《个人信息保护法》实施在即 企业如何做好员工个人信息合规

文 | 吕帅

2021年8月20日，全国人大第十三届常务委员会第三十次会议表决通过《中华人民共和国个人信息保护法》（以下简称“《个保法》”），并决定于2021年11月1日起实施。

笔者从《民法典》颁布以来，曾多次在线下讲座中与大家探讨了企业在员工背景调查、考勤管理、病假管理、违纪调查、内部审计中，个人信息保护与企业劳动用工自主权的冲突问题。这一年多来，相关司法案件层出不穷，各地法院价值取向各异，笔者置身其中也在不断地变化着自己的观点。

笔者认为，《个保法》颁布之后，企业在员工个人信息保护方面的风险防范将愈加突出，笔者试结合司法实践及本人从事人力资源合规的一点点经验，从企业用工的角度，初略梳理一遍《个保法》，供大家参考。

一、什么是个人信息？

笔者对比了《民法典》关于个人信息、个人隐私的规定：

看下来似乎还是不甚明了，为此，笔者向本所信息安全合规大牛吴沩旻律师叨教，于是有了以下参考文件——《信息安全技术个人信息安全规范》GB/T 35273—2020。

个人信息

个人敏感信息

△来源：《信息安全技术个人信息安全规范》GB/T 35273—2020）

《个保法》把个人信息分成了“一般个人信息”和“个人敏感信息”，是的，这两种信息的处理途径、相关责任肯定不一样，这个后面会详细说。

企业可以自行参考对照上述文件进行员工个人信息分类。

二、企业处理员工个人信息，需要员工同意？

《个保法》在第一节“一般规定”的第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。

笔者一开始看到这条的理解是，只要企业为用工管理需要，在企业规章制度或劳动合同中规定了个人信息处理规则的，就无需取得员工个人同意了。

但是这还只是“一般规定”，后面还有特别规定。

《个保法》在23条、25条、26条、29条、39条规定了5种需要个人单独同意的情形，分别是：

• 处理敏感个人信息的
• 向第三人提供其处理的个人信息的（背调）
• 公开其处理的个人信息的
• 为维护公共安全以外的目的收集的个人图像、身份识别信息的
• 向境外提供个人信息的

也就是说，这5中情形下，无论企业在《入职登记表》《劳动合同》《规章制度》有没有设置相应个人信息处理的条款，均无权处理员工的个人信息，而应当员工单独同意，也就是单独签订《员工个人信息使用同意书》。

三、企业如何合规的处理员工个人信息

《个保法》第5条到第9条规定了员工个人信息的处理原则，分别是：合法、正当、必要、诚信、最小范围使用、公开透明、准确完整、安全措施，大家从字面意义理解即可。

前面说到，《个保法》把个人信息分成了“一般个人信息”和“个人敏感信息”，处理途径有不同的要求，具体如下：

1、“一般个人信息”的处理

关键要点：

• 充分知情、自愿、明确
• 处理目的、方式、信息种类变更的，需重新取得同意
• 个人有权撤回同意

上述要点从字面理解即可，问题是要怎么做才算让员工充分知情、自愿、明确？

《个保法》第17条已经有明确规定，企业在处理员工个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向员工告知下列事项：

• 个人信息处理者的名称或者姓名和联系方式
• 个人信息的处理目的、处理方式，处理的个人信息种类、保存期限
• 个人行使本法规定权利的方式和程序

2、“个人敏感信息”的处理

个人敏感信息是《个保法》重点保护的对象，根据《个保法》第28条、29条、30条规定，企业处理“个人敏感信息”的关键要点如下：

• 具有特定的目的和充分的必要性（鉴于条款）
• 将必要性、目的、处理方式等告知员工（知晓条款）
• 采取严格保护措施（保密措施）
• 取得个人的单独同意（同意条款）

由此可见，在《个保法》生效后，以前那种泛泛的《员工个人信息使用同意书》已经跟不上法律要求了，企业应尽快进行个人信息分级、细化告知书及同意书。

四、企业违反《个保法》有什么法律责任？

1、行政责任

（1）一旦违反：责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；

（2）拒不改正：并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；

（3）情节严重：由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

（4）信用惩罚：依照有关法律、行政法规的规定记入信用档案，并予以公示。

2、民事责任

（1）举证责任：不能证明自己没有过错的，应当承担损害赔偿等侵权责任。（自证清白）

（2）赔偿责任：按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

（3）公益诉讼：违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

3、刑事责任

（1）构成违反治安管理行为的，依法给予治安管理处罚。

（2）构成犯罪的，依法追究刑事责任。

五、《个保法》生效后企业的合规途径

《个保法》第51条清楚明白的规定了企业的5项义务，分别是：

（1）完善制度：制定内部管理制度和操作规程

（2）信息分类：对个人信息实行分类管理

（3） 技术措施：加密、去标识化等

（4）合规培训：个人信息处理的操作权限管理，进行安全教育和培训

（5）补救措施：制定并组织实施个人信息安全事件应急预案

此处笔者需要提醒的是，这除了是企业合规途径外，还是企业的法定义务，而前述提到了“自证清白”的举证责任，也就是说，企业除了履行上述义务外，还得注意保留相关履行义务的证据，否则将可能承担赔偿责任。

六、结语

笔者认为，《个保法》实施在即，企业应先对自身的员工个人信息保护情况进行自查，梳理自入职、在职、离职全流程的个人信息保护风险节点，学习新法以建立企业自身的个人信息保护意识。如有必要，可委托专业人士重新修订如《员工个人信息使用同意书》《劳动合同》《文书表单》《员工手册》及与第三方的个人信息处理协议等文件，建立适合于企业自身的个人信息保护合规体系，避免企业由于对规则的不了解、错误理解或疏忽，而导致承担不必要的法律上、行政上和经济上的责任。