引言

个人信息保护是近几年的热点话题，许多公司一直在努力确保其客户和供应商的个人信息安全防护，却往往容易忽视企业内部人力资源场景。企业在履行员工劳动合同、发放薪资、为员工提供休假及福利的过程中，会收集和处理大量员工的个人信息。若企业没有有效的员工个人信息保护机制和能力，会存在严重的违规风险。

对比通常的外部客户个人信息保护，在人力资源场景下个人信息保护会存在诸多特殊性和复杂性，本文将阐述有关的关注点，探讨企业如何找出人力资源个人信息保护的有效方法。

关注点一：

“员工同意”不是唯一的数据处理依据

在通常的商业场景下，企业对个人信息的收集和处理的主要依据是得到数据主体的授权同意，例如：用户使用一款游戏APP，在账号注册过程中，通过勾选同意隐私政策的方式授权该APP和相关方可以收集并按约定处理其个人信息。

可是，在人力资源管理的场景下，由于员工（雇员）和企业（雇主）之间关系的不对等和权力的不平衡，员工很难做出“充分自由”的同意。因此，单独的“数据主体同意”很难成为企业人力资源场景下数据处理的充分合法依据，还应考虑具体的数据行为是否符合必要性、合理性等原则，同时还要具备足够的透明度。具体的应对实践建议为：

人力资源场景下数据处理的合规依据

在处理员工个人信息时，在员工知情同意的同时，还需要满足其他的法律依据。例如：

  • 企业因履行合同义务或满足法律要求，需要处理员工个人信息：企业收集员工的银行卡信息，是为了履行劳动合同中关于薪酬支付的约定。

  • 企业为保障自身合法权益，需要处理员工个人信息：企业对员工的终端网络连接信息进行监控和收集，是为了保障企业的终端准入安全。

员工数据处理的透明度

企业对员工的数据处理操作应保持透明度，即员工应被清楚且充分地告知其个人信息的处理情况（例如：有哪些职场的监控？是否采取必要的个人信息保护措施？) 。建议人力资源部门可以结合企业内部实际的数据场景，制定具体的内部员工隐私政策，充分告知员工有哪些个人信息被企业收集、使用或交给第三方处理。隐私政策可以参考通常的商业场景下的隐私政策，让员工阅读并同意。以下是一些可以设置员工隐私政策的示例：

  • 在员工入职前，让员工先充分知悉并同意隐私政策的内容；

  • 在员工签署劳动合同时，将隐私政策作为劳动合同的附件；

  • 在员工首次登入OA系统时，弹窗方式展示隐私政策和勾选框。

需要注意当职场的数据收集、处理场景发生变化，也需要及时更新隐私政策内容并通知员工知悉并同意具体的更新。

关注点二：

保证职场中数据监控的最小化

为有效保护公司知识产权及公司核心数据资产、避免敏感数据泄露，企业会使用数据防泄漏工具、新一代防火墙和行为监控等多种监控手段对员工的办公设备及办公行为进行监控。但在对员工的数据监控过程中收集大量敏感数据，包括文件访问记录、互联网使用情况、电子邮件流量、实时桌面捕获，甚至员工行踪轨迹等。对于这些数据的收集和处理，稍不注意就会触犯相关的个人信息保护法律要求，会引发员工和公司的劳务纠纷，甚至对公司声誉造成损失。

工作场所使用信息和通信监控技术

监控员工的每一次在线活动（例如：对员工私人网络邮件、访问网上银行和健康网站等数据的获取及处理）很有可能造成对员工隐私权利的侵犯。

为了避免对员工合法权利的侵害，确保监控的“透明化”，企业可选择明确列出企业网络和设备的允许使用范围，制定何时以及由谁可以访问可疑日志数据的政策，并使员工能够轻松地获取该范围及政策，同时，对监控政策与方案进行定期的评估，判断是否存在其他更低的风险处置方案。企业也可通过提供独立的设备、终端或云端空间，使员工行使合法权利，将工作设备用于某些私人用途。

针对BYOD设备进行的数据监控

随着电子设备的普及和办公灵活度的不断提高，越来越多的员工会使用个人终端设备（BYOD）进行工作。通常，企业会采取一些监控手段确保BYOD的安全稳定，但是在数据监控过程中，很有可能获取到员工私人或家庭相关的数据，这种情况极可能存在个人信息违规收集的风险。

为防止监控员工的私人信息，企业必须采取适当的措施区分设备的私人和工作用途。在进行大规模监控部署前，开展隐私影响评估。企业还应实施VPN等方法确保数据在设备和网络之间传输的安全性。同时，企业可以提供软件隔离方案，比如使用“沙箱”将办公动作约束在特定的应用程序中。

关注点三：

降低人力资源场景中进行数据处理时的操作风险

通常，人力资源部门无可避免的会收集或处理身份信息、薪水、健康信息、背景调查等员工（或候选人）敏感信息。在人力资源业务场景中，企业要通过完善流程并提高技术防范手段等方式确保所进行的个人信息处理活动是必要、合规的。

招聘过程中的数据处理操作

随着社交媒体的广泛使用，可公开查看的个人资料越来越常见，但企业在进行招聘过程中，不应该仅仅因为候选人的社交媒体信息是公开的便可以随意收集或处理这些数据。这种数据收集行为需要有法律依据，否则，极有可能造成损害候选人或准员工合法权益的情况，并影响公司的声誉。

针对候选人所收集的信息，应与其所申请的岗位相关。在招聘过程前，企业应通过邮件等方式告知候选人针对其个人信息的处理目的、方式等。同时，企业在检查社交媒体信息前，应考虑候选人的社交媒体信息是否仅为私人目的。此外，一旦企业已明确不会提供岗位就业机会或候选人明确不接受该岗位录取机会，那在招聘过程中收集的数据，应当及时进行匿名化或删除处理。

绩效评价过程中的数据处理

为“全方位”了解员工的工作状态、技术能力，提高员工对企业的忠诚度，部分企业会选择通过一些社交频道，收集员工甚至其家人朋友的信息，包括意见、信仰、习惯、行踪等。在收集与员工私人和家庭生活有关个人信息的过程中，企业若没有合理的法律依据或未透明地告知员工，则可能存在侵犯员工隐私权利的风险。

企业在对员工进行绩效评估时，应避免要求获取员工通过社交媒体向他人分享的信息，并避免使用此类信息对员工进行绩效评价。即使企业对于监控员工的社交账号具有明确的合理依据，也应确保员工已明确知悉对其公开内容的定期监控的程度。

关注点四：

关注职场中各类数据处理行为的隐患

除了核心人力资源业务，在视频监控、区域访问控制监控、企业车辆管理过程中都存在收集或处理员工的个人信息的情形。企业应在进行有关流程与工具部署的过程中重视员工个人信息的保护，在企业的合法利益与保护员工个人数据之间找到适当的平衡。

使用视频监控系统过程中的数据处理

大多数企业会部署监控设备用于安保及环境监控。在监控的过程中无法避免的会收集员工的面容及行为信息。若除传统环境监控的目的外，企业利用监控设备获取到的视频信息，通过视频分析功能，识别员工行为的偏差或利用用户画像和自动化决策将数据用于对员工进行绩效考评，则存在对员工合法权利的损害。企业应避免使用面部识别技术，在进行大规模监控前进行隐私影响评估。

员工车辆使用过程中的数据处理

部分企业在进行公司车辆管理过程中，会使用车辆远程信息处理技术，并收集和处理车内员工的数据，例如：车辆的位置信息、驾驶行为等。企业应在保障自身合法利益的情况下，评估在车辆使用的过程中针对员工个人敏感信息的数据处理活动的必要性，并且适当的提供辅助措施确保员工的隐私权利。比如，员工有权在特殊情况下暂时关闭定位功能。企业还必须清楚地告知员工，他们正在驾驶的公司车辆中已经安装了追踪装置，当他们使用该辆车时，他们的行动将被记录。

关注点五：

准备跨国企业的员工数据跨境的方案

随着全球一体化时代的来临，越来越多的跨国企业会存在境内境外不同地区同时用工的情况，可能存在频繁的员工数据跨境传输。

数据跨境过程中的处理办法

在个人信息保护相关法律法案越来越完善的今天，境内有《网络安全法》和《个人信息出境安全评估办法（征求意见稿）》等相关法案标准，境外则有欧盟的《通用数据保护条例》（GDPR）、美国的《加利福尼亚州消费者隐私保护法案》（CCPA）等相关法案标准，所以数据跨境处理的第一步，需要了解数据跨境前后地区的法案要求，并严格遵守其对于跨境传输的限制条款进行评估和备案。

例如根据《个人信息出境安全评估办法（征求意见稿）》的要求，含有或累计传输50万人以上个人信息，数据量超过1000GB，包含敏感信息数据（核设施、化学生物、人口健康等），包含关键信息基础设施漏洞等信息的数据出境前，需要报请行业主管或监管部门组织安全评估。一般网络运营者在数据出境前也需根据本办法自行进行安全评估。

其次在数据跨境传输前，需要员工同意跨境转移员工数据，且员工的同意必须是具体、明确和自由的，同时在传输过程中需要采取必要技术手段防止个人信息数据在传输过程中的泄露及破坏，比如传输前对个人信息数据进行去标识化或者加密、对传输信道进行加密、在本地保留数据备份等，来保证个人信息数据跨境过程中的安全。

总结

人力资源管理场景下的个人信息保护工作是一个持续化过程，这不仅需要安全合规的专业部门参与，更需要人力资源部门的高度重视。我们相信，越来越多的企业会逐步完善企业内部的个人信息保护框架和体系，在提供安全可靠的对外服务同时，也对内部员工的隐私权利给予强大的保障。

声明：本文来自安永EY，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。