employee-monitoring-dpia

员工监控 DPIA

概述

根据 GDPR，员工监控是风险最高的处理活动之一，因为它结合了 EDPB WP248rev.01 中的多项风险因素：系统性监控（标准 3）、涉及脆弱数据主体的数据——员工因雇佣关系中固有的权力不平衡而被明确归类为脆弱群体（标准 7），以及通常涉及创新技术（标准 8）。欧洲数据保护委员会关于通过视频设备处理个人数据的《指南 3/2019》以及第 29 条工作组关于工作场所数据处理的《意见 2/2017》均确立，任何员工监控系统在部署前都必须依据 GDPR 第 35(1) 条进行 DPIA。

本技能提供了一套专为员工监控场景量身定制的结构化 DPIA 方法，并纳入了 Barbulescu 诉罗马尼亚案（欧洲人权法院大法庭，申请号 61496/08，2017 年 9 月 5 日）中的比例原则框架，以及 CNIL、ICO 和德国联邦数据保护专员的国家监管机构指南。

员工监控的 DPIA 触发分析

员工监控为何总是需要 DPIA

员工监控至少符合 EDPB WP248rev.01 九项标准中的三项：

标准	对员工监控的适用性
标准 3：系统性监控	所有形式的员工监控都构成对工作场所人员的系统性观察
标准 7：脆弱数据主体	由于雇佣关系中固有的权力不平衡，EDPB 明确将员工列为脆弱数据主体
标准 5：大规模处理	企业监控系统通常会持续处理所有员工的数据
标准 8：创新技术	AI 驱动的生产力工具、击键动态分析、屏幕捕获和行为分析都涉及新型技术
标准 1：评估或评分	用于绩效评估的监控数据构成对个人的评分

符合两项或以上标准，即推定需要进行 DPIA。员工监控通常符合三至五项标准，因此在几乎所有情况下都必须进行 DPIA。

国家监管机构的确认

• CNIL（法国）：第 2018-327 号审议文件明确将“系统性员工监控（生产力、击键、屏幕捕获）”列为需要进行 DPIA 的情形。
• ICO（英国）：《就业实践数据保护守则》第 3 部分“工作场所监控”确认，所有工作场所监控系统都需要进行 DPIA。
• BfDI（德国）：《联邦数据保护法》（BDSG）第 26 条对员工数据处理提出额外要求，进一步强化了 DPIA 义务。
• AEPD（西班牙）：《劳资关系中的数据保护指南》（2021 年）要求所有系统性员工监控都必须进行 DPIA。

监控类别与风险概况

类别 1：视频监控（CCTV）

描述：在工作场所录制员工影像的固定或移动摄像系统。

适用的 EDPB 指南：关于通过视频设备处理个人数据的《3/2019 号指南》第 8 节（就业场景中的处理）。

法律依据分析：

• 《第 6(1)(f) 条》规定的合法利益是工作场所 CCTV 最常见的合法依据
• 在国家法律要求进行安全监控时（例如，金融机构），可依据《第 6(1)(c) 条》规定的法律义务
• 由于就业关系中的权力不平衡，依据《第 6(1)(a) 条》取得的同意无效（WP29《2/2017 号意见》，第 5.1 节）

比例原则要求：

• 不得在休息室、厕所、更衣区或工会会议室安装摄像头
• 录制范围应限于与安全相关的区域：入口、服务器机房、现金处理区、仓库装卸区
• 必须证明持续录制的必要性；运动触发式录制的侵入性较低
• 除非具体安全事件需要延长保存期限以进行调查，否则保存期限不得超过 72 小时——CNIL 建议最长不超过 30 天
• 在大多数司法管辖区，除非有具体法律授权，否则禁止在视频录制时同步录音

Atlas Manufacturing Group 示例： Atlas Manufacturing Group 在其生产设施内安装了 14 台 CCTV 摄像头。DPIA 发现，员工食堂内安装的 3 台摄像头与所述安全目的不成比例。DPIA 建议拆除食堂摄像头，并将所有其余摄像头的保存期限从 30 天缩短至 72 小时；对于有记录的安全事件，则可按例外程序处理。

类别 2：电子邮件和互联网监控

描述：记录、扫描或分析员工电子邮件通信和互联网浏览活动的系统。

法律依据分析：

• 为防止数据泄露、检测安全威胁和执行可接受使用政策，可依据《第 6(1)(f) 条》规定的合法利益
• 必须权衡《欧洲人权公约》第 8 条规定的尊重私人生活和通信的权利

根据 Barbulescu v Romania（大法庭）的比例原则要求： 欧洲人权法院大法庭确立了必须满足的六项标准：

1. 是否事先告知员工其通信可能会受到监控？
2. 监控范围有多大，对员工隐私的侵扰程度如何？
3. 雇主是否有正当理由证明监控的合理性？
4. 是否可以采用侵扰性较低的方法进行监控？
5. 监控会给员工带来哪些后果？
6. 是否为员工提供了充分的保障措施？

风险评估的具体因素：

• 内容监控（阅读实际邮件）的侵扰性显著高于元数据监控（发件人／收件人／时间）
• 关键词扫描的侵扰程度居中
• 即使从公司设备访问，也绝不得监控个人电子邮件账户
• 必须排除特权通信（与法律顾问、工会代表、医疗专业人员之间的通信）

类别 3：GPS 与位置追踪

说明：车辆追踪系统、移动设备位置监控，以及面向外勤员工的地理围栏。

法律依据分析：

• 根据第 6(1)(f) 条，为车队管理、单人作业人员安全和路线优化提供合法利益依据
• 根据第 6(1)(b) 条，在位置追踪对岗位履职至关重要时，依据履行劳动合同（如配送司机、外勤工程师）

比例原则要求：

• 追踪必须限制在工作时间内；除非车辆仅用于公务，否则在工作时间外追踪不符合比例原则
• 实时追踪比定期记录位置的侵入性更强，需要更充分的理由
• 地理围栏警报的侵入性低于持续追踪，只要足以满足需要，就应优先采用
• 如果允许员工将公司车辆用于个人用途，员工必须能够在个人使用时关闭追踪
• 速度监控和驾驶行为分析必须有具体的安全问题作为依据

Atlas Manufacturing Group 示例： Atlas Manufacturing Group 在 23 辆配送车辆上实施了 GPS 追踪。DPIA 发现，尽管司机获准有限度地将车辆用于个人用途，实时追踪仍全天候处于启用状态。DPIA 要求在车辆仪表盘上设置“个人使用”开关，以暂停追踪，并通知车队管理部门车辆已进入个人使用模式。

类别 4：击键记录与屏幕捕获

说明：记录个人击键、定期或按触发条件截取屏幕截图，以及监控应用程序使用情况的软件。

风险分类：极高 — 这是侵入性最强的员工监控形式。

法律依据分析：

• 根据第 6(1)(f) 条确立合法利益依据十分困难，因为侵入的严重程度通常超过任何合法利益
• 各国数据保护监管机构一贯认定，将击键记录用于一般生产力监控不符合比例原则
• CNIL 第 MED-2019-006 号决定：只有在调查特定且有记录的安全事件时，才可使用击键记录，并且必须限制使用时长

比例原则要求：

• 将击键记录作为默认监控工具几乎肯定不符合比例原则，也无法通过 DPIA
• 按固定间隔（例如每 5 分钟）进行屏幕捕获，会记录私人信息和个人密码
• 应用程序级监控（记录打开了哪些应用程序以及使用时长）的侵入性低于屏幕捕获
• 任何部署都必须限制使用时长、针对特定岗位或个人，并有书面记录的安全理由作为依据

监管机构执法案例：

• CNIL（法国）：因雇主在未开展 DPIA、未提供充分透明度的情况下，在员工工作站部署击键记录软件，对其处以 20,000 欧元罚款（SAN-2021-003 号决定）。
• Garante（意大利）：禁止一家公司使用持续屏幕捕获软件，裁定该做法与其所称的生产力监控目的不成比例（第 9834141 号决定，2022 年）。

类别 5：生产力与行为分析

描述：从多个来源（电子邮件、日历、应用使用情况、门禁刷卡记录、协作工具）汇总数据，以生成生产力评分和行为画像的软件平台。

风险分类：极高——结合了评估/评分、系统性监控和创新技术。

法律依据分析：

• 根据第 6(1)(f) 条，合法利益需要进行严格的利益衡量测试
• 如果生产力评分用于就业决策（晋升、解雇、薪酬），则适用第 22 条关于自动化决策的限制
• 当监控数据用于评估工作绩效方面时，即触发第 4(4) 条规定的画像分析

比例性要求：

• 汇总级/团队级分析比个人级评分侵入性更低
• 必须告知员工具体哪些数据来源会影响生产力指标
• 员工必须有权根据第 15 条和第 22(3) 条访问并质疑其生产力画像
• 必须保证在依据监控数据作出任何不利就业决定前进行人工审查

员工监控的数据保护影响评估方法

阶段 1：初步评估（第 1 周）

1. 识别监控系统：记录具体技术、供应商、部署范围和数据流。
2. 对监控类别进行分类：对应上述五种类别中的一种或多种。
3. 确认是否有义务进行数据保护影响评估：统计符合 WP248rev.01 标准的项数（员工监控至少会符合两项）。
4. 组建数据保护影响评估团队：数据处理负责人（通常为人力资源总监）、数据保护官、IT 安全官、法律顾问，以及根据第 35(9) 条指定的员工代表或职工委员会成员。
5. 通知职工委员会：在要求设立职工委员会的司法管辖区（德国、法国、荷兰、奥地利），职工委员会根据国家劳动法对监控系统享有共同决定权。

阶段 2：系统性描述（第 2 周）

针对每个监控系统记录以下内容：

要素	所需详情
数据类别	精确说明收集哪些数据（例如，电子邮件元数据、电子邮件内容、访问过的 URL、击键记录、屏幕截图、GPS 坐标、视频图像）
数据主体	所有员工、特定部门、特定岗位、承包商、访客
数量	受监控员工人数、数据收集频率、每日数据量
保留期限	监控数据的存储时长、删除程序、归档政策
访问权限	谁有权访问原始监控数据，谁有权访问报告/仪表板，基于角色的访问控制
接收方	内部接收方（人力资源、直属经理、IT 安全部门），外部接收方（监控软件供应商、云托管服务提供商）
传输	监控数据是否会传输至欧洲经济区以外地区（使用总部位于美国的 SaaS 监控工具时很常见）
法律依据	具体的第 6(1) 条依据，以及适用时的第 9(2) 条条件

第 3 阶段：必要性与比例性评估（第 3 周）

对每项监控措施应用以下比例性测试：

第 1 步——正当目的：监控服务于什么具体且有据可查的目标？（安全、防止欺诈、遵守法规、生产力管理、健康与安全）

第 2 步——必要性：实现该目标是否有必要进行监控？还是可以通过侵入性更低的方式实现目标？

监控措施	侵入性更低的替代方案
持续视频监控	动作触发录制、访问控制日志
扫描电子邮件内容	元数据分析、仅针对附件的数据丢失防护规则
击键记录	应用使用情况日志、基于产出的绩效衡量
实时 GPS 跟踪	验证路线完成情况、定期签到
持续屏幕捕获	活动窗口日志、支持手动填写的时间跟踪软件
行为分析评分	定期主管审查、客观产出指标

第 3 步——比例性：即使监控是必要的，其与目标是否相称？应用 Barbulescu 六因素测试。

第 4 步——保障措施：采取哪些措施来减轻对员工的影响？（透明度、访问权、保留期限限制、数据最小化、申诉程序）

第 4 阶段：风险评估（第 3 至 4 周）

评估员工监控特有的风险：

风险	可能性	严重程度	固有风险
对正当工作场所沟通和工会活动产生寒蝉效应	可能	显著	高
过度监控造成恶劣的工作环境	可能	显著	高
将监控数据用于带有歧视性的就业决策	可能	最高	高
直属经理未经授权访问监控数据	很可能	有限	中
目的扩张：将监控数据用于超出原始正当理由的用途	很可能	显著	高
将监控数据跨境传输至未获充分性认定的司法管辖区	可能	显著	高
员工无法对监控数据行使 DSAR 权利	可能	显著	高
捕获受法律特权保护的通信（法律、医疗、工会）	可能	最高	很高

第 5 阶段：缓解措施（第 4 至 5 周）

针对每项已识别的风险，记录具体的技术和组织措施：

技术措施：

• 自动将受法律特权保护的通信排除在监控范围之外（将法律顾问、医疗服务提供者和工会的电子邮件地址加入白名单）
• 基于角色的访问控制，仅允许授权的 HR 人员访问监控仪表板
• 自动执行数据保留期限，并在期限届满时不可逆地删除数据
• 数据最小化：先收集元数据，再收集内容；先汇总，再处理个人级别数据
• 对静态和传输中的监控数据进行加密（AES-256 和 TLS 1.3）
• 对所有监控数据访问进行审计日志记录，并确保日志防篡改

组织措施：

• 更新《可接受使用政策》，明确监控范围，并在监控开始前提供给所有员工
• 制定符合 Art. 13/14 要求的隐私声明，专门说明监控事项，并在系统启用前送达
• 建立员工申诉程序，以便员工对监控决定提出异议
• 每年进行比例性审查，确认监控仍有必要
• 对经理进行培训，说明监控数据的允许用途
• 禁止仅以监控数据作为作出不利就业决策的依据

第 6 阶段：DPO 审查与职工委员会协商（第 5–6 周）

1. 按照第 35(2) 条，将已完成的 DPIA 提交给 DPO，以征求独立意见。
2. 记录 DPO 的意见及是否采纳；如未采纳，请记录理由。
3. 在适用共同决定权的情况下，将 DPIA 结果提交给职工委员会。
4. 按照第 35(9) 条开展员工协商——通过与职工委员会沟通也可满足此项要求。
5. 获取高级管理层签字确认，表明其已知悉剩余风险。
6. 如果采取缓解措施后剩余风险仍为高或非常高，则启动第 36 条规定的事先协商程序，并联系监管机构。

持续审查要求

员工监控 DPIA 必须在以下情况下进行审查：

• 部署任何新的监控技术之前
• 扩大监控范围时（新增部门、新的数据类别）
• 升级监控软件或更换供应商时
• 收到任何与监控有关的员工投诉后
• 收到任何与员工监控有关的监管机构指导意见或执法行动后
• 至少每年一次，作为隐私计划日程的一部分

执法先例

监管机构	案件	罚款/结果	相关性
CNIL（法国）	SAN-2021-003	EUR 20,000	未开展 DPIA 或履行透明度义务便部署击键记录
Garante（意大利）	Provvedimento 9834141, 2022	禁止处理	裁定连续屏幕捕获不合比例
AEPD（西班牙）	PS/00120/2021	EUR 60,000	在工作时间以外追踪员工车辆的 GPS
Datainspektionen（瑞典）	DI-2020-11370	SEK 300,000	未取得有效同意或开展 DPIA，便使用面部识别进行员工考勤
Hellenic DPA（希腊）	Decision 26/2019	EUR 150,000	未进行合比例性评估，便对员工进行持续 CCTV 监控
ICO（英国）	ENF/2021/00352	执法通知	要求雇主停止秘密监控员工的个人设备

集成点

• 就业场景下的同意限制：本 DPIA 必须确认，监控并未以同意作为合法依据（参见 employment-consent-limits skill）。
• 工作场所电子邮件隐私：本 DPIA 中有关电子邮件监控的部分将纳入 workplace-email-privacy skill，以便详细遵循 Barbulescu 要求。
• 员工 DSAR 响应：监控数据属于员工 DSAR 的范围（参见 employee-dsar-response skill）。
• 远程办公监控：远程监控会带来额外的合比例性问题，相关内容见 remote-work-monitoring skill。
• 第 36 条事先协商：如果剩余风险仍然较高，则必须向监管机构升级处理。