SOC 2 và PDPD: tuân thủ song song
Khách hàng Mỹ đòi SOC 2, luật Việt Nam đòi PDPD: chỗ overlap, khoảng trống, và cách chạy cả hai mà không tốn công gấp đôi.
Ai cần tuân thủ cả hai?
Ví dụ: một SaaS HR tech tại TP.HCM lưu dữ liệu nhân sự người Việt và vừa ký khách hàng Mỹ. Khách hàng đòi SOC 2 Type II trong 12 tháng, còn Luật Bảo vệ dữ liệu cá nhân 91/2025 áp dụng từ điểm dữ liệu đầu tiên.
Điều này phổ biến với công ty có người dùng Việt Nam và khách hàng hoặc investor Mỹ, kể cả outsourcing vendor xử lý PII nhân viên Việt Nam.
Mỗi framework yêu cầu gì?
- Tính chất Tự nguyện, không phải luật
- Mục đích Tiếp cận thị trường B2B tại Mỹ
- Đầu ra Báo cáo audit do CPA firm cấp
- Cơ sở 5 Trust Service Criteria (Security, Availability, Confidentiality, Processing Integrity, Privacy)
- Gia hạn Thường hàng năm (Type II)
- Thực thi Áp lực thị trường, không có cơ quan thực thi
- Tính chất Pháp lý, bắt buộc
- Hiệu lực Từ tháng 7/2023
- Phạm vi Dữ liệu cá nhân của công dân Việt Nam
- Cơ quan thực thi Bộ Công an (A05)
- Hậu quả vi phạm Phạt tiền, xử lý hành chính
- Đặc thù Đăng ký bắt buộc cho dữ liệu nhạy cảm, cơ chế consent, kiểm soát chuyển dữ liệu ra nước ngoài
Overlap và khoảng trống
| Yêu cầu | SOC 2 | PDPD / Luật 91 |
|---|---|---|
| Kiểm soát quyền truy cập dữ liệu cá nhân | Có | Có |
| Thông báo xâm phạm dữ liệu | Có (thông báo khách hàng) | Có (thông báo Bộ Công an trong 72h) |
| Chính sách bảo mật nội bộ | Có | Có |
| Tối thiểu hóa dữ liệu | Một phần | Có |
| Cơ chế consent của người dùng | Không | Có |
| Đăng ký xử lý dữ liệu nhạy cảm | Không | Có (bắt buộc) |
| Kiểm soát chuyển dữ liệu ra nước ngoài | Không | Có (quy định riêng trong PDPD) |
| Hợp đồng với bên thứ ba / nhà cung cấp | Có | Có |
Cách chạy song song hai chương trình
Xây dựng một bộ control inventory chung
Liệt kê mọi control đang có và gắn nhãn framework mà nó đáp ứng. Một access control policy tốt thỏa mãn cả SOC 2 CC6 lẫn PDPD.
Map controls song song trong gap assessment
Dùng bảng mapping hai cột (SOC 2 TSC và PDPD) và phân loại mỗi gap: thiếu cho một framework hay cả hai.
PDPD-specific actions mà SOC 2 không bao gồm
- Bổ nhiệm Data Protection Officer (DPO) nội bộ hoặc thuê ngoài
- Đăng ký với Bộ Công an nếu xử lý dữ liệu nhạy cảm (sức khỏe, tài chính, sinh trắc học, dân tộc)
- Xây dựng consent management flow riêng cho dữ liệu người dùng Việt Nam, bao gồm cả cơ chế rút lại consent
- Đánh giá và lập tài liệu về việc chuyển dữ liệu ra nước ngoài nếu dùng cloud provider ngoài Việt Nam
Dùng compliance platform để tránh duplicate evidence
Thu evidence một lần. Platform có multi-framework mapping link một artifact tới nhiều requirement, tiết kiệm thời gian khi vào observation period SOC 2 Type II.
Câu hỏi thường gặp
PDPD và SOC 2 có overlap không?
Có một phần: kiểm soát truy cập dữ liệu cá nhân, thông báo xâm phạm và chính sách bảo mật nội bộ. Nhưng PDPD là luật bắt buộc của Việt Nam, còn SOC 2 là framework tự nguyện cho dịch vụ B2B.
Làm SOC 2 có giúp tuân thủ PDPD không?
Một phần. SOC 2 xây dựng nền tảng controls về bảo mật dữ liệu mà PDPD cũng yêu cầu. Nhưng SOC 2 không cover các nghĩa vụ đặc thù của PDPD như nộp hồ sơ đánh giá tác động cho Bộ Công an, hay các yêu cầu về consent theo Luật 91/2025.
Công ty có thể làm SOC 2 và PDPD cùng lúc không?
Có. Xây một control framework chung rồi map từng control sang SOC 2 TSC và PDPD song song, không cần hai chương trình riêng.
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.