约旦最高上诉法院作出了首例依据《2023年第28号个人数据保护法》(PDPL) 的约束性上诉判决，裁定雇主对配送司机进行超出工作时间的持续GPS追踪——延伸至私人住宅——构成对个人数据的非法处理。法院认为，劳动合同中的一揽子同意条款不符合PDPL要求的具体、知情和精细化同意标准，并首次就约旦数据保护法律框架中"合法利益"例外的边界提供了司法指引。该判决是哈希姆王国迄今最重要的隐私权裁决，预计将在PDPL全面实施时限之前影响约旦私营部门的合规方案。
总部位于安曼的Sameh Delivery Services LLC是约旦最大的末端物流供应商之一，拥有230辆摩托车组成的车队。该公司在所有公司车辆上安装了GPS追踪设备，作为车队管理系统的一部分。追踪软件以每天24小时、每周七天的方式持续记录位置数据——包括司机下班后且车辆停放在家中时。以约旦工会总联合会为代表的七名配送司机向约旦临时数据保护机构——数字经济与创业部——提起投诉，指控其违反PDPL。经调查后，该部发出行政命令，要求Sameh公司停止在工作时间之外的持续追踪，并从每位员工处获取新的具体同意。Sameh公司就该行政命令向安曼初审法院提起上诉，初审法院维持了该部的决定。公司随后就法律问题向最高上诉法院提起上诉。
最高上诉法院确定了四个原则性问题：(1) PDPL的同意要求是否可以通过劳动合同中的一般条款满足，还是需要就每项处理目的分别取得具体同意；(2) 第6(1)(f)条下的雇主"合法利益"——其架构与GDPR类似——是否可以在员工监控场景下凌驾于同意要求之上；(3) 持续地理位置数据是否构成第8条下的"敏感个人数据"，从而引发更严格的保护；(4) 在常设个人数据保护局成立之前，数字经济与创业部是否有权依据PDPL发布具有约束力的行政命令。
最高上诉法院一致裁定驳回上诉，判决如下：
(1) PDPL的同意要求不能通过劳动合同中的一揽子条款满足。第5(1)条要求同意必须是"为明确确定的目的而具体、明示和自由作出的"。授权雇主"监控公司资产"的一般合同条款未达到这一门槛。雇主必须就每项不同的处理活动单独取得并记录同意——在此案中，工作时间的GPS追踪与工作时间外的GPS追踪是不同的处理活动，需分别取得同意。
(2) 第6(1)(f)条下的"合法利益"例外不允许以超越数据主体基本权利和自由的方式进行处理。法院采用了一项三步平衡测试：(a) 雇主必须证明所主张的合法利益具有实质性；(b) 处理必须是实现该利益所严格必要的；(c) 该利益不得被数据主体的权利所超越。本案中，车队管理是合法利益，但全天候追踪对于车队管理并非必要——下班后的追踪是不成比例的。
(3) 揭示个人家庭住址、出行模式及宗教活动（通过清真寺参与模式）的持续地理位置数据，属于披露"宗教信仰"的数据，因此构成第8条下的敏感个人数据，需要明示同意和更高的正当性标准。
(4) 数字经济与创业部作为PDPL过渡条款指定的临时监管机构，在常设管理局成立之前拥有发布具有约束力的行政命令和采取纠正措施的完整管辖权。
这是首例解释约旦PDPL的司法判决——该法以GDPR为蓝本，作为约旦《2033年经济现代化愿景》的一部分颁布——并传递出明确信号：约旦司法机关将按照欧洲数据保护规范解释该法。该判决对所有使用员工监控技术的约旦雇主具有直接影响，包括GPS追踪、生物识别考勤以及生产力监控软件。安曼的劳动法律师预测，物流、制造和安保等行业将掀起一波合规审查和同意更新行动。该判决还确认了该部的执法权力，增强了约旦数据保护制度的可信度——约旦正在寻求欧盟充分性认定，以便利与欧洲合作伙伴的跨境数据流动。
"个人数据保护法下的同意，不是可以被埋没在劳动合同细则中的形式。它是一项活的、持续的保障——每当雇主之手伸入员工的私人领域时，都必须得到更新和细化。雇佣关系中的权力不平衡使得这一保障更加必要，而非更不必要。"——首席大法官 Mohammad Al-Tarawneh