数字经济下劳动者个人信息保护困境与企业用工合规策略

前 言
数字技术的发展在为用工单位招工用工提供便利、提升企业经济效益的同时，也带来了一些在数字技术运用过程中侵害劳动者个人信息的问题。通过对劳动者个人信息保护问题的分析，可以看出实践中存在知情同意规则失灵、用工管理权与知情权的冲突等问题。在数字经济时代，完善劳动领域个人信息保护立法，推动企业规范处理劳动者个人信息，并规范企业各阶段对劳动者个人信息保护的合规策略确有必要，也正当其时。
关键词： 劳动者；个人信息；数字经济；企业用工合规
一 问题的提出
随着数字经济时代的到来，工作场所监控已经进入5.0时代，从物理监控到数据监控，再到现在的大数据和算法分析监控。管理层对工人的监督已经像潮水一样无孔不入。我国《个人信息保护法》第十三条规定了可以处理个人信息的法定情况，其中第二款规定的“为订立、履行个人作为一方当事人的合同所必需”和“依法签订的集体合同实施人力资源管理所必需”，为员工个人信息管理提供了法律依据。出于考勤管理的目的，公司可能会采用可能涉及个人隐私信息的表格，如面部识别、指纹考勤和位置登记。除此之外，公司在办公场所安装摄像头或监控员工的计算机安装软件更是常态。而监测过程中，不可避免地会收集面部、呼吸和心率等高度敏感的个人信息，侵害了员工的合法权益。
二 企业用工劳动者个人信息保护不足的原因
一 知情同意规则实现困难
知情同意规则是指要求处理个人信息必须获得个人的真实同意，并且必须充分知情。与小数据时代不同，数字企业在大数据时代处理信息的目的可能会随着算法的进步而改变。在将他们通常拥有的信息与数据分析和挖掘相结合后，信息的后续整合、流通和使用可能会超出其最初的目的和范围[1]。因此，处理信息的最终目的是不确定的，这使得劳动者很难真正知情。同时，大数据的频繁处理可能会超出最初商定的范围，这需要管理层在追求工作效率和保护个人信息权利方面做出选择。而管理层通常选择牺牲工人的知情权，使他们的知情同意流于形式。
二 劳资双方地位不平等
相对于用工单位，劳动者天然处于弱势地位，存在从属身份关系。为了维护自己的地位，往往会同意管理层对个人信息的不当处理。劳资双方的不平等地位也给劳动者的合法权益保护带来了困难。一方面，劳动者出于保住“饭碗”等因素的考量，不会主动对企业管理制度和信息采集、监控提出挑战。另一方面，劳动者的维权成本高，能够提供的证据一般是劳动合同、证人证言等，但能够反映完整案情的监控录像、管理材料等往往掌握在管理层手中，劳动者很容易因证据不足而败诉。同时，在司法实践中，法院也更倾向于保护用人单位的用工管理权，对涉及轻微侵犯个人信息而不造成严重后果的行为表现出宽容态度。
三 数字技术侵权难以察觉
企业在安装摄像头、监控员工电脑时，一般不会主动告知其监控的数量和安装地点。杭州一公司为员工配备了智能坐垫，实际上是为了检测他们的心跳、呼吸、坐姿等。物理意义上的监控可能很容易识别，但安装在劳动者手机和电脑等电子设备上的监控很难检测到。此外，此类设备与管理层其他员工的信息混合在一起，可能会对其他员工构成威胁，同时维护他们自己的权益[2]。企业在利用自动化决策提高用工管理效率的同时，也存在算法歧视、侵犯劳动者个人信息和隐私等客观问题。尽管《个人信息保护法》对“大数据杀熟”和“商业营销”做出了相关规定，但劳动争议场景下的自动化决策也需要法律衔接，劳动者不应只是成为“算法囚徒”。
三 劳动者个人信息保护困境的解决方案
一 完善劳动者个人信息立法
个人信息保护的本质是自然人作为主体所享有的人格尊严，劳动者即便受到用人单位的管理，也应当得到单位的尊重。若单位在管理目的所需的必要限度之外仍不当收集劳动者的个人信息，将会严重侵犯劳动者的私人空间与合法权益，甚至可能会损害到劳动者的人格尊严。因此，有必要在立法层面重视对劳动者的个人信息保护。当前，《个人信息保护法》更加详细地明确了知情同意规则、各信息主体权利的行使以及信息处理者的义务，对个人信息权利的保护搭建了更好的防护圈，但鉴于劳动者群体庞大的群体数量、纷繁复发的社会关系等诸多问题，仍不足以完全、有效的保护劳动者的个人信息。劳动者的个人信息保护因在劳资市场中天然的弱势地位，必须在立法上予以完善，承担起平衡雇主效益和员工权利的责任，以劳动法保护的视角，树立起权利更多向保护劳动者倾斜的立法理念。目前，虽然有劳动合同法、就业促进法等现行法律保护劳动者个人信息，但立法相对较为零散，不成体系。而《劳动合同法》《劳动基准法》等法律制定时间比较久远，与当前的数字时代难以完全适应，需要根据当下一些突出问题增加劳动者个人信息保护的相关条款。因此，有必要对劳动者个人信息保护作出适当的特别规定，包括对劳动者个人信息处理的基本原则，尤其限制比例原则和知情同意原则，以及对劳动领域涉及的招聘就业、劳动关系存续以及劳动关系终止后不同阶段的信息处理行为作出相关规定[3]。
二 厘清企业用工管理权的边界
企业管理者以《个人信息保护法》第十三条第二款的两个“必需”作为监管劳动者个人信息的法律依据，但《个人信息保护法》并没有明确“必需”的具体情况，进而导致了一些企业站在资本和法律的双层高位不断侵犯劳动者私人信息。此外，我国现行立法框架下对企业用工管理权的边界界定不明晰，导致司法实践中法院办理案件尺度不统一，尤其是在社会舆论监督迅速发展的情况下，不利于保护弱势群体的利益，也不利于政府公信力的提升。因此，必须要划清企业用工管理权和劳动者个人信息权的边界，可以采用场景化处理的方式，根据劳动关系的紧密程度适用不同的标准。
1.劳动关系尚未建立阶段，根据《劳动合同法》第八条，企业用工方对求职者信息的收集应仅限于与订立劳动合同直接相关的信息，星座血型、婚姻家庭、微信号码等无关信息，用工方无权要求劳动者提供其他非相关信息，法律也应当支持劳动者拒绝。当然劳动者也要遵循诚实守信原则，如实告知确有必要的信息，如果劳动者杜撰虚假信息求职应聘，企业可以根据法律规定解除劳动关系。
2.劳动合同签订以后，用工企业与劳动者的地位落差更加明显，企业对劳动者的用工管理对劳动者的个人信息收集更加全面细致，对劳动者个人信息权的挤压更加严重。为了保护劳动者个人信息，企业在工作需要或者日常管理中对劳动者个人信息的收集就应当依法规范。尤其是在运用信息设备收集、加工、存储劳动者个人信息前就必须在规章制度中明确告知，劳动者书面同意。
三 加强大数据赋能监督
为了监管个人信息保护的法律实施情况，可以积极顺应政府数字化转型浪潮，深度应用大数据在发现企业主体违规违法收集个人信息的线索，通过数据赋能加强巡视监督，充分发挥行政主体执法的便利性。一方面，研发数字化管理程序，定期抽查企业有无违法违规行为，当发现企业存在违规处理个人信息的情况，可以迅速制止，提高对个人信息保护的效率，避免对劳动者人格权益不良影响的扩大，减少信息泄漏可能造成的损失。另一方面，根据大数据筛查结果，加大事后处罚的力度，可以根据企业违法行为的轻重给予相应的处罚，让企业无法忽视违法成本，从根本上减少企业再犯的可能性，也对行业内其他企业起了警示作用。
四 劳动者个人信息保护的企业合规策略
一 企业在招聘中对个人信息保护的合规对策
首先，企业招聘阶段，应要求劳动者自行填写个人信息材料，要确保劳动者自愿提供个人信息且承诺其提交个人信息的真实性。其次，企业在对劳动者进行背景调查，应先征得劳动者的同意和授权并签署授权书，在授权书中，应注明劳动者虚假陈述的后果。这也有利于企业对提供虚假简历的劳动者进行有效处理。
二 企业管理中对劳动者信息保护的合规对策
在日常管理中，企业应对劳动者的个人信息承担保密义务。尤其对于涉及人脸、指纹等高度敏感的个人信息，企业应采取加密措施进行去标识处理，防止个人信息丢失、篡改和泄露。企业如与第三方合作，需要审查第三方的资质、能力、合法性和预期合作的必要性，并要求第三方提供不侵犯劳动者个人信息的书面保证。当第三方和企业需要共同处理员工的个人信息时，需要签订书面协议，明确各自的权利和义务。对于电脑、邮箱、电话等办公电子设备，需做到“公私分明”，办公室使用的电子设备不能用于解决个人事务的情况应提前向劳动者明确说明。
三 企业对劳动者离职后个人信息保护的合规对策
对于劳动者离职后个人信息的处理，企业应做到三点：
在企业个人信息数据库中删除离职劳动者个人信息，以防离职劳动者个人信息泄露。
在公司章程和企业制度上明确劳动者个人信息保护和销毁的具体措施，并对相关措施进行可行性评估。
要求持有离职劳动者个人信息的第三方及时删除相关信息，最大限度的降低其个人信息泄露的风险。
——本文收录于《第五届长三角劳动法律师业务交流会论文集》。
参考文献：
[1] 参见谢阳斌，桑新民：《如何在“双一流”建设中促进科研与教学协同发展：国际教学学术运动的深层反思与战略谋划》，载《教育发展研究》2018年第38期。
[2] 参见吴岩：《建设中国“金课”》，载《中国大学教学》2018第12期。
[3] 参见陈燕秀：《基于慕课资源的混合式教学：东西部高等教育协同发展的共赢之道》，载《中国大学教学》2018第2期。