正解: C
一般データ保護規則（GDPR）は、職場における従業員の監視を禁止していません。ただし、雇用主は、個人データを処理する際に従業員の権利と自由が保護されるように、特別な規則に従う必要があります。GDPRは、処理がEU内で行われるか否かに関わらず、EU域内に設置された管理者または処理者の活動に関連する個人データの処理に適用されます。また、GDPRは、EU域内に設置されていない管理者または処理者による、EU域内に居住するデータ主体の個人データの処理にも適用されます。この場合、処理活動は、EU域内のデータ主体への商品またはサービスの提供、またはEU域内で行われる限りにおけるその行動の監視に関連しています。
GDPRでは、個人データの処理は合法、公正、かつ透明性があり、規則に定められた6つの法的根拠のいずれかに基づいて行われなければならないと規定されています。従業員監視の最も関連性の高い法的根拠は、雇用主の正当な利益、従業員との契約の履行、または法的義務の遵守です。また、GDPRでは、個人データの処理は、処理の目的に必要な範囲に限定されなければならないこと、そしてデータ主体には、処理の目的と法的根拠、そしてデータ主体の権利とデータ保護のための安全対策について通知されなければならないことも規定されています。
GDPRは、人種や民族的出身、政治的意見、宗教的信念、哲学的信念、労働組合への加入状況を明らかにする生体認証データ、あるいは自然人を一意に識別する目的で処理される生体認証データなど、特別なカテゴリーの個人データの処理に関して、具体的な義務と制限を課しています。これらのデータの処理は、規則に列挙されている10の例外のいずれかに該当する場合を除き、禁止されています。従業員監視に関する最も重要な例外は、データ主体の明示的な同意、雇用、社会保障、社会保障法の分野における管理者またはデータ主体の義務の履行および特定の権利の行使のために必要な場合、または重大な公共の利益のための必要性です。
GDPRは、適切なデータ保護水準が確保されていない第三国または国際機関への個人データの移転に関する規則と要件も定めています。このようなデータの移転は、管理者または処理者が拘束力のある企業準則、標準契約条項、行動規範、認証メカニズムなどの適切な保護措置を講じており、かつデータ主体が執行可能な権利と効果的な法的救済手段を有している場合にのみ許可されます。
このシナリオに基づくと、24時間365日体制のカメラ監視の主な問題は、ジェントル・ヘッジホッグの事業の文脈において、それを実施するための有効な法的根拠がないことです。この選択肢は、以下の理由から、GDPRの原則と要件に最も合致しています。
個人データの処理は、雇用主の正当な利益、従業員との契約の履行、または法的義務の遵守に依拠していないため、正当な法的根拠に基づいていません。従業員が行う仕事の生産性、品質、および安全性を確保するという雇用主の正当な利益は、従業員の権利と自由とバランスが取れていなければなりません。
24時間365日のカメラ監視は、特に業務に関連しない活動やコミュニケーションを対象とする場合、不均衡かつ侵入的となる可能性があります。従業員との契約履行は、24時間365日のカメラ監視を正当化するものではありません。これは、従業員または雇用主の契約上の義務の履行に必要ではないためです。また、ジェントル・ヘッジホッグの事業において、そのような措置を義務付ける具体的な法律や規制がないため、法的義務の遵守は24時間365日のカメラ監視には適用されません。
監視の目的に必要な範囲に限定されず、カメラやマイクの監視など、従業員の業務の範囲を超えて従業員の私的または個人的な領域に侵入する、過剰で無関係な個人データの収集と処理が含まれます。
The 24/7 camera monitoring is also likely to capture personal data of third parties, such as customers, suppliers or visitors, whose consent is required for the monitoring, and whose rights and freedoms may be affected by the processing.
Is not transparent to the employees, as it does not inform them of the monitoring and its precise scope, and does not give them the opportunity to object or opt out of the monitoring. The monitoring is invisible by default, which means that the employees are not aware of when and how they are being monitored, and what personal data are being collected and processed. The so-called Transparent Mode, which regularly and conspicuously notifies all users about the monitoring and its precise scope, is also insufficient, as it does not provide the employees with a clear and comprehensive information notice, nor with a valid and specific consent form, as required by the GDPR.
Involves the processing of special categories of personal data, such as biometric data or data revealing political opinions or trade union membership, which are not necessary or proportionate for the purposes of the monitoring, and which do not fall under any of the exceptions listed in the regulation. The facial recognition technology used by the monitoring system is a form of biometric data processing, which is prohibited by the GDPR, unless the data subject has given explicit consent, or the processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller or of the data subject in the field of employment and social security and social protection law, or the processing is necessary for reasons of substantial public interest. None of these exceptions apply to the scenario, as the facial recognition technology is not used for any of these purposes, but rather for verifying the identity of the employees each time they log in. The camera and microphone monitoring may also capture personal data revealing political opinions or trade union membership, which are also special categories of personal data, and which are not relevant or proportionate for the purposes of the monitoring.
Involves the transfer of personal data to a third country, such as China, which does not provide an adequate level of data protection, and which may pose additional risks for the rights and freedoms of the employees.
顔認識データを含む監視データは、物理的にはフランスにあるSauron Eyeが運営するMicrosoft Azureクラウドサーバーに安全に保存されます。しかし、Sauron Eyeは従業員監視ソフトウェアを提供する中国のベンダーであり、欧州本社はドイツにあります。つまり、Sauron Eyeは監視データにアクセスしたり、中国の親会社やその他の関連会社に転送したりする可能性があるということです。欧州委員会によると、中国は適切なデータ保護レベルを確保していない第三国です。個人データの中国への転送は、管理者または処理者が拘束的企業準則、標準契約条項、行動規範、認証メカニズムなどの適切な保護措置を提供し、データ主体が執行可能な権利と効果的な法的救済手段を持っている場合にのみ許可されます。しかし、このシナリオではこれらの保護措置や救済手段が実施されていることが示されておらず、したがって中国への個人データの転送はGDPRに違反する可能性があります。
質問に記載されているその他のオプションは、24時間365日のカメラ監視の主な問題ではありません。
GDPRの原則や要件とは直接関係がなく、むしろ加盟国の国内法や規則に関係しており、監視の具体的な状況や状況によって異なる場合があります。GDPRはカメラ監視の運用に正確な期限を定めておらず、処理の性質、範囲、状況、目的、およびデータ主体の権利と自由に対するリスクを考慮した上で、監視の適切な条件と保護手段を決定するのは加盟国の国内法や規則に委ねられています。GDPRはまた、カメラ監視に関して労働組合の承認や国内DPAからのライセンスを要求していませんが、従業員、労働組合、労使協議会、DPA、裁判所などの関係者との協議や関与のための適切な手順やメカニズムを確立するのは加盟国の国内法や規則に委ねられています。
24時間365日のカメラ監視の根本的な問題はそこにあるのではなく、むしろその根本的な問題がもたらす結果や影響、つまり監視の法的根拠が欠如していることにあります。業務時間外や従業員の休暇中にカメラ監視が作動したり、監視に同意が必要な第三者が偶発的に撮影されたりすることは根本的な問題ではなく、むしろ根本的な問題の結果であり、従業員の業務範囲を超えて、彼らの私生活や個人的な領域にまで踏み込んでくる、過剰かつ不均衡な個人データの収集と処理が問題となっています。労働組合の承認や国家DPAからのライセンスは根本的な問題ではなく、むしろ根本的な問題に対する潜在的な解決策や改善策、つまり監視の透明性と説明責任の欠如、つまり従業員に監視の内容とその正確な範囲が通知されず、監視への異議申し立てやオプトアウトの機会も与えられていないことにあります。
参考文献:
GDPR、第5条、第6条、第7条、第8条、第9条、第10条、第12条、第13条、第14条、第15条、第16条、第17条、第18条、第19条、第20条、第21条、第22条、第23条、第44条、第45条、第46条、第47条、第48条、および第49条。
ビデオ機器による個人データの処理に関するEDPBガイドライン3/2019、5、6、7、8、9、10、11、12ページ
13、そして14。
[GDPRにおける管理者と処理者の概念に関するEDPBガイドライン07/2020]
