执笔：日本律师　　森　进吾
　　　中国法顾问　张　靖婧
　　　　　　　　　夏　惜墨

　　随着中国《个人信息保护法》的正式实施，在公司内部合规调查中平衡与员工个人信息的合规性显得更为重要。在公司内部调查的过程中，公司不可避免地涉及到对员工个人信息的识别、收集、调查、使用等场景。

　　在公司打算调查自身员工的合规问题时，首先会做的是检查该员工持有的公司设备（比如公司电脑、公司发放的手机、平板电脑、公司邮箱、公司软件程序等），以获取其违规的证据。但实践中仍然有不少员工会超出业务所需，使用公司设备处理个人事务。

　　该情况下，在未取得员工个人同意的基础上，公司如调查自身员工的合规问题获得了员工在公司设备的个人信息，是否会被认为是侵犯员工隐私？其处理行为是否正当？

　　换言之，未经员工单独同意，公司利用用工管理权获得的员工个人信息可否作为证据使用？本次将结合以下两个案例对公司获取的员工个人信息作为证据使用的正当性进行说明。

【案例1】 ^[1]

　　冯某是A公司的人事经理，A公司为确认冯某是否存在违规行为，在没有告知冯某的情况下拷走其工作电脑中包含照片及个人日志等个人信息的全部资料进行内部审计。之后，A公司以冯某严重违纪为由与其解除了劳动关系。冯某则以A公司侵犯员工隐私权为由诉至法院。

　　法院认为：A公司进行内部审计取证的电脑属于工作电脑而非私人电脑，A公司对工作电脑享有所有权及管理权；其次，在A公司对冯某工作电脑进行审计取证的过程必然拷走全部电脑资料，且本院认为工作电脑中本不应当存放私人照片及个人日志……故认为，A公司以内部审计为目的，对公司所有的工作电脑进行取证的行为系公司管理权范畴，单位员工以其工作电脑中存放个人照片及其他个人信息为由拒绝公司对工作电脑进行检查与管理的抗辩主张不应得到支持。

【案例2】^[2]

　　马某担任B公司人力资源经理岗位工作，已经签订两次劳动合同。2020年12月29日，B公司因马某严重违反公司规章制度，决定不与马某续签劳动合同。后马某与B公司协商续签无固定劳动期限合同未果，遂以B公司违法解除劳动合同为由诉至法院。

　　B公司主张马某两次违反公司规章制度，符合不续签劳动合同的条件。为证明其主张，B公司提交马某与同事微信个别聊天记录截图（以下简称“个别聊天记录截图”）、《给予马某警告处分的通报》等证据予以佐证。该个别聊天记录截图系其从马某工作电脑中已经删除的数据中恢复所得。

　　法院认为：本案争议焦点为B公司在第二次劳动合同到期后不续订劳动合同的行为是否符合法律规定，本质上是取决于B公司主张马某违反公司规章制度的证据是否充分、有效。B公司依马某与同事的个别聊天记录截图作出《给予马某警告处分的通报》，庭审中，B公司不能对其取得马某与同事的个别聊天记录截图的合法性进行举证和说明，法院对其提交的个别聊天记录截图及《给予马某警告处分的通报》均不予采信。综上，B公司以马某严重违反公司规章制度为由拒绝续订无固定期限劳动合同，缺乏事实及法律依据。

　　需要指出的是，对于个别聊天记录截图的合法性，法院认为，一审中B公司称其提交的个别聊天记录截图系其从马某工作电脑中已经删除的数据中恢复所得，不论该个别聊天记录截图的内容为何，其系专属于马某的个人信息，应当在马某充分、知情的前提下自愿、明确作出同意处理个人信息后进行恢复和采集。B公司擅自恢复员工已删除数据并采集作为内部处分依据及本案证据的行为，构成对马某个人信息的不当使用，亦违背了个人信息保护的核心要旨。

【律师意见】

　　综合上述两个案例情况，都是公司调查员工的合规问题时，通过公司设备（工作电脑）获得员工个人信息的案例。

　　案例一为个人信息保护法施行前的案例。在该案例中，公司通过其所有的工作电脑对保存在其中的员工个人信息进行复制等的行为系公司管理权范畴，由此取得的信息可以作为证据采用；而案例二为个人信息保护法施行后的案例。案例二的观点中，公司擅自将其所有的员工工作电脑中已经删除的个人聊天记录进行恢复的行为构成对马某个人信息的不当使用，由此取得的信息不得作为证据采用。

　　因此，处理保存在公司设备的电脑中的个人信息被评价为合法的一方面，也有擅自恢复被公司设备的电脑中删除的个人信息的行为被判断为违法的案例。

　　从上述的裁判观点的差异性来看，在进行内部合规调查中，建议公司采取以下对策：

　　１、根据《个保法》第十三条第二项^[3]，建立劳动规章制度，明确约定员工信息处理规则，前述政策应经职工代表大会讨论、公示等法定程序，且处理员工个人信息应为“实施人力资源管理所必需”^[4]；

　　２、考虑个人聊天记录被视为超出“实施人力资源管理所必需”之情况^[5]，根据《个保法》第十三条第一项^[6]，建议公司调查员工个人聊天记录时，要求其签署知情同意函，以取得员工个人明示同意。

---

[1] (2013)高新民初字第3673号

[2] 一审：（2021）京0106民初21840号、二审：（2022）京02民终1072号

[3] 《个人信息保护法》第十三条　符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

[4] 《企业内部调查｜员工个人信息保护不能忽视的合规问题》（https://mp.weixin.qq.com/s/zD4U4ci3xFVOP0QfUzhP_g ）

[5] 《用人单位能否恢复公司电脑中离职员工的聊天记录？丨威科先行》（https://mp.weixin.qq.com/s/e85smU3aMfyMamR8UwrL6Q ）

[6] 同3。