用人单位在处理员工健康信息过程中不可忽视的法律问题

前 言
健康信息属于自然人个人信息的一种，依法受到保护。用人单位在用工管理过程中，不可避免的会接触到员工的健康信息，并且需要对员工的健康信息进行处理，例如：在招聘阶段了解员工的健康状况、在用工过程中对员工病假进行管理、安排员工进行体检等情形，均会接触并处理员工的健康信息，甚至一些福利待遇好的用人单位还会聘请医疗专家为员工提供日常健康咨询或体检报告解读等服务。要知道，个人信息并不能随意的收集、处理，个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。如果用人单位在用工管理过程中对员工的个人信息处理不当，有可能构成对员工个人信息或隐私的侵害。本文将着重对用人单位用工管理过程中应当如何处理员工健康信息进行分析，以便于用人单位依法合规处理员工的健康信息。
Part1 哪些情形下用人单位将会接触员工的健康信息
《民法典》第1034条规定，“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”。《民法典》第1032条规定，“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。
根据上述法律规定，员工的健康信息属于个人信息。而个人信息又进一步分为私密信息和非私密信息，个人信息中的私密信息的保护更加严格，适用隐私权的规定。也就是说，员工的健康信息属于员工的个人信息，而健康信息中员工不愿为他人知晓的私密信息属于员工的个人隐私，其受保护程度高于其他个人信息。在处理员工健康信息中涉及私密信息时应当引起用人单位更高的注意义务，避免侵害员工的个人隐私。
用人单位可能接触员工的健康信息的场景包括但不限于：在招聘员工时可能询问员工的健康状况或者要求员工登记、填选个人健康信息；在劳动合同履行过程中因员工履行请休病假手续而收集的病休证明、诊断证明等；为员工提供的健康体检，体检报告涉及的个人健康信息；为员工提供医疗信息服务过程中知晓的员工的健康信息等。上述场景下，均会涉及用人单位知悉、接触、处理员工的健康信息，其中还可能涉及健康信息中的私密信息。
Part2 用人单位处理员工健康信息的权利基础
《民法典》第1035条第一款规定，“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定”。可见，用人单位处理员工的健康信息的权利基础或者权利来源为员工的同意或者法律、行政法规的规定。以下笔者将结合用人单位处理员工健康信息的具体情形对其处理员工健康信息的权利基础进行分类。
1.依据法律规定
（1）用人单位招用劳动者时，有权了解员工与劳动合同直接相关的健康信息
《劳动合同法》第3条规定，“订立劳动合同，应当遵循合法、公平、平等自愿、协商一致、诚实信用的原则”。第8条规定，“用人单位招用劳动者时，应当如实告知劳动者工作内容、工作条件、工作地点、职业危害、安全生产状况、劳动报酬，以及劳动者要求了解的其他情况；用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明”。可见，用人单位与劳动者订立劳动合同是双方合意的结果，需要双方协商一致。劳动者的身体状况能够完成用人单位的工作任务、劳动定额等，是用人单位与劳动者签订劳动合同最基本的目的，法律赋予用人单了解劳动者与劳动合同直接相关的基本情况的权利，笔者认为，劳动者具备与履行劳动合同内容相当的身体状况属于与劳动合同直接相关的基本情况。用人单位在招聘录用阶段一般会要求应聘人员提供体检报告，而体检报告是能够比较直接和全面的反映劳动者的身体状况的材料，因此，用人单位可以要求应聘人员提供体检报告。在这一阶段，由于用人单位和应聘者之间在为协商订立劳动合同作出准备，应聘者可以根据其就业意愿向用人单位提供其个人健康信息，此行为既属于法律赋予用人单位的权利，亦属于应聘者同意向用人单位提供其个人健康信息的情形。
（2）对于一些关系着社会公众利益的行业，法律法规更明确赋予了用人单位处理员工健康信息的权利
医疗、食品、化妆品、公共场所经营等领域明确规定了禁止从事相关岗位的疾病种类，该类行业的用人单位应当知悉员工与禁止从业的相关疾病有关的健康信息。如《药品管理法》第50条规定，“药品上市许可持有人、药品生产企业、药品经营企业和医疗机构中直接接触药品的工作人员，应当每年进行健康检查。患有传染病或者其他可能污染药品的疾病的，不得从事直接接触药品的工作”。《食品安全法》第45条规定，“食品生产经营者应当建立并执行从业人员健康管理制度。患有国务院卫生行政部门规定的有碍食品安全疾病的人员，不得从事接触直接入口食品的工作。从事接触直接入口食品工作的食品生产经营人员应当每年进行健康检查，取得健康证明后方可上岗工作”。（其他行业的法律规定可参见兰台劳动公众号文章《员工入职体检，用人单位管理的正确方式》)对于上述行业员工的健康检查结果，用人单位有权收集。
（3）用人单位可以通过规章制度对与遵守劳动纪律相关的员工健康信息的处理进行规定
《劳动法》第4条规定，“用人单位应当依法建立和完善规章制度，保障劳动者享有劳动权利和履行劳动义务”。《劳动法》第3条第二款规定，“劳动者应当完成劳动任务，提高职业技能，执行劳动安全卫生规程，遵守劳动纪律和职业道德”。可见，用人单位有权依法制定规章制度，对劳动者进行劳动用工管理，包括要求劳动者遵守劳动纪律的相关事宜。常见的情形，包括劳动者在申请病假时，用人单位有权要求劳动者按照请休假的规定提交病假的证明，此时便涉及到用人单位对员工个人健康信息的处理。笔者认为，用人单位具有用工管理权，有权要求员工提供医疗机构出具的病休证明或诊断证明，相关证明中必然涉及员工的个人健康信息，对于此种员工个人信息处理的情形，符合法律规定。
2.员工本人的同意
除了上述第1点提及的法律规定的情形外，用人单位在其他情况下获取员工的健康信息应当得到员工的同意。如，在国家法律法规没有关于从业者健康情况特殊规定的行业中，若用人单位安排员工进行体检或希望知悉体检报告内容的，应当事先征得员工的同意。
Part3 用人单位应当如何处理员工健康信息
《民法典》第1035条第二款规定，“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等”。可见，用人单位对于员工健康信息的收集、存储、使用、加工、传输、提供、公开等均属于对员工个人信息的处理。而载有这些健康信息的载体可能包括：员工关于健康信息的登记、填选；员工提交的病假申请、病休证明、诊断证明等医疗信息；员工在交流中向用人单位相关人员披露的个人健康信息；员工体检报告等，上述载体可能体现为纸质材料或者电子数据。对于上述载有员工健康信息的载体以及知悉的员工的健康信息，用人单位的处理时应当符合法律规定。
《民法典》第1035条第一款规定，“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定”。第1033条规定，“除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：……（五）处理他人的私密信息；（六）以其他方式侵害他人的隐私权”。第1036条规定，“处理个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为”。第1038条规定，“信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告”。
综合上述法律规定，对于用人单位在处理员工健康信息时的要求，笔者简要梳理如下：
1.根据本单位的情况，建立员工健康信息处理的规章制度或者规则，其中应当包含对健康信息的收集、存储、使用、加工、传输、提供、公开等内容。该等规章制度或者规则，应当获得员工明确同意的意思表示。此后，在每次遇到处理员工健康信息的具体场景时，均应当遵守上述规章制度或者规则。规章制度或者规则中较为重要的内容包括：用人单位对于员工个人健康信息采取何种存储方式、采取哪些保护措施、如何使用员工的个人信息、哪些情况下用人单位可以公开员工的个人信息。
2.除法律、行政法规规定的情形外，用人单位在具体收集员工健康信息的场景下，应当单独就本次信息处理获得员工的明确同意，并告知员工本次信息处理的目的、方式和范围。
3.用人单位对于员工的健康信息不得过度处理。如果遇到健康信息中包含私密信息的，需要注意，对于员工私密信息的处理需要征得员工明确同意。如上所述，信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。比较常见的情形是员工患有不愿为他人知晓的疾病时，用人单位不可过度苛求员工提供健康信息，如需处理，应当征得员工的同意。例如，在(2021)京03民终106号案件中，法院认为，《中华人民共和国民法典》第一千零三十四条规定：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”谢某罹患疾病的细节应属个人隐私，达科公司要求提供的病历、心理证明材料、费用凭据等应以必要为限，能够反映谢某患病就诊事实即可，但不应过分求全，以免侵犯个人隐私，侵害患者权益。
Part4 用人单位处理员工健康信息的其他常见问题
1.用人单位对统一组织员工进行体检的体检报告是否享有知情权
用人单位对于员工体检报告的健康信息并不必然享有知情权。《民法典》第1035条规定，“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外”。根据《中华人民共和国药品管理法》第50条“药品上市许可持有人、药品生产企业、药品经营企业和医疗机构中直接接触药品的工作人员，应当每年进行健康检查。患有传染病或者其他可能污染药品的疾病的，不得从事直接接触药品的工作。”《中华人民共和国食品安全法》第45条“食品生产经营者应当建立并执行从业人员健康管理制度。患有国务院卫生行政部门规定的有碍食品安全疾病的人员，不得从事接触直接入口食品的工作。从事接触直接入口食品工作的食品生产经营人员应当每年进行健康检查，取得健康证明后方可上岗工作。”《化妆品卫生监督条例》第7条“直接从事化妆品生产的人员，必须每年进行健康检查，取得健康证后方可从事化妆品的生产活动。凡患有手癣、指甲癣、手部湿疹、发生于手部的银屑病或者鳞屑、渗出性皮肤病以及患有痢疾、伤寒、病毒性肝炎、活动性肺结核等传染病的人员，不得直接从事化妆品生产活动。”《公共场所卫生管理条例实施细则》第10条“共场所经营者应当组织从业人员每年进行健康检查，从业人员在取得有效健康合格证明后方可上岗。患有痢疾、伤寒、甲型病毒性肝炎、戊型病毒性肝炎等消化道传染病的人员，以及患有活动性肺结核、化脓性或者渗出性皮肤病等疾病的人员，治愈前不得从事直接为顾客服务的工作。”根据上述法律法规的规定，在医疗、食品、化妆品、公共场所经营等领域，相关法律法规明确规定了禁止从事相关岗位的疾病种类，该类行业企业有权知晓员工与此相关的身体健康情况。
如果用人单位的经营事项不涉及此类岗位，那么并不必然享有对体检报告个人信息的处理权限。员工参加用人单位组织的体检活动应当基于自愿，就用人单位代员工统一接收员工的体检报告、体检报告的封存状态等应当事先告知员工，并取得员工的同意。如用人单位需要收集、查阅、处理员工的体检报告的，亦应当取得员工的同意。同时，用人单位也需注意将体检报告及时送达员工，与合作的体检机构约定获取体检报告的时效，以免产生体检报告延迟交付导致员工未能及时知晓其病情导致的诊疗延误，导致不必要的争议。
2.用人单位聘请医生专家为员工提供体检报告解读服务的注意事项
需要注意的是，健康体检本身属于诊疗行为的一种。根据《健康体检管理暂行规定》第2条的规定，“本规定所称健康体检是指通过医学手段和方法对受检者进行身体检查，了解受检者健康状况、早期发现疾病线索和健康隐患的诊疗行为”。第14条规定，“医疗机构应当对完成健康体检的受检者出具健康体检报告。健康体检报告应当包括受检者一般信息、体格检查记录、实验室和医学影像检查报告、阳性体征和异常情况的记录、健康状况描述和有关建议等”。用人单位聘请外部医生专家为员工解读体检报告的行为需要界定其行为性质，《医疗机构管理条例》第2条规定，“本条例适用于从事疾病诊断、治疗活动的医院、卫生院、疗养院、门诊部、诊所、卫生所（室）以及急救站等医疗机构”。第24条规定，“任何单位或者个人，未取得《医疗机构执业许可证》，不得开展诊疗活动”。《民法典》第1218条规定，“患者在诊疗活动中受到损害，医疗机构或者其医务人员有过错的，由医疗机构承担赔偿责任”。用人单位应当避免为员工提供体检报告解读咨询服务被认定为诊疗活动、疾病诊断、治疗活动，明确告知此项咨询服务的目的、咨询范围、责任承担范围，告知咨询结论并不能作为医疗机构的疾病诊断意见等，并留存员工知情同意的证明材料。
此外，关于用人单位聘请外部医生专家为员工提供体检报告解读或咨询服务的过程中的员工个人信息保护问题，该项服务并不是员工在就医过程中与医疗机构及其医务人员形成的诊疗活动中获知的患者隐私和个人信息，也不能简单界定为员工与外部专家之间的个人行为，鉴于该项咨询服务系在用人单位的组织下进行，仍然可能构成用人单位处理员工个人信息的范畴。因此，对于员工接受该项服务、该项服务对员工个人信息的处理仍然应当取得员工的同意。同时，用人单位亦应当注意与外部医生专家签订保密协议，约定外部医生专家对员工的个人信息承担的保密义务。