员工个人信息保护合规要点清单

员工个人信息保护合规要点清单员工个人信息保护制度构建1是否建立员工个人信息保护制度？是否2是否通过适当的方式（劳动手册、员工手册、公司规章等）向员工明确告知员工个人信息保护制度（范围、目的、处理方式等），并让员工阅读知悉并签字同意？是否3是否将非法处理员工个人信息的行为列举为重大违纪行为，以降低以非法处理员工个人信息为由解除劳动关系的法律风险？是否4是否明确员工个人信息保护责任人？是否5是否建立员工个人信息分级分类保护机制，根据部门及岗位职责设计不同的员工个人信息访问权限？是否6是否与可接触、处理员工个人信息的岗位人员（比如财务人员、档案管理人员、人事部员工等）签署保密协议？是否7是否将员工个人信息的处理范围限制在必要范围之内？（比如在办理入职手续时仅处理姓名、年龄、学历、工作经历等“与劳动合同直接相关”的个人信息，而不得收集婚育情况、宗教信仰等与劳动合同并不直接相关的个人信息）是否8当存储的员工个人信息存在错误或超出同意范围时，是否给予员工必要有效的救济渠道？是否9是否定期开展员工个人信息保护培训，并做好留痕工作？是否10是否建立员工个人信息安全事件应急机制？是否日常管理中的员工个人信息保护11是否引入基于指纹、声纹、面部数据等生物识别信息或地理位置、行踪轨迹等信息的考勤系统？是否12是否提供其他可替代的考勤方式供员工选择？是否13在办公区域安装监控设备时，是否事先对员工进行明确告知，并在视频采集区域设置明显的标识？是否14是否存在在非公开办公区域（比如个人办公室、更衣室）安装监控设备的情况？是否15是否会对员工的工作邮箱、电话、其他信息系统进行监控？在采取前述监控措施前，是否向员工明确告知用人单位对公司设备、邮箱、系统等采取的监控措施和形式，并明确告知用人单位可监控的信息范围？是否16企业在引入前述可能采集员工个人敏感信息的考勤系统或监控设备前，是否对设备安装的必要性与风险进行评估，是否征求员工意见？是否17企业在收集前述面部数据等个人敏感信息时，是否在实现相应目的后及时删除原始数据，仅存储摘要信息或尽可能本地化部署系统服务器或识别算法？是否对外提供或委托处理中的员工个人信息保护18对外提供或委托处理员工个人信息是否出于合法、必要的目的（比如代缴社保、绩效分析、业务外包、背景调查等），并将员工个人信息的类型、数量、颗粒度控制在必要范围之内？是否19在对外提供或委托处理员工个人信息前是否明确向员工告知，并获取员工的明示同意？是否20是否对接收方的个人信息保护能力和相关业务资质进行评估？是否21是否与接收方签订协议以明确个人信息保护义务？是否22需向境外提供员工个人信息时，是否就该事项获取员工的单独同意？是否23是否对员工个人信息的跨境流动活动进行事先风险评估并采取相应的安全保障措施？是否24是否与境外员工个人信息接收者签订个人信息保护协议？是否招聘过程中的个人信息保护25通过自运营的APP、公众号、小程序、网站等平台收集应聘者简历时，是否制定符合相关法律规定的隐私政策或个人信息保护政策？是否26通过第三方招聘平台、猎头公司、劳务派遣公司等外部机构获取应聘者或劳务派遣人员个人信息时，是否与外部机构核实该个人信息来源的合法性及个人信息主体的同意范围？是否27通过外部机构获取的个人信息超出个人信息主体的同意范围的，是否要求外部机构或自行向该个人信息主体重新告知并获取同意？是否28与关联公司共享应聘者个人信息的，是否进行事前告知并获取同意？是否29自行或委托第三方调查机构对应聘者进行背景调查时，是否以书面形式告知背景调查涉及的个人信息范围、目的、使用方式以及第三方调查机构的名称等相关信息，并请应聘者签字同意，且将个人信息处理活动限制在必要范围内？是否30引入具备自动决策机制的信息系统对应聘者进行筛选的，在规划设计阶段或首次使用前是否开展个人信息安全影响评估，并依评估结果采取有效的保护个人信息主体的措施？是否31是否在使用过程中定期（至少每年一次）对上述信息系统开展个人信息安全影响评估，并依评估结果改进个人信息保护措施？是否32采用自动决策机制对应聘者进行筛选的，是否对应聘者提供针对自动决策结果的投诉渠道，并支持对自动决策结果的人工复核？是否33招聘环节结束后，是否及时对未录用者的个人信息进行删除、销毁或匿名化处理？是否离职员工的个人信息保护34是否对离职员工的个人信息进行分级分类，并根据法律的不同要求进行存储？是否35在法定的存储期限结束或已无必要存储时，是否及时对离职员工的个人信息进行删除、销毁或匿名化处理？是否36需继续处理离职员工个人信息的，是否重新向离职员工进行告知并获取同意，或者具备其他合法性基础？是否37在第三方调查机构或招聘企业向企业收集离职员工的个人信息时，是否核实离职员工的背景调查同意声明，并将提供的个人信息限制在必要范围之内？是否