一、问题的提出

为了能够有效协调个人信息权益保护与合理利用个人信息之间的关系，我国《个人信息保护法》在坚持以同意作为个人信息处理核心规则的同时，于该法第13条第1款第2—6项规定了处理者无需取得个人同意即可处理个人信息的八种法律根据。在这些法律根据中，除了第2项的“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”（以下简称“实施人力资源管理所必需”）之外，其他的法律根据基本上能够在域外个人数据（或个人信息）保护立法中找到对应的规定。[1]人力资源管理的范围非常广泛，包括就业招聘、员工培训、监督管理、绩效考核、竞业禁止等各方面内容，所涉及个人信息处理的情形也复杂多样。显然，用人单位在人力资管理活动中从事个人信息处理活动并非都需以实施人力资源管理所必需作为唯一的法律根据。公司为了确保员工遵守工作纪律，在工厂、车间内安装摄像头监控，并在以违反劳动纪律为由解雇员工时提供该监控视频给法院或仲裁机构作为证据，[2]此种监控行为对个人信息的处理可能属于实施人力资源管理所必需。但是，企业在招聘中要求应聘者提供工作履历、教育背景、医疗健康、有无犯罪记录等个人信息时，其法律根据可能是告知并取得求职者的同意，也可能是为了订立个人作为一方当事人的劳动合同所必需，还可能是为履行法定义务所必需。因此，准确地界定实施人力资源管理所必需的规范目的、适用范围、要件的判断标准，并将它与个人信息处理的其他法律根据合理地界分，对于用人单位有效地实现人力资源管理的目标，保护员工的个人权益，都非常重要。

目前，我国劳动法学界已经开始关注劳动场景中的个人信息保护问题。[3]但是，对于《个人信息保护法》第13条第1款第2项中实施人力资源管理所必需的个人信息处理活动的专门研究还较少。[4]《个人信息保护法》颁布后，相关注释书中的讨论也都非常简略。[5]有鉴于此，本文拟对实施人力资源管理所必需的个人信息处理活动予以系统研究，主要讨论以下这些释义书基本上是用一两段甚至是几句话来解释第13条第1款第2项关于为实施人力资源管理所必需的涵义。问题：首先，为什么立法机关要在《个人信息保护法》第13条第1款第2项中专门将实施人力资源管理所必需作为一项处理个人信息的法律根据？其次，如何理解该项中的“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理”的涵义？再次，怎样判断处理者的个人信息处理活动就是为了实施人力资源管理所“必需”？最后，实施人力资管理所必需与其他个人信息处理法律根据，尤其是与为履行个人作为一方当事人的合同所必需、为履行法定义务所必需及国外法中为了处理者的合法利益所必需之间的关系如何。

二、实施人力资源管理所必需的规范目的

在我国起草《个人信息保护法》的过程中，实施人力资源管理所必需这一法律根据起初并无规定，而是在《个人信息保护法》的草案被全国人大常委会第二次审议之后，才被增加进去。无论是2020年1月立法机关面向社会公开征求意见的《个人信息保护法草案（征求意见稿）》的第15条，还是2020年9月29日《个人信息保护法草案（一审稿）》的第13条，抑或2021年4月25日《个人信息保护法草案（二审稿）》的第13条，里面都没有关于实施人力资源管理所必需作为个人信息处理的法律根据的规定。但是，由于在第十三届全国人民代表大会常务委员会第二十八次会议审议《个人信息保护法草案（二审稿）》时，“有的常委委员和企业、专家提出，现实中有关企业、单位在人力资源管理工作中需要处理个人信息，建议在草案中将此类情况作为允许收集和处理个人信息的情形”，故此，“宪法和法律委员会经研究，建议采纳上述意见，在草案二次审议稿第十三条中增加相应规定”。[6]

负责《个人信息保护法》具体起草工作，时任全国人大常委会法制工作委员会经济法室副主任的杨合庆主编的《中华人民共和国个人信息保护法释义》在解释该规定时，这样写到：“个人同意通常不能作为人力资源管理情形下处理个人信息的充分合法依据。但是，用人单位与劳动者在劳动合同签订、工作考核、离职后的竞业限制管理等场景中处理劳动者个人信息有其合理性和必要性，在一些情形下也很难获得个人的同意。因此，本法将实施人力资源管理所必需作为处理个人信息的一项合法性基础。”[7]从这一解释可知，立法机关规定实施人力资管理所必需的主要目的是为了便于企业、单位的经营管理活动。因为企业、单位在进行人力资源管理时经常要处理个人信息，但又无法都按照告知同意规则去取得劳动者的同意。如果不能取得个人同意，企业、单位就不能处理个人信息，用人单位就无法进行正常的活动。因此，《个人信息保护法》第13条第1款第2项规定实施人力资源管理所必需，旨在促进个人信息的合理利用，为便于企业、单位的管理活动而对个人就其个人信息处理的决定权作出了适当的限制。不仅如此，《个人信息保护法》的这一规定也有利于促进对外开放，既能便于我国企业“出海”，更好地参与全球经济贸易活动，也有利于外国公司企业在我国的投资经营活动。随着我国经济的高速发展，我国企业在国外越来越多地投资办厂，设立公司。根据商务部的统计，2024年我国对外非金融类直接投资1438.5亿美元，较上年增长10.5%。从行业看，资金主要流向租赁和商务服务业、制造业、批发零售业。[8]在我国企业积极“出海”的大背景下，企业内部实施人力资源管理而处理个人信息时，还会大量涉及个人信息的跨境流动。这种情况下，如果都要逐一取得个人的同意，必然影响我国企业的对外投资经营。同样，外国公司企业来中国投资办厂，从事经营活动时，其国外的企业集团本部进行人力资源管理活动，也必然要处理我国境内的个人信息，如收集、汇总在我国境内投资设立的公司的人员的个人信息等。如果不能以实施人力资源管理所必需作为个人信息处理的法律根据，外国公司企业的正常经营活动也会受到影响。正是由于《个人信息保护法》第13条第1款第2项明确将实施人力资源管理所必需作为一项独立的法律根据，2024年3月22日国家互联网信息办公室颁布的《促进和规范数据跨境流动规定》才能够据此在该规定的第5条第1款第2项中，将数据处理者“按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息”作为免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的情形之一。这也间接说明了《个人信息保护法》规定的实施人力资源管理所必需的规范目的。

三、实施人力资源管理所必需的适用范围

人力资源管理是管理学的概念。管理学上将“人力资源”界定为“人所具有的对价值创造起贡献作用，并且能够被组织所利用的体力和脑力的综合”, [9]而人力资源管理是指组织通过各种政策、制度和管理实践，以吸引、保留、激励和开发员工，调动员工工作积极性，充分发挥员工潜能，进而促进组织目标实现的管理活动的综合，具体包括人力资源规划、职位分析和胜任素质模型、员工招聘、绩效管理、薪酬管理、培训与开发、职业生涯规划和管理、员工关系管理等方面。[10]在管理学中，人力资源管理是任何拥有人力资源的组织，无论是企业、事业单位，还是国家机关、社会团体都必须从事的活动，而通过人力资源管理所要激发潜能和调动工作积极性的员工，既包括公司企业等私营部门的员工，也包括政府机关的公务员、公办学校的教师等人员。[11]然而，从《个人信息保护法》第13条第1款第2项来看，人力资源管理应当仅限于与劳动关系有关的人力资源管理活动，并且是按照依法制定的劳动规章制度和依法签订的集体合同实施的人力资源管理活动。因此，需要研究的是，立法者为何作此限制？在不属于劳动关系的人力资源管理活动中倘要处理个人信息，其法律根据何在？同时，法律上要求必须按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理的目的何在？

（一）为何仅限于与劳动关系相关的人力资源管理活动

如前所述，《个人信息保护法（二次审议稿）》尚未将实施人力资源管理所必需作为个人信息处理的法律根据，在二次审议稿之后，立法机关吸收了一些常委和专家提出的意见，于2021年7月28日形成的《个人信息保护法草案修改稿》第13条第1款第2项中增加了“人力资源管理所必需”。到了2021年8月17日，全国人大常委会对《个人信息保护法草案》进行第三次审议后，上述“人力资源管理所必需”又被修改为“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”。[12]

《个人信息保护法》第13条第1款第2项作出的这一限制意味着：只有与劳动关系有关的人力资源管理活动，才能适用该项规定。也就是说，倘若处理者与个人之间并非劳动关系，即便处理者客观上是为了实施人力资源管理而处理个人信息，也不能以该项规定作为法律根据。立法者做这种限制是考虑到，虽然从管理学的角度，人力资源管理的范围包括了所有用人关系的情形，但不属于劳动关系的用人关系往往具有独特性，单位与个人之间的权利、义务、责任要由法律予以特别的规范调整。

前述独特的用人关系就是指国家机关与公务员（以及参公单位与参公人员）之间的关系。一方面，我国《宪法》《地方各级人民代表大会和地方各级人民政府组织法》《全国人民代表大会和地方各级人民代表大会代表法》《公务员法》《监察法》《法官法》《检察官法》《人民警察法》等法律中对各级各类公务员的权利、义务、职责等作出了相应的规定。这些规定与《个人信息保护法》第13条第1款第7项“法律、行政法规规定的其他情形”相结合，构成独立的处理个人信息的法律根据。另一方面，国家机关处理公务员（或其他个人）的个人信息的活动多是履行法定职责所必需。《个人信息保护法》第二章第三节专门就“国家机关处理个人信息”的活动作出了特别规定。其中，第34条规定：“国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。”此外，依据《个人信息保护法》第33条，国家机关处理个人信息的活动首先应当适用该法第二章第三节，该节没有特别规定的，则适用《个人信息保护法》的其他规定。因此，国家机关处理公务员的个人信息无需如劳动法上的用人单位那样必须依据劳动规章制度和集体合同，而是先要依据特别法的规定；特别法没有规定时，适用《个人信息保护法》中关于国家机关处理个人信息的特别规定；《个人信息保护法》没有特别规定的，适用该法的一般规定。

这一点上，我国法与域外法有所不同。例如，在欧盟发生的“黑森州文化部教师中央委员会诉黑森州文化部长案”中，涉及到了《通用数据保护条例》第88条第1款对于成员国提出的、通过法律或集体协议规定更为具体的细则，以确保雇佣时对雇员的个人数据处理有关的要求能否适用于公务员的问题。欧盟法院（CJEU）于2023年3月30日对此案作出的判决认为：不能将非劳动合同关系的公共部门的雇员排除在该款适用范围之外。无论个人数据主体与其雇主之间的法律关系是公法关系还是私法关系，是劳动合同关系还是其他雇佣关系，《通用数据保护条例》第88条第1款所列出的工作管理、规划和组织、工作场所的平等和多样性、工作健康和安全、雇主或客户财产保护、行使和享受与就业相关的个人或集体权利和福利以及终止雇佣关系等目的，同样地适用于公共和私营部门的就业。[13]

需要注意的是，我国还存在一类特殊的用人单位——事业单位。依据《劳动合同法》第96条的规定，“事业单位与实行聘用制的工作人员订立、履行、变更、解除或者终止劳动合同，法律、行政法规或者国务院另有规定的，依照其规定；未作规定的，依照本法有关规定执行”。这就是说，对于事业单位与聘用制人员之间的劳动合同关系，首先应当适用法律、行政法规或者国务院的相应规定。《事业单位人事管理条例》规定，事业单位与其聘用人员之间的法律关系属于聘用合同关系。从劳动法的角度来说，立法机关当时作此规定主要是考虑到我国的事业单位正处于改革过程中，其用人制度的情况比较复杂，事业单位的聘用合同具有一定的特殊性与复杂性，所以，在将事业单位实行聘用制工作人员纳入《劳动法》《劳动合同法》的调整范围时，需要更加慎重。[14]但是，从个人信息保护法的层面来说，区分聘用关系还是劳动关系的意义不大，因此，在事业单位实施人力资源管理而处理聘用制工作人员的个人信息时，仍然可以适用《个人信息保护法》第13条第1款第2项的规定，即以实施人力资源管理所必需作为法律根据。

（二）与劳动关系相关的人力资源管理活动的界定

只有与劳动关系相关的人力资源管理才能以实施人力资源管理所必需作为个人信息处理的法律根据，这就是说，只有当单位与员工之间准备产生、已经产生或曾经存在的法律关系属于我国《劳动法》《劳动合同法》调整的劳动关系时，用人单位实施的人力资源管理活动才属于《个人信息保护法》第13条第1款第2项中的人力资源管理活动。在以实施人力资源管理所必需作为法律根据的个人信息处理活动中，当事人分别为：劳动法上的用人单位与劳动者，即个人信息的处理者是用人单位，个人信息主体是劳动者，他们之间属于劳动关系。《劳动法》第2条规定：“在中华人民共和国境内的企业、个体经济组织（以下统称用人单位）和与之形成劳动关系的劳动者，适用本法。国家机关、事业组织、社会团体和与之建立劳动合同关系的劳动者，依照本法执行。”用人单位与其工作人员之间的劳动关系既可以是长期的，也可以是短期的或一次性的；既可以是有偿的，也可以是无偿的。只要劳动者与用人单位之间实际存在一方提供劳动、一方用工的关系，就建立了劳动关系，该劳动者即属于用人单位的工作人员（《劳动合同法》第7条第1句）。至于他们之间是否订立书面劳动合同，无关紧要。《劳动法》《劳动合同法》等法律都没有对何为“劳动关系”作出明确的界定。而随着数字经济的发展，网络平台用工等新型用人形态的出现使得怎样界定劳动关系，存在更大的争议。[15]考虑到本文的研究范围，笔者赞同通说关于劳动关系的本质特征在于从属性的观点，并据此认定劳动关系。具体来说，劳动关系意味着，用人单位对于劳动者拥有表现为指示、监督和惩戒等权力的控制力，而劳动者对于用人单位具有人格上、经济上和组织上的从属性。[16]

欧盟《通用数据保护条例》第88条第1款列举了在雇佣关系中处理个人数据的各种典型目的，如以招聘和履行雇佣合同为目的，包括法律或集体协议规定的义务的解除，工作的管理、规划与组织，工作场所中的平等与多元化，工作时的健康和安全，保护雇主或客户财产，单独或集体行使和享受有关雇佣的权利和利益，以及为了终止雇佣关系的目的。欧盟第29条工作组认为，单位处理员工个人数据的具体场景至少有以下九类：①招聘过程中的处理操作；②就业筛选中产生的处理操作；③工作场所使用信息和通信监控技术（ICT）产生的处理操作；④工作场所外使用ICT监控技术产生的处理操作；⑤与时间和出勤有关的处理操作；⑥使用视频监控系统的处理操作；⑦涉及员工车辆使用的处理操作；⑧涉及向第三方披露员工数据的处理操作；⑨涉及人力资源和其他员工数据的国际转移的处理操作。[17]实际上，与劳动关系相关的人力资源管理活动的范围很广，包括从劳动合同的磋商订立，到劳动合同的履行，再到劳动合同的终止消灭的所有人力资源管理活动，如新员工的招聘与培训，工作规划与安排，工作活动的开展、管理与监督，员工安全保护，工作业绩的评价考核，薪资升降，员工离职后的竞业限制管理等。这些人力资源管理活动经常涉及到对劳动者的个人信息的处理。例如，公司招聘新员工时需要收集分析应聘者的个人信息，甚至还会利用个人信息进行自动化决策，[18]或者通过网络查询检索应聘者的个人信息；劳动者入职后，办理工作证件、社会保险、支付薪水、提供福利、经费报销、出差开会、绩效考评、业务培训等，都需要收集使用劳动者的姓名、身份证号、家庭住址、电话号码、紧急联系人信息甚至指纹、人脸等生物识别信息。此外，工作场所使用信息和通信监控技术，员工出差时使用其个人信息预订机票和酒店，集团内部的员工信息的转移，员工离职时继续保存员工档案信息等也属于个人信息的处理。

（三）如何理解依法制定的劳动规章制度和依法签订的集体合同

劳动关系的本质在于从属性，用人单位对于劳动者享有控制力，有权为生产经营活动而配置并使用人力资源，在劳动的过程中对劳动者进行指示、监督、管理，并在劳动者违纪时予以相应的处罚，否则，用人单位就没有自主经营权，无法从事正常的生产经营活动。用人单位对劳动者行使控制力就包括了实施人力资源管理所必需的个人信息处理活动。然而，这种个人信息处理只有在其本身是“合法”的活动之后，才可能被认定为“必需”。从《个人信息保护法》第13条第1款第2项的要求可知，即便用人单位是按照劳动规章制度或者集体合同实施人力资源管理，但如果劳动规章制度和集体合同并非依法制定或依法签订，也不能据此实施人力资源管理，更不能以实施人力资源管理所必需作为处理个人信息的法律根据。这是因为，《劳动法》《劳动合同法》《工会法》《劳动合同法实施条例》等法律法规规章对于劳动规章制度与集体合同的内容与制定或签订的程序作出了明确的规定，只有依法制定的劳动规章制度和依法签订的集体合同才能对劳动者产生法律效力，用人单位才能据此实施人力资源管理活动。如果用人单位依据并非依法制定的劳动规章制度或并非依法签订的集体合同而实施人力资源管理活动，由于该管理活动本身就非法，自然也不可能以实施人力资源管理所必需作为个人信息处理的法律根据。

劳动规章制度是用人单位制定的用于组织劳动过程，进行劳动管理的相关规则与制度的总称，涉及到用人单位经营管理的方方面面，可以看作是企业内部的“法律”。集体合同则是指工会或职工代表代表全体职工与用人单位依据法律法规的规定，就劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利等事项进行平等协商而签订的协议。[19]《个人信息保护法》第13条第1款第2项规定的“依法制定的劳动规章制度和依法签订的集体合同”包含两层意思：其一，劳动规章制度与集体合同的制定或签订的程序必须合法；其二，劳动规章制度与集体合同中规定或约定的个人信息处理活动必须合法。

1.劳动规章制度和集体合同的制定或签订的程序合法

依据《劳动法》《劳动合同法》的规定，用人单位在制定、修改或决定诸如劳动报酬、工作时间、休息休假、劳动安全卫生、保险福利、职工培训、劳动纪律以及劳动定额管理等直接涉及劳动者切身利益的规章制度或者重大事项时，应当经过职工代表大会或者全体职工的讨论，提出方案和意见，与工会或者职工代表平等协商确定。如果在规章制度和重大事项决定实施的过程中，工会或者职工认为不适当的，有权向用人单位提出，并通过协商予以修改完善。用人单位应当将直接涉及劳动者切身利益的规章制度和重大事项决定加以公示或者告知劳动者。集体合同应由工会代表职工与企业签订，没有建立工会的企业，则由职工推举的代表与企业签订。如果劳动规章制度的制定和集体合同的签订不符合上述法律规定的程序，那么，它们就不属于依法制定的劳动规章制度和依法签订的集体合同，用人单位不能按照它们实施人力资源管理，更不能以实施人力资源管理所必需作为个人信息处理的法律根据。例如，实践中，外国公司在我国境内设立的分支机构或者在我国投资设立的子公司，都是适用其总公司或母公司制订的各种规章制度。然而，如果这些规章制度没有按照我国的《劳动法》《劳动合同法》所规定的程序经过职工代表大会或全体职工讨论，则不能在我国境内产生法律效力，也不符合《个人信息保护法》第13条第1款第2项的要求。用人单位以这种规章制度作为依据而实施人力资源管理并处理个人信息的，该活动是非法的个人信息处理活动。在我国发生的“闵某与美驰咨询（北京）有限公司网络侵权责任纠纷案”就涉及这样的问题。在该案的判决中，二审法院正确地指出：跨国公司将其“海外人力资源管理政策引入中国，应当遵循中国法律的规定，按照个人信息保护法、劳动法等相关法律，进行充分告知，征求意见”，由于被告公司没有履行此等法律要求的程序，故此，法院不认可被告公司可以援引其母公司制订的劳动规章制度作为实施人力资源管理的依据，进而处理原告的个人信息。[20]

2.劳动规章制度或集体合同中关于个人信息处理的规定或约定合法

用人单位按照依法制订的劳动规章制度和依法签订的集体合同实施人力资源管理、处理劳动者个人信息还意味着：劳动规章制度或集体合同中已对用人单位处理劳动者的个人信息的有关事项作出了相应的规定或者约定。例如，公司在规章制度中规定，为保护公司的商业秘密和数据安全，员工利用办公电脑与办公电话进行信息传递与通讯时会被公司的安全软件加以监控。再如，公司配备给员工的工作手机，员工也将其作为日常社会交往的手机使用，存有大量个人信息，公司在规章制度中规定，在遇有反贿赂等纪检与合规需要时，公司有权要求员工上交该工作手机用于检查其中的微信、短信等通信内容。如果在劳动规章制度或集体合同中，各方并未就处理劳动者个人信息的活动作出规定或加以约定，用人单位不得以实施人力资源管理所必需作为处理个人信息的法律根据。这是因为，我国《个人信息保护法》第17条明确要求个人信息处理者在处理个人信息前应以法定的方式向个人告知相关事项，或者通过制定个人信息规则的方式告知该等事项。诚然，为实施人力资源管理活动所必需处理个人信息，无需取得个人的同意。但是，并未因此就免除处理者的告知义务（除非其具备《个人信息保护法》第18、35条所规定的免除告知义务的情形）。因此，劳动规章制度或集体合同中根本没有就处理劳动者的个人信息作出规定或约定，实际上就等于用人单位没有依法履行告知义务，其当然不得以实施人力资源管理所必需作为个人信息处理的法律根据。

同时，劳动规章制度和集体合同就处理劳动者的个人信息活动作出的规定或约定本身也应当是合法的。如果这些规定或约定存在《个人信息保护法》《民法典》等法律规定的无效情形，如违反法律、行政法规的强制性规定，违背公序良俗，或者排除劳动者的主要权利等，即便劳动规章制度和集体合同的制定或签订的程序本身是合法的，该等个人信息处理的规定和约定也是无效的。例如，经职工代表大会讨论制定的A公司规章制度中规定，所有员工一经签订劳动合同，就视为在工作期间授权同意A公司对员工的全部个人信息予以处理，并且该同意是不可撤销的，公司还能自行决定是否将个人信息提供给其他处理者。显然，这种规定就违反了《个人信息保护法》第14、15条的规定，是无效的规定。[21]再如，实践中一些用人单位出于防止内部交易的考虑，在劳动规章制度中不仅要求劳动者提供相应的个人信息，还要求劳动者提供其亲属甚至朋友的一些个人信息，如要求公司员工必须如实报备本人任职期间名下正在使用和曾经使用过的所有手机号码，还必须提供本人的直系亲属（配偶、父母、子女）、有血缘关系的兄弟姐妹、配偶的父母、配偶有血缘关系的兄弟姐妹、情侣正在使用的手机号码以及工作单位信息。[22]这种关于个人信息处理的规定明显违法，不能以实施人力资源管理所必需作为法律根据。

四、实施人力资源管理所“必需”的判断

《个人信息保护法》第一章“总则”规定了个人信息保护法也即个人信息处理的基本原则，如合法、正当、必要、诚信、公开透明、目的限制等。这些原则既适用于以个人同意为法律根据的个人信息处理活动，也适用于那些依据法律、行政法规的规定无需取得个人同意即可实施的个人信息处理活动。[23]《个人信息保护法》第13条第1款第2项之所以要求个人信息处理活动是实施人力资源管理所“必需”，就是为了遵守必要原则与目的限制原则。必要原则（principle of necessity）是比例原则在个人信息保护法中的体现，该原则要求个人信息的处理活动对于实现合法、正当的处理目的是必要的、不可或缺的，任何不必要的个人信息处理活动都不应当被实施。目的限制原则（principle of purpose limitation）要求个人信息处理活动应当具有明确与合理的目的，并且该活动应当与处理目的直接相关，采取对个人权益影响最小的方式（《个人信息保护法》第6条）。必要原则与目的限制原则密切关联。一方面，明确、合理的处理目的是必要性的考量因素。[24]认定个人信息处理活动是否必要，须考虑处理的目的，即只有在无法以其他合理的方式实现处理目的之时，处理者才能处理个人信息。另一方面，与处理目的直接相关以及采取对个人权益影响最小的方式也是用来判断个人信息处理活动是否必需的重要标准。总之，判断个人信息处理活动是否属于实施人力资源管理所“必需”，应当严格遵循必要原则与目的限制原则，并结合人力资源管理活动中处理个人信息的具体场景、个人信息的类型、处理目的与方式等具体因素，综合权衡用人单位的合法利益的保护与劳动者的个人权益保护的关系后加以认定。

（一）个人信息处理活动旨在维护用人单位的合法利益并且与之直接相关

用人单位实施人力资源管理以及其他管理活动的，最终目的都是为了实现用人单位的整体战略和目标，即创造价值以满足相关利益群体的需要。[25]但是，倘若以此作为实施人力资管理所必需的个人信息处理活动的目的，则不符合目的限制原则对于处理目的应当“明确
······