导 读
2021年11月1日，《中华人民共和国个人信息保护法》已正式生效。
截至目前，仍有不少用人单位并未注意到，法规对用人单位提出了更高标准、更具体明确的个人信息保护义务。若未严格遵照执行，可能涉嫌违法！
一、个人信息VS敏感个人信息
根据信息性质的不同，用人单位的保护和注意义务可能不同，因此，用人单位需要尽可能准确地区分和辨别相关信息所属的性质（个人信息VS敏感个人信息）。
（一）敏感个人信息
敏感个人信息是个人信息中比较特殊的部分，一旦被泄露或者非法使用，容易导致劳动者的人格尊严受到侵害或者人身、财产安全受到危害。这类信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。
由于性质特殊，法规要求用人单位处理敏感个人信息应当取得劳动者的单独同意。
（二）区分和辨别标准
如何划定敏感个人信息的范围？现行法律法规中，仅有极少量的列举，无进一步明确的分类和明细举例。因此，我们建议用人单位密切留意法律法规的更新，并根据本单位实际情况制定对应的规章制度。
建议遵循以下原则：1、法律法规【应当适用】；2、行业协会或组织发布的行业规范【无相关法规或规定不明确的情况下参照适用】；3、劳资双方的书面约定（如劳动合同）以及用人单位的规章制度【不违背法律法规的前提下，有约定可以从约定】。
在现行法律法规及行业规范不全面的情况下，有关部门或司法机构很可能以“国家标准化管理委员会出台的《信息安全技术个人信息安全规范》（见下图罗列内容）”作为划分敏感个人信息的重要参考依据。
除此之外，双方书面约定以及用人单位规章制度也是定义敏感个人信息的重要依据，用人单位应当予以重视。
二、用人单位收集、处理劳动者信息的规则
（一）范围及规则
根据相关法规政策，因订立、履行劳动合同所必需，或者按照依法制定的劳动规章制度实施人力资源管理所必需的，个人信息处理者（用人单位）可处理个人信息。
并非用人单位单方认为“必需”，则可简单粗暴地收集和处理信息。首先，实践中并无明确的“必需”边界，是否属于“必需”范围极易引发争议。其次，针对敏感个人信息的处理，应当取得劳动者的单独同意。
为避免争议，用人单位应尽可能在具有充分必要理由并采取严格保护措施的情形下，才收集和处理劳动者的个人信息，并尽可能限缩该范围，同时针对收集及处理的信息取得劳动者明确的书面、单独同意。
（二）其他重要的注意要点
1、委托处理
实践中，不少用人单位没有技术条件和能力自行处理信息，更多是与第三方机构合作、使用第三方平台进行收集和处理劳动者的个人信息，是否属于法律法规规定的“委托处理”，仍存在一定争议。
即便认为属于“委托处理”，也应取得劳动者本人对委托处理的明确书面同意（具体到特定的第三方），否则劳动者仅同意用人单位收集和处理相关个人信息的情况下，原则上第三方仍无权处理。
2、分公司-总公司、子公司-母公司
规模相对大的用人单位，可能存在分公司或子公司将劳动者的信息交由总公司或母公司统一收集和处理的情况，如劳动者仅授权分公司或子公司收集和处理，那么总公司或母公司还是存在被认定为违法收集和处理个人信息的可能。
3、外资用人单位
如用人单位涉及外资，那么甚至可能涉及跨境提供劳动者的个人信息，此情形下可能需要经过国家网信部门组织的安全评估、履行相关报备或报批手续，并受行政监管。
三、违规的不利后果
如用人单位在用工过程中不当收集、处理个人信息，可能导致以下一个或多个后果：
1、舆论：负面新闻的曝光可能带来一系列无法估量的消极影响，尤其是有一定规模的上市公司。
2、信用公示：相关违规情况可能会被记入信用档案，向社会公示。
3、民事责任：给劳动者造成损害的，如用人单位（作为个人信息处理者）不能证明自己没有过错，可能需要承担损害赔偿等侵权责任。
4、行政责任：用人单位可能面临罚款、暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照等处罚；责任人员可能在一定期限内被禁止担任企业的董监高和个人信息保护负责人。
5、刑事责任：情节严重的，甚至可能构成侵犯公民个人信息罪。
四、应对建议
（一）对用人单位
建议严格对照现行法律法规，制定专门的个人信息管理制度及操作规程（采取加密等安全技术措施、合理确定个人信息处理的操作权限等）、修订及完善各类表单及劳动合同文本（取得劳动者对合理范围内信息收集及处理的明确书面同意），避免触碰法律红线，提高劳动用工的合规程度。
（二）对劳动者
如发现用人单位不当收集或处理个人信息，建议尽快与用人单位沟通及协商，必要时，采取包括但不限于投诉、举报、诉讼等进一步法律措施，保护自己的合法权益。
相关法规及政策：
《中华人民共和国刑法》《中华人民共和国民法典》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国劳动合同法》《中华人民共和国劳动合同法实施条例》《信息安全技术个人信息安全规范》
2021年11月1日，《中华人民共和国个人信息保护法》已正式生效。
截至目前，仍有不少用人单位并未注意到，法规对用人单位提出了更高标准、更具体明确的个人信息保护义务。若未严格遵照执行，可能涉嫌违法！
一、个人信息VS敏感个人信息
根据信息性质的不同，用人单位的保护和注意义务可能不同，因此，用人单位需要尽可能准确地区分和辨别相关信息所属的性质（个人信息VS敏感个人信息）。
（一）敏感个人信息
敏感个人信息是个人信息中比较特殊的部分，一旦被泄露或者非法使用，容易导致劳动者的人格尊严受到侵害或者人身、财产安全受到危害。这类信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。
由于性质特殊，法规要求用人单位处理敏感个人信息应当取得劳动者的单独同意。
（二）区分和辨别标准
如何划定敏感个人信息的范围？现行法律法规中，仅有极少量的列举，无进一步明确的分类和明细举例。因此，我们建议用人单位密切留意法律法规的更新，并根据本单位实际情况制定对应的规章制度。
建议遵循以下原则：1、法律法规【应当适用】；2、行业协会或组织发布的行业规范【无相关法规或规定不明确的情况下参照适用】；3、劳资双方的书面约定（如劳动合同）以及用人单位的规章制度【不违背法律法规的前提下，有约定可以从约定】。
在现行法律法规及行业规范不全面的情况下，有关部门或司法机构很可能以“国家标准化管理委员会出台的《信息安全技术个人信息安全规范》（见下图罗列内容）”作为划分敏感个人信息的重要参考依据。
除此之外，双方书面约定以及用人单位规章制度也是定义敏感个人信息的重要依据，用人单位应当予以重视。
二、用人单位收集、处理劳动者信息的规则
（一）范围及规则
根据相关法规政策，因订立、履行劳动合同所必需，或者按照依法制定的劳动规章制度实施人力资源管理所必需的，个人信息处理者（用人单位）可处理个人信息。
并非用人单位单方认为“必需”，则可简单粗暴地收集和处理信息。首先，实践中并无明确的“必需”边界，是否属于“必需”范围极易引发争议。其次，针对敏感个人信息的处理，应当取得劳动者的单独同意。
为避免争议，用人单位应尽可能在具有充分必要理由并采取严格保护措施的情形下，才收集和处理劳动者的个人信息，并尽可能限缩该范围，同时针对收集及处理的信息取得劳动者明确的书面、单独同意。
（二）其他重要的注意要点
1、委托处理
实践中，不少用人单位没有技术条件和能力自行处理信息，更多是与第三方机构合作、使用第三方平台进行收集和处理劳动者的个人信息，是否属于法律法规规定的“委托处理”，仍存在一定争议。
即便认为属于“委托处理”，也应取得劳动者本人对委托处理的明确书面同意（具体到特定的第三方），否则劳动者仅同意用人单位收集和处理相关个人信息的情况下，原则上第三方仍无权处理。
2、分公司-总公司、子公司-母公司
规模相对大的用人单位，可能存在分公司或子公司将劳动者的信息交由总公司或母公司统一收集和处理的情况，如劳动者仅授权分公司或子公司收集和处理，那么总公司或母公司还是存在被认定为违法收集和处理个人信息的可能。
3、外资用人单位
如用人单位涉及外资，那么甚至可能涉及跨境提供劳动者的个人信息，此情形下可能需要经过国家网信部门组织的安全评估、履行相关报备或报批手续，并受行政监管。
三、违规的不利后果
如用人单位在用工过程中不当收集、处理个人信息，可能导致以下一个或多个后果：
1、舆论：负面新闻的曝光可能带来一系列无法估量的消极影响，尤其是有一定规模的上市公司。
2、信用公示：相关违规情况可能会被记入信用档案，向社会公示。
3、民事责任：给劳动者造成损害的，如用人单位（作为个人信息处理者）不能证明自己没有过错，可能需要承担损害赔偿等侵权责任。
4、行政责任：用人单位可能面临罚款、暂停相关业务、停业整顿、吊销相关业务许可或者吊销营业执照等处罚；责任人员可能在一定期限内被禁止担任企业的董监高和个人信息保护负责人。
5、刑事责任：情节严重的，甚至可能构成侵犯公民个人信息罪。
四、应对建议
（一）对用人单位
建议严格对照现行法律法规，制定专门的个人信息管理制度及操作规程（采取加密等安全技术措施、合理确定个人信息处理的操作权限等）、修订及完善各类表单及劳动合同文本（取得劳动者对合理范围内信息收集及处理的明确书面同意），避免触碰法律红线，提高劳动用工的合规程度。
（二）对劳动者
如发现用人单位不当收集或处理个人信息，建议尽快与用人单位沟通及协商，必要时，采取包括但不限于投诉、举报、诉讼等进一步法律措施，保护自己的合法权益。
相关法规及政策：
《中华人民共和国刑法》《中华人民共和国民法典》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国劳动合同法》《中华人民共和国劳动合同法实施条例》《信息安全技术个人信息安全规范》