Cách xác định thời hạn lưu trữ dữ liệu

Đối với dữ liệu cá nhân, pháp luật Việt Nam hiện hành đặt ra nguyên tắc quan trọng: dữ liệu chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026 cũng quy định việc xóa, hủy dữ liệu khi mục đích xử lý đã hoàn thành hoặc khi hết thời hạn lưu trữ theo pháp luật.

Vì vậy, cách xác định hợp lý không phải là chọn trước một con số như 1 năm, 5 năm hay 10 năm rồi áp dụng đồng loạt. Cần xác định thời hạn theo từng loại dữ liệu và từng mục đích sử dụng cụ thể.

Ưu tiên thời hạn bắt buộc theo quy định pháp luật

Căn cứ đầu tiên cần kiểm tra là pháp luật có quy định thời hạn lưu trữ bắt buộc đối với loại hồ sơ hoặc dữ liệu đó hay không.

Một số lĩnh vực có thể quy định riêng về thời hạn bảo quản hồ sơ, chứng từ, dữ liệu chuyên ngành hoặc tài liệu lưu trữ. Khi tồn tại quy định bắt buộc, tổ chức không thể tự rút ngắn thời gian chỉ vì dữ liệu không còn thường xuyên được sử dụng.

Ngược lại, cũng không nên mặc định rằng dữ liệu có thể được lưu vô thời hạn. Đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân năm 2025 xác lập nguyên tắc thời gian lưu trữ phải phù hợp với mục đích xử lý, trừ trường hợp pháp luật yêu cầu khác.

Do đó, thứ tự xem xét nên là:

·         Xác định dữ liệu thuộc lĩnh vực nào

·         Kiểm tra luật, nghị định hoặc quy định chuyên ngành có yêu cầu thời hạn tối thiểu, tối đa hoặc thời điểm phải xóa hay không

·         Nếu có quy định bắt buộc, áp dụng thời hạn đó

·         Nếu không có thời hạn cụ thể, chuyển sang đánh giá mức độ cần thiết theo mục đích xử lý

Cách tiếp cận này giúp tránh hai sai lệch phổ biến: xóa dữ liệu quá sớm làm mất hồ sơ cần thiết hoặc giữ dữ liệu quá lâu mà không còn căn cứ hợp lý.

Căn cứ vào mục đích thu thập và xử lý dữ liệu

Nếu pháp luật không ấn định một thời hạn cố định, mục đích xử lý trở thành căn cứ trung tâm.

Câu hỏi cần đặt ra không phải là “có thể lưu dữ liệu bao lâu?” mà là “còn cần dữ liệu này để hoàn thành mục đích đã xác định hay không?”.

Ví dụ, dữ liệu được thu thập để xử lý một giao dịch có thể chỉ cần tồn tại trong thời gian thực hiện giao dịch và khoảng thời gian tiếp theo cần thiết cho đối soát, khiếu nại hoặc nghĩa vụ pháp lý. Dữ liệu của ứng viên không được tuyển dụng lại có mục đích sử dụng khác với hồ sơ của người lao động đang làm việc.

Luật Bảo vệ dữ liệu cá nhân năm 2025 thể hiện trực tiếp mối quan hệ này khi quy định dữ liệu phải được lưu trong khoảng thời gian phù hợp với mục đích xử lý và việc xóa, hủy được thực hiện khi mục đích xử lý đã hoàn thành. Với dữ liệu ứng viên không được tuyển dụng, luật còn yêu cầu xóa, hủy thông tin đã cung cấp, trừ trường hợp có thỏa thuận khác.

Điều đó có nghĩa mục đích xử lý phải đủ cụ thể để có thể xác định được điểm kết thúc. Một mục đích quá rộng như “phục vụ hoạt động kinh doanh” rất khó dùng làm căn cứ hợp lý cho việc lưu dữ liệu lâu dài.

Xem xét loại dữ liệu và mức độ nhạy cảm

Không phải mọi dữ liệu đều tạo ra cùng một mức rủi ro khi được lưu giữ.

Dữ liệu nhận dạng cá nhân, tài khoản, thông tin tài chính, dữ liệu sức khỏe hoặc các nhóm dữ liệu nhạy cảm có thể gây hậu quả lớn hơn nếu bị truy cập trái phép, rò rỉ hoặc sử dụng sai mục đích. Vì vậy, khi hai loại dữ liệu mang lại giá trị sử dụng tương đương, dữ liệu có rủi ro cao hơn thường cần được xem xét nghiêm ngặt hơn về thời gian lưu giữ.

Điều này không có nghĩa dữ liệu nhạy cảm luôn phải được xóa sớm. Nếu pháp luật yêu cầu phải bảo quản trong một khoảng thời gian nhất định thì nghĩa vụ đó vẫn phải được thực hiện. Điểm khác biệt nằm ở việc tổ chức phải có lý do rõ ràng cho toàn bộ thời gian lưu giữ và áp dụng biện pháp bảo vệ tương ứng với mức độ rủi ro.

Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 1/1/2026, yêu cầu việc đánh giá tác động xử lý dữ liệu cá nhân phải mô tả và luận giải chính sách lưu trữ, xóa, hủy dữ liệu cá nhân cùng các biện pháp bảo đảm an toàn dữ liệu.

Tính đến thời gian cần thiết để thực hiện nghĩa vụ và bảo vệ quyền lợi hợp pháp

Một mục đích nghiệp vụ có thể đã hoàn tất nhưng dữ liệu vẫn còn cần thiết để thực hiện nghĩa vụ pháp lý hoặc xử lý hậu quả phát sinh sau đó.

Chẳng hạn, một số hồ sơ có thể phải tiếp tục được giữ để:

·         Thực hiện nghĩa vụ báo cáo, kế toán, thuế hoặc kiểm tra theo quy định

·         Giải quyết khiếu nại, tranh chấp hoặc yêu cầu của cơ quan có thẩm quyền

·         Chứng minh việc thực hiện hợp đồng hoặc một giao dịch

·         Bảo vệ quyền và lợi ích hợp pháp khi còn khả năng phát sinh trách nhiệm

Tuy nhiên, nhu cầu chứng minh không nên trở thành lý do chung để giữ toàn bộ dữ liệu không thời hạn. Tổ chức cần xác định dữ liệu nào thực sự cần cho nghĩa vụ đó và mốc thời gian nào khiến nhu cầu lưu giữ kết thúc.

Khi hết căn cứ pháp lý hoặc mục đích hợp lệ, dữ liệu không nên tiếp tục tồn tại trong hệ thống vận hành chỉ vì “có thể sẽ cần trong tương lai”.

Đánh giá rủi ro của việc giữ dữ liệu lâu hơn

Thời gian lưu trữ càng dài thì khoảng thời gian dữ liệu có thể bị lộ, mất, truy cập trái phép hoặc sử dụng sai mục đích càng lớn.

Vì vậy, quyết định giữ dữ liệu cần cân bằng giữa giá trị còn lại của dữ liệu và rủi ro do tiếp tục lưu trữ. Với dữ liệu cá nhân, nguyên tắc giới hạn thời gian lưu giữ cũng được ghi nhận rộng rãi trong các chuẩn bảo vệ dữ liệu quốc tế. GDPR của Liên minh châu Âu yêu cầu dữ liệu nhận dạng cá nhân không được lưu lâu hơn mức cần thiết cho mục đích xử lý, trừ một số trường hợp lưu trữ đặc biệt có biện pháp bảo vệ phù hợp.

Rủi ro cần xem xét bao gồm:

·         Mức độ thiệt hại nếu dữ liệu bị lộ

·         Số lượng chủ thể hoặc bản ghi bị ảnh hưởng

·         Khả năng dữ liệu bị sử dụng lại cho mục đích không còn phù hợp

·         Chi phí và độ phức tạp của việc bảo vệ dữ liệu trong thời gian dài

·         Khả năng kiểm soát dữ liệu trong bản sao lưu, hệ thống cũ và hệ thống của bên thứ ba

Nếu lợi ích của việc tiếp tục giữ dữ liệu rất thấp nhưng rủi ro tăng đáng kể, đó là tín hiệu cần rút ngắn thời hạn hoặc chuyển sang dữ liệu đã được khử nhận dạng nếu vẫn cần phục vụ thống kê, phân tích phù hợp.

Xác định thời hạn theo từng nhóm dữ liệu thay vì một chính sách chung

Một tổ chức thường có nhiều nhóm dữ liệu với vòng đời khác nhau. Vì vậy, chính sách kiểu “mọi dữ liệu được lưu 5 năm” khó phản ánh đúng yêu cầu pháp lý và mục đích thực tế.

Cách quản lý phù hợp hơn là xây dựng lịch lưu trữ dữ liệu theo từng nhóm, trong đó tối thiểu xác định:

·         Loại dữ liệu

·         Mục đích xử lý

·         Căn cứ pháp luật hoặc căn cứ lưu giữ

·         Thời điểm bắt đầu tính thời hạn

·         Thời gian lưu trữ

·         Sự kiện kết thúc thời hạn

·         Phương thức xử lý sau khi hết hạn

·         Trường hợp ngoại lệ cần tạm ngừng xóa

Đối với dữ liệu nói chung, quy định triển khai Luật Dữ liệu cũng đặt trách nhiệm cho chủ sở hữu dữ liệu xác định thời hạn lưu trữ cụ thể đối với dữ liệu mình thu thập, tạo lập và thực hiện xóa, hủy khi hết thời hạn hoặc khi dữ liệu không còn cần thiết cho mục đích xử lý.

Điểm quan trọng là thời hạn phải gắn với một mốc có thể kiểm soát. Ví dụ, thời hạn có thể được tính từ ngày hoàn tất giao dịch, ngày chấm dứt hợp đồng, ngày kết thúc quan hệ lao động hoặc ngày hồ sơ được đóng, thay vì chỉ ghi chung chung “lưu trong 5 năm”.

Thời hạn lưu trữ cần được rà soát khi mục đích hoặc quy định thay đổi

Thời hạn đã được xác định không phải lúc nào cũng giữ nguyên vĩnh viễn.

Doanh nghiệp cần rà soát lại khi có thay đổi về:

·         Quy định pháp luật

·         Mục đích xử lý

·         Loại dữ liệu được thu thập

·         Hệ thống hoặc công nghệ xử lý

·         Quan hệ với bên xử lý hoặc bên thứ ba

·         Mức độ rủi ro của dữ liệu

Nếu mục đích mới yêu cầu lưu dữ liệu lâu hơn, cần kiểm tra mục đích đó có hợp pháp và tương thích với căn cứ xử lý ban đầu hay không. Ngược lại, nếu một loại dữ liệu không còn cần thiết thì việc tiếp tục lưu chỉ vì hệ thống chưa có chức năng xóa không phải là một căn cứ hợp lý.

Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ đánh giá tác động phải thể hiện chính sách lưu trữ, xóa và hủy dữ liệu cá nhân. Điều này cho thấy thời hạn lưu giữ cần được quản trị như một phần của toàn bộ vòng đời xử lý dữ liệu, chứ không chỉ là một thiết lập kỹ thuật trong hệ thống.

Thời hạn lưu trữ dữ liệu nên được xác định theo nguyên tắc ưu tiên nghĩa vụ pháp luật trước, sau đó đánh giá thời gian thực sự cần thiết để hoàn thành mục đích xử lý, thực hiện nghĩa vụ liên quan và bảo vệ quyền lợi hợp pháp. Loại dữ liệu, mức độ nhạy cảm và rủi ro khi lưu giữ lâu cũng phải được tính đến.

Vì vậy, một thời hạn hợp lý phải trả lời được ba câu hỏi: vì sao dữ liệu vẫn cần được giữ, căn cứ nào cho phép hoặc yêu cầu tiếp tục giữ và sự kiện nào sẽ chấm dứt việc lưu trữ. Khi không còn căn cứ hoặc mục đích cần thiết, dữ liệu cần được xóa, hủy hoặc xử lý theo phương thức phù hợp thay vì tiếp tục được giữ vô thời hạn.