从案例看员工个人信息处理的合规边界

金杜律师事务所案例着员工个人信息处理的合规边界汪楚天司法实践中，由于《民法典》与《个人信息保护法》对“个人信息”与"隐联公司在2020年度报告中使用了刘某手机号码，2021年度报告(2022年3月公示)中登记的企业联系电话仍为刘某手机号码。刘某称因某公司法定代表2法院认为：1)刘某在职期间，考虑到公司关联关系、任职期间刘某工作涉及某公司的部分业务，以及刘某对于某公司2020年度报告中使用其手机号码未提出异议，可以认为在刘某在某公司关联公司任职期间，某公司使用刘某手机号码取得了其同意。2)刘某离职后，公司的使用行为未获刘某同意；且不属于法律规定其他无需取得同意的情形；亦不符合正当性和必要性原则(未告知刘某不符合正当性原则、考虑年报公示目的使用离职后员工信息不符合必要性原则),属于无权使用个人信息。最终判令公司删除信息并书面道歉，但对于员工提出的精神与名誉损失赔偿，因未能提供有效证据证明损害后果的严重性，未予支持。2.情景二：考勤休假管理在北京某公司与谢某劳动争议一案4中，谢某因抑郁症连续休病假并向公司提交了诊断证明书。公司要求其补充提交病历、心理治疗凭证、心理治疗材料等，否则视为旷工。后公司以谢某未补充提交相关材料视为旷工等为由解除劳动合同，员工提起劳动仲裁要求公司支付违法解除赔偿金等。法院认为，员工提交的诊断证明书能够反映其存在患病状态及相关就诊事实；员工患病细节属于《民法典》中规定的个人隐私，用人单位要求提供材料应以必要为限，不应过分求全，以免侵犯个人隐私，侵害员工权益。最终，两审法院均认定公司以谢某旷工为由解除劳动合同系违法解除。3.情景三：员工履职监控在天津某公司与韩某隐私权纠纷一案5中，公司将韩某调至小会议室单独办公，并在未通知韩某的情况下，在会议室窗户上方安装摄像头。韩某以被告侵犯其隐私权、个人信息保护权为由诉至法院，请求判令被告公开赔礼道歉，删除视频及底档，并赔偿原告维权合理开支及精神损害抚慰金等。法院认为，公司此行为已超出正常人事管理的必要限度，损害了员工的隐私权。考虑到被告安装摄像头的目的，并结合摄像监控区域位于办公区且所录视频未广泛传播等事实，判决公司以张贴书面公告的方式向原告赔礼道歉。4.情景四：公示公告出具在广州某公司与陆某隐私权纠纷一案6中，员工向公司寄送《被迫离职通知书》,公司随后在微信群聊中发送《关于陆某擅自脱岗的通报》,通报中记录事情经过部分包含陆某身份证号码、家庭住址及陆某入职时提供的家人手机号码。陆某主张公司侵犯其隐私权、生活安宁权，要求公开道歉并赔偿精神损害抚慰金4,000元。法院认为，在未经同意且未作任何遮蔽处理的情况下，公司公开含有员工个人私密信息的函件，已超出公司工作需要的合理范畴，不具有合法性、正当性、必要性，侵犯了陆某的隐私权。公司应承担相应的侵权责任，判令公司在微信群内向陆某公开赔礼道歉，但未支持精神损害抚慰金。(2021)京03民终106号5天津高院与市文明办联合发布2023年度弘扬社会主义核心价值观典型案例之十6(2021)粤01民终26259号(2024)京04民终1658号5.情景五：离职数据删除在北京某公司与闵某网络侵权责任纠纷一案中，闵某在职期间使用的手机由其自行购买并由公司报销大部分款项。2023年3月13日，闵某向公司发送离职通知，后公司与闵某就离职事宜进行沟通，双方就劳动合同终止无纠纷。闵某主张，2023年3月13日，公司在未告知也未经其允许的情况下，由集团公司协助、基于手机上安装的插件远程操作删除了闵某储存在手机中的聊天记录、视频、照片等个人信息(包含其过世祖父的影像信息),侵犯其个人信息权益。要求公司赔偿精神损害抚慰金5,000,000元；在国家级媒体登报致歉；并承担律师费50,000元、翻译费1,440元。一审北京互联网法院认为，闵某未提交证据直接证明涉案手机中确实存有其个人信息。即便考虑信息已被删除闵某难以举证、推定涉案手机中存有其个人信息，考虑到1)案涉手机应定性为工作设备，公司安装插件并无不妥；2)公司在人力资源管理过程中制定了关于工作数据的管理制度、并未超越实施的人力资源管理必要性；3)闵某知悉手机安装插件但未对数据自行妥善保管，对个人信息灭失存在明显过错，一审法院认定公司行为不构成侵权，驳回闵某全部诉讼请求。二审北京市四中院则改变了对于公司数据删除行为的定性，认为1)在公司未禁止员工利用公司自有设备同时处理工作事务和私人事务的情况下，对移动设备进行删除处理势必导致闵某的个人信息丢失；2)针对数据删除行为是否符合《个人信息保护法》中“实施人力资源管理所必需”,公司《移动设备安全政策》规定，“聘用/雇佣终止时，公司可以收回自有设备；如果设备丢失或被盗，或操作系统和应用程序安全收到危害，公司可以进行设备清除。”本案未触发规定的可清除设备信息的情形，公司也未按规定收回设备。因此，公司直接远程删除闵某个人信息的行为违反了其内部政策，也超出了“实施人力资源管理所必需”的范围；3)闵某对损害发生具有一定的过错，可以适当减轻侵权人的责任。最终，二审法院判令公司向闵某书面赔礼道歉并赔偿合理维权开支。对于闵某提出的精神损害赔偿请求，法院认为闵某系基于其个人信息灭失而提出的精神损害赔偿请求，其提出对自己精神伤害较大的是过世祖父影像资料被删除，但此资料并不属于闵某个人信息，因此未予支持。综合上述案例可见，对于企业对外业务活动中使用员工个人信息的行为(如情景一),法院往往关注是否超出员工在职期间。在职期间，考虑到此类处理系基于商业目的、往往具备一定的合理性，同时考虑员工的职务属性等因素，法院可能会放宽对于“员工同意”的认定标准；但对于延续至员工离职后的个人信息处理行为，在缺乏员工同意的情况下，较难主张具备其他合理性、正当性、必要性基础。在审查用人单位基于用工管理目的处理员工个人信息的行为(如情景二至情景五)时，是否履行告知义务并取得员工同意仍是法院的基础审查要素。然而相关案例中往往缺乏员工清晰直接的同意，此时法院倾向于结合具体场景，进一步审查处理行为主观目的是否正当、手段是否合理、范围是否超出实现管理目的所必需的限度。针对《个人信息保护法》规定的“实施人力资源管理所必须”这一同意豁免情形的认定，立法层面尚未形成明确界定标准，实践中法院不仅关注用人单位是否具备相应的制度依据，亦会审查制度内容本身的合理性，以及用人单位是否按照制度进行处理。侵权责任的认定与承担方面，法院普遍支持判令用人单位停止侵害、在适当范围内赔礼道歉，并可能支持赔偿合理维权开支。但针对精神损害赔偿，因举证难度较高，司法实践中获得支持的难度相对较大。基于上述司法实践情况，用人单位处理员工个人信息时，建议重点关注以下环节：·系统梳理各类员工个人信息处理场景，制定相应的操作流程规范；·在信息收集阶段遵守必要性原则，将收集内容限于实现特定目的所需的范围。如员工拒绝提供可能被界定为非必要范畴内的信息，审慎评估直接解除劳动合同等处理方式的风险；·在信息处理过程中，通过个人信息同意函等形式尽可能履行告知义务并取得员工明确同意，对于敏感或重要处理行为考虑在具体操作前再次确认；建立健全作为个人信息处理依据的内部规章制度；如涉及员工信息公示公开，在可行范围内限定公开范围并考虑采取匿名化、去标识化处理；·建立员工离职后的个人信息处理机制，及时终止不再与用工目的相关的信息处理活动。也需兼顾其他法律的存储要求及删除数据可能对员工产生