Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, lưu dữ liệu khách hàng trên đám mây cần lưu ý gì?

01/07/2026
5 lượt xem
0 bình luận

Bảy nội dung bắt buộc phải có trong hợp đồng với nhà cung cấp, và một yêu cầu kỹ thuật rõ ràng: mã hóa cả khi lưu và khi truyền.

Hầu như doanh nghiệp nào cũng đang dùng dịch vụ đám mây ở mức nào đó. Điều 12 Nghị định 356/2025/NĐ-CP đưa ra yêu cầu cho cả bên thuê lẫn bên cung cấp.

Yêu cầu chung

Điều 12 Nghị định 356/2025/NĐ-CP quy định các cơ quan, tổ chức, cá nhân có liên quan phải áp dụng các biện pháp kỹ thuật và tổ chức để ngăn chặn dữ liệu cá nhân bị truy cập trái phép khi triển khai dịch vụ điện toán đám mây.

Bảy nội dung với bên ký hợp đồng thuê dịch vụ

Tổ chức, cá nhân ký kết hợp đồng có liên quan tới xử lý dữ liệu cá nhân với tổ chức cung cấp dịch vụ điện toán đám mây có trách nhiệm:

Nêu rõ trong nội dung hợp đồng về việc chấp hành quy định của pháp luật Việt Nam về bảo vệ dữ liệu cá nhân; cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân; chấp hành quy định về thủ tục hành chính liên quan;
Xác định rõ luồng xử lý dữ liệu cá nhân, vai trò các bên trong hoạt động cung cấp dịch vụ và trách nhiệm tương ứng;
Có yêu cầu về các biện pháp bảo mật, kỹ thuật, tổ chức và được nêu rõ trong hợp đồng;
Thông báo ngay lập tức cho các bên liên quan bất kỳ sự thay đổi nào có thể ảnh hưởng tới dữ liệu cá nhân;
Tuân thủ thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân;
Bảo đảm thực hiện các quyền của chủ thể dữ liệu cá nhân;
Thực hiện đầy đủ các biện pháp kỹ thuật để bảo đảm quyền truy cập dữ liệu cá nhân được phân cấp một cách hợp lý.

Hai nội dung đầu buộc phải sửa hợp đồng

Hợp đồng thuê dịch vụ đám mây tiêu chuẩn của các nhà cung cấp lớn thường không có sẵn cam kết chấp hành pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, cũng không nêu thông tin về nhân sự bảo vệ dữ liệu cá nhân. Đây là phần doanh nghiệp cần chủ động đàm phán bổ sung phụ lục.

Yêu cầu xác định rõ luồng xử lý và vai trò các bên cũng có ý nghĩa thực tế: nó buộc hai bên thống nhất ai là bên kiểm soát, ai là bên xử lý — điều quyết định nghĩa vụ của từng bên theo Luật.

Bốn trách nhiệm của nhà cung cấp dịch vụ

Chấp hành các quy định về bảo vệ dữ liệu cá nhân của Việt Nam, cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân, chấp hành quy định về thủ tục hành chính liên quan;
Đề nghị các nhà thầu phụ thực hiện các quy định và nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định của pháp luật;
Áp dụng các biện pháp kỹ thuật và tổ chức ở mức phù hợp với quy mô, mức độ xử lý dữ liệu cá nhân của mình;
Thực hiện đánh giá tuân thủ định kỳ 01 năm một lần.

Yêu cầu kỹ thuật rõ ràng nhất

Điều 12 Nghị định 356/2025/NĐ-CP quy định dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và truyền, kèm theo phân quyền truy cập nghiêm ngặt.

Mã hóa khi truyền hiện là mặc định ở phần lớn dịch vụ. Mã hóa ở trạng thái nghỉ — tức dữ liệu nằm trên đĩa — thì không phải lúc nào cũng bật sẵn, đặc biệt với cơ sở dữ liệu tự vận hành trên máy chủ ảo. Đây là điểm nên kiểm tra ngay.

Đừng quên nghĩa vụ xuyên biên giới

Điểm a khoản 1 Điều 20 Luật 91/2025/QH15 xác định việc chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam là chuyển dữ liệu xuyên biên giới. Điều 17 Nghị định 356/2025/NĐ-CP cũng nêu hoạt động lưu trữ có sự chuyển giao dữ liệu thu thập, lưu trữ tại Việt Nam đến hệ thống máy chủ đặt ngoài lãnh thổ, hoặc trên dịch vụ điện toán đám mây của nhà cung cấp dịch vụ ở nước ngoài, thuộc các trường hợp chuyển dữ liệu xuyên biên giới.

Nghĩa là dùng đám mây nước ngoài kéo theo nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi cho cơ quan chuyên trách trong 60 ngày.

Danh sách kiểm tra nhanh

Dịch vụ đang dùng đặt máy chủ ở đâu;
Mã hóa ở trạng thái nghỉ đã bật chưa;
Ai trong công ty có quyền truy cập vào bảng dữ liệu chứa thông tin cá nhân;
Hợp đồng có phụ lục về xử lý dữ liệu cá nhân chưa;
Nhà cung cấp có dùng nhà thầu phụ nào không.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 12
Luật 91/2025/QH15 Điều 30
Luật 91/2025/QH15 Điều 20

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.