ギリシャ当局、従業員の同意に任意性を認めず雇用主に制裁金


ギリシャ当局、従業員の同意に任意性を認めず雇用主に制裁金

ギリシャのデータ保護監督機関 (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήραthority = Hellenic Data Protection Authority、以下「HDPA」)は、7月30日、PRICEWATERHOUSECOOPERS BUSINESS SOLUTIONS SA (PWC BS)に対して、不適切な適法根拠のもとに従業員の個人データを処理していたことなどを理由として15万ユーロの制裁金を賦課したことを公表した。HDPAの発表によると、事案の概要は次の通り。

PWC BSは、従業員の個人データを処理し、EU一般データ保護規則(GDPR)の適用上、管理者の地位にあった。従業員からHDPAへの苦情申立てによると、従業員はPWC BSから個人データ処理について同意を求められたという。しかし、雇用主と従業員の力関係の不均衡を考慮すると、雇用関係において雇用主が従業員から取得した同意はGDPRが同意の有効要件とする自由に与えられたものであるとは考えられず、従業員に関する個人データを処理する場合の適法根拠を同意に求めることは不適切である。本件の場合、従業員の個人データの処理は、雇用契約の履行、雇用主が服する法的義務の履行、および円滑かつ効率的な会社の運営という雇用主の正当利益と直接に関連している。

本件では、PWC BSは、従業員に対して、従業員からの同意を適法根拠として個人データを処理すると説明していたが、上記の通り、契約履行、法的義務履行、正当利益などを適法根拠として援用すべきであり、GDPR13,14条に基づく情報提供義務を果たしていない。

さらに、PWC BSは適法根拠の選択に関する内部文書をHDPAに提出することができず、GDPR5条の順守証明責任を果たせなかった。

HDPAはPWC BSに対して3か月以内に違法状態を是正することを命令するとともに、15万ユーロの制裁金を賦課することを決定した。

雇用関係においては、当事者間の力関係に不均衡があり、同意の任意性が疑われるので、雇用関係における個人データ処理の適法根拠を同意に求めることが不適切であることは従来からEDPBの同意ガイドラインでも強調されてきた。このような取扱い、説明をしている企業は、一刻も早く、是正することが必要である。

https://www.dpa.gr/pls/portal/docs/PAGE/APDPX/ENGLISH_INDEX/DECISIONS/SUMMARY%20OF%20DECISION%2026_2019%20(EN).PDF

関連記事

  • 2020年 9月 23日
GDPR執行事例リスト