網(wǎng)上投稿
導(dǎo)讀：企業(yè)在用工管理過程中將不可避免地對員工個人信息進行處理，應(yīng)當(dāng)遵守《個人信息保護法》規(guī)定的有關(guān)個人信息處理者的義務(wù)。本文結(jié)合案例對企業(yè)用工管理過程中收集員工個人信息的“最小必要性”原則提出了相應(yīng)的思考，企業(yè)應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍收集員工個人信息，不得過度收集個人信息。
自《個人信息保護法》2021年11月1日生效以來，對企業(yè)處理員工個人信息的行為就提出了更高也更明確的要求。根據(jù)《個人信息保護法》的規(guī)定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。因此，在企業(yè)對員工進行用工管理的過程中將不可避免的對員工個人信息進行處理，企業(yè)也通常扮演著《個人信息保護法》規(guī)定的個人信息處理者的角色，而企業(yè)的人力資源管理部門往往是個人信息處理的實際執(zhí)行者。然而在實際與公司人力資源部門的工作對接過程中，我們注意到公司人力資源部門對于何為依法依規(guī)的處理員工個人信息卻并沒有一個明確的概念。
因此，為幫助企業(yè)人力資源部門理解在用工管理過程中針對員工個人信息的處理原則，筆者在本文中將以收集個人信息的角度出發(fā)提出相應(yīng)的思考。
一、用工管理過程中的員工個人信息
根據(jù)《個人信息保護法》的規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。
如果把上述定義具象到企業(yè)用工管理過程中可能收集到的個人信息，則筆者認為可能包括但不限于如下分類：
1. 個人基本信息：員工入職簽署勞動合同：姓名、國籍、家庭住址、手機號碼、電子郵箱、員工生日等；
2. 個人身份信息：身份證號碼、社?？ㄌ枴⒕幼∽C信息、護照信息等；
3. 個人生物信息：面部特征、聲音特征、指紋信息、基因信息等；
4. 個人財務(wù)信息：收入情況、納稅情況、社保公積金繳納情況、工資卡卡號、員工申報的財產(chǎn)情況等；
5. 個人教育、工作信息：工作經(jīng)歷、教育經(jīng)歷、學(xué)歷、學(xué)位、從業(yè)資格等；
6. 個人健康信息：體檢報告、診療記錄、個人病史、家族病史等
7. 其他個人信息：通訊記錄、通訊錄、網(wǎng)頁瀏覽記錄、行動軌跡、員工近親屬情況等。
二、收集員工個人信息的“最小必要性原則”
根據(jù)《個人信息保護法》第六條第二款之規(guī)定，“收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息?！钡菍τ谄髽I(yè)來說，本文前述列舉的個人信息都有可能在不同的適用場景下需要收集，比如基于反腐敗調(diào)查的原因，需要收集員工的家庭成員信息、員工個人以及直系親屬的投資情況、從業(yè)情況等等，基于公司保密管理的原因，需要收集員工通訊記錄、網(wǎng)頁瀏覽記錄等，基于公司門禁管理的原因，需要收集員工的個人生物信息等。那么該如何理解“最小必要性”，以下案例或許可以更直觀的體現(xiàn)。
案件事實：員工甲在與A公司的《勞動合同》履行期間，因病休假，期間員工甲向A公司提交了醫(yī)院的診斷證明書。A公司向員工甲發(fā)送律師函，內(nèi)容為：員工甲提交的病假文件存在缺少部分病歷、心理治療憑證、心理治療單據(jù)、醫(yī)藥費憑據(jù)、心理治療材料、精神分析治療材料，要求員工甲收函后向A公司出具完整的請病假資料，如無法提供，A公司將考慮不得不視員工甲的行為為曠工，并依法進行后續(xù)處理。此后，A公司向員工甲發(fā)送律師函，內(nèi)容為：員工甲的配偶使用員工甲的工作郵箱向A公司及律師發(fā)送郵件，員工甲將郵箱密碼透露給第三方，將工作郵箱交由第三方使用；員工甲未對欠缺的病假證明予以補充提交，視為曠工，員工甲嚴重違紀，故解除與員工甲的勞動關(guān)系。
裁判分析：在本案中，A公司在員工的病假管理中，要求員工提供病例、掛號單和病假單尚處于合理范圍，但是要求員工提供心理治療材料、精神分析治療材料的要求，則屬于過度采集個人信息，違反了個人信息處理的“最小必要原則”，以此解除勞動合同應(yīng)屬違法解除。對員工甲來說，無論是生理疾病或心理疾病，患病的細節(jié)應(yīng)屬個人隱私范圍，A公司要求提供的病歷等應(yīng)以必要為限，能夠反映員工甲患病就診事實即可，但不應(yīng)過分“求全”。
三、 思考
從以上案例可以看出，《個人信息保護法》規(guī)定的“最小必要原則”事實上給企業(yè)對員工的用工管理設(shè)定了較為嚴格的邊界。企業(yè)要求病假員工提供詳細的診療文件作為病假依據(jù)，在企業(yè)或者說人力資源管理部門的視角看可能無可厚非，但事實上可能已經(jīng)違反《個人信息保護法》的規(guī)定。從以上案例更進一步的思考，在當(dāng)前企業(yè)用工管理過程中，論最為“棘手”的員工病假原因，“抑郁癥”等相關(guān)病例或許可以名列其中，因為企業(yè)一旦處理不當(dāng)就有可能造成無法挽回的嚴重后果，但是如果企業(yè)無法對員工病假情況加以識別，那么類似“抑郁癥”等病情可能會成為少數(shù)員工“渾水摸魚”的擋箭牌， 從而影響企業(yè)正常的用工秩序。
加之《個人信息保護法》第六十九條規(guī)定，“處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任?！币簿褪钦f，企業(yè)在用工過程中處理員工個人信息不當(dāng)?shù)呢?zé)任承擔(dān)原則是“無過錯責(zé)任”。結(jié)合《個人信息保護法》有關(guān)“最小必要原則”的規(guī)定，僅僅在收集員工個人信息的階段中就已經(jīng)對企業(yè)提出了較高的要求，企業(yè)應(yīng)當(dāng)盡可能在事前評估需要收集的員工信息范圍，限于處理目的的最小范圍收集個人信息，從而避免因過度收集個人信息而導(dǎo)致的企業(yè)合規(guī)風(fēng)險。
滬公網(wǎng)安備 31010402007129號
