“随着《个人信息保护法》的出台，用人单位很可能在劳动用工的各阶段面临个人信息保护的合规风险。”在日前举办的《个人信息保护法》解读合规落地研讨活动上，中国网安协会网络治理与国际合作工作委员会秘书长谢永江表示，《个人信息保护法》为企业利用个人信息加上了“紧箍咒”，也就是说企业收集数据的时候要有明确合理的目的，不能自由使用。

金诚同达律师事务所高级合伙人庞春云介绍说，在劳动用工领域探讨用人单位对其所属员工个人信息保护的相关问题，可从以下三个方面出发。

一是劳动关系建立阶段。《劳动合同法》第八条规定：“用人单位招用劳动者时，应当如实告知劳动者工作内容、工作条件、工作地点、职业危害、安全生产状况、劳动报酬，以及劳动者要求了解的其他情况；用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明。”

通常情况下，用人单位在入职阶段会向劳动者收集姓名、性别、民族、籍贯、身份证号码、住址、个人邮箱、健康状况、学历学位、工作经历、紧急联系人或主要家庭成员等个人信息。然而实践中，一些用人单位还会要求劳动者提供是否为乙肝表面抗原携带者、宗教信仰、婚育状况等一般不被认为与劳动合同直接相关的个人信息。而用人单位这一行为由于没有征求劳动者的同意，显然与《个人信息保护法》相违背，涉嫌侵犯劳动者的个人信息。

二是劳动关系存续阶段。近年来，随着信息化的不断推进，骑手等新就业形态应运而生。企业为了监督这类流动性较大的劳动者的工作情况，往往会采取GPS定位的方式搜集劳动者的行为轨迹。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条明确规定，“行踪轨迹”属于“公民个人信息”，因此，保护员工的行为轨迹信息属于隐私权的法律范围。企业单方面定位员工行为轨迹的行为涉嫌侵犯员工隐私权。

用人单位在调查涉嫌违纪的劳动者时，一般会调取劳动者的工作邮箱、企业微信、工作电脑等。用人单位在这一过程中知悉被调查者的个人信息后如果直接删除或随意处理，将会埋下隐患。而用人单位在实践中将会采取群发邮件或微信工作群通知、公司公示等形式大范围公开违纪员工的处理结果，这也可能导致违法处理个人信息的法律风险。

三是劳动关系结束阶段。《劳动合同法》第五十条规定：“用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。”实践中，经常有劳动者从原单位离职后入职新单位，原单位主动向新单位提供或者在新单位对劳动者展开背景调查时向其提供劳动者原工作期间的工作表现、基本情况等涉及到个人信息的部分。《个人信息保护法》中列举了合法基础，即“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；”能否适用这种情况仍有待商榷，原单位应慎重对待，否则很可能存在侵犯劳动者个人信息的法律风险。

庞春云建议，用人单位在收集劳动者的个人信息时应注意收集范围。依据《个人信息保护法》，用人单位可以收集的劳动者个人信息范围应仅限于与劳动合同直接相关的个人信息，如教育水平、工作经历、职业技能、专业技能等。对于家庭情况、宗教信仰、星座血型等与劳动关系并无关联的信息，用人单位无权要求劳动者提供。此外，用人单位在收集有关敏感个人信息时应注意前置要求，即具有特定的目的和充分的必要性，而且还要取得劳动者个人的单独书面同意以及向劳动者告知处理敏感个人信息的必要性以及对其的影响。