Lưu trữ và bảo vệ dữ liệu: giữ bao lâu, khi nào phải xóa?

Bài viết tổng hợp quy định pháp luật để tham khảo, không thay thế tư vấn pháp lý. Thời hạn lưu trữ và nghĩa vụ cụ thể thay đổi theo ngành và theo từng loại hồ sơ — hãy đối chiếu văn bản gốc và ý kiến chuyên môn cho trường hợp của tổ chức mình.

Nhiều tổ chức nghĩ tuân thủ dữ liệu chỉ là "đừng làm lộ thông tin". Nhưng khi đọc kỹ, luật Việt Nam đặt ra hai nhóm nghĩa vụ kéo ngược nhau:

• Một số luật buộc bạn phải giữ hồ sơ, dữ liệu trong nhiều năm.
• Luật Bảo vệ dữ liệu cá nhân lại buộc bạn phải xóa dữ liệu khi không còn mục đích sử dụng.

Giữ quá tay thì vi phạm nghĩa vụ bảo vệ dữ liệu. Xóa quá tay thì vi phạm nghĩa vụ lưu trữ, mất chứng cứ khi thanh tra thuế hay kiểm toán. Bài này gỡ đúng nút thắt đó: luật nào bắt giữ, luật nào bắt xóa, và cách dung hòa trong thực tế.

Bốn nhóm nghĩa vụ cần nắm

1. Lưu trữ tài liệu — Luật Lưu trữ 2024

Luật Lưu trữ 2024 (số 33/2024/QH15) có hiệu lực từ 01/7/2025, thay thế Luật Lưu trữ 2011. Điểm đáng chú ý nhất với tổ chức đang số hóa: luật chính thức công nhận tài liệu điện tử — tài liệu tạo lập ở dạng thông điệp dữ liệu — là đối tượng lưu trữ ngang hàng tài liệu giấy.

Nói cách khác, chuyển sang văn phòng số không làm mất nghĩa vụ lưu trữ; nó chuyển nghĩa vụ đó sang dạng điện tử, kèm yêu cầu bảo đảm tính toàn vẹn, xác thực và khả năng đọc được lâu dài của tài liệu.

2. Thời hạn lưu trữ theo ngành — ví dụ hồ sơ kế toán

Nhiều lĩnh vực có thời hạn lưu trữ riêng. Rõ nhất là kế toán: Điều 40 Luật Kế toán 2015 và Nghị định 174/2016/NĐ-CP chia thời hạn lưu trữ thành ba mức:

• Tối thiểu 5 năm — chứng từ kế toán không dùng trực tiếp để ghi sổ và lập báo cáo tài chính, tài liệu mang tính thông thường.
• Tối thiểu 10 năm — chứng từ kế toán dùng trực tiếp ghi sổ và lập báo cáo tài chính, sổ kế toán, báo cáo tài chính năm.
• Vĩnh viễn — tài liệu có ý nghĩa lịch sử, kinh tế, an ninh, quốc phòng.

Các ngành khác (y tế, nhân sự, xây dựng, ngân hàng...) có khung thời hạn riêng. Điểm chung: thời hạn tính bằng năm, không phải bằng "khi nào tiện thì xóa".

3. Lưu trữ dữ liệu trong nước — Luật An ninh mạng và Nghị định 53/2022

Điều 26 Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP đặt ra yêu cầu lưu trữ dữ liệu tại Việt Nam (data localization) với doanh nghiệp trong và ngoài nước cung cấp dịch vụ trên mạng viễn thông, Internet và dịch vụ gia tăng trên không gian mạng. Hai điểm hay bị hiểu sai:

• Nghĩa vụ này không tự động áp cho mọi doanh nghiệp. Nó phát sinh khi có yêu cầu bằng văn bản từ cơ quan chức năng (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an), gắn với hành vi vi phạm cụ thể.
• Khi đã phát sinh, thời gian lưu trữ tối thiểu là 24 tháng, tính từ khi nhận được yêu cầu đến khi kết thúc yêu cầu. Doanh nghiệp nước ngoài thuộc diện còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Dù chưa bị yêu cầu, đây là lý do thực tế để nhiều tổ chức chọn giữ dữ liệu quan trọng ở hạ tầng trong nước ngay từ đầu.

4. Bảo vệ và xóa dữ liệu cá nhân — PDPL 2025

Chiều ngược lại đến từ Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP. Bên cạnh các nghĩa vụ về sự đồng ý, quyền của chủ thể dữ liệu và an toàn xử lý, luật đặt ra nguyên tắc quan trọng cho câu chuyện lưu trữ:

• Tối thiểu hóa: chỉ thu thập và giữ dữ liệu cá nhân ở mức cần thiết cho mục đích đã công bố.
• Giới hạn theo mục đích: khi mục đích xử lý đã hoàn thành hoặc chủ thể rút lại đồng ý, dữ liệu cá nhân phải được xóa hoặc hủy (trừ khi luật khác yêu cầu giữ lại).
• Chủ thể dữ liệu có quyền yêu cầu xóa; tổ chức phải có cơ chế đáp ứng.

Trên nền đó, Luật Dữ liệu 2024 (số 60/2024/QH15), hiệu lực 01/7/2025, đóng vai khung quản trị dữ liệu tổng thể — phân loại, quản lý, chia sẻ dữ liệu — mà các nghĩa vụ trên vận hành bên trong.

Nút thắt: "phải giữ" và "phải xóa" cùng lúc

Đặt cạnh nhau sẽ thấy mâu thuẫn: một hóa đơn có tên, địa chỉ, mã số thuế cá nhân của khách hàng — Luật Kế toán nói giữ tối thiểu 10 năm, PDPL nói xóa khi hết mục đích. Giữ hay xóa?

Cách xử lý đúng không phải chọn một bên, mà là hiểu thứ tự ưu tiên và phạm vi:

1. Nghĩa vụ lưu trữ luật định thắng trong phạm vi của nó. PDPL cho phép giữ dữ liệu cá nhân khi "pháp luật có quy định khác" — nghĩa vụ giữ chứng từ kế toán 10 năm chính là quy định khác đó. Bạn không được xóa hóa đơn để chiều một yêu cầu xóa.
2. Nhưng dữ liệu được giữ lại đó phải bị khóa đúng mục đích: chỉ dùng cho nghĩa vụ kế toán/thuế, không đem đi marketing, không chia sẻ ngoài phạm vi.
3. Hết thời hạn lưu trữ luật định thì nghĩa vụ xóa của PDPL kích hoạt trở lại. Dữ liệu không được "giữ mãi cho chắc".

Nói gọn: mỗi loại dữ liệu có một vòng đời — giữ đủ lâu theo luật bắt giữ, rồi xóa theo luật bắt xóa. Vấn đề của phần lớn tổ chức là không ai đang quản vòng đời đó một cách hệ thống.

Việc nên làm: một "lịch lưu trữ" cho tổ chức

Không cần bộ máy pháp chế lớn. Cần một bảng lịch lưu trữ (retention schedule) sống được:

1. Kiểm kê dữ liệu. Liệt kê các loại hồ sơ/dữ liệu đang giữ (kế toán, hợp đồng, nhân sự, dữ liệu khách hàng, nhật ký hệ thống).
2. Gắn căn cứ giữ cho từng loại. Ví dụ: chứng từ ghi sổ giữ 10 năm (Luật Kế toán); hồ sơ ứng viên không trúng tuyển theo mục đích và đồng ý (PDPL); nhật ký an ninh theo yêu cầu (NĐ 53).
3. Đặt mốc xóa. Mỗi loại có ngày hết hạn và hành động khi hết hạn (xóa, ẩn danh, hoặc chuyển lưu trữ lịch sử).
4. Ghi nhật ký. Ai truy cập, ai xóa, xóa khi nào — để chứng minh tuân thủ cả hai chiều.
5. Chọn nơi lưu. Với dữ liệu nhạy cảm hoặc có nguy cơ bị yêu cầu localization, ưu tiên hạ tầng trong nước, kiểm soát được sao lưu và phân quyền.
6. Ẩn danh thay vì giữ nguyên. Khi chỉ cần số liệu tổng hợp (thống kê, báo cáo), ẩn danh dữ liệu cá nhân để thoát khỏi phạm vi PDPL mà vẫn giữ giá trị phân tích.

Hệ thống quản lý tài liệu phải làm được gì

Một lịch lưu trữ trên giấy sẽ chết sau vài tháng. Nó chỉ sống nếu hệ thống thực thi giúp con người. Khi đánh giá một nền tảng eOffice hay quản lý tài liệu, hãy hỏi nó có:

• Gắn được thời hạn lưu trữ và ngày xóa cho từng loại tài liệu, và tự nhắc hoặc tự xử lý khi đến hạn?
• Nhật ký truy cập và thao tác đầy đủ để chứng minh tuân thủ?
• Quản lý được tài liệu điện tử đúng chuẩn lưu trữ (toàn vẹn, xác thực, đọc được lâu dài)?
• Cho phép giữ dữ liệu trong nước, kiểm soát sao lưu và phân quyền — thay vì nằm trên hạ tầng nước ngoài theo chính sách của bên thứ ba?

Đây cũng là lý do mô hình on-premise / tự chủ hạ tầng hợp với tổ chức xử lý dữ liệu nhạy cảm: giữ được dữ liệu trong nước, chứng minh được vòng đời lưu trữ–xóa, và không phụ thuộc chính sách của một nhà cung cấp bên ngoài.

Kết

Tuân thủ dữ liệu ở Việt Nam không phải một luật, mà là bốn nhóm nghĩa vụ đan nhau: lưu trữ tài liệu (Luật Lưu trữ 33/2024), thời hạn theo ngành (Luật Kế toán và tương đương), lưu trữ trong nước (Luật An ninh mạng và NĐ 53/2022) và bảo vệ, xóa dữ liệu cá nhân (PDPL 91/2025 và NĐ 356/2025), trong khung quản trị của Luật Dữ liệu 60/2024.

Việc cần làm không phải học thuộc luật, mà là biết mỗi loại dữ liệu của mình sống bao lâu và chết khi nào — rồi để hệ thống thực thi vòng đời đó thay vì trông vào trí nhớ. Tổ chức nào làm được điều này vừa an toàn khi thanh tra, vừa an toàn trước PDPL.

Nếu đang xây dựng quy trình lưu trữ và bảo vệ dữ liệu cho tổ chức, hãy đặt lịch tư vấn để đối chiếu theo đúng nghiệp vụ và mô hình triển khai phù hợp.