正如几年前的爬虫技术一样，当该类技术被推到前台时，人们凭借朴素的价值观会认为其合法性应当被否定。而我们也应该认识到，作为一项技术或产品，除非其仅用于非法用途，否则我们不能轻易对其作出否定性评价。对于行为管理系统来说，其重要的用途之一即是防范不正当上网行为带来的网络安全风险，从这一角度来说该类系统的存在是具有合理性，也具有合法性的。

所以问题并不在于用了这类系统，而是在于怎么用。

根据公开信息，某些行为管理系统可以对员工的离职倾向进行分析，并给出特定员工的离职风险。对于这是否属于自动化决策需要注意的一点是，自动化决策的作出应当是通过算法自动作出的，例如通过算法自动计算保费等，而若决策的作出通过人工实现，则不属于自动化决策。回到该事件，系统仅是对员工的离职倾向进行评估（即离职风险），但未作出决策（即决定是否辞退该员工），因此这并不涉及自动化决策，而是仅属于画像的形成。

● 就使用行为管理系统进行评估

在使用行为管理系统前，企业应基于与供应商的合作模式确定双方法律关系，就安全保护措施有效性及对于权益影响进行分析，明确可能的风险，针对风险进行改进并设置相应的应对措施。同时做好记录留存工作，以应对未来可能的执法调查。

● 就使用行为管理系统处理个人信息的情况向员工告知告知

由于企业可以通过该类系统看到特定员工的上网行为，因此，无疑会涉及到个人信息的处理。像部分系统供应商广告中主打的“无感”等特征，如果未告知员工便使用相关系统，则会给企业带来极大的合规风险。鉴于此，向员工告知是企业必须采取的动作。

● 要不要获得员工的同意

对于通过行为管理系统收集员工的上网行为，有观点认为属于人力资源管理所必需，因此不需要获得员工同意。这其实在目前是个有些模糊的问题，对于人力资源管理所必需的判断目前并无明确的界线，但从基本原理来说，只有在进行人力资源管理过程中所必需处理的个人信息，才可以适用该条而豁免员工的同意。

通常来说，企业的人力资源管理涉及到求职人员简历收集、背调、体检、入职信息登记、劳动合同签订、工资社保福利提供、绩效考核、违规违纪调查、员工离职等环节。纵观上述环节，对于员工上网行为的监控或可以纳入违规违纪调查。但企业也应注意以下几点：

明确具体监控的行为

企业应对监控的具体上网行为进行判断，如员工外发保密文件的行为管理可以涉及到违规违纪，但对于员工浏览求职网站、投递简历的行为，则通常不会和违规违纪联系起来。企业若对该种行为进行监控，则难言人力资源管理所必需。

明确收集的个人信息范围

明确了具体监控行为后，也应注意对于员工上网行为的收集须遵循最小必要原则，如监控使用社交软件情况不宜收集聊天记录等。

确保监控行为纳入企业管理制度

如前所述，对于可以纳入违规违纪调查的行为，企业可以适用该条而豁免同意，但何为“规”、何为“纪”，则需要企业以员工守则、纪律管理规定等形式，以公开、清晰的方式向员工明确。

最后，对于无法纳入人力资源管理所必需的处理（如监控员工离职倾向），企业则应当获得员工的同意，涉及敏感个人信息的，则还应获得单独同意。

● 完善企业个人信息管理制度并据此严格使用行为管理系统

与行为管理系统使用最密切相关的则是对于系统使用及信息访问权限相关的限制。这种限制体现在岗位的限制（如HR部门的特定岗位可访问）、子账号的授权数量限制、账号使用限制、发生疑似违规违纪事件时的上报机制及部门间的信息共享流程等方面。

对于企业来说，希望自身商业秘密不被泄露，保证网络系统安全的考量存在合理性，也是可以理解的。但如同大数据杀熟破坏了消费者与经营者的信任一样，企业不当地使用行为管理系统也会破坏与员工之间的信任，终究是不利于企业发展的。况且企业的愿望不是在风险发生后躲在暗处“抓内鬼”，而是画下一条看得见的红线让风险不会出现。从这一角度来看，打打明牌未尝不可。

毕竟，中国人不为难中国人。