Một sàn thương mại điện tử nước ngoài bán cho người mua Việt Nam là bên kiểm soát dữ liệu cá nhân của những người mua đó theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — với đầy đủ nghĩa vụ đánh giá tác động, bảo vệ và thông báo sự cố. Nhưng cần nói đúng một điểm hay bị hiểu sai: pháp luật Việt Nam hiện hành không bắt buộc sàn lưu trữ dữ liệu người mua tại Việt Nam một cách mặc định; nghĩa vụ lưu trữ trong nước chỉ phát sinh khi có quyết định của cơ quan có thẩm quyền trong cơ chế riêng của pháp luật an ninh mạng.
Sàn nước ngoài có bắt buộc lưu trữ dữ liệu người mua tại Việt Nam không?
Không, theo chế độ mặc định. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP không đặt ra nghĩa vụ định vị dữ liệu (data localization) cho mọi hoạt động xử lý dữ liệu cá nhân: dữ liệu người mua có thể được xử lý và lưu trữ trên hạ tầng toàn cầu của sàn, kèm theo nghĩa vụ về chuyển dữ liệu cá nhân ra nước ngoài — lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Điều 20 của Luật 91/2025/QH15, gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân và cập nhật khi có thay đổi.
Nghĩa vụ lưu trữ tại Việt Nam thuộc một lớp pháp luật khác — pháp luật an ninh mạng: khi cơ quan có thẩm quyền ra quyết định theo cơ chế của Luật An ninh mạng 116/2025/QH15 và Nghị định 333/2026/NĐ-CP đối với doanh nghiệp thuộc diện điều chỉnh có hành vi vi phạm được xác định và không khắc phục sau các yêu cầu bằng văn bản, doanh nghiệp có thể bị yêu cầu lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện. Đây là cơ chế kích hoạt có điều kiện bằng quyết định hành chính, áp cho một nhóm doanh nghiệp xác định — không phải điều kiện kinh doanh mặc định của mọi sàn nước ngoài, và bài viết, tư vấn nào khẳng định “sàn nước ngoài bắt buộc lưu dữ liệu tại Việt Nam” mà không nói rõ cơ chế kích hoạt này đều không chính xác.
Sàn chịu trách nhiệm gì khi dữ liệu người mua bị rò rỉ?
Trách nhiệm có ba tầng. Tầng một là nghĩa vụ phản ứng sự cố: khi xảy ra xâm phạm dữ liệu cá nhân, bên kiểm soát dữ liệu phải thực hiện các biện pháp xử lý và thông báo sự cố cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và cho chủ thể dữ liệu bị ảnh hưởng theo trình tự, thời hạn của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP — việc che giấu sự cố hoặc chậm thông báo là vi phạm độc lập. Tầng hai là trách nhiệm dân sự: người mua bị thiệt hại thực tế từ vụ rò rỉ — mất tiền, bị lừa đảo bằng dữ liệu bị lộ — có quyền yêu cầu bồi thường thiệt hại theo pháp luật dân sự.
Tầng ba là xử phạt hành chính theo Nghị định 330/2026/NĐ-CP — trong đó mảng bảo vệ dữ liệu cá nhân có quy ước mức phạt riêng tại Điều 7 của nghị định — kết hợp với trần phạt của chính Luật 91/2025/QH15 tại Điều 8: hành vi mua bán trái phép dữ liệu cá nhân bị phạt tới mười lần khoản thu lợi bất chính; chuyển dữ liệu cá nhân xuyên biên giới trái phép tới năm phần trăm doanh thu năm trước; các vi phạm khác về bảo vệ dữ liệu cá nhân tối đa ba tỷ đồng. Với một sàn lớn, tầng rủi ro nặng nhất vì thế không phải tiền phạt mà là yêu cầu khắc phục, đình chỉ hoạt động xử lý dữ liệu và tổn thất niềm tin người dùng sau sự cố bị công khai.
Nghĩa vụ nền của sàn với dữ liệu người mua Việt Nam
Ngay cả khi không có sự cố, sàn nước ngoài thu thập dữ liệu người mua Việt Nam phải vận hành đầy đủ bộ nghĩa vụ của bên kiểm soát dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: có căn cứ xử lý hợp pháp và chính sách bảo vệ dữ liệu minh bạch cho người dùng Việt Nam; lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 21 và hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Điều 20 khi dữ liệu được chuyển về hệ thống ngoài Việt Nam; bố trí nhân sự phụ trách bảo vệ dữ liệu cá nhân theo Điều 33; và thực hiện các quyền của chủ thể dữ liệu — quyền được biết, truy cập, chỉnh sửa, hạn chế xử lý, phản đối và yêu cầu xoá.
Điểm nhà vận hành hay đánh giá thấp là phạm vi áp dụng: Luật 91/2025/QH15 áp dụng cho cả tổ chức, cá nhân nước ngoài trực tiếp xử lý hoặc liên quan đến việc xử lý dữ liệu cá nhân của người Việt Nam — sàn không có pháp nhân tại Việt Nam không đứng ngoài phạm vi này. Nghĩa vụ hồ sơ đánh giá tác động được thiết kế theo mô hình lập một lần và cập nhật khi thay đổi, nhưng “một lần” đó phải tồn tại thật và được gửi đúng cơ quan chuyên trách; các sàn toàn cầu thường phải bổ sung phụ lục Việt Nam vào chương trình tuân thủ dữ liệu toàn cầu của mình thay vì giả định khung GDPR hoặc PDPA của nước sở tại tự động đáp ứng luật Việt Nam.
Khách hàng có quyền yêu cầu xoá dữ liệu của mình không?
Có. Quyền yêu cầu xoá dữ liệu cá nhân là một trong các quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: người mua có thể yêu cầu sàn xoá dữ liệu cá nhân của mình, và bên kiểm soát dữ liệu phải tiếp nhận, thực hiện yêu cầu và phản hồi trong thời hạn theo Nghị định 356/2025/NĐ-CP, trừ các trường hợp dữ liệu phải tiếp tục lưu trữ theo nghĩa vụ pháp luật khác. Các ngoại lệ thực tế gồm dữ liệu giao dịch phải lưu trong hồ sơ, chứng từ phục vụ nghĩa vụ thuế, kế toán, và dữ liệu cần giữ để giải quyết tranh chấp, khiếu nại đang diễn ra.
Trong thực hành, quyền xoá vận hành tốt nhất qua kênh tài khoản của sàn — xoá tài khoản và yêu cầu xoá dữ liệu kèm theo — và người dùng nên phân biệt ba việc khác nhau: xoá tài khoản hiển thị, xoá dữ liệu cá nhân khỏi hệ thống xử lý, và việc sàn vẫn phải giữ một số bản ghi giao dịch tối thiểu theo nghĩa vụ lưu trữ luật định. Một sàn tuân thủ sẽ trả lời rõ từng lớp thay vì hứa “xoá toàn bộ” một cách không chính xác. Nếu sàn từ chối hoặc không phản hồi yêu cầu hợp lệ, người mua có thể khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân — khiếu nại của chủ thể dữ liệu là một trong các kênh kích hoạt kiểm tra tuân thủ đối với bên kiểm soát dữ liệu.
Câu hỏi thường gặp
Sàn nước ngoài có phải lưu dữ liệu khách Việt Nam tại Việt Nam?
Không bắt buộc theo chế độ mặc định. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP không áp đặt nghĩa vụ lưu trữ dữ liệu tại Việt Nam cho mọi sàn; dữ liệu người mua có thể lưu trên hạ tầng toàn cầu của sàn kèm nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Điều 20 của Luật 91/2025/QH15. Nghĩa vụ lưu trữ trong nước chỉ phát sinh khi có quyết định của cơ quan có thẩm quyền theo cơ chế của Luật An ninh mạng 116/2025/QH15 và Nghị định 333/2026/NĐ-CP đối với doanh nghiệp thuộc diện điều chỉnh vi phạm và không khắc phục — một cơ chế kích hoạt có điều kiện, không phải điều kiện mặc định cho mọi sàn nước ngoài.
Rò rỉ dữ liệu khách hàng thì sàn chịu trách nhiệm gì?
Sàn chịu ba tầng trách nhiệm. Một, nghĩa vụ phản ứng sự cố: xử lý và thông báo xâm phạm dữ liệu cá nhân cho cơ quan chuyên trách và cho người mua bị ảnh hưởng theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP — che giấu hoặc chậm thông báo là vi phạm độc lập. Hai, trách nhiệm bồi thường thiệt hại thực tế cho người mua theo pháp luật dân sự. Ba, xử phạt hành chính theo Nghị định 330/2026/NĐ-CP và trần phạt tại Điều 8 Luật 91/2025/QH15 — mua bán trái phép dữ liệu cá nhân phạt tới mười lần khoản thu lợi; chuyển dữ liệu xuyên biên giới trái phép tới năm phần trăm doanh thu năm trước; vi phạm khác tối đa ba tỷ đồng.
Khách hàng có quyền yêu cầu xóa dữ liệu?
Có. Yêu cầu xoá dữ liệu cá nhân là quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, và sàn phải tiếp nhận, thực hiện và phản hồi trong thời hạn theo Nghị định 356/2025/NĐ-CP. Ngoại lệ là dữ liệu phải giữ theo nghĩa vụ pháp luật khác — bản ghi giao dịch phục vụ lưu trữ chứng từ thuế, kế toán và dữ liệu cần cho tranh chấp đang giải quyết. Nếu sàn từ chối hoặc im lặng trước yêu cầu hợp lệ, khách hàng có thể khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân để cơ quan kiểm tra việc tuân thủ của sàn.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng