Chứng nhận ISO/IEC 27701

Khi ngày càng nhiều quy trình và giao dịch diễn ra trên nền tảng số, dữ liệu cá nhân của khách hàng, người lao động và đối tác trở thành tài sản cần được bảo vệ đặc biệt. ISO/IEC 27701 quy định các yêu cầu và hướng dẫn để thiết lập, triển khai, duy trì và cải tiến liên tục một hệ thống quản lý thông tin quyền riêng tư (Privacy Information Management System – PIMS) cho bên kiểm soát và bên xử lý dữ liệu cá nhân (PII).

Phiên bản đầu tiên, ISO/IEC 27701:2019, được xây dựng như phần mở rộng của ISO/IEC 27001 và ISO/IEC 27002, nên phạm vi PIMS gắn với ISMS nền tảng. Phiên bản thứ hai, ISO/IEC 27701:2025, được công bố ngày 14/10/2025 và thay thế phiên bản 2019. Đây là tiêu chuẩn hệ thống quản lý độc lập theo cấu trúc hài hòa của ISO: tổ chức có thể áp dụng và được chứng nhận mà không bắt buộc phải có chứng nhận ISO/IEC 27001, đồng thời vẫn dễ tích hợp với ISMS sẵn có. Tổ chức đang có chứng chỉ theo phiên bản 2019 cần chuyển đổi trong thời hạn chuyển đổi áp dụng; vui lòng liên hệ để nhận thông tin về lịch trình.

ISO 27701 phân biệt hai vai trò, tương tự cách định nghĩa trong GDPR và ISO/IEC 29100:

• Bên kiểm soát PII (controller): tổ chức tự quyết định hoặc cùng các bên khác quyết định mục đích và phương thức xử lý dữ liệu cá nhân. Khi nhiều tổ chức cùng là bên kiểm soát, cần có thỏa thuận phân định trách nhiệm.
• Bên xử lý PII (processor): tổ chức xử lý dữ liệu cá nhân thay mặt bên kiểm soát và chỉ theo chỉ dẫn của bên kiểm soát.

Một tổ chức có thể đồng thời giữ cả hai vai trò ở những hoạt động khác nhau. Với bên kiểm soát, tiêu chuẩn giúp chuẩn hóa cách làm việc và tạo sự minh bạch về trách nhiệm; với bên xử lý, chứng nhận là bằng chứng độc lập có thể giúp khách hàng yên tâm hơn về cách dữ liệu được xử lý.

Chứng nhận ISO 27701 phù hợp với mọi tổ chức xử lý dữ liệu cá nhân, không phân biệt quy mô: doanh nghiệp tư nhân, doanh nghiệp nhà nước, cơ quan công quyền và tổ chức phi lợi nhuận. Đặc biệt hữu ích với các tổ chức muốn giảm rủi ro tài chính, pháp lý do vi phạm dữ liệu, hoặc cần thể hiện các biện pháp kỹ thuật và tổ chức đã áp dụng trong bối cảnh GDPR và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 của Việt Nam (có hiệu lực từ 01/01/2026).

Theo phiên bản 2019, điều kiện tiên quyết là tổ chức có ISMS đang vận hành đáp ứng ISO 27001 – đã được chứng nhận hoặc đang trong quá trình chứng nhận. Với phiên bản 2025, ISO 27701 có thể được đánh giá độc lập hoặc kết hợp với ISO 27001. Theo thông tin của TÜV NORD GROUP, tổ chức chứng nhận của tập đoàn đã được công nhận cho ISO 27701 từ năm 2022.