Chuyển dữ liệu cá nhân ra nước ngoài khi thuê VPS/hosting: doanh nghiệp Việt Nam cần làm gì từ 2026?

Hướng dẫn mang tính thông tin cho doanh nghiệp Việt Nam thuê VPS hoặc hosting đặt tại châu Âu. Đây không phải tư vấn pháp lý. Cập nhật đến ngày 30.09.2026. Văn bản pháp luật chính thức chưa được mở toàn văn khi soạn trang này; nội dung pháp lý dựa trên tài liệu tóm tắt của bên thứ ba.

Trả lời ngắn

  1. 1Theo các tài liệu tóm tắt pháp lý mà chúng tôi tham khảo, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/6/2025) và Nghị định 356/2025/NĐ-CP có hiệu lực từ ngày 01/01/2026; Nghị định 356 thay thế Nghị định 13/2023/NĐ-CP.
  2. 2Thuê VPS hoặc hosting đặt tại châu Âu đồng nghĩa với việc dữ liệu cá nhân có thể được chuyển ra khỏi Việt Nam, và việc đó thường phải được doanh nghiệp xem xét theo quy định về chuyển dữ liệu xuyên biên giới.
  3. 3Theo các bản tóm tắt, tổ chức thực hiện việc chuyển phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi một bản chính đến cơ quan chuyên trách trong vòng 60 ngày kể từ khi bắt đầu chuyển. Người lập và nộp hồ sơ là bên kiểm soát dữ liệu (doanh nghiệp của bạn), không phải nhà cung cấp hosting.
  4. 44hosting cung cấp hạ tầng tại Frankfurt, cùng hợp đồng xử lý dữ liệu (DPA); 4hosting không chứng nhận và không ký thay cho bạn việc tuân thủ pháp luật.

Điều gì thay đổi từ 01/01/2026

Theo các bản tóm tắt của thuvienphapluat.vn, luatvietnam.vn và EY Vietnam, Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP hướng dẫn thi hành luật, cũng có hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023/NĐ-CP.

Các bản tóm tắt cho biết yêu cầu đánh giá tác động xử lý dữ liệu và đánh giá tác động chuyển dữ liệu ra nước ngoài vẫn được giữ, và mức phạt khi vi phạm quy định về chuyển dữ liệu ra nước ngoài có thể lên tới 5% doanh thu của năm tài chính liền kề trước đó. Chúng tôi chưa mở được văn bản chính thức nên không trích số điều; hãy đọc toàn văn trên các cổng chính thức (vbpl.vn, chinhphu.vn) hoặc hỏi luật sư trước khi quyết định.

Ai làm gì: bên kiểm soát dữ liệu và nhà cung cấp hosting

Doanh nghiệp quyết định thu thập dữ liệu để làm gì và như thế nào là bên kiểm soát dữ liệu. Nhà cung cấp hosting thường lưu trữ và vận hành máy chủ theo chỉ dẫn của bạn. Theo các bản tóm tắt, hồ sơ đánh giá tác động chuyển dữ liệu là nghĩa vụ của tổ chức thực hiện việc chuyển, tức là của doanh nghiệp bạn.

Câu hỏi thực tế: bạn lưu những loại dữ liệu cá nhân nào (khách hàng, nhân viên, đơn hàng)? Chúng nằm trên máy chủ nào, ở nước nào? Đã có hợp đồng bằng văn bản với nhà cung cấp về việc chỉ xử lý theo chỉ dẫn của bạn chưa? Đã có người phụ trách lập hồ sơ và theo dõi hạn 60 ngày chưa? Đây là danh sách kiểm tra để bạn làm việc với cố vấn pháp lý, không phải kết luận pháp lý.

4hosting đóng góp gì và không làm gì

Trung tâm dữ liệu của 4hosting nằm trong Liên minh châu Âu, tại Frankfurt, không phải ở Việt Nam. Công ty vận hành từ Romania, có cam kết phù hợp GDPR, hợp đồng xử lý dữ liệu (DPA) theo điều 28 GDPR và các điều khoản hợp đồng tiêu chuẩn (SCC) cho việc chuyển dữ liệu. 4hosting làm việc theo hướng phù hợp ISO 27001; đây không phải chứng nhận ISO 27001.

4hosting không có chứng nhận SOC 2 hay PCI DSS, và không xác nhận việc tuân thủ luật bảo vệ dữ liệu cá nhân của Việt Nam cho bất kỳ khách hàng nào. Độ trễ từ Frankfurt đến người dùng ở Việt Nam ở mức thấp về mặt định tính, chúng tôi không công bố số liệu mili giây.

Ba ví dụ thực tế

Cửa hàng trực tuyến có khách hàng ở Việt Nam

Lưu tên, số điện thoại và địa chỉ giao hàng trong cơ sở dữ liệu trên VPS đặt ở châu Âu. Doanh nghiệp cần xác định đây có phải là chuyển dữ liệu ra nước ngoài không và chuẩn bị hồ sơ cùng cố vấn pháp lý.

Công ty phần mềm lưu dữ liệu người dùng cuối

Ứng dụng SaaS chạy trên máy chủ ở nước ngoài. Công ty là bên kiểm soát dữ liệu của mình, cần ghi rõ trong hợp đồng với nhà cung cấp hạ tầng phạm vi xử lý dữ liệu.

Agency quản lý website cho nhiều khách hàng

Agency thay mặt khách hàng vận hành site và dữ liệu. Cần thỏa thuận rõ bằng văn bản ai là bên kiểm soát, ai lập hồ sơ và ai làm việc với nhà cung cấp hosting.

Sai lầm thường gặp

  • Cho rằng thuê máy chủ ở nước ngoài là tự động vi phạm hoặc tự động hợp lệ: điều quan trọng là hồ sơ, hợp đồng và biện pháp bảo mật.
  • Nghĩ rằng nhà cung cấp hosting sẽ lập và nộp hồ sơ đánh giá tác động thay bạn.
  • Bỏ lỡ hạn 60 ngày kể từ khi bắt đầu chuyển dữ liệu, theo các bản tóm tắt pháp lý.
  • Không có hợp đồng bằng văn bản về xử lý dữ liệu với nhà cung cấp hạ tầng.
  • Dựa vào bản tóm tắt (kể cả trang này) mà không đọc văn bản chính thức hoặc hỏi luật sư.

4hosting hỗ trợ bạn như thế nào

Chúng tôi lưu trữ website của bạn trong Liên minh châu Âu, có bảo vệ DDoS kèm theo, sao lưu hằng ngày trên cPanel, hợp đồng xử lý dữ liệu (DPA) và di chuyển miễn phí. Nếu bạn cần hỗ trợ củng cố bảo mật máy chủ hoặc kiểm soát truy cập, các dịch vụ DevOps và an ninh mạng được tính theo giờ trong những gói có bao gồm. Hỗ trợ bằng tiếng Anh và tiếng Romania. 4hosting không chứng nhận và không ký thay việc tuân thủ pháp luật của doanh nghiệp bạn.

Câu hỏi thường gặp

Luật 2025 có cấm đặt dữ liệu trên máy chủ ở nước ngoài không?

Trong các bản tóm tắt chúng tôi tham khảo, không thấy lệnh cấm chung; luật đặt ra thủ tục, gồm hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài. Hãy đọc văn bản chính thức và xác nhận với cố vấn pháp lý.

4hosting có lập hồ sơ đánh giá tác động giúp tôi không?

Không. Theo các bản tóm tắt, nghĩa vụ này thuộc về tổ chức thực hiện việc chuyển dữ liệu. 4hosting cung cấp hạ tầng tại EU, hợp đồng DPA và biện pháp kỹ thuật, còn việc tuân thủ của doanh nghiệp là trách nhiệm của bạn và cố vấn của bạn.

Máy chủ 4hosting đặt ở đâu?

Trong Liên minh châu Âu: Frankfurt. Không có máy chủ tại Việt Nam.

Xem thêm

Hướng dẫn cho doanh nghiệp Việt Nam