Đóng một data center khó hơn mở một data center ở đúng một điểm: dữ liệu của khách hàng. Nhà vận hành là bên xử lý dữ liệu — không sở hữu dữ liệu — nên khi đóng cửa, mọi ổ đĩa rời khỏi cơ sở đều phải đi qua một quy trình hoàn trả hoặc xoá dữ liệu có chứng cứ, và phần cứng sau đó trở thành rác thải điện tử thuộc nhóm chất thải nguy hại phải qua đơn vị xử lý có giấy phép.
Xoá dữ liệu khách hàng khi đóng cửa: nguyên tắc của bên xử lý
Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, nhà vận hành data center trong quan hệ với dữ liệu của khách thuê colocation và hosting đóng vai trò bên xử lý dữ liệu cá nhân: chỉ xử lý theo chỉ đạo của bên kiểm soát là khách hàng, và khi quan hệ xử lý chấm dứt phải hoàn trả toàn bộ dữ liệu hoặc xoá dữ liệu theo yêu cầu của bên kiểm soát. Đóng cửa cơ sở không tạo cho nhà vận hành bất kỳ quyền nào trên dữ liệu còn nằm trong máy chủ của khách — kể cả khi khách còn nợ phí.
Quy trình xoá đúng luật gồm bốn bước có chứng cứ: một, lập danh mục toàn bộ phương tiện lưu trữ chứa dữ liệu khách hàng theo từng khách và từng thiết bị; hai, thực hiện chỉ đạo của khách — hoàn trả dữ liệu và thiết bị, hoặc xoá tại chỗ dưới sự chứng kiến hoặc xác nhận của khách; ba, áp dụng phương pháp xoá không thể khôi phục tương xứng với độ nhạy của dữ liệu — ghi đè, khử từ hoặc huỷ vật lý phương tiện lưu trữ theo các chuẩn kỹ thuật được thừa nhận như NIST 800-88; bốn, lập biên bản xoá, huỷ dữ liệu cho từng lô thiết bị và lưu hồ sơ này kể cả sau khi doanh nghiệp vận hành đã giải thể phần hoạt động tại cơ sở.
Thanh lý máy chủ cũ: có bắt buộc “chứng nhận xoá dữ liệu” không?
Pháp luật Việt Nam không ban hành một loại “chứng nhận xoá dữ liệu” nhà nước và không bắt buộc máy chủ thanh lý phải mang chứng nhận đó. Nhưng kết luận thực tế không hề nhẹ hơn: nghĩa vụ bảo vệ dữ liệu cá nhân của bên kiểm soát và bên xử lý kéo dài cho tới khi dữ liệu bị xoá hoàn toàn, nên nếu một ổ đĩa thanh lý bị phát hiện còn chứa dữ liệu cá nhân của người dùng, cả khách hàng là bên kiểm soát lẫn nhà vận hành là bên xử lý đều phải chịu trách nhiệm và chế tài theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 330/2026/NĐ-CP.
Vì không có chứng nhận nhà nước, thị trường thay thế bằng chứng cứ hợp đồng: biên bản tiêu huỷ dữ liệu có chữ ký các bên, chứng thư xoá dữ liệu của đơn vị xử lý chuyên nghiệp ghi rõ phương pháp xoá theo chuẩn kỹ thuật và số seri từng ổ đĩa, và điều khoản trong hợp đồng thanh lý ràng buộc người mua thiết bị cũ. Với ổ đĩa chứa dữ liệu nhạy cảm — tài chính, y tế — thực hành thận trọng là huỷ vật lý thay vì xoá logic rồi bán lại, vì chi phí huỷ nhỏ hơn rất nhiều so với rủi ro pháp lý của dữ liệu sót.
Rác thải điện tử của data center phải đi đâu?
Máy chủ, bo mạch, pin dự phòng, ắc quy và linh kiện điện tử thải bỏ của data center thuộc nhóm chất thải nguy hại theo Luật Bảo vệ môi trường 72/2020/QH14 và Nghị định 08/2022/NĐ-CP vì chứa kim loại nặng và hoá chất độc hại. Chủ nguồn thải — doanh nghiệp vận hành — phải phân định, phân loại, dán nhãn và lưu giữ chất thải nguy hại đúng quy định, lập chứng từ chất thải nguy hại và chuyển giao cho đơn vị có giấy phép môi trường với chức năng xử lý chất thải nguy hại tương ứng.
Bán thiết bị cũ nguyên chiếc cho đơn vị thu mua để tái sử dụng là giao dịch tài sản bình thường nếu dữ liệu đã được xử lý đúng quy trình ở mục trên; nhưng các thành phần đã hư hỏng, pin phồng, bo mạch cháy không được bán cho thu mua phế liệu tự do hay tự chôn lấp, thuê chôn lấp — hành vi chuyển giao chất thải nguy hại cho tổ chức không có giấy phép bị xử phạt hành chính về môi trường theo Nghị định 45/2022/NĐ-CP và có thể bị truy cứu trách nhiệm hình sự nếu gây hậu quả nghiêm trọng. Khi đóng cửa toàn bộ cơ sở, hồ sơ môi trường của dự án cũng phải được khép lại tương ứng, gồm xác nhận đã bàn giao toàn bộ chất thải phát sinh trong quá trình tháo dỡ.
Thông báo cho khách hàng và trình tự đóng cửa an toàn
Không có một thời hạn thông báo luật định chung cho việc đóng data center; thời hạn báo trước tuân theo hợp đồng thuê của từng khách — các hợp đồng colocation dài hạn thường có điều khoản báo trước và hỗ trợ di chuyển. Về quản trị rủi ro, nhà vận hành nên thông báo sớm hơn nhiều so với mức tối thiểu trong hợp đồng: khách hàng cần thời gian đấu thầu cơ sở mới, di chuyển thiết bị và đồng bộ dữ liệu, và một thông báo quá gấp có thể bị xem là vi phạm nghĩa vụ hợp tác, gây thiệt hại cho khách và phát sinh yêu cầu bồi thường.
Trình tự đóng cửa an toàn gồm: thông báo chính thức cho toàn bộ khách hàng kèm lộ trình di chuyển; đóng băng tiếp nhận khách mới và thay đổi hạ tầng; hỗ trợ khách rút thiết bị và dữ liệu theo lịch đã thống nhất; xoá dữ liệu trên hạ tầng dùng chung và thiết bị thuộc sở hữu nhà vận hành có chứa dữ liệu khách; xử lý rác thải điện tử qua đơn vị có phép; cuối cùng là khép hồ sơ pháp lý — chấm dứt đăng ký cung cấp dịch vụ trung tâm dữ liệu, quyết toán thuế và nghĩa vụ với cơ quan quản lý. Thứ tự này bảo đảm nghĩa vụ dữ liệu được thực hiện khi nhà vận hành còn đủ nhân sự và ngân sách, thay vì để dữ liệu khách hàng lại cho giai đoạn thanh lý cuối cùng.
Câu hỏi thường gặp
Đóng data center thì dữ liệu khách hàng phải xóa thế nào cho đúng luật?
Theo vai trò bên xử lý dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: nhà vận hành không được tự ý giữ hay dùng dữ liệu khách hàng; khi đóng cửa phải hoàn trả toàn bộ dữ liệu và thiết bị cho khách, hoặc xoá dữ liệu theo chỉ đạo của khách bằng phương pháp không thể khôi phục — ghi đè, khử từ hoặc huỷ vật lý phương tiện lưu trữ theo chuẩn kỹ thuật như NIST 800-88 — và lập biên bản xoá, huỷ cho từng lô thiết bị. Mọi bước phải có chứng cứ bằng văn bản, vì trách nhiệm bảo vệ dữ liệu chỉ chấm dứt khi dữ liệu đã thực sự bị xoá hoặc hoàn trả.
Máy chủ cũ thanh lý có phải xóa dữ liệu chứng nhận?
Không có “chứng nhận xoá dữ liệu” do Nhà nước cấp và pháp luật không bắt buộc chứng nhận đó khi thanh lý. Thay vào đó, thị trường và hợp đồng yêu cầu chứng cứ tương đương: biên bản tiêu huỷ dữ liệu giữa các bên và chứng thư xoá dữ liệu của đơn vị xử lý chuyên nghiệp, ghi phương pháp xoá theo chuẩn kỹ thuật cùng số seri của từng ổ đĩa. Về trách nhiệm thì không khác nhau: nếu thiết bị thanh lý còn sót dữ liệu cá nhân, bên kiểm soát và bên xử lý vẫn bị xử lý theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 330/2026/NĐ-CP — vì vậy với ổ đĩa chứa dữ liệu nhạy cảm, huỷ vật lý là lựa chọn an toàn được khuyến nghị.
Rác thải điện tử từ data center xử lý ở đâu?
Rác thải điện tử của data center — máy chủ hỏng, bo mạch, pin và ắc quy thải — thuộc nhóm chất thải nguy hại và phải được chuyển giao cho đơn vị có giấy phép môi trường về xử lý chất thải nguy hại theo Luật Bảo vệ môi trường 72/2020/QH14 và Nghị định 08/2022/NĐ-CP, với chứng từ chất thải nguy hại đi kèm. Doanh nghiệp không được tự chôn lấp, không bán cho thu mua phế liệu không có giấy phép; chuyển giao chất thải nguy hại cho đơn vị không phép bị xử phạt theo Nghị định 45/2022/NĐ-CP. Thiết bị còn dùng được, sau khi đã xoá dữ liệu đúng quy trình, có thể bán thanh lý như tài sản bình thường.
Có phải thông báo cho khách hàng trước bao lâu?
Theo hợp đồng thuê của khách hàng — pháp luật không ấn định một số ngày chung cho việc đóng data center. Hợp đồng colocation dài hạn thường có điều khoản thời hạn báo trước và hỗ trợ di chuyển; thực tế quản trị tốt là thông báo trước khoảng 90 đến 180 ngày hoặc sớm hơn với khách hàng lớn, vì khách cần thời gian chọn cơ sở mới và di chuyển hệ thống. Thông báo quá gấp so với cam kết hợp đồng khiến nhà vận hành chịu trách nhiệm bồi thường thiệt hại phát sinh cho khách hàng.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng