2021年11月1日，《中华人民共和国个人信息保护法》（以下简称“《个保法》”）正式生效。《个保法》是专门针对个人信息保护领域的立法，覆盖了个人信息处理活动的各个环节，为个人信息处理者设定了一系列的义务。然而，《个保法》作为一部新鲜出炉的法律，其适用或解释以及相应的配套措施尚不完善，因此，一些条款在落地的时候还存在不明确或有争议之处，很多企业在依法履行员工个人信息保护义务的过程中也会因为缺乏明确的指引而陷入迷茫。

       我们在本文中就实践中较为常见的员工个人信息管理问题进行探讨，以期帮助企业更合规、有效地履行个人信息保护义务。

       一、如何理解“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”？

       《个保法》第十三条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：…（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；…依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”

       因此，当满足如下条件时，个人信息处理者本应当基于同意进行个人信息处理活动的可以不取得个人主体的同意：

        A      为订立、履行个人作为一方当事人的合同所必需；或

       B       按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。

       企业在处理员工个人信息时当然可以适用上述条款以提高管理效率，但在实操过程中仍然需要注意该等适用的边界，以免落入违法处理员工个人信息的范畴。

       Ø  为订立、履行个人作为一方当事人的合同所必需

       《劳动合同法》第八条规定：“用人单位有权了解劳工与劳动合同直接相关的基本情况”。因此我们认为，如果是与劳动合同直接相关的基本个人信息，可以满足是为订立个人作为一方当事人的合同所必需之条件。一般而言，员工的姓名、住址、身份证号码（或其他有效身份证件号码）、健康状况、知识技能、工作经历等信息是与劳动合同直接相关的基本个人信息[1]。但是，在实践中一般认为婚姻状况、生育状况、是否为乙肝表面抗原携带者（除法律、行政法规和卫生部规定禁止从事的工作）等信息与劳动合同的签订和履行并没有必然的关联性。

       Ø  按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需

       除了劳动合同的订立和履行，企业在日常进行人力资源管理过程中还会处理员工的其他个人信息，包括薪酬信息、病假证明、紧急联系人信息等等。

       对于上述个人信息的处理，企业可以依法制定劳动规章制度或在依法与员工签订的集体合同中进行明确规定或约定。一般而言，实践中集体合同较为少见，常见的操作是企业依法履行民主协商程序将相关内容规定在内部规章制度中并履行公示或告知员工的义务[2]。

       企业仍需注意，尽管企业可以将依法制定的劳动规章制度或依法签订的集体合同作为其处理员工个人信息的合法性基础，但仍需满足“实施人力资源管理所必需”之条件，不得随意扩大处理个人信息的范围。

         二、单独同意是否可以适用“豁免同意”的条款？

       如上所述，当满足《个保法》第十三条第一款第二项至第七项[3]规定的情形时，基于同意的个人信息处理活动可以豁免同意的取得。

       然而，该等豁免事由是否可以同样适用于需要取得个人主体单独同意的情形（如处理敏感个人信息、向第三方提供个人信息、公开处理个人信息、向境外提供个人信息等等）在实务中是有争议的。

       在目前尚欠官方解释或执法实践的情况下，我们认为企业宜选择更为谨慎的解读，即在法定需要获得个人主体单独同意的情形下要求员工签署单独的同意书（同时也建议企业在规章制度中予以规定）。毕竟，“单独同意”所涉及的均是对个人利益影响较为重大的事项，对这些个人信息处理活动本身的必要性要求就应当高于仅基于“同意”的处理活动。但是，我们也认为，当实践中出现突发公共卫生事件，或危及个人生命健康和财产安全等紧急情况下，企业需要灵活应对，不应死板地遵循必须取得个人单独同意的要求。

         三、向第三方提供员工个人信息需要注意什么？

       在实践中，企业很难避免将其合法收集的员工个人信息提供给第三方进行处理。《个保法》对于将个人信息提供给企业以外的第三方做了区分：委托处理（第二十一条[4]）以及向其他个人信息处理者提供个人信息（第二十三条[5]）。在企业管理实践中，企业需要根据其与第三方之间的关系以及个人信息处理活动的性质先确定会落入前述哪种情形下，再履行相应的义务。

 Ø  委托处理

       委托第三方处理员工个人信息的常见情形包括将员工的个人信息储存在第三方的云服务器中，或委托律师、法证技术团队对员工开展内部调查等。在这种情况下，由于第三方是作为受委托方，其对个人信息的处理都是基于企业的委托，因此，在企业已经就个人信息的处理取得员工同意的基础上，无需再就该等委托处理取得员工的同意。

       当然，在委托第三方处理员工个人信息之前，企业应当与第三方签订协议，将委托处理目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等进行明确的书面约定。此外，我们认为企业亦应当在决定使用第三方之前履行审慎义务，比如：审阅第三方内部关于个人信息保护的合规政策等文件、要求第三方签署个人信息保护合规承诺书等等。同时，企业也应在委托处理之前开展个人信息保护影响评估[6]。

       在将员工个人信息交付受托方进行处理后，企业应当对其处理活动进行监督，比如要求受托方定期对处理活动进行报告、对处理活动开展合规审计等等。

       Ø  向其他个人信息处理者提供个人信息

       企业也可能会向独立的个人信息处理者提供员工的个人信息，比如为员工福利之目的向商业保险公司提供参保员工（或其亲属）的个人信息等。

       在此类情况下，接收个人信息的一方与企业没有委托关系，往往具有基于其业务的独立处理目的和处理方式。企业应当向员工告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得员工的单独同意。

       四、将员工的个人信息传输出境需要履行何种义务？

       我们经常会遇到跨国企业客户需要将在中国境内收集的员工个人信息传输至境外母公司，以满足统一的人力资源管理。如果企业有该等需求，个人信息的出境既需要满足行政监管要求，亦应当完成对个人告知并取得单独同意的义务，并进行个人信息保护影响评估。

       Ø  行政监管层面

       企业若想要将员工的个人信息传输至境外，则一般需要满足如下条件之一（《个保法》第三十八条[7]）：

       A      通过国家网信部门组织的安全评估；

       B       经专业机构进行个人信息保护认证；

      C       按照国家网信部门制定的标准合同与境外接收方订立合同。

       在目前实践操作中，国家网信部门组织的安全评估和专业机构的个人信息保护认证工作均未正式启动，官方亦尚未公布关于数据出境的标准合同模板。鉴于该等现状，我们认为企业在向境外提供员工个人信息之前，应当进行个人信息出境安全自评估，通过评估后再传输出境，并形成相应的评估报告备查。

       对于跨国企业的人力资源管理而言，员工个人信息的出境一般都不可能是一次性完成的（比如员工入职或信息变更等均会触发该等跨境传输），此时该如何确定出境安全自评估的频率也是企业非常关注的问题。针对该问题，我们认为可以参考《信息安全技术 数据出境安全评估指南（征求意见稿）》（2017年8月25日发布）第4.2.2条的注释规定：

       “注1：当网络运营者的数据出境满足连续出境的条件时，视为一次出境行为，免于重复评估；注2：连续出境是指数据出境的目的、接收方相同，范围、类型、数量不发生较大变化，且两次数据出境间隔不超过一年的。”

       因此，如果是频繁将集团内部员工的个人信息传输至境外母公司以满足人力资源管理需求的，且个人信息的范围、类型、数量不发生较大变化，则该等个人信息的出境可以视为一次出境行为。相应的，安全评估也可以只进行一次，即无需每次员工个人信息出境都进行安全自评估。

Ø  告知-单独同意

根据《个保法》[8]的要求，企业将员工的个人信息传输出境还必须履行法定的告知义务（包括境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使《个保法》规定权利的方式和程序等）并获取员工的单独同意。

目前可行做法是，在招聘流程启动（此时涉及到候选人）以及员工入职时，要求候选人或员工签署单独的个人信息跨境传输同意书（包括纸质或电子形式）。如果候选人在应聘时不同意将自己的个人信息传输至境外，且企业在境内确实不具备独立人力资源管理能力的，则我们认为企业因此拒绝候选人的职位申请是有合理事由的，且不构成职业歧视。

Ø  个人信息保护影响评估

《个保法》也明确要求，在个人信息出境之前应当进行个人信息保护影响评估，并形成评估报告、记录处理情况（至少保存三年）。个人信息保护影响评估与个人信息出境安全评估并不是同一评估。个人信息保护影响评估应当包含如下内容（《个保法》第五十六条[9]）：

A      个人信息的处理目的、处理方式等是否合法、正当、必要；

B       对个人权益的影响及安全风险；

C       所采取的保护措施是否合法、有效并与风险程度相适应。

除上述之外，企业也应当注意，如果是关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者应当将在境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估。

此处提到的“国家网信部门规定数量”暂时可以参考《数据出境安全评估办法（征求意见稿）》（2021年10月29日发布）中的界定，即处理个人信息达到100万人或累计向境外提供超过10万人以上个人信息或者1万人以上敏感个人信息[10]。

       五、员工是否有权要求公司删除其个人信息？

一般而言，在职的员工不应当有权要求企业删除其提供的个人信息，否则企业在人力资源管理上显然会产生混乱，同时，对于企业履行必要的职责和法定义务也存在阻碍。但企业需注意，前述员工提供的个人信息应当限于企业基于最小必要原则合法收集的信息，如果企业收集了超出合法、合理范围的个人信息，员工应当有权利要求企业进行删除。就员工无权要求企业删除的个人信息部分，企业宜通过合法程序规定在内部规章制度中并将该等规章制度送达员工。

此外，区别于在职的员工，候选人和离职员工应当在合法、合理的情况下有权要求企业删除其个人信息。且对于企业而言，个人信息留存的期限越长，其安全风险和运维成本也越高，故企业宜按照“必要最短时间”原则保存候选人/员工个人信息。

ž   候选人如果未被企业录用，则其有权要求企业立即删除其个人信息。但如果该企业设有再次申请职位的冻结期，则候选人有权要求在该等合理的期限经过后删除其个人信息。

ž   离职员工在法定及约定的期限经过后也有权要求企业删除其个人信息。法定期限可以参考《劳动合同法》第五十条[11]所规定的二年。约定期限一般涉及的是竞业限制期限，而竞业限制期限根据《劳动合同法》第二十四条[12]的规定亦不得超过二年。因此，我们认为一般而言，二年是一个较为合理的期限，在没有特殊法律规定或约定的情况下，该等期限经过后，离职员工有权要求企业删除其个人信息。我们也建议企业与离职员工就其离职后的个人信息的处理事项在其离职前进行协商和明确约定。

[1]《劳动合同法》 第十七条 劳动合同应当具备以下条款：…（二）劳动者的姓名、住址和居民身份证或者其他有效身份证件号码。

《上海市劳动合同条例》 第八条 …用人单位在招用劳动者时，有权了解劳动者健康状况、知识技能和工作经历等情况，劳动者应当如实说明。

[2] 《劳动合同法》 第四条 用人单位应当依法建立和完善劳动规章制度，保障劳动者享有劳动权利、履行劳动义务。用人单位在制定、修改或者决定有关劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利、职工培训、劳动纪律以及劳动定额管理等直接涉及劳动者切身利益的规章制度或者重大事项时，应当经职工代表大会或者全体职工讨论，提出方案和意见，与工会或者职工代表平等协商确定。

在规章制度和重大事项决定实施过程中，工会或者职工认为不适当的，有权向用人单位提出，通过协商予以修改完善。

用人单位应当将直接涉及劳动者切身利益的规章制度和重大事项决定公示，或者告知劳动者。

[3] 第十三条 符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

[4]第二十一条 个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。

受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。

未经个人信息处理者同意，受托人不得转委托他人处理个人信息。

[5] 第二十三条 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。

[6] 详细见下文。

[7] 第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：

（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；

（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；

（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；

（四）法律、行政法规或者国家网信部门规定的其他条件。

中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。

个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。

[8] 第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

[9] 第五十六条 个人信息保护影响评估应当包括下列内容：

（一）个人信息的处理目的、处理方式等是否合法、正当、必要；

（二）对个人权益的影响及安全风险；

（三）所采取的保护措施是否合法、有效并与风险程度相适应。

个人信息保护影响评估报告和处理情况记录应当至少保存三年。

[10] 第四条：数据处理者向境外提供数据，符合以下情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估…（三）处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；（四）累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息…

[11] 第五十条 …用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。

[12] 第二十四条…在解除或者终止劳动合同后，前款规定的人员到与本单位生产或者经营同类产品、从事同类业务的有竞争关系的其他用人单位，或者自己开业生产或者经营同类产品、从事同类业务的竞业限制期限，不得超过二年。