上个月有位HR加我们微信，第一句话是：我们自己做的背调，被候选人投诉了。
事情不复杂。候选人面试通过，HR图省事，授权流程还没走完，就先打了简历上留的前公司电话，还顺口问了一句他为什么离职。候选人知道后，认为公司未经同意调查他的个人信息，先投诉，再要求撤回录用。
后来怎么收场先不说。那位 HR 问的这句话，其实很多企业都在问：背调到底怎么做，才不算违规。
结论先放前面。合规与否，不看你查得深不深，只看三件事：有没有拿到本人同意，查的是不是岗位真正需要的信息，每一步有没有留下痕迹。
这三件事落到实操，是四个具体问题。
一、签了授权书，是不是就万事大吉
不是。授权书不是走个形式签个字，它要能回答四个问题：谁有权查、查到什么范围、查来的信息给谁看、留多久。
我们见过最常见的一种模板，全文只有一句"本人同意公司对我进行背景调查"。这句话等于没写。真正能用的授权，至少要把核查项目列成清单：身份、学历、最近几段任职经历、职业资质、以及是否包含前雇主访谈。
还有一类信息，按《个人信息保护法》属于敏感个人信息，比如征信记录、涉诉信息、以及特定情况下的健康信息。这类项目的同意，需要单独取得，不能塞在那句一揽子同意里。实务上还要说明必要性：为什么这个岗位需要查这一项。
授权的时间点也值得说一下。放在发 offer 之后、入职之前，是比较常见也比较好解释的做法：此时双方已有明确的录用意向，企业有正当理由，候选人也有明确的预期。
二、哪些能查，哪些碰都不能碰
判断标准只有一个：与岗位是否直接相关。这句话听起来空，实际用起来很硬。
可以直接排除的，是这些：婚育状况、宗教信仰、与岗位无关的疾病史、家庭财产、私人社交账号、以及工作之外的私生活。这些信息即便能查到，也不应该在背调里出现，更不该进入报告。
征信和涉诉，要看岗位。财务负责人、资金岗、涉密岗、以及需要签竞业和保密协议的高管，核查这些信息有明确的必要性；一个普通的内容运营岗，去查人家信用卡逾期记录，说不清楚为什么。
能查的边界，不是"我们能查到什么"，而是"这个岗位需要知道什么"。
这两句话的距离，就是合规和侵权的距离。
学历走官方渠道核验，职业资格证书查发证机关或官方查询系统。这两项没什么技术含量，出错往往是因为没走官方渠道，而是看了候选人发来的一张照片。
三、电话打到前公司，怎么才不算打扰
这是投诉最集中的环节。几条实操上的规矩，能挡掉大部分麻烦。
只联系与工作相关的人。候选人目前还在职的，不要打给他现在的雇主。
不透露候选人的去向和录用状态。一句"他在我们这面试"就够让候选人难受了。
不追问与工作无关的隐私。证明人不是线人。
全程记录。时间、联系人、身份、问答原话，一样不能少。
由企业自己打，还有一个隐性风险：同行圈子小，一个电话过去，对方可能先跟候选人打个招呼。这不是合规问题，但会让这一环白做。第三方出面，多少能隔开这层人情。
四、报告里能不能写"不建议录用"
可以给风险提示，但结论应该由企业自己下。
一份能用的报告，写法是这样的：谁在什么时间、通过什么渠道、说了什么。
不合格的写法是：据说此人风评一般、业内反映不太好。这种没有出处的表述，一旦发生争议，企业拿不出任何依据来支撑自己的决定。
换个角度想，报告不只是给 HR 看的，它也可能是日后劳动争议里的证据。写得客观、标得清楚，既是对候选人负责，也是给企业留一份自证。
两个常被问到的边界
候选人拒绝授权怎么办。
不要强查。暂停这一环节，把"拒绝配合"本身作为一项事实记录下来，交给企业评估。很多公司会纠结要不要因此不录用，这属于用人决策，不属于背调范围。
查到了与岗位无关的问题怎么办。
不写进报告，也不拿它做决策。这条守不住，前面做的授权和范围控制就都白费了。
最后说一句实话：
合规不是给背调加一道手续，而是让查出来的每一条都拿得出依据。手续能省，依据省不了。
溯源背调做企业雇前背调这些年，服务过从初创公司到上市集团的上千家企业，交付报告几万份。被问得最多的，就是上面这四个问题。我们的做法很朴素：授权模板按岗位配，核查项按必要性来，访谈全程留痕，报告只写可追溯的事实。
如果你现在正卡在"我们这么做到底合不合规"，把具体情况说给我们听。上千家企业踩过的坑，我们大概率都见过。
