广悦公司商业丨《个人信息保护法》下企业病假管理注意事项

病假期就是员工患病或者非因工负伤，医嘱要求员工治病休息，停止工作、不得上班的期间。休病假作为员工可享受的基本权利之一，企业无权剥夺。

但病假的管理涉及许多方面，包括但不限于：病假审批流程、病假申请附带资料、病假真实性复核等等。特别是对于长期休病假的员工，企业在进行病假审批以及核实病假真实性时，都会要求员工提供与其个人信息密切相关的材料。因此，在《个人信息保护法》实施后，企业应该怎样平衡员工的个人信息保护与企业用工管理自主权？

根据《个人信息保护法》第五条的规定：“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”企业因病假审批等要求员工提供包含个人信息的材料时，应当遵循合法、正当、必要和诚信原则。即企业要求员工提交的材料应当以能够证明员工患病且确因病需要休息为目的，且要求员工提供的材料需与申请病假有直接关系，不能无限扩大员工所需提供材料的范围，尽可能地避免出现侵犯员工个人隐私的行为。

除此之外，收集他人个人信息的，必须先征得他人同意。虽然《个人信息保护法》第十三条第（二）项规定：“为订立、履行个人作为一方当事人的合同所必需时，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需时，处理个人信息不需取得个人同意。”但无需征得同意存在前提条件。如果企业因审批病假所需收集员工的个人信息的，则必须证明前述收集的信息是企业在依法制定的劳动规章制度中已明确的，因此，企业在制定病假管理制度时，应明确病假申请所涉及的员工个人信息的处理目的、流程、能够接触到前述信息的人员范围等，并通过合理的方式将前述规章制度公示告知员工，才能在后续员工申请病假时无需再就要求员工提供的病假申请材料获得员工的同意。

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

员工申请病假的，必然涉及医疗健康相关信息的提供。根据《个人信息保护法》第二十九条的规定：“处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。”医疗健康信息属于个人敏感信息，还需要个人单独同意才可以收集。因此，如果员工已经提供了能够反映其患病就诊的事实，且相关材料也已明确了员工需要病休的，在此情形下如果企业还需员工进一步提供敏感个人信息的，需要征得员工的单独同意。

根据《个人信息保护法》第九条的规定：“个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。”企业要求员工提交包含个人信息的材料进行病假审批，实际上也属于收集个人信息的一种情形。在此情形下，收集了员工个人信息的企业则成为个人信息处理者，因此，企业对于已经收集的员工个人信息，应该采取必要措施保障并保证员工个人信息的安全，且企业不得非法收集、使用、加工、传输员工提交包含个人信息的病假材料，不得非法买卖、提供或者公开员工提交包含个人信息的病假材料。

1.企业可以制定详细的病假管理制度，明确申请病假的条件、所需提交的材料（病假申请书、病历、出院记录、发票、病假建议书等）、请假的流程、审批的权限、能够接触到前述信息的人员范围等等，并且通过合理的方式将前述规章制度公示告知员工。

2.建立病假探望制度。若怀疑员工提交的病假单有虚假可能的，必要时可以“病假探望”为由实地调查走访向开具病假单的医生了解实际情况，这样既可以体现公司的人文关怀外，还可以核实员工的病情。

3.企业可以在规章制度或劳动合同中明确：申请虚假病假、伪造病历或病假建议书等属于严重违反单位规章制度的行为，用人单位可以直接解除劳动合同。

声明