大陸民法典隱私權及個人信息保護對企業用工的影響
前言
中國大陸即將於2021年1月1日起正式實施的《中華人民共和國民法典》（“民法典”），將人格權單獨成篇。人格權篇下設六章，其中第六章專章為民事主體的“隱私權和個人信息保護”，明確規定了隱私權與個人信息保護的基本定義、保護原則以及基本權利義務框架。企業在用工過程中，企業人資部門要特別關注本篇章，避免企業現行的規章制度違反該等新法規。我們現就民法典人格權篇中“隱私權及個人信息保護”之相關規定對企業用工產生的影響簡要說明如下。
1. 關於隱私及個人信息的定義
民法典第1032條及第1034條明確規定，隱私是自然人的私人生活安寧和不願為他人知曉的私密空間、私密活動、私密信息。個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。同時民法典第1033條以列舉的方式明確侵犯隱私權的行為。
上述條款一方面將隱私與個人信息進行區分，即相較於個人信息，“隱私”更強調個人生活的安寧，其所涵蓋的客體包括了私密的信息、活動和空間。另一方面，上述條款又將兩者進行了銜接，即個人信息包含私密信息，私密信息適用有關隱私權的規定，沒有規定的，適用有關個人信息保護的規定。惟，實務中如何區分個人信息中的私密信息和一般個人信息（指非私密信息），民法典並未進一步規定，有待大陸主管機關出臺相關規定或司法解釋。然而，從民法典立法者的本意出發，民法典專章設立“隱私權和個人信息保護”，必將對企業的用工合規提出更高的要求。
2. 關於個人信息的處理原則及民事責任等規定
民法典第1035條及第1038條明確規定，處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理，並符合下列條件：（一）征得該自然人或者其監護人同意；（二）公開處理信息的規則；（三）明示處理信息的目的、方式和範圍；以及（四）不違反法律、行政法規的規定和雙方的約定。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等信息。處理者還應當採取技術措施和其他必要措施，確保其收集、存儲的個人信息安全，防止信息洩露、篡改、丟失。
民法典第1036條又規定，處理個人信息，有下列情形之一的，行為人不承擔民事責任：（一）在該自然人或者其監護人同意的範圍內合理實施的行為；（二）合理處理該自然人自行公開的或者其他已經合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；（三）為維護公共利益或者該自然人合法權益，合理實施的其他行為。以及民法典第999條規定，僅限於為公共利益而實施新聞報道、輿論監督等行為，可以合理使用民事主體的姓名、名稱、肖像、個人信息等。
前述處理原則及責任免除條款均強調應以對個人信息的“合理”使用為前提，但“合理”使用標準尚無相關規定解釋。且民法典規定企業應採取技術措施和其他必要措施確保員工個人信息安全。可以預見，該等條款對於企業就員工個人信息處理合規實踐將會產生影響，有待實踐的進一步檢驗。民法典並沒有就個人信息受到侵害時的民事責任及救濟措施予以特別規定，當隱私權和個人信息保護的權利受到侵害時，應按照人格權侵權所適用的法律法規向侵害人主張承擔民事責任。
3. 關於隱私權和個人信息的保護與企業用工管理權的衝突及應對措施
當企業與員工建立勞動關係時，企業依法享有對員工在工作時間、工作場所等進行管理的權利（即“用工管理權”），包括如大陸《勞動合同法》第八條規定“用人單位有權瞭解勞動者與勞動合同直接相關的基本情況，勞動者應當如實說明”的權利。雖然企業享有用工管理權，但企業因此而獲得的員工個人信息仍不得超越“與勞動合同直接相關的基本情況”的界限，且企業處理員工個人信息亦受民法典關於個人信息處理的相關規定限制。
實務中，企業在員工入職招聘、在職及離職管理等各環節中，需要不斷的收集、存儲並使用員工的個人信息，如員工姓名、出生日期、身份證號碼、畢業院校、工作履歷、電話號碼、電子郵件、住址，甚至包括家庭成員信息、緊急連絡人、健康狀況、病歷本等隱私信息。甚至有的企業因考勤需要還需錄入員工指紋、人臉識別等生物識別信息。前述信息不僅屬員工個人信息，部分信息涉及員工隱私信息。因此，為儘量避免企業用工過程中侵犯員工隱私權及個人信息並履行保護員工個人信息安全的義務，我們建議企業可採取如下應對措施：
(1) 在招聘入職等環節，應避免收集員工信息超越“與勞動合同直接相關的基本情況”的範疇。比如，避免以填寫《面試登記表》《員工信息登記表》或其他方式收集無關或過度收集員工個人信息、刺探員工隱私。
(2) 規範企業的員工信息檔案管理制度。建議企業人資部門建立一人一檔的員工檔案管理制度，並由專人專櫃妥善保管；禁止任何人員非法披露或非法使用企業採集的員工個人信息。
(3) 完善企業員工手冊或規章制度中關於隱私權及個人信息保護及懲罰的相關規定。同時輔以員工培訓方式，促使員工瞭解該等規章制度，提高員工對其隱私權及個人信息保護的意識。
此外，企業應在規章制度或勞動合同中約定，員工同意企業在各個環節獲得的個人信息進行合理處理；如涉及處理員工隱私的，可酌情採取其他變通的方式。企業如安裝攝像頭的，僅限公共區域；員工因病休假的，根據員工要求企業應對其病情進行保密等。
4. 關於隱私權與公序良俗的衝突及應對措施
民法典第8條規定，民事主體從事民事活動，不得違反法律，不得違背公序良俗。雖然隱私權依法受到保護，然而隱私權與其他民事權利一樣，其保護要受公共利益的限制，即主張隱私權不能違背社會的公序良俗。實務中亦存在此類案例，在該案例中司法機關認為員工作為第三者介入他人婚姻，違背社會公序良俗和職業道德且造成了較大的社會影響的，可以推定用人單位的名譽和利益受到了損害，用人單位有權解除勞動合同。換而言之，員工違反公序良俗原則的行為致使大眾對企業產生負面評價的或者給企業造成惡劣影響的，如企業規章制度對此也有相關規定，企業據此是可以解除與員工的勞動合同或給予該員工相應處罰。
因此，建議企業規章制度中約定關於“公序良俗”相關的條款，類似如“員工應當具有良好的道德品行，包括但不限於不得違反法律法規、治安管理、職業道德……勞動紀律、誠信或公序良俗等。如有違反，均視為嚴重違紀。因嚴重違紀，員工不享有任何經濟補償，企業有權也無需提前書面通知解除勞動關係……”的條款。
5. 結語
綜上所述，民法典在法律層面明確自然人的隱私權與個人信息應得到保護，並且為此構建了基本規範框架，但僅僅停留在原則性的規定，仍待大陸主管部門出臺相關配套的規定和細則。企業則應隨時保持對相關動態的關注，不斷提高員工個人信息保護的意識以及合規應對能力。
（作者徐雪舫是理律法律事務所資深顧問；李小明是上海律同衡律師事務所合夥律師。本文不代表理律法律事務所及上海律同衡律師事務所意見。）