Những nguyên tắc lưu trữ dữ liệu cần tuân thủ

Khung pháp lý hiện hành tại Việt Nam gồm nhiều lớp. Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 01/07/2025; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026; còn Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Vì vậy, không nên áp dụng một quy tắc lưu trữ duy nhất cho mọi loại dữ liệu.

Lưu trữ phải gắn với mục đích và phạm vi xử lý

Đối với dữ liệu cá nhân, nguyên tắc nền tảng là chỉ được thu thập, xử lý trong phạm vi và mục đích cụ thể, rõ ràng, phù hợp pháp luật. Dữ liệu cũng phải được duy trì tính chính xác và chỉ lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ khi pháp luật có quy định khác.

Điều này dẫn đến một yêu cầu quản trị quan trọng: tổ chức cần xác định mục đích trước khi thiết lập thời hạn lưu trữ. Chẳng hạn, dữ liệu phục vụ một quan hệ hợp đồng, dữ liệu nhân sự, dữ liệu giao dịch hoặc dữ liệu phục vụ nghĩa vụ pháp lý có thể có căn cứ và thời hạn lưu trữ khác nhau.

Vì vậy, nguyên tắc lưu trữ dữ liệu không phải là “giữ càng lâu càng tốt”. Việc tiếp tục giữ dữ liệu sau khi mục đích xử lý đã hoàn thành có thể làm phát sinh rủi ro về bảo vệ dữ liệu cá nhân nếu không còn căn cứ pháp lý phù hợp.

Thời hạn lưu trữ phải được xác định và có cơ chế xóa, hủy

Một hệ thống lưu trữ tuân thủ cần có retention period cho từng nhóm dữ liệu. Thời hạn này có thể xuất phát từ pháp luật chuyên ngành, thỏa thuận hoặc chính mục đích xử lý dữ liệu, tùy trường hợp.

Luật Bảo vệ dữ liệu cá nhân 2025 quy định việc xóa, hủy dữ liệu cá nhân có thể được thực hiện khi đã hoàn thành mục đích xử lý, hết thời hạn lưu trữ theo pháp luật, theo yêu cầu của chủ thể dữ liệu trong trường hợp luật cho phép, theo thỏa thuận hoặc theo quyết định của cơ quan có thẩm quyền.

Một ví dụ cụ thể là dữ liệu của người dự tuyển: nếu không tuyển dụng, thông tin đã cung cấp phải được xóa, hủy, trừ trường hợp có thỏa thuận khác. Đối với dữ liệu cá nhân của người lao động, pháp luật yêu cầu lưu trữ trong thời hạn theo quy định hoặc thỏa thuận và phải xóa, hủy khi chấm dứt hợp đồng, trừ trường hợp pháp luật hoặc thỏa thuận có quy định khác.

Do đó, tổ chức nên xây dựng chính sách vòng đời dữ liệu gồm:

·         Xác định thời điểm bắt đầu lưu trữ

·         Xác định thời hạn lưu trữ

·         Xác định điều kiện gia hạn nếu có căn cứ

·         Xác định thời điểm xóa, hủy hoặc khử nhận dạng

·         Ghi nhận việc thực hiện xóa, hủy để có thể kiểm tra khi cần

Dữ liệu phải được bảo vệ trong suốt thời gian lưu trữ

Luật Dữ liệu yêu cầu các biện pháp bảo vệ dữ liệu được áp dụng trong toàn bộ quá trình xử lý. Với dữ liệu cốt lõi và dữ liệu quan trọng, chủ sở hữu hoặc chủ quản dữ liệu phải tuân thủ các quy định về bảo vệ dữ liệu; các biện pháp bao gồm chính sách, quản lý hoạt động xử lý, giải pháp kỹ thuật và quản lý nhân sự.

Đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân cũng yêu cầu thực hiện đồng bộ các biện pháp về thể chế, kỹ thuật và con người để bảo vệ dữ liệu.

Về thực tế, điều này có nghĩa chính sách lưu trữ không thể tách khỏi kiểm soát truy cập và an ninh hệ thống. Tổ chức cần xác định ai được quyền truy cập dữ liệu, quyền đó phục vụ mục đích gì và biện pháp nào được sử dụng để ngăn truy cập, sửa đổi, tiết lộ hoặc phá hủy trái phép.

Đối với một số hoạt động xử lý dữ liệu lớn có chứa dữ liệu cá nhân, Nghị định 356/2025/NĐ-CP còn yêu cầu xây dựng chính sách lưu trữ, xóa, hủy phù hợp; áp dụng các biện pháp bảo đảm an ninh mạng, bảo mật dữ liệu, phòng chống thất thoát dữ liệu trong quá trình lưu trữ, xử lý và truyền tải.

Vị trí lưu trữ phụ thuộc vào loại dữ liệu và chủ thể lưu trữ

Không phải mọi dữ liệu tại Việt Nam đều mặc nhiên phải đặt máy chủ tại Việt Nam.

Theo Luật Dữ liệu, tổ chức, cá nhân là chủ sở hữu dữ liệu về nguyên tắc được quyết định việc lưu trữ dữ liệu do mình thu thập, tạo lập và sở hữu. Tuy nhiên, việc lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng phải đáp ứng các yêu cầu bảo vệ dữ liệu tương ứng. Đối với cơ sở dữ liệu quốc gia, pháp luật quy định yêu cầu lưu trữ trên hạ tầng của Trung tâm dữ liệu quốc gia.

Một lớp yêu cầu khác xuất hiện trong Luật An ninh mạng 2025. Doanh nghiệp trong nước và nước ngoài cung cấp một số dịch vụ trên mạng viễn thông, Internet và dịch vụ gia tăng trên không gian mạng tại Việt Nam, nếu có hoạt động thu thập, khai thác, phân tích, xử lý các nhóm dữ liệu thuộc phạm vi luật định, phải áp dụng biện pháp bảo vệ và lưu trữ dữ liệu tại Việt Nam trong thời gian Chính phủ quy định.

Nghị định 333/2026/NĐ-CP đã quy định cụ thể hơn về nhóm dữ liệu phải lưu trữ tại Việt Nam, trong đó có thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và một số dữ liệu do người sử dụng tại Việt Nam tạo ra. Đối với doanh nghiệp nước ngoài, nghĩa vụ đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam phát sinh trong các trường hợp và điều kiện mà Nghị định quy định.

Vì vậy, trước khi lựa chọn cloud, data center hoặc nhà cung cấp lưu trữ ở nước ngoài, tổ chức cần phân loại dữ liệu và đối chiếu yêu cầu về địa điểm lưu trữ thay vì mặc định rằng mọi dữ liệu đều có thể đặt ở bất kỳ quốc gia nào.

Quyền truy cập, tính toàn vẹn và khả năng kiểm soát phải được bảo đảm

Lưu trữ hợp pháp không chỉ trả lời câu hỏi “dữ liệu nằm ở đâu”, mà còn phải trả lời “dữ liệu có được kiểm soát trong thời gian nằm ở đó hay không”.

Luật An ninh mạng 2025 xác định bảo đảm an ninh dữ liệu bao gồm các biện pháp kỹ thuật, tổ chức và pháp lý; đồng thời đặt ra yêu cầu về chính sách, quy trình, tiêu chuẩn kỹ thuật, kiểm soát nhân sự, đánh giá rủi ro định kỳ và đánh giá việc chuyển dữ liệu xuyên biên giới.

Với một số hệ thống, pháp luật còn quy định thời hạn lưu trữ nhật ký hoặc dữ liệu phục vụ điều tra. Chẳng hạn, Nghị định 333/2026/NĐ-CP quy định dữ liệu nhật ký hệ thống thuộc trường hợp luật định phải được lưu trữ đầy đủ, liên tục tối thiểu 12 tháng và hệ thống lưu trữ phải bảo đảm tính toàn vẹn, an toàn, bảo mật, đồng thời có khả năng trích xuất, cung cấp dữ liệu theo yêu cầu.

Điểm cần lưu ý là thời hạn lưu trữ pháp lý có thể khác nhau giữa các loại dữ liệu. Do đó, tổ chức không nên xây dựng một thời hạn chung cho toàn bộ kho dữ liệu nếu pháp luật chuyên ngành hoặc bản chất dữ liệu yêu cầu cách xử lý khác.

Tổ chức cần quản trị lưu trữ theo vòng đời và theo từng loại dữ liệu

Từ các yêu cầu trên, một mô hình tuân thủ hợp lý nên bắt đầu bằng việc lập bản đồ vòng đời dữ liệu thay vì chỉ lựa chọn giải pháp lưu trữ kỹ thuật.

Tối thiểu cần xác định:

·         Dữ liệu thuộc loại nào và có phải dữ liệu cá nhân, dữ liệu quan trọng hoặc dữ liệu cốt lõi hay không

·         Mục đích xử lý và căn cứ pháp lý để lưu trữ

·         Thời hạn lưu trữ theo pháp luật, thỏa thuận hoặc mục đích xử lý

·         Địa điểm và hạ tầng lưu trữ có đáp ứng yêu cầu pháp luật hay không

·         Ai được truy cập và quyền truy cập được kiểm soát như thế nào

·         Biện pháp bảo vệ dữ liệu trong thời gian lưu trữ

·         Cơ chế sao lưu, phục hồi và bảo đảm tính toàn vẹn

·         Điều kiện chuyển dữ liệu ra nước ngoài hoặc cung cấp cho bên thứ ba

·         Thời điểm và phương thức xóa, hủy hoặc khử nhận dạng

·         Cách ghi nhận, kiểm tra và chứng minh việc tuân thủ

Đặc biệt, không nên đồng nhất “lưu trữ dữ liệu” với “lưu trữ dữ liệu cá nhân”. Dữ liệu cá nhân chịu yêu cầu riêng về mục đích, thời hạn, quyền của chủ thể và xóa, hủy; dữ liệu cốt lõi, dữ liệu quan trọng chịu yêu cầu riêng về phân loại và bảo vệ; còn một số doanh nghiệp cung cấp dịch vụ trên không gian mạng phải tuân thủ yêu cầu lưu trữ tại Việt Nam theo pháp luật an ninh mạng.

Vì vậy, nguyên tắc lưu trữ dữ liệu có thể khái quát thành một chuỗi kiểm soát: đúng mục đích → đúng thời hạn → đúng nơi → đúng quyền truy cập → đúng mức bảo vệ → đúng quy trình xóa, hủy. Khi một trong các yếu tố này không được kiểm soát, việc lưu trữ có thể trở thành điểm rủi ro pháp lý thay vì chỉ là vấn đề kỹ thuật.

Đây là cách tiếp cận phù hợp với khung pháp luật hiện hành, trong đó Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng cùng điều chỉnh những khía cạnh khác nhau của vòng đời dữ liệu.