2021年8月20日，全国人大第十三届常务委员会第三十次会议表决通过《中华人民共和国个人信息保护法》（以下简称“《个保法》”），并决定于2021年11月1日起实施。

　　笔者从《民法典》颁布以来，曾多次在线下讲座中与大家探讨了企业在员工背景调查、考勤管理、病假管理、违纪调查、内部审计中，个人信息保护与企业劳动用工自主权的冲突问题。这一年多来，相关司法案件层出不穷，各地法院价值取向各异，笔者置身其中也在不断地变化着自己的观点。

　　笔者认为，《个保法》颁布之后，企业在员工个人信息保护方面的风险防范将愈加突出，笔者试结合司法实践及本人从事人力资源合规的一点点经验，从企业用工的角度，初略梳理一遍《个保法》，供大家参考。

　　看下来似乎还是不甚明了，为此，笔者向本所信息安全合规大牛吴沩旻律师叨教，于是有了以下参考文件——《信息安全技术个人信息安全规范》GB/T 35273—2020。

　　△来源：《信息安全技术个人信息安全规范》GB/T 35273—2020）

　　《个保法》把个人信息分成了“一般个人信息”和“个人敏感信息”，是的，这两种信息的处理途径、相关责任肯定不一样，这个后面会详细说。

　　《个保法》在第一节“一般规定”的第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。

　　笔者一开始看到这条的理解是，只要企业为用工管理需要，在企业规章制度或劳动合同中规定了个人信息处理规则的，就无需取得员工个人同意了。

　　《个保法》在23条、25条、26条、29条、39条规定了5种需要个人单独同意的情形，分别是：

　　也就是说，这5中情形下，无论企业在《入职登记表》《劳动合同》《规章制度》有没有设置相应个人信息处理的条款，均无权处理员工的个人信息，而应当员工单独同意，也就是单独签订《员工个人信息使用同意书》。

　　《个保法》第5条到第9条规定了员工个人信息的处理原则，分别是：合法、正当、必要、诚信、最小范围使用、公开透明、准确完整、安全措施，大家从字面意义理解即可。

　　前面说到，《个保法》把个人信息分成了“一般个人信息”和“个人敏感信息”，处理途径有不同的要求，具体如下：

　　《个保法》第17条已经有明确规定，企业在处理员工个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向员工告知下列事项：

　　个人敏感信息是《个保法》重点保护的对象，根据《个保法》第28条、29条、30条规定，企业处理“个人敏感信息”的关键要点如下：

　　由此可见，在《个保法》生效后，以前那种泛泛的《员工个人信息使用同意书》已经跟不上法律要求了，企业应尽快进行个人信息分级、细化告知书及同意书。

　　（1）一旦违反：责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；

　　（2）拒不改正：并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；

　　（3）情节严重：由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

　　（1）举证责任：不能证明自己没有过错的，应当承担损害赔偿等侵权责任。（自证清白）

　　（2）赔偿责任：按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

　　（3）公益诉讼：违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

　　此处笔者需要提醒的是，这除了是企业合规途径外，还是企业的法定义务，而前述提到了“自证清白”的举证责任，也就是说，企业除了履行上述义务外，还得注意保留相关履行义务的证据，否则将可能承担赔偿责任。

　　笔者认为，《个保法》实施在即，企业应先对自身的员工个人信息保护情况进行自查，梳理自入职、在职、离职全流程的个人信息保护风险节点，学习新法以建立企业自身的个人信息保护意识。如有必要，可委托专业人士重新修订如《员工个人信息使用同意书》《劳动合同》《文书表单》《员工手册》及与第三方的个人信息处理协议等文件，建立适合于企业自身的个人信息保护合规体系，避免企业由于对规则的不了解、错误理解或疏忽，而导致承担不必要的法律上、行政上和经济上的责任。返回搜狐，查看更多