違法收集員工信息零售巨頭H&M被罰3500萬(wàn)歐元

白一方 周穎

H&M因何事實(shí)被罰3500萬(wàn)歐元？

2020年10月1日，瑞典快銷零售業(yè)巨頭H&M因違規(guī)收集員工信息及內(nèi)部數(shù)據(jù)泄露事件，被德國(guó)漢堡的數(shù)據(jù)保護(hù)機(jī)構(gòu)“數(shù)據(jù)保護(hù)及信息自由委員會(huì)”（Commissioner?for?Data?Protection?and?Freedom?of?Information，即HmbBfDI）處以3526萬(wàn)歐元，折合約4156萬(wàn)美元的巨額罰款。該筆罰款是自歐盟2018年頒布《通用數(shù)據(jù)保護(hù)條例（GDPR）》以來(lái)，至今為止因違反該法導(dǎo)致的歐盟第二高額度、德國(guó)最高額度的確定處罰（歐盟最高額處罰是2019年法國(guó)對(duì)谷歌做出的5000萬(wàn)歐元罰款，關(guān)于本案的分析請(qǐng)參閱筆者的文章《GDPR項(xiàng)下主營(yíng)業(yè)地之爭(zhēng)塵埃落定，谷歌終局被裁5000萬(wàn)歐元罰款》）。

這一處罰主要是針對(duì)在H&M德國(guó)子公司的數(shù)據(jù)違法行為做出的。該公司在漢堡注冊(cè)，并在紐倫堡設(shè)有服務(wù)中心。因此，漢堡數(shù)據(jù)保護(hù)機(jī)構(gòu)HmbBfDI對(duì)該違規(guī)行為享有管轄權(quán)。HmbBfDI的調(diào)查顯示，H&M至少?gòu)?014年起，就開始對(duì)其服務(wù)中心的部分員工的隱私生活展開了密切的記錄和監(jiān)控，并將生成的數(shù)據(jù)記錄永久保存在網(wǎng)絡(luò)服務(wù)器上。對(duì)員工數(shù)據(jù)的收集方式和途徑多種多樣，且大大超出了工作相關(guān)的范圍。例如，在員工休年假或病假，甚至短暫的事假之后，主管團(tuán)隊(duì)就會(huì)與員工進(jìn)行所謂“歡迎回歸談話（Welcome?Back?Talks）”，并在會(huì)談中記錄包括員工的假期經(jīng)歷、生病癥狀及診斷在內(nèi)的多項(xiàng)個(gè)人信息。另外，還會(huì)有些主管通過與員工的私人面談、閑聊等方式，獲取大規(guī)模、大范圍的隱私信息細(xì)節(jié)，其中甚至包括員工家庭情況、宗教信仰等敏感信息。對(duì)于這些員工信息的記錄可達(dá)到非常細(xì)節(jié)化的程度，且在相當(dāng)長(zhǎng)的時(shí)間內(nèi)保持著對(duì)這些情況的持續(xù)性關(guān)注。其中一部分信息以數(shù)字化的方式被記錄和存儲(chǔ)，并可以被整個(gè)公司內(nèi)多達(dá)50名的經(jīng)理級(jí)別主管讀取。而公司收集這些信息的目的，除了對(duì)個(gè)人工作績(jī)效進(jìn)行細(xì)致的評(píng)估之外，還被用以對(duì)員工進(jìn)行個(gè)人側(cè)寫，以便有針對(duì)性的制定有關(guān)其工作的措施和決策。

在長(zhǎng)達(dá)5年的期間內(nèi)，員工在不知情的情況下被公司收集和儲(chǔ)存了大量個(gè)人隱私信息。直到2019年10月份，因?yàn)楣痉?wù)器的一次配置錯(cuò)誤，這些數(shù)據(jù)在幾個(gè)小時(shí)的區(qū)間內(nèi)打開對(duì)全公司的訪問權(quán)限，造成公司內(nèi)部的數(shù)據(jù)泄露，這一違法收集員工隱私信息的惡性事件才東窗事發(fā)，為人所知，引發(fā)了媒體的報(bào)道及員工的投訴。HmbBfDI專員隨后凍結(jié)了涉案的網(wǎng)絡(luò)驅(qū)動(dòng)器，并要求將其上交，以對(duì)該事件展開大規(guī)模調(diào)查。今年1月，H&M終于打破沉默，對(duì)外表示德國(guó)子公司10月份的數(shù)據(jù)泄露事件是“不可接受的（Unacceptable）”，當(dāng)?shù)貓F(tuán)隊(duì)已經(jīng)采取了系列行動(dòng)，與所有同事保持密切對(duì)話，并將積極配合當(dāng)?shù)財(cái)?shù)據(jù)保護(hù)機(jī)構(gòu)對(duì)此事的調(diào)查，向HmbBfDI提交了約60GB的數(shù)據(jù)記錄以供評(píng)估。而對(duì)這些數(shù)據(jù)的分析結(jié)果，也與多名證人的訊問證言相符，證實(shí)了事件的真實(shí)性和諸多細(xì)節(jié)。

HmbBfDI在為期一年的調(diào)查結(jié)束后，對(duì)H&M開出了巨額罰款，并明確表示違法收集員工私生活細(xì)節(jié)的行為以及記錄員工活動(dòng)的行為兩者相加，已經(jīng)極其嚴(yán)重地侵犯了員工的公民權(quán)利。專員?Johannes?Caspar教授則評(píng)論該案件表現(xiàn)出H&M的紐倫堡辦公室對(duì)員工數(shù)據(jù)保護(hù)的嚴(yán)重?zé)o視，必須以所判處的巨額罰金才能震懾公司，避免對(duì)員工隱私的侵犯。而具體的罰款金額，則是根據(jù)HmbBfDI針對(duì)判斷GDPR違規(guī)罰款金額所開發(fā)的一組標(biāo)準(zhǔn)，考慮到涉案公司的年收入額（annual?revenue）計(jì)算出的。這組標(biāo)準(zhǔn)對(duì)年收入較高的公司將計(jì)算出更高額的罰款，而H&M集團(tuán)2019財(cái)年的收入高達(dá)243億美元。HmbBfDI表示，雖然目前該標(biāo)準(zhǔn)只在德國(guó)使用，但已經(jīng)在歐盟整體協(xié)調(diào)層面進(jìn)行引入和探討，不排除可能適用于更多國(guó)家和地區(qū)的可能。

除了罰款之外，HmbBfDI還提出了其他的要求、引入新的數(shù)據(jù)保護(hù)概念，以提升H&M紐倫堡辦公室的數(shù)據(jù)保護(hù)力度。包括新任命數(shù)據(jù)保護(hù)協(xié)調(diào)員（data?protection?coordinator）、月度數(shù)據(jù)保護(hù)狀態(tài)更新、加強(qiáng)對(duì)吹哨人的保護(hù)、以及數(shù)據(jù)主體訪問權(quán)限的整體協(xié)調(diào)。

在接受調(diào)查的過程中，H&M及時(shí)停止了違法行為，其管理層對(duì)受影響的員工進(jìn)行了明確道歉，并對(duì)現(xiàn)有員工及2018年5月GDPR生效時(shí)至少入職一個(gè)月以上的員工進(jìn)行了可觀的賠償。在制度上，H&M也采取了一系列全新措施，以加強(qiáng)內(nèi)部審查，確保數(shù)據(jù)隱私合規(guī)，建立安全的工作環(huán)境。具體包括紐倫堡辦公室服務(wù)中心的管理層人員變動(dòng);對(duì)領(lǐng)導(dǎo)層數(shù)據(jù)隱私及勞動(dòng)法的額外培訓(xùn);對(duì)經(jīng)理級(jí)別的新規(guī);設(shè)立專門負(fù)責(zé)審核、跟進(jìn)、教育及持續(xù)改善數(shù)據(jù)隱私流程的數(shù)據(jù)保護(hù)協(xié)調(diào)員;加強(qiáng)數(shù)據(jù)清潔流程;完善內(nèi)部IT系統(tǒng)，以規(guī)范的保存?zhèn)€人數(shù)據(jù)等。同時(shí)承諾將遵守HmbBfDI提出的月度更新、吹哨人保護(hù)等各項(xiàng)要求。

面對(duì)H&M良好的認(rèn)錯(cuò)態(tài)度，HmbBfDI也認(rèn)可其補(bǔ)救措施是“企業(yè)在數(shù)據(jù)違規(guī)事件后，對(duì)其責(zé)任前所未有的承認(rèn)”，并公開肯定了其管理層積極采取措施糾正錯(cuò)誤和彌補(bǔ)傷害的行為。認(rèn)為公司責(zé)任人透明開放的提供與事件相關(guān)的信息，并向受害員工做出經(jīng)濟(jì)補(bǔ)償?shù)男袨椋砻髌湎Ｍ麊T工得到日常工作中應(yīng)有尊重的態(tài)度，以及恢復(fù)員工對(duì)公司信心的積極嘗試。而在H&M收到罰款后的官方聲明中，雖然沒有明確提出是否會(huì)對(duì)處罰結(jié)果進(jìn)行上訴，但表示將會(huì)“嚴(yán)格遵守相關(guān)數(shù)據(jù)保護(hù)部門制定的法律法規(guī)，以及公司自身的高標(biāo)準(zhǔn)”。

H&M因違反何規(guī)定被罰？

縱觀整個(gè)案件，H&M對(duì)員工隱私信息的收集、處理及儲(chǔ)存毫無(wú)疑問是過于寬泛及侵入式的，違反了GDPR第5條與個(gè)人數(shù)據(jù)處理相關(guān)的多項(xiàng)原則以及第6條數(shù)據(jù)處理的合法性基礎(chǔ)。

第一，GDPR中規(guī)定的合法性基礎(chǔ)包括員工同意、履行合同所必要、服從法律義務(wù)的必要、保護(hù)數(shù)據(jù)主體重大利益的必要、處理公共領(lǐng)域任務(wù)的必要、數(shù)據(jù)控制者或他人合法利益的必要等，對(duì)于生物信息、宗教信息等敏感信息的處理，甚至有更高的要求，以禁止處理為原則，以個(gè)別情況為例外。而本案中，H&M的信息收集和存儲(chǔ)顯然未獲得員工的同意，也超出了任何一條必要的情況，況且所涉及的個(gè)人數(shù)據(jù)中還包括部分敏感信息。

第二，GDPR要求數(shù)據(jù)的收集和處理必須合法、公平、透明，而H&M收集員工信息是通過非正常的方式進(jìn)行，也不符合任何合法性基礎(chǔ)。

清律律師事務(wù)所律師白一方

第三，目的限制原則，即只能為特定的、明確的、合法的目的進(jìn)行收集，H&M的行為顯然不是為了任何合法目的，也不存在為了公共利益、科學(xué)、歷史研究或統(tǒng)計(jì)目的等特殊情況。

第四，數(shù)據(jù)最小化原則，必須根據(jù)其目的進(jìn)行可收集數(shù)據(jù)范圍的最小化限制，H&M大大超出了最小范圍，即使我們認(rèn)為其員工監(jiān)控的目的合法，也很難說(shuō)關(guān)于度假情況、家庭情況或宗教信息的收集與其目的緊密相關(guān)。

第五，儲(chǔ)存限制，個(gè)人數(shù)據(jù)的保留時(shí)間不應(yīng)超過所需必要，而H&M對(duì)員工數(shù)據(jù)進(jìn)行永久保存，不存在定期刪除的計(jì)劃。

此次H&M事件對(duì)企業(yè)的警示

需要注意的是，HmbBfDI的處罰并非基于2019年10月的內(nèi)部數(shù)據(jù)泄露事件，而是對(duì)違法收集、處理、儲(chǔ)存員工數(shù)據(jù)的不當(dāng)員工監(jiān)控行為的不合規(guī)處罰。而數(shù)據(jù)泄露只是令HmbBfDI看到媒體信息、收到員工投訴，從而展開調(diào)查的導(dǎo)火索。事實(shí)上，與國(guó)內(nèi)大多數(shù)企業(yè)相較，歐盟和美國(guó)企業(yè)向來(lái)比較重視員工個(gè)人信息保護(hù)，通常在員工手冊(cè)中會(huì)以專章說(shuō)明如何保護(hù)員工的個(gè)人隱私，并事先獲得員工的相關(guān)許可和授權(quán)，以便在事件調(diào)查時(shí)查看員工工作郵箱中的工作郵件、檢查工作電腦和辦公場(chǎng)所，或向第三方服務(wù)機(jī)構(gòu)如保險(xiǎn)公司、人才服務(wù)中介等提供員工的身份、健康等隱私信息。而國(guó)內(nèi)的大部分企業(yè)則缺乏此類向員工提供個(gè)人信息保護(hù)和從員工處獲得授權(quán)的意識(shí)。

在國(guó)內(nèi)外對(duì)于個(gè)人信息保護(hù)的監(jiān)管日益加強(qiáng)、宣傳力度加大以及用戶糾紛逐漸增多的整體大環(huán)境下，很多企業(yè)尤其是互聯(lián)網(wǎng)企業(yè)已經(jīng)開始重視用戶個(gè)人信息保護(hù)，完善隱私政策和用戶數(shù)據(jù)的管理流程、機(jī)制，但對(duì)于企業(yè)內(nèi)部的員工個(gè)人信息保護(hù)則未給予同等的重視。但無(wú)論是GDPR還是《中華人民共和國(guó)民法典》，抑或其他國(guó)家的信息保護(hù)監(jiān)管規(guī)則，均強(qiáng)調(diào)的是“個(gè)人/自然人”的信息保護(hù)，“員工”顯然也在此范圍內(nèi)，H&M的此次事件其實(shí)是一個(gè)警示，即如果企業(yè)未對(duì)員工個(gè)人信息予以保護(hù)，與用戶數(shù)據(jù)相比，員工信息泄露的概率并不更低，企業(yè)被投訴或舉報(bào)的可能性也不會(huì)更低，同時(shí)企業(yè)所需承擔(dān)的責(zé)任也并不會(huì)更小。

如果企業(yè)此前過度收集員工個(gè)人信息、未對(duì)員工個(gè)人信息加強(qiáng)保護(hù)，主要影響是，在員工違紀(jì)處分或解除勞動(dòng)合同時(shí)，法院可能因企業(yè)的行為依據(jù)涉及員工的個(gè)人隱私，而不支持企業(yè)的相應(yīng)決定或行為，企業(yè)需承擔(dān)敗訴的后果。那么現(xiàn)在，企業(yè)面臨違反個(gè)人信息保護(hù)的后果則嚴(yán)重得多，不僅僅是員工要求賠償損失的民事責(zé)任，還可能面臨高額罰款、被監(jiān)管機(jī)關(guān)約談、責(zé)令整改，以及負(fù)面輿論風(fēng)險(xiǎn)和員工對(duì)企業(yè)的信任危機(jī)，甚至刑事責(zé)任。因此，企業(yè)應(yīng)同等重視員工個(gè)人信息保護(hù)。

企業(yè)如何開展員工個(gè)人信息保護(hù)

在監(jiān)管政策對(duì)個(gè)人信息保護(hù)提出了更高要求的情況下，企業(yè)以往通過員工手冊(cè)/規(guī)章制度來(lái)證明對(duì)員工信息提供了保護(hù)，通過授權(quán)書等免除企業(yè)責(zé)任的做法，顯然已不足以應(yīng)對(duì)監(jiān)管。企業(yè)應(yīng)當(dāng)按照監(jiān)管政策的要求，對(duì)員工個(gè)人信息保護(hù)進(jìn)行專項(xiàng)合規(guī)。

首先，與數(shù)據(jù)合規(guī)類似，數(shù)據(jù)應(yīng)用是一個(gè)以數(shù)據(jù)為中心的收集、存儲(chǔ)和成果輸出的傳輸鏈條，只有在理解了數(shù)據(jù)從流入到輸出的全部情況，才能真正的理解和判斷法律風(fēng)險(xiǎn)點(diǎn)，并精準(zhǔn)地予以風(fēng)險(xiǎn)防范和漏洞填補(bǔ)。企業(yè)應(yīng)當(dāng)對(duì)員工個(gè)人信息在企業(yè)的整體流轉(zhuǎn)過程進(jìn)行全面梳理，需要注意的是，員工個(gè)人信息的流轉(zhuǎn)過程并不是簡(jiǎn)單地與員工人事流轉(zhuǎn)過程的各環(huán)節(jié)一一對(duì)應(yīng)，如果我們對(duì)這兩大過程的環(huán)節(jié)做簡(jiǎn)要描述，則：

員工個(gè)人信息流轉(zhuǎn)環(huán)節(jié)：收集——處理——存儲(chǔ)——使用（內(nèi)部使用、對(duì)外提供等）

員工人事流轉(zhuǎn)環(huán)節(jié)：招聘——入職——管理（合同、薪酬、崗位、培訓(xùn)、獎(jiǎng)勵(lì)、處罰等）——離職——離職后管理（競(jìng)業(yè)限制、保密等離職后義務(wù)，以及勞動(dòng)糾紛處理）

員工個(gè)人信息的收集實(shí)際貫穿了人事流轉(zhuǎn)的全部環(huán)節(jié)，而不僅僅限于招聘和入職環(huán)節(jié)。如在職管理階段，企業(yè)可能基于監(jiān)管需求而額外收集員工信息，例如疫情防護(hù)期間，企業(yè)需收集每位員工動(dòng)態(tài)實(shí)時(shí)的健康狀況、位置信息甚至行為軌跡等信息;離職后管理階段，企業(yè)要求員工在競(jìng)業(yè)限制期限內(nèi)，每月提供新工作單位的信息或者就業(yè)狀態(tài)。

相應(yīng)地，員工從企業(yè)離職后的個(gè)人信息也并非即應(yīng)立即刪除。除了上述存在離職后管理環(huán)節(jié)之外，通常勞動(dòng)法下，企業(yè)有留存相關(guān)信息的義務(wù)，例如企業(yè)必須書面記錄支付勞動(dòng)者工資的數(shù)額、時(shí)間、領(lǐng)取者的姓名以及簽字，并保存兩年以上備查。

由此，企業(yè)對(duì)員工個(gè)人信息的收集是動(dòng)態(tài)的、不斷更新的，而這些不時(shí)收集的信息也在不斷進(jìn)行后續(xù)的流轉(zhuǎn)，企業(yè)需要在員工人事流轉(zhuǎn)的全部環(huán)節(jié)中，動(dòng)態(tài)地執(zhí)行員工個(gè)人信息保護(hù)的合規(guī)要求。

其次，企業(yè)需要對(duì)員工個(gè)人信息進(jìn)行分類，并明確在每一個(gè)人事流轉(zhuǎn)環(huán)節(jié)、每一次員工信息收集中，涉及了哪些類別的信息，并一一審查是否執(zhí)行了最小必要等原則。例如，在招聘和入職環(huán)節(jié)，企業(yè)HR們相對(duì)熟悉的是，此前國(guó)內(nèi)已有相應(yīng)條例明確，企業(yè)不得強(qiáng)制要求員工在入職體檢中檢查乙肝，目前正規(guī)體檢機(jī)構(gòu)基本已從入職體檢環(huán)節(jié)中撤除乙肝檢查此項(xiàng);再如，已有相關(guān)司法判例認(rèn)定，員工的婚姻狀況和生育狀況屬于個(gè)人隱私，企業(yè)如果強(qiáng)制要求員工入職時(shí)提供此類信息，并此后以員工隱瞞真實(shí)情況為由，解除勞動(dòng)合同，法院不予支持。那么，現(xiàn)在需要對(duì)其他常用收集項(xiàng)，如民族、籍貫、戶口所在地等的合理性進(jìn)行進(jìn)一步審查。同理，員工個(gè)人信息的其他流轉(zhuǎn)環(huán)節(jié)均需一一進(jìn)行風(fēng)險(xiǎn)評(píng)估和合規(guī)處理。

再次，員工個(gè)人信息保護(hù)的合規(guī)管理應(yīng)當(dāng)成體系，并落實(shí)至企業(yè)管理的全部環(huán)節(jié);不能僅體現(xiàn)在員工手冊(cè)等規(guī)章制度中，還需要體現(xiàn)在人事管理的各個(gè)環(huán)節(jié)的實(shí)際操作中，如具體至如何向第三方即保險(xiǎn)公司、人才服務(wù)中介提供員工個(gè)人信息;信息的保護(hù)與合規(guī)不能僅依賴書面規(guī)則，還需要依賴技術(shù)手段，需要與公司的技術(shù)管理密切結(jié)合。因此，員工個(gè)人信息保護(hù)需要法律、人事、技術(shù)各專業(yè)人士與業(yè)務(wù)部門配合開展，涉及企業(yè)多個(gè)部門的協(xié)調(diào)，需要高級(jí)別管理層統(tǒng)籌開展。

我們相信，隨著個(gè)人信息保護(hù)監(jiān)管規(guī)則的不斷豐富與完善，個(gè)人信息保護(hù)在行業(yè)領(lǐng)域的不斷擴(kuò)展，個(gè)人信息保護(hù)與勞動(dòng)法的交叉監(jiān)管也必然會(huì)加強(qiáng)，企業(yè)應(yīng)未雨綢繆，積極應(yīng)對(duì)，以避免出現(xiàn)類似此次H&M的慘痛教訓(xùn)。

清律律師事務(wù)所律師周穎

?鏈接：

清律律師事務(wù)所，肇始于“清法律師團(tuán)”，由一批畢業(yè)于清華大學(xué)的優(yōu)秀律師創(chuàng)建，已成為一家特色鮮明、業(yè)務(wù)領(lǐng)域廣泛、成員背景多元的新銳律師事務(wù)所。目前在北京、上海兩地設(shè)有辦公室。

一直以來(lái)，清律均以高度審慎的標(biāo)準(zhǔn)來(lái)歡迎和接納新成員。律所成員背景全面，覆蓋常年顧問、投融資并購(gòu)、民商事訴訟等主要法律服務(wù)領(lǐng)域，深諳各實(shí)體行業(yè)的商業(yè)規(guī)則，有豐富的為各行業(yè)提供定制化法律服務(wù)的經(jīng)驗(yàn)，具備為公私客戶提供全案的風(fēng)險(xiǎn)管控措施和糾紛解決的專業(yè)能力。

若干年來(lái)，清律秉持卓越的敬業(yè)精神和專業(yè)水準(zhǔn)，為客戶提供定制、高效、務(wù)實(shí)、盡責(zé)的法律專業(yè)服務(wù)，贏得了客戶的信任和依賴，使得客戶能夠平穩(wěn)、健康地實(shí)現(xiàn)商業(yè)目標(biāo)并取得矚目的成績(jī)。