近日，隨著防控形勢的變化，各行各業正在逐漸的陸續開啟“復工模式”。為深入貫徹落實中央、市委關於新冠肺炎疫情防控工作部署，切實維護中小微企業合法權益，幫助企業共渡難關和穩定發展的精神。北京律師行業積極響應，主動作為，依託北京市律師協會相關專業委員會及民營企業法治體檢專家組，經市律師協會審核，挑選一批政治過硬，具有一定政策理論水平，熟悉企業法律事務，熱心公益，工作作風紮實的律師精心組建了北京市中小微企業律師服務團。同時，各律師事務所也充分發揮律師職能作用，通過多種渠道宣講政策法律，開展公益法律諮詢，對中小微企業進行法治體檢，為企業復產復工保駕護航，為社會秩序快速恢復和企業發展貢獻首律力量。
北京律協微信公眾號開設專欄《全力以“復” | 助力企業復工復產 北京律師在行動》。我們將陸續為您介紹在疫情防控期間，首都律師用實際行動，踐行初心使命，勇擔社會責任，為中小微企業復工復產提供堅實的法律保障，今天為大家帶來第十期。
返程復工員工個人信息收集與保護重點問答
北京市君合律師事務所
前言
時至今日，疫情發展超乎最早的想象。下一階段將會迎來返程復工的高潮。目前我們也注意到為了保證疫情控制和市民的安全，不同的機構和途徑，都會採用各種方式收集個人信息並進行處理和分析。在這個過程之中，對於如何能夠合法合規的收集信息、最小程度的影響被收集的信息主體的權利，並且能夠有效地實現疫情防控是一個非常大的挑戰，也是在以往的信息收集和處理的法律問題上沒有遇到的艱難的課題。另一方面，企業在積極防範疫情的過程之中，如何應對遠程辦公所帶來的網絡和信息保護的挑戰，也是另外一個相關的問題。
我們在此後會通過幾篇相對比較簡短的文章，用我們在相關法律領域的知識和經驗，對這些涉及的問題做一些思考和解答，供大家參考。
本篇之中，我們將從企業的角度出發，結合我國現行法律法規對個人信息保護的具體要求，以問答的方式，簡要解答企業在員工返程復工後有關復工員工個人信息收集與保護的實操問題。由於篇幅所限，我們沒有展開詳盡的法律分析或理論探討，力求在有限篇幅內提供給公司整體的思路和原則。
企業收集員工信息的法律依據是什麼
《傳染病防治法》第12條規定，在中華人民共和國領域內的一切單位和個人，必須接受疾病預防控制機構、醫療機構有關傳染病的調查、檢驗、採集樣本、隔離治療等預防、控制措施，如實提供有關情況。疾病預防控制機構、醫療機構不得洩露涉及個人隱私的有關信息、資料。《突發公共衛生事件應急條例》第21條規定，任何單位和個人對突發事件，不得隱瞞、緩報、謊報或者授意他人隱瞞、緩報、謊報。
可見，疫情之下，企業和個人都具有參與防控、如實提供相關信息的法律義務。因此，若有權主管機關要求，企業需要收集員工的有關信息，及時向疾控部門和相關部門彙報。
收集復工員工的個人信息是否需要員工同意
根據《網絡安全法》的規定，個人信息的收集目的、方式和範圍都應明確告知被收集者，且須經被收集者同意後方可收集1。此外，根據中央網絡安全和信息化委員會辦公室於2020年2月4日發佈的《關於做好個人信息保護利用大數據支撐聯防聯控工作的通知》（以下簡稱“《通知》”）的規定2，未經復工員工的同意，企業不得以疫情防控和疾病防治為由擅自收集其個人信息。
綜上，我們建議，企業出於疫情防控和保障全體員工健康的目的，需要收集復工員工與疫情相關的個人信息時，應遵循知情同意原則，在明確告知員工收集其個人信息的目的、方式和範圍並取得其同意後，方可收集。
收集個人信息的範圍
根據《網絡安全法》的規定，個人信息的收集應遵循合法、正當、必要的原則3。此外，《通知》也再次強調了疫情期間個人信息的收集應堅持“最小範圍原則”。因此，即使當前疫情防控形勢仍然嚴峻，我們建議企業仍應當注意評估收集方式和範圍的必要性，堅持在與做好疫情防控、保障復工員工的健康和企業有序生產經營密切相關的最小範圍內，收集復工員工的個人信息。
例如，考慮到相關專家認為本次新冠肺炎的潛伏期為3-14天，收集員工過往14天去過的城市，可能是疫情防控所必要的信息，但要求員工提供過往30天的詳細行蹤記錄，則有待商榷。又例如，要求員工提供近期的健康狀況，是否有發熱、咳嗽等情況，在疫情防控的前提下是有必要的，但要求員工提供既往慢性病史則沒有直接的關聯，不建議收集。
此外，為方便企業，我們根據國務院應對新型冠狀病毒感染肺炎疫情聯防聯控機制發佈的《企事業單位復工復產疫情防控措施指南》（以下簡稱“《復工措施指南》”）的具體要求4，簡要總結了一般企業做好內部疫情防控所需收集的員工個人信息種類，供大家參考：
- 員工的身份信息，如姓名、身份證號；
- 員工的聯繫方式，如手機號碼；
- 員工近期的健康生理信息，如近期內是否出現過發熱、咳嗽、呼吸困難等新冠肺炎疑似症狀或確診病史等；
- 員工 近期內的行程信息，例如員工返程復工途中搭乘的交通工具班次、近期內在疫情發生地區的居住史或旅行史等。
綜上，企業收集復工員工的個人信息，既要滿足疫情防控和保護全體員工健康的需要，掌握員工健康狀況和近期動態；收集的過程中也要注意擬收集的復工員工個人信息與疫情防控的關聯性及必要性，避免籠統地大量收集員工個人信息，給企業帶來不必要的合規風險。
企業收集員工與疫情相關個人信息後如何報告和披露
根據《傳染病防治法》5以及《復工措施指南》6的要求，企業需要向疾病預防控制機構以及醫療機構如實報送與疫情防控相關的情況。因此，企業在收集復工員工與疫情相關的個人信息後，需要按照各地的疾病預防控制機構或醫療機構的具體要求，及時報送相關信息。
除履行上述法律、法規規定的報送義務外，企業如需要向第三方提供或公開其所收集的復工員工與疫情相關的個人信息的，則需要另行徵得員工的同意。《通知》強調，即使在疫情防控的特殊時期，任何單位和個人未經被收集者同意，不得公開姓名、年齡、身份證號碼、電話號碼、家庭住址等其個人信息，因聯防聯控工作確有需要並且需公開的個人信息並且經過脫敏處理的除外7。我們建議，如企業確有需要向其他第三方提供或公開該等個人信息的，應首先與員工做好溝通，徵得其同意；如員工不願公開，而企業因疫情防控確有必要進行公開的，應在公開前做好個人信息的脫敏工作。
企業收集的復工員工與疫情相關的個人信息可以存儲多久
根據《信安規範》的要求，個人信息的保存應當滿足最小化的要求，個人信息的保存時限應當是實現個人信息收集、處理目的的最短時間，在超過保存時限後，應當及時對個人信息進行刪除或進行匿名化處理。
因此，我們認為，企業在員工返程復工後收集的員工與疫情相關的個人信息，應當在滿足疫情防控目的最短時限內進行保存。一般而言，在國家及各地方政府尚未宣佈疫情防控工作結束前，企業仍有必要妥善保存該等個人信息。在疫情防控工作結束後，除部分企業確有必要延長保存時限且已取得相關員工同意的，應及時刪除或進行匿名化處理。
對於與工作場所有關的第三方信息收集是否應配合
企業在參與防疫工作時，除本地政府可能要求企業提交員工的相關個人信息外，企業還可能面臨第三方要求提交相關信息的情況，例如，企業所在寫字樓物業。我們建議企業考慮以下幾點來處理這類情況：
- 如第三方要求的信息不屬於個人信息時，我們建議企業予以配合。例如，要求員工進入物業前測量體溫，但無需提供姓名等個人信息的。
- 如第三方要求提供個人信息的，企業應當考慮該等第三方是否為《傳染病防治法》、《突發公共衛生事件應急條例》項下規定的授權機構，如屬於授權機構、並且要求的個人信息類型確屬防疫必需的，企業應當配合提供。
- 如第三方不是以上授權機構，企業可要求該等第三方提供其獲得授權的文件。第三方無法提供授權文件的，企業不應向其提供員工個人信息。
- 如第三方要求提供的個人信息明顯與疫情防控無關的，企業應拒絕向其提供相關個人信息。
注：
1.《網絡安全法》第四十一條，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和範圍，並經被收集者同意。
2.《關於做好個人信息保護利用大數據支撐聯防聯控工作的通知》
第一條，各地方各部門要高度重視個人信息保護工作，除國務院衛生健康部門依據《中華人民共和國網絡安全法》《中華人民共和國傳染病防治法》《突發公共衛生事件應急條例》授權的機構外，其他任何單位和個人不得以疫情防控、疾病防治為由，未經被收集者同意收集使用個人信息。法律、行政法規另有規定的，按其規定執行。
3.《網絡安全法》第四十一條，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和範圍，並經被收集者同意。
4.《企事業單位復工復產疫情防控措施指南》
（一） 做好員工健康管理。……各單位要切實掌握員工流動情況……
（二） 實行健康狀況報告。……要每天彙總員工健康狀況……
5.《傳染病防治法》第十二條，在中華人民共和國領域內的一切單位和個人，必須接受疾病預防控制機構、醫療機構有關傳染病的調查、檢驗、採集樣本、隔離治療等預防、控制措施，如實提供有關情況。疾病預防控制機構、醫療機構不得洩露涉及個人隱私的有關信息、資料。
6.《企事業單位復工復產疫情防控措施指南》
（各單位）要每天彙總員工健康狀況，向當地疾控部門報告，發現異常情況及時報告並採取相應的防控措施。
7.《關於做好個人信息保護利用大數據支撐聯防聯控工作的通知》第三條，為疫情防控、疾病防治收集的個人信息，不得用於其他用途。任何單位和個人未經被收集者同意，不得公開姓名、年齡、身份證號碼、電話號碼、家庭住址等個人信息，因聯防聯控工作需要，且經過脫敏處理的除外。
閱讀更多 北京市律師協會 的文章
