H&M 在每次员工休假归来后都记录其病情与宗教信仰——被罚 3530 万欧元

至少从 2014 年起，H&M 位于德国纽伦堡的服务中心的主管们，会在员工休完任何形式的假期——无论是年假、病假还是其他原因——返岗后与其进行非正式的"欢迎回来谈话"，并记录下远超谈话本身所需的信息。这些记录包含员工的病症与诊断、家庭矛盾、宗教信仰等与工作表现毫无关系的私人细节，而这些档案在公司内多达 50 名主管都能访问到。

这一做法持续了多年都未被发现，直到 2019 年 10 月，一次配置错误导致整个共享网络硬盘的内容在公司范围内暴露了数个小时。看到同事相关档案的员工向工会委员会发出警报，随后媒体报道跟进，事件由此引起汉堡州数据保护机构的注意。

调查人员查扣并审查了约 60 GB 的记录，涉及数百名员工。2020 年 10 月，汉堡州专员对 H&M 处以 3525.870795 万欧元的罚款——在当时是德国监管机构开出的最大一笔 GDPR 罚款——原因是该公司在没有任何法律依据、也与任何业务目的无关的情况下，系统性地收集并保留了员工的敏感个人数据。