数字时代劳动者个人信息保护研究.pdf

第3 7 卷第2 期2024年3 月浙江万里学院学报Journal of Zhejiang Wanli UniversityVo1.37 No.2March 2024数字时代劳动者个人信息保护研究周子涵（上海海事大学，上海2 0 1 3 0 6）摘要：数字时代，互联网信息技术高速发展，个人信息保护愈发得到关注。民法典“人格权编”专设“隐私权和个人信息保护”一章以及个人信息保护法的出台，都在立法层面体现了对个人信息保护的重视。然而，与一般领域公民的个人信息保护不同，职场属于个人信息保护的特殊领域，劳动者个人信息保护受到劳动关系的从属性、劳动合同的继续性和用人单位收集劳动者个人信息的广泛性等影响，存在着法律保障不够完善，用人单位过度收集信息、知情同意规则难以适用、侵权责任难以追究等问题。为解决这些问题，应当引人劳动法保护路径、完善信息收集和管理制度、加强劳动行政部门的监管等，进一步保障劳动者的个人信息安全。关键词：民法典；个人信息保护法；数字时代；劳动者；个人信息保护中图分类号：D923文献标识码：A文章编号：1 6 7 1-2 2 5 0（2 0 2 4)0 2-0 0 3 5-0 6数字时代,大数据、人工智能、算法等新兴技术飞速发展，在一定程度上改变了人类的生活方式和思想观念。然而，科学技术在给人们带来诸多便利的同时，也引发了个人信息保护危机。在强大的数字技术面前，公民的个人信息不可避免地被不合理地收集、加工及使用。在职场领域，由于劳动关系的特殊性，劳资双方地位悬殊，劳动者的个人信息安全问题尤为值得关注。尽管目前中华人民共和国民法典（以下简称民法典)和中华人民共和国个人信息保护法（以下简称个人信息保护法)均为公民的个人信息保护提供了法律依据，但是在适用效果上并不十分理想，用人单位侵犯劳动者个人信息的案件频发，劳动者的个人信息安全得不到有效保障。鉴于此，文章拟从现阶段劳动者个人信息保护领域面临的法律保障不够完善、用人单位过度收集信息、知情同意规则难以适用、侵权责任难以追究等问题着手，界定劳动者个人信息的概念，结合劳动关系的特殊性，探究劳动者个人信息保护之对策，维护劳动者的人格尊严与人格自由。1劳动者个人信息的界定在个人信息的界定层面，职场领域劳动者的个人信息与一般领域公民的个人信息界定方式一致。民法典第1 0 3 4 条第2 款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息。”值得注意的是，我国民法典采取了隐私与个人信息的“二元化”保护模式，个人信息与隐私分属于不同的范畴,在人格权编对两者分别作出规定。事实上，与隐私相比，个人信息所涉及的范围更加广泛。根据民法典第1 0 3 2 条第2 款的规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。该条文中的私密信息，属于个人信息的范畴，适用了有关隐私权的规定。然而，个人信息所指向的信息，除了私密信息外，还有其他非私密的信息。这部分信息适用民法典中关于个人信息保护的规定。2 0 2 0 年1 2 月，最高人民法院对民事案件案由规定作出了最新修订，将第二级案由“一、人格权纠纷”项下的“6.隐私权纠纷”修改为“8.收稿日期：2 0 2 3-1 0-2 2作者简介：周子涵（2 0 0 0 一），女，山东临沂人，上海海事大学法学院硕士研究生，研究方向：民商法、劳动法。352024 年3 月隐私权、个人信息保护纠纷 叫，这次修改使得个人信息保护纠纷可以作为民事诉讼中的一项独立案由。2劳动者个人信息保护的特殊性由于劳动关系的特殊性,职场成为了个人信息保护的特殊领域。职场中的劳动者个人信息也呈现出其独有的特征，现对其逐一展开分析。2.1劳动关系的从属性劳动关系的本质属性是从属性2 。从属性的判断是劳动关系认定过程中的关键3。德国主流学说认为，劳动关系和委托人与自由劳动者之间法律关系的区别在于劳动给付义务人的人身依附性程度4。当劳动者正式人职某一家用人单位之后，其人事档案和组织关系等全部转移到该单位名下，社会保险等也统一由其所在的用人单位缴纳。这种劳动关系的建立，使得劳动者成为用人单位的“打工人”,其经济收人、休息休假等全都要听从用人单位的安排，从形式上来看劳动者已经完全“归属于”该用人单位。并且，在劳动关系中,用人单位掌握着劳动者的“经济大权”,劳资双方差异悬殊,资强劳弱的现象尤其严重，劳动者不得不高度从属和依附于用人单位，使得劳动者天然的在职场领域中处于弱势地位。当劳动者的个人信息受到侵害时，其通常无法就个人信息保护享有任何议价能力，这一点与一般领域平等主体之间的个人信息保护大不相同。2.2劳动合同的继续性与一次给付就能实现目的的非继续性合同不同，劳动合同本身具有继续性的特征。即劳动合同约定的权利义务在合同存续期间持续存在，一次给付无法实现合同的目的与内容，而必须随着时间的推移，通过劳动者持续不断的给付劳务、用人单位反复给付工资才能实现5 1 5 0。继续性合同没有固定的期限，也未约定总给付的程度。在职场领域，劳动者在签订劳动合同并办理入职手续后，除非因个人职业规划等原因，往往倾向于在用人单位进行多年的工作，完成数以累计的工作任务，具有长期性和稳定性。在劳动者长达数年的工作过程中，用人单位必然会以便于企业管理等为由多次要求劳动者提供其个人信息，这些信息中很多都是与工作内容毫无关系的。面对此种情况，劳动者往往可能因碍于情面、维持生计或者迫于降薪、降职、调岗等惩罚措施而“敢怒不敢言”，并不会表达出自已的真实意思。用人单位在收集这些能够识别到特定劳动者个人的敏感信息后，究竞能否对其进行合理利用和妥善存储，不得而知。这就与日常生活中的非继续性合同有很大不同，例如，在买卖、运输、借款等非继续性合同中，一次给付之后双方就可以不再来往，当事人之间也不会存在过多的纠缠和瓜葛，而劳动合同继续性的特征使劳动者的个人信息面临着更大的被不合理收集的风险。2.3用人单位收集劳动者个人信息的广泛性在劳动关系中，用人单位凭借其天然优势地位和智能化的技术手段，能够收集到大量的劳动者个人信息。由于劳动者具有双重身份，其个人信息既包括作为普通公民的基本信息，也包括作为劳动者形成于特定职场时空的工作信息，如背景调查、薪资构成、劳动能力、职业评价、考核排名等等0。从劳动者的整个劳动生涯来看，首先，在招聘阶段，用人单位往往会要求符合招聘需求的劳动者提交个人简历、完善个人身份信息、了解其家庭状况、甚至还会询问劳动者的政治信仰、宗教信仰、性取向、个人财产状况、既往病史、是否携带乙肝病原等。在这些信息中，很多是与工作岗位毫无关系的。用人单位收集这些与工作岗位关系甚微的个人信息，自认为是在增进对劳动者的了解，事实上无非是为了满足“窥私欲”,导致劳动者在还未正式人职前被用人单位以“有色眼镜”看待。其次，在劳动者正式被录用后，用人单位会借助自动化学习算法等技术，收集劳动者在工作场所的网页浏览记录、邮件内容、下载记录等，进行分析并作出决策，这些决策可能会对劳动者的正常工作状态产生影响。具体而言,用人单位使用的算法技术就像是一个“数据黑箱”,可以在不被察觉的情况下完成对信息的处理,具有极强的隐蔽性。并且，这种算法技术的背后是人，如果输人者在输人原始数据时就掺入了个人的主观偏见和歧视，那么经过算法分析所作出的决策必然不会是公正合理的，而这种不合理最终落实在劳动者身上，例如升职失败、调岗、降薪、降职、影响评优浙江万里学院学报36周子涵：数字时代劳动者个人信息保护研究结果等。最后，在劳动者因个人职业规划等原因离开岗位后，有些用人单位会在招聘网站上对前员工的工作能力作出评价。这些评价在阐述客观事实的同时，往往伴随着一些主观色彩，例如用人单位对劳动者的偏见和歧视等，甚至会将劳动者极其敏感的个人信息公之于众。这些不客观的评价和被曝光的敏感个人信息，给劳动者的再就业增加了困难，往往会使得新的用人单位“先人为主”，给劳动者带来再次的偏见和歧视。并且，在劳动者离职后,用人单位对其已经大量掌握的劳动者的个人信息会进行何种处置，也是一个值得深思的问题。如果这些信息未能被妥善存储，一旦发生泄漏事故,将对劳动者的人格尊严和人格自由造成严重侵害。3劳动者个人信息保护的问题3.1法律保障不够完善就现有的法律条文来看，民法典的“隐私权和个人信息保护”一章和个人信息保护法对处理个人信息的方式、方法、原则等均作出了规定，这种公法与私法双重结合、相辅相成的方式，足以体现出数字时代公民个人信息保护的重要性。然而，由于民法属于私法，奉行私法自治理念，遵循“各人依其意志自主形成法律关系的原则”，7 在对权利的救济方式上更多地使用私力救济。这种救济方式，可以有效解决平等主体之间有关个人信息保护的纠纷。然而，在资强劳弱的不平等地位下，很难顾及到劳动关系的特殊性，指导性有余，但针对性不足。个人信息保护法虽然属于公法领域保护自然人的个人信息的法律依据，但是由于其具有统领性和普适性的特征,因此在保护对象上主要针对一般领域公民的个人信息，未能特别展现出对劳动者个人信息的保护。基于此,唯有在劳动法方面作出规制才可以实现对职场领域劳动者个人信息的特殊保护。但是就我国目前的劳动立法而言，中华人民共和国劳动法（以下简称劳动法)中华人民共和国劳动合同法（以下简称劳动合同法)中华人民共和国劳动争议调解仲裁法（以下简称劳动争议调解仲裁法)更多地侧重于对劳动者财产权利的保护，疏于关注劳动者的个人信息安全，缺乏关于劳动者个人信息保护和劳动者隐私保护的明文规定，未能与民法典和个人信息保护法做好有效衔接，法律保障不够完善，使得劳动者的个人信息保护缺乏直接的法律依据。3.2用人单位过度收集信息在数字时代，用人单位借助于互联网信息技术，以“实现用工管理权”“公司规章制度规定”“必须履行申请和审批程序”等为由，广泛收集劳动者各方面的个人信息，已经达到了过度收集的地步。例如，在“达科信息科技(北京)有限公司与谢涛劳动争议纠纷案 中，谢某提交了病假证明,达科公司在系统中也批准了谢某的病假申请。然而,后续达科公司却以谢某提交的病假文件缺少部分病历等为由，视谢某的行为为旷工，认为其严重违纪，并根据员工手册的规定解除与谢某的劳动关系。对此，法院认为“谢某罹患疾病的细节应属个人隐私,达科公司要求提供的病历等应以必要为限，能够反映谢某患病就诊事实即可，但不应过分求全，以免侵犯个人隐私，侵害患者权益。”由此可见，用人单位在收集劳动者个人信息时缺乏边界感，其所收集的信息显然逾越了企业正常用工管理的需要。若劳动者不能按照规定提交个人信息，那么用人单位就会依据其章程规定或职工守则等将劳动者辞退，这在很大程度上侵犯了劳动者的个人信息安全及其财产权利。3.3知情同意规则难以适用根据民法典第1 0 3 5 条第1 款第1 项和个人信息保护法第1 4 条第1 款的规定，处理个人信息应当适用知情同意规则。知情同意规则的有效利用离不开两个要件：一是知情，即同意必须建立在知情的基础上，与之相对应的是信息控制者的告知义务；二是真实自愿性，即基于信息主体自由意志而自愿做出同意的决定，唯有如此该同意才有效5 1 4 7。然而,该项立法规定在现实的职场领域中很难得以真正适用，往往流于表面形式。由于职场环境的特殊性，以及劳动关系的从属性和劳动合同天然的继续性等特征，劳动者在被收集个人信息时往往会有所顾虑，即使不情愿，也因迫于各种压力而不得不向用人单位“低头”。以劳动者的求职招聘阶段为例，在现如今巨大的就业压力下，本来就是“僧多粥少”，劳动者为了获得一份工作第2 期372024 年3 月以维持生计，常常难以顾及保护其个人信息。换言之，只要能被用人单位正式录用，劳动者十分“乐意”满足用人单位收集其个人信息的需求。劳动者正式人职后，仍然无法摆脱来自用人单位的无形压力。通常情况下，当用人单位要求劳动者上交个人信息时，即使该信息与工作岗位和工作内容毫无关系，劳动者由于害怕被解雇、调岗、降薪等惩罚措施,只能默许同意。不仅如此，在数字时代,用人单位常常会借助很多智能设备处理员工信息。这种处理方式本身具有极强的隐蔽性，再加上用人单位常常将所有要收集的信息进行“打包”，导致劳动者在还未分辨出哪些属于与工作无关的信息时就已经将信息提交，或者已被用人单位在无形中掌握，直接跳过了征得其“同意”的过程。3.4侵权责任难以追究在职场领域，当用人单位侵犯劳动者的个人信息时，由于受到劳动关系的护，往往难以将用人单位的行为认定为侵权行为并追究其侵权责任。这给劳动者的维权之路带来巨大阻碍。例如，在“百度在线网络技术(北京)有限公司与胡晓圆劳动争议纠纷案 中，百度在线公司在取证证明胡某违反竞业限制义务时，使用违法的取证方式，对胡某进行偷拍跟拍，胡某因此主张该证据的取得方式侵犯其隐私和个人信息，不能作为定案依据。对此，法院认为“虽然拍摄视频未取得胡某的同意，损害了其合法权益，但从情节上审视，尚未达到严重侵害胡某合法权益的程度，不存在违反法律禁止性规定或严重违背公序良俗的情形；且取证方式的违法性对胡某权益的损害，明显弱于忽略违法性所能保护的利益，秉承利益衡量理念，百度在线公司拍摄的视频可以作为定案的根据。”由此可见，在劳动关系中，即使用人单位在收集劳动者个人信息时存在不法行为，但是最终却通过“用工管理权”“企业自我管理”“利益衡量理念”等而得以庇佑，法院往往难以追究或者不去追究其侵权责任。但是对劳动者而言，这种未经本人意愿强制取证并曝光的行为，给其个人信息安全和今后的职场生活等都产生了潜在的不利影响。4劳动者个人信息保护的对策4.1引入劳动法保护路径针对法律保障不够完善这一问题，应当引入劳动法保护路径，将劳动者个人信息保护纳入劳动立法。具体而言，应当在劳动法中设置专门章节，对劳动者从求职、任职到离职阶段的个人信息作出全过程的保护；对用人单位收集、处理劳动者个人信息的方式、方法、范围等作出强制性规定，不仅不可以过度收集劳动者的个人信息，还必须对已收集的个人信息作出妥善保护。否则，劳动者可以以侵犯其个人信息为由对用人单位提起诉讼。在立法理念上，应当遵循倾斜保护劳动者的立法理念，矫正目前劳动关系中资强劳弱的不平等地位，实现对劳动者个人信息权益和用人单位用工管理权的统筹兼顾。既要方便企业管理，实现企业的良好发展，又要充分尊重劳动者个人意志，维护劳动者的个人信息权益。除了通过制定新的法律条文将劳动者个人信息保护纳入劳动法保护范围外，还可以对现有法律条文进行扩张解释。例如，劳动合同法第3 8 条第1 款第1 项规定：“用人单位未按照劳动合同约定提供劳动保护或者劳动条件的，劳动者可以解除劳动合同。”基于此，可以考虑将“劳动者个人信息保护”纳入该项的“劳动保护”中回,为劳动者个人信息保护提供法律依据。引人劳动法保护路径，将劳动者个人信息保护纳入劳动立法，还可以在一定程度上解决知情同意规则难以适用的问题。具体而言,在私法领域,基于私法自治原则,法律充分尊重双方当事人的意志自由,以双方当事人达成的合意作为合同得以成立的要件。民法典以表示主义为原则8 ,即不拘内心上效果意思如何，以外面表示决定其效果意思9。然而，在资强劳弱的实质不平等条件下，劳动者做出的“同意”未必是其内心的真实意思。正因如此，在劳动法中对涉及劳动者个人信息保护的问题作出明确规定，对劳动者个人信息处理划定基准线，限定劳动关系中对劳动者个人信息事宜的协商空间，可以减轻劳动者被迫同意的压力,降低不平等关系下适用自治原则对弱势一方所带来的不利影响。4.2完善信息收集和管理制度针对用人单位过度收集个人信息和知情同意规则难以适用的问题，有必要进一步完善其信息收集和浙江万里学院学报38周子涵：数字时代劳动者个人信息保护研究管理制度，具体可以从确保收集信息的合理性和实现信息分级管理两个方面展开。4.2.1确保收集信息的合理性由于劳动关系的特殊性，劳动者在作出决策时往往不能充分表达其真实意愿，职场中的知情同意规则也因此而流于表面形式，并未发挥其真正效力。因此，在劳动关系中,应当限制知情同意规则的适用，不得仅凭劳动者的同意就可以向其收集信息，而是应当以信息的合理性作为判定标准。根据个人信息保护法第1 3 条第1 款第2 项，用人单位收集信息应当符合“实施人力资源管理所必需”的规定。具体而言，用人单位只有基于合理且必要的理由才可以向劳动者收集个人信息，如果其所要收集的信息与劳动者的工作岗位毫无关系或者已经远远超过了企业正常用工管理的需要，即使用人单位取得了劳动者的同意，也应当被禁止收集该项信息，因为这种同意往往是劳动者出于无奈被迫做出的。如此一来，通过划定收集信息的合理性标准，有效解决了用人单位过度收集劳动者个人信息和职场领域中知情同意规则失灵的问题。至于该合理标准的划定方式,应当结合各种因素进行综合考量，例如用人单位所处的行业、工作岗位的性质、劳动者的个人经历、身体状况、心理素质等。总之,限制知情同意规则的适用，以信息的合理性作为用人单位收集劳动者个人信息的合法性基础，在保障用人单位正常的合法商业利益的情况下，将其对劳动者个人信息的影响降至最小。4.2.2实现信息分级管理针对用人单位过度收集劳动者个人信息这一问题，笔者认为，应当对其收集信息的范围予以限制,原则上不应当允许用人单位收集劳动者的敏感个人信息，例如生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。但是，如果基于劳动者本身的工作性质和工作行业的要求，用人单位不得不收集其敏感个人信息时，应当要求用人单位对其收集的劳动者一般个人信息和敏感个人信息实施二元化分级管理，对劳动者的敏感个人信息适用特殊的管理方式。在这一点上，我国个人信息保护法对敏感个人信息的处理作出了规定，文章认为，可以将其适用到职场领域。根据个人信息保护法第2 8 条、2 9 条、3 0 条，用人单位只有在具备特定目的、具备充分必要性、采取严格保护措施的情形下，才可以处理敏感个人信息,在处理时需要取得劳动者的单独同意甚或是书面同意,并将处理该信息的必要性及对个人权益的影响如实向劳动者告知。这样一种“特殊情形特殊对待”的二元化信息分级管理模式，在严格保障劳动者敏感个人信息安全的同时，优化了用人单位信息管理的资源配置，提升了其信息管理效率。4.3加强劳动行政部门的监管除了引人劳动法保护路径和完善信息收集管理制度外，还需要加强劳动行政部门的监管。劳动行政监管可以在侵害发生之时就介入，甚至之前就发挥警示预防等作用，执法效率也更高叫。根据个人信息保护法第6 0 条第1 款的规定，国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。基于此，应当在国家网信部门的领导下，充分发挥地方各级劳动行政部门对劳动者个人信息保护的教育和监管作用。劳动行政部门应当对用人单位进行定期审查，对不合理的信息收集行为及时予以纠正和制止，充分利用数字时代的大数据、人工智能、算法等技术，做好事前预防、事中监管、事后处理，对劳动者个人信息实施全过程的保护。与此同时，劳动行政部门应当多倾听普通劳动者的意见和建议，充分利用网络数字平台等，畅通投诉渠道，及时发现问题，尽早展开调查。根据劳动合同法第8 0 条，用人单位直接涉及劳动者切身利益的规章制度违反法律、法规规定的，由劳动行政部门责令改正。用人单位的章程规定、职工手册中往往会规定其对劳动者个人信息的要求，劳动行政部门应当借助于数字化监管平台，做好抽检工作。一旦发现用人单位所要收集的个人信息明显逾越了正常用工管理需要的,应当及时予以制止、作出警告；情节严重者,进行罚款、吊销许可证等处罚；更为严重者，建议执法机关追究刑事责任。5结语劳动者作为自然人，享有人格尊严和人格自由，其个人信息理应受到法律的保护。然而，介于劳动关系中多种特殊因素的复合交叉影响，民法典及个人信息保护法对劳动者个人信息的保护范畴和保护第2 期392024 年 3 月力度均十分有限。为此，应当引入劳动法保护路径，将劳动者个人信息保护纳入劳动立法。在信息收集和管理方面，以收集信息的合理性作为用人单位收集劳动者个人信息的合法性基础,并对所收集的劳动者一般个人信息和敏感个人信息实行二元化分级管理。与此同时，加强劳动行政部门对用人单位的教育和监管。劳动行政部门应当充分利用数字化监管平台，做好定期审查和抽检工作，及时制止用人单位不合理的侵权行为，并畅通救济渠道，保障劳动者的个人信息安全。注释：北京市第三中级人民法院（2 0 2 1)京0 3 民终1 0 6 号民事判决书。北京市海淀区人民法院（2 0 2 2）京0 1 0 8 民初1 4 5 8 1 号民事判决书。参考文献：1最高人民法院关于修改民事案件案由规定的决定EB/0L（2 0 2 0-1 2-3 0)2 0 2 3-1 0-0 1 h t t p s:/w w.c o u r t.g o v.c n/f a b u-xiangqing-282031.html.2谢增毅。互联网平台用工劳动关系认定。中外法学,2 0 1 8(6)：1 5 4 6-1 5 6 9.3林嘉。劳动法的原理、体系与问题M。北京：法律出版社,2 0 1 6:8 4.4瓦尔德曼德国劳动法M。沈建峰，译。北京：法律出版社,2 0 1 4:4 7.5张珍星。民法典背景下雇员个人信息保护的劳动法进路J.西安交通大学学报（社会科学版,2 0 2 1(6)：1 4 6-1 5 8.6杨勤法，程圆圆。劳动者个人信息权益保护的法律困境与对策 中国人力资源开发，2 0 2 2(6)：9 4-1 0 4.7朱庆育民法总论M北京：北京大学出版社,2 0 1 6:6 6.8崔建远.合同法：第七版M.北京：法律出版社，2 0 2 1：4 8.9台湾大学法律学院,台大法学基金会。德国民法典M北京：北京大学出版社,2 0 1 6:9 5.10吴文芳。劳动法典中的个人信息保护 北方法学，2 0 2 2(6)：4 4-4 8.11王倩。作为劳动基准的个人信息保护 中外法学,2 0 2 2(1):1 8 3-2 0 1.浙江万里学院学报Research on the Protection of Employees Personal Informationin the Digital AgeZHOU Zihan(Shanghai Maritime University,Shanghai 201306)Abstract:In the digital age,the rapid development of Internet information technology has drawn greatattention to the protection of personal information.The“Personality Rights Series of the Civil Code in-cludes a special chapter on“Privacy and Personal Information Protection and the Personal InformationProtection Act further highlights the importance of safeguarding personal information at the legislative lev-el.However,unlike the protection of personal information in general fields,the workplaces personal in-formation protection belongs to a unique field.The protection of employees personal information is influ-enced by the subordinate nature of labor relations,the continuity of labor contracts,and the extensivecollection of employees personal information by employers.Problems may arise due to insufficient legalprotection,excessive collection of information by employers,difficulties in applying informed consentrules,and difficulties in identifying infringements.To address these issues,we need to introduce the pro-tection path of the labor law,improve the information collection and management system,and strengthenthe supervision of labor administrative departments to ensure the security of workers personal information.Key Words:Civil Code;Personal Information Protection Act;digital age;employees;personal infor-mation protection（责任编辑：刘阳雄）40