金杜律師事務(wù)所案例著員工個人信息處理的合規(guī)邊界汪楚天司法實(shí)踐中，由于《民法典》與《個人信息保護(hù)法》對“個人信息”與"隱聯(lián)公司在2020年度報告中使用了劉某手機(jī)號碼，2021年度報告(2022年3月公示)中登記的企業(yè)聯(lián)系電話仍為劉某手機(jī)號碼。劉某稱因某公司法定代表2法院認(rèn)為：1)劉某在職期間，考慮到公司關(guān)聯(lián)關(guān)系、任職期間劉某工作涉及某公司的部分業(yè)務(wù)，以及劉某對于某公司2020年度報告中使用其手機(jī)號碼未提出異議，可以認(rèn)為在劉某在某公司關(guān)聯(lián)公司任職期間，某公司使用劉某手機(jī)號碼取得了其同意。2)劉某離職后，公司的使用行為未獲劉某同意；且不屬于法律規(guī)定其他無需取得同意的情形；亦不符合正當(dāng)性和必要性原則(未告知劉某不符合正當(dāng)性原則、考慮年報公示目的使用離職后員工信息不符合必要性原則),屬于無權(quán)使用個人信息。最終判令公司刪除信息并書面道歉，但對于員工提出的精神與名譽(yù)損失賠償，因未能提供有效證據(jù)證明損害后果的嚴(yán)重性，未予支持。2.情景二：考勤休假管理在北京某公司與謝某勞動爭議一案4中，謝某因抑郁癥連續(xù)休病假并向公司提交了診斷證明書。公司要求其補(bǔ)充提交病歷、心理治療憑證、心理治療材料等，否則視為曠工。后公司以謝某未補(bǔ)充提交相關(guān)材料視為曠工等為由解除勞動合同，員工提起勞動仲裁要求公司支付違法解除賠償金等。法院認(rèn)為，員工提交的診斷證明書能夠反映其存在患病狀態(tài)及相關(guān)就診事實(shí)；員工患病細(xì)節(jié)屬于《民法典》中規(guī)定的個人隱私，用人單位要求提供材料應(yīng)以必要為限，不應(yīng)過分求全，以免侵犯個人隱私，侵害員工權(quán)益。最終，兩審法院均認(rèn)定公司以謝某曠工為由解除勞動合同系違法解除。3.情景三：員工履職監(jiān)控在天津某公司與韓某隱私權(quán)糾紛一案5中，公司將韓某調(diào)至小會議室單獨(dú)辦公，并在未通知韓某的情況下，在會議室窗戶上方安裝攝像頭。韓某以被告侵犯其隱私權(quán)、個人信息保護(hù)權(quán)為由訴至法院，請求判令被告公開賠禮道歉，刪除視頻及底檔，并賠償原告維權(quán)合理開支及精神損害撫慰金等。法院認(rèn)為，公司此行為已超出正常人事管理的必要限度，損害了員工的隱私權(quán)?？紤]到被告安裝攝像頭的目的，并結(jié)合攝像監(jiān)控區(qū)域位于辦公區(qū)且所錄視頻未廣泛傳播等事實(shí)，判決公司以張貼書面公告的方式向原告賠禮道歉。4.情景四：公示公告出具在廣州某公司與陸某隱私權(quán)糾紛一案6中，員工向公司寄送《被迫離職通知書》,公司隨后在微信群聊中發(fā)送《關(guān)于陸某擅自脫崗的通報》,通報中記錄事情經(jīng)過部分包含陸某身份證號碼、家庭住址及陸某入職時提供的家人手機(jī)號碼。陸某主張公司侵犯其隱私權(quán)、生活安寧權(quán)，要求公開道歉并賠償精神損害撫慰金4,000元。法院認(rèn)為，在未經(jīng)同意且未作任何遮蔽處理的情況下，公司公開含有員工個人私密信息的函件，已超出公司工作需要的合理范疇，不具有合法性、正當(dāng)性、必要性，侵犯了陸某的隱私權(quán)。公司應(yīng)承擔(dān)相應(yīng)的侵權(quán)責(zé)任，判令公司在微信群內(nèi)向陸某公開賠禮道歉，但未支持精神損害撫慰金。(2021)京03民終106號5天津高院與市文明辦聯(lián)合發(fā)布2023年度弘揚(yáng)社會主義核心價值觀典型案例之十6(2021)粵01民終26259號(2024)京04民終1658號5.情景五：離職數(shù)據(jù)刪除在北京某公司與閔某網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛一案中，閔某在職期間使用的手機(jī)由其自行購買并由公司報銷大部分款項。2023年3月13日，閔某向公司發(fā)送離職通知，后公司與閔某就離職事宜進(jìn)行溝通，雙方就勞動合同終止無糾紛。閔某主張，2023年3月13日，公司在未告知也未經(jīng)其允許的情況下，由集團(tuán)公司協(xié)助、基于手機(jī)上安裝的插件遠(yuǎn)程操作刪除了閔某儲存在手機(jī)中的聊天記錄、視頻、照片等個人信息(包含其過世祖父的影像信息),侵犯其個人信息權(quán)益。要求公司賠償精神損害撫慰金5,000,000元；在國家級媒體登報致歉；并承擔(dān)律師費(fèi)50,000元、翻譯費(fèi)1,440元。一審北京互聯(lián)網(wǎng)法院認(rèn)為，閔某未提交證據(jù)直接證明涉案手機(jī)中確實(shí)存有其個人信息。即便考慮信息已被刪除閔某難以舉證、推定涉案手機(jī)中存有其個人信息，考慮到1)案涉手機(jī)應(yīng)定性為工作設(shè)備，公司安裝插件并無不妥；2)公司在人力資源管理過程中制定了關(guān)于工作數(shù)據(jù)的管理制度、并未超越實(shí)施的人力資源管理必要性；3)閔某知悉手機(jī)安裝插件但未對數(shù)據(jù)自行妥善保管，對個人信息滅失存在明顯過錯，一審法院認(rèn)定公司行為不構(gòu)成侵權(quán)，駁回閔某全部訴訟請求。二審北京市四中院則改變了對于公司數(shù)據(jù)刪除行為的定性，認(rèn)為1)在公司未禁止員工利用公司自有設(shè)備同時處理工作事務(wù)和私人事務(wù)的情況下，對移動設(shè)備進(jìn)行刪除處理勢必導(dǎo)致閔某的個人信息丟失；2)針對數(shù)據(jù)刪除行為是否符合《個人信息保護(hù)法》中“實(shí)施人力資源管理所必需”,公司《移動設(shè)備安全政策》規(guī)定，“聘用/雇傭終止時，公司可以收回自有設(shè)備；如果設(shè)備丟失或被盜，或操作系統(tǒng)和應(yīng)用程序安全收到危害，公司可以進(jìn)行設(shè)備清除?！北景肝从|發(fā)規(guī)定的可清除設(shè)備信息的情形，公司也未按規(guī)定收回設(shè)備。因此，公司直接遠(yuǎn)程刪除閔某個人信息的行為違反了其內(nèi)部政策，也超出了“實(shí)施人力資源管理所必需”的范圍；3)閔某對損害發(fā)生具有一定的過錯，可以適當(dāng)減輕侵權(quán)人的責(zé)任。最終，二審法院判令公司向閔某書面賠禮道歉并賠償合理維權(quán)開支。對于閔某提出的精神損害賠償請求，法院認(rèn)為閔某系基于其個人信息滅失而提出的精神損害賠償請求，其提出對自己精神傷害較大的是過世祖父影像資料被刪除，但此資料并不屬于閔某個人信息，因此未予支持。綜合上述案例可見，對于企業(yè)對外業(yè)務(wù)活動中使用員工個人信息的行為(如情景一),法院往往關(guān)注是否超出員工在職期間。在職期間，考慮到此類處理系基于商業(yè)目的、往往具備一定的合理性，同時考慮員工的職務(wù)屬性等因素，法院可能會放寬對于“員工同意”的認(rèn)定標(biāo)準(zhǔn)；但對于延續(xù)至員工離職后的個人信息處理行為，在缺乏員工同意的情況下，較難主張具備其他合理性、正當(dāng)性、必要性基礎(chǔ)。在審查用人單位基于用工管理目的處理員工個人信息的行為(如情景二至情景五)時，是否履行告知義務(wù)并取得員工同意仍是法院的基礎(chǔ)審查要素。然而相關(guān)案例中往往缺乏員工清晰直接的同意，此時法院傾向于結(jié)合具體場景，進(jìn)一步審查處理行為主觀目的是否正當(dāng)、手段是否合理、范圍是否超出實(shí)現(xiàn)管理目的所必需的限度。針對《個人信息保護(hù)法》規(guī)定的“實(shí)施人力資源管理所必須”這一同意豁免情形的認(rèn)定，立法層面尚未形成明確界定標(biāo)準(zhǔn)，實(shí)踐中法院不僅關(guān)注用人單位是否具備相應(yīng)的制度依據(jù)，亦會審查制度內(nèi)容本身的合理性，以及用人單位是否按照制度進(jìn)行處理。侵權(quán)責(zé)任的認(rèn)定與承擔(dān)方面，法院普遍支持判令用人單位停止侵害、在適當(dāng)范圍內(nèi)賠禮道歉，并可能支持賠償合理維權(quán)開支。但針對精神損害賠償，因舉證難度較高，司法實(shí)踐中獲得支持的難度相對較大。基于上述司法實(shí)踐情況，用人單位處理員工個人信息時，建議重點(diǎn)關(guān)注以下環(huán)節(jié)：·系統(tǒng)梳理各類員工個人信息處理場景，制定相應(yīng)的操作流程規(guī)范；·在信息收集階段遵守必要性原則，將收集內(nèi)容限于實(shí)現(xiàn)特定目的所需的范圍。如員工拒絕提供可能被界定為非必要范疇內(nèi)的信息，審慎評估直接解除勞動合同等處理方式的風(fēng)險；·在信息處理過程中，通過個人信息同意函等形式盡可能履行告知義務(wù)并取得員工明確同意，對于敏感或重要處理行為考慮在具體操作前再次確認(rèn)；建立健全作為個人信息處理依據(jù)的內(nèi)部規(guī)章制度；如涉及員工信息公示公開，在可行范圍內(nèi)限定公開范圍并考慮采取匿名化、去標(biāo)識化處理；·建立員工離職后的個人信息處理機(jī)制，及時終止不再與用工目的相關(guān)的信息處理活動。也需兼顧其他法律的存儲要求及刪除數(shù)據(jù)可能對員工產(chǎn)生