English
RSS
Việc lưu trữ dữ liệu người sử dụng dịch vụ là một nội dung được quy định tại Nghị định 333/2026/NĐ-CP. Vậy doanh nghiệp trong nước phải lưu trữ những dữ liệu nào tại Việt Nam theo quy định về an ninh mạng?
- 1. Doanh nghiệp trong nước phải lưu trữ những dữ liệu nào tại Việt Nam theo quy định về an ninh mạng?
- 2. Doanh nghiệp không thu thập đầy đủ các loại dữ liệu phải lưu trữ thì thực hiện thế nào?
- 3. Doanh nghiệp có được tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam không?
- 4. Thời gian lưu trữ dữ liệu tại Việt Nam là bao lâu?
- 5. Nhật ký hệ thống phải lưu trữ những thông tin nào?
1. Doanh nghiệp trong nước phải lưu trữ những dữ liệu nào tại Việt Nam theo quy định về an ninh mạng?
Theo khoản 1 và khoản 2 Điều 19 Nghị định 333/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng, doanh nghiệp trong nước phải lưu trữ tại Việt Nam thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.
Nhóm dữ liệu thứ hai gồm tên tài khoản, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng IP đăng nhập, đăng xuất gần nhất và số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu.
Cụ thể, khoản 1 Điều 19 Nghị định 333/2026/NĐ-CP quy định các dữ liệu phải lưu trữ tại Việt Nam gồm:
- Thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;
- Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng IP đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu.
Về trách nhiệm thực hiện, khoản 2 Điều 19 Nghị định 333/2026/NĐ-CP quy định:
“Doanh nghiệp trong nước lưu trữ dữ liệu quy định tại khoản 1 Điều này tại Việt Nam.”
Để xác định phạm vi người sử dụng dịch vụ, khoản 1 và khoản 2 Điều 3 Nghị định 333/2026/NĐ-CP giải thích:
- Người sử dụng dịch vụ là tổ chức, cá nhân tham gia sử dụng dịch vụ trên không gian mạng.
- Người sử dụng dịch vụ tại Việt Nam là tổ chức, cá nhân sử dụng dịch vụ không gian mạng trên lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam.
Theo đó, các nhóm dữ liệu tại khoản 1 Điều 19 được xác định gắn với người sử dụng dịch vụ tại Việt Nam theo phạm vi nêu trên.
2. Doanh nghiệp không thu thập đầy đủ các loại dữ liệu phải lưu trữ thì thực hiện thế nào?
Khoản 4 Điều 19 Nghị định 333/2026/NĐ-CP quy định cách thực hiện trong trường hợp dữ liệu doanh nghiệp đang thu thập, khai thác, phân tích, xử lý không đầy đủ so với danh mục phải lưu trữ tại Việt Nam:
“Trường hợp dữ liệu do doanh nghiệp thu thập, khai thác, phân tích, xử lý không đầy đủ theo quy định tại khoản 1 Điều này, doanh nghiệp phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xác nhận và tiến hành lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý.”
Như vậy, đối với trường hợp này, nội dung doanh nghiệp phải thực hiện là phối hợp xác nhận và lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý.
Theo đó, trách nhiệm khi doanh nghiệp thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu thuộc danh mục phải lưu trữ được quy định như sau:
“Trường hợp doanh nghiệp tiến hành thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu theo quy định tại khoản 1 Điều này, doanh nghiệp có trách nhiệm phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để bổ sung, thông báo công khai cho người sử dụng và cập nhật danh sách dữ liệu phải lưu trữ tại Việt Nam.”
Trách nhiệm này bao gồm việc phối hợp bổ sung, thông báo công khai cho người sử dụng và cập nhật danh sách dữ liệu phải lưu trữ tại Việt Nam khi phát sinh việc xử lý bổ sung các loại dữ liệu thuộc phạm vi quy định.
3. Doanh nghiệp có được tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam không?
Theo khoản 5 Điều 19 Nghị định 333/2026/NĐ-CP, doanh nghiệp được tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam, đồng thời phải đáp ứng các yêu cầu về truy xuất, cung cấp dữ liệu và an toàn thông tin:
“Hình thức lưu trữ dữ liệu tại Việt Nam do doanh nghiệp tự quyết định, đảm bảo khả năng truy xuất, cung cấp kịp thời khi có yêu cầu của cơ quan có thẩm quyền và đảm bảo an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.”
Ngoài yêu cầu về hình thức lưu trữ, khoản 3 Điều 15 Nghị định 333/2026/NĐ-CP đặt ra nguyên tắc đối với việc xử lý thông tin, dữ liệu trong quá trình cung cấp dịch vụ trên không gian mạng:
“Việc thu thập, lưu trữ, xử lý, sử dụng và cung cấp thông tin, dữ liệu trong quá trình cung cấp dịch vụ trên không gian mạng phải tuân thủ quy định của pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và các quy định khác có liên quan của pháp luật Việt Nam.”
Do đó, quyền tự quyết định hình thức lưu trữ được thực hiện cùng với các yêu cầu bảo đảm khả năng truy xuất, cung cấp kịp thời và an toàn thông tin theo quy định.
4. Thời gian lưu trữ dữ liệu tại Việt Nam là bao lâu?
Khoản 1 Điều 20 Nghị định 333/2026/NĐ-CP quy định thời điểm bắt đầu, kết thúc và thời gian lưu trữ tối thiểu đối với dữ liệu như sau:
“Thời gian lưu trữ dữ liệu theo quy định tại Điều 19 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu đến khi kết thúc yêu cầu. Thời gian lưu trữ tối thiểu là 24 tháng.”
Theo quy định này, thời gian lưu trữ tối thiểu là 24 tháng. Thời gian lưu trữ được tính từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu đến khi kết thúc yêu cầu.
Đối với nhật ký hệ thống phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng, khoản 3 Điều 20 Nghị định 333/2026/NĐ-CP quy định thời gian lưu trữ tối thiểu là 12 tháng. Đây là thời hạn được quy định riêng cho nhật ký hệ thống.
5. Nhật ký hệ thống phải lưu trữ những thông tin nào?
Theo khoản 1 Điều 16 Nghị định 333/2026/NĐ-CP, doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam phải thực hiện các hoạt động bảo đảm an ninh thông tin mạng tại Điều này.
Trong đó, khoản 6 Điều 16 quy định hoạt động lưu trữ và quản lý nhật ký hệ thống bao gồm:
- Lưu trữ và quản lý nhật ký hệ thống phục vụ công tác quản lý nhà nước, bảo đảm an ninh thông tin mạng và xử lý hành vi vi phạm pháp luật;
- Nhật ký hệ thống phải bao gồm tối thiểu các thông tin về tài khoản người sử dụng dịch vụ, thời gian đăng nhập, đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập, đăng xuất và nhật ký xử lý thông tin được đăng tải;
- Thời gian lưu trữ nhật ký hệ thống phải bảo đảm có thể truy xuất dữ liệu ít nhất trong vòng 12 tháng, đáp ứng yêu cầu xác minh, điều tra, xử lý hành vi vi phạm pháp luật.
Như vậy, ngoài hai nhóm dữ liệu phải lưu trữ tại Việt Nam theo Điều 19, doanh nghiệp cung cấp các dịch vụ thuộc phạm vi khoản 1 Điều 16 còn phải thực hiện hoạt động lưu trữ, quản lý nhật ký hệ thống với các thông tin tối thiểu và khả năng truy xuất theo quy định trên.
Về việc chấp hành, khoản 8 Điều 19 Nghị định 333/2026/NĐ-CP quy định doanh nghiệp không chấp hành quy định tại Điều này thì tùy theo tính chất, mức độ vi phạm mà bị xử lý theo quy định của pháp luật.
Trên đây là nội dung về “Doanh nghiệp trong nước phải lưu trữ những dữ liệu nào tại Việt Nam theo quy định về an ninh mạng?”. Bạn đọc có thể xem chi tiết Nghị định 333/2026/NĐ-CP trên LuatVietnam.vn cùng các thông tin về tình trạng hiệu lực, lược đồ và văn bản liên quan.
