威诺资讯 | HR必看！张剑豪律师全方面解读《个人信息保护法》

在信息化时代，随着过度搜集个人信息、敏感个人信息被泄露等问题越来越常见，个人信息保护已成为大众最为关心且与生活联系最为密切的话题之一。而在2021年8月20日通过的《个人信息保护法》则为我们的个人信息安全上了一道法律的安全锁。对于用人单位来说，从劳动合同的协商订立到实际履行，均不可避免地会涉及到员工个人信息的收集和使用等。

2021年12月2日下午，北京威诺律师事务所资深商法律师张剑豪接受了乾通互联平台的诚邀将结合劳动用工过程中常见的个人信息收集和使用的情形，将对用人单位在用工过程中的信息合规进行提示和建议。

主讲人：张剑豪律师

一、什么是个人信息？

（1）《民法典》第1034条第2款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 ”

（2）《个人信息保护法》第4条第1款规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”

（3）《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释 》第1条规定：“ 刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”

（4）《个人信息保护法》第28条：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”

二、个人信息的主要特征

（1）主体只能是自然人；法人或者非法人组织的信息不属于《个人信息保护法》保护范畴。

（2）依附于特定的载体；个人信息须以电子或者其他方式记录。

（3）具有可识别性；即能够通过信息识别出该自然人的身份，匿名化处理后的信息因为无法识别，故而不属于《个人信息保护法》的保护范畴。

（4）具有法律保护价值。个人信息承载了自然人的个体特征以及各项权利，属于应当被保护的法益。

三、劳动者个人信息保护的重要意义

从求职者投递简历，到最终的离职，个人信息处理者（暨用人单位）均会处理涉及员工方方面面的个人信息，诸如：个人的姓名、民族、性别、宗教信仰、籍贯、住址、身份证号、电话号码、工资、银行账号、人脸/指纹等生物信息、身体状况、行踪轨迹、社保缴费信息、学历信息、履历信息，甚至是家庭成员信息等等。可以说，员工面对用人单位，是完全透明的、无所遁形的。

而用人单位和劳动者之间是不对等的隶属关系，用人单位基于对劳动者的管理权，天然可以获取（甚至是劳动者主动告知）个人信息。如果没有本法的规制，就很有可能存在侵犯员工个人信息，或者不当处理的风险，甚至，泄露个人信息导致人身安全受到严重影响。

本法保障了劳动者的如下权益：

第一，保护求职者和劳动者的平等就业权。对于工作无关的个人信息，劳动者有权拒绝提供；同时，也能规避用人单位对于特殊求职者的就业歧视、差别对待。

第二，保护劳动者的言论自由权。言论自由是宪法赋予公民的一项基本权利，但是现如今，用人单位对于员工的管理触角日益深入，员工日常休息与工作的界限逐渐模糊。有的用人单位甚至对员工在网络上的言论（比如微信朋友圈状态、微信步数等）都进行监控，本法的出台，能够一定程度上保障劳动者的言论自由。

第三，保护劳动者的隐私权。这是显而易见的效果，在此我不过多赘述。

可以说，本法的出台，从一定程度上扭转了劳动者与用人单位之间的不对等地位，个人信息的保护贯穿劳动用工的全过程、全阶段，对于用人单位是新的挑战。

四、用人单位处理个人信息时应当遵守的原则

用人单位招用劳动者时,有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明。《个人信息保护法》也明确了用人单位有权处理个人信息，但需要符合如下的情形之一：

    （1）取得劳动者个人同意；

    （2）订立劳动合同或者劳动者作为一方当事人的合同所必需，或者按照用人单位依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

    （3）为履行法定职责或者法定义务所必需；

    （4）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

    （5）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

    （6）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

    （7）法律、行政法规规定的其他情形。

    在第（2）项至第（7）项情形中，用人单位处理劳动者个人信息时，不需取得个人同意。

    个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

因此，处理个人信息的，应当遵循如下原则：

    （1）合法、正当、必要原则；

    这一原则也是《民法典》第1035条的规定，要求用人单位在处理员工个人信息时，要做到合法、合理、公正和透明，不得超出处理的正当目的，行为应当适当，不得超过必要的范围。

    （2）知情同意原则；

     这一原则要求用人单位在处理员工个人信息时，需要告知员工，在员工充分知情的前提下自愿、明确作出同意的意思表示，不能单方面擅自作出处理。

五、实践中常见的涉及个人信息保护的场景

（一）求职阶段，强制要求应聘者提供无犯罪记录证明、怀孕计划，或者体检报告等个人信息。

    求职阶段，用人单位欲获悉劳动者的婚育状况、健康信息、甚至是犯罪信息的情况非常普遍，过去有的单位做法比较粗暴，往往采取“一刀切”的方式，对求职者造成了就业歧视、性别歧视。

    2010 年，人社部、教育部、原卫生部等部门出台《关于进一步规范入学和就业体检项目维护乙肝表面抗原携带者入学和就业权利的通知》等文件，要求用人单位在招用工过程中，除了国家法律、行政法规和原卫生部规定禁止从事的工作外，不得强行将乙肝病毒血清学指标作为体检标准。

    2019年2月，人力资源社会保障部、教育部等九部门颁布了《关于进一步规范招聘行为促进妇女就业的通知》，明确规定：“不得询问妇女婚育情况，不得将妊娠测试作为入职体检项目，不得将限制生育作为录用条件。”

    因此，对于婚育状况、健康信息，司法实践中一般认为属于个人信息中的重要且敏感信息，用人单位在没有合法且正当目的的情况下，无权收集此类信息。即便是用人单位擅自进行询问，劳动者有权拒绝或者作出“虚假”陈述，且劳动者不会因此受到不利对待。

（二）劳动关系存续期间的的个人信息保护

1、单位要求员工采用人脸识别的方式考勤

    人脸识别属于生物识别，涉及个人敏感信息。过去，用人单位引入人脸识别门禁设备，强制要求员工进行人脸数据录入、出入刷脸。在《个人信息保护法》颁行之后就不得再强制要求员工进行人脸识别，用人单位应当提前说明使用个人敏感信息的目的、范围、安全储存及保管的方式，建议征得员工的书面同意。同时，要给予员工选择权，对拒绝者提供其他方式进行考勤打卡的一些替代措施。

2、在工作区域安装摄像头进行监控

    在工作区域这种特殊场所，劳动者需要承担更高的行为注意义务。在日常工作场所安装摄像头进行监控，可以在公司的财产权、劳动者的财产权和人身权的安保上发挥作用，预防和打击犯罪行为。基于此，公司安装摄像头的行为有其合理性。

    但是，摄像头监控的时间和空间范围必须要有严格的内控制度，公司在办公室 安装监控摄像头，安装区域是多人工作的公共场所，符合一般公司行使用人单位监管权的合理行为，法院是允许的。但是，如果在更衣室、宿舍，或者卫生间里安装摄像头，或者正对着劳动者的脸安装摄像头，那就绝对是侵犯劳动者的隐私权了。

3、员工的工作电脑、企业邮箱、企业微信等的监控

    上述监控统称为“电子监控”或者“网络监控”，用人单位普遍认为：上述电脑与软件系公司的资产，由员工工作使用，因此公司有权对工作电脑、企业邮箱、企业微信等软硬件进行监控。

    我国之前司法实践中也对电子监控采取宽松的态度，但是本法颁布后，用人单位再想监控员工的软硬件办公设备，就应当提出监看的正当理由，在合法合理的限度内进行查看，并且得到员工的同意。更不能再未经员工知情且同意的情况下，擅自在员工的软硬件办公设备中植入监控软件。

4、通报员工违纪，也有可能涉嫌侵犯员工的个人信息和隐私权

   日前，国美公司内部通报了一份处罚名单，详细列明了“上班摸鱼”员工的姓名、部门和时长。这一举措引起了网友热议，许多人纷纷认为国美公司涉嫌侵犯了员工的隐私权。

    从通报中可以看出，国美公司内部有劳动规章制度明令禁止员工从事与工作无关之事，在公司内部通报员工违纪行为，虽然不涉及侵犯员工个人隐私，但是之所以引起网友的吐槽，也说明大公司对于员工信息掌控非常之深、之广，通报里详细列举了一段时间内，不同员工使用APP的流量情况，连具体的APP名字都知道。

    本法颁布以后，对于有过错的员工进行处罚，建议平衡好“制度化”与“人性化”之间的关系，优化处理流程，根据错误的大小，采取不同的程度的措施。在整个过程中，也应当做好员工个人信息的保护，避免不必要的信息披露。

（三）劳动关系解除或者终止之后的个人信息保护

1、个人信息的保管、交接

    当劳动关系解除之后，用人单位也应当做好对于离职员工的个人信息保护，做到安全保管、不得泄露，更不得贩卖离职员工的个人信息，否则会有刑事风险，构成侵犯公民个人信息罪。

    《劳动合同法》第50条第3款规定：“用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。”许多地方的规定中也要求：“用人单位保存劳动考勤记录不得少于二年。”

    因此，对于法定的个人信息，应当做好归档保存。对于其他敏感信息，可以在办理离职交接时，在员工同意、见证的基础上进行删除、销毁、或者办理交接。

2、竞业限制的合理使用

    此外，有的员工离职之后，也依然受到与原用人单位签署的《保密及竞业限制协议》的约束，此时，用人单位有权了解劳动者的竞业限制义务履行信息。但是，过去实务中，有的用人单位擅自无限制地收集、调查劳动者的个人信息（比如行踪轨迹、社保信息、劳动关系信息等），就是为了证明劳动者实际上为竞争公司工作，但是，往往会侵犯劳动者的隐私，导致非法获取的证据不能作为认定案件事实的依据。

    因此，用人单位即使在调查取证时，也要注意合法的调查手段，明确调查的必要性和边界性，尽量委托专业人士进行。

六、对用人单位的合规建议

（一）制定内部管理制度和操作规程；

    1、建议在《员工手册》中新增对于员工个人信息管理的规范，或者设立专门的《员工个人信息处理管理制度》，并且更新考勤制度、休假制度、员工福利政策等涉及员工个人信息保护的内容，并定期向员工进行合规培训，并留下培训的相关证据、痕迹。

    2、对于请假的员工，如果是病假、婚假，在提交相关的证明材料时，用人单位不能多度收集信息，比如，提交医院的挂号记录、病假条，或者结婚照即可。不必须提交员工的诊断报告、病历本，或者结婚证等敏感信息。

（二）对个人信息实行分类管理；

    员工的个人信息做好分类、归档、留痕：

    1、招聘阶段，对于求职者提交的简历，应当争得求职者的同意，如果是线下提交的纸质材料，建议要求求职者签字确认。如果是线上提交的简历，也最好提前与求职者订立同意处理个人信息的条款，对于敏感信息，应当着重标明，并作出说明解释。

2、如果需要拿员工的身份证，或者使用员工的个人信息办理相应的业务，需要事前通知员工，并取得员工的授权。

（三）界定个人信息处理的不同操作权限

    在对个人信息进行分类的前提下，用人单位应当根据部门及岗位职责，设计不同的个人信息访问和处理权限，并制定完整的权限分配管理、权限认证、权限访问控制等制度。

（四）采取技术加密措施

    在处理员工个人信息时，采取严格的加密措施，设置一定的访问权限。此外，做好员工个人信息数据库的维护工作，对于个人信息及时更正，对于员工收回授权的信息及时删除。