「聲明」本文系樹人律師事務(wù)所律師及職員撰寫原創(chuàng)文章，同步公開發(fā)表在樹人律師事務(wù)所微信公眾號及網(wǎng)站上，

            文章著作權(quán)屬樹人律師事務(wù)所所有，在其他平臺或媒體發(fā)布、轉(zhuǎn)載需經(jīng)樹人律師事務(wù)所許可。

            取得許可在文末掃碼關(guān)注“樹人律師”進行聯(lián)系。

---

2021年8月20日，中華人民共和國第十三屆全國人民代表大會常務(wù)委員會第三十次會議通過了《中華人民共和國個人信息保護法》（以下簡稱“個人信息保護法”），并決定自2021年11月1日起實行?！秱€人信息保護法》的出臺對用人單位在勞動用工過程中的個人信息保護有了新的要求。樹人律師在本文中將以《個人信息保護法》的實施為切入點，梳理總結(jié)用人單位在勞動用工過程中對勞動者個人信息保護的責任。

 

一、個人信息與用人單位

 

（一）個人信息的界定

 

根據(jù)《中華人民共和國民法典》第一千零三十四條第二款的規(guī)定，個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

 

（二）用人單位在個人信息保護中的角色

 

在《個人信息保護法》中，個人信息的處理主要包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。個人信息處理者是指個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

 

用人單位在員工招聘、勞動合同履行過程中，依照《中華人民共和國勞動合同法》第八條“……；用人單位有權(quán)了解勞動者與勞動合同直接相關(guān)的基本情況，勞動者應(yīng)當如實說明”及其他相關(guān)法律、法規(guī)的規(guī)定，有權(quán)收集、存儲、使用、加工、傳輸、提供、公開與勞動合同直接相關(guān)的員工個人信息，從而成為個人信息處理者。

 

二、用人單位處理員工個人信息應(yīng)遵循的原則

 

（一）合法、正當、必要和誠信原則。用人單位在處理員工個人信息過程中應(yīng)當符合法律、行政法規(guī)等相關(guān)的規(guī)定、符合社會的政策或行為規(guī)范的要求、符合員工利益或社會公共利益，并具有必要性。用人單位不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息。

 

（二）嚴禁過度收集個人信息。誠如上述，用人單位在員工招聘過程中有權(quán)了解員工與勞動合同直接相關(guān)的基本情況。處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式。實踐中，用人單位經(jīng)常性借此過度收集員工個人信息，如用人單位過度收集勞動者父母職務(wù)、收入、勞動者婚姻狀況、生育情況等與勞動合同無直接關(guān)聯(lián)性的信息。

 

（三）公開、透明原則。用人單位在處理個人信息時應(yīng)當事先充分告知（包括處理的目的、方式和范圍）并取得個人同意，同時，保障個人撤回同意或拒絕或限制性提供個人信息的權(quán)利。

 

（四）保證個人信息準確的原則。用人單位在處理員工個人信息過程中，應(yīng)當保證個人信息準確，避免因個人信息不準確、不完整對個人權(quán)益造成不利影響。

 

（五）采取必要保障措施。用人單位應(yīng)當對處理員工個人信息活動負責，采取必要措施保障員工個人信息在處理活動中的安全。

 

三、用人單位處理員工個人信息應(yīng)當遵循的規(guī)則

 

（一）一般規(guī)則

 

1.“告知—同意”是核心

 

用人單位在處理員工個人信息時應(yīng)當及時充分告知員工本人，并取得員工的同意。同時，員工享有撤回同意的權(quán)利。

 

2.不需要員工同意的特殊情形

 

（1）按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需；

 

（2）為履行法定義務(wù)所必需，如人民法院、人民檢察院、公安機關(guān)要求提供的；

 

（3）為應(yīng)對突發(fā)公共衛(wèi)生事件，或緊急情況下為保護自然人的生命健康和財產(chǎn)安全所必需；

 

（4）為公共利益實施新聞報道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個人信息；

 

（5）在合理范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息。

 

需要注意的是：法律雖然未要求員工個人同意，但是，法律也未免除用人單位在作為個人信息處理者處理員工個人信息時的告知義務(wù)。

 

（二）敏感個人信息處理規(guī)則

 

敏感個人信息是指一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息。包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息。

 

根據(jù)《個人信息保護法》的要求，只能在具體特定的目的和充分的必要性，并采取嚴格保護措施的情形下方可處理敏感個人信息。因此，用人單位在收集到有關(guān)上述敏感個人信息后應(yīng)當妥善保管，非有關(guān)有權(quán)機關(guān)調(diào)查或其他特定目的和充分必要的情況下，均不應(yīng)公開或隨意處置。

 

（三）告知內(nèi)容

 

用人單位在告知員工個人信息處理時，應(yīng)當采用顯著方式、清晰易懂的語言真實、準確、完整地告知。主要內(nèi)容包括：

 

●用人單位作為個人信息處理者的姓名、聯(lián)系方式；

●處理目的、處理方式、處理的種類、保存期限；

●個人針對用人單位處理個人信息的權(quán)利和程序。

 

用人單位在特殊情形下履行告知義務(wù)：

 

1.告知員工的部分事項發(fā)生變更的，應(yīng)當將變更部分告知個人。

 

2.緊急情況下為保護自然人的生命健康和財產(chǎn)安全無法及時告知的，應(yīng)當在緊急情況消失后及時告知。

 

3.若根據(jù)法律、行政法規(guī)規(guī)定應(yīng)當保密或者不需要告知的情形的，可以不告知。

 

4.對于處理敏感個人信息，除告知上述內(nèi)容外，還應(yīng)告知必要性及對個人權(quán)益的影響。

 

5.用人單位若存在因合并、分立、解散、被宣告破產(chǎn)等需要轉(zhuǎn)移個人信息的，應(yīng)當告知個人接受者的名稱或姓名及聯(lián)系方式。接受者應(yīng)當繼續(xù)履行相關(guān)義務(wù)。

 

若需要變更處理方式、目的的，應(yīng)當經(jīng)過個人的重新同意。

 

四、合規(guī)建議

 

1.提高員工個人信息保護意識。用人單位作為個人信息處理者應(yīng)當有意識地去保護員工個人信息，思考員工個人信息保護的方式、方法。

 

2.建立健全員工個人信息保護制度并落地執(zhí)行。建立健全員工個人信息保護制度的目的在于確保個人信息保護有所依據(jù)，員工個人信息保護制度應(yīng)當包括個人信息保護的目的、處理的方式、處理的機構(gòu)、審批流程、保護措施、員工個人享有的權(quán)利及履行的程序、責任追究等。

 

3.充分了解個人信息保護的合規(guī)義務(wù)。合規(guī)義務(wù)是指用人單位在處理員工個人信息過程中的法律、行政法規(guī)、行業(yè)規(guī)范、公序良俗等所要求必須履行的義務(wù)，若不履行或怠于履行義務(wù)將會受到包括民事、行政、刑事責任的追究。

 

---