Vietnam Land Law 2025: New Rules for Real-Estate M&A
July 29, 2025
Step-Up Acquisitions in Vietnam: Minority to Control
July 30, 2025
Founder Notes — Lotus Investment Group
Vietnam Cybersecurity Due Diligence in Tech M&A
Thẩm định an ninh mạng và nội địa hóa dữ liệu: cái bẫy âm thầm bào mòn giá trị trong M&A công nghệ
Ngành công nghệ Việt Nam vẫn hút dòng tiền mua bán xuyên biên giới. Người tiêu dùng số trẻ, nền tảng tăng tốc nhanh, mức gắn kết trên di động cao: trên giấy, thị trường đọc ra là chín muồi. Nhưng giờ bất kỳ thương vụ công nghệ nào cũng phải coi tuân thủ an ninh mạng là một trụ thẩm định cốt lõi, không phải dòng ghi chú cuối trang. Luật an ninh mạng và các quy định nội địa hóa dữ liệu của Việt Nam nằm trong số những cái bẫy bị định giá hụt nhất của cả thương vụ; bỏ qua chúng, bên mua không chỉ chậm hợp nhất — họ âm thầm đốt giá trị qua phạt tiền, mất niềm tin người dùng và bị đình chỉ vận hành.
Suốt 24 tháng qua, Lotus Venture đã rà hàng chục thương vụ công nghệ tại Việt Nam, và cái khuôn lặp lại thì khó mà bỏ sót. Doanh nghiệp coi quản trị dữ liệu là chuyện hạng hai thường thừa kế nguyên một mớ nghĩa vụ ngầm: tiền phạt chưa tính, dịch vụ bị treo, danh tiếng đổ vỡ. Ở một thị trường mà giá trị nền tảng tựa hết vào niềm tin người dùng, độ trôi chảy của dữ liệu và khả năng mở rộng trên đám mây, thẩm định kỹ thuật phải làm nhiều hơn là đọc mã nguồn hay phác lại kiến trúc phần mềm. Nó phải trả lời một câu hỏi chiến lược: doanh nghiệp này có hợp pháp để vận hành và lớn lên dưới một bộ luật đang siết nhanh hơn phần lớn bên mua hình dung hay không?
Luật an ninh mạng Việt Nam: phạm vi, thực thi và điểm mù của nhà đầu tư
Từ khi có hiệu lực năm 2019, Luật An ninh mạng đã nắn lại cách doanh nghiệp xử lý dữ liệu người dùng, nhất là ở những lĩnh vực bị xem là nhạy cảm với an ninh quốc gia hay trật tự xã hội. Luật buộc một số loại dữ liệu phải lưu trữ trong nước: định danh cá nhân, thông tin tài chính, dữ liệu hành vi. Luật cũng buộc nhà cung cấp dịch vụ số nhắm tới người dùng Việt phải đặt hiện diện tại chỗ. Nghị định 53/2022 sau đó nêu rõ cơ chế thực thi, ngưỡng áp dụng và bộ hồ sơ tuân thủ mà cơ quan quản lý muốn thấy.
Hiểm họa không nằm ở bản thân luật. Nó nằm ở chỗ bên mua dễ đánh giá thấp tầm với của luật tới mức nào. Nhiều người cứ đinh ninh quy định chỉ cắn vào mạng xã hội lớn, công ty tài chính số hay nền tảng gọi xe. Thực tế, bất cứ doanh nghiệp nào thu thập số định danh, dữ liệu sức khỏe hay định vị đều có thể rơi vào phạm vi. Một công ty SaaS hậu cần có khi phải nội địa hóa hạ tầng chỉ vì lưu địa chỉ giao hàng gắn với khách đã xác thực.
Trong một vụ Lotus tư vấn, một nền tảng cỡ vừa đặt toàn bộ dữ liệu người dùng trên AWS Singapore và thuê ngoài khâu phân tích cho một nhóm ở nước ngoài. Khi thẩm định, chúng tôi lôi ra mấy lần Cục An toàn thông tin từng gửi văn bản truy vấn — không một lần nào được công bố trong kho dữ liệu. Khách hàng suýt ký mà chẳng hay. Tình huống đó không hiếm.
Điểm khiến khung pháp lý Việt Nam khác biệt là không có cơ chế khắc phục. Các vi phạm pháp lý khác thường cho phép nộp hồ sơ bổ sung sau để dọn lại hồ sơ. Vi phạm an ninh mạng thì hay mang rủi ro không thể đảo ngược. Một khi bị nêu tên, doanh nghiệp có thể bị đình chỉ dịch vụ hoặc bị xử lý công khai, mà cả hai đều ăn thẳng vào độ tin cậy của nền tảng lẫn niềm tin nhà đầu tư.
Nội địa hóa dữ liệu: kiến trúc đám mây, chi phí dựng lại nền và cấu trúc điều khoản
Quy định nội địa hóa của Việt Nam không chỉ buộc lưu trữ trong nước. Nó định hình cả cách doanh nghiệp thiết kế hệ thống lõi, chọn nhà cung cấp đám mây và tính đường mở rộng. Với bên mua, hệ quả phũ phàng: kiến trúc đám mây của bên bán có thể không còn bền vững về mặt pháp lý ngay khi thương vụ đóng.
Quy định ấy đè nặng nhất lên tài chính số, y tế, giáo dục và hậu cần — những lĩnh vực mà dữ liệu nhạy cảm của người dùng chạy qua hệ thống bên thứ ba hoặc API bên ngoài. Khá nhiều công ty khởi nghiệp Việt dựng nhanh trên nền đám mây toàn cầu để kịp tung bản MVP, và những nền đó hiếm khi vượt được ngưỡng nội địa hóa. Xây lại về sau tốn tiền thật.
Trong một thương vụ ẩn danh, một ứng dụng di động hướng tới người tiêu dùng buộc phải dựng lại toàn bộ hệ thống lõi sau khi đóng, chuyển từ AWS sang một nhà cung cấp IaaS trong nước. Cú dịch chuyển ấy phát sinh vốn đầu tư ngoài kế hoạch, đẩy chi phí vận hành lên và lùi việc khai thác doanh thu từ người dùng mới hơn sáu tháng. Dự báo hậu thương vụ của bên mua lệch quỹ đạo ngay từ ngày đầu.
Chúng tôi khuyên khách chặn rủi ro này trước khi đặt bút, bằng cách viết thẳng các mốc tuân thủ vào tờ điều khoản: ấn định thời điểm phải nội địa hóa dữ liệu thuộc diện quản lý, chỉ rõ ai gánh chi phí dựng lại nền, giữ lại một phần giá mua cho tới khi có kết quả rà soát tuân thủ sạch, và buộc khoản thưởng theo kết quả gắn với việc di chuyển hoàn tất trên thực tế chứ không phải lời cam kết của bên bán. Tính sớm thì đó là một dòng đem ra mặc cả. Phát hiện muộn thì bên mua chịu một mình.
Chuyển dữ liệu xuyên biên giới: ngôn ngữ đồng ý, lỗ hổng hợp đồng và điểm mù nhà cung cấp
Luật Việt Nam buộc doanh nghiệp phải có sự đồng ý của người dùng trước khi chuyển dữ liệu cá nhân ra khỏi đất nước, và sự đồng ý đó phải cụ thể, được thông báo rõ và có thể rút lại. Phần lớn doanh nghiệp lại dựa vào câu chữ chung chung trong ứng dụng hoặc chính sách bảo mật soạn sẵn theo khuôn. Những thứ đó hiếm khi qua nổi mắt cơ quan quản lý.
Mức phơi nhiễm còn rộng ra khi dịch vụ bên thứ ba nằm ngay trong bộ sản phẩm. Trợ lý trò chuyện, API video, công cụ phân tích cắm thêm — mỗi thứ đều có thể đẩy dữ liệu người dùng ra nước ngoài mà chẳng có đường công bố hay xin đồng ý nào rõ ràng. Ít công ty khởi nghiệp từng vẽ ra trọn dòng chảy dữ liệu của mình, lại càng ít ở giai đoạn MVP hay tăng trưởng, lúc kiến trúc còn đổi từng tuần.
Một nền tảng công nghệ giáo dục nói lên điều đó. Họ nhúng một API video đặt máy chủ ở châu Âu và đinh ninh mình tuân thủ vì điều khoản có nhắc tới “nhà cung cấp dịch vụ được ủy quyền”. Dữ liệu hành vi vẫn vượt biên theo thời gian thực. Một lời khiếu nại của người dùng sau thương vụ đủ kích hoạt một cuộc kiểm tra, và chủ mới buộc phải tắt các tính năng cốt lõi, kéo theo tỷ lệ giữ chân tụt và phát sinh nghĩa vụ hoàn tiền.
Để chặn, Lotus chạy quy trình thẩm định ba lớp. Chúng tôi vẽ trọn từng dòng chảy dữ liệu từ đầu tới cuối để thấy dữ liệu cá nhân thực sự đi đâu. Chúng tôi kiểm cơ chế xin đồng ý theo đúng đòi hỏi của cơ quan quản lý chứ không theo lời chính sách bảo mật tự nhận. Và chúng tôi truy từng nhà cung cấp, từng SDK nhúng vào về tận nơi đặt máy chủ, vì chỗ rò ra nước ngoài gần như luôn nằm trong một thư viện phụ thuộc mà không ai liệt kê trong kho dữ liệu.
Sẵn sàng vận hành: những khoảng hở thực thi bào mòn giá trị
Một bên bán có thể trông tuân thủ chỉn chu trên giấy mà vẫn rỗng về vận hành. Khung pháp lý Việt Nam đòi hơn cả hồ sơ đúng. Nó đòi năng lực chứng minh được trong thực tế: xử lý yêu cầu về dữ liệu, báo cáo sự cố và kiểm soát quyền truy cập nội bộ.
Lotus thường xuyên tìm thấy những khoảng hở thực thi rút máu giá trị hậu thương vụ: thiếu nhật ký truy cập, kiểm soát theo vai trò lỏng lẻo, quy trình thông báo sự cố không thành văn, không có cách đáng tin nào để đáp ứng yêu cầu xóa dữ liệu của người dùng trong thời hạn luật định.
Những thứ này không lộ ra qua một lần soát mã hay biên bản hội đồng quản trị. Chúng hiện lên trong phỏng vấn nhân sự, yêu cầu chạy thử và rà soát quy trình. Trong một vụ M&A, bên mua phát hiện ngay trong giai đoạn chuyển giao rằng không một nhân viên nào biết cách kích hoạt quy trình xóa dữ liệu của công ty. Sự phân mảnh nội bộ làm tuân thủ thành bất khả, dù thiện chí trên giấy có đầy đủ tới đâu.
Chúng tôi khuyên một phép thử đơn giản. Giả lập một yêu cầu về quyền của người dùng rồi bấm giờ thời gian phản hồi nội bộ và lần theo dấu vết hồ sơ của bên bán. Nếu công ty không làm nổi, bên mua nên coi khoảng hở đó là một nghĩa vụ trọng yếu và định giá lại điều khoản cho tương xứng.
Vượt khỏi tuân thủ: phòng xa trong bối cảnh khu vực
Quy định số của Việt Nam không đứng tách rời. Cách tiếp cận này bám theo một chuyển động rộng hơn của ASEAN: hướng tới chủ quyền dữ liệu, thực thi quyền của người dùng và quyền kiểm soát hạ tầng số ở trong nước. Ai dựng một nền tảng tầm khu vực đều phải cân xem khung pháp lý Việt Nam ăn khớp ra sao với PDPA của Thái Lan hay GR 71 của Indonesia, chứ không thể đọc rời từng thị trường.
Năng lực thực thi cũng đang lớn lên. Bộ Công an thuở đầu chỉ chạy vài cuộc rà soát hạn chế, nhưng năm 2024 chứng kiến số cuộc kiểm tra theo ngành tăng rõ — đặc biệt ở y tế số, thanh toán và dịch vụ hướng tới giới trẻ. Chúng tôi cho rằng đà này còn mạnh hơn, và không chỉ vì lý do an ninh quốc gia; một phần động lực là ép tuân thủ ngang bằng với các đối thủ Việt nội địa.
Với người làm thương vụ, điều đó nghĩa là thẩm định phải thử sức nền tảng trước những kịch bản nó chưa từng gặp, chứ không chỉ tích vào một danh mục pháp lý. Doanh nghiệp sẽ phản ứng thế nào nếu phạm vi Nghị định 53 mở rộng? Quan hệ với nhà cung cấp có tạo ra phơi nhiễm địa chính trị không? Nó có dựng được hạ tầng trong nước đủ nhanh để giữ dịch vụ chạy khi buộc phải chuyển không? Một thương vụ chỉ sống được với luật hôm nay là một thương vụ định giá sai cho luật ngày mai.
Kết luận: thẩm định là bộ lọc chiến lược, không phải ô tích
Luật dữ liệu của Việt Nam đã thôi là ghi chú kỹ thuật cuối trang từ lâu. Nó là bộ lọc tách những thương vụ có giá trị giữ được khỏi những thương vụ ôm rủi ro hệ thống.
Ở Lotus Venture, chúng tôi cài an ninh mạng, nội địa hóa dữ liệu và sức bền vận hành vào mọi quy trình M&A công nghệ. Chúng tôi không hỏi công ty có chạy được không. Chúng tôi hỏi nó có mở rộng được, tự nuôi được và sống nổi qua soi xét hay không — đó là khác biệt giữa một cơn hứng khởi nhất thời và lợi nhuận bền.
Giá trị doanh nghiệp chưa bao giờ đến từ riêng bội số doanh thu. Nó đến từ hệ thống, lớp bảo vệ và phần móng pháp lý che chắn tập khách hàng và thương hiệu. Ở một thị trường mà luật chạy nhanh hơn thói quen, thẩm định không phải là chuyện đánh hơi cờ đỏ. Nó là chuyện cấu trúc một thương vụ vẫn đứng vững khi luật đổi.
Bởi trong M&A số, câu hỏi chưa bao giờ chỉ là anh đang mua cái gì. Nó là cái đó hợp pháp làm được những gì.
Lotus Investment Group tư vấn M&A xuyên biên giới và FDI vào Việt Nam và Đông Nam Á. Nếu quý vị đang thẩm định một vị thế tại Việt Nam, liên hệ với chúng tôi.
Vietnam’s tech sector keeps drawing cross-border buyers. Young digital consumers, fast-scaling platforms, heavy mobile engagement — on paper the market reads as ripe. But any tech deal now has to treat cybersecurity compliance as a core diligence pillar, not a footnote. Vietnam’s cybersecurity law and its data-localization rules sit among the least-priced traps in the entire deal, and when a buyer skips them they don’t just slow integration. They quietly burn value through penalties, lost user trust and suspended operations.
Lotus Venture has reviewed dozens of Vietnam tech transactions over the past 24 months, and the pattern is hard to miss. Companies that treat data governance as a second-tier concern tend to inherit hidden liabilities: unpriced penalties, suspended services, reputational fallout. In a market where platform value rests on user trust, data fluidity and cloud scalability, technical due diligence has to do more than read source code or sketch the software architecture. It has to answer a strategic question. Can this business legally operate and grow under rules that are tightening faster than most buyers expect?
Vietnam’s cybersecurity law: scope, enforcement and investor blind spots
Since it took effect in 2019, the Cybersecurity Law has reshaped how companies handle user data, especially in sectors judged sensitive to national security or social stability. It requires certain data categories to be stored onshore: personal identifiers, financial details, behavioural metrics. It also obliges digital service providers that target Vietnamese users to set up a local presence. Decree 53/2022 then spells out the enforcement mechanics, the thresholds, and the compliance documentation regulators expect to see.
The danger isn’t the law itself. It’s how easily buyers underestimate its reach. Many assume the rules bite only on the big platforms — social media, fintech, ride-hailing. In practice, any business that collects ID numbers, health data or location tracking can fall inside scope. A logistics SaaS firm may need to localize its infrastructure for nothing more exotic than storing shipment addresses tied to verified customers.
In one Lotus-advised case, a mid-sized platform hosted its user data entirely on AWS Singapore and outsourced analytics to an offshore team. During diligence we surfaced several prior inquiries from the Authority for Information Security — none of them disclosed in the data room. The client had nearly proceeded without knowing. That situation is not rare.
What sets Vietnam’s framework apart is the absence of cure mechanisms. Other regulatory breaches often let a company file retroactively and clean up the record. Cybersecurity infractions tend to carry irreversible exposure. Once a firm is flagged, it can face service suspension or public enforcement, and both eat directly into platform reliability and investor confidence.
Data localization: cloud architecture, replatforming cost and term-sheet structuring
Vietnam’s localization rules do more than mandate in-country storage. They shape how a firm designs its backend, picks cloud vendors and plans to scale. For an acquirer the consequence is blunt: the target’s cloud architecture may not be legally sustainable once the deal closes.
The requirements land hardest wherever sensitive user data moves through third-party systems or external APIs: fintech and healthcare above all, then education and logistics. Plenty of Vietnamese startups build fast on global cloud stacks to get an MVP out the door, and those stacks rarely clear the localization thresholds. Rebuilding after the fact costs real money.
In one anonymized transaction, a consumer mobile app had to replatform its entire backend after closing, migrating from AWS to a domestic IaaS provider. The shift added unplanned capex, raised operating costs and pushed back monetization of new users by more than six months. The buyer’s post-deal forecast was off-track on day one.
We tell clients to push back against this risk before signature, by writing compliance milestones straight into the term sheet. That means dating the localization of regulated data, naming who carries the replatforming cost, holding back part of the consideration against a clean compliance review, and tying earn-outs to the migration actually completing rather than the seller’s say-so. Priced in early, the cost becomes a negotiated line. Discovered late, it lands on the buyer alone.
Cross-border transfers: consent language, contractual gaps and vendor blind spots
Vietnamese law requires a company to obtain user consent before moving personal data out of the country, and that consent has to be specific, informed and revocable. Most firms lean on generic in-app language or boilerplate privacy policies instead. Those rarely survive a regulator’s reading.
The exposure widens once third-party services sit inside the product stack. Chatbots, video APIs, analytics plug-ins — each can ship user data abroad with no clear disclosure or consent path. Few startups have ever mapped their full data flows, least of all at MVP or growth stage when the architecture is changing weekly.
One edtech platform makes the point. It had embedded a European-hosted video API and assumed it was compliant because its terms referenced “authorized service providers.” Behavioural data was crossing the border in real time. A single user complaint after the acquisition triggered an audit, and the new owners had to suspend core features, which hit retention and forced refund obligations.
Against that, Lotus runs a three-layer diligence process. We map every data flow end to end so we can see where personal data physically goes. We test the consent mechanism against what regulators actually demand rather than what the privacy policy claims. And we trace each embedded vendor and SDK to its hosting jurisdiction, because the offshore leak is almost always buried in a dependency nobody listed in the data room.
Operational readiness: the execution gaps that erode value
A target can look legally compliant on paper and still be operationally hollow. Vietnam’s regime asks for more than correct documentation. It expects a demonstrable ability to act on data requests, report breaches and control internal access.
Lotus routinely finds execution gaps that bleed post-deal value: missing access logs, weak role-based controls, undocumented breach-notification protocols, no reliable way to honour a user deletion request inside the required window.
These don’t surface in a code review or the board minutes. They show up in staff interviews, test requests and process audits. In one M&A case, the buyer discovered during transition that not a single employee knew how to trigger the firm’s deletion workflow. Internal fragmentation made compliance impossible, whatever the good intentions on paper.
We advise a simple test. Simulate a user-rights request and clock the target’s internal response time and documentation trail. If the company can’t execute, the buyer should treat the gap as a material liability and price the terms accordingly.
Beyond compliance: future-proofing in a regional context
Vietnam’s digital rules don’t sit in isolation. The approach tracks a wider ASEAN move toward data sovereignty, user-rights enforcement and local control over digital infrastructure. Anyone building a regional platform has to weigh how Vietnam’s regime interacts with Thailand’s PDPA or Indonesia’s GR 71, not read each market on its own.
Enforcement capacity is also growing. The Ministry of Public Security ran limited reviews early on, but 2024 brought a clear uptick in sectoral audits, with digital health, payments and youth-facing services drawing the most scrutiny. We expect that to intensify, and not only for national-security reasons; part of the drive is forcing compliance parity with local Vietnamese competitors.
For dealmakers that means diligence has to stress-test the platform against scenarios it hasn’t faced yet, not just tick a legal checklist. How would the business respond if Decree 53’s scope widens? Do its vendor relationships create geopolitical exposure? Can it stand up domestic infrastructure fast enough to keep service running if it has to? A deal that survives only today’s rules is a deal mispriced for tomorrow’s.
Conclusion: diligence is a strategic filter, not a checkbox
Vietnam’s data laws stopped being technical footnotes a while ago. They’re the filter that separates deals with defensible value from deals carrying systemic risk.
At Lotus Venture we build cybersecurity, data localization and operational resilience into every tech M&A workflow. We don’t ask whether the company works. We ask whether it can scale, sustain itself and survive scrutiny — the difference between fast excitement and durable returns.
Enterprise value never comes from revenue multiples alone. It comes from the systems and legal plumbing that protect the customer base and the brand. In a market where the rules move faster than habits, diligence isn’t about spotting red flags. It’s about structuring a deal that still works once the rules change.
Because in digital M&A the question was never just what you’re buying. It’s what the thing can legally do.
Lotus Investment Group advises on cross-border M&A and FDI into Vietnam and Southeast Asia. If you are underwriting Vietnam exposure, get in touch.
Nguồn / Sources
[1]
Luật An ninh mạng 2018 (có hiệu lực 01/01/2019).
[2]
Nghị định 53/2022/NĐ-CP quy định chi tiết một số điều của Luật An ninh mạng.
