勞動(dòng)者個(gè)人信息保護(hù)的企業(yè)用工風(fēng)險(xiǎn)與合規(guī)策略

楊 華 姜秀璇

長(zhǎng)春工業(yè)大學(xué)，吉林 長(zhǎng)春 130000

一、勞動(dòng)者個(gè)人信息的具體界定及保護(hù)意義

個(gè)人信息的具體含義指用電子信息的形式和其他形式保存下來(lái)的已然識(shí)別過的或即將可以進(jìn)行識(shí)別的自然人相關(guān)的各類信息，同樣勞動(dòng)者屬于自然人的領(lǐng)域內(nèi)，基于此用人單位即企業(yè)扮演著對(duì)勞動(dòng)者個(gè)人信息收集、存儲(chǔ)、使用這一角色，在處理勞動(dòng)者個(gè)人信息時(shí)應(yīng)當(dāng)嚴(yán)格根據(jù)法律規(guī)定的內(nèi)容進(jìn)行操作，對(duì)此，企業(yè)在實(shí)行以上操作之時(shí)會(huì)面對(duì)著巨大的風(fēng)險(xiǎn)。［1］這是由于在企業(yè)用工的過程中，勞動(dòng)者的姓名、性別、身份證號(hào)碼等等一般個(gè)人信息以及相應(yīng)的敏感個(gè)人信息皆會(huì)暴露于外，鑒于此，企業(yè)更應(yīng)當(dāng)將勞動(dòng)者個(gè)人信息保護(hù)的重視程度加以提升。

（一）勞動(dòng)者個(gè)人信息的具體界定

在《個(gè)人信息保護(hù)法》中表明了勞動(dòng)者的個(gè)人信息即用電子信息的形式和其他形式將其保存下來(lái)的已然識(shí)別過的或即將可以進(jìn)行識(shí)別的和勞動(dòng)者息息相關(guān)的各類信息（在此不含匿名化處理后的信息）。就具體類型來(lái)說，勞動(dòng)者的個(gè)人信息應(yīng)當(dāng)包含一般個(gè)人信息和敏感個(gè)人信息。

首先，一般個(gè)人信息是指可獨(dú)立識(shí)別的信息或者和其他相關(guān)的信息相配合來(lái)識(shí)別的信息，通過電子的形式或者其他形式來(lái)加以收集、儲(chǔ)存、收藏的信息。其主要包括一些基礎(chǔ)個(gè)人信息，例如姓名、性別、出生年月日、身份證號(hào)碼、地址、手機(jī)號(hào)碼、電子郵箱、健康狀況等等。

其次，敏感個(gè)人信息中所包含的具體種類也很多，例如有關(guān)生物識(shí)別的信息、宗教信仰相關(guān)的信息、特殊身份的信息、行蹤軌跡信息以及不滿14周歲未成年人的信息等等。

（二）勞動(dòng)者個(gè)人信息保護(hù)的意義所在

在我國(guó)，目前通過眾多案例不難看出所謂的勞動(dòng)關(guān)系其實(shí)并不是雙方主體地位相平等的法律關(guān)系，在企業(yè)與勞動(dòng)者之間存在很強(qiáng)的人身從屬性，是勞動(dòng)者從屬于企業(yè)的一層被動(dòng)關(guān)系。［2］一方面，勞動(dòng)者對(duì)自身的個(gè)人信息擁有掌控的權(quán)利，可以對(duì)自身的個(gè)人信息是否置之于企業(yè)之中具有選擇的權(quán)利，就好比每日工作的出勤方式是否同意使用“刷臉”“刷指紋”等方式；另一方面，企業(yè)也需征得勞動(dòng)者的同意?；诖耍髽I(yè)如往常一樣對(duì)于勞動(dòng)者的個(gè)人信息處置僅僅憑借企業(yè)的想法去管理，這種做法也會(huì)給企業(yè)帶來(lái)巨大的風(fēng)險(xiǎn)。

綜上所述，對(duì)于企業(yè)來(lái)講，生產(chǎn)經(jīng)營(yíng)過程中處理客戶、用戶個(gè)人信息的合規(guī)性往往受到高度的關(guān)注，通常會(huì)忽略作為企業(yè)員工的勞動(dòng)者個(gè)人信息的保護(hù)問題?，F(xiàn)實(shí)生活中，對(duì)勞動(dòng)者信息的保護(hù)就企業(yè)而言至關(guān)重要。首先，企業(yè)對(duì)勞動(dòng)者個(gè)人信息的合規(guī)保護(hù)有利于減少違規(guī)違法行為，防范企業(yè)的用工風(fēng)險(xiǎn)；其次，有利于企業(yè)節(jié)省法律糾紛成本，將資金更好地投入到正常的生產(chǎn)經(jīng)營(yíng)活動(dòng)中，這不但是企業(yè)在經(jīng)濟(jì)市場(chǎng)穩(wěn)步發(fā)展的必然要求，這更是有利于建立規(guī)范誠(chéng)信企業(yè)文化的內(nèi)生需要。

二、企業(yè)違反《個(gè)人信息保護(hù)法》需承擔(dān)的法律責(zé)任

《個(gè)人信息保護(hù)法》的出臺(tái)對(duì)于違法違規(guī)的用人單位或個(gè)人在法律責(zé)任的承擔(dān)上均有加重。

第一，民事責(zé)任：如若企業(yè)無(wú)法證明自身或者企業(yè)內(nèi)部人員沒有過錯(cuò)的，則企業(yè)應(yīng)當(dāng)承擔(dān)損害賠償責(zé)任。損害賠償責(zé)任應(yīng)當(dāng)根據(jù)勞動(dòng)者由于此次民事侵權(quán)所遭受的財(cái)產(chǎn)損害或企業(yè)作為個(gè)人信息的處理者所獲得的財(cái)產(chǎn)利益進(jìn)行計(jì)算，或者根據(jù)無(wú)法確定的客觀存在來(lái)對(duì)賠償數(shù)額進(jìn)行最后的決定。

第二，行政責(zé)任：違反《個(gè)人信息保護(hù)法》的，應(yīng)當(dāng)由所監(jiān)管的行政機(jī)關(guān)采取以下措施：首先，給予責(zé)令改正并警告，同時(shí)需要對(duì)違法所得進(jìn)行沒收；其次，對(duì)違法處理了個(gè)人信息的相關(guān)APP應(yīng)當(dāng)采取責(zé)令卸載或者終止進(jìn)行服務(wù)的處罰，如若不加以改正，則應(yīng)當(dāng)處以100萬(wàn)元以下的罰款，同時(shí)，如果涉及到主管人員和其他相關(guān)的責(zé)任人時(shí)，應(yīng)當(dāng)對(duì)其處以1萬(wàn)元以上10萬(wàn)元以下的罰款。

第三，刑事責(zé)任：對(duì)于違反個(gè)保法規(guī)定的，不但需要在民事以及行政上承擔(dān)責(zé)任，如若構(gòu)成犯罪的，也須依法上升為追究刑事責(zé)任。

三、勞動(dòng)者個(gè)人信息保護(hù)的企業(yè)用工風(fēng)險(xiǎn)點(diǎn)

（一）企業(yè)招聘過程中的風(fēng)險(xiǎn)點(diǎn)

根據(jù)《中華人民共和國(guó)勞動(dòng)合同法》（以下簡(jiǎn)稱《勞動(dòng)合同法》）的第八條規(guī)定，不難看出主體雙方即企業(yè)與勞動(dòng)者之間皆有知情權(quán)，此知情權(quán)是指與勞動(dòng)合同有直接關(guān)系的一些基本資料（即個(gè)人信息），用人單位有權(quán)了解勞動(dòng)者與勞動(dòng)合同直接相關(guān)的基本情況，勞動(dòng)者應(yīng)當(dāng)如實(shí)說明。同時(shí)，在《個(gè)人信息保護(hù)法》的第十三條第二款也同樣規(guī)定了企業(yè)作為勞動(dòng)者的信息處理者可以在一定條件下對(duì)勞動(dòng)者的個(gè)人信息進(jìn)行處理。根據(jù)上述法律規(guī)定不難發(fā)現(xiàn)，除了與訂立勞動(dòng)合同相關(guān)的必需信息（姓名、性別、年齡、學(xué)歷等）之外，其他非必要的信息（家庭成員、成員職務(wù)、聯(lián)系方式、婚育狀況等），必須取得勞動(dòng)者的同意后才可以進(jìn)行信息收集。［3］基于此，企業(yè)所面臨的困境即如若企業(yè)以勞動(dòng)者拒不提供個(gè)人信息為由拒絕錄用勞動(dòng)者，企業(yè)很大程度上會(huì)面臨被以侵權(quán)為由遭到勞動(dòng)者起訴的風(fēng)險(xiǎn)。

（二）企業(yè)日常管理中的風(fēng)險(xiǎn)點(diǎn)

勞動(dòng)者的個(gè)人信息貫穿于用工管理的全過程，例如，企業(yè)為了保證勞動(dòng)者的工作能力和個(gè)人背景的信息真實(shí)，會(huì)對(duì)勞動(dòng)者進(jìn)行背景調(diào)查。企業(yè)通常會(huì)通過第三方機(jī)構(gòu)來(lái)對(duì)勞動(dòng)者進(jìn)行背景調(diào)查，在一定程度上會(huì)在勞動(dòng)者完全不知情的情況下進(jìn)行背景調(diào)查，也即易產(chǎn)生“暗地調(diào)查”的風(fēng)險(xiǎn)，就好比企業(yè)以調(diào)查結(jié)果與勞動(dòng)者的陳述不相符合為由不予錄用，將很有可能被勞動(dòng)者提起勞動(dòng)仲裁，甚至?xí)媾R遭到行政處罰的風(fēng)險(xiǎn)。

再如勞動(dòng)者入職后，首先，電子設(shè)備（監(jiān)控、電腦等）很可能與勞動(dòng)者的隱私權(quán)產(chǎn)生沖突，企業(yè)由此將會(huì)承擔(dān)相應(yīng)的民事責(zé)任的風(fēng)險(xiǎn)。其次，企業(yè)因業(yè)務(wù)或日常管理的需要會(huì)將勞動(dòng)者信息交由第三方，由此也會(huì)引發(fā)相應(yīng)的風(fēng)險(xiǎn)，例如，因體檢需要將勞動(dòng)者個(gè)人信息交給醫(yī)療機(jī)構(gòu)；因代發(fā)工資需要將勞動(dòng)者個(gè)人信息交給人力資源公司；或因法律需求需要將勞動(dòng)者個(gè)人信息交給相關(guān)法律機(jī)構(gòu)等等。若事前沒有與勞動(dòng)者約定，或者沒有征求勞動(dòng)者的同意，將很有可能面臨勞動(dòng)者知情后進(jìn)行舉報(bào)進(jìn)而遭到行政處罰的問題。

（三）企業(yè)在勞動(dòng)者離職后的風(fēng)險(xiǎn)點(diǎn)

在《勞動(dòng)合同法》第五十條規(guī)定中表明企業(yè)應(yīng)當(dāng)對(duì)已經(jīng)解除或者終止的勞動(dòng)合同的文本保存至少兩年留作備查。在《工資支付暫行規(guī)定》中還明確提出，企業(yè)支付給勞動(dòng)者的工資金額以及勞動(dòng)者的勞動(dòng)時(shí)間、收款者姓名和簽字蓋章均應(yīng)當(dāng)記入記錄內(nèi)，并且保存兩年以上留作備份。根據(jù)以上規(guī)定可以看出，企業(yè)與勞動(dòng)者的勞動(dòng)合同文本、工資支付記錄等應(yīng)當(dāng)保存兩年以上，一旦發(fā)現(xiàn)勞動(dòng)者離職，企業(yè)對(duì)于勞動(dòng)者的人臉識(shí)別、指紋等信息的繼續(xù)存留，則將會(huì)使其面臨對(duì)勞動(dòng)者個(gè)人信息保護(hù)不佳的法律問題。［4］

四、勞動(dòng)者個(gè)人信息保護(hù)的企業(yè)合規(guī)策略

（一）規(guī)章制度層面對(duì)勞動(dòng)者信息保護(hù)的合規(guī)對(duì)策

《個(gè)人信息保護(hù)法》第五章明確闡述了信息處理者應(yīng)盡的義務(wù)，企業(yè)應(yīng)當(dāng)積極地在制度層面對(duì)個(gè)人信息的保護(hù)予以規(guī)范。［5］首先，在規(guī)章制度中應(yīng)當(dāng)規(guī)定以下內(nèi)容：第一，個(gè)人信息保護(hù)組織機(jī)構(gòu)的設(shè)立，以及明確該機(jī)構(gòu)與機(jī)構(gòu)人員責(zé)任的規(guī)定；第二，對(duì)勞動(dòng)者個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供乃至公開等管理處理的規(guī)定；第三，違反勞動(dòng)者信息保護(hù)規(guī)章制度的處罰規(guī)定等等。首先，企業(yè)還亟需構(gòu)建一套成熟有效的勞動(dòng)者信息保護(hù)的申訴機(jī)制，此申訴機(jī)制直接面向勞動(dòng)者，使其在受到侵權(quán)后存在有效合理的救濟(jì)方式。其次，企業(yè)也應(yīng)當(dāng)對(duì)勞動(dòng)者定期進(jìn)行個(gè)人信息保護(hù)的安全教育培訓(xùn)，使勞動(dòng)者在自身層面提升對(duì)其信息保護(hù)的安全意識(shí)。最后，企業(yè)還需制定一系列如若勞動(dòng)信息泄露后如何處理的應(yīng)急措施，以便更好地解決相應(yīng)的問題。

（二）企業(yè)在招聘中對(duì)個(gè)人信息保護(hù)的合規(guī)對(duì)策

第一，在企業(yè)的招聘過程中，應(yīng)當(dāng)要求勞動(dòng)者自行填寫個(gè)人信息材料，并且在相應(yīng)的招聘文件中讓勞動(dòng)者同意自愿提供個(gè)人信息用于應(yīng)聘，同時(shí)承諾所提交個(gè)人信息的真實(shí)性。

第二，企業(yè)在對(duì)勞動(dòng)者的背景調(diào)查前應(yīng)當(dāng)征求勞動(dòng)者的同意并且授權(quán)，需要?jiǎng)趧?dòng)者簽署勞動(dòng)者背景調(diào)查的授權(quán)委托書，并且在授權(quán)委托書中表明若勞動(dòng)者虛假陳述的后果，這樣一來(lái)也有利于企業(yè)對(duì)提供虛假履歷的勞動(dòng)者的有效處理。

（三）企業(yè)在日常管理中對(duì)勞動(dòng)者信息保護(hù)的合規(guī)對(duì)策

在日常管理中，企業(yè)對(duì)勞動(dòng)者的個(gè)人信息應(yīng)當(dāng)擔(dān)負(fù)起保密的義務(wù)，并且需要安全妥善地保管。在現(xiàn)實(shí)生活中，眾多企業(yè)的簽到以指紋、面部識(shí)別為主要方式，這些都應(yīng)當(dāng)歸屬于敏感的個(gè)人信息，企業(yè)應(yīng)當(dāng)采取加密措施進(jìn)行去標(biāo)識(shí)化處理，確保企業(yè)在收集、存儲(chǔ)的個(gè)人信息安全，進(jìn)而加以防止個(gè)人信息丟失、篡改及泄露等問題的發(fā)生。在對(duì)于第三方處理企業(yè)勞動(dòng)者信息的問題，企業(yè)需對(duì)預(yù)期合作的第三方的資質(zhì)、能力、合法性、必要性進(jìn)行審查，要求第三方作出不侵犯勞動(dòng)者個(gè)人信息的書面保證，而當(dāng)?shù)谌脚c企業(yè)需要共同處理勞動(dòng)者個(gè)人信息時(shí)，需要訂立書面協(xié)議明確彼此的權(quán)利義務(wù)。

對(duì)于電腦、郵箱、電話等辦公電子設(shè)備，應(yīng)當(dāng)做到“公私分明”，因?yàn)閯趧?dòng)者在使用電子設(shè)備時(shí)，個(gè)人信息的痕跡非常容易留存于其中，這也便成為企業(yè)侵犯勞動(dòng)者信息高風(fēng)險(xiǎn)的重要原因。基于此，企業(yè)應(yīng)當(dāng)提前將“不能將辦公所用的電子設(shè)備用來(lái)解決私人的事務(wù)”這一情況明確向勞動(dòng)者表明，同時(shí)企業(yè)應(yīng)當(dāng)對(duì)勞動(dòng)者辦公所用的電子設(shè)備的信息檢查權(quán)、監(jiān)控權(quán)和存儲(chǔ)權(quán)有所保留，有利于避免在日常管理中企業(yè)產(chǎn)生侵權(quán)的風(fēng)險(xiǎn)。

（四）企業(yè)對(duì)勞動(dòng)者離職后個(gè)人信息保護(hù)的合規(guī)對(duì)策

勞動(dòng)者離職后的個(gè)人信息管理同樣重要，為避免可能的風(fēng)險(xiǎn)與糾紛，對(duì)離職后的勞動(dòng)者的個(gè)人信息的處理，首先應(yīng)當(dāng)及時(shí)與勞動(dòng)者本人進(jìn)行協(xié)商、約定并及時(shí)對(duì)用人單位掌握的勞動(dòng)者個(gè)人信息庫(kù)進(jìn)行更新、刪除。其次，企業(yè)應(yīng)在制度上對(duì)離職勞動(dòng)者的個(gè)人信息保護(hù)、銷毀等具體措施進(jìn)行規(guī)定，并且規(guī)定超過一定期限的個(gè)人信息的銷毀方式；在接受第三方對(duì)離職勞動(dòng)者進(jìn)行背景調(diào)查時(shí)，是否評(píng)估過有無(wú)違反個(gè)人信息保護(hù)政策，例如在勞動(dòng)者離職時(shí)要求勞動(dòng)者簽署接受第三方調(diào)查時(shí)單位的信息披露權(quán)等。

鑒于《個(gè)人信息保護(hù)法》剛剛出臺(tái)，執(zhí)法部門的具體職責(zé)范圍、個(gè)人信息權(quán)益的性質(zhì)以及在勞動(dòng)用工領(lǐng)域權(quán)益沖突情況下如何適用等問題均有待相關(guān)的法律法規(guī)予以進(jìn)一步明確。［6］在此情況之下，企業(yè)應(yīng)當(dāng)緊跟《個(gè)人信息保護(hù)法》后續(xù)的立法動(dòng)向，在具體的要求與標(biāo)準(zhǔn)出臺(tái)后，及時(shí)建立個(gè)人信息處理的制度與機(jī)制，合法采取相應(yīng)措施，掌握個(gè)人信息保護(hù)的主動(dòng)權(quán)。一般來(lái)說，通過合理監(jiān)控得到的證據(jù)可能是有效的，但企業(yè)頻繁遇到的類似取證問題也將面臨不確定性。我們看到有一些案例對(duì)于相關(guān)證據(jù)合法性不再采信，例如某勞動(dòng)者和其他公司洽談銷售業(yè)務(wù)并親口承認(rèn)自己要“飛單”，企業(yè)給勞動(dòng)者的手機(jī)錄制了錄音并將錄音記錄作為證據(jù)保存，對(duì)于此項(xiàng)證據(jù)，法院表明除非在法律有明確規(guī)定或在勞動(dòng)者的授權(quán)下，否則不允許出現(xiàn)有關(guān)竊聽他人、偷偷觀察他人或者私自處理他人信息的舉動(dòng)，企業(yè)對(duì)勞動(dòng)者履行工作職責(zé)進(jìn)行管理監(jiān)督無(wú)可厚非，但應(yīng)當(dāng)在合法合理的限度內(nèi)行使權(quán)力。

五、結(jié)語(yǔ)

在《個(gè)人信息保護(hù)法》正式實(shí)施后，企業(yè)從勞動(dòng)者招聘開始到勞動(dòng)者離職結(jié)束這一過程中經(jīng)常會(huì)涉及勞動(dòng)者相關(guān)個(gè)人信息的處理問題，對(duì)此問題一旦處理不當(dāng)，對(duì)企業(yè)而言，其將會(huì)面臨巨大的法律風(fēng)險(xiǎn)，同時(shí)也可能需要承擔(dān)相應(yīng)的法律責(zé)任。對(duì)此企業(yè)需嚴(yán)守《個(gè)人信息保護(hù)法》的相關(guān)內(nèi)容并建立相應(yīng)合規(guī)對(duì)策，同時(shí)著重關(guān)注司法實(shí)踐，平衡勞動(dòng)管理權(quán)與勞動(dòng)者個(gè)人信息保護(hù)的關(guān)系，努力推動(dòng)和諧勞動(dòng)關(guān)系逐漸形成。