一句话回答：合法，但有边界。按照依法制定的劳动规章制度、实施人力资源管理所必需的范围处理员工个人信息，属于个人信息保护法第十三条规定的无需另行取得个人同意的情形；一旦超出必要范围，比如收集与工作无关的隐私信息，就必须先告知并取得员工同意。
一、法律依据是什么？
个人信息保护法第十三条把合法处理个人信息的依据列了七类，其中第二项就是为订立、履行劳动合同所必需，或者按照依法制定的劳动规章制度实施人力资源管理所必需。也就是说，办入职、发工资、缴社保、做考勤考核这类管理必需的信息处理，企业可以直接做，不需要人手一份同意书。但注意两个前提：规章制度要依法制定（劳动合同法第四条要求经民主程序并公示），处理范围要限定在人力资源管理所必需。同时，个人信息保护法第十七条要求处理前以显著方式、清晰易懂的语言告知处理者信息、处理目的和方式；第十九条要求保存期限为实现处理目的所必需的最短时间；处理生物识别、健康、行踪轨迹等敏感个人信息，则要适用第二十八条、第二十九条，取得员工单独同意并具有特定目的和充分必要性。
二、实务中要注意什么？
用工场景里最容易踩线的是这几处：一是入职采集超范围，要求提供婚育状况、与工作无关的负债信息等；二是考勤方式，指纹、人脸打卡属于生物识别信息，属于敏感个人信息，建议优先采用工卡、密码等替代方案，确需人脸识别的要单独告知并取得员工书面单独同意；三是办公监控和定位外勤，要提前在规章制度里写明范围、目的和保存期限，做到最小必要；四是员工离职后，超出保存期限的信息要及时删除或匿名化。法律责任方面，个人信息保护法第六十六条分两档：一般违法责令改正、警告、没收违法所得，拒不改正的罚款一百万元以下；情节严重的，最高可处五千万元以下或者上一年度营业额百分之五以下罚款，直接负责的主管人员和直接责任人员也会被处以十万元以上一百万元以下罚款。
三、案例分析
个人信息保护法施行以来，各地网信、市场监管部门通报过不少企业因违规处理个人信息被处罚的案例（据国家网信办及地方执法公开通报），其中就包括企业超范围收集员工信息、未履行告知义务的情形。示意情景：某公司以人脸识别打卡为由强制采集全体员工人脸信息，未作单独告知，员工离职后信息也未删除，后被监管部门责令改正并处罚款。这个情景提示企业：员工关系中的个人信息处理看似内部事务，同样在个保法执法视野之内。
收个尾：企业处理员工个人信息，口诀是范围必要、制度先行、告知到位、到期就删。拿不准某项收集是否必要，宁可先做个人信息保护影响评估，也别抱着侥幸硬上。
五、常见问题（FAQ）
问：企业处理员工个人信息，需要员工同意吗？
答：不一定。按照依法制定的劳动规章制度、实施人力资源管理所必需的范围处理员工个人信息，属于无需另行取得个人同意的情形；一旦超出必要范围，就必须先告知并取得员工同意。
问：处理员工信息，法律有哪些前提要求？
答：规章制度要依法制定（经民主程序并公示），处理范围要限定在人力资源管理所必需，并履行告知义务，保存期限为实现处理目的所必需的最短时间。
问：用指纹、人脸打卡要注意什么？
答：指纹、人脸打卡属于生物识别信息即敏感个人信息，建议优先采用工卡、密码等替代方案，确需人脸识别的要单独告知并取得员工书面单独同意。
问：员工离职后，个人信息要怎么处理？
答：超出保存期限的信息要及时删除或匿名化。
问：超范围处理员工个人信息会被罚多少？
答：一般违法责令改正、警告、没收违法所得，拒不改正的罚款一百万元以下；情节严重的，最高可处五千万元以下或者上一年度营业额百分之五以下罚款。
相关阅读
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512