列支敦士登DSS发布《相关判例——更新第5期》：聚焦员工越权使用数据的责任归属与企业免责边界

本期重点讨论员工越权使用个人信息时，数据处理者责任归属的判断标准。DSS援引的相关判决显示：一名员工为个人私谊而分享数据、并因此违反企业内部规则的行为，应被认定为该员工自身构成数据处理者，从而须承担损害赔偿责任并应受处罚；该判决已被奥地利联邦行政法院（BVwG）第W258 2242162-1/24E号裁定（2025年9月15日）确认生效。

DSS认为，这些案例清晰地展示了对员工过错行为的强度与性质所提出的要求，并据此判断何时可以免除数据处理者的责任。在未取消广告邮件发送的情形中，数据处理者仍处于责任范围内；而当员工为筹建自己的公司或为完成个人私谊而使用个人信息时，数据处理者可以免除其责任，因为此时的致损过程完全超出其职责范围，且该员工因越权行事而自身成为数据处理者。

DSS同时强调，无论如何，数据处理者（企业）都须确保采取适当的技术与组织措施，例如对员工进行培训与信息告知，以确保符合GDPR要求（《通用数据保护条例》第24条第1款）。

该期更新还涉及其他判决，包括某有限责任公司与邻里间视频录像／家庭例外（GDPR第2条第2款c项）适用界限的判例：视频录像只有在个人数据完全为个人或家庭目的处理、且限于自身私人领域时才受家庭例外保护。某邻居在共用地下车库安装摄像头并秘密拍摄照片的行为不属家庭例外。

【价值判断】这条解决的是一个企业内部治理的高频争议：员工闯的祸，公司要不要担责。DSS给出的分界标准是「致损过程是否完全超出数据处理者职责范围」——员工忘了取消群发邮件，公司担责；员工拿客户数据去开自己的公司或帮朋友，员工自己变成数据处理者。对出海欧洲的企业，实务含义很具体：内部数据权限设计必须能把「职务行为」与「个人用途」区分开，否则一旦发生内部人数据滥用事件，公司很难主张免责。同时DSS反复强调GDPR第24条第1款——培训与告知是法定义务而非最佳实践，这一点在执法中常被作为减轻或加重处罚的考量因素。