Trả lời nhanh: Dữ liệu nằm ở vùng được chọn khi tạo tổ chức, và bạn kiểm được trong trang quản trị. Vùng đó thường không đổi sau khi tạo. Về pháp lý, doanh nghiệp Việt Nam cần lưu ý nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân và các quy định về an ninh mạng, nên tham khảo tư vấn pháp lý cho trường hợp cụ thể.
Câu hỏi này ngày càng hay được đặt ra khi doanh nghiệp ký hợp đồng với đối tác lớn hoặc rà soát tuân thủ. Bài này chỉ cách kiểm thông tin thật và nêu các điểm pháp lý cần lưu ý.
- Vùng dữ liệu được chọn khi tạo tổ chức và thường không đổi được sau đó.
- Kiểm vùng thật trong trang quản trị, đừng đoán theo nơi mua giấy phép.
- Microsoft giữ nhiều bản sao trong cùng vùng để chống mất dữ liệu.
- Luật Bảo vệ dữ liệu cá nhân đặt nghĩa vụ với doanh nghiệp xử lý dữ liệu.
- Các câu hỏi pháp lý cụ thể nên hỏi tư vấn pháp lý, không tự suy diễn.
Cách kiểm vùng dữ liệu của tổ chức bạn
Đừng đoán. Có cách kiểm chính xác.
Trong trang quản trị Microsoft 365, vào phần cài đặt tổ chức, mục hồ sơ tổ chức. Ở đó có thông tin về vị trí dữ liệu, ghi rõ từng dịch vụ đang lưu ở vùng nào.
Ba điều cần biết:
- Vùng được xác định khi tạo tổ chức, dựa trên quốc gia bạn khai lúc đăng ký. Khai sai lúc đầu thì sửa rất khó.
- Các dịch vụ khác nhau có thể ở vùng khác nhau. Exchange, SharePoint và Teams được liệt kê riêng.
- Vùng thường không đổi được sau khi tạo qua giao diện thông thường. Một số trường hợp Microsoft hỗ trợ di chuyển nhưng đó là quy trình riêng.
Nếu bạn mua giấy phép qua một nhà cung cấp trong nước, vùng dữ liệu vẫn phụ thuộc vào cách tổ chức được tạo chứ không phụ thuộc nơi mua. Hãy kiểm thay vì giả định.
Microsoft làm gì với dữ liệu của bạn
Bốn điểm về mặt kỹ thuật và cam kết.
Nhiều bản sao trong cùng vùng. Dữ liệu được nhân bản ở nhiều trung tâm dữ liệu để chống mất mát khi một nơi gặp sự cố. Đây là lý do bạn ít khi mất dữ liệu do hỏng phần cứng.
Mã hóa. Dữ liệu được mã hóa cả khi lưu trữ lẫn khi truyền.
Cam kết về quyền sở hữu. Microsoft nêu rõ trong điều khoản dịch vụ rằng dữ liệu thuộc về khách hàng, và họ không dùng nội dung khách hàng cho mục đích quảng cáo.
Quyền truy cập của nhân viên Microsoft bị hạn chế và có ghi nhật ký. Với các gói cao có tính năng cho phép tổ chức phê duyệt từng lần truy cập như vậy.
Các cam kết cụ thể được ghi trong tài liệu về điều khoản dịch vụ và phụ lục bảo vệ dữ liệu của Microsoft. Với doanh nghiệp có yêu cầu tuân thủ, nên đọc trực tiếp các tài liệu đó chứ không dựa vào tóm tắt của bên thứ ba, và nên kiểm phiên bản mới nhất vì chúng được cập nhật theo thời gian.
Khung pháp lý Việt Nam cần lưu ý
Phần này nêu các văn bản liên quan để bạn biết hướng tìm hiểu. Nó không thay thế tư vấn pháp lý.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023. Luật đặt ra nghĩa vụ với tổ chức xử lý dữ liệu cá nhân, gồm cả yêu cầu về sự đồng ý của chủ thể dữ liệu, biện pháp bảo vệ, và các quy định liên quan tới việc chuyển dữ liệu cá nhân ra nước ngoài.
Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026.
Nghị định 147/2024 về quản lý, cung cấp, sử dụng dịch vụ internet và thông tin trên mạng.
Điều quan trọng nhất: việc các quy định này áp dụng thế nào với một doanh nghiệp cụ thể phụ thuộc vào ngành nghề, loại dữ liệu xử lý, và quy mô hoạt động. Doanh nghiệp xử lý dữ liệu cá nhân của khách hàng Việt Nam nên tham khảo tư vấn pháp lý để xác định nghĩa vụ cụ thể của mình, thay vì tự suy diễn từ các bài viết trên mạng.
Câu hỏi nên đặt khi rà soát tuân thủ
Sáu câu giúp bạn nắm được tình hình thật của công ty mình.
- Vùng dữ liệu của tổ chức là gì, theo thông tin trong trang quản trị.
- Chúng ta đang xử lý những loại dữ liệu cá nhân nào trên Microsoft 365. Danh sách khách hàng, hồ sơ nhân sự, thông tin ứng viên.
- Ai trong công ty truy cập được các dữ liệu đó, và quyền đó có được rà định kỳ không.
- Chúng ta có ghi lại được ai đã truy cập gì không, tức là nhật ký kiểm tra có bật và lưu đủ lâu không.
- Có chính sách nội bộ về bảo vệ dữ liệu chưa, và nhân viên đã được thông báo chưa.
- Khi có sự cố lộ dữ liệu thì quy trình xử lý là gì, và ai chịu trách nhiệm.
Sáu câu này không cần luật sư để trả lời, nhưng câu trả lời cho chúng là thứ luật sư sẽ hỏi đầu tiên nếu bạn cần tư vấn.
Các lựa chọn kỹ thuật giúp ích
Bốn thứ trong Microsoft 365 hỗ trợ nghĩa vụ bảo vệ dữ liệu, không thay thế được nghĩa vụ pháp lý nhưng là biện pháp cụ thể.
- Nhật ký kiểm tra ghi lại ai truy cập và làm gì với dữ liệu.
- Chính sách chống rò rỉ dữ liệu phát hiện và chặn thông tin cá nhân sắp rời khỏi tổ chức.
- Nhãn nhạy cảm với mã hóa cho tài liệu chứa dữ liệu cá nhân.
- Chính sách lưu giữ để không giữ dữ liệu lâu hơn mức cần thiết, vốn cũng là một nguyên tắc trong bảo vệ dữ liệu.
Với doanh nghiệp có nhu cầu dữ liệu đặt trong nước, một hướng khác là dùng hạ tầng đặt tại Việt Nam cho các hệ thống chứa dữ liệu nhạy cảm nhất, và dùng Microsoft 365 cho phần cộng tác thông thường. Mô hình lai này khá phổ biến và giải quyết được phần lớn băn khoăn.
Khung pháp lý Việt Nam, các văn bản cụ thể
| Văn bản | Hiệu lực | Điều doanh nghiệp cần chú ý |
|---|---|---|
| Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 | 01/01/2026 | Thay thế nghị định 13/2023; quy định nghĩa vụ của bên kiểm soát và bên xử lý dữ liệu, quyền của chủ thể dữ liệu, và yêu cầu về hồ sơ đánh giá tác động |
| Luật An ninh mạng số 116/2025/QH15 | 01/07/2026 | Khung nghĩa vụ về an ninh mạng, gồm cả yêu cầu với dữ liệu của người dùng Việt Nam |
| Nghị định 147/2024 | Đang hiệu lực | Quản lý dịch vụ internet và thông tin trên mạng |
Điểm cần nói rõ: bài này nêu các văn bản để bạn biết đường tra cứu, không phải tư vấn pháp lý. Nghĩa vụ cụ thể phụ thuộc vào loại dữ liệu bạn xử lý và quy mô hoạt động, nên với hợp đồng lớn hoặc ngành có quy định riêng, hãy tham vấn luật sư.
Danh sách câu hỏi khi rà soát tuân thủ
- Tổ chức của bạn đang ở vùng dữ liệu nào, và bạn có bằng chứng bằng ảnh chụp màn hình trang quản trị không?
- Loại dữ liệu cá nhân nào đang đi qua hệ thống: hồ sơ nhân sự, dữ liệu khách hàng, dữ liệu sức khỏe? Mỗi loại có mức nghĩa vụ khác nhau.
- Ai trong công ty có quyền truy cập, và bạn có nhật ký chứng minh không? Đây là chỗ nhật ký kiểm tra trở nên quan trọng.
- Có hợp đồng xử lý dữ liệu với nhà cung cấp không, và điều khoản về vị trí lưu trữ nói gì?
- Chính sách lưu giữ và xóa dữ liệu của công ty là gì, và nó đã được cấu hình trong hệ thống hay mới chỉ nằm trên giấy?
Bật nhật ký kiểm tra và giữ bản xuất
- Bật nhật ký kiểm tra và giữ bản xuất định kỳ. Đây là bằng chứng khi cần chứng minh ai đã truy cập gì.
- Đặt chính sách lưu giữ và xóa cho từng loại dữ liệu, thay vì giữ mọi thứ mãi mãi. Xem bài về chính sách lưu giữ.
- Gắn nhãn phân loại cho tài liệu nhạy cảm, và đặt quy tắc chặn gửi ra ngoài. Xem bài về nhãn nhạy cảm.
- Với dữ liệu bắt buộc phải đặt tại Việt Nam, cân nhắc giữ phần đó trên hạ tầng trong nước và chỉ dùng dịch vụ đám mây cho phần còn lại.
Câu hỏi thường gặp
Microsoft có trung tâm dữ liệu ở Việt Nam không
Thông tin về vùng dữ liệu khả dụng thay đổi theo thời gian, nên hãy kiểm trực tiếp trong trang quản trị của tổ chức bạn và trên trang chính thức của Microsoft thay vì dựa vào bài viết cũ.
Đổi vùng dữ liệu sau khi đã tạo tổ chức được không
Qua giao diện thông thường thì không. Một số trường hợp Microsoft hỗ trợ di chuyển theo quy trình riêng. Vì thế khai đúng quốc gia lúc tạo tổ chức là việc quan trọng.
Dùng dịch vụ nước ngoài có vi phạm luật không
Đây là câu hỏi pháp lý phụ thuộc vào loại dữ liệu và ngành nghề cụ thể. Nhiều doanh nghiệp Việt Nam đang dùng các dịch vụ đám mây quốc tế. Hãy tham khảo tư vấn pháp lý để xác định nghĩa vụ của công ty bạn.
Cần chuẩn bị gì nếu khách hàng hỏi về bảo vệ dữ liệu
Nắm được vùng dữ liệu, danh sách loại dữ liệu đang xử lý, các biện pháp kỹ thuật đang áp dụng, và quy định nội bộ. Ngoài ra Microsoft công bố các chứng nhận tuân thủ mà bạn tham chiếu được trong hồ sơ trả lời khách hàng.
