比利时某公司非法使用员工指纹进行考勤时间登记案

【案件背景】
2024年9月6日，比利时数据保护局（Belgian DPA）公布第114/2024号裁决，对一家使用指纹考勤系统的公司处以4.5万欧元罚款。该裁决源于一名前员工的投诉——该员工在2021年3月至2022年2月期间先以临时工后以正式员工身份在该公司工作，公司自2020年起引入了一个基于指纹扫描的时间记录系统，系统由一家日本跨国集团子公司提供。员工投诉称，公司未告知指纹数据的存储方式、保留期限以及是否传输给日本母公司等第三方。比利时DPA的裁决对雇佣场景下生物识别数据的使用条件进行了系统性的法律分析。

【违法事实】
比利时DPA认定该公司存在以下多项违规：

1. 未获得有效同意——雇佣关系中的同意几乎不可能「自由给予」：公司声称其处理指纹数据的法律基础是员工同意。但DPA明确指出，在雇佣关系固有的权力不平衡下，员工不可能在不担心负面后果的情况下拒绝雇主的指纹采集要求。员工入职手册和劳动协议中都强调了记录工作时间是「义务」，这使得该处理活动实质上具有强制性和非自愿性质，同意因不是自由给予而无效；
2. 信息告知不足：关于指纹系统的信息仅在员工入职时通过「欢迎手册」提供，手册中的信息严重不足——未告知存储方式、保留期限、是否传输给第三方（日本母公司处）等关键事项。虽然后续劳动规定中包含了更充分的信息，但对提出投诉的员工来说为时已晚；
3. 违反数据最小化原则——存在更少侵入性的替代方案：DPA指出，考勤管理完全可以通过员工工卡、访问密码或PIN码等明显更少侵入性的方式实现。使用指纹（属于特殊类别数据）不是实现考勤目的的必要手段。DPA同时承认，在某些需要极高安全等级的领域（如食品处理、危险品操作场所），生物识别考勤可能具有必要性，但本案不在此列；
4. 未进行数据保护影响评估（DPIA）：根据GDPR第35条，使用生物识别数据很可能对数据主体的权利和自由造成高风险，DPIA是强制性的。但公司未能提供任何DPIA记录；
5. 目的透明性不足：处理目的在现有文件中未始终明示，公司在本案审理中援引的多个目的（如应对客户的高安全认证要求）是在事件发生后才额外添加的。

【处罚决定】
比利时DPA对该公司处以4.5万欧元行政罚款，并责令其采取纠正措施。

【典型意义】
本案与ICO对Serco Leisure的执法通知在同年发布，共同构成了2024年欧洲监管机构对工作场所生物识别数据使用的「双重打击」。两个案件都确认了同一核心规则：在普通考勤场景中，雇主缺乏对员工使用生物识别技术的合法性基础——无论是「同意」还是「合法利益」都难以成立。比利时DPA的裁决特别援引了EDPB关于同意的指南以及Article 29工作组2014年的意见，强调了「必要不等于仅仅方便」——处理必须比「只是有用」更进一步，必须是实现目的所真正必需的。对于任何在欧盟使用生物识别考勤系统的企业而言，这两个案例提供了明确的合规基准：要么证明特殊的高安全必要性且无替代方案，要么立即转向非生物识别的考勤手段。