-
行業資訊
INDUSTRY INFORMATION
2021年8月20日，經全國人大常委會會議表決，《個人信息安全法》獲得通過。11月1日，《個人信息保護法》將正式施行。HR應該如何解讀這部法律？一起來看看——
1
用人單位是法律規定的個人信息處理者嗎？
《個人信息保護法》第73條，明確規定了個人信息處理者的定義，個人信息處理者，是指在個人信息處理活動中自主決定處理目的、處理方式的組織、個人。因用人單位在勞動關系管理中必然會涉及自主決定處理員工個人信息的目的和方式，屬于法律規定的個人信息處理者。
2
個人信息的處理包括哪些？
《個人信息保護法》第4條第2款規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。相對于《民法典》，《個人信息保護法》在列舉個人信息處理的具體環節時又增加了“刪除”。
《個人信息保護法》第4條 個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。
《民法典》第1035條 個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等。
從以上規定來看，用人單位在員工關系管理中，處理員工個人信息也貫徹用工管理的全過程，如入職讓員工填寫相關信息、將員工個人信息提供給出資方、關聯方或合作方、登報送達相關通知會涉及公開員工的個人信息等。
3
處理個人信息必須要經過員工同意嗎？
按《民法典》第1035條，處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理，并符合下列條件：
（一）征得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外；
從《民法典》規定來看，處理個人信息的前提一般是要經過自然人“同意”，但法律另有規定的除外。大家也知道，在勞動關系中，用人單位與勞動者存在管理與被管理的關系，如果處理個人信息都需要勞動者同意，那么用人單位的管理權將無法實施，如用人單位要實施人臉識別考勤，勞動者不同意用人單位采集人臉信息，用人單位就無法實施人臉識別考勤。好在《民法典》在強調“同意”的同時，也預留了口子，即“法律另有規定的除外”，現在這個法律就來了，那就是《個人信息保護法》第13條，具體規定如下：
《個人信息保護法》第13條 符合下列情形之一的，個人信息處理者方可處理個人信息：
（一）取得個人的同意；
（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需；
……
從以上第二項規定來看，立法者專門點了一下“合同”、“勞動規章制度”、“集體合同”、“人力資源管理”等，即為履行合同或實施人力資源管理所必需而處理個人信息的，不需要取得勞動者同意，如為了管理需要安置監控設施設備、為了委托第三方發工資或繳納社保需要將員工信息提供給第三方合作伙伴等。有了這一條款的規定，終于可以使HR松一口氣了！不過松口氣的同時，HR新任務也來了，勞動合同、集體合同、規章制度是否已經有了相關鋪墊條款呢？如果沒有，是不是該修訂、完善自己管理的一套人力管理文本呢？
小編認為，雖然《個人信息保護法》對人力資源管理中的職工個人信息處理有松綁，但“同意”這個要求，仍然會被裁判者看重，并以此判用人單位承擔不利后果的可能性也會增加。
4
處理敏感個人信息必須要經過員工同意嗎？
《個人信息保護法》第二章第一節第13條規定了處理個人信息的一般規則，但第二章第二節還專門規定了敏感個人信息的處理規則，其中敏感個人信息前面第二個問題已介紹，即：敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息。
對于敏感個人信息的處理，《個人信息保護法》規定較為嚴格，其第28條第2款規定，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。第29條規定，處理敏感個人信息應當取得個人的單獨同意；法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定。從這一條規定來看，處理敏感個人信息需要經過員工的單獨同意。這一規定估計很多HR看了又不淡定了，如考勤管理采集員工指紋或人臉信息，這涉及生物識別信息；安排職工健康體檢會涉及健康信息，病假管理中需要員工提供就醫資料等，這些都是醫療健康信息，這些都需要員工單獨同意才行。如果員工不同意該怎么辦？這會給員工關系管理帶來新的摩擦和沖突。
