An ninh mạng, lưu trữ dữ liệu tại Việt Nam và chuyển dữ liệu xuyên biên giới: Luật An ninh mạng năm 2025 và Nghị định số 333/2026/NĐ-CP, ai phải lưu trữ dữ liệu tại Việt Nam và mở văn phòng tại Việt Nam, Luật Dữ liệu và dữ liệu cốt lõi, dữ liệu quan trọng, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Luật Bảo vệ dữ liệu cá nhân, bảo vệ hệ thống thông tin, xử phạt, và hướng dẫn ra quyết định đối với dữ liệu công nghệ thông tin và nhân sự của tập đoàn

Ba chế độ pháp lý, một câu hỏi

Doanh nghiệp có vốn đầu tư nước ngoài muốn vận hành hoạt động tại Việt Nam trên các hệ thống của tập đoàn được lưu trữ ở nước ngoài, dù là hệ thống hoạch định nguồn lực doanh nghiệp (ERP), CRM, nền tảng nhân sự hay đám mây công cộng, phải đặt câu hỏi liệu dữ liệu có được chuyển ra khỏi Việt Nam hay không và liệu có phần dữ liệu nào cũng phải được lưu giữ tại Việt Nam hay không. Ba đạo luật trả lời câu hỏi này, mỗi luật có logic quản lý riêng nhưng đều do Bộ Công an giám sát. Luật An ninh mạng xác định ai phải lưu trữ dữ liệu tại Việt Nam và mở văn phòng tại Việt Nam. Luật Dữ liệu kiểm soát việc chuyển ra nước ngoài dữ liệu được phân loại là dữ liệu cốt lõi hoặc dữ liệu quan trọng, dù có phải là dữ liệu cá nhân hay không. Luật Bảo vệ dữ liệu cá nhân yêu cầu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài đối với mọi hoạt động chuyển dữ liệu cá nhân ra nước ngoài (Hỏi đáp số 82). Các luật này có sự chồng lấn, và một hoạt động chuyển dữ liệu duy nhất có thể chịu sự điều chỉnh của cả ba luật.

Không có lệnh cấm chung đối với việc gửi dữ liệu ra nước ngoài và không có quy định chung rằng mọi dữ liệu phải được lưu trữ tại Việt Nam. Đối với phần lớn nhà sản xuất, doanh nghiệp thương mại và doanh nghiệp dịch vụ có vốn đầu tư nước ngoài, yêu cầu thực tế là hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Luật Bảo vệ dữ liệu cá nhân và biện pháp bảo mật tốt, còn các quy định về lưu trữ dữ liệu tại Việt Nam và dữ liệu cốt lõi chỉ liên quan trong một số lĩnh vực cụ thể hoặc khi phát sinh các sự kiện cụ thể. Các quy định chi tiết của Luật Bảo vệ dữ liệu cá nhân được trình bày tại Bảo vệ dữ liệu cá nhân.

Luật An ninh mạng năm 2025 và các nghị định hướng dẫn

Luật An ninh mạng số 24/2018/QH14 đặt ra yêu cầu lưu trữ dữ liệu tại Việt Nam, được hướng dẫn thi hành từ ngày 1/10/2022 bởi Nghị định số 53/2022/NĐ-CP. Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 1/7/2026, đã hợp nhất luật này với Luật An toàn thông tin mạng năm 2015 thành một đạo luật duy nhất về an ninh mạng và an toàn thông tin mạng, đồng thời mở rộng thẩm quyền của Bộ Công an. Ngày 19/8/2026, Chính phủ ban hành bảy nghị định hướng dẫn: Nghị định số 327/2026/NĐ-CP về thông tin trên mạng gây phương hại đến an ninh quốc gia và trật tự, an toàn xã hội; Nghị định số 328/2026/NĐ-CP về thông tin giả, thông tin sai sự thật, có hiệu lực từ ngày 5/10/2026; Nghị định số 329/2026/NĐ-CP về lực lượng bảo vệ an ninh mạng; Nghị định số 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; Nghị định số 331/2026/NĐ-CP về bảo vệ hệ thống thông tin, với cơ chế phân loại năm cấp độ; Nghị định số 332/2026/NĐ-CP về kinh doanh sản phẩm, dịch vụ an ninh mạng; và Nghị định số 333/2026/NĐ-CP, quy định chi tiết luật và kế thừa, có sửa đổi, các nội dung còn phù hợp của Nghị định số 53/2022/NĐ-CP, bao gồm các quy định về lưu trữ dữ liệu tại Việt Nam. Các quy định chuyển tiếp bảo lưu một số cơ chế trước đây đối với hệ thống, hợp đồng hiện có và hồ sơ đề nghị cấp phép đã được tiếp nhận trước ngày 1/7/2026.

Nghị định số 331/2026/NĐ-CP yêu cầu chủ quản hệ thống thông tin phân loại hệ thống theo một trong năm cấp độ căn cứ vào mức độ thiệt hại mà sự cố gây ra và áp dụng các biện pháp bảo vệ tương ứng với cấp độ đó, trong đó các cấp độ cao hơn phải được phê duyệt và kiểm tra. Phần lớn hệ thống thương mại tư nhân thuộc các cấp độ thấp, nhưng đơn vị vận hành các nền tảng tiêu dùng lớn, dịch vụ tài chính và hệ thống quan trọng đối với an ninh quốc gia nên kiểm tra việc phân loại của mình.

Ai phải lưu trữ dữ liệu tại Việt Nam và mở văn phòng

Nghị định số 333/2026/NĐ-CP phân biệt doanh nghiệp trong nước và doanh nghiệp nước ngoài. Doanh nghiệp trong nước, bao gồm cả công ty Việt Nam thuộc sở hữu của nhà đầu tư nước ngoài, cung cấp dịch vụ viễn thông, internet và dịch vụ gia tăng trên không gian mạng tại Việt Nam phải lưu trữ dữ liệu theo quy định tại Việt Nam: thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và dữ liệu do người sử dụng đó tạo ra, như tên tài khoản, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập và đăng xuất gần nhất và số điện thoại được liên kết.

Doanh nghiệp nước ngoài chỉ thuộc phạm vi điều chỉnh nếu cung cấp các dịch vụ thuộc danh mục tại Việt Nam: viễn thông, lưu trữ và chia sẻ dữ liệu trực tuyến, đăng ký tên miền, thương mại điện tử, thanh toán trực tuyến và trung gian thanh toán, kết nối vận tải trực tuyến, mạng xã hội và truyền thông xã hội, trò chơi điện tử trực tuyến, ứng dụng trực tuyến và một số dịch vụ thông tin trực tuyến khác. Ngay cả khi đó, nghĩa vụ chỉ phát sinh khi có sự kiện kích hoạt. Dịch vụ phải đã bị sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng; lực lượng chuyên trách của Bộ Công an phải đã thông báo về hành vi vi phạm và gửi văn bản đề nghị phối hợp, tối đa ba lần trong thời gian tối đa sáu tháng; và doanh nghiệp phải đã không khắc phục vi phạm hoặc không tuân thủ, hoặc đã cản trở hoặc vô hiệu hóa các biện pháp bảo vệ. Khi đó, Bộ có thể quyết định doanh nghiệp phải lưu trữ dữ liệu tại Việt Nam và thành lập chi nhánh hoặc văn phòng đại diện chịu trách nhiệm về việc tuân thủ. Doanh nghiệp có 12 tháng kể từ ngày có quyết định để tuân thủ, phải lưu trữ dữ liệu tối thiểu 24 tháng, và phải duy trì văn phòng cho đến khi chấm dứt hoạt động tại Việt Nam hoặc ngừng cung cấp dịch vụ (Hỏi đáp số 82). Doanh nghiệp viễn thông và nhà cung cấp dịch vụ lưu trữ phải gỡ bỏ hoặc chặn nội dung trái pháp luật trong vòng 24 giờ kể từ khi có yêu cầu của lực lượng chuyên trách, cung cấp thông tin xác định địa chỉ IP trong vòng 24 giờ hoặc trong vòng ba giờ đối với trường hợp khẩn cấp về an ninh quốc gia và tội phạm nghiêm trọng, và lưu giữ nhật ký tối thiểu 12 tháng.

Luật Dữ liệu: dữ liệu cốt lõi và dữ liệu quan trọng

Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 1/7/2025 và được hướng dẫn thi hành bởi Nghị định số 165/2025/NĐ-CP ngày 30/6/2025, điều chỉnh dữ liệu số nói chung, dù là dữ liệu cá nhân hay không. Luật phân loại dữ liệu theo mức độ quan trọng và kiểm soát việc chuyển ra nước ngoài dữ liệu quan trọng và dữ liệu cốt lõi, loại sau là một phần của loại trước, việc sử dụng trái phép dữ liệu cốt lõi sẽ đe dọa trực tiếp đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội hoặc sức khỏe và an toàn cộng đồng. Các loại dữ liệu được liệt kê tại Quyết định số 20/2025/QĐ-TTg. Đối với tổ chức tư nhân, dữ liệu quan trọng bao gồm dữ liệu cá nhân cơ bản của từ 100.000 người trở lên, dữ liệu cá nhân nhạy cảm của từ 10.000 người trở lên và dữ liệu về tài khoản ngân hàng, thanh toán hoặc nợ của từ 10.000 doanh nghiệp trở lên; dữ liệu cốt lõi bao gồm các loại tương ứng ở ngưỡng một triệu người, 100.000 người và 100.000 doanh nghiệp, cũng như dữ liệu quốc phòng, an ninh, cơ yếu và dữ liệu do Nhà nước nắm giữ về hạ tầng trọng yếu, y tế và tài chính.

Việc chuyển dữ liệu cốt lõi ra nước ngoài phải được chấp thuận trước: bên chuyển nộp hồ sơ đánh giá tác động cho Bộ Công an, hoặc Bộ Quốc phòng đối với dữ liệu quân sự, quốc phòng và cơ yếu, và nhận quyết định bằng văn bản. Dữ liệu quan trọng có thể được chuyển mà không cần chấp thuận trước, nhưng bên chuyển phải thực hiện đánh giá rủi ro bao gồm tính hợp pháp, sự cần thiết, phạm vi, tiêu chuẩn bảo vệ của bên nhận, nguy cơ lộ lọt và trách nhiệm, và nộp hồ sơ cho Bộ. Nghị định số 356/2025/NĐ-CP quy định trường hợp dữ liệu là dữ liệu cá nhân đồng thời là dữ liệu cốt lõi hoặc dữ liệu quan trọng, chỉ cần hồ sơ đánh giá tác động xử lý và hồ sơ đánh giá tác động chuyển dữ liệu theo Luật Bảo vệ dữ liệu cá nhân, không cần hồ sơ đánh giá riêng theo Nghị định số 165/2025/NĐ-CP. Bên cạnh đó, nhà cung cấp dịch vụ trung gian dữ liệu phải đặt hạ tầng tại Việt Nam và có người đại diện theo pháp luật là công dân Việt Nam.

Đám mây, thuê ngoài và quy định chuyên ngành

Dịch vụ trung tâm dữ liệu và điện toán đám mây có thể do nhà đầu tư nước ngoài sở hữu 100% và chỉ cần đăng ký, hoặc thông báo đối với nhà cung cấp ở nước ngoài, theo pháp luật về viễn thông (Hỏi đáp số 94), do đó tập đoàn có thể lưu trữ dữ liệu Việt Nam tại một trung tâm dữ liệu ở Việt Nam do nhà cung cấp có vốn nước ngoài vận hành nếu lựa chọn lưu trữ dữ liệu trong nước. Một số lĩnh vực có quy định riêng: ngân hàng và tổ chức trung gian thanh toán phải tuân thủ yêu cầu của Ngân hàng Nhà nước về trung tâm dữ liệu, trung tâm dự phòng và thuê ngoài dịch vụ công nghệ thông tin; dữ liệu chứng khoán, bảo hiểm và y tế có cơ chế kiểm soát riêng; và dữ liệu của cơ quan nhà nước và dữ liệu thuộc bí mật nhà nước không được chuyển ra khỏi Việt Nam. Doanh nghiệp có vốn đầu tư nước ngoài trong lĩnh vực chịu sự quản lý chuyên ngành nên kiểm tra quy định chuyên ngành trước khi chuyển hệ thống ra nước ngoài. Mức phạt đối với vi phạm về an ninh mạng theo Nghị định số 330/2026/NĐ-CP lên tới 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân; mức phạt đối với vi phạm về chuyển dữ liệu cá nhân, được tính theo doanh thu, được trình bày tại Bảo vệ dữ liệu cá nhân.