ISO/IEC 27701:2025 – chuẩn mực bảo mật quyền riêng tư trong kỷ nguyên dữ liệu

ISO/IEC 27701 được Tổ chức Tiêu chuẩn hóa quốc tế (ISO) và Ủy ban Kỹ thuật Điện quốc tế (IEC) công bố lần đầu vào năm 2019 như một phần mở rộng của ISO/IEC 27001 và ISO/IEC 27002. Mục tiêu của tiêu chuẩn là bổ sung các yêu cầu và biện pháp kiểm soát liên quan đến dữ liệu cá nhân, trên nền tảng hệ thống quản lý an toàn thông tin đã được áp dụng rộng rãi. Sau một giai đoạn triển khai thực tế tại nhiều quốc gia và lĩnh vực, nhu cầu cập nhật tiêu chuẩn này trở nên rõ ràng hơn khi môi trường pháp lý và công nghệ liên tục thay đổi.

Phiên bản ISO/IEC 27701:2025 ra đời trong bối cảnh các quy định về bảo vệ dữ liệu cá nhân trên thế giới ngày càng được hoàn thiện và siết chặt, trong khi các mô hình xử lý dữ liệu trở nên phức tạp hơn do sự phổ biến của điện toán đám mây, phân tích dữ liệu lớn và trí tuệ nhân tạo. Theo các tài liệu công bố chính thức của ISO, phiên bản mới không thay đổi bản chất của tiêu chuẩn nhưng tập trung làm rõ cấu trúc, thuật ngữ và yêu cầu quản lý, nhằm tăng tính nhất quán và khả năng tích hợp với các tiêu chuẩn hệ thống quản lý khác.

ISO/IEC 27701:2025 giống như khung quản trị giúp tổ chức triển khai các yêu cầu pháp lý một cách có hệ thống.

Một trong những điểm đáng chú ý của ISO/IEC 27701:2025 là điều chỉnh theo cấu trúc hài hòa (Harmonized Structure) – khuôn khổ chung đang được ISO áp dụng cho các tiêu chuẩn hệ thống quản lý thế hệ mới. Cách tiếp cận này giúp ISO/IEC 27701 dễ dàng tích hợp với ISO/IEC 27001:2022 cũng như các tiêu chuẩn quản lý khác như ISO 9001 hay ISO 14001. Đối với các tổ chức đã triển khai nhiều hệ thống quản lý song song, sự đồng bộ này giúp giảm trùng lặp về tài liệu, quy trình và nguồn lực.

Bên cạnh đó, phiên bản 2025 tiếp tục làm rõ vai trò và trách nhiệm của các chủ thể tham gia xử lý dữ liệu cá nhân, bao gồm bên kiểm soát dữ liệu và bên xử lý dữ liệu. Các yêu cầu được trình bày theo hướng tập trung vào quản trị vòng đời dữ liệu cá nhân, từ khâu thu thập, sử dụng, lưu trữ, chia sẻ cho đến xóa hoặc hủy dữ liệu. Các nội dung liên quan đến đánh giá rủi ro quyền riêng tư, quản lý sự đồng thuận của chủ thể dữ liệu và xử lý sự cố vi phạm dữ liệu cá nhân cũng được sắp xếp lại để dễ áp dụng và phù hợp hơn với thực tiễn quản lý.

Theo các phân tích của ISO và nhiều tổ chức chuyên môn về tiêu chuẩn, ISO/IEC 27701 không nhằm thay thế các quy định pháp luật về bảo vệ dữ liệu cá nhân, mà đóng vai trò như một khung quản trị giúp tổ chức triển khai yêu cầu pháp lý một cách có hệ thống. Tiêu chuẩn này thường được sử dụng như công cụ hỗ trợ cho việc tuân thủ các luật bảo vệ dữ liệu tại nhiều khu vực, đặc biệt trong bối cảnh hoạt động xử lý dữ liệu mang tính xuyên biên giới ngày càng phổ biến.

Bảo Linh (theo ISO)