背景调查是用人单位对入职者进行背景资料和证明材料的核查。其最早起源于国外，在我国常见于大型外资企业，随着个人信用价值的日益凸显，越来越多的企业将背景调查用于入职者的录用参考依据，比如大型车企、互联网、金融等高新企业。企业通过设立专门的背景调查部门，比如吉利集团；或通过委托专门从事背景调查的机构对入职者的身份信息、学历信息、职业资格、金融资信、裁判文书、失信被执行人信息、犯罪记录等情况进行调查后，形成调查报告交由企业的用人部门审查。
企业内部的背调部门，外部的专业背调机构都将面临如下尖锐的问题：
企业所调查的信息是否应当被认定为隐私？
企业调查信息方式是否违法？
企业使用信息是否存在不当行为？
二、背景调查的内容
（一）什么是“个人信息”？
1、《个人信息保护法》对个人信息的规定
根据《个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
根据《个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
因此，在处理个人信息时，个人信息处理者应当严格按照《个人信息保护法》的规定。
根据《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。另外，《个人信息保护法》第三十条规定，个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
2、《劳动合同法》对个人信息的规定
3、背景调查所涉及的个人信息
具体到背景调查所涉及的个人信息，包括身份信息、学历信息、资质信息及工作经历。对中、高层管理岗位人员或其他核心岗位人员进行调查时，还会涉及到对其职业素养的调查，包括专业能力、管理能力、沟通技巧、向上管理和向下管理的能力、过往的经历以及其他核心岗位所需的特殊经历等，在这些信息的调查过程中也可能会涉及到过往企业的关键信息和核心技术。
（二）背调调查主体
背景调查的主体主要包括企业背景调查人员或团队、第三方背景调查机构等，根据背景调查主体的不同，背景调查的方式主要分为自主调查和委托调查。
1、自主调查
2、委托调查
在自主调查无法满足调查需求的情况下，企业会选择委托第三方背景调查机构进行调查工作。根据《个人信息保护法》第二十一条规定，个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
作为委托方，即用人企业，应当与受托方即调查机构签署书面的《委托合同》或符合法律要求的《电子委托合同》，在委托合同中明确约定双方在个人信息保护的权利义务和责任，并要求独立背景调查机构通过合法途径调查候选人员工个人信息，保护好已获取的员工个人信息。
根据《个人信息保护法》第二十条规定，个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。因此委托方应尽量禁止调查机构转委托，以降低信息处理方过可能引发的不可控风险。
（三）背调调查对象
背景调查的对象分为：普通员工和公司高管或重要员工。
1、普通员工
2、公司高管或重要员工
公司高管或重要员工，主要是指涉及企业“钱”（会计、出纳）、“权”（管理、决策权）、“命”（命脉，技术人员）的员工，因这些员工的岗位直接影响公司的发展，故企业更加注重这些人员的职业素养，例如：专业能力、管理能力、沟通技巧、向上管理和向下管理的能力、过往的经历。又因这些员工会接触到公司的关键信息和核心技术，因此需要调查其曾经职责范围、绩效表现、团队合作能力、抗压能力。
（四）背景调查的权限
背景调查并不等于秘密调查，《个人信息保护法》第13到17条规定，个人信息处理者应当取得个人同意，为订立、履行个人作为一方当事人的合同所必需或按劳动制度所必需，该同意应当由个人在充分知情的前提下自愿、明确作出；发生变更，应当重新取得个人同意；个人有权撤回其同意（但不影响撤回前的个人信息处理活动）。
（五）背调调查方式
根据背调方式是否合法将其分为合法方式和非法手段。
1、合法方式
2、非法手段
主要包括：偷拍、偷录、跟踪搜集个人行踪轨迹；向负有保密义务的第三方收集证据......
以非法手段获取员工个人信息的，侵犯员工权益或造成员工精神、财产损害的或将承担相应民事赔偿责任；企业根据非法收集信息主张解除劳动关系的，还需要承担违法解除劳动合同的赔偿金。
三、背景调查的法律风险及法律责任
（一）背景调查过程中的法律风险
1、员工入职前的风险：
风险二：因背景调查手段不正当导致的侵犯候选人过往任职企业商业秘密的刑事责任；
风险三：背调内容超过法律允许的范围引起的侵犯个人隐私所引起的民事责任。
2、员工入职后的风险：
风险一：因违法使用员工个人信息引起民事责任和刑事责任；
风险二：因违法使用员工个人信息导致违法解除劳动合同引起的民事赔偿责任；
风险三：未及时以员工存在提供虚假信息等欺诈行为为由解除劳动合同，进而违规解除劳动合同而引起的民事赔偿责任。
（二）背景调查所涉及的法律责任
1、民事责任
（1）过错推定责任
（2）公平补偿责任
在背景调查过程中，如企业方与员工之间均不存在过错，根据民法典第一千一百八十六条规定，受害人和行为人对损害的发生都没有过错的，依照法律的规定由双方分担损失。
2、行政责任
责任主体
违法情形
处罚方式
法条依据
个人信息处理者
违法处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务
责令改正、警告
《个人信息保护法》第66条第一款
存在上述情形拒不改正
没收违法所得
应用程序
违法处理个人信息
责令暂停或终止服务，拒不改正的，并处一百万元以下罚款
个人信息处理者、
直接负责的主管人员和其他责任人员
一万元以上十万元以下罚款
企业存在上述违法行为，情节严重的
停业整顿、吊销业务许可、吊销营业执照
《个人信息保护法》第66条第二款
主要责任人禁业
违反《个人信息保护法》
记入信用档案、公示违法处理个人信息
《个人信息保护法》第67条
3、刑事责任
（1）背景调查机构的刑事风险
●侵犯公民个人信息罪
背景调查机构如果通过出售、提供或者非法获取等方式侵犯公民个人信息的则构成侵犯公民个人信息罪。
法条依据：【《刑法》第二百五十三条违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。】
●侵犯商业秘密罪
背景调查机构为获取被调查者的职业经历，可能通过盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取被调查者过往就职单位的商业秘密。可能使用获取到的商业秘密或者将商业秘密披露在调查报告中。
法条依据：【《刑法》第二百一十九条有下列侵犯商业秘密行为之一，情节严重的，处三年以下有期徒刑，并处或者单处罚金；情节特别严重的，处三年以上十年以下有期徒刑，并处罚金：（一）以盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取权利人的商业秘密的；
（二）披露、使用或者允许他人使用以前项手段获取的权利人的商业秘密的；
（三）违反保密义务或者违反权利人有关保守商业秘密的要求，披露、使用或者允许他人使用其所掌握的商业秘密的。
明知前款所列行为，获取、披露、使用或者允许他人使用该商业秘密的，以侵犯商业秘密论。
本条所称权利人，是指商业秘密的所有人和经商业秘密所有人许可的商业秘密使用人。】
（2）被调查者的刑事风险
●伪造、变造、买卖国家机关公文、证件、印章罪
被调查者通过伪造职业资格证书，如会计证、教师资格证、法律执业证书等方式让自己满足入职单位对个人资质的要求，达到入职的目的。
●伪造公司、企业、事业单位、人民团体印章罪
被调查者通过伪造高等院校印章制作学历、学位证明等方式让自己符合入职单位对学历的要求。
●伪造、变造、买卖身份证件罪
被调查者通过伪造居民身份证、护照、社会保障卡、驾驶证等方式入职等方式隐瞒自己的个人经历（如前科劣迹）或者职业经历（规避竞业禁止）。
法条依据：【《刑法》第二百八十条伪造、变造、买卖或者盗窃、抢夺、毁灭国家机关的公文、证件、印章的，处三年以下有期徒刑、拘役、管制或者剥夺政治权利，并处罚金；情节严重的，处三年以上十年以下有期徒刑，并处罚金。
伪造公司、企业、事业单位、人民团体的印章的，处三年以下有期徒刑、拘役、管制或者剥夺政治权利，并处罚金。
伪造、变造、买卖居民身份证、护照、社会保障卡、驾驶证等依法可以用于证明身份的证件的，处三年以下有期徒刑、拘役、管制或者剥夺政治权利，并处罚金；情节严重的，处三年以上七年以下有期徒刑，并处罚金。】
四、以案说法
（注：以下案例均发生在《个人信息保护法》实施之前，本文均以《个人信息保护法》生效之后的视角简要分析。）
（一）员工入职之前
案例一：
李某与中国邮政储蓄银行股份有限公司长春市分行用人单位责任纠纷案
——（2017）吉0103民初1222号
案情简述：李某于2016年10月11日在吉大南区参加“中国邮政储蓄银行2017年校园招聘”。2017年1月4日在万佳体检中心参加入职体检，体检结果李某不知道，但是万佳体检项目单的背面有写明“乙肝保密、非经本人允许不检测乙肝项目”的内容。李某因被迫于隶属关系配合邮储长春分行的人力资源部工作人员一共做了三次检查，而邮储长春分行最终还是作出了取消李某实习与录用资格的决定。
根据《个人信息保护法》第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需。
根据《个人信息保护法》第二十八条第二款规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
案例二：
殷某与北京某生物科技有限公司劳动争议案
——（2017）京03民终11023号
案情简述：殷某于2015年12月2日入职北京某生物科技有限公司，担任人力资源总监，双方签订的劳动合同期限自2015年12月2日至2018年12月1日。2016年8月19日，北京某生物科技有限公司以殷某在应聘过程中提供虚假信息为由与殷某解除劳动关系。
裁判要旨：因殷某在入职时填写的《员工入职登记表》与其过往社保缴纳经历不符，同时因殷某入职岗位为人力资源总监，系高管岗位，其过往工作经历是企业录用的重要判断标准，故法院认定殷某提供虚假工作经历信息的行为构成欺诈，驳回了殷晓剑要求企业支付违法解除劳动关系赔偿金的请求。
根据上述案例可以看出，该企业在殷某入职时曾要求其填写《员工入职登记表》，企业通过与殷某过往的社保缴费经历进行比对时发现了其存在提供虚假信息的行为，因殷某入职的岗位系人力资源总监，属于高管岗位，故企业以此为由向法院提出解除劳动关系诉请，法院基于企业诉请的合理性及证据的真实性、关联性、合法性认定殷某构成欺诈。
（二）员工入职之后
刘某与北京东某公司一般人格权纠纷案
——（2018）京0105民初21306号
裁判要旨：法院根据《民法通则》第99条认定，自然人享有姓名权；自然人的个人信息受法律保护；任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。北京东某公司未经刘某同意将刘某个人信息用于企业招投标活动，该次投标虽未中标，但其行为侵犯了原告的合法权益，应当承担相应法律责任。
林某与A公司劳动合同纠纷案
——（2012）沪一中民三（民）终字第1230号
案情简述：2011年6月28日，A公司录用了林某，双方签订了期限至2014年6月27日的劳动合同，约定试用期至2011年8月27日。合同同时约定，林某被查实应聘时向A公司提供个人资料是虚假的或者隐瞒了重大事实的，A公司可以解除合同，并不作任何补偿。A公司向林某发出转岗通知，以林某入职以来未完成工作要求为由，通知林某转岗。林某于2011年12月1日至新岗位就职。2011年12月6日，A公司以林某不服从转岗安排为由，通知林某解除劳动合同。
裁判要旨：经仲裁委及法院查明，A企业发现林某在填写《入职登记表》和《履历表》时存在提供虚假信息的欺诈行为，但A企业并未及时与其解除劳动合同，而是将其进行了转岗，导致法院认定A企业的转岗行为视为对林某欺诈行为持容忍态度，最终法院不支持A企业提出的员工存在不诚信行为有权解除劳动合同的诉请，认定A公司需向林某支付违法解除劳动合同期间的劳动报酬。
在本案中，企业在背景调查时并不存在违法处理员工信息的行为，相反其背景调查工作非常之规范，但因其在发现林某存在提供虚假信息时并未及时解除与林某的劳动关系，而是采取了转岗的方式继续留用，最终以林某不服从转岗安排为由通知林某解除劳动合同，导致法院认定企业的转岗行为视为对林某欺诈行为持容忍态度，最终法院不支持企业提出的员工存在不诚信行为有权解除劳动合同的诉请，认定企业需向林某支付违法解除劳动合同期间的劳动报酬。
在实务中，企业一旦发现员工存在提供虚假信息的行为时，应当及时提出解除劳动合同，否则将会被认定为一种容忍态度从而丧失了最佳时机，导致承担违法解除劳动合同的赔偿责任。
下表为背景调查工作中常规使用的主要文件：
类别
具体文件
基本信息调查表
入职文件
入职登记表
劳动合同
社保缴费证明
学历证明
制度文件
员工手册
背景调查制度
信息保护制度
五、法律法规整合
六、对企业的建议
（一）员工入职前企业风险防范实务建议：
3、调查方式：采取合法的方式进行，不得采用偷拍、偷录、跟踪等违法方式等进行；
4、妥善保管：企业应当妥善保护员工信息，防止员工信息泄露，对不需要的信息应及时销毁。
（二）员工入职后企业风险防范实务建议：
2、及时行权：发现员工存在提供虚假信息等欺诈行为时应及时解除劳动关系；
3、证据完整：与员工解除劳动关系时应做到证据收集的完整性。
（三）企业自身机制完善建议：
1、专人负责制
专人负责制属于个人信息保护领域的一个创新，根据《个人信息保护法》第五十二条之规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督，同时个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。
2、建立管理制度和流程
（一）制定内部管理制度和操作规程；
（二）对个人信息实行分类管理；
（三）采取相应的加密、去标识化等安全技术措施；
（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；
（五）制定并组织实施个人信息安全事件应急预案；
（六）法律、行政法规规定的其他措施。
3、重要互联网平台的特殊义务
对于提供重要互联网平台服务、用户数量巨大、业务类型复杂的企业，根据《个人信息保护法》第五十八条之规定，企业应当按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务；对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务；定期发布个人信息保护社会责任报告，接受社会监督。
七、结语
【背调，是一门技术；背调，是一门艺术。】
虽然近年来我国个人信息保护力度不断加大，但在现实生活中，一些企业、机构甚至个人，从商业利益等目的出发，随意收集、违法获取、过度使用、非法买卖个人信息，利用个人信息侵扰人民群众生活安宁、危害人民群众生命健康和财产安全等问题仍十分突出。
《个人信息保护法》聚焦目前个人信息保护的突出问题，落实个人信息保护责任，加大对个人信息处理者违法行为的惩处力度。随着《个人信息保护法》的出台与实施，如何合法合规的开展背景调查工作，防止因调查方式错误、调查内容超规引发的法律风险也成为背景调查团队亟待解决的现实问题。
附：2021年9月11日申同所合伙人刘怡律师接受“世界500强企业”吉利集团的邀请，针对《个人信息保护法》及企业背景调查法律实务问题，在杭州吉利学堂对其人力资源背景调查团队进行了为期一天的法律培训。
Q:员工离职后对其的回访记录是否属于工作之外的非必要信息，是否可以记录形成报告？
Q：哪些内容属于隐私？比如个人犯罪记录、诉讼记录、信用卡欠款记录是否属于隐私？
A：所谓隐私主要包括私人信息、私人活动及私人领域，敏感信息作为私人信息的重要组成部分已被《个人信息保护法》列为重要保护信息内容，所谓敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。私人活动则属于动态的隐私，如社会交往、夫妻性生活、婚外恋等；再者是私人领域，也称作私人空间，指个人隐秘部位，如人体隐私部位，以及个人日记、居室等。
Q：智联招聘、猎聘等招聘网站会使用候选人在其平台上的一些数据信息进行分析，形成人力资源的报告、行业分析报告、薪酬分析报告等，作为企业是否可以形成类似背调分析的大数据报告？会有哪些法律风险？这样的大数据报告是否可以面向市场？
根据《个人信息保护法》第十条之规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。因此，以盈利为目的的向他人出售大数据报告将会涉嫌非法买卖、提供或者公开他人的个人信息，是不允许的。
Q：背景调查报告是否可以作为诉讼证据使用？
Q：委托第三方机构进行背景调查如何保证其调查结果的真实性、合法性？对于委托方会有什么样的法律风险？
根据《个人信息保护法》第二十条第二款之规定，个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。因此，如果因第三方机构在调查过程中存在违法行为的，则委托人也将承担连带责任，同样的，为应对前述情形，建议在委托协议中明确约定清楚违约责任，以降低损害。
Q：如在对候选人进行背景调查后发现其造假问题很严重决定不予录用，但合作企业或关联企业想要录用他并来询问我们调查结果，是否可以告知其调查结果？