Giám sát email, máy tính nhân viên có được không?

Giám sát email máy tính nhân viên có được không?

Có, nhưng không phải muốn xem gì cũng được. Với quan hệ lao động, doanh nghiệp có thể đặt quy định sử dụng email công ty, máy tính công ty, tài khoản làm việc, nhật ký truy cập… để bảo vệ bí mật kinh doanh, an ninh hệ thống, và kiểm soát rủi ro vận hành. Tuy nhiên, việc này phải có lý do chính đáng và được công khai trước cho người lao động.

Điểm mấu chốt là: theo Bộ luật Lao động 2019, người lao động và người sử dụng lao động được thỏa thuận về bảo vệ bí mật kinh doanh, bí mật công nghệ, kỷ luật lao động và các quy tắc sử dụng tài sản, hệ thống của công ty. Nếu bạn giám sát mà không thông báo, hoặc thu quá rộng sang nội dung cá nhân không liên quan công việc, rủi ro tranh chấp sẽ tăng lên.

Ví dụ thực tế: công ty có thể ghi log email công ty để phát hiện lộ file báo giá; nhưng việc mở hộp thư cá nhân của nhân viên, hoặc đọc tin nhắn riêng trên thiết bị cá nhân, là câu chuyện khác và cần rất thận trọng.

Doanh nghiệp được xem những gì là hợp lý?

Nói ngắn gọn: nên xem phần “phục vụ công việc” và hạn chế tối đa đụng vào đời tư.

Các hạng mục thường hợp lý hơn:

• Nhật ký đăng nhập, thời gian hoạt động tài khoản công ty
• Lưu lượng truy cập, website bị chặn, tải file bất thường
• Email công ty, nhưng theo nguyên tắc có mục đích và phân quyền
• File lưu trên máy tính công ty, ổ đĩa dùng chung, hệ thống cloud của công ty

Các hạng mục cần cẩn trọng hơn:

• Nội dung email/tệp có thể lẫn thông tin cá nhân
• Ảnh chụp màn hình liên tục không thông báo
• Ghi âm, quay màn hình bí mật
• Theo dõi ngoài giờ bằng thiết bị cá nhân nếu không có thỏa thuận rõ

Về dữ liệu cá nhân, từ 01/01/2026, Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 có hiệu lực. Tinh thần chung là phải có cơ sở xử lý, thông báo rõ, và dùng đúng mục đích. Nói đơn giản: có quyền quản lý hệ thống, nhưng không được “quản lý kiểu mù mờ”.

Nghĩa vụ minh bạch trong nội quy lao động nên viết gì?

Nên viết càng cụ thể càng tốt. Nội quy mơ hồ kiểu “công ty có quyền kiểm tra tất cả hệ thống khi cần” thường gây hiểu lầm và khó áp dụng. Một chính sách tốt phải cho nhân viên biết điều gì được theo dõi, điều gì không, và vì sao.

Bạn có thể dùng mẫu ngắn này để đưa vào nội quy hoặc phụ lục chính sách:

Một câu nên có trong chính sách: “Công ty chỉ truy cập dữ liệu hệ thống phục vụ công việc khi có mục đích rõ ràng, người có thẩm quyền phê duyệt, và ghi nhận nhật ký truy cập.”

Làm sao cân bằng quyền riêng tư của nhân viên với nhu cầu quản trị?

Cách tốt nhất là thiết kế theo nguyên tắc tối thiểu. Đừng bắt đầu bằng câu hỏi “làm sao xem hết?”, hãy hỏi “mình thật sự cần gì để bảo vệ công ty?”.

Thực tế ở SME Việt Nam, nhiều rủi ro không đến từ việc nhân viên lười mà đến từ chia sẻ mật khẩu, dùng chung tài khoản, hoặc gửi file nhạy cảm qua email cá nhân. Vì vậy, giải pháp nên ưu tiên:

• Tách email công việc và email cá nhân
• Bật xác thực hai lớp cho tài khoản quan trọng
• Phân quyền folder/file rõ ràng
• Tắt quyền admin nếu không cần
• Có mẫu cam kết bảo mật và quy trình bàn giao khi nghỉ việc

Nếu công ty muốn giám sát sâu hơn, nên báo trước trong hợp đồng, nội quy và chính sách CNTT. Với tình huống có yếu tố nhạy cảm như ghi màn hình, theo dõi thiết bị cá nhân, hoặc mở nội dung hộp thư khi vắng mặt, nên hỏi luật sư hoặc chuyên gia tuân thủ trước khi triển khai.

Một checklist nhanh trước khi bật giám sát

• [ ] Có mục đích cụ thể, không giám sát “cho chắc”
• [ ] Có nội quy/chính sách bằng văn bản
• [ ] Nhân viên được thông báo trước
• [ ] Chỉ người có thẩm quyền mới được truy cập dữ liệu
• [ ] Có nhật ký truy cập và thời hạn lưu
• [ ] Có quy trình xử lý sự cố và phản ánh
• [ ] Không động vào dữ liệu cá nhân ngoài phạm vi cần thiết

Nếu doanh nghiệp bạn cần mẫu nội quy, banner thông báo hoặc quy trình lưu bằng chứng truy cập, consent.vn có thể giúp bạn chuẩn hóa thành tài liệu dùng được ngay.

Nguồn: Bộ luật Lao động 2019 thuvienphapluat.vn, Luật 91/2025/QH15 thuvienphapluat.vn, Bộ Công an bocongan.gov.vn