Lưu Trữ Dữ Liệu Tại Việt Nam Và Đặt Chi Nhánh/Văn Phòng Đại Diện Theo Luật An Ninh Mạng 2025: Quy Định Và Những Lưu Ý Doanh Nghiệp Cần Biết

Trong bối cảnh chuyển đổi số, dữ liệu ngày càng đóng vai trò quan trọng trong hoạt động của doanh nghiệp và sự vận hành của nền kinh tế. Cùng với sự phát triển của các nền tảng số và dịch vụ xuyên biên giới, việc thu thập, xử lý và lưu trữ dữ liệu trên không gian mạng đặt ra yêu cầu ngày càng cao về bảo đảm an toàn thông tin và an ninh mạng. Tại Việt Nam, các yêu cầu này từng bước được hoàn thiện thông qua Luật An toàn thông tin mạng số 86/2015/QH13 (“Luật An toàn thông tin mạng 2015”), Luật An ninh mạng số 24/2018/QH14 (“Luật An ninh mạng 2018”) và Luật An ninh mạng số 116/2025/QH15 (“Luật An ninh mạng 2025”), cùng các văn bản hướng dẫn thi hành.

Luật An ninh mạng 2018 đã đặt ra yêu cầu về lưu trữ một số loại dữ liệu tại Việt Nam và đặt ra nghĩa vụ thành lập chi nhánh hoặc văn phòng đại diện tại Việt Nam đối với doanh nghiệp nước ngoài trong một số trường hợp; các quy định này được hướng dẫn tại Nghị định số 53/2022/NĐ-CP. Trên cơ sở đó, Luật An ninh mạng 2025 tiếp tục kế thừa những quy định về lưu trữ dữ liệu tại Việt Nam và nghĩa vụ đặt chi nhánh hoặc văn phòng đại diện đối với doanh nghiệp nước ngoài thuộc phạm vi áp dụng.

Bài viết dưới đây cung cấp một số quy định và những vấn đề doanh nghiệp cần lưu ý về nghĩa vụ lưu trữ dữ liệu tại Việt Nam theo Luật An ninh mạng năm 2025.

1. Nghĩa Vụ Lưu Trữ Dữ Liệu

Chủ thể có nghĩa vụ lưu trữ dữ liệu

Theo quy định của Luật An ninh mạng năm 2025, nghĩa vụ lưu trữ dữ liệu được áp dụng đối với cả doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam . Đây là điểm đáng lưu ý bởi phạm vi chủ thể thực hiện nghĩa vụ không chỉ giới hạn ở các doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam, mà còn bao gồm các doanh nghiệp nước ngoài cung cấp dịch vụ cho người sử dụng tại Việt Nam.

Loại dữ liệu cần lưu trữ

Các dữ liệu mà các doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện lưu trữ bao gồm:

1. Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ.
2. Dữ liệu do người sử dụng dịch vụ tạo ra, bao gồm: tên tài khoản, thời gian sử dụng dịch vụ, thông tin thanh toán phí sử dụng dịch vụ, địa chỉ IP truy cập và các dữ liệu liên quan khác trong thời gian gần nhất sau khi người dùng kết thúc việc sử dụng dịch vụ.
3. Nhật ký hệ thống về việc ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm Luật An ninh mạng.

Địa điểm và hình thức lưu trữ dữ liệu

Trừ trường hợp các dữ liệu thuộc đối tượng dữ liệu phải được lưu trữ tại Việt Nam như được đề cập tại bài viết này, các dữ liệu khác có thể được lựa chọn địa điểm và hình thức lưu trữ theo nhu cầu của doanh nghiệp nhưng đảm bảo khả năng truy xuất và cung cấp thông tin kịp thời cho cơ quan có thẩm quyền khi có yêu cầu, và phù hợp với quy định của Luật Bảo vệ dữ liệu cá nhân và các quy định khác có liên quan.

Trách nhiệm của bên lưu trữ dữ liệu

Doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp cung cấp dịch vụ trên mạng viễn thông, mạng Internet có trách nhiệm sau:

• Cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an chậm nhất là 24 giờ kể từ thời điểm có yêu cầu bằng văn bản hoặc thư điện tử, điện thoại hoặc hình thức trao đổi khác đã được xác nhận để phục vụ xác minh, điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia, đe dọa tính mạng con người, yêu cầu cung cấp thông tin chậm nhất là 03 giờ;
• Lưu nhật ký hệ thống về việc ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm Luật An ninh mạng để phục vụ xác minh, điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng trong thời gian theo quy định của pháp luật.

2. Nghĩa vụ lưu trữ dữ liệu tại Việt Nam

Không phải bất kỳ trường hợp nào doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam cũng có thể lựa chọn địa điểm lưu trữ dữ liệu ở nước ngoài. Đối với một số loại dữ liệu, các chủ thể khi đáp ứng một số tiêu chí nhất định phải tiến hành lưu trữ dữ liệu tại Việt Nam. Cụ thể như sau:

Chủ thể có nghĩa vụ lưu trữ dữ liệu tại Việt Nam

Doanh nghiệp Việt Nam

Doanh nghiệp Việt Nam khi đáp ứng hai điều kiện sau sẽ phải thực hiện việc lưu trữ các loại dữ liệu theo quy định tại Việt Nam. Cụ thể :

• Doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam; và
• Có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.

Doanh nghiệp nước ngoài

Hiện nay, Luật An ninh mạng năm 2018 và Nghị định 53/2022/NĐ-CP hướng dẫn thi hành Luật An ninh mạng năm 2018 đã hết hiệu lực. Nghị định 333/2026/NĐ-CP hướng dẫn thi hành Luật An ninh mạng năm 2025 vừa được ban hành vào ngày 19/08/2026 (“Nghị định 333/2026/NĐ-CP”). Điểm a khoản 3 Điều 19 Nghị định 333/2026/NĐ-CP đã quy định cụ thể các tiêu chí mà khi đáp ứng doanh nghiệp nước ngoài phải lưu trữ dữ liệu tại Việt Nam. Cụ thể:

(i) Doanh nghiệp nước ngoài có hoạt động kinh doanh tại Việt Nam thuộc một trong những lĩnh vực sau:

• Dịch vụ viễn thông;
• Lưu trữ, chia sẻ dữ liệu trên không gian mạng;
• Cung cấp tên miền quốc gia hoặc quốc tế cho người sử dụng dịch vụ tại Việt Nam;
• Thương mại điện tử;
• Thanh toán trực tuyến;
• Trung gian thanh toán;
• Dịch vụ kết nối vận chuyển qua không gian mạng;
• Mạng xã hội và truyền thông xã hội;
• Trò chơi điện tử trên mạng;
• Ứng dụng trực tuyến; hoặc
• Dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng dưới dạng tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến.

(ii) Dịch vụ do doanh nghiệp cung cấp bị sử dụng thực hiện hành vi vi phạm pháp luật về an ninh mạng; và

(iii) Đã được Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an thông báo và có yêu cầu phối hợp, ngăn chặn, điều tra, xử lý bằng văn bản sau 03 lần, tối đa 6 tháng nhưng doanh nghiệp nước ngoài không có giải pháp khắc phục, không chấp hành, chấp hành không đầy đủ hoặc ngăn chặn, cản trở, vô hiệu hóa, làm mất tác dụng của biện pháp bảo vệ an ninh mạng do lực lượng chuyên trách bảo vệ an ninh mạng thực hiện.

Như vậy, khi đáp ứng 3 tiêu chí nói trên, doanh nghiệp nước ngoài phải lưu trữ các loại dữ liệu và đặt văn phòng đại diện/chi nhánh tại Việt Nam theo yêu cầu của cơ quan có thẩm quyền.

Loại dữ liệu phải lưu trữ tại Việt Nam

Khoản 1 Điều 19 Nghị định 333/2026/NĐ-C quy định về loại dữ liệu phải lưu trữ tại Việt Nam có nội dung tương đồng với khoản 1 Điều 26 Nghị định 53/2022/NĐ-CP. Cụ thể các dữ liệu phải lưu trữ tại Việt Nam bao gồm:

1. Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ.
2. Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng (IP) đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu.
3. Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam: bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác.

Hình thức lưu trữ

Trước đây, theo quy định tại khoản 5 Điều 26 Nghị định 53/2022/NĐ-CP, hình thức lưu trữ dữ liệu do doanh nghiệp tự quyết định. Tuy nhiên, Nghị định 333/2026/NĐ-CP đã có một số sửa đổi bổ sung. Cụ thể theo quy định tại khoản 5 Điều 19 Nghị định 333/2026/NĐ-CP, hình thức lưu trữ dữ liệu tại Việt Nam do doanh nghiệp tự quyết định, đảm bảo khả năng truy xuất, cung cấp kịp thời khi có yêu cầu của cơ quan có thẩm quyền và đảm bảo an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.

Như vậy, mặc dù doanh nghiệp vẫn được chủ động lựa chọn hình thức lưu trữ dữ liệu phù hợp với hoạt động của mình, hình thức lưu trữ phải bảo đảm dữ liệu có thể được truy xuất và cung cấp kịp thời khi cơ quan có thẩm quyền yêu cầu, đồng thời đáp ứng các tiêu chuẩn, quy chuẩn kỹ thuật quốc gia về an toàn thông tin. Trường hợp không đáp ứng các yêu cầu này, doanh nghiệp có thể bị xử lý theo quy định pháp luật tùy theo tính chất và mức độ vi phạm.

Thời gian lưu trữ

Theo quy định tại Điều 20 Nghị định 333/2026/NĐ-CP và khoản 1 Điều 27 Nghị định 53/2022/NĐ-CP, thời gian lưu trữ các loại dữ liệu được xác định như sau:

Tối thiểu 24 tháng kể từ thời điểm tiếp nhận yêu cầu lưu trữ dữ liệu:

• Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam.
• Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng (IP) đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu.
• Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam: bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác.

Tối thiểu 12 tháng: Nhật ký hệ thống về việc ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm Luật An ninh mạng để phục vụ điều tra, xử lý hành vi vi phạm pháp luật.

3. Đặt Chi Nhánh/Văn Phòng Đại Diện Tại Việt Nam Đối Với Doanh Nghiệp Nước Ngoài

Quy trình cơ quan nhà nước yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện của doanh nghiệp nước ngoài tại Việt Nam

Như được đề cập ở trên, các doanh nghiệp nước ngoài đáp ứng 3 tiêu chí theo mục a khoản 3 Điều 19 Nghị định 333/2026/NĐ-CP phải thực hiện việc lưu trữ dữ liệu và đặt chi nhánh/văn phòng đại diện tại Việt Nam theo yêu cầu của cơ quan có thẩm quyền. Quy trình để cơ quan có thẩm quyền yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện được thực hiện như sau:

Bước 1: Bộ trưởng Bộ Công an ra quyết định yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Bước 2: Lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an thông báo, hướng dẫn, theo dõi, giám sát, đôn đốc doanh nghiệp thực hiện yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam; đồng thời, thông báo cho các cơ quan liên quan để thực hiện chức năng quản lý nhà nước theo thẩm quyền;

Bước 3: Trong thời hạn 12 tháng kể từ ngày Bộ trưởng Bộ Công an ra quyết định, các doanh nghiệp nước ngoài đáp ứng đủ 3 tiêu chí trên phải hoàn thành lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Thủ tục thành lập chi nhánh, văn phòng đại diện tại Việt Nam để lưu trữ dữ liệu

Trình tự, thủ tục đặt chi nhánh hoặc văn phòng đại diện của doanh nghiệp nước ngoài tại Việt Nam được thực hiện theo các quy định của pháp luật về kinh doanh, thương mại, doanh nghiệp và các quy định khác có liên quan. Hiện nay, thủ tục lập chi nhánh hoặc văn phòng đại diện thương nhân nước ngoài được thực hiện theo Nghị định 07/2016/NĐ-CP quy định chi tiết Luật Thương mại về Văn phòng đại diện, Chi nhánh của thương nhân nước ngoài tại Việt Nam sửa đổi, bổ sung bởi Nghị định 146/2025/NĐ-CP.

Thời gian đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam để lưu trữ dữ liệu

Thời gian đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đối với các doanh nghiệp nước ngoài đáp ứng 3 tiêu chí trên bắt đầu từ khi doanh nghiệp nhận được yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đến khi doanh nghiệp không còn hoạt động tại Việt Nam hoặc dịch vụ được quy định không còn cung cấp tại Việt Nam.

4. Kết luận

Nhìn chung, các quy định về nghĩa vụ lưu trữ dữ liệu của Luật An ninh mạng 2025 yêu cầu doanh nghiệp cần chủ động rà soát loại dữ liệu được thu thập, xử lý và phương thức lưu trữ để thực hiện đúng trách nhiệm của mình. Đặc biệt, đối với doanh nghiệp nước ngoài chưa thuộc trường hợp phải lưu trữ dữ liệu tại Việt Nam, doanh nghiệp vẫn cần bảo đảm khả năng truy xuất và cung cấp thông tin cho cơ quan có thẩm quyền trong thời hạn rất ngắn: chậm nhất 24 giờ kể từ khi nhận được yêu cầu, và chỉ 03 giờ trong trường hợp khẩn cấp.

Do đó, doanh nghiệp cần đánh giá toàn diện các loại dữ liệu thu thập, địa điểm và hình thức lưu trữ, khả năng truy xuất và thời hạn cung cấp dữ liệu, cũng như phương án tuân thủ trong trường hợp phát sinh yêu cầu lưu trữ dữ liệu tại Việt Nam. Việc chủ động rà soát và xây dựng cơ chế lưu trữ, cung cấp dữ liệu phù hợp sẽ giúp doanh nghiệp hạn chế rủi ro vi phạm và bảo đảm khả năng tuân thủ các yêu cầu mới của pháp luật về an ninh mạng.

Về Tác giả & Hệ sinh thái: Bài viết được bảo trợ pháp lý bởi CDLAF và chuyên môn từ CFT Solutions – công ty chuyên cung cấp các dịch vụ Tài chính – Thuế – Kế toán. Chúng tôi mang đến giải pháp quản trị toàn diện, giúp doanh nghiệp kiểm soát rủi ro và tối ưu nguồn lực.

📩 ĐẶT LỊCH TƯ VẤN CÙNG ĐỘI NGŨ LUẬT SƯ CDLAF

Đừng để những sai sót thủ tục làm gián đoạn kế hoạch kinh doanh. Liên hệ ngay với CDLAF để nhận đánh giá rủi ro sơ bộ từ đội ngũ Luật sư và Chuyên gia Pháp lý Thương mại Điện tử:

Hotline/Zalo: [+84 909 668 216]

Email: info@cdlaf.vn

Bạn có thể tham thảo thêm:

• Điều Chuyển Người Lao Động Làm Công Việc Khác: Những Lưu Ý Doanh Nghiệp Cần Biết
• Xử Lý Kỷ Luật Lao Động Đúng Quy Định: Quy Trình Và Những Lưu ý Doanh Nghiệp Cần Biết
• Thỏa Thuận Không Cạnh Tranh Trong Quan Hệ Lao Động: Hợp Pháp Hay Không?
• Thiệt Hại “Nghiêm Trọng” Trong Xử Lý Kỷ Luật Sa Thải Được Xác Định Như Thế Nào?