Phụ thuộc vào việc hộp thư đó của ai. Email theo tên miền công ty, tài khoản hệ thống nội bộ, kênh chat do công ty lập để làm việc là công cụ của công ty — công ty được kiểm tra theo chính sách đã thông báo rõ, vì mục đích chính đáng, trong phạm vi cần thiết. Còn hộp thư cá nhân, tin nhắn riêng trên tài khoản mạng xã hội của nhân viên thì thuộc bí mật thư tín được pháp luật bảo vệ, kể cả khi nhân viên mở nó trên máy tính của công ty.
Câu hỏi này đến từ cả hai phía. Chủ doanh nghiệp lo lộ dữ liệu khách hàng, lo nhân viên dùng email công ty để làm việc riêng cho đối tác khác, hay đơn giản cần đọc thư của người vừa nghỉ để tiếp quản công việc. Người lao động thì lo bị “đọc trộm”. Bài này vạch rõ ranh giới, đưa ra điều kiện để việc kiểm tra đứng vững, và gợi ý cách mỗi bên tự bảo vệ mình. Bài không hướng dẫn cách theo dõi hay xem tin nhắn của người khác.
Email công việc và hộp thư riêng: hai thứ khác nhau
Hiến pháp bảo đảm bí mật thư tín, điện thoại, điện tín và các hình thức trao đổi thông tin riêng tư khác. Bộ luật Dân sự 2015 cụ thể hóa: thư tín, điện thoại, điện tín, cơ sở dữ liệu điện tử và các hình thức trao đổi thông tin riêng tư khác được bảo đảm an toàn, bí mật; việc bóc mở, kiểm soát, thu giữ chỉ được thực hiện trong trường hợp luật quy định. Pháp luật về bảo vệ dữ liệu cá nhân (Luật Bảo vệ dữ liệu cá nhân 2025 cùng văn bản hướng dẫn) đặt thêm yêu cầu về căn cứ, mục đích và thông báo khi xử lý dữ liệu cá nhân.
Email công việc thì khác về bản chất. Hộp thư theo tên miền công ty, do công ty tạo, trả phí, quản trị; nội dung trao đổi là công việc của công ty với khách hàng, đối tác. Người sử dụng lao động có quyền quản lý tài sản, bí mật kinh doanh và điều hành công việc. Vì vậy, việc kiểm tra hộp thư công việc trong khuôn khổ một chính sách rõ ràng được nhìn nhận là quyền quản lý, không phải bóc thư riêng của ai.
Vùng khó nằm ở chỗ giao nhau: nhân viên dùng email công ty để gửi thư riêng, dùng Zalo cá nhân để làm việc với khách, đăng nhập Gmail riêng trên máy công ty. Lúc đó, thông tin riêng lẫn vào công cụ chung. Ranh giới hợp lý là: thứ gì thuộc tài khoản của công ty thì công ty được kiểm tra theo chính sách; thứ gì thuộc tài khoản riêng của nhân viên thì không, dù nó hiện trên màn hình máy công ty.
Kiểm tra kiểu nào được, kiểu nào không
Bảng đánh giá theo nguyên lý; từng vụ cụ thể còn tùy chính sách nội bộ và thực tế.
| Hành vi | Đánh giá | Điều kiện hoặc lý do |
|---|---|---|
| Quản trị viên rà hộp thư công việc khi có sự cố bảo mật, nghi lộ dữ liệu | Được | Có chính sách thông báo trước, giới hạn người xem, lưu vết |
| Tiếp quản hộp thư công việc của người đã nghỉ để xử lý việc dang dở | Được | Thông báo cho người nghỉ, tách và trả lại thư riêng nếu có |
| Lưu trữ, sao lưu tự động toàn bộ email công việc theo quy định nội bộ | Được | Mục đích lưu trữ, không đọc tràn lan |
| Trưởng phòng tự ý đọc hộp thư công việc của nhân viên vì tò mò | Không nên | Ngoài mục đích, không qua quy trình |
| Đăng nhập Gmail, Zalo, Facebook riêng của nhân viên khi thấy còn mở trên máy công ty | Không được | Xâm phạm bí mật thư tín, đời tư |
| Cài phần mềm ghi lại thao tác, chụp màn hình máy riêng của nhân viên mà không báo | Không được | Thu thập dữ liệu cá nhân trái phép |
| Thu điện thoại riêng để xem tin nhắn với khách | Không được | Tài sản và thông tin riêng của người lao động |
Nếu việc kiểm tra cần thiết vì nghi có hành vi phạm pháp, con đường an toàn là bảo toàn dữ liệu trên hệ thống của công ty và báo cơ quan có thẩm quyền, không tự xâm nhập tài khoản riêng.
Điều kiện để việc kiểm tra email công việc đứng vững
Có chính sách bằng văn bản. Quy chế sử dụng hệ thống thông tin, email, thiết bị của công ty nói rõ: tài khoản thuộc về công ty, dùng cho công việc, có thể được kiểm tra trong những trường hợp nào, ai được kiểm tra. Nội dung liên quan trật tự, bảo vệ tài sản, bí mật kinh doanh nên đưa vào nội quy lao động.
Người lao động được biết trước. Phổ biến khi nhận việc, có xác nhận đã đọc. Kiểm tra theo một chính sách mà không ai từng được thông báo là điểm yếu lớn nhất khi có tranh chấp.
Mục đích cụ thể, phạm vi hẹp. Kiểm tra vì sự cố bảo mật, vì cần tiếp quản công việc, vì yêu cầu của cơ quan có thẩm quyền. Đọc tràn lan để “xem nhân viên nói gì về sếp” không phải mục đích chính đáng.
Giới hạn người xem và lưu vết. Chỉ người có thẩm quyền theo quy trình được truy cập, có ghi nhận ai xem, lúc nào, vì sao. Thông tin riêng lỡ thấy trong quá trình kiểm tra không được tiết lộ, không được dùng vào việc khác.
Xử lý dữ liệu cá nhân đúng luật. Email công việc vẫn chứa dữ liệu cá nhân của nhân viên và khách hàng. Doanh nghiệp cần có căn cứ xử lý, thông báo, biện pháp bảo vệ theo pháp luật về dữ liệu cá nhân hiện hành.
Nhóm chat công việc, máy tính công ty và điện thoại riêng
Nhiều doanh nghiệp nhỏ không có email nội bộ mà làm việc qua nhóm chat trên ứng dụng phổ biến, mỗi người dùng tài khoản cá nhân. Nội dung trong nhóm công việc thì các thành viên trong nhóm đều thấy, quản lý đương nhiên đọc được. Nhưng tin nhắn riêng giữa nhân viên với bạn bè, gia đình trên cùng tài khoản đó vẫn là thông tin riêng, công ty không có quyền xem.
Máy tính do công ty cấp là tài sản của công ty. Công ty được cài phần mềm quản trị, chống mã độc, sao lưu, và nếu có chính sách thông báo rõ, được giám sát việc sử dụng ở mức cần thiết. Nhân viên nên hiểu rằng máy công ty không phải nơi để lưu ảnh riêng hay đăng nhập tài khoản ngân hàng cá nhân.
Điện thoại riêng dùng cho công việc là vùng xám nhất. Nếu công ty muốn nhân viên dùng điện thoại riêng để liên lạc khách hàng, nên thỏa thuận rõ: dữ liệu khách hàng thuộc về công ty, khi nghỉ phải bàn giao, nhưng công ty không được truy cập phần riêng trong máy. Cách tốt hơn là cấp số điện thoại hoặc tài khoản công việc riêng để tách bạch ngay từ đầu.
Khi nhân viên nghỉ việc: tài khoản và thư còn lại
Khi một người nghỉ, công ty cần tiếp quản hộp thư công việc để không lỡ thư của khách hàng. Cách làm hợp lý: thông báo cho người nghỉ ngày khóa tài khoản, đề nghị họ tự chuyển thư riêng (nếu có) ra ngoài trước, sau đó đặt chuyển tiếp hoặc giao hộp thư cho người kế nhiệm trong một thời gian, rồi lưu trữ theo quy định.
Nếu trong hộp thư có thư riêng lẫn vào, người tiếp quản không đọc, không chia sẻ, và nếu cần thì liên hệ người cũ để họ nhận lại. Đặt trả lời tự động báo địa chỉ liên hệ mới cho khách là cách làm phổ biến và lịch sự.
Ngược lại, công ty không có quyền yêu cầu người nghỉ giao mật khẩu tài khoản mạng xã hội cá nhân, kể cả khi trước đây họ dùng tài khoản đó để bán hàng cho công ty. Danh sách khách hàng, lịch sử đơn hàng thuộc dữ liệu của công ty thì bàn giao theo thỏa thuận; tài khoản riêng vẫn là của người lao động. Đây là lý do nên tách tài khoản công việc từ đầu.
Doanh nghiệp: dựng chính sách sử dụng hệ thống thông tin
Với doanh nghiệp nhỏ, một chính sách hai trang là đủ, miễn là rõ và được phổ biến:
- Liệt kê công cụ thuộc công ty: email theo tên miền, tài khoản phần mềm, máy tính, điện thoại cấp, nhóm chat chính thức.
- Quy định mục đích sử dụng: cho công việc; dùng việc riêng ở mức nào thì chấp nhận.
- Nêu rõ các trường hợp công ty có thể kiểm tra, ai được quyền kiểm tra, quy trình phê duyệt, cách lưu vết.
- Nêu nghĩa vụ bảo mật của người kiểm tra với thông tin riêng lỡ thấy.
- Quy định việc bàn giao tài khoản, dữ liệu khi nghỉ việc.
- Phổ biến khi nhận việc, lấy xác nhận đã đọc; đưa phần liên quan vào nội quy lao động nếu cơ sở có từ 10 người trở lên.
- Rà lại theo pháp luật bảo vệ dữ liệu cá nhân hiện hành; với dữ liệu khách hàng nhiều, nên nhờ người làm nghề xem lại.
Chính sách tốt không chỉ để kiểm tra nhân viên; nó còn giúp nhân viên biết điều gì là an toàn để làm.
Người lao động: giữ ranh giới cho chính mình
Phần lớn rắc rối về quyền riêng tư ở chỗ làm có thể tránh từ đầu:
- Dùng email, tài khoản công ty cho công việc; việc riêng dùng tài khoản riêng trên thiết bị riêng.
- Đăng xuất tài khoản cá nhân khỏi máy công ty, không lưu mật khẩu riêng trên trình duyệt máy chung.
- Hỏi bộ phận nhân sự hoặc công nghệ thông tin về chính sách kiểm tra nếu chưa được phổ biến.
- Trước khi nghỉ việc, tự chuyển những thư riêng lỡ gửi qua email công ty ra ngoài; không mang theo dữ liệu khách hàng của công ty.
- Nếu phát hiện tài khoản riêng bị đăng nhập, tin nhắn riêng bị đọc hoặc phát tán, lưu bằng chứng, đổi mật khẩu, báo bằng văn bản cho công ty; nghiêm trọng thì phản ánh tới cơ quan có thẩm quyền về bảo vệ dữ liệu cá nhân hoặc cơ quan công an.
Giá trị chứng cứ của email, tin nhắn khi có tranh chấp là một câu chuyện khác; ở đây chỉ bàn chuyện có được đọc hay không.
Câu hỏi thường gặp
Công ty có được đọc email công việc của nhân viên không?
Được, trong khuôn khổ một chính sách đã thông báo trước, vì mục đích chính đáng như bảo mật, tiếp quản công việc, và giới hạn người xem. Đọc tràn lan ngoài mục đích hoặc tiết lộ thông tin riêng lỡ thấy thì không đúng.
Mở Zalo cá nhân trên máy công ty thì công ty có được xem không?
Không. Tài khoản cá nhân là của bạn, tin nhắn riêng thuộc bí mật thư tín được pháp luật bảo vệ, dù hiện trên máy của công ty. Bạn nên đăng xuất sau khi dùng để tránh rủi ro.
Nghỉ việc rồi công ty có được giữ hộp thư công việc của mình không?
Có. Hộp thư theo tên miền công ty là tài khoản của công ty, được giao người kế nhiệm hoặc lưu trữ. Thư riêng lẫn trong đó nên được bạn tự chuyển ra trước khi nghỉ; người tiếp quản không được đọc hay chia sẻ.
Công ty có được cài phần mềm theo dõi trên máy tính công ty không?
Phần mềm quản trị, bảo mật trên máy công ty là bình thường. Giám sát hoạt động người dùng thì cần chính sách thông báo rõ, mục đích chính đáng và tuân thủ pháp luật về dữ liệu cá nhân. Cài lên máy riêng của nhân viên mà không đồng ý là không được.
Công ty yêu cầu giao mật khẩu Facebook đã dùng bán hàng thì sao?
Tài khoản mạng xã hội cá nhân là của bạn. Dữ liệu khách hàng, đơn hàng thuộc về công ty thì bàn giao theo thỏa thuận, nhưng công ty không có quyền đòi mật khẩu tài khoản riêng. Từ đầu nên dùng trang hoặc tài khoản riêng cho công việc.
Quản lý đọc tin nhắn trong nhóm chat công việc có vi phạm gì không?
Không. Nhóm chat công việc lập ra để trao đổi công việc, mọi thành viên trong nhóm đều thấy nội dung. Chỉ tin nhắn riêng ngoài nhóm giữa bạn với người khác mới thuộc phạm vi riêng tư.