希腊数据保护局对普华永道PwC希腊违规处理数万名员工个人数据并缺乏法律依据处以罚款案

【案件背景】
2022年，希腊数据保护局在对普华永道（PwC）希腊的调查中发现，该公司在未确定适当法律依据的情况下处理了数万名在职和前员工的个人数据，违反了GDPR关于数据处理必须有合法基础的核心要求。

【违法事实】
PwC希腊将员工数据（包括姓名、身份证号、联系方式、薪酬、绩效评估、培训记录等）的处理建立在'同意'的法律基础上，但作为雇主与雇员之间的权力不对等关系决定了员工的'同意'不可能是自由给予的——希腊DPA认定雇主以'同意'作为处理员工数据的法律基础在大多数情况下是无效的，应当以'履行合同所必需'或'法定义务'作为合法基础。

【处罚决定】
希腊HDPA对PwC处以20万欧元罚款，要求全面审查和修正所有员工数据处理活动的法律基础。

【典型意义】
一是雇主的'权力优势'使员工的同意在大多数HR场景中不构成自由有效的GDPR同意；二是PwC的案例具有极大的象征意义——连全球顶尖的专业服务公司都在员工数据合规上'翻车'，警示所有企业重新审视HR数据处理的合法基础。