Data residency cho VPS Canada: dữ liệu ở đâu?

Ý nghĩa thực tế của data residency đối với VPS tại Canada

Data residency đối với VPS tại Canada thực chất gồm hai câu hỏi trong cùng một tên gọi. Các byte nằm vật lý ở đâu, và chính phủ nào có thể buộc một bên giao nộp chúng. Server đặt tại một facility ở Toronto trả lời câu hỏi thứ nhất. Nhưng nó chỉ trả lời một phần câu hỏi thứ hai, vì công ty vận hành máy chủ và lưu các bản backup cho bạn có thể chịu sự điều chỉnh của pháp luật một quốc gia khác.

Hướng dẫn này cung cấp thông tin nền để hỗ trợ quyết định kỹ thuật. Đây không phải tư vấn pháp lý. Khi một quy định có liên quan, tôi nêu rõ đạo luật hoặc cơ quan quản lý để bạn có thể đọc nguồn gốc và đối chiếu với tình huống của mình.

Chọn nhà cung cấp tại Canada dựa trên giá và network là một việc riêng. những yếu tố thực sự quan trọng khi mua dịch vụ Canadian VPS hosting trình bày nội dung đó. Bài viết này tập trung vào phần còn lại: dữ liệu được đặt ở đâu theo pháp lý và ai có thể truy cập dữ liệu.

Cư trú dữ liệu, chủ quyền dữ liệu và nội địa hóa dữ liệu không đồng nghĩa

Các thuật ngữ này thường được dùng như từ đồng nghĩa. Mỗi thuật ngữ dẫn đến một quyết định khác nhau, vì vậy cần phân biệt rõ.

Cư trú dữ liệu là một khẳng định về địa lý. Đĩa lưu cơ sở dữ liệu của bạn nằm trong một tòa nhà ở Ontario. Về nguyên tắc, đây là một thực tế và rất khó chứng minh từ bên ngoài tòa nhà. Đó là lý do hướng dẫn này có 2 phần cuối.

Chủ quyền dữ liệu là một khẳng định về pháp luật. Khái niệm này đặt câu hỏi: tòa án và cơ quan cảnh sát của bang hoặc quốc gia nào có thể yêu cầu cung cấp dữ liệu một cách hợp pháp. Điều này phụ thuộc vào những người và công ty kiểm soát dữ liệu ít nhất cũng nhiều như phụ thuộc vào phần cứng.

Nội địa hóa dữ liệu là một quy định. Đây là yêu cầu pháp lý buộc một số loại dữ liệu phải được lưu trữ trong một quốc gia. Canada không có quy định nội địa hóa chung áp dụng cho các công ty tư nhân, nhưng có những quy định hẹp hơn áp dụng cho các lĩnh vực cụ thể.

“Sovereign cloud” xuất hiện trong nội dung tiếp thị của vendor và không có định nghĩa pháp lý tại Canada. Hãy xem đây là thuật ngữ marketing cho đến khi vendor nêu rõ entity vận hành hạ tầng và luật mà entity đó chịu sự điều chỉnh.

Luật về quyền riêng tư của Canada yêu cầu gì đối với việc lưu dữ liệu tại Canada

Luật áp dụng cho khu vực tư nhân ở cấp liên bang là PIPEDA (Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử). Luật này không yêu cầu thông tin cá nhân phải được lưu tại Canada. Office of the Privacy Commissioner of Canada (OPC) nêu rõ điều này trong Guidelines for processing personal data across borders, được ban hành vào tháng 1 năm 2009: "PIPEDA does not prohibit organizations in Canada from transferring personal information to an organization in another jurisdiction for processing."

Thay vào đó, luật yêu cầu trách nhiệm bảo vệ phải đi cùng dữ liệu. Theo nguyên tắc trách nhiệm giải trình của PIPEDA, một tổ chức vẫn chịu trách nhiệm đối với thông tin cá nhân đã chuyển cho bên thứ ba để xử lý, đồng thời phải sử dụng "contractual or other means" để bảo đảm thông tin đó nhận được "a comparable level of protection" trong thời gian bên thứ ba nắm giữ. Các hướng dẫn tương tự của OPC cũng đặt ra nghĩa vụ minh bạch. Tổ chức nên nói rõ với mọi người, bằng ngôn ngữ dễ hiểu và lý tưởng nhất là ngay khi thu thập thông tin, rằng thông tin của họ có thể được xử lý ở nước ngoài và có thể được cơ quan thực thi pháp luật, cơ quan an ninh quốc gia của nước đó truy cập.

Cần làm rõ một nhầm lẫn cũ. Năm 2019, OPC tổ chức một cuộc tham vấn và đưa ra khả năng xem việc chuyển dữ liệu để xử lý là một hoạt động tiết lộ, theo đó mọi lần chuyển như vậy đều cần có consent. OPC không áp dụng quan điểm đó. OPC kết thúc cuộc tham vấn bằng việc xác nhận rằng chuyển dữ liệu để xử lý là một hoạt động sử dụng, không phải tiết lộ, vì vậy bản thân việc chuyển dữ liệu không cần consent riêng.

Các luật áp dụng cho khu vực tư nhân cấp tỉnh bổ sung nghĩa vụ nhưng không đặt ra yêu cầu dữ liệu phải ở trong nước. Section 13.1 của PIPA Alberta yêu cầu tổ chức sử dụng service provider bên ngoài Canada phải thông báo cho cá nhân và nêu rõ những quốc gia liên quan, cùng thông tin liên hệ của người có thể trả lời câu hỏi về thỏa thuận đó. Law 25 của Quebec nghiêm ngặt hơn. Trước khi truyền thông tin cá nhân ra ngoài Quebec, doanh nghiệp phải hoàn thành privacy impact assessment, trong đó đánh giá độ nhạy cảm của thông tin, mục đích sử dụng, các biện pháp bảo vệ áp dụng và chế độ pháp lý tại nơi thông tin được chuyển đến. Doanh nghiệp chỉ được tiếp tục nếu mức độ bảo vệ tại đó là đầy đủ. Nghĩa vụ này có hiệu lực từ ngày 22 tháng 9 năm 2023.

Tính đến tháng 8 năm 2026, luật liên bang vẫn là PIPEDA. Bill C-27, dự luật sẽ thay thế luật này bằng Consumer Privacy Protection Act, đã hết hiệu lực trong Order Paper khi Parliament bị tạm ngừng vào tháng 1 năm 2025, và kể từ đó chưa có luật thay thế nào được thông qua. Hãy thiết kế theo luật đang có hiệu lực hiện nay.

Trường hợp thực sự áp dụng quy định nội địa hóa

Nova Scotia là trường hợp nghiêm ngặt. PIIDPA (Personal Information International Disclosure Protection Act) yêu cầu cơ quan công quyền, chính quyền đô thị và nhà cung cấp dịch vụ của họ lưu giữ thông tin cá nhân tại Canada, đồng thời chỉ cho phép truy cập thông tin đó từ bên trong Canada, ngoại trừ một số trường hợp hẹp do người đứng đầu cơ quan công quyền phê duyệt và báo cáo cho Bộ trưởng Tư pháp. Freedom of Information and Protection of Privacy Act mới được thông qua vào năm 2025 sẽ bãi bỏ PIIDPA và đưa hạn chế xuyên biên giới vào đạo luật này, tùy theo các quy định hướng dẫn; đạo luật có hiệu lực vào tháng 4 năm 2027. Tính đến tháng 8 năm 2026, các quy định đó chưa được công bố, nên bất kỳ ai trích dẫn nội dung của chúng đều chỉ đang phỏng đoán.

British Columbia đi theo hướng ngược lại. FIPPA từng có section 30.1, yêu cầu cơ quan công quyền lưu trữ thông tin cá nhân tại Canada và chỉ cho phép truy cập thông tin đó từ bên trong Canada. Bill 22 đã bãi bỏ section này vào tháng 11 năm 2021. Section 33.1 hiện cho phép tiết lộ thông tin ra ngoài Canada theo các quy định hướng dẫn, còn Personal Information Disclosure for Storage Outside of Canada Regulation yêu cầu đánh giá tác động về quyền riêng tư khi thông tin cá nhân nhạy cảm được lưu trữ bên ngoài Canada. Lệnh cấm đã trở thành một quy trình.

Các cơ quan liên bang có yêu cầu tối thiểu riêng. Treasury Board Direction for Electronic Data Residency yêu cầu thông tin ở cấp Protected B, Protected C và Classified phải được lưu giữ tại một cơ sở được phê duyệt bên trong Canada hoặc tại cơ sở của một cơ quan chính phủ Canada ở nước ngoài. Nếu bạn host cho một bộ liên bang, chỉ thị đó mới xác định yêu cầu của bạn, không phải PIPEDA.

Thông tin y tế thuộc một nhóm luật riêng. Các đơn vị quản lý thông tin theo luật bảo vệ quyền riêng tư y tế cấp tỉnh phải tuân thủ các quy định về agent, biện pháp bảo vệ và đôi khi cả vị trí lưu trữ; những quy định này hoàn toàn không xuất hiện trong PIPEDA. Nếu bạn host dữ liệu lâm sàng, hãy đọc luật y tế cấp tỉnh thay vì luật chung.

Sau đó là quy tắc mà hầu hết mọi người thực sự gặp phải, nhưng quy tắc này không nằm trong bất kỳ đạo luật nào. Ngân hàng, bệnh viện, hội đồng trường học hoặc khách hàng doanh nghiệp có thể yêu cầu lưu trữ tại Canada trong điều khoản mua sắm, ngay cả khi không có luật nào yêu cầu. Điều khoản đó ràng buộc bạn theo luật hợp đồng, vì vậy hãy đọc nó trước khi chọn region. Nếu bạn đang cân nhắc câu hỏi tương tự ở nơi khác, chạy VPS tại Brazil sẽ đưa hệ thống vào một hệ thống pháp lý khác với câu trả lời khác.

Trung tâm dữ liệu ở Toronto không quyết định pháp luật nào được áp dụng

Địa lý và quyền tài phán tách rời nhau ngay khi nhà vận hành thuộc sở hữu nước ngoài. Ví dụ rõ nhất là Đạo luật CLOUD của Hoa Kỳ (Clarifying Lawful Overseas Use of Data Act) năm 2018. Đạo luật này sửa đổi Stored Communications Act, theo đó nhà cung cấp thuộc phạm vi điều chỉnh phải cung cấp dữ liệu nằm trong “quyền sở hữu, quyền lưu giữ hoặc quyền kiểm soát” của mình theo yêu cầu hợp pháp của Hoa Kỳ, bất kể dữ liệu đó được lưu trong hay ngoài Hoa Kỳ. Quốc hội Hoa Kỳ thông qua đạo luật này sau khi Microsoft từ chối thực hiện lệnh khám xét đối với email được lưu tại một trung tâm dữ liệu ở Ireland. Vị trí của ổ đĩa là toàn bộ lập luận, nhưng vị trí của ổ đĩa không quyết định vụ việc.

Điều đưa một nhà cung cấp vào phạm vi này là mối quan hệ, không phải biên giới: quyền tài phán cá nhân của Hoa Kỳ đối với nhà cung cấp. Một công ty con tại Canada của công ty mẹ tại Hoa Kỳ có thể thuộc phạm vi này. Cơ sở tại Canada do một pháp nhân ký hợp đồng của Hoa Kỳ vận hành cũng có thể thuộc phạm vi này, tương tự một công ty Hoa Kỳ bán lại capacity tại Canada. Không phép đo network nào cho bạn biết các thông tin này. Corporate registry thì có.

Đây không phải là lý do để mặc định mọi cơ sở thuộc sở hữu nước ngoài đều có rủi ro. Cơ quan chức năng Canada cũng ban hành production order của riêng họ, và một công ty Canada phải tuân thủ các lệnh đó. Điểm cần lưu ý hẹp hơn. Luật tại quốc gia nơi nhà vận hành đặt trụ sở sẽ đi theo nhà vận hành, vì vậy hãy hỏi pháp nhân nào ký hợp đồng với bạn và ai là chủ sở hữu cuối cùng của pháp nhân đó.

Có một khác biệt thực tế đáng lưu ý. Tính đến tháng 8 năm 2026, chưa có thỏa thuận hành pháp CLOUD Act nào có hiệu lực giữa Canada và Hoa Kỳ. Hai nước công bố bắt đầu đàm phán vào tháng 3 năm 2022, và thỏa thuận duy nhất thuộc loại này đang có hiệu lực là thỏa thuận với Vương quốc Anh. Nếu không có thỏa thuận như vậy, cơ quan chức năng Hoa Kỳ muốn lấy dữ liệu do một công ty thuần Canada lưu giữ sẽ sử dụng quy trình tương trợ tư pháp (MLAT), thông qua cơ quan chức năng và tòa án Canada. Khác biệt về thủ tục này là phần lớn giá trị của một nhà vận hành Canada.

Dữ liệu của bạn rời khỏi quốc gia dù VPS vẫn ở đó

VPS chỉ là một phần của hệ thống. Mọi thành phần kết nối với VPS đều cần được đánh giá riêng về nơi lưu trú dữ liệu, và cấu hình mặc định thường đặt chúng bên ngoài Canada.

• Backup và snapshot. Bản sao ngoài hệ thống là mục đích của backup, còn endpoint object storage mặc định dùng region nơi tài khoản được mở.
• Chuyển log, metrics và theo dõi lỗi. Dịch vụ hosted xử lý nội dung log tại region của dịch vụ đó. Các log này chứa địa chỉ IP, địa chỉ email và đôi khi cả nội dung request.
• CDN và cache tại edge. Content delivery network lưu trữ và phân phối bản sao object từ các điểm hiện diện ở nhiều quốc gia. Origin ở Toronto không phải nơi reader nhận dữ liệu.
• Email. Outbound relay, lọc inbound và archive hosted thường đặt tại Hoa Kỳ, trong khi nội dung message là thông tin cá nhân.
• DNS authoritative. Nameserver anycast trả lời từ node gần client nhất, còn query log ghi lại ai đã hỏi gì.
• Hỗ trợ và quản trị. Engineer có quyền truy cập console hoặc hypervisor là một người đang ở một quốc gia cụ thể. Truy cập từ xa từ nước ngoài được tính là truy cập theo quy định của Nova Scotia và trong đánh giá của British Columbia.
• Workstation và tooling của chính bạn. Plugin của editor hoặc coding agent đọc file của bạn sẽ gửi dữ liệu đến một nơi nào đó. Bạn nên biết coding agent thực sự gửi gì ra khỏi máy của bạn trước khi cho nó truy cập dữ liệu production.

Encryption thay đổi những gì operator có thể tạo ra, nhưng chỉ theo một hướng. Dữ liệu được encryption khi lưu trữ, với key được giữ ở nơi khác, sẽ vô dụng với người chiếm được ổ đĩa. VPS đang chạy là trường hợp khác, vì key của guest nằm trong memory của guest và hypervisor có thể đọc memory đó. Encryption khi lưu trữ bảo vệ archive, không bảo vệ máy đang chạy. Giới hạn này, cùng mức độ tin cậy mà nó đặt vào operator, cũng chính là vấn đề đằng sau câu hỏi rộng hơn về VPS hosting có an toàn hay không.

Cách xác minh vị trí VPS với tư cách khách hàng

Hãy bắt đầu từ registry, vì đây là bản ghi duy nhất gắn với một tên tổ chức.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Đối với các địa chỉ tại Canada, registry là ARIN. Lệnh đầu tiên truy vấn theo referral mà whois client cung cấp, còn lệnh thứ hai hỏi trực tiếp ARIN. Cả hai đều trả về tổ chức được cấp block đó, quốc gia đã đăng ký và địa chỉ liên hệ abuse của tổ chức. Đây là địa chỉ nhận các khiếu nại về server của bạn, cũng là nơi bắt đầu quá trình khiếu nại abuse đến provider của bạn. Cần hiểu rõ country field chứng minh điều gì. Đây là tuyên bố của một tổ chức có tên trong cơ sở dữ liệu công khai. Thông tin này hữu ích, nhưng vẫn chỉ là một khai báo chứ không phải kết quả đo lường.

Geofeed cũng hoạt động theo cách tương tự. RFC 8805 định nghĩa một file CSV, trong đó operator công bố ánh xạ từ prefix đến quốc gia, vùng và thành phố. RFC 9632, thay thế RFC 9092 vào năm 2024, định nghĩa cách consumer tìm file đó từ whois record. Các cơ sở dữ liệu geolocation IP thương mại phần lớn được xây dựng từ những feed do operator tự công bố. Vì vậy, câu “IP được định vị tại Toronto” thường chỉ có nghĩa là “operator đã công bố Toronto”. Reverse DNS còn yếu hơn. Một PTR record chứa yyz hoặc tor chỉ là quy ước đặt tên do con người nhập vào, và có thể vẫn còn sau khi server được chuyển sang một thành phố khác.

Vì vậy, hãy yêu cầu provider trả lời bằng văn bản và lưu lại các câu trả lời.

• Pháp nhân nào vận hành facility, và pháp nhân đó được thành lập tại đâu?
• Facility nằm ở địa chỉ nào, và không gian này thuộc sở hữu, được thuê hay được mua lại từ operator khác?
• Pháp nhân nào ký hợp đồng với tôi, và công ty mẹ của pháp nhân đó là ai?
• Backup và các bản sao off-site được lưu ở đâu?
• Nhân viên có thể truy cập hypervisor hoặc out-of-band console từ những quốc gia nào?
• Provider có công bố danh sách sub-processor không, và có thông báo cho tôi về yêu cầu pháp lý từ nước ngoài khi pháp luật cho phép không?

Đưa các câu trả lời vào hợp đồng dưới dạng các cam kết kèm nghĩa vụ thông báo. Auditor yêu cầu tài liệu, không yêu cầu traceroute. Nếu Toronto là nơi bạn đã chọn, chọn VPS tại Toronto trình bày khía cạnh thị trường của cùng quyết định đó.

Vì sao traceroute là bằng chứng về tuyến mạng, không phải bằng chứng về thẩm quyền pháp lý

Round trip time thấp cho biết giới hạn về khoảng cách. Đó là toàn bộ thông tin mà nó cung cấp. Tín hiệu ánh sáng trong lõi cáp quang truyền với tốc độ khoảng 204,000 km mỗi giây, vì vậy một round trip mất khoảng 1 ms cho mỗi 100 km đường truyền, trước khi tính thêm thời gian chuyển mạch hoặc xếp hàng. Suy ra từ đó, round trip 10 ms từ trung tâm Toronto cho biết máy nằm trong bán kính khoảng 1,000 km tính theo tuyến cáp quang. Trong vòng tròn đó có thể là những địa điểm sau.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Mỗi giá trị floor được tính bằng khoảng cách đường thẳng nhân đôi rồi chia cho 204,000 km mỗi giây. Tuyến cáp quang thực tế dài hơn đường thẳng, nên số đo thực tế luôn cao hơn. Điểm cần chú ý là thứ hạng. Thành phố xa Toronto nhất trong danh sách, Chicago, Illinois, cách Toronto 700 km theo đường thẳng, nên round trip tối thiểu theo lý thuyết chỉ là 6.9 ms. Trong 6 thành phố được liệt kê, chỉ có một thành phố ở Canada. Ping một chữ số từ Toronto vẫn phù hợp với server ở Michigan, Illinois, New York hoặc Virginia.

Traceroute bổ sung tên các hop, nhưng tên hop là các bản ghi PTR do network engineer đặt. Các airport code trong đó là một quy ước đáng đọc và cần kiểm tra. Một số carrier ẩn các hop bên trong MPLS (multiprotocol label switching), nên tuyến bạn nhìn thấy có thể ngắn hơn tuyến mà packet thực sự đi qua. Anycast khiến chính destination trở nên không rõ ràng, vì một địa chỉ có thể trả lời từ node gần bạn nhất. Latency đo được là bằng chứng tốt về một tuyến tại một thời điểm. Jurisdiction là sự thật liên quan đến công ty và tòa án; không packet nào báo cho bạn biết điều đó.

Tóm lại, network measurement có thể bác bỏ một tuyên bố: round trip 90 ms từ Toronto loại trừ khả năng server nằm tại một facility ở Toronto. Nhưng nó không thể xác nhận điều ngược lại. Việc xác nhận phải dựa trên các entity được nêu tên và các cam kết bằng văn bản trong hợp đồng.

FAQ

Luật Canada có yêu cầu dữ liệu của tôi phải ở lại Canada không?

Không, nếu xét theo quy tắc chung. PIPEDA, luật liên bang điều chỉnh khu vực tư nhân, không cấm chuyển thông tin cá nhân sang quốc gia khác để xử lý. OPC cũng nêu rõ điều này trong Guidelines for processing personal data across borders. PIPEDA yêu cầu bạn vẫn chịu trách nhiệm về dữ liệu, dùng hợp đồng hoặc biện pháp khác để bảo đảm mức bảo vệ tương đương, đồng thời thông báo rõ ràng cho mọi người rằng thông tin của họ có thể được xử lý ở nước ngoài và cơ quan chức năng nước ngoài có thể truy cập. Một số quy định về lưu trữ nội địa vẫn tồn tại trong phạm vi hẹp hơn: PIIDPA của Nova Scotia áp dụng cho cơ quan công, Treasury Board Direction for Electronic Data Residency áp dụng cho Protected B trở lên, các luật y tế cấp tỉnh và hợp đồng với khách hàng của bạn. Đây là thông tin nền, không phải tư vấn pháp lý.

Datacentre ở Toronto có khiến dữ liệu của tôi nằm ngoài phạm vi của luật Mỹ không?

Không phải chỉ vì lý do đó. US CLOUD Act năm 2018 yêu cầu nhà cung cấp thuộc phạm vi điều chỉnh cung cấp dữ liệu nằm trong quyền sở hữu, quyền lưu giữ hoặc quyền kiểm soát của họ khi nhận được yêu cầu hợp pháp từ Mỹ, bất kể dữ liệu được lưu ở đâu. Yếu tố quyết định là tòa án Mỹ có thẩm quyền tài phán đối với công ty đang nắm giữ dữ liệu hay không. Vì vậy, một cơ sở ở Canada do công ty con của Mỹ hoặc một pháp nhân ký hợp đồng tại Mỹ vận hành có thể phát sinh vấn đề mà vị trí địa lý không thể tự trả lời. Hãy hỏi pháp nhân nào ký hợp đồng với bạn và công ty mẹ của pháp nhân đó là ai.

Làm cách nào để xác minh một VPS thực sự ở Canada?

Kết hợp hồ sơ công khai với các câu hỏi bằng văn bản. Truy vấn whois hoặc RDAP trên địa chỉ đó sẽ trả về tổ chức được cấp block địa chỉ và quốc gia đăng ký của tổ chức này. geofeed được công bố theo RFC 8805 cung cấp mapping do chính operator khai báo từ prefix đến thành phố. Cả hai đều là thông tin tự khai báo của một bên có tên cụ thể. Đây là bằng chứng hữu ích nhưng không phải kết quả đo lường. Sau đó, hãy yêu cầu provider trả lời bằng văn bản về pháp nhân vận hành, địa chỉ facility, vị trí các bản backup và những quốc gia mà nhân viên có thể truy cập console. Đưa các câu trả lời đó vào hợp đồng.

Những gì rời khỏi Canada ngay cả khi VPS của tôi không rời Canada?

Backup và các bản sao lưu bên ngoài facility, dịch vụ lưu log và theo dõi lỗi được host bên ngoài, cache của CDN, outbound mail relay và dịch vụ lọc inbound, log truy vấn DNS authoritative, cùng quyền truy cập quản trị từ xa của nhân viên support ở nước ngoài. Mỗi thành phần là một quyết định riêng và có default region riêng. Các default này hiếm khi là Canada. Hãy lập bản đồ toàn bộ hệ thống kết nối với VPS trước khi cam kết với khách hàng rằng dữ liệu của họ vẫn ở trong nước.