招聘已经走向全球。迪拜的一家公司招聘了一名身在德国的工程师，一家美国公司为一位来自爱尔兰的顾问办理入职，一家印度企业在波兰开设了交付中心。每一次这样的招聘都要核查一个人的身份、学历和工作经历，而每一次都可能涉及欧盟的《通用数据保护条例》(GDPR)。
GDPR 自 2018 年 5 月起生效，但背景调查 (BGV) 仍是各组织最容易出问题的环节之一。本文解释 GDPR 为什么对筛查很重要、它如何改变核查的开展方式，以及合理的合规方法是什么样的。
为什么 GDPR 的影响超出欧洲
GDPR 并不局限于设在欧盟的公司。它适用于在欧盟设立的组织，也适用于欧盟以外的、因提供商品或服务或监控行为而处理欧盟境内人员个人数据的组织。对于一位身在欧洲的候选人的核查请求，这些规则会随数据流转到任何地方。
因此，即使双方在欧洲都没有办公室，筛查服务提供商和聘用它的雇主也都需要了解这一法规。
核心理念，用通俗的话来说
GDPR 建立在一套适用于核查档案每一个环节的原则之上：
- 合法性、公平性和透明度。处理必须有有效的法律依据，并且必须告知候选人其数据正在如何处理。
- 目的限制。为特定核查收集的数据不应被重新用于无关的目的。
- 数据最小化。只收集与岗位相关且必要的信息。
- 准确性。记录必须正确并保持更新。
- 存储限制。数据保存时间不应超过必要期限。
- 完整性和保密性。必须采取适当的安全措施保护数据。
- 问责。组织必须能够证明自己合规，而不仅仅是声称合规。
选择合适的法律依据
任何欧洲筛查项目的首要问题之一是：我们凭什么可以处理这些信息？GDPR 提供了几种法律依据，招聘中最常考虑的是法律义务、合法利益，以及在有限情形下的同意。
在雇佣环境中，同意需要格外谨慎。监管机构早就表示担忧：求职者给出的同意可能并非真正自愿，因为候选人与雇主之间明显存在权力不平衡。因此，许多组织依赖有记录的合法利益评估或法律要求，同时仍向候选人提供清晰的告知。正确的答案取决于国家和核查类型，因此值得寻求当地的法律意见。
背景调查中较为敏感之处
犯罪记录核查
有关刑事定罪和犯罪的信息在 GDPR 下受到特别保护。一般而言，处理此类信息必须在官方授权下进行，或经欧盟或成员国法律授权并有适当保障措施。各国规则差异很大，在某些地方，雇主只有在岗位在法律上有正当理由时，才能要求提供证明。统一实行全球性的“人人都查犯罪记录”政策是有风险的。
特殊类别数据
健康、种族、宗教、工会成员身份及类似类别适用更严格的条件。筛查流程应避免收集这些信息，除非有明确合法的需要，并应确保自由文本字段、推荐人回复和上传的文件不会悄悄把此类数据带入档案。
自动化决策
如果筛查结果完全由自动化流程产生，并对候选人产生重大影响，GDPR 会为该个人提供保护，包括要求人工复核的权利。只要人在影响某人求职前景的决定中仍然发挥实质性作用，AI 辅助核查仍然可以得到很好的运用。
候选人可以向您提出什么要求
GDPR 赋予个人一系列直接适用于筛查记录的权利：
- 访问其被持有的个人数据，并了解这些数据如何被使用。
- 更正不准确的数据。
- 在某些情形下删除。
- 在特定情形下限制处理和提出异议。
- 在适用时数据可携带。
雇主及其核查合作伙伴应能够在该法规规定的一个月期限内回应这些请求，这意味着需要知道候选人档案的每一份副本存放在哪里。
雇主与服务提供商共同承担的责任
在大多数安排中，雇主是控制者，决定数据使用的原因和方式，而核查公司是处理者，按照雇主的指示行事。GDPR 要求双方订立书面协议，涵盖标的事项、安全措施、次级处理者、对个人权利的协助，以及合作关系结束时数据的删除或返还。
另有两点值得注意：
- 泄露通知。对个人构成风险的个人数据泄露，一般须不无故拖延地向监管机构报告，并且在可行时应在 72 小时内报告。处理者必须及时通知控制者，因此合同应明确规定通知的时限。
- 国际传输。将核查数据从欧盟发送到没有充分性认定的国家，需要有经批准的保障措施，例如标准合同条款 (Standard Contractual Clauses)，并同时进行风险评估。核查海外学位或前雇主往往正涉及这类数据流动。
出错的代价
对于最严重的违规行为，监管机构可处以最高 2000 万欧元或全球年营业额 4% 的罚款，以较高者为准。除罚款外，实际损害还可能包括招聘项目被叫停、候选人信任受损，以及与依靠您保护其员工数据的客户之间的艰难沟通。
欧洲筛查实用清单
- 梳理核查流程中的每一条数据流，包括数据存储位置以及谁可以查看。
- 记录每一类核查、每个国家的法律依据。
- 在收集任何信息之前，向候选人提供清晰简明的隐私告知。
- 根据岗位调整核查范围，并取消没有正当理由的核查。
- 当筛查规模较大或涉及较高风险数据时，开展数据保护影响评估。
- 签订合规的处理者协议，并审查次级处理者。
- 设定保留期限，并确认删除确实得到执行。
- 为访问、更正和删除请求准备一套简单的流程。
- 培训招聘人员和 HR 团队，因为许多事件由人为失误造成。
- 测试您的泄露响应计划，确保 72 小时的时限切实可行。
隐私与速度可以并存
一些雇主担心隐私规则会拖慢招聘。根据我们的经验，情况往往恰恰相反。同意清晰、核查有针对性、记录规范的流程，会减少纠纷、减少重复核查，并加快入职。候选人也会注意到一个组织是否谨慎对待他们的信息，这会影响他们如何看待这个雇主。
Quinfy 如何支持合规的全球筛查
Quinfy 在 45 多个国家提供背景调查，并有 ISO 27001、ISO 9001 和 SOC 2 Type II 认证的支持。我们的平台在设计上将候选人同意、访问控制和数据处理纳入核查流程。如果您正在建立或审查涉及欧洲的筛查项目，我们很乐意与您探讨具体需求。
本文仅供一般信息参考，不构成法律意见。具体要求因国家和情形而异，因此在确定筛查政策之前，请咨询有资质的法律顾问。
关于作者：Prathap P 是 Quinfy（一家 AI 原生的背景调查公司，帮助雇主在全球范围内核查人才）的高级销售经理。
