一家公司的HR曾经很坦然地跟我说，他们招人前都会托关系查一查候选人的征信报告和过往诉讼记录，"知己知彼，免得招进来个老赖"。我问他，候选人知道你在查吗？他愣了一下：这还要告诉对方？
这个反应很典型。在《个人信息保护法》（以下简称《个保法》）2021年施行之前，企业处理员工信息基本处于"我管我的人，想查就查"的状态。但现在，员工不只是"被管理者"，更是法律明确保护的"个人信息主体"，企业则是不折不扣的"个人信息处理者"，要受一整套规则约束。
第一个边界：合法、正当、必要，外加"最小化"
《个保法》第五条确立了处理个人信息的基本原则——合法、正当、必要、诚信，不得过度。第六条进一步要求，处理个人信息应当限于实现处理目的的最小范围，不得过度收集。
把这两条放到用工场景里，意思很清楚：你收集员工信息，必须和"用工管理"这个目的直接相关，而且只能收集实现这个目的所必需的部分。
招聘一个会计，核实其学历、职业资格、相关工作经历，这是必要的。但要求候选人提供婚育计划、查询其个人征信里的消费贷款记录、打听其家庭成员的政治面貌——这些和能不能胜任会计工作有什么关系？一旦超出"必要"的范围，收集行为本身就可能违法。
笔者的判断标准很朴素：如果某项信息和这个岗位的胜任能力、履职诚信没有直接关联，那么收集它就要打一个大大的问号。
第二个边界：告知与同意，不是走过场
很多企业以为，让员工在入职时签一份《个人信息处理授权书》，就万事大吉了。这种"一揽子概括授权"在实务中其实相当脆弱。
《个保法》第十七条要求，处理个人信息前应当以显著方式、清晰易懂的语言，真实、准确、完整地告知处理的目的、方式、种类、保存期限等事项。也就是说，告知必须是具体的，不能用一句"本公司有权收集处理员工一切相关信息"打发。
更要注意的是背调这件事。企业向第三方背调机构核实候选人信息，或者直接向其前雇主了解情况，本质上是在收集和处理个人信息，原则上应当事先告知候选人并取得同意。前面那位"想查就查"的HR，恰恰漏了这一步。
第三个边界：敏感信息，门槛更高
《个保法》把生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息，列为"敏感个人信息"。处理这类信息，第二十八条、第二十九条要求具有特定的目的和充分的必要性，并采取严格保护措施，还要取得个人的单独同意。
这里有两个高频踩坑点。
一是指纹、人脸考勤。指纹和人脸属于生物识别信息，是典型的敏感个人信息。企业要用人脸打卡，不能只在员工手册里写一句就强制推行，而应当单独取得员工同意，且最好提供刷卡、密码等替代方案。强制要求所有员工录入人脸、不给任何替代选择，合规风险不小。
二是定位与行踪。给销售、外勤配工作手机做实时定位，行踪轨迹同样是敏感信息。定位的范围是否限于工作时间、工作场景，有没有把员工八小时之外的私人行踪也一并收了进来，这是监管和司法都会审视的细节。
第四个边界：监控可以装，但不是哪都能装
办公区域出于安全和管理需要安装监控，本身合法。但请注意场所的区分——在工作区、出入口、仓库装摄像头，通常没问题；在卫生间、更衣室、哺乳室、宿舍这类涉及个人隐私的空间装监控，则可能构成对隐私权的侵害，《民法典》第一千零三十二条对隐私权有明确保护。
还有一种隐蔽的做法：在员工不知情的情况下安装隐蔽摄像头或在办公电脑装监控软件抓取聊天记录。即便是在公司的设备上，秘密监控员工的私人通信也存在很大争议。合规的做法是公开告知——监控的存在本身要让员工知道，这既是法律要求，客观上也能起到管理作用。
别忘了离职这一环
员工离职，企业的个人信息处理义务并没有立刻终止，但保存是有期限的。《个保法》第十九条规定，个人信息的保存期限应当为实现处理目的所必要的最短时间。员工离职后，那些仅为用工管理而收集的信息，在没有法定保存义务（比如劳动合同、工资支付记录依法要保存一定年限）的情况下，应当及时删除或匿名化处理。
把前员工的简历、背调报告、人脸数据无限期堆在公司服务器里，既无必要，也是一个潜在的数据泄露隐患——一旦泄露，企业要承担的责任，可比当初省下的那点删除成本大得多。
企业管理员工信息，核心不是"能不能收"，而是"为什么收、收多少、怎么告知、存多久"。《个保法》并没有禁止企业做背调、装监控、做考勤，它要求的是把这些动作放在合法、必要、透明的框架里。
笔者的建议是，企业不妨趁着没出事的时候，把现有的员工信息处理流程梳理一遍：入职告知书是否具体、敏感信息有没有单独同意、监控范围是否合理、离职后的数据怎么清理。这套梳理花不了多少成本，却能挡掉日后劳动仲裁、员工投诉甚至监管处罚里相当一部分风险。