Nghị định 333/2026/NĐ-CP: lưu dữ liệu tại Việt Nam ra sao?

Luật An ninh mạng 116/2025 đặt nghĩa vụ lưu dữ liệu tại Việt Nam nhưng giao Chính phủ quy định chi tiết. Nghị định 333/2026/NĐ-CP là văn bản đó. Trang này chú giải các điều của nghị định mà doanh nghiệp cung cấp dịch vụ trên mạng và người dùng hay hỏi, theo bản đăng Công báo.

Phần luật (hành vi bị cấm, nghĩa vụ chung của doanh nghiệp, mức phạt) ở trang Luật An ninh mạng 116/2025. Trang này không nhắc lại phần đó.

Thông tin văn bản

Mục	Nội dung
Số hiệu	333/2026/NĐ-CP
Tên	Quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng
Cơ quan ban hành	Chính phủ, theo đề nghị của Bộ trưởng Bộ Công an
Ngày ký, hiệu lực	19/8/2026, có hiệu lực cùng ngày
Hướng dẫn	Luật An ninh mạng 116/2025/QH15, trong đó có Điều 25 khoản 4
Bố cục	6 chương, 32 điều
Bản đọc	Công báo số 499 ngày 04/9/2026

VietnamBit đối chiếu nguyên văn các điều được trích trên trang ngày 31/10/2026. Chúng tôi chưa kiểm văn bản sửa đổi Nghị định 333.

Nghị định 333 gồm những phần nào

Nghị định có sáu chương. Việc lưu và cung cấp dữ liệu người dùng nằm chủ yếu ở hai chương: an ninh thông tin mạng và định danh địa chỉ IP. Bảng dưới theo tên chương, tên điều trong Công báo.

Chương	Nội dung	Điều
I	Phạm vi, đối tượng, giải thích từ ngữ	1–3
II	Trình tự áp dụng biện pháp bảo vệ an ninh mạng: thẩm định, giám sát, kiểm tra, ứng phó sự cố, yêu cầu xóa thông tin, thu thập dữ liệu điện tử, đình chỉ hệ thống	4–14
III	Bảo đảm an ninh thông tin mạng: xác thực tài khoản, cung cấp thông tin, lưu dữ liệu tại Việt Nam	15–20
IV	Quản lý định danh địa chỉ IP	21–23
V	Tập huấn kiến thức, kỹ năng chuyên sâu về an ninh mạng	24–29
VI	Hiệu lực, chuyển tiếp	30–32

Nguyên tắc chung của Chương II: biện pháp bảo vệ an ninh mạng chỉ được áp dụng đúng mục đích, đối tượng, thẩm quyền, trình tự, thủ tục và chỉ sau khi có quyết định phê duyệt bằng văn bản của người có thẩm quyền (Điều 4 khoản 2).

Dữ liệu nào phải lưu tại Việt Nam

Hai nhóm: thông tin cá nhân của người dùng tại Việt Nam, và dữ liệu do chính người dùng đó tạo ra khi dùng dịch vụ. Nhóm thứ hai được liệt kê: tên tài khoản, thời gian sử dụng, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập và đăng xuất gần nhất, số điện thoại gắn với tài khoản (Điều 19 khoản 1).

Nghị định không chỉ định cách lưu. Doanh nghiệp tự chọn hình thức, miễn truy xuất được, cung cấp kịp thời khi cơ quan có thẩm quyền yêu cầu và bảo đảm an toàn thông tin theo tiêu chuẩn, quy chuẩn kỹ thuật quốc gia (Điều 19 khoản 5).

Danh sách có thể mở rộng. Doanh nghiệp đang thu thập thiếu so với danh sách thì phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an để xác nhận và lưu những loại đang có. Khi thu thập thêm loại mới, doanh nghiệp phối hợp để bổ sung, thông báo công khai cho người dùng và cập nhật danh sách (Điều 19 khoản 4).

Doanh nghiệp trong nước và nước ngoài khác nhau thế nào

Doanh nghiệp trong nước có một câu riêng: lưu dữ liệu nêu trên tại Việt Nam. Doanh nghiệp nước ngoài chỉ phải lưu khi có quyết định của Bộ trưởng Bộ Công an.

	Doanh nghiệp trong nước	Doanh nghiệp nước ngoài
Căn cứ	Điều 19 khoản 2	Điều 19 khoản 3, 6
Điều kiện	Nghị định không nêu thêm	Thuộc lĩnh vực liệt kê, dịch vụ bị dùng để vi phạm, sau 03 lần yêu cầu bằng văn bản và tối đa 06 tháng vẫn không có giải pháp khắc phục, không chấp hành, chấp hành không đầy đủ, hoặc ngăn chặn, cản trở, vô hiệu hóa biện pháp bảo vệ an ninh mạng
Đặt chi nhánh, văn phòng đại diện	Nghị định không đặt	Có, cùng quyết định
Hạn hoàn thành	Nghị định không nêu	12 tháng từ ngày có quyết định

Danh sách lĩnh vực của doanh nghiệp nước ngoài có 11 mục, trong đó có thương mại điện tử, thanh toán trực tuyến, trung gian thanh toán, ứng dụng trực tuyến, mạng xã hội và truyền thông xã hội (Điều 19 khoản 3 điểm a). Danh sách không nhắc sàn tài sản mã hóa.

Gặp bất khả kháng, doanh nghiệp nước ngoài báo lực lượng chuyên trách trong 03 ngày làm việc để kiểm tra tính xác thực. Trong trường hợp này, doanh nghiệp có 25 ngày làm việc tìm phương án khắc phục (Điều 19 khoản 3 điểm b).

Lưu tối thiểu bao lâu

Dữ liệu ở danh sách trên lưu ít nhất 24 tháng. Nhật ký hệ thống phục vụ điều tra lưu ít nhất 12 tháng. Nhật ký hệ thống là bản ghi tự động các lần đăng nhập, thao tác trên hệ thống.

Loại	Lưu tối thiểu	Tính từ	Căn cứ
Dữ liệu phải lưu tại Việt Nam	24 tháng	Khi doanh nghiệp nhận yêu cầu lưu, đến khi kết thúc yêu cầu	Điều 20 khoản 1
Nhật ký hệ thống phục vụ điều tra vi phạm an ninh mạng	12 tháng	Nghị định không nêu	Điều 20 khoản 3; Điều 16 khoản 6
Nhật ký cấp phát địa chỉ IP của nhà mạng	12 tháng, liên tục	Nghị định không nêu	Điều 22 khoản 3
Thời gian duy trì chi nhánh, văn phòng đại diện của doanh nghiệp nước ngoài (không phải thời hạn lưu dữ liệu)	Đến khi thôi hoạt động hoặc thôi cung cấp dịch vụ tại Việt Nam	Khi nhận yêu cầu đặt	Điều 20 khoản 2

Nhật ký hệ thống tối thiểu gồm tài khoản người dùng, thời gian đăng nhập, đăng xuất, địa chỉ IP, cổng nguồn khi đăng nhập, đăng xuất và nhật ký xử lý thông tin được đăng tải (Điều 16 khoản 6).

Mốc 90 ngày lưu thông tin thiết bị và đăng nhập của tài khoản số không nằm ở Nghị định 333 mà ở một điều xử phạt của Nghị định 330 (Điều 34 khoản 1 điểm c), tóm ở trang Luật An ninh mạng 116/2025.

Xác thực tài khoản, cung cấp thông tin, khóa tài khoản

Nhóm nghĩa vụ này áp cho doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, internet và dịch vụ gia tăng tại Việt Nam. Dịch vụ gia tăng trên không gian mạng được nghị định định nghĩa là dịch vụ viễn thông giá trị gia tăng.

Các việc doanh nghiệp thuộc diện phải làm theo Điều 16:

• Xác thực thông tin người dùng khi đăng ký tài khoản số (thông tin dùng để đăng nhập, xác thực trên dịch vụ mạng); xác thực tài khoản bằng số điện thoại di động tại Việt Nam.
• Người livestream (phát trực tiếp) nhằm mục đích thương mại phải xác thực bằng số định danh cá nhân.
• Chỉ cho tài khoản đã xác thực đăng tải, chia sẻ thông tin và dùng tính năng tương tác.
• Cung cấp thông tin người dùng cho lực lượng chuyên trách thuộc Bộ Công an chậm nhất 24 giờ khi có yêu cầu hợp lệ, khẩn cấp chậm nhất 03 giờ.
• Chặn, gỡ thông tin, dịch vụ, ứng dụng vi phạm chậm nhất 24 giờ khi được yêu cầu, khẩn cấp 06 giờ.

Nghị định còn đặt mức khóa tài khoản đăng thông tin vi phạm. Trong 30 ngày đăng từ 03 lần trở lên: hạn chế hiển thị hoặc khóa tạm tối đa 60 ngày. Trong 90 ngày đăng từ 10 lần trở lên: tối đa 180 ngày (Điều 16 khoản 4 điểm d).

Khóa vô thời hạn áp cho tài khoản đăng thông tin xâm phạm an ninh quốc gia, đã bị khóa tạm từ 03 lần mà vẫn bị dùng để vi phạm, hoặc có căn cứ tài khoản tiếp tục bị dùng làm công cụ vi phạm (Điều 16 khoản 4 điểm đ).

Định danh địa chỉ IP: nhà mạng lưu gì

Chương IV buộc nhà mạng, doanh nghiệp cung cấp internet gắn mỗi địa chỉ IP với thuê bao tại từng thời điểm. Mục tiêu nghị định ghi là khả năng truy nguyên duy nhất tới tổ chức, cá nhân đăng ký dịch vụ (Điều 21 khoản 1).

Nhật ký cấp phát IP tối thiểu gồm IP và cổng nguồn, đích, giao thức, thời điểm bắt đầu và kết thúc phiên, mã cổng cấp IP, mã phiên, thông tin thuê bao. Khi dùng NAT (kỹ thuật cho nhiều thiết bị chung một IP công cộng), nhà mạng phải lưu đủ thông tin ánh xạ.

Khi lực lượng chuyên trách yêu cầu hợp lệ, nhà mạng cung cấp họ tên, số định danh cá nhân, mã thuê bao, địa chỉ lắp đặt hoặc số điện thoại đăng ký gắn với IP đó. Hạn là 24 giờ, khẩn cấp không quá 03 giờ (Điều 23 khoản 2).

Nghị định cấm dùng, tiết lộ, khai thác thông tin định danh địa chỉ IP vì mục đích thương mại, trừ khi pháp luật có quy định khác.

Sàn tài sản mã hóa thuộc diện nào

Nghị định 333 không có chữ “tài sản mã hóa”, “tài sản số” hay “tiền ảo”. Chúng tôi dò toàn văn bản Công báo ngày 31/10/2026.

Chữ văn bản về đối tượng của từng phần:

• Phần xác thực tài khoản, cung cấp thông tin và gỡ nội dung áp cho “doanh nghiệp trong nước và doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam” (Điều 16 khoản 1; gỡ nội dung ở khoản 4 cùng điều).
• Phần định danh IP áp cho “doanh nghiệp cung cấp dịch vụ viễn thông, Internet” (Điều 22 khoản 1).
• Danh sách lĩnh vực chỉ có ở khoản dành cho doanh nghiệp nước ngoài (Điều 19 khoản 3 điểm a).
• Phần lưu dữ liệu ghi “doanh nghiệp trong nước” mà không nêu loại dịch vụ (Điều 19 khoản 2).

Theo cách đọc của chúng tôi, “doanh nghiệp trong nước” ở phần lưu dữ liệu là nhóm cung cấp dịch vụ trên mạng như ở phần xác thực, vì nghị định ghi phần bảo đảm an ninh thông tin mạng là để hướng dẫn các khoản của Luật 116 về doanh nghiệp cung cấp dịch vụ trên mạng (Điều 1 khoản 1 điểm b). Theo cách đọc của chúng tôi, chưa thấy văn bản nói sàn được cấp phép thuộc diện nào.

Câu hỏi còn mở thứ hai: Điều 20 khoản 1 tính 24 tháng từ khi doanh nghiệp nhận “yêu cầu lưu trữ dữ liệu”. Với doanh nghiệp trong nước, Nghị định 333 không nói yêu cầu đó là gì, do ai đưa ra (đối chiếu đến 31/10/2026).

Mức phạt nằm ở nghị định khác. Doanh nghiệp thuộc diện lưu dữ liệu theo Luật 116 mà không áp dụng biện pháp bảo vệ dữ liệu và không lưu dữ liệu tại Việt Nam có thể bị phạt 50–70 triệu đồng với cá nhân, 100–140 triệu đồng với tổ chức (Nghị định 330/2026 Điều 29 khoản 2 điểm c).

Nghị định 330 còn có khung cho hành vi “không lưu trữ dữ liệu hoặc lưu trữ dữ liệu nhạy cảm về an ninh quốc gia không đầy đủ theo quy định tại Nghị định quy định chi tiết một số điều của Luật An ninh mạng 2025” và “không bảo đảm thời gian lưu trữ nhật ký hệ thống để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng”. Cá nhân có thể bị phạt 30–50 triệu đồng, tổ chức có thể bị phạt gấp đôi, 60–100 triệu đồng (Nghị định 330 Điều 33 khoản 1 điểm a, c).

Bảng mức phạt từng hành vi nằm ở trang Luật An ninh mạng 116/2025.

Sàn được cấp phép lưu những gì của bạn theo từng văn bản (an ninh mạng, phòng, chống rửa tiền, dữ liệu cá nhân) được gom ở trang sàn được cấp phép lưu và gửi dữ liệu gì của bạn. Quyền của bạn với dữ liệu cá nhân nằm ở Luật Bảo vệ dữ liệu cá nhân 91/2025.

Nghị định 333 không nói gì

1. Sàn tài sản mã hóa. Không có tên loại dịch vụ này ở phần xác thực, phần lưu dữ liệu hay danh sách lĩnh vực của doanh nghiệp nước ngoài.
2. VPN. Dò toàn văn, chúng tôi không thấy chữ “VPN”.
3. Mức phạt. Nghị định 333 chỉ ghi doanh nghiệp không chấp hành bị xử lý theo pháp luật (Điều 19 khoản 8). Khung tiền nằm ở Nghị định 330.
4. Bãi bỏ Nghị định 53/2022. Không có câu bãi bỏ. Nghị định 53 chỉ xuất hiện ở điều chuyển tiếp.

Áp dụng từ ngày nào

Nghị định 333 có hiệu lực từ 19/8/2026, cùng ngày ký (Điều 30).

Hồ sơ thẩm định, đánh giá điều kiện an ninh mạng đã được tiếp nhận hợp lệ theo Nghị định 53/2022 trước ngày đó mà chưa có kết quả thì tiếp tục giải quyết theo Nghị định 53 (Điều 31).