Quyền riêng tư tại nơi làm việc: Ranh giới mỏng giữa quản trị rủi ro và Tôn trọng nhân phẩm

 

Quyền riêng tư tại nơi làm việc: Ranh giới mỏng giữa quản trị rủi ro và Tôn trọng nhân phẩm

(Luật sư Nguyễn Hữu Phước - Phó Chủ tịch VNHR)

Trong nhiều năm qua, quyền riêng tư tại nơi làm việc không còn là chủ đề mang tính học thuật mà đã trở thành một thách thức quản trị cốt lõi đối với doanh nghiệp (DN). Khi ranh giới giữa đời sống cá nhân và đời sống nghề nghiệp bị xóa nhạt trong môi trường số hoá, câu hỏi không còn là “DN có được giám sát hay không”, mà là “DN có thể giám sát đến đâu thì vẫn hợp pháp, hợp lý và hợp đạo lý”. Chính sự dịch chuyển này đang tạo áp lực lên bộ phận pháp chế, nhân sự và quản lý cấp cao trong việc thiết kế lại chính sách nội bộ sao cho vừa tuân thủ pháp luật, vừa duy trì hiệu quả vận hành và bảo đảm văn hóa tôn trọng nhân phẩm của người lao động (NLĐ).

Nếu trước đây, quyền riêng tư tại nơi làm việc được hiểu ở mức độ hạn chế như DN không được tự ý mở thư tay hoặc xâm phạm thông tin cá nhân không liên quan công việc thì nay phạm vi quyền này được mở rộng do sự xuất hiện của email công việc, điện thoại do DN cấp, camera AI, hệ thống chấm công sinh trắc học, phần mềm giám sát năng suất, định vị GPS và các nền tảng quản trị dữ liệu. Trong bối cảnh pháp luật có nhiều thay đổi như Luật Bảo vệ dữ liệu cá nhân, Bộ luật Lao động, Luật An ninh mạng, DN cần xem lại cách thức thu thập, xử lý và sử dụng dữ liệu của NLĐ để tránh rủi ro pháp lý và tranh chấp.

Đầu tiên, quyền riêng tư tại nơi làm việc không phải là tuyệt đối. Pháp luật thừa nhận DN có quyền tổ chức giám sát hợp lý nhằm bảo đảm an toàn thông tin, chống thất thoát tài sản, bảo vệ bí mật kinh doanh và duy trì kỷ luật nhưng quyền này phải được thực hiện trên nền tảng pháp luật và nguyên tắc chỉ được thực hiện trong phạm vi cần thiết, phù hợp với mục đích công việc và không gây ảnh hưởng bất hợp lý đến nhân phẩm NLĐ. Do đó, bài toán đặt ra không phải là “giám sát hay không”, mà là “giám sát như thế nào để không xâm phạm quyền riêng tư”.

Một vấn đề gây tranh luận là việc sử dụng camera giám sát có gắn trí tuệ nhân tạo. Bản thân camera không bị pháp luật cấm, nhưng việc bố trí nó tại các khu vực riêng tư như nhà vệ sinh, phòng thay đồ hay các khu vực có tính chất riêng tư cao đều bị xem là vi phạm nghiêm trọng. Ngoài phạm vi vật lý, phần mềm giám sát hành vi trên máy tính như theo dõi email, nhật ký truy cập web hoặc đo lường hiệu suất bằng AI cũng có thể gây rủi ro pháp lý nếu DN không báo trước, không có quy chế rõ ràng hoặc thu thập dữ liệu vượt quá mục đích cần thiết. Việc thu thập dữ liệu âm thầm, thiếu minh bạch thường khiến bằng chứng thu thập được không được sử dụng trước tòa, thậm chí còn gây tác dụng ngược khi NLĐ cáo buộc DN vi phạm quyền riêng tư.

Email công việc là một ví dụ về ranh giới mờ. Email mang tên miền DN về nguyên tắc thuộc quyền quản lý của DN. Do đó, DN không bị cấm kiểm tra email công việc nhằm bảo mật hệ thống hoặc điều tra dấu hiệu vi phạm nội quy lao động (NQLĐ). Tuy nhiên, tính hợp pháp phải đi kèm điều kiện là chính sách phải được đưa vào NQLĐ, NLĐ phải được thông báo trước và mục đích kiểm tra phải liên quan đến công việc. Ngược lại, nếu DN sử dụng email công việc để soi mói đời sống cá nhân hoặc theo dõi thông tin không liên quan đến nhiệm vụ, hành vi đó vừa trái pháp luật, vừa phá vỡ niềm tin, vốn là nền tảng của văn hóa DN.

Ngay cả thiết bị do DN cấp như điện thoại, laptop, sim điện thoại, quyền riêng tư vẫn tồn tại ở một mức độ nhất định. DN có thể yêu cầu NLĐ ký thỏa thuận chấp nhận giám sát và giới hạn sử dụng, nhưng các dữ liệu đặc biệt nhạy cảm như sức khỏe, vị trí, sinh trắc học vẫn phải được bảo vệ theo quy định. Đây là điểm khiến DN gặp khó, vì thói quen quản trị cũ xem thiết bị là tài sản của DN, nên DN có thể xem mọi thứ. Quan điểm này không còn phù hợp trong kỷ nguyên dữ liệu cá nhân được xem là tài sản riêng tư. Sự thay đổi nhận thức này buộc DN phải chuyên nghiệp hơn trong quy trình thu thập và xử lý dữ liệu.

Ở góc độ quản trị, quyền riêng tư tại nơi làm việc không chỉ liên quan đến pháp lý mà còn tác động mạnh đến lòng tin nội bộ. Mỗi biện pháp giám sát, dù hợp pháp, đều để lại “dấu vết tâm lý”. Khi NLĐ cảm thấy bị theo dõi quá mức, hiệu suất công việc có thể giảm, sáng tạo bị kìm hãm và môi trường làm việc trở nên thiếu cởi mở, nhưng DN thường không nhận ra những chi phí vô hình này. Ngược lại, một chính sách minh bạch, rõ ràng, thể hiện sự tôn trọng quyền riêng tư có thể giúp củng cố niềm tin, tăng gắn kết và giảm tranh chấp phát sinh từ hiểu lầm.

Từ góc độ thực tiễn, nhiều DN thực hiện giám sát chỉ vì “mọi người đều làm thế”. Tuy nhiên, phương pháp cắt dán này thường dẫn đến việc áp dụng các biện pháp quá mức. Một DN vừa và nhỏ không nhất thiết phải áp dụng hệ thống giám sát chặt chẽ như một ngân hàng hoặc DN công nghệ sở hữu dữ liệu khách hàng nhạy cảm. Một DN sản xuất quy mô lớn có thể cần camera để ngăn chặn thất thoát vật tư, nhưng không cần giám sát từng click chuột trên máy tính của NLĐ trong văn phòng. Điều quan trọng không phải là “giám sát nhiều hay ít”, mà là “giám sát đúng rủi ro”.

Theo Bộ luật Lao động, NQLĐ phải mô tả rõ hành vi vi phạm, hình thức xử lý kỷ luật tương ứng và được đăng ký với cơ quan có thẩm quyền. Vì vậy, nếu DN muốn sử dụng dữ liệu từ camera, email, nhật ký truy cập hệ thống hoặc bất kỳ biện pháp giám sát nào làm căn cứ xử lý kỷ luật, thì các căn cứ này phải được nêu trong NQLĐ để NLĐ hiểu phạm vi hành vi có thể bị kiểm tra và quy trình giám sát được áp dụng. Khi NQLĐ không nêu rõ căn cứ xử lý hoặc quy trình tương ứng, bằng chứng thu thập được dễ bị tòa bác vì thiếu minh bạch hoặc vi phạm thủ tục.

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực và đặt ra nghĩa vụ chặt chẽ hơn đối với hoạt động xử lý dữ liệu tại doanh nghiệp. Luật yêu cầu DN phải thông báo đầy đủ cho NLĐ về mục đích xử lý, phạm vi dữ liệu được thu thập, thời hạn lưu trữ, biện pháp bảo mật, quyền yêu cầu truy cập, chỉnh sửa, xóa dữ liệu, và danh sách bên thứ ba được chia sẻ dữ liệu (nếu có). Với dữ liệu nhạy cảm như sinh trắc học, định vị, sức khỏe hoặc thông tin nhận dạng, DN phải thực hiện đánh giá tác động đến việc xử lý dữ liệu và có biện pháp bảo mật phù hợp với mức độ rủi ro.

Một chủ đề ngày càng phức tạp là giám sát bằng dữ liệu sinh trắc học. Chấm công bằng vân tay, nhận diện khuôn mặt hay quét mống mắt đòi hỏi DN có lý do chính đáng và cam kết bảo mật cao. Rủi ro bị xem là vi phạm quyền riêng tư sẽ tăng mạnh nếu DN không có biện pháp bảo mật tương ứng, hoặc lưu trữ dữ liệu ở bên thứ ba mà không đảm bảo hợp đồng xử lý dữ liệu. Sự nhạy cảm của dữ liệu sinh trắc học nằm ở chỗ nó không thể thay đổi như mật khẩu. Do đó, cơ quan quản lý có xu hướng giám sát chặt chẽ hơn các DN sử dụng loại dữ liệu đặc biệt này.

Cùng với pháp lý, DN cần quan tâm đến tác động quản trị trong dài hạn. Một chính sách quyền riêng tư bài bản chính là cơ hội để DN chứng minh năng lực quản trị rủi ro. Nhiều DN đa quốc gia xem bảo vệ dữ liệu cá nhân là một phần trong chiến lược ESG, trong đó trụ cột “G – Governance” nhấn mạnh tính minh bạch, liêm chính và kiểm soát nội bộ.

Tuy nhiên, điều DN cần lưu ý nhất không phải là mua thêm camera, áp dụng thêm phần mềm theo dõi hay triển khai thêm các lớp kiểm soát mà là thiết kế một hệ thống quyền riêng tư dựa trên nguyên tắc minh bạch, cân bằng và giới hạn. Minh bạch nghĩa là mọi biện pháp giám sát đều được thông báo rõ ràng, dễ hiểu và phù hợp với từng nhóm nhân sự. Cân bằng nghĩa là DN chỉ áp dụng mức độ giám sát tương xứng với rủi ro thực tế của công việc. Giới hạn nghĩa là dữ liệu cá nhân chỉ được thu thập trong phạm vi tối thiểu cần thiết và chỉ được sử dụng đúng mục đích đã nêu.

Thực tiễn xử lý khiếu nại lao động cho thấy phần lớn tranh chấp về quyền riêng tư phát sinh từ sự thiếu rõ ràng của NQLĐ, chính sách không đầy đủ, NLĐ không được thông báo, và quản lý trung gian tự ý áp dụng các biện pháp giám sát không có căn cứ pháp lý. DN muốn tránh rủi ro cần ban hành chính sách quyền riêng tư tại nơi làm việc dưới dạng tài liệu chính thức, được đào tạo định kỳ cho cấp quản lý và có cơ chế giám sát việc tuân thủ. Trong  vụ việc có dấu hiệu vi phạm NQLĐ hoặc pháp luật, DN phải thu thập dữ liệu đúng quy trình, tránh lạm dụng các biện pháp xâm lấn như sao chép điện thoại cá nhân, xem tin nhắn riêng tư hoặc yêu cầu NLĐ cung cấp mật khẩu tài khoản cá nhân.

Cuối cùng, quyền riêng tư tại nơi làm việc không chỉ là yêu cầu pháp lý mà còn là một tiêu chuẩn đạo đức. NLĐ ngày càng kỳ vọng cao hơn vào việc được tôn trọng trong môi trường làm việc. Một DN xem trọng quyền riêng tư không chỉ tránh được tranh chấp mà còn tạo dựng niềm tin, thu hút nhân tài và xây dựng hình ảnh của DN. Ngược lại, DN nào xem giám sát là vũ khí phòng thủ dễ rơi vào vòng xoáy đối đầu, thiếu hợp tác và mất đi sức mạnh trong quản trị nhân sự.

Quyền riêng tư tại nơi làm việc, vì vậy, là bài toán kép: vừa tuân thủ pháp luật, vừa quản trị lòng tin. DN nào giải được bài toán này sẽ có lợi thế trong kinh doanh. Và trong tất cả các cuộc thảo luận về dữ liệu, công nghệ và an ninh nội bộ, điều không bao giờ thay đổi chính là cốt lõi nhân văn: tôn trọng nhân phẩm vẫn phải là điểm xuất phát và điểm kết thúc của mọi chính sách trong DN.

Bài viết này của tôi được viết dựa trên những kiến thức pháp luật mà tôi đã học, cũng như kinh nghiệm chuyên môn trong nhiều năm qua. Nếu bạn thấy những thông tin chia sẻ của tôi ở trên là hữu ích, xin hãy ủng hộ tôi bằng một cú click chuột vào website này nhé : www.phuoc-partner.com. Cảm ơn bạn rất nhiều.