Serco Leisure公司强制使用人脸识别和指纹扫描监控员工考勤案

【案件背景】
2024年2月23日，英国信息专员办公室（ICO）针对公共服务提供商Serco Leisure、Serco Jersey及七个社区休闲信托机构发布了一系列执法通知，命令其立即停止在38个休闲设施中使用面部识别技术（FRT）和指纹扫描来监控员工出勤。该调查源于2019年一名员工的投诉：该员工对工作场所强制采集面部和指纹数据表示抗议，但被公司告知「必须使用该系统才能正常打卡上下班」。ICO的调查历时近五年，最终形成了一份里程碑式的执法裁决。

【违法事实】
ICO认定Serco存在以下严重违反英国GDPR的行为：

1. 未能证明处理的必要性和比例性：Serco声称生物识别技术是防止「代打卡」和虚假考勤的唯一技术方案，但ICO指出，存在明显更少侵入性的替代方式——ID卡、钥匙卡（fobs）或无线射频识别卡（RFID）都可以实现考勤管理，无需采集员工的面部或指纹数据。Serco无法证明为什么这些替代方案不足够；
2. 未向员工提供真正意义上的替代选择：虽然Serco声称员工可以选择「opt-out」退出生物识别系统，但事实上这个退出选项直到2021年4月才建立——生物识别系统的使用已经开始了近四年。而且在实际操作中，员工提出异议后仍被告知「必须使用」该系统；
3. 雇佣关系中的权力不平衡导致同意无效：ICO明确指出，在Serco与员工之间的雇主-雇员权力关系下，员工几乎不可能自由地拒绝向雇主提供其面部和指纹数据。接受生物识别采集实质上被呈现为「在这工作就必须这样做」的要求；
4. 缺乏对替代方案和惩罚手段的考量：Serco未能提供证据证明其认真考虑了不依赖生物识别的替代管理方案——例如对少数滥用原有考勤系统的个人采取纪律处分，而不是让全体2000多名员工都「陪绑」超额的隐私侵入；
5. 涉及超过2000名员工，覆盖面极广：在38个休闲设施中，所有员工均被纳入了这一生物识别考勤系统，无论其工作性质或此前有无考勤违规记录。

【处罚决定】
ICO发布执法通知，要求Serco Leisure、Serco Jersey及七个关联社区信托在三个月内：1）停止在所有设施中使用FRT和指纹扫描进行员工出勤监控；2）销毁所有非法留存的生物识别数据（在不与法定义务冲突的前提下）；3）不得在更多设施中引入生物识别考勤技术。
需要特别指出的是，虽然未处以罚款，但英国ICO的执法通知具有法律强制力——不遵守将面临刑事制裁和高额罚款。本案同时具有「通知全行业」的宣示效应。

【典型意义】
ICO局长John Edwards的声明直击要点：员工生物识别数据的风险远大于普通数据——你不能像重置密码一样更换自己的面部或指纹。Serco在引入生物识别技术时没有充分评估风险，将商业利益置于员工隐私之上。
本案为工作场所使用生物识别数据划定了极其严格的红线：在绝大多数日常考勤场景下，使用指纹或人脸识别都是不必要和不成比例的。ICO同时发布了新的《生物识别数据指南》，要求所有考虑使用生物识别技术的组织必须证明其必要性、比例性，并保障员工有真正自由的「不参与」选项。