员工签了字，公司就真的可以刷脸考勤、查背景、装监控吗——用工场景个人信息处理的三个实务边界

规范依据：《中华人民共和国个人信息保护法》（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行）；《人脸识别技术应用安全管理办法》（国家互联网信息办公室、公安部令第19号，2025年3月13日公布，自2025年6月1日起施行）；《中华人民共和国民法典》（2020年5月28日第十三届全国人民代表大会第三次会议通过，自2021年1月1日起施行）；《征信业管理条例》（2012年12月26日国务院第228次常务会议通过，2013年1月21日国务院令第631号公布，自2013年3月15日起施行）；《中华人民共和国劳动合同法》（2012年12月28日修正，自2013年7月1日起施行）。

#从三件“日常操作”说起

　　2025年下半年以来，不少公司在办公区换上了人脸考勤机；招聘环节请第三方做背景调查，也早已不是大厂专属；还有一些企业出于所谓管理效率，在工位上方加了摄像头。三件事分别属于考勤、招聘和安防，但它们指向的是同一个法律问题：企业在用工管理过程中处理员工和候选人的个人信息，边界究竟在哪里。

　　这个问题在2025年6月1日之后变得更具体。《人脸识别技术应用安全管理办法》从这一天起施行，把“刷脸”从一项技术选择变成了受专门规则约束的处理活动。而在此之前就已经施行的《个人信息保护法》，在实务中被引用最多的条文之一，是第十三条第一款第二项——为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。很多企业据此认为，只要劳动合同或员工手册里写了，用工场景的个人信息处理就天然合法。

　　麻烦恰恰藏在这句话的两个限定语里。“依法制定”不是指公司内部把文件写出来、走完审批，“所必需”也不是指“公司觉得方便”。更关键的是，人脸信息、健康信息这类内容在法律上属于敏感个人信息，需要另外一套更严格的规则。下面用三个场景把规则、风险和落地做法分开讲。

#一、人脸考勤：员工签过字，为什么仍然可能不合法

　　先看规则的三层结构。第一层是《个人信息保护法》第十三条，它列明了处理个人信息的合法性基础，其中第一款第二项正是企业最常援引的“实施人力资源管理所必需”。第二层是第二十八条至第三十条：人脸信息属于该法明确列举的生物识别信息，构成敏感个人信息，只有在具有特定目的和充分必要性、并采取严格保护措施的情形下才可以处理；处理敏感个人信息应当取得单独同意，并且除一般告知事项外，还必须告知处理的必要性以及对个人权益的影响。第三层是《人脸识别技术应用安全管理办法》，它把“刷脸”单独拉出来做了更细的约束：应用人脸识别技术处理人脸信息，应当具有特定的目的和充分的必要性，并采取对个人权益影响最小的方式；基于个人同意处理的，应当取得自愿、明确的单独同意，并允许便捷撤回；除法律、行政法规另有规定或者取得单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。

　　三层规则叠加之后，一个在实务中反复出现的误判就清楚了：企业把“员工已签字同意”当作唯一答案，却忽略了敏感个人信息对“必要性”和“替代方案”的要求。办法第十条讲得很直白——实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式；个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。考勤这件事，刷卡、指纹之外还有手机打卡、门禁卡、纸质签到，公司很难论证“除了刷脸别无他法”。也就是说，把刷脸设成唯一通道，本身就已经踩在了必要性的红线上。

　　第二个容易踩的坑是“同意”的形式。多数公司的做法是在入职材料里附一段概括授权，让员工在劳动合同附件上一次性签字。这种签字在敏感个人信息场景下很难被认定为单独同意，因为它既没有把刷脸这件事单独拎出来告知必要性，也说不清存储方式、保存期限和撤回通道。更常见的隐患在技术侧：考勤机把采集的人脸特征值上传到总部服务器或云端，甚至交给第三方考勤服务商托管。办法第八条要求人脸信息原则上存储于设备内、不得通过互联网对外传输，这种联网上传的部署方式在合规上需要单独的证据支撑，而不是靠一纸授权覆盖过去。

　　第三个坑是评估义务缺失。办法第九条要求应用人脸识别技术处理人脸信息前，事前进行个人信息保护影响评估并记录处理情况，评估报告和处理情况记录至少保存3年；《个人信息保护法》第五十五条、第五十六条也有同样要求。实务中，企业的门禁、考勤由行政或IT牵头采购，法务往往在设备已经装好之后才知道。等到员工投诉或劳动仲裁阶段才发现，整条处理链上拿不出任何评估记录——而这恰恰是监管部门在检查时最先索要的东西。

　　整改路径其实有三条，各有各的代价。最彻底的是取消耗勤刷脸、换回门禁卡或手机打卡，合规成本最低，但前期设备投入沉没，且企业往往还希望保留刷脸带来的效率；折中方案是保留刷脸但并行提供非生物识别方式，员工自行选择，这是多数场景下性价比最高的做法，代价是要改造考勤系统的并行逻辑，并逐一确认员工的选择记录；继续把刷脸作为唯一通道的，则必须准备好“非刷脸方式无法实现同等业务要求”的论证和替代方案说明，否则一旦发生争议，这道门槛几乎无法通过。

　　可以落地的做法：把刷脸从“唯一方式”改成“可选方式之一”，保留至少一种非生物识别打卡路径，并在制度里写明员工有权选择；单独制作一份人脸信息处理告知与同意书，写明处理目的、方式、存储位置、保存期限、撤回方式和拒绝的后果，绝不与劳动合同打包签署；考勤设备的人脸特征值优先本地存储，确需联网的，把必要性、加密措施和访问权限写成书面说明；在处理活动开始前完成个人信息保护影响评估并留存记录，设备更换、目的变化或发生安全事件时重新评估。另外，人脸信息保存数量达到10万人的，还应当在达到之日起30个工作日内向所在地省级以上网信部门履行备案手续——这条对连锁零售、制造、餐饮等用工规模大的企业尤其现实。

#二、办公区装摄像头：办公场所不是“公共场所”

　　这类纠纷的焦点，往往被简化成“公司能不能装监控”。正确的问法是：装在哪里、录什么、存多久、用来做什么。

　　从隐私权这条线看，《民法典》第一千零三十二条规定自然人享有隐私权，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息；第一千零三十四条规定个人信息包括生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等，个人信息中的私密信息适用有关隐私权的规定。办公场所虽然对员工开放，但员工在其中仍有不因工作而被持续观察的合理期待，更衣室、卫生间、哺乳室这类区域则明确属于私密空间。《人脸识别技术应用安全管理办法》第十三条对此做了正面回应：在公共场所安装人脸识别设备应当为维护公共安全所必需、依法合理确定采集区域并设置显著提示标识，同时明确禁止在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。

　　这里有一个被普遍误用的条文。《个人信息保护法》第二十六条确实对公共场所安装图像采集、个人身份识别设备作了规定，但它的前提是“为维护公共安全所必需”，并且所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的。企业把摄像头装在自家办公区，目的是考勤管理、防范泄密、监督劳动纪律，这与“维护公共安全”不是一回事。换句话说，援引第二十六条为企业内部监控找依据，相当于把一条限制性规则当成了授权，方向就是反的。企业真正的合法性基础，仍然是第十三条第一款第二项那条“实施人力资源管理所必需”，而“必需”同样要接受最小化的检验——这一要求写在该法第六条：处理个人信息应当具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集。

　　举证层面的风险常被低估。员工主张公司在办公区安装了隐蔽摄像头、对通话进行录音、对电脑屏幕持续截屏，企业如果拿不出清晰的告知记录、区域说明和用途限定，很难证明自己的处理活动在合理范围内。反过来，如果企业能证明提示标识显著、摄像范围限于公共办公区域、影像保存期限短且仅用于约定目的，抗辩的空间就大得多。至于在劳动争议中，用人单位以监控影像作为违纪证据，还需要同时面对证据合法性的审查——取得的程序不干净，证据的证明力也会被削弱。

　　可以落地的做法：先做区域清单，把办公区、通道、收银台、仓库等与更衣室、卫生间、哺乳室、员工休息区严格分开，后者一律不安装、不覆盖；把安装位置、采集范围、使用目的、保存期限、调取权限、审批流程写成书面制度，并按《劳动合同法》第四条走完讨论和协商程序，再公示或者告知每一位员工，保留送达和签收记录；监控区域设置显著提示标识；影像资料实行短周期保存和权限分级调取，避免长期沉淀成随取随用的“证据库”；《劳动合同法》第四条还规定，直接涉及劳动者切身利益的规章制度和重大事项决定在实施过程中，工会或者职工认为不适当的，有权提出并通过协商修改完善——把这条渠道留给员工，本身就是降低投诉概率的成本最低的方式。

#三、背景调查：能查什么、查到哪里算越界

　　招聘环节的规则和在职管理不一样，它同时受劳动法和个人信息保护两条线的约束。

　　先看劳动法这条线。《劳动合同法》第八条规定，用人单位招用劳动者时应当如实告知工作内容、工作条件、工作地点、职业危害、安全生产状况、劳动报酬以及劳动者要求了解的其他情况；同时规定用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明。这一条既给了企业了解的权利，也划出了范围——“与劳动合同直接相关”。学历、职业资格、与原单位的劳动关系状态、岗位所需的专业经历，通常落在范围之内；婚育状况、家庭情况、与岗位无关的健康细节，则落在范围之外。

　　再看个人信息这条线。企业自行或委托第三方做背景调查，会从候选人本人及其前雇主、在职单位以外的机构获取信息，这属于典型的个人信息处理活动。若委托外部调查机构执行，原则上构成《个人信息保护法》第二十一条规定的委托处理，应当与受托人约定处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督；如果调查机构以自己的名义决定处理目的和方式，或者企业把候选人信息提供给其他独立处理者，则落入第二十三条，除告知接收方的名称、处理目的、处理方式和个人信息的种类，还必须取得个人的单独同意。涉及健康信息的入职体检，属于敏感个人信息，需遵守第二十八条至第三十条的更高要求。

　　征信信息的查询是另一个高频雷区。《征信业管理条例》第十三条规定，采集个人信息应当经信息主体本人同意，未经本人同意不得采集；第十八条进一步要求，向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途。也就是说，企业以“了解候选人信用”为由查询个人信用报告，必须有本人的书面同意并明确约定用途，不能凭一纸授权书笼统带过。该条例第十九条还规定，采用格式合同条款取得个人信息主体同意的，应当在合同中作出足以引起信息主体注意的提示，并按照信息主体的要求作出明确说明——这条对通用的背调授权模板是直接的检验标准。

　　调查路径同样需要取舍。全部自行完成、只向候选人本人和前雇主核实的，信息流最可控，但核验效率和深度有限；委托外部机构执行的，能拿到更完整的核验结果，代价是企业要承担受托人管理责任，一旦机构扩大调查范围或超期留存资料，责任很难完全切干净；还有一种做法是只用第三方做学历、职业资格等可客观核验的事项，涉及评价性内容的全部舍弃，合规风险最低，不过是去了一部分“软信息”。三条路的差别，本质是企业愿意用多少合规确定性去换录用决策的信息量，而不是哪一条绝对更优。

　　风险集中体现在两个地方。一是把“前雇主的评价”当成事实入库。电话背调中对方一句“配合度一般”，常常在没有任何核实的情况下变成候选人的求职档案，既影响录用决策，也构成对个人信息的处理，一旦评价失实，企业可能同时面对就业歧视和不实信息处理的双重质疑。二是信息的滞留。招聘结束后简历、背调报告、体检资料长期留存在HR共享盘里，既没有保存期限管理，也没有调取权限控制，与《个人信息保护法》第十九条关于保存期限应当为实现处理目的所必要的最短时间的要求相悖。

　　可以落地的做法：把背调固化为三个动作——先取得候选人书面授权，授权书单独成文，逐项写明调查的事项、范围、信息来源和用途，并给予候选人拒绝与说明的机会；再限定调查范围，只调查与岗位直接相关的学历、任职经历、职业资格和与原单位的劳动关系状态，把婚姻、生育、宗教、与岗位无关的健康和财产信息排除在调查清单之外；最后做结果闭环，向候选人告知是否因背调结果影响录用，并给出异议和更正的通道。委托第三方执行的，签好委托协议并在协议中写入处理目的限制、保密义务、不得转委托、结果返还与删除条款；征信查询单独取得书面同意并约定用途；体检资料、背调报告设定明确的保存期限，期满即删，员工离职时一并清理。

#律师实务建议：把制度、流程和证据一起改

　　用工场景的个人信息问题，很少是单点违规，通常是制度、采购、IT和HR四条线各管一段，最后谁都说得清自己那一小段，整体却不成立。律师介入时，比较有效的顺序是这样的。

　　先把处理活动盘出来。按员工生命周期列清单：招聘与入职阶段有哪些表单和信息流，在职阶段有哪些考勤、门禁、监控、定位、系统日志，离职阶段有哪些资料留存。每一类信息对应写明处理目的、法律依据、是否属于敏感个人信息、保存期限、接收方和调取权限。这张清单是后面所有动作的基础，也是应对检查时最先被问到的东西。

　　再核对合法性基础。凡是依赖《劳动合同法》第四条意义上的规章制度作为依据的，回头查三件事：制度是否经过了讨论和协商程序，是否向员工公示或告知并留有记录，内容是否与法律法规冲突。《劳动合同法》第八十条规定，直接涉及劳动者切身利益的规章制度违反法律、法规规定的，由劳动行政部门责令改正，给予警告；给劳动者造成损害的，还应当承担赔偿责任。制度依据站不住，个人信息处理的合法性基础会跟着动摇，这是两者之间最容易被忽视的连带关系。

　　然后补齐敏感个人信息的专项动作。人脸、指纹、健康信息这几类，逐个场景检查是否取得单独同意、是否完成了事前个人信息保护影响评估并留存记录、是否提供了替代方式、是否满足本地存储和期限要求。这一层的举证责任分配对企业不利——《个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。举证不利的后果，不只是民事赔偿，还包括第六十六条规定的行政处罚：情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，对直接负责的主管人员和其他直接责任人员还可处十万元以上一百万元以下罚款。

　　最后把制度落到流程和文本里。采购环节增加数据合规条款和供应商数据处理协议，设备选型时把“是否支持本地存储”“是否支持替代验证方式”写进需求书；HR环节把授权文本、告知文本、评估记录模板化，让一线拿到的是一份填完就能用的东西，而不是一条合规原则；离职环节把资料清理和权限回收固定为离职流程的一个步骤。制度写在文件里不会自动生效，嵌进流程才会。

#结语

　　人脸考勤、办公监控和背景调查，本质上是同一道题的不同问法：企业行使管理权的边界，落在员工个人信息和隐私上时，需要具体的理由、具体的方式和具体的记录。法律并没有禁止这些管理手段，它要求的是每一次处理都能说清楚目的、必要性和影响，并且在被问起时拿得出证据。对大多数企业来说，真正需要改的往往不是设备，而是授权文本、评估记录和保存期限这些每天都要用到的东西。

---

正在推进人脸考勤、办公监控或背调流程，或者收到了员工关于个人信息处理的质疑？预约测绘，帮你把处理清单、合法性依据和举证材料一次理清楚。