数字时代雇员个人信息保护探究

摘要：数字时代，互联网、大数据、人工智能等技术的发展和运用，给个人信息保护带来新的挑战。信息以数据形式进行存储、传输、利用，在此过程中极易发生个人信息泄露的问题。职场是个人信息保护的特殊领域，存在用人单位过度收集信息、知情同意规则难以落实、智能监控侵犯隐私权等问题。雇员作为劳动者，享有法律所赋予的人格尊严、人格自由以及传统的劳动权利，应当受到合法合理的保护。在《个人信息保护法》的原则性规定下，对雇员个人信息权益的保护应以目的限制原则为前提，以知情同意规则为重点，以公开透明原则为保障构建合法合规的企业内部雇员个人信息保护体系。此外，政府要加强技术保护投入，从技术层面加强企业数据安全；工会应完善集体保护制度，反映雇员真实需求；劳动监察部门发挥监督保障作用，做好劳动监察保护最后一道防线。
关键词：数字时代；雇员；用人单位；个人信息保护
目次
一、问题探究：雇员个人信息保护的危机与成因
二、逻辑支撑：雇员个人信息保护的内涵与价值
三、解决路径：雇员个人信息保护体系的构建
四、结语
在数字时代背景下，各行业信息化、智能化和数字化的进程不断加快，技术创新促进了国民经济发展，智能应用提高了各行业的工作效率。用人单位在招聘、用工、解雇等过程中必然会涉及对雇员个人信息的收集、存储和处理等问题。而互联网、人工智能等技术的应用加剧了雇员个人信息泄露的风险，如网络上频繁爆出的深信服“监控门”①、国美“通报批评员工上班摸鱼” ②、尚德机构“89次电脑监控截屏”等事件。《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）的出台虽可为雇员个人信息保护提供原则上的指引，职场的特殊性、劳资双方间实质上不平等的经济地位以及劳动关系从属性的特征使得雇员在行使个人信息保护权益时仍处于弱势一方。如何协调数字时代企业管理权与雇员个人信息保护之间的矛盾成为当前讨论热点和难点。对此，本文将从雇员个人信息保护的困境出发，分析雇员个人信息保护的内涵和价值，并提出相应建议，以期推动雇员个人信息保护体系的构建。
①《深信服令人难以信服：“监控门”被曝无回应，员工行为几乎“全裸”》，来源：https://baijiahao.baidu.com/s?id=1724827933547335709&wfr=spider&for=pc，2024年1月25日访问。
②《国美通报员工上班摸鱼引热议，监控员工上网算侵犯隐私吗？》，来源：https://baijiahao.baidu.com/s?id=1716730797543887197&wfr=spider&for=pc，2024年1月25日访问。
一、问题探究：雇员个人信息保护的危机与成因
数字时代信息以数据的方式进行存储，具有永久性、即时性、可复制性等特点，信息的数字化使得雇员个人信息的传播和隐私受侵犯的可能性大大提高。用人单位与雇员之间的矛盾逐渐从传统劳动争议问题上升到个人信息保护纠纷中，应当意识到个人信息体现了个体的人格尊严与价值，用人单位应谨慎处理。实践中矛盾频发的原因主要包括企业信息收集无明确范围、知情同意规则难以落实和智能监控手段存在局限性三个方面。
（一）企业信息收集无明确范围
“尽管从表面上看，劳资双方作为市场主体，似乎无论是在市场交易领域，还是在生产领域，都是所有权平等的主体，双方是按照彼此的意思自治约定劳动力使用权转让与消费的对价，并且按照表面上公平合理的条款履行着劳动合同，但在实际生活中，劳资双方其实完全是处于不对等法律地位的民事主体” ③ 。用人单位收集雇员个人信息的行为伴随着劳动关系存续的全过程。首先，用人单位在为雇员办理入职手续时，往往会要求雇员填写《入职登记表》等相关文件，由此掌握到包括雇员的照片、联系电话、地址、身高体重、健康状况、婚育情况、过往学历等在内的基本信息。其次，在职过程中的体检程序使得用人单位掌握雇员的健康信息，办公电脑存储着雇员上班过程中的浏览、邮件、社交等信息，同时为了方便日常对雇员的管理，企业人力资源部门往往会将收集到的员工信息上传至公司内部系统，或制成表格储存在公司网络客户端或工作电脑中，故收集到的信息存在泄露的风险；最后，离职时用人单位系统保存的个人信息未及时在固定期限内删除等问题均反映出在资强劳弱的劳动关系下，用人单位通过行使企业管理权掌握着雇员的大量个人信息，信息的泄露和不合理使用不仅会对个人造成侵权损害，更会影响劳资关系的稳定以及社会的和谐发展。
对此，我国《个人信息保护法》对收集个人信息进行了原则性的规定④，认为企业应当按照最小必要原则收集雇员个人信息，不得过度收集与工作内容无关的内容。此条规定并未明确用人单位在实施收集雇员个人信息时的范围，这就需要法官在司法审判的实践中对雇员个人信息进行合理判断，既要保护作为弱势一方的雇员合法权益，也要保障用人单位的合理管理权。如在达科信息科技（北京）有限公司与谢涛劳动争议二审民事判决书中⑤，法院认为，被上诉人雇员谢某提交的诊断证明书能够反映其存在抑郁状态且有建议休息的医嘱，达科公司要求提供的病历、心理证明材料、费用凭据等应以必要为限，能够反映谢某患病就诊事实即可，不应过分求全以免侵犯个人隐私，损害雇员权益。而在吴辉、亢振清等隐私权纠纷民事二审判决书中⑥，法院认为吴辉在入职信征公司时主动提供了其工作简历，该信息对于信征公司而言属于公开信息，并非吴辉的隐私。信征公司出于核实求职者信息的需要向相关单位核实吴辉的工作经历，不违反法律法规的相关规定。
③秦国荣：《劳资均衡与劳权保障：劳动监察制度的内在功能及其实现》，载《河南省政法管理干部学院学报》2010年第6期，第140页。
④《中华人民共和国个人信息保护法》第6条第2款。
⑤北京市第三中级人民法院（2021）京03民终106号民事判决书。
⑥广州市中级人民法院（2021）粤01民终22736号民事判决书。
（二）知情同意规则难以落实
数字时代，信息以数据方式进行存储，使得用人单位在行使管理权时更加便捷，法律为保障个人信息权益，对信息处理者施加“告知”和取得“同意”的义务。依《个人信息保护法》规定信息处理者在处理一般个人信息前需履行“充分告知”的义务，且在个人自愿、明确的做出“同意”的前提下方可对一般个人信息进行处理⑦。在涉及到敏感个人信息问题上需取得个人单独同意⑧。“之所以告知同意规则被认为是个人信息处理中的基本规则，原因在于个人信息是可直接或间接识别特定自然人的信息，与自然人的人格尊严和人格自由息息相关”⑨。但在劳动关系场合，由于用人单位和雇员存在实质上的经济地位不平等以及雇员对劳动合同存续的期待，往往使得“知情同意”规则流于表面形式。
一方面，用人单位未提前履行“告知”义务，而在事后以合法行使其管理权为由主张其行为正当性。应当注意到，实践中大多数用人单位并未意识到其对雇员个人信息保护的责任，其对雇员权益的关注仍停留在劳动报酬、休息休假、劳动安全等传统领域。用人单位对雇员有合法管理的权利，雇员对用人单位掌握的信息也应当有充分的知情权。例如在江汉等劳动合同纠纷二审民事判决书⑩中，上海市第一中级人民法院认为上海宏精医疗器械有限公司对劳动者履行工作职责进行管理监督无可厚非，但应在合法合理的限度内行使权利，宏精未证明其已明确告知江汉会对运用该手机的通话予以录音并恢复数据，或已就恢复其通话信息取得了江汉的明确同意，故证据不合法。法院的判决充分尊重了当事人的知情权，保障了当事人的个人信息权益。再如北京搜狐新动力信息技术有限公司与刘薇劳动争议一审⑪中，搜狐公司为证明刘薇存在代他人打卡及利用职务之便冒领公司奖品等行为，将刘薇与其配偶和下属之间的微信对话记录导出，海淀区法院认为刘薇虽同意公司查看其手机，但并未同意查看全部内容，更未同意导出其手机中信息，搜狐公司的行为侵犯了他人合法权益，对该证据正当性不予认定。可见，个人信息权益的保护关乎雇员的人格尊严和自由价值，用人单位应以谨慎的态度积极履行充分告知义务。
另一方面，基于劳动关系中双方力量的结构性失衡，难以考量雇员的真实意思表示。例如，实践中常见在劳动双方主体签订劳动合同时，用人单位制定“一篮子打包式”知情同意书，要求雇员签字默认用人单位对其在本公司内的个人信息处理权，此种处理权以建立在用人单位对雇员的合法管理基础之上为藉口，使得雇员在现实场景中往往只能默许同意，此种“默许”应当认为是由于劳动关系的从属性以及雇主和雇员双方地位的差异而被迫做出的，并非雇员的真实意思表示。据此有学者认为，“在劳动关系场合，需要对雇员同意做出更严格的限制。原则上除了雇员同意，雇主的个人信息处理行为还必须具有合理性，这是由劳动关系的特殊性质决定的劳动者个人信息保护的重要原则，而如何判断合理性则需要依赖劳动法等法律的规定及比例原则等加以确定”⑫。
⑦《中华人民共和国个人信息保护法》第14条第1款。
⑧《中华人民共和国个人信息保护法》第29条。
⑨程啸：《论个人信息处理者的告知义务》，载《上海政法学院学报（法治论丛）》2021年第5期，第68页。
⑩上海市第一中级人民法院（2021）沪01民终3040号民事判决书。
⑪北京市海淀区人民法院（2020）京0108民初14100号民事判决书。
⑫谢增毅：《劳动者个人信息保护的法律价值、基本原则及立法路径》，载《比较法研究》2021年第3期，第36页。
（三）智能监控手段的局限性
智能监控的盛行体现出数字时代人工智能的发展在劳动关系主体间的利益冲突。当前常见的智能监控手段包括上网流量监控、智能工牌、智能坐垫、智能手环、实时定位等，甚至包括可植入皮下的微型芯片等。用人单位通过智能监控技术获取雇员数据，通过算法自主地分析员工离职倾向以降低离职风险，预测员工的行动和工作需求以提升工作效率，评估员工是否满足职业发展所要求的能力来精准培养，以实现更精准高效的智能化管理。用人单位基于劳动合同的规定的确有权对雇员实施监督管理，但劳动合同不是“卖身契”，非正当的监控使得雇员个人信息权益的保护面临更大的挑战。应当意识到，“对于个人信息权益，法律保护的不是个人信息本身，而是其背后的个人利益”⑬。
雇员作为信息主体，享有法律保护的人格权、个人信息权益、通信自由与通信秘密等权益。首先，《民法典》规定了自然人享有人身自由、人格尊严等一般人格权益⑭，智能监控的滥用极易损害雇员的一般人格权。一方面，用人单位使用智能监控往往不区分办公场合，工作区域监控上班状态、休息区域监控言谈举止、厕所扫码计时等全方位监控会抑制雇员的创新和潜能，影响雇员的工作效率和工作表现，限制其行为自由，从而损害雇员的人格尊严和身心健康。例如在熊天松与武汉汇生伟业贸易有限公司劳动合同纠纷⑮中，汇生安排熊天松至长沙市出差，工作及住宿地均在汇生伟业公司长沙办事处，其住宿客厅中安装了24小时运行的摄像头，熊天松认为侵犯个人隐私表示无法接受最终离职。另一方面，由于智能监控系统具有很强的技术隐蔽性，雇员的个人信息在未察觉中便被分析、处理，极易产生侵犯雇员隐私权等个人信息权益的风险。其次，用人单位利用智能监控手段收集雇员个人信息，包括网页浏览记录、购物记录、行车路线等，再通过人工智能自动化决策⑯进行分析、处理或是通过算法挖掘更深层次的隐形特征，“由于人工智能和算法的局限性，自动生成的决定可能是草率和歧视性的”⑰。换句话说，用人单位通过智能监控手段收集的个人信息只有在获取、分析与应用的各个环节均满足合法、正当的程序性要求时，由此得出的结论才是正义的。最后，用人单位通过复杂、隐秘的监督方式获取雇员通话录音、微信聊天记录、电子邮件内容等方式侵犯了雇员的通信自由和通信秘密等权益。例如在修玉蝉、海阳市融昌塑编包装有限公司隐私权纠纷一案⑱中，被上诉人融昌公司在办公电脑上安装超级眼电脑监控软件，对上诉人修玉蝉的微信、QQ等聊天信息自动进行数据下载、保存，修玉蝉主张被告侵犯了自身的隐私权，应当肯定雇员即使在工作场合也应具有合理的“隐私期待权”，对于用人单位智能监控合法与违法的边界的判断尚需明确的法规与司法案例的指导。
⑬张新宝：《论个人信息权益的构造》，载《中外法学》2021年第5期，第1154页。
⑭《中华人民共和国民法典》第990条。
⑮武汉市东西湖区人民法院（2019）鄂0112民初3653号民事判决书。
⑯《中华人民共和国个人信息保护法》第73条第2项。
⑰田野：《职场智能监控下的劳动者个人信息保护——以目的原则为中心》，载《中国法学》2022年第3期，第107页。
⑱烟台市中级人民法院（2019）鲁06民终7145号民事判决书。
二、逻辑支撑：雇员个人信息保护的内涵与价值
数字时代，雇员个人信息保护涉及新形势下劳动者权益保障问题，是当下理论界和实务界研究的热点。我国关于个人信息保护的立法工作正在逐渐加强和完善，2020年12月最高人民法院公开发布了《民事案件案由规定》将“个人信息保护纠纷”设为独立的案由，突出了个人信息保护的重要性；2021年1月1日正式施行的《中华人民共和国民法典》（以下简称《民法典》）在人格权篇中加入“个人信息保护”专章，使得个人信息保护在基本法层面予以确定，并在私法领域为劳动者个人信息保护提供了法律依据；2021年11月1日的《个人信息保护法》明确规定了“个人信息”的概念，完善了保护公民个人信息的原则性规定，为个人信息侵权案件的处理提供了指导。立法工作的不断完善反映出个人信息保护的重要性，雇员个人信息保护作为个人信息保护的特殊领域，具有其特殊内涵与价值。
（一）防止引发潜在的社会隐私利益风险
个人信息权在性质上属于一种集人格利益与财产利益于一体的综合性权利，并不完全是精神性的人格权，其既包括了精神价值，也包括了财产价值。而隐私则主要体现的是人格利益，侵害隐私权主要导致的是精神损害⑲。对于雇员的个人信息保护，一方面应当认识到个人信息与隐私存在交叉重合的部分，如生物识别信息、健康信息、行踪信息等信息既属于我国《民法典》第1034条规定的个人信息范畴，也属于公民的私密信息。数字时代的个人信息因以数据方式储存，具有流通速度快、关联程度高等特点，从表面上看不具有私密性的个人信息往往因与其他信息相关联而构成可识别性的个体，进而增加侵犯隐私权的风险，引发社会公众信息信任危机。但另一方面也要注意在数字时代，将个人信息过窄限定于私密性之上，可能不利于隐私的保护；将隐私扩张于所有个人信息控制之上，则可能使隐私丢失其本质属性，并且不利于信息的传播与交流⑳。换句话说，不应当将个人信息权益与隐私权二者完全割裂来看，个人信息的范畴远远大于隐私权，二者具有天然的交织关系，无论是否将个人信息权益在隐私权保护体系中独立出来，二者都无法做到泾渭分明的二元化分，法律对二者的保护将会始终联系在一起㉑。因此，保护雇员个人信息是防治隐私风险的预防性措施，尽可能避免因个人信息泄露或任意公开造成雇员以及与之信息相关主体的公民个人隐私权益受损。
⑲参见王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，载《现代法学》2013年第4期，第66页。
⑳李忠夏：《数字时代隐私权的宪法建构》，载《华东政法大学学报》2021年第3期，第48页。
㉑张建文、时诚：《<个人信息保护法>视野下隐私权与个人信息权益的相互关系——以私密信息的法律适用为中心》，载《苏州大学学报》（哲学社会科学版）2022年第2期，第56页。
（二）保护雇员的人格尊严与自由
我国《宪法》规定中华人民共和国公民的人格尊严不受侵犯，禁止用任何方法对公民进行侮辱、诽谤和诬告陷害。㉒《民法典》规定自然人的人身自由和人格尊严受法律保护㉓。法律赋予自然人的人格尊严作为人格权中的核心权利，具体是指公民作为平等的人的资格和权利应该受到国家的承认和尊重，包括与公民人身存在密切联系的身体权、名誉权、隐私权等不容侵犯的权利。而人格自由作为一般人格权的基本内容之一，是指民事主体保持其人格、发展其人格的自由，包括行为自由和意志自由。“个人信息所体现的是公民的人格利益，个人信息的收集、处理或利用直接关系到信息主体的人格尊严”㉔。对雇员个人信息的保护体现了维护其人格尊严和自由价值，保护个人信息事关当事主体，也关乎社会的长治久安。信息泄露问题对于雇员的人格权的侵害主要包括两方面：其一，可能会导致隐私泄露、公开或被侵扰，侵犯雇员人格尊严。例如，用人单位在收集雇员个人信息时，可能会涉及婚姻状况、家庭成员、工作经历等敏感个人信息，信息保管不善可能会使其中所牵涉的主体受到侵害，包括因为信息泄露引发的人身财产损害和精神损害。私密信息的公开或泄露甚至会导致自然人的人格尊严受到侵犯，影响社会的安定与和谐。其二，限制雇员行为自由，加剧劳资矛盾。在劳动关系中，雇员理应遵守用人单位规定，但用人单位也应保障其人格权应当得到尊重和保护。职场管理行为首先应当具有目的正当性和行为正当性，用人单位在其经营场所设置监控设备或其他监控措施，应以安全保障及用工管理为目的，利用诸如上网行为感知系统、非工作流量排查、智能坐垫、移动考勤等对雇员在企业的全部行为进行监控，实则是一种粗暴冰冷的管理，意图工具化雇员，侵犯了雇员的行为自由。
㉒参见《中华人民共和国宪法》第38条。
㉓参见《中华人民共和国民法典》第109条。
㉔郝思洋：《大数据时代个人信息保护的路径探索》，载《北京邮电大学学报（社会科学版）》2016年第5期，第15页。
（三）保护雇员的人身财产安全及传统劳动权利
一方面，在信息化发展的社会背景下，公民个人信息蕴含的商业价值日益凸显，随之而来的则是频发的信息泄露事件。据中国互联网络信息中心《第52次中国互联网络发展状况统计报告》显示，截至2023年6月，62.4%的网民表示过去半年在上网过程中未遭遇过网络安全问题。从网民遇到各类网络安全问题的情况来看，遭遇个人信息泄露的网民比例最高，为23.2%；遭遇网络诈骗的网民比例为20.0%；遭遇设备中病毒或木马的网民比例为7.0%；遭遇账号或密码被盗的网民比例为5.2%㉕。个人信息泄露轻则侵犯公民人格权，重则引起刑事案件，危及公民人身、财产安全。立足于职场场景，用人单位系统保存大量雇员个人信息，信息泄露或随意公开化不仅会造成雇员具体人格权受侵犯，严重的还会导致雇员及其家人人身、财产安全遭受损害。例如，行业“内鬼”可利用职务便利窃取单位内大量雇员基本信息进行出售、不法分子通过技术手段、系统漏洞盗取企业网站后台信息等。这些被盗取的信息包括企业收集的雇员家庭住址、家庭成员、联系方式、身份证号码、银行账户等诸多与自然人人身财产安全有关的信息。不法分子利用此类个人信息可从事大规模诈骗活动，侵犯雇员财产所有权，引发社会秩序混乱。企业作为掌握大量雇员个人信息的机构，更应意识到保护雇员个人信息的重要性，加快建设企业内部个人信息监管体系。
另一方面，“大数据时代，雇主之性别歧视、学历歧视甚至种族歧视，通过智能程序均可进行隐性设置，进而损害雇员之平等就业权”㉖。劳动者平等就业权是劳动者最基本的权利之一，我国《宪法》明确规定中华人民共和国公民有劳动的权利和义务，市场经济下的劳动就业权包含平等就业权和自由择业权等内容。数字时代，科学技术的发展使得用人单位获取雇员个人信息的途径增多，不仅可以通过传统询问调查方式，还可通过网络对雇员进行社会评价类搜索，或是查询雇员信用征信行为等方式对雇员综合做出是否予以录用的决定。例如，用人单位可通过算法设置对已离职雇员进行综合评价，若评价中包含歧视性内容，将会影响该劳动者的平等就业权。有学者曾指出，“司法机关在识别司法信息公开行为中关涉隐私权、个人信息权益的内容时，既要从权利保护角度判断信息反映人格尊严等权益价值的程度，也要从风险防范角度衡量信息公开带来的相关主体人格尊严或人身财产安全受损的风险程度”㉗。换句话说，在互联网时代，雇员个人信息可通过多种方式查询利用，任何掌管公民个人信息的企事业单位、政府机构、司法机关都应审慎处理个人信息，避免给公民在从事社会活动时造成障碍。
㉕中国互联网络信息中心《第52次中国互联网络发展状况统计报告》，来源：https://cnnic.cn/n4/2023/0828/c199-10830.html，2024年1月28日访问。
㉖王岩、陈业宏：《数字经济时代劳动者个人信息保护问题研究》，载《社科纵横》2021年第1期，第124页。
㉗张新宝、魏艳伟：《司法信息公开的隐私权和个人信息保护研究》，载《比较法研究》2022年第2期，第114页。
三、解决路径：雇员个人信息保护体系的构建
雇员是企业发展的中流砥柱，重视雇员利益保护问题既是保持企业健康发展的关键也是促进社会长治久安的重点。在劳动关系中雇员处于弱势地位，而不断上升的雇员个人信息保护纠纷更多的是因为用人单位在行使管理权时超越管理边界所导致的。应当意识到，在肯定用人单位合理管理权时倾向保护雇员权益才是促进劳资关系、实现公平正义的权衡之计。雇员个人信息保护作为个人信息保护的特定领域，应当在《个人信息保护法》所规定的基本原则下，结合雇员个人信息保护的特殊场景展开，一方面具体明确用人单位的权利、义务与责任，另一方面探讨实践中保护雇员个人信息权益的其他多元化救济途径。
（一）企业构建信息合规管理制度
用人单位应当制定合法合理的规章制度，首先将目的限制原则贯彻个人信息收集、处理全过程，合理规制用人单位的信息管理权限；其次对信息收集、监督方式予以规制，禁止通过智能设备秘密窃取的方式获取信息；再次应对雇员信息分级分类管理，尤其注意敏感个人信息的处理；最后建立信息监管保障机制落实信息处理环节的最后一层保障。具体而言，应当注意以下几个方面：
首先，应当将目的限制原则贯彻个人信息收集、处理全过程，合理规制用人单位的信息管理权限。目的限制原则作为个人信息保护的一项基本原则，在任何处理活动中处理者都应当受到该原则的拘束。“目的限制原则主要包含了两个维度：一是目的特定维度，即必须是为了特定、明确、合法的目的而收集个人数据，否则不得收集或进行其他的处理活动；二是兼容使用维度，即被收集的数据必须以符合特定目的的方式进行处理，即对数据的处理与特定的、明确得、合法的目的存在合理的联系，没有超越处理的目的”㉘。换句话说，用人单位作为信息处理者，要符合目的限制原则应当作到两方面：一方面在收集雇员个人信息时必须满足是为了特定、明确、合法的目的，即第一，不得收集与工作无关的雇员个人信息；第二，要明确告知其收集信息的目的并取得同意；第三，收集必须是符合法律、行政法规规定的。另一方面，用人单位对于收集的数据进行处理也同样要受到目的原则限制，体现在用人单位对雇员个人信息的处理必须是符合其事先告知的收集目的，而不能任意超越权限随意处理。在目的限制原则的规制下，用人单位在收集、处理雇员个人信息时更能以谨慎的态度进行操作，从而思考并规避可能引发的超越权限的风险，同时也能保障雇员对个人信息处理活动的知情权。
其次，对用人单位的收集、监控方式予以规制，禁止通过智能设备以秘密窃取的方式进行信息收集。人工智能的发展给予用人单位行使管理权以更丰富的方式，用人单位在维护职场秩序、安全、保护单位财产、监督工作效率等方面享有管理权。在行使管理权时会涉及对雇员信息收集、整合、评价的过程，因此用人单位的收集、监控方式应当是公开透明、正当且必要的，即第一，用人单位应在规章制度中明确公开所采取的任何有关收集、监督、管理的方式、设备等；第二用人单位所采取的方式应当法律所允许的，不能通过非法方式对雇员进行监听、监控；第三，用人单位应当以满足管理目的需要的最低限度为标准，以给雇员造成最小损害为尺度进行合理收集、管理，不能对工作时间以外或与工作无关的个人信息进行收集、披露。尤其在利用智能监控进行管理的过程中，用人单位应当注意智能监控的使用方式与程度，有学者认为支持职场监控(特别是智能监控)的事由必须是重大且令人信服的，这一精神应当得到明确宣示。“持续的职场监控是冒犯性极强的方式，在一些国家，秘密的职场监控甚至可能被认定为间谍行为而触发刑事责任”㉙。智能监控的合理使用有利于提高工作效率、保护雇员人身健康、财产安全，但全方位、秘密的监控方式不仅会损害雇员积极性，还可能因涉及侵犯隐私权，引发职场信任危机。必须强调的是，对于可能造成雇员人格尊严或自由被严重侵犯的信息处理行为，如在卫生间门口安装摄像头或对个人隐私空间进行监控等应当认为是严重违法行为。此外，鉴于当前远程办公模式的兴起，工作场所不再局限于原先的办公区域，对于非工作区域办公的雇员，用人单位应当及时充分释明监控的范围及方式，禁止采集任何与雇员工作无关的信息。对已采集的信息做好报备，在雇员充分知情且同意的情况下才可进行处理，对于可能涉嫌侵犯个人隐私权的信息雇员有权主张删除权。
再次，用人单位应对雇员信息分级分类管理，尤其注意敏感个人信息的处理。敏感个人信息与自然人的人格尊严、人身和财产安全密切相关，因此用人单位需谨慎采取监控手段，在涉及到敏感个人信息问题上更应慎重。首先，我国《个人信息保护法》第28条第1款㉚在对敏感个人信息的具体列举中使用了“等”字，这就意味着，敏感个人信息并不局限于当前法律中所列举的生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等内容，随着社会和科技的发展敏感个人信息的范围将会补充扩大，用人单位更应以审慎的态度对待所收集的雇员个人信息。其次，依据《个人信息保护法》规定信息处理者需满足特定的目的和充分的必要才能处理敏感个人信息㉛。对此应当理解为，第一，用人单位对与雇员有关的涉及敏感个人信息的处理应当符合特定目的，该目的需是与工作严格相关的；第二，此种处理必须是用人单位行使管理权所必不可少的、缺一不可的。最后，《个人信息保护法》规定了敏感个人信息的处理应取得雇员的单独同意授权㉜。结合职场场景，用人单位应做到以下三个方面：第一，用人单位对于雇员敏感个人信息的处理需要逐项取得同意；第二，雇员可以要求用人单位就某项信息的处理履行告知义务；第三，不得以拒绝提供某项条件为由强制收集雇员的敏感个人信息。
最后，建立信息监管保障机制，落实信息处理环节的最后一层保障。用人单位应落实对雇员个人信息处理的事后监管制度，第一，可通过建立阶段事后公开机制，每季度公布所采集的雇员个人信息内容及处理目的，此类公开应当是仅对个人的；第二，对于所采集的雇员个人信息应采取安全技术措施予以保障，如匿名化、加密、去标识化等技术手段；第三，在引用算法等技术手段进行自动化决策时应在事后加入人工审查的权利㉝，避免侵犯雇员的平等就业等权利。
综上，鉴于司法审判中的主要纠纷来源于用人单位对雇员个人信息的收集、处理以及监控过程，上述建议主要围绕此类内容，尚存在不足。实践中矛盾错综复杂，个人信息保护问题仍处于上升阶段，用人单位作为雇主，对雇员的保护应当是多方向、全方位、符合法律法规要求的，而不应当固定局限于某一层面，应努力发挥最大积极性充分保障雇员的各项权益，建立良好的劳资关系。
㉘程啸：《论我国个人信息保护法的基本原则》，载《国家检察官学院学报》2021年第5期，第10页。
㉙同前注⑰，第117页。
㉚《中华人民共和国个人信息保护法》第28条第1款。
㉛《中华人民共和国个人信息保护法》第28条第2款。
㉜《中华人民共和国个人信息保护法》第29条。
㉝参见蔡星月：《算法决策权的异化及其矫正》，载《政法论坛》2021年第5期，第33-36页。
（二）建立多元化的权利救济机制
一是政府强化技术保护支持。“大数据时代，技术手段是法律措施的重要补充，个人信息的安全和保护应强化技术的作用”㉞。各级政府应加大对企业个人信息保护技术研究的资金投入，落实相关具体扶持政策，激励企业在信息保护方面自主创新，从技术层面保障雇员个人信息安全也保障企业数据安全。一方面在于“现代信息处理技术之下，个人信息所蕴含的公共管理价值和商业价值，将成为公司机构不当收集、处理、利用和传输个人信息的巨大诱因”㉟；另一方面在于雇员作为劳动者，是推进经济和社会发展的重要力量。“构建和谐劳动关系是维护劳动者权益、促进企业可持续发展的内在需要，也是建设社会主义和谐社会、增强党的执政能力的重要基础和必然要求”㊱。因此，政府应积极发挥职能，探索数字时代个人信息保护的新路径。
二是工会完善集体保护制度。工会作为职工代表，可在最大程度上反映职工的真切需求，一方面通过监督权、异议权、协商权代表雇员对用人单位的不合法规章制度提出抗衡，寻找最佳方案；另一方面通过起诉权、签约权关切雇员真实需求，保护其切身利益。数字经济的发展使得新形势下保护劳动者权益有了更多诉求，工会应在法律赋予其传统保护权利下探索新的救济监督方式。对于雇员个人信息保护方面，工会应考虑以下方面，第一，在一般个人信息保护问题上，主要发挥集体保护制度，通过集体会议了解雇员真实需求，将有关需求与用人单位协商以条款方式具体落实在劳动合同上，通过事前预防加上事后监督的方式给予雇员双重保障；第二，在敏感个人信息保护问题上，限制用人单位收集信息的范围，监督用人单位对信息的处理，同时加强对雇员的法律宣传工作，增强雇员对个人敏感信息的认识；第三，当发生个人信息侵权纠纷时，工会应及时帮助雇员与用人单位协商，协商达不成一致则代替雇员向仲裁机构申请劳动仲裁或是向人民法院起诉。
三是发挥劳动监察的保障作用。劳动监察是劳动行政主管部门代表国家对用人单位或其他劳动服务主体行使监督的一种方式，是保障劳动者权益的重要手段，具有监督主体的广泛性、监督对象的特定性、监督内容的全面性、监督性质的多样性等特征。“劳动监察制度可以在劳资双方矛盾形成之初介入，及时阻止冲突尖锐化，将社会影响降到最小，实现社会成本的最小化的作用”㊲。发挥劳动监察对雇员个人信息保护的作用应当做到，第一，宣传《个人信息保护法》及相关涉及雇员个人信息保护的法律法规，督促用人单位贯彻执行；第二，及时检查用人单位遵守劳动保障法律、法规和规章的执行情况；第三，提高各级劳动监察部门对侵犯雇员个人权益举报和投诉的受理率；第四，依法纠正和查处用人单位违法违章的行为，对严重侵犯雇员权益的应当进行处罚。
㉞史卫民：《大数据时代个人信息保护的现实困境与路径选择》，载《情报杂志》2013年第12期，第159页。
㉟张新宝：《从隐私到个人信息：利益再衡量的理论与制度安排》，载《中国法学》2015年第3期，第46页。
㊱胡磊：《和谐劳动关系构建中的政府行为优化研究》，载《行政论坛》2014年第2期，第78页。
㊲宋亚楠：《劳动者个人信息权保护问题研究》，吉林大学硕士学位论文，2021年提交，第47页。
四、结语
数字时代的蓬勃发展使得个人信息保护成为时代热点，有关个人信息的立法在不断完善，其中备受瞩目的《个人信息保护法》规定了个人信息保护的一般原则，包括合法、正当、必要、诚信、目的限制、公开透明、质量、安全等八项原则。雇员个人信息保护作为信息保护领域的特殊区域，应当适用《个人信息保护法》的规定。应当意识到，雇员个人信息保护除了具有一般个人信息保护的价值以外，还兼具了对劳动者权益保护的特殊性。同时由于雇员与用人单位之间存在实质上的不平等的经济地位，因此有关雇员个人信息的保护应当倾向作为弱势一方的雇员。具体通过一下原则展开：以目的限制原则规范用人单位的管理区界限，在处理雇员个人信息时坚持落实知情同意规则，根据公开透明原则的要求建立完善的事后监督机制。同时强化政府技术保护支持，从技术层面探索保护雇员个人信息的新路径；重视工会的集体保护制度；提高劳动监察部门的受案率。随着技术的不断发展，雇员对于个人信息保护的要求会逐渐提升，作为信息管理机构的用人单位更应以谨慎的态度对待雇员的个人信息，避免因管理不当造成信用危机，引发劳资矛盾。