Những quy định pháp lý doanh nghiệp cần biết về lưu trữ dữ liệu

Trong thời đại công nghệ số phát triển nhanh chóng, lưu trữ dữ liệu đã trở thành một yếu tố quan trọng và không thể thiếu đối với mọi tổ chức, doanh nghiệp. Việc lưu trữ dữ liệu không chỉ liên quan đến bảo đảm hoạt động kinh doanh liên tục mà còn là yêu cầu bắt buộc nhằm đáp ứng các quy định pháp luật về bảo mật, quyền riêng tư và quản lý thông tin. Tuy nhiên, trên thực tế, nhiều doanh nghiệp vẫn chưa xây dựng được một hệ thống lưu trữ dữ liệu phù hợp, dẫn đến rủi ro rò rỉ thông tin, mất mát dữ liệu, tranh chấp pháp lý và xử phạt vi phạm. Bài viết dưới đây sẽ giúp bạn hiểu rõ hơn về lưu trữ dữ liệu, các hình thức phổ biến, nghĩa vụ pháp lý và những vấn đề doanh nghiệp cần lưu ý để đảm bảo tuân thủ và an toàn thông tin.

I. Giới thiệu các vấn đề liên quan đến lưu trữ dữ liệu

Trong thời đại số, lưu trữ dữ liệu trở thành nhu cầu thiết yếu nhằm bảo đảm hoạt động ổn định, phân tích thông tin và hỗ trợ quản lý doanh nghiệp. Tuy nhiên, việc lưu trữ không đúng quy trình có thể dẫn đến rò rỉ, mất mát dữ liệu, vi phạm bảo mật và phát sinh trách nhiệm pháp lý. Bên cạnh yêu cầu về kỹ thuật, lưu trữ dữ liệu còn chịu sự điều chỉnh bởi nhiều quy định pháp luật, đòi hỏi doanh nghiệp phải có chính sách phù hợp để đảm bảo an toàn và tuân thủ.

II. Tìm hiểu về lưu trữ dữ liệu

Lưu trữ dữ liệu là quá trình quản lý và bảo đảm dữ liệu được lưu giữ an toàn, dễ truy cập khi cần. Doanh nghiệp cần hiểu rõ các hình thức lưu trữ, phân biệt với sao lưu dữ liệu, xác định loại dữ liệu cần lưu và xây dựng chính sách phù hợp. Nếu thiếu kế hoạch quản lý, tổ chức có thể đối mặt với rò rỉ thông tin, mất dữ liệu và rủi ro pháp lý.

1. Có những hình thức nào để lưu trữ dữ liệu hiện nay?

Hiện nay, doanh nghiệp và cá nhân có thể lựa chọn nhiều hình thức lưu trữ dữ liệu tùy vào nhu cầu, quy mô và mức độ bảo mật, bao gồm:

• Lưu trữ dữ liệu nội bộ (On-premises): Sử dụng máy chủ, ổ cứng, thiết bị lưu trữ đặt trực tiếp tại doanh nghiệp; phù hợp cho tổ chức muốn kiểm soát toàn diện dữ liệu nhưng chi phí đầu tư và bảo trì cao.
• Lưu trữ dữ liệu trên đám mây (Cloud storage): Dữ liệu được lưu trữ tại hệ thống máy chủ của nhà cung cấp dịch vụ; linh hoạt, tiết kiệm chi phí, dễ mở rộng, tuy nhiên phụ thuộc vào mạng Internet và chính sách bảo mật của bên cung cấp.

• Lưu trữ lai (Hybrid storage): Kết hợp giữa hệ thống nội bộ và đám mây; phù hợp doanh nghiệp có dữ liệu phân loại theo mức độ nhạy cảm khác nhau.
• Lưu trữ vật lý truyền thống như giấy tờ, hồ sơ, tài liệu bản cứng; vẫn được sử dụng trong nhiều ngành nghề nhưng dễ hư hỏng, mất mát và khó quản lý nếu số lượng lớn.

Mỗi hình thức lưu trữ có ưu nhược điểm riêng, vì vậy việc lựa chọn cần dựa trên mức độ bảo mật cần thiết, ngân sách và chiến lược quản lý thông tin của doanh nghiệp.

2. Lưu trữ dữ liệu có khác gì so với sao lưu dữ liệu không?

Lưu trữ dữ liệu và sao lưu dữ liệu thường bị nhầm lẫn nhưng bản chất là hai mục đích khác nhau:

• Lưu trữ dữ liệu (Data Archiving) là quá trình lưu giữ dữ liệu trong thời gian dài nhằm phục vụ tra cứu, quản lý thông tin, đáp ứng yêu cầu pháp lý hoặc hỗ trợ hoạt động doanh nghiệp. Dữ liệu lưu trữ thường ít thay đổi và được tổ chức có hệ thống để truy xuất khi cần.
• Sao lưu dữ liệu (Data Backup) là việc tạo ra bản sao của dữ liệu nhằm khôi phục khi có sự cố như mất dữ liệu, virus, lỗi hệ thống hoặc tấn công mạng. Sao lưu là giải pháp an toàn, dự phòng rủi ro, không phải là nơi lưu trữ cố định hay lâu dài.

Lưu trữ dữ liệu phục vụ tra cứu và duy trì dữ liệu trong dài hạn, trong khi sao lưu dữ liệu nhằm bảo vệ và khôi phục dữ liệu khi xảy ra sự cố. Nhiều doanh nghiệp cần áp dụng cả hai để bảo đảm an toàn và hiệu quả quản lý dữ liệu.

3. Tại sao doanh nghiệp cần xây dựng một chính sách lưu trữ dữ liệu rõ ràng?

Doanh nghiệp cần có một chính sách lưu trữ dữ liệu rõ ràng vì những lý do sau:

• Đảm bảo tuân thủ pháp luật: Nhiều quy định yêu cầu doanh nghiệp phải lưu trữ dữ liệu trong thời hạn nhất định hoặc bảo mật theo tiêu chuẩn cụ thể. Không tuân thủ có thể dẫn đến xử phạt hoặc tranh chấp.
• Bảo vệ dữ liệu và giảm thiểu rủi ro: Chính sách giúp kiểm soát quyền truy cập, phương thức lưu giữ và quy trình khắc phục sự cố, từ đó hạn chế rò rỉ, mất mát hoặc bị khai thác trái phép.
• Tối ưu chi phí và tài nguyên: Xác định loại dữ liệu cần lưu, thời gian lưu và phương thức lưu giúp tiết kiệm chi phí lưu trữ, tránh giữ dữ liệu không cần thiết, giảm gánh nặng hệ thống.
• Nâng cao hiệu quả quản lý và truy xuất thông tin: Dữ liệu được phân loại và quản lý khoa học giúp bộ phận nghiệp vụ, kiểm toán, pháp lý dễ dàng truy cập khi cần.

Chính sách lưu trữ dữ liệu rõ ràng chính là nền tảng để doanh nghiệp vận hành an toàn, minh bạch và có trách nhiệm trong môi trường số.

4. Lưu trữ dữ liệu có thể áp dụng cho những loại dữ liệu nào?

Lưu trữ dữ liệu được áp dụng cho nhiều loại dữ liệu khác nhau tùy theo lĩnh vực hoạt động và yêu cầu quản lý của doanh nghiệp, bao gồm:

• Dữ liệu pháp lý và hành chính: hợp đồng, văn bản, giấy phép, báo cáo, hồ sơ nội bộ.
• Dữ liệu kế toán – tài chính: sổ sách, chứng từ kế toán, hóa đơn, báo cáo thuế và tài chính theo quy định lưu trữ tối thiểu.
• Dữ liệu nhân sự: hồ sơ người lao động, hợp đồng lao động, thông tin bảo hiểm, đánh giá và kỷ luật.
• Dữ liệu khách hàng và đối tác: thông tin giao dịch, lịch sử mua hàng, yêu cầu hỗ trợ, dữ liệu định danh.
• Dữ liệu kỹ thuật và vận hành: bản vẽ, thiết kế, quy trình công nghệ, thông số hệ thống.
• Dữ liệu số từ hệ thống công nghệ thông tin: email, nhật ký truy cập, file dữ liệu, bản ghi hệ thống.

Tùy mức độ quan trọng và nhạy cảm, mỗi loại dữ liệu cần có thời hạn lưu trữ, phương thức bảo mật và quyền truy cập khác nhau để vừa phục vụ mục đích nội bộ, vừa tuân thủ quy định pháp luật.

5. Nếu không có kế hoạch lưu trữ dữ liệu, tổ chức có thể gặp phải những vấn đề gì?

Việc thiếu kế hoạch lưu trữ dữ liệu có thể dẫn đến nhiều rủi ro nghiêm trọng như:

• Mất mát dữ liệu quan trọng do lỗi hệ thống, sự cố an ninh mạng, thiết bị hư hỏng hoặc hành vi con người.
• Rò rỉ dữ liệu và vi phạm bảo mật, đặc biệt là dữ liệu cá nhân, thông tin khách hàng, bí mật kinh doanh; gây thiệt hại tài chính và uy tín.
• Không đáp ứng yêu cầu pháp lý về lưu trữ và bảo vệ dữ liệu, dẫn đến xử phạt hành chính, khiếu nại hoặc tranh chấp.
• Khó khăn khi truy xuất thông tin, gây chậm trễ ra quyết định, gián đoạn hoạt động và gia tăng chi phí vận hành.
• Lưu trữ dữ liệu tràn lan, không phân loại, khiến hệ thống quá tải, chi phí tăng nhưng không mang lại hiệu quả.

Tóm lại, thiếu chiến lược lưu trữ dữ liệu khiến tổ chức đối mặt với rủi ro pháp lý, an ninh và tài chính, ảnh hưởng trực tiếp đến hoạt động kinh doanh và uy tín doanh nghiệp.

III. Các quy định pháp luật có liên quan đến lưu trữ dữ liệu

Lưu trữ dữ liệu không chỉ là nhu cầu vận hành nội bộ mà còn là yêu cầu pháp lý bắt buộc đối với nhiều doanh nghiệp và tổ chức. Tại Việt Nam, việc thu thập, lưu giữ, bảo vệ và xử lý dữ liệu được điều chỉnh bởi nhiều văn bản pháp luật liên quan đến an ninh mạng, bảo vệ dữ liệu cá nhân, lưu trữ hồ sơ và quản lý thông tin điện tử. Do đó, doanh nghiệp cần nắm rõ các quy định pháp luật có liên quan đến lưu trữ dữ liệu, nhằm đảm bảo tuân thủ pháp luật và tránh rủi ro xử phạt.

1. Pháp luật Việt Nam quy định như thế nào về lưu trữ dữ liệu?

Pháp luật Việt Nam quy định việc lưu trữ dữ liệu phải bảo đảm an toàn, bảo mật, đúng mục đích và phù hợp với tính chất từng loại dữ liệu. Theo Điều 14 Luật Dữ liệu 2024 (được hướng dẫn bởi Điều 5 Nghị định 165/2025/NĐ-CP), cơ quan nhà nước có trách nhiệm tổ chức lưu trữ dữ liệu an toàn; còn tổ chức, cá nhân là chủ sở hữu dữ liệu được quyền tự quyết phương thức lưu trữ, trừ trường hợp dữ liệu cốt lõi, dữ liệu quan trọng phải tuân thủ yêu cầu lưu trữ theo quy định của luật.

Điều 14. Hoạt động lưu trữ dữ liệu

1. Cơ quan nhà nước chịu trách nhiệm tổ chức lưu trữ dữ liệu bảo đảm an toàn.

2. Tổ chức, cá nhân không thuộc quy định tại khoản 1 Điều này là chủ sở hữu dữ liệu được quyền quyết định việc lưu trữ dữ liệu do mình thu thập, tạo lập, sở hữu; trường hợp lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng phải bảo đảm tuân thủ theo quy định tại khoản 3 Điều 27 của Luật này.

3. Cơ sở dữ liệu quốc gia phải được lưu trữ dữ liệu trên cơ sở hạ tầng của Trung tâm dữ liệu quốc gia.

4. Cơ sở dữ liệu chuyên ngành và cơ sở dữ liệu khác của cơ quan nhà nước được lưu trữ dữ liệu trên hạ tầng của Trung tâm dữ liệu quốc gia hoặc hạ tầng của cơ quan, tổ chức khác đáp ứng tiêu chuẩn về trung tâm dữ liệu. Đối với dữ liệu dùng riêng và dữ liệu thuộc lĩnh vực quốc phòng, an ninh, đối ngoại, cơ yếu thực hiện lưu trữ dữ liệu trên cơ sở hạ tầng của Trung tâm dữ liệu quốc gia khi được sự đồng ý của chủ sở hữu dữ liệu.

Tổ chức, cá nhân không thuộc quy định tại khoản 1 Điều này là chủ sở hữu dữ liệu được quyền thỏa thuận lưu trữ dữ liệu trên cơ sở hạ tầng của Trung tâm dữ liệu quốc gia bằng hợp đồng cung cấp dịch vụ giữa tổ chức, cá nhân đó với tổ chức cung cấp dịch vụ khai thác dữ liệu, cơ sở hạ tầng tại Trung tâm dữ liệu quốc gia.

5. Chính phủ quy định chi tiết Điều này.

Bên cạnh đó, Điều 26 Nghị định 53/2022/NĐ-CP yêu cầu một số loại dữ liệu như dữ liệu cá nhân, dữ liệu người dùng tạo ra và dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam phải được lưu trữ tại Việt Nam, kể cả tổ chức trong nước và một số doanh nghiệp nước ngoài cung cấp dịch vụ trên môi trường mạng.

Điều 26. Lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam

1. Dữ liệu phải lưu trữ tại Việt Nam:

a) Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;

b) Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng (IP) đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu;

c) Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam: bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác.

2. Doanh nghiệp trong nước lưu trữ dữ liệu quy định tại khoản 1 Điều này tại Việt Nam.

3. Việc lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam của doanh nghiệp nước ngoài:

a) Doanh nghiệp nước ngoài có hoạt động kinh doanh tại Việt Nam thuộc một trong những lĩnh vực sau: Dịch vụ viễn thông; lưu trữ, chia sẻ dữ liệu trên không gian mạng; cung cấp tên miền quốc gia hoặc quốc tế cho người sử dụng dịch vụ tại Việt Nam; thương mại điện tử; thanh toán trực tuyến; trung gian thanh toán; dịch vụ kết nối vận chuyển qua không gian mạng; mạng xã hội và truyền thông xã hội; trò chơi điện tử trên mạng; dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng dưới dạng tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến phải lưu trữ dữ liệu quy định tại khoản 1 Điều này và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam trong trường hợp dịch vụ do doanh nghiệp cung cấp bị sử dụng thực hiện hành vi vi phạm pháp luật về an ninh mạng đã được Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an thông báo và có yêu cầu phối hợp, ngăn chặn, điều tra, xử lý bằng văn bản nhưng không chấp hành, chấp hành không đầy đủ hoặc ngăn chặn, cản trở, vô hiệu hóa, làm mất tác dụng của biện pháp bảo vệ an ninh mạng do lực lượng chuyên trách bảo vệ an ninh mạng thực hiện;

b) Trường hợp bất khả kháng mà việc chấp hành yêu cầu của pháp luật về an ninh mạng của doanh nghiệp nước ngoài không thể thực hiện, doanh nghiệp nước ngoài thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an trong vòng 03 ngày làm việc để kiểm tra tính xác thực của việc bất khả kháng. Trong trường hợp này, doanh nghiệp có thời gian 30 ngày làm việc để tìm phương án khắc phục.

4. Trường hợp dữ liệu do doanh nghiệp thu thập, khai thác, phân tích, xử lý không đầy đủ theo quy định tại khoản 1 Điều này, doanh nghiệp phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để xác nhận và tiến hành lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý.

Trường hợp doanh nghiệp tiến hành thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu theo quy định tại khoản 1 Điều này, doanh nghiệp có trách nhiệm phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để bổ sung vào danh sách dữ liệu phải lưu trữ tại Việt Nam.

5. Hình thức lưu trữ dữ liệu tại Việt Nam do doanh nghiệp quyết định.

….

Tóm lại, quy định lưu trữ dữ liệu hiện nay không chỉ bảo đảm quyền tự chủ của doanh nghiệp, tổ chức mà còn đặt ra yêu cầu chặt chẽ đối với dữ liệu liên quan đến an ninh mạng, dữ liệu cá nhân và các cơ sở dữ liệu nhà nước.

2. Doanh nghiệp thực hiện lưu trữ dữ liệu có cần xin giấy phép gì không?

Hiện nay, pháp luật Việt Nam không yêu cầu doanh nghiệp phải xin giấy phép riêng chỉ vì thực hiện hoạt động lưu trữ dữ liệu nội bộ của mình. Doanh nghiệp có quyền tự lựa chọn hình thức lưu trữ (máy chủ nội bộ, dịch vụ thuê ngoài, lưu trữ tại trung tâm dữ liệu…), miễn việc lưu trữ đó tuân thủ quy định về bảo mật, an toàn dữ liệu và không thuộc nhóm dữ liệu cốt lõi hoặc dữ liệu quan trọng phải áp dụng biện pháp bảo vệ đặc thù theo Điều 14 Luật Dữ liệu 2024.

Tuy nhiên, đối với doanh nghiệp cung cấp dịch vụ liên quan đến hạ tầng dữ liệu, trung tâm lưu trữ dữ liệu, dịch vụ khai thác dữ liệu, có thể phải đáp ứng điều kiện đầu tư kinh doanh hoặc thủ tục pháp lý tương ứng, tùy theo loại hình dịch vụ cung cấp.

Đặc biệt, doanh nghiệp nước ngoài cung cấp dịch vụ trên không gian mạng tại Việt Nam có thể phải lưu trữ dữ liệu tại Việt Nam và đặt văn phòng đại diện/chi nhánh trong một số trường hợp theo Khoản 3 Điều 26 Nghị định 53/2022/NĐ-CP.

Doanh nghiệp Việt Nam lưu trữ dữ liệu phục vụ nội bộ không phải xin giấy phép, nhưng phải tuân thủ quy định bảo mật và an toàn dữ liệu. Nếu kinh doanh dịch vụ lưu trữ, khai thác hoặc hạ tầng dữ liệu, doanh nghiệp phải đáp ứng điều kiện theo lĩnh vực. Riêng doanh nghiệp nước ngoài cung cấp dịch vụ trên không gian mạng tại Việt Nam có thể phải lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện trong một số trường hợp theo quy định pháp luật.

3. Cơ quan nào có thẩm quyền giám sát việc thực hiện lưu trữ dữ liệu?

Theo khoản 6 Điều 26 Nghị định 53/2022/NĐ-CP, thẩm quyền giám sát việc doanh nghiệp thực hiện lưu trữ dữ liệu được phân định như sau:

• Bộ trưởng Bộ Công an là cơ quan ra quyết định yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đối với doanh nghiệp nước ngoài thuộc diện phải tuân thủ.
• Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) là cơ quan trực tiếp thông báo, hướng dẫn, theo dõi, giám sát và đôn đốc doanh nghiệp trong quá trình thực hiện yêu cầu lưu trữ dữ liệu. Đồng thời cơ quan này cũng có trách nhiệm thông báo cho các cơ quan quản lý liên quan để thực hiện quản lý nhà nước theo thẩm quyền.

Như vậy, việc giám sát thực hiện lưu trữ dữ liệu được đặt dưới sự quyết định của Bộ trưởng Bộ Công an và sự giám sát, kiểm tra, hướng dẫn trực tiếp của Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao.

IV. Các thắc mắc thường gặp liên quan đến lưu trữ dữ liệu

Trong bối cảnh chuyển đổi số mạnh mẽ, việc lưu trữ dữ liệu không chỉ là nhu cầu vận hành mà còn là nghĩa vụ pháp lý đối với nhiều doanh nghiệp. Tuy nhiên, quá trình triển khai hệ thống lưu trữ vẫn đặt ra nhiều câu hỏi thực tiễn: lưu trữ sai quy định bị xử lý thế nào, có cần đánh giá rủi ro trước khi triển khai, doanh nghiệp có thể sử dụng dữ liệu vào mục đích khác như marketing hay không, và hậu quả ra sao nếu xảy ra rò rỉ dữ liệu. Những câu hỏi dưới đây sẽ giúp doanh nghiệp hiểu rõ hơn để bảo đảm tuân thủ pháp luật và giảm thiểu rủi ro pháp lý trong hoạt động lưu trữ dữ liệu.

1. Nếu dữ liệu bị lưu trữ không đúng quy định, công ty có thể bị xử phạt như thế nào?

Việc lưu trữ dữ liệu cá nhân phải phù hợp, có giới hạn và đúng với mục đích đã đăng ký, tuyên bố trong quá trình xử lý dữ liệu. Doanh nghiệp phải áp dụng đầy đủ biện pháp bảo vệ, bảo mật dữ liệu nhằm tránh rò rỉ, mất mát, phá hủy hoặc truy cập trái phép.

Theo Điều 4 Nghị định 13/2023/NĐ-CP, tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự tùy mức độ vi phạm. Hành vi tiếp tục lưu trữ dữ liệu khi không còn mục đích, hoặc khi chủ thể đã yêu cầu xóa, rút lại sự đồng ý có thể dẫn đến các chế tài kể trên.

Các hành vi vi phạm liên quan đến thu thập, chia sẻ, sử dụng, tiết lộ hoặc mua bán dữ liệu cá nhân trái phép có thể bị xử phạt hành chính theo các quy định tại Nghị định 15/2020/NĐ-CP, và trong trường hợp nghiêm trọng gây ảnh hưởng đến quyền riêng tư, danh dự, bí mật cá nhân của người khác, cá nhân vi phạm có thể bị xem xét truy cứu trách nhiệm hình sự theo Điều 159 về Tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác hoặc Điều 288 Bộ luật Hình sự 2015, sửa đổi bổ sung 2017 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (tùy hành vi cụ thể và hậu quả gây ra).

Tóm lại, lưu trữ dữ liệu không đúng quy định không chỉ gây rủi ro vận hành mà còn tiềm ẩn hậu quả pháp lý đáng kể, nên doanh nghiệp cần tuân thủ đầy đủ để tránh thiệt hại không đáng có.

2. Có cần thực hiện đánh giá rủi ro về bảo mật trước khi thiết lập hệ thống lưu trữ dữ liệu không?

Có, việc đánh giá rủi ro bảo mật là cần thiết trước và trong quá trình xử lý dữ liệu. Theo Điều 25 Luật Dữ liệu 2024, tổ chức phải xác định các rủi ro có thể phát sinh như rủi ro quyền riêng tư, an ninh mạng, nhận dạng và quản lý truy cập. Chủ quản dữ liệu phải tự đánh giá, áp dụng biện pháp bảo vệ, khắc phục kịp thời và thông báo khi rủi ro xảy ra. Đối với dữ liệu cốt lõi hoặc dữ liệu quan trọng, việc đánh giá rủi ro phải được thực hiện định kỳ và báo cáo đến cơ quan chuyên trách về an ninh mạng và an toàn thông tin để phối hợp bảo vệ.

Tóm lại, đánh giá rủi ro bảo mật không chỉ giúp đảm bảo tuân thủ pháp luật mà còn góp phần xây dựng hệ thống lưu trữ dữ liệu an toàn, ổn định và tiết kiệm chi phí về lâu dài.

3. Có những phương pháp nào để đảm bảo an toàn cho dữ liệu trong quá trình lưu trữ?

Theo Điều 27 Luật Dữ liệu 2024 (được hướng dẫn bởi Điều 16, 17, 18, 19 Nghị định 165/2025/NĐ-CP), bảo vệ dữ liệu phải được thực hiện xuyên suốt quá trình thu thập, lưu trữ, xử lý và khai thác. Các biện pháp bảo đảm an toàn gồm:

• Ban hành và áp dụng chính sách nội bộ về bảo vệ dữ liệu, quy trình tiếp cận, sử dụng và xử lý dữ liệu.
• Kiểm soát hoạt động xử lý dữ liệu, phân quyền truy cập, ghi log giám sát và đánh giá tuân thủ.
• Triển khai giải pháp kỹ thuật bảo mật, như mã hóa, tường lửa, sao lưu định kỳ, hệ thống phát hiện – chống xâm nhập.
• Đào tạo và quản lý nhân sự, nâng cao nhận thức về bảo mật dữ liệu và trách nhiệm của người xử lý dữ liệu.
• Áp dụng các biện pháp khác theo quy định pháp luật, tùy tính chất và mức độ quan trọng của dữ liệu.

Cơ quan nhà nước và tổ chức quản lý dữ liệu cốt lõi, dữ liệu quan trọng phải tuân thủ nghiêm các quy định chung về bảo mật, giám sát, cảnh báo sớm và đánh giá rủi ro định kỳ.

4. Nếu dữ liệu bị rò rỉ từ hệ thống lưu trữ, doanh nghiệp sẽ phải đối mặt với hậu quả gì?

Rò rỉ dữ liệu có thể gây ra nhiều thiệt hại nghiêm trọng cho doanh nghiệp, bao gồm:

• Mất uy tín và niềm tin từ khách hàng, đối tác, ảnh hưởng trực tiếp đến thương hiệu và doanh số.
• Nguy cơ bị tấn công tiếp theo, khi tin tặc khai thác thông tin có được để xâm nhập sâu hơn vào hệ thống.
• Rủi ro pháp lý, phát sinh tranh chấp, khiếu nại hoặc kiện tụng từ khách hàng và người liên quan.
• Bị xử phạt hành chính:

Căn cứ quy định tại Điều 46 Nghị định 98/2020/NĐ-CP (sửa đổi bởi Khoản 5 Điều 1 Nghị định 24/2025/NĐ-CP ) quy định vi phạm về bảo vệ thông tin của người tiêu dùng quy định:

• Phạt từ 20 – 30 triệu đồng nếu vi phạm các nghĩa vụ cơ bản về bảo vệ thông tin (không xây dựng quy tắc bảo vệ thông tin, thu thập – sử dụng dữ liệu không đúng quy định, không cho người tiêu dùng thực hiện quyền đối với dữ liệu…).
• Phạt từ 30 – 40 triệu đồng nếu:
  • Không có biện pháp bảo đảm an toàn, an ninh thông tin;
  • Không thông báo cho cơ quan có thẩm quyền trong vòng 24 giờ kể từ khi phát hiện hệ thống bị tấn công, có nguy cơ mất an toàn dữ liệu;
  • Chuyển giao dữ liệu cho bên thứ ba khi chưa có sự đồng ý của người tiêu dùng.

Trường hợp dữ liệu bị rò rỉ là dữ liệu cá nhân nhạy cảm, mức phạt có thể gấp đôi; nếu do nền tảng số lớn thực hiện, mức phạt có thể gấp bốn lần.

• Xử phạt hình sự:

Theo Điều 291 Bộ luật Hình sự 2015, hành vi thu thập, mua bán, công khai hóa trái phép thông tin tài khoản ngân hàng có thể bị:

• Phạt tiền từ 20 triệu đồng,
• Phạt cải tạo không giam giữ đến 3 năm,
• Hoặc phạt tù cao nhất đến 7 năm.

Ngoài ra, người vi phạm còn có thể:

• Bị phạt tiền bổ sung,
• Cấm đảm nhiệm chức vụ, hành nghề,
• Hoặc tịch thu tài sản.

Trong một số trường hợp, hành vi còn có thể bị xử lý theo Điều 159 Bộ luật Hình sự 2015 về tội xâm phạm bí mật, an toàn thông tin riêng tư, với mức phạt tù lên đến 3 năm.

• Rủi ro dân sự:

Theo Điều 584 Bộ luật Dân sự 2015, doanh nghiệp phải bồi thường toàn bộ thiệt hại vật chất và tinh thần do rò rỉ dữ liệu gây ra. Thiệt hại có thể gồm: mất dữ liệu, chi phí khắc phục, thiệt hại về uy tín, ảnh hưởng đến quyền lợi của khách hàng, đối tác, nhân viên.

Tóm lại, rò rỉ dữ liệu không chỉ là sự cố kỹ thuật mà còn là rủi ro pháp lý và tài chính kéo dài, ảnh hưởng đến sự phát triển của doanh nghiệp trong tương lai.

5. Doanh nghiệp có thể sử dụng dữ liệu đã lưu trữ cho mục đích marketing không? Vì sao?

Doanh nghiệp có thể sử dụng dữ liệu đã lưu trữ cho mục đích marketing, nhưng phải tuân thủ nghiêm ngặt quy định về bảo vệ dữ liệu cá nhân và quyền riêng tư của người dùng. Việc sử dụng dữ liệu cho hoạt động quảng cáo, tiếp thị chỉ hợp pháp khi:

• Có sự đồng ý rõ ràng của chủ thể dữ liệu;
• Mục đích sử dụng phải phù hợp với phạm vi đã thông báo tại thời điểm thu thập;
• Doanh nghiệp phải bảo đảm dữ liệu không bị tiết lộ, mua bán hoặc chia sẻ trái phép.

Nếu dùng dữ liệu cho marketing mà không có sự cho phép, doanh nghiệp có thể bị xử phạt, chịu trách nhiệm bồi thường, bị khiếu nại và ảnh hưởng nghiêm trọng đến uy tín thương hiệu. Vì vậy, việc sử dụng dữ liệu lưu trữ cần được kiểm soát bằng chính sách minh bạch và cơ chế bảo mật rõ ràng.

V. Bạn đang tìm công ty luật uy tín để hỗ trợ vấn đề liên quan đến lưu trữ dữ liệu?

Nếu bạn đang cần hỗ trợ pháp lý liên quan đến lưu trữ dữ liệu từ tư vấn chính sách, xây dựng quy trình tuân thủ, đánh giá rủi ro, đến soạn thảo hợp đồng và xử lý vi phạm việc chọn một công ty luật uy tín có kinh nghiệm về bảo vệ dữ liệu cá nhân, an ninh mạng và lưu trữ thông tin là hết sức quan trọng. Một công ty luật chuyên sâu có thể giúp bạn hiểu rõ quy định hiện hành, tránh rủi ro pháp lý và bảo vệ quyền lợi cho doanh nghiệp khi thực thi hoạt động lưu trữ, xử lý dữ liệu.

Trên đây là các thông tin mang tính tham khảo. Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.