2022年10月12日，英国信息专员办公室（ICO）发布了《雇员监控指南（草案）》，该指南重点讨论了工作场所中的监控和数据保护问题。时隔近一年，ICO于2023年10月4日发布了《雇佣实践和数据保护：监控员工-1.0.2》（实质内容来源于《雇员监控指南（草案）》，以下简称为“员工监控规则”或“该规则”），以帮助企业遵守英国《通用数据保护条例》（UK GDPR）和《2018年数据保护法》（DPA 2018）。

随着员工监控活动的日益普及，我国因员工监控事宜导致诉讼争议也引发广泛讨论，在此背景下我们探讨企业对员工监控行为进行数据保护影响评估（DPIA）（我国称为“个人信息保护影响评估”，也即“PIA”）变得至关重要。ICO认为DPIA是一种重要的问责工具，能够帮助识别和减少可能存在的任何监控活动的风险。这篇文章重点介绍了ICO发布的员工监控规则主要内容，强调了企业在开始员工监控之前进行DPIA的必要性，并且介绍了ICO《工作场所监控影响评估》的主要内容，以期探讨ICO对员工监控场景的规范行为，从而总结出企业在进行监控计划时需要考虑的一些因素，以及在进行监控时应遵守的一些原则和规定，以供国内企业参考。

一、员工监控规则的主要内容

1. 向员工告知相关监控活动的性质、范围、程度和原因；
2. 对监控活动的目的进行明确限定，并采取为实现该目的所必要的最小化的方式；
3. 对处理员工数据建立明确的合法依据，例如同意、法律义务或合法利益（legitimate interests）等；
4. 以易懂的方式向员工告知监控活动的具体信息；
5. 仅保留和处理为了相关目的所必要的信息；
6. 采取合理步骤确保所收集的个人信息不是错误的或误导的；
7. 对于可能对员工权益造成高风险的监控活动开展数据保护影响评估（DPIA）；
8. 如员工提出数据主体知情权要求，应向员工提供在监控活动中收集到的个人信息。

（一）同意（Consent）

员工本人同意企业出于特定目的处理他们的个人数据。由于企业和员工之间权力不平衡，因此在员工同意上，要求企业必须：

1. 给予员工在不造成损害的情况下撤回同意的选择权；
2. 确保像员工第一次提供时一样简单；
3. 记录下是何时、如何获得员工同意，以及员工到底同意了什么。

同时，ICO确定了“同意”的基本原则为：仅当情况意味着员工对监控有真正的选择和控制权时，同意才是适当的。

（二）合同（Contract）

如果对于企业与员工签订的合同（如雇佣合同），或者由于员工要求企业在签订合同之前采取特定步骤，而使得有必要进行监控。此处ICO强调了企业履行合同目的之必要性，提出如果仅出于内部业务改进的目的，则其合法性基础不成立。

（四）重大利益（Vital interests）

（五）公共任务（Public task）

（六）法定利益（Legitimate interests）

总之，ICO认为，在决定拟议的监控是否适当时，必须考虑具体情况，平衡企业的合法利益和监控的必要性与员工的利益、权利和自由。这与其他法律基础不同，其他法律基础假定您的利益和员工的利益是平衡的。

二、数据保护影响评估（DPIA）的重要性

在进行DPIA后，如果企业决定继续进行提议的监控活动，企业必须在开始监控之前向员工提供相关信息。

三、《工作场所监控影响评估》主要内容

在这一部分，对干预措施的备选方案进行了评估。四个备选方案包括：

经过评估，第三个备选方案被确定为首选方案。

四、总结和建议

此外，在员工监控活动实施之后，企业还需注意对监控行为持续进行管理和监测，以确保数据安全以及保障员工的合法权益。

参考资料

[1]《中华人民共和国个人信息保护法》第五十五条　有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：

　　（一）处理敏感个人信息；

　　（二）利用个人信息进行自动化决策；

　　（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；

　　（四）向境外提供个人信息；

　　（五）其他对个人权益有重大影响的个人信息处理活动。

（本文作者：北京观韬中茂（上海）律师事务所  朱敏婕）