克罗地亚AZOP对最大连锁超市Konzum罚款67.5万库纳：员工受店长指示用手机翻拍监控屏幕，半年后视频流入媒体

事实经过：2020年5月21日，两名老年男子在奥西耶克某Konzum门店收银台发生斗殴。在存放监控显示器和录像机的店长办公室内，一名员工在回放该斗殴画面时用手机翻拍屏幕，该行为系受店长指示（店长本人拥有录像访问权限），且现场有第三人在场。50秒的片段中可听到在场人员的评论声。该录像随后被转发给一名同事、再转发给区域总监，区域总监曾下令删除并禁止进一步传播，但片段最终仍通过WhatsApp和社交媒体扩散，2020年12月3日出现在媒体上。由于时间久远，泄露者已无法追查，据AZOP称该视频至今仍可在网上找到。片段涉及四名数据主体：两名当事人、一名收银员和一名试图拉开双方的工作人员。

本案的关键在于控制措施是否“充分”。Konzum其实拥有相当的制度化安排：包含日志记录与最小访问权限的隐私规约、明确禁止用手机拍摄监控画面的安全计划、针对门店的指引、培训材料和保密协议。但AZOP认为，这些书面政策与培训在没有技术保障和有效控制的情况下并不充分，据此认定违反GDPR第32条第1款(b)项、(d)项、第32条第2款与第32条第4款。

实务教训非常具体：第32条第4款要求控制者采取措施确保在其授权下行事的人员仅依其指示处理数据，而AZOP的推理表明书面政策本身不足以免除该义务。由于拍摄行为正是店长本人要求的，“个别员工擅自行为”的抗辩难以成立。对任何部署视频监控的主体而言，落地动作应包括：限制回放权限、防止或记录导出行为、并定期测试这些措施的有效性。该决定以库纳计价，说明其作出时间早于克罗地亚2023年初采用欧元，也再次印证了监管决定的公布往往显著滞后于事实发生。