FDI có phải lưu trữ dữ liệu tại Việt Nam không? Yêu cầu hiện hành

Không phải mọi doanh nghiệp FDI đều phải đặt máy chủ tại Việt Nam, nhưng nhóm doanh nghiệp cung cấp dịch vụ trên mạng viễn thông và internet cho người dùng Việt Nam thì có một nghĩa vụ bản địa hóa dữ liệu được quy định rõ trong Luật An ninh mạng. Câu hỏi đúng không phải là FDI có phải lưu trữ dữ liệu trong nước hay không một cách chung chung, mà là doanh nghiệp của mình có rơi vào nhóm đối tượng và loại dữ liệu mà Điều 26 của luật này nhắm tới hay không.

Đối tượng và loại dữ liệu phải lưu trữ trong nước

Điều 26 Luật An ninh mạng 24/2018/QH14 quy định doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, mạng internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải lưu trữ tại Việt Nam các dữ liệu gồm thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam, dữ liệu về mối quan hệ của người sử dụng dịch vụ, và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra. Nghị định 53/2022/NĐ-CP hướng dẫn chi tiết phạm vi dịch vụ và dữ liệu thuộc diện này.

Với FDI, điều đó nghĩa là một công ty sản xuất thuần túy có hệ thống nội bộ toàn cầu không tự động rơi vào nghĩa vụ bản địa hóa theo Điều 26, trong khi một công ty thương mại điện tử, mạng xã hội, dịch vụ đám mây cho khách hàng Việt Nam hoặc ứng dụng tiêu dùng có người dùng Việt Nam thì gần như chắc chắn thuộc diện. Điểm kích hoạt là dịch vụ hướng tới người sử dụng tại Việt Nam và việc thu thập, tạo ra các loại dữ liệu người dùng nêu trên, không phải tỷ lệ vốn nước ngoài của doanh nghiệp.

Đặt chi nhánh, văn phòng đại diện và thời gian lưu trữ

Cùng Điều 26 Luật An ninh mạng đặt ra yêu cầu về hiện diện: doanh nghiệp nước ngoài thuộc diện quy định phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam trong các trường hợp luật định, gắn với các dịch vụ có quy mô và tính chất nhất định. Thời gian lưu trữ dữ liệu tại Việt Nam được Nghị định 53/2022/NĐ-CP quy định tối thiểu theo từng loại dữ liệu, và doanh nghiệp phải bảo đảm khả năng truy xuất, cung cấp dữ liệu cho cơ quan có thẩm quyền khi có yêu cầu hợp lệ phục vụ an ninh mạng.

Nghĩa vụ bản địa hóa không đồng nghĩa cấm chuyển dữ liệu ra nước ngoài: doanh nghiệp vẫn có thể sao lưu và xử lý ở nước ngoài theo nhu cầu vận hành toàn cầu, nhưng bản dữ liệu thuộc diện quy định phải tồn tại và truy xuất được tại Việt Nam, đồng thời việc chuyển dữ liệu cá nhân xuyên biên giới phải đáp ứng khung của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, gồm hồ sơ đánh giá tác động chuyển dữ liệu trong nhiều trường hợp.

Xử lý vi phạm và cách tự đánh giá cho FDI

Vi phạm nghĩa vụ lưu trữ dữ liệu và hiện diện tại Việt Nam bị xử lý theo các nghị định xử phạt trong lĩnh vực an ninh mạng và viễn thông, internet, với biện pháp có thể gồm phạt tiền và yêu cầu khắc phục kiến trúc dữ liệu. Rủi ro thực tế lớn hơn nằm ở khía cạnh vận hành: bị yêu cầu cung cấp dữ liệu mà không truy xuất được tại Việt Nam, hoặc bị đánh giá không tuân thủ khi cơ quan quản lý rà soát các dịch vụ trực tuyến lớn, là các tình huống làm gián đoạn kinh doanh thật sự.

Cách tự đánh giá thực hành cho doanh nghiệp FDI gồm ba bước: xác định mình có cung cấp dịch vụ thuộc diện Điều 26 cho người dùng Việt Nam hay không; lập bản đồ các loại dữ liệu người dùng đang được tạo và lưu ở đâu trong kiến trúc toàn cầu; và thiết kế nút lưu trữ trong nước cho phần dữ liệu thuộc diện, kèm hồ sơ chuyển dữ liệu xuyên biên giới theo luật bảo vệ dữ liệu cá nhân. Làm ba bước này trước khi bị hỏi tới rẻ hơn rất nhiều so với việc tái kiến trúc hệ thống dưới áp lực của một yêu cầu từ cơ quan quản lý.

Câu hỏi thường gặp

An ninh mạng yêu cầu công ty FDI lưu trữ dữ liệu người dùng Việt Nam thế nào?

Có, nếu doanh nghiệp thuộc diện Điều 26 Luật An ninh mạng 24/2018/QH14: doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, internet tại Việt Nam phải lưu trữ tại Việt Nam dữ liệu gồm thông tin cá nhân người sử dụng tại Việt Nam, dữ liệu về mối quan hệ của người sử dụng và dữ liệu do người sử dụng tạo ra. Doanh nghiệp FDI sản xuất thuần túy không cung cấp dịch vụ như vậy cho người dùng Việt Nam thì không tự động thuộc diện này.

Dữ liệu nào bắt buộc lưu tại Việt Nam?

Ba nhóm dữ liệu phải lưu trữ tại Việt Nam theo Điều 26 Luật An ninh mạng và Nghị định 53/2022/NĐ-CP là: thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam; dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam; và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra trên dịch vụ. Phạm vi dịch vụ thuộc diện và thời gian lưu trữ tối thiểu từng nhóm thực hiện theo hướng dẫn chi tiết của Nghị định 53/2022/NĐ-CP.

Lưu trên server nước ngoài có được không?

Doanh nghiệp có thể sao lưu và xử lý bổ sung ở nước ngoài, nhưng máy chủ nước ngoài không thay thế được nghĩa vụ lưu trữ tại Việt Nam: với dữ liệu thuộc diện Điều 26 Luật An ninh mạng, một bản dữ liệu phải tồn tại và truy xuất được trong nước. Mô hình tuân thủ phổ biến là đặt nút lưu trữ trong nước cho phần dữ liệu thuộc diện, đồng bộ với hệ thống toàn cầu, đồng thời thực hiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP khi chuyển dữ liệu ra nước ngoài.

Vi phạm thì bị phạt bao nhiêu?

Việc không đáp ứng nghĩa vụ lưu trữ dữ liệu tại Việt Nam và nghĩa vụ hiện diện bị xử phạt hành chính theo nghị định xử phạt trong lĩnh vực an ninh mạng, viễn thông và internet, kèm yêu cầu khắc phục. Về vận hành, doanh nghiệp còn đối mặt nguy cơ bị yêu cầu cung cấp dữ liệu phục vụ an ninh mạng mà không truy xuất được trong nước, và bị đánh giá không tuân thủ trong các đợt rà soát dịch vụ trực tuyến, gây gián đoạn kinh doanh lớn hơn nhiều tiền phạt.

Kết luận cho doanh nghiệp FDI có dữ liệu người dùng Việt Nam

Nghĩa vụ lưu trữ dữ liệu tại Việt Nam đánh vào dịch vụ và dữ liệu người dùng, không đánh vào quốc tịch vốn. FDI nào cung cấp dịch vụ trực tuyến cho người dùng Việt Nam nên tự đối chiếu Điều 26 Luật An ninh mạng từ giai đoạn thiết kế kiến trúc dữ liệu, vì bản địa hóa làm sau luôn đắt hơn bản địa hóa thiết kế từ đầu.