網上投稿
導讀：企業在用工管理過程中將不可避免地對員工個人信息進行處理，應當遵守《個人信息保護法》規定的有關個人信息處理者的義務。本文結合案例對企業用工管理過程中收集員工個人信息的“最小必要性”原則提出了相應的思考，企業應當限于實現處理目的的最小范圍收集員工個人信息，不得過度收集個人信息。
自《個人信息保護法》2021年11月1日生效以來，對企業處理員工個人信息的行為就提出了更高也更明確的要求。根據《個人信息保護法》的規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。因此，在企業對員工進行用工管理的過程中將不可避免的對員工個人信息進行處理，企業也通常扮演著《個人信息保護法》規定的個人信息處理者的角色，而企業的人力資源管理部門往往是個人信息處理的實際執行者。然而在實際與公司人力資源部門的工作對接過程中，我們注意到公司人力資源部門對于何為依法依規的處理員工個人信息卻并沒有一個明確的概念。
因此，為幫助企業人力資源部門理解在用工管理過程中針對員工個人信息的處理原則，筆者在本文中將以收集個人信息的角度出發提出相應的思考。
一、用工管理過程中的員工個人信息
根據《個人信息保護法》的規定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。
如果把上述定義具象到企業用工管理過程中可能收集到的個人信息，則筆者認為可能包括但不限于如下分類：
1. 個人基本信息：員工入職簽署勞動合同：姓名、國籍、家庭住址、手機號碼、電子郵箱、員工生日等；
2. 個人身份信息：身份證號碼、社保卡卡號、居住證信息、護照信息等；
3. 個人生物信息：面部特征、聲音特征、指紋信息、基因信息等；
4. 個人財務信息：收入情況、納稅情況、社保公積金繳納情況、工資卡卡號、員工申報的財產情況等；
5. 個人教育、工作信息：工作經歷、教育經歷、學歷、學位、從業資格等；
6. 個人健康信息：體檢報告、診療記錄、個人病史、家族病史等
7. 其他個人信息：通訊記錄、通訊錄、網頁瀏覽記錄、行動軌跡、員工近親屬情況等。
二、收集員工個人信息的“最小必要性原則”
根據《個人信息保護法》第六條第二款之規定，“收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。”但是對于企業來說，本文前述列舉的個人信息都有可能在不同的適用場景下需要收集，比如基于反腐敗調查的原因，需要收集員工的家庭成員信息、員工個人以及直系親屬的投資情況、從業情況等等，基于公司保密管理的原因，需要收集員工通訊記錄、網頁瀏覽記錄等，基于公司門禁管理的原因，需要收集員工的個人生物信息等。那么該如何理解“最小必要性”，以下案例或許可以更直觀的體現。
案件事實：員工甲在與A公司的《勞動合同》履行期間，因病休假，期間員工甲向A公司提交了醫院的診斷證明書。A公司向員工甲發送律師函，內容為：員工甲提交的病假文件存在缺少部分病歷、心理治療憑證、心理治療單據、醫藥費憑據、心理治療材料、精神分析治療材料，要求員工甲收函后向A公司出具完整的請病假資料，如無法提供，A公司將考慮不得不視員工甲的行為為曠工，并依法進行后續處理。此后，A公司向員工甲發送律師函，內容為：員工甲的配偶使用員工甲的工作郵箱向A公司及律師發送郵件，員工甲將郵箱密碼透露給第三方，將工作郵箱交由第三方使用；員工甲未對欠缺的病假證明予以補充提交，視為曠工，員工甲嚴重違紀，故解除與員工甲的勞動關系。
裁判分析：在本案中，A公司在員工的病假管理中，要求員工提供病例、掛號單和病假單尚處于合理范圍，但是要求員工提供心理治療材料、精神分析治療材料的要求，則屬于過度采集個人信息，違反了個人信息處理的“最小必要原則”，以此解除勞動合同應屬違法解除。對員工甲來說，無論是生理疾病或心理疾病，患病的細節應屬個人隱私范圍，A公司要求提供的病歷等應以必要為限，能夠反映員工甲患病就診事實即可，但不應過分“求全”。
三、 思考
從以上案例可以看出，《個人信息保護法》規定的“最小必要原則”事實上給企業對員工的用工管理設定了較為嚴格的邊界。企業要求病假員工提供詳細的診療文件作為病假依據，在企業或者說人力資源管理部門的視角看可能無可厚非，但事實上可能已經違反《個人信息保護法》的規定。從以上案例更進一步的思考，在當前企業用工管理過程中，論最為“棘手”的員工病假原因，“抑郁癥”等相關病例或許可以名列其中，因為企業一旦處理不當就有可能造成無法挽回的嚴重后果，但是如果企業無法對員工病假情況加以識別，那么類似“抑郁癥”等病情可能會成為少數員工“渾水摸魚”的擋箭牌， 從而影響企業正常的用工秩序。
加之《個人信息保護法》第六十九條規定，“處理個人信息侵害個人信息權益造成損害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。”也就是說，企業在用工過程中處理員工個人信息不當的責任承擔原則是“無過錯責任”。結合《個人信息保護法》有關“最小必要原則”的規定，僅僅在收集員工個人信息的階段中就已經對企業提出了較高的要求，企業應當盡可能在事前評估需要收集的員工信息范圍，限于處理目的的最小范圍收集個人信息，從而避免因過度收集個人信息而導致的企業合規風險。
滬公網安備 31010402007129號
