每一次招聘都始于信任，而每一次背景调查都始于个人数据。候选人会交出身份证件、地址、学历记录和工作经历，而这往往发生在他们尚未见到未来的上级之前。多年来，这些信息在招聘流程中流转，几乎没有受到什么审视。印度 2023 年《数字个人数据保护法》(DPDP Act) 正在改变这一局面。
如果您的组织招聘员工，或为他人招聘的员工提供核查，那么这部法律现在已成为您日常运营的一部分。下面用通俗的语言介绍该法的内容、它为何重要，以及它如何重塑背景调查 (BGV)。
DPDP Act 简介
DPDP Act 是印度首部专门针对数字个人数据、适用于整个经济领域的法律。它适用于以数字形式处理的个人数据，或收集后经数字化的个人数据；当印度境外的组织处理身处印度的个人的数据时，该法也可能适用于这些组织。
该法使用两个主要术语：
- 数据主体 (Data Principal)：数据所属的个人。在招聘中，指候选人或员工。
- 数据受托人 (Data Fiduciary)：决定数据用途和使用方式的组织。在招聘中，指雇主。核查服务提供方通常作为数据处理者 (Data Processors)，代表雇主开展工作，这意味着雇主仍须对数据的处理承担责任。
规定该法如何适用的实施细则已经发布，相关义务将分阶段生效。对企业而言，实际意义很简单：筹备窗口期现已开启，而且不会一直开放。
这部法律为何对招聘团队很重要
招聘是任何公司中数据量最大的活动之一。一份核查档案可能包含政府身份号码、家庭住址、家庭情况、成绩单、薪资历史和前雇主的反馈。这类信息一旦处理不当，恰恰会造成真正的伤害。
该法在多个直接涉及招聘的方面提高了标准：
- 同意必须有实质意义。同意必须是自由、具体、知情且明确的，并通过清晰的肯定性行为作出。埋在录用通知书里的一个条款是靠不住的基础。
- 告知在先。必须告知候选人正在收集哪些数据、为什么收集，以及他们如何行使自己的权利。
- 目的限制。为核查而收集的数据应当用于核查，而不应悄悄改作营销或无关的分析之用。
- 存储限制。个人数据不应被无限期保存。目的达成后，除非法律另有要求，否则应予删除。
- 安全保障措施。组织必须采取合理的技术和组织措施，防范数据泄露。
- 泄露通知。一旦发生个人数据泄露，必须通知监管机构和受影响的个人。
- 个人权利。候选人可以查询自己的数据信息，要求更正或删除，并可使用申诉程序。
- 实实在在的处罚。未能采取合理的安全保障措施，可能面临最高 25 亿卢比 (₹250 crore) 的处罚，这使其成为董事会层面的议题，而不仅仅是 IT 部门的事。
关于雇佣关系中的“合法使用”
该法承认在某些情形下可以在无需重新取得同意的情况下处理数据，与雇佣相关的目的即在其列。但这并不意味着雇主可以为所欲为。该豁免与雇佣目的以及保护雇主免受损失或责任相关联，公平、最少收集和安全等原则仍然适用。最稳妥的做法是对候选人保持透明，只收集岗位确实需要的信息。各组织应就其自身招聘流程如何适用该规定，咨询法律顾问。
DPDP Act 如何改变背景调查
背景调查建立在收集并交叉比对个人数据的基础之上，因此它是最先感受到冲击的流程之一。变化主要体现在以下几个方面。
1. 同意从一个签名变成一套工作流程
扫描的签字表格已不再是黄金标准。雇主需要一份可追踪、带时间戳的同意记录，显示谁在何时同意了什么，以及针对哪些核查项目。将数字化同意采集与每一项核查请求直接关联，会让审计轻松得多。
2. 数据最小化改变了核查项目清单
并非每个岗位都需要所有核查项目。当法律要求只收集必要的数据时，对每位候选人一律采用“全部都查”的套餐就很难自圆其说。基于风险的套餐更合规，也更高效：例如，资深财务岗位与初级客服专员适用不同的核查项目组合。
3. 供应商责任是共同承担的
当核查合作伙伴替您处理数据时，数据如何处理的责任仍然在您。招聘团队在选择供应商时应提出更尖锐的问题：数据存储在哪里？谁可以访问？保留多久？发生数据泄露后会怎样？ISO 27001 和 SOC 2 Type II 等独立认证，可以有力地证明服务商的安全做法经过了外部机构的检验。
4. 保留与删除需要有时间表
核查报告不应永远留在邮箱和共享盘里。组织需要明确的保留期限，并在期限结束时有可靠的方式删除或匿名化数据，包括供应商持有的数据。
5. 候选人的话语权增强
个人可以询问组织持有哪些关于自己的信息，并要求更正。在背景调查中这是有益的：一条错误记录若错误地给候选人贴上标记，可能让对方丢掉一份工作。允许候选人查看并对核查结果提出异议的流程，既提升公平性，也有助于合规。
6. 跨境核查需要格外谨慎
许多雇主需要核查曾在海外求学或工作的候选人。跨境传输个人数据会带来额外的考量，而且该法允许政府限制向特定国家传输数据。与核查合作伙伴订立明确的合同条款，并清楚掌握数据的流向，至关重要。
面向雇主的实用准备清单
- 梳理候选人数据进入招聘流程的每一个环节。
- 用数字化、可审计的同意流程取代纸质或非正式的同意。
- 为候选人撰写一份简短、通俗易懂的隐私告知。
- 让核查套餐与岗位级别的风险相匹配。
- 审查供应商合同中的数据处理条款、泄露报告义务和删除承诺。
- 设定保留期限，并测试删除是否真正得到执行。
- 为候选人提出疑问或投诉建立一条简单的渠道。
- 培训招聘人员和 HR 员工，因为大多数数据事件源于人，而不是系统。
合规也是招聘优势
人们很容易把 DPDP Act 纯粹看作一种负担。我们的看法不同。候选人越来越关注公司如何对待他们的信息，清晰而尊重的核查体验会为雇主品牌加分。良好的数据管理还能减少返工、纠纷和延误，从而加快入职。
及早适应的组织不仅能避免处罚，还将建立起候选人信任、审计人员也能核实的招聘流程。
Quinfy 如何应对
在 Quinfy，我们围绕“速度与隐私应当相辅相成”这一理念构建核查平台。我们的运营获得 ISO 27001、ISO 9001 和 SOC 2 Type II 认证的支持，并且从一开始就将同意、访问控制和数据处理设计到核查流程之中。如果您想探讨现有的筛查流程与 DPDP 框架相比表现如何，我们的团队乐意提供帮助。
本文仅供一般信息参考，不构成法律意见。关于 DPDP Act 如何适用于您的组织，请咨询您的法律顾问。
关于作者：Rajasvi 负责 Quinfy 的国际销售业务，这是一家 AI 原生的背景调查公司，客户遍及 45 多个国家。
