「聲明」本文系樹人律師事務所律師及職員撰寫原創文章，同步公開發表在樹人律師事務所微信公眾號及網站上，

            文章著作權屬樹人律師事務所所有，在其他平臺或媒體發布、轉載需經樹人律師事務所許可。

            取得許可在文末掃碼關注“樹人律師”進行聯系。

---

2021年8月20日，中華人民共和國第十三屆全國人民代表大會常務委員會第三十次會議通過了《中華人民共和國個人信息保護法》（以下簡稱“個人信息保護法”），并決定自2021年11月1日起實行?！秱€人信息保護法》的出臺對用人單位在勞動用工過程中的個人信息保護有了新的要求。樹人律師在本文中將以《個人信息保護法》的實施為切入點，梳理總結用人單位在勞動用工過程中對勞動者個人信息保護的責任。

 

一、個人信息與用人單位

 

（一）個人信息的界定

 

根據《中華人民共和國民法典》第一千零三十四條第二款的規定，個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

 

（二）用人單位在個人信息保護中的角色

 

在《個人信息保護法》中，個人信息的處理主要包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。個人信息處理者是指個人信息處理活動中自主決定處理目的、處理方式的組織、個人。

 

用人單位在員工招聘、勞動合同履行過程中，依照《中華人民共和國勞動合同法》第八條“……；用人單位有權了解勞動者與勞動合同直接相關的基本情況，勞動者應當如實說明”及其他相關法律、法規的規定，有權收集、存儲、使用、加工、傳輸、提供、公開與勞動合同直接相關的員工個人信息，從而成為個人信息處理者。

 

二、用人單位處理員工個人信息應遵循的原則

 

（一）合法、正當、必要和誠信原則。用人單位在處理員工個人信息過程中應當符合法律、行政法規等相關的規定、符合社會的政策或行為規范的要求、符合員工利益或社會公共利益，并具有必要性。用人單位不得通過誤導、欺詐、脅迫等方式處理個人信息。

 

（二）嚴禁過度收集個人信息。誠如上述，用人單位在員工招聘過程中有權了解員工與勞動合同直接相關的基本情況。處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。實踐中，用人單位經常性借此過度收集員工個人信息，如用人單位過度收集勞動者父母職務、收入、勞動者婚姻狀況、生育情況等與勞動合同無直接關聯性的信息。

 

（三）公開、透明原則。用人單位在處理個人信息時應當事先充分告知（包括處理的目的、方式和范圍）并取得個人同意，同時，保障個人撤回同意或拒絕或限制性提供個人信息的權利。

 

（四）保證個人信息準確的原則。用人單位在處理員工個人信息過程中，應當保證個人信息準確，避免因個人信息不準確、不完整對個人權益造成不利影響。

 

（五）采取必要保障措施。用人單位應當對處理員工個人信息活動負責，采取必要措施保障員工個人信息在處理活動中的安全。

 

三、用人單位處理員工個人信息應當遵循的規則

 

（一）一般規則

 

1.“告知—同意”是核心

 

用人單位在處理員工個人信息時應當及時充分告知員工本人，并取得員工的同意。同時，員工享有撤回同意的權利。

 

2.不需要員工同意的特殊情形

 

（1）按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需；

 

（2）為履行法定義務所必需，如人民法院、人民檢察院、公安機關要求提供的；

 

（3）為應對突發公共衛生事件，或緊急情況下為保護自然人的生命健康和財產安全所必需；

 

（4）為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息；

 

（5）在合理范圍內處理個人自行公開或者其他已經合法公開的個人信息。

 

需要注意的是：法律雖然未要求員工個人同意，但是，法律也未免除用人單位在作為個人信息處理者處理員工個人信息時的告知義務。

 

（二）敏感個人信息處理規則

 

敏感個人信息是指一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息。包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息。

 

根據《個人信息保護法》的要求，只能在具體特定的目的和充分的必要性，并采取嚴格保護措施的情形下方可處理敏感個人信息。因此，用人單位在收集到有關上述敏感個人信息后應當妥善保管，非有關有權機關調查或其他特定目的和充分必要的情況下，均不應公開或隨意處置。

 

（三）告知內容

 

用人單位在告知員工個人信息處理時，應當采用顯著方式、清晰易懂的語言真實、準確、完整地告知。主要內容包括：

 

●用人單位作為個人信息處理者的姓名、聯系方式；

●處理目的、處理方式、處理的種類、保存期限；

●個人針對用人單位處理個人信息的權利和程序。

 

用人單位在特殊情形下履行告知義務：

 

1.告知員工的部分事項發生變更的，應當將變更部分告知個人。

 

2.緊急情況下為保護自然人的生命健康和財產安全無法及時告知的，應當在緊急情況消失后及時告知。

 

3.若根據法律、行政法規規定應當保密或者不需要告知的情形的，可以不告知。

 

4.對于處理敏感個人信息，除告知上述內容外，還應告知必要性及對個人權益的影響。

 

5.用人單位若存在因合并、分立、解散、被宣告破產等需要轉移個人信息的，應當告知個人接受者的名稱或姓名及聯系方式。接受者應當繼續履行相關義務。

 

若需要變更處理方式、目的的，應當經過個人的重新同意。

 

四、合規建議

 

1.提高員工個人信息保護意識。用人單位作為個人信息處理者應當有意識地去保護員工個人信息，思考員工個人信息保護的方式、方法。

 

2.建立健全員工個人信息保護制度并落地執行。建立健全員工個人信息保護制度的目的在于確保個人信息保護有所依據，員工個人信息保護制度應當包括個人信息保護的目的、處理的方式、處理的機構、審批流程、保護措施、員工個人享有的權利及履行的程序、責任追究等。

 

3.充分了解個人信息保護的合規義務。合規義務是指用人單位在處理員工個人信息過程中的法律、行政法規、行業規范、公序良俗等所要求必須履行的義務，若不履行或怠于履行義務將會受到包括民事、行政、刑事責任的追究。

 

---