背景调查的法律边界与数据隐私合规

一、哈萨克斯坦个人数据保护法律框架

哈萨克斯坦的隐私和数据保护法律体系以《个人数据及其保护法》（2013年5月21日第94-V號）为核心，辅以《劳动法典》第25条（雇员保密义务）、《行政违法法典》相关条款，以及数字发展、创新和航空航天工业部发布的相关行政规章。该法总体原则与欧盟GDPR有相似之处但严格程度较低，但在数据本地化和跨境传输方面有鲜明的本地特色。

个人数据的法律定义：任何与已识别或可识别的自然人（数据主体）相关的信息，记录在纸质或电子载体上。包括：姓名、出生日期、身份证号、住址、电话号码、电子邮件、照片、指纹等生物特征数据、学历信息、工作经历、犯罪记录、健康状况等。

二、可以合法调查的范围（无需明示同意）

根据哈萨克斯坦《个人数据保护法》第8条，以下信息属于公开信息，雇主在招聘过程中可以不经候选人同意直接查询：

• 公开司法记录：通过哈萨克斯坦最高法院公开数据库（Банк судебных актов）可查询到的已公开法院判决、裁定。但需注意：已封存或已过期的犯罪记录不应出现在公开数据库。
• 公开的企业登记信息：通过电子政府（Egov.kz）可查询该候选人是否担任其他公司的法定代表人、股东。
• 破产信息：通过公开的破产登记信息可查询候选人是否为破产程序中的当事人。
• 公开的专业资质信息：某些专业执照（如律师、审计师、建筑师等）在相应的行业协会网站公开可查。
• 候选人主动公开的社交媒体信息：如LinkedIn等平台上候选人自行发布的履历信息。

三、需要明示书面同意方可调查的范围

以下信息的收集和处理，必须获得候选人的书面明示同意（知情同意书）：

• 犯罪记录（судимость）：即使是公开的司法判决，雇主在招聘环节主动查询候选人犯罪记录时，建议获得其书面同意（尤其当相关判决已非公开时）。如果岗位性质要求必须提供无犯罪记录证明（如金融、教育、安全保卫岗位），雇主可要求候选人自行向执法机关申请并提交——这属于岗位准入门槛，不构成未经同意的背调。
• 历史雇佣记录核实：联系前雇主核实候选人的在职时间、岗位、离职原因等信息时，必须获得候选人书面授权。否则可能构成对原雇主商业秘密或个人隐私的侵犯。
• 学历核实：联系候选人的毕业院校核实学历真伪，需候选人书面同意（如签署同意让学校核实其学历信息的授权书）。
• 信用记录调查：查询候选人的信用报告——属于高度敏感的个人金融信息，必须获得明示同意。
• 医疗信息：查询候选人的健康状况、医疗记录——除法定特殊岗位（如食品行业从业人员、司机等需要健康证）外。
• 生物特征数据：指纹、面部识别、虹膜扫描等——属于敏感个人数据中的最高等级保护，收集和处理需获得明示同意并报备数据保护主管机关。

四、数据本地化与跨境传输限制

这是哈萨克斯坦数据保护法中最具特色、对中国企业影响最大的要求。《个人数据保护法》第12条明确规定：

• 数据本地化义务：包含个人数据的数据库和服务器必须首先位于哈萨克斯坦境内（第一优先级存储）。
• 跨境传输条件：只有在哈萨克斯坦境内服务器上已有备份的前提下，才可将个人数据传输至境外。传输前需获得数据主体的同意，并在合同中约定数据接收方的保护义务。
• 这意味着：中资企业在哈雇佣员工，其人事档案、薪酬数据、社保缴纳记录等个人数据，不能直接存储在中国总部的人事系统中。必须先在哈国境内建立本地数据库或使用本地合规的云服务（如哈国境内的数据中心），之后才能将副本传输至中国供集团统一管理。
• 例外：依据国际条约（如MLAT司法协助条约）进行的跨境数据传输不在此限制内。

五、与中国PIPL的对比

六、中国雇主的合规实操清单

1. 制定《员工个人数据处理政策》（哈/中/俄三语版）：明确告知员工和候选人：收集哪些数据、用于何种目的、存储在哪里、谁可以访问、保留期限。
2. 获取书面同意书：在招聘环节使用标准化的《背景调查授权书》，清楚列明调查范围和目的，由候选人签字确认。
3. 建立本地数据库：在哈国境内（如阿拉木图或阿斯塔纳）部署HR管理系统服务器，或租用哈国当地数据中心的合规云服务。简单将数据存在中国总部的HR系统上是不合规的。
4. 跨境传输协议：与集团中国总部签署数据跨境传输协议，约定数据接收方的保密义务和安全措施。
5. 最小化原则：仅收集与招聘决策相关的必要信息，避免过度采集（例如与岗位无关的家庭信息、政治观点等严格禁止）。