Câu hỏi thường gặp về tiêu chuẩn ISO 27701

Bộ tiêu chuẩn ISO/IEC 27701 là tiêu chuẩn quốc tế mở rộng từ ISO/IEC 27001, cung cấp khuôn mặt quản trị và bảo vệ dữ liệu cá nhân (PIMS) toàn diện nhất hiện nay. Để giúp doanh nghiệp dễ dàng nắm bắt các yêu cầu kỹ thuật và triển khai thành công hệ thống này, SQC Certification tổng hợp các câu hỏi thường gặp nhất (FAQ) về ISO/IEC 27701 trong bài viết dưới đây.

---

1. Tiêu chuẩn ISO/IEC 27701 là gì?

Bộ tiêu chuẩn ISO/IEC 27701 là tiêu chuẩn quốc tế do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) ban hành, cung cấp các hướng dẫn để thiết lập, triển khai, duy trì và liên tục cải tiến Hệ thống Quản lý Thông tin Quyền riêng tư (PIMS).

Tiêu chuẩn này được thiết kế như một phần mở rộng (extension) cho hai tiêu chuẩn bảo mật thông tin quen thuộc là ISO/IEC 27001 và ISO/IEC 27002, giúp các tổ chức quản lý hiệu quả dữ liệu cá nhân (PII – Personally Identifiable Information).

2. ISO 27701 có yêu cầu bắt buộc phải đạt được cùng với ISO 27001 không?

Có. Do bộ tiêu chuẩn ISO 27701 này chính là một phần mở rộng của khung bảo mật thông tin chung, do đó mà tổ chức, doanh nghiệp của bạn không chi đánh giá và cấp chứng nhận riêng lẻ độc lập cho ISO 27001 nếu chưa có hoặc không áp dụng song song với ISO/IEC 27001.

Yêu cầu kỹ thuật: Hệ thống quản lý an toàn thông tin (ISMS) theo ISO 27001 chính là nền tảng cốt lõi. ISO 27701 sẽ lồng ghép các yêu cầu cụ thể về bảo vệ quyền riêng tư dữ liệu vào nền tảng ISMS sẵn có đó.

3. Tiêu chuẩn này áp dụng cho những đối tượng nào?

Bộ tiêu chuẩn ISO 27701 hiện nay có tiến hành áp dụng cho tất cả các loại hình tổ chức, không phân biệt quy mô hay lĩnh vực, bao gồm các đối tượng như:

• Doanh nghiệp thương mại điện tử, công nghệ, SaaS, fintech xử lý lượng lớn dữ liệu người dùng.
• Các nhà cung cấp dịch vụ CNTT, trung tâm dữ liệu (Data Center), công ty outsourcing đóng vai trò là bên xử lý dữ liệu.
• Các cơ quan, tổ chức tài chính, y tế, giáo dục có thu thập và lưu trữ thông tin cá nhân của khách hàng, nhân viên hoặc đối tác.

Tiêu chuẩn phân chia rõ ràng nghĩa vụ cho hai đối tượng:

• Bên kiểm soát dữ liệu (PIMS Controller): Đơn vị quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên xử lý dữ liệu (PIMS Processor): Đơn vị xử lý dữ liệu thay mặt cho Bên kiểm soát.

4. ISO 27701 hỗ trợ tuân thủ các quy định pháp lý (như GDPR, Luật Bảo vệ Dữ liệu Cá nhân) như thế nào?

Việc tổ chức, doanh nghiệp tiến hành áp dụng ISO 27701 có thể giúp tổ chức của bạn xây dựng tốt một khung pháp lý nội bộ vững chắc để đáp ứng các bộ luật bảo vệ dữ liệu khắt khe trên toàn cầu (như GDPR của Liên minh Châu Âu) cũng như các quy định về bảo vệ dữ liệu cá nhân tại Việt Nam. Cụ thể:

• Chuẩn hóa quy trình thu thập, lưu trữ, xử lý và tiêu hủy dữ liệu cá nhân minh bạch.
• Xác định rõ trách nhiệm của các bên liên quan đối với việc bảo vệ quyền lợi chủ thể dữ liệu.
• Giảm thiểu rủi ro pháp lý, tránh các khoản tiền phạt khổng lồ do vi phạm quy định bảo mật thông tin cá nhân.

5. Doanh nghiệp nhận được những lợi ích cốt lõi nào khi đạt chứng nhận ISO 27701?

Khi tổ chức, doanh nghiệp của bạn đạt được chứng nhận ISO 27701 có thể giúp cho tổ chức của bạn đạt được những lợi ích thiết thực như sau:

• Nâng cao uy tín thương hiệu: Chứng minh với khách hàng, đối tác và cơ quan quản lý rằng tổ chức đặt ưu tiên hàng đầu cho việc bảo mật quyền riêng tư.
• Tối ưu hóa chuỗi cung ứng toàn cầu: Đáp ứng nhanh chóng các yêu cầu thẩm định khắt khe (due diligence) từ các đối tác quốc tế đòi hỏi tiêu chuẩn bảo mật cao.
• Tích hợp liền mạch: Tận dụng tối đa hệ thống quản lý ISO 27001 hiện có, giúp tiết kiệm thời gian, chi phí và nguồn lực triển khai so với việc xây dựng một hệ thống hoàn toàn mới.

---

6. Quy trình triển khai và chứng nhận ISO 27701 diễn ra như thế nào?

Hiện nay các tổ chức, doanh nghiệp tiến hành triển khai dự án xây dựng và chứng nhận ISO 27701 sẽ thường trải qua các bước chính như sau:

• Khảo sát & Đánh giá khoảng cách (Gap Analysis): Rà soát hệ thống ISO 27001 hiện tại và các quy trình xử lý dữ liệu cá nhân thực tế.
• Xây dựng tài liệu & Thiết lập quy trình PIMS: Ban hành các chính sách quyền riêng tư, quy trình xử lý sự cố lộ dữ liệu cá nhân, đánh giá tác động bảo vệ dữ liệu (DPIA).
• Áp dụng & Đào tạo nội bộ: Triển khai vận hành thực tế trong tổ chức, tổ chức đào tạo nhận thức cho nhân sự và thực hiện đánh giá nội bộ (Internal Audit).
• Đánh giá chứng nhận (Certification Audit): Tổ chức chứng nhận độc lập tiến hành đánh giá qua 2 giai đoạn (Đánh giá tài liệu và Đánh giá thực tế tại hiện trường) để cấp chứng chỉ.

---

7. Đánh giá tác động bảo vệ dữ liệu (DPIA) trong ISO 27701 có vai trò gì?

Hiện nay các tổ chúc, doanh nghiệp của bạn đang tiến hành đánh giá tốt các tác động bảo vệ dữ liệu (Data Protection Impact Assessment – DPIA) là một yêu cầu bắt buộc và quan trọng trong ISO 27701. Những vai trò này có thể được thể hiện như sau:

• Quá trình đánh giá tác động này có thể giúp cho tổ chức của bạn chủ động nhận diện, phân tích và đánh giá các rủi ro có phát sinh trong quá trình thu thập, xử lý hoặc chia sẻ dữ liệu cá nhân (PII).
• Từ kết quả DPIA, doanh nghiệp có thể đưa ra các biện pháp giảm thiểu rủi ro phù hợp trước khi đưa các hệ thống, ứng dụng hoặc quy trình kinh doanh mới vào vận hành chính thức.

---

8. ISO 27701 xử lý việc chuyển giao dữ liệu cá nhân xuyên biên giới như thế nào?

Bộ tiêu chuẩn ISO 27701 này có đưa ra những cung cấp trực tiếp các hướng dẫn một cách cụ thể về việc kiểm soát truyền tải dữ liệu cá nhân ra nước ngoài hoặc giữa các bên pháp nhân ở các quốc gia khác nhau. Việc chuyển giao này như:

• Yêu cầu tổ chức phải xác định rõ cơ sở pháp lý cho việc chuyển giao dữ liệu (hợp đồng chuyển giao, sự đồng ý của chủ thể dữ liệu, hoặc tuân thủ quy định địa phương).
• Đảm bảo bên nhận dữ liệu ở quốc gia khác cũng áp dụng mức độ bảo mật và quyền riêng tư tương đương, hạn chế tối đa rủi ro rò rỉ dữ liệu qua ranh giới lãnh thổ.

9. Hiệu lực của chứng nhận ISO 27701 kéo dài bao lâu và cần duy trì như thế nào?

Giống như hầu hết các tiêu chuẩn hệ thống quản lý của ISO, chứng nhận ISO 27701 có hiệu lực trong vòng 03 năm.

• Đánh giá giám sát hàng năm (Surveillance Audit): Trong thời hạn 3 năm, tổ chức chứng nhận sẽ tiến hành đánh giá giám sát định kỳ (thường là 12 tháng/lần) để đảm bảo hệ thống PIMS vẫn được vận hành và cải tiến liên tục.
• Đánh giá tái cấp chứng nhận (Re-certification Audit): Trước khi hết hạn 3 năm, doanh nghiệp sẽ thực hiện đánh giá tái cấp để gia hạn hiệu lực cho chu kỳ tiếp theo.

Đăng ký chứng nhận

Hãy để  SQC Certification Việt Nam giúp doanh nghiệp bạn đạt được những tiêu chuẩn quốc tế một cách chuyên nghiệp và bền vững.

• Hotline:  093.639.6611
• Website:  https://sqccert.com.vn/
• ĐĂNG KÝ NGAY:  https://forms.gle/ydn9rzk5H7jrrf9g9