单位一般不可以随意收集个人信息及亲属家属信息,但在符合法定情形和遵循法定原则的情况下可以收集。具体分析如下:
法定情形:根据《中华人民共和国个人信息保护法》第十三条的规定,符合下列情形之一的,个人信息处理者方可处理个人信息:
- 取得个人同意:这是最常见也最基础的一种情形。单位若要收集员工或他人的个人信息及亲属家属信息,应当事先获得信息主体(即本人)的明确同意。同意应当是自愿、明确且具体的,不能通过默认勾选、捆绑同意等方式变相强迫信息主体同意。例如,单位在入职时要求员工填写包含亲属信息的表格,应当明确告知员工收集这些信息的目的、用途以及后续的处理方式,并取得员工的书面或电子同意。
- 为订立、履行个人作为一方当事人的合同所必需:比如单位与员工签订劳动合同,需要收集员工的一些基本信息(如姓名、身份证号、联系方式等)以完成合同的订立和履行,这是合法的。但对于亲属家属信息,如果并非是履行劳动合同所必需,单位则无权收集。例如,单位不能以“方便联系员工”为由,强制要求员工提供所有亲属的详细联系方式,除非有合理的理由证明这些信息对于履行合同是必不可少的。
- 为履行法定职责或者法定义务所必需:某些单位可能因承担特定的法定职责或义务,需要收集个人信息及亲属家属信息。例如,公安机关在办理刑事案件时,为了查明案件事实、追踪犯罪嫌疑人,可能需要收集相关人员的个人信息及亲属信息,这是合法的执法行为。但这种收集行为必须严格遵循法定程序和权限,不能超出必要的范围。
- 为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需:在突发公共卫生事件(如新冠疫情期间)中,单位可能需要根据政府的要求收集员工的健康信息、行程信息等,以配合疫情防控工作。这种情况下,收集信息是为了公共利益和保护员工的生命健康,是合法的。但同样需要遵循最小必要原则,不能过度收集与疫情防控无关的信息。
- 为公共利益实施新闻报道、舆论监督等行为,在合理的范围内处理个人信息:这种情况主要适用于媒体等单位,一般与普通单位收集员工或他人亲属信息关系不大。但如果单位内部有类似宣传报道的需求,且涉及个人信息处理,也应当遵循合理范围和必要原则。
遵循法定原则:即使符合上述法定情形,单位在收集个人信息及亲属家属信息时,也必须遵循一系列法定原则,包括但不限于:
- 合法、正当、必要和诚信原则:收集行为必须基于合法的目的,采取正当的手段,且收集的信息应当与处理目的直接相关,采取对个人权益影响最小的方式。例如,单位不能以“了解员工家庭背景”这种不正当的目的收集亲属信息,也不能收集与工作完全无关的亲属敏感信息(如亲属的政治面貌、宗教信仰等,除非有合法的理由)。
- 公开处理原则:单位应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名和联系方式;处理目的、处理方式,处理的个人信息种类、保存期限;个人行使本法规定权利的方式和程序以及法律、行政法规规定应当告知的其他事项。例如,单位在收集员工亲属信息时,应当在隐私政策或相关通知中明确说明收集这些信息的目的(如“为了在员工遇到紧急情况时能够及时联系到其亲属”)、处理方式(如“仅用于内部紧急联系,不会对外泄露”)以及保存期限等信息。
- 质量保证原则:单位应当保证其处理的个人信息的准确性和完整性,避免因信息不准确或不完整给个人造成损害。例如,单位在收集员工亲属信息后,应当及时核实信息的准确性,如发现信息有误,应当及时更正。
如果单位违反上述规定,未经同意或超出必要范围收集个人信息及亲属家属信息,将面临法律责任。根据《中华人民共和国个人信息保护法》的相关规定,违法处理个人信息的,可能会被责令改正、给予警告、没收违法所得,对单位处以罚款(最高可达五千万元或者上一年度营业额百分之五以下);对直接负责的主管人员和其他直接责任人员处以罚款(最高可达一百万元),并可以禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
建议:如果您发现单位未经同意或超出必要范围收集您的个人信息及亲属家属信息,您可以先与单位沟通,要求其停止收集、删除已收集的信息或说明收集的合法性和必要性。如果单位拒绝或处理不当,您可以向相关部门(如网信部门)投诉举报,也可以通过法律途径维护自己的合法权益。如果您有具体的法律问题或需要进一步的帮助,可以直接向我咨询。