Nghị định 53/2022/NĐ-CP được ban hành và đã có hiệu lực kể từ ngày 01/10/2022 nhằm quy định chi tiết một số điều của Luật An ninh mạng (sau đây gọi là “Nghị Định 53”). Trong bài viết này, LLVN cập nhật một số nội dung đáng chú ý tại Nghị Định 53 liên quan đến việc lưu trữ dữ liệu tại Việt Nam như sau.
1. Doanh nghiệp nào phải lưu trữ dữ liệu tại Việt Nam?
Khoản 3 Điều 26 Luật An ninh mạng quy định: “Doanh nghiệp trong nước và ngoài nước cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ. Doanh nghiệp ngoài nước quy định tại khoản này phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.”
Luật An ninh mạng đặt ra trách nhiệm lưu trữ dữ liệu tại Việt Nam đối với chủ thể thỏa mãn hai điều kiện:
Thứ nhất: phải là doanh nghiệp bao gồm cả trong nước và nước ngoài (phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam).
Thứ hai: phải hoạt động trong các lĩnh vực bao gồm cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra.
1.1. Với điều kiện thứ nhất
Nghị Định 53 đã quy định chi tiết để xác định doanh nghiệp trong nước và doanh nghiệp ngoài nước như sau:
(i) Khoản 11 Điều 4 Nghị Định 53 quy định doanh nghiệp trong nước là doanh nghiệp được thành lập hoặc đăng ký thành lập theo pháp luật Việt Nam và có trụ sở chính tại Việt Nam (“DNTN”).
(ii) Khoản 12 Điều 4 Nghị Định 53 quy định doanh nghiệp nước ngoài là doanh nghiệp được thành lập hoặc đăng ký thành lập theo pháp luật nước ngoài (“DNNN”).
1.2. Với điều kiện thứ hai
(i) Đối với DNTT, khoản 3 Điều 26 Luật An ninh mạng quy định DNTT có hoạt động kinh doanh thuộc các lĩnh vực gồm dịch vụ viễn thông, cung cấp dịch vụ trên mạng Internet, dịch vụ giá trị gia tăng trên không gian mạng tại Việt Nam có thực hiện các hoạt động thu thập, phân tích, xử lý các dữ liệu (được liệt kê tại mục 2 dưới đây) thì phải thực hiện lưu trữ dữ liệu này tại Việt Nam. Ngoài quy định tại Điều 26 Luật An ninh mạng, Nghị Định 53 không đưa ra hướng dẫn chi tiết về những dịch vụ cụ thể mà các DNTN khi cung cấp những dịch vụ này được yêu cầu phải lưu trữ dữ liệu tại Việt Nam.
(ii) Đối với DNNN, khoản 3 Điều 26 Nghị Định 53 quy định DNNN phải thực hiện lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam khi có đủ 2 điều kiện sau:
(a) Có hoạt động kinh doanh tại Việt Nam thuộc một trong các lĩnh vực sau:
Dịch vụ viễn thông;
Lưu trữ và chia sẻ dữ liệu trên không gian mạng;
Cung cấp tên miền quốc gia hoặc quốc tế cho người sử dụng dịch vụ tại Việt Nam;
Thương mại điện tử;
Thanh toán trực tuyến;
Trung gian thanh toán;
Dịch vụ kết nối vận chuyển qua không gian mạng;
Mạng xã hội và truyền thông xã hội;
Trò chơi điện tử trên mạng; hoặc
Dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng dưới dạng tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến; và
(b) Có quyết định bằng văn bản của Bộ Trưởng Bộ Công an yêu cầu DNNN thực hiện yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam. Theo điểm a khoản 3 Điều 26 Nghị Định 53, Quyết định của Bộ trưởng Bộ Công an được ban hành sau khi:
(b.1) Các dịch vụ do DNNN cung cấp bị sử dụng thực hiện hành vi vi phạm pháp luật về an ninh mạng;
(b.2) Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an (“Cục ANM”) đã có thông báo và yêu cầu phối hợp, ngăn chặn, điều tra, xử lý bằng văn bản; và
(b.3) DNNN không chấp hành hoặc chấp hành không đầy đủ thông báo bằng văn bản của Cục ANM; hoặc DNNN đã ngăn chặn, cản trở hoặc vô hiệu hóa biện pháp bảo vệ an ninh mạng do lực lượng chuyên trách bảo vệ an ninh mạng thực hiện.
Trong trường hợp bất khả kháng mà việc chấp hành yêu cầu của pháp luật về an ninh mạng không thể thực hiện, theo quy định tại điểm b khoản 3 Điều 26 Nghị Định 53, DNNN phải thông báo cho Cục ANM trong vòng 03 ngày làm việc để kiểm tra tính xác thực của việc bất khả kháng. Trong trường hợp này, DNNN có thời gian 30 ngày làm việc để tìm phương án khắc phục.
2. Dữ liệu nào phải lưu trữ tại Việt Nam?
Khoản 1 Điều 26 Nghị Định 53 quy định dữ liệu phải lưu trữ tại Việt Nam như sau (“Dữ Liệu”):
(i) Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;
(ii) Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra bao gồm tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng (IP) đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu;
(iii) Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam bao gồm mối quan hệ với bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác.
Trong đó, dữ liệu được đề cập tại mục (i), (ii), và (iii) nêu trên là dữ liệu về thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự theo quy định tại khoản 1, khoản 4 và khoản 5 Điều 2 Nghị Định 53.
Người sử dụng dịch vụ tại Việt Nam được hiểu là tổ chức, cá nhân sử dụng không gian mạng trên lãnh thổ Việt Nam theo khoản 3 Điều 2 Nghị Định 53.
3. Thời hạn thực hiện yêu cầu lưu trữ dữ liệu tại Việt Nam
Đối với DNNN, điểm c khoản 6 Điều 26 Nghị Định 53 quy định DNNN phải hoàn thành việc lưu trữ Dữ Liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam trong thời hạn 12 tháng kể từ ngày Bộ trưởng Bộ Công an ra quyết định yêu cầu lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
Đối với DNTT, Nghị Định 53 không quy định cụ thể về thời điểm DNTT có trách nhiệm thực hiện yêu cầu lưu trữ Dữ Liệu tại Việt Nam. Theo đó, các DNTT thuộc trường hợp phải lưu trữ Dữ Liệu tại Việt Nam theo quy định của Luật An ninh mạng kể từ ngày Luật này có hiệu lực, ngày 01/01/2019.
4. Hình thức lưu trữ dữ liệu
Khoản 3 Điều 26 Nghị Định 53 quy định: “Hình thức lưu trữ dữ liệu tại Việt Nam do doanh nghiệp quyết định.” Theo đó Nghị Định 53 không đưa ra bất kỳ yêu cầu cụ thể nào, cho phép các doanh nghiệp có thể tự mình quyết định hình thức lưu trữ Dữ Liệu tại Việt Nam.
5. Thời gian lưu trữ dữ liệu tại Việt Nam
Khoản 1 Điều 27 Nghị Định 53 quy định: “Thời gian lưu trữ dữ liệu theo quy định tại Điều 26 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu đến khi kết thúc yêu cầu. Thời gian lưu trữ tối thiểu là 24 tháng.”
Theo đó, đối với DNNN, Dữ Liệu sẽ được lưu trữ trong một khoảng thời gian cụ thể như được nêu trong Quyết định của Bộ trưởng Bộ Công an, bắt đầu từ khi doanh nghiệp nhận được Quyết định nói trên và trong mọi trường hợp, thời gian lưu trữ Dữ Liệu tối thiểu phải là 24 tháng. Quy định này được hiểu rằng sẽ áp dụng đối với các DNNN được quy định tại Điều 26 Nghị Định 53.
Đối với DNTT, như phân tích tại mục 3 nêu trên, việc lưu trữ Dữ Liệu tại Việt Nam không phụ thuộc vào yêu cầu của cơ quan nhà nước và DNTT có trách nhiệm lưu trữ kể từ ngày 01/01/2019 khi thuộc trường hợp phải lưu trữ theo quy định của Nghị Định 53.
6. Thời gian đặt chi nhánh, văn phòng đại diện tại Việt Nam
Khoản 2 Điều 27 Nghị Định 53 quy định: “Thời gian đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam theo quy định tại Điều 26 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đến khi doanh nghiệp không còn hoạt động tại Việt Nam hoặc dịch vụ được quy định không còn cung cấp tại Việt Nam”.
Như vậy, tương tự với quy định về thời gian lưu trữ Dữ Liệu nói trên, DNNN có trách nhiệm đặt chi nhánh, văn phòng đại diện của tại Việt Nam trong một khoảng thời gian cụ thể được nêu tại Quyết định của Bộ trưởng Bộ Công an, bắt đầu từ khi doanh nghiệp nhận được yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đến khi doanh nghiệp không còn hoạt động tại Việt Nam hoặc dịch vụ được quy định không còn cung cấp tại Việt Nam./.
Tin, bài: Cập nhật bởi LLVN.
Hình: Internet.
-------------------------
Lawlink Việt Nam (LLVN) là hãng Luật cung cấp các giải pháp pháp lý cho các doanh nghiệp, doanh nhân về ĐẦU TƯ, hoạt động doanh nghiệp & kinh doanh, Mua bán & Sáp nhập; Tranh tụng và Giải quyết tranh chấp. Chúng tôi cung cấp dịch vụ trọn gói từ các khâu tư vấn mô hình hoạt động, đến giấy phép, hợp đồng, cấu trúc vốn và thu xếp vốn, dịch vụ kế toán & thuế, và đại diện. Các ngành mà chúng tôi thực hành liên tục gồm: Bất động sản & Xây dựng, Hạ tầng, Xử lý rác thải & môi trường, Y & Dược, Giáo dục, Fintech, Nông nghiệp, Truyền thông & Xuất bản, Thương mại điện tử.
-------------------------
𝐂𝐨𝐧𝐭𝐚𝐜𝐭 𝐮𝐬
Website: www.lawlink.com
Instagram: lawlink.vietnam
Facebook: Lawlink Vietnam
Phone: +84 908107788
Address: Phòng 10.2, Lầu 10, Tòa nhà Vietnam Business Center, số 57-59 Hồ Tùng Mậu, phường Bến Nghé, Quận 1, TP. Hồ Chí Minh
Comments