“Công ty tôi có website, app phục vụ khách hàng Việt Nam — có bắt buộc phải đặt máy chủ tại Việt Nam không?” Đây là câu hỏi mà hầu hết doanh nghiệp công nghệ đều đặt ra khi nghe tới nghĩa vụ “lưu trữ dữ liệu tại Việt Nam”. Câu trả lời theo Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP có thể khiến nhiều người bất ngờ: không phải doanh nghiệp nào cũng phải lưu trữ — nghĩa vụ chỉ phát sinh khi có quyết định của Bộ trưởng Bộ Công an.
1. Căn cứ pháp lý
- Luật An ninh mạng 2018 (24/2018/QH14, hiệu lực 01/01/2019), khoản 3 Điều 26: doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên không gian mạng tại Việt Nam, có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra, dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam, phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam — trong các trường hợp quy định;
- Nghị định 53/2022/NĐ-CP (hiệu lực 01/10/2022): quy định chi tiết đối tượng, trình tự, thủ tục (Điều 26, 27).
2. Điểm mấu chốt: nghĩa vụ có điều kiện
Không phải cứ cung cấp dịch vụ trên mạng tại Việt Nam là phải đặt server trong nước. Theo khoản 6 Điều 26 Nghị định 53/2022/NĐ-CP, trình tự như sau:
- Bộ trưởng Bộ Công an ra quyết định yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đối với doanh nghiệp thuộc diện;
- Cục An ninh mạng (A05) thông báo, hướng dẫn, theo dõi, giám sát, đôn đốc doanh nghiệp thực hiện;
- Trong thời hạn 12 tháng kể từ ngày quyết định, doanh nghiệp phải hoàn thành việc lưu trữ dữ liệu và đặt chi nhánh/văn phòng đại diện.
Nói cách khác: đây là nghĩa vụ theo yêu cầu cụ thể (case-by-case), không phải nghĩa vụ tự động áp dụng đại trà.
3. Dữ liệu nào phải lưu trữ, trong bao lâu, bằng hình thức gì?
- Phạm vi dữ liệu: thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam; dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra; dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam;
- Thời gian lưu trữ tối thiểu: 24 tháng (khoản 1 Điều 27 Nghị định 53/2022/NĐ-CP), tính từ khi doanh nghiệp nhận được yêu cầu đến khi kết thúc yêu cầu;
- Hình thức lưu trữ do doanh nghiệp quyết định (khoản 5 Điều 26): thuê trung tâm dữ liệu, dùng vùng cloud đặt tại Việt Nam, đặt máy chủ riêng… — pháp luật không ấn định công nghệ cụ thể;
- Riêng nhật ký hệ thống phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng: lưu tối thiểu 12 tháng.
4. Đừng lẫn với nghĩa vụ của Luật Bảo vệ dữ liệu cá nhân
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) điều chỉnh chuyển dữ liệu cá nhân ra nước ngoài theo cơ chế hồ sơ đánh giá tác động (xem bài hướng dẫn riêng). Đây là nghĩa vụ độc lập với nghĩa vụ lưu trữ dữ liệu tại Việt Nam theo Luật An ninh mạng — một doanh nghiệp hoàn toàn có thể phải tuân thủ cả hai cùng lúc.
5. Câu hỏi thường gặp
Hỏi: Startup Việt Nam dùng AWS Singapore có vi phạm không?
Đáp: Không tự động vi phạm. Nghĩa vụ lưu trữ tại Việt Nam chỉ phát sinh khi doanh nghiệp thuộc diện và nhận được quyết định của Bộ trưởng Bộ Công an. Tuy nhiên, nếu xử lý dữ liệu cá nhân, doanh nghiệp vẫn phải tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (đồng ý, bảo mật, thông báo vi phạm 72 giờ…).
Hỏi: Không chấp hành quyết định lưu trữ thì sao?
Đáp: Tùy tính chất, mức độ vi phạm mà bị xử lý theo quy định của pháp luật (khoản 8 Điều 26 Nghị định 53/2022/NĐ-CP).
Hỏi: Đặt chi nhánh tại Việt Nam có bắt buộc cùng lúc không?
Đáp: Có — quyết định của Bộ trưởng Bộ Công an bao gồm cả hai yêu cầu: lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện, hoàn thành trong cùng thời hạn 12 tháng.
Doanh nghiệp cần đánh giá nghĩa vụ lưu trữ dữ liệu và an ninh mạng của mình? Liên hệ với chúng tôi để được tư vấn.
Bài viết do FLAW AI Legal Council biên soạn. Nội dung đang chờ Hội đồng QA rà soát trước khi trình phê duyệt; thông tin chỉ mang tính tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể của quý vị.