人工智能时代劳动者隐私权的侵害风险及其保护路径
- 公布日期：2025.05.20
- 主题分类：
一、问题的提出
作为一项独特的法律权利，隐私权概念起源于沃伦和布兰代斯在1890年撰写的著名文章《隐私权》。[1]其属个人人格权的一部分，是关于私人生活领域不受干扰的权利。[2]劳动者隐私权是隐私权制度的重要组成部分。早在1996年就有学者关注到职场隐私权保护的特殊性，即用人单位根据人力资源匹配和管理需要，可以通过监视、监听、搜查、检验、收集个人数据等多种方式侵犯劳动者的隐私利益。[3]监控手段和个人信息收集手段是以人工为主，辅以电子技术，如电子监控、电子监听等，获取劳动者隐私信息数据有限且侵权行为非常明显。随着人工智能广泛应用于工作场所，用人单位获取劳动者个人信息的能力得以强化，[4]如新冠肺炎疫情期间数以百万计的员工被迫居家工作或在工作场所保持社交距离，用人单位通过指纹认证和视频监控等智能手段监控劳动者的活动。这些举措带来了劳动者隐私权暴露的风险，凸显劳动者隐私权保护危机。
在雇佣关系权力不对等的情况下，员工为了保护自己的隐私而拒绝用人单位的管理会面临企业规章制度所规定的惩戒后果，严重的甚至会被解雇，由此引发了劳动者隐私权与用人单位管理权之间的冲突。诸如在有关工作场所药物检测许可的法律斗争，[5]以及员工打伞遮挡工位上方摄像头被解雇，[6]都是这种矛盾和冲突的反映。
我国劳动法鲜少关注劳动者隐私和个人数据保护问题，仅在《劳动合同法》第8条限制了用人单位招聘劳动者时的知情权，将其边界设定为“与劳动合同直接相关的应聘者基本情况”，与劳动合同无关的情况，劳动者有权拒绝回答，无如实告知义务，这在一定程度上保护了劳动者的隐私和个人信息数据。《中华人民共和国民法典》（以下简称《民法典》）进一步提升了对人格权的法律保护，在人格权编的第六章规定了“隐私权和个人信息保护”，并将个人信息分为私密信息和非私密信息，其中私密信息的处理需要权利人明确同意或法律同意。然而，人工智能技术在雇佣、聘任等环节中通常涉及对劳动者个人信息的大量收集和智能化处理，传统上一些不涉及隐私的信息可能通过大数据比对转化为私密信息，如通过心跳、血压、面部识别等大致分析出应聘者的相关健康情况，此际用人单位根本无须获得劳动者的同意即可以预测其患某种疾病的概率，并据此作出是否录用等招聘决策。更甚者，如平台公司通过智能化管理获取平台劳动者的个人数据，并通过算法对这些数据予以分析处理，劳动者可能并不知晓平台在使用和处理其个人数据，更遑论对数据采集与处理同意权和拒绝权的行使。此外，法律监管的漏洞也为用人单位监控和调查劳动者的社交媒体活动提供了很大空间。[7]
在人工智能广泛应用于工作场所的背景下，除了要关注人工智能对人的替代所引发的解雇风险外，[8]如何实现劳动者的隐私保护、数据安全与企业管理权的平衡，更是劳动法面临的时代挑战。对于如何保护人工智能时代下劳动者的隐私权，我国实务界和理论界尚未予以充分回应。[9]有鉴于此，本文拟从人工智能应用侵害劳动者隐私权的风险出发，针对现阶段我国劳动者隐私权保护立法的不足，提出完善人工智能时代劳动者隐私权保护的方案建议。
人工智能在人力资源管理上的应用，不仅能直接或间接地快速收集更加广泛的劳动者的个人信息，还可以通过数据分析和算法对这些信息进行处理，挖掘出劳动者更多的隐私信息。人工智能侵害劳动者隐私权的方式具有极强的隐蔽性，这加深了侵权的程度，导致危害性更大。
经过用人单位的设计，人工智能系统会自动从不同来源抓取、收集关于劳动者行为的大量数据。[10]除了可通过用人单位的内部监控获取劳动者信息，互联网也是人工智能系统获取劳动者信息的重要渠道。例如，Uber公司采用算法监控劳动者上班打卡和工作表现，按五星级标准对他们进行排名。亚马逊公司采用带有生物特征反馈指示器的摄像头来全程跟踪司机的行程，防止司机视线偏离道路或超速驾驶，并计划使用人工智能来监测劳动者工作时使用的肌肉，声称可以帮助员工减少重复运动和降低肌肉骨骼疾病风险。[11]美国福特公司在新冠肺炎疫情期间要求劳动者工作时必须佩戴装有跟踪器的腕带，以确保其始终保持社交距离。[12]不可否认，智能眼镜、健康手环、智能手表等智能可穿戴设备可以简化用于劳动保健、保护劳动者健康的工作，如健康手环可以记录佩戴者的心率、血压等身体数据，防止其在工作期间因心血管疾病引发猝死等工伤问题。但是也应看到，公司开发或购买的智能监督设备会收集劳动者的海量数据，尤其是关于健康情况等一些敏感数据，[13]因具有过度的侵入性而游走在法律的边缘。
在工作场所和工作时间之外，社交媒体是劳动者隐私权和生活安宁权利易被侵犯的重要领域。用人单位借助人工智能在社交媒体上收集劳动者的个人信息，进而改变个人和社会对劳动者隐私的合理期待。无处不在的数字沉浸体现在个人之间进行即时信息交换的能力增强，即时通信和社交媒体内部存储内容访问的便捷性为平台提供了更有力的监视理由。[14]
在2012年的“维珍航空公司空姐解雇案”中，两名空姐因匿名在微博发布有关维珍航空的评论而被解雇就是一起典型的运用人工智能获取劳动者个人微博数据的案件。但遗憾的是，对于维珍航空公司是如何进入劳动者个人微博空间并获悉其真实身份的，媒体和案件本身并未关注。这暴露出一个更为重要的隐患，即用人单位应用人工智能可能会对劳动者的社交媒体，如微博、微信、QQ等进行全面监控，从而24小时全方位地获取劳动者的个人信息，这种大量的与工作无关的隐私信息被收集和处理行为，让劳动者毫无隐私可言。
尽管很少会有用人单位主动花费时间或倾向于全面监控劳动者的社交媒体账户，但新兴的人工智能应用程序可以全面而永久地“扫荡”社交媒体，用人单位据此即能全面监控劳动者非工作时间的社会媒体通信以及信息，从而更快、更低成本地完成对个人的评估。人工智能技术超越时空对劳动者进行实时监控，获取个人信息，进一步模糊了工作与生活的边界，[15]即使员工努力在工作与私人生活之间保持严格界限，其私人信息仍可能被单位获取。比如，当员工在社交媒体上与朋友分享自己漫长而辛苦的工作日、与老板的争执，或者对客户的不满投诉时，这些信息会被其他人看到，包括其老板或被提及的人。又如，企业招聘时发现某人在工作时间外是一个派对狂人，或者他的政治观点与企业政策有着显著差异，尽管其资历非常出色，但也会据此预期可能出现的潜在麻烦而不予雇用。[16]对于用人单位而言，这些信息非常有用，可以帮助他们更深入地了解员工，并借此评估现有员工的表现以及是否录用新员工。对于劳动者而言，处在这样一种监控环境中，会造成极大的心理负担，担心沦为“透明人”。所以，在人工智能拓展了企业收集个人信息广度和深度的背景下，如何在企业智能化管理与雇员人格权保护之间寻求平衡点成为一个突出问题。
我国劳动法禁止就业歧视以及限制用人单位知情权，所以劳动者可以合法隐瞒与工作岗位无关的个人信息，如婚姻信息、疾病信息等，用人单位也不能主动向劳动者询问、调查此类信息，用人单位获取劳动者隐私信息并不容易，即便借助人工手段、电子技术获取的劳动者个人信息仍十分有限。但在人工智能应用到人力资源管理后，用人单位可通过非工作领域的其他途径收集劳动者个人信息，特别是在大数据时代，通过各类平台极易获取劳动者的相关数据，如领英、智联招聘等招聘网站和社交平台聚合了大量的求职者的信息数据；美团、滴滴打车、京东、淘宝等交易平台留下了劳动者的私人生活痕迹等。这些数据不仅可以长久存续，而且用人单位还可根据需要获取劳动者不同时间段的个人信息，并通过解析这些数据来评估劳动者。比如，某公司招聘员工时，通过人工智能技术获知应聘者经常通过京东平台购买心血管药品，由此推断该员工可能患有心血管疾病，并将此作为录用与否的考量因素之一（因为心血管疾病容易导致工作时间猝死引发工伤）。
一般情况下，数据之间的相关性很难被预测，但人工智能可通过算法分析创建数据之间的相关性，并根据分析出的相关性进行预测，从而形成清晰的劳动者“个人画像”。例如，用人单位招聘中普遍采用录像视频面试方式，人工智能分析视频公司利用人工智能技术分析录像视频中申请者的语言模式、口头表达和情感，使用机器学习算法来评估候选人的工作风格、预测与人合作能力，以及其总体的认知能力。[17]
人工智能在侵犯劳动者隐私权的同时还会对劳动者的其他基本权利产生更深层次的危害，如劳动者的人格尊严、言论自由权、就业平等权等。由此可见，数据化和自动化工作场所的智能化管理侵权风险及其衍生问题远比传统工作场所的隐私问题要复杂。
人格尊严是宪法的基本权利，是人格权法的基本价值，指导着人格权具体制度。[18]民法上的隐私权是为了保护自然人人格尊严而创设的，没有隐私则根本没有人格尊严一说。民法规定的个人隐私除了私密空间、信息和活动外，还包括私人生活的不受打扰权。用人单位利用管理权更加容易合法获取劳动者的个人信息和隐私信息，如签订劳动合同时劳动者必须提供身份证、家庭住址、电话号码、家庭成员等隐私信息；通过工作监督系统获取劳动者的个人隐私信息，如在电脑里装置电子邮件跟踪和拦截系统等。当劳动者在休息时间利用工作电脑发送私人电子邮件时能被跟踪截获。劳动者的私人邮箱属于个人私密空间，这无异于用人单位侵入了劳动者的个人私密空间。一旦电子邮件内容承载了个人隐私信息，如身体疾病信息等，截获私人电子邮件就获取了个人隐私。
人工智能应用到人力资源管理进一步创新了用人单位对劳动者的监管方式，包括时间管理、社交媒体互动、通话记录、屏幕截图、搜索查询、面部识别软件等，可以实现对劳动者24小时全方位监控。借助人工智能不仅可监测劳动者发送的电子邮件数量、访问的网站列表、打开的文档和应用程序等，还可以通过算法处理这些数据，并产生独特或意想不到的深刻见解。这些直接或间接获取的数据可以为以数据驱动为基础的人事管理决策提供指标，成为用人单位录用、考核和解雇员工的依据。[19]尽管人工智能能提高人力资源管理的效率和决策的客观性，但也可让其打着招聘、管理的幌子直接或间接地获悉劳动者的个人隐私，侵入劳动者的私密空间，干扰个人的生活安宁，让其隐私暴露在用人单位面前，难言有尊严。
从劳动法的角度看，劳动者的言论自由可能会损害用人单位的权利，故而须予以一定的限制。[20]但作为公民的一项基本权利，言论自由在劳动关系中也应当受到严格保护。如同其他领域的表达，“工作中的表达对于个人的自我发展及自主意识都是重要的”。[21]在人工智能时代，劳动者通过脸书、微信、微博等社交网络展示“个人资料”，如发布生活日志、照片并强调某些观点等，可能会涉及其对用人单位的评价，这应当属于劳动者言论自由的范畴。
用人单位获取劳动者对自己的不利言论后，通常会采取惩戒手段，严重的会予以解雇。是否构成违法解雇，司法裁判中存在不同的结果。司法裁判结果的不确定性会直接危害劳动者的个人言论自由权。前述“维珍航空公司空姐解雇案”中，空姐主张微博并未实名也未表明身份，仅是以消费者身份提出了意见，但法院从违反忠诚原则角度判定航空公司的解雇合法。[22]在“博纳通成公司诉李辰男案”中，法院则支持了劳动者的诉求，认为劳动者在微博上发表用人单位拖欠工资是一种事实，不构成对公司的不利影响。[23]上述两个案件都涉及劳动者在社交网络上对用人单位的评价，如果不存在不实和侮辱性言论，应归于劳动者个人言论自由的范畴，方能起到对用人单位经营行为的监督作用。
用人单位应用人工智能技术跟踪劳动者的社交网络，在获悉劳动者对用人单位的不利言论后对其做出惩戒，不仅挤压了劳动者的自由言论空间，而且产生了寒蝉效应，从而降低了劳动者对用人单位经营的监督意愿和能力，减少了对社会有价值的批评言论。[24]保护劳动者的隐私权在鼓励有社会价值的言论方面会起到积极作用，通过保护，鼓励劳动者勇做“吹哨人”，唯其如此，法律才能更好地平衡劳动者的隐私权与用人单位的管理权。[25]
保护劳动者的隐私权还有利于保护就业平等权，预防用人单位基于隐私信息做出就业歧视行为。[26]如为了防止乙肝歧视，我国禁止用人单位强制劳动者入职前进行乙肝体检等。如今，用人单位借助人工智能技术，无须通过体检就可获悉劳动者的健康信息，即通过人脸识别技术、智能手表等智能可穿戴设备对劳动者的面相特征、心率、血压等生物信息进行收集后加以综合分析评估，就可能获得劳动者的相关隐私信息，从而歧视有相关疾病或有疾病隐患的劳动者。
人工智能技术DeepGestalt就可以通过照片对遗传疾病进行准确诊断。[27]还可以通过照片对劳动者的面相特征进行分析，判断其个人隐私信息，如是否为同性恋等。由于获取隐私信息的手段非常隐蔽，当用人单位利用这些信息作出歧视性决定时，[28]不仅劳动者并不知情，法官也很难判断该行为是否构成了歧视。
人工智能的自动化决策虽具有客观性，可避免人类主观因素产生的歧视，但也容易陷入算法歧视。[29]因为数据只是数字，缺乏是否具有歧视性的价值考量，人工智能系统无法甄别数据的好坏，只能以收集的数据为基础通过算法作出决策。算法通过示例进行学习，程序的学习效果取决于所接触的数据。如果算法在学习过程中接触到偏倚的数据，其输出结果可能就会带有歧视性。数据分析偏差可能会对历史上曾遭受歧视的受保护群体造成不利影响，从而导致算法在选择时排除了这些群体。[30]此外，用人单位采用智能化系统对员工进行评估考核时，通过设定诸如工作时间、闲散时间、工作量等可量化指标，忽视诸如创造力、责任心、合作精神等抽象指标，就会对员工作出不切实际的不公正评价。可见，人工智能在职场的应用加剧了歧视性风险，造成了社会分裂和人道公平损害。[31]
人工智能的发展、迭代速度极快，使劳动者隐私权的法律保护面临着立法与司法的双重挑战。一方面，尽管我国《民法典》《个人信息保护法》《劳动合同法》等法律法规构成了劳动者隐私权保护的法律体系，但面对人工智能应用对劳动者隐私权的侵害，明显存在保护不足的困境。管理权利用人工智能技术，会突破时间和空间限制，无限扩大用人单位获取劳动者个人隐私的范围，传统的隐私权保护法显得力有未逮。另一方面，人工智能具有更多的隐私获取性以及迷惑性、隐蔽性，劳动者隐私权的司法救济存在巨大挑战。
《民法典》《个人信息保护法》等民事法律始终以平等民事主体间的财产关系和人身关系为调整对象，民事主体意思自治是民事法律制度的核心。体现在隐私权保护上，民事法律以隐私权主体的明确意思表示为判断合法性的标准，即通常情况下只要获得了隐私权主体的“明确同意”，组织和个人获得处理自然人的隐私信息、进入拍摄窥视自然人隐私空间，以及拍摄、窥视、窃听、公开自然人隐私活动等行为就具备了合法性基础。
《民法典》在隐私权保护规定中，明确了隐私权人“同意”的两大特征：①必须是隐私权人本人同意，其他人不得代为同意；②必须是明确同意，即权利人对于同意的隐私事项必须明确，且表示形式必须明确。凡是容易发生争议的同意，如默示同意以及概括性同意都不能作为其他组织和个人侵犯自然人隐私的合法性基础。《个人信息保护法》规定个人信息的合法性基础之一的“同意”与《民法典》规定的隐私权人的“同意”具有较大的差异性，除了信息权人同意外，其监护人也可以代为同意，且只要是同意就行，无须明确。相较而言，《民法典》对于自然人隐私权的保护更为严格。
然而，劳动力市场中雇佣劳动者主观表示功能基本是弱化的。[32]劳动者与用人单位之间的交换并不平等，这是由两者交换标的和目的决定的。劳动者交换的标的（劳动力）具有不可储存性，一旦无人雇佣则意味着劳动力的自然消耗。劳动者交换劳动力的目的是获取生活资料而维持生存，失业不仅威胁着劳动者的生存，还影响其家庭成员的生存。用人单位作为劳动力市场的强者，尤其在劳动力市场供大于求的情况下，双方谈判力量的悬殊更加明显。为了获取工作和维持工作，劳动者通常必须被迫接受用人单位提出的条件，所谓的“同意”难言是劳动者个人真实意思表示的结果。随着人工智能在人力资源管理领域的广泛应用，人脸识别、指纹打卡、智能监控等成为常态的管理手段，即使劳动者不愿意，也无法拒绝用人单位的管理而选择同意和服从。一旦产生异议并采取行动，可能面临违反用人单位规章制度而被解雇的不利后果。现有的司法判例也基本支持用人单位以劳动者拒绝用人单位管理权为由解雇劳动者的合法性。[33]
此外，信息不对称也容易导致劳动者的“明确同意”发生意思表示与内心真实认知不一致的情况。[34]当用人单位应用人工智能技术于人力资源管理和企业文化建设时，绝大多数劳动者对于人工智能、大数据、算法等缺乏认知，在无法正确了解人工智能侵害隐私权方式的情形下，劳动者作出意思表示的真实性存疑。例如，企业实行全员健康计划，给劳动者发放健身手环或健身手表，并根据健身手环或手表收集的数据对劳动者排名实行奖励机制。劳动者自然非常乐意参与这项健康计划，但其不会知道用人单位通过健身计划收集其健康、逗留地点、移动方式等个人信息，专业人员评判和人工智能技术就能获知劳动者的隐私信息、隐私空间、隐私活动等。
（二）《个人信息保护法》不完全适用于劳动者的隐私权保护
《民法典》对隐私权保护和个人信息保护进行了明确区分，其对个人信息的保护仅是零散性、宣示性的规定，并不能起到个人信息保护的法律效果，而《个人信息保护法》作为特别法，旨在规范个人信息处理活动，促进个人信息的合理利用。民法上的隐私权保护是一种防御性规定，即禁止组织和他人一定的行为，可以说，民法保护劳动者隐私权的私法路径仍是一种消极保护模式；而个人信息保护则是一种积极赋权性的法律规定，即在法律框架内可以做的一定行为，旨在“个人信息的合理利用”而非对自然人隐私权的保护。
《个人信息保护法》第4条将个人信息区分为敏感信息与非敏感信息，[35]并确定了不得过度收集个人信息的法定原则，且个人信息数据的收集必须具有明确、合理的目的。劳动者信息属于个人信息范畴，该法同样适用于职场中劳动者的个人信息保护。用人单位作为劳动者个人信息处理的主体，负有对劳动者个人信息的安全保障义务，不得非法处理劳动者的个人信息。第13条从劳动合同签订和履行所必需，以及用人单位管理权保障角度，对劳动关系中劳动者个人信息处理予以了特殊例外规定。[36]劳动者不得拒绝用人单位招聘及人力资源管理需要而收集和处理其本人信息包括敏感信息，比如，为了考勤实施的人脸识别、指纹打卡等生物识别；为了防止劳动者主张劳动合同电子签名非本人所签，可以使用人脸识别等生物识别系统。基于人力资源管理的需要，用人单位可以通过智能可穿戴设备收集并处理劳动者个人健康信息和行动轨迹，如果劳动者向用人单位请病假，用人单位通过智能手环或手表监控到劳动者病假期间的行动轨迹和走路步数等情况与其请假病情不符，可据此判断劳动者所请病假是否真实，一旦发现被欺骗，可以旷工为由解雇该劳动者。
对于用人单位有权要求劳动者提供签订劳动合同必备的身份证、电话号码、家庭住址等信息，这实际上是为了保护用人单位利益，扩大了其处理劳动者个人信息的权力，排除了劳动者作为数据主体的控制权。这种利益平衡过程中的模糊性，以及合法利益作为法律基础时对数据主体控制的弱化，意味着即使合法利益可以成为某些情况下的数据处理依据，仍然潜藏着风险，特别是对于芯片植入、绩效评估等情境中涉及员工数据的情况。[37]
取得个人同意是处理个人信息的一般前提。由于劳动关系中劳动者对用人单位的“同意”很难说是其真实意思的表示，除了因失业威胁而被迫同意外，对于高科技信息以及法律意识薄弱，也会导致其意思表示的不真实。《个人信息保护法》在以“告知—同意”为核心的个人信息处理原则之外，考虑到了对用人单位管理权的保障，即因签订劳动合同和人力资源管理需要，则不需获得劳动者的同意。然而，何为“需要”并无明确、具体的指引和限制，这必然会增加劳动者个人隐私被他人获悉的可能性。
职场上，劳动者个人信息收集得越多，算法画像就越准确，这虽然便于用人单位对劳动者的招聘和管理，但也会让劳动者在用人单位面前无秘密可言。当用人单位对这些信息缺乏安全保护能力或未采取保护措施时，一旦被泄露或非法使用，后果不堪设想。此外，《个人信息保护法》仅通过规范敏感信息的处理来实现对劳动者隐私信息的保护，并不能覆盖劳动者的全部隐私。因此，该法无法全面适用于劳动者的隐私权保护。相较而言，欧盟《通用数据保护条例》（GDPR）规定的数据主体享有获取数据权、[38]纠正权、[39]被遗忘权、[40]限制处理权、[41]数据可转移权、[42]反对个人信息被处理的权利[43]等都适用于劳动者隐私权保护的情形，值得研究借鉴。
我国现行劳动法权利体系没有劳动者隐私权，更没有劳动者隐私权保护的特殊立法，仅有少量与劳动者隐私权和个人信息保护有关的规定散见于相关的法律法规中，[44]如《劳动合同法》第8条，《就业服务与就业管理规定》第13条，《职业病防治法》第35、36条等，主要集中于用人单位招聘环节和劳动者职业健康管理环节，并未覆盖劳动用工的全过程，且缺少相应的违法责任，违法成本几乎为零，缺乏威慑力。当管理权与人工智能结合时，这些条款更显无能为力，而劳动法对用人单位关于劳动者个人信息收集合法性的确认，进一步增加了劳动者隐私权被侵犯的风险。
其一，用人单位的知情权赋予了用人单位招聘阶段获悉劳动者个人信息的权利。《劳动合同法》第8条赋予了用人单位签订劳动合同时的知情权，旨在设定知情权的边界来保护劳动者隐私权和个人信息权，即用人单位招聘时有权获悉与劳动合同直接相关的信息。超过知情权权限的，劳动者有拒绝权，免于如实告知权利。但劳动者行使权利的损失成本很高，不仅可能被拒绝录用，而且会因不诚信等影响其未来工作安排和发展。同时，如何判定“与劳动合同直接相关”是一个棘手的问题，直接决定了用人单位知情权和劳动者隐私权的界限和利益平衡。由于对“与劳动合同直接相关的基本情况”缺乏明确界定，实践中容易产生被扩大解释的问题。当人工智能技术应用到招聘环节时，用人单位根本无须劳动者告知，算法分析数据就可能预测出劳动者的个人隐私信息。比如，有企业通过游戏方式对应聘劳动者进行测试，以此获取应聘者的表情、言语以及其他信息，加上与劳动合同无直接相关性的信息，通过算法进行分析则可以描绘出应聘者的个人画像，从而预判劳动者疾病、性格、怀孕等隐私信息。《就业服务与就业管理规定》第13条虽然规定用人单位对招聘获悉的劳动者资料有保密的法定义务，除非经劳动者书面同意，但是并未规定用人单位在收集和使用这些个人信息时需要征得劳动者的书面同意。[45]而且，一般情况下，劳动者很难拒绝用人单位的请求，即使签了书面同意，也很难说是劳动者真实意思的表示。
其二，个人健康信息属于个人隐私信息，《职业病防治法》第35、36条规定用人单位有权获悉劳动者个人与职业健康相关的资料，并规定了用人单位对于接触职业伤害的劳动者有进行职业健康体检并建立职业健康监护档案的法定义务，这成为用人单位有权获悉劳动者个人与职业健康相关资料的依据，但用人单位该如何规范处理劳动者的个人健康信息又未作进一步规定，增加了个人隐私被侵害的风险。
随着人工智能监控技术手段的发展，劳动者隐私受侵害的边界不断扩大，隐私保障从强调不受他人侵犯转为注重在信息开发利用中采取预防措施，依托传统的法律保护可能存在事前预防缺位、事后救济不足等问题。由于劳动法对于劳动者隐私权保护近乎空白，所以用人单位在劳动合同签订及人力资源管理过程中侵犯劳动者隐私权的，会出现如下法律适用问题：劳动者是按照民事侵权提起民事诉讼还是依照劳动纠纷提起劳动仲裁存在争议；劳动行政部门对用人单位侵害劳动者隐私权行为没有劳动监察权。
在实践中，一般适用《民法典》《个人信息保护法》等民事法律规范来保护劳动者个人隐私权。这些民事法在归责原则、举证责任、赔偿标准等方面的规定较为原则，并不能充分发挥一般隐私权保护的功能。并且，未考虑劳动关系的特殊性，对劳动者进行实体和程序法上的倾斜保护。当劳动者隐私权因用人单位招聘及用工管理而被侵害时，其要主张自己的权利必须适用侵权法的归责原则及民事案件的举证规则，需要对以下事实提供证据予以证明：（1）用人单位有主观过错；（2）违法行为存在；（3）损害结果发生；（4）行为与损害结果之间存在因果关系。而《个人信息保护法》基于人力资源管理权可以不经劳动者同意获取劳动者个人信息的规定，给用人单位证明其行为的合法性提供了法律依据。作为弱者的劳动者面临取证不能的困境，不仅自己无力取证，而且无经济实力委托有能力方取证。当用人单位利用人工智能技术侵害劳动者隐私权时，其侵权行为极为隐蔽，劳动者不仅无力取证，甚至可能根本不知晓自己的隐私权被侵犯了。由此造成如下结果：劳动者要获得赔偿必须提供证据，证明用人单位侵权行为造成了自己财产的损失，或者造成了严重的精神损害后果。畸高的维权成本和低获赔概率，从成本—收益角度分析，劳动者一般不会提起诉讼。现有的司法体系尚不能充分应对人工智能广泛应用给劳动者隐私权保护带来的挑战。
一方面，隐私权法律规范存在的模糊性，使用人单位在监控、访问页使用员工的社交媒体通信时有很大的回旋余地。实务中，法院很少直接讨论劳动者隐私权被侵犯的问题，而是选择依靠劳动者的隐私信息来判断案件事实。劳动者隐私权纠纷尚未成为法院裁判的重要案由，只是其他案由中的附带问题，这十分不利于对劳动者隐私权的保护。另一方面，大多数法院对于当事人通过侵害劳动者隐私权而获得的证据采取默认态度，即使用人单位获得劳动者隐私信息的方式不合法，法院也不会将其视为非法证据予以排除。例如，在“唐某诉上海玄霆娱乐信息科技有限公司竞业限制纠纷案”中，[46]劳动者微博发文的隐私信息被用人单位作为其违反义务的证据，法院在审理过程中并未讨论隐私权问题，反而将劳动者的隐私信息作为关键证据，这不仅为用人单位通过人工智能技术大肆获取劳动者个人信息大开方便之门，也包庇了用人单位的潜在不法行为。此种司法裁判态度让用人单位在劳动纠纷中获得了证据优势，助长了其为赢得诉讼而主动侵犯劳动者隐私信息的行为。为此，一些法院已开始尝试采取排除非法证据的做法。如在“江某与上海宏精医疗器械有限公司案”中，[47]公司未经员工同意恢复了其工作手机的电话录音，从而取得了不利于员工的证据。法院判定该录音证据侵犯了员工的隐私权，不符合证据的合法性。这一做法颇值肯定。
工作场所并非一个完全的公众场所，也非完全的私人空间。[48]工作场所的数字化和自动化广泛曝光了劳动者的数据，如他们的工作表现、休息次数以及与他人合作的方式等。随着社交媒体的快速发展、“量化自我”运动的兴起和摄像头的无处不在，劳动者几乎失去了匿名性。越来越多的（白领）员工被公司提供手机、笔记本电脑和租赁汽车，并配有远程登录账户，以便在家或其他地点工作，他们的隐私信息能被公司获取。为此，有学者提出了“电子隐私权”的概念，即指员工拥有使用各种形式的电子媒体包括电子邮件、手机、社交网站和互联网进行沟通或接收不受雇主审查信息的权利。[49]
我国现有的隐私权保护立法都是以平等主体关系为调整对象的立法，所谓的以“告知—同意”为核心的法律制度设计并不适用于那种完全力量失衡的关系，如劳动关系。鉴于此，应以劳动关系为基础，针对数字化和自动化工作场所维护劳动者隐私权，特别是满足电子隐私权保护的特殊需求，制定专门的劳动者隐私保护法或部门规章。尊重用人单位管理权的同时，重视和保障劳动者作为人的人格尊严，最大程度地确保其个人隐私及私人生活安宁免于打扰，实现用人单位与劳动者利益的两造平衡。
通常认为，工作场所对于劳动者个人数据获得和处理的合法基础是劳动合同及数据主体的同意。其一，劳动者个人数据的收集和处理应基于签订和履行劳动合同的必要前提来进行。其二，工作场所中数据处理的法律基础是劳动者的同意。数据主体同意是隐私和个人数据保护中的一个基本概念，常被用作数据处理的法律基础。当数据主体并不了解同意或不同意的内容，同意机制就失去了意义，并且，劳动关系中多存在劳动者被迫同意的情况，因为若不同意，就会影响其就业机会或职业前途。[50]
劳动关系是一种双方力量失衡的关系，也就存在“同意”这种法律机制在劳动者隐私权保护的可行性问题，所以，在“同意”之外，还应适用国家干预理论，通过立法对用人单位收集和处理劳动者个人数据进行限制性规定。也就是说，用人单位必须遵守法律规定，即使获得劳动者的书面明确同意，但若违反法律规定，劳动者主张其同意无效时应予以支持。用人单位必须提供证据证明其收集和处理劳动者数据有“合法利益”，且不违反法律规定、危及生命安全和公共利益。为了防止“合法利益”过于泛化，法律必须明确该合法利益应在员工的隐私、健康、尊严等基本权利之上，且只有对劳动者信息进行收集和处理方能够保护该合法利益，这些用人单位的合法利益始终需要与数据主体的利益及基本权利进行平衡。换言之，用人单位利用人工智能技术收集和处理劳动者数据为保障该合法利益所必需，如果能通过其他方式保护此利益，那么应认为非必需，用人单位不具有合法基础。
此外，法律应严格禁止用人单位超出合同签订和履行之外，收集和处理劳动者个人数据，即用人单位不得利用人工智能技术超过工作范围收集劳动者个人信息，更不得利用人工智能技术自动整合劳动者生活数据及通过个人数据分析来预测劳动者的隐私信息，以及通过人工智能技术侵入劳动者的隐私空间，监控劳动者的隐私行动。比如，通过医生的诊断证明，预测劳动者个人未来健康状况并不违法也不被禁止，但利用人工智能技术自动整合劳动者个人健康信息、缺勤情况、生物特征、医生诊断证明等数据，分析预测劳动者未来健康状况则构成违法。应禁止用人单位为了获取劳动者个人信息而利用人工智能技术侵入劳动者个人未公开的社交媒体账户、私人邮件等电子个人空间。