在Moka和大成律師事務(wù)所聯(lián)合舉辦的“數(shù)字經(jīng)濟(jì)時代下，企業(yè)數(shù)據(jù)安全合規(guī)閉門研討會暨《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書》發(fā)布會”上，大成北京辦公室高級合伙人鄧志松律師正式發(fā)布了《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書》。本次鄧律師也是參與了白皮書的內(nèi)容撰寫，提供了最新觀察與全面解答。

當(dāng)今，我國數(shù)字經(jīng)濟(jì)迎來蓬勃發(fā)展，產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型提檔加速，加強(qiáng)網(wǎng)絡(luò)、數(shù)據(jù)安全和個人信息保護(hù)在為數(shù)字經(jīng)濟(jì)發(fā)展保駕護(hù)航方面發(fā)揮著至關(guān)重要的作用。在發(fā)布會伊始，鄧志松律師便為大家介紹了中國個人信息保護(hù)法律體系發(fā)展歷程與現(xiàn)狀概覽。

中國個人信息保護(hù)領(lǐng)域的專門立法肇始于2012年，《全國人民代表大會常務(wù)委員會關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》的出臺開啟了個人信息保護(hù)立法的1.0時代。數(shù)十年來，隨著法律體系不斷完善、“數(shù)據(jù)二十條”頂層設(shè)計優(yōu)化、國家數(shù)據(jù)局組建，我國個人信息保護(hù)迎來“強(qiáng)監(jiān)管”時代。制度上，我國已在縱橫兩個維度上初步構(gòu)建起比較完善的規(guī)范性文件體系；監(jiān)管機(jī)構(gòu)上，中國目前并無統(tǒng)一的數(shù)據(jù)保護(hù)執(zhí)法機(jī)構(gòu)，數(shù)據(jù)保護(hù)相關(guān)執(zhí)法部門和行業(yè)主管部門“九龍治水”的情況可能長期存在。

再聚焦市場與企業(yè)，大數(shù)據(jù)時代各行業(yè)市場競爭不斷激化，企業(yè)亟需提升招聘工作效率。數(shù)字化招聘能夠支持快速通過簡歷篩選、匹配合適崗位人才，滿足企業(yè)升級的招聘需求。但在逐步深入數(shù)字化創(chuàng)新賦能企業(yè)招聘流程的同時，《個保法》合規(guī)問題也不容忽視，為在華企業(yè)帶來了全新的挑戰(zhàn)。在這樣的大背景下，Moka聯(lián)合大成律師事務(wù)所共同撰寫并發(fā)布了《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書》。

白皮書結(jié)合了對百余家在華企業(yè)的調(diào)研，鄧律師表示在調(diào)研及分析的過程中發(fā)現(xiàn)了諸多企業(yè)數(shù)字化招聘個保法合規(guī)建設(shè)現(xiàn)狀與問題。截至2021年，全球超過70%的國家已經(jīng)制定個人信息保護(hù)相關(guān)法律法規(guī)，可以說《個保法》合規(guī)是在華企業(yè)跨國運(yùn)營的剛需。但調(diào)研顯示，僅15.91%的企業(yè)已深入了解《個保法》相關(guān)政策；在開始了解《個保法》相關(guān)政策的企業(yè)中，只有不到一半的企業(yè)已經(jīng)開展招聘有關(guān)的數(shù)據(jù)安全治理工作。

招聘是個人信息密集的環(huán)節(jié)，HR和用人單位會接收到大量的敏感信息，如人臉識別信息、健康信息、金融信息等。許多企業(yè)在數(shù)字化招聘中并沒有制定相應(yīng)個保法合規(guī)政策的措施，也沒有培訓(xùn)員工關(guān)于個保法合規(guī)方面的知識，這無疑給企業(yè)帶來很大的不可控風(fēng)險。在調(diào)研樣本中，超過 50% 的企業(yè)認(rèn)為缺乏統(tǒng)一的數(shù)據(jù)安全管理制度是當(dāng)前招聘業(yè)務(wù)上最大的數(shù)據(jù)安全挑戰(zhàn)，同時，風(fēng)險識別與措施落地成為企業(yè)亟待解決的合規(guī)痛點(diǎn)。

接下來，針對前述在華企業(yè)數(shù)字化招聘個保法合規(guī)建設(shè)中存在的主要問題，鄧律師從實(shí)務(wù)律師的角度解讀了招聘過程中應(yīng)聘者個人信息處理全周期面臨的多重法律風(fēng)險及應(yīng)對之策，為在華企業(yè)的數(shù)字化招聘提供合規(guī)參考。

在個人信息收集環(huán)節(jié)，應(yīng)分場景確認(rèn)個人信息收集的合法性基礎(chǔ)，并識別個人信息和敏感個人信息。

• 企業(yè)直接收集這個人信息，要在收集和處理個人信息之前取得應(yīng)聘者的同意，且要遵循最小必要原則。
• 通過第三方招聘平臺間接收集應(yīng)聘者個人信息，企業(yè)需要遵守第三方招聘平臺向求職用戶公示的隱私政策中披露的個人信息處理方式。如處理目的超出了招聘（如建立人才庫），或處理方式超出了隱私政策披露的范圍以及應(yīng)聘者通常的合理預(yù)期（如出境），則需要重新取得應(yīng)聘者的同意（含單獨(dú)同意）。
• 通過獵頭、內(nèi)推等其它渠道間接收集應(yīng)聘者個人信息，企業(yè)與獵頭和內(nèi)推人簽訂數(shù)據(jù)共享協(xié)議，明確雙方權(quán)利義務(wù)，保障應(yīng)聘者個人信息收集的合法性。內(nèi)推場景下，保險起見，建議企業(yè)在實(shí)際使用相關(guān)信息之前，通過郵件等方式發(fā)送隱私政策，重新取得應(yīng)聘者的告知同意。

在個人信息使用環(huán)節(jié)，企業(yè)要做到處理個人信息應(yīng)與隱私政策所披露處理目的相符，采取安全保護(hù)措施管理個人信息。一般來說，存儲期限應(yīng)為實(shí)現(xiàn)處理目的所必要的最短時間（一般招聘工作周期），到期后，企業(yè)應(yīng)對存儲信息進(jìn)行物理上的徹底刪除。同時，在向第三方提供個人信息應(yīng)告知應(yīng)聘者并取得單獨(dú)同意，并在委托處理協(xié)議中明確約定個人信息保護(hù)條款。

在個人信息跨境傳輸環(huán)節(jié)，則有三重路徑，一是向國家網(wǎng)信辦申報數(shù)據(jù)出境安全評估，二是通過中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心的個人信息保護(hù)認(rèn)證，三是2023年6月1日開始生效的《個人信息出境標(biāo)準(zhǔn)合同》。

最后，關(guān)于企業(yè)如何在滿足招聘業(yè)務(wù)需求的同時平衡相應(yīng)的合規(guī)風(fēng)險，結(jié)合過往在個人信息保護(hù)和數(shù)據(jù)安全方面的經(jīng)驗(yàn)，鄧律師和大家分享了三點(diǎn)體會：

1. 平衡監(jiān)管風(fēng)險與商業(yè)運(yùn)營需求。了解多司法轄區(qū)個人信息保護(hù)合規(guī)要求，結(jié)合自身商業(yè)運(yùn)營需求與相應(yīng)人才招聘需求，合理評估合規(guī)成本與公司收益。
2. 有效、系統(tǒng)管控國內(nèi)外法律風(fēng)險。針對特定人才招聘需求，尋求專業(yè)法律咨詢，分析企業(yè)目前面臨的法律風(fēng)險敞口，并通過合規(guī)工作最小化相關(guān)個人信息保護(hù)法律風(fēng)險。
3. 完善委托協(xié)議與企業(yè)合規(guī)體系。審查企業(yè)與第三方合作協(xié)議中關(guān)于應(yīng)聘者個人信息保護(hù)的條款，根據(jù)《個保法》要求進(jìn)行完善。同時從制度和日常運(yùn)營層面健全企業(yè)個人信息保護(hù)合規(guī)體系。