Khung pháp lý kinh doanh dịch vụ Trung tâm Dữ liệu tại Việt Nam

Khung pháp lý điều chỉnh hoạt động của Trung tâm Dữ liệu (Data Center - DC) tại Việt Nam được xây dựng trên nền tảng của các luật cơ bản về công nghệ và viễn thông. Ban đầu, các quy tắc chung về hoạt động ứng dụng và phát triển công nghệ thông tin được thiết lập trong Luật Công nghệ thông tin 2006. Luật này cung cấp các nguyên tắc chung, bao gồm cả quyền ứng dụng công nghệ thông tin trong thương mại và quy định về thanh tra chuyên ngành. Song song, Luật Viễn thông 2023 đặt ra khuôn khổ quản lý mạng lưới và dịch vụ viễn thông, bao gồm cả việc khuyến khích phát triển cơ sở hạ tầng.   

Tuy nhiên, trong bối cảnh tăng trưởng nhanh chóng của hạ tầng số và nhu cầu bảo vệ dữ liệu, khuôn khổ pháp lý đang dịch chuyển từ các văn bản nền tảng sang các quy định chuyên sâu, với các yêu cầu phức tạp hơn. Trong bài viết này, chúng tôi sẽ nêu một số khó khăn đặc thù mà các doanh nghiệp có vốn đầu tư nước ngoài gặp phải khi kinh doanh lĩnh vực này tại Việt Nam.

1. Dịch vụ trung tâm dữ liệu là gì?

Một trong những điểm quan trọng nhất trong khung pháp lý mới là việc phân loại dịch vụ DC. Luật Viễn thông 2023 đã định nghĩa rõ ràng Dịch vụ trung tâm dữ liệu là một loại "Dịch vụ viễn thông cung cấp tính năng xử lý, lưu trữ và truy xuất thông tin cho người sử dụng qua mạng viễn thông bằng việc cho thuê một phần hoặc toàn bộ trung tâm dữ liệu"[1].   

Việc phân loại DC là dịch vụ viễn thông mang lại tác động pháp lý sâu rộng và tăng cường sự giám sát của Nhà nước. Nếu DC chỉ được coi là dịch vụ bất động sản hoặc dịch vụ CNTT đơn thuần, các yêu cầu pháp lý sẽ có phần dễ dàng hơn. Tuy nhiên, khi được xếp vào nhóm dịch vụ viễn thông, các nhà cung cấp dịch vụ DC bắt buộc phải tuân thủ các điều kiện kinh doanh chuyên ngành viễn thông. Điều này bao gồm các yêu cầu nghiêm ngặt về cấp phép, vốn pháp định, và quản lý chất lượng dịch vụ, do Bộ Thông tin và Truyền thông (nay là Bộ Khoa học và Công nghệ) quản lý. Việc này thiết lập một rào cản gia nhập thị trường cao hơn, đặc biệt đối với các nhà đầu tư nước ngoài (NĐTNN).   

Hoạt động của DC chịu sự điều chỉnh của nhiều cơ quan Nhà nước, phản ánh bản chất liên ngành của dịch vụ này. Từ Bộ Khoa học và Công nghệ là cơ quan quản lý chuyên ngành về viễn thông, công nghệ thông tin, và an toàn thông tin mạng (ATTT). Bộ này chịu trách nhiệm cấp các giấy phép chuyên ngành và ban hành các tiêu chuẩn kỹ thuật cho DC.  Cho đến Bộ Công An, thông qua Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an đóng vai trò là cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Bộ Công an cũng là cơ quan chủ trì thẩm định các yêu cầu về an ninh mạng và các thủ tục liên quan đến chuyển dữ liệu xuyên biên giới.  Và cuối cùng là Bộ Tài Chính (trước đây là Bộ Kế hoạch và Đầu tư) là cơ quan chịu trách nhiệm cấp Giấy chứng nhận đăng ký đầu tư (IRC), là bước khởi đầu cho mọi dự án đầu tư nước ngoài vào lĩnh vực DC.   

2. Các yêu cầu khi kinh doanh dịch vụ trung tâm dữ liệu tại Việt Nam

Đối với các dự án DC có vốn đầu tư nước ngoài, quy trình pháp lý bao gồm nhiều giai đoạn phức tạp nhằm đảm bảo tuân thủ cả Luật Đầu tư và các quy định chuyên ngành viễn thông. Ngoài các giấy tờ đầu tư thông thường như Giấy chứng nhận đăng ký đầu tư, Giấy chứng nhận đăng ký doanh nghiệp, nhà đầu tư còn phải thực hiện các thủ tục để cấp các giấy phép chuyên ngành liên quan tới hoạt động kinh doanh đặc thù và tuân thủ các yêu cầu sau cấp phép.

Mặc dù các văn bản pháp lý hiện hành không cung cấp con số cụ thể về vốn pháp định riêng cho dịch vụ DC, việc DC được xếp vào nhóm dịch vụ viễn thông đã ngụ ý các điều kiện tài chính và kỹ thuật sẽ rất nghiêm ngặt. Chẳng hạn các dịch vụ viễn thông khác như thiết lập mạng di động mặt đất không sử dụng băng tần số vô tuyến điện yêu cầu vốn pháp định là 300 tỷ đồng và mức cam kết đầu tư lên tới 1.000 tỷ đồng Việt Nam trong 03 năm đầu tiên[2]. Việc áp dụng các điều kiện tương đương hoặc gần tương đương này đối với các nhà cung cấp dịch vụ DC đặt ra một yêu cầu tài chính và kỹ thuật đáng kể, tạo ra rào cản tài chính đối với các nhà đầu tư nhỏ và buộc các tập đoàn lớn phải cam kết nguồn vốn đáng kể. Sự nghiêm ngặt này phản ánh vai trò chiến lược của DC trong hạ tầng số quốc gia.

Ngoài ra, NĐTNN cần lưu ý đến các hạn chế sở hữu. Luật Đầu tư 2020 cho phép áp dụng giới hạn sở hữu cho từng ngành cụ thể. Các hoạt động DC phục vụ hạ tầng thông tin quan trọng quốc gia hoặc liên quan đến dữ liệu chính phủ thường sẽ phải chịu sự giám sát hoặc hạn chế bổ sung. Trong một số trường hợp, nhà đầu tư nước ngoài có thể được yêu cầu hợp tác với đối tác trong nước để giảm thiểu rủi ro an ninh quốc gia.   

Mới đây, vào ngày 11/11/2025, Chính phủ đề xuất rà soát, cắt giảm 25 ngành, nghề kinh doanh có điều kiện để chuyển sang hậu kiểm, thúc đẩy tự do kinh doanh, trong đó có ngành kinh doanh dịch vụ trung tâm dữ liệu tại Việt Nam[3]. Có lẽ trong thời gian tới, hoạt động kinh doanh này sẽ được nới lỏng hơn với mong muốn thu hút thêm các nhà đầu tư có tiềm lực và khả năng để phát triển mảng dữ liệu số đang rất cần thiết cho Việt Nam.  

3. Yêu cầu về tuân thủ an toàn hệ thống thông tin và xử lý sự cố

Nghị định số 85/2016/NĐ-CP của Chính phủ là văn bản pháp lý cốt lõi quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Nghị định này phân loại hệ thống thông tin thành 5 cấp độ dựa trên mức độ quan trọng và tác động nếu bị sự cố. Các DC, với vai trò là nơi lưu trữ và xử lý dữ liệu của nhiều tổ chức, phải xác định và công bố cấp độ an toàn cho hệ thống thông tin mà DC lưu trữ hoặc vận hành.   

Yêu cầu về cấp độ an toàn đặc biệt nghiêm ngặt đối với các DC muốn cung cấp dịch vụ cho khối Nhà nước, cơ quan chính phủ điện tử, hoặc các hệ thống thông tin quan trọng quốc gia. Thực tiễn đã cho thấy, các DC hàng đầu tại Việt Nam đã phải đạt tiêu chuẩn An toàn hệ thống thông tin cấp độ 4. Để đạt được cấp độ 4, hệ thống DC phải được thiết lập nghiêm ngặt, đủ khả năng phục vụ điều hành và cung cấp dịch vụ cho khách hàng thuộc khối nhà nước, nơi yêu cầu vận hành 24/7/365 và tuyệt đối không chấp nhận dừng vận hành ngoài kế hoạch. Việc thẩm định để đạt Cấp độ 4 bao gồm ba trụ cột chính: (1) Đảm bảo tính liên tục của hạ tầng phần cứng; (2) Chính sách giám sát toàn diện và vận hành chặt chẽ; và (3) Phần mềm quản trị, an ninh thông tin theo tiêu chuẩn quốc tế.   

Dưới đây là tổng hợp các tiêu chuẩn an toàn hệ thống thông tin (ATHTTT) và ảnh hưởng của chúng đối với hoạt động của DC:

Ngoài việc đáp ứng tiêu chuẩn ATHTTT, nhà cung cấp DC có nghĩa vụ pháp lý phải xây dựng và duy trì năng lực ứng phó sự cố ATTT mạng. Các quy định yêu cầu DC phải có kế hoạch đánh giá các nguy cơ, sự cố ATTT mạng và xây dựng phương án đối phó, ứng cứu cụ thể[4]. Điều này là cần thiết để bảo đảm an toàn thông tin cho các hệ thống thông tin quan trọng. Các DC phải tuân thủ nghiêm ngặt các yêu cầu báo cáo, sử dụng các mẫu chuẩn được quy định trong các thông tư chuyên ngành. Việc tuân thủ quy trình này không chỉ là yêu cầu pháp lý mà còn là minh chứng cho năng lực vận hành của nhà cung cấp dịch vụ.   

4. Yêu cầu về lưu trữ và chuyển dữ liệu xuyên biên giới

Thứ nhất, yêu cầu doanh nghiệp phải lưu trữ dữ liệu bắt buộc

Các quy định về an ninh mạng tại Việt Nam bao gồm yêu cầu lưu trữ dữ liệu bắt buộc đối với một số dịch vụ nhất định trong không gian mạng. Danh sách các dịch vụ bị quản lý bao gồm dịch vụ lưu trữ và chia sẻ dữ liệu trong không gian mạng, bên cạnh các dịch vụ viễn thông, thương mại điện tử, thanh toán trực tuyến, và mạng xã hội.   

Theo Luật An ninh mạng và các nghị định hướng dẫn, các doanh nghiệp cung cấp dịch vụ lưu trữ dữ liệu thuộc danh sách này phải lưu trữ dữ liệu của người dùng Việt Nam tại Việt Nam khi có yêu cầu bằng văn bản của cơ quan nhà nước có thẩm quyền.   

Quy định lưu trữ dữ liệu tại Việt Nam tạo ra thách thức lớn đối với các nhà cung cấp dịch vụ đám mây (Cloud Service Providers) và các nhà cung cấp DC toàn cầu, vốn thường vận hành trên mô hình lưu trữ phân tán. Để tuân thủ, nhà cung cấp DC phải đảm bảo họ có hạ tầng vật lý tại Việt Nam và có khả năng tách biệt dữ liệu người dùng Việt Nam để lưu trữ nội địa theo yêu cầu. Việc này đòi hỏi cam kết đầu tư lớn vào hạ tầng và sự minh bạch trong kiến trúc dữ liệu.   

Thứ hai, quy trình chuyển dữ liệu xuyên biên giới

Việc chuyển dữ liệu cá nhân xuyên biên giới được quy định chặt chẽ tại Nghị định 13/2023/NĐ-CP và cả Luật Bảo vệ dữ liệu cá nhân 2025 sắp có hiệu lực. Mọi hoạt động chuyển dữ liệu xuyên biên giới phải tuân thủ nghiêm ngặt các nguyên tắc bảo đảm quốc phòng, an ninh quốc gia, bảo vệ lợi ích quốc gia và lợi ích công cộng, cũng như quyền và lợi ích hợp pháp của chủ thể dữ liệu.   

Yêu cầu bắt buộc hàng đầu là tổ chức thực hiện chuyển dữ liệu xuyên biên giới phải tiến hành Đánh giá tác động chuyển dữ liệu xuyên biên giới. Báo cáo này không chỉ là một nghĩa vụ pháp lý mà còn là công cụ quản trị rủi ro, giúp doanh nghiệp chứng minh rằng việc chuyển dữ liệu được thực hiện một cách an toàn và có trách nhiệm. Hồ sơ đánh giá phải được nộp cho Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (A05) thuộc Bộ Công an.   

Đáng chú ý, pháp luật Việt Nam phân loại việc chuyển dữ liệu dựa trên mức độ nhạy cảm của dữ liệu gồm: Dữ liệu quan trọng và dữ liệu cốt lõi.

Bên cạnh đó, DC cần chủ động thẩm định năng lực và uy tín (Due Diligence) của bất kỳ Bên thứ ba nào tham gia vào quá trình xử lý dữ liệu. Điều này bao gồm việc yêu cầu bằng chứng tuân thủ, như bản sao chính sách bảo vệ DLCN và các chứng chỉ an ninh mạng. Việc thẩm định kỹ lưỡng này giúp ràng buộc trách nhiệm pháp lý và giảm thiểu nguy cơ rò rỉ dữ liệu từ hệ thống của các đối tác liên quan.   

Bên trong trung tâm dữ liệu VNG Data Center. Nguồn: VNG

5. Một số khuyến nghị cho doanh nghiệp hoạt động trong lĩnh vực này

Để vận hành DC thành công trong môi trường pháp lý ngày càng nghiêm ngặt của Việt Nam, các nhà đầu tư nên thực hiện các hành động sau:

Tư vấn chiến lược đầu tư: NĐTNN cần tìm hiểu kỹ các giới hạn về sở hữu có thể áp dụng và chuẩn bị kế hoạch tài chính linh hoạt để đáp ứng các điều kiện vốn pháp định và cam kết đầu tư lớn theo quy định của pháp luật viễn thông.   

Nâng cấp bảo mật chủ động: DC nên hướng tới việc đạt tối thiểu ATHTTT cấp độ 4, đặc biệt nếu mục tiêu là phục vụ các tổ chức Nhà nước, tài chính, hoặc hạ tầng quan trọng quốc gia. Việc này không chỉ là tuân thủ mà còn là lợi thế cạnh tranh, chứng minh khả năng vận hành liên tục và độ tin cậy.   

Quản lý hợp đồng dữ liệu chặt chẽ: Thiết lập các Thỏa thuận xử lý dữ liệu (DPA) minh bạch và chi tiết với khách hàng. Phải xác định rõ ràng vai trò pháp lý để giới hạn trách nhiệm pháp lý của DC theo Nghị định 13/2023 (sau này là Luật Bảo vệ dữ liệu cá nhân 2025) và thực hiện thẩm định kỹ lưỡng đối với mọi Bên thứ ba liên quan.   

Thị trường dịch vụ DC tại Việt Nam đang đứng trước cơ hội lớn nhờ vào nhu cầu ngày càng tăng về dịch vụ đám mây, sự hỗ trợ của chính phủ cho các sáng kiến chuyển đổi số, và vị trí chiến lược của Việt Nam trong khu vực Đông Nam Á. Chính phủ đang nỗ lực thúc đẩy xây dựng TTDLQG và cơ sở dữ liệu quốc gia đến năm 2030, nhằm mục tiêu đưa Việt Nam thuộc nhóm các nước dẫn đầu về Chính phủ điện tử và công nghệ thông tin[5]. Tuy nhiên, song hành với cơ hội này là xu hướng quản lý pháp lý ngày càng chặt chẽ. Sự ra đời của các văn bản như Nghị định 13/2023/NĐ-CP, Luật Viễn thông 2023, Luật Dữ liệu 2024 và Luật Bảo vệ dữ liệu cá nhân 2025 cho thấy khung pháp lý đang dịch chuyển từ phương pháp quản lý trung lập về công nghệ sang phương pháp quản lý chặt chẽ dựa trên rủi ro. Đặc biệt tập trung vào việc kiểm soát dữ liệu cá nhân, đảm bảo an toàn hệ thống thông tin, và bảo vệ an ninh quốc gia. Sự thành công của các NĐTNN trong lĩnh vực DC sẽ phụ thuộc vào khả năng đáp ứng các tiêu chuẩn tuân thủ cao này và duy trì sự hợp tác chặt chẽ với các cơ quan quản lý Nhà nước của Việt Nam.