Có bắt buộc lưu dữ liệu người dùng Việt Nam tại Việt Nam?

Có, nếu doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet hoặc dịch vụ gia tăng trên không gian mạng tại Việt Nam (app, nền tảng, SaaS) và có thu thập, phân tích, xử lý dữ liệu thông tin cá nhân, dữ liệu về mối quan hệ của người dùng hoặc dữ liệu do người dùng tại Việt Nam tạo ra. Những dữ liệu này phải lưu tại Việt Nam trong thời gian do Chính phủ quy định. Doanh nghiệp nước ngoài còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam (Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15, hiệu lực 01/07/2026, thay luật năm 2018). Lưu tại Việt Nam không cấm đưa dữ liệu ra nước ngoài. Vẫn được chuyển dữ liệu cá nhân xuyên biên giới, kể cả dùng cloud ở nước ngoài, nhưng phải lập hồ sơ đánh giá tác động và gửi bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ lần chuyển đầu tiên (Điều 20 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Lưu dữ liệu nhân viên của chính công ty trên cloud thì không phải lập hồ sơ này (Điều 20 khoản 6 điểm b). Mức phạt theo Nghị định 330/2026/NĐ-CP: • Không lưu dữ liệu tại Việt Nam, hoặc doanh nghiệp nước ngoài không đặt chi nhánh, văn phòng đại diện: 50–70 triệu đồng với cá nhân, tổ chức gấp đôi là 100–140 triệu đồng (Điều 29 khoản 2 điểm c, d; Điều 7 khoản 1). • Không lập hoặc không nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới: 30–50 triệu đồng (Điều 56 khoản 1).Nguồn: Điều 25 khoản 3 Luật An ninh mạng 116/2025/QH15; Điều 20 khoản 1, 2, 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 7 khoản 1, Điều 29 khoản 2, Điều 56 khoản 1 Nghị định 330/2026/NĐ-CP