2026年4月，某跨国企业委托一家持证经营性人力资源服务机构开展高管岗位背景调查，后者在未获劳动者单独书面授权、未说明数据出境目的的情况下，将包含身份证号码、银行流水摘要及前雇主评价等信息的电子档案同步至其注册于境外的云存储平台。事件曝光后，省级人社部门联合网信办对该机构立案调查，认定其行为同时违反《人力资源市场暂行条例》及《个人信息保护法》，责令立即删除境外数据副本，并处以4.8万元罚款。
根据知识库材料[4]第二条‘经营性人力资源服务机构相关责任’，机构‘不得泄露或者违法使用所知悉的商业秘密和个人信息’——这是对其数据处理行为设定的绝对禁止性义务。该条款虽未详述‘违法使用’的具体情形，但结合《个人信息保护法》第三十八条及第六十条，向境外提供个人信息必须满足‘通过安全评估、经专业认证或订立标准合同并备案’三项法定条件之一，而本案中机构完全未履行任何前置程序。
更需警惕的是，材料明确要求机构‘应对用人单位所提供的材料（如招聘简章、营业执照、委托证明等）的真实性、合法性进行审查’，这意味着：接受委托不等于照单全收，对委托方提出的超范围、高风险数据需求，机构负有主动合规审查与拒绝义务。若为承揽业务而放任违法要求，即构成共同违法。此外，条例还规定机构须‘如实记录服务对象、服务过程、服务结果等信息，保存服务台账2年以上’，该台账正是追溯数据流向、厘清责任边界的关键证据。
值得注意的是，所有个人信息处理活动均须遵循‘最小必要’原则。例如，背景调查通常无需原始银行流水，而应以经脱敏的‘薪资区间确认函’替代。材料虽未细化技术标准，但‘不得泄露或者违法使用’的刚性表述，已为司法与执法提供明确裁量基准。劳动者一旦发现个人信息被违规跨境传输，可直接向当地人社部门举报，亦可依据《个人信息保护法》第四十九条提起民事诉讼，主张精神损害赔偿。
科目：高级经济实务人力资源管理
考点：规范人力资源市场管理和服务
