荷兰的员工监控：雇主可以做什么和不可以做什么

在荷兰，只有在以下情况下，对员工进行监控才是合法的：雇主拥有特定且合法的目的，且该目的优先于员工隐私；没有其他侵入性更小的手段可以实现该目的；并且员工事先已被告知监控的内容和原因。这些规定源自《通用数据保护条例》（AVG，荷兰语名称）、《通用数据保护条例实施细则》（Uitvoeringswet AVG）以及《企业法》（Wet op de ondernemingsraden）。在大多数情况下，《企业法》要求在引入任何监控系统之前必须获得职工委员会的同意。无论雇佣合同如何规定，未经上述步骤而引入的监控都是非法的。

荷兰有哪些关于员工监控的规则？

四部法律同时适用，雇主若只关注第一部法律，就会遇到麻烦。《通用数据保护法》（AVG）规范所有个人数据处理行为，而监控本身就是一种处理行为。《通用数据保护法实施细则》（UAVG）补充了该法规未涵盖的国家层面选择，并赋予了荷兰个人数据保护局（Autoriteit Persoonsgegevens）监管权力。《欧洲人权公约》第八条保护个人隐私，欧洲人权法院也确认，这种保护并不止于办公室：工作场所的信函和通讯也属于保护范围，雇主必须事先告知员工任何监控行为的性质和范围。

荷兰劳动法在此基础上又增加了一层规定。《公民法》第7:611条规定，雇主有义务履行良好雇主的义务，法院会将此标准应用于那些在数据保护法下技术上站得住脚，但在雇佣关系中却显得不成比例的监控行为。最后，刑法也划定了一条界限：录制与你无关的对话，以及在私人或封闭空间内使用隐蔽设备秘密拍摄他人，本身就是刑事犯罪，雇佣合同或隐私政策均无权授权此类行为。

这些共同构成了一条切实可行的规则。监控并非被禁止，但它绝非管理层可以随意宣布的特权。它是一项处理操作，必须在收集第一个字节之前进行设计、论证、记录和协商一致。我们对荷兰隐私法的概述阐述了这些义务如何在组织内部相互衔接。

法律依据：为什么同意几乎从来都不起作用

根据《通用数据保护法》（AVG）第6条，所有监控措施都需要合法依据。在雇佣关系中，实际上只有一种可行的选择：合法利益。同意并非合法依据。意大利个人数据保护局（Autoriteit Persoonsgegevens）和欧洲数据保护监管机构一致认为，员工很少能够自由拒绝，因为权力关系使得拒绝的代价很高。在这种情况下获得的同意并非出于自由，因此无效。如果雇主仅凭签署的同意书就建立监控项目，那该项目就毫无依据。

以履行劳动合同的必要性为由进行记录同样站不住脚。支付工资需要行政管理，但并不需要键盘记录。履行法律义务确实可以为某些形式的记录提供正当理由，例如工时记录或金融机构要求的核查，但这仅限于该义务实际涵盖的范围。

这就引出了合法利益测试，该测试包含三个步骤，必须按顺序完成并记录在案。首先，明确利益的具体内容：并非泛泛的监督，而是防止特定仓库的盗窃、保护特定类别的机密数据，或履行特定的安全职责。其次，证明必要性：监控必须确实能够实现该利益，且不得存在侵入性更小的替代措施。第三，权衡利益与员工隐私之间的关系，考虑措施的侵入性、持续时间、影响范围以及员工的合理预期。

许多监控项目失败的原因在于，它们跳过了第一步。如果雇主无法准确说明监控旨在解决什么问题，那么它也无法通过第二步和第三步，而法院在审查基于该证据的解雇决定时也会得出同样的结论。同样的原则也适用于雇佣关系中其他所有环节的员工隐私规则。

必要性、比例性和技术的局限性

必要性和比例性是两个独立的问题，两者都必须得到解答。必要性考察的是该措施是否合适，以及是否存在更轻的替代方案。比例性考察的是，即使根本不存在更轻的替代方案，该措施的干预是否与所维护的利益合理相关。一项措施可能既是必要的，又可能不成比例，在这种情况下，该措施就是非法的。

实际上，评估取决于少数几个变量。持续监控比定期或抽样检查更为严格。针对特定个人的具体怀疑进行监控，在有限时间内，比对全体员工进行全面监控更容易获得认可。汇总或匿名化的数据，如果能够显示某种模式但无法识别个人身份，几乎总是应该首先尝试的较为宽松的替代方案。而任何侵入员工理应享有隐私权的区域（例如休息区、卫生间或家中）的监控，都将无法通过审查。

还有两项限制需要指出。监控不得以造成间接歧视的方式使用，例如，不得将系统实际应用于仅基于出身、年龄或健康状况划分的特定群体；这既涉及反歧视法，也涉及数据保护法。此外，监控不得处理特殊类别的数据，包括健康数据，除非符合《通用数据保护条例》（AVG）中规定的少数例外情况之一。记录缺勤日期的职业健康系统是合法的；但记录缺勤原因的管理人员则不合法。

透明度：监控开始前必须告知员工的内容

必须提前提供信息，且信息必须足够具体才能发挥作用。《通用数据保护法》（AVG）第13条和第14条要求雇主说明收集哪些数据、收集目的、依据、谁有权访问、数据保存期限以及雇员享有哪些权利。在雇佣关系中，这些信息应写入书面监控协议或行为准则，而不是隐藏在合同的某个条款中，并且在系统变更时应重新说明。

一套切实可行的协议应清晰地回答四个问题：首先，明确哪些行为是被期望的，哪些行为是被禁止的，以便员工清楚衡量自身行为的标准；其次，具体说明已部署哪些系统，例如：互联网流量记录、摄像头位置监控、车辆追踪、门禁系统等；再次，明确谁可以在何种情况下查看数据，以及需要何种授权，因为直线经理不受限制的访问权限是最常见的安全漏洞之一；最后，明确每类数据在自动删除前会保留多长时间。

除了协议之外，在任何调查中，个人数据保护局（Autoriteit Persoonsgegevens）首先会要求提供两份文件。根据《通用数据保护法》（AVG）第30条，处理活动登记册必须列明监控操作。如果监控是系统性的、广泛的，或者涉及大规模处理，则必须在系统上线前进行数据保护影响评估（DPIA）。如果DPIA显示存在无法缓解的高剩余风险，则雇主必须根据第36条事先咨询个人数据保护局；该机构有八周时间作出回应，可延长六周，在此期间系统不得部署。如果已任命数据保护官，则该官必须从一开始就参与评估。

透明度也有其局限性，这种局限性反过来也存在。员工即使在使用公司设备进行通信时，也会保持一定程度的保密性。雇主可以制定私人用途规则，甚至可以完全关闭私人用途功能，但不能随意查看明显属于个人隐私的信息。我们关于工作场所的机密通信是否可以被检查的文章详细阐述了这一界限在实践中是如何划定的。

职工委员会：根据《工人权利条例》第27条的同意

这是雇主最常忽略的步骤，也是后果最严重的步骤。根据《企业法》第27条第1款，雇主需要就以下两类事项获得职工委员会的同意：一是关于处理和保护企业员工个人数据的规定，二是关于旨在或适用于观察或控制员工出勤、行为或绩效的设施的规定。摄像头系统、跟踪系统、监控软件以及互联网和电子邮件协议都属于上述两类或其中一类。

请注意措辞：“适用于”。雇主无需有意监控绩效。即使是出于安全目的而安装的系统，如果能够生成关于个人行为的数据，同样会触发同意权。这项测试是客观的，这也是为什么门禁系统、工单系统和生产力仪表盘经常需要用户提供从未征求过的同意的原因。

如果雇主执意做出决定，职工委员会可以在得知该决定或发现该决定已执行后一个月内，以书面形式提出该决定无效的申请。该决定随即失效，雇主必须撤销。如果职工委员会拒绝同意，但雇主认为拒绝不合理，则不应执意推进，而应向地方法院申请替代同意。只有在拒绝不合理或雇主有充分的商业理由证明其决定正当的情况下，替代同意才会被批准。在系统采购之前尽早让职工委员会参与，通常比事后诉讼要快得多。

摄像头、车辆追踪、软件和社交媒体

出于保护财产、防止盗窃或确保安全等具体目的，允许安装摄像头监控，但前提是必须在入口处和监控区域内清晰标示摄像头位置。摄像头不得安装在员工享有隐私权的区域，例如卫生间、更衣室和休息区。意大利个人数据保护局（Autoriteit Persoonsgegevens）认为，除非记录到特定事件且需要保留，否则录像保存时间不得超过四周。录像的访问权限必须仅限于指定人员，并需做好记录。有关详细规定，包括商店和面向公众场所的规定，请参阅我们关于工作场所和零售业闭路电视监控的文章。

隐藏摄像头属于特殊情况。只有在特殊情况下才允许使用：确凿怀疑存在严重不当行为、没有其他切实可行的替代方案、监控时间和范围有限，并且事先已公开声明，雇主在出现此类怀疑时可能会使用隐蔽摄像头。即便如此，刑法的限制依然存在：在私人或封闭空间内使用隐蔽设备秘密拍摄他人属于违法行为，录制自己未参与的对话也属于违法行为。如果雇主想要采用这种方式，则应事先进行书面评估，而不是事后重新评估。关于技术性侵入的更广泛限制，请参阅我们关于监控系统和刑法的文章。

车辆追踪在用于路线规划、车辆安全或履行法定登记义务，且员工知晓车辆已安装追踪系统的情况下是合法的。在工作时间之外进行追踪需要有充分的理由；如果车辆可能用于私人用途，系统必须允许排除私人行程，通常通过一个开关来抑制位置记录。使用追踪数据评估个人驾驶表现是另一种用途，需要有其自身的依据和理由。

对电子邮件和互联网流量的监控最好以流量数据而非内容为单位进行组织：监控哪些类型的网站、流量大小以及出站数据量。阅读内容应仅限于具体事件，并需获得书面授权，且必须制定既定程序来区分明显属于私人信息。键盘记录、定期截屏和始终开启的摄像头软件在通常情况下都不符合必要性原则，依赖这些措施的雇主通常无法解释他们之前尝试过哪些更宽松的措施。系统性地审查员工的个人社交媒体账户是绝对不允许的；而因出现具体的声誉问题而查看公开帖子则属于另一种情况，且范围要窄得多。这些限制都包含在适用于任何分析和自动化工具使用的数据保护义务的更广泛框架内。

监控在家办公的人员

居家办公并未建立一套独立的法律体系，但它改变了平衡测试的结果，因为工作场所现在变成了家。在通常情况下，持续使用摄像头或网络摄像头监视居家办公人员是不合理的，荷兰法院也已对此作出裁决。那些定期拍摄办公桌照片或要求摄像头持续开启的软件，侵犯了员工及其所有同住人员的隐私，而这种侵犯不能仅仅以了解某人是否在办公桌前为由进行辩解。

切实可行的方法是衡量产出和约定的可用性，而非活动量。如果设备由雇主提供，政策应明确规定是否允许私人使用、哪些内容会被记录，哪些内容不会被记录。监控应仅限于约定的工作时间；如果员工在私人设备上也使用设备，而监控系统却昼夜不停地运行，那么它将无法通过审查。员工在家办公时适用的更广泛的义务，包括提供安全工作环境的义务，已在我们的远程办公文章中阐述。关于如何制定相关规则的实用指南，请参阅我们的监控政策和员工规章概述。

执法、证据以及员工可以做什么

员工享有《通用数据保护条例》(AVG)赋予所有数据主体的权利，并在劳动争议中行使这些权利。员工提出查阅个人数据请求后，雇主有义务在原则上于一个月内提供其持有的个人数据副本，包括日志、可识别员工身份的摄像头图像以及监控报告。员工可以要求更正不准确的数据，可以基于合法利益反对数据处理，并可以向荷兰个人数据保护局(Autoriteit Persoonsgegevens)投诉。荷兰个人数据保护局可以进行调查，责令停止数据处理，并根据《通用数据保护条例》处以罚款。该条例第82条还赋予员工就非法数据处理造成的损害（包括非物质损害）获得赔偿的权利。更全面的法律目录请参阅我们关于劳动者权利的文章以及我们为国际员工提供的员工权利指南。

然而，最严重的后果往往出现在劳动纠纷案件内部，而非监管机构介入之前。如果雇主基于监控收集的材料提出即时解雇或终止雇佣关系的请求，那么监控的合法性就成为诉讼中的关键问题。荷兰民事诉讼程序并非自动排除非法获取的证据，法院也经常采纳此类证据，但法院可以且确实会施加相应的后果：例如减少或拒绝支付诉讼费用、向雇员额外支付赔偿金，或者认定雇主存在严重过错。因此，雇主若无正当理由进行监控，则可能面临败诉的风险，正如我们在关于基于违反GDPR的监控数据而提出的即时解雇的案例中所讨论的那样。

雇主还应预期职工委员会（以及在相关情况下，工会）会在引入员工监控机制之初而非之后提出相关要求。此时调整机制设计的成本仍然较低。我们对员工监控以及雇主一般法律要求的概述解释了此次咨询如何融入更广泛的雇佣框架。

在开始监测之前需要做好哪些准备工作

按照既定顺序开展工作。用一句话具体地定义问题。确定是否有更轻量级的措施可以解决问题，并记录其无效的原因。选择能够解决问题且侵入性最小的系统，并将其配置为收集最少的数据、保留最短的时间，并将访问权限限制在指定角色。如果问题的规模或系统性特征需要，则开展数据保护影响评估 (DPIA)，并让数据保护官参与其中。如果仍然存在较高的剩余风险，则咨询意大利个人数据保护局 (Autoriteit Persoonsgegevens)。

然后，在部署之前（而不是之后）准备好所有文件：一份员工能够阅读的监控协议、一份处理活动登记册、一份与系统供应商签订的处理协议，以及一份提交给职工委员会的书面同意书，内容涵盖数据保护法规和监控设施本身。公布系统，留出时间让员工提问，并在第一阶段结束后，根据您最初设定的目标对其进行评估。如果监控不再符合其引入目的，则应将其关闭，并且该决定也应记录在案。

Law and More 我们为雇主提供关于监控系统的设计和引入、员工委员会同意和替代同意程序以及在解雇案件中使用监控材料方面的咨询服务。我们也为面临无正当理由引入监控的员工和员工委员会提供法律援助。如果您正在考虑采用监控系统，或者您已被告知您的工作行为已被记录，请在采取下一步行动之前与我们联系。 监测实践 团队与我们的隐私律师共同处理这些文件。

常见问题

还在寻找其他内容？我们的荷兰劳动法指南索引按主题列出了我们撰写的所有内容。