场景
苏州工业园区一家做精密零件的制造企业，去年在车间门口装了一套人脸识别考勤。HR 觉得挺省事：员工刷脸进门，迟到早退一目了然。可到了年底，质检部的老周跟公司闹了别扭——他发现自己的人脸照片不仅用来开门，还被同步到了总部的一套“在岗状态分析”系统里，据说是用来判断谁上班时间离开工位太久。老周找到 HR 问：当初入职只签了个考勤确认单，没人告诉他脸会被拿去分析。HR 回了一句“公司内部管理需要”，事情就僵在那儿了。
这个场景在苏州不算少见。制造业、服务业密集，员工信息采集的环节多，很多企业把“考勤”“门禁”“绩效”混在一起做，边界就容易糊掉。
法律规定
员工信息属于个人信息，受《个人信息保护法》约束。第4条把“个人信息”定义为与已识别或可识别自然人有关的各种信息，人脸、指纹、定位、工作表现记录都算。处理这类信息，得有第13条列举的合法性基础，最常见的是“为订立、履行个人作为一方当事人的合同所必需”或者“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”。
关键在于“必需”两个字。第6条要求处理目的明确、合理，与处理目的直接相关，并采取对个人权益影响最小的方式，不得过度收集。也就是说，能打卡解决的事，不必上人脸；能本地存储的，不必传总部。
用生物识别信息还有更严的门槛。第28条把生物识别信息列为敏感个人信息，第29条要求取得个人的单独同意。第17条要求处理前以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限等。第14条讲同意应当是自愿、明确作出的，第30条还要求处理敏感个人信息时额外告知必要性和对个人权益的影响。
员工信息如果交给第三方系统服务商处理，属于委托处理，第21条要求约定处理目的、期限、方式、保护措施和双方权利义务，并进行监督。若要把信息提供给总部或其他独立主体，则可能构成第23条的“向其他个人信息处理者提供”，需要单独同意并告知接收方名称、联系方式、处理目的和方式。
法院实务怎么判
从苏州法院公开裁判文书反映的审理思路看，劳动争议和人格权纠纷里，法院通常会结合几个点判断企业采集员工信息是否越界：一是采集前有没有明确告知，告知内容是否具体到“用途”而不只是“管理需要”；二是采集方式与目的之间是否匹配，比如已有刷卡考勤却强推人脸，容易被认为不符合最小必要；三是敏感信息有没有单独同意，一揽子授权往往难以支撑；四是信息流向是否说清楚，员工是否知道数据会传给谁、存多久。
普遍倾向是：企业基于正常用工管理采集必要信息，法院一般认可；但对生物识别、行踪轨迹这类敏感信息，审查会更细，企业需要拿出更扎实的告知和同意证据。个案差异很大，同样的采集行为，告知是否到位、同意是否单独、范围是否克制，结论可能完全不同。
边界与例外
边界不是一刀切。第13条还列了“为履行法定职责或法定义务所必需”“为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需”等情形，这些可以不经同意，但要有真实依据，不能拿来当万能挡箭牌。
另一个边界是“人力资源管理所必需”的范围。考勤、工资、社保、安全管理通常落在里面；但把员工人脸用于与用工管理无关的画像、对外共享、商业分析，就超出去了。第24条对自动化决策也有约束，用算法给员工打“在岗分”“效率分”并据此作出不利决定，应当保证透明度和结果公平，个人有权要求说明并拒绝仅由自动化决策作出的决定。
还有员工离职后的处理。第47条要求处理目的已实现、无法实现或者为实现目的不再必要时主动删除；员工也可以依第45条查阅复制、依第46条要求更正补充。企业不能把离职员工的人脸数据一直留着“备用”。
普通人能怎么做
员工这边，入职或系统上线时先问清楚三件事：采什么、干什么用、给谁看。遇到人脸、指纹、定位这类采集，可以要求看告知文本，确认有没有单独同意的环节。发现自己信息被用在没说过的地方，可以书面提出查阅复制（第45条）、更正（第46条）、删除（第47条）的要求，保留沟通记录。企业设有个人信息保护相关受理渠道的（第50条），可以先走内部渠道。
企业这边，建议把“告知—同意—最小必要—留存期限—委托监督”这条链子做实：告知写到具体用途，敏感信息单独同意，能用低敏感方式就不用生物识别，委托第三方签好第21条要求的数据处理协议，定期清理不再需要的信息。达到第55条情形（如处理敏感个人信息）的，还应当事前做个人信息保护影响评估并留存记录。
律师温馨提示
董坤律师在苏州执业，处理过涉及员工信息采集、考勤与门禁系统合规、人力资源数据委托处理等方向的事务，熟悉企业在告知文本设计、单独同意流程、委托处理协议和内部制度落地中的常见卡点，也协助过员工一方梳理查阅、更正、删除的请求路径。员工信息这件事，往往不是“能不能采”一个问题，而是“怎么采、采到哪、留多久”一连串细节，早一点把边界理清楚，比事后解释省力得多。