京品观点 | 从《民法典》视角看员工个人信息保护

我国对个人信息的保护体现在诸多法律中，比如《电信和互联网用户个人信息保护规定》、《网络安全法》、《刑法》等。本次《民法典》的编纂，最大的特点是将“人格权”独立成编，并对个人信息保护做了详细规定。谈到个人信息就不得不提到员工个人信息，因为工作是人们安身立命之本，人们因工作需要获取信息，同时也要提供个人信息。而与员工信息最相关的，便是劳动法律法规。本文主要从《民法典》视角，浅谈单位员工的个人信息保护问题。

何为个人信息，根据《民法典》第一千零三十四条，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。通过解读该条款，个人信息的载体包括“电子或其他方式”。常见的“其他方式”包括纸质载体、视频载体等。“记录”指能通过一定手段保留下来。一闪即逝的想法、气味等不能记录。个人信息的形式包括独立存在或与其他信息相结合。“识别”是指区分、辨别，能够识别特定的自然人。个人信息的内容法条规定得十分完善。这些信息能够指向自然人的姓名、年龄、户籍、住址、联系方式、健康状况、过往经历等。根据《劳动合同法实施条例》第八条，职工信息应当包括劳动者姓名、性别、公民身份号码、户籍地址及现住址、联系方式、用工形式、用工起始时间、劳动合同期限等内容。《民法典》中的个人信息和劳动法律中的劳动者信息具有一致性，都是指自然人的基本状况。

根据《民法典》第一千零三十五条第二款，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。同时，根据《民法典》第一千

零三十五条第一款，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。从《民法典》的规定可看出，平等自愿是处理个人信息重要的原则。根据《劳动合同法》第八条，用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明。该条规定的是用人单位获取劳动者信息的方式，从“有权了解”“应当如实说明”可看出，用人单位获取的方式“不平等不自愿”，这种强制获取员工信息的方式是否“不合理”呢？笔者对此持否定态度。首先，获取员工信息是单位用工的前提。入职之前用人单位需要查看员工的简历、面试的时候需要询问员工的情况、入职之后用人单位需要建立员工档案，这些都涉及员工的个人信息。如果允许员工不愿意提供就不提供，用人单位就无法了解员工的真实身份、学历、工作经历等内容，用人单位无法信任员工也无法给员工安排合适的岗位，那么劳动关系就无法建立。其次，劳动关系的本质就在于管理与被管理的关系，员工对用人单位具有人身依附性。再次，用人单位收集员工的信息，是为了给员工做全面的评价，给员工匹配合适的岗位，给员工支付合适的工资。用人单位收集员工的方式虽然是强制的，但是出于管理的目的，且最终的受益者是用人单位和员工双方。故笔者认为是合理的。笔者需要指出的是，虽然用人单位“有权了解”，员工“应当说明”，但不是所有的信息员工都“应当说明”。员工只需要提供与劳动合同直接相关的基本情况，不需要提供与劳动合同无关的情况，如员工的宗教信仰、子女状况等。如果用人单位要了解这些信息，需要与员工协商，取得员工的同意。

要讨论违法处理个人信息的后果，首先要了解哪些行为属于“违法处理”。《民法典》第一千零三十八条规定了信息处理者的义务，反之，违反义务的行为就属于“违法处理”的行为。这些行行为包括：泄露、篡改、丢失其收集存储的个人信息；向他人非法提供其个人信息。同时《民法典》在第一千零三十九条强

调了国家机关及其工作人员的保密义务。劳动法律没有界定哪些行为属于违法处理员工信息的行为，但《劳动合同法》规定用人单位有权了解劳动者与劳动合同直接相关的基本情况，意味着如果用人单位处理员工信息的行为与履行劳动合同无关，则视为违法行为。具体有哪些违法行为则要结合实际情况论证。

违法处理个人信息要承担哪些后果，《民法典》没有专门规定，仅在“人格权编”的“一般规定”中有所体现。《民法典》第九百九十五条规定，人格权受到侵害的，受害人有权依照本法和其他法律的规定请求行为人承担民事责任。据此，行为人应根据《民法典》第一百七十九条“总则编”的规定承担责任，即停止侵害、排除妨碍、消除危险、返还财产、恢复原状、修理重作更换、继续履行、赔偿损失、支付违约金、消除影响恢复名誉、赔礼道歉。同时第九百九十六条规定受害方遭受严重精神损害的，可请求精神损害赔偿。如果用人单位侵害了员工的个人信息，此时双方形成的是民事法律关系而不是劳动法律关系，应适用《民法典》中的责任承担方式。

用人单位在用工过程中，不可避免需要处理员工信息，《民法典》对信息处理方式进行了原则性规定及概括性列举，《劳动合同法》的规定更是简略。为了更好地保护员工信息，避免发生争议，针对不同阶段，笔者有如下建议：

（一）招聘与面试阶段

在招聘阶段，用人单位往往要求应聘者提供自己的简历。在面试阶段，用人单位也会询问应聘者有关的个人信息。在这种情形下，应聘者主动在简历中或面谈中主动提供的信息，属于用人单位合法收集到的信息。用人单位收集此部分信息应避免利用欺骗、诱导或者强迫的手段。此外，如果应聘者最终没有被用人单位录用，用人单位即无留存相关应聘者个人信息的权利，应当及时匿名化处理或删除。如果用人单位获得应聘者的信息是来源于猎头等第三方机构，用人单位应该问清楚第三方机构获取信息的来源，以及应聘者对第三方机构处理其个人信息的授权范围，包括对其个人信息使用的目的以及是否同意信息转让等，以保证用人单位获取应聘者信息的手段是合法的。

（二）背景调查阶段

在招聘阶段，用人单位也会自行或委托第三方机构对应聘者进行背景调查。无论是用人单位自行调查还是委托第三方机构调查，事先必须取得应聘者同意，且明确告知应聘者背景调查的目的、个人信息收集的范围及方式、个人信息的存储及使用方式等。如果用人单位委托第三方机构调查，还需要与第三方机构签订保密协议，确保第三方机构背景调查的途径合法，收集的个人信息不得用于其他目的。

（三）入职阶段

用人单位在订立劳动合同阶段，需要了解员工的一些信息，比如，基本信息、健康情况、知识技能、学历、职业资格、工作经历、家庭住址、家庭成员构成等。在此阶段，用人单位有权了解与劳动合同直接相关的信息，如果是特殊行业，还可以要求员工提供疾病史、无犯罪记录、特殊技能等。但与劳动合同不直接相关的个人信息，如宗教信仰、子女状况等，用人单位不应主动收集。用人单位如果需要收集这些信息，应与员工协商一致。用人单位获取这些信息之后，应当妥善保管，确保信息安全。

随着国家对个人信息保护的加强及员工维权意识的提高，用人单位在处理员工信息的问题上需尽到更多的谨慎义务。《民法典》丰富了个人信息的内容，对用人单位在处理员工信息的问题上，起到一定的指引作用。但法律的作用都是局限的，面对浩如烟海的员工信息，用人单位在处理时，既要坚持合法性，也要坚持合理性，这样才能更好地处理单位与员工的关系。