Data localization: vì sao lưu trữ dữ liệu trong nước đang thành xu hướng

Dữ liệu không có biên giới về mặt kỹ thuật, nhưng ngày càng có biên giới về mặt pháp lý. Đó là lý do "data localization" — lưu trữ và xử lý dữ liệu trong nước — đang chuyển từ một lựa chọn kỹ thuật thành một kỳ vọng pháp lý tại Việt Nam. Với người ra quyết định, câu hỏi không còn là "để dữ liệu ở đâu cho tiện" mà là "để ở đâu để chứng minh được quyền kiểm soát khi cần".

Bài này giải thích data localization thực chất là gì, vì sao nó thành xu hướng, nó đòi hỏi gì ở kiến trúc hệ thống, khi nào doanh nghiệp buộc phải nội địa hóa dữ liệu, và một checklist để bắt đầu.

Data localization là gì, và không phải là gì

Data localization là yêu cầu giữ một số loại dữ liệu ở lại trong lãnh thổ nơi nó phát sinh, thay vì để dữ liệu tự do chảy sang trung tâm dữ liệu ở nước khác. Ở mức cơ bản nhất, nó đặt ra hai câu hỏi rất cụ thể: dữ liệu đang nằm vật lý ở đâu, và ai có quyền chạm vào nó.

Cần phân biệt vài khái niệm hay bị gộp làm một:

• Lưu trữ trong nước (data residency). Bản chính của dữ liệu được đặt tại máy chủ trong nước. Đây là yêu cầu về nơi dữ liệu "ở".
• Kiểm soát dữ liệu (data sovereignty). Dữ liệu chịu sự điều chỉnh của pháp luật Việt Nam và tổ chức chứng minh được ai truy cập, khi nào. Đây là yêu cầu về quyền, không chỉ về vị trí.
• Hạn chế chuyển ra nước ngoài. Một số nhóm dữ liệu chỉ được chuyển xuyên biên giới khi đáp ứng điều kiện nhất định, chứ không cấm tuyệt đối.

Data localization không có nghĩa là "cấm dùng cloud" hay "mọi thứ phải on-premise". Nó có nghĩa là bạn phải biết dữ liệu nào thuộc diện phải giữ gần, và có cách chứng minh điều đó.

Vì sao lưu trữ trong nước đang thành kỳ vọng

Giới phân tích quốc tế ghi nhận Việt Nam, cùng nhiều quốc gia khác, siết dần yêu cầu về lưu trữ và kiểm soát dữ liệu trong nước. Xu hướng này đến từ ba động lực chồng lên nhau.

• Động lực pháp lý. Trong nước, hướng này được củng cố bằng nhiều văn bản lớn. Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP đặt nghĩa vụ lưu trữ trong nước với một số nhóm dữ liệu do người dùng tại Việt Nam tạo ra. Luật Dữ liệu (số 60/2024/QH15, hiệu lực từ 1/7/2025) đưa việc dùng nền tảng đặt ngoài lãnh thổ để xử lý dữ liệu vào nhóm chuyển, xử lý dữ liệu xuyên biên giới. Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15, hiệu lực từ 1/1/2026) và Nghị định 356/2025 chi tiết hóa nâng nghĩa vụ với dữ liệu cá nhân lên tầm luật. Khi luật yêu cầu chứng minh dữ liệu ở đâu và ai kiểm soát, "để đâu cũng được" không còn là một lựa chọn an toàn.
• Động lực chủ quyền. Nhà nước và cả doanh nghiệp ngày càng coi dữ liệu công dân, dữ liệu vận hành cốt lõi là tài sản chiến lược. Giữ dữ liệu trong tầm tài phán trong nước giúp giảm phụ thuộc vào quyết định của một nhà cung cấp hay một chính sách ở nước ngoài.
• Động lực rủi ro. Khi dữ liệu nằm trên hạ tầng của người khác ở khu vực khác, sự cố của họ trở thành sự cố của bạn, nhưng bạn chỉ ngồi chờ thông báo. Nghĩa vụ pháp lý với chủ thể dữ liệu vẫn thuộc về bạn, dù hệ thống do người khác vận hành.

Ba động lực này không loại trừ nhau. Chúng cùng đẩy cùng một kết luận: nơi đặt dữ liệu là một quyết định cần cân nhắc trước, không phải mặc định theo nhà cung cấp.

"Trong nước / on-premise" nghĩa là gì trên thực tế

Trên thực tế, "giữ dữ liệu trong nước" có nhiều mức, không chỉ một.

• On-premise. Dữ liệu nằm trên máy chủ do tổ chức sở hữu hoặc thuê chỗ đặt, trong mạng của tổ chức. Đây là mức kiểm soát cao nhất và cũng là mức trách nhiệm vận hành cao nhất.
• Private cloud trong nước. Hạ tầng dành riêng, đặt tại trung tâm dữ liệu trong nước hoặc một vùng riêng của nhà cung cấp Việt Nam. Bạn giữ kiểm soát ở mức tài nguyên và truy cập, đổi lại có tốc độ cấp phát gần bằng cloud công cộng.
• Cloud công cộng, chọn vùng đặt tại Việt Nam. Vẫn là dịch vụ chia sẻ, nhưng dữ liệu được ghim ở vùng trong nước và điều này được ghi rõ trong hợp đồng, thay vì mặc định dùng vùng gần nhất.

Cách chắc chắn nhất để dữ liệu nằm trong nước và trong tầm kiểm soát là đặt nó trên hạ tầng của chính tổ chức. On-premise không phải xu hướng hoài cổ — nó là câu trả lời thực dụng cho một môi trường pháp lý đang siết lại. Nhưng on-premise cũng không tự động an toàn: một máy chủ không vá lỗi, không sao lưu ngoài site thì rủi ro hơn một dịch vụ được quản trị tử tế. Kiểm soát đi kèm trách nhiệm.

Ảnh hưởng tới kiến trúc hệ thống

Khi nội địa hóa dữ liệu thành yêu cầu, nó chạm vào cách thiết kế hệ thống, không chỉ chỗ đặt máy.

• Phân vùng dữ liệu. Cần một đường biên rõ ràng giữa phần dữ liệu phải giữ trong nước và phần có thể linh hoạt, thay vì trộn lẫn rồi phải nội địa hóa toàn bộ vì một phần nhạy cảm.
• Nhật ký truy cập. Muốn chứng minh ai đã chạm vào dữ liệu, hệ thống phải ghi log truy cập đầy đủ và giữ đủ lâu. Đây là năng lực on-premise và private cloud cho bạn tự chủ, còn SaaS thì phụ thuộc báo cáo nhà cung cấp.
• Sao lưu và khôi phục trong nước. Bản sao lưu cũng là dữ liệu. Nếu bản chính ở Việt Nam nhưng bản sao lưu tự động đẩy sang vùng nước ngoài, nghĩa vụ lưu trữ trong nước có thể bị vi phạm ở chính chỗ ít ai để ý.
• Khả năng rời đi. Câu hỏi kiểm tra đơn giản: nếu mai chấm dứt hợp đồng, bạn lấy lại toàn bộ dữ liệu ở định dạng nào, trong bao lâu, phần mềm nào đọc được? Chuẩn mở và tài liệu lược đồ là điều kiện để nội địa hóa không biến thành một dạng khóa nhà cung cấp mới.

Chúng tôi đã bàn kỹ hơn về đánh đổi giữa các mô hình trong bài on-premise hay cloud.

Khi nào doanh nghiệp buộc phải nội địa hóa dữ liệu

Không phải mọi dữ liệu đều cần ở trong nước, nhưng có những trường hợp nghiêng hẳn về phía phải giữ gần.

• Dữ liệu chứa thông tin cá nhân của người dùng tại Việt Nam, đặc biệt là dữ liệu nhạy cảm.
• Doanh nghiệp cung cấp dịch vụ viễn thông, Internet, dịch vụ gia tăng có xử lý dữ liệu người dùng tại Việt Nam, thuộc diện điều chỉnh của quy định về lưu trữ trong nước.
• Hệ thống lưu bí mật nhà nước, bí mật kinh doanh, hồ sơ nhân sự hay dữ liệu khách hàng nhạy cảm.
• Hệ thống lõi mà nếu mất hoặc mất quyền truy cập thì tổ chức dừng hoạt động lâu.

Với phần dữ liệu không thuộc các nhóm trên — website công khai, môi trường thử nghiệm, tải chỉ sống trong một chiến dịch ngắn — cloud vẫn là lựa chọn hợp lý. Về chế tài, cần thận trọng: các mức phạt gắn với hành vi cụ thể theo quy định hiện hành, trong đó vi phạm về chuyển dữ liệu xuyên biên giới có khung xử lý riêng, không nên hiểu là một mức phạt chung áp cho mọi vi phạm. Chi tiết nên đối chiếu với văn bản và tư vấn pháp lý cho từng tình huống.

Checklist bắt đầu

• Lập danh mục dữ liệu. Liệt kê các hệ thống và phân loại dữ liệu theo độ nhạy cảm và nghĩa vụ pháp lý, trước khi bàn tới chỗ đặt.
• Xác định phần phải giữ trong nước. Đánh dấu rõ dữ liệu cá nhân, dữ liệu nhạy cảm, hệ thống lõi.
• Kiểm tra nơi đặt hiện tại. Với mỗi hệ thống đang dùng, xác nhận dữ liệu và bản sao lưu thật sự nằm ở đâu, kể cả vùng nhân bản của nhà cung cấp.
• Rà soát nhật ký và bằng chứng. Bạn có trả lời được ai đã truy cập dữ liệu nào, lúc nào không.
• Chuẩn bị đường rút. Hỏi về định dạng và thời gian xuất dữ liệu ngay từ vòng đàm phán đầu, không đợi lúc muốn rời đi.
• Lập lộ trình. Quyết định cái gì chuyển về on-premise hoặc private cloud trong nước, cái gì giữ linh hoạt, theo thứ tự ưu tiên rủi ro.

Tetra eOffice, Manta Security và Molly Reader đều chạy trên hạ tầng của bạn, để dữ liệu và nhật ký nằm trong cơ sở dữ liệu mà đội kỹ thuật của bạn truy cập được. Nếu tổ chức của bạn đang rà soát chiến lược dữ liệu, hãy đặt lịch tư vấn để cùng xác định đâu là dữ liệu phải giữ gần, đâu là phần có thể linh hoạt và một lộ trình chuyển đổi hợp lý.