众成清泰视角

随着信息技术在中国的巨大发展和广泛应用，大数据、人工智能、云端等技术都深刻地改变了我们的生活，毋庸置疑我们都已身处大数据时代。个人信息俨然成为了最炙手可热的新型资源，同时也是需要法律强力保护的对象。其中，企业因为与员工之间密切的关联，在员工入职、在职、离职过程中都存在不当获取员工信息或侵犯员工隐私权的风险，甚至引发纠纷。企业作为员工个人信息的直接管理者如何开展内部数据合规工作，将成为不得不面对的现实挑战，员工数据安全亦将成为企业合规中的重中之重。此文将从案例评析、法律规定、实操建议等方面，对企业管理人员如何合规管理和保护员工个人信息探讨一二。

案例

1.某大型企业在招聘过程中，委托第三方对一些员工尤其高管进行背景调查，然而此类委托将有可能被认定为非法收集、传输、买卖、提供或公开他人信息的违法行为，会被追究民事责任甚至刑事责任。

2.某合资企业对员工的工作邮箱、工作电脑以及办公室局域网使用进行了监控。这样公司不仅可见员工工作邮箱里的各种内容，员工通过办公室网络处理的个人邮件、个人电商买卖记录及QQ或微信的聊天记录，也处于公司的监控之下。发生纠纷后，庭审过程中公司举出员工工作电脑里的网页浏览记录，以证明员工“工作时间处理与工作无关事宜”而严重违纪解除。员工除了提起劳动争议之诉外，又向法院起诉公司侵犯其个人隐私权。

3.某银行在校园招聘过程中，安排新入职员工进行入职体检，其中包括乙肝项目，某员工被要求进行了肝功能复检，银行被员工诉至法院。法院认为银行的行为违反法律规定，构成用工歧视，侵犯了员工人格权。

评析

《民法典》第一千零三十四条规定了自然人的个人信息受法律保护，并且指出个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。民法典已于2021年1月1日起施行。

《信息安全技术个人信息安全规范》进一步指出个人信息还包括账号密码、财产信息、征信信息、住宿信息、交易信息等。

2020年10月21日，全国人大公布《个人信息保护法（草案）》，聚焦目前个人信息保护的突出问题，被比作中国版的GDPR（欧盟颁布的《通用数据条例》，被称为全球最严个人数据保护法）。

最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释，严格定义了“个人信息”，对侵犯公民个人信息的犯罪行为加大了惩治力度，严密了刑事法网。 

《全国人民代表大会常务委员会关于加强网络信息保护的决定》明确要求企业“在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定收集、使用信息”并“应当公开其收集、使用规则”。

人力资源与社会保障部发布《就业服务与就业管理规定》第十三条规定“用人单位应当对劳动者的个人资料予以保密。公开劳动者的个人资料信息和使用劳动者的技术、智力成果，须经劳动者本人书面同意。”

……

立法回应了大数据时代人们对于个人信息保护的关切。在国家不断强化对个人信息保护的背景下，信息数据合规必将成为维护产业平稳健康发展，保障企业商业利益和正常运营的重要基石，企业制度合规也面临着更高标准的要求。

实操建议

用人单位在招聘过程中，往往对员工进行背景调查或要求员工填写《个人信息登记表》，工作场所设置摄像头或监控工作邮箱、电脑，将非核心事务外包给第三方处理涉及员工个人信息转移，对于离职人员个人信息缺乏重视等，这些都面临合规风险，需要用人单位作出一系列制度化及合理化安排，保证获取的个人信息使用合规。

比如用人单位可以事先获得待查员工的授权，谨慎使用第三方背景调查服务商进行调查，通过委托合同准确划分关于个人信息保护的权利义务。在收集员工信息时根据业务、岗位等具体情况确定需要收集的信息，避免过度收集。在劳动仲裁或诉讼程序中，用人单位向仲裁庭或法庭提交证据，如涉及个人隐私，应主动向司法机关提出，提示对案件进行不公开审理，以限制接触相关证据的人员范围，避免员工就此提出异议等。加强对离职员工个人信息的管理，妥善存储劳动合同文本及工作档案等个人信息资料，对已到期或不再需要存储的个人信息及时删除等。