GDPR下涉欧企业的员工个人数据合规管理.docx

GDPR下涉欧企业的员工个人数据合规管 理摘要
欧盟的《通用数据保护条例》(GDPR)号称是“史上最严个 人数据保护立法”，该条例适用于劳动关系。我国有众多涉 欧企业，在生产经营和用工管理中经常要进行员工数据处理 活动，从而面临着GDPR的合规挑战。在合规管理中，涉欧 企业首先要确保处理员工个人数据具备合法性基础，然后要 履行与员工的知情权、删除权、可携带权等权利相对应的义 务，还应该遵守保障数据处理过程平安性、全面记载处理活 动、事前风险评估等合规要求，在做好员工个人数据的本地 化管理的同时也要确保数据跨境传输时流动的合法性。
数字经济时代移动互联网、大数据、云计算、人工智能等 科技的开展，使数据的产生和处理呈现爆炸式增长，给个 人数据保护带来了巨大的挑战。2018年5月25日《通用 数据保护条例》(General Data Protection Regulation, 以下简称“GDPR” )在欧盟成员国内正式生效实施，该条 例可谓是史上最为严格的个人数据保护规范，违反者可能 面临最高2000万欧元或上年度全球总营业额4%金额的罚 款。据2020年10月的报道，由于H&M公司过去几年中一 直大范围地收集员工请病假、就医以及病情诊断等详细信 根据GDPR序言第（32）条，数据主体应清楚明确地表示 同意，例如通过书面陈述（包括电子形式）或者口头形式。 同意方式包括在浏览网页时在方框里打钩，但沉默、默认 勾选的对话框或者其他不作为都不能构成同意。虽然 GDPR并不要求同意必须以书面形式做出，但是各成员国 的法律或集体协议可能会提高形式要件要求，比方德国 《联邦数据保护法》第26条第2款针对劳动关系明确要 求企业应获得员工的书面同意（包括电子形式）。
（二）缔结、履行或终止劳动合同所必需GDPR第6条第1款（b）项将该原那么表述为，数据处理是 为履行数据主体作为一方的合同所必需，或者数据处理是 在订立一项合同前为依据数据主体的要求采取特定行为 所必需。欧盟数据保护委员会认为，要对“签订或履行合 同所必需”做限缩解释，应该基于合同的目的判断是否存 在客观上的必要性，数据控制者需证明某项数据处理行为 如果没有进行，合同就无法订立或无法履行。就劳动关系 而言，德国《联邦数据保护法》第26条第1款规定得更 明确，即数据处理是为了做出是否建立劳动关系的决定所 必需，是履行或终止劳动关系所必需，或者是行使或履行 基于法律、集体合同或企业协议产生的权利义务所必需。 “缔结、履行或终止劳动合同所必需”可谓是劳动关系中 处理员工数据最重要的合法性基础，但需要强调的是，只 有当处理活动是为了实现具体的缔结、履行或终止劳动合 同的目的所“必需”时才可适用该项，仅是“有用”那么不 够，也就是说对于该合法性基础的理解和适用应该相当谨 慎。比方，在招聘时企业不得对员工进行压力面试、智商 检查、基因分析，因为这些对决定招录与否不是必需的。 又比方，一般情况下不间断地、全面地对工作场所进行公 开的视频监控并非履行劳动合同所必需，使用隐藏的摄像 头进行秘密监控更是被禁止的，除非有明确、具体的线索 指向员工的犯罪行为并且为了查明事实真相不得不进行 秘密监控。
（三）为了履行法定义务根据GDPR第6条第1款（c）项，企业可以为了履行法律 义务而进行员工个人数据处理，比方出于计税、缴纳社会 保险等目的，企业处理员工的家庭住址、婚姻情况、宗教 信仰、健康等信息。但GDPR又对此做出了严格的限制， 即将设定义务的法律限定在欧盟法或适用的成员国法的 范围内，还必须明确数据处理的一般条件、被处理数据的 类型、数据可能被披露的对象和目的、存储期限、处理方 法和程序等内容，以保证数据处理的公平性、准确性。另 外，即使是出于履行法律义务所必需，企业的数据处理活 动也要遵循一般性的要求，比方企业可能基于确保车辆驾 驶员平安的义务，在车辆上安装追踪技术，但员工应当被 允许在特殊情况下暂时关闭位置跟踪功能，企业还必须确 保收集到的数据不用于跟踪和评估员工等其他目的。
（四）基于企业合法利益根据GDPR第6条第1款（f）项，企业可基于优先性的合 法利益进行数据处理。对于此种合法性基础的适用应该特 别谨慎，首先要确定企业就数据处理存在合法利益，然后 看是否有与之相冲突的员工的利益、基本权利或自由，再 对两者进行利益衡量来判断应该优先保护何者，即利益衡 量的结果必须是企业合法利益占优才行进行数据处理。利 益衡量时应遵循老实信用原那么，特别是要符合员工的合理 预期，还需要考虑以下几方面要求：
首先，透明性是员工行使数据主体权利的基本前提。企业 即使基于合法利益的需要进行数据处理，也需保证数据处 理过程的公平和透明，员工应被清楚和充分的告知其个人 数据的处理情况，包括是否存在任何形式的监测。
其次，员工数据的收集、处理均应当基于特定、明确且合 法的目的。比方企业为保护商业秘密对特定区域安装了访 问控制系统，记录有权进入该区域的员工的出入行为，以 便在发生设备工程丧失、数据遭到未经授权的访问或被盗 时获知当时有谁进入过该区域，该处理可能基于企业合法 利益而被认为具有合法性来源，但企业不得使用这些数据 对员工的工作绩效进行评估。
最后，劳动关系中的数据处理应满足限度最小、成比例、 必要性的要求，尽可能以侵入性最小的方式进行，有更为 温和手段能到达数据处理目的的就要先用该手段。
（五）更严格的保护：特殊种类的个人数据根据GDPR第9条的规定，特殊种类的个人数据也被称为 敏感数据，包括显示种族或民族出身、政治观点、宗教或 哲学信仰、工会会员资格的数据，以及基因数据、生物识 别数据、健康相关数据、性生活与性取向的数据。由于敏 感数据更多地涉及数据主体的基本权利和自由，其处理容 易导致对数据主体的歧视和偏见，所以GDPR对其保护更 为严格，即一般情况下禁止对敏感数据的处理活动，只在 例外情形下予以豁免。所以，企业处理员工的敏感数据时 需要注意是否符合豁免的情形和条件。
首先，按照GDPR第9条第2款（a）项，数据主体明确表 示的同意原那么上也可以成立豁免，但正如前文所述，对劳 动关系中员工同意的有效性容易产生争议，员工还可能撤 回同意，所以企业应该慎重选择该路径。其次，更为重要 的豁免情形规定在第9条第2款（b）项，即数据处理为 在劳动法、社会保险法或其他社会保障法律的范畴内履行 义务、行使权利所必需。但是，该数据处理须依据欧盟、 成员国的法律或依据成员国法律制定的集体合同进行，其 所依据的法律或者集体合同还需要规定员工基本权利和 利益的保护措施，比方数据加密或假名化等手段，另外还 需确保员工主张数据更正和删除的权利，由于第9条的目 的是重点保护敏感数据，因此保护措施必须高于一般处理 规那么的水平。最后，根据第9条第2款（e）项，员工明 显已经自行公开了个人数据的构成豁免，比方员工在外部 网络上公布了自己的性取向的，反之，假设员工只是在社交 媒体账户向局部朋友透露此事，不算公开不构成豁免；第 9条第2款（h）项适用于在职业平安健康的框架下采取 健康防护措施、判断员工劳动能力而需要处理员工的健康 数据时；而当前新冠疫情下企业为疫情防控采取的必要措 施，那么可能属于第9条第2款（i）项所指的为抵御严重 的跨境健康威胁而处理员工数据的情形。
相反，对企业高层管理人员的基因进行分析以研究其是否 具有重大疾病或基因缺陷，对员工表情等人脸图像或指纹 识别等生物识别数据进行采集以进行考勤记录，甚至通过 综合分析员工心跳、呼吸、瞳孔转动方向、身体姿态等监 控员工工作状态等，此类行为绝大多数情况下是不被允许 的。
三员工作为数据主体享有的权利及企业相对应的义务GDPR的“鉴于条款局部”特别提到，欧盟公众普遍认为 自然人数据保护、尤其是线上活动相关的数据保护存在很 大隐患，所以新增了限制处理权、可携带权、“被遗忘权” 等权利，目的在于使数据主体对个人数据拥有更强的控制 力和决定权。对员工享有的这些权利，企业负有相应的配 合义务。
（-）与知情权、访问权相对应的提供数据信息的义务员工就自己的个人数据享有知情权、访问权。根据GDPR 第12条的要求，企业应当以清晰、简单透明、易于获取、 易懂的方式，向员工提供第13条、14条所规定的全部信 息内容。无论数据是由员工个人提供，还是由企业通过其 他方式获取，员工均享有知情权。涉及提供信息的方式选 择，关键在于员工是否能真正获得相关信息，如序言（58） 提到通过向公众开放的网站提供必要的信息也是符合要 求的。在需要披露的内容中，对劳动关系尤为重要的是企 业数据处理的目的及选择的法律基础、企业委托的其他处 理者的身份、是否存在跨境传输以及相应平安保障措施 等。GDPR第15条规定的访问权更多强调的是员工有权自 发、主动地向企业要求提供相应信息的权利，原那么上企业 应当免费提供上述信息，但为防止员工恶意自动化申请获 取副本，企业可以在确保合理性的基础上对额外过度索取 的如纸质化副本设置相应收费制度，以防止增加不必要的 本钱。
（二）与删除权（被遗忘权）相对应的删除数据的义务
GDPR第17条第1款规定了六种情形下数据主体的删除 权，对劳动关系而言最重要的是第（a）项，即如果对员 工的个人数据的收集或其他方式的处理不再是必要的，那么 企业有义务毫不延迟地删除数据，包括该数据的全部副 本、链接和复制件。比方，企业在招聘过程中做出了录用 决定之后，就不得再处理没有录用的应聘者的信息，最多 可以保存六个月预防可能的争议，即使要继续保存未录用 的应聘者的信息形成所谓的人才库，也必须获得其同意且 保存期限也不能太长。其次，员工根据第（b）项撤回同 意的，企业同样负有删除义务，但是以不存在其他的数据 处理的法律依据为前提，也就是说如果存在别的合法性基 础那么无需删除。比方在企业内部的反舞弊调查中，由于存 在企业的合法利益，员工即使撤回其同意，也不能要求企 业删除其数据。最后，员工当然也可以按照第（d）项要 求企业删除被非法处理的数据，比方企业在招聘时超越知 情权的范畴提供的员工信息。第17条第2款适用于企业 已经将员工数据公开的情况下，特别是已经在网络上扩散 时，此时员工要求企业删除其个人数据的，企业应该在考 虑现有技术和实施本钱后，采取合理的措施尽可能地将员 工的删除要求通知所有其他的数据控制者。该条款常被认 为赋予了数据主体所谓的“被遗忘权”，但这种理解其实 不太准确，因为数据控制者只负有通知义务，并不用管通 知的接收者有没有真的删除相关数据，所以未必能到达让 相应数据在网络上消失的效果。第17条第3款又排除了 特定情形下前两款的适用，比方企业是因为遵守法定义务 或为了公共卫生领域的公共利益不得删除员工的个人数 据，又或者是在已经或很可能发生劳动争议时，为了法定 请求权确实立、行使和抗辩而不能删除相关数据。
（三）与更正权、限制处理权、可携带权相对应的其他 配合义务根据GDPR第16条，对于错误的、不准确的个人信息，员 工可以要求企业更正，对于某数据处理目的而言不完整的 个人数据，员工也有权要求补充完整。比方涉及社会保险 的数据，假设员工工作年限、交纳时间等有不准确或不完整 情况，员工有权要求更正或补充，企业有义务及时处理。
员工行使限制处理权的各项情形中，GDPR第18条第1款 的（a）项可能经常适用，即员工对个人数据的准确性提 出质疑，而企业在核实期间内的，员工可以限制企业进行 数据处理。企业还需要重点关注第（c）项，即当企业不 再需要数据处理时，存在着数据被合法删除的风险，而该 局部数据为员工行使法定请求权所需要。比方，在已经发 生或者很可能发生劳动争议时，假设员工需要由企业控制的 考勤记录、工资结算等个人数据作为证据，可以限制企业 的删除等处理活动。
GDPR第20条规定了所谓的可携带权，即如果数据控制者 是基于数据主体的同意或者合同履行的必要而采用自动 化方式处理了个人数据的，数据主体可以要求他以结构化 的、普遍使用的机器可读的形式将这些数据提供给其他的 控制者。该条款的主要适用场景在竞争法领域，比方用户 可以不受限制的将其个人数据从一个社交媒体的账号转 移到另一个社交媒体那里去。在劳动关系中，那么可能应用 于员工跳槽时人事数据系统中档案等数据的携带。因其可 能会有商业秘密泄露、不正当竞争等风险，企业需要提前 进行防范，比方可以尽量防止涉密数据的自动化处理，以 防止员工行使可携带权而导致的企业利益损失。
（四）与免受自动化决策的权利相对应的义务 数据主体有权不受制于可能对他造成重大影响的采用自 动化处理手段进行的决策或精准评价，即为评估与自然人 相关的某些个人情况而对个人数据进行的任何形式的自 动化处理和利用，比方企业为了分析或预测员工的工作表 现、经济状况、健康状况、个人偏好、兴趣、可信度、行 为、位置或行踪而进行的数据画像。由于这种处理基于算 法，而算法不透明、算法错误、数据源错误等风险难以排 除，所以GDPR第22条规定，假设某个仅基于自动化处理做 出的决定将对数据主体产生法律后果或类似重大影响，那么 数据主体有权不受该决定的限制。因此，企业在聘用、考 核、监督、解雇员工的过程中，应当尽可能的防止自动化 决策的使用，优先寻找更合适的替代手段，实在需要进行 自动化处理也要尽量保障人的参与，以组织和技术手段纠 正不准确的数据，相关数据属于敏感数据时更是要非常谨 慎。
四其他数据合规的要求在个人数据处理活动大量进行、处理技术飞速开展的背景 下，数据主体往往难以抵御甚至难以发觉侵犯其个人数据的 行为，事后追责困难且往往于事无补，所以GDPR的个人数 据保护模式更为强调事前预防，而不是仅给予事后救济，相 应地设定了一系列数据控制者的数据保护义务。基于问责制 息，还有管理人员在与员工的非正式聊天中挖掘其家庭问 题或宗教信仰等个人数据作为员工考评或任用决定的参 考，德国汉堡数据保护局开出了高达3530万欧元的罚单。
GDPR适用于劳动关系中的个人数据保护，其第88条明确 规定，成员国可以通过法律或通过集体协议制定特定规 那么，以确保在雇佣语境下处理雇员个人数据时保护其权利 和自由，这在如下情形中尤其适用：为了招聘-、履行劳动 合同，履行法律或集体合同规定的义务；对工作的管理、 计划和组织；工作场所的平等与多样性；工作中的健康和 平安；对员工和顾客财产的保护；为了行使和履行与雇佣 相关的权利和义务；为了终止雇佣关系。德国《联邦数据 保护法》第26条正是基于此授权对员工的个人数据保护 做了针对性安排。我国有众多在欧盟境内设立了业务机构 或雇佣了欧盟境内员工的企业，生产经营和用工管理中不 可防止地要进行员工的个人数据处理。虽然目前我国还没 有出现涉欧企业因为违反GDPR而受罚的案例，但是仍然 应该提前了解相关情况、做好相应预防措施，尤其在我国 个人信息保护的意识比拟冷淡的背景下，涉欧企业更容易
“触雷”。那么，应该采取什么措施才能到达GDPR的合 规要求，如何平衡企业的经营管理需求与员工的个人数据 保护？ 了解GDPR对个人数据保护的设计理念与制度框 原那么，尤其是面对监管机关的检查时，数据控制者需能够证 明其数据保护到达了法律的要求，所以我国涉欧企业在这方 面的合规挑战和本钱也不低。
(一)确保数据处理过程平安性的义务根据GDPR第24条的要求，企业应考虑到数据处理的性质、 范围、内容和目的以及处理给员工带来的不同程度的风险， 采取适当的技术性和组织性措施，以确保数据处理行为符合 GDPR的规定，并保持对上述措施的审查和更新。应采取的措 施视具体情况而定，GDPR第32条第1款明确列举的有：个 人数据的匿名化和加密；确保处理系统和服务的保密性、完 整性、可用性以及系统可恢复性；确保在发生物理或技术故 障时个人数据的恢复可用性和可访问性；对相关措施的有效 性定期进行测试、访问和评估。另外，按照“设计和默认的 数据保护” (Data Protection by Design/Default)的理 念，企业应该从设备/制度设计以及默认设置的根子上就贯 彻数据保护措施，比方企业向员工提供可以记录员工的步 数、心跳和睡眠模式等的健身监控设备作为福利的，应在选 择设备时评估制造商和/或服务提供商的隐私政策，以确保 它不会非法处理员工的健康数据。遵守成员国、监管机构、 数据保护委员会等机构制定的行为准那么或者获得上述机构
作出的数据保护认证的，是证明企业履行了平安保障义务的 重要途径。
（二）全面记载处理活动的义务GDPR第30条设定的记录义务要求企业以书面形式（包括 电子形式）全面留存处理活动的记录，建立起日常数据处 理记录制度，真实、准确、及时的记录数据处理过程。这 一义务在某种程度上而言也是对企业的保护，由于条例规 定企业在处理活动中负有举证责任，这意味着企业不仅需 要履行各项具体义务，还需要注意证据的留存，比方企业 需证明自己获得了员工知情、清晰、自愿的同意，审慎选 择了有资质的数据处理者，采取了数据平安的保障措施 等。
该条第5款为员工规模在250人以下的企业组织减轻了负 担，规定其通常不需要承当全面记载义务，但存在以下例 外情形：首先，在数据处理活动可能对员工权利和自由造 成较高风险时不适用豁免规定，比方工作场所的视频监控 被认为是一个高风险的经典例如；其次，处理活动并非偶 然发生时无法得到豁免，比方人事档案被认为属于企业的 常规或永久性标准程序，因此不受员工人数影响；最后， 涉及敏感数据的处理不能被豁免，比方员工的健康信息、 生物特征数据。所以，实际上企业在处理员工数据时获得 豁免的可能性较低，即使是中小企业仍然负有该义务。
（三）泄露通告、影响评估和咨询义务即使采取了平安措施，要完全杜绝数据泄露也很困难，所 以GDPR的思路也强调要通过制度安排防止或减少泄露可 能造成的身份盗用、欺诈、名誉损害等后果。相应地，第 33条规定了企业应该在知道数据泄露72小时内向监管部 门报告，包括数据种类、大概数量、可能导致的后果、降 低负面影响可采取的措施等，在数据泄露可能给员工造成 高风险时企业还有义务根据第34条告知员工相应信息。 因此，如果企业在发现员工数据泄露已经发生，应当一方 面立即向监管机构进行报告，另一方面在可能造成严重后 果时通知员工。
为加强风险的预防，GDPR第35条和36条还新增了数据 保护的事前影响评估和协商制度，该制度适用于数据处理 方式可能给数据主体的权利和自由带来高风险时。特别是 在企业用算法对员工个人数据进行自动化处理并做出具 有重大影响的决策时，或者进行大规模的敏感数据的处理 的情形下，企业有义务在数据处理之前对员工个人数据处 理操作及其目的、其必要性和适当性、可能的风险和预防 措施等进行评估。如果评估结果显示不采取措施将导致高 风险，那么企业应在进行数据处理前咨询监管机构并与之 协商。
（四）任命数据保护官的义务根据GDPR第37条的要求，如果企业要对员工定期进行大 规模系统化监控的，或者大规模处理员工敏感数据的，有 义务任命数据保护官。数据保护官可以是企业自己的员 工，也可以基于服务协议委托他人。企业对数据保护官根 据GDPR开展的活动应予以支持，提供执行任务、访问个 人数据和处理操作的必要资源和专业知识培训I,数据保护 官不应因为执行任务的原因而被解雇或者受到其他处分。
（五）数据跨境传输中的合规要求GDPR第五章对于个人数据从欧盟向第三国或国际组织传 输设定了相当严格的限制，所以我国涉欧企业一方面要尽 量做好员工个人数据的欧盟本地化管理，另一方面在有必 要进行数据跨境传输时确保流动的合法性。对于我国而 言，像新加坡、以色列那样获得欧盟的充分性认定、被列 入数据保护的“白名单”还有待时日。更为现实的路径是， 采取适当的措施确保个人数据在欧盟以外的接收者那里 也是平安的，从而在此基础上被允许数据出境，就此GDPR 第46条列举的措施有：制定有约束力的企业规那么；采用 欧盟委员会通过的标准数据保护条款；采用成员国监管机 构通过并经欧盟委员会批准的标准数据保护条款；遵守协 会等组织编写并经批准的行为准那么；获得经批准的认证加 上做出承诺。由于我国涉欧企业有不少是跨国集团公司， 集团内部的员工数据流动不可防止，所以制定适用于整个 集团的数据保护的企业规那么并获得监管机构批准是一种 较为便利的措施。对于偶尔发生的、非大规模的员工个人 数据处理，我国涉欧企业也可以选择GDPR第49条提供的 路径：一种是，员工在了解相应风险后明确表示同意数据 跨境传输，但对企业而言该路径并不稳妥，因为员工的同 意是否自由做出可能被质疑、员工也可能事后又撤回同 意；另一种是，数据跨境传输为履行劳动合同所必须，尤 其在员工可能短期或者长期在欧盟境外的接收者所在的 第三国工作时，比方办理外国人工作许可所需要的个人数 据。
结束语在GDPR带来的挑战中，人们关注的往往是那些掌握了海量 消费者数据的跨境电商平台、电信运营商等特定行业的企 业，却忽视了各行各业绝大多数的企业在日常的劳动用工当 中也面临着GDPR的合规要求。数字化的时代背景下，用户 和员工都将越来越重视数据平安，数据保护的程度也将成为 企业的核心竞争力。前述H&M公司的数据丑闻，不仅让其收 到了巨额罚单，还面临着员工的索赔和名誉的损害，所以我 国涉欧企业也应当警醒，在处理员工的个人数据时要坚持合 规理念、做好风险管理。涉欧企业首先要确保处理员工个人 数据具备合法性基础，然后要履行与员工的知情权、删除权、 可携带权等权利相对应的义务，还应该遵守保障数据处理过 程平安性、全面记载处理活动、事前风险评估等合规要求， 在做好员工个人数据的本地化管理的同时也要确保数据跨 境传输时流动的合法性。
架，探究其在劳动关系中适用的特殊问题，是涉欧企业在 用工中实现GDPR合规管理所必须关注的问题。
一受到GDPR管辖的涉欧企业根据GDPR第4条的定义，“个人数据”是指一个被识别或 可识别的自然人（数据主体）的任何信息，而所谓自然人可 识别是指通过姓名、身份证号码、位置数据、在线身份识别 码这类标识或通过针对该自然人的一个或多个身体、生理、 遗传、心理、经济、文化或社会身份等要素能够直接或间接 地被识别。“处理”是指针对个人数据或其集合的任何一个 或一系列操作，如收集、记录、组织、建构、存储，修改、 检索、咨询、使用、披露、传播或其他方式利用、排列或组 合、限制、删除或销毁，无论该等操作是否采用自动化方式。
“数据控制者”是能单独或联合决定个人数据的处理目的和 方式的自然人、法人、公共机构、代理机构或其他组织，而 “数据处理者”是指为数据控制者处理个人数据的个人或组 织。劳动关系中的数据主体是员工，而涉欧企业一般是以数 据控制者的身份出现，少数情况也可能是数据处理者。GDPR 极大地扩张了其域外管辖范围，具体到员工的个人数据保 护，我国涉欧企业可能在两种情形下受到GDPR管辖。
（一）欧盟境内存在业务机构的企业 根据GDPR第3条第1款，该条例适用于数据控制者或处 理者在欧盟境内存在业务机构活动的背景下所实施个人 数据处理行为，无论该处理行为是否发生在欧盟境内。要 理解这一复杂的表述，关键注意以下三点。
第一，重要的是在欧盟境内存在业务机构、而非住所，GDPR 在序言（22）条中将业务机构又称为“营业场所”，而营 业指通过稳定的安排有效且真实地开展经营活动，而该安 排的法律形式并非判断其是否可以称为营业场所的决定 性因素。即只要企业在欧盟境内设有机构并营业，无论机 构是否具有分公司或子公司的地位，即使是以办事处、派 遣机构等形式存在，企业也应当受到管辖。
第二，条例的适用与数据主体是否拥有欧盟公民身份、是 否长期居住在欧盟境内无关，与个人数据处理活动是否发 生在欧盟境内也无关，比方我国涉欧企业将中国国籍的员 工外派到欧盟境内的办事处工作，即使对员工的个人数据 处理发生在中国总部，也受到GDPR的管辖。
第三，条例的适用限于“在业务机构活动的背景下”所实 施的个人数据处理行为，包括“该欧盟境内的业务机构自 己进行的个人数据处理活动”和“为该欧盟境内的业务机 构进行的个人数据处理活动”。也就是说，我国涉欧企业 并不会因为在欧盟境内设有业务机构而将企业全部的个 人数据处理活动置于GDPR的管辖之下，比方涉欧企业的 中国总部在中国境内雇佣欧盟公民并对其进行个人数据 处理，但是与欧盟境内的业务机构并无关系，那么GDPR并 不适用。就如何界定“为该欧盟境内的业务机构进行的个 人数据处理活动”，欧盟法院在Google西班牙公司案中 认为应该考虑业务机构与数据处理者之间是否存在“密不 可分的联系”，具体到劳动关系中这种联系需要根据个案 的具体情况来判断。
（二）欧盟境内未设立业务机构的企业对于没有在欧盟境内设立业务机构的数据控制者或处理 者，按照GDPR第3条第2款，假设其涉及向欧盟境内的数 据主体提供商品或服务，抑或涉及对数据主体发生在欧盟 境内的行为进行监控，那么适用本条例。此适用情形与数据 主体的国籍无关，也与个人数据处理行为是否发生在欧盟 境内无关，只取决于数据主体是否位于欧盟境内。不同于 第1款的“业务机构原那么”，德国学者将第2款的适用情 形称为“市场地原那么”或“来源地原那么”，因为它以数据 是否来源于欧盟境内作为管辖权的重要依据，国内也有观 点将其归纳为“属地+属人+保护等综合性的影响主义原 那么”。无论采用何种观点，毋庸置疑的是，诸多并未在欧 盟境内设立业务机构的我国企业也可能因为业务或者人 员涉及欧盟而面临着GDPR的规制，当然这种适用也只限 于对来源于欧盟境内的个人数据的处理活动。
随着经济全球化进程的加快，很多互联网公司由于业务原 因向欧盟境内数据主体提供商品或服务，比方电商平台或 者社交软件收集用户数据以到达精准营销的目的。在企业 用工中此类情形那么更多表现为，设立在欧盟境外的企业雇 佣了欧盟境内的员工，此时企业在欧盟境内没有营业场 所，却出于用工管理等目的需要对远在千里之外的员工进 行监控。GDPR序言（24）条指出，判断某一处理活动能 否被视为对数据主体的行为进行监控，需要确定该自然人 是否在互联网上被跟踪记录，或者是否潜在地后续使用个 人数据处理技术，包括对自然人进行画像、作出自动化决 策，或对该自然人的个人偏好、行为和态度进行分析和预 测。例如，欧盟境外的企'也使用定位系统对欧盟境内的员 工工作地点和时间进行监控，进而自动化地处理数据、分 析预测员工行为并以此作为考评依据，此时企业也受到 GDPR的管辖。需要注意的是，由于这种情形下我国涉欧 企业在欧盟境内没有设立业务机构，所以为方便联络，企 业有义务按照GDPR第27条的要求选定一名在欧盟的代表 处理相关事项。
二处理员工个人数据的合法性基础 我国涉欧企业处理员工的个人数据，首先需要具备合法性基 础，这是履行员工个人数据保护义务的重中之重。GDPR第6 条列举的合法性基础中主要有以下几种与劳动用工相关。此 处需注意，各成员国对于“员工”的理解可能不同，比方德 国《联邦数据保护法》第26条第8款就明确表示该条款不 仅适用于雇员，也适用于学徒、类雇员、求职者等。
（-）基于员工的同意按照GDPR第6条第1款（a）项，数据主体同意为一个或 多个特定目的而处理其个人数据的，数据处理行为合法。 真实有效的“同意”应当满足以下要件：
1 .自由要件自由选择是同意原那么的核心，其前提是数据主体存在选择 的可能，正如GDPR条第7条第4款的规定，在评估同意 是否自由做出时，应着重考虑数据控制者是否将“数据主 体同意其处理履行该合同不必要的个人数据设定为合同 履行（包括服务提供）的前提” o具体到劳动关系中，企 '也不能以订立劳动合同或其他条件来明示或暗示员工，即 只有同意对其数据的处理才会被录用，在劳动关系履行的 过程中企业也不能以解雇、降职等任何形式的压力要求员 工同意数据处理。比方根据德国《联邦数据保护法》第 26条第2款，判断同意是否自由做出需要特别考虑劳动 关系中员工的附属性以及表示同意时的具体情形，在员工 可以获得法律上或经济上的好处时或者在企业与员工的 利益诉求一致时，往往可以认为同意是自由做出的。欧盟 数据保护第29条工作组持类似观点，比方它举例指出， 企业为员工配备工作使用的通信设备并明确告知对该设 备存在一定范围内的监控，但员工拒绝使用该设备也可以 由其他合适方案替代，不会影响工作的正常进行且不会受 到任何形式的压力，那么此时员工使用该设备并接受监控的 同意应当被认为是自由做出的。欧盟数据保护委员会延 续了此立场，认为由于缺乏真正的自由在劳动关系中大多 数的数据处理不能基于员工同意而进行，只在一些特殊情 况下企业可能证明同意的自愿性，比方企业请某办公区域 的员工在以该区域为背景的电影或视频中出镜，但不愿意 被拍摄的员工不会受到任何形式的惩罚，可以在拍摄期间 在其他区域获得相同的办公空间。
2 .具体要件带有不明确目的的、笼统的或预防性的同意是不被允许 的，企业应详细、清晰地呈现处理活动的具体形式，当存 在多种数据处理活动时.，员工需要有实际的可能就每一种 形式表示同意与否。劳动合同的订立不意味着员工对数据 处理的当然同意，员工需要在充分了解可能发生的数据处 理活动的基础上，单独做出相应的具体同意。充分知情是 作出具体同意的前提，企业需保证员工能够以准确、透明、 易于理解的方式获得与处理活动相关的各种信息。同意的 授权应当符合具有显著性、易理解获得、使用清楚平实文 字等形式要求，比方同意条款包含在很长的、涉及其他条 件下的使用的文件中，即使员工没有表示反对也不能被认 为是有效的同意。假设涉及长期的数据处理，企业还应当多 次更新所获得的同意，以确保员工对当前最新的处理活动 有全面、完整的了解。
3 .可撤回要件GDPR第7条第3款规定数据主体有权撤回先前的同意， 同意的撤回立即生效于之后的数据处理，数据主体可以进 一步依据GDPR第17条请求删除个人数据。该规定特别强 调，撤回同意应当与做出同意同样容易，同意与撤回的“简 单性”对应关系不难理解：当同意是员工口头做出时，不 得要求员工以书面形式撤回同意。企业应在员工做出同意 之前，将撤回同意的权利和行使该权利的方法告知员工。 由于员工可能随时撤回同意，所以对企业的合规管理而 言，员工的同意并不是很可靠的合法性基础。
4 .形式要件