Nghị định 333/2026/NĐ-CP quy định việc lưu trữ dữ liệu tại Việt Nam ra sao?

1. Nghị định 333/2026/NĐ-CP quy định việc lưu trữ dữ liệu tại Việt Nam ra sao?

Theo khoản 1, khoản 2 Điều 19 và khoản 1 Điều 20 Nghị định 333/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng, doanh nghiệp trong nước phải lưu trữ tại Việt Nam thông tin cá nhân và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra. 

Doanh nghiệp nước ngoài thực hiện nghĩa vụ này trong trường hợp được quy định tại khoản 3 Điều 19. Thời gian lưu trữ dữ liệu tính từ khi doanh nghiệp nhận được yêu cầu đến khi kết thúc yêu cầu, tối thiểu là 24 tháng.

Cụ thể, khoản 1 Điều 19 Nghị định 333/2026/NĐ-CP quy định dữ liệu phải lưu trữ tại Việt Nam gồm:

• Thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;
• Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng IP đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu.

Về phạm vi người sử dụng dịch vụ, khoản 1 và khoản 2 Điều 3 Nghị định 333/2026/NĐ-CP giải thích:

• Người sử dụng dịch vụ là tổ chức, cá nhân tham gia sử dụng dịch vụ trên không gian mạng.
• Người sử dụng dịch vụ tại Việt Nam là tổ chức, cá nhân sử dụng dịch vụ không gian mạng trên lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam.

2. Doanh nghiệp trong nước và doanh nghiệp nước ngoài phải lưu trữ dữ liệu trong trường hợp nào?

2.1. Đối với doanh nghiệp trong nước

Khoản 2 Điều 19 Nghị định 333/2026/NĐ-CP quy định:

“Doanh nghiệp trong nước lưu trữ dữ liệu quy định tại khoản 1 Điều này tại Việt Nam.”

Theo đó, dữ liệu thuộc trách nhiệm lưu trữ của doanh nghiệp trong nước là hai nhóm đã nêu tại mục 1, gồm thông tin cá nhân và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.

2.2. Đối với doanh nghiệp nước ngoài

Theo điểm a khoản 3 Điều 19 Nghị định 333/2026/NĐ-CP, doanh nghiệp nước ngoài phải lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam khi thuộc phạm vi và trường hợp sau:

Về lĩnh vực kinh doanh, doanh nghiệp có hoạt động kinh doanh tại Việt Nam thuộc một trong các lĩnh vực:

• Dịch vụ viễn thông;
• Lưu trữ, chia sẻ dữ liệu trên không gian mạng;
• Cung cấp dịch vụ đăng ký, duy trì tên miền cho người sử dụng dịch vụ tại Việt Nam;
• Thương mại điện tử;
• Thanh toán trực tuyến; trung gian thanh toán;
• Dịch vụ kết nối vận chuyển qua không gian mạng;
• Mạng xã hội và truyền thông xã hội;
• Trò chơi điện tử trên mạng;
• Ứng dụng trực tuyến;
• Dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng dưới dạng tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến.

Về trường hợp phát sinh nghĩa vụ, dịch vụ của doanh nghiệp bị sử dụng để thực hiện hành vi vi phạm pháp luật về an ninh mạng. Lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an đã thông báo và yêu cầu phối hợp, ngăn chặn, điều tra, xử lý bằng văn bản sau 03 lần và tối đa 06 tháng nhưng doanh nghiệp vẫn có một trong các hành vi:

• Không có giải pháp khắc phục;
• Không chấp hành yêu cầu;
• Chấp hành không đầy đủ về phạm vi, số lượng từng vấn đề trong văn bản yêu cầu;
• Ngăn chặn, cản trở, vô hiệu hóa hoặc làm mất tác dụng của biện pháp bảo vệ an ninh mạng do lực lượng chuyên trách thực hiện.

Khi thuộc trường hợp trên, doanh nghiệp phải lưu trữ tại Việt Nam các dữ liệu được quy định tại khoản 1 Điều 19, gồm thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra. Đồng thời, doanh nghiệp phải đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam.

Về trường hợp bất khả kháng, điểm b khoản 3 Điều 19 Nghị định 333/2026/NĐ-CP yêu cầu doanh nghiệp nước ngoài không thể chấp hành yêu cầu của pháp luật về an ninh mạng phải thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong vòng 03 ngày làm việc để kiểm tra tính xác thực của việc bất khả kháng. Trong trường hợp này, doanh nghiệp có 25 ngày làm việc để tìm phương án khắc phục.

3. Doanh nghiệp không thu thập đầy đủ các loại dữ liệu phải lưu trữ thì xử lý thế nào?

Theo khoản 4 Điều 19 Nghị định 333/2026/NĐ-CP, việc lưu trữ dữ liệu được thực hiện theo hai trường hợp:

Trường hợp doanh nghiệp chưa thu thập, khai thác, phân tích, xử lý đầy đủ các loại dữ liệu phải lưu trữ: Doanh nghiệp phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xác nhận và lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý. Phạm vi đối chiếu là danh mục tại khoản 1 Điều 19, gồm thông tin cá nhân và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.

Trường hợp doanh nghiệp thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu thuộc danh mục trên: Doanh nghiệp có trách nhiệm phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để bổ sung; đồng thời thông báo công khai cho người sử dụng và cập nhật danh sách dữ liệu phải lưu trữ tại Việt Nam.

4. Hình thức và thời gian lưu trữ dữ liệu tại Việt Nam được quy định thế nào?

4.1. Hình thức lưu trữ do doanh nghiệp quyết định

Theo khoản 5 Điều 19 Nghị định 333/2026/NĐ-CP, doanh nghiệp được tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam, nhưng phải bảo đảm các yêu cầu:

• Có khả năng truy xuất dữ liệu;
• Cung cấp dữ liệu kịp thời khi cơ quan có thẩm quyền yêu cầu;
• Bảo đảm an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.

Đồng thời, khoản 3 Điều 15 Nghị định 333/2026/NĐ-CP yêu cầu doanh nghiệp tuân thủ pháp luật Việt Nam về an ninh mạng, bảo vệ dữ liệu cá nhân và các quy định liên quan trong toàn bộ quá trình thu thập, lưu trữ, xử lý, sử dụng và cung cấp thông tin, dữ liệu khi cung cấp dịch vụ trên không gian mạng.

4.2. Thời gian lưu trữ dữ liệu tối thiểu là 24 tháng

Khoản 1 Điều 20 Nghị định 333/2026/NĐ-CP quy định:

“Thời gian lưu trữ dữ liệu theo quy định tại Điều 19 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu đến khi kết thúc yêu cầu. Thời gian lưu trữ tối thiểu là 24 tháng.”

Riêng đối với nhật ký hệ thống phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng, khoản 3 Điều 20 quy định thời gian lưu trữ tối thiểu là 12 tháng.

Về khả năng truy xuất nhật ký, điểm c khoản 6 Điều 16 Nghị định 333/2026/NĐ-CP yêu cầu:

“Thời gian lưu trữ nhật ký hệ thống phải bảo đảm có thể truy xuất dữ liệu ít nhất trong vòng 12 tháng, đáp ứng yêu cầu xác minh, điều tra, xử lý hành vi vi phạm pháp luật.”

5. Trình tự yêu cầu doanh nghiệp nước ngoài lưu trữ dữ liệu tại Việt Nam thế nào?

Khoản 6 Điều 19 Nghị định 333/2026/NĐ-CP quy định trình tự, thủ tục yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện của doanh nghiệp nước ngoài tại Việt Nam:

• Bộ trưởng Bộ Công an ra quyết định yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam;
• Lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an thông báo, hướng dẫn, theo dõi, giám sát, đôn đốc doanh nghiệp thực hiện yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam; đồng thời, thông báo cho các cơ quan liên quan để thực hiện chức năng quản lý nhà nước theo thẩm quyền;
• Trong thời hạn 12 tháng kể từ ngày Bộ trưởng Bộ Công an ra quyết định, các doanh nghiệp quy định tại điểm a khoản 3 Điều này phải hoàn thành lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Về thời gian duy trì chi nhánh hoặc văn phòng đại diện, khoản 2 Điều 20 Nghị định 333/2026/NĐ-CP quy định:

“Thời gian đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam theo quy định tại Điều 19 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đến khi doanh nghiệp không còn hoạt động tại Việt Nam hoặc dịch vụ được quy định không còn cung cấp tại Việt Nam.”

Đối với việc chấp hành nghĩa vụ, khoản 8 Điều 19 quy định các doanh nghiệp không chấp hành quy định tại Điều này thì tùy theo tính chất, mức độ vi phạm mà bị xử lý theo quy định của pháp luật.

Trên đây là nội dung về “Nghị định 333/2026/NĐ-CP quy định việc lưu trữ dữ liệu tại Việt Nam ra sao?”. Bạn đọc vui lòng xem chi tiết Nghị định 333/2026/NĐ-CP trên LuatVietnam.vn cùng các thông tin về tình trạng hiệu lực, lược đồ và nội dung hợp nhất nếu có.