企业如何做好员工个人信息保护？

随着《民法典》《数据安全法》《个人信息保护法》的正式实施，对企业人力资源（HR）正确处理员工个人信息提出了更详尽的要求。
本文将从企业在员工入职、在职及离职三个阶段的信息管理和保护问题着手，分析如何在遵守法律法规的情况下保护员工的隐私信息，避免因个人信息保护问题给企业带来不必要的诉讼、仲裁及声誉的损失。

1. 对候选人简历的收集及使用
根据《个人信息保护法》第 13 条，处理（包括收集）个人信息的合法依据，与人力资源相关的主要有：
取得个人的同意；
为订立劳动合同或依法制定劳动规章制度等。
企业在筛选候选人建立过程中，还不涉及订立劳动合同或依法制定劳动规章制度，因此，收集和使用候选人个人信息的合法依据只有「同意」。
企业收集候选人简历信息的方式主要是候选人自己提供和第三方服务机构提供两种。候选人自己提供，意味着同意用人单位收集其简历上的个人信息，风险较小，但企业能够获取和使用的信息范围仅限于简历本身，且不能用作招聘以外的其他用途。

某第三方招聘机构官方小程序页面
而第三方服务机构提供，例如猎头公司，则需要企业在使用前评估第三方机构的资质，确认其是否有隐私保护设置和隐私声明，若企业对第三方提供的简历合法性存疑，应谨慎使用相关简历，可以面试前让候选人自带纸质简历，从而合法合规地收集候选人的个人信息。
2. 对未成功入职的候选人简历的使用及销毁
对于未成功入职候选人的信息，未经其同意，不得将该类候选人的个人信息进行处理，包括存储、共享、转让及公开披露等。
如企业对于这类简历或信息还有其他使用目的，例如企业内部共享或建立人才库，需遵循以下要点：
①确保企业存储候选人的简历是有必要的；
②明确告知候选人并取得同意；
③要妥善保管和建立相应的保护措施。
必须注意的是，告知候选人的内容需包括存储的目的、期限、及承诺保障安全等，取得同意最好是以书面协议的方式，以便保存记录。
如候选人不同意，则需要对简历进行销毁，销毁的方式有多种，纸质文件主要利用碎纸机处理及焚烧处理等，电子文件则主要通过信息删除和载体销毁等方式。
3. 调查背景时应注意的隐私保护问题
简历筛选流程后对候选人的背景调查需要合法合规。
实践中存在如下情况：HR通过猎头联系候选人，面试通过后，在候选人不知情的情况下，通过简历上的信息找到了任职公司的联系方式，并做了背景调查，导致候选人被其公司开除。
候选人以该企业侵犯他人隐私权为由起诉，法院判决HR所在的企业需对候选人承担赔偿责任。所以，对候选人进行背景调查存在隐私风险，在未经候选人明确同意的情况下，不能随意对候选人进行背景调查。
背景调查的方式包括企业自行调查和委托第三方机构调查。企业自行调查应注意以下几点：
①在候选人面试之后确定入职之前，明确告知候选人将对其启动背景调查，征得候选人同意后方可进行；
②对于调查过程中遇到不清楚不确定的内容一定要及时咨询企业法务部门，以确保没有法律风险；
③对调查信息妥善保管、严格保密。
如果是委托第三方机构调查，一定要检查其是否有获得候选人同意的记录，并事先评估第三方机构的能力和资质。
4. 入职过程中的信息保护
当候选人通过面试，企业还会要求候选人提供以下资料：学历、学位证书复印件；入职体检报告；离职证明；身份证复印件；婚育情况；无犯罪记录证明；职称、职业资格证书复印件；银行卡信息等。

某公司入职登记表
其中，体检报告、身份证复印件、婚育情况、无犯罪记录证明涉及的未公开的犯罪记录（如有）、银行卡信息等属于敏感个人信息，这些敏感个人信息一旦泄露或者非法使用，容易导致员工的人格尊严受到侵害或者人身、财产安全受到危害。
作为HR，应当要遵守法律规定及企业的政策将收集的员工信息建档妥善保管，区分一般个人信息和敏感个人信息，设立信息保护机制，限制可查询、复制的人员，对隐私信息的使用和处理做好记录。

企业对在职员工的个人信息处理属于人力资源管理的重要内容，以下通过几个常见的问题来重点阐述需注意的事项。
问题1：企业能否在办公区域安装摄像头？
为了更好的管理员工，部分企业选择在办公区域安装摄像头，这一行为并不必然侵犯员工的隐私权。
一般来说，办公区域属于公共区域，安装摄像头并不需要员工的同意，但需要事先明确告知员工，因为利用监控手段来管理员工的行为可能会使得员工感到不适甚至认为侵犯其人格尊严，所以若未明确告知员工可能被认为是在偷窥员工，甚至有涉嫌侵犯隐私的风险。
除此之外，对监控信息也需要严格管理，限制使用及查看监控信息的人员，并要求相关人员对监控信息严格保密，未经员工同意不得随意公开。企业还需要对监控信息妥善保管并定期销毁，便于员工或监管部门的查询。
问题2：企业能否对员工的办公设备的流量使用情况进行监控？
不久前，国美控股集团对员工的处分受到了多家媒体的关注并引发讨论。国美控股集团在对员工非工作流量信息统计排查后，发现部分员工在工作区域内占用公司公共网络资源从事与工作无关事宜，如玩电脑游戏、上网聊天、听音乐等，并根据公司规定对 11 位员工进行了通报和相应处罚。企业能否对员工的办公设备的流量使用情况进行监控引发广泛讨论。

国美控股集团内部通报
根据《个人信息保护法》第 13 条规定，按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，可以不需要经过员工的同意。
故如果是以保护公司的商业秘密及敏感数据为目的，企业可通过多种监控手段对员工的办公设备的流量使用情况进行监控。
但需要注意的是，企业需要对该行为制定相关的规章制度并告知员工，而且在监控过程中不能对员工逛网站、浏览的内容、文件访问记录、员工行踪轨迹等信息进行公布，否则涉嫌侵犯员工的个人隐私权。
问题3：引入基于指纹、声纹、面部数据等生物识别信息或地理位置、行踪轨迹等信息的考勤打卡系统需要注意什么？
根据《个保法》及国家标准 GB/T 35273—2020《信息安全技术个人信息安全规范》，个人生物识别信息、地址位置、行踪轨迹属于个人敏感信息。
如企业引入基于指纹、声纹、面部特征等生物识别或地理位置、行踪轨迹等信息的考勤打卡系统，因评估涉及系统是否在后台收集和使用员工的前述敏感信息，是否提供其他可替代的考勤方式供员工选择？
根据《个保法》第 28、29、30 条的规定，对于敏感个人信息的处理，首先企业应明确是否有特定的目的和充分的必要性，否则不进行敏感个人信息的收集；
其次，应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响，同时取得候选人的单独同意，必要时签署隐私协议以保存同意记录；
最后，企业内部要对敏感个人信息采取严格的保护措施。
问题4：绩效考核过程中收集员工的其他信息是否有隐私风险？
绩效考核是公司为提高员工的工作效率，了解员工的工作情况、促进员工个人发展和实现企业发展目标的重要制度。
为了进行绩效考核需要了解员工的工作状态、技术能力、忠诚信用等信息，在收集这些信息的时候，会涉及到员工的敏感个人信息，如其婚育情况、身体及心理健康情况、家庭成员健康情况等信息，甚至可能去监控员工的社交账号。
因此进行绩效考核的行为及方式也需要明确告知员工，并对收集的信息妥善保管和严格保密。
如果因为员工违纪调查，需要调查员工个人信息时，应评估调查过程是否会侵犯员工个人隐私，以及会对员工个人权益造成何种影响，企业是否能承受由此带来的风险或责任。

问题1：离职员工的个人信息是否保存？如果保存需要以何种方式？
实践中存在员工已经离职 3 年，但每逢过年过节时仍都会收到前企业发送的祝福短信，有时候甚至会收到节日礼品。刚开始员工觉得前企业的离职员工关怀很到位，但随着隐私保护意识的增强，员工觉得前企业没有删除其个人信息让他感到不安，且不清楚前企业继续保存其个人信息是否有其他用途。
《个人信息保护法》第 47 条规定：「有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要。」
若企业为了实现管理目的，可以保存离职员工的信息，但需要建档管理，告知离职员工保存档案的时间、目的并作出妥善保管的承诺。

某离职员工收到前司短信
至于对离职员工档案保管的期限，法律并没有明确规定，可以参照其他法律或行业规定。
《劳动合同法》中要求企业保存离职员工对劳动合同不少于 2 年；《劳动争议调解仲裁法》中规定了一年的离职诉讼时效。
因此建议企业在规章制度中明确、或与员工达成书面约定，对员工的个人信息留存不少于2年的期限。保存期限届满后，应当及时删除或销毁员工档案。
问题2：员工离职后，能否继续使用离职员工的个人信息？
员工离职后，企业基于劳动合同关系处理员工个人信息的依据已不存在，此时如需要急需处理员工的个人信息，需要重新向离职员工进行告知并重新获取同意，或者评估是否有以下合法依据：
①为履行法定职责或者法定义务所必需，例如配合公检法机关调查；
②为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
③为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
④依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。
问题3：企业在第三方机构对前员工进行背景调查时，应注意什么？
基于员工已经离职，原则上，企业不应再对外提供离职员工的个人信息，除非得到离职员工的授权或同意。
因此，企业在面对第三方调查机构或其他招聘企业收集离职员工个人信息的情形，需要核实该单位是否获得离职员工的背景调查同意声明，同时将提供的个人信息限制在必要范围之内。

随着法律法规对隐私保护的重视，劳动者对个人信息的保护意识也逐步增强，对企业来说，尊重员工的隐私，完善员工个人信息保护管理制度，不仅能有效避免因员工隐私问题带来的风险，还能建立良好的企业形象，有助于吸引更多优秀人才的加入，提高企业的市场竞争力和社会声誉。