ISO 27701 là gì? Hệ thống quản lý thông tin quyền riêng tư (PIMS) theo bản 2025

ISO 27701 (ISO/IEC 27701) là tiêu chuẩn quốc tế về hệ thống quản lý thông tin quyền riêng tư (PIMS); từ bản 2025, doanh nghiệp có thể triển khai và chứng nhận riêng, không cần có ISO 27001 trước.

Doanh nghiệp tìm hiểu tiêu chuẩn này thường vì khách hàng, đối tác nước ngoài muốn bằng chứng về cách xử lý dữ liệu cá nhân. Câu hỏi kế tiếp là: bản 2025 khác gì, phải làm những việc gì, có giúp tuân thủ GDPR và Luật 91/2025/QH15 không. Bài này trả lời lần lượt. Khi cần lộ trình cụ thể, xem dịch vụ tư vấn chứng nhận ISO 27701 của Musk-IS.

Điểm chính

• ISO/IEC 27701:2025 do ISO và IEC phát hành tháng 10/2025, là tiêu chuẩn hệ thống quản lý độc lập; bản 2019 trước đây chỉ là phần mở rộng của ISO 27001 và ISO 27002.
• Tiêu chuẩn chia vai trò thành bên kiểm soát dữ liệu cá nhân và bên xử lý dữ liệu cá nhân; mỗi vai trò có nhóm biện pháp riêng, và một doanh nghiệp có thể giữ cả hai vai trò.
• Chứng chỉ ISO 27701 không thay cho việc tuân thủ GDPR hay Luật 91/2025/QH15, nhưng giúp doanh nghiệp tổ chức hồ sơ, quy trình để đáp ứng các luật này và chứng minh với khách hàng.
• Chứng chỉ có công nhận theo bản 2019 phải chuyển sang bản 2025 trước 31/10/2028, theo thông báo của Hội đồng Tiêu chuẩn Canada (SCC).

ISO 27701 là gì? PIMS là gì?

ISO 27701 là tiêu chuẩn yêu cầu doanh nghiệp xây dựng một hệ thống quản lý thông tin quyền riêng tư (Privacy Information Management System, PIMS). Hệ thống này giúp doanh nghiệp biết mình đang xử lý dữ liệu cá nhân nào, với vai trò gì, rủi ro ra sao, rồi áp dụng biện pháp kiểm soát và chứng minh qua đánh giá nội bộ, xem xét của lãnh đạo.

Tên đầy đủ của bản hiện hành là ISO/IEC 27701:2025 “Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance”. Trên trang của ISO, đây là ấn bản thứ 2, công bố tháng 10/2025. Người tìm “ISO 27701 latest version” có thể yên tâm: đây là bản mới nhất tại thời điểm viết bài.

PIMS khác hệ thống quản lý an toàn thông tin (ISMS) ở đối tượng được bảo vệ. ISMS bảo vệ tài sản thông tin của doanh nghiệp theo ba thuộc tính bảo mật, toàn vẹn, sẵn sàng. PIMS bảo vệ người đứng sau dữ liệu, nên ngoài chống lộ lọt còn phải lo việc thông báo, xin đồng ý, mục đích sử dụng, quyền của chủ thể dữ liệu và chuyển dữ liệu ra nước ngoài.

Một công ty có thể làm an toàn thông tin rất tốt mà vẫn vi phạm quyền riêng tư. Ví dụ dữ liệu khách hàng được mã hóa, phân quyền chặt, nhưng vẫn được đem đi chạy quảng cáo dù khách chưa từng đồng ý cho mục đích đó. Đó là phần PIMS quản lý mà ISMS không chạm tới.

Nhiều người tìm “ISO 27701 PDF” để tải miễn phí. Tiêu chuẩn có bản quyền, phải mua từ ISO hoặc cơ quan tiêu chuẩn quốc gia. Các tệp lan truyền trên mạng phần lớn là bản 2019 hoặc bản dịch không chính thức, cấu trúc khác bản 2025, dùng để lập kế hoạch dễ sai.

Bản 2025 khác gì: từ phần mở rộng thành tiêu chuẩn độc lập

Thay đổi lớn nhất của bản 2025 là tiêu chuẩn không còn phụ thuộc ISO 27001. Theo DNV và BSI, ISO/IEC 27701:2025 là tiêu chuẩn hệ thống quản lý độc lập, không còn yêu cầu chứng nhận ISO/IEC 27001 làm điều kiện để triển khai hay đánh giá. Doanh nghiệp có thể chỉ xây dựng và chứng nhận PIMS.

Số biện pháp trong từng bảng của Phụ lục A chưa thống nhất giữa các tài liệu tóm tắt đang công bố. Khi lập kế hoạch dự án, nên căn cứ vào bản tiêu chuẩn đã mua, không dựa vào con số trên mạng.

Về chuyển đổi, Hội đồng Tiêu chuẩn Canada (SCC), một tổ chức công nhận, đặt hạn 31/10/2028 cho doanh nghiệp đang giữ chứng chỉ bản 2019 phải chuyển sang bản 2025, và hạn 31/10/2027 cho tổ chức chứng nhận chuyển sang ISO/IEC 27706:2025, tiêu chuẩn mới về yêu cầu với tổ chức chứng nhận PIMS công bố cùng tháng 10/2025. Các tổ chức công nhận khác có thể đặt mốc riêng cho tổ chức chứng nhận, nên doanh nghiệp cần hỏi đơn vị cấp chứng chỉ của mình. Cách an toàn là xếp việc chuyển đổi vào một kỳ đánh giá giám sát hoặc tái chứng nhận trong năm 2026–2027, đừng để tới năm cuối.

Doanh nghiệp đang áp dụng BS 10012 của Anh để quản lý dữ liệu cá nhân cũng có thể dùng dịp này để chuyển sang PIMS theo bản 2025, vì hai tiêu chuẩn cùng hướng tới hệ thống quản lý dữ liệu cá nhân, và khách hàng quốc tế thường hỏi về tiêu chuẩn của ISO nhiều hơn.

Bên kiểm soát và bên xử lý dữ liệu cần làm gì?

ISO 27701 chia doanh nghiệp xử lý dữ liệu cá nhân thành hai vai trò. Bên kiểm soát (PII controller) quyết định thu thập dữ liệu gì, để làm gì và xử lý ra sao. Bên xử lý (PII processor) xử lý dữ liệu theo chỉ dẫn của bên khác. Mỗi vai trò có nhóm biện pháp riêng trong Phụ lục A, và một doanh nghiệp có thể giữ cả hai vai trò cùng lúc.

Luật 91/2025/QH15 dùng cách chia gần giống: bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, và bên thứ ba. Vì vậy, việc xác định vai trò trong PIMS cũng là nền để xác định ai lập hồ sơ đánh giá tác động, ai thông báo vi phạm theo luật Việt Nam.

Lấy ví dụ một công ty SaaS quản lý bán hàng. Với dữ liệu nhân viên của chính mình và danh sách khách hàng tiềm năng, công ty là bên kiểm soát. Với dữ liệu người mua hàng mà các cửa hàng khách hàng nhập vào phần mềm, công ty là bên xử lý. Nếu chỉ coi mình là bên kiểm soát, công ty sẽ thiếu quy trình hỗ trợ khách trả lời yêu cầu xóa dữ liệu của người mua, và đây là câu chuyên gia đánh giá hay hỏi.

Doanh nghiệp BPO, gia công phần mềm cho khách Nhật, Hàn, châu Âu thường đứng ở vai trò bên xử lý. Hợp đồng với khách thường đã có phụ lục xử lý dữ liệu (DPA). PIMS giúp biến các cam kết trong phụ lục đó thành quy trình có bằng chứng: ai được truy cập, dữ liệu lưu ở đâu, khi kết thúc hợp đồng thì trả lại hay xóa và lập biên bản ra sao.

ISO 27701 đối chiếu ISO 27001, GDPR và Luật 91/2025

Tiêu chuẩn này không phải là luật, và có chứng chỉ không có nghĩa là đã tuân thủ một luật bảo vệ dữ liệu nào. Tiêu chuẩn cung cấp khung quản lý đánh giá được, để doanh nghiệp đưa yêu cầu của từng luật vào quy trình hằng ngày. Bảng dưới đối chiếu ở cấp chủ đề, dùng để lập kế hoạch và trả lời bảng câu hỏi của khách hàng.

Khác biệt lớn nhất giữa luật Việt Nam và hai cột còn lại nằm ở hồ sơ phải nộp. GDPR và ISO 27701 không bắt nộp kết quả đánh giá tác động cho cơ quan nhà nước. Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu nộp hồ sơ đánh giá tác động xử lý dữ liệu trong 60 ngày kể từ khi bắt đầu xử lý, theo mẫu riêng. PIMS tốt giúp hồ sơ đó có sẵn đầu vào, nhưng không thay thế được.

Hồ sơ DPIA theo Mẫu số 10 cũng khác phần đánh giá rủi ro quyền riêng tư trong ISO 27701: mẫu của Việt Nam đòi sơ đồ thiết kế hệ thống, kết quả tự đánh giá tuân thủ theo luật Việt Nam, và phần đánh giá an ninh quốc gia khi vượt ngưỡng. Doanh nghiệp làm cả hai nên dùng chung danh mục hoạt động xử lý, sơ đồ luồng dữ liệu làm đầu vào.

Doanh nghiệp nào nên áp dụng ISO 27701?

Đối tượng hợp nhất là doanh nghiệp xử lý nhiều dữ liệu cá nhân và đang bị yêu cầu chứng minh cách xử lý. Bốn nhóm dưới đây thường thấy lợi ích rõ nhất.

Nhóm thứ nhất là công ty SaaS, cloud, BPO và gia công phần mềm cho khách nước ngoài. Khi chọn nhà cung cấp, khách hàng thường gửi bảng câu hỏi về cách xử lý dữ liệu cá nhân, quản lý bên xử lý phụ, thông báo sự cố. Chứng chỉ PIMS biến những câu trả lời đó thành một hệ thống đã được bên độc lập đánh giá. Nếu là nhà cung cấp cloud, có thể lên kế hoạch cùng ISO 27017 và ISO 27018 để dùng chung một đợt đánh giá.

Thứ hai là ngân hàng, bảo hiểm, bệnh viện, trường học, doanh nghiệp bán lẻ có nhiều thành viên. Đây là các ngành xử lý dữ liệu nhạy cảm hoặc dữ liệu của rất nhiều người, nên ngoài cơ quan quản lý còn phải giữ niềm tin của khách hàng, bệnh nhân, phụ huynh.

Doanh nghiệp FDI và doanh nghiệp Việt Nam hoạt động ở nhiều nước là nhóm thứ ba. Cùng một bộ dữ liệu nhân viên hay khách hàng có thể chịu Luật 91 của Việt Nam, GDPR của EU, PIPA của Hàn Quốc hay luật của Đài Loan. Một PIMS đối chiếu được nhiều luật dễ duy trì hơn nhiều bộ quy trình riêng cho từng nước.

Cuối cùng là doanh nghiệp đã có ISO 27001 và muốn mở rộng sang quyền riêng tư. Khung quản lý dùng lại gần như nguyên vẹn, phần thêm chủ yếu là biện pháp và quy trình về quyền riêng tư.

Ngược lại, nếu công ty xử lý ít dữ liệu cá nhân, không có khách hàng hay thị trường đòi chứng chỉ, thì làm tốt việc kiểm kê dữ liệu, thông báo và hồ sơ theo Luật 91 thường thiết thực hơn là vội lấy chứng chỉ.

Quy trình triển khai ISO 27701 và thời gian

Quy trình triển khai PIMS giống các hệ thống quản lý ISO khác: bắt đầu từ phạm vi, kết thúc ở đánh giá của tổ chức chứng nhận. Doanh nghiệp đã có nền tảng ISO 27001 thường mất khoảng 4–6 tháng cho giai đoạn xây dựng hệ thống, làm từ đầu khoảng 6–8 tháng, chưa gồm 4–8 tuần đánh giá của tổ chức chứng nhận.

Giai đoạn 3 tốn thời gian nhất và quyết định chất lượng cả hệ thống. Kiểm kê thiếu thì nội dung thông báo, thời hạn lưu và hợp đồng thuê ngoài cũng sai theo. Doanh nghiệp đã lập hồ sơ đánh giá tác động theo Luật 91 có lợi thế ở bước này, vì danh mục hoạt động xử lý và sơ đồ luồng dữ liệu đã có sẵn.

Đến kỳ đánh giá chứng nhận, chuyên gia đánh giá sẽ xem cả tài liệu lẫn bằng chứng vận hành: chính sách quyền riêng tư, danh mục hoạt động xử lý, kết quả đánh giá rủi ro, nhật ký tiếp nhận và trả lời yêu cầu của chủ thể, hồ sơ đào tạo, biên bản đánh giá nội bộ và họp xem xét của lãnh đạo. Hệ thống chỉ chạy vài tuần trước kỳ đánh giá thường thiếu bằng chứng, nên lịch trình nên chừa ít nhất vài tháng vận hành thật trước giai đoạn 6.

Bốn chỗ hay vướng khi xây dựng PIMS

Trên thực tế, PIMS hiếm khi vướng vì không viết được tài liệu. Chỗ vướng thường là tài liệu và hoạt động thật không khớp nhau. Bốn điểm dưới đây nên kiểm tra sớm.

Chỗ đầu tiên là xác định vai trò một lần rồi thôi. Nhiều doanh nghiệp tự xếp mình là bên kiểm soát ngay đầu dự án mà không xét từng dịch vụ. Kết quả là dữ liệu giữ hộ khách hàng cũng được xử lý như dữ liệu của mình, và thiếu quy trình hỗ trợ khách trả lời yêu cầu của chủ thể.

Kế đến, kiểm kê chỉ nhìn vào hệ thống IT. Hồ sơ ứng viên bản giấy ở phòng nhân sự, danh sách khách hàng trong máy tính của nhân viên kinh doanh, ghi âm tổng đài, hình ảnh camera ở cửa hàng thường không có trong danh sách hệ thống, nhưng vẫn là dữ liệu cá nhân và là nguồn lộ lọt hay gặp.

Chỗ thứ ba: thông báo và thực tế lệch nhau. Chính sách quyền riêng tư ghi một mục đích, nhưng sau đó bộ phận kinh doanh dùng thêm vào việc khác, như lấy dữ liệu chăm sóc khách hàng để phân tích marketing. Chuyên gia đánh giá chỉ cần lấy một biểu mẫu, đối chiếu với quy trình thật là thấy.

Cuối cùng, hợp đồng thuê ngoài chưa cập nhật. Khi giao dữ liệu cho nhà cung cấp cloud hay đơn vị gia công, hợp đồng cần ghi phạm vi xử lý, yêu cầu an toàn, thông báo sự cố và việc xử lý dữ liệu khi chấm dứt hợp đồng. Hợp đồng cũ thường chỉ có điều khoản bảo mật chung chung. Với doanh nghiệp tại Việt Nam, đây cũng là thành phần bắt buộc của hồ sơ đánh giá tác động theo Nghị định 356.

Làm ISO 27701 cùng ISO 27001 tiết kiệm được gì?

Dù bản 2025 có thể chứng nhận riêng, làm PIMS cùng ISO 27001 vẫn là cách ít tốn kém nhất với phần lớn doanh nghiệp. Hai tiêu chuẩn cùng dùng cấu trúc điều khoản 4–10, nên bối cảnh tổ chức, vai trò lãnh đạo, đánh giá nội bộ, xem xét của lãnh đạo và hành động khắc phục đều dùng chung một cơ chế.

Nếu tổ chức chứng nhận đồng ý, hai tiêu chuẩn có thể đánh giá cùng một đợt, giảm số ngày làm việc với chuyên gia đánh giá và số lần phòng ban phải chuẩn bị.

Nguyên tắc chọn thứ tự khá đơn giản. Nếu khách hàng đòi bằng chứng về an toàn thông tin, làm ISO 27001 trước. Nếu khách hàng và cơ quan quản lý quan tâm cách xử lý dữ liệu cá nhân, hoặc chính doanh nghiệp là bên xử lý dữ liệu thuê cho người khác, có thể làm thẳng ISO 27701 hoặc làm song song.

Một chi tiết hay bị quên: nhân sự bảo vệ dữ liệu cá nhân mà Luật 91 yêu cầu chỉ định là người hợp nhất để giữ vai trò chủ trì PIMS. Điều kiện của vị trí này theo luật Việt Nam được giải thích trong bài DPO là gì.

Chi phí ISO 27701 gồm những khoản nào?

Chi phí có ba phần chính: tư vấn xây dựng hệ thống, phí đánh giá của tổ chức chứng nhận, và thời gian của nhân sự nội bộ. Phần thứ ba hay bị bỏ qua nhưng thường lớn nhất, vì kiểm kê dữ liệu, sửa quy trình và lưu bằng chứng đều do người trong công ty làm.

Phí tư vấn phụ thuộc phạm vi PIMS, số địa điểm, số hoạt động xử lý dữ liệu cá nhân và việc đã có ISO 27001 hay chưa. Phí chứng nhận phụ thuộc số nhân sự trong phạm vi và số ngày đánh giá mà tổ chức chứng nhận tính. Khi so báo giá, nên hỏi rõ phạm vi có gồm cả vai trò bên kiểm soát lẫn bên xử lý không, có hỗ trợ đánh giá nội bộ, đi cùng trong kỳ đánh giá chứng nhận không.

Theo chu kỳ chứng nhận thông thường của các hệ thống quản lý ISO, chứng chỉ có hiệu lực 3 năm, với đánh giá giám sát hằng năm và tái chứng nhận ở năm thứ ba. Vì vậy ngân sách nên tính cho cả chu kỳ 3 năm thay vì riêng năm đầu. Doanh nghiệp làm cùng ISO 27001 thường gộp được các kỳ giám sát, nên tổng chi phí duy trì thấp hơn hai hệ thống riêng.

Người tìm “ISO 27701 lead auditor” thường muốn học để trở thành chuyên gia đánh giá. Khóa học này dành cho cá nhân, khác với chứng nhận cho doanh nghiệp. Với doanh nghiệp, một hai người trong ban dự án học khóa đánh giá viên nội bộ thường đủ để tự chạy đánh giá nội bộ hằng năm.

Bắt đầu ISO 27701 từ đâu?

Trước khi bắt đầu, doanh nghiệp nên trả lời ba câu. Trong dữ liệu cá nhân đang xử lý, phần nào mình tự quyết mục đích (bên kiểm soát), phần nào xử lý hộ khách (bên xử lý)? Đã có khách hàng, hợp đồng hay cơ quan nào yêu cầu bằng chứng về quyền riêng tư chưa? Hoạt động có trải qua nhiều nước như Việt Nam, EU, Hàn Quốc, Nhật Bản không? Ba câu trả lời này quyết định phạm vi và thứ tự ưu tiên.

Đội ngũ Musk-IS gồm chuyên gia hệ thống quản lý và luật sư dữ liệu cá nhân, quen với luật của Việt Nam, Đài Loan, Hàn Quốc và EU, đồng hành từ bước xác định vai trò, kiểm kê dữ liệu đến khi đạt chứng nhận. Nếu chưa rõ nên làm riêng hay gộp với ISO 27001, hãy nhận tư vấn lộ trình ISO 27701 trước khi lên kế hoạch.

Câu hỏi thường gặp về ISO 27701

ISO 27701 có chứng nhận riêng được không?

Được. ISO/IEC 27701:2025, công bố tháng 10/2025, là tiêu chuẩn hệ thống quản lý độc lập, có điều khoản 4–10 và biện pháp kiểm soát riêng, nên doanh nghiệp có thể chỉ triển khai và chứng nhận ISO 27701. Bản 2019 thì khác: đó là phần mở rộng của ISO 27001, phải triển khai cùng ISO 27001.

Có bắt buộc phải có ISO 27001 trước không?

Theo bản 2025 thì không. Tiêu chuẩn không còn lấy chứng nhận ISO 27001 làm điều kiện, nhưng vẫn có một bảng biện pháp an toàn thông tin dùng chung trong Phụ lục A. Nếu doanh nghiệp đã có ISO 27001, hai hệ thống dùng chung được khung quản lý, nên làm gộp thường đỡ tốn công hơn làm riêng.

ISO 27701 có chứng minh tuân thủ GDPR không?

Không trực tiếp. ISO 27701 là tiêu chuẩn hệ thống quản lý, không phải chứng nhận tuân thủ pháp luật. Tiêu chuẩn có phụ lục đối chiếu với GDPR, giúp doanh nghiệp thực hiện các yêu cầu một cách có hệ thống và có bằng chứng khách quan khi khách hàng đánh giá. Việc có tuân thủ GDPR hay Luật 91/2025/QH15 hay không vẫn phải xét theo từng luật và cơ quan có thẩm quyền.

Chứng chỉ ISO 27701 bản 2019 còn hiệu lực không?

Còn trong thời gian chuyển đổi. Theo Hội đồng Tiêu chuẩn Canada (SCC), doanh nghiệp có chứng chỉ được công nhận theo bản 2019 phải chuyển sang bản 2025 trước 31/10/2028. Nên hỏi tổ chức chứng nhận xem có thể chuyển đổi trong kỳ đánh giá giám sát hoặc tái chứng nhận nào, vì mốc của từng tổ chức công nhận có thể khác.

ISO 27701 và Luật 91/2025 có thay thế nhau không?

Không. Luật 91/2025/QH15 là nghĩa vụ pháp lý, có hồ sơ phải nộp cơ quan chuyên trách thuộc Bộ Công an và có chế tài. ISO 27701 là tiêu chuẩn tự nguyện. Doanh nghiệp có chứng chỉ vẫn phải lập hồ sơ đánh giá tác động, chỉ định nhân sự bảo vệ dữ liệu và thông báo vi phạm theo luật Việt Nam; PIMS giúp những việc đó có quy trình và bằng chứng.

Tài liệu tham khảo

1. ISO/IEC 27701:2025 – Privacy information management systems – Tên, ấn bản 2, ngày công bố tháng 10/2025. ISO
2. Revision of ISO/IEC 27701 – Bản 2025 là tiêu chuẩn độc lập. DNV · 2025
3. ISO/IEC 27701:2025 key changes and guidance – Cấu trúc mới, không còn cần ISO 27001. BSI · 2025
4. Update to Privacy Information Management System Standard (PIMS) – Mốc chuyển đổi 31/10/2027 và 31/10/2028, ISO/IEC 27706:2025. Standards Council of Canada
5. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Vai trò các bên, quyền chủ thể, hồ sơ đánh giá tác động. Quốc hội · 26/06/2025
6. Regulation (EU) 2016/679 (GDPR) – Các điều trong bảng đối chiếu. Liên minh châu Âu · 27/04/2016