企业如何合规使用劳动者个人信息

 引言 

随着全国人大常委会完成第三次审议，《中华人民共和国个人信息保护法》（以下简称《个保法》）正式出台。这是中国第一部专门规范个人信息保护的法律，对我国公民的个人信息权益保护以及各组织的数据隐私合规实践都将产生直接和深远的影响。而对劳动者的个人信息保护，除了具有个人信息保护的一般价值外，还有助于实现劳动者或求职者的平等权、言论自由权以及工作中的权利等。但是在适用时应充分考虑企业合法利益与劳动者个人信息权利之间的冲突和协调，并根据具体场景，对企业信息处理行为是否合法及其边界作出判断。在一般的个人信息处理场景，信息处理者和信息主体的法律关系相对简单，例如，在消费领域，作为消费者相对方的企业或个人获取信息主要围绕消费行为的完成而展开，信息处理的边界和方式较易确定。在劳动关系领域，企业基于劳动关系处理信息的目的、范围和方式具有较大弹性，企业利益和劳动者权利衡量十分重要。这就要求我们从劳动关系的本质和具体场景出发，认定企业是否存在信息处理的正当利益，并与劳动者隐私和个人信息权利受到侵扰程度进行比较和权衡，从而判断企业的个人信息处理行为是否具有合法目的。正如《个保法》在《二审稿》基础上增加了一项无需取得个人同意的个人信息处理法定情形：“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”（第十三条）。该规定为企业在劳动管理之中涉及的员工个人信息收集提供了例外的安排。企业管理权对劳动者个人信息权构成制衡，但企业对劳动者个人信息的收集亦不能超过合理的限度。

 劳动者个人信息保护的独特价值 

个人信息保护的主要价值在于保护信息主体的人格尊严和自由。劳动者个人信息保护除了个人信息保护的一般价值之外，还具有其独特价值。这种独特价值主要体现在对隐私和个人信息的保护有助于保护劳动者（包括求职者）的平等权、言论自由权和工作中的权利等其他权利。

第一，保护求职者和劳动者的平等权。平等就业权是公民的一项基本权利。在求职阶段，企业往往要求求职者提供各种信息或者主动收集信息，并在一定程度上基于收集的信息做出是否录用的决定。随着技术的发展，企业除了传统上要求求职者提供个人信息之外，还可以通过网络手段收集到求职者信息，甚至包括通过第三方对求职者实施背景调查等。大量信息可能与工作有关，也可能与工作无关，如果不对企业的信息处理行为进行规制，企业可能基于法律禁止的理由或者其他不合理的理由拒绝求职者的申请，从而损害求职者的就业平等权。

第二，保护劳动者的言论自由权。随着网络通信技术的发展，社交媒体越来越流行。同时，越来越多的企业对劳动者的言论尤其是在网络上的言论进行监控。言论自由是公民的一项基本权利，也是劳动者的一项基本权利。如果放任企业对劳动者的言论尤其是社交媒体言论信息的处理，企业就可能基于劳动者或求职者的言论做出对其不利的决定，包括解雇，劳动者的言论自由权可能受到极大限制。

第三，保护劳动者工作中的权利。对劳动者隐私和个人信息的不当侵入可能损害劳动者工作中的权利，包括影响劳动者的工作表现、人格尊严和身心健康。对劳动者隐私和个人信息的不当处理，比如实时监控和实时定位，可能抑制劳动者的创新和潜能，影响劳动者的工作效率和工作表现，甚至可能造成劳动者的紧张和忧虑，限制其行为自由，从而损害劳动者的人格尊严和身心健康。

第四，矫正劳动关系中劳动者的不利地位。在职场，如果劳动者对企业个人信息政策或者做法有异议，其选择权受到很大限制，难以像消费者选择商家一样，自由选择企业，往往只能接受企业的不当做法。此外，当劳动者个人信息遭到侵害时，虽然其可以寻求救济，但由于企业和劳动者存在持续性的合作关系，劳动者往往担心企业对其采取不利措施而不敢或不愿向企业提起诉讼。

 企业对劳动者个人信息收集 

 的正当性 

《个保法》第十三条中规定的无需取得个人同意的个人信息处理的情形：“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”体现了企业基于管理权在必要的范围内收集使用劳动者个人信息有其正当性。

第一，从企业角度出发，个人信息收集有利于优化企业管理，提高工作效率。招聘阶段，了解求职者基本信息是找到合适劳动者的前提；工作过程中，对劳动者行动信息的分析处理有助于保护其人身安全，维护企业设施和保障工作环境安全，降低企业生产经营风险。智能化监控手段可帮助企业了解劳动者行为，防止劳动者滥用工作设备和浪费工作时间，保护公司财产、提高生产效率。此外，企业可利用智能手段对劳动者历史数据和日常表现进行分析，更加准确地进行工作评估，优化人力资源管理方式。

第二，从劳动者角度出发，让渡部分个人信息有利于保护身体健康，防范工作安全风险。我国劳动法规定，企业对劳动者的健康安全负有保障义务。为履行此义务，企业有必要在一定范围内收集劳动者的健康、生物数据，预防工作过程中的潜在健康风险。针对高危作业人群，企业可利用可穿戴设备实时收集、分析劳动者的身体行动信息，据此做出个性化风险提示，降低安全隐患，保证劳动安全。

第三，从公共角度出发，劳动者将部分个人信息公之于众，有助于保障公共安全，维护公共利益。不同行业对劳动者信息披露程度要求不同，涉及公共利益的行业要求从业者披露更多的个人信息。如食品加工行业，无传染病是从业者应具备的基本条件，否则可能会影响食用者的健康。为维护公共健康安全，食品加工从业者有必要公开一定的健康信息。在航空运输行业中，飞行员若在执行飞行时突发疾病，可能会将数百人的生命置于危险当中。为避免此种情况，企业应被允许在一定范围内收集飞行员的基因信息，检测是否携带不适合做飞行员的遗传疾病基因，比如高血压、亨廷顿舞蹈症等，从而降低因飞行员健康问题导致飞机失事的风险。当公共安全利益高于主体的个人信息利益时，劳动者有必要让渡部分个人信息以换取公共安全。

 企业如何合规保护劳动者个人信息 

虽然立法肯定了企业在对于劳动者个人信息的收集和使用中具有一定的正当性，但是这种正当性是有限制的，因此在《个保法》已经出台的背景下企业需要尽快建立起劳动者个人信息保护体系以达到合规经营的目的。

第一，收集前需要限制信息收集范围并达成劳资合意。企业应根据劳动者个人信息与劳动内容的关联性明确企业针对劳动者个人信息知情权的具体范畴。第一类是与劳动者工作能力密切相关，对企业是否会聘用劳动者起到决定性作用的信息，比如学历状况、工作经验、所学专业、过往项目经历等。此类信息是企业决定是否雇佣应聘者的基础，在企业的知情权范围内；第二类是与工作有间接关联，能够影响劳动合同履行、劳动者工作表现的个人信息，比如个人健康状况、社会关系等。此类信息是否能被企业所知悉可根据不同的行业领域和工作属性等做出个案判定；第三类是与工作无关的私密信息，比如家庭成员信息、社交媒体账号等。此类信息在劳动者的隐私合理期待范围内，企业不能以管理之名肆意收集上述信息，因此企业需要在收集以上信息时经过劳动者书面授权同意。

第二，收集后企业应建立相应制度和管理体系防止信息泄露。企业收集劳动者个人信息后，应当承担起保护信息安全、保障信息不被侵犯的义务。一方面，企业应当做出积极的行动保护劳动者个人信息安全；另一方面，对劳动者的信息利用应基于明确正当的目的，避免对信息的不合理使用。企业作为信息的收集者、利用者和保管者，需承担起一系列安保义务防止信息泄露。面对技术进步给个人信息保护带来的新挑战，保障个人信息安全的方法也应不断更新升级。比如利用隐私增强技术，如编码、加密、假名和匿名、防火墙、匿名通讯技术等措施，减少劳动者信息被黑客窃取或非法利用的风险。必要时可在企业内部设立专门的数据保护岗位，对企业日常数据信息的收集、处分和开发进行合规审查和监督。

第三，企业要防止对劳动者信息的不合理利用。我国《个保法》规定处理个人信息应明示处理信息的目的、方式和范围，即个人信息处理应基于特定的目的，该目的是具体的、明确的、正当的，且对个人信息的处理不应逾越初始目的。企业利用劳动者个人信息的目的是方便企业管理、提升企业效益，超越此目的利用劳动者个人信息是对劳动者个人信息权的侵犯，未经劳动者同意转卖、泄露其个人信息更是违法的。此外，企业收集信息的目的要具有合理性，收集信息不能超过应有的边界侵犯劳动者的基本隐私权和休息权。比如利用可穿戴设备收集劳动者个人信息，监控劳动者的一举一动以达到经济效益最大化，完全不顾劳动者的隐私权和休息权。此种以侵犯劳动者基本人格权为前提才能达到的目的不具合理性，该行为侵犯了劳动者的个人信息权。

 结语 

《个保法》已经出台，在劳动者个人信息保护中应当强调个人信息处理企业和劳动者的利益应保持平衡。劳动者个人的隐私信息，不应该允许用户在工作之外访问；在合法监控的情况下，应该提前通知员工，并将工作场所的监控分为公开的、秘密的和禁止的监控，选择必要的监督手段。企业知情权之行使应以必要性为限；并且企业或管理层处理劳动者之个人信息应通知权利人，且权利人可选择处理范围；而且，未经劳动者同意，企业不得披露个人信息，除非是为了其本身正当目的；最后企业或管理层必须保证信息不丢失、不被滥用、不被修改、不被破坏、不被意外访问。

作者简介：