望衡法评 | 劳动关系中个人信息处理若干法律问题（二）

上篇文章我们分析了用人单位与劳动者在建立劳动关系时，劳动者对于与订立劳动合同直接相关的个人信息负有如实告知义务。那么，劳动关系建立后，用人单位若要收集劳动者的个人信息又有哪些限制和要求？未向劳动者明确告知而收集个人信息数据是否必然被认定为非法行为？本文将用人单位收集劳动者个人信息的常见情形与现行法律相结合对该问题进行解读。

1、生物识别类

2、健康生理类

用人单位对劳动者此类信息的收集通常体现在请假制度方面。例如劳动者因身体不适需要就医或遵照医嘱静养休息，以此向用人单位请病假的情况。通常用人单位会要求劳动者提交诊断证明用以留存，部分公司还会要求劳动者提交完整病例、手术记录等材料。《个人信息安全规范》中已明确用列举的方式将病症、住院志、医嘱单等信息定义为个人信息，故若用人单位要求劳动者提交以上材料将涉及到对劳动者个人信息的收集。

3、通讯信息类

用人单位对劳动者此类信息的收集通常体现为对办公设备的监听监控。例如，用人单位对于工作中涉及的内容或材料具有较高的保密要求，而将劳动者的办公手机或电脑中安插监听、监控插件，监督劳动者有无泄密或从事与工作内容无关的行为。《个人信息安全规范》已用列举方式明确将通信记录和内容、个人上网记录等信息定义为个人信息，故若用人单位在劳动者的手机或电脑中安插监听、监控插件将涉及到对劳动者个人信息的收集。

 《中华人民共和国个人信息保护法》（下称“《个保法》”）第四条规定：“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等”。

《个保法》第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”

《个保法》第十四条规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。”

综上，除前述法律规定的情形外，用人单位如拟收集劳动者个人信息，应向劳动者明确告知信息收集、使用的范围、必要性以及可能造成的影响，在征得劳动者同意后方可收集。

上述法律规定中已明确，作为个人信息处理者的用人单位在收集劳动者个人信息时应明确告知并征得其同意。但在未明确告知的情况下，收集个人信息数据是否必然被认定为非法行为，是否构成对劳动者隐私权的侵犯，需要视具体情况而论。

以在劳动者电脑中安装监控软件为例，在司法实践中，法院认为尽管用人单位未能举证证明已向劳动者进行过告知说明，但用人单位为了企业的经营、管理等工作需要，在公司所有的办公电脑上安装监控软件，其目的是正当的，不具有窥探员工隐私权的故意，因此并非违法行为。将监控软件记录的内容作为证据提交，并非向不特定的人公开，属于依法举证行为。用人单位在办公电脑安装监控软件，并且保存、下载该电脑中通讯信息的行为，主观上没有过错，因此不构成对劳动者隐私权的侵犯。

但对于超出工作时间、工作范围擅自收集劳动者个人信息的，仍可能被认定为系对劳动者隐私权的侵犯。可见，法院在作出非法或侵权认定时，会具体结合个人信息的应用场景、用人单位的主观过错以及信息披露范围等因素综合考量，作出相应裁判。

用人单位在用工过程中，以各种有形或无形的方式收集劳动者个人信息的情形十分普遍。在《个保法》颁布实施后，该等行为均应遵循明确告知、征得同意的根本原则。如此，劳动者方能更好保障自身合法权益，用人单位亦能更大限度的避免自身涉诉风险。

以上分析仅供参考，不构成我们正式的专业法律意见。如据此进行商业或诉讼安排而产生的任何损失，我们不承担任何责任。