【个保法】实施一周年，企业如何做好数据合规？

2021年11月1日《中华人民共和国个人信息保护法》（以下简称“《个人信息保护法》”）正式实施，距今已满一周年。
《个人信息保护法》一共8章74条，共有十大亮点[1]：
一、明确了个人信息处理原则、
二、规范处理活动保障权益、
三、禁止“大数据杀熟”规范自动化决策、
四、严格保护敏感个人信息、
五、规范国家机关处理活动、
六、赋予个人充分权利、
七、强化个人信息处理者义务、
八、赋予大型网络平台特别义务、
九、规范个人信息跨境流动、
十、健全个人信息保护工作机制。
由于《民法典》未明确规定“个人信息权”，作为我国首部个人信息保护领域的专门性法律，过去一年《个人信息保护法》为解决个人信息保护重的难点问题提供了可靠的法律保障。
《个人信息保护法》的出台，对企业的用工合规也具有重要指导意义。过去企业在录用员工时会尽可能多地收集员工信息并且都会认为了解员工的个人信息是理所应当的，但是《个人信息保护法》颁布后，企业收集员工信息的范围、个人信息的收集方式、收集后的保管方式、收集后的使用方式以及销毁方式等都需要符合法律规定。
1、企业在哪些场景下可以处理员工的个人信息？
处理员工的个人信息应当遵循三大原则[2]，
一是对个人权益影响最小原则、
二是收集范围应当限于实现处理目的的最小范围、
三是保存期限应当为实现处理目的所必要的最短时间。
根据《个人信息保护法》第二章第十三条的规定，“符合下列情形之一的，个人信息处理者方可处理个人信息：
一、取得个人的同意；
二、为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
三、为履行法定职责或者法定义务所必需；
四、为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
五、为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
六、依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
七、法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”
根据该条规定的内容，一般情况下企业处理员工个人信息均应取得授权，但是依据第十三条（二）、（三）款的规定，企业“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需以及履行法定义务所必需的情况下，无需征得员工同意即可处理员工个人信息”。
也即企业为（1）订立及履行劳动合同、（2）实施人力资源管理如进行考勤管理、运营管理、经营管理等；（3）履行法定义务如申报工资薪金、社保公积金缴纳等原因可收集劳动用工管理必要的信息如身份证号、家庭住址、联系方式、紧急联系人及联系方式、教育背景、工作经历、体检报告、社保卡号等个人信息。
虽然上述情形下可以豁免企业的告知义务，但是根据《个人信息保护法》第二十二条、第二十三条、第二十六条、第二十八条、第三十九条的规定，以下五种情形仍需要取得员工的同意：
一、企业因合并、分立、解散、被宣告破产等原因需要转移个人信息的；
二、除法律规定的情形外，需要向企业以外的第三方提供员工个人信息的；
三、在企业公共场所安装图像采集、个人身份识别设备采集员工个人信息的；
四、处理员工敏感信息的；
五、向境外提供员工个人信息的。
2、员工可以拒绝提供哪些个人信息？
与订立、履行劳动合同无关的信息，员工有权拒绝提供。
如员工的婚姻状况、生活经历、亲属信息等均属个人隐私。若与履行劳动合同、企业履行劳动义务、进行企业内部人力资源管理无关，则员工可以拒绝提供，企业也无法强求。
3、员工如涉及劳务派遣、劳务外包等情况企业应当如何做好员工个人信息合规处理？
在涉及劳动派遣、劳务外包的情况下，企业需要将员工的个人信息输出给第三方委托处理。该类情况下，企业应注意在与外部第三方机构签署的合作协议中应当明确第三方机构处理的个人信息范围、期限、处理方式等内容，此外企业还应当采取有效措施对第三方机构进行监管，防止发生个人信息泄露等情况。
4、企业对员工的个人信息应当采取严格的保密措施
企业收集员工个人信息后应当配有相应的保密制度，对于可以接触到员工个人信息的有关人员如财务人员、人事部人员、档案管理人员等应当进行专门的培训并采取严格的约束措施，例如严格控制个人信息的访问和使用权限，非必要不接触，非必要不处理。
5、结语
《个人信息保护法》实施已满一周年，金融行业、互联网行业以及大型的国央企对个人信息的保护愈发重视和谨慎。
但是一些规模较小的中小型企业或者非金融、互联网行业的企业的数据合规意识还是比较薄弱。
中小企业可能因为规模、资金状况等因素没有在个人信息保护方面投入过多精力，但还是建议大家在《个人信息保护法》的指引下，逐步完善企业的数据合规操作，防止因个人信息泄露等原因造成不必要的损失以及法律后果。
[1] 澎湃新闻，“我国首部”个人信息保护法来了！权威解读十大亮点澎湃号·政务澎湃新闻-The Paper。
[2] 同引用1。