background-check-privacy

背景调查隐私

概述

就业前背景调查涉及个人数据处理，范围从常规的推荐人核实到高度敏感的犯罪记录数据。GDPR 第 10 条对犯罪定罪和犯罪相关数据的处理作出了具体限制，要求此类处理必须由欧盟或成员国法律授权，并提供适当的保障措施。除犯罪数据外，背景调查还可能涉及信用记录、学历资历、职业注册信息、社交媒体信息和工作权利核查——每一项都有各自的比例原则和数据最小化要求。所有背景调查都应遵循基于职位的必要性原则：背景调查的范围必须与具体职位及其相关风险相称，而不应对所有职位一概而论。

法律框架

第 10 条——犯罪定罪数据

“基于第 6(1) 条处理与犯罪定罪、犯罪或相关安全措施有关的个人数据，只能在官方机构的监管下进行，或在欧盟或成员国法律授权且对数据主体的权利和自由提供适当保障的情况下进行。”

主要要求：

• 处理犯罪数据需要特定的国家法律授权（不能仅以合法利益为依据）
• 国家法律必须提供适当的保障措施
• 只有在官方机构监管下，才能保留全面的犯罪定罪登记册

第 6(1) 条——背景调查的一般合法依据

检查类型	合法依据	说明
推荐人核实	第 6(1)(b) 条，合同 + 第 6(1)(f) 条，合法利益	对就业决定而言属必要；仅限于职业推荐人
犯罪记录核查	第 6(1)(c) 条，法律义务或第 6(1)(e) 条，公共任务	仅当国家法律要求或授权对特定职位进行核查时适用
信用核查	第 6(1)(f) 条，合法利益	仅限承担财务责任的职位；必须通过利益衡量测试
资历核实	第 6(1)(b) 条，合同	对核实合同要求而言属必要
工作权利核查	第 6(1)(c) 条，法律义务	根据国家移民法强制要求
社交媒体筛查	第 6(1)(f) 条，合法利益	受到严格限制；详见下文分析
健康筛查	第 9(2)(b) 条 + 国家法律	仅在职位要求达到特定健康标准时适用

国家犯罪记录核查框架

英国——DBS（披露与禁止服务）

三个披露级别：

级别	内容	适用职位
基础 DBS	仅包括尚未失效的定罪记录	任何职位；由个人自行申请
标准 DBS	已失效和未失效的定罪记录、警告、训诫及最终警告	《1974 年罪犯改造法》（例外）令 1975 所列职位（例如律师、会计师、医疗专业人员）
增强 DBS	标准级别内容 + 相关警方情报 + 适用时核查禁止名单	涉及儿童或弱势成年人的受监管活动、国家安全领域的信任职位

GDPR 合规要求：

• 《1974 年罪犯改造法》禁止在大多数就业场景中考虑已失效的定罪记录
• DBS 证明归申请人所有，而非雇主
• 雇主不应保留 DBS 证明副本；仅应记录 DBS 证明编号、签发日期和结果（无异常/有异常）
• DBS 更新服务允许持续核查状态，无需申请新的证明

德国 — Führungszeugnis（无犯罪记录证明）

• Belegart N（标准版）：显示刑期超过 90 个日罚额或 3 个月监禁的定罪记录（有例外情况）
• Belegart O（扩展版）：包括所有涉及未成年人的职位所需核查的定罪记录
• 只有在职位性质确有需要时，雇主才可以要求提供 Führungszeugnis；对所有职位一律例行要求，属于不成比例的做法
• 雇主可以查看证明，但不应保留副本；只应记录核查结果是否合格

法国 — Extrait de Casier Judiciaire

• Bulletin No. 3（就业中最常用）：仅显示最严重的定罪记录（无缓刑的 2 年以上监禁）
• 只有在特定职位的性质确有需要时，雇主才可以要求提供 Bulletin No. 3
• 对于公共部门职位，行政部门可以直接查阅 Bulletin No. 2

荷兰 — Verklaring Omtrent het Gedrag (VOG)

• VOG（良好行为证明）由司法部签发
• VOG 仅说明个人的司法记录是否包含与特定职位相关的信息，不会披露具体定罪记录
• 雇主需指定筛查类别（例如，面向与弱势群体共事的职位的“person”类别，面向财务职位的“finances”类别）

已消除的定罪记录 — 改过自新原则

大多数欧洲司法辖区均实行改过自新原则：经过规定期限后，定罪记录会成为“已消除记录”，不得再用于就业目的。在改过自新立法保护已消除记录的情况下处理此类记录，既违反国家法律，也违反 GDPR 的数据最小化原则。

司法辖区	改过自新制度	主要规则
英国	1974 年《罪犯改过自新法》	除特定例外职位外，不得披露或考虑已消除的定罪记录
德国	BZRG（《联邦中央登记簿法》）	定罪记录会在规定期限（5-15 年）后从证明中删除
法国	《刑法典》第 133-16 条	经过规定期限后自动改过自新
荷兰	Wet justitiële en strafvorderlijke gegevens	司法数据在 20 年后（成年人）或 5 年后（未成年人）删除

比例性框架

基于岗位的必要性评估

不同岗位所需的背景调查程度并不相同。比例原则要求根据岗位的具体风险调整调查范围。

岗位类别	适当的调查	不成比例的调查
普通办公室员工	工作资格核验、推荐信、资质核验	犯罪记录、信用调查、社交媒体筛查
财务总监	工作资格核验、推荐信、资质、信用调查、基本犯罪记录（欺诈类犯罪）	加强犯罪记录调查、社交媒体筛查
教师／青少年工作者	工作资格核验、推荐信、资质、含禁止从业人员名单核查的加强犯罪记录调查	信用调查、社交媒体筛查
保安	工作资格核验、推荐信、SIA 许可证核验、标准犯罪记录调查	加强犯罪记录调查（受监管活动除外）、信用调查
仓库操作员	工作资格核验、推荐信	犯罪记录调查（涉及高价值货物除外）、信用调查、资质核验
高级管理人员	工作资格核验、推荐信、资质、董事任职情况核查、基本犯罪记录调查	加强犯罪记录调查（受监管岗位除外）

Atlas Manufacturing Group 示例：Atlas 对其背景调查计划进行了比例性审查，发现其对所有岗位都要求进行基本 DBS 调查，包括仓库操作员和食堂员工。根据 DPO 的建议，Atlas 实施了分级调查框架：

• 所有岗位：工作资格核验、两份职业推荐信
• 可接触财务事务的岗位（财务、采购、高级管理）：信用调查 + 基本 DBS 调查
• 可进入研发实验室的岗位：基本 DBS 调查（考虑到知识产权的价值）
• 工作中会接触未满 18 岁访客的岗位（学徒主管）：含禁止从业人员名单核查的加强 DBS 调查

社交媒体筛查

对候选人进行社交媒体筛查是对隐私侵入性最强的背景调查活动之一。此类筛查可能会揭示：

• 政治观点（第 9(1) 条）
• 宗教或哲学信仰（第 9(1) 条）
• 工会会员身份（第 9(1) 条）
• 健康信息（第 9(1) 条）
• 性取向（第 9(1) 条）
• 种族或族裔出身（第 9(1) 条）

在以下情况下，社交媒体筛查可能具有正当性：

• 面向公众的岗位，候选人的公开言论可能直接影响组织声誉
• 具有显著公众曝光度的高级领导岗位
• 需要安全审查且国家法律授权进行筛查的岗位

开展筛查时的要求：

• 仅限公开可获取的信息（不得发送好友请求，不得使用虚假个人资料）
• 仅限与岗位相关的信息
• 尽可能安排在流程的最后阶段（入围后、最终录用前）
• 做好记录，明确记录审查了哪些内容以及发现了什么
• 必须告知候选人，社交媒体筛查是招聘流程的一部分
• 偶然发现的特殊类别数据不得记录，也不得用于就业决策

数据最小化与保留

收集数据时的数据最小化

• 仅收集与岗位相关的具体调查结果，不得一概进行筛查
• 核验后不得继续保留身份证明文件副本（拍摄文件、完成核验后删除图像；仅保留已完成核验的记录）
• 不得保留犯罪记录证明副本；仅记录证明编号、日期和结果
• 不得收集超出需要的推荐信（两份职业推荐信是常见标准；个人品格推荐信通常不成比例）

保留期限

数据类型	保留期限	理由
工作权利核验记录	雇佣期间 + 2 年	法律义务（《移民法》要求）
背景调查回复	自录用决定起 6 个月	足以应对试用期争议
犯罪记录核查结果（仅保留参考编号和结果）	雇佣期间	受监管岗位持续遵守监管规定的要求
信用核查结果	自录用决定起 6 个月	作出雇佣决定后不再有持续保留的必要
资质核验记录	雇佣期间	可能需要持续进行职业注册
社交媒体筛查记录	自录用决定起 6 个月；如候选人未获录用，则立即删除	尽量缩短保留时间；高度敏感
未录用候选人的背景调查数据	最长 6 个月	法律索赔时效（发现歧视索赔风险时延长至 12 个月）

未录用候选人

未录用候选人的背景调查数据必须：

• 在作出录用决定后 6 个月内删除（发现歧视索赔风险时为 12 个月）
• 不得保留在通用候选人数据库中用于未来招聘
• 如果候选人撤回同意或请求删除数据，应提前删除

候选人的权利

知情权 — 第 13 条

在进行任何背景调查之前，必须告知候选人：

• 将进行的具体核查
• 每项核查的合法依据
• 由谁进行核查（如适用，包括第三方筛查服务提供商）
• 将获取哪些数据
• 将如何在雇佣决定中使用这些数据
• 保留期限
• 其根据第 15 至 22 条享有的权利

提出异议的权利

• 在作出最终雇佣决定之前，必须给予候选人讨论和质疑不利核查结果的机会
• 如果犯罪记录核查发现候选人有犯罪记录，必须允许候选人提供相关背景情况（改过自新的证明、减轻情节）
• 自动取消资格的政策（拒绝任何有犯罪记录的候选人）属于违法行为——必须逐案评估，并考虑犯罪性质、与岗位的相关性以及事发至今的时间

第三方筛查服务提供商

如果由第三方服务提供商进行背景调查：

• 必须依据 GDPR 第 28 条签订数据处理协议
• 服务提供商是处理者，按照雇主（控制者）的指示行事
• 雇主必须明确允许进行哪些核查；服务提供商不得进行超出授权范围的核查
• 服务提供商必须根据约定的保留期限安排，在向雇主传送结果后删除核查数据
• 国际传输（全球筛查服务提供商常见）必须遵守 GDPR 第 V 章

执法先例

监管机构	案例	罚款/结果	主要问题
ICO（英国）	Experian，2020 年	执法通知	Experian 的雇佣筛查服务在未充分向数据主体说明情况的情况下处理个人数据
CNIL（法国）	SAN-2019-007	30,000 欧元	雇主在核验期限过后仍将犯罪记录证明保留在人事档案中
AEPD（西班牙）	PS/00321/2020	50,000 欧元	雇主在未告知候选人的情况下对其进行社交媒体筛查，并在招聘决定中使用特殊类别数据
Autoriteit Persoonsgegevens（荷兰）	2021 年调查	纠正命令	雇主要求所有岗位的候选人提供 VOG，却未评估岗位是否确有此必要
Garante（意大利）	Provvedimento 2020-0893	警告	雇主将未录用候选人的背景调查数据保留了 5 年，保留时间过长

集成要点

• 雇佣场景中的同意限制：对于大多数背景调查，同意并非适当的合法依据（请参阅 employment-consent-limits 技能）。
• 员工 DSAR 响应：候选人和员工可能会请求访问背景调查数据（请参阅 employee-dsar-response 技能）。
• HR 系统隐私配置：背景调查数据的存储和访问必须配置适当的限制（请参阅 hr-system-privacy-config 技能）。
• 员工健康数据：入职前健康筛查受单独规则约束（请参阅 employee-health-data 技能）。