Lưu bản sao dự phòng ở nước ngoài: cần rà soát nghĩa vụ nào?

Lưu bản sao dự phòng ở nước ngoài: cần rà soát nghĩa vụ nào?

Bản sao dự phòng vẫn có thể chứa đầy đủ dữ liệu cá nhân dù chưa từng được khôi phục. Doanh nghiệp cần rà nơi lưu, người được tiếp cận, thời hạn giữ, quy trình khôi phục và cách xóa để xác định nghĩa vụ phù hợp.

Việc đưa bản sao chứa dữ liệu cá nhân đang lưu tại Việt Nam đến hệ thống ở nước ngoài thuộc trường hợp chuyển xuyên biên giới tại điểm a khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân. Mục đích dự phòng và việc chưa mở bản sao không tự loại trừ nghĩa vụ này; dữ liệu đã mã hóa vẫn là dữ liệu cá nhân theo khoản 1 Điều 12 Luật. Doanh nghiệp cần kiểm tra ngoại lệ, căn cứ xử lý, hợp đồng và hồ sơ đánh giá tác động, đồng thời kiểm soát cả lúc khôi phục hoặc xóa bản sao. Kết luận phải dựa trên từng nhóm dữ liệu và luồng thực tế. Căn cứ: Luật số 91/2025/QH15 và Điều 17, Điều 18 Nghị định 356/2025/NĐ-CP.

Trước hết cần biết bản sao đang chứa và nằm ở đâu

Bản sao dự phòng, thường được gọi là backup, được tạo để khôi phục dữ liệu hoặc hệ thống khi cần. Nó có thể chứa cơ sở dữ liệu khách hàng, tệp đính kèm, bản ghi giao dịch, tài liệu nhân sự và thông tin tài khoản. Một cấu hình sao lưu toàn bộ hệ thống có thể đưa ra ngoài cả nhóm dữ liệu mà người quản lý nghiệp vụ không biết đang được giữ lại.

Nên yêu cầu IT xác định hệ thống nguồn, phạm vi sao lưu, lịch tạo bản, nơi lưu chính và các vị trí sao chép tiếp theo. Cần phân biệt bản sao dự phòng với bản đồng bộ đang hoạt động, kho lưu trữ dài hạn và bản thử nghiệm. Tên gọi khác nhau không tự quyết định nghĩa vụ, nhưng mục đích và khả năng truy cập của từng loại sẽ ảnh hưởng đến việc đánh giá.

Quốc gia của nhà cung cấp không nhất thiết trùng nơi lưu bản sao. Hợp đồng có thể áp dụng cho một pháp nhân, còn dữ liệu được đặt ở vùng hạ tầng hoặc hệ thống của đơn vị khác. Doanh nghiệp cần đối chiếu hợp đồng, cấu hình và xác nhận kỹ thuật để biết bản nào ở đâu; không dùng một địa chỉ trụ sở làm kết luận cho toàn bộ dịch vụ.

Nếu sao lưu dữ liệu từ CRM, nên kiểm tra cùng danh mục ứng dụng và bên nhận trong bài dùng CRM nước ngoài cần tuân thủ quy định nào. Bản sao ngoài hệ thống vận hành chính vẫn cần xuất hiện trong bản đồ luồng dữ liệu.

Mã hóa là yêu cầu bảo vệ, không phải căn cứ miễn hồ sơ

Khoản 1 Điều 12 Luật nêu rõ dữ liệu cá nhân sau khi mã hóa vẫn là dữ liệu cá nhân. Vì vậy, việc doanh nghiệp tự giữ khóa giải mã hoặc nhà cung cấp không thường xuyên đọc được nội dung không tự làm mất tính chất dữ liệu cá nhân của bản sao.

Đối với điện toán đám mây, khoản 4 Điều 12 Nghị định 356 yêu cầu dữ liệu cá nhân được mã hóa ở trạng thái nghỉ và truyền, kèm theo phân quyền truy cập nghiêm ngặt. Doanh nghiệp cần kiểm tra cấu hình mã hóa khi bản sao được lưu và khi truyền, bên quản lý khóa, người có thể cấp quyền giải mã và khả năng khôi phục. Một mô tả quảng cáo “có mã hóa” chưa trả lời hết các nội dung này.

Khử nhận dạng là vấn đề khác. Khoản 11 Điều 2 Luật yêu cầu dữ liệu mới không thể xác định hoặc giúp xác định một con người cụ thể; khoản 1 Điều 2 quy định dữ liệu sau khử nhận dạng không còn là dữ liệu cá nhân. Thay tên bằng mã hoặc tách bảng đối chiếu chưa đủ để tự kết luận đã đạt điều kiện đó. Với bản sao được thiết kế để phục hồi nguyên vẹn dữ liệu, doanh nghiệp càng cần thận trọng khi mô tả là “ẩn danh”.

Có ngoại lệ nào áp dụng cho bản sao dự phòng không

Khoản 6 Điều 20 Luật và khoản 3 Điều 17 Nghị định 356 quy định các trường hợp không phải đánh giá tác động chuyển. Trong đó, điểm b khoản 6 Điều 20 đề cập việc cơ quan, tổ chức lưu dữ liệu của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây. Nếu bản sao đáp ứng đúng phạm vi này, cần ghi rõ dữ kiện và căn cứ áp dụng.

Không nên suy rộng ngoại lệ cho toàn bộ bản sao chỉ vì công việc sao lưu do phòng IT nội bộ thực hiện. Nếu bản sao còn chứa dữ liệu khách hàng, ứng viên hoặc người liên hệ của đối tác, phải đánh giá các nhóm đó riêng. Đối với việc gửi dữ liệu nhân sự cho công ty mẹ hoặc dùng vào quản lý xuyên biên giới, có thể đối chiếu thêm bài gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài.

Miễn đánh giá tác động chuyển không đồng nghĩa miễn nghĩa vụ bảo vệ dữ liệu. Doanh nghiệp vẫn phải kiểm tra căn cứ, mục đích, quyền của chủ thể, hợp đồng, biện pháp kỹ thuật và nghĩa vụ khác theo vai trò. Cơ chế cho doanh nghiệp nhỏ, khởi nghiệp hoặc siêu nhỏ tại Điều 38 Luật, Điều 41 Nghị định 356 cũng có điều kiện và phạm vi riêng, không phải một ngoại lệ chung cho mọi bản sao ở nước ngoài.

Bảng vòng đời bản sao dự phòng

Bảng dưới đây là công cụ rà soát nội bộ. Với mỗi hệ thống, nên lập một bản có tên người phụ trách và đường dẫn chứng cứ, sau đó kiểm tra cả lúc vận hành bình thường lẫn khi phải khôi phục. Bảng không thay biểu mẫu hồ sơ nhà nước.

Điều 18 Nghị định 356 yêu cầu mô tả luồng chuyển, hệ thống lưu trữ, chính sách xóa và việc chuyển tiếp. Bảng vòng đời giúp lấy đầu vào cho các nội dung này. Đặc biệt, mục khôi phục không nên chỉ ghi “khi cần”: phải biết khôi phục vào đâu và ai sẽ nhận quyền truy cập.

Hợp đồng sao lưu cần gắn với khả năng thực hiện thực tế

Khoản 2 Điều 12 Nghị định 356 yêu cầu các bên ký hợp đồng liên quan đến xử lý dữ liệu với tổ chức cung cấp cloud làm rõ việc chấp hành pháp luật Việt Nam, luồng xử lý, vai trò, biện pháp bảo mật và những trách nhiệm được quy định. Khoản 2 Điều 37 Luật yêu cầu bên xử lý có thỏa thuận, hợp đồng trước khi tiếp nhận dữ liệu. Doanh nghiệp cần đối chiếu hai nhóm yêu cầu này khi chọn dịch vụ sao lưu.

Về vận hành, hợp đồng và tài liệu được dẫn chiếu nên cho phép xác định phạm vi sao lưu, địa điểm, quyền hỗ trợ, bên xử lý phụ, thời gian lưu, cách lấy lại dữ liệu và xóa khi kết thúc. Cần làm rõ khả năng cung cấp chứng cứ về những việc đó. Nếu điều khoản chỉ nói xóa tài khoản mà không đề cập các bản còn trong kho dự phòng, bộ phận pháp chế nên phối hợp với IT để yêu cầu giải thích trước khi đưa dữ liệu lên.

Điểm d khoản 2 Điều 12 Nghị định 356 còn yêu cầu thông báo ngay lập tức cho các bên liên quan về thay đổi có thể ảnh hưởng tới dữ liệu cá nhân. Nghĩa vụ phối hợp này cần được phân biệt với lịch cập nhật hồ sơ đánh giá tác động. Doanh nghiệp không nên chờ đến kỳ cập nhật hồ sơ mới trao đổi về việc đổi vùng sao lưu hoặc thay đơn vị có thể tiếp cận dữ liệu.

Khôi phục có thể làm dữ liệu đã xóa xuất hiện trở lại

Tình huống giả định: Công ty A sao lưu cơ sở dữ liệu khách hàng sang một kho tại Singapore. Sau đó A đã xử lý hợp lệ một yêu cầu xóa trên hệ thống đang hoạt động. Khi hệ thống gặp lỗi, IT dự kiến khôi phục từ một bản sao tạo trước thời điểm xóa.

Nếu khôi phục toàn bộ rồi đưa ngay vào vận hành, thông tin đã được xóa có thể xuất hiện trở lại trong danh sách chăm sóc khách hàng hoặc công cụ gửi thông tin. Do đó, trước khi khôi phục, IT cần phối hợp đầu mối bảo vệ dữ liệu để nhận diện những thay đổi phải được áp dụng lại, gồm xóa, chỉnh sửa hoặc giới hạn sử dụng đã có hiệu lực.

Một phương án quản trị là kiểm tra dữ liệu trong môi trường có quyền truy cập hạn chế trước khi cho phép sử dụng trở lại, đối chiếu với hồ sơ thực hiện quyền và ghi nhận kết quả. Danh mục phục vụ đối chiếu cũng phải giới hạn thông tin cần thiết và có căn cứ lưu giữ; không tạo một kho dữ liệu mới vô thời hạn chỉ để chứng minh đã xóa ở nơi khác.

Khoản 3, khoản 4 Điều 14 Luật yêu cầu xóa an toàn, ngăn chặn và không cố ý khôi phục trái phép dữ liệu đã xóa, hủy. Vì vậy, kế hoạch phục hồi cần có bước kiểm soát trạng thái dữ liệu sau khôi phục. Trường hợp dữ liệu còn phải lưu theo căn cứ hợp lệ cần được xác định riêng, không trộn với phần đã có nghĩa vụ xóa.

Xóa bản sao và xử lý yêu cầu của khách hàng thế nào

Điều 14 Luật quy định các trường hợp xóa, hủy, gồm hoàn thành mục đích, hết thời hạn theo pháp luật, theo thỏa thuận và những trường hợp khác được nêu. Doanh nghiệp nên xác định thời hạn theo từng nhóm dữ liệu và mục đích dự phòng. Không có một thời hạn chung áp dụng cho mọi bản sao chỉ vì cùng sử dụng dịch vụ cloud.

Với yêu cầu xóa của chủ thể dữ liệu, cần đối chiếu điều kiện, ngoại lệ và thời hạn thực hiện. Khoản 4 Điều 5 Nghị định 356 quy định phản hồi trong 2 ngày làm việc khi nhận yêu cầu đúng thủ tục; việc thực hiện có mốc 20 ngày, hoặc 30 ngày trong trường hợp cần yêu cầu bên xử lý, bên thứ ba thực hiện, cùng điều kiện gia hạn được quy định. Đây không phải cơ sở để tự cộng các mốc hoặc chờ hết chu kỳ sao lưu của nhà cung cấp. Xem thêm bài khách hàng yêu cầu xóa dữ liệu cá nhân.

Một số cấu hình có thể khóa việc thay đổi hoặc xóa bản sao trong khoảng thời gian nhất định. Nếu dự kiến sử dụng, cần đánh giá khả năng đáp ứng quyền và nghĩa vụ lưu giữ trước khi chọn thời hạn khóa. Khó khăn kỹ thuật không tự tạo ra ngoại lệ pháp lý hoặc thời hạn gia hạn mới. Khi có lý do chính đáng không thể xóa theo yêu cầu, phải đối chiếu khoản 5 Điều 14 về nghĩa vụ thông báo, đồng thời làm rõ căn cứ và phương án xử lý cụ thể.

Xác nhận “đã xóa dữ liệu” nên nêu đúng phạm vi đã kiểm chứng: bản đang hoạt động, bản thử nghiệm, tệp xuất, bản do nhà cung cấp giữ và phần còn lại có căn cứ lưu. Không kết luận đã xóa toàn bộ chỉ từ việc người dùng không còn nhìn thấy dữ liệu trên giao diện.

Tổ chức hồ sơ và theo dõi thay đổi

Doanh nghiệp nên giao IT lập danh mục bản sao và kiểm tra cấu hình; phòng nghiệp vụ xác nhận mục đích, phạm vi cần giữ; người phụ trách hợp đồng làm rõ trách nhiệm nhà cung cấp; đầu mối bảo vệ dữ liệu đối chiếu căn cứ và nghĩa vụ hồ sơ. Đầu ra là bảng vòng đời có chứng cứ, kết luận nghĩa vụ theo từng luồng và danh sách việc cần bổ sung.

Nếu phải lập hồ sơ chuyển, khoản 2 Điều 20 Luật quy định gửi trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, không đợi đến lần khôi phục đầu tiên. Hồ sơ gồm báo cáo Mẫu số 09 và tài liệu tại Điều 18 Nghị định 356. Nếu đã có hồ sơ, cần kiểm tra luồng sao lưu có được mô tả đầy đủ hay chưa; việc thêm bản sao không tự đồng nghĩa phải lập lại một bộ hồ sơ ban đầu. Bài hồ sơ chuyển dữ liệu ra nước ngoài giải thích phạm vi chung.

Khi đổi vùng, thay nhà cung cấp, tăng phạm vi dữ liệu hoặc thêm môi trường phục hồi, cần đánh giá lại rủi ro và nội dung hồ sơ. Mốc cập nhật được đối chiếu theo Điều 22 Luật và Điều 20 Nghị định 356. Đồng thời, hồ sơ đánh giá tác động xử lý tại Điều 21 Luật phải được xem xét riêng theo vai trò và điều kiện áp dụng.

Lưu ý về hiệu lực: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ; khoản 3 Điều 49 quy định chuyển tiếp. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm cơ chế mới. Khi thực hiện qua mốc này cần kiểm tra ngày tiếp nhận và trường hợp tương ứng.

Câu hỏi thường gặp

Bản sao chưa từng được mở có phải xem xét hồ sơ chuyển không

Có. Việc đưa dữ liệu cá nhân đang lưu tại Việt Nam đến hệ thống lưu trữ ở nước ngoài đã thuộc trường hợp tại điểm a khoản 1 Điều 20 Luật. Sau đó mới đối chiếu ngoại lệ và nghĩa vụ cụ thể; không chờ đến khi có người mở hoặc khôi phục bản sao.

Chỉ doanh nghiệp giữ khóa giải mã thì nhà cung cấp có còn liên quan không

Vẫn phải xác định vai trò và trách nhiệm theo dịch vụ thực tế. Mã hóa giúp bảo vệ nội dung nhưng dữ liệu sau mã hóa vẫn là dữ liệu cá nhân. Cần kiểm tra cả khả năng quản trị, lưu trữ, sao chép và hỗ trợ của các bên.

Sao lưu tại Việt Nam nhưng khôi phục sang máy chủ nước ngoài thì sao

Cần rà riêng luồng khôi phục. Nơi lưu bản dự phòng ban đầu không quyết định nơi dữ liệu sẽ được xử lý sau sự cố. Doanh nghiệp nên xác định hệ thống đích, bên nhận và nghĩa vụ trước khi kích hoạt phương án có dữ liệu thật.

Chấm dứt hợp đồng có đồng nghĩa mọi bản sao đã bị xóa không

Không tự động. Cần kiểm tra điều khoản, kết quả thực hiện và chứng cứ cho từng loại bản sao. Nếu còn dữ liệu được giữ, phải xác định căn cứ, phạm vi, thời hạn và trách nhiệm bảo vệ; không chỉ dựa vào trạng thái tài khoản đã đóng.

Justix hỗ trợ rà soát luồng sao lưu như thế nào

Doanh nghiệp có thể chuẩn bị sơ đồ hệ thống, cấu hình sao lưu, vị trí các bản, hợp đồng, quy trình khôi phục và hồ sơ đã có. Dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới của Justix hỗ trợ rà nghĩa vụ, ngoại lệ và tài liệu cần hoàn thiện trong phạm vi thỏa thuận. Kết quả cấu hình, thử khôi phục và xóa cần có xác nhận của IT hoặc nhà cung cấp. Có thể gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix.