Máy chủ đặt ở đâu cho đúng luật bảo vệ dữ liệu cá nhân

"Máy chủ công ty em đặt ở nước ngoài, giờ có phải chuyển về Việt Nam không." Câu hỏi máy chủ đặt ở đâu cho đúng luật lặp lại nhiều lần trong 1 tháng gần đây. Trả lời ngắn gọn trong 5 từ: không, không ai bắt cả. Luật Bảo vệ dữ liệu cá nhân không cấm đặt máy chủ ngoài lãnh thổ. Nó chỉ thêm một số việc phải làm khi dữ liệu đi qua biên giới. Bài này gỡ đúng chỗ hiểu lầm đó.

Nói trước 1 điều cho rõ phạm vi. Bài này không phải tư vấn pháp lý. 2 số hiệu luật dưới đây là toàn bộ căn cứ được dùng, không thêm số nào khác. Việt Nam hiện có 2 luật hay bị nhầm với nhau. Nhầm 1 chữ là sai cả bài.

Nghị định hướng dẫn Luật Bảo vệ dữ liệu cá nhân là 356/2025/NĐ-CP. Hiệu lực cùng ngày 01/01/2026. 2 luật trên cách nhau nửa năm hiệu lực. Gọi nhầm tên là sai cả căn cứ lẫn thời điểm.

Máy chủ đặt ở đâu thì đúng luật dữ liệu cá nhân

Không. Đây là hiểu lầm số 1 gặp trong tư vấn. Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP không yêu cầu mọi dữ liệu phải nằm trên máy chủ trong lãnh thổ Việt Nam. Doanh nghiệp vẫn được chọn đặt hạ tầng ở bất kỳ đâu, kể cả cloud quốc tế, thuê chỗ đặt máy chủ trong nước, hay giữ nguyên hạ tầng đang chạy.

3 điều luật thật sự yêu cầu

• Không cấm đặt máy chủ ngoài lãnh thổ.
• Chỉ phát sinh nghĩa vụ khi đó là hành vi chuyển dữ liệu cá nhân ra nước ngoài.
• Nghĩa vụ nằm ở hồ sơ và trách nhiệm giải trình, không phải cấm vị trí địa lý.

Bán bằng nỗi sợ sai luật là cám dỗ lớn với nhà hosting Việt Nam. Đây cũng là cách nhanh nhất mất uy tín với khách có phòng pháp chế đọc luật thật.

3 lý do hiểu lầm này lan nhanh

• 2 luật ra đời gần nhau, số hiệu na ná, dễ ghép nhầm tên.
• Một số bài tư vấn rút gọn quá tay: từ "có nghĩa vụ khi chuyển" thành "phải đặt trong nước".
• Doanh nghiệp không có phòng pháp chế nên nghe đâu tin đó.

Chuyển dữ liệu ra nước ngoài thì cần hồ sơ gì

Dữ liệu cá nhân thu thập tại Việt Nam mà xử lý trên hệ thống đặt ngoài lãnh thổ, đó là tình huống phát sinh nghĩa vụ hồ sơ. Việc cần làm là chuẩn bị hồ sơ đánh giá tác động. Lưu hồ sơ để cơ quan chức năng kiểm tra khi cần. Không phải xin phép trước từng lần chuyển.

3 việc nên làm trước

• Xác định dữ liệu nào đang xử lý ở đâu: máy chủ ứng dụng, email marketing, CRM. Đôi khi nằm ở 3 nhà cung cấp, 3 quốc gia khác nhau.
• Chuẩn bị hồ sơ đánh giá tác động. Mô tả biện pháp bảo vệ dữ liệu tại nơi nhận tương đương mức Việt Nam yêu cầu.
• Lưu hồ sơ đầy đủ, sẵn sàng xuất trình. Đừng làm khi bị hỏi mới cuống.

Không chỉ dành cho công ty lớn

• Công ty nhỏ dùng email nước ngoài, công cụ chat đặt máy chủ ngoài Việt Nam cũng nằm trong phạm vi này.
• Mức hồ sơ có thể đơn giản hơn công ty lớn. Không phải được miễn hoàn toàn.
• Đây là lý do nên hỏi pháp chế trước khi tự quyết định.

Khi nào đặt máy chủ trong nước có lợi thật

Có lợi vì lý do vận hành, không phải vì luật bắt buộc. 3 lợi ích rõ nhất: độ trễ thấp hơn cho khách trong nước, làm việc trực tiếp bằng tiếng Việt, xuất hoá đơn VAT trong nước cho kế toán dễ đối soát.

3 lý do kỹ thuật, không phải lý do luật

• Độ trễ thấp hơn cho người dùng Việt Nam. Web bán hàng, hệ thống đặt lịch, API tần suất cao đều cần phản hồi nhanh.
• Hỗ trợ tiếng Việt. Sự cố lúc 2 giờ sáng không phải viết ticket tiếng Anh rồi chờ múi giờ khác trả lời.
• Hoá đơn VAT trong nước. Kế toán không phải quy đổi ngoại tệ hay giải trình chi phí nước ngoài.

Bảng so sánh 2 lựa chọn

3 hàng đầu là lợi ích vận hành thật. Hàng thứ 4 là nghĩa vụ pháp lý. Hàng cuối cloud quốc tế thắng. Đọc đúng từng hàng, đừng gộp lý do vận hành với lý do luật vào chung 1 rổ.

Khi nào cloud quốc tế vẫn là lựa chọn hợp lý

Doanh nghiệp phục vụ khách đa quốc gia, hoặc dùng công cụ gắn chặt với 1 nền tảng cloud, thường vẫn nên giữ nguyên hạ tầng quốc tế. Vấn đề khi đó không phải chuyển máy chủ. Vấn đề là chuẩn bị đúng hồ sơ theo luật.

3 tình huống cloud quốc tế vẫn hợp lý

• Sản phẩm phục vụ người dùng ở nhiều nước, máy chủ đặt gần phần lớn người dùng chứ không riêng thị trường Việt Nam.
• Đội kỹ thuật đã quen 1 nền tảng cloud cụ thể. Chuyển sang hạ tầng khác tốn thời gian đào tạo lại.
• Ứng dụng phụ thuộc dịch vụ đặc thù chỉ nền tảng đó có, ví dụ công cụ máy học quy mô lớn.

Việc cần làm nếu giữ cloud quốc tế

• Rà lại loại dữ liệu đang xử lý ở đó có phải dữ liệu cá nhân theo luật hay không.
• Chuẩn bị hồ sơ đánh giá tác động như mục trên. Lưu có hệ thống, không rải rác trong email.
• Rà soát định kỳ khi có thay đổi về dữ liệu thu thập hoặc nhà cung cấp.

Việc cần làm dù đặt máy chủ ở đâu

Dù chọn trong nước hay quốc tế, 2 việc nền tảng vẫn giống nhau: biết mình đang lưu dữ liệu gì, biết ai truy cập được dữ liệu đó. Đây là phần hay bị bỏ qua vì mải tranh luận chỗ đặt máy chủ.

4 việc nền tảng, làm trước khi lo chỗ đặt

• Lập danh mục dữ liệu cá nhân đang thu thập: tên, số điện thoại, email, địa chỉ, thông tin thanh toán. Mỗi loại nằm ở hệ thống nào.
• Xác định ai có quyền truy cập từng loại dữ liệu. Giới hạn theo đúng nhu cầu công việc.
• Ghi lại quy trình xử lý khi có yêu cầu xoá dữ liệu hoặc khi xảy ra sự cố.
• Rà soát định kỳ danh sách nhà cung cấp bên thứ 3 đang chạm vào dữ liệu.

Việc này không phụ thuộc hạ tầng đặt ở Viettel IDC, VNPT IDC hay cloud quốc tế nào. Máy chủ chỉ là nơi lưu. Quản trị dữ liệu là việc con người phải làm rõ, có ghi chép. Bài về việc website cần sửa gì để đúng luật dữ liệu cá nhân nói riêng về form thu thập và chính sách quyền riêng tư hiển thị ra ngoài. Bài này nói riêng về nơi đặt hạ tầng phía sau, 2 phạm vi tách bạch nhau.

Câu hỏi thường gặp về máy chủ đặt ở đâu và luật dữ liệu cá nhân

Hỏi pháp chế trước khi quyết chuyển

Tóm 1 câu: luật không bắt đặt máy chủ trong nước. Nó chỉ thêm nghĩa vụ hồ sơ khi dữ liệu cá nhân đi qua biên giới. Quyết định đặt ở đâu nên dựa trên độ trễ, chi phí, cách công ty đang vận hành. Không dựa trên nỗi sợ sai luật chưa kiểm chứng.

Trước khi chuyển máy chủ vì lý do luật, hỏi lại pháp chế xem tình huống công ty có thật sự là chuyển dữ liệu xuyên biên giới không. Nếu có, chuẩn bị hồ sơ trước, chuyển hạ tầng sau nếu vẫn cần. Cần so cấu hình và chi phí thì xem thêm dịch vụ chỗ đặt máy chủ hoặc máy chủ riêng tại BizMaC.