用人单位视角下员工个人信息保护建议丨威科先行

用人单位视角下员工个人信息保护建议丨威科先行本站　　2. 从劳动法领域来看，《劳动合同法》规定了“用人单位可收集的员工个人信息”的大致范围

　　2. 从劳动法领域来看，《劳动合同法》规定了“用人单位可收集的员工个人信息”的大致范围。依据劳动合同法第八条的规定，用人单位可收集的员工个人信息限于“与劳动合同直接相关的基本情况”。结合实践中多数用人单位的操作，前述信息主要包括：姓名、性别、民族、国籍、身份证号码、住址、个人邮箱、健康状况、学历学位、工作经历、紧急联系人（或主要家庭成员）等。

　　对于婚姻、生育状况、性取向、家庭情况、宗教信仰等信息，根据检索的相关案例来看，裁判者一般认为前述信息与劳动合同的履行没有必然关联，不属于“与劳动合同直接相关”的信息。

　　1. 用人单位应遵循收集最小必要、存储时间最小化、去标识化处理等原则，如实告知员工信息用途，并通过书面方式，得到员工书面同意，并向员工明确说明其权利义务及相应救济途径。

　　2. 员工离职的情况下，对于员工的个人信息保存期限以及期限届满如何处理员工的个人信息，应予以细化处理。根据现行劳动法规之规定，员工离职后，用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。在涉及农民工工资支付的领域，用人单位应当按照工资支付周期编制书面工资支付台账，并至少保存三年。

　　1. 除取得员工的书面同意外，用人单位在使用员工的个人信息时应当遵循“正当、合理”原则。如仅在小范围内进行通报，个人其他信息隐藏等方式进行。

　　2. 同时，用人单位应当特别注意，用人单位虽可收集使用信息，除特殊情况外（疫情、刑事调查等），一般来说并无披露权利及义务。《就业服务与就业管理规定》中规定：“用人单位应当对劳动者的个人资料予以保密。公开劳动者的个人资料信息和使用劳动者的技术、智力成果，须经劳动者本人书面同意。” 因此，用人单位在收集劳动者的个人信息后，应当采取必要的保护和管理措施，防止信息的泄露以及未经劳动者同意的非法使用，以保护劳动者的隐私权不受侵犯。

　　对于已经收集到的员工个人信息，用人单位应采取相应的安全措施，避免发生泄露、毁损、篡改等事件。另外，用人单位可以采取明确岗位职责，建立安全事件的处罚机制；对储存介质进行加密处理；加强对接触、保管相关个人信息的员工进行培训，签订保密协议、防止相关员工在经手时泄露、毁损、篡改相关个人信息等措施提升安全能力。

　　1. 在用人单位使用人力资源公司等第三方服务、用人单位需要核实第三方的数据合规能力，并且在双方的合同中，需要明确相关个人信息保护的权利义务和责任。在2020年《规范》项下，对于间接获取的个人信息，用人单位应要求信息提供方说明个人信息来源，并对其个人信息的合法性进行确认，并要求信息提供方提供相应授权等。

　　实践中，背景调查可以说是个人信息保护相关争议的重灾区。用人单位在与第三方背景调查公司合作时，尤其需要注意以上合规风险。

　　2. 面对并购、重组、破产、转让等情况时，过程中可能会涉及到劳动人事方面的尽职调查，很可能会出现用人单位需员工的个人信息等需要提供给并购方及其中介机构的情况。因此，用人单位需要事先取得员工的同意，笔者认为，最好在员工入职时全面添加用人单位需要将员工个人信息提供给他人的情景。如用人单位涉及破产且无承接方的，对相关数据应做删除处理。

　　在2020年《规范》项下，用人单位需明确责任部门与人员，个人信息保护负责人应由具有相关管理工作经历和个人信息保护专业知识的人员担任，参与有关个人信息处理活动的重要决策直接向组织主要负责人报告工作。

　　对于符合专人负责个人信息安全工作的前提条件的用人单位，还需设置专人负责个人信息安全工作。委派个人信息保护负责人和保护机构的标准有三个：若一个组织主要业务涉及个人信息处理，且从业人员规模大于200人；处理超过100万人的个人信息，或者预计在12个月内处理超过100万人（过去是50万人）的个人信息，或者处理超过10万人的个人敏感信息。同时，规定了个人信息保护负责人的具体职责：制定个人信息保护工作计划并督促落实、制定并更新相关的政策、开展个人信息安全影响评估、开展相关培训、进行安全审计并与相关监管部门保持沟通。

　　实践中，对于处理其他领域个人信息比较少的用人单位，以上规定相当于人力资源管理部门提出了新要求、新挑战。

　　司法部全国千人涉外律师人才库专家，中国仲裁法学研究会理事，主要从事劳动法、（涉外）民商事争端解决、涉职务犯罪相关的刑事类案件。曾代理多家跨国公司进行劳动诉讼、仲裁；曾协助跨国公司进行劳动领域非诉项目。返回搜狐，查看更多