《個人信息保護(hù)法》實(shí)施在即，HR該如何合理合法地處理員工個人信息？一定要小心再小心！
作者：CCPA 發(fā)表時間：2021-10-25 來源：創(chuàng)新型企業(yè)財稅人才綜合能力實(shí)訓(xùn)平臺
《個人信息保護(hù)法》將于2021年11月1日實(shí)施，可以合理地預(yù)見伴隨未來員工對用工場景下個人私密信息權(quán)利意識的逐漸覺醒，企業(yè)將可能更加頻繁地遇到員工個人信息保護(hù)的爭議。
在日常的人力資源管理工作中，從招聘信息的發(fā)出，到雇員離職后的爭議，均涉及雇員個人信息的收集、存儲、使用和傳輸。那么，個人信息的標(biāo)準(zhǔn)是什么？HR又該如何安全地處理私密個人信息呢？今天我們就來討論討論。
什么是個人信息
要想規(guī)避風(fēng)險，我們首先需要清楚法律規(guī)定的“個人信息”的范疇是什么，它和我們通常認(rèn)知中的個人信息存在什么差異。
《個人信息保護(hù)法》的規(guī)定：
(1)個人信息的主體只能是自然人；
(2)個人信息具有可識別性（不包括匿名化處理后的信息）；
(3)個人信息必須具有一定形式的載體，
即以電子或者其他方式記錄（未進(jìn)行記錄的自然人的活動或談話就不屬于個人信息）。
與HR最相關(guān)的是用工管理場景下的私密個人信息，它又包括哪些呢？
法律規(guī)定用工管理場景下的私密個人信息是兼具“私密性”和“可識別性”兩項(xiàng)特征的信息。
《民法典》第1034條第4款的規(guī)定，
個人信息中的私密信息，適用有關(guān)隱私權(quán)的規(guī)定；
沒有規(guī)定的，適用有關(guān)個人信息保護(hù)的規(guī)定。
這一規(guī)定確立了個人信息中的私密信息應(yīng)優(yōu)先適用隱私權(quán)規(guī)則的制度。用人單位宜采取謹(jǐn)慎的態(tài)度處理這一問題，以避免面臨潛在法律風(fēng)險。
在用工場景下，常見的個人信息中的私密信息包括婚育信息、健康信息、銀行賬戶信息、工作時間以外的位置信息、性取向、未公開的犯罪記錄等。
HR該如何正確進(jìn)行員工個人信息的收集和處理？
《個人信息保護(hù)法》出來之后，我們會發(fā)現(xiàn)HR工作可能處處是“坑”，一不小心就深陷其中。
那么，如何面臨這種復(fù)雜的情況呢？
1、員工檔案信息的收集
員工入職后，根據(jù)用工需求，都需要建立花名冊或者詳細(xì)檔案，會涉及到員工姓名、性別、身份證號碼、戶籍地址、現(xiàn)住址、聯(lián)系方式、用工形式、用工起始時間、勞動合同期限等內(nèi)容。
根據(jù)《民法典》第111條規(guī)定，自然人的個人信息受法律保護(hù)。企業(yè)依法收集、使用、加工、傳輸個人信息當(dāng)然不違法，所謂依法是指，在招聘訂立勞動合同階段，企業(yè)有權(quán)根據(jù)《勞動合同法》了解員工與履行勞動合同相關(guān)的信息，比如基本信息、健康情況、知識技能、學(xué)歷、職業(yè)資格、工作經(jīng)歷、家庭住址、家庭成員構(gòu)成等。
所以企業(yè)在員工在職期間，應(yīng)該謹(jǐn)慎收集、妥善保管，并在員工離職后2年后，進(jìn)行合理銷毀。
2、遵守“告知-同意”規(guī)則
《個人信息保護(hù)法》第五條至第九條規(guī)定了處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠信原則、明確性和相關(guān)性原則、最小程度原則、公開透明原則、完整性和準(zhǔn)確性原則、安全保障原則等一整套基本原則；以及個人信息處理的“告知-同意”規(guī)則。
其中，“告知-同意”規(guī)則是《個人信息保護(hù)法》中的核心內(nèi)容，在個人信息處理規(guī)則中處于核心地位。
“告知同意規(guī)則”，亦稱“知情同意規(guī)則”，是指任何組織或個人，在處理個人信息時，應(yīng)當(dāng)對信息主體即其個人信息被處理的自然人進(jìn)行告知，在取得同意后方可從事相應(yīng)的個人信息處理活動，否則所涉處理行為構(gòu)成違法，除非法律另有規(guī)定。
也就是說，我們處理個人信息應(yīng)當(dāng)在事先充分告知的前提下取得個人同意。建立該規(guī)則的目的，在于信息處理者需將處理個人信息的目的、用途、后果告知信息主體，使信息主體出于自身的真實(shí)、完整意志，同意信息處理者的請求，以此彰顯對信息主體人格獨(dú)立性與自主性的尊重。
“告知同意規(guī)則”包含了“告知規(guī)則”與“同意規(guī)則”，二者相輔相成、緊密聯(lián)系。
關(guān)于“告知-同意”這一核心規(guī)則，《個人信息保護(hù)法》第13條第(2)項(xiàng)至第(7)項(xiàng)規(guī)定了基于個人同意以外的可以合法處理個人信息的六種情形(下稱“六種法律許可情形”)。
也就是說，在以下情形下，我們不必須遵循“告知-同意”的規(guī)則。
情形一：
為訂立、履行個人作為一方當(dāng)事人的合同所必需，
或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需。
情形二：
為履行法定職責(zé)或者法定義務(wù)所必需。
情形三：
為應(yīng)對突發(fā)公共衛(wèi)生事件，
或者緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全所必需。
情形四：
為公共利益實(shí)施新聞報道、輿論監(jiān)督等行為，
在合理的范圍內(nèi)處理個人信息。
情形五：
依照本法規(guī)定在合理的范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息。
情形六：
法律、行政法規(guī)規(guī)定的其他情形。
3、處理個人信息的注意事項(xiàng)
根據(jù)《民法典》第1035條規(guī)定，處理個人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則，不得過度處理，并符合下列條件：
（1）征得該自然人或者其監(jiān)護(hù)人同意,但是法律、行政法規(guī)另有規(guī)定的除外；
（2）公開處理信息的規(guī)則；
（3）明示處理信息的目的、方式和范圍；
（4）不違反法律、行政法規(guī)的規(guī)定和雙方的約定。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等。
同時企業(yè)和HR要謹(jǐn)記，在處理員工的個人信息時不得泄露或者篡改其收集、存儲的個人信息，未經(jīng)員工同意，不得向他人非法提供其個人信息。
