Cẩm nang pháp lý ngành công nghệ, trung tâm dữ liệu (data center)

Cẩm nang pháp lý ngành công nghệ, trung tâm dữ liệu (data center) tại Việt Nam 2026

Đầu tư data center tại Việt Nam đang bước vào giai đoạn bùng nổ: làn sóng trí tuệ nhân tạo, điện toán đám mây và nhu cầu nội địa hóa dữ liệu kéo theo hàng loạt dự án trung tâm dữ liệu quy mô hàng trăm triệu USD của cả nhà đầu tư trong nước và nước ngoài. Nhưng đằng sau cơ hội là một khung pháp lý nhiều lớp — viễn thông, đầu tư, đất đai, bảo vệ dữ liệu cá nhân, an ninh mạng — mà bất kỳ sai sót nào cũng có thể khiến dự án chậm tiến độ, đội chi phí hoặc vướng xử phạt.

Cẩm nang này hệ thống toàn bộ khung pháp lý mà một nhà đầu tư nước ngoài cần nắm trước khi rót vốn vào trung tâm dữ liệu tại Việt Nam, cập nhật đến tháng 9/2026: từ định vị pháp lý của data center trong Luật Viễn thông, thủ tục đăng ký cung cấp dịch vụ, thủ tục đầu tư FDI, các gói ưu đãi đầu tư, đến nghĩa vụ bảo vệ dữ liệu cá nhân theo Luật mới có hiệu lực từ 01/01/2026 và yêu cầu lưu trữ dữ liệu tại Việt Nam.

Mục lục

• 1. Toàn cảnh khung pháp lý: 5 trụ cột không thể bỏ sót
• 2. Định vị pháp lý: data center là dịch vụ viễn thông giá trị gia tăng
• 3. Thủ tục đầu tư FDI cho dự án data center
• 4. Ưu đãi đầu tư: data center là "ngôi sao" của chính sách
• 5. Bảo vệ dữ liệu cá nhân: nghĩa vụ mới có hiệu lực từ 01/01/2026
• 6. An ninh mạng và yêu cầu lưu trữ dữ liệu tại Việt Nam
• 7. Điện, xây dựng, phòng cháy chữa cháy và môi trường: những "cửa ải" kỹ thuật
• 8. Checklist 10 bước cho nhà đầu tư nước ngoài
• 9. Rủi ro thường gặp và cách phòng tránh
• 10. Câu hỏi thường gặp
• Kết luận

1. Toàn cảnh khung pháp lý: 5 trụ cột không thể bỏ sót

Một dự án data center tại Việt Nam chịu sự điều chỉnh đồng thời của ít nhất 5 nhóm văn bản sau:

Điểm khác biệt lớn nhất của data center so với các dự án FDI thông thường nằm ở trụ cột số 1: từ ngày 01/01/2025, trung tâm dữ liệu và điện toán đám mây chính thức được đưa vào phạm vi quản lý của pháp luật viễn thông. Điều này có nghĩa nhà đầu tư không chỉ làm thủ tục đầu tư như một dự án công nghiệp thông thường, mà còn phải đáp ứng điều kiện kinh doanh dịch vụ viễn thông.

2. Định vị pháp lý: data center là dịch vụ viễn thông giá trị gia tăng

2.1. Từ chính sách đến quy định cụ thể

Ngay tại Điều 4 Luật Viễn thông 2023, Nhà nước xác định chính sách tạo điều kiện cho tổ chức, cá nhân thuộc các thành phần kinh tế tham gia đầu tư, kinh doanh viễn thông để phát triển trung tâm dữ liệu, điện toán đám mây theo hướng bền vững, hiện đại, hình thành hạ tầng số phục vụ kinh tế số, xã hội số.

Luật Viễn thông 2023 (có hiệu lực từ 01/7/2024) dành Điều 28 và Điều 29 quy định về việc cung cấp dịch vụ viễn thông cơ bản trên Internet, dịch vụ trung tâm dữ liệu và dịch vụ điện toán đám mây. Điểm cần đặc biệt lưu ý về mốc thời gian: theo khoản 3 Điều 72 của Luật, các quy định tại Điều 28 và Điều 29 có hiệu lực thi hành từ ngày 01/01/2025, muộn hơn 6 tháng so với hiệu lực chung của Luật.

Nghị định 163/2024/NĐ-CP (ban hành và có hiệu lực từ 24/12/2024, thay thế Nghị định 25/2011/NĐ-CP) là văn bản hướng dẫn chi tiết. Nghị định này phân loại dịch vụ trung tâm dữ liệu, dịch vụ điện toán đám mây và dịch vụ viễn thông cơ bản trên Internet (OTT) vào nhóm dịch vụ viễn thông giá trị gia tăng, đồng thời quy định chi tiết trình tự đăng ký, thông báo cung cấp dịch vụ. Theo Điều 84 của Nghị định, quy định về quản lý dịch vụ trung tâm dữ liệu, dịch vụ điện toán đám mây có hiệu lực từ ngày 01/01/2025 — đồng bộ với mốc hiệu lực của Điều 28, Điều 29 Luật Viễn thông.

2.2. Đăng ký cung cấp dịch vụ: điều kiện bắt buộc trước khi vận hành

Đây là yêu cầu pháp lý quan trọng nhất mà nhiều nhà đầu tư dễ bỏ sót. Khoản 1 Điều 44 Nghị định 163/2024/NĐ-CP quy định rõ: trước khi cung cấp dịch vụ trung tâm dữ liệu, doanh nghiệp phải thực hiện đăng ký và được cấp Giấy chứng nhận đăng ký cung cấp dịch vụ viễn thông.

Điều kiện đăng ký (khoản 2 Điều 44) gồm hai nhóm:

• Tư cách pháp lý: có Giấy chứng nhận đăng ký doanh nghiệp hoặc Giấy chứng nhận đăng ký đầu tư. Với nhà đầu tư nước ngoài, điều này có nghĩa thủ tục đăng ký đầu tư (IRC) và đăng ký doanh nghiệp (ERC) phải hoàn tất trước khi nộp hồ sơ đăng ký cung cấp dịch vụ viễn thông.
• Phương án kỹ thuật: phù hợp với quy hoạch hạ tầng thông tin và truyền thông; tuân thủ các quy định về tiêu chuẩn, quy chuẩn kỹ thuật; bảo đảm an toàn cơ sở hạ tầng viễn thông, an toàn thông tin mạng và an ninh thông tin.

Trên thực tế, phương án kỹ thuật là phần hồ sơ đòi hỏi chuẩn bị công phu nhất: nhà đầu tư cần chứng minh thiết kế trung tâm dữ liệu đáp ứng các tiêu chuẩn kỹ thuật về điện, làm mát, phòng cháy chữa cháy, an toàn thông tin và khả năng kết nối với hạ tầng viễn thông quốc gia. Việc chuẩn bị song song phương án kỹ thuật ngay từ giai đoạn thiết kế dự án — thay vì đợi đến khi xây xong mới làm thủ tục — giúp rút ngắn đáng kể thời gian đưa dự án vào vận hành thương mại.

2.3. Thông báo cung cấp dịch vụ điện toán đám mây

Bên cạnh đăng ký, Điều 45 Nghị định 163/2024/NĐ-CP quy định thủ tục thông báo cung cấp dịch vụ viễn thông trước khi cung cấp, áp dụng với doanh nghiệp cung cấp dịch vụ điện toán đám mây (cùng một số dịch vụ khác như OTT viễn thông, thư điện tử, thư thoại, fax gia tăng giá trị).

Điểm thuận lợi cho nhà đầu tư: trường hợp cung cấp đồng thời dịch vụ điện toán đám mây và dịch vụ trung tâm dữ liệu, doanh nghiệp không cần thực hiện thủ tục thông báo riêng — chỉ cần thông báo thông tin về dịch vụ điện toán đám mây trong đơn đăng ký cung cấp dịch vụ viễn thông theo mẫu ban hành kèm Nghị định 163, và được cung cấp dịch vụ điện toán đám mây sau khi hoàn thành việc gửi hồ sơ đăng ký hợp lệ.

2.4. Cung cấp dịch vụ qua biên giới: cơ chế thông báo, không bị hạn chế thỏa thuận thương mại

Với các tập đoàn công nghệ toàn cầu muốn cung cấp dịch vụ data center hoặc cloud từ hạ tầng ở nước ngoài đến người dùng tại Việt Nam, Nghị định 163 quy định tổ chức nước ngoài phải thực hiện thông báo cung cấp dịch vụ viễn thông cho cơ quan quản lý (Cục Viễn thông).

Điểm đáng chú ý: quy định chung yêu cầu việc cung cấp dịch vụ viễn thông qua biên giới đến người sử dụng tại Việt Nam phải thông qua thỏa thuận thương mại với doanh nghiệp viễn thông Việt Nam đã được cấp phép — nhưng hạn chế này KHÔNG áp dụng đối với dịch vụ trung tâm dữ liệu, dịch vụ điện toán đám mây và dịch vụ viễn thông cơ bản trên Internet. Đây là một "cửa mở" quan trọng, cho phép các nhà cung cấp cloud/data center toàn cầu tiếp cận thị trường Việt Nam mà không bắt buộc phải bắt tay với đối tác viễn thông trong nước, dù trên thực tế nhiều tập đoàn vẫn chọn mô hình hợp tác hoặc đầu tư hạ tầng trực tiếp để tối ưu chất lượng dịch vụ và tuân thủ các nghĩa vụ về dữ liệu.

3. Thủ tục đầu tư FDI cho dự án data center

3.1. Giấy chứng nhận đăng ký đầu tư theo Luật Đầu tư 2025

Luật Đầu tư 2025 (Luật số 143/2025/QH15, Quốc hội thông qua ngày 11/12/2025) có hiệu lực từ ngày 01/3/2026, thay thế Luật Đầu tư 2020. Riêng Điều 7 và Danh mục ngành nghề đầu tư kinh doanh có điều kiện tại Phụ lục IV có hiệu lực từ ngày 01/7/2026.

Với dự án data center của nhà đầu tư nước ngoài, trình tự chuẩn gồm:

1. Đề xuất và chấp thuận chủ trương đầu tư (nếu thuộc diện phải chấp thuận theo quy mô, địa điểm, ví dụ dự án sử dụng đất có yêu cầu chuyển mục đích sử dụng đất theo quy định của pháp luật đất đai).
2. Cấp Giấy chứng nhận đăng ký đầu tư (IRC): cơ quan đăng ký đầu tư cấp tỉnh hoặc Ban quản lý khu công nghiệp, khu công nghệ cao (nếu dự án đặt trong khu) là đầu mối tiếp nhận. Hồ sơ gồm văn bản đề nghị, tài liệu về tư cách pháp lý của nhà đầu tư, đề xuất dự án đầu tư, báo cáo năng lực tài chính, đề xuất nhu cầu sử dụng đất.
3. Đăng ký doanh nghiệp (ERC): thành lập tổ chức kinh tế tại Việt Nam để thực hiện dự án.

Kinh nghiệm thực tiễn cho thấy các dự án data center quy mô lớn thường được đặt trong khu công nghệ cao hoặc khu công nghiệp công nghệ cao — như dự án tổ hợp trung tâm dữ liệu siêu lớn tại Khu Công nghệ cao TP.HCM với vốn đăng ký hàng trăm triệu USD, công suất thiết kế hàng chục MW — vì được hưởng đồng thời ưu đãi về đất đai, thuế và hạ tầng kỹ thuật (điện, viễn thông) sẵn có.

3.2. Đất đai: điểm nghẽn lớn nhất của dự án data center

Trung tâm dữ liệu là loại hình "ngốn" đất và điện: một hyperscale data center có thể cần hàng hecta đất và công suất điện hàng chục MW. Các vấn đề pháp lý về đất đai cần xử lý sớm:

• Hình thức sử dụng đất: thuê đất trả tiền một lần hoặc hằng năm; dự án trong khu công nghệ cao, khu công nghiệp thuê lại đất từ chủ đầu tư hạ tầng.
• Miễn, giảm tiền thuê đất: là một trong những ưu đãi có giá trị lớn nhất với dự án data center — có dự án được miễn tiền thuê đất cho toàn bộ thời gian thuê (đến hàng chục năm) khi đáp ứng đầy đủ điều kiện theo quy định pháp luật.
• Quy hoạch sử dụng đất và quy hoạch xây dựng: vị trí dự án phải phù hợp quy hoạch; cần kiểm tra kỹ khả năng cấp điện của lưới điện khu vực — đây là điều kiện tiên quyết về mặt kỹ thuật nhưng cũng gắn với cam kết của cơ quan nhà nước trong quá trình chấp thuận đầu tư.

4. Ưu đãi đầu tư: data center là "ngôi sao" của chính sách

4.1. Bổ sung vào danh mục ngành nghề ưu đãi đầu tư

Ngày 25/6/2025, Quốc hội thông qua Luật số 90/2025/QH15 sửa đổi, bổ sung một số điều của 8 luật, có hiệu lực từ 01/7/2025. Khoản 1 Điều 6 của Luật này sửa đổi ngành nghề ưu đãi đầu tư tại Điều 16 Luật Đầu tư 2020, bổ sung nhóm ngành:

"Đầu tư xây dựng hạ tầng trung tâm dữ liệu lớn, hạ tầng điện toán đám mây, hạ tầng di động từ 5G trở lên và hạ tầng số khác trong lĩnh vực công nghệ chiến lược theo quyết định của Thủ tướng Chính phủ."

Đây là lần đầu tiên trung tâm dữ liệu được gọi tên trực tiếp trong danh mục ưu đãi đầu tư ở cấp luật. Nhà đầu tư cần lưu ý cụm từ "theo quyết định của Thủ tướng Chính phủ" — tiêu chí xác định thế nào là "trung tâm dữ liệu lớn", thuộc "lĩnh vực công nghệ chiến lược" sẽ do văn bản của Thủ tướng quy định chi tiết; khi làm hồ sơ đề nghị ưu đãi, cần đối chiếu quyết định hiện hành tại thời điểm thực hiện thủ tục.

4.2. Ngành nghề đặc biệt ưu đãi đầu tư theo Luật Công nghiệp công nghệ số

Luật Công nghiệp công nghệ số số 71/2025/QH15 (Quốc hội thông qua ngày 14/6/2025, hiệu lực từ 01/01/2026) đi xa hơn một bước. Điều 21 của Luật quy định hoạt động đầu tư xây dựng hạ tầng công nghiệp công nghệ số là ngành, nghề đặc biệt ưu đãi đầu tư, được hưởng ưu đãi, hỗ trợ theo quy định của pháp luật về đầu tư, thuế, đất đai và pháp luật khác có liên quan. Các hạ tầng được ưu tiên đầu tư gồm cơ sở nghiên cứu, thiết kế, sản xuất thử nghiệm sản phẩm, dịch vụ công nghệ số; phòng thí nghiệm trọng điểm dùng chung; cơ sở đo kiểm, thử nghiệm; trung tâm dữ liệu; khu công nghệ số tập trung.

Việc được xếp vào nhóm "đặc biệt ưu đãi" mở ra khung ưu đãi cao nhất theo pháp luật đầu tư: ưu đãi thuế thu nhập doanh nghiệp (thuế suất ưu đãi, miễn giảm có thời hạn), miễn giảm tiền thuê đất, thuê mặt nước, hỗ trợ đầu tư theo quy định.

4.3. Ưu đãi, hỗ trợ đầu tư đặc biệt cho dự án quy mô lớn

Nghị định 96/2026/NĐ-CP hướng dẫn thi hành Luật Đầu tư 2025 quy định chi tiết cơ chế ưu đãi, hỗ trợ đầu tư đặc biệt. Theo Điều 21 của Nghị định, đối tượng áp dụng bao gồm:

• Dự án đầu tư thành lập mới (bao gồm cả mở rộng) xây dựng hạ tầng trung tâm dữ liệu lớn, hạ tầng điện toán đám mây, hạ tầng di động từ 5G trở lên và hạ tầng số khác trong lĩnh vực công nghệ chiến lược theo quyết định của Thủ tướng Chính phủ: tổng vốn đầu tư từ 3.000 tỷ đồng trở lên, thực hiện giải ngân tối thiểu 1.000 tỷ đồng trong thời hạn 03 năm kể từ ngày được cấp Giấy chứng nhận đăng ký đầu tư hoặc chấp thuận chủ trương đầu tư.
• Dự án xây dựng trung tâm dữ liệu trí tuệ nhân tạo theo pháp luật về công nghiệp công nghệ số: tổng vốn đầu tư từ 6.000 tỷ đồng trở lên, thực hiện giải ngân tối thiểu 6.000 tỷ đồng trong thời hạn 05 năm.

Mức ưu đãi, thời hạn áp dụng ưu đãi đặc biệt về thuế thu nhập doanh nghiệp, tiền thuê đất, thuê mặt nước thực hiện theo quy định của Luật Thuế thu nhập doanh nghiệp 2025 và pháp luật về đất đai.

Với ngưỡng vốn này, các dự án hyperscale data center của nhà đầu tư nước ngoài hoàn toàn có thể đặt mục tiêu tiếp cận gói ưu đãi đặc biệt — nhưng cần xây dựng lộ trình giải ngân thực tế, vì điều kiện giải ngân tối thiểu trong 3-5 năm là cam kết có chế tài nếu không thực hiện.

5. Bảo vệ dữ liệu cá nhân: nghĩa vụ mới có hiệu lực từ 01/01/2026

5.1. Khung pháp lý mới

Ngày 26/6/2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — văn bản luật đầu tiên ở cấp độ luật điều chỉnh toàn diện lĩnh vực này tại Việt Nam, chính thức có hiệu lực từ ngày 01/01/2026. Để hướng dẫn thi hành, ngày 31/12/2025 Chính phủ ban hành Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật, thay thế Nghị định 13/2023/NĐ-CP, cũng có hiệu lực từ ngày 01/01/2026.

Với nhà khai thác trung tâm dữ liệu, đây là thay đổi có tác động trực tiếp nhất đến mô hình vận hành, vì data center là nơi lưu trữ và xử lý khối lượng dữ liệu khổng lồ của khách hàng — trong đó có dữ liệu cá nhân.

5.2. Nhà khai thác data center là "bên kiểm soát" hay "bên xử lý"?

Luật phân định hai vai trò: bên kiểm soát dữ liệu (quyết định mục đích, phương tiện xử lý) và bên xử lý dữ liệu (xử lý dữ liệu thay cho bên kiểm soát theo hợp đồng/thỏa thuận). Trong mô hình colocation hoặc cloud thông thường, khách hàng thuê chỗ đặt máy chủ (bên kiểm soát) và nhà khai thác trung tâm dữ liệu (bên xử lý) chỉ cung cấp hạ tầng lưu trữ, không quyết định mục đích xử lý.

Dù ở vai trò nào, Luật đặt ra các nghĩa vụ cốt lõi:

• Thu thập sự đồng ý của chủ thể dữ liệu trước khi xử lý dữ liệu cá nhân (áp dụng chủ yếu với bên kiểm soát, nhưng bên xử lý cần bảo đảm khách hàng của mình đã tuân thủ).
• Giao kết thỏa thuận bảo vệ dữ liệu cá nhân với bên xử lý — đây là nghĩa vụ trực tiếp "đánh" vào hợp đồng dịch vụ data center: mọi hợp đồng colocation, cloud, managed hosting ký từ 01/01/2026 đều nên có điều khoản/thỏa thuận riêng về bảo vệ dữ liệu cá nhân, phân định trách nhiệm khi xảy ra sự cố rò rỉ, mất mát dữ liệu.
• Chỉ định bộ phận hoặc cá nhân phụ trách bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
• Áp dụng các biện pháp kỹ thuật bảo vệ dữ liệu cá nhân phù hợp — với data center, đây là thế mạnh sẵn có (kiểm soát truy cập vật lý, mã hóa, phân tách mạng), nhưng cần được thể chế hóa thành chính sách, quy trình có thể chứng minh khi bị kiểm tra.
• Thực hiện thủ tục hành chính theo quy định, bao gồm đánh giá tác động xử lý dữ liệu cá nhân và thủ tục liên quan đến chuyển dữ liệu cá nhân xuyên biên giới.

5.3. Quy định riêng với dữ liệu lớn, AI và điện toán đám mây

Điểm đặc biệt của khung pháp lý mới là quy định riêng đối với một số lĩnh vực đặc thù: quản lý lao động, tài chính – ngân hàng, quảng cáo, truyền thông trực tuyến, xử lý dữ liệu lớn, hệ thống trí tuệ nhân tạo, vũ trụ ảo, công nghệ chuỗi khối và điện toán đám mây. Nghị định 356 đã cụ thể hóa — ví dụ, khi xử lý dữ liệu lớn có chứa dữ liệu cá nhân, doanh nghiệp phải tuân thủ các quy định về bảo vệ dữ liệu cá nhân ngay từ thời điểm bắt đầu xử lý.

Với nhà đầu tư data center phục vụ AI (AI data center), nghĩa vụ tuân thủ vì vậy là "kép": vừa với tư cách nhà cung cấp hạ tầng, vừa gắn với đặc thù xử lý dữ liệu lớn của khách hàng AI. Khuyến nghị thực tiễn: xây dựng khung tuân thủ BVDLCN ngay từ giai đoạn thiết kế dịch vụ (privacy by design), thay vì vá víu sau khi đã ký hợp đồng với khách hàng lớn.

5.4. Chế tài: không còn là "khuyến nghị"

Khung pháp lý mới đưa bảo vệ dữ liệu cá nhân từ "khuyến nghị" thành nghĩa vụ pháp lý bắt buộc, với chế tài xử phạt nghiêm khắc. Theo các phân tích pháp lý công khai, mức phạt vi phạm có thể lên tới 10 lần khoản thu từ hành vi vi phạm hoặc 5% doanh thu, với mức phạt tối thiểu 3 tỷ đồng tùy trường hợp — chưa kể nguy cơ bị yêu cầu dừng hoặc hạn chế xử lý dữ liệu, ảnh hưởng trực tiếp đến vận hành của trung tâm dữ liệu. Với một data center đang vận hành, bị đình chỉ xử lý dữ liệu đồng nghĩa với tê liệt toàn bộ hoạt động kinh doanh.

6. An ninh mạng và yêu cầu lưu trữ dữ liệu tại Việt Nam

Từ ngày 01/7/2026, khung pháp lý an ninh mạng đã thay đổi căn bản: Luật An ninh mạng số 116/2025/QH15 thay thế Luật An ninh mạng 2018, và Nghị định 333/2026/NĐ-CP (ban hành và có hiệu lực ngày 19/8/2026) là văn bản hướng dẫn thi hành. Nghị định 53/2022/NĐ-CP chỉ còn giá trị chuyển tiếp đối với hồ sơ đã được tiếp nhận hợp lệ trước ngày 19/8/2026 mà chưa giải quyết xong (Điều 31 Nghị định 333/2026/NĐ-CP). Nhà đầu tư phải đối chiếu theo văn bản mới, không áp dụng các quy định cũ như còn hiệu lực.

6.1. Dữ liệu nào phải lưu trữ tại Việt Nam?

Điều 19 Nghị định 333/2026/NĐ-CP xác định hai nhóm dữ liệu thuộc diện lưu trữ tại Việt Nam:

• Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;
• Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.

So với Nghị định 53/2022/NĐ-CP trước đây, văn bản mới không còn duy trì "dữ liệu về quan hệ của người sử dụng" (bạn bè, nhóm kết nối, tương tác) như một nhóm dữ liệu độc lập.

6.2. Khi nào doanh nghiệp nước ngoài bị yêu cầu lưu trữ và đặt hiện diện tại Việt Nam?

Nghị định 333/2026/NĐ-CP xác định nghĩa vụ lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam không phải nghĩa vụ mặc nhiên đối với mọi doanh nghiệp nước ngoài. Nghĩa vụ chỉ phát sinh khi đồng thời có đủ các điều kiện:

1. Doanh nghiệp hoạt động trong các lĩnh vực thuộc phạm vi xem xét: dịch vụ viễn thông; lưu trữ, chia sẻ dữ liệu trên không gian mạng; thương mại điện tử; thanh toán trực tuyến; mạng xã hội; trò chơi điện tử; ứng dụng trực tuyến và một số dịch vụ khác trên không gian mạng;
2. Dịch vụ do doanh nghiệp cung cấp bị sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng;
3. Cơ quan có thẩm quyền đã yêu cầu phối hợp, ngăn chặn, điều tra, xử lý nhưng doanh nghiệp không chấp hành, chấp hành không đầy đủ hoặc có hành vi cản trở;
4. Có quyết định của Bộ trưởng Bộ Công an yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Khi quyết định được ban hành, doanh nghiệp có 12 tháng để hoàn thành việc lưu trữ dữ liệu và đặt chi nhánh/văn phòng đại diện. Hình thức lưu trữ do doanh nghiệp tự quyết định, nhưng phải bảo đảm khả năng truy xuất, cung cấp kịp thời khi cơ quan có thẩm quyền yêu cầu và an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.

Tuy nhiên, với nhà cung cấp dịch vụ data center/cloud xuyên biên giới, việc chủ động có phương án lưu trữ dữ liệu tại Việt Nam (thuê trung tâm dữ liệu trong nước, xây dựng hạ tầng riêng) là bước chuẩn bị khôn ngoan — vừa đáp ứng yêu cầu khi bị yêu cầu, vừa là lợi thế cạnh tranh với khách hàng doanh nghiệp Việt Nam ngày càng quan tâm đến chủ quyền dữ liệu.

6.3. Thời hạn lưu trữ

Theo Nghị định 333/2026/NĐ-CP: thời gian lưu trữ dữ liệu tối thiểu là 24 tháng; việc duy trì chi nhánh hoặc văn phòng đại diện kéo dài cho đến khi doanh nghiệp không còn hoạt động hoặc không còn cung cấp dịch vụ thuộc phạm vi điều chỉnh tại Việt Nam. Nhật ký hệ thống phục vụ xác định phiên kết nối (định danh địa chỉ IP gắn với thuê bao, người sử dụng) được lưu trữ tối thiểu 12 tháng. Các mốc thời gian này cần được phản ánh trong chính sách lưu trữ dữ liệu (data retention policy) của trung tâm dữ liệu.

6.4. Xác thực tài khoản và xử lý nội dung vi phạm (Điều 16)

Điểm mới quan trọng của Nghị định 333/2026/NĐ-CP là các nghĩa vụ tại Điều 16 về bảo đảm an ninh thông tin mạng, áp dụng cho cả doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam:

• Xác thực tài khoản: phải xác thực thông tin người sử dụng tại thời điểm đăng ký tài khoản số; xác thực tài khoản bằng số điện thoại di động tại Việt Nam; trường hợp người sử dụng không có số điện thoại di động tại Việt Nam thì xác thực bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác. Người sử dụng tính năng phát trực tiếp (livestream) nhằm mục đích thương mại phải được xác thực bằng số định danh cá nhân.
• Xử lý nội dung, tài khoản vi phạm: khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, doanh nghiệp phải hạn chế đăng tải, ngăn chặn, xóa bỏ thông tin, gỡ bỏ dịch vụ hoặc ứng dụng vi phạm. Tài khoản vi phạm nhiều lần có thể bị hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời: đăng tải vi phạm từ 3 lần trở lên trong 30 ngày — tối đa 60 ngày; từ 10 lần trở lên trong 90 ngày — tối đa 180 ngày; khóa vô thời hạn đối với hành vi xâm phạm an ninh quốc gia hoặc đã bị khóa tạm thời từ 3 lần trở lên mà tiếp tục vi phạm.
• Thời hạn phản ứng: cung cấp thông tin phục vụ bảo đảm an ninh thông tin mạng chậm nhất 24 giờ kể từ khi nhận yêu cầu (trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia hoặc tính mạng con người: 3 giờ); hạn chế đăng tải, ngăn chặn, xóa bỏ thông tin hoặc gỡ bỏ dịch vụ, ứng dụng vi phạm không quá 24 giờ (trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia: 6 giờ).

Với nhà khai thác data center, các nghĩa vụ này có ý nghĩa thực tiễn trực tiếp: hệ thống phải có khả năng xác thực người sử dụng, lưu vết lịch sử vi phạm, truy xuất thông tin và phản ứng trong thời hạn rất ngắn (3–24 giờ) — đòi hỏi thiết kế kỹ thuật và quy trình vận hành đáp ứng ngay từ đầu, không thể chỉ "có chính sách trên giấy".

7. Điện, xây dựng, phòng cháy chữa cháy và môi trường: những "cửa ải" kỹ thuật

Ngoài 5 trụ cột pháp lý nêu trên, dự án data center còn phải vượt qua các yêu cầu kỹ thuật đặc thù — và mỗi yêu cầu đều gắn với một thủ tục hành chính:

• Điện năng: trung tâm dữ liệu là phụ tải điện lớn, hoạt động 24/7. Cần thỏa thuận đấu nối với đơn vị điện lực, đánh giá khả năng cấp điện của lưới khu vực, và phương án điện dự phòng (máy phát, UPS). Hợp đồng mua bán điện công suất lớn nên được đàm phán song song với thủ tục đầu tư.
• Xây dựng: giấy phép xây dựng, nghiệm thu công trình; thiết kế phải tuân thủ quy chuẩn kỹ thuật quốc gia về công trình viễn thông, trung tâm dữ liệu.
• Phòng cháy chữa cháy: data center thuộc diện quản lý chặt về PCCC — thẩm duyệt thiết kế, nghiệm thu về PCCC là điều kiện để đưa công trình vào sử dụng. Hệ thống chữa cháy khí sạch, phát hiện khói sớm là yêu cầu gần như bắt buộc với phòng máy chủ.
• Môi trường: đánh giá tác động môi trường (ĐTM) hoặc đăng ký môi trường tùy quy mô; quản lý chất thải nguy hại (ắc quy, dầu máy phát dự phòng), tiếng ồn.
• An toàn thông tin mạng: bên cạnh Luật An ninh mạng, hệ thống thông tin của trung tâm dữ liệu có thể thuộc diện phải bảo đảm an toàn theo cấp độ — cần phân loại, xác định cấp độ an toàn hệ thống thông tin và triển khai phương án bảo vệ tương ứng.

8. Checklist 10 bước cho nhà đầu tư nước ngoài

1. Nghiên cứu khung pháp lý và lựa chọn mô hình: đầu tư hạ tầng trực tiếp, liên doanh với đối tác Việt Nam, hay cung cấp dịch vụ qua biên giới — mỗi mô hình có bộ nghĩa vụ khác nhau (đăng ký đầu tư, đăng ký viễn thông, thông báo qua biên giới).
2. Lựa chọn địa điểm: khu công nghệ cao, khu công nghiệp hoặc khu vực có quy hoạch phù hợp; kiểm tra khả năng cấp điện, kết nối cáp quang, quy hoạch sử dụng đất.
3. Chấp thuận chủ trương đầu tư (nếu thuộc diện) và cấp Giấy chứng nhận đăng ký đầu tư theo Luật Đầu tư 2025.
4. Thành lập doanh nghiệp và đăng ký kinh doanh tại Việt Nam.
5. Đăng ký cung cấp dịch vụ viễn thông (Giấy chứng nhận đăng ký cung cấp dịch vụ viễn thông) theo Điều 44 Nghị định 163/2024/NĐ-CP — chuẩn bị phương án kỹ thuật từ sớm.
6. Thông báo cung cấp dịch vụ điện toán đám mây (nếu cung cấp cloud) theo Điều 45 — tích hợp trong hồ sơ đăng ký để không phải làm thủ tục riêng.
7. Hoàn tất thủ tục đất đai, xây dựng, PCCC, môi trường trước khi lắp đặt thiết bị.
8. Xây dựng khung tuân thủ bảo vệ dữ liệu cá nhân và an ninh mạng: chỉ định phụ trách BVDLCN, soạn thỏa thuận bảo vệ dữ liệu cá nhân mẫu cho khách hàng, đánh giá tác động xử lý dữ liệu, chính sách lưu trữ dữ liệu (tối thiểu 24 tháng với dữ liệu thuộc diện theo Điều 19 Nghị định 333/2026/NĐ-CP; nhật ký hệ thống tối thiểu 12 tháng), quy trình xác thực tài khoản và phản ứng yêu cầu của cơ quan có thẩm quyền trong 3–24 giờ theo Điều 16.
9. Đăng ký đề nghị hưởng ưu đãi đầu tư: ưu đãi thuế, đất đai theo ngành nghề ưu đãi/đặc biệt ưu đãi; với dự án quy mô lớn, chuẩn bị hồ sơ ưu đãi, hỗ trợ đầu tư đặc biệt (ngưỡng 3.000 tỷ / 6.000 tỷ đồng).
10. Vận hành và tuân thủ liên tục: báo cáo định kỳ với cơ quan quản lý viễn thông, cập nhật phương án kỹ thuật khi mở rộng, rà soát tuân thủ BVDLCN và an ninh mạng hằng năm.

9. Rủi ro thường gặp và cách phòng tránh

• Bỏ sót thủ tục đăng ký viễn thông: nhiều nhà đầu tư quen với mô hình "xây xong rồi tính", nhưng với data center, Giấy chứng nhận đăng ký cung cấp dịch vụ viễn thông là điều kiện tiên quyết trước khi cung cấp dịch vụ thương mại. Chậm một bước này có thể khiến toàn bộ lịch khai trương bị lùi.
• Đánh giá thấp yêu cầu về điện: cam kết cấp điện của địa phương cần được cụ thể hóa bằng văn bản trong quá trình chấp thuận đầu tư, tránh tình trạng "có đất nhưng không có điện".
• Hợp đồng với khách hàng thiếu điều khoản bảo vệ dữ liệu cá nhân: từ 01/01/2026, mọi hợp đồng colocation/cloud nên có thỏa thuận bảo vệ dữ liệu cá nhân phân định rõ trách nhiệm giữa bên kiểm soát và bên xử lý.
• Nhầm lẫn giữa "lưu trữ dữ liệu tại Việt Nam" tự nguyện và bị yêu cầu: chủ động có phương án lưu trữ trong nước giúp doanh nghiệp không bị động khi nhận quyết định yêu cầu của Bộ Công an.
• Không theo dõi văn bản hướng dẫn mới: khung pháp lý data center đang trong giai đoạn hoàn thiện nhanh (Luật Đầu tư 2025, Nghị định 96/2026/NĐ-CP, Luật Công nghiệp công nghệ số) — tiêu chí "trung tâm dữ liệu lớn", danh mục công nghệ chiến lược có thể được làm rõ thêm bằng văn bản dưới luật trong thời gian tới.

10. Câu hỏi thường gặp

Đầu tư data center tại Việt Nam có phải đăng ký cung cấp dịch vụ viễn thông không?

Có. Theo khoản 1 Điều 44 Nghị định 163/2024/NĐ-CP, trước khi cung cấp dịch vụ trung tâm dữ liệu, doanh nghiệp phải thực hiện đăng ký và được cấp Giấy chứng nhận đăng ký cung cấp dịch vụ viễn thông. Điều kiện gồm: có Giấy chứng nhận đăng ký doanh nghiệp hoặc Giấy chứng nhận đăng ký đầu tư, và có phương án kỹ thuật phù hợp với quy hoạch hạ tầng thông tin và truyền thông, tiêu chuẩn, quy chuẩn kỹ thuật, bảo đảm an toàn cơ sở hạ tầng viễn thông, an toàn thông tin mạng và an ninh thông tin. Quy định này có hiệu lực từ ngày 01/01/2025.

Nhà đầu tư nước ngoài có được đầu tư 100% vốn vào trung tâm dữ liệu tại Việt Nam không?

Khung pháp luật viễn thông hiện hành không đặt giới hạn tỷ lệ sở hữu nước ngoài riêng cho dịch vụ trung tâm dữ liệu như một số dịch vụ viễn thông có hạ tầng mạng. Tuy nhiên, dự án phải tuân thủ toàn bộ khung pháp lý: đăng ký đầu tư theo Luật Đầu tư 2025, đăng ký cung cấp dịch vụ viễn thông theo Nghị định 163/2024/NĐ-CP, và các nghĩa vụ về bảo vệ dữ liệu cá nhân, an ninh mạng. Tỷ lệ sở hữu cụ thể còn phụ thuộc cam kết quốc tế của Việt Nam và ngành nghề đăng ký kèm theo.

Trung tâm dữ liệu có được hưởng ưu đãi đầu tư không?

Có, và đây là một trong những điểm hấp dẫn nhất. Đầu tư xây dựng hạ tầng trung tâm dữ liệu lớn, hạ tầng điện toán đám mây trong lĩnh vực công nghệ chiến lược theo quyết định của Thủ tướng Chính phủ đã được bổ sung vào ngành nghề ưu đãi đầu tư (khoản 1 Điều 6 Luật 90/2025/QH15). Luật Công nghiệp công nghệ số 71/2025/QH15 (Điều 21) xác định đầu tư xây dựng hạ tầng công nghiệp công nghệ số, trong đó có trung tâm dữ liệu, là ngành nghề đặc biệt ưu đãi đầu tư. Với dự án quy mô lớn (từ 3.000 tỷ đồng, giải ngân tối thiểu 1.000 tỷ đồng trong 03 năm), nhà đầu tư có thể xem xét cơ chế ưu đãi, hỗ trợ đầu tư đặc biệt theo Điều 21 Nghị định 96/2026/NĐ-CP.

Luật Bảo vệ dữ liệu cá nhân 2026 tác động thế nào đến nhà khai thác data center?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, cùng Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP. Nhà khai thác trung tâm dữ liệu thường đóng vai trò bên xử lý dữ liệu (hoặc bên kiểm soát, tùy mô hình) nên phải: giao kết thỏa thuận bảo vệ dữ liệu cá nhân với khách hàng là bên kiểm soát; chỉ định bộ phận hoặc cá nhân phụ trách bảo vệ dữ liệu cá nhân; áp dụng biện pháp kỹ thuật bảo vệ dữ liệu phù hợp; tuân thủ quy định riêng với xử lý dữ liệu lớn, trí tuệ nhân tạo và điện toán đám mây. Vi phạm có thể bị xử phạt nghiêm khắc theo quy định của Luật và văn bản hướng dẫn.

Doanh nghiệp nước ngoài cung cấp dịch vụ data center qua biên giới vào Việt Nam có phải đăng ký không?

Có nghĩa vụ thông báo. Theo Điều 45 Nghị định 163/2024/NĐ-CP, tổ chức nước ngoài cung cấp dịch vụ trung tâm dữ liệu, dịch vụ điện toán đám mây qua biên giới đến người sử dụng dịch vụ trên lãnh thổ Việt Nam phải thực hiện thông báo cung cấp dịch vụ viễn thông. Điểm thuận lợi là hạn chế "cung cấp qua biên giới phải thông qua thỏa thuận thương mại với doanh nghiệp viễn thông Việt Nam" không áp dụng đối với dịch vụ trung tâm dữ liệu và điện toán đám mây. Ngoài ra, cần lưu ý nghĩa vụ lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện theo Điều 19 Nghị định 333/2026/NĐ-CP (hướng dẫn Luật An ninh mạng 116/2025/QH15, hiệu lực 19/8/2026) khi có quyết định yêu cầu của Bộ trưởng Bộ Công an; đồng thời tuân thủ nghĩa vụ xác thực tài khoản và xử lý nội dung vi phạm trong 3–24 giờ theo Điều 16 của Nghị định này.

Kết luận

Đầu tư data center tại Việt Nam là cuộc chơi của những nhà đầu tư có tầm nhìn dài hạn và sự chuẩn bị pháp lý kỹ lưỡng: khung ưu đãi thuộc loại hấp dẫn nhất trong chính sách thu hút FDI hiện nay (ngành nghề đặc biệt ưu đãi đầu tư, gói hỗ trợ đầu tư đặc biệt cho dự án quy mô lớn), nhưng đi kèm là bộ nghĩa vụ tuân thủ nhiều lớp — từ đăng ký cung cấp dịch vụ viễn thông, bảo vệ dữ liệu cá nhân theo Luật mới, đến an ninh mạng và các yêu cầu kỹ thuật về điện, PCCC, môi trường.

Với kinh nghiệm tư vấn cho nhà đầu tư nước ngoài trong các dự án hạ tầng công nghệ, đội ngũ luật sư của chúng tôi đồng hành cùng nhà đầu tư từ giai đoạn cấu trúc dự án, xin chấp thuận đầu tư, đăng ký dịch vụ viễn thông, đàm phán ưu đãi, đến xây dựng khung tuân thủ dữ liệu và vận hành dài hạn.

Liên hệ tư vấn: 0988424851 — FLAT LAW FIRM, đối tác pháp lý tin cậy của nhà đầu tư công nghệ tại Việt Nam.

—