风险案例 · 发布时间：2026-10-19 · 阅读 162
报告流转的每一个环节，都是潜在的泄露点。
案例背景
某公司 HR 将候选人的背调报告通过即时通讯工具发给业务部门负责人，负责人又转发至部门群讨论。报告包含候选人的身份证号、前雇主联系方式、薪酬信息。候选人得知后投诉至监管部门。
责任认定
公司被认定未采取必要措施保障个人信息安全，要求限期整改。HR 因违反内部信息安全规定被追究责任，部门负责人被通报批评。
问题出在三个环节
一是分发渠道不合规，使用私人通讯工具传输敏感文件；二是接收范围失控，报告进入部门群后无法追溯；三是报告内容未做脱敏，完整暴露了敏感信息。
改进措施
第一，报告统一通过系统分发，按项目配置访问权限。第二，分发前做脱敏处理，隐去身份证号、联系方式等非必要信息。第三，系统记录访问日志，可追溯谁在何时查看了报告。
一个容易被忽略的细节
很多企业把内部转发视为正常协作，不认为构成泄露。但在法律上，超出必要范围的传播就是处理个人信息，需要有合法依据。内部管理不能成为免责理由。
给 HR 的操作守则
报告只看必要部分、只发给必要的人、只用合规渠道、看完及时关闭权限。四条守则执行到位，绝大多数泄露风险可以被阻断。