《个人信息保护法》已经颁布了，并且将于今年的11月1日开始正式实施。企业该如何收集员工的个人信息，如何使用员工的个人信息，终于有了法律依据。

本来是一件可喜可贺的好事，结果一群民科级的砖家又出来捣乱了，口口声声说，从11月1日之后，用指纹、面部识别等技术的考勤都是非法了吗？

一、识别是不是民科的基本方法

我先普及一下什么是民科。民科是民间科学家的简称，本来是一个中性词，但是就和公知一样，现在已经从一个中性词变成了贬义词，基本上可以理解为缺乏最基本的科学素养，但是偏偏喜欢搞一些基于错误的所谓科学理论发明创造。说他们是业余都是客气的，基本上就是外行装内行，还要装大拿的那种。

民科级的法律砖家在劳动法领域真的是挺多的，也不知道为什么，其他法律领域里还真没见过这么多。我也算是跨法律领域的人了，觉得有资格评价一下这个现象。

判断一个人是不是民科级法律砖家，有一个很显著的标志，那就是看这个人看法律条文的时候，是不是仅关注那些具体的法条规定，还是能比较完整地理解整部法律的立法意图，特别是对总则部分的理解和把握。因为这部分内容比较抽象，没有扎实的法律功底，根本无法理解这部分的内容。总以为这部分都是官样文章，每部法律都差不多，没有太多的实际意义。所以，很多民科级的砖家都以背诵某部法律的具体条文为荣，以为能背下来了，自己就成了专家了。

二、企业该如何收集员工个人信息

其实在《个人信息保护法》里已经把包括用人单位和用工单位在内的个人信息处理者的基本行为规范都在总则中说清楚了。比如，第二条规定了个人信息依法保护原则，第三条规定的属地兼属人原则， 第四条规定了个人信息的定义和范围，第五条规定了处理个人信息的正当诚信原则，第六条规定了合理目的和范围原则，第七条规定了公开透明原则等等。

这些基本规定都是根据以往多年来，个人信息在使用中过的问题而采取的针对性措施。比如，超过使用目的的合理范围收集个人信息，以及通过各种误导性的链接等收集个人信息等等。大家应该对这些年来各种手机APP恶意收集个人信息的事情印象深刻。工信部多次对那些违规的APP采取下架、封杀的措施。但是那些都是通过行政手段采取的措施，现在从国家立法的高度来杜绝这种情况，是一个很大的进步。

同样，企业在收集员工信息的时候，也应当遵循这个原则。因此，那些超过员工任职要求的信息，企业是否还能继续收集呢？收集之后会有什么后果呢？我们要看看后面的司法实践会对此做出什么样的解答。最典型的就是对员工的婚育情况、家庭成员情况是否还有权收集？如果打听员工的婚育情况和家庭成员是非法的，那么贵公司还敢不敢录用女员工？ 三、指纹打卡和面部识别考勤还行不行

这里涉及到两个法律条文，首先是该法的第十三条第一款第（二）项规定了，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，个人信息处理者是可以处理个人信息的。

对员工考勤显然属于人力资源管理的工作内容，因此，从原则上说，通过指纹打卡和面部识别技术来考勤，是合法的。而且第十三条第二款还规定，出于人力资源管理目的的处理个人信息是不需要征得个人同意的。

另外，该法第二十八条规定敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

指纹和面部识别显然属于生物识别技术，是敏感信息的一部分。因此，非必要，不收集。在有必要且采取了严格保护措施的情况下，指纹打卡和面部识别考勤，仍然是合法的。

同时第二十九条规定了处理敏感个人信息应当取得个人的单独同意。

这里有人可能开始脑子昏了。前面还说不需要个人同意，这里又说要个人单独同意了。到底听谁的呀？

《立法法》不是有规定吗？一般条款与特别条款都有规定的，特别条款优先适用。因此，如果需要通过生物识别技术和采集员工行踪轨迹来进行人力资源管理的，就需要员工同意。那么哪些不需要员工同意呢？只要不涉及敏感信息的范畴，就不需要员工单独同意，所以传统的那种用打卡机考勤的就不需要。

现在问题都清晰了，这些我们现在经常使用的人力资源管理手段不是不能用，而是有了前提条件，第一，要员工个人同意，第二，要采取严格保密措施。

如果一个企业才几十个人的，补个手续很简单。如果有几百、上千，甚至上万人怎么办？这个时候如果有工会的话，就简单多了，集体合同弄个补充协议就行。没有工会的，或者觉得工会的集体合同还不足以让自己的放心的，那逐一和员工签订劳动合同的补充条款，也不是不行哦。