達文西個資即時快報

盤點全球最新焦點

 

文章整理：林舒涵律師

審閱：孔德澔律師

 

 

 

▶ 監理動態 ◀

一、France Travail重大個資外洩事件，遭重罰500萬歐元

  1.事實

          法國資訊自由委員會(CNIL)於2026年1月22日就法國就業輔導機構FRANCE TRAVAIL遭駭客攻擊
    之個人資料外洩事件，裁罰500萬歐元。
          法國國家就業機構France Travail（原Pôle emploi）於2024年初發生重大個人資料外洩事件。該
    事件係因駭客透過社交工程手法，冒用與France Travail合作之就業輔導機構CAP EMPLOI顧問帳號，
    進而未經授權存取France Travail之資訊系統。由於該帳號具備廣泛查詢權限，駭客得以存取France
    Travail自2002年以來所蒐集之3600多萬名求職者與曾註冊使用者的個人資料。
          本次個資外洩事件所涉及之資料類別，包括個人之姓名、電子郵件信箱、郵寄地址、電話號碼，以
    及法國之社會保險號碼（numéro de sécurité sociale）。雖未包含銀行帳戶、健康資料或就業歷程細
    節等高度敏感資料，惟因資料涵蓋期間長達二十餘年，影響人數高達數千萬人，資料規模與潛在風險仍
    屬極高。該未授權存取行為亦顯示，France Travail之系統在帳號權限控管、身分驗證機制及異常行為
    偵測等層面，存在重大資安管理缺失，致使駭客得以在相當期間內存取大量個人資料而未即時遭到攔
    阻。

 2.違規行為與裁罰理由：

  (1)未採取適當技術與組織措施確保資料安全(違反GDPR第32條)

• 該機構之安全措施技術與組織皆不足
• CAP EMPLOI 顧問存取資訊系統之身分驗證機制薄弱，易被濫用。
• 系統缺乏有效之日誌記錄與異常行為偵測機制，無法及早發現或阻止未經授權之存取。
• CAP EMPLOI顧問的帳號允許存取非屬其業務範圍之個人資料，擴大可被竊取資料範圍。
• 雖然在風險評估階段已辨識多數適當安全控制措施，但實際上未付諸實施。

 3.裁罰理由

  (1)外洩資料性質高度敏感
     本案涉及資料不僅數量龐大，且包含社保號碼在內的高度敏感身份資訊，增加資料濫用風險。

  (2)受影響人數眾多
      外洩資料規模達3,600多萬筆，顯示其影響範圍廣泛，對資料主體權益造成實質威脅。

  (3)附加限期改善義務
        CNIL並命France Travail 於指定期限內採取必要之矯正措施，以確保其資料處理活動符合GDPR第32條規定。如未於期限內改
     善，將處以每日5,000歐元之遲延罰金（astreinte），直至完成改善為止。

• 資料來源：https://cnil.fr/en/data-breach-5million-fine-france-travail

二、員工「同意」不是萬靈丹！西班牙 AEPD 發布勞動個資保護合規指引

     西班牙個資監管機關（Agencia Española de Protección de Datos, AEPD）於2025年12月發布《La protección de datos en las relaciones laborales》「勞動關係中之個人資料保護指引」。本指引旨在協助雇主、勞工及相關利害關係人於勞動關係中正確適用 GDPR 與西班牙《個人資料保護暨數位權利保障法》（LOPDGDD）。該指引屬非拘束性文件，其核心目的並非僅重述法條內容，而是透過主管機關長期執法與實務經驗，提供具體、可操作之合規方向，以回應勞動關係中因權力結構不對等所衍生之個人資料保護風險，並促進雇主在行使管理權時，兼顧勞工之人格權與隱私權保障。以下將簡述本指引重點：

    1.總則

            該指引明確指出，在勞動關係脈絡下，原則上不宜以「勞工同意」作為個人資料處理之合法基礎，理由在於雇主與勞工之間
     存在結構性權力不對等，使勞工難以在不承受不利後果的情況下自由拒絕。基此，文件強調雇主進行個資處理時，應優先依據
     GDPR第6條第1項第(b)款「履行或準備履行勞動契約之必要性」、第(c)款「遵守法定義務」，或第(f)款「合法利益」作為法律基
     礎，且即便主張合法利益，仍須通過嚴格之必要性與比例性衡量測試，以確保不侵害勞工之基本權利與自由。

           該指引反覆強調「目的限制」與「資料最小化」為勞動個資處理之核心準則。雇主僅得蒐集、使用與保存為履行勞動契約或
    法定義務所「確屬必要」之個人資料，不得基於管理便利、潛在未來用途或抽象風險控管目的，過度蒐集或延伸使用資料。舉例而
    言，雇主原則上不得要求勞工提供與職務無直接關聯之社群帳號資訊，亦不得無差別蒐集完整的投保紀錄、私人聯絡資料或其他可
    能揭露思想、宗教、工會立場等敏感資訊。

    2.人員甄選與招聘

            在招募與甄選階段，履歷資料之處理得以「締約前必要措施」為合法基礎，但雇主僅能蒐集與職務能力及任用條件直接相關
      之資訊，並應謹慎使用演算法篩選履歷，嚴禁任何可能構成歧視之資料蒐集行為。即便求職者之社群媒體帳號為公開狀態，雇主
      亦不得任意檢索或保存相關內容，除非能證明該等資訊與職務高度相關，且已事前明確告知求職者。

   3.勞動關係存續期間

• 動態告知：若公司安裝新監控系統（如攝影機），必須更新告知內容。
• 生物辨識：處理指紋或臉部辨識被視為敏感資料，必須實施嚴格安全措施，如採用加密模板並優先將資料儲存在員工持有的設備中。
• 內部舉報 (Whistleblowing)：法律允許建立內部告密機制，但必須確保匿名性或高度機密性，防止報復或虛假控訴。
• 出勤紀錄：這是雇主的法定義務，不需員工同意，但該紀錄僅能用於工時管理，不能用於監控員工確切位置。
• 薪資紀錄：雇主必須紀錄薪資明細以防歧視，但對外揭露時應使用「平均值」，避免直接識別個別員工的薪水。
• 弱勢保護：針對職場霸凌、騷擾及性別暴力受害者，公司應建立代碼化的保護機制，嚴格限制身份資料的存取權。

   4.勞動行為之監控

• 監控合法性：雇主可依法採取監控措施，但需事先告知員工資料蒐集目的，且不得蒐集過多不必要個資。
• 錄影監視：嚴禁在休息室、更衣室、廁所等涉及隱私的地點安裝監視器。
• 地理定位 (GPS)：若在公務車或手機安裝追蹤器，必須事先告知；若員工可私用該車輛，則必須提供「暫時停用追蹤」的功能以保障私人隱私。
• 病假控制：雇主可安排醫療檢查核實病假，但只能得知員工是否「適任」回歸，無權得知具體的病情診斷細節。
• 該指引強調，雇主管理權並非當然優先於勞工隱私權，任何監控措施皆須能被證明為「不可或缺且侵入性最低」。

   5.健康監控

• 自願原則：健康檢查原則上由員工自願，除非是法定的高風險職業，其個資處理依據仍是合約與法令義務。
• 保密義務：醫護人員必須對醫療細節絕對保密，雇主與外部醫療機構之間的資料交換應直接由醫療人員對接，嚴禁透過雇主轉交病歷。
• 穿戴式裝置：除非有法律明確要求，否則禁止使用智慧手環等設備持續監控員工生理資料，因為這違反比例原則且非「自由同意」。
• 資料來源：https://www.aepd.es/guias/la-proteccion-de-datos-en-las-relaciones-laborales.pdf

▶ 司法動態 ◀

本週無重大司法動態