作者|沈丽锦

责编|别彦豪

排版|小新

一、用人单位可以收集和处理劳动者个人信息的范围

结合《劳动合同法》第八条、《劳动合同法实施条例》第八条、《个人信息保护法》第十三条的相关规定，用人单位可以要求劳动者提供的个人信息，主要有以下方面：

（一）订立、履行劳动合同以及为进行劳动用工管理所必要的信息，诸如：姓名、性别、身份号码、户籍地址及现居住地址、联系方式、相关资格资历证书、工作经历、健康状况等。《劳动合同法》第八条规定：“用人单位招用劳动者时，应当如实告知劳动者工作内容、工作条件、工作地点、职业危害、安全生产状况、劳动报酬，以及劳动者要求了解的其他情况；用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明。”由于劳动者有说明义务，因此，用人单位有权了解劳动者与劳动合同直接相关的基本情况。

（二）为用人单位履行法定义务所必需的信息，比如社保卡的基本信息、缴存住房公积金所必要的信息等。《劳动合同法实施条例》第八条规定：“劳动合同法第七条规定的职工名册，应当包括劳动者姓名、性别、公民身份号码、户籍地址及现住址、联系方式、用工形式、用工起始时间、劳动合同期限等内容。”该条规定了职工名册所需要的相关信息，此处用人单位有权对涉及到劳动者个人信息进行收集。

（三）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。比如，《个人信息保护法》第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

（四）其他经劳动者个人同意的相关信息。

用人单位在向劳动者收集上述相关信息时，应遵循目的明确和范围最小化的原则，在维护劳动者知情权的同时，尽到安全保障义务，避免过度收集非必需的劳动者个人信息。

二、用人单位对收集到的劳动者个人信息负有哪些法定义务

（一）不需取得个人同意的情况

《个人信息保护法》第十三条第二款规定：“依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”故，根据《个人信息保护法》第十三条第一款规定的第二项至第七项规定的情形，用人单位作为个人信息处理者方，不需取得个人同意时，可处理个人信息。

（二）需取得个人同意的情况

从《个人信息保护法》立法目的及相关法律法规的规定可看出，用人单位在收集到不需取得个人同意的信息后，若存在转移个人信息、向其他信息处理者提供个人信息、基于维护公共安全所需而采集个人信息的，仍然需要取得个人同意，具体分述如下：

1.转移个人信息的情况

《个人信息保护法》第二十二条规定：“个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。”从上述条文可知，若用人单位因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。

2.向其他信息处理者提供个人信息

《个人信息保护法》第二十三条规定：“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。” 从上述条文可知，若用人单位进行背景调查时向第三方提供劳动者的个人信息时，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。

3.基于维护公共安全所需而采集个人信息

《个人信息保护法》第二十六条规定：“在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。”实务中，用人单位主要是通过指纹打卡、人脸识别、行踪轨迹定位等方式进行考勤监督。这些信息属于敏感个人信息。用人单位处理劳动者敏感个人信息时，应当遵循《个人信息保护法》中规定的敏感个人信息的处理规则，主要涉及以下三个条文：

《个人信息保护法》第二十八条规定：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。”

《个人信息保护法》第二十九条规定：“处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。”　

《个人信息保护法》第三十条规定：“个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。”

此处需特别注意的是，针对劳动者敏感个人信息的处理规则应单独列明、一事一同意，不可一揽子打包处理。

三、用人单位对劳动者进行背景调查的要点

用人单位在引进新员工时，尤其是对特殊岗位上的员工通常会进行背景调查，主要路径有两个：一是自行调查；二是委托第三方进行背景调查。笔者从上述两个路径的角度分述用人单位该如何把握背景调查的要点：

（一）自行调查

在自行调查的路径中，用人单位需注意的要点如下：

1. 由实施人力资源管理部门进行调查；

2.制定《背景调查流程制度》。该流程的主要内容可涉及被调查人员的岗位范围、调查的内容、所需调查的时限等；

3.调查报告的起草、定稿以及后期的保存、保密工作。

（二）委托第三方进行背景调查

在委托第三方进行背景调查的路径中，用人单位需注意的要点如下：

1.谨慎选择第三方。

《个人信息保护法》第二十一条第二款规定，受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。因此，用人单位在委托第三方进行背景调查时，对第三方的履约能力以及履约方式等均负有谨慎注意义务。

2.与受托方签订合法有效的合同，并依法进行背景调查。

委托第三方进行背景调查时，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。

3.原则上不得转委托。

《个人信息保护法》第二十一条第三款规定，未经个人信息处理者同意，受托人不得转委托他人处理个人信息。若用人单位已选定的受托人需要转委托时，应经用人单位同意。

四、结语

在用工管理中，用人单位不仅涉及劳动者的个人信息收集和处理，而且还涉及个人信息的保护。因此，用人单位在实际用工管理中，需要依法依规收集、处理、保护劳动者的个人信息，尽量规避不必要的侵权风险，避开潜在的法律责任。