智仁原创民法典个人信息保护视角下企业

编者按

本文荣获

浙江中小企业法治论坛征文二等奖

摘要：伴随网络科技及技术的快速发展，个人信息不断刷新着其独有的经济效益价值，然而信息滥用和数据泄露的风险也日渐凸显。从Facebook的用户信息泄露到HM违规收集员工信息事件，如何保护个人信息成为了所有企业急需应对的难题。聚焦企业用工合规建设领域，员工个人数据的收集、使用、处理覆盖了招聘、入职、管理、离职等方方面面，一旦处理员工个人信息不当导致发生相关争议，企业将面临承担民事、刑事、行政责任等法律风险。本文将立足于我国最新立法动态，在《个人信息保护法（草案）》以及《民法典》相继出台的大背景下，结合相关案例从个人信息保护视角下探讨企业建设劳动用工合规体系的建设，并提出相关建议。

一、问题的提出

在国内外对于个人信息保护的监管日益加强、宣传力度加大以及用户纠纷逐渐增多的整体大环境下，部分企业尤其是互联网企业已经开始重视用户个人信息保护，完善隐私政策和用户数据的管理流程、机制。然而，相较于客户范围内的个人信息保护，企业内部的员工个人信息保护却未给予同等的重视。年10月1号，瑞典快销零售业巨头HM因违规收集员工信息及内部数据泄露事件，被德国汉堡的数据保护机构“数据保护及信息自由委员会”处以万欧元，折合约万美元的巨额罚款。罚款原因在于该公司严重侵犯了员工个人信息权利，包括对工作人员私人生活的记录、病情诊断情况、家庭情况以及宗教信仰情况。此次HM事件给予了企业充分警示：员工信息同样存在被泄漏的可能，企业被投诉或举报后同样需要承担相应责任。因此，企业应当如何合法合规处理个人信息，并将其纳入企业网络安全和数据合规体系建设，从而全面规范个人信息的收集、使用和提供等行为，即成为本文需要探讨的话题。

二、个人信息保护的内涵及立法现状

关于“个人信息的保护”，事实上我国当前法律体系中还并制定一部专门的《个人信息保护法》用于个人信息保护的规制。但年1月1日生效的《中华人民共和国民法典》首次从法典层面上初步确立了个人信息的保护制度，将其界定为人格权益。

根据《民法典》第条第2款的规定，个人信息的内涵包括以下几点：1）承载形式：电子或者其他方式记录的信息；2）识别方式：单独识别或者与其他信息结合进行识别；3）识别结果：特定自然人；从上述个人信息的内涵可知，法律实践中，“可识别性”是个人信息最核心及本质的特征。

在列举情形中，为相响应个人信息保护的实践需求，《民法典》将司法实践过程中热度较高、争议较大的几类信息均纳入了个人信息保护范畴，包括：生物识别信息，实践中如企业要求员工通过人脸识别、指纹等形式进行考勤打卡；行踪信息，如员工出差时的定位、运动轨迹等；健康信息，企业为核实员工病假的真实情况要求提供病假记录等等。

然而，相较于《个人信息保护法》当中对于“一般个人信息”“个人敏感信息”的区分和界定，《民法典》对于个人信息的定义任处于一刀切的概念，也就是说《民法典》事实上并未从个人信息的隐私或保密程度对其进行划分，实践中仍然需要《个人信息保护法》等个人信息具体配套制度的充盈。

三、企业合规体系建设中个人信息保护的风险点

(一)合规风险点识别

企业合规体系建设本质上是一个以数据为中心的收集、存储和成果输出的传输链条，要理解和判断其中的法律风险点，必须理解数据从流入到输出的全部情况，才能精准地予以风险防范和漏洞填补。对应于个人信息保护合规建设，企业应当首先对员工信息在企业流转过程做全面梳理，但值得注意的是，该流转过程不仅仅是于员工人事流转的简单对应。

如果我们对这两大过程的环节做简要描述，则：

员工个人信息流转环节：

员工人事流转环节：

从上述两表中，我们发现，信息的流转不仅仅局限于人事招聘环节，还贯穿了从入职、管理、离职等各个阶段，例如在“在职”管理阶段，企业可能为了管理、监管需要收集员工的其他信息，又如在疫情防护期间，员工的健康状况以及轨迹动态都需要向企业进行登记；离职后的竞业限制阶段，企业需要跟踪员工离职后的就业动态。由此可见，企业对员工个人信息的收集处于不断更新流转的状态，合规风险点体现在企业用工的全部环节中。

（二）合规风险点具体分析

1、招聘入职风险

我国《劳动合同法》第8条明确规定，企业拥有对与劳动合同直接相关的基本情况的知情权。然而，企业知情权与员工个人信息保护在企业日常用工管理实践中的冲突和碰撞不在少数。例如用人单位担心员工存在某些隐藏疾病要求员工入职前提交体检报告，为方便企业用工管理要求员工提供实际住址信息、家庭成员信息，为减少用工成本，询问女职工是否怀孕等等。但事实上，上述信息与劳动者履行劳动合同是否直接相关，无论在立法及理论届都未能有统一定论，一旦“过度”收集。即有侵犯员工个人隐私权、个人信息保护的风险。例如在李某于与中国邮储银行某分行侵权纠纷案中，李某配合邮储某分行完成三次入职体检后，因第一次的统一体检时被检测出“乙肝小三阳”。被取消实习与录用资格。后法院判决该分行违反法律规定，构成用工歧视并要求银行赔礼道歉。该案中企业即存在侵犯员工个人信息的情形。

2、背景调查风险

在用人单位招聘及日常管理中，背景调查是常见途径，劳动者是否诚实信用、能否胜任工作岗位、用人单位能够避免用工及经营风险，均要求对劳动者基本信息的真实性、岗位适配性、职业道德的可靠性、工作经历的可分割性等进行审查。具体到劳动者个人社会关系信息的调查，如：劳动者与亲属是否同时担任关键、敏感部门职务；劳动者与亲属是否任职于同一部门；劳动者与亲属存在领导与被领导关系的等等。京东曾于年3月向所有员工下发通知要求梳理亲属及社会关系，其理由为提升管理效率及建设更为透明、公平的职场环境。然而，本次通知并未对普通员工及高管进行区分，对普通员工而言，并不需要向企业告知这部分具有隐私性的社会关系信息内容，对企业高管而言，要求进行关系信息收集则在必要及合理的范围之内。因此，京东的行为无法比避免侵犯隐私的嫌疑。

3、日常人力资源管理风险

企业日常人力资源管理阶段最易发生员工个人信息的泄漏，其中社会争议较大的问题是考勤打卡以及病假管理过程中涉及的员工个人信息安全问题。

从考勤管理角度，相较以往，企业一般不再采用手工打卡方式对员工事实考勤，取而代之的是用指纹、人脸识别等方式，而通过此种方式进行考勤打卡，一旦因企业管理不善则极易发生员工敏感信息的泄漏。

从病假管理角度，由于我国新出台的几部法律法规中均明确了病例资料属于员工的个人隐私，同时法典对医疗机构保管患者病历资料提出了更高的要求，这意味着，医疗机构也将会加强对患者病历资料保密和管理的重视程度，这无疑增加了企业病假管理过程中合法取证的难度。

（1）考勤管理

用人单位在入职、考勤、签到等环节运用人脸识别技术的关键目的在于对员工身份的识别与核对。而对于人脸信息的采集、储存、传输和使用不可避免的会受到我国《网络安全法》、《信息安全技术个人信息安全规范》等法规的规制。同时，由于人脸信息还同时涉及自然人的生物特征和肖像，人脸识别信息在“人格权”领域也落入我国最新通过的《民法典》规定的范畴。

（2）病假管理

员工病假管理中，除提供病假证明外，用人单位为了避免员工“泡病假”往往会要求员工其他用以证明病情的相关凭证以核实病假的真实性。但根据《中华人民共和国基本医疗卫生与健康促进法》和国家卫计委印发的《人口健康信息管理办法（试行）》的相关规定，员工的个人病历应属于个人健康信息。这就意味着用人单位将有可能遇到员工提出病历资料属于个人信息的“健康信息”范畴，应当征得其本人的同意，同样员工以此为由拒绝提供病历资料。

4、员工设备调查风险

传统的纸质化、书面化的办公方式逐渐被各类虚拟办公软件所取代，常见的例如网络邮件、OA办公系统、钉钉