Nghị định 333/2026/NĐ-CP, văn bản quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng, đặt ra nghĩa vụ lưu trữ dữ liệu của người sử dụng dịch vụ đối với doanh nghiệp trong nước. Bài viết này trình bày lần lượt các nội dung sau: phạm vi dữ liệu phải lưu trữ, cách xử lý khi dữ liệu thu thập không đầy đủ, quyền lựa chọn hình thức lưu trữ, thời hạn lưu trữ và nghĩa vụ đối với nhật ký hệ thống.
1. Phạm vi dữ liệu phải lưu trữ tại Việt Nam
Theo khoản 1 và khoản 2 Điều 19 Nghị định 333/2026/NĐ-CP, doanh nghiệp trong nước có nghĩa vụ lưu trữ tại Việt Nam hai nhóm dữ liệu. Nhóm thứ nhất là thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam. Nhóm thứ hai là dữ liệu do chính người sử dụng dịch vụ tại Việt Nam tạo ra, bao gồm tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập và đăng xuất gần nhất, cùng số điện thoại đăng ký gắn với tài khoản hoặc dữ liệu. Khoản 2 Điều 19 giao trách nhiệm thực hiện nghĩa vụ này cho doanh nghiệp trong nước.
Để xác định đối tượng mà dữ liệu gắn với, cần đối chiếu khoản 1 và khoản 2 Điều 3 của Nghị định. Theo đó, người sử dụng dịch vụ là tổ chức, cá nhân tham gia sử dụng dịch vụ trên không gian mạng, còn người sử dụng dịch vụ tại Việt Nam là tổ chức, cá nhân sử dụng dịch vụ không gian mạng trên lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam. Như vậy, các nhóm dữ liệu nêu trên được xác định theo phạm vi người sử dụng dịch vụ tại Việt Nam.
2. Trường hợp dữ liệu thu thập không đầy đủ so với danh mục phải lưu trữ
Khoản 4 Điều 19 Nghị định điều chỉnh tình huống doanh nghiệp thu thập, khai thác, phân tích, xử lý dữ liệu không đầy đủ so với danh mục tại khoản 1. Khi đó, doanh nghiệp không bị yêu cầu phải thu thập cho đủ danh mục, mà có trách nhiệm phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xác nhận và lưu trữ những loại dữ liệu đang thực tế thu thập, khai thác, phân tích, xử lý.
Trường hợp về sau doanh nghiệp thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu thuộc danh mục tại khoản 1, doanh nghiệp phải phối hợp với lực lượng chuyên trách nêu trên để bổ sung, đồng thời thông báo công khai cho người sử dụng và cập nhật danh sách dữ liệu phải lưu trữ tại Việt Nam.
3. Quyền lựa chọn hình thức lưu trữ
Khoản 5 Điều 19 trao cho doanh nghiệp quyền tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam, với điều kiện hình thức được chọn phải bảo đảm khả năng truy xuất và cung cấp kịp thời khi cơ quan có thẩm quyền yêu cầu, đồng thời bảo đảm an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia.
Bên cạnh đó, khoản 3 Điều 15 đặt ra nguyên tắc chung cho việc xử lý thông tin, dữ liệu trong quá trình cung cấp dịch vụ trên không gian mạng: mọi hoạt động thu thập, lưu trữ, xử lý, sử dụng và cung cấp phải tuân thủ pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và các quy định liên quan khác của pháp luật Việt Nam. Do vậy, quyền tự quyết về hình thức lưu trữ chỉ được thực hiện trong khuôn khổ các yêu cầu nêu trên.
4. Thời hạn lưu trữ dữ liệu
Khoản 1 Điều 20 xác định thời hạn lưu trữ dữ liệu theo Điều 19 bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ và kết thúc khi yêu cầu chấm dứt, với thời hạn tối thiểu là 24 tháng.
Riêng đối với nhật ký hệ thống phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng, khoản 3 Điều 20 quy định một thời hạn lưu trữ tối thiểu riêng là 12 tháng.
5. Nghĩa vụ lưu trữ và quản lý nhật ký hệ thống
Theo khoản 1 Điều 16, cả doanh nghiệp trong nước lẫn doanh nghiệp nước ngoài, khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam, đều phải thực hiện các hoạt động bảo đảm an ninh thông tin mạng được quy định tại Điều này.
Trong số đó, khoản 6 Điều 16 yêu cầu doanh nghiệp lưu trữ và quản lý nhật ký hệ thống để phục vụ quản lý nhà nước, bảo đảm an ninh thông tin mạng và xử lý hành vi vi phạm pháp luật. Nhật ký hệ thống tối thiểu phải ghi nhận thông tin về tài khoản người sử dụng dịch vụ, thời gian đăng nhập và đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập và đăng xuất, cùng nhật ký xử lý thông tin được đăng tải. Thời gian lưu trữ phải bảo đảm có thể truy xuất dữ liệu ít nhất trong vòng 12 tháng, nhằm đáp ứng yêu cầu xác minh, điều tra và xử lý vi phạm.
Như vậy, ngoài hai nhóm dữ liệu phải lưu trữ tại Việt Nam theo Điều 19, doanh nghiệp cung cấp dịch vụ thuộc phạm vi khoản 1 Điều 16 còn có nghĩa vụ riêng về lưu trữ, quản lý nhật ký hệ thống với nội dung tối thiểu và khả năng truy xuất như đã nêu.
6. Hậu quả pháp lý của việc không chấp hành
Theo khoản 8 Điều 19, doanh nghiệp không chấp hành các quy định tại Điều này sẽ bị xử lý theo quy định của pháp luật, tùy theo tính chất và mức độ vi phạm.
Nguồn: https://luatvietnam.vn/linh-vuc-khac/doanh-nghiep-trong-nuoc-phai-luu-tru-nhung-du-lieu-nao-tai-viet-nam-theo-quy-dinh-ve-an-ninh-mang-883-114885-article.html
