合规观察 · 发布时间：2026-10-09 · 阅读 107
信息在多方流转中，每一环都是独立的处理者。
场景还原
背调过程中，服务商联系前雇主核实履历，前雇主 HR 在内部转发了候选人的简历与核查内容，导致信息在小范围内扩散。候选人发现后投诉，责任如何划分？
三方各自的角色
企业是委托处理者，服务商是受托处理者，前雇主在核实过程中接触了候选人信息，属于独立的处理者。三方都负有相应的个人信息保护义务，责任不能简单归于一方。
企业的责任边界
企业需要证明：已取得有效授权、已选择具备合规能力的服务商、已在合同中约定数据处理要求。做到这三点，企业的责任可以得到合理限缩。
服务商的责任
服务商应当对核查过程中的信息流转做最小化控制：只向前雇主提供核实所必需的信息，不发送完整简历；要求信息接收方保密；记录信息提供的时间与接收人。
前雇主的责任
前雇主在核实中获取的候选人信息，只能用于本次核实目的，不得扩散或用于其他用途。内部转发导致扩散的，属于违反个人信息保护义务。
预防的关键动作
一是信息最小化，只提供核实必需的信息；二是明确告知，告知接收方信息的保密义务；三是留痕，记录每次信息提供的内容与对象。三个动作做到，多数扩散风险可以被前置阻断。