Phạm vi và trạng thái tiêu chuẩn
Liên kết đến phần này ↗ISO/IEC 27701 là tiêu chuẩn quốc tế tự nguyện cho hệ thống quản lý thông tin về quyền riêng tư (PIMS), dành cho bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc tổ chức giữ cả hai vai trò. Ấn bản thứ hai công bố ngày 14 tháng 10 năm 2025 và thay thế ấn bản 2019. Đây là tiêu chuẩn hệ thống quản lý độc lập có thể vận hành cùng ISO/IEC 27001.
Tổ chức chứng nhận được công nhận đánh giá hệ thống và cấp chứng chỉ. Tiêu chuẩn không quy định hồ sơ phải nộp cho cơ quan nhà nước, thời hạn luật định hoặc mức phạt. Hỏi tổ chức chứng nhận về việc chuyển đổi chứng chỉ theo ấn bản 2019 sang ấn bản 2025. Tại thời điểm tra cứu ngày 9 tháng 11 năm 2026, chưa tìm thấy TCVN chấp nhận ISO/IEC 27701 trong danh mục tiêu chuẩn quốc gia.
Áp dụng cùng Luật Bảo vệ dữ liệu cá nhân
Liên kết đến phần này ↗Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 không bắt buộc ISO/IEC 27701. Tổ chức vẫn phải chuẩn bị hồ sơ hoạt động xử lý, thông báo, hồ sơ sự đồng ý, phản hồi yêu cầu của chủ thể dữ liệu và thông báo vi phạm theo Luật. Khi thuộc diện phải nộp hồ sơ đánh giá tác động xử lý hoặc chuyển dữ liệu cá nhân xuyên biên giới, dùng biểu mẫu và thủ tục theo Nghị định 356/2025/NĐ-CP.
PIMS giúp xác định phạm vi, phân công, lập kế hoạch xử lý rủi ro và tuyên bố áp dụng, kiểm toán nội bộ và xem xét của lãnh đạo. Chứng chỉ PIMS không xác nhận tuân thủ Luật. PIMS cũng có thể giúp tổ chức quản lý và chứng minh hoạt động theo GDPR của EU. Chứng chỉ theo tiêu chuẩn chỉ là chứng nhận GDPR nếu chương trình chứng nhận dựa trên tiêu chuẩn được phê duyệt theo Quy định.
Các biện pháp ở bảng A.3 dùng tên biện pháp tương ứng tại Phụ lục A của ISO/IEC 27001:2022. Bằng chứng có thể phục vụ cả hai hệ thống khi phù hợp.
Điều khoản và hồ sơ chuẩn bị
Liên kết đến phần này ↗| Điều khoản | Nội dung chuẩn bị |
|---|---|
| 4.1–4.3 | Bối cảnh, bên quan tâm, vai trò kiểm soát hoặc xử lý, phạm vi, điểm tiếp giáp và phần loại trừ |
| 5.3 | Người chịu trách nhiệm và có thẩm quyền phê duyệt |
| 6.1.2–6.1.3 | Đánh giá, xử lý rủi ro về quyền riêng tư và tuyên bố áp dụng |
| 9.2–9.3 | Kiểm toán nội bộ và xem xét của lãnh đạo |
| 10.2 | Theo dõi hành động khắc phục đối với điểm không phù hợp |
| Phụ lục A, bảng A.1 | 31 biện pháp cho bên kiểm soát, khi tổ chức quyết định mục đích và cách thức xử lý |
| Phụ lục A, bảng A.2 | 18 biện pháp cho bên xử lý, khi tổ chức xử lý theo hướng dẫn của khách hàng |
| Phụ lục A, bảng A.3 | 29 biện pháp dùng chung cho cả hai vai trò |
Tiêu chuẩn không ban hành biểu mẫu chính thức. ComplianceOne có hai mẫu nội bộ gồm tuyên bố áp dụng PIMS (6.1.3) và tuyên bố phạm vi PIMS (4.3).
ComplianceOne hỗ trợ PIMS
Liên kết đến phần này ↗- Cài riêng gói tiêu chuẩn trong danh mục gói thị trường. Gói Việt Nam hoặc khung chuyên ngành không tự cài tiêu chuẩn. Hồ sơ Khung pháp lý liệt kê 30 tiểu điều khoản thuộc các điều khoản 4–10 và 78 biện pháp tại Phụ lục A, kèm mã, nhãn ngắn và hướng dẫn riêng bằng tiếng Việt và tiếng Anh.
- Tuyên bố áp dụng liệt kê 78 biện pháp theo ba bảng. Ghi quyết định và lý do áp dụng hoặc loại trừ cho từng biện pháp trước khi nộp biểu mẫu. Chọn người phụ trách và người phê duyệt trong tổ chức.
- Bảng A.1 và A.2 áp dụng theo vai trò ghi trong hồ sơ tổ chức. Khi chưa ghi vai trò, cả hai bảng chờ xác định. Tổ chức chỉ kiểm soát dữ liệu thường loại trừ bảng A.2 và ghi lý do. Bảng A.3 dùng chung.
- Sau khi cài tiêu chuẩn, phần kiểm tra mức độ đầy đủ của hồ sơ hoạt động xử lý có chế độ xem ISO/IEC 27701. Kết quả dùng để tham khảo. Hồ sơ Khung pháp lý dẫn chiếu ISO/IEC 27001:2022, Luật Bảo vệ dữ liệu cá nhân Việt Nam và GDPR của EU.
ComplianceOne hiển thị mã, nhãn ngắn và hướng dẫn của mình. Tổ chức dùng bản tiêu chuẩn của mình để đọc yêu cầu. ComplianceOne không cấp chứng nhận; ISO không phê duyệt hoặc bảo chứng sản phẩm. Nội dung cung cấp thông tin tham khảo và không thay thế tư vấn pháp lý.
Kiểm tra mức độ sẵn sàng
Liên kết đến phần này ↗- Có bản tiêu chuẩn năm 2025.
- Ghi vai trò bên kiểm soát, bên xử lý hoặc cả hai.
- Xác định phạm vi PIMS, điểm tiếp giáp và phần loại trừ.
- Ghi quyết định và lý do cho từng biện pháp tại Phụ lục A.
- Lưu hồ sơ bảo vệ dữ liệu cá nhân theo căn cứ pháp luật tương ứng.
- Xác nhận cách chuyển đổi từ ấn bản năm 2019 với tổ chức chứng nhận.
Nguồn tham chiếu
Liên kết đến phần này ↗Đặt lịch demo hoặc trao đổi về việc triển khai thử nghiệm để xem phạm vi PIMS và tuyên bố áp dụng theo vai trò kiểm soát hoặc xử lý.