ISO 27701 là gì? ISO/IEC 27701 là tiêu chuẩn quốc tế về hệ thống quản lý thông tin quyền riêng tư (PIMS), giúp tổ chức quản lý việc xử lý dữ liệu cá nhân một cách có hệ thống và chứng minh được với bên ngoài. Phiên bản mới nhất, ISO/IEC 27701:2025, ban hành tháng 10/2025 và đã trở thành tiêu chuẩn hệ thống quản lý độc lập: tổ chức có thể được chứng nhận mà không cần có ISO/IEC 27001, dù vẫn có thể tích hợp hai hệ thống.
Tóm tắt
- Bản 2019 là phần mở rộng của ISO/IEC 27001 và 27002; bản 2019 đã bị hủy.
- Bản 2025 là tiêu chuẩn hệ thống quản lý độc lập, theo cấu trúc hài hòa điều 4 đến 10.
- Phân biệt yêu cầu cho bên kiểm soát và bên xử lý dữ liệu cá nhân.
- Hỗ trợ chứng minh tuân thủ, không thay thế nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân 2025.
ISO/IEC 27701:2025 khác bản 2019 thế nào?
| Tiêu chí | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| Bản chất | Phần mở rộng của ISO/IEC 27001 và 27002 | Tiêu chuẩn hệ thống quản lý độc lập |
| Điều kiện chứng nhận | Phải có hệ thống quản lý an toàn thông tin (ISMS) theo ISO/IEC 27001 | Chứng nhận được riêng; có thể tích hợp với ISO/IEC 27001 |
| Cấu trúc | Viện dẫn và bổ sung từng điều khoản của ISO/IEC 27001 | Cấu trúc hài hòa (điều 4 đến 10) như các tiêu chuẩn hệ thống quản lý khác |
| Tình trạng | Đã bị hủy | Hiện hành |
Tổ chức đang có chứng chỉ theo bản 2019 có thời gian chuyển đổi khoảng 3 năm, đến khoảng cuối năm 2028. Ngày chính xác chưa được các nguồn nêu thống nhất, vì vậy cần xác nhận với tổ chức chứng nhận của mình khi lập kế hoạch.
Quan hệ với ISO/IEC 27001
ISO/IEC 27001 bảo vệ mọi loại thông tin của tổ chức, xoay quanh tính bảo mật, toàn vẹn và sẵn sàng. ISO/IEC 27701 tập trung vào dữ liệu cá nhân và quyền của chủ thể dữ liệu: mục đích xử lý, cơ sở xử lý, sự đồng ý, thông báo, quyền truy cập, chỉnh sửa, xóa, và việc chia sẻ với bên thứ ba. Trong Annex A của ISO/IEC 27001:2022 chỉ có một biện pháp chung về quyền riêng tư (5.34); ISO/IEC 27701 đi sâu hơn nhiều.
Tổ chức đã có ISO/IEC 27001 vẫn có lợi thế vì nhiều quá trình dùng chung được: đánh giá rủi ro, kiểm soát truy cập, quản lý nhà cung cấp và sự cố. Khi tích hợp, đánh giá rủi ro cần bổ sung góc nhìn rủi ro đối với chủ thể dữ liệu, không chỉ rủi ro đối với tổ chức.
Bên kiểm soát và bên xử lý
| Vai trò | Ví dụ | Trọng tâm yêu cầu |
|---|---|---|
| Bên kiểm soát | Ngân hàng, bệnh viện, doanh nghiệp bán lẻ thu thập dữ liệu khách hàng | Mục đích, cơ sở xử lý, thông báo, quyền chủ thể dữ liệu, đánh giá tác động |
| Bên xử lý | Đơn vị BPO, dịch vụ đám mây, phần mềm xử lý dữ liệu thay khách hàng | Xử lý theo chỉ dẫn, hỗ trợ bên kiểm soát, quản lý bên xử lý phụ |
Một tổ chức có thể đồng thời là bên kiểm soát (dữ liệu nhân viên của mình) và bên xử lý (dữ liệu khách hàng giao xử lý). Xác định sai vai trò là lỗi gốc dẫn đến chọn sai nhóm biện pháp kiểm soát.
ISO 27701 và pháp luật bảo vệ dữ liệu cá nhân tại Việt Nam
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP. Các tài liệu nội bộ còn viện dẫn Nghị định 13 cần được rà soát lại.
ISO/IEC 27701 cung cấp khung quản lý để tổ chức triển khai và duy trì các biện pháp bảo vệ dữ liệu một cách có hệ thống: xác định yêu cầu pháp lý (điều 4.2), đánh giá rủi ro, phân công trách nhiệm, đánh giá nội bộ và cải tiến. Tuy nhiên, chứng nhận không thay thế nghĩa vụ pháp lý. Các nghĩa vụ cụ thể như hồ sơ, thông báo với cơ quan có thẩm quyền, thời hạn xử lý yêu cầu của chủ thể dữ liệu phải đối chiếu trực tiếp với văn bản pháp luật. Với khách hàng tại Liên minh châu Âu, tổ chức còn phải xem xét yêu cầu của GDPR; ISO/IEC 27701 hỗ trợ chứng minh nhưng không đồng nghĩa với tuân thủ GDPR.
Ví dụ minh hoạ
Ví dụ minh hoạ: một công ty dịch vụ tổng đài 200 người xử lý dữ liệu khách hàng cho các đối tác trong và ngoài nước. Với dữ liệu khách hàng của đối tác, công ty là bên xử lý: chỉ xử lý theo hợp đồng, báo cho đối tác khi dùng bên xử lý phụ, hỗ trợ đối tác trả lời yêu cầu của chủ thể dữ liệu, xóa hoặc trả dữ liệu khi kết thúc. Với dữ liệu nhân viên và ứng viên, công ty là bên kiểm soát: phải xác định mục đích, cơ sở xử lý, thời gian lưu trữ và thông báo cho người lao động. Phạm vi PIMS cần ghi rõ cả hai vai trò.
Đánh giá viên kiểm tra gì?
- Phạm vi PIMS và việc xác định vai trò bên kiểm soát, bên xử lý cho từng hoạt động.
- Danh mục hoạt động xử lý dữ liệu cá nhân: loại dữ liệu, mục đích, cơ sở, nơi lưu, thời hạn lưu trữ.
- Hồ sơ sự đồng ý hoặc cơ sở xử lý khác, thông báo cho chủ thể dữ liệu.
- Quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu, kèm hồ sơ thực tế.
- Đánh giá tác động quyền riêng tư cho hoạt động xử lý có rủi ro cao.
- Hợp đồng với bên xử lý và bên xử lý phụ; cách xử lý vi phạm dữ liệu cá nhân.
Điểm không phù hợp thường gặp: danh mục xử lý không bao gồm dữ liệu trong bảng tính và email của các phòng ban; thời hạn lưu trữ được quy định nhưng không có bằng chứng xóa; tài liệu pháp lý vẫn viện dẫn Nghị định 13/2023/NĐ-CP đã bị thay thế.
Đánh giá chứng nhận ISO 27701
Đánh giá chứng nhận ISO/IEC 27701 theo trình tự tương tự các hệ thống quản lý khác: giai đoạn 1, giai đoạn 2, giám sát hằng năm và chứng nhận lại sau 3 năm (xem duy trì và chứng nhận lại chứng chỉ). Nếu doanh nghiệp đang có ISO/IEC 27001 và muốn đánh giá tích hợp, hãy liên hệ DAS để xác nhận phạm vi chứng nhận hiện có cho ISO/IEC 27701. Thông tin về ISO/IEC 27001 xem tại ISO 27001 là gì và trang chứng nhận ISO 27001.
Câu hỏi thường gặp
Pháp luật Việt Nam có bắt buộc chứng nhận ISO 27701 không?
Không. ISO/IEC 27701 là tiêu chuẩn tự nguyện. Nghĩa vụ bắt buộc đến từ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP; tiêu chuẩn là công cụ quản lý để đáp ứng và chứng minh.
Chưa có ISO 27001 thì có chứng nhận ISO 27701 được không?
Với bản 2025 thì được, vì đây là tiêu chuẩn hệ thống quản lý độc lập. Tuy vậy, bảo vệ dữ liệu cá nhân vẫn cần nền tảng an toàn thông tin; tổ chức phải tự chứng minh các biện pháp an toàn cần thiết dù không có ISMS được chứng nhận.
Đang có chứng chỉ ISO 27701:2019 thì cần làm gì?
Lập kế hoạch chuyển đổi sang bản 2025 trong thời gian chuyển đổi khoảng 3 năm, đến khoảng cuối 2028. Việc chuyển đổi thường kết hợp được với đợt giám sát hoặc chứng nhận lại; xác nhận hạn cụ thể với tổ chức chứng nhận.
ISO 27701 có thay thế được GDPR không?
Không. GDPR là quy định pháp luật của Liên minh châu Âu. ISO/IEC 27701 giúp tổ chức có hệ thống quản lý để đáp ứng các yêu cầu đó và tạo bằng chứng cho khách hàng, nhưng cơ quan quản lý vẫn đánh giá việc tuân thủ theo luật.
Nguồn tham khảo
- ISO/IEC 27701:2025: tiêu chuẩn hệ thống quản lý thông tin quyền riêng tư.
- ISO/IEC 27001:2022: hệ thống quản lý an toàn thông tin, nền tảng có thể tích hợp với PIMS.
- ISO/IEC 27002:2022: hướng dẫn biện pháp 5.34 về quyền riêng tư và bảo vệ dữ liệu cá nhân.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: khung pháp lý về dữ liệu cá nhân tại Việt Nam từ 01/01/2026.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.