第 3 章 应聘者与员工数据

学习目标

• 区分处理应聘者与员工个人信息的依据（同意、法令、合同等），并判断 AI 的应用是否在最初的目的范围内。
• 区分敏感信息、固有标识信息、居民登录号、假名信息的处理要件，并对人事数据项进行分类。
• 区分委托处理、向第三方提供、跨境传输，并选定 AI 供应商合同中需确认的数据使用条件。
• 设计招聘文件与 AI 分析结果的保存期限、返还及销毁程序。
• 应用相应的判断程序，以决定是否可以将特定人事数据输入特定 AI 工具。

引言

人事部门是公司中掌握最多最敏感数据的部门。应聘申请书中包含工作经历与学历，考勤记录中包含病假事由，薪资资料中包含银行账户与扣除明细，面试录像中则包含面孔与声音。生成式 AI 可以利用这些数据做很多事情：汇总数百份离职问卷、整理面试记录文本、核算薪资计算结果，以及预测离职风险。

问题在于“可以做”与“准许做”之间的距离。即使是同一份出勤记录，用于核算薪资属于原本的目的，但如果用于未曾向员工告知的工作态度评价，就可能构成目的外使用。即使是同一张面部照片，印在员工工牌上属于一般个人信息，但若生成用于本人身份确认的特征信息，就会成为敏感信息。即使是同一家供应商，如果仅代为处理公司业务属于委托处理，但若将其用于改善自身服务，则属于向第三方提供。

本章从韩国《个人信息保护法》的处理原则与处理依据出发，依次探讨目的外使用、特殊信息（敏感信息、固有标识信息、居民登录号）、委托、提供、跨境传输，以及保存与销毁。最后，我们将建立一套判断“是否可以将此数据输入该 AI 工具”的流程以及供应商合同核对清单。

核心概念

个人信息与可结合性

韩国《个人信息保护法》第 2 条第 1 项将个人信息定义为关于生存个人的信息，具体包括：通过姓名、居民登录号、影像等能够识别特定个人的信息（a目）；即使仅凭该信息本身无法识别，但与其他信息容易结合而能够识别个人的信息（b目）；以及假名信息（c目）。是否“容易结合”，需综合且合理地考虑获取其他信息的可能性，以及识别个人所需投入的时间、成本和技术来做出判断。

该定义在人事数据中之所以重要，是因为人们常有“只要抹去姓名就不是个人信息”的错觉。即使从面试记录文本中抹去姓名，像“在物流初创公司搭建了 3 年库存系统的经验”这样的表述，在公司内部也很容易推断出是谁。在一个仅有十二人的部门里，问卷回答仅凭行文文风就能暴露填写者。删除姓名仅仅是第一步，并不等同于匿名化处理或假名化处理。

处理原则：目的、最小化、匿名

第 3 条规定了个人信息保护原则。其中对人事 AI 尤为重要的有五项：

第 7 款在实际工作中最为常用。如果是旨在寻找部门级改进课题的问卷分析，由于不需要答卷者的身份，因此必须使用匿名化处理后的资料进行分析。相反，像薪资核算这类按个人发放的业务，则不可避免地需要识别个人。

处理依据：凭何收集与使用

第 15 条第 1 款规定了可以收集、使用个人信息的七种情形。与人事工作密切相关的有以下四项：

获取同意时，必须告知收集与使用目的、项目、保存与使用期限、拒绝同意的权利及其不利后果（第 15 条第 2 款）；且存在需将同意事项区分并分别取得同意的情形（第 22 条）。除必需的最小限度信息外，必须告知其可以不同意，且不得以此为由拒绝提供服务（第 16 条）。对于无需同意即可处理的个人信息，必须将其项目及法律依据与需征得同意的对象区分开来予以公开或告知（第 22 条第 3 款）。

处理依据在第 2 章的自动化决定中也会再次用到。因为如果决定是依据第 1 项、第 2 项、第 4 项做出的，便属于拒绝权的例外情形。如果不以书面文档形式梳理清楚这些依据，甚至无法判断需要履行何种程序。

目的外使用与提供

首先需要关注的是与最初目的合理相关的追加使用。第 15 条第 3 款和第 17 条第 4 款开辟了在与当初收集目的合理相关的范围内无需信息主体同意即可使用或提供的途径；施行令第 14 条之 2 列出的判断考量因素包括：与当初目的的关联性、结合收集情况与处理惯例的可预测性、是否不当侵害信息主体的利益，以及是否采取假名化处理、加密等安全措施。若超出此范围，即构成目的外使用。

第 18 条第 1 款禁止超出第 15 条第 1 款规定的范围进行使用，或超出第 17 条第 1 款等规定的范围向第三方提供。例外情形由第 2 款规定，对于非公共机构的企业而言，主要适用的情形包括取得信息主体的单独同意、其他法律有特别规定，以及为紧急的生命、身体、财产利益等。在取得单独同意时，必须告知接收方、使用目的、项目、保存与使用期限、拒绝权利及不利后果（第 3 款）。

在人事 AI 中，目的外使用经常出现的场景如下：

“信息已经在公司系统中”这一事实本身并不是处理依据。每次使用时，都必须重新确认其目的与必要范围。此外，目的外使用不仅是法律问题，更是信任问题。一旦 HR 聊天机器人的对话被用于考勤评价一事公开，员工就不会再坦诚地向聊天机器人提问，引入该工具的目的也就随之瓦解。

敏感信息

第 23 条将关于思想与信念、工会及政党的加入与退出、政治见解、健康、性生活等信息以及总统令规定的信息定为敏感信息，原则上禁止处理。施行令第 18 条在此基础上补充了：通过基因检测等获得的遗传信息、犯罪经历资料、作为关于个人的身体、生理、行为特征的信息且为识别特定个人而通过一定技术手段生成的信息，以及关于人种或民族的信息。

敏感信息只有在与对其他处理的同意分开单独取得同意，或者法令要求或允许处理的情况下方可处理（第 23 条第 1 款）；进行处理时，必须采取确保安全性的措施（第 2 款）。

在人事工作中，敏感信息比想象中更为常见。病假事由和健康体检结果属于健康信息；工会加入与否本身就是敏感信息；为门禁管理而从面部照片中提取用于本人身份确认的特征信息，便属于生物特征信息。如果要将此类信息输入 AI 分析，必须首先重新确认处理依据；若模型用于人事任免与处置，原则上不得输入。韩国《工会法》第 81 条第 1 款第 1 项将因加入工会而对劳动者予以不利处分的行为作为不当劳动行为明令禁止，因此，如果工会加入情况被纳入可能影响岗位调动或考核评估的模型中，即使签署了同意书也会构成违法。

固有标识信息与居民登录号

第 24 条规定，对于根据法令赋予用于唯一识别个人的标识信息中由总统令规定的固有标识信息，仅在取得单独同意，或法令具体要求、允许的情况下方可处理，并要求采取加密等确保安全性的措施。施行令第 19 条将其规定为居民登录号、护照号码、驾驶证号码、外国人登录号。

居民登录号的要求则更为严格。第 24 条之 2 第 1 款规定，除法律、总统令等具体要求或允许处理的情形，为紧急的生命、身体、财产利益明显必需的情形，以及符合前述标准且属不可避免并由保护委员会以告示形式规定的情形外，一律不得处理。与其他固有标识信息不同，信息主体的同意不能作为处理依据。 即使依法进行处理，也必须加密存储（第 2 款）。

因此，以“防止重复申请”为由在应聘申请书中要求填写居民登录号的做法，只要在该阶段没有具体要求或允许处理的相关法令，即使取得了同意书也不得进行。重复确认应通过联系方式或本人实名认证等其他手段实现。入职后若有法令具体要求的处理事项，也仅能在该依据允许的范围内进行处理。

假名信息及其局限

假名化处理是指删除或替换个人信息的一部分，使其在没有额外信息的情况下无法识别特定个人的处理方式（第 2 条第 1 项之 2），其处理结果即为假名信息。假名信息仍然属于个人信息。因为只要某处存在连接替换键与真实姓名的映射对应表，与其结合后便能重新识别到个人。

第 28 条之 2 允许为编制统计、科学研究、公益性记录保存等目的，在无需信息主体同意的情况下处理假名信息。科学研究是指应用科学方法开展的研究，包括技术的开发与实证、基础研究、应用研究、民间投资研究等（第 2 条第 8 项）。然而，该特例并不能作为针对特定个人采取人事措施之目的的依据。筛选出离职风险高的员工并进行面谈的分析，其目的在于识别个人，因此绝不会因为经过了假名化处理就变成“无需同意即可任意使用”的资料。第 28 条之 5 明确禁止假名信息处理者出于识别特定个人的目的处理假名信息。

分阶段来看便一目了然。将过去的人事数据进行假名化处理以开发、验证预测模型的阶段，尚有探讨适用科学研究特例的余地；但出于公司内部人事管理目的而开发模型是否属于科学研究尚不明确，因此请务必寻求专家审查，并一并研讨其他处理依据。然而，将该模型应用于在职员工以筛选面谈对象的阶段，属于识别个人的处理，因此必须单独具备履行劳动合同或单独同意等常规处理依据及目的范围，同时还须经过第 1 章与第 5 章的歧视及公平性审查。

委托处理与向第三方提供

向 AI 供应商移交人事数据时，首先要明确该关系属于委托处理还是向第三方提供。其判断标准在于数据是为了谁的目的而处理。

第 26 条对委托处理提出以下要求：包含禁止超出委托业务目的进行处理、技术与管理保护措施等内容的书面文档（第 1 款）；为便于信息主体轻松确认委托业务内容与受托人而进行公开（第 2 款，此时受托人包含接受转委托的第三方）；对受托人进行培训与处理现状检查等监督（第 4 款）；受托人若要转委托，须取得委托人的同意（第 6 款）。此外，第 8 款规定将销毁（第 21 条）、敏感信息（第 23 条）、自动化决定（第 37 条之 2）等多项条款准用于受托人。

如果合同草案中包含“供应商可为改善服务质量而使用数据”等宽泛条款，必须重新审视该使用是否属于委托业务的范围。如果属于供应商自身的目的（例如用于训练供应商的通用模型），则超出了委托的范围。

跨境传输

AI 服务多在海外云端运行。第 28 条之 8 第 1 款原则上禁止向境外提供（包括被境外查阅的情形）、委托处理、存储个人信息，仅在下列情形下允许：

1. 取得信息主体关于跨境传输的单独同意的情形
2. 法律或条约等有特别规定的情形
3. 为与信息主体订立、履行合同所必需而进行委托处理、存储的情形，且已在隐私处理方针中公开或通过电子邮件等方式告知传输事项
4. 接收方获得保护委员会告示规定的认证并采取必要措施的情形
5. 保护委员会认定接收对象国等的保护水平实质相当的情形

告知或公开的事项包括：传输的项目、传输的国家、时间与方式、接收方的名称及联系方式、接收方的使用目的与保存使用期限，以及拒绝传输的方式、程序与拒绝的后果（第 2 款）。即使是出于公司目的的处理而属于委托处理，只要处理地点在境外，在委托要件之上还需附加跨境传输要件。如果在尚未签订劳动合同的应聘者阶段，无法准确判定该处理是否属于第 3 项中“为订立合同所必需”的委托处理与存储，那么按照第 1 项取得单独同意更能减少纠纷。

保存期限与销毁

第 21 条规定，在保存期限届满或达成处理目的等导致个人信息不再必要时，必须毫不迟延地予以销毁（第 1 款）；采取措施防止其被恢复或再生（第 2 款）；若依其他法令须予保存，则须单独隔离存储和管理（第 3 款）。由于该义务同样准用于受托人，因此必须连同残留在供应商系统中的副本一并销毁。

使用 AI 会导致需要销毁的对象增多。不仅原始应聘申请书，AI 生成的评分、摘要、嵌入（将文本转换为数字向量的值，可能据此推断原文）以及分析日志，只要能够识别特定个人或与其他信息结合能够识别个人，就均属于个人信息。依据其他法令须予保存的资料，应单独隔离保存以替代销毁（第 21 条第 3 款）。如果未将这些衍生结果列入销毁清单，就会出现“删除了原始文件却留下了摘要”的局面。

针对招聘文件，还会涉及韩国《招聘程序法》的返还规定。第 11 条第 1 款规定，招聘结果确定后，若求职者（最终录用的应聘者除外）请求返还，经核实本人身份后须予以返还；但通过网站或电子邮件提交的情况，以及求职者未经要求主动提交的情况属于例外。返还请求期限由用人单位在招聘结果确定之日起 14 日至 180 日的范围内自行规定，且必须在招聘结果确定前告知求职者（施行令第 4 条，法律第 11 条第 6 款）。请求期限届满或未返还的招聘文件，须依照《个人信息保护法》予以销毁（第 11 条第 4 款）。由于《招聘程序法》适用于常态化用工 30 人以上的用人单位（第 3 条），因此规模小于该标准的用人单位应以《个人信息保护法》的保存与销毁原则为准。

安全措施与访问记录

第 29 条要求制定内部管理计划、留存访问记录等采取确保安全性所必需的技术、管理和物理措施。在人事 AI 中，这具体体现为两点：其一是仅在公司管控的工具中进行处理。面试官将面试录音文本粘贴到个人账号的免费聊天机器人的那一刻，就已经脱离了公司的安全管理范围。其二是记录谁查阅了什么内容。这与第 4 章的审计追踪密切相关。

判断流程：是否可以将此数据输入该 AI

人事负责人每次都可以使用的判断步骤梳理如下：

1. 确认目的。 试图通过该分析做出什么决定？是对个人采取措施，还是为了解群体特征？
2. 确认依据。 该目的是否在最初收集时的依据及告知的目的范围内？若不在，是否有单独同意等新的依据？
3. 确认信息类型。 是否包含敏感信息、固有标识信息、居民登录号？若有，是否具备符合该信息要求的依据？能否在用于人事措施的分析中予以剔除？若处于招聘阶段，是否混杂了韩国《招聘程序法》第 4 条之 3 规定的禁止信息，以及替代反映受保护属性的变量（第 1 章）？
4. 最小化。 是否仅保留了目的所需的必要项目？通过匿名化处理能否达成目的？
5. 确认工具。 是否为公司签约并批准的工具？是否具备委托文档、公开披露以及跨境传输要件？若该工具会新收集员工行为数据，是否确认了劳资协议会协商（韩国《劳动者参与法》第 20 条第 1 款第 14 项）与告知要件（第 4 章）？
6. 确认期限。 输入与输出结果何时销毁？供应商侧的留存期限是多久？

确认供应商合同中的数据使用条件

AI 供应商的数据条件不在界面中，而是在合同文档中。签约前，应结合依据文档逐一填写下表中的各项内容。

“供应商承诺会加密”或“签订了保密协议”并不能填补此表中的项目。加密只是保护措施的一种，而保密协议并不能替代委托文档的法定内容、公开披露以及委托人的监督义务。

深入阅读

在“抹去姓名”与“已匿名”之间

第58条之2规定，在合理考量时间、成本、技术等因素的前提下，即使结合使用其他信息也无法再识别出特定个人的信息，不适用本法。匿名化处理就是使数据达到这种状态的工作。但人事数据很难越过这一门槛。因为组织规模较小，成员彼此相识，且履历与工作内容具有独特性。在实操中，通常会结合使用以下三种方法：扩大汇总统计维度（将不足5人的部门与上一级组织合并，使具有相同属性值的人数至少达到k人以上的k-匿名性方式）；抹去独特的细节内容（项目名称、客户公司名称、特定事件）；产出物中不引用原文。即便如此，自由文本描述依然存在风险，因此分析只能在公司管理的工具内进行，结果也仅在汇总统计层面进行共享。

员工的同意有多自由

在招聘与雇佣关系中，公司与求职者、员工之间的地位并不对等。一旦递上同意书，大多数人都会签字。法律通过规定取得同意的方法（第22条），以及告知除最少限度信息外可以不同意且不得以此为由给予不利待遇（第16条、第22条第5款），试图缩小这种失衡。实操原则如下：凡是可以通过履行合同或法定职责义务来解释的处理，均以此为依据进行；对需要取得同意的处理，设计为即便拒绝也不会遭受不利待遇，并从一开始就为拒绝者准备替代途径。像加入工会这类即便取得同意书也难以正当化的处理，从一开始就不要进行。

衍生数据的寿命

AI 生成的产出物往往比原始数据更容易存活更久。摘要散落在共享文件夹中，评分分散在电子表格里，嵌入分布在搜索索引中。而且，在销毁原始数据之后，残留的摘要如果又被重新用作下一次招聘的“参考资料”，就会成为超出此前告知的保存期限与处理目的的处理。绘制数据流图时，请务必不仅标明原始数据，还要一并记录 AI 生成的所有产出物的位置及其销毁时限。

工作场景

田野农产的离职原因分析

农产品流通企业“田野农产”（员工1300人）的人事团队希望通过 AI 分析过去两年的480份离职面谈记录，以找出跳槽离职的原因。最初的计划是将面谈记录原文直接输入公司批准的 AI 工具，并要求其“推断每位离职人员的真实离职原因”。

但在套用判断流程后，问题暴露了出来。处理目的是寻找公司层面的改进课题，因此没有必要识别个人。面谈记录中混杂着健康状况、家庭情况以及同事姓名等信息。推断每位离职人员的“真实原因”，可能会超出此前告知的目的（办理离职手续与组织改进）。而且部分记录的保存期限甚至已经届满。

人事团队改变了计划。在分析之前，销毁了已过保存期限的记录。在剩余的记录中抹去了姓名、工号、同事姓名以及健康与家庭相关的细节内容，并将不足5人的部门合并至事业本部维度。提问也从“推断每位离职人员的原因”变更为“按事业本部汇总重复出现的离职原因类型与频次”。结果报告中未包含任何原文引用。被舍弃的备选方案包括“记录本就在公司系统中，直接使用即可”以及“事后征得离职人员的同意”。前者不能构成处理依据，后者则因许多人已无法取得联系而不具现实可行性，且从一开始就无需进行个人维度的分析。

丰硕能源的海外 AI 摘要服务合同

能源企业“丰硕能源”评估了一款用于生成社招应聘申请书摘要的海外 AI 服务。销售人员表示：“我们拥有行业标准的权威安全认证并进行了加密，完全不必担心。”人事团队则填写了供应商合同审查清单。

处理地位方面，由于纯粹出于公司的材料审查目的，因而属于委托处理。然而，用户服务条款中却包含“可将客户数据用于服务改进”的条款，且用于模型训练的默认设置处于开启状态。处理地点位于海外区域，且另有次级受托人名单。

人事团队提出了三项合同条件：关闭用于模型训练的选项，并将服务改进条款严格限定在受托业务范围内；更换次级受托人时须征得公司的同意；定期接收处理现状报告和删除确认书。关于境外转移，由于尚无法断定在未正式签订合同的应聘者阶段的处理是否属于订立合同所必需的委托处理，因此决定在接收应聘申请时就境外转移单独取得同意。在同意界面中列明了转移项目、转移目的地国家以及时间与方式、接收方的名称与联系方式、使用目的与保存期限、拒绝方式及拒绝的不利后果，并为未予同意的应聘者设立了由国内人工进行审核的替代途径。虽然确认了安全认证，但人事团队在内部报告中特别写明：仅凭安全认证无法替代履行这些法定栏目的要求。

易错点

• “抹去姓名就不是个人信息。” 如果能与其他信息容易地结合并识别出特定个人，依然属于个人信息。
• “既然是公司系统里的信息就可以直接使用。” 每次使用时都必须确认目的与依据。持有信息本身并不是合法依据。
• “只要拿到同意书，就可以收集居民登录号。” 居民登录号若无明确法令依据等，即使取得同意也不得进行处理。
• “只要进行了假名化处理，无需同意就可以做任何事。” 假名信息特例仅适用于统计编制、科学研究、公益性记录保存等目的，且假名信息本身仍属于个人信息。
• “既然签了委托合同，供应商就可以自由使用。” 受托人不得超出委托业务范围使用数据。若用于供应商自身的目的，则属于向第三方提供。
• “只要具备国内委托要件，放在海外服务器也没问题。” 若数据处理地点位于境外，则须额外满足境外转移要件。
• “删除了原始数据，销毁就完成了。” 必须连同 AI 评分、摘要、嵌入以及受托人保存的部分一并予以销毁。
• “通过官网接收的应聘申请书，为了应对退还请求也可以长期保管。” 通过网站、电子邮件提交属于退还义务的例外情形。一旦达成招聘目的等导致不再需要，即便已告知的期限尚未届满，也必须毫不迟延地予以销毁，且绝不能超出已告知的保存期限进行保管。

要点速览

查阅官方文档

• 韩国《个人信息保护法》第15条 — 阅读收集与利用的七项依据以及取得同意时应告知的事项。
• 韩国《个人信息保护法》第18条 — 确认禁止超出目的利用与提供的规定及例外情形。
• 韩国《个人信息保护法》第23条与《施行令》第18条 — 阅读敏感信息的范围与处理要件。
• 韩国《个人信息保护法》第24条之2 — 确认居民登录号处理限制与加密义务。
• 韩国《个人信息保护法》第26条 — 阅读委托书面文件、公开、监督、再委托及准用条款。
• 韩国《个人信息保护法》第28条之8 — 确认境外转移的五种合法途径及应告知的事项。
• 韩国《招聘程序公正化法》第11条与《施行令》第4条 — 确认应聘材料退还的例外情形与请求期限。

自测

3-1. 写出韩国《个人信息保护法》第3条第7款规定的匿名与假名处理原则，并各举一例，说明该原则在必须以个人为单位进行处理的业务与无需以个人为单位进行处理的业务中分别如何适用。

3-2. 列表整理敏感信息、固有标识信息与居民登录号的处理要件差异，重点关注信息主体的同意是否可作为处理依据。

3-3. 用一句话写出区分处理委托与向第三方提供的标准，并写出委托方必须具备的四项义务。

3-4. 在允许向境外转移的五种途径中，选出一种无需单独取得同意即可使用的途径，并说明其要件。

3-5. 在使用AI的招聘中，写出销毁清单中除原始应聘申请表外必须包含的三项内容及其理由。

3-6. 写出适用假名信息处理特例的目的，并说明该特例不能作为旨在对个人采取人事措施的分析依据的原因。

3-7.（设计）针对公司使用的一款AI工具，制定填写本章供应商合同检查表八行内容的计划。逐行写明应从何种文件中查找依据，以及在无法确认时的处理方法。

实操练习