人力资源管理中的数据合规

任何用人单位，无论规模大小，无论处于什么行业领域，都是收集、存储、使用、处理个人信息数据的重要主体。绝大多数用人单位基本上都使用计算机信息系统作为收集和使用员工及求职者个人信息的载体。用人单位作为密集收集、使用、处理个人信息的主体，日常的人力资源管理工作流程涵盖了个人信息的整个周期。在此背景下，本文从人力资源的角度出发，结合现有相关法律规定及立法趋势，对企业员工个人信息保护的问题进行初步探讨，以期帮助企业单位明晰相关法律责任、规范对员工信息的管理。
一、“个人信息”的含义
（一）我国法律中“个人信息”的含义
我国目前没有专门的关于个人信息保护的立法。有关“个人信息”的含义及范围的规定散见于《网络安全法》、《民法典》、《刑法》及其司法解释，以及尚未通过的《信息安全技术个人信息安全规范（征求意见稿）》之中。
《网络安全法》第七十六条第（五）款规定，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于：自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称“《两高解释》”）第一条规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括：姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。由此可见，相较于《网络安全法》，《司法解释》规定的“个人信息”范围扩大到了“能够反映特定自然人活动情况”的信息，例如：账号密码、财产状况、行踪轨迹。
《民法典》第一千零三十四条个人信息的定义规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
《信息安全技术个人信息安全规范（征求意见稿）》（以下简称“《安全规范（征求意见稿）》”）第3.1条规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。具体包括：姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
（二）劳动法中用人单位可收集的员工“个人信息”范围
其实，我国目前的劳动法律法规并未直接对员工“个人信息”的具体范围作出明确的规定，但《劳动合同法》提及了“用人单位可收集的员工个人信息”的大致范围。依据该法第八条的规定，用人单位可收集的员工个人信息仅限于“与劳动合同直接相关的基本情况”。结合实践中多数用人单位的操作，前述信息主要包括：姓名、性别、民族、籍贯、身份证号码、住址、个人邮箱、健康状况、学历学位、工作经历、紧急联系人（或主要家庭成员）等。
此外，针对婚姻、生育状况等信息是否属于“与劳动合同直接相关的信息”的问题。考察司法判决，法官通常认为前述信息与劳动合同的履行没有必然关联，属于个人隐私的范畴，不属于“与劳动合同直接相关”的信息。如北京赋佳慧祥工程有限公司与李扬纠纷一案[1]。该案中北京赋佳认为公司员工李扬入职时隐瞒了婚姻事实，而解除与其签订的劳动合同。法院认为李扬于入职时隐瞒已婚情况，系不诚实的行为，但李扬所从事的岗位与其婚姻状况无必然联系，作为用人单位招聘已婚女职工确实存在因女职工生育需要休假及支付产假工资等情况，此为用人单位应当承担的社会责任，不应以此拒绝招聘已婚女职工。综上，法院认为赋佳慧祥公司以李扬旷工及入职时隐瞒已婚事实为由解除双方劳动合同，实为不妥，应予以纠正，对李扬要求撤销《北京赋佳慧祥工程造价咨询有限公司解除合同通知》的诉讼请求，法院予以支持。
二、人力资源管理中涉及员工个人信息的环节
（一）员工个人信息的收集
“知情同意”是用人单位收集员工个人信息时遵循的基本原则，收集中每一个步骤都需要恪守。按照实践中的做法，可将员工个人信息的收集方式分为三类：第一，员工主动提供；第二，用人单位自行收集；第三，用人单位委托其他主体（如猎头公司、第三方调查公司等），调查方式主要包括核实求职者提供的证书等材料、通过依法公开的资源查询以及通过向求职者提供的原工作单位联系人询问背景情况等。
第一，员工主动提供的情形下，属于员工明示同意，此时用人单位无需再次征得员工个人同意。
第二，用人单位主动收集的情形下，用人单位需要征得员工的同意。用人单位需要获得员工同意的情形包括：1、员工入职前的背景调查；2、员工入职后，用人单位对员工电子邮箱、电脑、监控等所抓取的个人信息；3、员工涉嫌违纪时的调查活动；4、日常管理所必需的个人信息。
第三，用人单位委托第三方收集信息的，一方面需要取得求职者的同意，其个人信息将提供给第三方，并且第三方基于该信息可能获取求职者与评估其资格能力相关的其他个人信息，另一方面需要评估第三方的数据保护制度管理及技术能力，并通过委托合同划分双方关于个人信息保护的权利义务和责任，要求第三方通过合法途径调查求职者个人信息，保护好获取的个人信息。
（二）员工个人信息的存储与出境
用人单位获得员工个人数据信息后，应采取必要的措施确保个人信息的安全，对员工的个人信息进行妥善的保管和储存，避免发生泄露、毁损、篡改等事件。部分企业确需将单位收集的个人信息出境传输的，应当遵守相关法律的规定。个人信息跨境转移除了要依规定进行安全评估外，更重要的一定要获得本人同意。根据国家互联网信息办公室《个人信息和重要数据出境安全评估办法（征求意见稿）》：“个人信息出境，应向个人信息主体说明数据出境的目的、范围、内容、接收方及接收方所在的国家或地区，并经其同意。未成年人个人信息出境须经其监护人同意。”
1、关键信息基础设施领域企业的个人信息存储和出境
在信息化时代，用人单位通常将员工信息存储在自己的内部计算机系统，或者使用第三方提供的信息系统及/或服务存储。根据《网络安全法》第三十七条的规定，属于关键信息基础设施行业的网络经营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。因此，如果用人单位属于关键信息基础设施领域企业，员工信息应当存储在境内，如果涉及向境外关联机构提供，应当进行安全评估。
2、非关键信息基础设施行业的用人单位所涉员工信息存储及出境要求
网络安全法没有涉及非关键信息基础设施领域的网络经营者收集的个人信息存储和出境的要求。《个人信息和重要数据出境安全评估办法（征求意见稿）》、《信息安全技术数据出境安全评估指南（征求意见稿）》、《个人信息出境安全评估办法（征求意见稿）》将数据出境的监管对象扩大为“网络运营者”。关于数据出境的相关介绍，请参考《企业数据合规之数据出境也要“通关”》。
（三）员工个人信息的使用
用人单位应注意，其收集的个人信息仅能用于与员工约定的使用用途。从人力资源管理的角度来说，用人单位收集的个人信息仅限于企业管理所需不得违反国家有关规定，委托他人处理、共享、提供或公开员工个人信息。
首先，用人单位使用员工信息的需征得员工的同意，这是基本原则，亦适用于大部分情形下。同时，向他人提供职工个人信息时，务必采取措施对拟提供的信息进行脱敏处理。《网络安全法》第四十二条规定，“……未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外”。《两高解释》第三条规定，“未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的‘提供公民个人信息’，但是经过处理无法识别特定个人且不能复原的除外”。由此可见，即便未取得信息主体的同意，但采取了一定措施，使得该信息“无法识别特定个人”且“不能复原”的，并不违反法律的禁止性规定。因此，我们建议，如果企业确因业务经营须对外提供职工个人信息的，为防止不必要的纠纷，应尽量采取一定的处理措施（如删除关键信息、对重要信息进行马赛克处理等）对相关信息进行脱敏处理。
（四）离职员工信息管理
离职员工的信息需要保存的期限，是用人单位人力资源管理中应关注的一个方面。根据《劳动合同法》第五十条规定，用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。那么二年之后呢？除非国家其他法律法规另有保管期限的要求（如符合《会计档案管理办法》情形的，遵照该规定执行），用人单位需要考虑离职员工的个人信息是否予以分类并单独存储、去标识化、匿名化或在满足相关法律规定条件下予以删除。
三、不当管理的法律风险
（一）违法收集员工信息
1、侵犯公民个人隐私
用人单位不按法律规定收集员工个人信息，超过范围收集个人信息，对员工个人精神或者财产造成损害的，应当承担相应的民事责任。
野山与中国邮政储蓄银行纠纷一案[2]中，原告于2016年10月11日在吉大南区参加“中国邮政储蓄银行2017年校园招聘”。2017年1月4日在万佳体检中心参加入职体检，体检结果原告不知道，但是万佳体检项目单的背面有写明“乙肝保密、非经本人允许不检测乙肝项目”的内容。1月13日原告接到邮储长春市分行人力资源部经理电话告知，要求重新体检。1月14日原告在万佳体检中心复检并取得第二份体检报告，体检结果显示，肝功能的数据均在正常范围。1月16日原告向人力资源部经理递交第二份体检报告被退回，经理告知原告在第一次的统一体检时被检测出“乙肝小三阳”。本案中原告检查乙肝是基于用人单位与新人之间上命下从的隶属关系被迫的，原告为配合被告的人力资源部工作人员的要求一共做了三次检查，而被告最终还是作出了取消实习与录用资格的决定。该案中，法院认为被告在校园招聘过程中，违反相关法律规定，要求原告进行肝功能复检，构成用工歧视，侵犯了原告人格权，确实给原告造成较大的精神压力，故原告要求被告赔礼道歉，赔偿经济损失及检查费用的诉讼请求应予支持。
（二）未安全存储
1、侵犯公民个人隐私/侵犯公民个人信息罪
用人单位对于收集的员工个人信息有义务进行安全存储，有必要审核并调整、更新其与所有员工的各类协议，如与员工签署的保密协议（或劳动合同中纳入的保密条款）没有将个人信息作为保密信息，则需要明确地将个人信息列为保密信息，要求员工对履行劳动合同过程中从用人单位、用人单位关联机构、用人单位外部合作伙伴等获得的其他自然人的个人信息，均应保密，不得因履行劳动合同及其职责以外的原因使用、复制、传输、存储或提供给任何第三方主体。
在赵鹏与杨喜东隐私权纠纷案[3]中，法院认为链家公司作为房地产经纪服务机构，经纪人杨喜东基于其履行职务的行为，成为获取赵鹏身份证信息及房屋所有权证书信息的合法信息使用者、处理者。链家公司及其经纪人应保证其对赵鹏个人信息的使用仅系履行《房屋出售委托协议》合同目的的需要。作为企业员工的管理者，链家公司未建立信息安全的管理制度和操作规程，包括没有对客户信息安全风险进行提示，没有对客户敏感信息加密处理等建立严谨细致的管理制度保障客户的信息安全，无法确保经纪人谨慎依约合法使用公民个人信息。通过庭审查明，链家公司要求经纪人必须将客户的身份证、房产证及合同信息拍照后上传至公司内网。链家公司可以预见，在这样的处理方式下会极大的增加侵犯客户个人信息行为发生的可能性和危险性，但链家公司对此没有采取任何实际有效的操作规程等防范措施予以风险的防控，公司员工可以轻易将业主个人信息泄露用于非法目的。因此，本案侵权事实的发生与链家公司内部对客户、员工个人信息的保护存在监管漏洞直接相关。因链家公司的管理存在过错，其亦应对赵鹏的个人信息被侵害的损害后果承担侵权责任。
2、拒不履行信息网络安全管理义务罪
《刑法修正案（九）》已针对网络服务提供者专门增设了一个罪名，即拒不履行信息网络安全管理义务罪。作为网络服务提供者的企业，若不依法履行相关的信息网络安全管理义务，企业本身及相关负责人员就可能因消极的不作为而承担刑事责任。《刑法》第二百八十六条之一拒不履行信息网络安全管理义务罪规定：“网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：（一）致使违法信息大量传播的；（二）致使用户信息泄露，造成严重后果的；（三）致使刑事案件证据灭失，情节严重的；（四）有其他严重情节的。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。
朱皓拒不履行信息网络安全管理义务案件[4]中，被告人朱皓于2012年注册成立荆州市某网络科技有限公司，在该公司经营地荆州市荆州区，创建相关网站用于推广其代理销售和自己建立并销售的VPN软件。2017年6月，朱皓为了牟取非法利益，租用境内外服务器开始建立自己的VPN平台，但不采取任何相应措施对各类数据信息进行保护。最终法院认为，被告人朱皓身为网络服务的提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，应当以拒不履行信息网络安全管理义务罪，予以处罚。
（三）未合法使用
1、侵犯公民个人隐私/侵犯公民个人信息罪
用人单位将获得的员工信息出卖谋取利益，或者将获得的员工数据未经其同意擅自转移给其他平台牟利的，轻则受到民法规范，承担侵犯隐私的民事责任，如赔礼道歉，消除影响以及赔偿损失。如果情节严重，造成较为严重的社会后果的，可能构成侵犯公民个人信息罪，受到《刑法》第二百五十三条“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。”的规范。
2、行政处罚
用人单位非法向他人提供员工个人信息，或者擅自出售员工信息牟利的，将受到行政处罚。《全国人大常委会关于加强网络信息保护的决定》规定：国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息，对出售或者非法向他人提供公民个人电子信息的行为，依法给予警告、罚款、没收违法所得、吊销许可证或者取消备案、关闭网站、禁止有关责任人员从事网络服务业务等处罚。《网络安全法》第四十一条中有针对个人信息使用自主进行保护的规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。第四十三条规定，个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息。
注释：
[1]https://www.itslaw.com/detail?initialization=%7B%22category%22%3A%22CASE%22%2C%22id%22%3A%2209d3fd71-c3d4-4927-8a73-6087c7d8e7c0%22%2C%22anchor%22%3Anull%2C%22detailKeyWords%22%3A%5B%22%E9%9A%90%E7%9E%92%E5%A9%9A%E5%A7%BB%22%2C%22%E7%94%A8%E4%BA%BA%E5%8D%95%E4%BD%8D%22%5D%7D#contentnull
，访问于2020年5月25日；案号：（2016）京02民终2053号
[2]https://www.itslaw.com/detail?initialization=%7B%22category%22%3A%22CASE%22%2C%22id%22%3A%2224ee35ff-4371-42de-b8bc-bbbffe079136%22%2C%22anchor%22%3Anull%2C%22detailKeyWords%22%3A%5B%22%E7%94%A8%E4%BA%BA%E5%8D%95%E4%BD%8D%22%2C%22%E9%9A%90%E7%A7%81%22%5D%7D#contentnull，访问于2020年5月24日，案号：（2017）吉0103民初1222号
[3]https://www.itslaw.com/detail?initialization=%7B%22category%22%3A%22CASE%22%2C%22id%22%3A%22c5732ef0-2367-404f-a0c8-42980b95d817%22%2C%22anchor%22%3Anull%2C%22detailKeyWords%22%3A%5B%22%E7%94%A8%E4%BA%BA%E5%8D%95%E4%BD%8D%22%2C%22%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF%E6%B3%84%E9%9C%B2%22%5D%7D#contentnull，访问于2020年5月24日；案号：（2018）京0105民初9840号
[4]https://www.itslaw.com/detail?initialization=%7B%22category%22%3A%22CASE%22%2C%22id%22%3A%22134a958c-c982-456f-b142-8936a56aebf2%22%2C%22anchor%22%3Anull%2C%22detailKeyWords%22%3A%5B%22%E6%8B%92%E4%B8%8D%E5%B1%A5%E8%A1%8C%E4%BF%A1%E6%81%AF%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8%E7%AE%A1%E7%90%86%E4%B9%89%E5%8A%A1%E7%BD%AA%22%5D%7D#contentnull，访问于2020年5月26日，案号：（2018）鄂1003刑初150号