263 millioner kroner i GDPR-bøde: Grov overvågning af H&M-medarbejdere i Tyskland

Det tyske datatilsyn smækker butikskæden Hennes og Mauritz (H&M) med en kæmpe bøde på 35,5 millioner euro, svarende til omkring 263 millioner danske kroner, skriver tilsynet i en pressemeddelelse.

Virksomheden har nemlig foretaget en gennemgribende overvågning af ansatte på H&M’s servicecenter i Nuremberg siden 2014 - måske endda tidligere.

Efter medarbejdere f.eks. havde været på ferie eller taget sygedage, inviterede ledelsen til ‘velkommen-tilbage-samtaler’, der blev optaget, gemt og brugt til at evaluere individuelle arbejdsindsatser. Med oplysningerne skabte ledelsen detaljerede medarbejderprofiler, som de kunne hente inspiration fra i beslutninger og overvejelser om medarbejderens ansættelse.

Nogle af de indsamlede informationer er “uskadelige”, mens andre har omhandlet f.eks. familieproblemer og religiøse overbevisninger.

»Optagelserne blev undertiden lavet med et højt detaljeringsniveau og optaget over længere tidsperioder for at dokumentere udviklingen af ​​disse problemer,« skriver tilsynet i pressemeddelelsen.

Ikke nok med at ledelsen optog de planlagte samtaler, de gemte også lydfiler med den personlige viden om medarbejdere, de havde samlet ved andre personlige samtaler og ‘kontor-snak’. De kunne tilgås af op mod 50 andre ledere i virksomheden. Konklusionen fra Tysklands datatilsyn er klar:

»Kombinationen af ​​at indsamle detaljer om deres privatliv og optage deres aktiviteter førte til et særlig intensivt indgreb i medarbejdernes borgerrettigheder,« skriver tilsynet i pressemeddelelsen.

Datatilsynet blev først opmærksom på overgrebet, da al dataen ved en fejl blev offentliggjort for hele virksomheden i et flere timer. H&M samarbejdede fra begyndelsen og overleverede 60 gigabyte data til tilsynet, som udførte samtlige interview med vidner, der alle bekræftede den dokumenterede praksis.

Virksomhedens ledelse har efterfølgende undskyldt og er efterkommet opfordringen til at kompenserer medarbejderne økonomisk. Derudover har de blandt andet ansat en databeskyttelseskoordinator og indført månedlige statusopdateringer om databeskyttelse for at forhindre lignede lovovertrædelser i fremtiden.