法国最高行政法院将亚马逊GDPR罚款降至1500万欧元

AMZ123获悉，近日，法国最高行政法院国务委员会作出裁决，将法国数据保护机构此前对亚马逊法国物流公司（Amazon France Logistique）开出的《通用数据保护条例》（GDPR）罚款金额从3,200万欧元下调至1,500万欧元。

法院在判决中推翻了法国国家信息与自由委员会（CNIL）关于部分仓库员工监控系统违法的认定，但同时维持了对其数据保存做法违反数据最小化原则的裁定。

此次行政处罚源于法国国家信息与自由委员会在2019年11月对亚马逊法国物流公司行政办公地点及两处仓库开展的检查。

经过后续调查，法国国家信息与自由委员会于2023年12月27日认定亚马逊在员工监控、数据保存及信息披露等方面存在多项违反GDPR的行为，并据此处以3,200万欧元罚款。随后，亚马逊向法国国务委员会提起上诉。

在本次裁决中，国务委员会对三项此前被认定为违法的员工监控指标作出不同判断。这些监控系统基于仓库员工在作业过程中使用的手持扫描设备，用于记录部分操作行为。

其中，“快速存放”指标用于监测商品入库时两次扫码间隔是否短于1.25秒，法院认为该指标仅用于识别潜在的操作或存放错误，并不对员工的作业速度设定要求，也未对员工的私人生活或工作条件造成不当影响。该系统仅适用于仓库员工四类直接作业任务中的一种，且为随机触发。

另一项“空闲时间”指标用于记录员工在直接作业任务中扫描设备连续超过10分钟未使用的情况。法院指出，该指标仅在较长时间无操作时才会触发，并不涉及短暂休息或法定休息时间，因此在比例性和必要性方面符合GDPR要求。

第三项“延迟时间”指标仅在员工法定休息时间前后短时间内监测扫描行为，法院认定其适用范围有限，不构成对员工隐私权和工作条件的过度干预。

不过，国务委员会同时维持了法国国家信息与自由委员会关于数据保存期限的违规认定。法院认为，亚马逊将所有质量和生产效率相关指标统一保存31天，违反了GDPR关于数据最小化的原则。

亚马逊未能证明在员工调岗、指导、支持、工作安排及绩效评估等目的下，保存所有相关数据长达31天的必要性。法院指出，该行为反映出在数据处理方面存在“严重疏忽”，构成行政处罚的重要依据。

除员工监控和数据保存问题外，亚马逊并未对法国国家信息与自由委员会认定的其他违规行为提出异议，包括未充分向临时工说明人力资源数据处理规则、对两处仓库的视频监控措施告知不充分，以及视频监控系统访问权限的安全措施不足等。这些未被争议的违规情形亦被纳入整体罚款考量之中。

在罚款合理性方面，国务委员会驳回了亚马逊关于处罚计算不透明的主张。法院指出，根据GDPR第83条及法国行政法规定，数据保护机构在作出处罚决定时无需披露具体的罚款计算公式，只需说明法律依据和事实依据即可。

法院同时认为，鉴于数据保存规模和期限明显超出合理范围，亚马逊不可能对其违法性质毫不知情，符合适用行政罚款的主观过失要件。

在裁决结果上，法院决定维持对该处罚的公开披露要求。相关决定仍将按照原程序在法国国家信息与自由委员会官网及法国官方法律信息平台Légifrance公布，且亚马逊法国物流公司的名称将在公开文件中保留两年后再行匿名处理。

法院同时驳回了亚马逊请求将案件提交至欧盟法院进行初步裁决的申请，认为相关GDPR条款在适用上不存在合理疑义。

此外，法院裁定亚马逊法国物流公司需向法国国家信息与自由委员会支付3,000欧元的诉讼费用，低于亚马逊此前请求的1万欧元。除罚款金额调整及部分监控系统违规认定被撤销外，其余诉讼请求均未获支持。

该裁决被认为对法国乃至欧洲范围内的工作场所监控合规边界具有示范意义。法院在判决中强调，若监控工具具备明确的业务目的、适用范围有限且符合比例原则，可能被视为符合法规要求；但在数据保存期限和范围方面，企业仍需提供充分且具体的必要性说明。尽管最终罚款金额被下调至1,500万欧元，但法院明确指出，数据最小化原则的违反仍将带来实质性的法律和财务后果。

作者✎  Summer/AMZ123
声明：此文章版权归AMZ123所有，未经允许不得转载，如需授权请联系: amz123happy