm bài viết này, quý khách cần tra cứu văn bản hướng dẫn đang có hiệu lực trên Công báo hoặc Cổng thông tin điện tử Chính phủ trước khi chốt một con số vào quy trình nội bộ.
Bài này cố ý không nêu một con số tháng cụ thể. Lý do: con số đó đang nằm ở lớp văn bản dưới luật, và một quy trình nội bộ xây trên con số sai thì sửa lại tốn hơn nhiều so với việc tra cứu đúng ngay từ đầu.
6. Việc nên làm trước khi có hướng dẫn
Chờ văn bản hướng dẫn không có nghĩa là chưa làm gì. Bốn việc dưới đây đúng trong mọi trường hợp, và đều là việc kỹ thuật thuần tuý:
- Biết dữ liệu của mình đang nằm ở đâu. Liệt kê từng hệ thống, từng cơ sở dữ liệu, từng nơi để bản sao lưu, ghi rõ máy chủ đặt tại quốc gia nào. Nhiều doanh nghiệp bất ngờ khi phát hiện bản sao lưu hoặc dịch vụ gửi thư đang đặt ngoài biên giới.
- Bật và giữ nhật ký hệ thống. Nhật ký đăng nhập có ghi tài khoản, thời điểm và địa chỉ IP là thứ luật nhắc tên. Bật sẵn thì tốn ít dung lượng, còn cần mà không có thì không dựng lại được.
- Phân công người nhận yêu cầu. Phải có ít nhất một người và một người dự phòng, kèm đầu mối liên lạc rõ ràng, để mốc 24 giờ không trôi qua chỉ vì thư đến hộp thư không ai đọc.
- Xem lại hợp đồng với nhà cung cấp hạ tầng. Hỏi rõ máy chủ và bản sao lưu đặt ở đâu, và ghi câu trả lời vào hợp đồng chứ không chỉ nghe qua điện thoại.
Về phần hạ tầng, hệ thống máy chủ của Cloudzone đặt tại các trung tâm dữ liệu trong nước, nên dữ liệu khách hàng lưu trên dịch vụ của Cloudzone nằm tại Việt Nam. Quý khách cần văn bản xác nhận vị trí đặt máy chủ để kèm hồ sơ nội bộ thì liên hệ bộ phận kinh doanh.
7. Câu hỏi thường gặp
Công ty tôi chỉ có website giới thiệu, có thuộc diện không?
Một trang giới thiệu thuần tuý, không có tài khoản người dùng, không thu thập dữ liệu, thì không rơi vào vế thứ hai của khoản 3. Nhưng chỉ cần thêm form đăng ký nhận tin hoặc khu vực đăng nhập là tình huống đã khác. Quý khách nên soát lại theo thực tế hệ thống đang chạy.
Lưu tại Việt Nam có bắt buộc là máy chủ của doanh nghiệp Việt Nam không?
Câu chữ của luật nói về nơi lưu trữ dữ liệu, không nói về quốc tịch của nhà cung cấp. Điều cần xác định là máy chủ đặt tại trung tâm dữ liệu nào trong lãnh thổ Việt Nam, và đây là thông tin nên có trong hợp đồng.
Dữ liệu vừa lưu trong nước vừa đồng bộ ra nước ngoài thì sao?
Việc chuyển dữ liệu cá nhân ra ngoài biên giới còn chịu quy định riêng của pháp luật về bảo vệ dữ liệu cá nhân, trong đó có hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Đây là phần tách rời khỏi nghĩa vụ lưu trữ nói trong bài này, và cần xem xét cùng lúc.
Đang dùng dịch vụ nước ngoài thì chuyển về có phức tạp không?
Phần kỹ thuật thường nhẹ hơn dự đoán, phần tốn công là rà soát và đối chiếu sau khi chuyển. Quý khách có thể tham khảo bài Chuyển dữ liệu từ AWS S3 hoặc Wasabi về Việt Nam để hình dung các bước.
Bài viết tóm tắt quy định để tham khảo, không thay cho ý kiến tư vấn pháp lý. Trước khi áp dụng, quý khách nên đối chiếu toàn văn Luật An ninh mạng số 116/2025/QH15 và các văn bản hướng dẫn đang có hiệu lực trên Công báo hoặc Cổng thông tin điện tử Chính phủ.
Quý khách cần trao đổi về phương án đặt hạ tầng trong nước, vui lòng chat với Cloudzone hoặc gọi 0905 091 805.
