个人信息保护的法律画像
个人信息保护归《中华人民共和国个人信息保护法》调整，核心保护的是自然人的信息自决权与人格利益，延伸保护公民的财产安全。
法律的边界写得非常清楚，《中华人民共和国个人信息保护法》第十三条明确规定，“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”，才可以合法处理个人信息。
有意思的是，这里的权利义务天生不对称。作为个人，你对自己的信息享有绝对的知情权、决定权，能不能给、给多少，你说了算。作为用人单位，你只有在法律明确允许的范围内才能收集，多要一项，都可能越界。
合法与违法的裁判边界
我接触过两个几乎同期判决的案子，结果天差地别。
第一个案子里，公司入职只要求员工提供本人身份证复印件、本人银行卡号，用途写得清清楚楚，发工资、缴社保。员工起诉公司收集个人信息侵权，法院驳回了全部诉求。
第二个案子里，公司除了要求员工提供上述信息，还额外要求员工提供父母、配偶的完整身份证号、户口本复印件，还有员工本人近一年的银行流水，说是“公司福利审核需要”。最后法院认定公司侵权，判决公司赔礼道歉，还赔了几千块的精神损害抚慰金。
你猜，核心的差别在哪？是否符合“最小必要”原则。
说白了，就是只拿你需要的，不拿多余的。为了发工资要银行卡号，是必需。为了所谓的福利审核要配偶的收入，完全不需要。这点差别，就是合法违法的分界线。
近年裁判数据的实证观察
2022—2024年度，北京市高级人民法院发布的《劳动争议案件审判白皮书》公开数据显示，该年度区间内全市法院审结的涉个人信息保护劳动争议案件，较2019—2021年度增长了68%，涨幅远高于其他类型的劳动争议。
说实话，这个比例比我早年接触的案子高太多，说明劳动者的权利意识醒得太快，很多企业的合规意识还没跟上。数据里更值得注意的是，83%的案件中，用人单位都因为超范围收集个人信息被认定构成侵权。
可落地的实操风控建议
招聘入职前，在入职登记表末尾印上完整的《个人信息收集用途清单》，每一项收集内容都标注清楚用途，要求员工手写签字确认后，把原件存入员工人事档案，保管至员工离职后三年。
用工过程中，每年12月对公司存储的所有员工个人信息做一次清理，删除非法定必需留存的额外信息，删除操作全程屏幕录像，录像文件存入公司合规档案至少保管一年。
收到员工的信息查询、更正或删除申请后，三个工作日内出具加盖公司公章的书面答复，通过EMS邮寄给申请人，留存快递底单和答复复印件存入档案。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
