场景
最近，个人信息保护和企业数据合规的咨询增多。
苏州一家工厂在车间安装人脸识别和手机定位，要求员工填写家庭成员、病史和紧急联系人，还把员工身份证照片发在几百人的工作群里。员工离职后，公司继续用他的客户名单联系业务，也没有删除考勤、人脸和健康信息。员工觉得“公司管得太宽”，公司却认为这些都是正常管理。
法律规定
《中华人民共和国个人信息保护法》第十三条规定，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，可以处理个人信息。第十七条要求处理前真实、准确、完整告知；第二十八条规定，敏感个人信息只有在特定目的、充分必要并采取严格保护措施时才能处理；第五十一条要求采取安全技术和管理措施，防止泄露、篡改、丢失。
《中华人民共和国劳动合同法》第四条规定，直接涉及劳动者切身利益的规章制度应当经职工代表大会或全体职工讨论，与工会或职工代表平等协商确定，并公示或告知劳动者。第八条规定，用人单位有权了解劳动者与劳动合同直接相关的基本情况，劳动者应当如实说明，但范围限于与劳动合同直接相关。
法院实务怎么判
从苏州地区劳动争议和合规实践看，法院、仲裁通常会看规章制度是否经过民主程序、是否向员工公示、收集信息是否与用工管理直接相关、是否超出必要范围、是否告知用途和保存期限、谁能访问。人脸、指纹、定位、健康、家庭成员信息属于敏感或高风险信息，要求更严格。
公司可以考勤，但不等于可以无限制定位下班后的行踪；可以管理客户名单，但不等于离职后可以随意继续使用员工个人账号里的客户信息；可以保存劳动合同和工资记录，但不等于可以把身份证照片发到工作群。员工离职后，公司应在合理期限内删除或归档，不能无限期保留。
苏州制造业企业多，员工信息往往分散在人事、门禁、食堂、宿舍、财务和车间。建议指定一个负责人，定期清理离职员工的人脸、定位、健康和不必要的家庭信息。劳动争议中，公司如果拿不出制度依据和告知记录，即使主张“为了管理”，也可能被质疑处理范围过大。员工则可以先书面要求说明收集目的和保存期限，再决定是否配合。
在苏州，员工信息处理还要和工会、员工代表沟通，尤其是门禁、人脸、定位等涉及人格权益的措施；只由老板口头决定，很容易在争议中站不住脚。
边界与例外
为履行法定义务保存工资、社保、个税、安全生产等记录，通常有法定依据，但也要限制访问和保存期限。为保护财产、安全生产安装监控，要显著告知，避免拍到更衣室、卫生间等私密空间。员工同意不能完全替代必要性审查，尤其是劳动关系中双方地位不对等。
涉及未成年人、残障员工、跨境的员工数据，还有额外要求。集团共享、外包客服、HR SaaS、考勤软件，可能涉及委托处理或对外提供，需要签协议并明确责任。
普通人能怎么做
- 先列清单：收集哪些员工信息、依据是什么、是否与劳动合同直接相关、保存在哪个系统、谁能看、保存多久。
- 把考勤、监控、定位、健康信息等高风险处理写进规章制度，经过民主程序并公示，不用一张入职表打包全部授权。
- 遵守最小必要，能部门内部掌握的，不要全员公开；身份证、病历、家庭信息等限制访问。
- 与 HR SaaS、考勤、客服外包商签数据处理协议，明确删除、泄露通知和安全责任。
- 员工离职时做数据交接和清理，保留法定档案，删除不再需要的个人照片、定位、健康和不必要的客户信息。
员工信息管理的底线是“与用工直接相关、必要、透明、可控”，而不是“公司想知道什么就收集什么”。
律师温馨提示
在苏州，企业收集客户信息、管理员工数据、做短信营销或使用 AI 处理数据，告知、同意、最小必要和删除机制缺一不可。董坤律师长期代理民商事及企业合规案件，熟悉苏州地区个人信息保护、劳动争议和企业数据合规的实务边界，尤其擅长把隐私政策、授权流程、外包协议和员工制度做成可执行的方案。具体案件需要结合业务判断，不能预先承诺结果。