Doanh nghiệp lưu danh sách khách hàng trên Google Drive, bảng lương trên Microsoft 365 hoặc cơ sở dữ liệu trên AWS, Azure, Google Cloud có cần tuân thủ pháp luật bảo vệ dữ liệu cá nhân? Có, nếu thông tin được lưu là dữ liệu cá nhân và hoạt động thuộc phạm vi điều chỉnh của luật. Lưu dữ liệu trên cloud không chuyển trách nhiệm sang nhà cung cấp: doanh nghiệp vẫn phải xác định dữ liệu gì đang được lưu, ai được truy cập, dữ liệu nằm ở đâu và được bảo vệ bằng biện pháp nào.
Lưu dữ liệu trên cloud có cần tuân thủ Luật Bảo vệ dữ liệu cá nhân không?#
Khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 định nghĩa xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, gồm thu thập, phân tích, mã hóa, chuyển giao và các hoạt động khác. Điều 18 yêu cầu bên lưu trữ dữ liệu cá nhân có biện pháp bảo vệ dữ liệu trong quá trình lưu trữ. Vì vậy, việc tải tệp lên cloud để giữ lại cũng cần được quản lý, kể cả khi doanh nghiệp chưa phân tích hoặc chia sẻ tệp đó.
Điều 30 quy định trực tiếp việc bảo vệ dữ liệu cá nhân trong môi trường điện toán đám mây. Dữ liệu phải được xử lý đúng mục đích, trong phạm vi cần thiết (khoản 1). Hệ thống và dịch vụ điện toán đám mây phải tích hợp biện pháp bảo mật phù hợp, sử dụng phương thức xác thực, định danh và phân quyền truy cập phù hợp (khoản 3). Bạn có thể đối chiếu Luật 91/2025/QH15 trên Cổng thông tin Chính phủ.
Điểm quyết định không phải doanh nghiệp dùng gói miễn phí hay trả phí. Một thư mục chứa hồ sơ khách hàng vẫn cần được quản lý về mục đích, quyền truy cập và thời hạn lưu trữ. Chứng nhận bảo mật của nhà cung cấp là thông tin để đánh giá dịch vụ, không thay thế việc tuân thủ của bên sử dụng.
Những dữ liệu cá nhân nào cần bảo vệ khi lưu dữ liệu trên cloud?#
Hãy bắt đầu từ các tệp và hệ thống đang dùng hằng ngày:
- Danh sách khách hàng có tên, số điện thoại, địa chỉ hoặc lịch sử mua hàng.
- Hồ sơ nhân sự chứa CV, hợp đồng lao động, bảng lương và tài khoản ngân hàng.
- Ảnh, video camera hoặc bản ghi cuộc gọi có thể xác định một người.
- Dữ liệu tài khoản và nhật ký sử dụng có khả năng liên kết với cá nhân.
Một tài liệu giới thiệu sản phẩm không chứa thông tin cá nhân có thể nằm ngoài nhóm này. Ngược lại, thay tên khách hàng bằng mã số chưa đủ để kết luận dữ liệu đã vô danh nếu vẫn có thể đối chiếu để xác định người đó. Doanh nghiệp cần xét khả năng nhận diện trong thực tế; xem thêm khử nhận dạng dữ liệu là gì.
Lưu dữ liệu trên cloud Việt Nam và nước ngoài khác nhau thế nào?#
Cloud đặt tại Việt Nam vẫn cần tuân thủ#
Máy chủ trong nước không làm mất nghĩa vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp vẫn cần quản lý mục đích sử dụng, căn cứ xử lý, bảo mật và quyền của người có dữ liệu. Đồng thời, cần kiểm tra cả vị trí sao lưu và bên được tiếp cận dữ liệu, thay vì chỉ nhìn địa chỉ trung tâm dữ liệu chính.
Cloud nước ngoài cần rà soát luồng dữ liệu xuyên biên giới#
Khoản 1 Điều 20 Luật 91/2025 liệt kê các trường hợp chuyển dữ liệu cá nhân xuyên biên giới, trong đó có việc chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ (điểm a) và việc sử dụng nền tảng ở ngoài lãnh thổ để xử lý dữ liệu cá nhân thu thập tại Việt Nam (điểm c). Khi doanh nghiệp chọn vùng lưu trữ (region) đặt ngoài Việt Nam trên AWS, Azure hay Google Cloud, hoặc dùng dịch vụ SaaS có máy chủ ở nước ngoài, cần đối chiếu luồng dữ liệu với các trường hợp này. Hãy kiểm tra cấu hình và hợp đồng thực tế, không kết luận chỉ từ tên nhà cung cấp.
Nếu thuộc khoản 1, doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20). Hồ sơ lập theo Mẫu số 09 của Nghị định 356/2025/NĐ-CP.
Có một ngoại lệ đáng chú ý: điểm b khoản 6 Điều 20 quy định cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc mình trên dịch vụ điện toán đám mây không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Ngoại lệ này không miễn các nghĩa vụ bảo vệ dữ liệu khác, cũng không áp dụng cho dữ liệu khách hàng. Xem thêm cẩm nang chuyển dữ liệu ra nước ngoài.
Ai chịu trách nhiệm khi lưu dữ liệu trên cloud?#
Doanh nghiệp thường quyết định thu thập thông tin nào và sử dụng vào mục đích gì; nhà cung cấp thực hiện các công việc theo dịch vụ đã thỏa thuận. Vai trò pháp lý của từng bên phải xác định theo hoạt động thực tế, xem bên kiểm soát và bên xử lý dữ liệu.
Nếu chính doanh nghiệp cung cấp phần mềm trên cloud cho khách hàng, yêu cầu lưu trữ dữ liệu tại Việt Nam và hồ sơ chuyển dữ liệu được phân tích tại trang bảo vệ dữ liệu cá nhân ngành SaaS và bài lưu trữ dữ liệu tại Việt Nam.
Mô hình trách nhiệm chung (Shared Responsibility Model)#
Các nhà cung cấp hạ tầng đám mây lớn như AWS, Microsoft Azure và Google Cloud đều áp dụng mô hình trách nhiệm chung. Mô hình này giúp doanh nghiệp xác định phần việc bảo mật nào thuộc về mình:
- Nhà cung cấp chịu trách nhiệm bảo mật trung tâm dữ liệu, phần cứng, mạng hạ tầng và lớp ảo hóa.
- Doanh nghiệp chịu trách nhiệm dữ liệu đặt bên trong: cấu hình quyền truy cập, mã hóa, quản lý khóa, cập nhật hệ điều hành máy chủ ảo, chia sẻ tệp và căn cứ xử lý dữ liệu.
Vì vậy, khi lưu dữ liệu trên cloud, nếu một kho lưu trữ (như Amazon S3 bucket) bị cấu hình công khai ra Internet hoặc nhân viên bật chia sẻ công khai bảng lương trên Google Drive, rủi ro phát sinh từ cấu hình của doanh nghiệp chứ không phải từ hạ tầng của nhà cung cấp. Mô hình trách nhiệm chung là cách phân chia kỹ thuật theo hợp đồng dịch vụ; nghĩa vụ pháp lý của mỗi bên vẫn xác định theo Luật 91/2025 và thỏa thuận xử lý dữ liệu.
Hợp đồng với nhà cung cấp#
Hợp đồng cần làm rõ phạm vi xử lý, biện pháp bảo mật, nhà thầu phụ, hỗ trợ khi có sự cố và cách trả lại hoặc xóa dữ liệu khi kết thúc dịch vụ. Khoản 2 Điều 12 Nghị định 356/2025/NĐ-CP yêu cầu hợp đồng với nhà cung cấp điện toán đám mây nêu rõ việc chấp hành pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, luồng xử lý và vai trò các bên, yêu cầu bảo mật, thời hạn xử lý và xóa, hủy dữ liệu. Tham khảo hợp đồng xử lý dữ liệu DPA và bài phụ lục DPA với nhà cung cấp SaaS quốc tế để chuẩn bị nội dung rà soát.
Checklist tuân thủ khi lưu dữ liệu trên cloud#
1. Kiểm kê dữ liệu và mục đích lưu trữ#
Lập danh sách hệ thống, loại dữ liệu, bộ phận phụ trách và lý do cần lưu. Với hạ tầng AWS, Azure, Google Cloud, rà soát cả cơ sở dữ liệu, kho tệp, bản sao lưu và môi trường thử nghiệm có chứa dữ liệu thật. Ưu tiên thư mục nhân sự, CRM và dữ liệu nhạy cảm. Loại bỏ thông tin không cần thiết thay vì sao chép toàn bộ hồ sơ lên cloud theo thói quen. Danh sách này cũng là điểm bắt đầu của bản đồ luồng dữ liệu khi doanh nghiệp làm tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
2. Kiểm tra căn cứ xử lý và thông báo#
Xác định hoạt động nào cần sự đồng ý, hoạt động nào thuộc trường hợp pháp luật cho phép xử lý không cần đồng ý. Nội dung thông báo phải phù hợp với cách sử dụng thực tế; không mặc định một ô đồng ý chung sẽ bao phủ mọi mục đích.
3. Xác định nơi lưu, người truy cập và rà soát hợp đồng#
Ghi nhận vùng lưu trữ (region), vị trí bản sao lưu, nhà cung cấp phụ và đội ngũ hỗ trợ có quyền truy cập; đối chiếu luồng dữ liệu với khoản 1 Điều 20 Luật 91/2025 và yêu cầu nhà cung cấp giải thích bằng tài liệu nếu thông tin chưa rõ. Kiểm tra điều khoản xử lý dữ liệu, cơ chế thông báo sự cố, giới hạn sử dụng và xóa dữ liệu khi chấm dứt dịch vụ. Lưu phiên bản điều khoản đã chấp nhận và phân công người theo dõi thay đổi của nhà cung cấp.
4. Thiết lập bảo mật kỹ thuật#
Khoản 3 Điều 30 yêu cầu dịch vụ điện toán đám mây có biện pháp bảo mật, xác thực và phân quyền truy cập phù hợp. Khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP quy định cụ thể hơn: dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm theo phân quyền truy cập nghiêm ngặt. Mã hóa không làm dữ liệu hết là dữ liệu cá nhân (khoản 1 Điều 12 Luật 91/2025), nên doanh nghiệp vẫn phải quản lý khóa, quyền truy cập, mục đích sử dụng và việc chia sẻ. Trên thực tế, đội IT/DevOps nên:
- Phân quyền truy cập (IAM) theo nguyên tắc đặc quyền tối thiểu và bật xác thực nhiều yếu tố (MFA) cho tài khoản quản trị.
- Mã hóa cơ sở dữ liệu, kho tệp và bản sao lưu; quản lý khóa bằng dịch vụ quản lý khóa (KMS) và giới hạn người được dùng khóa.
- Bật nhật ký truy cập, thao tác (như AWS CloudTrail, Azure Monitor, Google Cloud Audit Logs) và quy định thời hạn lưu nhật ký trong chính sách nội bộ.
- Thu hồi tài khoản khi nhân viên nghỉ việc và kiểm tra định kỳ các liên kết chia sẻ công khai.
5. Kiểm tra cấu hình định kỳ#
Dùng công cụ quản lý tư thế bảo mật đám mây (CSPM) như AWS Security Hub, Prowler hoặc ScoutSuite để tự động phát hiện kho lưu trữ công khai, tài khoản quản trị chưa bật MFA, cổng dịch vụ mở hoặc bản sao lưu chưa mã hóa. Với hệ thống có quy trình CI/CD, tích hợp bước quét này trước khi triển khai.
6. Quản lý vòng đời dữ liệu#
Quy định thời hạn lưu và cách xóa dữ liệu, bao gồm bản sao lưu và dữ liệu trong môi trường thử nghiệm. Xem thêm quản lý vòng đời dữ liệu cá nhân.
7. Xác định hồ sơ đánh giá tác động cần lập#
Phân biệt hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 21 Luật 91/2025) với hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 20). Đây là hai hồ sơ khác nhau, mỗi loại có nghĩa vụ và ngoại lệ riêng theo Luật và Nghị định 356/2025/NĐ-CP. Trước khi lập hồ sơ đánh giá tác động (DPIA), xác định doanh nghiệp cần một hay cả hai hồ sơ khi lưu dữ liệu trên cloud.
