建设工程行业长期存在粗放式管理惯性，而个人信息保护合规的浪潮正从互联网行业向传统建筑业蔓延啊。当施工现场的人脸识别考勤、分包商工人实名制信息、项目管理人员通讯录等数据在总包、分包、监理、劳务公司之间流转时，一条隐蔽的个人信息风险链已然形成。笔者近期代理的一起建设工程合同纠纷仲裁案，恰将这一交叉地带的风险暴露无遗。

案件源于某大型民营建筑集团作为总包方，与一家劳务分包公司签订专业分包合同。施工期间，总包方应建设单位要求，在工地入口部署了人脸识别闸机，并委托第三方技术服务商开发劳务实名制管理系统。该系统采集了分包方三百余名工人的身份证号、生物识别信息、银行账户及手机号码。工程竣工后，双方因结算款产生争议，分包方提起仲裁，除主张工程款外，额外提出一项反请求：总包方未经工人单独同意将个人信息用于系统开发测试，且未在分包合同终止后删除数据，构成对个人信息权益的侵害，要求赔偿并公开道歉。

这起案件的戏剧性在于，传统建设工程合同纠纷的争点通常集中在工期、质量、造价，而本案将个人信息保护法中的“告知—同意”规则、“最小必要”原则和“删除权”直接嵌入分包合同争议，让一项看似纯粹的个人信息合规问题成为影响工程款结算的谈判筹码。仲裁庭最终认定：总包方作为个人信息处理者，虽基于施工安全管理这一“履行法定义务”的合法性基础可以处理实名制信息，但其将工人生物识别信息用于系统压力测试，超出了“最小必要”范围，且分包合同终止后未及时删除，违反了《个人信息保护法》第十三条、第六条及第四十七条。裁决总包方就个人信息侵权部分向分包方及工人代表支付赔偿金，并限期删除相关数据。工程款争议则按合同约定另行处理。

该案折射出的法律问题远比表面复杂。建设工程领域的个人信息处理具有三个特殊属性：其一，主体链条长。建设单位、总包、分包、劳务、监理、材料供应商等多方均可能接触同一批个人信息，委托处理、共同处理、独立处理的法律关系层层嵌套，极易出现“告知—同意”链条断裂。其二，场景刚性强。实名制考勤、安全培训记录、特种作业资质审核等均是行政监管的硬性要求，企业往往以“法定义务”为由回避单独同意义务，却忽视了法定处理场景同样受“最小必要”和“目的限定”约束。其三，存续周期错配。工程周期通常一至三年，而个人信息删除义务在合同终止后立即触发，但工程审计、质量追溯、农民工工资保证金监管等又要求数据留存。这一时间错配导致大量建筑企业在项目结束后仍违规保有工人敏感信息。

从合同管理角度观察，上述风险的根源在于合同条款的系统性缺失。多数建设工程施工合同示范文本，包括GF-2017-0201，对个人信息保护条款的着墨几乎为零。总包方与分包方之间的数据流转，往往依靠口头指令或项目部微信通知完成，既无委托处理协议，也无安全保障措施约定，更无删除返还机制。一旦发生争议，总包方难以证明其处理行为具有合法性基础，分包方也难以界定自身作为“受托方”或“独立处理者”的责任边界。本案中，仲裁庭之所以认定总包方存在过错，正是因为双方合同中没有任何关于个人信息处理的条款，总包方无法援引合同约定来证明其处理行为获得了分包方及工人的授权。

更深层的商业风险在于，个人信息侵权可能触发连锁反应。根据《个人信息保护法》第六十六条，情节严重的违法行为可处五千万元以下或上一年度营业额百分之五以下罚款，并可能责令暂停相关业务。对于以政府投资项目为主营来源的建筑企业，一旦被列入严重违法失信名单，投标资格将直接受限。同时，工人集体提起个人信息侵权诉讼的风险不容小觑，三百余名工人的群体性索赔即便单案金额不高，叠加后的商誉损失和应诉成本也足以影响企业现金流。本案中分包方正是抓住这一软肋，将个人信息侵权反请求作为工程款谈判的杠杆，最终在结算金额上获得了实质让步。

面对这一交叉地带，建设工程企业的合规路径应从合同管理切入，分三个层次推进。第一层次是签约端的条款嵌入。总包方应在专业分包、劳务分包、技术服务合同中增设个人信息保护专章，明确数据处理的目的是否为履行法定实名制义务、处理范围限于施工管理必要的最小字段、存储期限与工程保修期或工资保证金返还期挂钩，并约定分包方在数据提供前已获得工人单独同意的保证条款。第二层次是履约端的过程管控。项目部应建立个人信息处理台账，记录数据接收、使用、传输、删除的全流程，对于生物识别信息等敏感个人信息，原则上应避免集中存储于非必要终端，可采用哈希脱敏或本地比对方式降低泄露风险。第三层次是竣工端的退出机制。合同终止后三十日内，总包方应组织分包方、技术服务商完成数据清点与删除，留存删除记录备查，仅将工资支付、质量追溯所必需的信息匿名化后归档。

从行业发展趋势看，住建部门推行的全国建筑工人管理服务信息平台正在加速数据归集，而个人信息保护监管的触角也逐步延伸至传统行业。建设工程企业若继续将个人信息保护视为互联网公司的专属议题，恐将在未来的合同争议、行政检查和集体诉讼中陷入被动。唯有将个人信息保护内化为合同管理的基础设施，才能在合规与效率之间找到平衡点。

回到开篇的仲裁案，其价值不在于赔偿金额本身，而在于揭示了一个被忽视的真相：在建设工程的复杂合同网络中，个人信息不是抽象的权利话语，而是可以量化、可以谈判、可以触发违约的商业变量。当法务人员起草下一份分包合同时，或许应当多问一句：工人的人脸数据，合同终止后由谁删除？