個人信息保護的勞動基準立法探析

陳迪文

（湖南大學 法學院，湖南 長沙 410012）

勞動者的隱私權保護問題從21 世紀初就引發了社會的廣泛關注，且科技的進步使得侵犯勞動者隱私權的現象層出不窮，每一次新技術的問世都將該問題以一種不同的面貌呈現在大眾面前，例如早年間互聯網普及時期，企業購置網絡監控軟件監視員工的現象就已引發了社會對用人單位管理權和員工隱私權邊界的思考［1］，2009 年前后的乙肝攜帶者就業歧視案件［2］以及相關的基因歧視案件［3］進一步引發了社會和法學界對勞動者隱私權的關注。如今這種對勞動者隱私權的關注逐漸轉化為對勞動者個人信息保護的關注，一方面是由于《中華人民共和國民法典》（以下簡稱《民法典》）《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）的出臺在法律上明確了個人信息的概念內涵，另一方面則是由于傳統隱私權已不足以應對大數據和人工智能帶來的新挑戰，例如南京某環衛公司給環衛工人發放智能手環來進行監工①、深信服科技公司研發行為感知系統（Behavior Awareness System）用于模擬分析員工的工作效率和離職傾向［4］，這種通過可穿戴設備或者智能監控系統收集員工信息并進行人工智能算法分析以實現人力資源管理的行為已遠超傳統隱私權保護制度的規制范疇。

現有的個人信息保護制度雖然建立起了一般性的規則，但對處于弱勢地位的勞動者而言卻是遠遠不夠的。勞資關系具有其特殊性，《民法典》《個人信息保護法》提供的救濟手段也不利于維系勞資關系的和諧穩定，勞動者的個人信息保護問題需要在一般規則的基礎上輔以傾斜保護規則進行解決，而目前的勞動法又缺少對勞動者個人信息保護的關注。全國人大社會建設委員會關于第十三屆全國人大第四次會議的報告中指出基本勞動標準②立法已列入十三屆全國人大常委會立法規劃③，此時通過《中華人民共和國基本勞動標準法》（以下簡稱《基本勞動標準法》）建立起勞動者個人信息保護的基本規則是十分恰當的時機，本文將進一步分析該立法對于實現勞動者個人信息保護的必要性和可行性，并嘗試提出相應的立法建議。

一、個人信息安全作為勞動基準的必要性分析

勞動基準法一般又稱勞動條件基準法，主要由以實現勞動關系中勞動者權益基準化為基本職能的各項勞動法律制度所構成［5］，就規范內容而言，勞動基準一般涉及勞動者工資、工時、休息休假、安全衛生、傷病醫療、死亡撫恤，以及女工、童工、學徒特殊保護等有關事項，而勞動者的個人信息安全并不在傳統的勞動基準范圍內。勞動基準法誕生于傳統工廠生產時代，該背景下的勞動條件主要指向勞動者的生命健康以及薪資待遇，而數字經濟時代的發展賦予了數據作為生產要素的重要價值，這也推動著勞動條件由實到虛的發展趨勢，因而勞動基準的內涵也必然隨著社會的進步而擴展，這使得個人信息安全作為勞動基準成為可能。

（一）數字經濟時代的勞動基準包含個人信息安全

勞動條件包含勞動者人權保障，而勞動者個人信息安全屬于勞動者人權保障的范疇。國際勞工組織1999 年第87 屆國際勞工大會的局長報告中首次提出“體面勞動”的概念，將滿足勞動者精神需求作為勞動者保護的要求之一［6］，聯合國經濟、社會和文化權利委員會也在2006 年通過的第18 號一般性意見的第7 條中指出，體面工作尊重工人的基本人權和精神健康。物質性保障是實現體面勞動的基礎，但缺乏個人信息安全的工作同樣無法讓勞動者享有精神層面的“體面”，例如在2020 年廣東省高院審理的一起勞動合同糾紛案中④，員工張某因不服用人單位在其工位正上方安裝高清攝像頭而引發糾紛，最終被公司解聘，該員工作為公司的中層管理干部享受著充分的物質保障，但公司過度的監視并未讓她感到本應在勞動中獲得的體面和尊重，廣東省高院支持了用人單位的訴訟請求，充分肯定了用人單位的自主管理權，但員工在工作場所是否完全不存在私人領域，這種因過度監視帶來的精神困擾是否同樣需要得到法律客觀的評價？事實上此案不久后頒布的《個人信息保護法》第6 條所確立的最小損害原則一定程度上能夠作為支持原告訴求的法律依據，因為該攝像頭的擺放位置和清晰度已超出用人單位所欲實現之目的，在用人單位對員工惰性的擔憂之下實則隱含著對勞動者個人信息安全的漠視。近年來此類“攝像頭之爭”案頻繁發生足以說明勞動者個人信息安全意識的不斷增強與用人單位過度監視之間的矛盾正愈演愈烈，而處在矛盾中心的個人信息權益對勞動者人權保障的重要性已不言而喻，這進一步揭示了其在客觀上已構成勞動者工作所必需的勞動條件。

在勞動法理論中，有學者認為除了作為勞動水平的基準，還有作為勞動關系運行規則的基準［7］，大數據、算法以及自動化決策等新技術顯著增強了用人單位對勞動者勞動過程的支配性，而勞動者的個人信息為過度支配提供了不合理的基礎，從勞動過程的控制規則上而言，勞動者個人信息安全屬于勞動基準的范疇。新技術的出現實際上革新了勞動關系的運行規則，一方面互聯網、云計算的普及使得更多用人單位能夠享受大數據、算法以及自動化決策等計算機技術帶來的人力資源管理紅利，它能夠幫助企業挖掘員工潛力、優化組織架構，提高人力資源績效管理的工作效率［8］，另一方面它也可以輕易地實現對勞動者關于工作能力和表現的數字畫像。淪為被操控的“數字人”似乎成為了數智時代勞動者不可逃脫的宿命［9］，這種區別于從屬性的強支配性已經被默認為數字時代勞動關系的新特征，只要掌控了勞動者關鍵的個人信息就足夠產生驅動勞動者的支配力，這也是為何新業態下美團等眾包工作用人單位可以不依賴勞動合同的從屬性而支配勞動者的原因，不加約束的算法規則所營造出的“多勞多得”實際上是數字剝削的騙局，勞動關系從弱從屬性走向強支配性已然改變了傳統勞動關系的運行規則。勞動基準法需要對這種非傳統的勞動關系運行規則進行基準化，尤其是對勞動過程的控制規則設置底線性的約束，因此就必然需要通過勞動基準法對勞動者的個人信息進行保護。

（二）現有的個人信息保護立法對勞動者救濟不足

首先，個人信息保護的規則本身缺乏對勞動者弱勢地位的考量。個人信息保護立法本身承載著個人信息的保護和利用之間的矛盾［10］，其規則的設計是建立在主體平等地位的基礎之上的，例如《個人信息保護法》中最重要的“知情同意”規則就是適用于平等主體之間的意思自治理念的體現。勞動者所面臨的首要問題是如何防止因弱勢地位導致的對其個人信息安全的侵害，而不是合理開發和利用其個人信息的問題，這種立法理念的偏差注定了《個人信息保護法》在規則設計上難以負擔對勞動者傾斜保護的任務。

其次，個人信息保護立法在私人救濟路徑和公力救濟路徑的選擇上同時存在適用障礙和不完善的問題。《民法典》《個人信息保護法》提供的救濟路徑主要基于侵權法，勞動者通過訴訟或者仲裁的私人路徑尋求個人信息權益的救濟一方面容易導致勞資關系破裂，另一方面即便勞動者在事后進行維權也面臨著舉證困難、維權成本過高的問題，這種因欠缺對勞資關系特殊性的考量導致的路徑障礙倒逼勞動者接受個人信息被侵犯的現實。此外，《個人信息保護法》雖然同時具備公法和私法屬性，但在解釋與適用時，公私法如何配合與適用仍莫衷一是［11］，并且其所提供的公法救濟主要依賴國家網信部門協調，而勞動部門的執法權限也尚未明確，公力救濟路徑的不完善導致難以實現對勞動者的有效保護。

最后，勞動者個人信息保護的立法現狀要求在勞動基準法中奠定勞動者個人信息保護的體系基礎?！秱€人信息保護法》對勞動者的保護僅僅依靠第13 條第2 項規定顯然是遠遠不夠的，這說明現有的立法體系放棄了在《個人信息保護法》中采取專門章節立法保護勞動者的模式，這種做法符合我國個人信息保護實踐基礎薄弱的現實，《個人信息保護法》生效后以第13 條第二項的實踐狀況為依據在勞動法體系中進一步完善對勞動者的個人信息保護制度是更為穩妥的立法路徑，而勞動基準法是勞動者權益保護的底層立法，是目前探索并構建勞動者個人信息保護體系基礎的最佳選擇。

（三）個人信息安全攸關勞動者其他基準權益

前文述及用人單位借助新技術結合個人信息強化了對勞動關系的過程控制，在這個過程中同時也危害了勞動者其他基準權益的實現。首先，因勞動者個人信息安全得不到保障而導致的就業歧視問題最為明顯。這種現象普遍發生于招聘求職階段，除了基于生理條件的歧視以外，越來越多的用人單位利用《中華人民共和國勞動全國法》（以下簡稱《勞動合同法》）中勞動者的告知義務條款，通過心理測試、背景調查，甚至詢問懷孕計劃、原生家庭狀況等生活資訊來篩選勞動者［12］，其中部分措施實際上已超過了《勞動合同法》中用人單位了解勞動者的權利范圍。

其次，使用勞動者個人信息進行人力資源開發也對工時、休息等勞動基準的實現產生嚴重破壞，例如美團外賣利用算法不斷壓縮騎手的送餐時間［13］本質上就超出了人力資源優化的合理限度，是對勞動者剩余價值的壓榨，放任這種做法會導致對勞動基準法中工時、休息制度的變相破壞［14］，同時也十分容易引發職業安全事故，2021 年國家市場監督管理總局頒布的《關于落實網絡餐飲平臺責任切實維護外賣送餐員權益的指導意見》中要求平臺不得將“最嚴算法”作為考核要求，應當遵循“算法取中”的理念，這實際上就是一種規范用人單位的勞動者個人信息處理規則的做法，本質上就蘊含著保護勞動者個人信息安全以保障其他勞動基準權益的理念。

二、勞動基準立法實現勞動者個人信息保護的可行性分析

勞動基準法具有底線性、法定性、強制性的特點，通過勞動基準法實現勞動者個人信息保護的可行性在于勞動基準法本身的這些特性與目前勞動者個人信息保護所面臨的困境之間具有契合性，同時它們也決定了這種可行性的限度，通過勞動基準法一勞永逸地解決勞動者個人信息保護問題也是不切實際的?？尚行苑治黾纫赋鰟趧踊鶞史ń鉀Q勞動者個人信息保護問題的積極作用，同時也要避免使其負擔不合理的立法任務。

（一）底線性與個人信息的保護不足問題

勞動基準法具有底線性，旨在保障勞動者最大限度的工作待遇，而我國勞動者的個人信息保護亟須托底性的基礎性規則。首先，《個人信息保護法》為勞動者提供的特別保護規則僅有第13條第2 款，但嚴格來說，該條款也并不能解釋為是對勞動者的傾斜保護，而應當解釋為一種“雙保護”，該條款一方面通過“必需”來限制用人單位處理勞動者個人信息，另一方面也肯定了用人單位基于勞動合同和人力資源管理來開發利用勞動者個人信息的權利，可見《個人信息保護法》并不包含傾斜保護原則的視角，更無從基于該原則為勞動者的個人信息保護建立有效的底線保護。其次，勞動者的個人信息安全狀況既是客觀的勞動條件又是勞動關系運行規則的重要影響因素，如同工資、工時、休息休假制度一樣，勞動者的個人信息安全也可以設定最低的基準，包括勞動關系不同階段、勞動者個人信息不同處理場景下的最低要求，勞動基準法對于這一點的實現是具有可行性的。

勞動基準法的底線性也意味著其提供的保護僅在最低限度內具有可行性。由于個人信息的概念內涵和法律屬性具有復雜性，尤其是勞動者基于工作領域產生的個人信息具有特殊性，例如用人單位監督員工履行勞動義務以及進行人力資源管理本身具有合法性，這表示對于更復雜的勞動者個人信息處理情景，通過基準化的路徑來保護勞動者的可行性會大打折扣，而罔顧勞動基準法底線性的特點強行提供高標準的保護同樣也不利于勞動基準的普及和執行［15］。但這種保護不足的現象并不能完全否定勞動者個人信息基準化路徑的可行性，而是引導勞動基準法在力所能及的范圍內對勞動者個人信息提供恰當的保護。

（二）法定性與個人信息的協商利用問題

勞動基準法具有法定性，是國家干預不平等主體之間的意思自治以實現實質平等的表現，這意味著勞動者個人信息保護基準化后，部分關于勞動者個人信息的權利義務關系將直接預設為勞動關系的內容，同時也將排除當事人對個人信息處理的意思自治，有助于糾正目前企業以自主管理權為名過度侵犯勞動者個人信息權益的亂象。

同時需要明確的是，基準化的法定性并非完全否定“知情同意”規則，排斥意思自治以保護勞動者個人信息的可行性建立在完善“知情同意”規則的基礎之上。數字經濟時代中，數據作為生產要素有開發利用的巨大價值，勞動者的個人信息也不例外，這也是驅使企業開發利用勞動者個人信息的原動力之一，但勞資雙方因個人信息處理而產生權利沖突的根本原因在于法律的缺位。除了限縮“知情同意”規則，勞動基準的法定性則要求確立勞資雙方對于個人信息處理的權利邊界，例如明確勞動者個人信息的類型及其權利范圍、實現勞動者個人信息處理規則的場景正義［16］等等，這些措施都將為勞資之間的協商談判奠定有效的磋商基礎。

（三）強制性與勞動監察成本問題

勞動基準法具有強制性的特點，通過勞動基準法為勞動者的個人信息保護提供公權力保障具有可行性，尤其是來自勞動監察部門的執法監管。目前的勞動者個人信息保護缺乏公權力保障，《個人信息保護法》提供的救濟途徑以私力救濟為主，在公力救濟方面的主導部門也并非勞動部門，同時《個人信息保護法》第7 章所規定的法律責任也并不適合勞動者個人信息保護的情景，例如第66 條第2 款中按營業額的百分比進行罰款以及停業整頓和吊銷許可的做法鮮見于勞動監察立法中，該做法并不利于保護勞動者，甚至與勞動者的利益需求背道而馳，而勞動基準法產生的公法效果以責令改正和罰款補償為主，既能對用人單位產生威懾效果也能保障勞資關系的和諧穩定。

與此同時，公權力保障事實上還面臨著行政執法成本的問題。我國目前的勞動監察范圍本身已經十分寬泛［17］，將個人信息保護納入勞動基準立法中必然引發由成本問題導致的有效性方面的質疑。但首先需要澄清的是，提供公權力保護勞動者個人信息的主張并非完全建立在“國家本位”的傳統行政思想，而是基于勞動者個人信息保護的必要性，并且為其提供公權力保障也不意味著不計成本地進行行政干預。盡管勞動監察成本的增加難以避免，但這也是政府面對數字時代無法回避的問題，并且只要選擇差異性監管等成本節約型方案來消解行政成本問題，勞動者個人信息保護的基準化路徑就具有可行性。

（四）小結

勞動基準法的底線性和法定性共同指向了現有勞動者個人信息保護規則的適用困境。同時，勞動基準法的強制性特點則契合于目前的勞動者個人信息保護的救濟困境。盡管受限于“最大限度保護”、勞動者個人信息開發障礙、公力救濟成本問題等阻礙因素，但整體而言，根據底線性與法定性的要求限縮“知情同意”規則以及類型化勞動者個人信息處理規則、通過強制性特點補充有效的公力救濟手段等措施都體現了勞動基準法路徑實現勞動者個人信息保護的可行性。

三、《基本勞動標準法》中勞動者個人信息保護的立法建議

通過勞動基準法實現對勞動者的個人信息保護是建立在我國目前一般個人信息保護制度的基礎上的，是一般規則下的特殊規則，因而我國《基本勞動標準法》中的個人信息保護制度既要符合勞動基準保護的一般規律，也要實現與現有個人信息保護制度的有效銜接。

（一）設立禁止性規范限縮勞動者個人信息處理規則

由于我國目前的個人信息保護立法缺乏對勞動者的針對性保護，如何限縮目前的個人信息處理規則在勞動關系領域中的適用已成為勞動者個人信息保護議題的重點。首先，關于“知情同意”規則，勞動者面臨著因其弱勢地位而難以做出“有效同意”的困境，因而澳大利亞、德國、芬蘭、法國和英國等國家的個人信息保護立法都否認將勞動者同意作為信息處理的合法性依據［18］，也有學者主張通過目的限制與比例原則平衡勞動者的個人信息權益保護與信息利用［19］；其次，《個人信息保護法》第13 條第2 款中的“必需”作為一種典型的“語境依賴型”概念，如何進行法律解釋以限制該條款的濫用也十分困難［20］。此外，《勞動合同法》第8 條關于勞動者的說明義務，對于“與勞動合同直接相關”的解釋也面臨著同樣的問題，在個人信息保護的范疇中“直接相關”的解釋方向需要轉向限縮以實現對勞動者的保護。上述問題的解決方案往往以對“合理原則”“最小損害原則”“比例原則”等抽象規則的把握作為重心，但在勞動基準法中重述一遍個人信息保護的原則性規定并無多大裨益。

勞動基準法作為強行性規范，通過設立禁止性規范對個人信息處理的一般規則進行具體化是更具可操作性的方案。勞動基準法應當盡可能地通過禁止性規范列舉實踐中侵犯勞動者個人信息權益的常見情形，例如背景調查、非常規的性格測試、詢問懷孕計劃、基于面部識別的智能監控、非工作場所的視頻監控等情形，積極將取得共識的侵犯勞動者個人信息權益的行為轉化為禁止性規范。一方面禁止性規范有利于用人單位保護勞動者個人信息權益合規工作的開展，另一方面也能夠幫助勞動者形成客觀的個人信息權益“邊界感”，準確認知用人單位侵犯個人信息權益的行為，更重要的是，勞動基準法可以借禁止性規范幫助更好地揣摩國家對弱者保護的實際尺度，發揮其對抽象原則適用的指導作用［21］。

（二）勞動者個人信息的分級處理

由于勞動者個人不同信息的功能、價值和作用不同，因而對勞動者個人信息保護進行基準化應當建立在分級處理的基礎之上。就個人信息的重要程度而言，勞動者的個人信息可以分為敏感信息和一般信息，這也是基于《個人信息保護法》的一種重要區分方式，即使存在處理敏感個人信息的合法性基礎，企業也需要遵循更嚴苛的處理規則；就勞動者的個人信息的作用來說，勞動者的個人信息可以劃分為與勞動關系無關的其他社會關系所產生的個人信息、勞動者在工作場所產生的一般信息、完全由勞動關系賦予的個人信息，與勞動關系結合越緊密的個人信息對企業管理的作用越大，用人單位處理該個人信息的合法性基礎就越強，對其保護必要性也就越弱，這也與勞動者的從屬性認定具有一致的法理邏輯。

首先，勞動者的敏感個人信息與勞動者的人格尊嚴和財產安全具有重要關聯，因而處于勞動基準保護的第一階梯。勞動基準法對該層次的個人信息可以沿用個人信息保護法對于敏感個人信息的處理規則，在除了勞動者的個別同意以外，勞動基準法還應當列舉法定的允許處理的情形，具體化基于公益原則、勞動者利益等情形下的規則適用。

其次，與勞動關系無關的其他社會關系所產生的個人信息處在勞動基準保護的第二階梯，因為該類型的信息與勞動關系的關聯性較弱，用人單位缺少收集該類型信息的必要性和合法性基礎，對于該類型的勞動者個人信息的處理和收集應當適用嚴格的比例原則。

再次，勞動者在工作場所產生的一般信息位于勞動基準保護的第三階梯，例如網頁瀏覽記錄、監控畫面、工作地點定位等，勞動基準法對該類型的信息應當在收集上放寬標準，在信息處理與存儲規則上設置指引性規范，例如保障勞動者對個人信息處理規則的知情權、增強用人單位自動化決策的透明度、規范勞動者個人信息存儲介質的運行安全等等。

最后，完全由勞動關系賦予的個人信息則缺乏保護的必要性，如職位信息、工資數額、職務行為等?？傮w上說，勞動基準法主要關注對于第一、二階梯信息的保護，此外的信息通過倡導性規定提供指引即可，而對于不同行業的勞動者個人信息處理規則也可以依據該原則進行具體細化。

（三）強化勞動監察保障勞動者個人信息安全

勞動基準的執行依賴勞動監察部門的參與和監督，保障勞動者的個人信息權益則要求將該事項納入勞動監察的范圍。《個人信息保護法》第60 條確立了國家網信部門作為個人信息保護工作的主導和統籌部門，而勞動者的個人信息保護困境與其人身從屬性關系息息相關，勞動保障行政部門更適于為之提供更豐富且直接有效的保障措施，例如直接進入有關用人單位檢查、要求用人單位配合查閱和復制有關勞動者個人信息處理的資料以及詢問有關人員、宣傳國家關于勞動者個人信息保護的相關政策法規、引導和要求用人單位整改落實勞動者個人信息保護制度等等。

在強化勞動監察保障勞動者個人信息安全的同時也應當做好配套措施。一方面需要強化勞動監察的執法力量，勞動監察行政部門應當建立起與工會的聯合監督機制，尋求公力救濟與社會救濟的最大合力，除了及時查處勞動違法行為，勞動監察行政部門可以借助工會縮小勞動者與用人單位之間對于個人信息處理協商利用的談判能力差距［22］，增強勞動者的維權意識與用人單位的守法意識，實現柔性監管。另一方面也要建立差異性監管的機制以緩解行政成本的負擔，例如根據《個人信息保護法》第62 條的規定考慮減輕或免除小型企業的個人信息處理責任；對于涉及勞動者較多的企業，如勞務派遣公司、互聯網公司等，可以根據《個人信息保護法》第60 條建立起勞動監察部門與網信部門的協調工作機制。

此外，對于新業態下的勞動者管理形式，勞動基準立法可以秉持開放的立場，既要滿足企業合理使用勞動者個人信息的正當需求，也要尊重勞動者享有“體面勞動”的權利，通過勞動監察部門的介入來平衡勞資關系，強化協商談判的有效性。

四、結語

人工智能和大數據技術的發展和應用使得量化勞動者成為可能，在機器全面代替人類實現生產勞動的時代到來之前，勞動者的個人信息已成為演繹和束縛勞動者自身的代碼標簽，勞動者像機器一樣工作正成為現實。勞動關系的從屬性決定了發生在勞動領域的信息剝削問題一定更為嚴重，而現有的勞動法卻缺少將勞動者的個人信息安全作為勞動條件的自覺性，作為保障勞動者基本權益的勞動基準法應當擔負起在數字時代保衛勞動者“數字人權”［23］的使命。勞動基準法應當做好與《個人信息保護法》的銜接工作，此外，通過設立禁止性規范進一步限縮知情同意規則，進一步回應背景調查、智能監控、非常規性格測試、基于生物信息的自動化決策等頻發的侵犯勞動個人信息權益的職場問題，對勞動者個人信息采用更清晰的分級管理規則，平衡用人單位與勞動者對個人信息使用的利益沖突，通過勞動監察實現對勞動者個人信息保護的現實依托。

注釋

①參見《環衛工智能手環“監工”功能惹爭議，原地停留20 分鐘就“報警”》，載鳳凰網，https：／ ／v.ifeng.com／c／v／38558eb5-b938-46f4-b567-f976f1241ee3，2022 年11 月1 日訪問。

②我國文獻中“勞動標準”與“勞動基準”存在混用情況，后文將采用“勞動基準”的表述，兩者概念內涵基本一致，參見劉俊主編.勞動與社會保障法學［M］.北京：高等教育出版社，2017：189；王全興，沈同仙，馮彥君，王文珍.專家談：勞動基準問題［J］.中國勞動，2011（05）：7.

③參見全國人大社會建設委員會關于第十三屆全國人大第四次會議審議報告，載中國人大網，http：／ ／www.npc.gov.cn／npc／c30834／202110／beac3521f2df434ca84bcec655aa5133.shtml，2023 年2 月25 日訪問。

④參見張學娟、深圳市領達小額貸款有限公司勞動合同糾紛案，廣東省高級人民法院（2020）粵民申8843 號再審審查與審判監督民事裁定書。