个人信息保护在 HR 场景中的合规要点
核心结论
HR 掌握身份证、薪酬、健康、家庭、绩效等大量员工敏感信息，合规要点是限定收集范围、明确用途、控制存储和访问权限、规范对外提供，并在招聘背调、测评、档案和数据分析中取得必要授权、最小化使用。HR 系统和纸质档案都应建立权限与留痕管理。
HR 为什么是个人信息保护重点部门
从招聘开始，HR 接触候选人的简历、证件、学历、背调信息，入职后又掌握薪酬、考勤、健康、家庭、绩效和离职材料，这些信息敏感度高、数据集中，一旦泄露或被不当使用，风险很大。
一、信息收集环节
1. 最小必要原则
只收集与岗位录用、用工管理直接相关的信息，不索取与工作无关的家庭、健康或隐私细节。
2. 明确用途并告知
在收集简历、证件、测评、背调信息时，说明信息用途、使用范围和保存方式。
3. 特殊信息审慎处理
健康、宗教、婚姻生育等敏感信息非必要不收集；岗位确有需要时应单独说明依据和保护措施。
二、招聘场景注意事项
- 简历信息只用于本次招聘评估，不长期留存无关候选人数据。
- 背景调查应获得候选人授权，向证明人核实范围限定在工作相关事项。
- 测评工具收集性格和心理类信息，应告知用途、限制对外共享。
- 招聘系统账号按人员变动及时收回权限。
三、在职档案管理
1. 分类存放与权限控制
劳动合同、薪酬、健康和绩效档案分级管理，仅授权岗位相关人员查阅。
2. 纸质与电子档案保护
纸质档案上锁保存，电子档案设置访问权限和操作日志，不通过公共聊天随意发送敏感文件。
3. 传输规范
证件、薪资等材料通过安全渠道传输，避免明文邮件或公开共享链接扩散。
四、使用与对外提供
- 内部使用员工数据做人力分析时，尽量去标识化或汇总统计。
- 向第三方提供背调、背景核实、薪酬数据或员工信息前，确认合作方用途、保密责任和授权基础。
- 不向无关人员透露员工薪酬、健康、家庭等隐私。
- 离职后按规定处理档案和保存期限，到期规范销毁。
五、数据分析场景
HR 做人员结构、离职率、薪酬分析时：
- 报表优先使用聚合数据，避免展示可识别到个人的敏感明细。
- 对外分享统计结果时检查是否能反向识别个人。
- 第三方分析工具输入数据前评估安全和授权范围。
六、内部管理建议
- 制定员工信息收集、存储、查阅、提供和销毁规则。
- 定期盘点 HR 系统和档案访问权限，人员调岗离职时及时调整。
- 对 HR 和管理人员开展信息保密培训。
- 发生信息泄露风险时及时采取补救措施并评估影响。
以上为一般性合规梳理，不构成法律意见；具体收集授权、保存期限和跨主体提供规则以当地个人信息保护法规及专业意见为准。
你们在员工档案和人事数据管理上有哪些权限控制做法？欢迎交流。
常见问题
问：HR 收集员工信息应遵循什么原则？
遵循最小必要和用途明确原则，只收集用工管理直接需要的信息，说明用途和范围，敏感健康、家庭等信息非必要不收集。
问：招聘背调和测评信息要注意什么？
背景调查应取得候选人授权，核实范围限于工作相关内容；测评信息需告知用途，简历和测评数据不超范围留存或对外共享。
问：在职 HR 数据如何保护？
档案分级存放、按岗位控制访问权限、敏感文件走安全渠道，内部分析优先使用聚合去标识数据，对外提供前确认授权和合作方保密责任。