▎先看两个案子，结论正好相反
第一个，公司赢了。（2019）鲁06民终7145号，山东烟台中院。海阳一家包装公司在所有办公电脑上装了"超级眼"监控软件，员工上班时用电脑聊微信、QQ，内容会被自动下载、保存。销售员修某离职后起诉侵犯隐私，一审、二审都没支持她——法院认为，电脑是公司的、用于工作，办公电脑里的使用空间对公司来说不算"秘密"，装监控属于企业的自我管理行为。
第二个，公司输了。（2021）沪01民终3040号，上海一中院。公司给江某配了工作手机，她离职交回后，公司没告知、也没经她同意，就恢复了手机里的通话录音，拿去仲裁举证。法院对这份证据的合法性不予认可，理由很简单：公司拿不出证据证明自己事先告知过，或者取得过同意。
同样是公司的设备、同样是公司在监控，一个被认定是管理行为，一个被认定侵犯隐私。区别不在"设备归谁"，而在公司做这件事的方式。
▎一、法律给公司的口子有多大
《个人信息保护法》第十三条第一款第二项：按照依法制定的劳动规章制度和依法签订的集体合同，实施人力资源管理所必需的，可以处理员工个人信息；第二款明确，这种情形不需要取得员工同意。
但"不需要同意"只免掉同意这一关。第二关是制度本身要立得住。《劳动合同法》第四条要求，涉及劳动纪律等直接关系劳动者切身利益的规章制度，要经职工代表大会或全体职工讨论、与工会或职工代表平等协商确定，并且要公示或者告知劳动者；第八十条还规定，这类制度违反法律法规的，劳动行政部门可以责令改正、给予警告，造成损害的还要赔偿。
第三关是范围。《个人信息保护法》第六条：处理个人信息要有明确、合理的目的，与目的直接相关，采取对个人权益影响最小的方式，收集限于实现目的的最小范围。
至于隐私，民法典第一千零三十二条第二款的定义是"自然人的私生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息"。设备归谁、内容是不是私密，本来就是两回事——法院看的始终是内容本身，以及公司获取它的方式。江某案就栽在这一步。
▎二、落到 AI 监控上，多看这几条
1. 事先告知，决定证据能不能用。 前面两个案子的胜负手都在这儿。办案的实务体会是：公司赢，往往赢在"我告诉过你、写在制度里、你签过字"；公司输，多半输在"说不清什么时候告诉过你"。
2. "AI 给你打分"，法律有专门的规矩。《个人信息保护法》第二十四条提了三层要求：自动化决策要保证决策的透明度和结果公平、公正；作出对个人权益有重大影响的决定，你有权要求说明，也有权拒绝"仅通过自动化决策"作出决定。所以 AI 给的绩效分、"摸鱼指数"，如果要落到扣钱、调岗、辞退上，你可以要求公司讲清算法依据，也可以不接受只凭机器定结论。
顺带说一个最高法指导性案例（第265号，罗某诉某科技公司案）：公司拿"履行合同所必需"当理由收集用户画像，法院没认，指出这条理由要限定在基本功能服务所必需的范围里。"必需"是法律判断，不是公司的自我鉴定。
3. 恢复你删掉的东西，风险更高。（2022）京02民终1072号里，公司从员工工作电脑中恢复已删除文件、提取微信聊天记录，用作处分依据和诉讼证据，法院认定这属于对个人信息的擅自使用，不予认可。反过来，（2023）沪01民终6865号中，企业基于已经公开告知的工作场所监控、且调取使用与查明事实直接相关，法院认可了视频证据的效力。差别还是那两条：告没告知，用得对不对。
4. 摄像头另有专条。《个人信息保护法》第二十六条：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的。办公区装监控，说防火防盗，有依据；盯着工位统计谁不在座，或者装在更衣室、卫生间附近，就很难往"公共安全"上靠了。另外，一旦涉及行踪轨迹这类敏感个人信息（第二十八、二十九条），要有特定目的和充分必要性，还要取得单独同意——定位打卡、车辆轨迹这类，门槛更高。
▎三、哪些情形你可以说"不"
超出"人力资源管理所必需"，比如抓取你的私人聊天、私人账号、私人设备里的内容； 恢复你已删除的文件或聊天记录，却没有明确告知； 制度没经过民主程序、没公示告知，只凭一句"公司规定"； 用 AI 作出的决定对你有重大影响，却不说明依据、也不给人工复核的机会； 在更衣室、卫生间等私密场所装监控。
▎四、真碰上了，按这四步走
第一步，先固定证据。 监控软件的名称版本、弹窗提示、后台页面、公司通知、群里的记录，都截下来，能录屏就录屏。只录与自己有关的部分，别把同事的隐私一起卷进来。
第二步，书面问清楚。 通过邮件或 OA 向 HR、公司提出：处理我哪些信息、什么目的、什么范围、保留多久、依据哪条制度。问一次留一次痕，这是后面所有动作的基础。
第三步，走内部和外部渠道。 有工会的，可以请工会出面。劳动合同法第四条明确，工会或职工认为制度不适当的，有权提出并通过协商修改。谈不下来，向劳动保障监察（12333）或网信部门反映。
第四步，诉讼。 以隐私权、个人信息权益被侵害为由起诉，请求停止处理、删除信息、赔礼道歉；有损失的可要求赔偿。
▎最后说一句
公司装监控防泄密，本身不是原罪。真正要盯的是四件事：目的正当、范围最小、规则透明、决定可被质疑。AI 只是把"看得见"变成了"算得出"——法律对它的要求，比对着摄像头更严，不是更松。
你们公司有没有让你签过"监控同意书"？签之前，有人告诉你到底监控什么、数据留多久吗？欢迎在留言里说说。（前几篇在合集「电子数据取证」里，可以连着看）