Luật An ninh mạng (sẽ có hiệu lực từ 1/1/2019) quy định về lưu trữ dữ liệu người sử dụng Việt Nam tại Việt Nam.

Theo đó, doanh nghiệp trong và ngoài nước cung cấp dịch vụ trên mạng viễn thông, mạng internet và các dịch vụ gia tăng trên không gian mạng tại Việt Nam có hoạt động thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra phải lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ. Doanh nghiệp nước ngoài quy định tại khoản này phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Thực tế, đến nay đã nhiều quốc gia trên thế giới quy định bắt buộc phải lưu trữ dữ liệu ở trong nước như: Mỹ, Canada, Nga, Pháp, Đức, Trung Quốc, Indonesia, Bulgaria, Đan Mạch, Phần Lan, Thuỵ Điển, Thổ Nhĩ Kỳ, Venezuela, Colombia, Argentina, Brazil… Tuỳ vào tình hình thực tế, các quốc gia có thể yêu cầu lưu trữ các loại dữ liệu không giống nhau.

Tất cả các quốc gia trên thế giới đều coi an ninh quốc gia là ưu tiên hàng đầu. Do đó, các doanh nghiệp cung cấp dịch vụ trên không gian mạng đã và đang phối hợp, đáp ứng yêu cầu của các cơ quan chức năng các quốc gia trên thế giới trong bảo vệ an ninh quốc gia, phòng chống tội phạm.

Trong các văn kiện của WTO, CPTPP như Hiệp định chung về thuế quan và thương mại (GATT 1944), Hiệp định chung về thương mại dịch vụ (GATS), Hiệp định về các khía cạnh liên quan đến thương mại của quyền sở hữu trí tuệ (TRIPS) đều có quy định về ngoại lệ an ninh. Theo đó quy định rõ: “không có bất kỳ các quy định nào trong các văn bản đó ngăn cản bất kỳ thành viên nào thực hiện bất kỳ hành động nào được coi là cần thiết để bảo vệ an ninh thiết yếu của mình". Vì vậy việc quy định về lưu trữ dữ liệu trong Luật An ninh mạng là vận dụng theo ngoại lệ an ninh, như nhiều nước đã làm.

Hơn nữa, việc quy định đặt máy chủ và lưu trữ dữ liệu tại Việt Nam không phải lần đầu tiên được quy định trong Luật này. Theo Nghị định số 72/2013/NĐ-CP của Chính phủ đã quy định các tổ chức, doanh nghiệp thiết lập trang thông tin điện tử tổng hợp, thiết lập mạng xã hội, cung cấp dịch vụ nội dung thông tin trên mạng viễn thông di động, cung cấp dịch vụ trò chơi điện tử phải “có ít nhất 1 hệ thống máy chủ đặt tại Việt Nam đáp ứng việc thanh tra, kiểm tra, lưu trữ, cung cấp thông tin theo yêu cầu của cơ quan quản lý nhà nước có thẩm quyền và giải quyết khiếu nại của khách hàng”.