Lựa chọn cloud nội địa hay quốc tế không còn thuần túy là bài toán kỹ thuật hay chi phí lưu trữ đơn thuần. Từ ngày 1/1/2026, đây chính thức trở thành quyết định quản trị rủi ro pháp lý quan trọng đối với các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam.
Việc chuyển dữ liệu khách hàng lên Google Cloud, AWS, Microsoft Azure để tận dụng công cụ phân tích có sẵn, hay giữ lại trên hạ tầng của các nhà cung cấp trong nước như Viettel Cloud, VNPT Cloud hay FPT Cloud đã được đặt vào khuôn kiểm soát riêng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (cùng có hiệu lực từ 1/1/2026) chính thức đưa hành vi lưu trữ dữ liệu người dùng Việt Nam tại server nước ngoài vào phạm vi điều chỉnh nghiêm ngặt. Bài viết này tôi sẽ phân tích chuyên sâu sự khác biệt dưới góc độ tuân thủ, giúp anh/chị có cơ sở đánh giá chính xác trước khi ra quyết định hạ tầng.
Vì sao “dùng cloud quốc tế” giờ đây là một quyết định pháp lý, không chỉ kỹ thuật
Trước đây, nghĩa vụ liên quan đến việc chuyển dữ liệu ra nước ngoài chủ yếu được quy định tại Nghị định 13/2023/NĐ-CP với mức độ thực thi chưa thực sự đồng bộ. Luật 91/2025/QH15 (3 Chương, 39 Điều) và Nghị định 356/2025/NĐ-CP (5 Chương, 42 Điều, thay thế hoàn toàn Nghị định 13) ra đời đã siết chặt và cụ thể hóa toàn bộ quy trình này.
Doanh nghiệp cần hiểu rõ bản chất của hoạt động lưu trữ dữ liệu. Nếu dữ liệu cá nhân của khách hàng Việt Nam (tên, số điện thoại, địa chỉ, lịch sử giao dịch…) được lưu trữ hoặc xử lý trên hạ tầng máy chủ đặt ngoài lãnh thổ Việt Nam — kể cả khi doanh nghiệp chỉ thuê dịch vụ của Google Cloud, AWS hay Microsoft Azure — hành vi đó được xem là chuyển dữ liệu cá nhân xuyên biên giới và làm phát sinh nghĩa vụ tuân thủ riêng. [EXT-1]
Ba nghĩa vụ cụ thể khi lưu trữ dữ liệu trên cloud quốc tế
Lập Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (CTIA)
Doanh nghiệp thuộc diện áp dụng có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi tới cơ quan chuyên trách trong vòng 60 ngày kể từ ngày bắt đầu thực hiện chuyển dữ liệu. Nghị định 356/2025/NĐ-CP quy định chi tiết về các mẫu biểu hành chính, trong đó Mẫu số 01a (dành cho tổ chức) và Mẫu số 01b (dành cho cá nhân) dùng để thực hiện thông báo gửi hồ sơ.
Thỏa thuận chuyển giao dữ liệu với bên nhận (nhà cung cấp cloud quốc tế)
Căn cứ Điều 7 Nghị định 356/2025/NĐ-CP, hoạt động chuyển giao dữ liệu cá nhân phải được xác lập bằng thỏa thuận văn bản. Văn bản này cần làm rõ mục đích, loại dữ liệu, thời hạn, cơ sở pháp lý, trách nhiệm bảo vệ và cơ chế phối hợp xử lý khi phát sinh sự cố. Với khối SME, đây là nội dung cần rà soát cẩn trọng trong Điều khoản dịch vụ (Terms of Service) của các nhà cung cấp cloud quốc tế, bởi các điều khoản hợp đồng mẫu thường không tự động đáp ứng đủ quy định pháp lý nội địa.
Thông báo vi phạm trong 72 giờ với dữ liệu nhạy cảm
Trường hợp xảy ra sự cố rò rỉ liên quan đến dữ liệu nhạy cảm (tài chính, sinh trắc học, vị trí), doanh nghiệp phải gửi thông báo cho cơ quan chuyên trách và chủ thể dữ liệu trong vòng 72 giờ kể từ khi phát hiện. Việc vận hành hạ tầng đặt tại trung tâm dữ liệu nước ngoài đặt ra thách thức lớn về tốc độ giám sát và tổng hợp thông tin sự cố, đòi hỏi doanh nghiệp phải thiết lập sẵn quy trình ứng phó trước thay vì xử lý bị động.
Mức xử phạt áp dụng cho vi phạm quy định về chuyển dữ liệu xuyên biên giới có thể lên tới 5% doanh thu của năm trước liền kề của tổ chức vi phạm.Đây là khung phạt riêng biệt, có chế tài nghiêm khắc hơn so với mức phạt trần 3 tỷ đồng áp dụng cho các vi phạm hành chính thông thường khác trong lĩnh vực bảo vệ dữ liệu.
Tin tốt cho SME: không phải doanh nghiệp nào cũng chịu nghĩa vụ đầy đủ ngay lập tức
Khác với những lo ngại về gánh nặng pháp lý lập tức, khung luật hiện hành đã tích hợp sẵn cơ chế chuyển tiếp phù hợp với quy mô doanh nghiệp vừa và nhỏ:
-
Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được tùy chọn áp dụng hoặc tạm hoãn các yêu cầu về lập hồ sơ đánh giá tác động và chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu trong thời hạn 5 năm kể từ ngày Luật có hiệu lực.
-
Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn thực hiện các nghĩa vụ hành chính này.
Quy định miễn trừ không có nghĩa là doanh nghiệp được bỏ qua nguyên tắc bảo mật nền tảng. Các nghĩa vụ cơ bản như chống rò rỉ, không mua bán dữ liệu và tôn trọng quyền chủ thể vẫn áp dụng cho mọi quy mô. Tuy nhiên, chính sách này giúp số đông SME tránh được áp lực thủ tục hành chính phức tạp trong giai đoạn đầu, tạo không gian chủ động cho lộ trình chuyển đổi hạ tầng.
Để xác định chính xác nghĩa vụ của đơn vị mình, anh/chị nên kiểm tra các chỉ số về nhân sự và doanh thu theo tiêu chí phân loại doanh nghiệp hiện hành. Việc tham khảo ý kiến tư vấn pháp lý chuyên sâu sẽ giúp làm rõ ranh giới này trước khi đưa ra các điều chỉnh kỹ thuật.
Bảng tiêu chí đánh giá: khi nào nên ưu tiên cloud nội địa
| Tiêu chí | Ưu tiên Cloud nội địa | Cloud quốc tế vẫn khả thi |
| Loại dữ liệu xử lý | Dữ liệu nhạy cảm (tài chính, y tế, sinh trắc học, vị trí) | Dữ liệu vận hành nội bộ không chứa dữ liệu cá nhân khách hàng |
| Quy mô doanh nghiệp | Đã vượt ngưỡng miễn trừ SME/khởi nghiệp | Thuộc nhóm được miễn trừ 5 năm hoặc siêu nhỏ |
| Năng lực pháp chế nội bộ | Chưa có nhân sự/ngân sách theo dõi nghĩa vụ CTIA, thỏa thuận chuyển giao | Có bộ phận pháp chế hoặc sẵn sàng thuê tư vấn tuân thủ |
| Yêu cầu ngành | Ngành có quy định riêng nghiêm ngặt hơn (tài chính, ngân hàng, tín dụng) | Ngành không có yêu cầu bổ sung đặc thù |
| Tốc độ mở rộng quốc tế | Chủ yếu phục vụ khách hàng trong nước | Có kế hoạch mở rộng ra thị trường quốc tế, cần hạ tầng toàn cầu |
Bảng tiêu chí trên cung cấp khung tham chiếu ban đầu cho hoạt động tự đánh giá nội bộ, không thay thế văn bản tư vấn pháp lý cho từng trường hợp cụ thể. Nếu muốn tìm hiểu thêm các lựa chọn hạ tầng, có thể tham khảo giải pháp Cloud tổng quan của tôi.
Mô hình trung gian: lưu trữ dữ liệu cá nhân trong nước, xử lý phân tích ở nước ngoài
Nhằm tận dụng sức mạnh công cụ từ các nền tảng quốc tế mà vẫn tối ưu chi phí tuân thủ, giải pháp phân tách dữ liệu theo lớp đang được nhiều đơn vị áp dụng.
Theo kiến trúc này, toàn bộ dữ liệu cá nhân định danh (tên, số điện thoại, địa chỉ) được lưu giữ trên hạ tầng cloud nội địa. Ngược lại, chỉ những tập dữ liệu đã ẩn danh hóa hoặc dữ liệu vận hành phi cá nhân mới được truyền lên cloud quốc tế phục vụ bài toán phân tích. Phương án này thu hẹp phạm vi dữ liệu chịu sự điều chỉnh của quy định chuyển dữ liệu xuyên biên giới, nhưng đòi hỏi công tác thiết kế hệ thống phải được quy chuẩn ngay từ đầu.
Chênh lệch chi phí tham khảo giữa cloud nội địa và quốc tế
Yếu tố chi phí luôn là bài toán cần đặt lên bàn cân cùng với yêu cầu tuân thủ. Mức giá niêm yết khởi điểm của một số đơn vị cung cấp phổ biến tại thời điểm 19/8/2026 được tổng hợp như sau:
| Nhà cung cấp | Cấu hình tham khảo | Giá khởi điểm | Ghi chú |
| VNPT Cloud (nội địa) | 1 vCPU, 2GB RAM, 30GB SSD | ~125.000 VNĐ/tháng | Hạ tầng Tier III, ảo hóa VMware |
| Viettel Cloud (nội địa) | 1 vCPU, 1GB RAM | ~129.000 VNĐ/tháng | 13 Data Center trong nước, hỗ trợ thanh toán theo giờ |
| FPT Cloud (nội địa) | 2 vCPU, 4GB RAM | ~300.000 VNĐ/tháng | Multi-AZ, cam kết SLA 99,99% |
| Google Cloud — e2-medium (quốc tế) | 2 vCPU, 4GB RAM | ~24,46 USD/tháng (~630.000 VNĐ) | Khu vực us-central1, on-demand, chưa gồm phí egress |
| AWS — EC2 t3.medium (quốc tế) | 2 vCPU, 4GB RAM | ~30,37 USD/tháng (~790.000 VNĐ) | Khu vực us-east-1, giá on-demand |
| Microsoft Azure — B2ms (quốc tế) | 2 vCPU, 8GB RAM | ~30,37 USD/tháng (~790.000 VNĐ) | Giá on-demand, khu vực Mỹ |
Một số lưu ý quan trọng khi đánh giá bảng chi phí:
-
Bảng giá chỉ thể hiện mức khởi điểm cho cấu hình cơ bản. Hệ thống vận hành thực tế (production) thường phát sinh chi phí cao hơn tùy vào quy mô tài nguyên tài khoản sử dụng.
-
Dịch vụ cloud quốc tế thường tách riêng phí truyền dữ liệu ra ngoài (egress data), phí IP tĩnh hoặc cân bằng tải, dẫn đến chi phí thực tế cao hơn so với giá tính toán lý thuyết.
-
Các nhà cung cấp trong nước xuất hóa đơn bằng VNĐ, hạn chế rủi ro tỷ giá. Trong khi đó, các dịch vụ thanh toán bằng USD sẽ chịu ảnh hưởng trực tiếp từ biến động tỷ giá ngoại tệ.
-
Mức quy đổi VNĐ nêu trên mang tính chất tham khảo tương đối theo tỷ giá tại thời điểm tổng hợp.
Nhìn chung, độ chênh lệch giá thuần túy ở các cấu hình tiêu chuẩn không quá lớn. Điểm mấu chốt nằm ở chi phí và gánh nặng tuân thủ đi kèm mà doanh nghiệp phải gánh vác khi vận hành.
Khuyến nghị hành động cho SME
-
Kiểm tra thực trạng: xác định vị trí lưu trữ thực tế của dữ liệu cá nhân khách hàng (trên máy chủ nội địa hay trung tâm dữ liệu đặt tại nước ngoài).
-
Xác định quy mô phân loại doanh nghiệp để đánh giá chính xác thời gian và phạm vi áp dụng cơ chế miễn trừ cho SME/khởi nghiệp.
-
Rà soát các điều khoản hợp đồng dịch vụ hiện tại với nhà cung cấp cloud quốc tế đối với tập dữ liệu nhạy cảm, bảo đảm đáp ứng quy định tại Điều 7 Nghị định 356/2025/NĐ-CP.
-
Xây dựng quy trình ứng phó và báo cáo sự cố trong thời hạn 72 giờ, đặc biệt lưu ý độ trễ cảnh báo khi sử dụng hạ tầng đặt ở nước ngoài.
-
Tham vấn các đơn vị chuyên môn về pháp lý bảo vệ dữ liệu cá nhân để hoàn thiện phương án quản trị rủi ro phù hợp với thực tế vận hành.
Kết luận
Việc lựa chọn cloud nội địa hay quốc tế không có đáp án đúng tuyệt đối cho mọi doanh nghiệp. Quy định áp dụng từ 1/1/2026 yêu cầu người quản lý phải cân nhắc bài toán kỹ thuật song song với nghĩa vụ tuân thủ pháp lý và chi phí phát sinh. Với các SME thuộc nhóm được tạm hoãn nghĩa vụ, đây là khoảng thời gian phù hợp để chủ động rà soát và hoạch định chiến lược hạ tầng bền vững.
Nếu anh/chị cần một góc nhìn kỹ thuật độc lập để đánh giá và lựa chọn giải pháp hạ tầng tối ưu cho doanh nghiệp, tôi luôn sẵn sàng trao đổi chi tiết — liên hệ tư vấn tại đây.
Câu hỏi thường gặp
1. Doanh nghiệp nhỏ dùng Google Workspace/Microsoft 365 có bị coi là chuyển dữ liệu xuyên biên giới không?
Về nguyên tắc, nếu dữ liệu cá nhân được lưu trữ/xử lý trên hạ tầng server đặt ngoài Việt Nam của các nền tảng này, hành vi đó thuộc phạm vi điều chỉnh. Tuy nhiên mức độ nghĩa vụ cụ thể phụ thuộc vào việc doanh nghiệp có thuộc diện miễn trừ SME/khởi nghiệp hay không — cần tư vấn pháp lý cụ thể cho từng trường hợp.
2. Chuyển từ cloud quốc tế sang máy chủ ảo trong nước có phức tạp không?
Về mặt kỹ thuật, việc di chuyển dữ liệu và ứng dụng phụ thuộc vào kiến trúc hệ thống hiện tại. Với dữ liệu cần backup định kỳ, có thể tham khảo thêm giải pháp Cloud Backup để đảm bảo an toàn trong quá trình chuyển đổi.
3. Có cần chuyển toàn bộ dữ liệu về trong nước hay chỉ dữ liệu cá nhân nhạy cảm?
Mô hình phân tách dữ liệu theo lớp ở mục 5 là một hướng tiếp cận — chỉ dữ liệu cá nhân định danh cần ưu tiên xử lý trước, không nhất thiết phải chuyển toàn bộ hệ thống.
