企業監控、處理員工網絡使用情況的法律邊界
作者：□特約撰稿 童斯楠
據中國新聞網等媒體報道，2021年8月30日至9月3日，國美針對非工作流量信息進行統計排查發現，部分人員在工作區域內占用公司公共網絡資源從事與工作無關的事宜，遂根據公司規定，內部通報包含了員工的所在部門、姓名以及在后臺使用非工作流量。報道還稱，國美部分工位安裝攝像頭，員工進門打卡時手機連接無線網絡后，公司可以監測員工手機瀏覽情況。
這引發了人們對企業安裝監控、處理員工軟件使用情況法律邊界的思考：企業是否有權監控員工網絡使用情況？企業以管理需要為名公開員工使用軟件流量信息，是否侵犯了其個人隱私或個人信息權益？根據《互聯網安全保護技術措施規定》第八條的規定，提供互聯網接入服務的單位應當具有記錄并留存用戶注冊信息，記錄、跟蹤網絡運行狀態，檢測、記錄網絡安全等安全審計功能。
可見，企業一旦提供入網服務，有義務監控和保存員工訪問互聯網及使用軟件的情況，這有利于確保企業的網絡安全、提高工作效率和管理效率，一般而言是合法的。但企業的監控原則上只能涉及工作內容，不能涵蓋個人隱私。如果公司在事前未告知情況下，對員工個人隱私如通信軟件上的聊天內容、郵件記錄實施局域網監控，那么就侵犯了員工的通信隱私權和通信秘密不受侵害權利。反之，如果公司事前明確、清晰地告知員工從公司電腦上發布的信息將被監控，員工在明知情況下仍發送私人信息，則意味著其自愿將私密信息公開，此時公司實施監控就沒有侵犯員工的隱私權或個人信息權益。因此，如果員工在上班期間使公司無線網絡登錄與工作無關的軟件，企業有權對員工的軟件使用情況進行跟蹤記錄。員工在企業局域網上使用軟件的流量信息是否屬于個人隱私中的私密信息？一般認為，隱私是指自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。其中，凡是自然人不愿意為他人知曉的信息，無論是婚姻信息、財產信息、健康信息、家庭住址、病歷資料、犯罪記錄、個人人生經歷、嗜好、日記、私人信件以及其他不愿公開的信息等，都可以納入私密信息。雖然企業后臺的技術人員能夠看到員工在企業局域網上使用軟件的流量信息，但并不表示員工就愿意除后臺技術人員以外的其他人知曉，因為這些與工作無關的信息被他人知曉后，會影響其私生活安寧。隱私權作為一項人格權，性質上屬于絕對權與支配權，具有對世效力，任何組織和個人都必須尊重他人的隱私權。相應地，對私密信息的處理受到法律上的嚴格限制。除非取得隱私權人的“明確同意”，或者有明確法律依據，否則，任何組織或個人實施的處理他人私密信息的行為都構成侵害隱私權。所謂“明確同意”，一方面意味著自然人在被告知私密信息將被處理的前提下作出清晰、明晰的允許處理的意思表示；另一方面應當針對該私密信息被處理而單獨作出的同意的意思表示（不能只是概括性同意）。員工對自己的私密信息是否向他人公開以及公開的范圍與程度具有決定權。如果企業沒有得到員工的明確同意便自行公開員工使用軟件的流量信息，就侵犯了員工的隱私權。
另外，在公司內部這個特定群體里，姓名往往足以直接識別特定的自然人，將員工姓名、工作部門與憑借cookie（儲存在用戶本地終端上的數據）收集的網頁瀏覽痕跡結合產生的信息無疑屬于個人信息。根據個人信息保護法第十三條的規定，首先，原則上只有取得個人的同意，個人信息處理方才能處理個人信息；其次，為了維護企業的合法利益，在按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需的情況下，法律允許處理者無須取得個人同意就實施個人信息處理行為。該規定的依據在于企業處理員工的個人信息的情形更普遍，所涉及的場景十分多樣，如果每一個個人信息的處理行為都要逐一取得員工同意，人力資源管理活動勢必難以正常進行。因此，一方面，處理個人信息必須是實施人力資源管理所必需。另一方面，并非所有出于人力資源管理工作的需要都可以不取得個人的同意就處理個人信息，企業依據自身制定的不合理的勞動規章制度處理個人信息便被禁止。
據媒體報道，國美回應稱，通報內部公示前涉及員工均確認簽字。這似乎意味著國美已提前取得了通報涉及員工的同意，談不上侵害他們的個人信息權益。但筆者認為，告知同意規則在勞動關系中應受嚴格限制。因為告知同意的前提是，這種“同意”是其真實意思的表達。但考慮到勞動關系的性質以及企業與員工之間地位和實力的不平衡，應當只有在員工即便拒絕同意，企業也不得拒絕錄用或未經通知而終止勞動合同或只有當企業處理個人信息是為了員工獲利以及企業與員工利益一致時，員工的同意才具有真實效力。
（作者單位：東南大學法學院）