《個保法》是專門針對個人信息保護領域的立法，覆蓋了個人信息處理活動的各個環節，為個人信息處理者設定了一系列的義務。但《個保法》的適用或解釋尚不完善，一些條款在落地的時候還存在爭議之處，很多企業在依法履行員工個人信息保護義務的過程中也會因為缺乏明確的指引而陷入迷茫。

本所就實踐中較為常見的員工個人信息管理問題進行探討，以期幫助企業更合規、有效地履行個人信息保護義務。

一、如何理解為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需？

《個保法》第十三條規定：符合下列情形之一的，個人信息處理者方可處理個人信息：（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需；依照本法其他有關規定，處理個人信息應當取得個人同意，但是有前款第二項至第七項規定情形的，不需取得個人同意。

因此，當滿足如下條件時，個人信息處理者本應當基于同意進行個人信息處理活動的可以不取得個人主體的同意：

1.為訂立、履行個人作為一方當事人的合同所必需?！?a style='color:#2f2f2f;cursor:pointer;' href='http://www.i8ybdn.cn/laws-7771.html'>勞動合同法》第八條規定：用人單位有權了解勞工與勞動合同直接相關的基本情況。一般而言，員工的姓名、住址、身份證號碼（或其他有效身份證件號碼）、健康狀況、知識技能、工作經歷等信息是與勞動合同直接相關的基本個人信息

2.按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需。除了勞動合同的訂立和履行，企業在日常進行人力資源管理過程中還會處理員工的其他個人信息，包括薪酬信息、病假證明、緊急聯系人信息等等。。 二、單獨同意是否可以適用豁免同意的條款？

如上所述，當滿足《個保法》第十三條第一款第二項至第七項[3]規定的情形時，基于同意的個人信息處理活動可以豁免同意的取得。

在目前尚欠官方解釋或執法實踐的情況下，我們認為企業宜選擇更為謹慎的解讀，即在法定需要獲得個人主體單獨同意的情形下要求員工簽署單獨的同意書（同時也建議企業在規章制度中予以規定）。畢竟，單獨同意所涉及的均是對個人利益影響較為重大的事項，對這些個人信息處理活動本身的必要性要求就應當高于僅基于同意的處理活動。企業也需要靈活應對，不應死板地遵循必須取得個人單獨同意的要求。

三、向第三方提供員工個人信息需要注意什么？

在實踐中，企業很難避免將其合法收集的員工個人信息提供給第三方進行處理?！秱€保法》對于將個人信息提供給企業以外的第三方做了區分：委托處理以及向其他個人信息處理者提供個人信息。在企業管理實踐中，企業需要根據其與第三方之間的關系以及個人信息處理活動的性質先確定會落入前述哪種情形下，再履行相應的義務。

企業在處理員工個人信息時當然可以適用上述條款以提高管理效率，但在實操過程中仍然需要注意該等適用的邊界，以免落入違法處理員工個人信息的范疇。