作者丨刘海涛 罗晨辰
2021年11月1日,《中华人民共和国个人信息保护法》(以下简称“《个保法》”)正式生效。《个保法》是专门针对个人信息保护领域的立法,覆盖了个人信息处理活动的各个环节,为个人信息处理者设定了一系列的义务。然而,《个保法》作为一部新鲜出炉的法律,其适用或解释以及相应的配套措施尚不完善,因此,一些条款在落地的时候还存在不明确或有争议之处,很多企业在依法履行员工个人信息保护义务的过程中也会因为缺乏明确的指引而陷入迷茫。 我们在本文中就实践中较为常见的员工个人信息管理问题进行探讨,以期帮助企业更合规、有效地履行个人信息保护义务。 1、如何理解“为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”? 因此,当满足如下条件时,个人信息处理者本应当基于同意进行个人信息处理活动的可以不取得个人主体的同意: A 为订立、履行个人作为一方当事人的合同所必需;或 B 按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。 企业在处理员工个人信息时当然可以适用上述条款以提高管理效率,但在实操过程中仍然需要注意该等适用的边界,以免落入违法处理员工个人信息的范畴。 对于上述个人信息的处理,企业可以依法制定劳动规章制度或在依法与员工签订的集体合同中进行明确规定或约定。一般而言,实践中集体合同较为少见,常见的操作是企业依法履行民主协商程序将相关内容规定在内部规章制度中并履行公示或告知员工的义务[2]。 企业仍需注意,尽管企业可以将依法制定的劳动规章制度或依法签订的集体合同作为其处理员工个人信息的合法性基础,但仍需满足“实施人力资源管理所必需”之条件,不得随意扩大处理个人信息的范围。 2、单独同意是否可以适用“豁免同意”的条款? 然而,该等豁免事由是否可以同样适用于需要取得个人主体单独同意的情形(如处理敏感个人信息、向第三方提供个人信息、公开处理个人信息、向境外提供个人信息等等)在实务中是有争议的。 在目前尚欠官方解释或执法实践的情况下,我们认为企业宜选择更为谨慎的解读,即在法定需要获得个人主体单独同意的情形下要求员工签署单独的同意书(同时也建议企业在规章制度中予以规定)。毕竟,“单独同意”所涉及的均是对个人利益影响较为重大的事项,对这些个人信息处理活动本身的必要性要求就应当高于仅基于“同意”的处理活动。但是,我们也认为,当实践中出现突发公共卫生事件,或危及个人生命健康和财产安全等紧急情况下,企业需要灵活应对,不应死板地遵循必须取得个人单独同意的要求。 3、向第三方提供员工个人信息需要注意什么? 委托处理 当然,在委托第三方处理员工个人信息之前,企业应当与第三方签订协议,将委托处理目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等进行明确的书面约定。此外,我们认为企业亦应当在决定使用第三方之前履行审慎义务,比如:审阅第三方内部关于个人信息保护的合规政策等文件、要求第三方签署个人信息保护合规承诺书等等。同时,企业也应在委托处理之前开展个人信息保护影响评估[6]。 在将员工个人信息交付受托方进行处理后,企业应当对其处理活动进行监督,比如要求受托方定期对处理活动进行报告、对处理活动开展合规审计等等。 向其他个人信息处理者提供个人信息 在此类情况下,接收个人信息的一方与企业没有委托关系,往往具有基于其业务的独立处理目的和处理方式。企业应当向员工告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类,并取得员工的单独同意。 4、将员工的个人信息传输出境需要履行何种义务? 行政监管层面 A 通过国家网信部门组织的安全评估; B 经专业机构进行个人信息保护认证; C 按照国家网信部门制定的标准合同与境外接收方订立合同。 在目前实践操作中,国家网信部门组织的安全评估和专业机构的个人信息保护认证工作均未正式启动,官方亦尚未公布关于数据出境的标准合同模板。鉴于该等现状,我们认为企业在向境外提供员工个人信息之前,应当进行个人信息出境安全自评估,通过评估后再传输出境,并形成相应的评估报告备查。 对于跨国企业的人力资源管理而言,员工个人信息的出境一般都不可能是一次性完成的(比如员工入职或信息变更等均会触发该等跨境传输),此时该如何确定出境安全自评估的频率也是企业非常关注的问题。针对该问题,我们认为可以参考《信息安全技术 数据出境安全评估指南(征求意见稿)》(2017年8月25日发布)第4.2.2条的注释规定: “注1:当网络运营者的数据出境满足连续出境的条件时,视为一次出境行为,免于重复评估; 注2:连续出境是指数据出境的目的、接收方相同,范围、类型、数量不发生较大变化,且两次数据出境间隔不超过一年的。” 因此,如果是频繁将集团内部员工的个人信息传输至境外母公司以满足人力资源管理需求的,且个人信息的范围、类型、数量不发生较大变化,则该等个人信息的出境可以视为一次出境行为。相应的,安全评估也可以只进行一次,即无需每次员工个人信息出境都进行安全自评估。 告知-单独同意 目前可行做法是,在招聘流程启动(此时涉及候选人)以及员工入职时,要求候选人或员工签署单独的个人信息跨境传输同意书(包括纸质或电子形式)。如果候选人在应聘时不同意将自己的个人信息传输至境外,且企业在境内确实不具备独立人力资源管理能力的,则我们认为企业因此拒绝候选人的职位申请是有合理事由的,且不构成职业歧视。 个人信息保护影响评估 A 个人信息的处理目的、处理方式等是否合法、正当、必要; B 对个人权益的影响及安全风险; C 所采取的保护措施是否合法、有效并与风险程度相适应。 除上述之外,企业也应当注意,如果是关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者应当将在境内收集和产生的个人信息存储在境内。确需向境外提供的,应当通过国家网信部门组织的安全评估。 此处提到的“国家网信部门规定数量”暂时可以参考《数据出境安全评估办法(征求意见稿)》(2021年10月29日发布)中的界定,即处理个人信息达到100万人或累计向境外提供超过10万人以上个人信息或者1万人以上敏感个人信息[10]。 5、员工是否有权要求公司删除其个人信息? 此外,区别于在职的员工,候选人和离职员工应当在合法、合理的情况下有权要求企业删除其个人信息。且对于企业而言,个人信息留存的期限越长,其安全风险和运维成本也越高,故企业宜按照“必要最短时间”原则保存候选人/员工个人信息。 脚注: [1] 《劳动合同法》 第十七条 劳动合同应当具备以下条款:……(二)劳动者的姓名、住址和居民身份证或者其他有效身份证件号码。 《上海市劳动合同条例》 第八条……用人单位在招用劳动者时,有权了解劳动者健康状况、知识技能和工作经历等情况,劳动者应当如实说明。 [2] 《劳动合同法》 第四条 用人单位应当依法建立和完善劳动规章制度,保障劳动者享有劳动权利、履行劳动义务。用人单位在制定、修改或者决定有关劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利、职工培训、劳动纪律以及劳动定额管理等直接涉及劳动者切身利益的规章制度或者重大事项时,应当经职工代表大会或者全体职工讨论,提出方案和意见,与工会或者职工代表平等协商确定。 在规章制度和重大事项决定实施过程中,工会或者职工认为不适当的,有权向用人单位提出,通过协商予以修改完善。 用人单位应当将直接涉及劳动者切身利益的规章制度和重大事项决定公示,或者告知劳动者。 [3] 第十三条 符合下列情形之一的,个人信息处理者方可处理个人信息: (一)取得个人的同意; (二)为订立、履行个人作为一方当事人的合同所必需,或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需; (三)为履行法定职责或者法定义务所必需; (四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需; (五)为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息; (六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息; (七)法律、行政法规规定的其他情形。 依照本法其他有关规定,处理个人信息应当取得个人同意,但是有前款第二项至第七项规定情形的,不需取得个人同意。 [4] 第二十一条 个人信息处理者委托处理个人信息的,应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等,并对受托人的个人信息处理活动进行监督。 受托人应当按照约定处理个人信息,不得超出约定的处理目的、处理方式等处理个人信息;委托合同不生效、无效、被撤销或者终止的,受托人应当将个人信息返还个人信息处理者或者予以删除,不得保留。 未经个人信息处理者同意,受托人不得转委托他人处理个人信息。 [5] 第二十三条 个人信息处理者向其他个人信息处理者提供其处理的个人信息的,应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类,并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的,应当依照本法规定重新取得个人同意。 [6] 详细见下文。 [7] 第三十八条 个人信息处理者因业务等需要,确需向中华人民共和国境外提供个人信息的,应当具备下列条件之一: (一)依照本法第四十条的规定通过国家网信部门组织的安全评估; (二)按照国家网信部门的规定经专业机构进行个人信息保护认证; (三)按照国家网信部门制定的标准合同与境外接收方订立合同,约定双方的权利和义务; (四)法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的,可以按照其规定执行。 个人信息处理者应当采取必要措施,保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。 [8] 第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的,应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项,并取得个人的单独同意。 [9] 第五十六条 个人信息保护影响评估应当包括下列内容: (一)个人信息的处理目的、处理方式等是否合法、正当、必要; (二)对个人权益的影响及安全风险; (三)所采取的保护措施是否合法、有效并与风险程度相适应。 个人信息保护影响评估报告和处理情况记录应当至少保存三年。 [10] 第四条:数据处理者向境外提供数据,符合以下情形之一的,应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估……(三)处理个人信息达到一百万人的个人信息处理者向境外提供个人信息;(四)累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息… [11] 第五十条 ……用人单位对已经解除或者终止的劳动合同的文本,至少保存二年备查。 [12] 第二十四条……在解除或者终止劳动合同后,前款规定的人员到与本单位生产或者经营同类产品、从事同类业务的有竞争关系的其他用人单位,或者自己开业生产或者经营同类产品、从事同类业务的竞业限制期限,不得超过二年。
【版权声明】本文内容来源于互联网,版权归原作者所有,仅供研习法律、传递信息、宣传法治,禁止用于商业用途,如有侵权,请联系删除。
【免责声明】本公众号对转载、分享的内容、陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完善性提供任何明示或暗示的保证,仅供读者参考!