網(wǎng)上投稿
l 摘要
2021年11月1日，《中華人民共和國個人信息保護法》（下稱“《個人信息保護法》”）將正式實施，結(jié)合《個人信息保護法》的立法原則和背景調(diào)查實務(wù)現(xiàn)狀，本文通過梳理背景調(diào)查內(nèi)容、調(diào)查環(huán)節(jié)及調(diào)查方式中存在的法律問題及風險，結(jié)合實務(wù)案例，旨在厘清背景調(diào)查中的相關(guān)法律責任，提出應(yīng)對建議，防范法律風險。
l 關(guān)鍵詞
個人信息保護 背景調(diào)查 法律風險
一、背景調(diào)查的概念
背景調(diào)查是用人單位對入職者進行背景資料和證明材料的核查。其最早起源于國外，在我國常見于大型外資企業(yè)，隨著個人信用價值的日益凸顯，越來越多的企業(yè)將背景調(diào)查用于入職者的錄用參考依據(jù)，比如大型車企、互聯(lián)網(wǎng)、金融等高新企業(yè)。企業(yè)通過設(shè)立專門的背景調(diào)查部門，比如吉利集團；或通過委托專門從事背景調(diào)查的機構(gòu)對入職者的身份信息、學歷信息、職業(yè)資格、金融資信、裁判文書、失信被執(zhí)行人信息、犯罪記錄等情況進行調(diào)查后，形成調(diào)查報告交由企業(yè)的用人部門審查。
企業(yè)內(nèi)部的背調(diào)部門，外部的專業(yè)背調(diào)機構(gòu)都將面臨如下尖銳的問題：
企業(yè)所調(diào)查的信息是否應(yīng)當被認定為隱私？
企業(yè)調(diào)查信息方式是否違法？
企業(yè)使用信息是否存在不當行為？
二、背景調(diào)查的內(nèi)容
（一）什么是“個人信息”？
1、《個人信息保護法》對個人信息的規(guī)定
根據(jù)《個人信息保護法》第四條規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。
根據(jù)《個人信息保護法》第二十八條規(guī)定，敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。
因此，在處理個人信息時，個人信息處理者應(yīng)當嚴格按照《個人信息保護法》的規(guī)定。
根據(jù)《個人信息保護法》第二十九條規(guī)定，處理敏感個人信息應(yīng)當取得個人的單獨同意；法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當取得書面同意的，從其規(guī)定。另外，《個人信息保護法》第三十條規(guī)定，個人信息處理者處理敏感個人信息的，除本法第十七條第一款規(guī)定的事項外，還應(yīng)當向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響；依照本法規(guī)定可以不向個人告知的除外。
2、《勞動合同法》對個人信息的規(guī)定
根據(jù)《勞動合同法》第八條規(guī)定，用人單位可收集的員工個人信息限于“與勞動合同直接相關(guān)的基本情況”，主要包括：姓名、性別、民族、國籍、身份證號碼、住址、個人郵箱、健康狀況、學歷學位、工作經(jīng)歷、緊急聯(lián)系人（或主要家庭成員）等。
3、背景調(diào)查所涉及的個人信息
具體到背景調(diào)查所涉及的個人信息，包括身份信息、學歷信息、資質(zhì)信息及工作經(jīng)歷。對中、高層管理崗位人員或其他核心崗位人員進行調(diào)查時，還會涉及到對其職業(yè)素養(yǎng)的調(diào)查，包括專業(yè)能力、管理能力、溝通技巧、向上管理和向下管理的能力、過往的經(jīng)歷以及其他核心崗位所需的特殊經(jīng)歷等，在這些信息的調(diào)查過程中也可能會涉及到過往企業(yè)的關(guān)鍵信息和核心技術(shù)。
結(jié)合《個人信息保護法》對于信息的界定，企業(yè)在收集員工信息時應(yīng)注意信息的范圍和邊界，處理信息應(yīng)當遵循合法、正當、必要和誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息，同時處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式。收集個人信息，應(yīng)當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。對敏感個人信息處理時應(yīng)更加關(guān)注特定目的性和充分必要性。
（二）背調(diào)調(diào)查主體
背景調(diào)查的主體主要包括企業(yè)背景調(diào)查人員或團隊、第三方背景調(diào)查機構(gòu)等，根據(jù)背景調(diào)查主體的不同，背景調(diào)查的方式主要分為自主調(diào)查和委托調(diào)查。
1、自主調(diào)查
現(xiàn)實中，通常企業(yè)會由人事進行相關(guān)的背景調(diào)查工作，而有的企業(yè)已經(jīng)建立起了自己的背景調(diào)查團隊，在自主調(diào)查時，尤其應(yīng)注意調(diào)查過程中存在各項法律風險，我們將在下文詳細闡述。
2、委托調(diào)查
在自主調(diào)查無法滿足調(diào)查需求的情況下，企業(yè)會選擇委托第三方背景調(diào)查機構(gòu)進行調(diào)查工作。根據(jù)《個人信息保護法》第二十一條規(guī)定，個人信息處理者委托處理個人信息的，應(yīng)當與受托人約定委托處理的目的、期限、處理方式、個人信息的種類、保護措施以及雙方的權(quán)利和義務(wù)等，并對受托人的個人信息處理活動進行監(jiān)督。受托人應(yīng)當按照約定處理個人信息，不得超出約定的處理目的、處理方式等處理個人信息；委托合同不生效、無效、被撤銷或者終止的，受托人應(yīng)當將個人信息返還個人信息處理者或者予以刪除，不得保留。未經(jīng)個人信息處理者同意，受托人不得轉(zhuǎn)委托他人處理個人信息。
作為委托方，即用人企業(yè)，應(yīng)當與受托方即調(diào)查機構(gòu)簽署書面的《委托合同》或符合法律要求的《電子委托合同》，在委托合同中明確約定雙方在個人信息保護的權(quán)利義務(wù)和責任，并要求獨立背景調(diào)查機構(gòu)通過合法途徑調(diào)查候選人員工個人信息，保護好已獲取的員工個人信息。
根據(jù)《個人信息保護法》第二十條規(guī)定，個人信息處理者共同處理個人信息，侵害個人信息權(quán)益造成損害的，應(yīng)當依法承擔連帶責任。因此委托方應(yīng)盡量禁止調(diào)查機構(gòu)轉(zhuǎn)委托，以降低信息處理方過可能引發(fā)的不可控風險。
（三）背調(diào)調(diào)查對象
背景調(diào)查的對象分為：普通員工和公司高管或重要員工。
1、普通員工
2、公司高管或重要員工
公司高管或重要員工，主要是指涉及企業(yè)“錢”（會計、出納）、“權(quán)”（管理、決策權(quán)）、“命”（命脈，技術(shù)人員）的員工，因這些員工的崗位直接影響公司的發(fā)展，故企業(yè)更加注重這些人員的職業(yè)素養(yǎng)，例如：專業(yè)能力、管理能力、溝通技巧、向上管理和向下管理的能力、過往的經(jīng)歷。又因這些員工會接觸到公司的關(guān)鍵信息和核心技術(shù)，因此需要調(diào)查其曾經(jīng)職責范圍、績效表現(xiàn)、團隊合作能力、抗壓能力。
（四）背景調(diào)查的權(quán)限
背景調(diào)查并不等于秘密調(diào)查，《個人信息保護法》第13到17條規(guī)定，個人信息處理者應(yīng)當取得個人同意，為訂立、履行個人作為一方當事人的合同所必需或按勞動制度所必需，該同意應(yīng)當由個人在充分知情的前提下自愿、明確作出；發(fā)生變更，應(yīng)當重新取得個人同意；個人有權(quán)撤回其同意（但不影響撤回前的個人信息處理活動）。
合法授權(quán)的途徑主要包括：1、通過微信、短信等方式，發(fā)送背調(diào)通知并要求被調(diào)查人回復；2、讓被調(diào)查人簽署背調(diào)《授權(quán)書》；3、給予員工充分的選擇權(quán)，在員工自愿的基礎(chǔ)上實施。
背調(diào)流程主要為：先背調(diào)前一至三段經(jīng)歷、目前在職單位待提出離職后再補充背調(diào)（例如：A公司面試完，還沒回到原公司，A公司HR電話背調(diào)原公司，被原公司開除-A公司賠償）。
因此，企業(yè)在進行背景調(diào)查工作時，務(wù)必要取得個人的同意和授權(quán)，在員工不知情的情況下展開調(diào)查工作，是侵犯員工的個人信息權(quán)益的典型違法行為。
（五）背調(diào)調(diào)查方式
根據(jù)背調(diào)方式是否合法將其分為合法方式和非法手段。
1、合法方式
主要是指：來源合法，應(yīng)為正當途徑，不能購買、賄買等方式獲??；過程合法，不得采取侵害公民人身、財產(chǎn)權(quán)利方式搜集信息；結(jié)果合法，獲得形式合法、內(nèi)容合法的調(diào)查報告。
2、非法手段
主要包括：偷拍、偷錄、跟蹤搜集個人行蹤軌跡；向負有保密義務(wù)的第三方收集證據(jù)......
以非法手段獲取員工個人信息的，侵犯員工權(quán)益或造成員工精神、財產(chǎn)損害的或?qū)⒊袚鄳?yīng)民事賠償責任；企業(yè)根據(jù)非法收集信息主張解除勞動關(guān)系的，還需要承擔違法解除勞動合同的賠償金。
三、背景調(diào)查的法律風險及法律責任
（一）背景調(diào)查過程中的法律風險
1、員工入職前的風險：
風險一：因未經(jīng)候選人授權(quán)違法收集個人信息導致的侵犯個人信息所引起的民事責任和刑事責任；
風險二：因背景調(diào)查手段不正當導致的侵犯候選人過往任職企業(yè)商業(yè)秘密的刑事責任；
風險三：背調(diào)內(nèi)容超過法律允許的范圍引起的侵犯個人隱私所引起的民事責任。
2、員工入職后的風險：
風險一：因違法使用員工個人信息引起民事責任和刑事責任；
風險二：因違法使用員工個人信息導致違法解除勞動合同引起的民事賠償責任；
風險三：未及時以員工存在提供虛假信息等欺詐行為為由解除勞動合同，進而違規(guī)解除勞動合同而引起的民事賠償責任。
（二）背景調(diào)查所涉及的法律責任
1、民事責任
（1）過錯推定責任
根據(jù)《個人信息保護法》第六十九條、民法典第一千一百八十二條和第一千一百八十三條之規(guī)定，在背景調(diào)查過程中，如企業(yè)過度收集或違法收集個人信息或因其他違法行為侵害他人人身權(quán)益造成他人損害的，應(yīng)對被侵權(quán)人承擔相關(guān)賠償責任，造成他人精神損害的，還應(yīng)承擔相關(guān)精神損害賠償責任。
（2）公平補償責任
在背景調(diào)查過程中，如企業(yè)方與員工之間均不存在過錯，根據(jù)民法典第一千一百八十六條規(guī)定，受害人和行為人對損害的發(fā)生都沒有過錯的，依照法律的規(guī)定由雙方分擔損失。
2、行政責任
責任主體 |
違法情形 |
處罰方式 |
法條依據(jù) |
個人信息處理者 |
違法處理個人信息，或者處理個人信息未履行本法規(guī)定的個人信息保護義務(wù) |
責令改正、警告 |
《個人信息保護法》第66條第一款 |
個人信息處理者 |
存在上述情形拒不改正 |
沒收違法所得 |
|
應(yīng)用程序 |
違法處理個人信息 |
責令暫停或終止服務(wù)，拒不改正的，并處一百萬元以下罰款 |
|
個人信息處理者、 直接負責的主管人員和其他責任人員 |
違法處理個人信息，或者處理個人信息未履行本法規(guī)定的個人信息保護義務(wù) |
一萬元以上十萬元以下罰款
|
|
個人信息處理者 |
企業(yè)存在上述違法行為，情節(jié)嚴重的 |
停業(yè)整頓、吊銷業(yè)務(wù)許可、吊銷營業(yè)執(zhí)照 |
《個人信息保護法》第66條第二款 |
相關(guān)企業(yè)的董事、監(jiān)事、高級管理人員和個人信息保護負責人 |
主要責任人禁業(yè) |
||
個人信息處理者 |
違反《個人信息保護法》 |
記入信用檔案、公示違法處理個人信息 |
《個人信息保護法》第67條 |
3、刑事責任
（1）背景調(diào)查機構(gòu)的刑事風險
●侵犯公民個人信息罪
背景調(diào)查機構(gòu)如果通過出售、提供或者非法獲取等方式侵犯公民個人信息的則構(gòu)成侵犯公民個人信息罪。
法條依據(jù)：【《刑法》第二百五十三條 違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。
違反國家有關(guān)規(guī)定，將在履行職責或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。
竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰。
單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規(guī)定處罰?！?/span>
●侵犯商業(yè)秘密罪
背景調(diào)查機構(gòu)為獲取被調(diào)查者的職業(yè)經(jīng)歷，可能通過盜竊、賄賂、欺詐、脅迫、電子侵入或者其他不正當手段獲取被調(diào)查者過往就職單位的商業(yè)秘密。可能使用獲取到的商業(yè)秘密或者將商業(yè)秘密披露在調(diào)查報告中。
法條依據(jù)：【《刑法》第二百一十九條 有下列侵犯商業(yè)秘密行為之一，情節(jié)嚴重的，處三年以下有期徒刑，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上十年以下有期徒刑，并處罰金： （一）以盜竊、賄賂、欺詐、脅迫、電子侵入或者其他不正當手段獲取權(quán)利人的商業(yè)秘密的；
（二）披露、使用或者允許他人使用以前項手段獲取的權(quán)利人的商業(yè)秘密的；
（三）違反保密義務(wù)或者違反權(quán)利人有關(guān)保守商業(yè)秘密的要求，披露、使用或者允許他人使用其所掌握的商業(yè)秘密的。
明知前款所列行為，獲取、披露、使用或者允許他人使用該商業(yè)秘密的，以侵犯商業(yè)秘密論。
本條所稱權(quán)利人，是指商業(yè)秘密的所有人和經(jīng)商業(yè)秘密所有人許可的商業(yè)秘密使用人?！?/span>
（2）被調(diào)查者的刑事風險
●偽造、變造、買賣國家機關(guān)公文、證件、印章罪
被調(diào)查者通過偽造職業(yè)資格證書，如會計證、教師資格證、法律執(zhí)業(yè)證書等方式讓自己滿足入職單位對個人資質(zhì)的要求，達到入職的目的。
●偽造公司、企業(yè)、事業(yè)單位、人民團體印章罪
被調(diào)查者通過偽造高等院校印章制作學歷、學位證明等方式讓自己符合入職單位對學歷的要求。
●偽造、變造、買賣身份證件罪
被調(diào)查者通過偽造居民身份證、護照、社會保障卡、駕駛證等方式入職等方式隱瞞自己的個人經(jīng)歷（如前科劣跡）或者職業(yè)經(jīng)歷（規(guī)避競業(yè)禁止）。
法條依據(jù)：【《刑法》第二百八十條 偽造、變造、買賣或者盜竊、搶奪、毀滅國家機關(guān)的公文、證件、印章的，處三年以下有期徒刑、拘役、管制或者剝奪政治權(quán)利，并處罰金；情節(jié)嚴重的，處三年以上十年以下有期徒刑，并處罰金。
偽造公司、企業(yè)、事業(yè)單位、人民團體的印章的，處三年以下有期徒刑、拘役、管制或者剝奪政治權(quán)利，并處罰金。
偽造、變造、買賣居民身份證、護照、社會保障卡、駕駛證等依法可以用于證明身份的證件的，處三年以下有期徒刑、拘役、管制或者剝奪政治權(quán)利，并處罰金；情節(jié)嚴重的，處三年以上七年以下有期徒刑，并處罰金。 】
四、以案說法
（注：以下案例均發(fā)生在《個人信息保護法》實施之前，本文均以《個人信息保護法》生效之后的視角簡要分析。）
（一）員工入職之前
案例一：
李某與中國郵政儲蓄銀行股份有限公司長春市分行用人單位責任糾紛案
——（2017）吉0103民初1222號
案情簡述：李某于2016年10月11日在吉大南區(qū)參加“中國郵政儲蓄銀行2017年校園招聘”。2017年1月4日在萬佳體檢中心參加入職體檢，體檢結(jié)果李某不知道，但是萬佳體檢項目單的背面有寫明“乙肝保密、非經(jīng)本人允許不檢測乙肝項目”的內(nèi)容。李某因被迫于隸屬關(guān)系配合郵儲長春分行的人力資源部工作人員一共做了三次檢查，而郵儲長春分行最終還是作出了取消李某實習與錄用資格的決定。
裁判要旨：根據(jù)《關(guān)于維護乙肝表面抗原攜帶者就業(yè)權(quán)利的意見》（勞社部發(fā)（2007）16號）的規(guī)定，為促進乙肝表面抗原攜帶者實現(xiàn)公平就業(yè)，保護乙肝表面抗原攜帶者的就業(yè)權(quán)利，除國家法律、行政法規(guī)和衛(wèi)生部規(guī)定禁止從事的易使乙肝擴散的工作外，用人單位不得以勞動者攜帶乙肝表面抗原為理由拒絕招用或者辭退乙肝表面抗原攜帶者。法院認為銀行在校園招聘過程中，違反相關(guān)法律規(guī)定，要求原告進行肝功能復檢，構(gòu)成用工歧視，侵犯了原告人格權(quán)，確實給原告造成較大的精神壓力，故原告要求被告賠禮道歉，賠償經(jīng)濟損失及檢查費用的訴訟請求應(yīng)予支持。
根據(jù)《個人信息保護法》第十三條規(guī)定，符合下列情形之一的，個人信息處理者方可處理個人信息：（一）取得個人的同意；（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需。
根據(jù)《個人信息保護法》第二十八條第二款規(guī)定，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。
上述案例中，銀行作為金融機構(gòu)而非特別需要關(guān)注員工醫(yī)療健康的企業(yè)比如食品衛(wèi)生行業(yè)而言，員工的個人健康問題并不具有其崗位招聘的特定目的性和充分必要性，且銀行已在明確知道“乙肝保密、非經(jīng)本人允許不檢測乙肝項目”的規(guī)定后仍要求李某進行了三次檢測，并依據(jù)該檢測結(jié)果對李某做出不予錄用的決定，是屬于違法處理個人信息的行為，《個人信息保護法》實施后，企業(yè)該類似行為或?qū)袚鄳?yīng)的行政責任、民事責任甚至刑事責任。
案例二：
殷某與北京某生物科技有限公司勞動爭議案
——（2017）京03民終11023號
案情簡述：殷某于2015年12月2日入職北京某生物科技有限公司，擔任人力資源總監(jiān)，雙方簽訂的勞動合同期限自2015年12月2日至2018年12月1日。2016年8月19日，北京某生物科技有限公司以殷某在應(yīng)聘過程中提供虛假信息為由與殷某解除勞動關(guān)系。
裁判要旨：因殷某在入職時填寫的《員工入職登記表》與其過往社保繳納經(jīng)歷不符，同時因殷某入職崗位為人力資源總監(jiān)，系高管崗位，其過往工作經(jīng)歷是企業(yè)錄用的重要判斷標準，故法院認定殷某提供虛假工作經(jīng)歷信息的行為構(gòu)成欺詐，駁回了殷曉劍要求企業(yè)支付違法解除勞動關(guān)系賠償金的請求。
根據(jù)上述案例可以看出，該企業(yè)在殷某入職時曾要求其填寫《員工入職登記表》，企業(yè)通過與殷某過往的社保繳費經(jīng)歷進行比對時發(fā)現(xiàn)了其存在提供虛假信息的行為，因殷某入職的崗位系人力資源總監(jiān)，屬于高管崗位，故企業(yè)以此為由向法院提出解除勞動關(guān)系訴請，法院基于企業(yè)訴請的合理性及證據(jù)的真實性、關(guān)聯(lián)性、合法性認定殷某構(gòu)成欺詐。
企業(yè)在招聘時可以要求候選人填寫《基本信息登記表》，但為了防止登記的信息超過合法范圍，可以將不是關(guān)鍵或必要的信息列入非必填項；同時，在調(diào)查授權(quán)時，可要求候選人簽署《背景調(diào)查承諾書》，取得候選人的書面同意和授權(quán)，在涉及中、高層崗位候選人信息背景調(diào)查時也可能會涉及到過往企業(yè)的關(guān)鍵信息和核心技術(shù)，如需調(diào)查候選人其他信息或涉及到候選人過往企業(yè)的內(nèi)部信息時也應(yīng)取得相關(guān)人和企業(yè)的書面同意和授權(quán)。
（二）員工入職之后
案例一：
劉某與北京東某公司一般人格權(quán)糾紛案
——（2018）京0105民初21306號
案情簡述：劉某系北京東某公司員工，在職期間為2015年3月2日至2015年5月5日，2017年3月31日，劉某發(fā)現(xiàn)北京東某公司在中國對外經(jīng)濟貿(mào)易信托有限公司的“檔案托管項目（招標編號0747-1761SITCNxxx）”投標文件中盜用了其名義，謊稱劉某為北京東某公司顧問，私自使用劉某的個人信息（含檔案中級職稱）及從業(yè)經(jīng)驗等相關(guān)信息，以提高北京東某公司的競標實力。同時劉某發(fā)現(xiàn)北京東某公司自2015年5月6日起，多次盜用劉某檔案從業(yè)經(jīng)驗相關(guān)信息，虛構(gòu)“投標書”內(nèi)容，并在多個項目的投標書中私自使用。
裁判要旨：法院根據(jù)《民法通則》第99條認定，自然人享有姓名權(quán)；自然人的個人信息受法律保護；任何組織和個人需要獲取他人個人信息的，應(yīng)當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。北京東某公司未經(jīng)劉某同意將劉某個人信息用于企業(yè)招投標活動，該次投標雖未中標，但其行為侵犯了原告的合法權(quán)益，應(yīng)當承擔相應(yīng)法律責任。
上述案例中，企業(yè)為了其商業(yè)目的考慮，在未經(jīng)劉某的同意和授權(quán)的情況下盜用了劉某的名義，謊稱劉某為其公司顧問，私自使用劉某的個人信息（含檔案中級職稱）及從業(yè)經(jīng)驗等相關(guān)信息，以提高公司的競標實力。根據(jù)《民法通則》，法院認定其侵犯了劉某的合法權(quán)益，應(yīng)承擔相應(yīng)法律責任。
根據(jù)《個人信息保護法》第四十七條規(guī)定，有下列情形之一的，個人信息處理者應(yīng)當主動刪除個人信息；個人信息處理者未刪除的，個人有權(quán)請求刪除：（一）處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；（二）個人信息處理者停止提供產(chǎn)品或者服務(wù)，或者保存期限已屆滿；（三）個人撤回同意；（四）個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息；（五）法律、行政法規(guī)規(guī)定的其他情形。且根據(jù)第十九條之規(guī)定，除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當為實現(xiàn)處理目的所必要的最短時間。
在《個人信息保護法》實施后，上述行為亦將會受到《個人信息保護法》的約束，企業(yè)在未經(jīng)員工同意和授權(quán)的情況下不得處理員工的個人信息，并應(yīng)妥善保管，不得非法使用，同時員工已離職的不得再繼續(xù)使用并應(yīng)及時銷毀相關(guān)信息。
案例二：
林某與A公司勞動合同糾紛案
——（2012）滬一中民三（民）終字第1230號
案情簡述：2011年6月28日，A公司錄用了林某，雙方簽訂了期限至2014年6月27日的勞動合同，約定試用期至2011年8月27日。合同同時約定，林某被查實應(yīng)聘時向A公司提供個人資料是虛假的或者隱瞞了重大事實的，A公司可以解除合同，并不作任何補償。A公司向林某發(fā)出轉(zhuǎn)崗通知，以林某入職以來未完成工作要求為由，通知林某轉(zhuǎn)崗。林某于2011年12月1日至新崗位就職。2011年12月6日，A公司以林某不服從轉(zhuǎn)崗安排為由，通知林某解除勞動合同。
裁判要旨：經(jīng)仲裁委及法院查明，A企業(yè)發(fā)現(xiàn)林某在填寫《入職登記表》和《履歷表》時存在提供虛假信息的欺詐行為，但A企業(yè)并未及時與其解除勞動合同，而是將其進行了轉(zhuǎn)崗，導致法院認定A企業(yè)的轉(zhuǎn)崗行為視為對林某欺詐行為持容忍態(tài)度，最終法院不支持A企業(yè)提出的員工存在不誠信行為有權(quán)解除勞動合同的訴請，認定A公司需向林某支付違法解除勞動合同期間的勞動報酬。
在本案中，企業(yè)在背景調(diào)查時并不存在違法處理員工信息的行為，相反其背景調(diào)查工作非常之規(guī)范，但因其在發(fā)現(xiàn)林某存在提供虛假信息時并未及時解除與林某的勞動關(guān)系，而是采取了轉(zhuǎn)崗的方式繼續(xù)留用，最終以林某不服從轉(zhuǎn)崗安排為由通知林某解除勞動合同，導致法院認定企業(yè)的轉(zhuǎn)崗行為視為對林某欺詐行為持容忍態(tài)度，最終法院不支持企業(yè)提出的員工存在不誠信行為有權(quán)解除勞動合同的訴請，認定企業(yè)需向林某支付違法解除勞動合同期間的勞動報酬。
在實務(wù)中，企業(yè)一旦發(fā)現(xiàn)員工存在提供虛假信息的行為時，應(yīng)當及時提出解除勞動合同，否則將會被認定為一種容忍態(tài)度從而喪失了最佳時機，導致承擔違法解除勞動合同的賠償責任。
下表為背景調(diào)查工作中常規(guī)使用的主要文件：
類別 |
具體文件 |
授權(quán)文件 |
背景調(diào)查授權(quán)承諾書 |
基本信息調(diào)查表 |
|
涉及過往企業(yè)關(guān)鍵信息和核心技術(shù)的應(yīng)取得的該企業(yè)的書面同意和授權(quán)文件 |
|
入職文件 |
入職登記表 |
勞動合同 |
|
社保繳費證明 |
|
學歷證明 |
|
制度文件 |
員工手冊 |
背景調(diào)查制度 |
|
信息保護制度 |
五、法律法規(guī)整合
背景調(diào)查不僅與《個人信息保護法》息息相關(guān)，同時，也涉及民法典、《個人信息保護法》《勞動合同法》《刑法》《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》等相關(guān)法律法規(guī)。（詳見下圖）
六、對企業(yè)的建議
（一）員工入職前企業(yè)風險防范實務(wù)建議：
1、調(diào)查授權(quán)：應(yīng)事先取得員工的同意和授權(quán)，如需調(diào)查員工其他信息也應(yīng)事先取得員工的同意 ；
2、調(diào)查內(nèi)容：應(yīng)該是與工作內(nèi)容相關(guān)的信息，不得超出法律規(guī)定；
3、調(diào)查方式：采取合法的方式進行，不得采用偷拍、偷錄、跟蹤等違法方式等進行 ；
4、妥善保管：企業(yè)應(yīng)當妥善保護員工信息，防止員工信息泄露，對不需要的信息應(yīng)及時銷毀 。
（二）員工入職后企業(yè)風險防范實務(wù)建議：
1、妥善保管：對于收集的員工個人信息應(yīng)妥善保管，不得非法使用，員工已離職的不得再繼續(xù)使用并應(yīng)及時銷毀相關(guān)信息；
2、及時行權(quán)：發(fā)現(xiàn)員工存在提供虛假信息等欺詐行為時應(yīng)及時解除勞動關(guān)系；
3、證據(jù)完整：與員工解除勞動關(guān)系時應(yīng)做到證據(jù)收集的完整性。
（三）企業(yè)自身機制完善建議：
1、專人負責制
專人負責制屬于個人信息保護領(lǐng)域的一個創(chuàng)新，根據(jù)《個人信息保護法》第五十二條之規(guī)定，處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者應(yīng)當指定個人信息保護負責人，負責對個人信息處理活動以及采取的保護措施等進行監(jiān)督，同時個人信息處理者應(yīng)當公開個人信息保護負責人的聯(lián)系方式，并將個人信息保護負責人的姓名、聯(lián)系方式等報送履行個人信息保護職責的部門。
2、建立管理制度和流程
根據(jù)《個人信息保護法》第五十一條之規(guī)定，個人信息處理者應(yīng)當根據(jù)個人信息的處理目的、處理方式、個人信息的種類以及對個人權(quán)益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權(quán)的訪問以及個人信息泄露、篡改、丟失：
（一）制定內(nèi)部管理制度和操作規(guī)程；
（二）對個人信息實行分類管理；
（三）采取相應(yīng)的加密、去標識化等安全技術(shù)措施；
（四）合理確定個人信息處理的操作權(quán)限，并定期對從業(yè)人員進行安全教育和培訓；
（五）制定并組織實施個人信息安全事件應(yīng)急預案；
（六）法律、行政法規(guī)規(guī)定的其他措施。
3、重要互聯(lián)網(wǎng)平臺的特殊義務(wù)
對于提供重要互聯(lián)網(wǎng)平臺服務(wù)、用戶數(shù)量巨大、業(yè)務(wù)類型復雜的企業(yè)，根據(jù)《個人信息保護法》第五十八條之規(guī)定 ，企業(yè)應(yīng)當按照國家規(guī)定建立健全個人信息保護合規(guī)制度體系，成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督；遵循公開、公平、公正的原則，制定平臺規(guī)則，明確平臺內(nèi)產(chǎn)品或者服務(wù)提供者處理個人信息的規(guī)范和保護個人信息的義務(wù)；對嚴重違反法律、行政法規(guī)處理個人信息的平臺內(nèi)的產(chǎn)品或者服務(wù)提供者，停止提供服務(wù)；定期發(fā)布個人信息保護社會責任報告，接受社會監(jiān)督。
七、結(jié)語
【背調(diào)，是一門技術(shù)；背調(diào)，是一門藝術(shù)?！?/span>
隨著信息化與經(jīng)濟社會持續(xù)深度融合，網(wǎng)絡(luò)已成為生產(chǎn)生活的新空間、經(jīng)濟發(fā)展的新引擎、交流合作的新紐帶。截至2020年3月，我國互聯(lián)網(wǎng)用戶已達9億，互聯(lián)網(wǎng)網(wǎng)站超過400萬個、應(yīng)用程序數(shù)量超過300萬個，個人信息的收集、使用更為廣泛。（此數(shù)據(jù)來源于：關(guān)于《中華人民共和國個人信息保護法（草案）》的說明）
雖然近年來我國個人信息保護力度不斷加大，但在現(xiàn)實生活中，一些企業(yè)、機構(gòu)甚至個人，從商業(yè)利益等目的出發(fā)，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產(chǎn)安全等問題仍十分突出。
《個人信息保護法》聚焦目前個人信息保護的突出問題，落實個人信息保護責任，加大對個人信息處理者違法行為的懲處力度。隨著《個人信息保護法》的出臺與實施，如何合法合規(guī)的開展背景調(diào)查工作，防止因調(diào)查方式錯誤、調(diào)查內(nèi)容超規(guī)引發(fā)的法律風險也成為背景調(diào)查團隊亟待解決的現(xiàn)實問題。
附：2021年9月11日申同所合伙人劉怡律師接受“世界500強企業(yè)”吉利集團的邀請，針對《個人信息保護法》及企業(yè)背景調(diào)查法律實務(wù)問題，在杭州吉利學堂對其人力資源背景調(diào)查團隊進行了為期一天的法律培訓。
Q:員工離職后對其的回訪記錄是否屬于工作之外的非必要信息，是否可以記錄形成報告？
A：屬于非必要信息，但經(jīng)過其授權(quán)同意的情況下可以記錄，在其授權(quán)同意的情況下形成的報告如果只是內(nèi)部做參考并沒有泄露、沒有出售牟利，是可以的。
Q：哪些內(nèi)容屬于隱私？比如個人犯罪記錄、訴訟記錄、信用卡欠款記錄是否屬于隱私？
A：所謂隱私主要包括私人信息、私人活動及私人領(lǐng)域，敏感信息作為私人信息的重要組成部分已被《個人信息保護法》列為重要保護信息內(nèi)容，所謂敏感個人信息是指一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。私人活動則屬于動態(tài)的隱私，如社會交往、夫妻性生活、婚外戀等；再者是私人領(lǐng)域，也稱作私人空間，指個人隱秘部位，如人體隱私部位，以及個人日記、居室等。
個人犯罪記錄如果已經(jīng)在法院裁判文書網(wǎng)公開，則不屬于隱私，但如果公開的裁判文書將其名字隱掉的，在未征得他人的授權(quán)同意的情況下去查詢甚至公開則屬于侵犯個人信息權(quán)利的行為。
同樣的，訴訟記錄也是一樣的，在法院裁判文書網(wǎng)可以公開查詢到的則不屬于隱私，如無法公開查詢到，則需取得本人的授權(quán)同意。
而信用卡欠款記錄則是在公開信息很難查詢的到的信息，需要取得本人的授權(quán)同意方可查詢。
Q：在候選人入職之前無法調(diào)查上家公司，入職之后進行補調(diào)，在入職前曾簽署了一個授權(quán)書，并進行了一次背調(diào)，授權(quán)書上有寫明直到這個背調(diào)的過程完成是他的授權(quán)期限。那么補調(diào)是否還需要再次授權(quán)？電話或微信等其他方式取得他同意是否可以？如何界定上述問題中提到的超期？
A：按照《個人信息保護法》規(guī)定，超期或者超范圍均需要進行重新授權(quán)。
需要關(guān)注授權(quán)書上約定的授權(quán)期限，背調(diào)完成需要進行明確，而不應(yīng)只是籠統(tǒng)約定直至完成背景調(diào)查為止，建議對完成背景調(diào)查約定一個客觀評價標準，即何種情況下背景調(diào)查即告完成，或最長于何時視為背景調(diào)查授權(quán)到期。如果沒有約定或者約定不明，則需要重新取得被調(diào)查人授權(quán)同意。另外建議在授權(quán)書上告知候選人“本授權(quán)書的簽署視為您同意我們對您的相關(guān)信息的調(diào)查，我們將開啟對您的背景調(diào)查工作，同時我們也將保護你的信息安全”以符合《個人信息保護法》對個人信息處理者義務(wù)要求。
Q：智聯(lián)招聘、獵聘等招聘網(wǎng)站會使用候選人在其平臺上的一些數(shù)據(jù)信息進行分析，形成人力資源的報告、行業(yè)分析報告、薪酬分析報告等，作為企業(yè)是否可以形成類似背調(diào)分析的大數(shù)據(jù)報告？會有哪些法律風險？這樣的大數(shù)據(jù)報告是否可以面向市場？
A：大數(shù)據(jù)報告有個前提，必須有授權(quán)，同時應(yīng)在授權(quán)書上約定“我們將會使用你的信息形成數(shù)據(jù)報告”，如果形成的數(shù)據(jù)報告僅涉及比較寬泛的信息，比如男女比例、年齡范圍、工作年限等，根據(jù)《個人信息保護法》可以進行相關(guān)的收集、使用、加工，如數(shù)據(jù)報告包含了敏感信息或其他高風險信息的則應(yīng)進行脫敏，并對其特定性和充分必要性進行合理說明，否則將會根據(jù)《個人信息保護法》面臨相關(guān)的行政責任、民事賠償責任，甚至刑事責任。
根據(jù)《個人信息保護法》第十條之規(guī)定，任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息；不得從事危害國家安全、公共利益的個人信息處理活動。因此，以盈利為目的的向他人出售大數(shù)據(jù)報告將會涉嫌非法買賣、提供或者公開他人的個人信息，是不允許的。
Q：背景調(diào)查報告是否可以作為訴訟證據(jù)使用？
A：實務(wù)中，公司與員工直接因員工提供虛假信息導致公司與其解除勞動合同的訴訟案件中，背景調(diào)查報告的內(nèi)容通常會被作為證據(jù)來使用，但在使用時應(yīng)注意作為證據(jù)的背景調(diào)查的內(nèi)容應(yīng)與案件本身有關(guān)，即證據(jù)的關(guān)聯(lián)性；另外還需保證在獲取員工的個人信息時是取得其明確的授權(quán)同意的，即證據(jù)的合法性；同時還需要保證該背景調(diào)查的真實性，即證據(jù)的真實性；在保證上述三性的情況下背景調(diào)查報告的內(nèi)容作為證據(jù)使用是可以的。
Q：委托第三方機構(gòu)進行背景調(diào)查如何保證其調(diào)查結(jié)果的真實性、合法性？對于委托方會有什么樣的法律風險？
A：在進行委托第三方機構(gòu)進行背景調(diào)查時，應(yīng)在委托合同中明確約定委托處理的目的、期限、處理方式、個人信息的種類、保護措施以及雙方的權(quán)利和義務(wù)，另外建議要求第三方機構(gòu)保證其調(diào)查信息的來源、內(nèi)容、手段均為合法合規(guī)的，并約定清楚違約責任，一旦發(fā)生相關(guān)糾紛時可以有效地向其進行追責。
根據(jù)《個人信息保護法》第二十條第二款之規(guī)定，個人信息處理者共同處理個人信息，侵害個人信息權(quán)益造成損害的，應(yīng)當依法承擔連帶責任。因此，如果因第三方機構(gòu)在調(diào)查過程中存在違法行為的，則委托人也將承擔連帶責任，同樣的，為應(yīng)對前述情形，建議在委托協(xié)議中明確約定清楚違約責任，以降低損害。
Q：候選人簽署的授權(quán)書中授權(quán)范圍包含了其親屬的信息，是否可以對其親屬進行相關(guān)背景調(diào)查？
A：不可以。首先，根據(jù)《個人信息保護法》獲取他人的個人信息需要取得他人的明確授權(quán)同意，候選人的親屬屬于獨立的主體，其個人信息亦受到法律的保護，應(yīng)取得其本人的授權(quán)同意方可查詢；其次，根據(jù)獲取個人信息應(yīng)當遵從特定目的性和充分必要性，候選人與公司建立勞動關(guān)系，背景調(diào)查的特定性和充分必要性應(yīng)當是與其勞動相關(guān)的個人信息，而其親屬的個人信息與其勞動關(guān)系并無特定和必要關(guān)系。如果其親屬的信息是在公開信息可以查詢到的，比如在國家企業(yè)信用信息公示系統(tǒng)查詢到的從商信息，或在國家裁判文書網(wǎng)查到的涉訴信息，筆者認為是不夠成侵犯其個人信息的行為的。當然還有一種另外情形，即對于未滿14周歲的未成年人的信息，在經(jīng)其監(jiān)護人同意的情況下可以進行調(diào)查，但應(yīng)當制定專門的個人信息處理規(guī)則。
Q：如在對候選人進行背景調(diào)查后發(fā)現(xiàn)其造假問題很嚴重決定不予錄用，但合作企業(yè)或關(guān)聯(lián)企業(yè)想要錄用他并來詢問我們調(diào)查結(jié)果，是否可以告知其調(diào)查結(jié)果？
A：原則上是不可以。但如果在授權(quán)書中對調(diào)查主體的范圍進行了約定，包含了關(guān)聯(lián)企業(yè)，筆者認為是可以告知該關(guān)聯(lián)企業(yè)調(diào)查結(jié)果的。而對合作企業(yè)來說，按照《個人信息保護法》的規(guī)定是不允許的。
滬公網(wǎng)安備 31010402007129號
