《個人信息保護法》出臺后，關于員工個人信息的處理特別引起企業HR的關注。前不久，上上簽就企業HR數字化轉型與個人信息保護，以及電子簽名數據安全等議題，與相關專家做了深度探討。
1. 程海濤：《個人信息保護法》和《數據安全法》出臺，對正在進行的人力資源數字化轉型有哪些影響？我們先從HR視角開始，請徐老師做一些闡述
徐剛：《個人信息保護法》出臺后，對HR而言是一個不小的挑戰。
首先，HR不是技術出身，對于如何更好地存儲信息，沒有特別強的意識。之前HR在一些日常工作中可能會將員工信息，包括電話號碼、身份證比較隨意地存在自己的網盤上?？赡苡袝r會出現一些信息泄露的情況。
現在基于數字化時代，很多公司都開始運用云的系統。不管是國家的個稅APP，還是現在的電子簽約系統。其實我們都已經離不開云的系統，企業很難離開互聯網的環境單獨存在。
所以在這個情況下，我們又不得不去應對，將一些個人員工的信息數據放在云上。
這時大家就會有很多疑問：
第一，能不能把員工信息放在一些云的系統上？擔心員工數據萬一出問題誰負責？
第二，現在從數字化轉型的角度看，一方面HR要為業務賦能，另一方面最近非常火的詞是員工體驗，我們還要保證員工的體驗。
這時HR會有一些想法：
比如，我們在為員工甚至是為其家人過生日的時候，可能會給他們送去祝福。但這就會牽涉一些個人隱私。另外還有一些個人的人生事件，像結婚生小孩。在這種情況下，我們是否可以利用這些數據，在不征求員工同意的權利下給他們驚喜？
HR的日常工作離不開個人信息、數據，《個人信息保護法》出臺后，我們到底用到什么程度，什么場景才能用，會有很大的困惑。
2. 程海濤：對HR來說，如果數據處理或者使用得不恰當，真有可能把驚喜變成驚嚇。Daniel你怎么看？
上上簽電子簽約解決方案總監Daniel：現在企業跟上云已經分不開了，以前可能很多企業單位的HR會覺得信息掌握在HR部門手里是最安全的。擔心一旦上云出事，如何來處理。
所謂的安全，如果是將其鎖在一個保險箱里無法流動，也不能稱之為安全。所以我們要在合規使用信息的基礎上讓其發揮效用。
現在兩部法律出臺以后，特別是《個人信息保護法》，個人認為“反而是企業如果保有和處理這些個人信息，意味著巨大的風險和投入。如果企業的HR將自己作為個人信息的處理者，法律要求其承擔相應的責任，需要有相應的數字化投入以及確保安全性。”
這對企業而言可能是比較大的負擔，且投入以后是否能做好，畢竟企業在這方面不是專業組織，還有自己的業務范圍，選擇一些專業的云服務廠商可能會做得更好。
專業的人做專業的事情，國家跟國際的標準化組織有相應的體系來保證。讓不懂技術的人也可以通過一些標準體系的認證放心地選擇相應的供應商，這是比較重要的點。
另外，剛才也提到“信息是否可以采集，何時采集，放在哪，怎么用的問題”，上上簽電子簽約作為一家電子簽約廠商，人力資源是非常重要的場景，其中會面臨入職合同的簽署，以及相關入職信息的收取，包括整個員工生命周期的信息處理。
最近我們就發現了一個很有趣的現象，在這兩部法律出臺之前，很多客戶關心其用戶體驗和通過效率。特別是一些勞動密集型企業，會提出“我的用工人員可能文化程度不高，手機也未必是智能的，年齡偏大，能不能采用一些生物識別的方法，例如剛才說的人臉識別、指紋、虹膜。”
但是最近幾個月發生了明顯的變化，很多客戶非常敏感。人力資源總監非常主動地強調“我最好不要有刷臉，我們要避免任何強制地采集用戶個人的任何身份信息。”
當然上上簽電子簽約的系統有這個功能，可以避免這些的使用。從客戶的需求來看，可以看到市場發生了很明顯的變化，而這是兩部法律所帶來的。
3. 程海濤：楊律師，剛才Daniel提到的跟個人身份信息相關的數字化信息，是否能采集？另外徐老師提到要做員工關懷，HR在不經過當事人同意的情況下，是否可以利用這些數據？
楊傲霜律師：這些問題在兩部法律出臺之前就已經存在。人力資源部如果招錄員工，勢必需采集其個人信息，比如員工入職時，要求其提供身份證、銀行卡、社保信息等。
大家注意到在《個人信息保護法》中有一個規定，即個人信息的采集分為兩大主題：
1. 針對員工個人，需征得本人同意；
2. 簽訂勞動合同的必要相關信息，哪怕員工不同意，如果企業要建立勞動關系，則屬于簽訂勞動合同所需的必要信息。對方必須要提供給HR，否則無法建立勞動合同關系。
很多HR問我們，“如果員工不愿意提供其身份證、銀行卡信息，是否可以？”
這要分兩方面，一方面如果是簽訂勞動合同所需的必要信息，比如HR要為其繳納社保，此時就必須提供，如果拒絕提供或者提供一些假信息，企業當然不予以錄用。
另一方面，像徐老師所說的給員工或其家人送祝福、驚喜，這肯定涉及一些非必要的信息。從律師角度看，員工入職是比較長的過程，當中分兩部分信息：
一部分是員工入職后主動提供了個人身份證、學歷證明，上家公司的退工單等，還有一些信息是在入職當中逐漸提供給公司的，比如員工買房、買車，要求公司出相關證明以證明收入情況。甚至有時要報銷醫藥費，會將醫藥費相關的單據提供給公司。有的公司還會為員工購買商業保險，有的高管給孩子報銷學費等。
這一系列信息，該如何處理？
根據法律規定，非必要的信息企業不主動收集。
現在我們發現很多公司為360度地了解員工，會問其血型、星座是什么，然后給員工做九型人格測試。根據這些法律規定，非必要的，企業能不收集就盡量不收集。如果收集，首先要征得員工本人的同意，因為這是和簽訂勞動合同并不直接相關。
另外收集信息后如何處理，我們建議應該和有資質的第三方公司合作。
4. 程海濤：在我接觸的很多企業中，大家在數字化轉型中會先上一套電子簽名系統。以上上簽為例，你們是怎樣系統化地提升電子簽名數據安全的？
上上簽電子簽約解決方案總監Daniel：因為從事電子簽約行業，一路走來，上上簽電子簽約積累了相當多安全技術方面的經驗。
我們依照信息安全等級保護和ISO國際安全標準等構建了自身的安全體系。我們始終保有這樣的認證和相應的專業化團隊，同時也擁有自己的一些核心專利技術。用國際通用并且國家推薦認可的加密算法，對收集到的用戶信息不僅僅是個人信息，包括企業的重要信息進行相對應的加密，這些加密內部員工非授權無法訪問。這對我們客戶而言是非常重要的保護。
僅有這些還不夠，我們很多時候還充當顧問或咨詢的角色。
業務上我們向客戶的人力資源團隊學習，改進產品。而在電子簽約和相關的信息安全保護方面，我們是專家。
在兩部法律出臺之前，我們就經常跟客戶討論。當客戶需要提供一些信息，或者需要我們替客戶向員工收集一些信息時，上上簽電子簽約一直都非常堅持讓客戶理解“為什么我們一定要告知員工、用戶這些簽約的相對方，他在使用一個怎樣的平臺，在提交何種信息，用于哪些用途”，我們會給客戶提供相關的幫助，比如幫助其完善隱私政策和告知文書，通過這些業務流程梳理和文書的告知完成相應的簽署。
《個人信息保護法》實際上是把這些場景變成一個必須要告知和簽署的場景，對企業和個人而言是雙重的保護。避免了企業的很多僥幸心理，減少了未來法律糾紛的可能性。
上上簽電子簽約可以在這方面提供更好的基礎設施，給企業提供電子簽名技術保障。用我們專業的咨詢服務幫助確保企業在該獲得授權的地方獲得授權，且該授權本身是不可篡改的電子簽名文件，從這樣的角度幫助企業真正把《個人信息保護法》落到實處。
備注：
