文/孫琳 漆思瑤

企業(yè)在招聘過(guò)程中，需要對(duì)應(yīng)聘者的能力、性格特點(diǎn)等進(jìn)行評(píng)估，以確定其能力、個(gè)人特質(zhì)是否與崗位的要求相匹配。因此，收集應(yīng)聘者與崗位相關(guān)的個(gè)人信息是招聘中必不可少的環(huán)節(jié)之一。但企業(yè)如果收集了合理范圍之外的應(yīng)聘者個(gè)人信息，或?qū)κ占膽?yīng)聘者個(gè)人信息沒(méi)有采取足夠的保護(hù)措施，就可能引起與應(yīng)聘者之間的糾紛，甚至需要承擔(dān)法律責(zé)任。所以，在招聘活動(dòng)中，企業(yè)需要了解哪些是可為的，哪些是不可為的，并建立相應(yīng)的個(gè)人信息保護(hù)操作流程以確保招聘中個(gè)人信息收集、處理、保存各環(huán)節(jié)的合規(guī)性，防范相關(guān)風(fēng)險(xiǎn)。

常見(jiàn)風(fēng)險(xiǎn)點(diǎn)

企業(yè)在招聘活動(dòng)中收集應(yīng)聘者的個(gè)人信息并加以保存，是企業(yè)和應(yīng)聘者雙方都習(xí)以為常的。但在我國(guó)法律法規(guī)對(duì)企業(yè)個(gè)人信息保護(hù)的要求日益嚴(yán)格的情況下，一些企業(yè)固有的操作流程很可能觸及個(gè)人信息保護(hù)的“紅線”。在企業(yè)招聘活動(dòng)中，以下幾個(gè)方面是風(fēng)險(xiǎn)的高發(fā)區(qū)：

●超出合理范圍要求應(yīng)聘者披露個(gè)人信息

很多用人單位在招聘時(shí)會(huì)請(qǐng)應(yīng)聘者填寫(xiě)婚姻狀況、生育狀況、家庭成員等信息。但《勞動(dòng)合同法》第八條規(guī)定，用人單位有權(quán)了解勞動(dòng)者與勞動(dòng)合同直接相關(guān)的基本情況。這意味著，與勞動(dòng)合同不直接相關(guān)的勞動(dòng)者個(gè)人信息，用人單位一般無(wú)權(quán)了解。尤其是前文提及的個(gè)人敏感信息，用人單位不宜在招聘過(guò)程中收集，否則可能會(huì)侵犯勞動(dòng)者的個(gè)人隱私，或者構(gòu)成就業(yè)歧視。

以婚育信息為例，根據(jù)2019 年2 月28 日人社部、教育部等九部門(mén)聯(lián)合發(fā)布的《關(guān)于進(jìn)一步規(guī)范招聘行為促進(jìn)婦女就業(yè)的通知》，收集婦女的婚育信息將構(gòu)成對(duì)婦女的就業(yè)歧視，是被禁止的。該《通知》明確規(guī)定，“依法禁止招聘環(huán)節(jié)中的就業(yè)性別歧視”“不得詢問(wèn)婦女婚育情況”“不得將妊娠測(cè)試作為入職體檢項(xiàng)目，不得將限制生育作為錄用條件”。

●未充分告知及取得應(yīng)聘者的同意

很多企業(yè)在應(yīng)聘者填寫(xiě)個(gè)人信息之前，并未充分告知收集應(yīng)聘者信息的目的、用途等，也不會(huì)取得應(yīng)聘者的明示同意。在這種情況下，即使應(yīng)聘者是自愿填寫(xiě)個(gè)人信息的，也可能事后主張因?yàn)橛萌藛挝晃闯浞指嬷占畔⒌哪康?、用途，故無(wú)權(quán)處理、保存相關(guān)信息，給企業(yè)的招聘工作帶來(lái)不必要的麻煩。

另外，大部分企業(yè)在錄用時(shí)會(huì)對(duì)應(yīng)聘者進(jìn)行背景調(diào)查，以了解其工作能力、行業(yè)評(píng)價(jià)等。然而，一些企業(yè)為防止應(yīng)聘者提前與前單位聯(lián)系準(zhǔn)備，會(huì)在未告知應(yīng)聘者的情況下就直接開(kāi)展或委托第三方進(jìn)行背景調(diào)查。但是，由于背景調(diào)查的內(nèi)容可能涉及應(yīng)聘者的工資收入等敏感信息，存在應(yīng)聘者主張企業(yè)侵犯其個(gè)人隱私的風(fēng)險(xiǎn)。

●未對(duì)應(yīng)聘者的個(gè)人信息采取保密、安全保護(hù)措施

企業(yè)收集應(yīng)聘者的個(gè)人信息后，一般會(huì)存檔或放入企業(yè)人才庫(kù)備用。但一些企業(yè)收集應(yīng)聘者個(gè)人信息后，僅僅是簡(jiǎn)單地存放在電腦中，或企業(yè)內(nèi)部服務(wù)器上，未采取保密、安全保護(hù)措施。

實(shí)際上，企業(yè)如果通過(guò)電子郵件、內(nèi)部服務(wù)器等公司所有或管理的網(wǎng)絡(luò)收集應(yīng)聘者的個(gè)人信息，則需要履行《個(gè)人信息保護(hù)法》第十七條以及《網(wǎng)絡(luò)安全法》第四十二條規(guī)定的相關(guān)義務(wù)，包括對(duì)收集的應(yīng)聘者個(gè)人信息嚴(yán)格保密；采取技術(shù)和其他必要措施確保收集的應(yīng)聘者個(gè)人信息安全；不得泄露、篡改、毀損其收集的個(gè)人信息；以及未經(jīng)應(yīng)聘者同意，不得向他人提供應(yīng)聘者的個(gè)人信息等。

●將應(yīng)聘者的個(gè)人信息傳輸至境外

一些跨國(guó)企業(yè)的招聘工作需要位于中國(guó)境外的集團(tuán)總部或其他分支機(jī)構(gòu)參與，故需要將應(yīng)聘者的個(gè)人信息傳輸至境外，甚至在境外儲(chǔ)存?；谌肆Y源管理需要，公司所有員工的信息都存在國(guó)外總部的管理系統(tǒng)中，或者國(guó)外總部可以隨時(shí)查看公司存儲(chǔ)在境內(nèi)的員工信息，這時(shí)公司要遵守信息跨境提供的規(guī)定嗎？

首先，《個(gè)人信息保護(hù)法》第三章有關(guān)跨境提供的規(guī)定是針對(duì)所有信息出境行為的，也就是說(shuō)，只要個(gè)人信息被傳輸?shù)搅巳魏挝挥谖覈?guó)境外的服務(wù)器上，都需要遵守跨境提供的規(guī)定。而公司將員工的信息存在國(guó)外總部的管理系統(tǒng)中，或者向國(guó)外總部提供員工信息，都已經(jīng)符合跨境提供個(gè)人信息的情形。因此，該情形下，公司需要按照《個(gè)人信息保護(hù)法》第三十八條、第三十九條、第五十五條的規(guī)定，滿足跨境提供個(gè)人信息的前提條件，并履行告知義務(wù)，取得個(gè)人的單獨(dú)同意，同時(shí)進(jìn)行個(gè)人信息保護(hù)影響評(píng)估。

其次，本情形下應(yīng)當(dāng)認(rèn)定為公司在向其他個(gè)人信息處理者提供其處理的信息。根據(jù)《個(gè)人信息保護(hù)法》第七十三條對(duì)于“個(gè)人信息處理者”的定義，在個(gè)人信息處理活動(dòng)中自主決定處理目的、處理方式的組織、個(gè)人都屬于個(gè)人信息處理者。國(guó)內(nèi)公司與國(guó)外總部雖然屬于關(guān)聯(lián)公司，但不僅在法律上屬于互相獨(dú)立的法人主體，也都在獨(dú)立地運(yùn)營(yíng)和管理，能獨(dú)立決定處理個(gè)人信息的目的和方式。因此，公司將其員工信息存到國(guó)外總部的系統(tǒng)中，或者以其他方式使得國(guó)外總部接收到員工信息的，都應(yīng)當(dāng)認(rèn)定為向其他個(gè)人信息處理者提供個(gè)人信息，需要符合《個(gè)人信息保護(hù)法》第二十三條的規(guī)定（因跨境提供已經(jīng)告知過(guò)的內(nèi)容或已經(jīng)取得的同意，無(wú)須重復(fù)履行）。

企業(yè)招聘過(guò)程中的個(gè)人信息保護(hù)措施

如果要防范上述風(fēng)險(xiǎn)，企業(yè)可以采取哪些措施呢？首先，需要先明確個(gè)人信息保護(hù)的內(nèi)容，即哪些信息屬于個(gè)人信息。

●個(gè)人信息及個(gè)人敏感信息的范疇

個(gè)人信息。根據(jù)《個(gè)人信息保護(hù)法》第四條的規(guī)定，個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。所以，應(yīng)聘者的姓名、出生年月、聯(lián)系方式、身份證號(hào)、學(xué)歷信息、工作經(jīng)歷信息，由于可以直接或者與其他信息共同用于識(shí)別出特定個(gè)人，均屬于應(yīng)聘者的個(gè)人信息。

敏感個(gè)人信息。根據(jù)《個(gè)人信息保護(hù)法》第二十八條的規(guī)定，敏感個(gè)人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個(gè)人信息。

在應(yīng)聘者的個(gè)人信息中，有一部分屬于個(gè)人敏感信息，例如應(yīng)聘者的個(gè)人財(cái)產(chǎn)信息、個(gè)人就醫(yī)記錄、身份證、性取向、婚史、宗教信仰等均屬于敏感個(gè)人信息。

企業(yè)收集應(yīng)聘者的個(gè)人敏感信息，不僅可能會(huì)侵犯應(yīng)聘者的隱私，還可能構(gòu)成對(duì)應(yīng)聘者的歧視，引起訴訟糾紛。根據(jù)《就業(yè)促進(jìn)法》第三條的規(guī)定，“勞動(dòng)者依法享有平等就業(yè)和自主擇業(yè)的權(quán)利。勞動(dòng)者就業(yè)，不因民族、種族、性別、宗教信仰等不同而受歧視”，同時(shí)，根據(jù)該法第六十二條的規(guī)定，“實(shí)施就業(yè)歧視的，勞動(dòng)者可以向人民法院提起訴訟”。

●確立招聘中收集、處理個(gè)人信息的基本原則

明確了招聘者的哪些信息屬于個(gè)人信息，企業(yè)還需要以現(xiàn)行法律法規(guī)為依據(jù)，確立招聘中收集、處理、保存?zhèn)€人信息的基本原則，用以對(duì)招聘的全過(guò)程進(jìn)行指導(dǎo)。

我國(guó)《民法典》第一百一十一條對(duì)個(gè)人信息的保護(hù)做出了總括性的規(guī)定：“自然人的個(gè)人信息受法律保護(hù)。任何組織或者個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買(mǎi)賣(mài)、提供或者公開(kāi)他人個(gè)人信息。”同時(shí)，有關(guān)個(gè)人信息保護(hù)的單行法也逐漸完善，如《個(gè)人信息保護(hù)法》中規(guī)定：“處理個(gè)人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠(chéng)信原則，不得通過(guò)誤導(dǎo)、欺詐、脅迫等方式處理個(gè)人信息。”基于我國(guó)現(xiàn)行的有關(guān)個(gè)人信息保護(hù)的各項(xiàng)法律法規(guī)，筆者認(rèn)為要做到個(gè)人信息合規(guī)，應(yīng)遵循合法、正當(dāng)、必要原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。

為了保證企業(yè)招聘工作中收集、處理、保存?zhèn)€人信息的合規(guī)性，企業(yè)同樣需要將前述個(gè)人信息保護(hù)的基本原則應(yīng)用到招聘工作中，并注意以下幾個(gè)方面：

其一，在獲取應(yīng)聘者的個(gè)人信息前，明示收集、使用信息的目的、方式、范圍和規(guī)則，并取得應(yīng)聘者的同意。

其二，僅在合法、正當(dāng)、必要的范圍內(nèi)收集應(yīng)聘者的信息。即收集與應(yīng)聘的崗位相關(guān)、開(kāi)展招聘活動(dòng)相關(guān)的信息。

其三，妥善保存收集的應(yīng)聘者的個(gè)人信息，并采取足夠的保密以及安全保護(hù)措施。

最后，遵循法律法規(guī)對(duì)于個(gè)人信息收集、使用的規(guī)定。

●招聘各環(huán)節(jié)的應(yīng)聘者個(gè)人信息保護(hù)措施

要落實(shí)以上個(gè)人信息保護(hù)的基本原則，企業(yè)需要根據(jù)自身實(shí)際情況，制定標(biāo)準(zhǔn)化的招聘工作流程、操作規(guī)范等，并對(duì)招聘人員進(jìn)行培訓(xùn)，以保證制定的流程、規(guī)范等得到切實(shí)執(zhí)行。對(duì)此，筆者有以下建議供企業(yè)參考：

其一，收集與錄用相關(guān)的信息。在收集應(yīng)聘者的個(gè)人信息時(shí)，僅收集與勞動(dòng)合同直接相關(guān)的應(yīng)聘者個(gè)人信息，包括與工作崗位相關(guān)的知識(shí)技能、職業(yè)經(jīng)歷或工作經(jīng)歷等，避免收集諸如婚姻、妊娠狀況等法律禁止收集的個(gè)人敏感信息。如果需要收集應(yīng)聘者的家庭成員信息，可以選擇在員工入職后請(qǐng)員工在填寫(xiě)個(gè)人信息表時(shí)進(jìn)行填報(bào)，但仍需要具有合理目的，例如進(jìn)行利益沖突信息申報(bào)、緊急聯(lián)絡(luò)等。

其二，征得應(yīng)聘者的明示同意。企業(yè)無(wú)論通過(guò)何種方式收集應(yīng)聘者的個(gè)人信息，均應(yīng)事先書(shū)面告知應(yīng)聘者收集、使用相關(guān)信息的目的、方式和范圍，并取得應(yīng)聘者的明示同意。例如在官網(wǎng)的招聘欄目中或應(yīng)聘登記表中設(shè)計(jì)專(zhuān)門(mén)的個(gè)人信息收集告知頁(yè)面，應(yīng)聘者須閱讀告知內(nèi)容，并確認(rèn)同意。

其三，采取保密、安全措施。在儲(chǔ)存應(yīng)聘者的個(gè)人信息時(shí)，要采取相應(yīng)的保密和安全措施，如對(duì)保存?zhèn)€人信息的系統(tǒng)設(shè)置訪問(wèn)權(quán)限等。對(duì)于應(yīng)聘者填寫(xiě)的紙質(zhì)應(yīng)聘申請(qǐng)表格，應(yīng)當(dāng)妥善保存，并禁止與招聘無(wú)關(guān)的人士隨意查看或獲取前述記錄。

其四，注意境外傳輸?shù)南拗菩砸?guī)定。應(yīng)聘者的個(gè)人信息資料應(yīng)盡量?jī)?chǔ)存在國(guó)內(nèi)。如果境外總部或分支機(jī)構(gòu)需要參與招聘決策或分享應(yīng)聘者的個(gè)人信息，建議事先獲得應(yīng)聘者的同意。另外，企業(yè)還應(yīng)密切關(guān)注數(shù)據(jù)出境的有關(guān)法律法規(guī)及國(guó)家標(biāo)準(zhǔn)，并及時(shí)調(diào)整相關(guān)招聘流程及有關(guān)文本以符合法律規(guī)定。

其五，做好對(duì)第三方的管理。通過(guò)第三方機(jī)構(gòu)，如獵頭、招聘網(wǎng)站等進(jìn)行招聘，或通過(guò)第三方進(jìn)行背景調(diào)查的，需要在與該第三方的協(xié)議中就該第三方對(duì)應(yīng)聘者個(gè)人信息的保護(hù)措施做出約定，其義務(wù)應(yīng)當(dāng)不低于用人單位自身所承擔(dān)的義務(wù)。