何以解忧 | 001 | 要求被尽调企业提供员工信息，如何确保合规

经常回答其他领域律师朋友在执业过程中碰到的数据合规问题，朋友说可能也会有其他律师会有相同困惑。

故简单梳理，不超千字，希望可以帮助到更多律师朋友。

若反响佳，将持续更新。

本期问题来自一位PE/VC律师。

  一、问题

Q1: 手机号、身份证号、身份证扫描件这种算敏感个人信息吗？

Q2: 我们平常做投融资经常可能要公司填一下创始人或者员工的上述信息，或者让提供扫描件，他们提供扫描件的动作或者说他们提供信息的动作算单独同意吗？

  二、回答

A1: 身份证号码和身份证扫描件都是敏感个人信息，手机号是否属于敏感个人信息需要结合情况判断。

《个人信息安全规范》附表中明确身份证是个人敏感信息。

身份证中最敏感的信息是身份证号码，当然属于敏感个人信息。身份证的扫描件依然承载上述信息，非原件在个人信息保护层面并不减损其敏感程度。

至于手机号码，尽管没有被明确列为敏感个人信息，但需要从定义出发再结合场景判断。

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

《个人信息保护法》第二十八条第一款

仅举几例，患者、特殊职业工作人员手机号码都可能是敏感个人信息。至于员工手机号码是否敏感，也需结合公司所在行业进行具体判断。

当然，是否属于敏感个人信息并不影响是否需要取得单独同意，根据《个人信息保护法》第23条之规定，若无处理个人信息的其他合法性基础，如：履行法定义务、履行合同合同所必需等，对外提供任何个人信息则均需取得单独同意。

A2: 不算单独同意。

单独同意的前提是单独告知，即使论证提交属于默示同意，也未履行相关告知义务。此外，扫描、提交材料的人，并不一定就是那个员工本人。

实务中单独同意的实践方式有以下两种：（1）线上。单独弹窗，就某一事项单独说明，用户勾选同意。（2）线下。签署单独同意函或者在某个文件中单独设置一个条款，并在这个条款旁边单独签字确认。

当然，在实务中是否一定要对方提供员工签署过单独同意函的证明材料也有待讨论，毕竟是被尽调公司作为提供方，需要履行单独告知-同意的相关义务。

结合双方的谈判地位和项目重要程度或许还可以在合同中约定，被尽调企业所提供尽调材料若涉及个人信息的，须履行告知义务并取得相关个人信息主体的必要同意及单独同意。

Disclaimer: 本人不是律师，观点仅供参考。

​​​