《个人信息保护法》背景下企业用工过程中劳动者的个人信息保护

张慧敏

西北大学法学院  陕西省西安市  710127

摘要：随着数据与信息价值的日益凸显，个人信息保护也成为了学界热点。2021年我国颁布并正式实施了《个人信息保护法》，此举对于个人信息保护具有非常重要的意义。在企业用工这一特殊领域中，《个人信息保护法》对劳动者个人信息保护同样发挥着重要的作用，但由于劳动关系自身的特殊性以及法律的局限性，其适用仍然存在着“告知—同意”例外被滥用，保护的范围有限等缺陷。用人单位在保护劳动者个人信息中应当承担更多的义务，通过工会参与集体协商构建良好的用工环境，利用公权力组织执法检查、公益诉讼等手段完善劳动者个人信息保护的预防和救济途径。

关键词：劳动者 用人单位 个人信息保护法 “告知­—同意”规则

在大数据时代，随着互联网技术的发展，数据与信息数量急剧上升，在各个领域，数据与信息也越来越有价值。在数据与信息爆炸的时代，个人信息的保护不可忽视。2021年8月21日，我国通过了《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），以法律的形式规范了对个人信息的收集与利用，加强了对个人信息的保护。劳动者的个人信息包含精神与财产两方面的价值，其作为一般主体个人信息及隐私应当得到保护；在企业用工这种特定场景中，劳动者处于劣势地位，其个人信息更具有保护的必要性。

一、劳动者个人信息保护现状

《个人信息法》采用综合立法模式，适用于一般自然人个人信息相关活动的保护。该法主要规范对自然人个人信息的收集、存储、加工、传输、提供、公开、删除等处理行为。作为自然人的劳动者，同样适用《个人信息保护法》。在企业用工的过程中，必然会收集劳动者的相关个人信息，这就涉及到对劳动者个人信息的处理行为，因此，用人单位对于劳动者个人信息的处理行为也应当遵守《个人信息保护法》的相关规定。在《个人信息保护法》中，明确了处理个人信息的原则，即：合法、正当、必要和诚信原则。这就要求用人单位处理个人信息必须符合法律规定，以正当的目的通过正当程序，收集和使用雇员个人信息要遵守最小必要性原则，且不得违反双方的约定。同时，用人单位应当遵循公开、透明原则，保证所收集的个人信息的质量，对个人信息处理活动负责，并采取必要的措施保障所处理个人信息的安全。《个人信息保护法》第13条确立了“告知—同意”规则，这个规则要求处理个人信息的主体应当在充分告知的前提下取得信息主体的同意，并且赋予了个人撤回同意的权利。据此，一般情况下，用人单位要获取和处理劳动者的个人信息，应当充分履行告知义务，并且获得劳动者同意，在个人信息处理的重要事项发生变更时重新告知并取得同意，不得过度收集，在劳动者撤回同意后应当停止处理并及时删除。

二、劳动者个人信息保护存在的问题

1.“告知—同意”规则的例外

首先，告知同意规则在实践中存在着一些普遍问题，很多时候都流于形式。个人往往来不及阅读或难以理解繁琐的隐私条款，这些问题在劳动关系中更是常见，甚至有的用人单位利用优势地位以及劳动者急于求职或者保持工作的稳定性的心理直接跳过告知环节；除此之外，即便是用人单位履行了告知义务，但由于

劳动者与用人单位具有人身隶属性和经济上的从属性，劳动者往往处于劣势地位。其同意的意思表示也会出现不真实的情况。《个人信息保护法》第13条第1款规定了不需要取得个人同意即可处理个人信息的情形。其中第2项所规定的情形是：为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体劳动合同实施人力资源管理所必需。该项规定是对于用人单位作为个人信息处理方的义务的减免，但《个人信息保护法》没有对什么是“订立合同所必需”以及“人力资源管理所必需”的内容进行进一步的解释与具体规定。劳资关系是公认的不平等的关系，在不明确的范围内授权于用人单位，对于劳动者的个人信息保护毫无疑问带来了威胁。在这种情况下，就会加大用人单位滥用例外情形非法收集劳动者个人信息并进行处理的风险。此外，《劳动合同法》第8条规定了用人单位的知情权，与上述告知同意规则的例外相同，《劳动合同法》也没有对用人单位知情权的范围进行进一步的规定，用人单位也会存在滥用知情权的情况，这对劳动者的个人信息保护更不利。

2.《个人信息保护法》在劳动关系中的适用缺陷

正如前文所述，《个人信息保护法》采取了综合立法模式，普遍适用于各种处理个人信息的情形。这种模式有其优势，对于整体社会的个人信息保护具有重要意义。但具体适用于劳动关系这一特别领域，就会存在一些缺陷。《个人信息保护法》规定，适用该法的情形是处理自然人个人信息的活动。如果用人单位为招聘或者管理而系统化的收集和处理劳动者的个人信息，尚且适用该法，但如果用人单位仅在日常生活中获取到了相关信息，比如从员工的社交平台中获知其怀孕等信息，这种情况下就不能适用该法。此时劳动者就无法通过个人信息保护法获得保护。在实践中，随着社交媒体的兴起，一些用人单位可以毫无障碍的获知劳动者的个人信息，从而对劳动者带来巨大的威胁，但由于这些信息具有公开性，并且用人单位没有进行系统化收集与处理，劳动者既无法通过隐私权侵权来获得救济，也无法通过《个人信息保护法》获得保护。

三、劳动者个人信息保护的完善建议

首先，在招聘过程中，用人单位应当向应聘者提供明确的隐私政策，经劳动者同意再向其收集个人信息，并清楚地说明处理目的和方式、存储期限等内容。同时应对个人信息收集内容的必要性进行评估，严格限制用途，设定存储个人信息所必要的最短时间，招聘结束后及时删除。当用人单位从第三方获取信息时，要对第三方的个人信息保护能力与水平进行评估，同时应采取必要的组织、技术措施，通过控制权限、技术加敏等措施避免信息泄露；其次，在建立劳动关系之后，用人单位应当在有收集到个人信息可能性的场所张贴醒目的提示，减少不必要的监控布设，避免过于侵入式的劳动监控，积极通过工会或者集体协商与劳动者建立联系，建立隐私友好型的工作环境。同时，具有监管义务的相关公权力组织，应当定期组织执法检查，监督用人单位对劳动者个人信息保护的工作，同时可以完善立法，在劳动者个人信息受到侵害时以提起公益诉讼的方式弥补救济途径的不足。

[1]曾新宇.劳动者个人信息保护问题研究[J].山东工会论坛,2022,28(03):100-110.

[2]丁晓东.劳动者个人信息法律保护面临的挑战及其应对[J].中国人民大学学报,2022,36(03):165-179.

[3]贺小石,Li Jiesi.数字经济时代劳动者个人行为信息保护（英文）[J].China Legal Science,2022,10(01):23-48.

[4]谢增毅.劳动者个人信息保护的法律价值、基本原则及立法路径[J].比较法研究,2021(03):25-39.

[5]宋亚楠. 劳动者个人信息权保护问题研究[D].吉林大学,2021.DOI:10.27162/d.cnki.gjlin.2021.005996.