凤凰网原创 一切的监控手段，对于他人的隐私等权利来说，都具有“侵入性”。
日前，媒体曝光了一些公司通过某企业所开发的“行为感知系统 BA”系统来监测员工的上网行为，并根据监测结果，对员工进行谈话、告诫，甚至做出开除等处理。
根据开发该系统的企业官网介绍，该系统的功能是通过挖掘、分析上网行为日志，帮助组织洞悉风险，包括但不限于泄密追溯、员工离职、工作效率、沉迷网络、事件感知等。由此，企业管理者可以通过该软件查看员工访问求职网站的频率、提取聊天关键词、监控员工投递简历的次数等，事先获悉员工的离职倾向等信息。
该系统还可以通过后台查看员工的上网记录，包括但不仅限于聊天、听音乐、购物、看视频等。在官网的行为感知系统产品彩页说明中，用户的真实心理和偏好都会在上网行为中体现，一些日常难以发现的隐蔽性较高的风险行为，也容易在互联网上发生；根据说明，“行为感知系统可以全时刻完整记录上网日志，无遗漏，同时不受任何时间、位置的影响”。
由此，员工在公司电脑上浏览网站的频率、聊天关键词、投递简历及次数等，在后台都被与员工的姓名、所属岗位等直接关联且直接可查，员工的所有上网记录（浏览、聊天、网购、听音乐、观看视频等行为）都几乎“全裸式”地被置于公司领导的监控之下。
| 网友曝光的“行为感知系统 BA”系统 图源：微博@深圳张逸轩
有业界人士表示，员工在公司电脑上的聊天记录，甚至在网络平台所设置的账户、密码，都可被纳入监控范围；若果真如此，则可能涉嫌以网络窃取或者以其他非法方式获取信息，违反《网络安全法》等法律。而最为要命的是，所有这些监控可能是在员工完全不知情的情况下进行的。
人们不禁要问：公司在私底下对员工上网所进行的这些监控，到底有没有逾越法律所设置的底线？
秘密监控是对员工的隐私侵犯
《民法典》第1032条规定：“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”因此，自然人不愿为他人知晓的私密空间、私密活动、私密信息，属于其隐私。
就公司与员工的关系而言，员工在劳动场所负有遵守劳动纪律等义务；显然，公司为员工所配备的电脑，是为了便于其开展工作，完成指派的工作任务。因此，员工对公司电脑的使用，应主要用于工作目的，而不能用于私人目的。
但是，如果员工在遵守了公司的劳动纪律、不影响所分配的工作任务的前提下，偶尔使用公司电脑来进行私人性质的聊天、浏览网页、网购、观看视频等，也应当被允许和容忍；这可以被视为是员工在工作之余所进行的调剂放松和自我减压，有利于其身心健康。
在这样的环境下，员工利用公司电脑所进行的某些私密行为，就有可能属于“私密活动”，譬如，员工访问竞争对手的网页或在求职网站投递简历，这些活动显然属于不愿意为他人所知晓；另外，在线聊天中所透露的一些信息，有可能属于其不愿意他人知晓的私人信息。
《民法典》第1033条规定：“除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：……（三）拍摄、窥视、窃听、公开他人的私密活动；……（六）以其他方式侵害他人的隐私权。”公司对员工上网行为的监控，并没有法律许可此类行为的规定，也显然没有得到员工的明确同意。在此情况下，监视行为就可能属于窥视他人的私密活动，以及以他方式（秘密监控，违法获取他人的私人信息等）侵害他人的隐私权。
在欧洲，企业因监视员工而引发的法律纠纷，也时有发生。在2016年欧洲人权法院的Bărbelescu 诉罗马尼亚案中，申请人被公司解雇，理由是其违反了公司的内部规定。该员工此前负责公司的销售业务，使用公司的Yahoo Messenger账号。公司要求账号只能用于跟客户的联系，回复客户的报价等问题，但他被公司发现使用该账号与其女友和兄弟联系。在公司调查过程中，他谎称其只用于跟工作相关的联系；后公司提交了相关的联系记录将其解雇。他将公司告到罗马尼亚法庭，认为公司侵害了其隐私权；罗马尼亚法院均驳回了其起诉。随后，他到欧洲人权法院起诉罗马尼亚政府，认为后者侵害了其依据《欧洲人权公约》第8条所享有的隐私权。
在该案中，欧洲人权法院适用了隐私的“合理期待”（reasonable expectation）理论。法院认为，将企业的技术设备用于个人用途，应当被允许或至少应被容忍。如果企业事先没有对员工给予警示，告知员工其使用公司设备的通话可能被监听，则员工对其隐私享有合理的期待；这对于利用公司网络设备查询个人邮件来说，亦是同理；因此，法院认为，该案中罗马尼亚侵害了申请人的隐私权。
因此，根据隐私权的合理期待原则，如果权利人对其在特定场景下有合理理由期待其享有隐私权，则如果他人无正当理由不应使其对隐私权的合理期待落空，否则构成对隐私权的侵害。
就公司对员工上网行为的监控而言，如果公司在其与员工的劳工合同中未就此类监控行为征得员工的知情同意，也没有在经征求员工意见而制定的劳动纪律或规章文件中对此类监控行为作出规定，那么，员工就其利用公司电脑所偶尔从事的私人行为（聊天、浏览、投简历等），有合理的理由期待其享有隐私权；公司对其上网所从事的私人行为进行秘密监控，就可能构成对员工隐私权的侵犯。
由于公司在后台的监控行为可以清楚地查明上网员工的身份，对其进行直接的身份关联；因此，公司对员工的上网行为进行监控，还涉及员工的个人信息保护问题。
《个人信息保护法》第13条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需……” 就公司对员工上网行为的监控而言，显然并非公司履行合同、实施劳动规章制度或履行劳动合同所必需。因此，此种监控行为需要取得员工的同意。该法第14条规定：“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。”
这就是说，对于员工上网习惯等个人信息的收集，必须在员工充分知情的情况下，自愿、明确作出同意。如果未获得员工的知情同意，公司擅自对其上网行为进行秘密监控，就有可能构成对员工个人信息权益的侵害，应承担相应的法律责任。
如果公司事先就上网监控对员工进行告知并征求其意见，应遵循《个人信息保护法》所规定的诚信、公开、透明等原则，以显著方式、清晰易懂的语言真实、准确、完整地向员工告知下列事项：处理目的、处理方式，处理的个人信息种类、用途、保存期限、员工依法所享有的权利等。
而如果针对后台监控所获取的信息利用大数据技术和人工智能手段，进行自动化分析处理，从而认定员工是否存在离职倾向，并应给予开除等相应处理决定，还可能构成《个人信息保护法》所规定的“自动化决策”。根据该法第24条，通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
这就是说，如果公司通过对监控数据的自动化处理，来作出员工是否存在必须处理的严重情形的判断，则员工有权要求企业对此予以说明。另外，员工有权对此类自动化处理机制表示拒绝；也就是说，企业不能仅仅依据自动化处理的分析结果，来对员工作出包括开除在内的、对其权益有重大影响的处分。
比例性原则是法律的一项基本原则，其基本涵义是：所采取的手段与所要到达的目的之间，应当相称、成比例；这一原则，是对鼓吹“目的合理就可以不择手段”做法的直接否认，它要求对所保护的利益与所付出的成本之间进行合理的利益权衡，选择成本最低、牺牲最小的手段。就个人信息保护而言，比例性原则也是其一项基本原则。
例如，《民法典》规定处理个人信息应当遵循合法、正当、必要原则，不得过度处理。《个人信息保护法》规定处理个人信息应当遵循合法、正当、必要原则，应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
因此，公司出于对员工进行人力资源管理等目的，收集员工表现的相关信息时，应当按照必要性和最少够用原则，只能在实现管理的必要范围和限度之内，收集那些最为必要的信息；而超出了必要的范围和限度，收集员工上网习惯等非必要信息，就可能构成对员工个人信息权益的侵害。
同样根据比例性原则，如果公司有合理理由怀疑员工从事了违反劳动纪律、损害公司利益的不当行为，为保护公司的合法利益，公司有权采取必要的监控措施，对涉事员工的权利进行合理的限制。
在欧洲人权法院2019年的 López Ribalda 等诉西班牙一案中，5位申请人此前在一家超市担任收银员和销售。2009年该超市在连续五个月发现存在商品丢失的异常情况后，决定安装公开和隐藏的摄像头。不久之后，视频监控发现超市部分员工参与了盗窃超市商品的活动。超市以此为由，开除了包括申请人在内的14名员工。5名申请人后来向西班牙劳动法庭起诉，认为超市安装隐藏摄像头侵害了他们的隐私权；西班牙劳动法庭及高等法院，均驳回了他们的起诉。随后，申请人向欧洲人权法院起诉西班牙政府。
法院认为，应在申请人的隐私权保护与企业财产权保护之间维持合理的平衡。超市设置视频监控确有其正当理由，因为此前发生了多起盗窃事件。至于安装视频监控事先未告知员工的问题，法院指出，雇主不能仅因为持有对雇员不当行为的轻微怀疑，就可以安装隐蔽摄像头；但如果雇主确有合理理由怀疑雇员有严重不当行为，那么不对其进行告知而安装摄像头的行为也具有正当性，尤其是本案中申请人与其他员工合谋串通实施盗窃。由此，法院认为，不存在侵害申请人隐私权的问题。
根据相同的法理，如果公司有合理理由怀疑员工利用公司电脑，从事了严重违反公司劳动纪律、损害公司利益的重大不当行为，公司可以在事先不告知该员工的情况下，对其上网行为进行监控。当然，这样的前提，必须是公司有合理的理由，即有初步的事实证据材料。
而且，所针对的必须是员工有重大的不当行为，譬如窃取、泄漏本公司商业秘密或其他重要信息，或者在网上发布损害公司利益的信息等；而针对员工的一般上网行为，公司就不宜对其进行秘密监控。
最后，就开发了“行为感知系统 BA”系统的某企业而言，应强化科技伦理和企业社会责任意识。近年来，中央高度重视科技伦理治理，相关机构审议通过了《关于加强科技伦理治理的指导意见》等重要文件，并组建成立了“国家科技伦理委员会”这一重要机构。2021年12月修订后的《科学技术进步法》第107条也专门规定：禁止违背科技伦理的科学技术研究开发和应用活动。
“行为感知系统 BA”系统，允许公司在员工完全不知情的情况下，对其上网行为进行全面和深度的秘密监控，不仅涉嫌侵害员工的人格尊严，也破坏了用人公司与员工之间必要的信任关系，引发二者之间的对立与紧张，不利于和谐劳动关系的建立。
从这个意义上来说，一切的监控手段（包括人脸识别等人工智能应用），对于他人的隐私等权利来说都具有某种“侵入性”，都会对人与人之间的信任关系带来不同程度的破坏，从利益平衡原则出发，其应用应局限于某些特定的场景（如事先经权利人同意或出于维护公共安全、打击不法行为等目的所必需），而不宜大规模泛化和推广至一般的日常场合。
石佳友，中国人民大学法学院教授、民商事法律科学研究中心执行主任。本文原标题为“单位监视员工上网：法律怎么看？”。
本文系凤凰网评论部风声特约原创稿件，仅代表本文作者立场。转载事宜请联系风声君微信：formatkay
编辑丨萧 轶
运营丨格 式
主编丨萧 轶
▽ 打开阅读原文，一起“就做不同”
