作者 | 江苗、罗欣
机构 | 北京大成（上海）律师事务所
能产生法律效力的“同意”往往是基于意思自治做出的，而意思自治正是契约得以具有约束力的底层机制，但这一底层机制在劳动法领域在相当程度上是“失灵”的。 出于对劳动者的保护，监管及司法机关往往推定弱势的劳动者在面对强大的雇主时迫于谋生的压力是无法真实地表达自己的意思的（即，可能被迫做出虚伪的同意）。由此，在劳动法领域，为了平衡劳动者“自治”能力的不足，难以避免地需要引入“管制”要素。正是基于如此的制度设计，使得每一份基于“合意”的劳动合同背后都有“管制”的“影子”，这也是为什么“劳动合同”在我国应当被翻译为“Labor Contract”而不是“Employment Contract”，其中旨趣读者诸君可自行玩味。 而就《个人信息保护法》（以下简称“个保法”），有相当数量的学界人士是从“民法特别法”的角度来解释其中涉及个人信息权益的条款的，认为其是对《民法典》中个人信息权益的完善和增益。就笔者而言，从“赋权”的角度，将个保法的相关条款解读为有民法的赋权属性是可以理解的，但过于强调意思自治在其中所扮演的作用及个人对于该等权益的绝对支配，而罔顾该等支配的现实可能性，恐怕是一种盲目的学科视域扩张，除了误导，并无实益。 《反不正当竞争法》、《消费者权益保护法》及《食品安全法》等亦均有对个体的赋权条款，亦可能因此被援引于民事审判实践中，但不至因此被认为是民法特别法。此类法律更适宜作为“经济法”进行解读，其突出特征是“意思非自治”。照此类推，就个保法（连同“数据三法”体系），笔者亦更倾向于从“经济法”的角度解读。在其中扮演重要角色的，不仅是自治，更是管制。在相当程度上，同意更像是一种触发或“要式”机制，但其法律效果尚待管制要素的评价。 在雇员数据保护问题上，劳动法与个保法出现了交叠，考虑到这二个法律领域的上述特性，雇员数据保护这一复合领域将体现出更浓厚的管制要素。基于对“失灵”的应对（即从监管角度，在信息不对称的情形下，其很难相信，拥有强大资源的雇主在员工个人信息事务上如此“自律”且不会滥用“权力”），管制要素是难以避免的，它的主要目的是为了平衡“合理”与“必要”。 鉴上，于雇员数据保护领域，“无缘由”的“同意”很难被“信任”（即所有的同意都是有前提的），以至“理所当然”地发生预定法律效果，该等“同意”被赋予了多层限制：（1）要符合个保法基本原则；（2）要在充分知情情况下做出；及（3）同意存有例外。
一、 合理及最小化原则
尽管个保法涉及诸多原则，但其中最令笔者着迷的莫过于其第六条所述的“明确合理目的及最小化”原则：
（1）“明确”按理来说应该是个“绝对词”，但在个保法项下，这个词本身却不“明确”，例如，“为人力资源管理之需要”而处理员工个人数据算不算明确目的？还是说要具体到“为薪酬福利事项”而处理员工个人数据？还是要再进一步到“为员工购买商业保险之具体目的”而处理个人数据？怎样的“颗粒度”算是明确？ （2）“合理”是一个具有“相对性”的词汇，当中国人说“合理”的时候，毫无疑问是要放在一个比较的语境下的，并且需要分情况讨论，所以场景（特别是细分场景）就变得至关重要，“此”之合理，未必“彼”之合理。 （3）“最小”肯定是“绝对词”，对所有场景都是“杀无赦”的，其本意毫无疑问是避免权利滥用（例如过度收集），但何谓“最小”？例如，个人银行账号是已经列明的敏感个人信息，依“最小”原则，在工资支付场景下，该等信息可不予收集，因为员工完全有权要求雇主使用“法币”进行支付而雇主不得拒绝，但真的要这样做吗？ 目前的困境在于，个保法的条文都过于“原则”，而当我们对“原则的原则”尚不能把握的情况下，便很难对法律的执行进行预判，从而形成更加经济的合规预期。从此角度，将“比例原则”引入个保法的施行及执法中是必须的，即守法成本、产出与执法成本、产出之间应当成正比。
二、 知情 VS 同意
对于“同意”的获取，有一句未经验证的业内“黑话”——“逼同意”，也就是说数据主体的“同意”其实是在某种情境下被“逼”出来的（例如，某些app的闪退机制）。而在劳动法领域，这种“逼同意”或者捆绑同意的做法亦是大行其道，例如很多用人单位会在劳动合同中捆绑对个人信息适用的概括授权，暗示意味不言自明。
问题的要点是如何区分同意出自“真情”抑或“假意”？ 有相当数量的文章或文本（特别是个保法出台时早期的一些作品）都关注在如何获取同意及同意的种类上，但问题在于合法的同意从来不是“无源之水”，而应当来自于知情，遗憾的是，就此却论述不足。 个保法第十四条规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下“自愿”、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。该等“自愿”到底应当由用人单位证明，抑或由劳动者证明？现有规定语焉不详。若参照《劳动合同法》第三十八条中涉及的“被迫”要素，初始举证责任往往是劳动者的；但从笔者考量，应当援引个保法第六十九条之规定，若雇主不能证明已经进行了充分及明确的告知，则应当被认定为存有过错（即，并非由雇员证明是否为“不情愿”），而此等所谓“自愿”实为“非自愿”。 至于告知的具体要求，个保法第十七条明确规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。 遗憾的是，就笔者所知，上述条目（二）在雇员数据保护领域难以如愿实现，即“以显著方式、清晰易懂的语言真实、准确、完整地向个人告知”：（1）个人信息的处理目的；（2）处理方式；（3）处理的个人信息种类；及（4）保存期限。该种处境完全情有可原，前述四项告知内容的内涵及外延至今尚不确定，莫衷一是，例如处理目的的“颗粒度”？处理方式如何描述？信息种类是否需要穷尽列举，“颗粒度”如何把握？保存期限如何界定（特别是在与财务账簿、档案管理等相关规章出现冲突之时）？ 简言之，就同意问题，部分用人单位缺乏遵行意愿，希望简单行事，概括授权即可，仅重视作为结果的“同意”，而非经由要式行为得来的“同意”；而就告知问题，又有相当部分单位手足无措，不知如何遵行，尚待相关部门进一步澄清和引导。
三、 同意的例外
虽然基于“同意”处理个人信息是数据法领域的“黄金法则”，但实际上，这一法则有一个明显的“负面”：“同意”是怎么来的，就可以怎么走，基于同意获得的权限某种程度上是失控的。
个保法第十五条第一款明确规定，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。进一步，第十六条进一步规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。试问，假若员工拒绝提供银行账号而要求法币支付，雇主就可以拒付工资？ 很多雇主需要反思的是，是否真的需要这么多字段的雇员数据？过去解决问题的手段往往是今天的问题缘起！ 为了稳定个人信息处理的法律基础，特别是在某些情况下可能无法完全期待个体的充分配合，个保法也通过例外的形式在“同意”以外规定了处理个人信息的法律基础，即个保法第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。其特别释明，“依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意”，当然，此处的“不需取得个人同意”是否包含“单独同意”殊值推敲。 上述第二项，即“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”便是目前人力资源管理领域最重要的个人信息处理依据，其中，“合同”被扩展解释为“劳动合同”，而“依法制定的劳动规章制度”则被理解为依照《劳动合同法》第四条经由民主程序所制定的相关规章制度。 当然，以上仅仅是“同意的例外”的一个方面，尚有另外一种“同意的例外”：即除非有法定情形，某些敏感个人数据纵使经由同意亦不得处理，特别是关涉歧视要素的相关信息，例如病原体携带者信息（目前比较突出的问题是曾经感染新冠的人士）、精神病史、无法违法犯罪记录等。
【免责声明】本网站对转载、分享的内容、陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完善性提供任何明示或暗示的保证，仅供读者参考！
