本笔记来源于2021年10月13日，「搞得定系列——个人信息保护法来了，HR怎样持续搞得定？」直播分享。内容主要包括：《个人信息保护法》解读、人力资源行业个人信息保护关注点、人力资源行业个人信息保护工作思路三大方面。
1《个人信息保护法》要点剖析
2021年8月20日，人大常委即将表决通过发布《个人信息保护法》 。《个人信息保护法》将于2021年11月1日即将生效。该法律是我国全面完善个人信息保护制度的重要标志和里程碑。《个人信息保护法》由8章74条组成，我们整理了8大要点。
一、明确以「告知-同意」为核心的处理规则
企业应愈发重视隐私合同内容完整，同意作为企业大部分场景使用的个人信息处理合法根据之一，应着力梳理搜集/处理个人信息的渠道和场景，确保全渠道处理个人信息具有合法性基础。其中需非常注意的是，在特殊场景如向别人提供、公开个人信息、处理敏感个人信息、向境外提供等需获得用户单独同意。
二、严格约束个人数据搜集顽疾
2021年「315年会」共爆光了九个问题，其中三个都涉及个人信息，分别为科勒卫浴门店未经授权搜集人脸信息、智联招聘等多家求职平台未经授权走私个人信息、 手机管家App后台泄露大量用户个人信息。《个人信息保护法》出台规制了商业公司在对个人信息进行采集与处理时，必须详尽告知用户处理目的和保存年限。而顾客对自己的个人信息使用状态，从头到尾都必须享有知情权和决定权等权力。
三、避免滥用人脸识别技术
在营业网点安装摄像头和人脸辨识设备等时，企业应确保其目的仅为维护公共安全所必需，遵守国家有关规定，并设置明显的提示标示，如「您已步入视频监控区」。若用于非维护公共安全，应审慎查证处理搜集人脸信息目的正当性和必要性，且与处理目的直接相关，并获得用户的单独同意。对公共场所安装图象采集、个人身分辨识设备强化管制，限缩图象采集、个人身分辨识的处理范围。在举办人脸信息搜集处理业务场景中，应严格遵循初审要求，保障顾客个人权益。
四、规制自动化决策，防止「大数据杀熟」
企业在采用自动化决策支撑业务、开展商业营销时，应保证决策的透明度和结果公平合理，采取对个人权益影响最小的方法，同时应向用户提供关掉该选项的渠道，如：用户合同中向用户简明介绍算法的基本逻辑和对用户权益的影响，并提供关掉自动化决策的渠道供用户选择。
五、对于个推和营销场景赋于用户充分自主权
企业的个性化推荐广告、主动营销场景，在用户拥有主动权后，可以自行选择是否开启类似功能。
六、重要互联网平台服务
即使企业并不属于严格意义上的“互联网”平台方，但鉴于用户数据量级巨大，以及常常推出电商类多元服务平台，未来用户量可能抵达千万级，该条要求仍对企业个人信息保护工作有重要借鉴意义：制定电商类平台内第三方产品/服务提供者的个人信息保护规则，并进行有效准入初审和定期监督。成立主要由外部成员组成的第三方独立机构对个人信息保护情况进行监督，提升公信力。
七、个人信息侵犯案件的举证归责
企业在积极满足法律法规要求、落实顾客个人权益保护的同时，还应有能力在发生个人信息侵犯案件时「自证清白」，全方位多角度地对个人信息保护尽职履责地提供有力根据。
八、对个人信息处理违法行为的严监管、重处罚趋势
个人信息保护法还进一步加强了相关部门的监管职责，从严惩处违法行为。若履行个人信息保护职责的部门发觉个人信息处理活动存在较大风险或则发生个人信息安全风波，可以依照规定的权限和程序对该个人信息处理者的法定代表人或则主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。
2人力资源行业个人信息保护关注点
随着《个人信息保护法》的颁布，企业在确保对外业务/产品/系统的合规同时，对企业内部职工的数据保护和权益保障也成为企业亟待举办的重点工作。
一、「员工同意」不是数据处理惟一根据
关注点解析：人力资源管理场景下须要考虑雇主/雇员关系存在「不平衡」的特殊性。即:数据处理根据仅为职工同意存在违背公正透明原则的隐患。
工作实践：在日常管理中搜集职工的信息时须要明晰搜集目的与根据，如企业搜集雇员建行帐号是为了支付其工资以履行劳动协议。获取职工同意时须要视情况给与雇员反对的权力，同时明晰该反对不会带来各种方式的歧视、区别对待或惩罚
二、保持职场中的数据最小化搜集
关注点解析：安防监控、邮件监控、DLP设备、车辆追踪都可能包含职工隐私，且被「实时」监控着。保持职场中的数据最小化搜集是职工隐私保护的必修课。
工作实践：某企业对于不同类型雇员（如即将职工、第三方外包、实习生等）个人信息搜集场景进行分辨，明确必要搜集的个人信息数组；某企业公务车的车载GPS会在上班时间手动关掉数据回传；某企业电脑监控软件会在布署前告知职工并仅限制下班时间打开。
三、谨慎处理职工家属个人信息
关注点解析：在为职工提供礼物、福利待遇时须要注意雇员家属（尤其是儿童）的个人信息的搜集与使用，避免不必要的数据搜集。
工作实践：涉及搜集儿童信息时需遵守最小化原则，明确告知作为监护人的职工搜集、使用、转移、披露儿童个人信息的目的、范围、方式以及儿童信息将分享或传输给的业务合作方。
四、人力资源场景的特殊合规要求
关注点解析：除了《个人信息保护法》之外，一些劳动法律、雇佣合同、工会标准等法规中也会针对某类特定人力资源场景提出职工隐私保护的要求。
工作实践：欧盟《职场数据处理意见》：雇主不提供就业机会或个人不接受该投档机会，在急聘过程中搜集的数据，应立刻删掉；德国《数据保护法》：背景调查时，所搜集的候选人个人信息，只可在雇主下发offer之前使用；法国《劳动法》：雇主可要求候选人提供的数据仅限于使雇主才能评估申请人履行所提供职位的能力和相关专业技能的数据；波兰《劳动法》：员工社交媒体资料不应该被全面用于就业筛选。
五、数据存在方式愈加复杂多样
关注点解析：由于人力资源管理的复杂多样场景，数据可能通过纸质文件、电子影像资料、结构化数据等进行处理，需明晰数据处理的类型并统一管理。
案例风波：在人力资源不同业务流程阶段，某企业会通过纸质、链接等方法搜集个人信息，在辞职职工发起数据删掉恳求时，无法有效实现；某企业打印机处发觉大量无人认领的工资单和身份证复印件信息。
六、数据所有权带来的困局
关注点解析：明晰个人数据与公司数据的归属边界。随着职工入职后形成的个人数据，通常存在双重归属如：工号、组织构架、考勤，绩效信息、发薪信息、邮件、信息、视频通信。
工作实践：在雇用场景下，个人信息可以被分为两类：在数据主体被雇用前就早已具有的个人信息（如姓名、证件号）、跟随雇佣场景发生的个人信息（如工号、企业邮箱）；第二类数据属于个人信息也同时属于公司管理信息，在处理这种个人信息是除遵循隐私相关法律之外，可能还需遵循其他类型法规要求，如：工资单信息需要遵循会计准则类的保护及存留时间要求。
3人力资源行业个人信息保护工作思路
人力资源管理场景的隐私保护工作可以分成4个阶段：
4精选问答
问题1：疫情期间公司搜集信息，企业无法提早告知获取同意如何办？
答：疫情上报属于「为应对突发公共卫生事件，紧急情况下为保护自然人的生命健康和财产安全所必需」情形，可以不用提早告知。
问题2：员工辞职后个人资料须要销毁吗？
答：需要。但若果符合企业正当营运要求，可以保留。
问题3：隐私信息持有就违规，还是被不正当使用后违规？
答：隐私信息可以合规合法地持有、最小化使用，不正当使用就是违规。
问题4：全球化企业数据集中储存在总部HR系统是否合规？是否须要做本地化处理？
答：严格来说跨境属于特殊场景，要满足单独同意，否则就是违法。很多公司早已着手在当地做本地化管理，欧洲是有相关判例，建议你们早点入手做合规工作。
问题5：劳动协议的必要信息是明晰的吗，这些信息可以不被职工撤回？
答：涉及劳动协议的必要信息需要按照协议内容具体判断，但是履行协议必要不能随便撤回，合同生效后双方都应遵循。
问题6：招聘信息和录用信息采集须要分别告知同意吗？
答：如果两个流程分开，就要分开搜集。一般情况下，候选人使用平台的过程中还会搜集同意。如果录用信息没有包括在急聘的告知隐私合同里，要单独告知同意。
问题7：年度体检报告公司可以向职工缴纳吗？
答：体检报告仍然是敏感内容，且不是履行协议必要，除了特殊行业，比如飞行员必须要视力好，有类似强根据可以获取职工部份身体指标，但并不是获取全部复检报告。
问题8：劳动部门审查要求企业职工相关数据，如何保护信息安全？
答：企业要以官方的渠道提供给对应插口部门，避免传输过程中出现问题，一定要留下传输记录，尽量加密传输。
问题9：个人信息保护和GDPR有冲突吗？
答：总体相像，个人信息保护法在立法思路上跟GDPR比较一致，有一些细节定义不太一样。
问题10：基于个人信息同意的个人信息有权撤回同意，企业有哪些建议吗？
答：如果个人信息主体撤回同意，我们就应当删掉，但做这件事很困难。建议企业一方面提供撤回渠道，另一方面技术上支持撤回、删除数据。
问题11：员工辞职，信息删掉后，怎么自证清白？
答：保留删掉记录，让所有工作有据可查，当然这须要信息系统支撑。
问题12：收集使用人脸等生物辨识信息需要满足特定目的&充分必要，是否仅基于考勤的目的是不充分的？HR须要考虑职工拒绝同意下的其他途径实现吗？
答：如果只是考勤，不满足必要性，能通过其他方法打卡，员工可以拒绝，HR须要考虑职工拒绝同意下的其他途径实现。
问题13：比如使用盖雅系统，需要与职工单独签署一个书面文件吗？
答：员工在首次使用盖雅系统的时侯会被告知各类权力义务和隐私申明，同意才能使用。
更多精彩内容欢迎扫描下方二维码查看直播回放
盖雅工场作为一家提供全球劳动力管理云服务的中国企业，目前已服务全球 24 个国家和地区的 1,500 余家顾客、500 余万职工，始终将保护顾客数据安全作为盖雅的首要责任。
具体到业务实操层面，盖雅工场主要从以下三方面进一步保障数据安全与合规：
强化数据安全的组织保障盖雅工场指定了数据保护官 DPO ，建立了以信息技术与安全中心牵头、联合各部门数据管理专员集体协作的工作机制，全面负责数据安全保护有关工作，将数据安全列入整个数据整治大体系中。
落实数据相关合规制度规范盖雅工场早在 SOC 2 项目审计过程中便已完善了《盖雅信息安全规范》、《盖雅信息分类分级管理程序》、《盖雅产品隐私设计规范》和《盖雅数据安全实践》等体系化的数据安全管理制度，项目覆盖安全性、可用性、保密性以及隐私性四大范畴，以满足用户机构的数据安全、业务安全及隐私保护等相关要求。
数据全生命周期管理盖雅工场遵守「Privacy by Design」的原则，在数据的搜集、存储、处理、使用、传输等各生命周期中均采取了技术手段以保证数据安全，比如通过轮询、签名、时间戳等方法来应对未授权访问、请求篡改、重放攻击等安全问题；通过敏感数据 AES 对称加密，并辅以秘钥 KMS 托管和 HTTPS 加密传输等手段，进一步加强数据传输和储存过程中的机密性。
助力全新劳动力结构下
企业数字化变革
扫码了解
盖雅全流程劳动力管理解决方案
