《個人信息保護法》已經頒布了，并且將于今年的11月1日開始正式實施。企業該如何收集員工的個人信息，如何使用員工的個人信息，終于有了法律依據。

本來是一件可喜可賀的好事，結果一群民科級的磚家又出來搗亂了，口口聲聲說，從11月1日之后，用指紋、面部識別等技術的考勤都是非法了嗎？

一、識別是不是民科的基本方法

我先普及一下什么是民科。民科是民間科學家的簡稱，本來是一個中性詞，但是就和公知一樣，現在已經從一個中性詞變成了貶義詞，基本上可以理解為缺乏最基本的科學素養，但是偏偏喜歡搞一些基于錯誤的所謂科學理論發明創造。說他們是業余都是客氣的，基本上就是外行裝內行，還要裝大拿的那種。

民科級的法律磚家在勞動法領域真的是挺多的，也不知道為什么，其他法律領域里還真沒見過這么多。我也算是跨法律領域的人了，覺得有資格評價一下這個現象。

判斷一個人是不是民科級法律磚家，有一個很顯著的標志，那就是看這個人看法律條文的時候，是不是僅關注那些具體的法條規定，還是能比較完整地理解整部法律的立法意圖，特別是對總則部分的理解和把握。因為這部分內容比較抽象，沒有扎實的法律功底，根本無法理解這部分的內容。總以為這部分都是官樣文章，每部法律都差不多，沒有太多的實際意義。所以，很多民科級的磚家都以背誦某部法律的具體條文為榮，以為能背下來了，自己就成了專家了。

二、企業該如何收集員工個人信息

其實在《個人信息保護法》里已經把包括用人單位和用工單位在內的個人信息處理者的基本行為規范都在總則中說清楚了。比如，第二條規定了個人信息依法保護原則，第三條規定的屬地兼屬人原則， 第四條規定了個人信息的定義和范圍，第五條規定了處理個人信息的正當誠信原則，第六條規定了合理目的和范圍原則，第七條規定了公開透明原則等等。

這些基本規定都是根據以往多年來，個人信息在使用中過的問題而采取的針對性措施。比如，超過使用目的的合理范圍收集個人信息，以及通過各種誤導性的鏈接等收集個人信息等等。大家應該對這些年來各種手機APP惡意收集個人信息的事情印象深刻。工信部多次對那些違規的APP采取下架、封殺的措施。但是那些都是通過行政手段采取的措施，現在從國家立法的高度來杜絕這種情況，是一個很大的進步。

同樣，企業在收集員工信息的時候，也應當遵循這個原則。因此，那些超過員工任職要求的信息，企業是否還能繼續收集呢？收集之后會有什么后果呢？我們要看看后面的司法實踐會對此做出什么樣的解答。最典型的就是對員工的婚育情況、家庭成員情況是否還有權收集？如果打聽員工的婚育情況和家庭成員是非法的，那么貴公司還敢不敢錄用女員工？ 三、指紋打卡和面部識別考勤還行不行

這里涉及到兩個法律條文，首先是該法的第十三條第一款第（二）項規定了，為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需，個人信息處理者是可以處理個人信息的。

對員工考勤顯然屬于人力資源管理的工作內容，因此，從原則上說，通過指紋打卡和面部識別技術來考勤，是合法的。而且第十三條第二款還規定，出于人力資源管理目的的處理個人信息是不需要征得個人同意的。

另外，該法第二十八條規定敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。

指紋和面部識別顯然屬于生物識別技術，是敏感信息的一部分。因此，非必要，不收集。在有必要且采取了嚴格保護措施的情況下，指紋打卡和面部識別考勤，仍然是合法的。

同時第二十九條規定了處理敏感個人信息應當取得個人的單獨同意。

這里有人可能開始腦子昏了。前面還說不需要個人同意，這里又說要個人單獨同意了。到底聽誰的呀？

《立法法》不是有規定嗎？一般條款與特別條款都有規定的，特別條款優先適用。因此，如果需要通過生物識別技術和采集員工行蹤軌跡來進行人力資源管理的，就需要員工同意。那么哪些不需要員工同意呢？只要不涉及敏感信息的范疇，就不需要員工單獨同意，所以傳統的那種用打卡機考勤的就不需要。

現在問題都清晰了，這些我們現在經常使用的人力資源管理手段不是不能用，而是有了前提條件，第一，要員工個人同意，第二，要采取嚴格保密措施。

如果一個企業才幾十個人的，補個手續很簡單。如果有幾百、上千，甚至上萬人怎么辦？這個時候如果有工會的話，就簡單多了，集體合同弄個補充協議就行。沒有工會的，或者覺得工會的集體合同還不足以讓自己的放心的，那逐一和員工簽訂勞動合同的補充條款，也不是不行哦。