单位病假管理与个人信息保护

原标题：单位病假管理与个人信息保护

由于各种“泡病假”的招数层出不穷，病假管理成了用人单位人事管理中的难点之一。我国《个人信息保护法》出台后，部分劳动者更是将个人信息保护作为对抗用人单位管理的挡箭牌，使得病假管理难上加难。

在劳动者患病需要停止工作治病休息的情况下，其医疗期等各项权益当然应该得到保护，但虚假病假不仅不应当被放纵而是应当被惩处，否则损害的不仅是用人单位的利益和管理秩序，对其他劳动者也有失公平。在《个人信息保护法》背景下，用人单位行使病假管理权的合规成了一个值得探讨的问题。

单位有病假管理权

用人单位和劳动者建立的是劳动合同关系，鉴于劳动者在用人单位管理下提供劳动具有人身从属性，用人单位在劳动者入职后就对劳动者享有一定的管理权，病假管理也属于经营管理权的范畴。

同时，病假管理权不仅源于用人单位的经营管理权，同时还基于用人单位对劳动者身体状况享有的知情权。

用人单位对劳动者行使病假管理权具体表现为对劳动者提交的病假申请在程序和实体上作出审核、批准、查证等管理行为。

除了伪造的病假证明外，无论是网购的病假证明、通过人情取得的病假证明还是通过自述症状取得的病假证明，虽然在实质上都是虚假的，但在形式上却是真实的，因此用人单位的病假管理权如果被局限于形式审查，那么绝大多数的虚假病假都将成为漏网之鱼，用人单位的合法权益显然无法得到保障。

正因为如此，很多用人单位在规章制度中会要求劳动者在提供医院病情证明单的同时，还须提供相应的挂号单、就诊病历、检查报告、医药费发票等证明材料。

但由于这些病情证明单、挂号单、就诊病历本、检查报告、医药费发票等材料载有劳动者的个人信息，在《个人信息保护法》施行后，用人单位的病假管理权与劳动者个人信息保护的冲突就凸显出来。

基于权利意识与法律意识的不断增加，有些劳动者会用《个人信息保护法》来对抗用人单位的病假管理。

查证事实并不违法

根据《个人信息保护法》第二十八条的规定：医疗健康的信息属于个人敏感信息。《民法典》第一千二百二十六条规定：医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。

这些规定体现出国家愈发重视对个人信息的保护，然而越来越多的劳动者以此为由拒绝接受用人单位的病假管理。我们在代理病假纠纷争议案件时，也曾多次在向医院求证病假真伪时受挫。

但其实，用人单位行使病假管理权与保护个人信息是并不矛盾的。

《个人信息保护法》第十三条规定：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

用人单位行使病假管理权并以此获得劳动者的个人信息是基于双方签订的劳动合同，属于“为履行个人作为一方当事人的合同所必需”。

在病假劳动争议案件中，用人单位有责任举证证明劳动者提供了虚假病假，属于“为履行法定义务所必须”，这符合前述规定“可不需取得个人同意处理个人信息”的情形。

据此，在劳动合同履行过程中，用人单位为行使病假管理权收集劳动者病情证明单、挂号单、就诊病历本、检查报告、医药费发票等信息以及向医院了解查询和履行劳动合同相关的病情信息这些行为本身，与《个人信息保护法》的规定并不矛盾。

合规建议

用人单位行使病假管理权并不是毫无边界的，在收集和处理劳动者的个人信息，特别是医疗健康信息等敏感个人信息时应当重视合规性。

首先，应当坚持合法、正当、必要和诚信原则，贯彻对劳动者个人权益影响最小的原则。

《个人信息保护法》第五条规定：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”

据此，用人单位为行使病假管理权而收集和使用劳动者个人信息应以核实劳动者病情真伪为目的，收集和处理的信息应是必要的、在最小范围内的。

举例来说，劳动者上班时就有明显的感冒症状，次日该劳动者提供医院出具的病因为感冒发烧、建议休息三天的病情证明单。在这种情况下，劳动者凭外在症状和一份病情证明单已经足以证明其病假的真实性，再要求其提供就诊病历等其他信息就缺乏必要性，也不符合收集个人信息的最小化原则。

其次，对于获取的劳动者个人信息应当妥善保管、严格保密。

《个人信息保护法》第二十五条规定：“个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。”

该法第二十八条规定：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。”

据此，用人单位因行使病假管理权的需要而收集取得劳动者的个人信息后，不仅应严格将使用这些信息的目的限制于判断劳动者病情的真假，以及在日后发生仲裁或诉讼时用作证据，还应当予以妥善保管和严格保密。

最后，用人单位应当在劳动合同和规章制度中完善病假管理的相关规定。

如果用人单位在劳动合同和规章制度中对于行使病假管理权的具体措施有明确规定，例如明确劳动者同意在申请病假时需要提供哪些材料，可一定程度上减少相关争议。

进一步来说，用人单位还可以通过规章制度对病假管理权进行细化，比如明确在何种情况下劳动者请病假仅需提供医院出具的病情证明单，在何种情况下用人单位出于核实病情的需要可以要求提供其他与病情证明相关的信息，这样也可使用人单位的规章制度内容更具有合理性。

此外，为了在保证用人单位能正常行使病假管理权的同时保障劳动者个人信息不被泄露，用人单位还可在规章制度中对于收集、获取劳动者个人信息的程序、调取权限、保管措施、保密措施等加以明确规定。

总之，病假管理权来源于用人单位的经营管理权和知情权，《个人信息保护法》并非劳动者以虚假病假骗取不当利益的保护伞，但用人单位在行使病假管理权时应当重视个人信息保护的合规性。（上海通乾律师事务所 朱慧 武慧琳）