二、人力资源管理中劳动者个人信息保护的特殊困境
人力资源管理中的个人信息处理行为主要发生在职场场域，以消费场域为背景设计的个人信息保护规则在这一特殊场域可能面临不同的实施困境。基于此，本文将从三个层面展开分析：一是场域端，揭示职场个人信息处理关系的特殊性；二是处理端，从实践层面分析人力资源管理中个人信息保护存在的具体问题；三是解决端，即现有解决路径在应对以上困境时的实施效果。
（一）场域端：信息处理的权力势差在职场中“兑现”为权力关系
布尔迪厄认为，人的每一个行动均受行动发生的场域所影响。同一种行为，发生在由不同客观社会关系构建的场域，对其牵涉的特定人群所造成的影响是不同的。在个人信息处理过程中，以企业为代表的信息处理者与个人之间信息和力量不对称，前者对后者形成数据上的权力势差。
（二）处理端：劳动者个人信息权益容易受管理权压制
1.管理权对知情、同意等工具性权益的压制
2.管理权对隐私权等实定权利的压制
（三）解决端：现有解决路径的局限性
人力资源管理实践中劳动者个人信息权益容易被管理权压制，这主要是由该场域中存在的不平等权力关系决定的：一方面劳动者作为弱势群体难以对抗用人单位，其即使选择知情同意，也通常被认为不具有自治性；另一方面用人单位实施管理权具有“天然的正当性”且缺乏必要限制，在信息处理时可以任意干预劳动者的个人权益。对此，我国《个人信息保护法》第13条第1款第2项规定，人力资源管理作为合法处理事由的要件包括“按照依法制定的劳动规章制度和依法签订的集体合同”和“实施人力资源管理所必需”，分别指向“集体合意”和“实施人力资源管理所必需”，二者可能是解决上述问题的理想路径。
1.传统劳动法视野下“集体合意”的自治性较弱
集体合意对于前述困境的化解有一定针对性，如果能在一定程度上矫正双方地位的失衡，就有可能还原同意的自治性。为此，立法者选择将集体层面上职工利益代表的协商机制挪入个人信息处理前端，通过劳动法上的特殊程序保障来改善劳动者个体在信息处理事项谈判中的地位不平等。与此同时，大量人力资源管理需要处理个人信息的情况很难获得个人同意，其原因在于个人同意的低效率。对于用人单位而言，在以集体协商形式通过的劳动规章制度和集体合同中获取信息处理权限比征求个人同意容易得多。这表明，集体合意是兼顾管理利益和个人信息权益的理想方案。
关于集体合意能解决个人同意的低效率问题，也只有在其沦为形式化工具（由用人单位决定）或者集体成员数量较少时方可实现。因为通过集体协商获取信息处理权限也是一种典型的合作行动，虽然个体间的集体合作行动将促进个体利益的实现，但是合作也需要考虑集体间协商谈判成本，只有当零成本（由用人单位决定）或者成本较小（集体成员数量较少，协商谈判更容易实现）时，集体合意获取信息处理权限才更有效率。对于第一种情况，实际上导致集体合意趋于形式化，虽然效率最高，但是却违背立法者通过程序保障信息处理中劳动者知情、同意等自治性权益的初衷；第二种情况意味着集体合意仅在规模较小的用人单位推行时会更有效率，但这也表明可供处理的劳动者个人信息数量较少，从而并不会对人力资源管理效率带来明显提升。中大型用人单位考虑通过集体合意获取信息处理权限的效率较低，也会转而寻求其他合法性基础，进而导致其设置失去意义。因此，实践中集体合意多以“相对更具意义”的形式化工具出现。
2.“实施人力资源管理所必需”具有不确定性
“实施人力资源管理所必需”旨在对“用人单位以行使管理权为由任意处理个人信息”进行必要限制。一方面，“人力资源管理”仅是用人单位管理权行使的大致范围，并不属于法律已经作出清楚界定的概念，其内涵和外延并不明确；另一方面，“必需”作为不确定法律概念，要求法律适用者在个案中予以具体判断，尚需结合人力资源管理实践进行价值填补。
（1）“人力资源管理”概念过于模糊
（2）“必需”与管理利益之间存在张力
依据我国现行法，处理个人信息应当遵循必要原则，必要原则可以有效规范告知同意机制的例外情形。由于缺乏个人的知情监督，而且处理者的裁量和处理权限更大，所以不经同意的个人信息处理更容易侵犯个人信息权利。多大程度的使用属于“合理使用”范畴，如何判断履行同意例外情形中的“所必需”，均离不开必要原则的有效指引。个人信息处理应以满足正当使用目的为必要，在实践中通常依据“最少类型和最小数量”对必要范围进行限定，以强调“最小必要”、防范过度收集个人信息。
三、集体合意的规范内涵与认定要素
（一）集体合意的规范内涵与认定要素
（二）劳动者集体与用人单位在个人信息处理事项上达成合意
（三）合意的达成出于集体自由意志
除双方关系平等外，作为“同意主体”的劳动者集体也应当具备一定的理性程度，这也构成前述合意自由所需的实质要素。主体是否足够理性，需要结合以下几个方面加以判断。
四、“实施人力资源管理所必需”的适用展开
（一）“实施人力资源管理所必需”的具体化
“实施人力资源管理所必需”具有不确定性，在其作为合法处理事由适用前，不可避免面临具体化过程。“具体化”是指通过法律解释，使不确定概念的内涵和外延得以明晰，从而能够作为裁判依据，适用于具体个案。
1.严格适用“最小必要”以保障个人信息权益：基于文义解释
2.限缩适用“最小必要”以实现用人单位管理利益：基于体系解释
由于“实施人力资源管理所必需”不同于一般个人信息处理，其在体系上属于可豁免于同意规则的合法处理情形（《个人信息保护法》第13条第2款），这也决定了其在解释适用时存在特殊考虑。
3.具体适用条件的提出：基于价值填补
当不确定法律概念不可得唯一正确答案时，法律适用者须追加价值判断，在个案中充分考虑社会经济发展的需要。严格适用“最小必要”并强调信息处理方式对个人影响最小的做法，可能阻碍数字技术在劳动管理领域的发展应用；而采取最有利于管理利益的信息处理方式将导致本就不平等的劳资关系进一步失衡，提高用人单位滥用劳动者个人信息的风险。因此，“信息处理方式”应当以均衡为标准，以充分兼顾用人单位人力资源管理和劳动者个人信息保护需要。至于何为“均衡”？可以在具体情境中结合比例原则进行综合判断。
综上所述，“实施人力资源管理所必需”的具体适用条件均已具备，其中，“关联性”强调目的与行为之间联系，“均衡的信息处理方式”“最小的信息处理范围”侧重于对行为可能造成的影响或后果进行评价，条件之间呈现递进判断关系。
(二)“实施人力资源管理所必需”的适用展开
1.关联性
2.均衡的信息处理方式
至于如何判断是否采取均衡的信息处理方式，实际上需要进行利益权衡，应当结合比例原则进行分析，防止特定信息处理方式对个人权益的干预逾越必要的限度。
3.最小的信息处理范围
五、结语
数字时代正在重新定义现代社会的生产方式以及劳动方式。依托大数据、云计算等新兴技术，用人单位通过收集、利用劳动者自身携带以及“日常”工作流程产生的大量数据信息，可以复现劳动中各个步骤和操作，在此基础上不仅可以精确记录、分析劳动者的工作表现，还可以借助算法挑选晋升、调动和解雇员工。这在极大地推动企业经营管理模式数字化转型的同时，也客观上造成了从劳动过程到劳动结果的全方位“数字控制”，尤其是在强调计划、组织、指挥、控制的人力资源管理活动中，一个由个人信息流浇筑的福柯式“全景敞视监狱”正在悄然形成，劳动者可能沦为纯粹的被监视和评判的对象，后果不只是信息权益受到侵害，甚至会演变为对个人信息背后的劳动权益乃至人格尊严、自由发展的严重威胁。因此，守好劳动者个人信息保护的“第一道防线”显得尤为重要。
●冉克平，武汉大学法学院教授、博士研究生导师；
●刘冰洋，武汉大学法学院博士研究生
“荆楚文化与传承发展”学术研讨会暨第五届湖北文化发展论坛在武汉召开
湖北省“社科强县计划”正式启动
湖北先行区建设智库培训2024年第四期在汉举行
第十届“全球治理·东湖论坛”——共同安全与全球治理国际研讨会在武汉成功召开