近日，網曝有員工在上班時間使用公司電腦向招聘網站投遞簡歷，被公司網絡監控系統詳實記錄，這位員工因此在領導約談后被裁員。

這則消息引發社會對員工個人隱私權的廣泛關注。一時間，“你都不知道自己的‘褲子’被老板扒了” “技術幫助企業作惡”等批評性言論充滿網絡。

那么，企業使用特定軟件系統監控員工的上網行為是否侵犯了員工的個人隱私權？企業如何管理才算是合規？特定行業的員工上網監控管理又如何做？《互聯網法律評論》今日邀請法律專家予以分析。

Q1 企業使用上網行為管理系統搜集員工的上網行為，是否侵犯了員工的個人信息隱私權？

有2個判斷標準：

是否明確“告知”并取得員工“同意”

是否超出“必要”的范圍

高潔律師：

首先，要判斷該問題，需要判斷的是員工的全部上網行為是否構成員工的個人信息？根據《民法典》第1034條的規定，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，如自然人的姓名、出生日期、生物識別信息、住址、行蹤信息等，具有可識別性。

員工通過使用搜索引擎形成的檢索關鍵詞記錄，反映了其網絡活動軌跡及上網偏好，具有可識別性，因此也屬于員工的個人信息。

那么，企業使用上網行為管理系統搜集員工的該類個人信息是否構成侵權？根據《民法典》1035條的規定，處理個人信息的，應當遵循合法、正當、必要原則。同時《個人信息保護法》（以下簡稱《個保法》）第13條針對員工個人信息的采集作出了規定，即應當取得權利人的同意或者存在“按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”等法定情形，因此，要判斷企業該行為是否構成侵權，需要看企業在實施該行為之前是否取得了員工的知情同意，或者通過制定勞動規章制度或簽訂集體合同的方式確定了實施人力資源管理所必需處理的員工個人信息的范圍。

如企業是因為實施人力資源管理所必需，根據《個保法》第6條的規定，收集個人信息，應當限于實現處理目的的最小范圍。對此，可參照《網絡數據安全管理條例（征求意見稿）》中對“最小范圍”的解釋，即基于個人同意處理個人信息的，限于實現處理目的最短周期、最低頻次，采取對個人權益影響最小的方式。因此，即使企業是為了實施人力資源管理所必需，對員工履行工作職責進行管理監督，也應當限于最小范圍、最短周期和最低頻次，在合法合理的限度內行使權利。

總而言之，如企業在實施該行為之前未取得員工的知情同意，也未通過制定勞動規章制度或簽訂集體合同的方式確定實施人力資源管理所必需處理的員工個人信息的范圍，或即使是為了實施人力資源管理所必需，但沒有在最小范圍內實施該行為，則均有可能涉嫌侵害員工的個人信息，從而承擔相應的法律責任。

白小莉律師：

企業監控員工使用公司電腦的上網行為可能存在侵害員工隱私權和個人信息權益的風險。潛在風險從兩個方面體現：

1. 監控員工的上網行為，如果事先做過明確告知且范圍僅限于公司管理的必要范圍內，被認定為侵犯隱私權的可能性較??；但如果未規范操作，或者超越必要范圍刺探員工隱私的，則可能涉嫌侵害員工的隱私權。

如果在公司規章制度中，明確規定了不得在工作期間瀏覽招聘網站，存在上述行為一經發現公司將予以處理，且公司向員工明確告知了為規范管理的需要已安裝上網行為監控系統，那么員工在該期間的行為將被認為不具有私密性，故此種情況下公司的行為會被認為具有一定的合理性，而不涉及隱私權侵權的問題。

例如在（2020）粵民申8843號“員工打傘上班”案件中，法院就認為公司安裝攝像頭的行為不構成對員工隱私權的侵犯，“公司安裝監控攝像頭屬普遍公司正常行使用人單位監管權，其行為具有一定的合理性”。

但公司應當注意不得監控員工在工作時間之外的行為，也不得借監管之名侵入員工的個人生活或隱私領域，否則有可能構成侵權。

2. 監測員工的上網行為，可能涉及員工的個人信息權益保護問題，應當遵循個人信息保護相關法律法規規定的要求進行操作。

根據《個保法》規定，如果是涉及到對個人信息的處理行為，則需要遵循知情同意原則和最小必要原則?；凇秱€保法》，企業如果能夠證明是出于履行雙方勞動合同和實現人力資源管理所必需的行為，則無須取得員工同意即可處理個人信息。

根據《信息安全技術個人信息安全規范》相關規定，個人的網頁瀏覽記錄可能構成個人敏感信息。針對敏感個人信息的處理，不僅需要取得個人的單獨同意，還需要有特定的目的和充分的必要性，并采取嚴格保護措施。因此，如果企業要監控員工的上網行為，需要按照《個保法》及其他相關規定的要求規范操作。

Q2 企業如何做才合規？

白小莉律師：

企業使用管理系統監控員工的上網行為，大多是出于公司管理、業務保護等目的，但由于上網行為涉及員工個人信息甚至可能是敏感個人信息，企業如果確有必要對員工上網行為進行監控的，也需要注意以下幾點：

1. 企業應當盡可能通過簽訂協議等方式取得員工的個人同意，獲取員工的書面認可（可以是紙質方式，也可以是電子方式），以符合《個保法》知情同意原則；如果因特殊原因無法獲得員工書面同意的，則至少應當保證員工對此是知情的；

2. 企業對通過上述監控系統所收集到的個人信息的使用，應當僅限于公司管理的必要，在合理范圍內使用所獲取的個人信息，不得濫用員工個人信息；

3. 針對監控系統所收集的員工上網信息，應當嚴格限定可以接觸到該信息的人員范圍，并進行嚴格管理，避免無關人員接觸到該信息，對敏感個人信息應當加強保護，謹防信息泄漏；

4. 應當制定完善的數據管理制度，規范個人信息的提供、使用和公開，非有法定事由，不得對外提供員工個人信息，更不得公開員工個人信息。

高潔律師：

總體而言，如企業想使用管理系統監控員工的上網行為，應事先取得員工的知情同意，或通過制定勞動規章制度、簽訂集體合同的方式確定實施人力資源管理所必需處理的員工個人信息的范圍，在最小范圍、最短周期和最低頻次內采集相關信息。對此，建議企業在確定所處理的個人信息范圍時采取謹慎的態度，把“充分必要性”作為劃定處理范圍的考量因素。

除此之外，需要提醒企業注意的是，《個保法》未列舉全部敏感個人信息，企業可參考《信息安全技術個人信息安全規范》（GB/T 35273-2020 ）表B.1對個人敏感信息的舉例，如員工個人信息落入敏感個人信息的保護范圍，企業處理該類信息時務必采取嚴格的保護措施，如采用加密、訪問認證、去標識化等。

Q3 特定行業的監控，企業的合規管理應該如何處置？

白小莉律師：

1. 特殊行業的員工管控合法性及必要性

首先，這類行業一般存在像證監會等機構發布的行業人員管理規范，如《證券業從業人員執業行為準則》《證券投資顧問業務暫行規定》《證券公司合規管理實施指引》等；其次，證券、基金、期貨行業性質特殊，內幕交易防范任務嚴肅，尤其在互聯網時代，信息流通性大，企業確有必要管控員工上網行為。

因此，特殊行業對員工的監控符合《個保法》第十三條第（二）項規定：“為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”，具有一定合法性基礎。

所以，對于證券、基金、期貨等特殊行業，一直以來都存在對從業人員通話和上網行為的監管，包括員工手機號碼報備、社交軟件排查等；不僅如此，對企業監管不力者，主管部門還會做出相應的行政處罰。

2. 特殊行業仍需要注意“必要范圍”及保護措施

但需注意，盡管這類行業對員工的管控行為存在相關規定作為依據，為行業和從業人員所須知，企業的監控行為也應處在必要范圍之內，嚴守管控和處理的最小、必要原則。

例如《證券公司合規管理實施指引》規定，證券公司應當運用信息技術手段對工作人員職務通訊行為、工作人員的證券投資行為等進行監測，那么對于沒有被納入規定范圍內，且與員工職務、行業信息無關的個人行為，企業應當不予監測，尊重員工隱私；對于納入規定范圍內的員工行為信息，遵守管控目的的界限，不作他用。

此外，證券等行業對員工的監測導致其獲取了大量員工個人信息，從微觀層面來看，企業應當妥善保管相關信息數據，對敏感信息加強保護，謹防泄漏；從宏觀層面來看，如果員工個人信息數量巨大，構成一定規模的個人信息數據，或者個人信息與行業信息相關，構成重要數據，企業需按照相關的數據分類分級原則，進行嚴格評估和保護。

Q4 還有哪些涉及員工個人信息保護的法規需要企業高度關注？

高潔律師：

除了已發布的涉及到員工個人信息保護的法律法規、司法解釋、法院判決外，與個人信息保護相關的指南以及規范性文件征求意見稿，如《信息安全技術 個人信息安全規范》（GB/T 35273-2020 ）、《網絡數據安全管理條例（征求意見稿）》等也需要引起企業的高度關注，其可作為企業員工個人信息保護合規的參考依據。

除此之外，如涉及到中國企業“走出去”，也應當時刻關注當地與員工個人信息相關的數據安全法律法規，如歐盟的GDPR（General Data Protection Regulation）、Opinion 2/2017 on Data Processing at Work、英國的DPA（Data Protection Act）等。同時，也建議企業時刻關注所處行業的特殊法律法規規定及相關指南，如《汽車數據安全管理若干規定（試行）》《信息安全技術健康醫療數據安全指南》等，從而完善自身的合規體系。

關鍵詞： 個人信息