1. Luật An ninh mạng 2018

Đây là văn bản pháp luật nền tảng, đưa ra những quy định chung về an ninh mạng, trong đó có đề cập đến việc bảo vệ dữ liệu.

Điều 26 của Luật An ninh mạng 2018 là cơ sở cho các quy định chi tiết về bản địa hóa dữ liệu, yêu cầu các doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ giá trị gia tăng trên không gian mạng phải lưu trữ một số loại dữ liệu nhất định tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam khi được yêu cầu.

2. Nghị định số 53/2022/NĐ-CP Quy định chi tiết một số điều của Luật An ninh mạng

Nghị định 53/2022/NĐ-CP (có hiệu lực từ ngày 01/10/2022) là văn bản hướng dẫn chi tiết nhất về các yêu cầu bản địa hóa dữ liệu.

Các loại dữ liệu phải lưu trữ tại Việt Nam theo Nghị định 53 bao gồm:

- Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam.

- Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra (tên tài khoản, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập/đăng xuất gần nhất, số điện thoại đăng ký gắn với tài khoản).

- Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam (bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác).

Đối tượng áp dụng: Các doanh nghiệp trong và ngoài nước cung cấp dịch vụ trên mạng viễn thông, mạng Internet, dịch vụ giá trị gia tăng trên không gian mạng có số lượng người sử dụng tại Việt Nam hoặc có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu của người sử dụng tại Việt Nam.

Yêu cầu đặt chi nhánh/văn phòng đại diện: Các doanh nghiệp nước ngoài thuộc đối tượng này có thể bị yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam trong các trường hợp cụ thể liên quan đến an ninh mạng.

Thời gian lưu trữ: Thời gian lưu trữ dữ liệu tối thiểu là 24 tháng, bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu.

Hình thức lưu trữ: Doanh nghiệp tự quyết định hình thức lưu trữ dữ liệu tại Việt Nam (thuê trung tâm dữ liệu tại Việt Nam, xây dựng trung tâm dữ liệu riêng...).

3. Nghị định số 13/2023/NĐ-CP về Bảo vệ dữ liệu cá nhân

Dù không trực tiếp quy định về bản địa hóa dữ liệu như Luật An ninh mạng và Nghị định 53, Nghị định 13 (có hiệu lực từ ngày 01/7/2023) đặt ra các yêu cầu nghiêm ngặt về bảo vệ dữ liệu cá nhân, ảnh hưởng gián tiếp đến việc lưu trữ và xử lý dữ liệu.

Nghị định này quy định chi tiết về các hoạt động xử lý dữ liệu cá nhân, quyền của chủ thể dữ liệu, trách nhiệm của bên kiểm soát và xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài (chuyển dữ liệu xuyên biên giới).

Điều 24 của Nghị định 13 quy định về chuyển dữ liệu cá nhân ra nước ngoài, theo đó, bên chuyển dữ liệu phải đáp ứng các điều kiện nhất định và thông báo cho Bộ Công an. Điều này bổ sung cho các quy định về lưu trữ dữ liệu trong nước.