Doanh nghiệp có được yêu cầu mật khẩu mạng xã hội cá nhân của người lao động không?

Khả năng doanh nghiệp yêu cầu mật khẩu mạng xã hội cá nhân

Trong quan hệ lao động, người sử dụng lao động có quyền tổ chức, điều hành, giám sát quá trình làm việc nhằm bảo đảm kỷ luật và hiệu quả sản xuất, kinh doanh. Tuy nhiên, quyền quản lý này không phải là quyền tuyệt đối, mà phải được thực hiện trong khuôn khổ pháp luật, tôn trọng danh dự, nhân phẩm, đời sống riêng tư và bí mật cá nhân của người lao động theo Hiến pháp 2013, Bộ luật Lao động 2019 và pháp luật về dữ liệu cá nhân. Mật khẩu mạng xã hội cá nhân là thông tin đặc biệt nhạy cảm vì cho phép truy cập vào toàn bộ giao tiếp, hình ảnh, quan hệ và hoạt động riêng tư của người lao động. Do đó, việc doanh nghiệp yêu cầu cung cấp mật khẩu mạng xã hội cá nhân không phải là một nghĩa vụ mặc nhiên của người lao động.

Căn cứ trực tiếp nhất hiện nay là Luật Bảo vệ dữ liệu cá nhân 2025 đang có hiệu lực từ ngày 01/01/2026. Theo luật này, dữ liệu cá nhân phải được xử lý đúng mục đích, đúng phạm vi, có cơ sở pháp lý rõ ràng và phải bảo đảm quyền của chủ thể dữ liệu. Mật khẩu, thông tin đăng nhập, dữ liệu sử dụng mạng xã hội và dữ liệu liên quan đến hành vi trên không gian mạng thuộc nhóm thông tin được pháp luật bảo vệ nghiêm ngặt; việc thu thập chỉ được thực hiện khi có căn cứ hợp pháp và không vượt quá phạm vi cần thiết. Vì vậy, một yêu cầu mang tính chung chung của doanh nghiệp buộc người lao động phải nộp mật khẩu Facebook, Zalo, Instagram hoặc các tài khoản cá nhân khác là không phù hợp với nguyên tắc bảo vệ dữ liệu cá nhân.

Trong bối cảnh pháp luật lao động, người sử dụng lao động chỉ được yêu cầu người lao động cung cấp thông tin phục vụ tuyển dụng, quản lý và thực hiện hợp đồng khi thông tin đó thực sự cần thiết, có liên quan trực tiếp đến công việc và được thông báo rõ mục đích sử dụng. Mật khẩu mạng xã hội cá nhân không đáp ứng tiêu chí đó trong đa số trường hợp, vì doanh nghiệp có thể sử dụng các biện pháp ít xâm lấn hơn như kiểm tra thiết bị công vụ, đánh giá nội dung công khai, hoặc ban hành quy tắc ứng xử đối với việc sử dụng mạng xã hội trong giờ làm việc. Khi vượt quá giới hạn này, yêu cầu cung cấp mật khẩu có dấu hiệu xâm phạm quyền riêng tư và quyền bất khả xâm phạm đối với bí mật cá nhân của người lao động.

Cơ sở pháp lý hiện hành cho quyền từ chối của người lao động

Pháp luật Việt Nam hiện hành bảo vệ quyền riêng tư của cá nhân theo hướng thống nhất. Theo Hiến pháp 2013, đời sống riêng tư, bí mật cá nhân, bí mật gia đình và thư tín, điện thoại, điện tín và các hình thức trao đổi thông tin riêng tư khác được bảo đảm an toàn, bí mật. Theo Bộ luật Dân sự 2015, quyền đối với đời sống riêng tư, bí mật cá nhân, bí mật gia đình được tôn trọng và bảo vệ; việc thu thập, lưu giữ, sử dụng, công khai thông tin liên quan đến đời sống riêng tư phải được người đó đồng ý, trừ trường hợp luật có quy định khác. Khi áp dụng vào môi trường lao động, nguyên tắc này dẫn tới kết luận rằng người lao động có quyền từ chối cung cấp mật khẩu mạng xã hội cá nhân nếu doanh nghiệp không chứng minh được căn cứ pháp lý cụ thể.

Theo Bộ luật Lao động 2019, người sử dụng lao động có quyền quản lý, điều hành và giám sát lao động, nhưng phải xây dựng nội quy, quy chế và tổ chức thực hiện trên cơ sở hợp pháp, công khai, minh bạch. Không có quy định nào trong Bộ luật Lao động 2019 trao cho doanh nghiệp quyền đương nhiên yêu cầu mật khẩu tài khoản cá nhân của người lao động. Trái lại, khi một điều khoản trong nội quy lao động hoặc thỏa thuận lao động buộc người lao động giao nộp mật khẩu mạng xã hội cá nhân, điều khoản đó có nguy cơ bị coi là trái luật do hạn chế quá mức quyền nhân thân và quyền bảo vệ dữ liệu cá nhân của người lao động. Người lao động, vì vậy, có cơ sở pháp lý rõ ràng để từ chối.

Trường hợp doanh nghiệp cần xác minh việc sử dụng phương tiện truyền thông xã hội có liên quan đến hành vi vi phạm nội quy, pháp luật hoặc nghĩa vụ bảo mật, doanh nghiệp vẫn không được mặc nhiên yêu cầu mật khẩu. Giải pháp hợp pháp phải là yêu cầu xuất trình thông tin cần thiết theo phạm vi hợp lý, sử dụng dữ liệu công khai, hoặc thu thập dữ liệu từ thiết bị, hệ thống thuộc sở hữu doanh nghiệp nếu đã có quy định nội bộ hợp lệ và đáp ứng đầy đủ điều kiện pháp luật. Yếu tố quyết định không nằm ở “quyền kiểm soát” chung chung của doanh nghiệp, mà nằm ở tính cần thiết, tương xứng và hợp pháp của biện pháp thu thập dữ liệu.

Khi nào người lao động phải cung cấp thông tin liên quan đến mạng xã hội?

Người lao động chỉ phải cung cấp thông tin khi có căn cứ pháp luật cụ thể hoặc khi họ tự nguyện đồng ý sau khi đã được thông báo đầy đủ về mục đích, phạm vi và cách sử dụng dữ liệu. Trên thực tế, doanh nghiệp có thể yêu cầu người lao động cung cấp tài khoản công khai phục vụ hoạt động truyền thông của công ty, ví dụ tài khoản dùng để quản trị fanpage, chạy quảng cáo hoặc đại diện doanh nghiệp giao tiếp với khách hàng. Trong trường hợp này, đối tượng quản lý không còn là “mật khẩu mạng xã hội cá nhân” thuần túy, mà là thông tin xác thực phục vụ công việc trên hệ thống thuộc phạm vi phân công lao động. Dù vậy, doanh nghiệp vẫn phải thiết lập cơ chế bàn giao tài khoản, phân quyền và bảo mật thay vì buộc giao mật khẩu cá nhân.

Đối với tài khoản cá nhân, người lao động chỉ phải cung cấp khi có lệnh, quyết định hoặc yêu cầu từ cơ quan có thẩm quyền theo đúng trình tự pháp luật, hoặc khi có nghĩa vụ khác được luật chuyên ngành quy định rõ. Ngoài các trường hợp này, việc ép buộc giao mật khẩu, ép đăng nhập trước mặt quản lý, hoặc yêu cầu “xác minh” tài khoản cá nhân là trái với nguyên tắc tối thiểu hóa dữ liệu và nguyên tắc tôn trọng quyền riêng tư. Nếu người lao động tự nguyện chia sẻ nội dung mạng xã hội của mình để bảo vệ danh dự, giải trình một sự việc hoặc phục vụ xử lý tranh chấp, sự tự nguyện đó vẫn phải rõ ràng, không bị coi là điều kiện bắt buộc để tiếp tục làm việc.

Rủi ro pháp lý cho doanh nghiệp khi yêu cầu mật khẩu

Việc yêu cầu mật khẩu mạng xã hội cá nhân có thể làm phát sinh nhiều rủi ro pháp lý đồng thời. Thứ nhất, doanh nghiệp có thể bị xem là xâm phạm quyền riêng tư và bí mật cá nhân của người lao động. Thứ hai, nếu thu thập, lưu giữ hoặc khai thác dữ liệu cá nhân mà không có cơ sở hợp pháp, doanh nghiệp có nguy cơ vi phạm pháp luật về bảo vệ dữ liệu cá nhân và phải chịu chế tài tương ứng theo quy định hiện hành. Thứ ba, nếu việc thu thập mật khẩu đi kèm hành vi gây sức ép, phân biệt đối xử hoặc dùng làm điều kiện tuyển dụng, duy trì việc làm, doanh nghiệp còn đối mặt với tranh chấp lao động và yêu cầu bồi thường thiệt hại.

Rủi ro còn nằm ở khía cạnh an toàn thông tin. Mật khẩu là chìa khóa truy cập vào hệ thống cá nhân, nên việc một bộ phận trong doanh nghiệp nắm giữ mật khẩu có thể dẫn đến truy cập trái phép, thay đổi dữ liệu, lạm dụng hình ảnh hoặc phát tán thông tin riêng tư. Hành vi này không chỉ gây thiệt hại cho người lao động mà còn làm phát sinh trách nhiệm của doanh nghiệp đối với bảo mật, quản trị nội bộ và xử lý dữ liệu. Do đó, từ góc độ quản trị tuân thủ, chính sách yêu cầu mật khẩu cá nhân là một biện pháp rủi ro cao và không tương xứng với lợi ích đạt được.

Hướng xử lý phù hợp khi doanh nghiệp cần kiểm tra hành vi trên mạng xã hội

Doanh nghiệp nên xây dựng quy chế sử dụng mạng xã hội và quy tắc ứng xử nội bộ theo hướng ngăn ngừa xung đột lợi ích, bảo vệ bí mật kinh doanh, hình ảnh thương hiệu và dữ liệu của khách hàng. Quy chế cần xác định rõ hành vi bị cấm, chẳng hạn sử dụng mạng xã hội để tiết lộ bí mật công nghệ, xúc phạm đồng nghiệp, phát tán thông tin nội bộ hoặc mạo danh doanh nghiệp. Trọng tâm quản lý nên đặt vào hành vi và hậu quả pháp lý của hành vi, không phải vào việc thu giữ mật khẩu cá nhân. Cách tiếp cận này vừa phù hợp với pháp luật vừa giảm nguy cơ xâm phạm quyền nhân thân.

Khi xuất hiện dấu hiệu vi phạm, doanh nghiệp có thể yêu cầu người lao động giải trình, bảo lưu chứng cứ công khai, đối chiếu thời gian sử dụng thiết bị công vụ hoặc thu thập dữ liệu từ hệ thống thuộc quyền quản lý hợp pháp của doanh nghiệp. Nếu nội dung cần xác minh nằm trên tài khoản cá nhân ở chế độ riêng tư, doanh nghiệp chỉ được tiếp cận khi có sự đồng ý hợp lệ của người lao động hoặc cơ sở pháp luật cụ thể. Mọi biện pháp kiểm tra phải được thực hiện trên nguyên tắc cần thiết, tương xứng, minh bạch và không vượt quá phạm vi xử lý dữ liệu được phép.

Kết luận

Người lao động không có nghĩa vụ mặc nhiên phải cung cấp mật khẩu mạng xã hội cá nhân cho doanh nghiệp. Trong pháp luật Việt Nam hiện hành, yêu cầu này nhìn chung không có căn cứ pháp lý trực tiếp, dễ xâm phạm quyền riêng tư và quyền bảo vệ dữ liệu cá nhân của người lao động. Doanh nghiệp chỉ có thể yêu cầu thông tin trong phạm vi cần thiết, có mục đích rõ ràng và dựa trên cơ sở pháp luật hợp lệ; còn mật khẩu tài khoản cá nhân phải được xem là vùng thông tin riêng tư được bảo vệ nghiêm ngặt. Cách tiếp cận đúng là quản lý hành vi lao động, không quản lý đời sống số cá nhân ngoài phạm vi công việc.

Tài liệu tham khảo

• Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam năm 2013.
• Bộ luật Dân sự năm 2015.
• Bộ luật Lao động năm 2019.
• Luật Bảo vệ dữ liệu cá nhân năm 2025.
• Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều của Luật Bảo vệ dữ liệu cá nhân.
• Luật An ninh mạng năm 2018.