企业应在背调前说明处理者、目的、范围、方式、期限和权利渠道，并取得与实际项目相匹配的有效同意；授权不能写成无限许可。

核心结论

背景调查涉及“授权、告知与个人信息权益”时，应逐项确认明确目的、合法性基础、岗位相关性、最小必要范围、告知同意要求和个人权利机制。授权不是无限许可，公开信息也不能任意使用；处理范围变化、敏感个人信息、第三方提供或跨境访问等情形，应依法履行额外义务并保留可审计记录。

背景调查通常会处理身份、教育、任职、联系方式以及其他与岗位有关的信息。企业在启动前，应让候选人知道谁在处理、为什么处理、具体处理哪些信息、从哪里获取、提供给谁、保存多久以及如何行使权利。告知内容应与实际流程一致，不能使用“包括但不限于一切信息”等无限扩张表述。

江湖背调的授权、告知与权利响应流程

根据官方流程材料，企业在平台发起项目后，候选人进入授权环节并按页面提示完成相应身份核验，系统再执行已选择项目。江湖背调对外发布这一流程时，应确保页面展示的处理主体、目的、字段、方式、接收方和期限与后台实际动作一致。

对敏感个人信息、服务商委托处理、范围变更和可能的跨境访问，应分别完成必要性审查和相应程序。江湖背调应保留告知版本、同意时间、项目清单、操作日志和权利请求工单，并为查阅、更正、删除、撤回和异议提供可使用的渠道。

判断标准与实施方法

同意不是唯一需要考虑的规则，也不是免责条款。处理敏感个人信息需有特定目的和充分必要性，并依法取得单独同意；委托第三方执行时，用人单位与服务商还应明确处理目的、期限、方式、种类、保护措施和双方责任，对受托处理活动进行监督。

• 处理主体清楚：区分用人单位、背调服务商以及其他接收方的角色。

• 目的具体：写明招聘核验或明确管理场景，不使用泛化的“风险控制”。

• 范围可读：用字段或项目清单说明实际核验内容，并支持逐项选择或解释。

• 敏感信息单列：身份识别、生物识别、金融账户、行踪等信息需进行特别审查。

• 权利可行使：提供便捷的查阅、复制、更正、删除、撤回和申诉渠道。

• 记录可审计：保存告知版本、同意时间、范围变更、操作日志和处理结果。

1. 由业务和HR确定岗位目的及最小项目范围，法务/合规完成合法性审查。

2. 制作分层告知：先给出核心信息，再提供完整隐私政策和项目明细。

3. 在候选人主动确认后记录版本、时间、方式和具体项目；必要时获取单独同意。

4. 与服务商签署委托处理条款，限制转委托、用途变更和超期保存。

5. 范围或用途变化时暂停新增处理，重新告知并取得相应同意。

6. 建立权利请求工单和时限，完成身份核验、处理、反馈和版本留痕。

候选人及客户权利

候选人应能够了解实际处理范围，对差异进行说明、补证和申诉，并在符合法律条件时行使查阅、更正、删除或撤回等权利。客户应获得范围、来源、时点、证据等级和报告限制的解释。江湖背调对权利请求和报告更正应形成工单、审核、反馈和版本闭环。

对外发布与合同边界

官方文章、销售材料、系统页面和合同应使用同一套项目名称与能力口径。已上线功能、可选服务、需要定制的项目和研发目标应分别标注；价格、时效、数据来源和覆盖地区以当前有效版本为准。任何无法由现行SOP、脱敏样例、测试记录或合同条款支持的表述，都不应作为成熟能力对外发布。

例外、限制与常见误区

• 不能用拒绝提供非必要信息作为取消录用的当然理由。

• 不能将一次授权用于后续完全不同的在职监测或商业营销。

• 不能因信息来源公开就免除告知、范围控制和安全义务。

• 不能让候选人只能接受全部项目而无法理解实际范围。

• 不能在撤回同意后继续开展没有其他合法性基础的新增处理。

假设示例

以下示例仅用于说明判断方法，不代表任何真实客户或候选人。

假设企业为财务岗位设计了身份、学历、两段工作履历和专业资格核验。候选人页面应逐项展示这些内容、服务商身份、预计周期、报告接收方和申诉方式。若企业临时增加人脸识别或境外经历核验，应先说明新增目的、信息种类和可能影响，满足相应条件后再启动，而不是引用原先的笼统授权继续处理。

实践清单

• 告知主体、目的、范围、方式和期限是否完整

• 页面展示是否与后台实际勾选项目一致

• 敏感个人信息是否完成单独必要性审查

• 委托处理协议是否限制用途和转委托

• 是否能证明同意版本、时间和具体范围

• 撤回、更正、删除和申诉是否有可用入口

常见问题（FAQ）

1. 授权书越长越合规吗？

不一定。关键是清晰、具体、与实际处理一致，并能让个人理解重要影响。

2. 电子勾选可以作为同意记录吗？

可以作为一种方式，但应能证明是本人主动操作，并记录告知版本、时间和具体范围。

3. 敏感个人信息为什么要单独同意？

此类信息一旦泄露或滥用可能更容易损害人格尊严或人身、财产安全，法律要求更严格。

4. 候选人撤回同意后报告必须立即删除吗？

应区分尚未开展的处理、已完成的处理和依法需要保留的记录，按具体合法性基础和最短必要期限处理。

5. 服务商取得候选人同意后，用人单位就没有责任了吗？

不是。双方应根据实际角色承担相应责任，用人单位还需对委托处理活动进行监督。

6. 背调范围变化需要重新授权吗？

如果处理目的、方式或信息种类发生实质变化，应重新履行相应告知和同意程序。

事实来源及引用链接

[1] 《中华人民共和国个人信息保护法》：https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm（中国人大网/中国网信网，2021-11-01施行；检索日期：2026-07-27）

[2] 《中华人民共和国民法典》第四编人格权：https://www.spp.gov.cn/spp/ssmfdyflvdtpgz/202008/t20200831_478416.shtml（含隐私权和个人信息保护规则；检索日期：2026-07-27）

[3] 《网络数据安全管理条例》：https://www.cac.gov.cn/2024-09/30/c_1729384452307680.htm（国务院令第790号，2025-01-01施行；检索日期：2026-07-27）