Câu hỏi fintech có phải đặt máy chủ tại Việt Nam hay không không có đáp án một chữ, vì nghĩa vụ lưu trữ dữ liệu trong nước đến từ hai hệ thống khác nhau với đối tượng khác nhau. Luật An ninh mạng áp nghĩa vụ lưu trữ tại Việt Nam cho một nhóm nhà cung cấp dịch vụ xác định, còn Luật Bảo vệ dữ liệu cá nhân điều tiết việc chuyển dữ liệu ra nước ngoài bằng cơ chế đánh giá tác động. Đặt hai hệ thống này chồng lên hoạt động của một công ty fintech mới cho ra nghĩa vụ thật phải tuân thủ.
Lớp thứ nhất: lưu trữ tại Việt Nam theo Luật An ninh mạng
Điều 26 Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP quy định doanh nghiệp cung cấp các dịch vụ trên không gian mạng thuộc nhóm luật định, như dịch vụ viễn thông, lưu trữ và chia sẻ thông tin, phải lưu trữ tại Việt Nam một số loại dữ liệu nhất định, gồm dữ liệu về thông tin cá nhân của người dùng tại Việt Nam, dữ liệu về quan hệ của người dùng và dữ liệu do người dùng tạo ra. Nhóm doanh nghiệp nước ngoài thuộc diện này còn có thể phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Với fintech, việc có rơi vào nhóm phải lưu trữ tại Việt Nam hay không phụ thuộc vào dịch vụ cụ thể mà công ty cung cấp và dữ liệu công ty xử lý. Một ví điện tử hoặc nền tảng có cộng đồng người dùng và nội dung do người dùng tạo ra có nguy cơ thuộc diện cao hơn một công ty phần mềm bán giải pháp cho ngân hàng theo hợp đồng gia công. Việc phân loại này phải được thực hiện bằng ý kiến pháp lý trên mô hình kinh doanh cụ thể, không thể suy đoán từ nhãn fintech.
Lớp thứ hai: chuyển dữ liệu ra nước ngoài theo luật dữ liệu cá nhân
Ngay cả khi không thuộc diện lưu trữ tại Việt Nam theo Luật An ninh mạng, công ty fintech vẫn phải tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP khi chuyển dữ liệu cá nhân của người dùng Việt Nam ra nước ngoài, bao gồm việc đặt dữ liệu trên hạ tầng đám mây ở nước ngoài. Nghĩa vụ trung tâm là lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi cơ quan chuyên trách theo quy định, kèm các biện pháp bảo vệ dữ liệu tương xứng.
Ngoài hai lớp trên, dữ liệu giao dịch tài chính còn chịu yêu cầu lưu trữ chứng từ và dữ liệu phục vụ phòng chống rửa tiền, kiểm toán và giải quyết tranh chấp theo khung ngân hàng. Một kiến trúc dữ liệu khả thi thường là kiến trúc lai: dữ liệu thuộc diện bắt buộc và dữ liệu nhạy cảm đặt tại Việt Nam, dữ liệu phân tích đã ẩn danh hoặc giảm định danh mới được xử lý ở nước ngoài theo hồ sơ đánh giá tác động đã lập.
Chế tài và cách thiết kế tuân thủ từ đầu
Vi phạm nghĩa vụ lưu trữ và chuyển dữ liệu có thể dẫn tới xử phạt hành chính theo khung an ninh mạng và bảo vệ dữ liệu cá nhân, yêu cầu dừng chuyển dữ liệu ra nước ngoài, và trong trường hợp nghiêm trọng là ảnh hưởng tới khả năng tiếp tục cung cấp dịch vụ. Với fintech đang gọi vốn, hồ sơ tuân thủ dữ liệu cũng là hạng mục bị nhà đầu tư thẩm định ngày càng kỹ, nên vi phạm ở lớp này có chi phí vượt xa tiền phạt.
Thiết kế tuân thủ nên bắt đầu bằng bản đồ dữ liệu: liệt kê mọi loại dữ liệu công ty thu thập, nơi lưu trữ hiện tại, luồng chuyển ra nước ngoài và căn cứ pháp lý của từng luồng. Từ bản đồ đó, công ty quyết định phần dữ liệu nào chuyển về lưu trữ tại Việt Nam, phần nào lập hồ sơ đánh giá tác động chuyển dữ liệu, và cập nhật chính sách bảo mật cùng hợp đồng với nhà cung cấp hạ tầng tương ứng. Làm bản đồ dữ liệu sau khi hệ thống đã vận hành luôn tốn kém gấp nhiều lần làm từ giai đoạn thiết kế.
Câu hỏi thường gặp
Công ty fintech có phải lưu trữ dữ liệu tại Việt Nam không?
Phụ thuộc vào dịch vụ cụ thể. Doanh nghiệp cung cấp dịch vụ thuộc nhóm quy định tại Điều 26 Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP phải lưu trữ tại Việt Nam dữ liệu về thông tin cá nhân người dùng tại Việt Nam, quan hệ người dùng và dữ liệu do người dùng tạo ra. Fintech thuần cung cấp phần mềm cho ngân hàng theo hợp đồng dịch vụ có thể không thuộc nhóm này, nhưng phải phân loại bằng đánh giá pháp lý trên mô hình cụ thể.
Dữ liệu nào bắt buộc lưu trong nước?
Các loại dữ liệu trọng tâm gồm dữ liệu thông tin cá nhân của người dùng dịch vụ tại Việt Nam, dữ liệu về các quan hệ của người dùng trên dịch vụ và dữ liệu do người dùng tạo ra, theo Điều 26 Luật An ninh mạng 24/2018/QH14. Với hoạt động tài chính, dữ liệu giao dịch và hồ sơ khách hàng còn phải lưu trữ theo yêu cầu của khung ngân hàng và phòng chống rửa tiền, độc lập với lớp an ninh mạng.
Lưu trên cloud nước ngoài có được không?
Được nhưng có điều kiện. Đặt dữ liệu trên đám mây nước ngoài là một hình thức chuyển dữ liệu cá nhân ra nước ngoài, phải tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, gồm việc lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài khi thuộc diện quy định. Phần dữ liệu thuộc diện lưu trữ bắt buộc tại Việt Nam theo Luật An ninh mạng thì không thể chỉ đặt ở nước ngoài.
Vi phạm thì bị phạt thế nào?
Vi phạm có thể bị xử phạt hành chính theo khung an ninh mạng và bảo vệ dữ liệu cá nhân, bị yêu cầu chấm dứt việc chuyển dữ liệu không hợp lệ ra nước ngoài và phải khắc phục kiến trúc lưu trữ. Với doanh nghiệp nước ngoài thuộc diện phải đặt hiện diện tại Việt Nam mà không thực hiện, biện pháp xử lý có thể ảnh hưởng trực tiếp tới việc cung cấp dịch vụ. Chi phí khắc phục sau khi bị phát hiện luôn cao hơn chi phí thiết kế đúng từ đầu.
Kết luận cho kiến trúc sư dữ liệu fintech
Nghĩa vụ lưu trữ dữ liệu của fintech tại Việt Nam là tổng của hai lớp an ninh mạng và dữ liệu cá nhân, cộng thêm yêu cầu lưu trữ của khung ngân hàng. Câu trả lời đúng cho từng công ty chỉ xuất hiện sau khi có bản đồ dữ liệu; mọi khẳng định có hoặc không khi chưa có bản đồ đó đều là đoán mò có rủi ro.