用人单位收集和使用员工个人信息贯穿于招聘、用工及离职的整个过程。随着《个人信息保护法》（下称《个保法》）于2021年11月1日的施行，用人单位一旦对个人信息处理不当，将面临行政处罚和侵权纠纷等各种风险，严重情况下甚至可能构成刑事犯罪。为此，本文结合《个保法》的规定，就用人单位在用工管理过程中如何妥当处理个人信息分享一些实操建议。
典型场景
合伙人
竞天公诚律师事务所
用人单位日常用工管理的各个环节都可能涉及个人信息的收集和使用。典型的情形可能包括：
-
- 用人单位在招聘环节要求应聘者填写个人信息情况登记表（包含教育背景、工作经验、婚育状况、家庭背景等）；
- 对于员工申请休病假的，除病假单外，用人单位常常还会要求员工提供病历甚至开药记录；
- 用人单位监控员工在工作电脑、公司电子邮件系统或在公司内部网络中储存或传输的信息；
- 在竞业限制案件调查中，有些用人单位会委托调查公司对员工进行跟踪拍摄，以获取员工入职竞争对手的相关证据。
新法影响
《个保法》作为单独就个人信息保护进行全面规制的法律，明确了个人信息保护的诸多事项，主要包括个人信息和敏感个人信息的各自处理规则、向境外提供个人信息以及违反《个保法》的法律责任等。其中，个人信息处理规则是《个保法》的核心内容，其要点就是 “告知与同意”规则，即处理个人信息应当以充分告知并取得个人同意为前提。
不过，《个保法》第十三条为用人单位保留了需要个人同意的例外，即在未取得个人同意时，用人单位可为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需而处理个人信息。然而，如何界定“为履行合同所需”及“实施人力资源管理所必需”目前尚不明确。
在法律责任方面，《个保法》确立了相关民事责任承担的举证责任倒置规则，并且规定了有违法行为的，企业直接负责的主管人员和其他直接责任人员可能面临罚款及被禁止在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。此外，违法用人单位可能面临信用惩戒，即其违法行为被记入信用档案，并予以公示。
合规建议
为此，就用人单位用工管理过程中如何处理员工个人信息，本文提供如下建议，以供参考：
顾 问
竞天公诚律师事务所
制作个人知情同意书。用人单位可对其在用工管理过程中所需处理的个人信息进行全面梳理和分类，根据个人信息种类制作清单，并作为信息收集知情同意书的附件，在确保充分向员工告知个人信息处理目的、方式和范围等内容的基础上，要求员工签字。对于其中需员工单独同意的敏感个人信息，我们建议用人单位进行重点标记，并要求员工逐项进行勾选确认并逐一签字。
制定有关个人信息处理的规章制度。用人单位可在现行规章制度中（或另行制定员工个人信息保护专项政策）规定个人信息的内容和范围、使用目的、处理规则，并对相关制度和政策履行民主程序，进行公示，以此作为用人单位日后处理个人信息的合法依据。
用人单位可考虑采取如下一系列个人信息保护的具体措施：
-
- 对个人信息实行分类管理。用人单位可以针对用工管理的各个环节和各类人员，列出需要处理的所有类型的员工个人信息。在此基础上，可以标识出个人信息中的私密信息和敏感个人信息这两大类特殊信息，并根据《个保法》规定对其进行严格管理；
- 全面梳理用工管理过程中各个环节和各项操作中可能涉及的员工隐私，提前根据法律要求订立完善的政策和合规指南，并针对各类情形采取必要措施。例如，如果用人单位会在其办公场所内安装监控设备，应尽量提前告知员工设备的安装和使用情况，并对设有监控设备的办公区域进行明确标识；
- 建立完善的信息数据保护制度和系统并明确负责的各个职能部门（如人力资源部、信息技术部、合规部）。通过日常监督与定期审查，对个人信息的收集、浏览、使用等情况进行监控并确保合规；以及
- 加强对管理者和员工的培训，强化全员保密意识。用人单位应在与员工的保密协议中要求其对同事的个人信息及工作中接触到的个人信息履行严格的保密义务。
上海市徐汇区淮海中路1010号
嘉华中心45层
邮编: 200031
电话: +86 21 2613 6125
电子信箱: tracy.liu@jingtian.com
