招聘中的個人信息保護風(fēng)險點

文/孫琳 漆思瑤

企業(yè)在招聘過程中，需要對應(yīng)聘者的能力、性格特點等進(jìn)行評估，以確定其能力、個人特質(zhì)是否與崗位的要求相匹配。因此，收集應(yīng)聘者與崗位相關(guān)的個人信息是招聘中必不可少的環(huán)節(jié)之一。但企業(yè)如果收集了合理范圍之外的應(yīng)聘者個人信息，或?qū)κ占膽?yīng)聘者個人信息沒有采取足夠的保護措施，就可能引起與應(yīng)聘者之間的糾紛，甚至需要承擔(dān)法律責(zé)任。所以，在招聘活動中，企業(yè)需要了解哪些是可為的，哪些是不可為的，并建立相應(yīng)的個人信息保護操作流程以確保招聘中個人信息收集、處理、保存各環(huán)節(jié)的合規(guī)性，防范相關(guān)風(fēng)險。

常見風(fēng)險點

企業(yè)在招聘活動中收集應(yīng)聘者的個人信息并加以保存，是企業(yè)和應(yīng)聘者雙方都習(xí)以為常的。但在我國法律法規(guī)對企業(yè)個人信息保護的要求日益嚴(yán)格的情況下，一些企業(yè)固有的操作流程很可能觸及個人信息保護的“紅線”。在企業(yè)招聘活動中，以下幾個方面是風(fēng)險的高發(fā)區(qū)：

●超出合理范圍要求應(yīng)聘者披露個人信息

很多用人單位在招聘時會請應(yīng)聘者填寫婚姻狀況、生育狀況、家庭成員等信息。但《勞動合同法》第八條規(guī)定，用人單位有權(quán)了解勞動者與勞動合同直接相關(guān)的基本情況。這意味著，與勞動合同不直接相關(guān)的勞動者個人信息，用人單位一般無權(quán)了解。尤其是前文提及的個人敏感信息，用人單位不宜在招聘過程中收集，否則可能會侵犯勞動者的個人隱私，或者構(gòu)成就業(yè)歧視。

以婚育信息為例，根據(jù)2019 年2 月28 日人社部、教育部等九部門聯(lián)合發(fā)布的《關(guān)于進(jìn)一步規(guī)范招聘行為促進(jìn)婦女就業(yè)的通知》，收集婦女的婚育信息將構(gòu)成對婦女的就業(yè)歧視，是被禁止的。該《通知》明確規(guī)定，“依法禁止招聘環(huán)節(jié)中的就業(yè)性別歧視”“不得詢問婦女婚育情況”“不得將妊娠測試作為入職體檢項目，不得將限制生育作為錄用條件”。

●未充分告知及取得應(yīng)聘者的同意

很多企業(yè)在應(yīng)聘者填寫個人信息之前，并未充分告知收集應(yīng)聘者信息的目的、用途等，也不會取得應(yīng)聘者的明示同意。在這種情況下，即使應(yīng)聘者是自愿填寫個人信息的，也可能事后主張因為用人單位未充分告知收集信息的目的、用途，故無權(quán)處理、保存相關(guān)信息，給企業(yè)的招聘工作帶來不必要的麻煩。

另外，大部分企業(yè)在錄用時會對應(yīng)聘者進(jìn)行背景調(diào)查，以了解其工作能力、行業(yè)評價等。然而，一些企業(yè)為防止應(yīng)聘者提前與前單位聯(lián)系準(zhǔn)備，會在未告知應(yīng)聘者的情況下就直接開展或委托第三方進(jìn)行背景調(diào)查。但是，由于背景調(diào)查的內(nèi)容可能涉及應(yīng)聘者的工資收入等敏感信息，存在應(yīng)聘者主張企業(yè)侵犯其個人隱私的風(fēng)險。

●未對應(yīng)聘者的個人信息采取保密、安全保護措施

企業(yè)收集應(yīng)聘者的個人信息后，一般會存檔或放入企業(yè)人才庫備用。但一些企業(yè)收集應(yīng)聘者個人信息后，僅僅是簡單地存放在電腦中，或企業(yè)內(nèi)部服務(wù)器上，未采取保密、安全保護措施。

實際上，企業(yè)如果通過電子郵件、內(nèi)部服務(wù)器等公司所有或管理的網(wǎng)絡(luò)收集應(yīng)聘者的個人信息，則需要履行《個人信息保護法》第十七條以及《網(wǎng)絡(luò)安全法》第四十二條規(guī)定的相關(guān)義務(wù)，包括對收集的應(yīng)聘者個人信息嚴(yán)格保密；采取技術(shù)和其他必要措施確保收集的應(yīng)聘者個人信息安全；不得泄露、篡改、毀損其收集的個人信息；以及未經(jīng)應(yīng)聘者同意，不得向他人提供應(yīng)聘者的個人信息等。

●將應(yīng)聘者的個人信息傳輸至境外

一些跨國企業(yè)的招聘工作需要位于中國境外的集團總部或其他分支機構(gòu)參與，故需要將應(yīng)聘者的個人信息傳輸至境外，甚至在境外儲存?；谌肆Y源管理需要，公司所有員工的信息都存在國外總部的管理系統(tǒng)中，或者國外總部可以隨時查看公司存儲在境內(nèi)的員工信息，這時公司要遵守信息跨境提供的規(guī)定嗎？

首先，《個人信息保護法》第三章有關(guān)跨境提供的規(guī)定是針對所有信息出境行為的，也就是說，只要個人信息被傳輸?shù)搅巳魏挝挥谖覈惩獾姆?wù)器上，都需要遵守跨境提供的規(guī)定。而公司將員工的信息存在國外總部的管理系統(tǒng)中，或者向國外總部提供員工信息，都已經(jīng)符合跨境提供個人信息的情形。因此，該情形下，公司需要按照《個人信息保護法》第三十八條、第三十九條、第五十五條的規(guī)定，滿足跨境提供個人信息的前提條件，并履行告知義務(wù)，取得個人的單獨同意，同時進(jìn)行個人信息保護影響評估。

其次，本情形下應(yīng)當(dāng)認(rèn)定為公司在向其他個人信息處理者提供其處理的信息。根據(jù)《個人信息保護法》第七十三條對于“個人信息處理者”的定義，在個人信息處理活動中自主決定處理目的、處理方式的組織、個人都屬于個人信息處理者。國內(nèi)公司與國外總部雖然屬于關(guān)聯(lián)公司，但不僅在法律上屬于互相獨立的法人主體，也都在獨立地運營和管理，能獨立決定處理個人信息的目的和方式。因此，公司將其員工信息存到國外總部的系統(tǒng)中，或者以其他方式使得國外總部接收到員工信息的，都應(yīng)當(dāng)認(rèn)定為向其他個人信息處理者提供個人信息，需要符合《個人信息保護法》第二十三條的規(guī)定（因跨境提供已經(jīng)告知過的內(nèi)容或已經(jīng)取得的同意，無須重復(fù)履行）。

企業(yè)招聘過程中的個人信息保護措施

如果要防范上述風(fēng)險，企業(yè)可以采取哪些措施呢？首先，需要先明確個人信息保護的內(nèi)容，即哪些信息屬于個人信息。

●個人信息及個人敏感信息的范疇

個人信息。根據(jù)《個人信息保護法》第四條的規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。所以，應(yīng)聘者的姓名、出生年月、聯(lián)系方式、身份證號、學(xué)歷信息、工作經(jīng)歷信息，由于可以直接或者與其他信息共同用于識別出特定個人，均屬于應(yīng)聘者的個人信息。

敏感個人信息。根據(jù)《個人信息保護法》第二十八條的規(guī)定，敏感個人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

在應(yīng)聘者的個人信息中，有一部分屬于個人敏感信息，例如應(yīng)聘者的個人財產(chǎn)信息、個人就醫(yī)記錄、身份證、性取向、婚史、宗教信仰等均屬于敏感個人信息。

企業(yè)收集應(yīng)聘者的個人敏感信息，不僅可能會侵犯應(yīng)聘者的隱私，還可能構(gòu)成對應(yīng)聘者的歧視，引起訴訟糾紛。根據(jù)《就業(yè)促進(jìn)法》第三條的規(guī)定，“勞動者依法享有平等就業(yè)和自主擇業(yè)的權(quán)利。勞動者就業(yè)，不因民族、種族、性別、宗教信仰等不同而受歧視”，同時，根據(jù)該法第六十二條的規(guī)定，“實施就業(yè)歧視的，勞動者可以向人民法院提起訴訟”。

●確立招聘中收集、處理個人信息的基本原則

明確了招聘者的哪些信息屬于個人信息，企業(yè)還需要以現(xiàn)行法律法規(guī)為依據(jù)，確立招聘中收集、處理、保存?zhèn)€人信息的基本原則，用以對招聘的全過程進(jìn)行指導(dǎo)。

我國《民法典》第一百一十一條對個人信息的保護做出了總括性的規(guī)定：“自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”同時，有關(guān)個人信息保護的單行法也逐漸完善，如《個人信息保護法》中規(guī)定：“處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠信原則，不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息?！被谖覈F(xiàn)行的有關(guān)個人信息保護的各項法律法規(guī)，筆者認(rèn)為要做到個人信息合規(guī)，應(yīng)遵循合法、正當(dāng)、必要原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。

為了保證企業(yè)招聘工作中收集、處理、保存?zhèn)€人信息的合規(guī)性，企業(yè)同樣需要將前述個人信息保護的基本原則應(yīng)用到招聘工作中，并注意以下幾個方面：

其一，在獲取應(yīng)聘者的個人信息前，明示收集、使用信息的目的、方式、范圍和規(guī)則，并取得應(yīng)聘者的同意。

其二，僅在合法、正當(dāng)、必要的范圍內(nèi)收集應(yīng)聘者的信息。即收集與應(yīng)聘的崗位相關(guān)、開展招聘活動相關(guān)的信息。

其三，妥善保存收集的應(yīng)聘者的個人信息，并采取足夠的保密以及安全保護措施。

最后，遵循法律法規(guī)對于個人信息收集、使用的規(guī)定。

●招聘各環(huán)節(jié)的應(yīng)聘者個人信息保護措施

要落實以上個人信息保護的基本原則，企業(yè)需要根據(jù)自身實際情況，制定標(biāo)準(zhǔn)化的招聘工作流程、操作規(guī)范等，并對招聘人員進(jìn)行培訓(xùn)，以保證制定的流程、規(guī)范等得到切實執(zhí)行。對此，筆者有以下建議供企業(yè)參考：

其一，收集與錄用相關(guān)的信息。在收集應(yīng)聘者的個人信息時，僅收集與勞動合同直接相關(guān)的應(yīng)聘者個人信息，包括與工作崗位相關(guān)的知識技能、職業(yè)經(jīng)歷或工作經(jīng)歷等，避免收集諸如婚姻、妊娠狀況等法律禁止收集的個人敏感信息。如果需要收集應(yīng)聘者的家庭成員信息，可以選擇在員工入職后請員工在填寫個人信息表時進(jìn)行填報，但仍需要具有合理目的，例如進(jìn)行利益沖突信息申報、緊急聯(lián)絡(luò)等。

其二，征得應(yīng)聘者的明示同意。企業(yè)無論通過何種方式收集應(yīng)聘者的個人信息，均應(yīng)事先書面告知應(yīng)聘者收集、使用相關(guān)信息的目的、方式和范圍，并取得應(yīng)聘者的明示同意。例如在官網(wǎng)的招聘欄目中或應(yīng)聘登記表中設(shè)計專門的個人信息收集告知頁面，應(yīng)聘者須閱讀告知內(nèi)容，并確認(rèn)同意。

其三，采取保密、安全措施。在儲存應(yīng)聘者的個人信息時，要采取相應(yīng)的保密和安全措施，如對保存?zhèn)€人信息的系統(tǒng)設(shè)置訪問權(quán)限等。對于應(yīng)聘者填寫的紙質(zhì)應(yīng)聘申請表格，應(yīng)當(dāng)妥善保存，并禁止與招聘無關(guān)的人士隨意查看或獲取前述記錄。

其四，注意境外傳輸?shù)南拗菩砸?guī)定。應(yīng)聘者的個人信息資料應(yīng)盡量儲存在國內(nèi)。如果境外總部或分支機構(gòu)需要參與招聘決策或分享應(yīng)聘者的個人信息，建議事先獲得應(yīng)聘者的同意。另外，企業(yè)還應(yīng)密切關(guān)注數(shù)據(jù)出境的有關(guān)法律法規(guī)及國家標(biāo)準(zhǔn)，并及時調(diào)整相關(guān)招聘流程及有關(guān)文本以符合法律規(guī)定。

其五，做好對第三方的管理。通過第三方機構(gòu)，如獵頭、招聘網(wǎng)站等進(jìn)行招聘，或通過第三方進(jìn)行背景調(diào)查的，需要在與該第三方的協(xié)議中就該第三方對應(yīng)聘者個人信息的保護措施做出約定，其義務(wù)應(yīng)當(dāng)不低于用人單位自身所承擔(dān)的義務(wù)。