勞動者個人信息保護的企業用工風險與合規策略

楊 華 姜秀璇

長春工業大學，吉林 長春 130000

一、勞動者個人信息的具體界定及保護意義

個人信息的具體含義指用電子信息的形式和其他形式保存下來的已然識別過的或即將可以進行識別的自然人相關的各類信息，同樣勞動者屬于自然人的領域內，基于此用人單位即企業扮演著對勞動者個人信息收集、存儲、使用這一角色，在處理勞動者個人信息時應當嚴格根據法律規定的內容進行操作，對此，企業在實行以上操作之時會面對著巨大的風險。［1］這是由于在企業用工的過程中，勞動者的姓名、性別、身份證號碼等等一般個人信息以及相應的敏感個人信息皆會暴露于外，鑒于此，企業更應當將勞動者個人信息保護的重視程度加以提升。

（一）勞動者個人信息的具體界定

在《個人信息保護法》中表明了勞動者的個人信息即用電子信息的形式和其他形式將其保存下來的已然識別過的或即將可以進行識別的和勞動者息息相關的各類信息（在此不含匿名化處理后的信息）。就具體類型來說，勞動者的個人信息應當包含一般個人信息和敏感個人信息。

首先，一般個人信息是指可獨立識別的信息或者和其他相關的信息相配合來識別的信息，通過電子的形式或者其他形式來加以收集、儲存、收藏的信息。其主要包括一些基礎個人信息，例如姓名、性別、出生年月日、身份證號碼、地址、手機號碼、電子郵箱、健康狀況等等。

其次，敏感個人信息中所包含的具體種類也很多，例如有關生物識別的信息、宗教信仰相關的信息、特殊身份的信息、行蹤軌跡信息以及不滿14周歲未成年人的信息等等。

（二）勞動者個人信息保護的意義所在

在我國，目前通過眾多案例不難看出所謂的勞動關系其實并不是雙方主體地位相平等的法律關系，在企業與勞動者之間存在很強的人身從屬性，是勞動者從屬于企業的一層被動關系。［2］一方面，勞動者對自身的個人信息擁有掌控的權利，可以對自身的個人信息是否置之于企業之中具有選擇的權利，就好比每日工作的出勤方式是否同意使用“刷臉”“刷指紋”等方式；另一方面，企業也需征得勞動者的同意。基于此，企業如往常一樣對于勞動者的個人信息處置僅僅憑借企業的想法去管理，這種做法也會給企業帶來巨大的風險。

綜上所述，對于企業來講，生產經營過程中處理客戶、用戶個人信息的合規性往往受到高度的關注，通常會忽略作為企業員工的勞動者個人信息的保護問題。現實生活中，對勞動者信息的保護就企業而言至關重要。首先，企業對勞動者個人信息的合規保護有利于減少違規違法行為，防范企業的用工風險；其次，有利于企業節省法律糾紛成本，將資金更好地投入到正常的生產經營活動中，這不但是企業在經濟市場穩步發展的必然要求，這更是有利于建立規范誠信企業文化的內生需要。

二、企業違反《個人信息保護法》需承擔的法律責任

《個人信息保護法》的出臺對于違法違規的用人單位或個人在法律責任的承擔上均有加重。

第一，民事責任：如若企業無法證明自身或者企業內部人員沒有過錯的，則企業應當承擔損害賠償責任。損害賠償責任應當根據勞動者由于此次民事侵權所遭受的財產損害或企業作為個人信息的處理者所獲得的財產利益進行計算，或者根據無法確定的客觀存在來對賠償數額進行最后的決定。

第二，行政責任：違反《個人信息保護法》的，應當由所監管的行政機關采取以下措施：首先，給予責令改正并警告，同時需要對違法所得進行沒收；其次，對違法處理了個人信息的相關APP應當采取責令卸載或者終止進行服務的處罰，如若不加以改正，則應當處以100萬元以下的罰款，同時，如果涉及到主管人員和其他相關的責任人時，應當對其處以1萬元以上10萬元以下的罰款。

第三，刑事責任：對于違反個保法規定的，不但需要在民事以及行政上承擔責任，如若構成犯罪的，也須依法上升為追究刑事責任。

三、勞動者個人信息保護的企業用工風險點

（一）企業招聘過程中的風險點

根據《中華人民共和國勞動合同法》（以下簡稱《勞動合同法》）的第八條規定，不難看出主體雙方即企業與勞動者之間皆有知情權，此知情權是指與勞動合同有直接關系的一些基本資料（即個人信息），用人單位有權了解勞動者與勞動合同直接相關的基本情況，勞動者應當如實說明。同時，在《個人信息保護法》的第十三條第二款也同樣規定了企業作為勞動者的信息處理者可以在一定條件下對勞動者的個人信息進行處理。根據上述法律規定不難發現，除了與訂立勞動合同相關的必需信息（姓名、性別、年齡、學歷等）之外，其他非必要的信息（家庭成員、成員職務、聯系方式、婚育狀況等），必須取得勞動者的同意后才可以進行信息收集。［3］基于此，企業所面臨的困境即如若企業以勞動者拒不提供個人信息為由拒絕錄用勞動者，企業很大程度上會面臨被以侵權為由遭到勞動者起訴的風險。

（二）企業日常管理中的風險點

勞動者的個人信息貫穿于用工管理的全過程，例如，企業為了保證勞動者的工作能力和個人背景的信息真實，會對勞動者進行背景調查。企業通常會通過第三方機構來對勞動者進行背景調查，在一定程度上會在勞動者完全不知情的情況下進行背景調查，也即易產生“暗地調查”的風險，就好比企業以調查結果與勞動者的陳述不相符合為由不予錄用，將很有可能被勞動者提起勞動仲裁，甚至會面臨遭到行政處罰的風險。

再如勞動者入職后，首先，電子設備（監控、電腦等）很可能與勞動者的隱私權產生沖突，企業由此將會承擔相應的民事責任的風險。其次，企業因業務或日常管理的需要會將勞動者信息交由第三方，由此也會引發相應的風險，例如，因體檢需要將勞動者個人信息交給醫療機構；因代發工資需要將勞動者個人信息交給人力資源公司；或因法律需求需要將勞動者個人信息交給相關法律機構等等。若事前沒有與勞動者約定，或者沒有征求勞動者的同意，將很有可能面臨勞動者知情后進行舉報進而遭到行政處罰的問題。

（三）企業在勞動者離職后的風險點

在《勞動合同法》第五十條規定中表明企業應當對已經解除或者終止的勞動合同的文本保存至少兩年留作備查。在《工資支付暫行規定》中還明確提出，企業支付給勞動者的工資金額以及勞動者的勞動時間、收款者姓名和簽字蓋章均應當記入記錄內，并且保存兩年以上留作備份。根據以上規定可以看出，企業與勞動者的勞動合同文本、工資支付記錄等應當保存兩年以上，一旦發現勞動者離職，企業對于勞動者的人臉識別、指紋等信息的繼續存留，則將會使其面臨對勞動者個人信息保護不佳的法律問題。［4］

四、勞動者個人信息保護的企業合規策略

（一）規章制度層面對勞動者信息保護的合規對策

《個人信息保護法》第五章明確闡述了信息處理者應盡的義務，企業應當積極地在制度層面對個人信息的保護予以規范。［5］首先，在規章制度中應當規定以下內容：第一，個人信息保護組織機構的設立，以及明確該機構與機構人員責任的規定；第二，對勞動者個人信息的收集、存儲、使用、加工、傳輸、提供乃至公開等管理處理的規定；第三，違反勞動者信息保護規章制度的處罰規定等等。首先，企業還亟需構建一套成熟有效的勞動者信息保護的申訴機制，此申訴機制直接面向勞動者，使其在受到侵權后存在有效合理的救濟方式。其次，企業也應當對勞動者定期進行個人信息保護的安全教育培訓，使勞動者在自身層面提升對其信息保護的安全意識。最后，企業還需制定一系列如若勞動信息泄露后如何處理的應急措施，以便更好地解決相應的問題。

（二）企業在招聘中對個人信息保護的合規對策

第一，在企業的招聘過程中，應當要求勞動者自行填寫個人信息材料，并且在相應的招聘文件中讓勞動者同意自愿提供個人信息用于應聘，同時承諾所提交個人信息的真實性。

第二，企業在對勞動者的背景調查前應當征求勞動者的同意并且授權，需要勞動者簽署勞動者背景調查的授權委托書，并且在授權委托書中表明若勞動者虛假陳述的后果，這樣一來也有利于企業對提供虛假履歷的勞動者的有效處理。

（三）企業在日常管理中對勞動者信息保護的合規對策

在日常管理中，企業對勞動者的個人信息應當擔負起保密的義務，并且需要安全妥善地保管。在現實生活中，眾多企業的簽到以指紋、面部識別為主要方式，這些都應當歸屬于敏感的個人信息，企業應當采取加密措施進行去標識化處理，確保企業在收集、存儲的個人信息安全，進而加以防止個人信息丟失、篡改及泄露等問題的發生。在對于第三方處理企業勞動者信息的問題，企業需對預期合作的第三方的資質、能力、合法性、必要性進行審查，要求第三方作出不侵犯勞動者個人信息的書面保證，而當第三方與企業需要共同處理勞動者個人信息時，需要訂立書面協議明確彼此的權利義務。

對于電腦、郵箱、電話等辦公電子設備，應當做到“公私分明”，因為勞動者在使用電子設備時，個人信息的痕跡非常容易留存于其中，這也便成為企業侵犯勞動者信息高風險的重要原因。基于此，企業應當提前將“不能將辦公所用的電子設備用來解決私人的事務”這一情況明確向勞動者表明，同時企業應當對勞動者辦公所用的電子設備的信息檢查權、監控權和存儲權有所保留，有利于避免在日常管理中企業產生侵權的風險。

（四）企業對勞動者離職后個人信息保護的合規對策

勞動者離職后的個人信息管理同樣重要，為避免可能的風險與糾紛，對離職后的勞動者的個人信息的處理，首先應當及時與勞動者本人進行協商、約定并及時對用人單位掌握的勞動者個人信息庫進行更新、刪除。其次，企業應在制度上對離職勞動者的個人信息保護、銷毀等具體措施進行規定，并且規定超過一定期限的個人信息的銷毀方式；在接受第三方對離職勞動者進行背景調查時，是否評估過有無違反個人信息保護政策，例如在勞動者離職時要求勞動者簽署接受第三方調查時單位的信息披露權等。

鑒于《個人信息保護法》剛剛出臺，執法部門的具體職責范圍、個人信息權益的性質以及在勞動用工領域權益沖突情況下如何適用等問題均有待相關的法律法規予以進一步明確。［6］在此情況之下，企業應當緊跟《個人信息保護法》后續的立法動向，在具體的要求與標準出臺后，及時建立個人信息處理的制度與機制，合法采取相應措施，掌握個人信息保護的主動權。一般來說，通過合理監控得到的證據可能是有效的，但企業頻繁遇到的類似取證問題也將面臨不確定性。我們看到有一些案例對于相關證據合法性不再采信，例如某勞動者和其他公司洽談銷售業務并親口承認自己要“飛單”，企業給勞動者的手機錄制了錄音并將錄音記錄作為證據保存，對于此項證據，法院表明除非在法律有明確規定或在勞動者的授權下，否則不允許出現有關竊聽他人、偷偷觀察他人或者私自處理他人信息的舉動，企業對勞動者履行工作職責進行管理監督無可厚非，但應當在合法合理的限度內行使權力。

五、結語

在《個人信息保護法》正式實施后，企業從勞動者招聘開始到勞動者離職結束這一過程中經常會涉及勞動者相關個人信息的處理問題，對此問題一旦處理不當，對企業而言，其將會面臨巨大的法律風險，同時也可能需要承擔相應的法律責任。對此企業需嚴守《個人信息保護法》的相關內容并建立相應合規對策，同時著重關注司法實踐，平衡勞動管理權與勞動者個人信息保護的關系，努力推動和諧勞動關系逐漸形成。