关于企业员工个人信息的管理

《个保法》是专门针对个人信息保护领域的立法，覆盖了个人信息处理活动的各个环节，为个人信息处理者设定了一系列的义务。但《个保法》的适用或解释尚不完善，一些条款在落地的时候还存在争议之处，很多企业在依法履行员工个人信息保护义务的过程中也会因为缺乏明确的指引而陷入迷茫。

本所就实践中较为常见的员工个人信息管理问题进行探讨，以期帮助企业更合规、有效地履行个人信息保护义务。

一、如何理解为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需？

《个保法》第十三条规定：符合下列情形之一的，个人信息处理者方可处理个人信息：（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

因此，当满足如下条件时，个人信息处理者本应当基于同意进行个人信息处理活动的可以不取得个人主体的同意：

1.为订立、履行个人作为一方当事人的合同所必需。《劳动合同法》第八条规定：用人单位有权了解劳工与劳动合同直接相关的基本情况。一般而言，员工的姓名、住址、身份证号码（或其他有效身份证件号码）、健康状况、知识技能、工作经历等信息是与劳动合同直接相关的基本个人信息

2.按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。除了劳动合同的订立和履行，企业在日常进行人力资源管理过程中还会处理员工的其他个人信息，包括薪酬信息、病假证明、紧急联系人信息等等。。 二、单独同意是否可以适用豁免同意的条款？

如上所述，当满足《个保法》第十三条第一款第二项至第七项[3]规定的情形时，基于同意的个人信息处理活动可以豁免同意的取得。

在目前尚欠官方解释或执法实践的情况下，我们认为企业宜选择更为谨慎的解读，即在法定需要获得个人主体单独同意的情形下要求员工签署单独的同意书（同时也建议企业在规章制度中予以规定）。毕竟，单独同意所涉及的均是对个人利益影响较为重大的事项，对这些个人信息处理活动本身的必要性要求就应当高于仅基于同意的处理活动。企业也需要灵活应对，不应死板地遵循必须取得个人单独同意的要求。

三、向第三方提供员工个人信息需要注意什么？

在实践中，企业很难避免将其合法收集的员工个人信息提供给第三方进行处理。《个保法》对于将个人信息提供给企业以外的第三方做了区分：委托处理以及向其他个人信息处理者提供个人信息。在企业管理实践中，企业需要根据其与第三方之间的关系以及个人信息处理活动的性质先确定会落入前述哪种情形下，再履行相应的义务。

企业在处理员工个人信息时当然可以适用上述条款以提高管理效率，但在实操过程中仍然需要注意该等适用的边界，以免落入违法处理员工个人信息的范畴。