典型案例:用人单位如何处理劳动者使用移动办公软件产生的数据

用人单位如何处理劳动者使用移动办公软件产生的数据

阅读提示：随着移动办公的普及，劳动者在职期间使用用人单位提供的移动办公软件会产生大量数据，其中可能包含个人信息甚至隐私。劳动者离职后，要求用人单位删除其个人信息的，用人单位应如何处理？用人单位基于档案管理、劳动争议、社保核查等事由，可否继续存储或在必要范围内使用该个人信息？本文为一则入选上海法院服务保障数字经济发展典型案例的裁判，对这一问题进行具体分析。

劳动者在职期间使用用人单位的移动办公软件产生的数据，用人单位根据法律、行政法规的规定或当事人之间的约定，有权进行统一存储和管理。劳动者离职后要求用人单位删除上述数据中的个人信息的，人民法院应予支持，但用人单位确因档案管理、劳动争议、社保核查等合理事由需要在法定期限内继续存储或者在必要范围内使用该个人信息的除外。

某科技公司是某移动办公软件的网络服务提供者。刘某与某网络公司建立劳动关系后，使用某移动办公软件进行日常工作交流。

在职期间，刘某以电子方式签署同意遵守《某移动办公软件办公安全管理协议》，该协议载明：“某移动办公软件是公司用以智能移动办公、沟通和协同的工作平台……为落实数据安全管理措施，需要将员工使用个人手机号码注册的用于工作的某移动办公软件账号绑定工作身份和集团组织，一旦绑定后该账号将被认定为公司工作账号，统一进行数据安全管理。员工离职后，就在职期间某移动办公软件公司域账号产生的所有数据，员工无法查看、保有、使用、传输。特别提示，在执行上述数据安全管控措施中，公司会充分尊重和保护个人数据。在离职或离岗前，请提前就在职期间使用公司工作账号产生的与工作无关的个人数据资料（如个人照片、文档、音视频资料）进行迁移备份。”

此后，刘某与某网络公司因解除劳动合同发生劳动争议。某网络公司在劳动争议中向仲裁委员会、法院提供某公证书，该公证书载有刘某在职期间使用某移动办公软件账号的部分网络操作日志。就该公证书，刘某提起本案侵权责任纠纷诉讼，主张某网络公司、某科技公司共同处理了该公证书中网络操作日志所涉的刘某的IP地址、上下线时间、网络浏览日志等个人信息，要求其停止处理刘某的个人信息。

法院经审理认为，首先，刘某签订《某移动办公软件办公安全管理协议》，同意将以其个人手机号码注册的某移动办公软件账号绑定工作身份和集团组织，升级为公司工作账号，刘某在某网络公司工作期间该账号处于公司企业架构及群组下。该协议明确约定相关账号转换为公司工作账号后，将统一进行数据安全管理，个人在离职前需就在职期间使用工作账号产生的与工作无关的个人数据资料进行迁移备份。该协议签订后，刘某亦继续使用某移动办公软件进行日常工作交流。

其次，案涉公证书涉及的相关数据均系刘某于工作期间在工作环境中产生，某网络公司作为用人单位基于离职审计等特定用工管理用途查看上述数据，并以公证书的形式在双方之间的劳动争议案件中作为证据向仲裁机构、司法机关提供，上述行为未超出工作中形成数据的合理使用范围。并且，案涉公证书仅显示了网络操作日志及相关文件名称，尚无证据证明该网络操作日志中含有相关文件的内容，故刘某要求删除案涉公证书中网络操作日志涉及的其个人信息，该主张缺乏依据，难以成立。

最后，某科技公司作为某移动办公软件的网络服务提供者，基于合理的理由在法定期限内留存刘某在职期间在工作环境中使用某移动办公软件工作账号产生的网络操作日志，并无不当。现无证据证明某科技公司将上述网络操作日志所涉文件对应的具体内容存储至今，故某科技公司在本案中未侵害刘某的个人信息权益。

综上，法院判决驳回刘某的全部诉讼请求。

1.《中华人民共和国民法典》

第一千零三十四条 自然人的个人信息受法律保护。

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

第一千零三十五条 处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；

（二）公开处理信息的规则；

（三）明示处理信息的目的、方式、范围；

（四）不违反法律、行政法规的规定和双方的约定。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

2.《中华人民共和国个人信息保护法》

第六条 处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

第十三条 符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

前款规定事项发生变更时，个人有权撤回其同意，但撤回同意不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

第十九条 除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。

第四十七条 有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：

（一）处理目的已实现、无法实现或者为实现处理目的不再必要；

（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；

（三）个人撤回同意；

（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；

（五）法律、行政法规规定的其他情形。

法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

END