《个人信息保护法》对用人单位人力资源管理产生的影响及应对

《民法典》对用人单位的劳动人事管理提出了新的要求，一改之前劳资双方在信息保密方面存在的权利义务不对等的现象，对用人单位妥善处理员工个人信息做了义务性约束；而将于2021年11月1日起施行的《个人信息保护法》则细化了相关规定，在处理员工个人信息方面赋予了用人单位更明确的义务。作为企业主和HR需适时结合新法审视、梳理企业内部的用工管理体系，妥善解决员工个人信息受保护权与用人单位知情权、管理权之间的冲突以及衍生的一系列新的挑战。劳和律师将通过公众号推送及线下沙龙等形式，助力企业在“后民法典时代”合规发展。
一、背景阅读：个人信息保护法的立法沿革
我国个人信息保护领域的立法，刑法走在了最前列。2009年刑法修正案（七）将非法提供和获取个人信息纳入刑法调整范围。2012年全国人大常委会通过的《关于加强个人信息保护的决定》开启了我国个人信息保护立法的征程，此后《网络安全法》、《消费者权益保护法（修订）》《民法总则》以及《民法典》分别对个人信息保护制度做了规定，确立了个人信息保护的主要规则；完善了惩治侵害个人信息犯罪的法律制度；在《民法典》的编纂中，将个人信息受法律保护作为一项重要民事权利作出规定，我国个人信息保护法律制度逐步建立。在此基础上，对于个人信息保护的适用范围、健全个人信息处理规则，明确个人信息处理活动中个人的权利和处理者的义务等进行了规定。
二、用人单位须知的个人信息保护法律要点
1、用人单位是“个人信息处理者”，应遵循相关法律规定
用人单位在劳动关系管理中必然会涉及收集、保存、处理员工个人信息，属于《个人信息保护法》规定的个人信息处理者，在处理员工信息时应遵循法律对于“个人信息处理者”的相关规定。
2、个人信息及个人敏感信息的定义及范围
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
三、《个人信息保护法》之下对用人单位人力资源管理的实操建议
1、在招聘录用等环节获取信息取得员工授权同意
在收集信息环节合法合规，是用人单位信息安全风险防控的第一步。根据《个人信息保护法》的规定，用人单位处理员工信息应取得员工的同意，处理员工信息应当遵循合法、正当、必要和诚信原则；应当具有明确、合理的目的并告知员工，采取对员工个人权益影响最小的方式；收集员工个人信息应当限于实现处理目的的最小范围，不得过度收集。
据此，对企业在人力资源管理的各环节涉及获取员工信息提出以下实操建议：（1）在招聘环节需对候选人进行背景调查的，取得候选员工签署的《背景调查授权书》，明确告知背景调查的事项及目的，在授权的范围内进行背景调查。
（2）入职环节收取员工信息的，签署《个人信息处理的知情同意书》，在取得员工的知情同意后收取员工信息，对于员工提交的身份证明材料如：身份证复印件、学历证书复印件、学位证书复印件、与职位相关的资格考试证书复印件等，可附材料清单，以便劳资双方确认提交的信息材料。
（3）对于仅部分岗位所需要的任职条件等相关信息，可按条件分类设置《员工入职信息登记表》和相应的《个人信息处理的知情同意书》，以避免过度收集员工信息。如仅对法律明确规定无犯罪记录才能从事的职业要求员工说明有无犯罪纪录，对于其他岗位则无需此要求。
（4）对于员工在职期间因岗位调动等原因补充收取的个人信息，可及时与员工补充签订《个人信息处理的知情同意书》。
2、适用指纹、人脸识别、定位等方式考勤打卡需征得员工单独同意
目前通常采用的考勤方式如指纹打卡、人脸识别打卡均需采集员工个人的生物识别信息，GPS定位体现员工个人的行踪轨迹。如前所述，生物识别、行踪轨迹为个人敏感信息，处理敏感个人信息应当取得个人的单独同意，用人单位应告知员工处理敏感个人信息的必要性，并征得员工的单独同意。
实操建议：（1）采用指纹、人脸识别、定位等方式考勤打卡的用人单位，应告知员工处理生物识别/行踪轨迹信息的必要性以及对个人权益的影响，征得员工的同意签署相应《知情同意书》等授权处理个人信息的文书表单。
（2）鉴于员工有撤回同意的权利，为避免“一揽子”同意在撤回时影响其他信息处理的授权，涉及敏感个人信息的《知情同意书》宜单独签订。
（3）用人单位应准备不涉及个人敏感信息的考勤方式备用，以便在员工撤回同意时过渡使用。
（4）另，涉及宗教信仰、特定身份、医疗健康、金融账户、不满十四周岁未成年人的个人信息等的敏感个人信息，应参照上述方式获得员工的单独同意。
3、规章制度中增设用人单位处理员工信息的法律依据
《个人信息保护法》规定“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”的情形处理员工信息不需征得员工个人同意，为用人单位处理员工信息提供了法律依据。若用人单位尚未制定规章制度，需依法制定规章制度并通过民主程序和送达，作为“人力资源管理所必需”的先决条件。
实操建议：（1）制定规章制度，明确约定个人信息范围、使用目的、处理规则等涉及用人单位处理员工个人信息的条款，并通过民主程序和送达程序。比如，用人单位需要了解员工的工作年限，以核算员工在本单位享受的年休假天数、医疗期等待遇，具体内容可根据单位具体情况制定。
（2）若用人单位有依法制定的规章制度，也需审视内容依法修订，在《员工手册》《集体合同》《劳动合同》中增设约定个人信息范围、使用目的、处理规则等内容，避免2021年11月1日《个人信息保护法》施行后处理个人信息缺失处理依据。
4、采取增设信息安全专员等必要的安全措施保障信息安全
用人单位是员工个人信息保护的第一责任人，需采取必要的安全措施保障所处理的员工个人信息的安全，采取安全保护措施等原则应当贯穿于个人信息处理的全过程、各环节。若违反《个人信息保护法》，将面临承担行政、民事、刑事等责任的风险，后述。
实操建议：（1）根据制定的内部管理制度，制定相应的操作规程。
（2）对个人信息实行分类管理，对一般信息与敏感信息分级管理。
（3）在保存和传输过程中采取相应的加密、去标识化等安全技术措施，同时应当注意知悉范围或传播范围的限制，限定最小的知悉范围。
（4）根据企业员工数量，增设信息安全专员或者成立信息安全部保障员工个人信息处理安全，合理确定用人单位负责个人信息处理的工作人员的操作权限，定期对从业人员进行安全教育。
5、员工离职后设置删除员工个人信息操作流程
如劳动者离职后未发生仲裁诉讼的，结合《劳动争议调解仲裁法》和《劳动合同法》相关规定，个人信息保存时间以离职后2年为宜；如产生劳动争议，用人单位在搜集证据、调查取证时若涉及到调取监控视频、监视邮件、恢复数据等行为时也需谨慎注意权利边界。
实操建议：（1）在制定内部管理制度和操作规程中，应增设员工离职后或符合条件删除员工个人信息的操作规程，并告知员工相关权益。
（2）设置《个人信息撤回同意书》《个人信息删除申请》及相关表单，在员工提出撤回同意和提出删除申请时对相关员工个人信息进行删除并告知员工。
6、与第三方机构合作时应妥善保护员工个人信息
不仅是内部信息处理，用人单位在与第三方合作招聘、代发工资、档案存放代理等人力资源管理事项中涉及到的员工个人信息处理，也应增加相关个人信息处理的条款，审查第三方合作机构落实情况，尽到安全保障义务。
实操建议：（1）用人单位委托第三方机构处理员工个人信息的，应当与机构签订委托协议，约定处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对员工个人信息处理活动进行监督。
（2）如果本身为人力资源公司、档案存放机构等业务中涉及处理其他单位员工个人信息的单位，应当按照约定处理员工个人信息，不得超出约定的处理目的、处理方式等处理员工个人信息；委托合同不生效、无效、被撤销或者终止的，应当将员工个人信息返还或者予以删除。
7、向境外传输信息需履行安全评估程序
个人信息跨境提供的情形不仅存在于跨国企业、外商投资企业，目前国内适用电子劳动合同、电子签名制度的企业使用的服务商相当一部分是境外机构，必然涉及员工及客户的个人信息向境外公司披露的情况，不仅涉及向第三方提供个人信息需要获得个人的同意或授权，更涉及国家安全风险，用人单位应检视自身是否存在与境外信息传输的现状并按照法律规定执行。
实操建议：（1）因业务等需要，确需向中华人民共和国境外提供员工个人信息，应当通过国家网信部门组织的安全评估或按照国家网信部门的规定经专业机构进行个人信息保护认证。
（2）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务。考虑到境外传输个人信息的复杂性，建议用人单位选择第三方专业机构协助进行风险评估。
四、违反法律规定的风险后果及责任承担
违反《个人信息保护法》用人单位还有可能承担以下责任：
1、面临信用惩戒、承担行政责任的风险。
2、承担民事责任的风险。处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。根据该“举证责任倒置”规则，如因侵犯员工对个人信息保护的权利产生劳动争议，用人单位不能提供证据证明已经采取安全保障措施，则可能需要承担赔偿责任。
3、承担刑事责任的风险。构成犯罪的，依法追究刑事责任。
以上是劳和律师初步梳理的《个人信息保护法》中涉及用人单位和员工个人信息处理的相关问题，后期劳和将开展线下沙龙形式与用人单位讨论具体实务操作。
后民法典时代已来临，HR你准备好了吗？