罗马尼亚ANSPDCP对食品企业罚5000欧元：以指纹系统处理员工生物识别数据做考勤缺乏法律依据，违反GDPR第9条

【处理结果】

ANSPDCP 已完成对 **TIP TOP FOOD INDUSTRY SRL** 的调查，认定其违反《通用数据保护条例》（RGPD/GDPR）**第5条第1款(c)项**（结合）**第9条**的规定。据此，该公司被处以**违警罚款26,236列伊**（约合 **5,000 欧元**）。

所引法条的结构值得注意：**第5(1)(c)条**是数据最小化原则，**第9条**是特殊类别个人数据（含生物识别数据）的禁止与例外。将其「read together」（相关联）适用，意味着监管机关认定**处理本身缺乏合法性基础，同时也不满足必要性/比例性要求**。

【案件来源与事实】

本次调查源于一名**自然人提交的投诉**（sesizare）。投诉人指称，在其场所内使用了**基于员工指纹处理的考勤与门禁控制系统**（sistem de pontaj și control al accesului bazat pe prelucrarea amprentelor digitale）。

调查过程中查明：该控制者**处理了其自身员工的生物识别数据**，目的为**门禁控制与工时记录**（controlul accesului și evidența timpului de muncă），**在缺乏法律依据的情况下**，对照**第9条**所确立的合法性条件，该处理不成立。

【法条要点】

GDPR **第9条第1款**原则上**禁止**处理「**以唯一识别自然人为目的的**生物识别数据」等特殊类别个人数据；**第9条第2款**列举了封闭式的例外情形，其中与雇佣场景相关的只有第(b)项（就业、社会保障与社会保护法领域的义务）与第(a)项（**明示同意**）——而后者在劳动关系中通常因**意思自由受限**难以成立。

同时，第5(1)(c)条的数据最小化原则要求处理限于「实现目的所必需」，而工时记录**完全可以通过非生物识别手段实现**（如门禁卡、工牌、信息系统打卡），这使指纹考勤在比例性检验中通常无法通过。

【对出海企业的实务含义】

①**这是一条与土耳其KVKK 2026/921号原则决定同期的欧洲实证**：土耳其数据保护委员会于 2026年4月29日作出「**为考勤目的处理生物识别数据**」的原则决定，明确仅以考勤为目的的生物识别处理不符合任何一项处理条件，**即使存在有效的明示同意也不满足比例性**；本批罗马尼亚的罚款则给出了欧洲层面的执法实例。**两国口径一致：指纹/掌纹考勤在欧洲与土耳其均属高风险**；

②**中国企业在中东欧的工厂与仓储是重点风险区**：制造、物流、食品加工等劳动密集型场所常出于「防止代打卡」的动机部署指纹或人脸考勤。在罗马尼亚、波兰、匈牙利、捷克等制造业承接地，此类部署应**立即排查并替换为非生物识别方案**；

③**「员工已签同意书」不构成有效抗辩**：GDPR 前言第43段与 EDPB 第05/2020号指南均指出，雇佣关系中的同意推定**非自由作出**。如有企业以员工同意书作为唯一依据，需重新评估；

④**投诉驱动型执法是罗马尼亚的主要路径**：本案由单名员工投诉触发。在罗马尼亚设有员工的企业应确保内部投诉渠道与数据主体权利请求能够被规范处理，**避免员工直接转向监管机关**；

⑤**罚款金额虽小但风险在于整改要求与声誉**：5,000欧元的罚款水平不高，但监管机关通常同时责令**删除已采集的生物识别数据、改造系统并书面回复**，实际合规成本远高于罚款。