Lưu trữ dữ liệu tại Việt Nam theo Nghị định 53/2022
Nghị định 53/2022/NĐ-CP yêu cầu một số doanh nghiệp cung cấp dịch vụ trên mạng tại Việt Nam lưu trữ dữ liệu người dùng Việt Nam trong nước, nên nhiều startup và agency chọn đặt app, database và bản sao lưu trên máy chủ tại Việt Nam. Bài này tóm tắt chung các điểm chính và cách làm trên ZoCloud; đây không phải tư vấn pháp lý.
Lưu ý quan trọng: nội dung dưới đây là thông tin tham khảo, viết ở mức khái quát. Phạm vi áp dụng, nghĩa vụ cụ thể và văn bản còn hiệu lực có thể khác với trường hợp của bạn. Hãy hỏi luật sư hoặc cơ quan có thẩm quyền trước khi ra quyết định.
Bản sao dự phòng ngoài lãnh thổ. Ngoài bản sao lưu chính tại Việt Nam, ZoCloud có thể giữ thêm một bản sao dự phòng đã mã hoá ở ngoài Việt Nam (để khôi phục khi có sự cố lớn). Nếu doanh nghiệp bạn bắt buộc mọi bản sao dữ liệu phải nằm trong nước, hãy hỏi đội ZoCloud qua Hỗ trợ về nơi lưu từng loại dữ liệu trước khi đưa dữ liệu thật lên.
Nghị định 53/2022 nói gì (tóm tắt chung)
Nghị định 53/2022/NĐ-CP, ban hành tháng 8 năm 2022 và có hiệu lực từ ngày 1/10/2022, quy định chi tiết một số điều của Luật An ninh mạng 2018, trong đó có điều về lưu trữ dữ liệu tại Việt Nam.
Ở mức khái quát, theo cách hiểu phổ biến:
- Doanh nghiệp trong nước cung cấp dịch vụ trên mạng viễn thông, Internet và dịch vụ gia tăng trên không gian mạng tại Việt Nam phải lưu trữ một số loại dữ liệu tại Việt Nam.
- Doanh nghiệp nước ngoài thuộc một số loại dịch vụ có thể phải lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam khi có yêu cầu của cơ quan có thẩm quyền, trong những điều kiện mà nghị định nêu.
- Các nhóm dữ liệu thường được nhắc tới: dữ liệu thông tin cá nhân của người dùng tại Việt Nam, dữ liệu do người dùng tại Việt Nam tạo ra, và dữ liệu về các mối quan hệ của người dùng.
- Nghị định có quy định về thời hạn lưu trữ tối thiểu khi có yêu cầu.
Chi tiết từng điều khoản, ngoại lệ và cách áp dụng nên được đọc trực tiếp từ văn bản gốc và trao đổi với luật sư.
Các văn bản liên quan cần biết
Lưu trữ dữ liệu không chỉ có Nghị định 53. Khi làm sản phẩm có dữ liệu cá nhân, bạn thường gặp thêm các quy định về bảo vệ dữ liệu cá nhân (như Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân năm 2025) và Luật Dữ liệu. Các văn bản trong lĩnh vực này thay đổi khá nhanh: hãy kiểm tra văn bản nào còn hiệu lực tại thời điểm bạn đọc.
Vì sao doanh nghiệp chọn lưu trữ dữ liệu tại Việt Nam
Ngoài yêu cầu pháp lý (nếu áp dụng), có những lý do thực tế:
- Khách hàng hỏi: hợp đồng với ngân hàng, bệnh viện, cơ quan nhà nước hay doanh nghiệp lớn đôi khi yêu cầu dữ liệu nằm trong nước.
- Gần người dùng: máy chủ trong nước giúp request không phải đi ra nước ngoài rồi quay về.
- Dễ giải trình: biết rõ dữ liệu ở đâu giúp trả lời kiểm toán và câu hỏi của khách nhanh hơn.
- Thanh toán và chứng từ: trả bằng VND, có hoá đơn GTGT điện tử, thuận cho hạch toán.
ZoCloud giữ dữ liệu của app ở đâu
Theo hướng dẫn sử dụng của ZoCloud:
| Thành phần | Nơi lưu |
|---|---|
| App (service web, worker, cron) | Máy chủ tại Việt Nam, ở Vị trí bạn chọn khi tạo project |
| Database PostgreSQL, MySQL (MariaDB), Redis (Valkey) | Mạng riêng của ZoCloud; chỉ app trong cùng environment truy cập được |
| Bản sao lưu database | Tự động mỗi đêm, mã hoá, bản chính lưu tại Việt Nam |
| Volume của app và bản sao lưu | Sao lưu mã hoá, bản chính lưu tại Việt Nam |
Object storage S3 (s3.zocloud.app) |
Bucket đặt tại Việt Nam |
| DNS của ZoCloud | Máy chủ của ZoCloud tại Việt Nam (ns1.zocloud.io, ns2.zocloud.io) |
Nếu hồ sơ tuân thủ của bạn cần danh sách chi tiết nơi lưu mọi bản sao (kể cả bản sao dự phòng), thời gian lưu giữ và quy trình xoá, hãy mở ticket ở mục Hỗ trợ để nhận thông tin chính xác.
Những dữ liệu có thể đi ra ngoài app của bạn
Đặt app tại Việt Nam chưa đủ nếu app gửi dữ liệu cho dịch vụ khác. Hãy rà soát:
- AI gateway: request được chuyển tới nhà cung cấp model; dữ liệu trong prompt được nhà cung cấp đó xử lý. Kiểm tra model và nhà cung cấp trước khi gửi dữ liệu cá nhân.
- Cloudflare: nếu bạn kết nối zone và bật proxy, lưu lượng đi qua mạng của Cloudflare.
- E-mail doanh nghiệp: Google Workspace và Microsoft 365 lưu thư theo hạ tầng và chính sách của Google, Microsoft.
- Mã nguồn: repo GitHub nằm trên GitHub.
- Dịch vụ bên thứ ba trong code: analytics, gửi e-mail, thanh toán, lưu log, giám sát lỗi…
Đây không phải lý do để tránh các dịch vụ đó, mà để bạn biết dữ liệu nào đi đâu và ghi lại trong hồ sơ.
Cách thiết lập app giữ dữ liệu trong nước trên ZoCloud
- Tạo project và chọn Vị trí cho app và database.
- Thêm database ngay trong project (Thêm → PostgreSQL), nối bằng biến tham chiếu:
DATABASE_URL=${{pg.DATABASE_URL}}
- Lưu file người dùng (ảnh CCCD, hợp đồng, hoá đơn…) vào object storage S3 của ZoCloud thay vì dịch vụ lưu trữ ở nước ngoài:
S3_ENDPOINT=${{files.S3_ENDPOINT}}
S3_BUCKET=${{files.S3_BUCKET}}
S3_ACCESS_KEY_ID=${{files.S3_ACCESS_KEY_ID}}
S3_SECRET_ACCESS_KEY=${{files.S3_SECRET_ACCESS_KEY}}
- Hạn chế truy cập từ ngoài: chỉ bật Truy cập từ Internet cho database khi cần (kết nối bắt buộc TLS), rồi tắt.
- Phân quyền: dùng vai trò phù hợp (Developer chỉ xem dữ liệu ở chế độ đọc, không chạy lệnh ghi), bật Bắt buộc 2FA cho tổ chức.
- Lưu dấu vết: mục Hoạt động ghi lại thao tác trong tổ chức, kể cả mỗi lần chạy truy vấn ở tab Dữ liệu của database.
- Ghi lại sơ đồ dữ liệu: dữ liệu nào, lưu ở đâu, ai truy cập, gửi cho bên thứ ba nào. Đây là tài liệu luật sư thường hỏi.
Câu hỏi thường gặp
Nghị định 53/2022 quy định gì về lưu trữ dữ liệu?
Nghị định 53/2022/NĐ-CP hướng dẫn Luật An ninh mạng 2018, trong đó có quy định doanh nghiệp cung cấp dịch vụ trên mạng viễn thông và Internet tại Việt Nam phải lưu trữ một số loại dữ liệu trong nước. Phạm vi áp dụng cụ thể phụ thuộc loại hình doanh nghiệp và dịch vụ, nên hãy hỏi luật sư cho trường hợp của bạn.
Dùng ZoCloud có nghĩa là đã tuân thủ Nghị định 53 không?
Không tự động. ZoCloud đặt máy chủ và bản sao lưu chính tại Việt Nam, giúp bạn giữ dữ liệu của app trong nước, nhưng tuân thủ còn phụ thuộc cách app thu thập, xử lý dữ liệu và các dịch vụ bên ngoài app dùng.
Database và bản sao lưu trên ZoCloud nằm ở đâu?
Theo hướng dẫn sử dụng của ZoCloud, máy chủ đặt tại Việt Nam; database được sao lưu mỗi đêm, mã hoá, bản chính lưu tại Việt Nam; object storage S3 cũng đặt tại Việt Nam. Nếu hồ sơ tuân thủ cần danh sách chi tiết nơi lưu mọi bản sao, hãy hỏi qua Hỗ trợ.
Bài viết này có phải tư vấn pháp lý không?
Không. Đây là thông tin chung để bạn hiểu vấn đề và chuẩn bị câu hỏi. Văn bản pháp luật có thể được sửa đổi, hãy tham khảo luật sư hoặc cơ quan có thẩm quyền trước khi quyết định.
Đặt app và dữ liệu tại Việt Nam
Đăng ký ZoCloud để chạy app, database và object storage trên máy chủ tại Việt Nam, trả bằng VND. Đọc thêm hướng dẫn database, object storage và thành viên, bảo mật. Đang cân nhắc tự quản lý server? Xem VPS hay PaaS.