《个人信息保护法》通过，用人单位应当注意的几个要点

2021年8月20日，第十三届全国人民代表大会常务委员会第三十次会议通过《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），该法将于2021年11月1日施行。《个人信息保护法》是我国第一部个人信息保护的专门性立法，填补了个人信息保护领域具有强制性约束力的法律空白。此前，对于个人信息保护的相关立法更多是概括性的如《民法典》《网络安全法》《数据安全法》，或位阶较低的相关规范性文件，如2020年10月1日正式实施的国家标准GB/T 35273-2020《信息安全技术个人信息安全规范》。

在此，笔者以用人单位视角梳理了《个人信息保护法》的几个要点，供参考。

（一）以法律形式保障了用人单位的信息处理权

《个人信息保护法》规定，用人单位可在如下情况下处理（包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等）个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。

上述规定赋予了用人单位在用工过程中处理个人信息的权利。

（二）明确了几种除用人单位履行劳动合同之外的法定信息处理权

用人单位或其他单位，可在无个人同意的情况下，处理个人信息，如：

-为履行法定职责或者法定义务所必需；

-为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

-为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

-依照《个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息的。

（三）明确了用人单位应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全

用人单位不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。根据《个人信息保护法》，员工的个人信息如需传送到境外，面临着更多的监管和限制。

（四）增加了基于个人同意处理个人信息的，个人有权撤回其同意的规定

基于个人同意处理个人信息的，个人有权撤回其同意。那么，这就意味着，除用人单位订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需的信息，其他需要由员工个人授权的信息，员工是有权利撤回的。

实践中，用人单位常见的录音录像、虹膜打卡、指纹打卡、面部识别打卡等等，都属于收集员工敏感个人信息的行为，那么目前在进一步的规定出台之前，员工都是有权利撤回同意的。可见，用人单位管理方式将面临重大挑战。

（五）用人单位委托他人处理个人信息的，应得到明确授权

用人单位委托他人处理个人信息的，应得到员工的明确授权，并且，用人单位需要与员工约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对员工的个人信息处理活动进行监督。

（六）用人单位向其第三方提供其处理的个人信息的，应当向个人告知第三方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得员工的单独同意

第三方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。第三方变更原先的处理目的、处理方式的，应当重新取得个人同意。

另外，用人单位应注意，在接收信息的角度，在2020年《规范》项下，对于间接获取的个人信息，用人单位也应要求信息提供方说明个人信息来源，并对其个人信息的合法性进行确认，同时要求信息提供方提供相应授权等。

（七）首次明确了用人单位的法律责任

《个人信息保护法》规定，用人单位违反规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，可能会被责令改正、警告，没收违法所得；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，除被要求责令改正，没收违法所得外，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

用人单位违法的，不仅仅会面临罚款，还有可能会依照有关法律、行政法规的规定记入信用档案，并予以公示；直接负责的主管人员和其他直接责任人员将面临处分；并且，如果用人单位造成员工损害，用人单位未能成功证明自己没有过错的，也将承担损害赔偿等侵权责任。

如果用人单位处置不当，侵害众多个人的权益的，还有可能需要面对人民检察院、法律规定的消费者组织和由国家网信部门确定的组织提起的公益诉讼。