-
行業(yè)資訊
INDUSTRY INFORMATION
2021年8月20日，經(jīng)全國人大常委會(huì)會(huì)議表決，《個(gè)人信息安全法》獲得通過。11月1日，《個(gè)人信息保護(hù)法》將正式施行。HR應(yīng)該如何解讀這部法律？一起來看看——
1
用人單位是法律規(guī)定的個(gè)人信息處理者嗎？
《個(gè)人信息保護(hù)法》第73條，明確規(guī)定了個(gè)人信息處理者的定義，個(gè)人信息處理者，是指在個(gè)人信息處理活動(dòng)中自主決定處理目的、處理方式的組織、個(gè)人。因用人單位在勞動(dòng)關(guān)系管理中必然會(huì)涉及自主決定處理員工個(gè)人信息的目的和方式，屬于法律規(guī)定的個(gè)人信息處理者。
2
個(gè)人信息的處理包括哪些？
《個(gè)人信息保護(hù)法》第4條第2款規(guī)定，個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開、刪除等。相對于《民法典》，《個(gè)人信息保護(hù)法》在列舉個(gè)人信息處理的具體環(huán)節(jié)時(shí)又增加了“刪除”。
《個(gè)人信息保護(hù)法》第4條 個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開、刪除等。
《民法典》第1035條 個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開等。
從以上規(guī)定來看，用人單位在員工關(guān)系管理中，處理員工個(gè)人信息也貫徹用工管理的全過程，如入職讓員工填寫相關(guān)信息、將員工個(gè)人信息提供給出資方、關(guān)聯(lián)方或合作方、登報(bào)送達(dá)相關(guān)通知會(huì)涉及公開員工的個(gè)人信息等。
3
處理個(gè)人信息必須要經(jīng)過員工同意嗎？
按《民法典》第1035條，處理個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則，不得過度處理，并符合下列條件：
（一）征得該自然人或者其監(jiān)護(hù)人同意，但是法律、行政法規(guī)另有規(guī)定的除外；
從《民法典》規(guī)定來看，處理個(gè)人信息的前提一般是要經(jīng)過自然人“同意”，但法律另有規(guī)定的除外。大家也知道，在勞動(dòng)關(guān)系中，用人單位與勞動(dòng)者存在管理與被管理的關(guān)系，如果處理個(gè)人信息都需要?jiǎng)趧?dòng)者同意，那么用人單位的管理權(quán)將無法實(shí)施，如用人單位要實(shí)施人臉識(shí)別考勤，勞動(dòng)者不同意用人單位采集人臉信息，用人單位就無法實(shí)施人臉識(shí)別考勤。好在《民法典》在強(qiáng)調(diào)“同意”的同時(shí)，也預(yù)留了口子，即“法律另有規(guī)定的除外”，現(xiàn)在這個(gè)法律就來了，那就是《個(gè)人信息保護(hù)法》第13條，具體規(guī)定如下：
《個(gè)人信息保護(hù)法》第13條 符合下列情形之一的，個(gè)人信息處理者方可處理個(gè)人信息：
（一）取得個(gè)人的同意；
（二）為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需；
……
從以上第二項(xiàng)規(guī)定來看，立法者專門點(diǎn)了一下“合同”、“勞動(dòng)規(guī)章制度”、“集體合同”、“人力資源管理”等，即為履行合同或?qū)嵤┤肆Y源管理所必需而處理個(gè)人信息的，不需要取得勞動(dòng)者同意，如為了管理需要安置監(jiān)控設(shè)施設(shè)備、為了委托第三方發(fā)工資或繳納社保需要將員工信息提供給第三方合作伙伴等。有了這一條款的規(guī)定，終于可以使HR松一口氣了！不過松口氣的同時(shí)，HR新任務(wù)也來了，勞動(dòng)合同、集體合同、規(guī)章制度是否已經(jīng)有了相關(guān)鋪墊條款呢？如果沒有，是不是該修訂、完善自己管理的一套人力管理文本呢？
小編認(rèn)為，雖然《個(gè)人信息保護(hù)法》對人力資源管理中的職工個(gè)人信息處理有松綁，但“同意”這個(gè)要求，仍然會(huì)被裁判者看重，并以此判用人單位承擔(dān)不利后果的可能性也會(huì)增加。
4
處理敏感個(gè)人信息必須要經(jīng)過員工同意嗎？
《個(gè)人信息保護(hù)法》第二章第一節(jié)第13條規(guī)定了處理個(gè)人信息的一般規(guī)則，但第二章第二節(jié)還專門規(guī)定了敏感個(gè)人信息的處理規(guī)則，其中敏感個(gè)人信息前面第二個(gè)問題已介紹，即：敏感個(gè)人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息。
對于敏感個(gè)人信息的處理，《個(gè)人信息保護(hù)法》規(guī)定較為嚴(yán)格，其第28條第2款規(guī)定，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個(gè)人信息處理者方可處理敏感個(gè)人信息。第29條規(guī)定，處理敏感個(gè)人信息應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意；法律、行政法規(guī)規(guī)定處理敏感個(gè)人信息應(yīng)當(dāng)取得書面同意的，從其規(guī)定。從這一條規(guī)定來看，處理敏感個(gè)人信息需要經(jīng)過員工的單獨(dú)同意。這一規(guī)定估計(jì)很多HR看了又不淡定了，如考勤管理采集員工指紋或人臉信息，這涉及生物識(shí)別信息；安排職工健康體檢會(huì)涉及健康信息，病假管理中需要員工提供就醫(yī)資料等，這些都是醫(yī)療健康信息，這些都需要員工單獨(dú)同意才行。如果員工不同意該怎么辦？這會(huì)給員工關(guān)系管理帶來新的摩擦和沖突。
