在Moka和大成律師事務(wù)所聯(lián)合舉辦的“數(shù)字經(jīng)濟(jì)時(shí)代下，企業(yè)數(shù)據(jù)安全合規(guī)閉門(mén)研討會(huì)暨《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書(shū)》發(fā)布會(huì)”上，大成北京辦公室高級(jí)合伙人鄧志松律師正式發(fā)布了《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書(shū)》。本次鄧律師也是參與了白皮書(shū)的內(nèi)容撰寫(xiě)，提供了最新觀察與全面解答。

當(dāng)今，我國(guó)數(shù)字經(jīng)濟(jì)迎來(lái)蓬勃發(fā)展，產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型提檔加速，加強(qiáng)網(wǎng)絡(luò)、數(shù)據(jù)安全和個(gè)人信息保護(hù)在為數(shù)字經(jīng)濟(jì)發(fā)展保駕護(hù)航方面發(fā)揮著至關(guān)重要的作用。在發(fā)布會(huì)伊始，鄧志松律師便為大家介紹了中國(guó)個(gè)人信息保護(hù)法律體系發(fā)展歷程與現(xiàn)狀概覽。

中國(guó)個(gè)人信息保護(hù)領(lǐng)域的專(zhuān)門(mén)立法肇始于2012年，《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》的出臺(tái)開(kāi)啟了個(gè)人信息保護(hù)立法的1.0時(shí)代。數(shù)十年來(lái)，隨著法律體系不斷完善、“數(shù)據(jù)二十條”頂層設(shè)計(jì)優(yōu)化、國(guó)家數(shù)據(jù)局組建，我國(guó)個(gè)人信息保護(hù)迎來(lái)“強(qiáng)監(jiān)管”時(shí)代。制度上，我國(guó)已在縱橫兩個(gè)維度上初步構(gòu)建起比較完善的規(guī)范性文件體系；監(jiān)管機(jī)構(gòu)上，中國(guó)目前并無(wú)統(tǒng)一的數(shù)據(jù)保護(hù)執(zhí)法機(jī)構(gòu)，數(shù)據(jù)保護(hù)相關(guān)執(zhí)法部門(mén)和行業(yè)主管部門(mén)“九龍治水”的情況可能長(zhǎng)期存在。

再聚焦市場(chǎng)與企業(yè)，大數(shù)據(jù)時(shí)代各行業(yè)市場(chǎng)競(jìng)爭(zhēng)不斷激化，企業(yè)亟需提升招聘工作效率。數(shù)字化招聘能夠支持快速通過(guò)簡(jiǎn)歷篩選、匹配合適崗位人才，滿(mǎn)足企業(yè)升級(jí)的招聘需求。但在逐步深入數(shù)字化創(chuàng)新賦能企業(yè)招聘流程的同時(shí)，《個(gè)保法》合規(guī)問(wèn)題也不容忽視，為在華企業(yè)帶來(lái)了全新的挑戰(zhàn)。在這樣的大背景下，Moka聯(lián)合大成律師事務(wù)所共同撰寫(xiě)并發(fā)布了《在華企業(yè)招聘數(shù)據(jù)合規(guī)白皮書(shū)》。

白皮書(shū)結(jié)合了對(duì)百余家在華企業(yè)的調(diào)研，鄧律師表示在調(diào)研及分析的過(guò)程中發(fā)現(xiàn)了諸多企業(yè)數(shù)字化招聘?jìng)€(gè)保法合規(guī)建設(shè)現(xiàn)狀與問(wèn)題。截至2021年，全球超過(guò)70%的國(guó)家已經(jīng)制定個(gè)人信息保護(hù)相關(guān)法律法規(guī)，可以說(shuō)《個(gè)保法》合規(guī)是在華企業(yè)跨國(guó)運(yùn)營(yíng)的剛需。但調(diào)研顯示，僅15.91%的企業(yè)已深入了解《個(gè)保法》相關(guān)政策；在開(kāi)始了解《個(gè)保法》相關(guān)政策的企業(yè)中，只有不到一半的企業(yè)已經(jīng)開(kāi)展招聘有關(guān)的數(shù)據(jù)安全治理工作。

招聘是個(gè)人信息密集的環(huán)節(jié)，HR和用人單位會(huì)接收到大量的敏感信息，如人臉識(shí)別信息、健康信息、金融信息等。許多企業(yè)在數(shù)字化招聘中并沒(méi)有制定相應(yīng)個(gè)保法合規(guī)政策的措施，也沒(méi)有培訓(xùn)員工關(guān)于個(gè)保法合規(guī)方面的知識(shí)，這無(wú)疑給企業(yè)帶來(lái)很大的不可控風(fēng)險(xiǎn)。在調(diào)研樣本中，超過(guò) 50% 的企業(yè)認(rèn)為缺乏統(tǒng)一的數(shù)據(jù)安全管理制度是當(dāng)前招聘業(yè)務(wù)上最大的數(shù)據(jù)安全挑戰(zhàn)，同時(shí)，風(fēng)險(xiǎn)識(shí)別與措施落地成為企業(yè)亟待解決的合規(guī)痛點(diǎn)。

接下來(lái)，針對(duì)前述在華企業(yè)數(shù)字化招聘?jìng)€(gè)保法合規(guī)建設(shè)中存在的主要問(wèn)題，鄧律師從實(shí)務(wù)律師的角度解讀了招聘過(guò)程中應(yīng)聘者個(gè)人信息處理全周期面臨的多重法律風(fēng)險(xiǎn)及應(yīng)對(duì)之策，為在華企業(yè)的數(shù)字化招聘提供合規(guī)參考。

在個(gè)人信息收集環(huán)節(jié)，應(yīng)分場(chǎng)景確認(rèn)個(gè)人信息收集的合法性基礎(chǔ)，并識(shí)別個(gè)人信息和敏感個(gè)人信息。

• 企業(yè)直接收集這個(gè)人信息，要在收集和處理個(gè)人信息之前取得應(yīng)聘者的同意，且要遵循最小必要原則。
• 通過(guò)第三方招聘平臺(tái)間接收集應(yīng)聘者個(gè)人信息，企業(yè)需要遵守第三方招聘平臺(tái)向求職用戶(hù)公示的隱私政策中披露的個(gè)人信息處理方式。如處理目的超出了招聘（如建立人才庫(kù)），或處理方式超出了隱私政策披露的范圍以及應(yīng)聘者通常的合理預(yù)期（如出境），則需要重新取得應(yīng)聘者的同意（含單獨(dú)同意）。
• 通過(guò)獵頭、內(nèi)推等其它渠道間接收集應(yīng)聘者個(gè)人信息，企業(yè)與獵頭和內(nèi)推人簽訂數(shù)據(jù)共享協(xié)議，明確雙方權(quán)利義務(wù)，保障應(yīng)聘者個(gè)人信息收集的合法性。內(nèi)推場(chǎng)景下，保險(xiǎn)起見(jiàn)，建議企業(yè)在實(shí)際使用相關(guān)信息之前，通過(guò)郵件等方式發(fā)送隱私政策，重新取得應(yīng)聘者的告知同意。

在個(gè)人信息使用環(huán)節(jié)，企業(yè)要做到處理個(gè)人信息應(yīng)與隱私政策所披露處理目的相符，采取安全保護(hù)措施管理個(gè)人信息。一般來(lái)說(shuō)，存儲(chǔ)期限應(yīng)為實(shí)現(xiàn)處理目的所必要的最短時(shí)間（一般招聘工作周期），到期后，企業(yè)應(yīng)對(duì)存儲(chǔ)信息進(jìn)行物理上的徹底刪除。同時(shí)，在向第三方提供個(gè)人信息應(yīng)告知應(yīng)聘者并取得單獨(dú)同意，并在委托處理協(xié)議中明確約定個(gè)人信息保護(hù)條款。

在個(gè)人信息跨境傳輸環(huán)節(jié)，則有三重路徑，一是向國(guó)家網(wǎng)信辦申報(bào)數(shù)據(jù)出境安全評(píng)估，二是通過(guò)中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心的個(gè)人信息保護(hù)認(rèn)證，三是2023年6月1日開(kāi)始生效的《個(gè)人信息出境標(biāo)準(zhǔn)合同》。

最后，關(guān)于企業(yè)如何在滿(mǎn)足招聘業(yè)務(wù)需求的同時(shí)平衡相應(yīng)的合規(guī)風(fēng)險(xiǎn)，結(jié)合過(guò)往在個(gè)人信息保護(hù)和數(shù)據(jù)安全方面的經(jīng)驗(yàn)，鄧律師和大家分享了三點(diǎn)體會(huì)：

1. 平衡監(jiān)管風(fēng)險(xiǎn)與商業(yè)運(yùn)營(yíng)需求。了解多司法轄區(qū)個(gè)人信息保護(hù)合規(guī)要求，結(jié)合自身商業(yè)運(yùn)營(yíng)需求與相應(yīng)人才招聘需求，合理評(píng)估合規(guī)成本與公司收益。
2. 有效、系統(tǒng)管控國(guó)內(nèi)外法律風(fēng)險(xiǎn)。針對(duì)特定人才招聘需求，尋求專(zhuān)業(yè)法律咨詢(xún)，分析企業(yè)目前面臨的法律風(fēng)險(xiǎn)敞口，并通過(guò)合規(guī)工作最小化相關(guān)個(gè)人信息保護(hù)法律風(fēng)險(xiǎn)。
3. 完善委托協(xié)議與企業(yè)合規(guī)體系。審查企業(yè)與第三方合作協(xié)議中關(guān)于應(yīng)聘者個(gè)人信息保護(hù)的條款，根據(jù)《個(gè)保法》要求進(jìn)行完善。同時(shí)從制度和日常運(yùn)營(yíng)層面健全企業(yè)個(gè)人信息保護(hù)合規(guī)體系。