《個人信息保護法》已經(jīng)頒布了，并且將于今年的11月1日開始正式實施。企業(yè)該如何收集員工的個人信息，如何使用員工的個人信息，終于有了法律依據(jù)。

本來是一件可喜可賀的好事，結(jié)果一群民科級的磚家又出來搗亂了，口口聲聲說，從11月1日之后，用指紋、面部識別等技術(shù)的考勤都是非法了嗎？

一、識別是不是民科的基本方法

我先普及一下什么是民科。民科是民間科學(xué)家的簡稱，本來是一個中性詞，但是就和公知一樣，現(xiàn)在已經(jīng)從一個中性詞變成了貶義詞，基本上可以理解為缺乏最基本的科學(xué)素養(yǎng)，但是偏偏喜歡搞一些基于錯誤的所謂科學(xué)理論發(fā)明創(chuàng)造。說他們是業(yè)余都是客氣的，基本上就是外行裝內(nèi)行，還要裝大拿的那種。

民科級的法律磚家在勞動法領(lǐng)域真的是挺多的，也不知道為什么，其他法律領(lǐng)域里還真沒見過這么多。我也算是跨法律領(lǐng)域的人了，覺得有資格評價一下這個現(xiàn)象。

判斷一個人是不是民科級法律磚家，有一個很顯著的標志，那就是看這個人看法律條文的時候，是不是僅關(guān)注那些具體的法條規(guī)定，還是能比較完整地理解整部法律的立法意圖，特別是對總則部分的理解和把握。因為這部分內(nèi)容比較抽象，沒有扎實的法律功底，根本無法理解這部分的內(nèi)容。總以為這部分都是官樣文章，每部法律都差不多，沒有太多的實際意義。所以，很多民科級的磚家都以背誦某部法律的具體條文為榮，以為能背下來了，自己就成了專家了。

二、企業(yè)該如何收集員工個人信息

其實在《個人信息保護法》里已經(jīng)把包括用人單位和用工單位在內(nèi)的個人信息處理者的基本行為規(guī)范都在總則中說清楚了。比如，第二條規(guī)定了個人信息依法保護原則，第三條規(guī)定的屬地兼屬人原則， 第四條規(guī)定了個人信息的定義和范圍，第五條規(guī)定了處理個人信息的正當誠信原則，第六條規(guī)定了合理目的和范圍原則，第七條規(guī)定了公開透明原則等等。

這些基本規(guī)定都是根據(jù)以往多年來，個人信息在使用中過的問題而采取的針對性措施。比如，超過使用目的的合理范圍收集個人信息，以及通過各種誤導(dǎo)性的鏈接等收集個人信息等等。大家應(yīng)該對這些年來各種手機APP惡意收集個人信息的事情印象深刻。工信部多次對那些違規(guī)的APP采取下架、封殺的措施。但是那些都是通過行政手段采取的措施，現(xiàn)在從國家立法的高度來杜絕這種情況，是一個很大的進步。

同樣，企業(yè)在收集員工信息的時候，也應(yīng)當遵循這個原則。因此，那些超過員工任職要求的信息，企業(yè)是否還能繼續(xù)收集呢？收集之后會有什么后果呢？我們要看看后面的司法實踐會對此做出什么樣的解答。最典型的就是對員工的婚育情況、家庭成員情況是否還有權(quán)收集？如果打聽員工的婚育情況和家庭成員是非法的，那么貴公司還敢不敢錄用女員工？ 三、指紋打卡和面部識別考勤還行不行

這里涉及到兩個法律條文，首先是該法的第十三條第一款第（二）項規(guī)定了，為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需，個人信息處理者是可以處理個人信息的。

對員工考勤顯然屬于人力資源管理的工作內(nèi)容，因此，從原則上說，通過指紋打卡和面部識別技術(shù)來考勤，是合法的。而且第十三條第二款還規(guī)定，出于人力資源管理目的的處理個人信息是不需要征得個人同意的。

另外，該法第二十八條規(guī)定敏感個人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。

指紋和面部識別顯然屬于生物識別技術(shù)，是敏感信息的一部分。因此，非必要，不收集。在有必要且采取了嚴格保護措施的情況下，指紋打卡和面部識別考勤，仍然是合法的。

同時第二十九條規(guī)定了處理敏感個人信息應(yīng)當取得個人的單獨同意。

這里有人可能開始腦子昏了。前面還說不需要個人同意，這里又說要個人單獨同意了。到底聽誰的呀？

《立法法》不是有規(guī)定嗎？一般條款與特別條款都有規(guī)定的，特別條款優(yōu)先適用。因此，如果需要通過生物識別技術(shù)和采集員工行蹤軌跡來進行人力資源管理的，就需要員工同意。那么哪些不需要員工同意呢？只要不涉及敏感信息的范疇，就不需要員工單獨同意，所以傳統(tǒng)的那種用打卡機考勤的就不需要。

現(xiàn)在問題都清晰了，這些我們現(xiàn)在經(jīng)常使用的人力資源管理手段不是不能用，而是有了前提條件，第一，要員工個人同意，第二，要采取嚴格保密措施。

如果一個企業(yè)才幾十個人的，補個手續(xù)很簡單。如果有幾百、上千，甚至上萬人怎么辦？這個時候如果有工會的話，就簡單多了，集體合同弄個補充協(xié)議就行。沒有工會的，或者覺得工會的集體合同還不足以讓自己的放心的，那逐一和員工簽訂勞動合同的補充條款，也不是不行哦。