基本案情

马某与某环保公司已连续两次签订固定期限劳动合同。第二次劳动合同期满前，某环保公司以马某严重违反规章制度为由，决定不续签无固定期限劳动合同。马某认为其不存在违反公司规章制度的行为，某环保公司不续签劳动合同属于违法解除劳动合同，故诉至法院请求判令某环保公司支付其违法解除劳动合同赔偿金。

某环保公司称，马某存在伪造病假、骗取休假等违纪行为，违反了公司奖惩制度规定，并提交了马某与公司同事的微信聊天记录予以证明。但公司未能说明证据来源合法性。

裁判结果

北京市第二中级人民法院生效判决认为：某环保公司称其提交的微信聊天记录截图系其从马某工作电脑中已经删除的数据中自行恢复所得，不论该微信聊天记录内容为何，其系专属于马某的个人信息，应当在马某充分知情的前提下，自愿、明确作出同意处理个人信息后进行恢复和采集。现该公司擅自恢复员工已删除数据并采集该信息作为内部处分依据及本案证据的行为，构成对马某个人信息的不当使用，亦违背了个人信息保护的核心要旨，故对该证据不予采信。

法官评析

法院在审理劳动争议案件时，不宜因用人单位享有用工管理权而忽略劳动者个人信息权益的保护，应通过合法性、正当性、合理性三方面对用人单位信息处理行为予以审查，进行证据能力认定，以规范用人单位的用工行为。

一、知情同意：用人单位信息处理的合法性基础

取得个人同意是个人信息处理者处理信息的首要条件，该同意应当由个人在充分知情的前提下自愿、明确作出。

（一）劳动合同可视为对用人单位的概括授权

依据《个人信息保护法》第十三条规定，用人单位可基于“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”，对劳动者信息进行收集处理。因此，基于劳动关系的特殊性及用人单位用工管理的现实需求，用人单位与劳动者签订劳动合同的行为，可视为劳动者概括同意了用人单位基于用工管理需要对自身必要信息进行收集处理。

（二）非必需信息处理需另获劳动者明示同意

当用人单位超越用工管理需要处理个人信息，或为了用工管理需要而处理敏感信息时，就应该遵循知情同意原则的基本逻辑——充分告知并取得劳动者明示同意，劳动者也享有撤回同意的自决权。本案中，某环保公司获取马某私人聊天记录的行为，一方面是为了对马某进行处分而收集的个人私密信息，另一方面是为了赢得诉讼胜利而收集的证据材料，均超越了劳动合同涵盖的概括授权范围，侵害了马某享有的个人信息权益。

二、目的限制：用人单位信息处理的正当性审查

《个人信息保护法》第六条第一款规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。”劳动关系中，用人单位收集处理员工信息的目的应明确、合理，且与用工管理直接相关。法院在以目的原则对用人单位信息处理行为进行评价时，可以目的相容性、可接受性、用工相关性为判断标准进行审查。

（一）信息收集与后续处理的目的相容性

信息收集是信息处理所有环节的开端。一方面，用人单位收集劳动者个人信息时，要明确告知劳动者收集信息的目的、原因及收集范围。例如，为支付工资而要求劳动者提供银行账号信息，就具有明确具体的使用用途；而用人单位通过安装电脑监控软件随时获取信息的行为，就缺乏明确的使用目的。另一方面，信息收集的初始目的，应与用人单位后续处理信息的目的具有较强相关性。例如，用人单位收集劳动者体检信息原本系出于保障劳动者劳动安全的目的，但后续将体检信息作为末位淘汰制考核指标加以利用，信息收集与使用的目的相差较大，亦超出劳动者可能预期的体检信息使用途径，不符合目的应明确具体的原则要求。

（二）信息处理目的具有可接受性

《个人信息保护法》提到的目的合理，即要求用人单位收集信息的目的具有可接受性，充分考虑用工管理需要与一般理性人的接受程度。例如，用人单位在公车上安装GPS定位系统、在办公场所安装视频监控等行为，若出于防止公车私用或维护公私财物安全之目的，则具有正当性。但上述行为若出于窥探劳动者隐私、为日后可能出现的诉讼广泛收集证据材料的目的，则超出正常工作需要，严重侵害了劳动者个人信息甚至隐私的边界，用人单位由此收集到的证据材料亦不应被法院采信。

（三）信息处理应与用工管理具有关联性

用人单位需基于劳动需要进行信息处理行为，不得超出其业务范围开展信息收集活动。法院在审查用人单位信息处理行为与用工管理是否具有关联性时，应结合用人单位营业范围、具体场景、劳动者岗位、政策要求等因素综合判断。例如，对于从事餐饮工作的厨师或服务员，餐饮企业应当收集劳动者健康信息，了解劳动者是否具有不宜从事餐饮工作的传染病等疾病，而对于普通单位的一般劳动者，或虽在餐饮企业但从事财会等非一线岗位工作的劳动者而言，劳动者的体检健康信息应属于其个人隐私，用人单位不得随意收集。

三、比例原则：用人单位信息处理行为的合理性判断

比例原则要求个人信息处理者所采取的措施与其所达到的目的之间必须相称。比例原则虽未在《个人信息保护法》中明确出现，但第六条中关于“采取对个人权益影响最小的方式”“收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息”的表述，实质上体现为比例原则。

（一）信息收集应遵循数据最小化

大数据时代海量信息的交叉比对，使用人单位更容易刺穿劳动者隐私的保护罩。此时，用人单位的过度收集行为不仅侵害了劳动者的个人信息权益，也会侵害劳动者的隐私权。因此，法律上的信息收集并非鼓励“多多益善”，而应遵循“点到为止”。当用人单位能以较少的数据实现管理目的时，用人单位就应选择数据最小化的方式。

（二）“损害-收益”成正比

用人单位用工管理权的“收益”，是以劳动者“损害”部分个人信息权益实现的。实践中，用人单位掌握着管理手段的弹性与尺度；而劳动者对用人单位的依赖，降低了劳动者对个人信息保护的警惕性，而信息不对称及技术壁垒增加了劳动者发现用人单位侵权行为的难度。因此，法院可通过劳动者权益的损害程度与用人单位所获利益是否成正比判断信息处理行为的合理性。且若有更少侵犯利益的方式能够达到同种目的，用人单位就应选择权益损害更小的方式。

四、结语

劳动关系中的个人信息保护，应考虑劳动关系的特殊性。本案中，法院就用人单位信息处理行为进行了合法性、正当性、合理性审查。用人单位利用管理便利，侵害劳动者个人信息权益而获取的证据，法院应不予采信。劳动者与用人单位签订劳动合同的行为，宜视为劳动者对用人单位的概括授权，是用人单位信息处理的合法性来源之一。用人单位信息处理行为，应以劳动者知情同意为基础，处理目的应明确、合理，且与用工管理直接相关，并应选择对劳动者权益影响最小的方式进行。