数字化时代背景下劳动者个人信息保护研究

江晓君

(广东财经大学，广东 广州 510000)

一、 问题的提出

在大数据时代，个人信息具有重要的价值。 但在实践中，个人信息保护面临着许多难以预知的风险。 在劳动关系领域，劳动者的个人信息也容易受到侵害。 由于劳动关系具有从属性、继续性等特征，用人单位基于行使知情权、用工管理权的需要，在很多情况下往往需要大量收集、处理劳动者的个人信息，这不可避免地会对劳动者的个人信息权益造成一定的侵害。 甚至用人单位很有可能为了追求经济利益、用工效率而滥用权力，做出侵犯劳动者个人信息的行为。 而当劳动者的个人信息受到侵犯时，为了保全自己的工作，常常会默许用人单位收集、处理个人信息的行为。 在数字化时代背景下，用人单位收集和处理个人信息更为频繁，且运用的方式、手段更为隐蔽，劳动者个人信息受到侵犯的风险增加，对劳动者个人信息的保护也将面临更大的挑战。 在2021 年央视3·15 晚会上，有关在猎聘、前程无忧、智联招聘等招聘网站上的简历被恶意出售的事件被曝光，引起社会各界的关注，同时也凸显出目前我国对劳动者个人信息保护的薄弱环节[1]。 在现实中，如何平衡用人单位基于用工管理权、知情权中的信息利用、处理与劳动者个人信息保护之间的关系，应对在劳动关系领域智能化手段的运用给劳动者个人信息保护带来的挑战，存在诸多难题。

《中华人民共和国民法典》将人格权的有关条款单独作为其中的一编，并在人格权编中专门设置了一章有针对性地对隐私权和个人信息保护的内容做出规定，并以此为依据，明确了自然人对自己的个人信息所享有的、应当受到法律保护的利益，体现了对自然人人格尊严和人格自由的尊重。 但民法属于私法，规制的是平等的双方主体，而劳动关系又具有从属性特征，因此仅靠民法来调整劳动者的个人信息保护问题难免存在局限性。 《中华人民共和国个人信息保护法》的出台，为维护公民的个人信息权益提供了充足的法律基础，但并未针对劳动者这一特殊群体的个人信息保护问题做出特别规定。 而在我国现行的劳动立法中，并没有就劳动者个人信息保护问题做出规定，对劳动者个人信息的保护处于缺失状态。 劳动者作为自然人，不能因为劳动关系的存在而导致其人格尊严和人格自由遭受侵害[2]。劳动者的个人信息权益应该得到充分的保障，对劳动者个人信息进行保护具有正当性基础。 因此，为了更好地保护劳动者的隐私和个人信息，应对劳动者的个人信息保护问题做进一步的探究，并在此基础上，完善关于劳动者个人信息保护方面所适用的具体规则，以实现用人单位的知情权、用工管理权与劳动者的个人信息权益保护之间的平衡。

二、 劳动者个人信息保护的特殊性

(一)资强劳弱的劳动关系下劳动者的个人信息权益易受侵害

为了维护用人单位的用工管理权，满足管理与经营的需求，用人单位需要对劳动者的个人资料进行收集和处理，在用工管理的过程中往往伴随着收集、处理大量个人信息的工作。 在实践中，用人单位往往会利用这一点对劳动者的个人信息进行过度收集和处理。 一方面，这种信息收集、处理行为大多在劳动者不知情的情况下进行，信息的收集、处理范围超出必要限度，而劳动者的个人信息对其自身而言具有重要的价值，无形中导致劳动者的个人信息权益遭受侵害。 另一方面，由于劳资双方在地位、经济实力等方面的不平等，即使用人单位事先向劳动者提出需要收集、处理其有关信息的要求，劳动者也有可能意识到其个人信息权益遭受侵害的风险，但是为了保住工作机会或者害怕遭受被解雇、被降薪，劳动者往往会默许用人单位的行为，不敢做出反抗，实则劳动者没有太多选择的机会。

(二)数字化时代对劳动者个人信息的侵犯风险增加

在数字化时代，用人单位获取劳动者个人信息的方法、手段多样，通过信息搜索技术或监控手段往往能够获得更多劳动者不愿透露或是没有提供给用人单位的个人信息。 而近年来，我国因用人单位对劳动者实施监控手段而引发的劳资纠纷案件逐渐增多，不少劳动者以自身隐私被侵犯为由拒绝接受用人单位实施的监控管理手段，在被用人单位解除劳动关系后，法院在类案判决中更多地呈现出对用人单位监控行为的支持，劳动者提出的赔偿金诉请往往得不到法院的支持。 例如，在一起司法案例中，融某公司在员工修某所使用的办公电脑上安装了一款超级眼电脑监控软件，并下载、保存了相关的QQ 和微信聊天记录。 修某发现后，认为公司的做法侵犯了其隐私权，双方产生纠纷，后诉至法院。 法院认为公司的行为是出于自身的管理，其目的是正当的，并没有窥探员工个人隐私的主观故意，并不属于违法行为，不构成对员工修某隐私权的侵犯①参见(2019)鲁 06 民终 7145 号.。 虽然用人单位具有用工管理权，但当其所实施的监控行为对劳动者人格尊严、自由、隐私等权利造成侵害时，基于劳动立法倾斜保护劳动者的理念，用人单位的监控行为应当受到严格限制。

三、 完善我国劳动者个人信息保护的建议

(一)实现劳动者个人信息保护的劳动基准化

在劳动关系领域，对劳动者的个人信息进行保护具有特殊性，现有法律框架下难以为劳动者的个人信息提供有效的保护。 目前我国在劳动法方面尚未出台相关的法律法规来保护劳动者的个人信息，并未针对劳动者的个人信息保护做出明确规定。 鉴于劳动者个人信息保护的特殊性，有学者认为，我国有必要加强劳动者个人信息保护立法，但在立法路径的选择上，可以考虑在个人信息保护法中增加劳动者个人信息保护的一般条款，通过制定专门的劳动者个人信息保护条例做具体规定[3]。 然而，2021年8 月20 日颁布的《中华人民共和国个人信息保护法》于2021 年11 月1 日实施，很难在短时间内对《中华人民共和国个人信息保护法》进行修订从而实现进一步的立法完善。 而且，劳动者属于特殊群体，劳资双方在地位、力量上存在实质的不平等，对劳动者的个人信息进行保护这一问题本身就具有特殊性。 因此，不应在针对一般主体予以保护的《中华人民共和国个人信息保护法》中增设劳动者个人信息保护的条款。 鉴于劳动关系的特殊性，为贯彻对劳动者予以倾斜保护的立法理念，可以考虑引入劳动法路径对劳动者个人信息进行保护，从而实现对劳动者个人信息的有效保护。 当前，劳动基准法已被纳入十三届全国人大常委会立法规划，可以考虑在劳动基准法中对劳动者的个人信息保护问题进行调整，在其中就劳动者个人信息保护所适用的特殊规则做专门规定[4]。 劳动基准法是对劳动者权益进行保护的最低标准，实现劳动者个人信息保护的劳动基准化，既符合我国的成文法背景，又具备立法契机，有助于保障劳动者的人格尊严不受侵犯，同时也是对劳动者其他权益的保障。

(二)劳动者个人信息的处理应遵循比例原则

基于劳动者个人信息保护引发的劳资冲突，其背后的主要原因是劳动者个人信息权益与用人单位知情权、用工管理权行使中的信息利用之间产生的冲突。 用人单位在收集、处理劳动者个人信息时，应当遵循比例原则，以强调劳资双方利益的平衡。

以用人单位对劳动者实施监控手段为例，需要符合以下规则:第一，用人单位对劳动者个人资料的收集、处理，应当是出于对劳动者工作表现的监督、对单位财产的保护等正当的目的；第二，用人单位在收集和处理劳动者个人信息时，应采取适当、合理的方法和手段，即所采用的方法、手段能够将对劳动者权益带来的风险降到最低，比如不得进行秘密监控、不得持续监控等；第三，进行利益衡量，具体来说，就是通过比较雇主的合法权益与雇员的个人信息权益，在雇主的正当合法利益大于雇员的个人信息权益的情况下，雇主可以对雇员的个人信息进行收集、处理。

(三)明确用人单位信息收集、处理行为的合法性基础

1. 知情同意原则的限制适用

《中华人民共和国个人信息保护法》第十三条明确指出，在获得个人同意的情况下，或是符合为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需等情形，个人信息处理者可处理个人信息，即符合上述任一条件，用人单位的信息处理行为具有合法性，在多数情况下用人单位的信息收集、处理行为无须事先征求劳动者的同意才能做出。 但是，因为劳动关系具有继续性和从属性等特征，劳动者知情同意的真实性、自愿性有待考究，所以用人单位不能一概以劳动者的同意为基础对其个人信息进行收集、处理。 《中华人民共和国个人信息保护法》将个人信息进行了分类处理，在如何处理敏感信息方面做了不同的规定，其中第二十八条至第三十二条是关于敏感信息处理规则的条款。 在处理敏感信息时，第二十八条则明确了处理行为的合法性基础，即应具有特定的目的和充分的必要性。 由于个人信息和敏感信息是一般与特殊的关系，敏感信息的收集、处理能否适用于第十三条第一款第二项关于“订立、履行合同所必需”的规定，根据《中华人民共和国个人信息保护法》的条款，该问题没有得到明确的回应。 因此，在符合特定目的和充分必要性的基础上，在符合订立、履行劳动合同所必需的范围内，用人单位可以收集、处理劳动者的敏感信息。 考虑到劳动法倾斜保护劳动者的立法理念以及劳动者个人信息保护的必要性，在收集、处理诸如医疗健康信息、婚育状况、犯罪信息等有关劳动者的敏感信息时，应当事先征求劳动者的同意。 并且为保障劳动者的知情权，用人单位在处理劳动者的敏感信息前应当征得劳动者的“书面同意”，确保劳动者能够知情、自愿、明确地做出同意的意思表示，以避免劳动者的合法权益遭受损害。

2. 通过民主程序制定“个人信息保护政策”

虽然在用人单位收集劳动者的非敏感信息时可以不用征求劳动者的同意，但是劳动者的知情权应予以保障。 从《中华人民共和国个人信息保护法》的立法条文来看，与劳动关系直接相关的是第十三条第一款第二项，该条款规定了用人单位处理劳动者个人信息的合法性事由，明确在满足实施人力资源所必需的条件下，用人单位可以依据所制定的劳动规章制度作为替代劳动者同意的合法性事由。 但由于我国企业规章制度的决策机制适用的是单决制，即“在充分听取意见，经民主程序后，由用人单位确定”[5]，是否通过民主程序制定并不会对企业规章制度的效力产生实质性影响。 然而，在民主程序仅具程序性意义时，企业规章制度的内容最终还是由用人单位决定，其内容难以体现劳动者对用人单位信息处理行为同意与否的集体合意[6]。 因此，在制定有关劳动者个人信息处理规则的规章制度时，应将民主程序视为企业规章制度的有效要件，以达到劳资共决的目的。 通过民主程序，利用企业内部的规章制度制定“劳动者个人信息保护政策”。有关劳动者个人信息的收集、处理规则，要按照民主程序，由用人单位起草并提交全体职工或职工代表大会，经过讨论后用人单位与工会或职工代表进行平等协商，最终确定了个人信息处理的相关规则后，用人单位应当予以公示，并告知劳动者。

(四)发挥行政规制的作用

因为劳动者的个人信息具有特殊的保护性质，所以，必须充分发挥行政规制的作用，以保障劳动者的个人信息权益，可以考虑设置专门的个人信息行政监管机构，负责对用人单位的信息收集、处理行为进行监管，并及时对侵犯劳动者个人信息的用人单位采取行政措施，给予行政处罚。 一方面，应当加强事前监管，定期对用人单位的信息收集、处理行为进行监管，加强抽查监督，从而预防用人单位对劳动者个人信息权益的侵害，以避免在侵害发生后对劳动者的人格尊严、人身财产权利造成较大侵害；另一方面，应当加大行政处罚力度，对用人单位违法收集、处理劳动者个人信息行为的，应当通过更严格的行政处罚，及时使用人单位的违法行为得到惩处。

四、 结语

劳动者的个人信息具有强烈的人格属性，关系到劳动者的人格尊严、自由和人身财产权利，对劳动者个人信息进行保护有助于保障劳动者工作中的各种权益。 由于劳动关系具有从属性特征，用人单位基于知情权、用工管理权的行使在收集、处理劳动者个人信息时往往会与劳动者个人信息权益保护产生冲突，劳动者面对用人单位违法收集、处理其个人信息的行为往往缺乏选择的机会和能力，其个人信息及其他权益容易受到侵害，同时数字化时代给保护劳动者的个人信息带来了极大的挑战。 在劳动者个人信息保护的问题上存在特殊性，应完善相应的适用规则，实现信息利用与信息保护的平衡，在知情权、用工管理权等用人单位利益保护与劳动者个人信息权益保护之间达到必要的平衡[7]。 本文就劳动者个人信息保护问题做了进一步的探讨，今后有待相关法律法规的制定和完善，为劳动者个人信息保护提供更为细致的适用规则，实现对劳动者个人信息的有效保护。