Cụ thể, Điều 26 Nghị định này quy định dữ liệu phải lưu trữ tại Việt Nam gồm: 

Dữ liệu về thông tin cá nhân người sử dụng dịch vụ tại Việt Nam;

Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra như: Tên tài khoản, thời gian sử dụng, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký;

Dữ liệu về quan hệ của người sử dụng dịch vụ tại Việt Nam như: Bạn bè, nhóm mà người sử dụng kết nối/tương tác.

Bên cạnh đó, Điều này cũng quy định đối tượng phải lưu trữ các dữ liệu trên bao gồm:

Các doanh nghiệp trong nước;

Doanh nghiệp nước ngoài có hoạt động kinh doanh tại Việt Nam thuộc một trong các lĩnh vực sau: Dịch vụ viễn thông; cung cấp tên miền; thương mại điện tử; thanh toán trực tuyến; mạng xã hội và truyền thông xã hội; trò chơi điện tử...

Trường hợp bất khả kháng mà việc chấp hành yêu cầu của pháp luật về an ninh mạng của doanh nghiệp nước ngoài không thể thực hiện, doanh nghiệp nước ngoài thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an trong vòng 3 ngày làm việc để kiểm tra tính xác thực của việc bất khả kháng. Trong trường hợp này, doanh nghiệp có thời gian 30 ngày làm việc để tìm phương án khắc phục.

Trường hợp dữ liệu do doanh nghiệp thu thập, khai thác, phân tích, xử lý không đầy đủ theo quy định tại Khoản 1 Điều này, doanh nghiệp phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để xác nhận và tiến hành lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý.

Trường hợp doanh nghiệp tiến hành thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu theo quy định tại Khoản 1 Điều này, doanh nghiệp có trách nhiệm phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để bổ sung vào danh sách dữ liệu phải lưu trữ tại Việt Nam.

Nghị định này có hiệu lực từ ngày 1.10.2022.