以考勤场景为例，需要关注到的合规层次包括：（1）个人信息类别的维度，即符合一般个人信息处理要求、敏感个人信息处理要求、生物识别信息的处理要求，现行法规与标准就涉及人脸应用还有进一步细化；（2）处理活动的维度，即考勤打卡可能涉及对个人信息的收集、存储，那么在确认合规依据的适用性时，关于前述（1）中的要求中，关于收集、存储、处理的，则均应遵守。
（一）处理员工一般个人信息的通用要求
1. “告知-同意”和豁免同意
无论被处理信息的个人是否为处理者的员工，处对其信息的处理均以向个人依法进行充分告知并取得其同意后处理为原则（简称“告知-同意”）。《个保法》第十三条规定有免予个人信息主体同意的例外情形，即“符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；……（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意”。
该依据可适用于用人单位处理员工个人信息的场景，但是结合目前实务界的倾向，对“按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”的适用相对非常严格。比如如果为审查病假申请，只能收取医院出具的记载员工疾病情况假条，可以解释到前述范围内；如果用人单位是出于考勤目的，收集员工的指纹、人脸信息，但该等信息在技术上又并非实现考勤的唯一方式，那么对指纹、人脸信息的应用可能难以论证到前述法定豁免同意的范畴。
同时，即使在个别场景论证出豁免“同意”，亦不会同时豁免“告知”的义务。无论是符合法定豁免“同意”条件的个人信息处理，还是取得了个人信息主体同意后的处理，处理者均有义务在处理前向个人信息主体告知法定事项。
《个保法》第十七条规定，“个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存”。若处理的信息是敏感个人信息，在告知时，处理者在一般信息告知项的基础上，还应根据《个保法》第三十条，一并向个人告知处理敏感个人信息的必要性以及对个人权益的影响。
对于合法处理的前提和获取同意的方式，根据《个保法》第二十八条第二款、第二十九条，对敏感个人信息处理，法定只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理，处理者还应在处理前取得个人的单独同意。
（二）处理员工生物识别信息的主要合规要求
除上述通用要求外，因指纹、人脸属于生物识别信息，需遵守对该类信息处理的特别要求，以及针对特定处理活动（如收集、存储等）的特别要求。
《敏感信息处理国标》第6.1条a)-e)项和《GB/T 40660-2021信息安全技术生物特征识别信息保护基本要求》（简称“《生物识别信息国标》”）第5章、第6章相结合，提出了生物识别信息处理的多项合规要求。
【收集】基于生物识别信息进行身份识别时,应同时提供不基于生物识别信息的其他替代可选身份识别方式,并不应将基于生物识别信息的方式作为默认选项。也就是说，用人单位在考勤场景时，不应将指纹、人脸作为默认方式，或除此以外不提供其他方式。若通过人脸特征技术可识别，不应选择通过处理人脸全脸解决，通过对所收集的生物识别信息直接进行特征和摘要信息提取的方式即可实现。收集生物特征识别信息前,还应向生物特征识别信息主体履行告知义务,并征得生物特征识别信息主体的明示同意。
【公开】除非个人信息主体主动要求或书面同意,不应公开生物识别信息;通过无需个人信息主体配合的方式收集生物识别信息用于身份识别前,应取得个人书面同意。
【删除】实现处理目的后,应删除所收集的原始生物识别信息,如原始图像、图片和视频等。
【存储】主要是满足最小必要原则和隔离存储等存储安全要求。
（1）根据只存储满足生物特征识别信息主体授权同意的目的所需最少的生物特征识别信息，应只在生物特征识别信息主体授权的存储时间内存储生物特征识别信息，超出存储期限后,应及时对生物特征识别信息进行删除或匿名化处理。
（2）标准给出了相对细化的技术安排示例，简单归纳其思路，即为减少对原始信息和对比核验全部过程的存储，仅应用解决问题的最小、必要的范围，以及在存储策略方面尽量割断这类敏感信息与其他数据的关联，增加安全性。比如将生物特征识别信息与主体的身份相关信息采用技术隔离手段存储（隔离方式包括逻辑隔离、物理隔离等），确保不可逆；原则上不应直接存储生物特征识别原始信息,可采取其他措施，比如仅存储生物特征识别信息的摘要信息，在采集终端中直接使用生物特征识别信息实现身份识别、认证等功能，在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除生物特征识别原始信息等等。
（三）处理员工敏感个人信息的合规要求
人脸、指纹属于敏感个人信息，需要遵守《个保法》以及《敏感个人信息国标》第5章、第6章对于敏感个人信息处理的通用要求以及针对特定处理活动（如收集、存储等）的特别要求。要求相对较多，结合考勤场景，较为相关的主要要求包括：
【必要性前提】《个保法》第二十八条的规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别信息在内。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。此处的“处理”，也是对应前述收集、存储等各项处理活动，各项活动均应当遵守这个要求。至于必要性的论证，除非用人单位能证明现有的签到表、打卡机应用非敏感个人信息（物理磁卡、账号密码等）、手机应用签到等手段都不足以实现考勤目的，必须指纹识别、面部识别才能实现考勤的目的，否则相对比较难以论证出人脸、指纹信息的处理必要性。当然，实践中用人单位也可以从另一个角度解释，即便利、员工同意，且其在有选择权的情况下主动选择了这些方式。
【单独同意】基于个人同意处理敏感个人信息的（也就是不符合法定豁免同意的情形）,应取得个人信息主体的单独同意。单独同意是同意中较为特殊的一种，参考《GB/T 42574-2023信息安全技术 个人信息处理中告知和同意的实施指南》中的定义，要求个人针对其个人信息进行特定处理而专门作出具体、明确授权的行为，不包括一次性针对多种目的或方式的个人信息处理活动作出的同意。单独同意的实现方式,可由个人信息主体主动完成填写提交,也可通过设置独立页面、电话和短信等向个人信息主体进行告知并通过个人点击或分项勾选等肯定性动作作出同意表示。
【充分告知、单独提示】收集合法性方面，处理者不应通过欺诈、诱骗、误导和胁迫等方式收集敏感个人信息，不应基于任何违反法律法规规定的目的收集敏感个人信息；收集非敏感个人信息可实现处理目的的,不应收集敏感个人信息；在收集敏感个人信息前,应采用单独弹窗、短信、填写框、动画、转至单独提示界面和语音播报等方式向个人进行告知;在收集敏感个人信息前,不应隐瞒收集敏感个人信息的功能,应明确收集敏感个人信息的类型、范围、目的、收集敏感个人信息的必要性和对个人权益的影响;敏感个人信息的,个人信息处理者应为个人信息主体提供便捷的撤回同意的方式,同时宜向个人信息主体说明撤回同意可能对个人产生的影响。
【安全保护】对于敏感个人信息的安全保护要求，从制度、人员、管理留痕等角度均提出了具体要求，当然部分要求也区分了不同处理活动进行讨论。