场景
苏州工业园区一家科技公司组织年度体检，HR在群里发了通知，员工按安排去指定体检机构做检查。几个月后，员工王女士收到一条陌生短信：某健康管理App提示她的"个人健康档案已建立"，还附了一份体检指标解读和保险产品推荐。她一查才知道，公司把全员的体检报告电子版打包交给了这家第三方机构，用来做"员工健康管理计划"。
她去找HR问，HR的回答很常见："体检是公司出钱组织的，报告公司当然能看；交给第三方也是为了大家的健康，属于公司正常管理。"王女士心里不舒服：自己的脂肪肝、甲状腺结节这些指标，凭什么公司一句话就给了外面的公司？
这个问题的核心就一句：体检信息属于敏感个人信息，公司把它交给第三方，需不需要员工"单独同意"？
法律规定
先看《民法典》。第1034条明确，个人信息包括健康信息这类能识别到特定自然人的信息；第1035条要求，处理个人信息应当征得本人同意，并且要告知处理的目的、方式和范围。也就是说，健康数据不是公司出钱做体检就自然归公司随意处置的。
再看《个人信息保护法》，这是这类纠纷最直接的依据。第28条把医疗健康信息列为敏感个人信息；第29条规定，处理敏感个人信息应当取得个人的单独同意。第23条又补了一刀：向其他个人信息处理者提供个人信息，应当告知对方名称、联系方式、处理目的、处理方式和信息种类，并取得单独同意。
"单独同意"是什么意思？第14条讲得很清楚：同意要在充分知情的前提下自愿、明确作出。它不能藏在劳动合同、员工手册、入职登记表那一段"本人同意公司收集使用本人全部信息"的概括条款里。单独，就是单独告诉你、单独让你选、单独取得你的明确表示。
此外第17条要求告知，第21条讲委托处理：如果是真正受公司委托、只按公司指令处理数据的机构，不需要单独同意，但公司要和它签协议并监督。这条经常被企业拿来当挡箭牌，实务中要具体看。
法院实务怎么判
苏州地区法院处理这类纠纷，通常会围绕三个点来审查，整体倾向比较清晰。
第一，看同意的形式。 把体检信息交给第三方做健康管理、健康画像、保险推送这类超出体检本身用途的事，法院一般会要求有单独的同意文件或者单独的勾选、签字记录。入职时签的那份"一揽子授权"，法院通常不认为构成单独同意，尤其在公司没有明确告知第三方名称和数据用途的情况下。
第二，看是"提供"还是"委托处理"。 有些公司说自己只是委托第三方存储。法院会看第三方能不能自主决定数据用途——如果第三方拿着数据去营销、去和保险公司合作，那实质就是"提供"，不是委托，单独同意的要求就绕不开。
第三，看必要性。 履行法定或约定义务所必需的信息处理，可以不经同意。但年度福利体检和法定的职业健康检查不是一回事，一般体检结论也难说是履行劳动合同所必需。举证责任在企业一方，公司要拿出告知记录和同意记录。
需要说明的是，不同案件的事实差别很大，法院也会看数据是否脱敏、影响范围、有没有造成实际损害，结论不能一概而论。
边界与例外
有些情况下结论会变。
一是法定职业健康检查。按《职业病防治法》的要求，从事接触职业病危害作业的员工，上岗前、在岗期间、离岗时要做职业健康检查，用人单位要建立职业健康监护档案。这部分信息处理有法律依据，不需要单独同意，但范围仅限于职业病相关项目，不能顺手把整套体检报告挪作他用。
二是真正的委托处理。体检机构出具报告、系统服务商只按指令存储，本身不决定用途，这种属于《个人信息保护法》第21条的委托处理，签好协议、做好监督即可，不必单独同意。
三是已去标识化、无法识别到具体个人的群体统计数据。按第4条，这类信息不再属于个人信息，公司做整体健康分析一般不受此限，但"假脱敏"——比如用工号还能对应回人——仍算个人信息。
四是员工确实单独同意过。如果公司单独发过告知书，写清了第三方是谁、做什么用，员工也明确签了字，那处理就有合法性基础。
普通人能怎么做
签字前看清楚。 入职材料或体检通知里如果夹着"同意公司将本人全部健康信息提供给合作机构"这类条款，可以书面提出异议，要求说明第三方名称和用途，别默默签掉。
收到第三方推送先留证。 短信、App通知、体检报告截图都保存下来，再通过邮件或微信向HR书面询问：数据给了哪家公司、给了哪些内容、依据是什么。对方的回复本身就是证据。
行使你的权利。 依《个人信息保护法》第45条，可以要求查阅、复制公司持有的你的个人信息；第46条，处理目的已实现或违法处理的，可以要求删除。
走投诉渠道。 向网信部门、当地市场监管或人社部门反映，个人维权成本高时，这条路径往往更实用。
有实际损害再谈赔偿。 比如信息被用于推销、被泄露导致骚扰，可以依第69条主张侵权责任，这条实行过错推定，企业要自证没有过错。
律师温馨提示
员工健康信息处在劳动管理和数据合规的交叉地带，很多企业以为"公司组织的体检，数据就是公司的"，恰恰在这里踩坑。董坤律师在苏州执业，代理各类民商事案件，尤其擅长个人信息与数据合规、劳动用工管理交叉领域的纠纷，处理过员工信息被超范围收集、共享的争议，也帮企业做过体检数据、考勤数据、监控数据的合规梳理。遇到这类事，早点把告知记录、同意文件和数据流向理清楚，比事后争论有用得多。
作者：董坤，华商（苏州）律师事务所律师，专注苏州本地民商事争议，擅长数据合规与用工管理相关纠纷。