某制造企业员工指纹考勤数据被用于加班的自动化审批决定且存储超期未删除案

【案件背景】
2024年9月，某大型制造企业被员工举报其指纹考勤系统收集的生物识别数据被用于超出考勤目的的处理——系统不仅记录上下班时间，还将指纹数据与加班审批系统关联，自动判定员工是否'可批准加班'，且从员工离职后指纹数据未被删除。

【违法事实】
一是指纹数据作为生物识别信息属于敏感个人信息，收集需取得单独同意——企业以考勤为由收集指纹但未单独告知并取得同意；二是超出原始收集目的使用指纹数据——加班审批使用指纹数据并非考勤目的的必要延伸，需要新的同意或法律基础；三是离职后未删除生物识别数据。

【处罚决定】
属地网信办处以100万元罚款，责令停止指纹考勤的超范围使用，对所有离职员工的生物识别数据进行彻底删除。

【典型意义】
一是生物识别数据一旦收集即面临'功能蠕变'风险——从考勤扩展至访问控制、绩效评估等额外用途；二是PIPL第28条对生物识别信息的处理设置了极高的门槛。