个人信息保护法在企业劳动用工管理中的挑战和应对

个人信息保护法在企业劳动用工管理中的挑战和应对

沈云 江苏连元律师事务所

内容摘要：《个人信息保护法》是我国首个专注于个人信息保护的全面立法，与《民法典》、《劳动法》、《劳动合同法》等法律配合实施。该法确立了诸如“最小必要”、“公开透明”和“合法、正当、必要”等处理原则，为个人信息保护提供了制度支持。实际上，企业在招聘、入职体检、日常管理以及离职交接的过程中，都会涉及到大量员工个人信息的收集、存储与使用，而处理不当可能在任何阶段引发合规风险。基于这一背景，本文选取企业劳动用工管理作为观察视角，全面梳理《个人信息保护法》对用人单位在处理员工个人信息方面的相关规定，并分析在招聘、在职管理和离职交接等重要环节中可能面对的合规挑战。同时，提出切实可行的合规策略，以便协助企业构建合法、必要且适度的员工个人信息处理机制，提供理论支持与实践指导。

关键词：个人信息 个人信息保护 最小必要原则 适度

2021年8月20日，第十三届全国人民代表大会常务委员会第三十次会议通过《个人信息保护法》，该法律分为8个章节，共包含74个条款，于2021年11月1日开始实施。《个人信息保护法》的出台一时间引发讨论热浪，但大众普遍关注的焦点还在于，淘宝、抖音等网络平台，移动、电信、联通等移动通讯运营商，中通、圆通等快递公司以及银行等企业有无正确收集、储存、使用个人信息，是否存在信息泄露现象，随着新法的出台，这些提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者确实会进行内部自检及合规完善，避免泄露用户个人信息，但人们往往会忽视，劳动用工单位也是企业，同样受《个人信息保护法》的约束，必须遵守《个人信息保护法》，但现实中，绝大部分企业并未对此予以重视，随意处理员工个人信息，容易引发争端。

一、用人单位有权合法及适度收集劳动者个人信息

（一）个人信息的收集范畴

《民法典》第1034条和《个人信息保护法》第4条对个人信息作了明确定义，在信息具有可识别性的前提下，自然人的姓名、出生年月、身份证号码、住址、电话号码、电子邮箱、健康信息等均应作为个人信息受到保护。

《劳动合同法》第8条规定，用人单位有权向劳动者了解，而劳动者必须向用人单位如实说明与劳动合同直接相关的基本情况。《个人信息保护法》第6条确立了收集个人信息的最小必要原则，并明确规定不得过度收集个人信息。

根据《劳动合同法》、《民法典》以及《个人信息保护法》等有关规定，在用人单位与劳动者建立劳动关系时，用人单位只能要求劳动者提供“与劳动合同直接相关”的个人信息，而不能要求劳动者“提供所有信息”。同时，收集个人信息应遵循合理和适度原则。但现实中，用人单位往往并不会区分什么是“与劳动合同直接相关”的信息，而是要求劳动者在办理入职手续时填写入职登记表，入职登记表中的内容涉及劳动者的姓名、出生日期、身份证件号码、电话号码、电子邮箱、联系地址、身高体重、健康信息、政治面貌、学历、工作经历、职业资格、兴趣爱好、婚育状况、家庭信息、离职原因等一系列信息，并会明确告知劳动者，如劳动者不如实填写，后期经查实所填信息不符将构成欺诈，届时用人单位将有权解除劳动关系并追究劳动者的责任。

（二）如何界定“与劳动合同直接相关”的个人信息

一般而言，“与劳动合同直接相关”的信息应当是指与工作岗位相匹配的信息，基于社会共识，劳动用工中普遍适用的“与劳动合同直接相关”的信息包括姓名、出生日期、身份证件号码、电话号码、电子邮箱、联系地址、学历、工作经历、职业资格等；涉及更为隐私、敏感的信息，如婚育信息、健康信息，并非必然“与劳动合同直接相关”，需根据工作性质、岗位要求等综合判断是否属于必须由劳动者如实说明的“与劳动合同直接相关”的信息。

1、婚育信息的收集

根据《中华人民共和国妇女权益保障法》第43条规定：“用人单位在招录（聘）过程中，除国家另有规定外，不得实施下列行为:……（二）除个人基本信息外，进一步询问或者调查女性求职者的婚育情况；（三）将妊娠测试作为入职体检项目；（四）将限制结婚、生育或者婚姻、生育状况作为录（聘）用条件；……”

人社部发〔2019〕17号《人力资源社会保障部、教育部等九部门关于进一步规范招聘行为促进妇女就业的通知》明确规定，用人单位在招用女性劳动者过程中，不得询问女性劳动者的婚育情况，也不得将妊娠测试作为入职体检项目，不得将限制生育作为录用条件。

根据当前我国法律和政策，除涉及国家安全、特殊保密要求的岗位，或特殊工种有劳动保护需求（如孕期禁忌）的岗位，绝大多数行业和岗位，用人单位无权收集劳动者的婚育信息，这类信息属于个人隐私，与劳动合同的履行通常无直接及必然的关联，如果用人单位“想当然的”收集了此类信息可能涉嫌侵犯劳动者隐私或就业歧视。现实中，女性劳动者求职时往往被要求填写婚育信息，有些女性劳动者迫于现实对自身婚育情况会选择作出不实的陈述，但即便存在前述情形，在不影响劳动合同履行的情况下，不应认定劳动者以欺诈手段签订劳动合同，用人单位也不能以此为由解除与劳动者的劳动合同。

2、健康信息的收集

相比婚育情况，健康情况无疑是用人单位在招录（聘）劳动者时普遍关注的对象，入职体检更是绝大多数企业的常规要求，因为劳动者的健康状况与企业用工成本、生产安全、风险防控、经济效益等相挂钩，用人单位把入职体检当作“事前风控”工具，最终目的在于预先把潜在的健康/法律/经济风险挡在用工关系开始之前。劳动者的健康信息是否应该被视为“与劳动合同直接有关”的个人信息，进而赋予用人单位要求劳动者如实提供的权利，以及劳动者是否必须根据用人单位的要求进行入职体检，这一问题值得探讨。根据现有法律规定，除特殊岗位，即《中华人民共和国职业病防治法》第35条之规定，对从事接触职业病危害的作业的劳动者，上岗前必须进行职业健康检查，并未明确规定普通岗位的劳动者必须进行入职前健康检查。

对于用人单位而言，在其招聘过程中应该遵循法律规定，根据工作岗位的实际情况，向劳动者了解基础医疗健康信息，并不得歧视有身体健康问题的劳动者。对劳动者而言，对于与其应聘的岗位有重大利害关系的基础医疗健康信息负有向用人单位如实说明的义务。另外，一般而言，用人单位仅能在决定与劳动者订立劳动合同后，方可通过组织劳动者体检等健康调查的方式主动获取劳动者的健康信息，且体检与调查的内容必须与劳动者所应聘的岗位相关，并且所涉及的体检项目必须事先告知并取得劳动者的同意，否则劳动者有权拒绝参与体检或调查。

当用人单位决定与劳动者订立劳动合同，劳动者按照用人单位要求进行入职体检，但用人单位又以劳动者“体检不合格”、“身体健康状况不符合岗位要求”等取消录用，可能构成缔约过失或就业歧视，需赔偿劳动者损失。诚然，用人单位具有用工自主权，选聘决定权，但用人单位获取的劳动者健康信息必须与劳动者所应聘的岗位相关，亦应就体检的具体要求以及“体检合格”、“身体健康”等情形的具体认定标准向劳动者进行事先告知，且认定标准应公平、合理、合法。依据《中华人民共和国就业促进法》第29条和第30条的相关规定，用人单位在招聘时不得歧视残疾人士，也不能因求职者是传染性疾病病原体携带者而拒绝录用。所以，用人单位针对劳动者所聘岗位在“健康信息”一项中设定的限制条件，还应考量劳动者的身体状况与应聘岗位工作强度之间的关联性，劳动者的身体状况是否会对其工作行为能力造成障碍等等情况。一旦用人单位过度、过分行使用工自主权，滥用知情权，侵害劳动者信赖利益的，将承担相应的民事责任。

3、离职信息的收集

根据《劳动合同法》第50条之规定，劳动合同被解除或终止时，用人单位应向劳动者提供解除或终止劳动合同的证明文件，一般为《离职证明》，此为用人单位的法定义务。又根据《劳动合同法》第91条的规定，如用人单位招用的劳动者尚未与前一用人单位解除或者终止劳动合同，给前一用人单位造成损失的，新用人单位需承担连带赔偿责任。因此，用人单位在招用过程中有权并应当要求应聘者提交前一用人单位的《离职证明》。除《离职证明》外，有些用人单位为了规范用工，还需对劳动者进行背景调查，背景调查是否会构成侵犯劳动者个人信息、个人隐私？

如劳动者入职时签署个人信息使用授权文书或背景调查授权同意书，授权企业收集、使用其个人信息，包括个人基本信息、工作经历等，用人单位依据劳动者自行出具的授权文书向其前“东家”进行背景调查获取劳动者工作履历，属于人力资源管理及背景调查的合理范畴，符合法律规定，不存在过度处理情形。

即使劳动者入职时未签署相关授权文书，工作经历应认定为“与劳动合同直接相关”的信息，用人单位有权了解，劳动者也有义务如实披露，劳动者提供的工作履历对用人单位而言是公开信息，并非属于其隐私。用人单位出于用工目的，有权向前“东家”核实劳动者的工作经历，此行为并不违反法律法规的相关规定，并不会构成对劳动者个人信息、隐私权的侵犯。

对于前“东家”，其配合新“东家”背景调查，其所能提供的信息应局限于劳动者在前“东家”入职期间的真实就职信息，且该就职信息为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度实施人力资源管理所必需，如入职、离职时间及岗位信息等，而不应涉及劳动者其他个人隐私，并应尽到相应的提示义务，提醒新“东家”注意信息保密，以防信息扩散，在此基础上，前“东家”提供背调信息，一般不会构成对劳动者个人信息、隐私权的侵犯。

（三）《劳动合同法》第8条的内容具有双重作用，一方面赋予用人单位向劳动者了解与劳动合同直接相关信息的权利，另一方面对用人单位的这一知情权在劳动合同订立阶段又进行了必要的限制。然而，该条款又并未具体说明哪些属于“与劳动合同直接相关的信息”，因此，虽有法律条文，但概念宽泛、界定模糊的条文并不能有效缓解用人单位与劳动者之间的权利冲突。

二、用人单位处理劳动者个人信息必须合法、必要且适度

（一）用人单位在办公区域设置监控装置，是否侵犯个人信息

对于在公共工作空间中，如用人单位为确保工作环境安全、人身及财产安全，并出于管理目的而设置监控摄像头，且摄像头位于劳动者们共同工作的区域而非私人工作区，通常安置于墙角上方，能够观察整个工作区域，并且用人单位不会随意传播监控内容的，这种在公共工作场所设置监控的行为通常属于用人单位合理使用监管权的一部分，具有一定合法性，通常不会涉及侵犯个人信息；如带有明显的针对性，即监控范围仅覆盖个别劳动者所在工位，而无法监控完整的办公区域，超出了用工安全、管理监督的合理限度，违反了《个人信息保护法》等规定，既侵犯了劳动者个人信息，也具有一定的侮辱性和惩罚性。若对独立办公室进行单独监控，对个人影像、私人活动、私密信息的采集、传输及处理显然超出了人事管理的必要限度，违反了《民法典》、《个人信息保护法》等规定，侵犯劳动者个人信息、隐私权。

用人单位有权对劳动者进行组织、领导、监督和管理，劳动者应当服从。但是，用人单位在行使监督、管理权时需设有界限，并应合法保障劳动者的人身权和人格权。例如，监控的目的须合法合理，需事先告知劳动者，且监控方法需适度。用人单位在管理和监督过程中应始终保持审慎态度，避免过度监控，以防侵犯劳动者的个人信息和隐私权。

（二）用人单位在对劳动者进行惩处并进行公示时，惩处通知中包含员工姓名、身份证号码等信息，是否侵犯个人信息

劳动者的个人信息如姓名、出生日期、联系电话、身份证号码和居住地址等，用人单位在使用和公开时，必须遵循合法、正当和必要性原则。即便劳动者可能存在不当行为或违规情况，用人单位对劳动者实施的处罚或纪律处分也只是企业的内部管理措施。处理个人信息，应采取对个人权益影响最小的方式，不得过度处理，因此，用人单位内部性的管理行为限制了惩处通知的公示范围，以向被惩处劳动者本人公示为原则，尽量避免向企业小范围或全范围（即使内网等）公开，但由于用人单位作为生产组织，其具有组织体的秩序性、管理性、警示性的需要，因此，当劳动者的违法、违规行为破坏企业整个组织经营秩序时，或达到严重程度时，在告知受惩处劳动者之外，用人单位如认为必要，有权向其他劳动者进行公示，但公示内容也应该客观真实，不涉及劳动者个人信息，如涉及也应进行有效的遮蔽处理，而且公示范围限于用人单位内部，无向社会公众公开的必要。

劳动者的身份证号码、电话号码、家庭住址等信息都是个人信息，且均为劳动者不愿为他人知晓的私密信息，具有一定的隐私属性，用人单位使用劳动者的个人信息超过必要限度，将构成侵权，应承担侵权责任。

（三）创建“职场黑名单”，是否侵犯个人信息

实践中存在“职场黑名单”现象，即某些曾经消极地不服从用人单位的管理，或是曾经因不满意用人单位的某些行为而积极地向相关机构投诉、举报甚至仲裁、起诉的劳动者，某个区域的用人单位之间会进行信息共享，将某些“刺头”的信息在企业之间、劳动力市场之间进行传播。

必须承认，“职场黑名单”能够在一定程度上降低用人单位的用工风险，但是其同时也会对劳动者的劳动权形成限制。一方面，职场黑名单具有明显的主观性，并不存在一个统一的客观标准，即便劳动者的行为是合理合法的，但是由于违背了用人单位的利益，依然会被定性为“刺头”行为。此外，用人单位在创建“职场黑名单”时牵涉的劳动者个人信息或许并不准确。用人单位为了扩大黑名单的影响力，可能将其向社会公开，这对劳动者的个人信息权利造成了极大侵犯，严重影响劳动者的职场声誉和再就业自由。因此，为保障劳动者的再就业自由，应严格限制“职场黑名单”行为，用人单位不得编造虚假信息，也不得在用人单位外部公开传播劳动者个人信息。

三、结语

现有立法虽设定了“与劳动合同直接相关”和“最小必要”等原则，但未有可供执行的具体标准，致使用人单位在招聘、日常管理以及员工离职过程中对劳动者个人信息的处理仍处于界限不明状态。立法的缺失，使得企业在劳动者个人信息保护层面面临合规挑战；同样，劳动者作为劳动用工中的弱势一方一般也难以界定自己的隐私范围。可以预见，在未来相当长的一段时间内，司法实践、审判案例仍然是确定双方权利和义务的主要参考。为应对法律留白，只有通过司法实践、企业自律与个人诉求的持续互动，才能真正将个人信息保护与人力资源管理从“空白状态”中解放出来，实现法律效益与社会效益的统一。

 聂紫薇，《大数据时代劳动者医疗健康信息的定性与法律保护》，《长江论坛》，2020年第2期

 梁栋，《数智化职场中劳动者个人信息保护的特性、价值与规则》，《智慧法治》集刊，2024年第2卷（“东方法学新锐”研究文集）