employee-dsar-response

员工 DSAR 响应

概述

员工数据主体访问请求（DSAR）是组织收到的最复杂、最耗费资源的 DSAR 之一。与通常涉及一组明确交易数据的客户 DSAR 不同，员工 DSAR 可能涵盖整个雇佣周期，并涉及数十个系统中的数据：人力资源记录、电子邮件（员工发送、接收及有关员工的邮件）、闭路电视录像、门禁记录、电话录音、绩效评估、调查档案、申诉记录、职业健康报告、培训记录、薪资数据、报销申请、监控数据，以及管理人员之间的非正式笔记和通信。请求范围广，再加上需要隐去第三方个人数据并评估法律特权，使员工 DSAR 成为独特的运营和法律挑战。

本技能提供结构化的响应流程、全面的数据源清单，以及针对员工 DSAR 中最常见豁免和隐去情形的决策框架。

第 15 条——访问权

员工有权获得的内容

根据第 15 条第 1 款，员工有权向控制者获取：

信息	详情
处理确认	是否正在处理与员工有关的个人数据
访问数据	正在处理的个人数据副本
目的	处理目的
类别	涉及的个人数据类别
接收方	已经或将要向其披露数据的接收方或接收方类别
保留期限	预计存储期限，或用于确定该期限的标准
权利	更正、删除、限制处理和反对的权利
来源	数据并非从员工处收集时，有关数据来源的信息
自动化决策	是否存在第 22 条所述的自动化决策（包括用户画像），并提供有关其逻辑、重要性及预期后果的有意义信息
转移保障	数据转移至第三国时，根据第 46 条采取的适当保障措施

第 15 条第 3 款——格式

控制者应提供正在处理的个人数据副本。对于请求的任何额外副本，控制者可根据行政成本收取合理费用。如果请求通过电子方式提出，除非另有要求，否则应以常用的电子格式提供信息。

第 15 条第 4 款——第三方权利

“第 3 款所述的获取副本的权利不得对他人的权利和自由造成不利影响。”

此项规定是从 DSAR 披露内容中隐去第三方个人数据的法律依据。

员工 DSAR 数据源清单

全面搜索范围

处理员工 DSAR 时，必须搜索以下数据源：

数据源	系统／位置	数据类型
人力资源信息系统	Workday、SAP SuccessFactors、BambooHR 等	个人详细信息、雇佣历史、合同、薪资、福利、缺勤记录、绩效评级
电子邮件系统	Microsoft 365、Google Workspace	员工发送、接收以及涉及员工的电子邮件
CCTV 系统	本地录制系统	可识别出员工身份的视频片段
门禁系统	门禁卡／近距离感应卡系统	出入记录、尝试进入受限区域的记录
考勤与工时系统	工时记录系统、生物识别读卡器	上下班打卡记录、出勤模式
薪资系统	SAP、ADP、Sage	薪资历史、税务记录、养老金缴款、福利
绩效管理	Workday、Lattice、Culture Amp 等	绩效评估、目标、能力评估、校准数据、360 度反馈
学习管理系统	Cornerstone、SAP LMS 等	培训记录、认证、必修培训完成情况
招聘系统	Greenhouse、Lever、Workable	申请数据、面试记录、评估分数（适用于近期入职员工）
纪律与申诉档案	HR 案件管理系统、纸质档案	调查记录、证人陈述、结果通知函
职业健康记录	OH 服务提供商系统	工作适任性报告、转介往来函件
监控系统	DLP、网页代理、MDM	电子邮件监控警报、互联网使用日志、设备管理数据
费用系统	Concur、Expensify	费用报销申请、收据、审批记录
非正式记录	直属经理的电子邮件、笔记、即时消息	关于员工的笔记、绩效观察、管理讨论
电话系统	通话录音平台	员工作为参与者的录音通话
IT 系统日志	Active Directory、服务台	账户活动、密码重置、服务台工单
文件服务器和 SharePoint	共享驱动器、协作平台	由员工撰写或涉及员工的文档

搜索策略

并非每次处理 DSAR 时都必须穷尽搜索每个数据源。搜索范围应与以下因素相称：

1. 请求范围：如果员工明确指定所寻求的特定数据（例如，“我要求提供 2022-2025 年的所有绩效评估副本”），搜索范围可以相应聚焦
2. 雇佣背景：在职员工的 DSAR 通常涵盖整个雇佣期间；前员工的数据可能已根据保留政策被部分删除
3. 合理性：第 12(5) 条允许拒绝“明显无根据或过度”的请求——要求提供 20 年职业生涯中“所有提及过我的电子邮件”可能属于过度请求，但拒绝请求的门槛很高

回复时限

标准时限 — 第 12(3) 条

• 自收到 DSAR 起 一个日历月
• 期限从收到请求的次日开始计算（如果于 3 月 15 日收到，截止日期为 4 月 15 日）
• 如果截止日期落在周末或公共假日，则顺延至下一个工作日（ICO 指引）

延期 — 第 12(3) 条

• 如果请求复杂，或控制者收到同一人士的多项请求，截止日期可再延长两个月
• 控制者必须在收到请求后一个月内告知员工延期事宜，并说明延迟原因
• 员工 DSAR 通常因数据源数量、编辑处理的复杂性以及法律特权审查而需要延期

员工 DSAR 响应流程

第 1 天：接收与确认

1. 在中央 DSAR 登记册中记录 DSAR，并分配唯一参考编号
2. 验证员工身份（对于在职员工，通常通过雇佣关系确认身份；对于前员工，可能需要额外验证）
3. 发送确认函，确认已收到请求并告知预计回复日期
4. 指派 DSAR 协调员（通常来自隐私/DPO 团队）

第 2–5 天：确定范围

1. 审查请求以确定范围——请求涉及全部数据，还是特定类别的数据？
2. 如果请求不明确，请联系员工澄清范围（除非确实无法在未澄清的情况下处理请求，否则澄清期不会暂停时限——ICO 指引）
3. 将请求与数据源清单对应
4. 确定每个数据源的保管人，并发出收集指示
5. 评估是否可能需要延期；如果需要，应在第一个月内通知员工

第 5–20 天：收集

1. 每位数据保管人搜索其系统并导出相关数据
2. 电子邮件搜索：在直属经理、人力资源业务伙伴和相关利益方的邮箱中搜索员工姓名和电子邮件地址
3. CCTV：确定可能包含该员工影像的时间段和地点
4. 纸质文件：调取实体人事档案及任何存档记录
5. 所有收集的数据都必须记录来源、保管人和提取日期

第 15–25 天：审查与编辑

1. 审查所有收集的数据，查找请求员工的个人数据
2. 识别并编辑第三方个人数据（见下方编辑框架）
3. 识别并扣留受法律特权保护的材料（见下方特权框架）
4. 识别并评估任何其他适用的豁免情形
5. 整理披露材料包

第 25–30 天：质量检查与发送

1. 由 DPO 或高级隐私专员审查披露材料包，确保其完整且编辑得当
2. 准备附函，说明：搜索范围、适用的任何豁免情形，以及员工向监管机构投诉的权利
3. 通过安全渠道（加密电子邮件、安全门户或挂号邮寄）向员工发送披露材料

编辑框架

第三方个人数据 — Art. 15(4)

访问权不得对他人的权利和自由造成不利影响。因此，必须编辑第三方个人数据，但以下情况除外：

• 第三方已同意披露，或
• 在所有情形下，不经同意披露都是合理的

编辑决策矩阵：

数据类型	是否编辑？	理由
关于请求员工的电子邮件中提及的其他员工姓名	通常是，除非请求方已经知道第三方姓名（例如，其直属经理）	平衡第三方隐私与请求方的权利
纪律调查中的证人陈述	编辑证人身份；披露指控内容	证人保密性与了解指控的权利之间的平衡
标明评审人姓名的 360 度反馈	编辑评审人姓名；披露反馈内容	评审人对匿名的合理预期
CC 字段中的电子邮件地址	通常编辑，除非请求方已经知道	隐私预期较低，但应一致处理
员工前雇主提供的推荐信	披露——这是请求方的个人数据	员工有权查看关于自己的推荐信
提及其他员工姓名的绩效校准会议记录	编辑其他员工的姓名和绩效数据	其他员工的绩效数据属于其个人数据

实用的涂黑方法

• 使用永久性涂黑（而非高亮或修订模式涂黑）
• 在整个披露材料中，将姓名一致替换为“Person A”“Person B”
• 涂黑可能识别出第三方的电子邮件地址、电话号码和职位名称
• 不要涂黑提出请求的员工自己的数据或其已经知晓的信息

法律特权豁免

英国 — DPA 2018, Schedule 2, Part 4, Paragraph 19

在披露会涉及披露在法律诉讼中可主张法律专业特权（LPP）或通信保密权的信息的范围内，个人数据可豁免于 Art. 15。

特权类型

特权类型	范围	适用情形
法律意见特权	客户与律师之间为获取或提供法律意见而进行的保密通信	关于员工情况的劳动法意见、HR 就申诉向法律顾问咨询
诉讼特权	为正在进行或可合理预期的诉讼之主要目的而形成的通信	为预期中的劳动仲裁申诉而准备的文件
不损害权利特权	为真诚尝试解决争议而进行的通信	和解谈判往来函件

特权审查流程

1. 所有被标记为可能享有特权的文件都必须由法律顾问审查
2. 法律顾问确定每份文件是否适用特权
3. 享有特权的文件应予以扣留，并列入特权日志
4. 致员工的附函必须说明某些信息依据法律特权豁免被扣留，但不得披露享有特权的内容
5. 如果文件只有部分内容享有特权，则必须披露不享有特权的部分

适用于员工 DSAR 的其他豁免

正在进行的诉讼豁免

如果披露会损害正在进行的法律诉讼、纪律调查或监管调查：

情形	豁免	范围
正在进行的纪律调查	可扣留会损害调查的调查材料	临时性 — 调查结束后必须披露
尚未审理的劳动仲裁申诉	诉讼特权适用于为诉讼之主要目的而准备的文件	法律诉讼期间
监管调查（例如，FCA、HSE）	可扣留会损害监管调查的文件	与监管机构协调

管理规划豁免 — UK DPA 2018, Schedule 2, Part 4, Paragraph 24

为管理预测或管理规划而处理的个人数据，在披露会损害相关规划或预测的范围内，可豁免于 Art. 15。可能涵盖：

• 公布前的裁员人员遴选标准
• 列明受影响员工的组织重组计划
• 接班人规划文件

限制：此豁免范围狭窄且具有临时性 — 仅在披露确实会损害规划活动期间适用。

谈判豁免 — UK DPA 2018, Schedule 2, Part 4, Paragraph 25

由控制者关于与数据主体谈判意向的记录构成的个人数据，在披露会损害相关谈判的范围内，可予以豁免。可能涵盖：

• 雇主的和解报价策略
• 沟通前计划的薪资调整
• 结果通知前对纪律处分的内部讨论

常见陷阱

陷阱	风险	解决方案
未搜索电子邮件中的“关于”数据	披露不完整；可能引发 ICO 投诉	搜索直属经理和 HR 邮箱中与员工姓名相关的内容
过度遮盖经理姓名	过度拒绝披露会损害访问权	如果雇佣关系意味着员工已经知道经理的身份，可以披露经理姓名
错过一个月期限	监管投诉；执法行动	实施自动化期限跟踪；必要时尽早申请延期
披露第三方的特殊类别数据	违反第 9 条 + 引发第三方投诉	审查所有披露内容，检查其中是否包含第三方的特殊类别数据
忽略非正式记录	经理的个人笔记属于个人数据，必须搜索	将经理的非正式笔记纳入搜索范围
将所有 DSAR 都视为常规事项	员工 DSAR 往往意味着存在申诉或即将提出法律索赔	收到处于纠纷中的员工提交的 DSAR 时，提醒法律顾问

Atlas Manufacturing Group 示例

Atlas 收到一名员工提交的 DSAR，此前该员工刚被纳入绩效改进计划（PIP）。DSAR 协调员：

1. 登记请求，并在 24 小时内确认收到
2. 明确请求范围：员工要求“所有持有的关于我的个人数据”
3. 梳理数据来源：HR 系统（SAP SuccessFactors）、电子邮件（Microsoft 365——员工邮箱、直属经理邮箱、HR 业务合作伙伴邮箱）、绩效管理系统（SuccessFactors Performance & Goals）、工时与考勤系统（门禁卡系统）、职业健康记录（存档有两份转介）、CCTV（员工未提出请求，但在技术上属于范围内——已告知员工，搜索 CCTV 需要提供具体日期/地点），以及包含 PIP 文档的纪律档案
4. 由于电子邮件数据量较大，且需要审查法律特权（员工已委托律师，双方正在进行和解谈判），将期限延长两个月
5. 遮盖：绩效校准中提及的其他员工姓名、此前非正式调查中的证人姓名，以及第三方电子邮件地址
6. 基于特权予以扣留：HR 总监与劳动法律师之间关于 PIP 和潜在劳动法庭索赔的三封电子邮件，以及不影响权利的和解往来函件
7. 披露：共 847 页材料，包括 HR 记录、绩效评估、PIP 文档、直属经理关于绩效的电子邮件、培训记录和缺勤记录
8. 随附说明信列明所适用的豁免，告知员工有权向 ICO 投诉，并确认了搜索方法

执法先例

监管机构	案例	罚款/结果	主要问题
ICO（英国）	Mermaids，2023	执行通知	未在法定期限内回应员工 DSAR
CNIL（法国）	SAN-2022-009	EUR 800,000	雇主未能在一个月内向员工提供其绩效评估数据
AEPD（西班牙）	PS/00231/2021	EUR 70,000	雇主以工作量不成比例为由拒绝员工 DSAR，却未进行适当搜索
Autoriteit Persoonsgegevens（荷兰）	2022 年决定	EUR 525,000	雇主提供的 DSAR 回复不完整，遗漏了涉及该员工的电子邮件数据
Garante（意大利）	Provvedimento 2021-0234	纠正令	雇主过度遮盖员工 DSAR 回复，扣留了不受特权保护的管理层通信
Datainspektionen（瑞典）	DI-2022-1456	SEK 200,000	雇主未搜索备份系统，以处理前员工的 DSAR

集成点

• 员工监控 DPIA：监控数据属于 DSAR 范围（参见 employee-monitoring-dpia 技能）。
• 员工健康数据：处理 DSAR 中的健康数据时，必须特别注意访问控制（参见 employee-health-data 技能）。
• HR 系统隐私配置：DSAR 合规取决于 HR 系统提取和导出员工数据的能力（参见 hr-system-privacy-config 技能）。
• 背景调查隐私：在职或离职员工的背景调查数据属于 DSAR 范围（参见 background-check-privacy 技能）。
• 举报人数据：举报人身份数据有特殊访问限制，可能会限制 DSAR 信息披露（参见 whistleblower-data 技能）。