《民法典》背景下雇员个人信息保护的劳动法进路

张珍星

(西安交通大学 法学院,陕西 西安 710049)

《民法典》对个人信息保护做出一般规定,充分彰显个人信息权益的独立地位及其对自然人的人格尊严和人格自由的尊重。劳动者作为自然人,其个人信息理应得到《民法典》的保护,并不会因劳动关系的从属性而丧失[1],但从属性特点又意味着企业对员工个人信息享有正当的用工管理权,而实践中用人单位滥用权利侵害雇员个人信息的现象频发,例如求职阶段过度收集婚育信息、工作场所人脸识别与指纹打卡泛化等。然而,各地法院却过分偏重维护用工管理权而严重忽视雇员个人信息保护。例如,在再审申请人张学娟因与被申请人深圳市领达小额贷款有限公司劳动合同纠纷案(1)(2020)粤民申8843号。基本案情:2019年6月24日,领达公司在办公室安装了多个高清摄像头,其中一个摄像头位于张学娟工位的上方,张学娟认为该摄像头易于拍摄到其隐私部位,侵犯其隐私信息。于是,其用两把伞遮挡该摄像头,不妨碍其他方位的摄像头正常拍摄。领达公司人事经理两次口头与其就打伞行为进行沟通后,又于2019年7月3日、7月4日分别书面向其发送了警告信。在此情况下,其仍坚持在工位上撑伞十多个工作日。2019年7月17日,领达公司以其在工位上打伞严重违纪为由将其辞退。(以下简称“张学娟案”)中,广东省高院认定,被告安装监控摄像头是为保障工作场所安全,监控区域属公共场所且安装位置在墙角上方,属公司正常行使用人单位监管权,因此该行为具有合理性。显然,该案法院尚未考虑被告有无经民主程序制定监控政策并予以公示、监控方式与目的是否合乎比例等问题。可见,在《民法典》实施背景下亟需加强对雇员个人信息的保护,以及协调其与用工管理权之间的关系。

个人信息保护是学界研究的热点,虽然有关著述论作较多,但尚未对带有特殊性的雇员个人信息保护给予必要关注,而关于雇员基因信息保护的研究限于私法视角,主张“私法路径令人充满希望”[1],对劳动法保护路径的关注严重不足。对此,本文将围绕劳资关系的特殊性和数字技术背景,从法理与实施层面系统反思以《民法典》为中心的私法对劳动者个人信息保护的限度,进而分析引入劳动法保护路径的必要性、正当性并对其如何建构提出建议。

一、雇员个人信息私法保护的困境

对雇员个人信息侵害所涉及的权利基础包括平等就业权与人格权益,牵涉劳动法与民法两个部门法。雇员享有作为人固有的人格尊严与人格自由,并不因劳动关系的从属性而丧失,同时私法规则具有高度涵射性,即《民法典》构建起一个相对统一的个人信息私法保护制度,可对包括用人单位在内的任何组织和个人的信息处理行为予以规制,因此其适用于雇员个人信息保护具有正当性。然而,围绕用人单位展开电子监控的司法案例,从劳资关系的特殊性和数字技术背景进行分析发现,以《民法典》为中心的私法路径困难重重,并非如前述学者所言“令人充满希望”,其无法协调雇员个人信息保护与用工管理权之间的关系。

(一)知情同意规则无法保障雇员同意的真实性和用工管理效率

依《民法典》第一千零三十五条、第一千零三十六条可知,知情同意是信息处理合法性的基石。为确保该规则的有效性,其应符合两个要件:一是知情,即同意必须建立在知情的基础上,与之相对应的是信息控制者的告知义务[2];二是真实自愿性,即基于信息主体自由意志而自愿做出同意的决定,唯有如此该同意才有效[3]。对既有劳动领域司法案例的分析可知,受资强劳弱特征和数字技术自动化决策性的影响,同意规则无法保障雇员同意的真实性和用工管理效率。

首先,资强劳弱特征极度挑战雇员同意的真实自愿性。在数字时代,劳资双方的经济、技术、信息实力悬殊更为巨大,二者先天地位不平等,求职者或雇员通常别无选择而只能默许雇主提出的个人信息处理要求,而雇主在做出雇佣决定时享有宽泛的用工管理权[4]。一方面,雇主常未经员工同意私自处理其个人信息,且雇主所提出的个人信息处理要求常具有胁迫性或强制性[5]。例如,在吴仲军、深圳市腾瑞丰科技有限公司劳动合同纠纷案(2)(2018)粤03民终26105号。中,吴仲军认为,腾瑞丰公司未经同意私自在2018年5月22日至25日期间对吴仲军遮挡电脑的行为予以视频监控,侵犯其隐私权。然而,深圳市中院认为,腾瑞丰公司提交的监控视频、电子邮件截图、工作日志打印件相互印证吴仲军在上班时做与工作无关的事。显而易见,腾瑞丰公司的个人信息处理行为未经员工知情同意,同时法院亦未审查该行为有无经雇员同意及其是否真实自愿,而是直接确认有关证据的合法性。另一方面,基于对解雇、降薪、调岗等惩戒措施的担忧,雇员常在毫无选择权的情形下被迫同意雇主的个人信息处理行为。

其次,数字技术的自动化决策属性使雇主对雇员个人信息的处理深具隐蔽性,这对雇员知情权的实现带来极大挑战。从对既有司法案例的分析可知,大数据、人工智能、算法、可视化技术等自动化决策技术常在雇员不知情的情形下将其各类网络活动信息自动存储在企业的远程服务器中,同时自主地对其个人信息进行整合并做出聚类、关联、预测分析,从而描绘其工作态度、工作表现,极易侵犯员工的隐私信息。例如,在修某、海阳市融某塑编包装有限公司隐私权纠纷二审民事判决书(3)(2019)鲁06民终7145号。中,修某上诉称,被上诉人融某公司私自在上诉人电脑安装超级眼电脑监控软件,并用该软件自动下载上诉人微信、QQ聊天信息的行为违法,侵犯了上诉人修某的隐私。此外,在王玲玲与唐海洋隐私权纠纷案(4)(2015)深福法民一初字第7106号。中,未经律所同事王玲玲律师的知情同意,负责律所IT事务的唐海洋在操作律所一体机时秘密设置一项功能,即“凡使用该设备扫描的文件均通过其邮件向使用人发送文件内容”,同时其实际获取了该扫描文件。此后,其通过电子邮件的方式向包括王玲玲在内的工作人员披露后者的邮件信息。对此,法院认定被告应当知悉涉案邮件内容为原告隐私,被告未获得原告同意,擅自获取、查看原告邮件内容,已经构成对原告隐私权的侵害。可见,自动化决策技术通常会使雇员对其个人信息的知情权形同虚设。

最后,同意规则的实施无法有效保障用工管理效率。依对《民法典》第一千零三十六条的文义解释可知,原则上雇主处理雇员的个人信息一律须经雇员同意,无论该信息是否为缔结或履行劳动合同所必要,该信息是非敏感信息还是敏感信息,除非符合这两项例外情形,即公开的信息和保障公共利益或自然人合法权益。实践中,在多数情况下,雇主收集、处理雇员个人信息是为满足其与雇员订立或履行劳动合同的基本需求,具有用工管理的正当性。具体而言,该正当性主要体现为:一是为缔结劳动合同所必需,即选任合格的求职者。为从海量求职者中选出合格者,雇主有必要充分了解求职者的有关信息,如姓名、年龄、学历背景、工作经历、劳动技能等。二是为履行劳动合同所必需,即维护生产经营秩序、保障职场安全、防止违法犯罪行为等。例如,为防止雇主财产被盗,雇主可能会在工作场所安装视频监控;为确保员工遵守企业规章制度,雇主将对雇员实施前文所指出的电子监控。对缔结或履行劳动合同所必需的非敏感信息,若一律要求征得每位雇员的单独同意,将有违用工管理效率,不利于平衡用工管理权与雇员个人信息保护之间的关系。

(二)笼统抽象的透明性规则的实践效果不可预期

《民法典》第一千零三十五条第一款第二、三项对透明性规则做出规定,即“处理个人信息应公开处理信息的规则,明示处理信息的目的、方式、范围”,但该规定较为笼统抽象,关于公开的方式、对象、范围等问题均有待细化。受劳资领域资强劳弱、透明性规则高度自治性与自动学习算法的不透明性特征的复合交叉影响,笼统抽象的透明规则的实践效果不可预期。

首先,基于劳资双方的经济、信息、技术实力和地位悬殊,雇员通常无法就个人信息保护享有任何议价能力。在个人信息处理场景,雇员议价能力缺失的主要表现:一是在招聘阶段,基于劳动力市场“僧多粥少”的现状,为最大限度争取就业机会,求职者通常不会基于对个人信息保护的顾虑而对雇主有所隐瞒或主动要求雇主公开有关信息;二是在履约阶段,基于信息与交易成本壁垒以及雇主方常未制定、发布隐私政策,雇员时常无法获取有效信息来评估雇主是否开展监控及其是否构成侵权。

其次,透明性规则的高度自治性特征,使雇主通常不愿制定并公开个人信息处理规则,即便雇主愿意制定,但若该规则未经强制性的民主程序制定并予以公示,其将徒具高度象征意义,反而会沦为雇主行使用工管理权的一种有力手段。因民法奉行意思自治理念,透明性规则的实施主要仰赖雇主自治,缺乏强制实施机制,而作为理性人的雇主必然以实现盈利最大化为目的,其将不惜以损害雇员个人信息权益为代价来行使用工管理权,致使透明性缺失的信息处理行为比比皆是。例如,在黄某与广西运德集团北海汽车运输有限公司、广西运德集团北海汽车运输有限公司北部湾中路兴运宾馆分公司劳动争议案(5)(2019)桂0502民初1420号。中,原告认为,被告的“视频考勤制度”侵犯了原告的隐私权,没有经过民主程序,也没有公示过。然而,广西北海市海城区法院认为,在原、被告对原告旷工情形存在异议时,被告调取了单位工作视频取证确认原告的旷工时间,被告借助工作视频监督考勤的行为并无不当,属自主管理权。

此外,自动化学习算法的不透明性使雇员个人信息处理行为欠缺透明性,无法保障透明性规则的实施效果[6]。传统信息处理所使用的数据样本少,运算过程简单并同最初的理论假设相对应,即遵循“提出假设—分析数据—验证假设—得出结论”的演算过程,因此其信息处理过程较为透明。然而,自动化学习算法通常以海量数据群为基础,直接从事物原始特征出发,自主开展数据处理、评估和行为分析,由此自动输出高级的分析与决策结果[7]。因此,自动化学习算法的运作过程就像一个密闭的“黑箱”,算法模型如何设计及解释、如何输入数据、数据之间如何进行组合关联、分析结果如何得出等一系列复杂流程无法为外界所知晓,非专业人士难以有效质疑其决策的正确性以及决策过程有无背离预先的理论假设。总体而言,自动化学习算法的不透明性可分为三类:一是人为有意的不透明,即企业故意隐瞒算法的不透明性及其欺骗的可能性;二是技术不透明,即代码的编写与阅读具有极强的专业性,非专业人士难以知晓其运作特点;三是固有不透明,即机器学习高维特征所固有的数学优化属性与人类的思维逻辑、自然语言匹配难度较大。质言之,既有人工智能算法正处于较低的发展水平,算法的逻辑、语言难以实现对自然语言、人类思维的真正理解,二者之间无法进行有效转化,在实际运作过程中难以避免失误乃至歧视的产生[8]。实际上,即便依透明性规则要求算法设计者公开并解释算法涉及的代码、决策逻辑、程序标准,也会困难重重:一是设计者通常会以算法系统所涉及的决策逻辑或程序标准构成商业秘密为由进行抗辩,从而拒绝将之公开;二是即便设计者愿将之公开,因算法代码、程序标准极具专业性,非专业人士无从知晓其公开的对象、范围等是否合理。

(三)侵权救济机制失灵

《民法典》尚未对侵害个人信息的民事责任作出特别规定,因此对雇员个人信息侵害行为的规制只得适用过错责任原则。然而,劳动关系的从属性、继续性、资强劳弱特征,使雇员个人信息侵权行为深具独特性,致使传统侵权救济机制失灵。

1.侵权行为受到用工管理权的荫庇而难以被认定为侵权

雇员个人信息保护的关键特点在于其受劳动关系的影响,实质就是其受用工管理权的克减,因此,不同于普通民事主体的侵权判断,在判断雇主对雇员个人信息处理行为是否构成侵权时不能忽略雇主的用工管理权。

劳动关系的本质属性是从属性[9],它是认定劳动关系的核心标准[10]84。所谓从属性,通常指员工依据企业的管理、指示、命令、约束等提供劳务,并因此取得劳动报酬[11]。关于从属性的内涵构成,学界认识不一,但取得共识的是其以人格从属性为核心。正如德国学界主流观点所说,劳动关系和民事委托关系、自由劳动者相区别的关键之处在于劳务给付人的人身依附性程度而非经济依附性[12]48。所谓人格从属性,指企业将员工纳入其生产组织并指示、决定、监督员工的工作时间、地点、内容、方式等[10]95。人格从属性主要由三个要素构成:(1)指挥权,即雇主向雇员分配任务、发布命令,指示、决定雇员工作的种类、时间、地点、内容、方式等;(2)监督权,即监督管理雇员遵守、执行雇主所指派的工作任务等的具体情况;(3)惩戒权,即当雇员违反劳动合同或企业规章制度时,雇主可采取扣发工资、绩效、解雇等惩戒措施[13]。三者相辅相成,指挥权是判断人格从属性的核心要素,是雇主在从属性劳动中最为本源性的权利[14]94,监督权是实现指挥权的保障,二者属一体两面的关系,惩戒权则是实现指挥权、监督权的共同保障。总之,劳动关系的从属性尤其是人格从属性特质,使得雇主享有对雇员的指挥、监督、惩戒权,而雇主在行使用工管理权时,必然涉及对雇员个人信息的处理。对此,在判断侵权行为时须考虑雇主的用工管理权。

然而,对用人单位视频监控有关司法案例的分析可知,雇员个人信息侵权行为最显著的特征是其常受到用工管理权的荫庇而难以被认定为侵权,同时亦难以证明雇主存在主观过错,而雇员所提出的隐私权或私密信息受侵害主张一概被否定。从个人信息保护视角而言,既有裁判实践的做法有待商榷,存在较大问题。

首先,诸多法院对监控合法性的认定较为草率,即将用工管理的目的正当视为认定监控合法的唯一要素。质言之,这些法院尚未审查用人单位有无经民主程序制定并公示监控政策,监控的方式、范围、时间等要素是否正当,监控目的与手段是否合乎比例等。例如,在修某、海阳市融某塑编包装有限公司隐私权纠纷二审民事判决书(6)(2019)鲁06民终7145号。中,烟台市中级人民法院认为,被上诉人融某公司在工作电脑中安装超级眼电脑监控软件并对员工QQ、微信聊天信息予以保存、下载、证据保全,是企业的自我管理行为,其目的是正当的,并不具有窥探员工个人隐私的主观故意,因此被上诉人融某公司在工作电脑中安装超级眼电脑监控软件的行为并非违法行为。又如,在阴某与铁某(无锡)轴承有限公司劳动合同纠纷(7)(2019)苏0214民初894号。(以下简称阴某案)中,无锡市新吴区人民法院认为,关于阴某称铁某公司在取证时侵犯其隐私权,因铁某公司至更衣室拍摄阴某吸烟照片的行为属行使公司管理权中的一个组成部分,从结果上并无隐私权被侵犯的情形存在。再如,在原告高某诉被告大金(中国)投资有限公司武汉分公司、大金(中国)投资有限公司劳动争议纠纷一案(8)(2019)湘0105民初5287号。,长沙市开福区人民法院认为,对于原告提出的被告对员工工作电脑进行监控侵犯其隐私权的主张,被告监控的电脑系单位工作电脑,而工作电脑显然应当用于公司工作,因此被告对单位工作电脑进行监控并无不当。

此外,尽管近来个别法院除审查用工管理的目的正当性外,开始审查监控的范围、手段、时间等要素是否正当,但其依然忽视审查该监控政策有无经民主程序制定并予以公示,有无保障员工知情权等。例如,在张学娟案中,广东省高级人民法院认为,鉴于被告在办公室安装监控摄像头的目的是为保证工作场所人、财、物的安全,且安装的区域是多人工作的公共场所,非劳动者的私人生活区域,且安装的位置也通常在墙角上方,被告安装监控摄像头具有合理性。显而易见,广东省高院在该案中并未审查被告于办公室安装监控摄像头有无经民主程序制定监控政策并予以公示。

2.侵权行为深具易发性与持续性

雇员个人信息保护的主体特殊性在于雇员对用人单位具有从属性。基于劳动关系的从属性尤其是劳动者对资方的经济依赖性,使得劳动者天然地在经济、信息、技术等方面处于绝对弱势地位,势必使其个人信息权益更易遭受侵害。

依据给付时间长短对合同内容产生的影响,可将合同分为继续性合同和一时性合同。继续性合同的概念源于德国,是指“在合同存续期间从中不断产生给付义务和保护义务,因此时间因素在其中具有重大意义的债务关系”[15]119。其具有三项基本特征:一是合同自始欠缺确定的总给付内容,给付时间的长短是确定合同总给付内容的决定因素;二是该合同通常具有无限延续性,双方未就合同的履行期限做出明确约定的,其可无限延续而不停止;三是合同的当事人之间负有持续尽力义务且具有极强的信赖关系,此信赖关系是继续性合同得以持续的实质要素[16]。

学界通说认为,劳动合同天然具有继续性合同的特质[17],即劳动合同约定的权利义务在合同存续期间持续存在,一次给付无法实现合同的目的与内容,而必须随着时间的推移,通过劳动者持续不断的给付劳务、用人单位反复给付工资才能实现。实践中,劳动合同短则数月,长则数年,其所具有的继续性特质意味着企业须反复不断地进行用工管理,在此过程中势必会反复处理员工的个人信息以便做出正确的评价,由此常引发持续时间较长的侵害行为。与之相对,经营者或平台往往基于一时性合同向陌生的自然人提供产品或服务并处理其个人信息,因一时性合同的内容经一次给付便可实现,例如买卖、快递、客运服务等,由此所实施的信息侵害行为持续时间通常较短。总之,劳动关系的继续性特质必然使得用人单位对员工个人信息的侵害深具持续性。

二、雇员个人信息劳动法保护的必要性与正当性

在既有私法路径颇具局限性的情况下,本文将着重分析引入劳动法路径来保护雇员个人信息的必要性及其正当性。

(一)倾斜保护劳动者理念可矫正个人信息保护中雇员的不利地位

从制度功能视角来看,以《民法典》为中心的私权保护框架在保护雇员个人信息时存有基础法理层面的无法自洽的逻辑硬伤。《民法典》中的个人信息保护规则并非纯粹的私法制度,而是具有一定的公私法混合性质:前者主要体现为《民法典》选择了类似的消费者权利保护框架,在第一千零三十七条、第一千零三十八条赋予信息主体访问权、更正权、删除权、信息安全权等权利;后者体现为《民法典》基于知情同意和侵权救济机制建构起个人信息私法保护框架。个人信息民法保护框架的基石是仰赖合同法保护的知情同意机制和侵权救济机制,并且其所选择的类似消费者权利保护框架因缺乏强有力的执行与监管机制,可能徒具权利宣示意义,因此其性质仍以私法为主、公法为辅。那么,私法强调抽象意义上的形式平等与意思自治,在解决雇员个人信息保护问题时会淡化劳动者的身份及其所处的实质不平等劳动关系,忽略受害人为维持生计或避免工作上遭受不利待遇而不得不“同意”用人单位处理其个人信息。然而,形式意义上的同意必会成为荫庇用人单位侵权行为的“保护伞”,因为依《民法典》第一千零三十五条规定,雇员的同意是用人单位处理个人信息的合法性基础。可见,遵循高度意思自治和抽象意义上形式平等理念的私法无法对弱势劳动者进行倾斜保护。

相较而言,劳动法保护路径更具制度优势,其所遵循的倾斜保护劳动者的立法理念有助于矫正个人信息保护中劳资双方实力和地位的严重不对等。依《劳动法》和《劳动合同法》的立法目的条款可知,“保护劳动者合法权益”是二者立法的最终目的之一,所确立的是倾斜保护劳动者的立法理念。该理念得以确立的原因较为复杂多元,深层原因就是劳资力量严重不均衡和劳动关系的从属性使得有必要运用国家监管手段来实现对劳动者的倾斜保护,以协调劳资双方权益关系和促进稳定和谐劳动关系的构建[18]7-8。前文分析指出,受劳动关系的从属性、继续性、资强劳弱特征和数字技术的自动化决策性、不透明性特征的复合交叉影响,在个人信息保护情形下劳资双方的地位与实力更为不对等,司法实践亦严重忽视保护雇员个人信息而偏重维护用工管理权。对此,有必要引入劳动法保护路径,遵循倾斜保护劳动者的立法理念,以便矫正个人信息保护中雇员的不利地位和克服既有劳动法司法裁判的局限性。依该理念,当雇员个人信息权益与用工管理权发生冲突时应适当优先保护前者,除非雇主对个人信息处理行为存有重大经济利益或社会公共利益。

(二)重行政规制的特点在预防和处理侵权行为时具有优势

基于劳资双方的严重不对等,劳动法规则的实施主要仰赖行政规制。例如,为保障劳动法规则的实施,保护劳动者的合法权益,《劳动法》第九条和《劳动合同法》第七十三条规定,由县级以上地方人民政府劳动行政部门负责本行政区域内的劳动工作和劳动合同制度实施的监督管理。前文分析指出,私法救济机制主要仰赖侵权损害赔偿,但该机制的个体救济、事后救济特点在保护雇员个人信息时具有局限性。相比侵权救济机制,行政规制在保护雇员个人信息时更具优势,体现在如下三方面:

一是具有专业和信息优势。为有效保护个人信息,防止违法犯罪行为,当前我国政府监管部门正在积极转变监管理念、创新监管方式,如运用大数据、算法、人工智能等数字技术,搭建统一的数字化监管平台。数字技术具有超强、高效、低成本、精准、及时的信息处理能力,因此政府监管部门选择数字化监管方式可大为提高监管的规模与效率。例如,在数字化监管平台中,政府可将用工人数、隐私信息、信息泄露、指纹监控、视频监控、人脸识别等关联因子作为切入点抓取风险点,将一定规模以上的海量用人单位作为风险研判模型,便可在极短时间内识别出个人信息侵害风险度高的重点检查对象,随后可将之纳入年度双随机抽查计划或对之辅以人工手段实现重点监管。如此,便可大为提高监管效能,极大增强监督检查的靶向性和精准性。

二是具有预防和处理系统性侵权的效率优势。民事侵权救济机制无法有效应对具有系统性、规模性、普遍性、因果关系难以认定等特征的雇员个人信息保护问题,难以起到良好的社会效果。其仰赖事后救济与个体救济,主要目标是解决个案纠纷,这会将受害人与其所处的劳动关系实质不平等的社会大背景相互割裂,最终受害人在个案中的胜诉利益实际上难以辐射到与其具有同样社会身份或处于相同处境的群体。相较而言,行政规制在预防和处理系统性、规模性侵权上具有效率优势,可产生良好的社会效果。这既源于行政规制具有专业和信息优势,也源于其具有完备的监管机制,即事先准入监管、事中监督检查和事后处罚。例如,劳动行政部门依《劳动合同法》第七十四条第一项规定对用人单位制定与执行隐私政策的情况进行监督检查,并对有关违法行为做出行政处罚,那么其对侵权的预防及处理结果不仅可保护个案中的雇员,还可辐射至与之具有相同处境的雇员群体。

三是具有执行的主动性、强制性。不同于侵权救济的事后、被动救济特点,依《劳动法》第八十五至八十八条对劳动监督检查的规定可知,行政执法仰赖事前准入监管、日常巡视检查、接受举报投诉、事后处罚等方式,具有主动性、强制性的特点,更有利于防止侵权行为和矫正雇员的不利地位。此外,《劳动法》第八十九至九十二条、第九十四至九十六条、第九十八条、第一百和一百零一条以及第一百零五条对用人单位违反有关规定的行政责任做出了详尽规定。

(三)对域外经验的批判性借鉴要求加强对雇员个人信息的劳动法保护

首先,欧盟在宪法性公约及其司法判例中强调雇员个人信息保护的特殊地位,即员工个人信息所体现出的人格尊严比企业的经营管理利益更为重要(9)Article 29 Working Party Opinion on the Surveillance of Electronic Communications in the Workplace,at 6.。例如,《保障人权与基本自由公约》(以下简称“人权公约”)第八条、《欧盟宪章》第八条规定对个人私生活权和个人信息权进行确认,侧重限制雇主对员工个人信息的处理。同时,欧盟人权法院在解释与适用“人权公约”第八条时也强调对雇员个人信息的特殊保护。例如,欧盟人权法院Pinto De Albuquerque法官指出,“基于招用、履行劳动合同、职员管理、工作计划及劳动关系的解除等目的搜集、处理雇员个人信息,均应受到劳动合同法或集体协议法的调整,尤其是对互联网使用和电子通信中所涉及的雇员个人信息,更亟需具体明确的规则。”(10)Barbulescu v.Romania,App.No.61496/08,Eur.Ct.H.R.(Grand Chamber,2017),para 9.欧盟人权法院还认定,在工作场所拨打的私人电话仍属于“人权公约”第八条的“私生活”与“通信”范畴,当雇员未被提前告知其电话会受到雇主监听时,雇员便对拨打私人电话具有隐私的合理期待(11)Halford v.United Kingdom,24 Eur.Ct.H.R.523,523(1997).。

其次,欧盟及其成员国、英国、美国等均在个人信息保护立法时对雇员个人信息保护作出特殊规定,有三种立法模式:一是统一保护模式,即由统一的个人信息保护法来调整雇员个人信息,尚未对之制定单行法。欧盟、德国、奥地利、比利时、丹麦、爱尔兰等选用该模式(12)Article 29 Working Party Opinion 8/2001 on the Processing of Personal Data in the Employment Context.。例如,欧盟GDPR第八十八条对工作场所个人信息保护作出开放性的一般规定;德国《联邦数据保护法》第二十六条对个人信息领域劳资双方的基本权利义务、雇员利益代表参与权行使、雇员同意的要件、特殊类型个人数据处理、集体协议等内容做出具体规定(13)Section 26,Federal Data Protection Act,Germany,2017.。二是单行法模式,即在一般法保护框架外,专门制定适用于雇员个人信息保护的单行法。选择此模式的国家包括美国、芬兰、瑞典、法国、希腊和葡萄牙等。例如,芬兰于2001年颁布的《工作生活中的个人信息保护法》对雇员个人信息处理的必要性标准、健康信息、药品及基因检测、视频监控等情形下的处理规则作出详尽规定;美国颁布的《基因信息反歧视法》第二百零二条(b)项规定“原则上雇主不得要求、请求或购买雇员或其家庭成员的基因信息,除非存有法定例外情形”。三是软法模式,如国际劳动组织(ILO)发布的《雇员个人信息保护行动守则》和英国数据保护机构(ICO)于2003年发布的《雇员个人信息保护行动守则》对招用、劳动关系记录、电子监控等情形下的雇员个人信息处理提供详尽的指引性规则。

最后,波兰、法国等均在劳动法中对个人信息保护作出特别规定。例如,波兰《劳动法典》通过5个条文对求职者向雇主提供的信息、雇员同意的要件、个人信息披露、监控和电子邮件监控等内容作出详尽规定(14)Article 22-1,22-1a,22-1b,22-2,22-3,The Labour Code,Poland,2019.。法国2004年版《劳动法典》第1221-6条规定:搜集的信息不论形式如何,只能用来评价求职者从事应聘岗位的工作能力,这些信息必须和应聘的岗位有着直接、必要的联系[19]13。

由此可见,对雇员个人信息保护作出特殊规定实有必要。诸多欧美学者也主张对雇员个人信息保护进行专门立法。例如,有学者指出,美国既有法律制度未能有效协调雇主监管权与雇员个人信息权之间的冲突,无法有效应对电子监控对雇员个人信息造成的侵害[20],有必要制定针对雇员个人信息保护的统一联邦立法,即“雇员互联网隐私保护法”,并对之提出具体立法建议[21]。还有学者指出,为实现雇员个人信息保护的确定性与协调性,促进数据保护规范与劳动法规范的协调,有必要制定统一的欧盟雇员个人信息保护指令[22]108。

然而,尽管域外已就雇员个人信息保护专门立法的必要性达成共识,但在立法路径的选择上却各有侧重。比较而言,这些立法路径各有利弊:经由判例法对之作出特殊规定,有助于保障法律适用的灵活性,但同我国的成文法立法传统相悖;经由个人信息保护法对之作出特殊规定,可充分利用个人信息保护的一般规则,但难以充分融入倾斜保护劳动者的视角;单行法路径可充分体现劳动关系的特殊性并作出详尽规定,但其立法成本高、费时长;劳动法路径同样有助于充分体现劳动关系的特殊性,但有待修法时机。因我国正着力于制定劳动基准法,而《个人信息保护法》已于2021年8月20日正式公布,基于该立法契机和成文法立法传统,为充分融合劳动关系的特殊性和有效保护雇员个人信息,应由前者对之作出一般性规定,即选择劳动法的立法路径。

(四)保护人格尊严、自由与平等是劳动法的应有之义

在讨论劳动法保护的必要性之后,还需解决劳动法保护的正当性问题,即劳动法是否保障个人信息中的精神性人格利益。

个人信息与人格尊严、人格自由存在天然的紧密关系,即便学界对个人信息是否构成一项绝对权存有争议,但取得共识的是个人信息的原旨与价值基础是人格尊严与人格自由,个人信息受保护权实质是对以尊严为核心的基本权利的保护[23]。对此,《民法典》在《人格权》编中确立对隐私权、个人信息保护的二元调整模式,充分彰显人格尊严与人格自由的重要地位。因此,个人信息的首要权益基础是体现人格尊严与人格自由的人格利益。此外,前文分析指出,因样本数据偏差、算法黑箱性、人为故意歧视,基于算法筛选简历常形成对性别、民族、种族等要素的隐性歧视,必然会侵犯求职者的平等就业权,而该权利所保护的实质利益是人格平等利益。可见,雇员个人信息的权益基础是体现人格尊严、自由与平等的精神性人格利益。那么,劳动法是否保障此类精神性人格利益呢?

依传统财产利益、身份利益、物质性人格利益、精神性人格利益(15)如无特别说明,此处及后文的人格利益限于精神性人格利益。的分类法可知,《劳动法》仅对前三者的保护作出相对完备的规定,尚未对精神性人格利益保护作出明确规定。有学者指出,《劳动法》第三条规定的取得劳动报酬权、社会保险权和社会福利权是对财产利益的充分体现,而平等就业权、自由选择权、职业安全权、休息休假权充分彰显出对人身利益的保障[10]65。又如,《劳动合同法》第八十八条仅对侵害劳动者人身权益的法律责任作出具体规定,但不包括侵害人格权益的法律责任。从解释学视角来看,保护人格尊严、自由与平等是劳动法的应有之义。

首先,人格尊严受保护权作为绝对的、不可剥夺的基本权利,理应受到劳动法的保护。我国《宪法》第三十八条规定“中华人民共和国公民的人格尊严不受侵犯”,将之确立为公民的一项基本权利。所谓人格尊严权,是指公民作为法律关系主体的独立人格应受到尊重的权利。从性质上来说,其为公民固有的基本权利,具有自然性、绝对性、不可剥夺、不可转让、不可继承等特征。因此,在劳动给付过程中劳动法应保障雇员的人格尊严不受侵犯,这是基本义务和应有之义。依对《劳动法》第三条的文义解释,劳动者除享有该条文明确列举的权利外,还享有法律规定的其他权利,即处于最高位阶的劳动者作为公民所享有的宪法所赋予的基本权利和劳动者作为民法中的自然人所享有的各项民事权利[24]。

此外,劳动关系的从属性亦不能剥夺雇员的人格尊严,因为劳动者所出让的仅是劳动力使用权而非劳动力所有权,更非出卖雇员自身。依前文分析指出,雇员与一般公民区别的关键标准是前者受劳动关系从属性的影响。从属性意味着雇员应加入雇主的组织生产中,接受雇主的用工管理,依照约定和雇主的命令、指示提供劳动,如在工作的时间、地点、内容、方式等方面都服从雇主的指挥管理,将一定范围的人身自主性让渡给雇主。然而,这并不意味着雇员在工作场所就丧失人身自主性,更非丧失人格尊严与人格自由,因为雇员所出让的只是特定时间内的劳动力使用权,并非劳动力所有权,更非出卖雇员自身。对此,为确保劳动力使用权能被反复使用不受损害,在劳动给付过程中雇主应充分保障雇员的人身自由、人格尊严不受侵犯。可见,从属性不能剥夺雇员作为人所固有的人格尊严与人格自由,只能在一定程度上进行克减。

三、雇员个人信息劳动法保护路径的具体建构

《个人信息保护法》在个人信息保护方面处于基础性、统率性地位,其第七十二条明确排除适用纯粹平等民事主体之间的信息处理和政府机关的统计、档案管理活动中的信息处理。可见,其适用范围限于持续性的信息不平等关系,这类关系的法律性质类似于劳动者与用人单位之间形成的社会法关系,具有不平等性、持续性以及兼具合作与冲突属性[25]。对此,本文将立足劳动关系场合的特殊性,结合《个人信息保护法》与雇员个人信息保护的相似性、交叉性等特征,着重分析如何在未来的劳动基准法中建构雇员个人信息处理的合法性基石、基本处理规则与核心原则。

(一)将缔约或履约必要性作为信息处理合法性的基石

《民法典》将同意规则作为信息处理合法性的基石,但该规则无法保障雇员同意的真实性,也严重忽视雇主用工管理的正当性。鉴于大多数情况下雇主处理个人信息是为满足建立或履行劳动合同的基本需求,为防止雇员个人信息保护落空并保障用工管理自主性,在劳动关系场合宜将缔约或履约必要性作为信息处理的基石,严格限制雇员同意的适用。质言之,原则上单纯的雇员同意不一定构成合法性基础,雇主个人信息处理行为本身必须具有合理性,即处理目的、方式、范围等为订立或履行劳动合同所必需。考察《个人信息保护法》第十三条第一款第二项和国家标准《信息安全技术个人信息安全规范》(以下简称“《安全规范》”)第5.6.1条可知,二者均将之作为信息处理的合法性基础之一。从比较法视野来看,域外制定法、判例法多将该标准作为适用基础,并严格限制同意规则的适用。

首先,欧盟、加拿大等的制定法选择上述做法。例如,欧盟GDPR第七条第四项规定“在数据主体和控制者地位不平衡时,同意不能为数据处理提供法律基础”,第六条第一款b项规定“个人数据的加工是作为合同一方的数据主体履行合同所必需的或是为了满足数据主体订立合同前或订立合同时的要求”,该处理行为视为合法。依对这两项规定的文义解释可知,在劳动关系领域原则上雇员的同意不能单独作为信息处理合法性的基础,雇主信息处理行为须为缔约或履约所必需。同时,依2017年欧盟数据保护工作组发布的《工作中的数据处理意见》(以下简称“2017意见”)可知,就工作中的大部分数据处理而言,因劳资关系的特殊性,雇员同意不能亦不应作为法定处理基础,原则上信息处理的合法基础是为履行劳动合同所必需或履行法定义务(16)Article 29-Data Protection Working Party Opinion 2/2017 on Data Processing at Work,2017,at 6.。又如,芬兰《工作生活中的个人信息保护法》第三条规定,雇主处理个人信息限于为缔结或履行劳动关系所必需,即“与劳动关系中双方权利义务的管理直接相关或为向雇员提供利益或源于某工作的特定性质”。再如,加拿大联邦隐私监管委员会(Federal Privacy Commissioner,FPC)在执行和适用《个人信息和电子通讯保护法》(Personal Information Protection and Electronic Documents Act,PIPEDA)时指出,员工是否对信息收集行为做出同意及其是否真实并非审查重点,相反重点应是信息收集行为本身的合理性,原则上只有当“理性人认为信息处理的目的是适当”时,才可以要求雇员对信息处理作出同意(17)PIPEDA Case Summary 2002-65.。

其次,美国判例法由偏重同意范式转向重视合理商业目的标准,严格限制同意的适用。美国雇员个人信息的保护主要依赖司法能动主义,法院在认定雇员隐私是否受侵害时主要考虑三个因素:雇员是否存在隐私的合理期待,是否构成对雇员隐私的高度侵犯,雇主侵犯雇员隐私是否有合理商业目的[22]62-64。在认定雇员是否存在隐私的合理期待时,传统上美国法院通常遵循同意范式,雇主的信息处理行为有无获得员工同意是司法审查的重点,一旦获得同意,雇员对隐私的合理期待便落空,也即雇员的明示或默示同意会减损其对隐私的合理期待,由此在实践中形成了获取雇员同意这一标准的商业惯例[26]60。然而,该“同意”通常是基于“胁迫”做出的,如员工因受到辞退的威胁才不得不做出同意的决定。可见,同意的形式化无法保障雇员隐私不受侵害,为克服其局限性,美国判例法开始偏重审查信息处理的目的与方式是否合理,无论该信息处理有无获得员工同意。例如,依O’Connor v Ortega案可知,在判断雇主的信息处理行为是否会侵犯员工的隐私时着重考虑信息处理的目的是否合理、信息处理的方式与目的是否合理相关、信息处理方式是否符合最小损害的要求,而对信息处理目的合理性的认定标准主要包括工作相关性或商业目的和对工作相关的不法行为的调查(18)O’Connor v. Ortega, 480 U.S.709 (1987),at 725-726.。之后,美国最高法院在City of Ontario v.Quon案中沿用前述标准,认定本案雇主在收集、处理存放于办公设备中的雇员个人信息时并未侵犯员工的个人信息权,因为“其目的具有合法的工作相关性,且未超过相关范围”(19)City of Ontario v.Quon,560 U.S.746 (2010),at 748.。

关于如何适用该标准,关键是除审查信息处理目的是否为建立或履行劳动合同所必需外,还应考察处理方式是否在必要限度内、处理方式与目的是否合理相关。这既是对美国判例法有益经验的借鉴,更是克服既有司法实践弊端,有效保护雇员个人信息的必由之路。基于这三项判断要素,可得出如下结论:一是在招聘过程中雇主不得询问或处理与缔约无直接关联的求职者敏感信息,例如婚育信息、政治信仰、宗教信仰、个人生物识别信息、性取向、乙肝表面抗原携带信息等敏感信息。二是原则上禁止对员工开展基因检测、生物识别信息监测,除非是为履行特定合同所必需,如核试验室工作人员。三是严格适用该标准来防止无限制的全面监控。如果雇主开展监控的目的是为保障办公场所工作场所安全或是有一定线索指向雇员存在严重违约或违法犯罪行为等情形,此时可认定对之开展监控的目的是合理的,因为它是履行劳动合同所必需。那么,在前述张学娟案中,雇主监控目的是保障工作场所人、财、物的安全,在监控目的上其是合理的,但还应进一步审查监控的方式是否限于最小损害和必要范围内。在前述阴某案中,铁某公司至更衣室拍摄阴某吸烟照片的行为明显超过必要范围,侵犯员工的隐私权或私密信息。美国某些州立法,如Conn.Gen.Stat.§ 31-48b(b)便规定禁止在工作场所中的休息室、储物间等员工休闲区域安装摄像头,一旦违反此规定,雇主将面临罚款,二次违反此规定的,还面临30天监禁[27]1369。四是赋予求职者或雇员撒谎权。在订立或履行劳动合同期间,若雇主欲过度收集与缔约或履约无直接关联的个人信息,求职者或雇员享有撒谎权。质言之,其有权拒绝向雇主提供不具合理关联性的信息,即便其所提供信息不真实也不应认定为欺诈,雇主亦不得拒绝录用或为其他不利待遇。

(二)基于民主程序设定的公开透明隐私政策和单独同意分别处理非敏感信息与敏感信息

在解决雇员个人信息处理的合法性后,接下来必须确立其处理的基本规则。本文认为应依据个人信息的不同类型确立不同的处理规则,这源于不同类型的个人信息被泄露或非法使用可能产生的危害后果差异极大,对保护方式及程度的要求亦迥然有别。《民法典》与《个人信息保护法》基于不同规范目的选择不同的分类法。前者侧重民事权益的类型与保护方法的差异,选择私密信息、非私密信息的二分法;后者侧重个人信息处理行为规范的差异,选择敏感信息、非敏感信息的二分法[28]。因本文的研究目的侧重确定雇主处理个人信息的基本行为规范,选择敏感信息、非敏感信息的分类法。

如何依此分类法确立不同的处理规则呢?解决该问题的关键在于深入理解《个人信息保护法》第十三条第一款第一项、第二项分别将同意、缔约或履约必要性作为合法性基础的规定。二者作为并列性规定,在逻辑上属不相容的关系,因此对建立或履行劳动合同所必需情形,雇主在处理个人信息时不必征求雇员的同意。为深入理解第十三条第一款第二项规定,亟待解决如下四个问题:一是建立或履行合同所必需能否适用于雇主收集敏感信息情形;二是若可适用雇主收集敏感信息,应否征得雇员同意;三是在不必征求雇员同意的情形下,是否仍需保障雇员的知情权;四是在劳动关系场合应如何有效保障雇员的知情权。

首先,若处理雇员敏感信息具有特定目的和充分必要性,在建立或履行劳动合同所必需情形下仍可对之予以处理。对建立或履行合同所必需能否适用于雇主收集敏感信息,《个人信息保护法》并未予以明确,但该法第二十八至三十一条对敏感信息的处理规则作出更为严格的特殊规定,而第二十八条第二款仅对敏感信息处理的合法基础作出原则性规定,即必须具有特定目的和充分的必要性,并采取严格保护措施。基于敏感个人信息与个人信息是特殊与一般的关系,依我国《立法法》第九十二条可知,在法律适用时应优先适用关于敏感信息的特别规定,若无则适用一般规定。可见,如果处理敏感信息符合“特定目的和充分必要性”这一特殊规定,便可适用建立或履行合同所必需情形。

其次,为充分考虑雇员敏感信息的特殊性并契合倾斜劳动者的立法理念,在订立或履行劳动合同所必需范围内处理敏感信息时,应征求雇员的书面同意。依前文分析可知,在建立或履行合同所必需处理个人信息时不必征得个人同意,但基于敏感信息与个人信息是特殊与一般的关系,《个人信息保护法》尚未对该情形下处理敏感信息应否征得个人同意作出明确规定,留待其他法律、行政法规做出更为严格的限制。雇员敏感信息深具特殊性与典型性,其更易遭受侵害且该侵害行为深具持续性,一旦发生泄露或非法使用,对雇员人格尊严、自由、平等和人身财产权利的损害甚为严重。对此,应确立在该情形处理敏感信息应征得雇员的书面同意,即劳动基准法对其形式要求应略严于单独同意。那么,在采集敏感信息前,雇主应充分保障雇员的知情权,在此前提下雇员自主、清晰、明确地做出同意雇主采集、处理其具体敏感信息的意思表示,应当认为是“书面同意”。

再次,在“订立或履行劳动合同所必需”范围内处理非敏感信息时不必征求雇员同意,但在处理前仍应保障雇员的知情权。对《个人信息保护法》第十三条第一款第一项、第二项规定的文义解释可知,建立或履行劳动合同所必需处理的个人信息不必征求雇员同意,但本文认为对该情形处理敏感信息应征求雇员的书面同意,基于敏感信息、非敏感信息的二分法,符合逻辑的推论是在该情形下处理非敏感信息不必征求雇员同意。即便在此情形下不必征得雇员同意,也应充分保障其知情权。这源于《民法典》第一千零三十五条第一款和《个人信息保护法》第十七条的明确规定,不论信息主体以何种法定理由处理个人信息,在处理前均应保障信息主体的知情权,满足透明性规则的要求。前文分析指出,私法中透明性规则的实践效果不可预期,因此问题的关键是如何确保雇主能有效落实透明性规则。

对雇员人数达到一定规模的企业,应通过“民主程序”设定隐私政策并公示。通过民主程序设定隐私政策具有三项特征与优势:一是制定与执行的强制性。《劳动合同法》第四条规定用人单位在制定、修改或者决定直接关涉劳动者切身利益的规章制度或重大事项时,应当通过民主程序进行;同时该法第七十四条第一项、第八十条规定劳动行政部门负责监督检查用人单位有无经民主程序制定与执行规章制度,若发现雇主违反该规定,由其责令改正,给予警告。可见,经由民主程序制定与执行劳动规章制度具强制性。前文分析指出,雇员个人信息上的利益基础本质是人格尊严、自由与平等,那么个人信息保护必然属直接关涉雇员切身利益的事项。对此,对雇员人数达到一定规模的企业,应强制要求其通过民主程序设定隐私保护政策。二是程序上的公正性。这体现为民主程序必须由职工代表大会或全体职工讨论,提出方案和意见,与工会或职工代表平等协商确定。为矫正劳资双方悬殊的地位和实力,契合倾斜保护劳动者的立法理念,《劳动合同法》第四条确立了民主程序机制,通过强制性的职工代表或工会参与来提高雇员的谈判协商能力,保障劳动规章制度的程序公正。否则,若单纯由高度自治性的劳资个体协商方式来确定隐私保护政策,在劳资力量严重不对等情形下,该制度无法产生公正效果。三是高效性。表面上看,由劳资双方依据个案实际需求与特征来协商确定个人信息保护政策更为高效,然而由于劳资力量严重不对等,高度自治性的劳资个体协商方式效率低下[29]。相反,具有强制性、公正性特征的民主程序机制可大为提高其制定与执行的效率。由此可见,经由深具独特性的民主程序制定个人信息保护规章并将之公示,更有助于确保透明性规则的有效实施。

综上,在订立或履行合同所必需的范围内可适用于雇主收集敏感信息情形,但应征求雇员的书面同意。如果其适用非敏感信息处理情形,则不必征求雇员同意,但仍需保障雇员知情权。为有效保障雇员的知情权,在劳动关系场合应要求雇员人数达到一定规模的企业通过民主程序设定隐私政策并公示,因为民主程序机制具有制定与执行的强制性、程序上的公正性、高效性等优势。若劳动行政部门在监督检查时发现雇主违反该规定,由其责令改正,给予警告。至于隐私政策的具体设定,建议由行政机关、工会或企业组织发布有关行为指引,同时依《民法典》第一千零三十五条第一款第三项、《个人信息保护法》第十七条、《安全规范》第5.5条规定确立如下基本要素:处理信息的目的、方式、范围,处理的雇员个人信息种类、保存期限,明示雇员敏感个人信息处理的特殊规则,雇员享有的法定权利及其实现方式、程序,对外共享、转让、公开披露雇员个人信息的规则及责任等。

(三)为遏制用工管理权的滥用宜确立比例原则的核心地位

实践中雇主常滥用用工管理权来侵害雇员个人信息,但雇主又具有用工管理的正当性,受之荫蔽使侵权行为难以被认定为侵权。可见,用工管理权与雇员个人信息权益之间存在严重冲突且后者处于不利地位,亟需确立用工管理权行使的边界,协调劳资双方的权益关系。对此,许多国家或地区的制定法、判例法、指导意见将比例原则视为工作场所个人信息处理的重要原则。

比例原则最初由德国行政司法判例确立,它是行政法的核心原则,原旨在于对限制私权利的立法权或行政权力进行限制,基本要义是强调对私权利进行限制应具备合理性[30]。个人信息权益作为自然人享有的一项私权、相对权,其在行使时理应受到国家权力的限制,即国家可通过立法、行政监管等方式予以限制,但该限制必须具有合理性,否则将对自然人的人格尊严、人格自由造成严重损害。为此,比例原则已成为工作场所个人信息处理的重要原则。

首先,欧盟GDPR第5.1.c项和欧盟《个人信息保护指令》第6.1.c项均规定,个人信息应限于同信息处理目的所相关、必要且符合最小损害要求。同时,“2017意见”指出,无论基于何种法定理由处理雇员个人信息均应遵守比例原则,在处理前应考虑该处理方式是否为实现法定目的所必需,所采取的措施能否将对个人私生活权利和通信隐私造成的损害降至最小(20)Article 29-Data Protection Working Party Opinion 2/2017 on Data Processing at Work,2017,at 3.。在此之前,2001年欧盟数据保护工作组发布的《关于工作场所个人信息处理的第8/2001号意见》指出,比例原则的适用范围非常宽泛,其最重要的影响是雇主应采取损害最小化方式来处理个人信息,在判断是否构成损害最小化时应考虑可能带来的风险、处理的信息范围、处理目的等要素(21)Article 29 Working Party Opinion 8/2001 on the Processing of Personal Data in the Employment Context,at 21.。同时,2002年欧盟数据保护工作组发布的《关于工作场所电子通讯管理与监控的意见》指出,比例原则要求监控必须为实现特定目的所必要、相关和符合最小损害的要求,集体协议是衡量雇主采取的监控措施是否与其面临的风险合乎比例的有益做法(22)Article 29 Working Party Opinion on the Surveillance of Electronic Communications in the Workplace,at 18-19.。

此外,欧洲人权法院在Bărbulescu v. Romania案并未沿用传统的隐私合理期待标准而是运用比例原则来判断雇主信息处理行为是否合法。该案的多数派法官认定,除通过监控雇员的Yahoo邮箱外,雇主尚无其他更有效方式判断雇员是否违反公司邮箱使用政策,因此该监控是符合比例的且是有限的,并未侵犯雇员的个人信息权(23)Bărbulescu v.Romania,App.No.61496/08,Eur.Ct.H.R.(Grand Chamber,2017),para 60.。同时,美国法院在前述O’Connor v. Ortega案、City of Ontario v.Quon案中均强调,在判断雇主信息处理行为是否合法时应审查信息处理方式是否符合最小损害的要求或未超过相关范围。在德国,雇主有权基于合理商业目的来监控雇员的电子通信,然而该监控权必须同雇员的个人信息权益保护相协调,比例原则便是协调二者关系的有效机制(24)See Frank Hendrickx.Protection of Workers’ Personal Data in the EU:Surveillance and Monitoring at Work,at 105.。葡萄牙数据保护监管委员会认定,在求职阶段收集求职者的婚姻状况、子女数量、家庭缺陷、银行账号等信息明显不符合比例原则的要求,构成信息收集过度的违法行为(25)Decision 32/98,published on the Data Protection Authority Report of 1998.。

虽然比例原则主要针对立法权或行政权,但它的基本要义是强调对私权利进行限制的合理性,且它已成为域外个人信息保护立法、指导意见和判例法中的重要原则,这意味着除国家机关之外,平台企业、用人单位等信息控制者在处理个人信息时也应遵循比例原则的要求。由于劳动关系具有从属性、继续性,劳资双方的地位和实力悬殊巨大,在我国劳动关系中也应将之确立为核心原则,以便厘清用工管理权的行使边界,实现对雇员个人信息的有效保护。值得肯定的是,《个人信息保护法》第六条第一款对比例原则做出明确规定。

比例原则的内涵特点如下:一是强调信息处理的手段与目的合乎比例,即该方式为实现特定目的所必需且符合最小损害的要求;二是注重用工管理权益与雇员个人信息受侵扰的程度之间的平衡,在确定权益配置比例时适当向雇员倾斜。可见,比例原则实质是强调适用利益衡量标准。对此,在确定如何适用比例原则时,建议借鉴美国联邦最高院在Mathews v. Eldridge案(26)Mathews v. Eldridge 424 U.S.319 (1976).所提出的利益衡量标准和上述比较法经验,着重考虑如下三要素:一是受雇主信息处理行为影响的个人信息/隐私的重要性程度。个人信息越重要、敏感,就越需严格的处理要求。二是信息处理行为对雇主带来的利益和对雇员个人信息侵害的程度。这既要考虑信息处理目的是否正当,也要考虑处理行为本身的风险。三是信息处理方式的合理性,即该方式是否为实现特定目的所必需、有无其他更有效的替代方式、能否实现损害最小化[31]。

四、结语

劳动者作为自然人,其个人信息理应得到《民法典》的保护,但受劳动关系的从属性、继续性、资强劳弱等特征的复合交叉影响,《民法典》中的同意规则、透明性规则、侵权救济规则对雇员个人信息的保护具有局限性,尤为突出的是侵权行为受到用工管理权的荫庇而难以被认定为侵权。为克服私法规则的局限性,矫正个人信息保护中雇员的不利地位,并为了同国际接轨,有必要引入为学界所严重忽视的劳动法保护路径。对此,应立足于劳动关系场合的特殊性,结合《个人信息保护法》与雇员个人信息保护的相似性、交叉性来建构雇员个人信息处理的合法性基础、基本规则与核心原则。原则上,同意不宜单独作为个人信息处理合法性的基石而应确立缔约或履约必要性标准的基础地位,其在适用时应具备三要件:处理目的是否为建立或履行劳动合同所必需,处理方式是否在必要限度内,处理方式与目的是否合理相关。此外,该标准在适用于敏感信息处理时应征求雇员的书面同意,对非敏感信息则不必征求同意,但应基于“民主程序”设定的公开透明隐私政策来保障透明性,因为它具有制定与执行的强制性、程序上的公正性和高效性特点。为防止滥用用工管理权,宜确立比例原则的核心地位。最后,尽管本文的侧重点在于彰显劳动法路径的制度价值,但不能就此认定私法路径无关紧要,相反,未来应选择私法、劳动法、个人信息保护法并重的综合路径来保护雇员个人信息。