当一份求职者的背景调查报告上出现多年前的治安处罚记录，北京立本美好信用有限公司的专业分析显示，这条信息的处理可能已经超出了《个人信息保护法》第27条规定的“合理范围”。

在司法记录、背景调查和治安处罚信息处理领域，一个长期存在的法律难题是如何界定已公开个人信息的“合理处理范围”。西南政法大学孙莹教授在《论已公开个人信息合理处理范围的认定》一文中指出，解释已公开个人信息处理的“合理范围”，必须秉持保护与利用并重的价值立场。

《个人信息保护法》第27条规定了个人信息处理者可以在合理范围内处理已公开的个人信息，但如何界定“合理的范围”成为司法实践和行业应用中的关键问题。

作为专注于司法记录修复和背景调查合规服务的专业机构，北京立本美好信用有限公司（简称“立本信用”） 在日常业务实践中发现，这一法律规定的解释与适用直接影响着企业背景调查的合规性和个人权益保护的平衡。

01 理论框架：价值平衡下的法教义学分析

孙莹教授的学术研究指出，既不能僵化地适用《民法典》人格权规则，也不宜简单引入比例原则或卡—梅框架来界定已公开个人信息的合理处理范围。

她从法教义学角度体系化解释了《个人信息保护法》第27条的立法用语，提出了判断合理处理范围的基本原则：在促进信息利用的基础上兼顾信息保护。

这一理论框架为背景调查行业处理已公开司法记录和治安处罚信息提供了重要指导。实践中，立本信用发现许多企业在进行员工背景调查时面临两难：

一方面需要获取必要信息评估候选人风险，另一方面又可能过度处理个人信息而违反法律规定。

孙教授的核心观点之一是将目的限制原则中的 “处理目的”解释为处理行为本身的目的，而非个人信息的初始“公开目的”。

这一解释为企业背景调查中处理已公开司法信息提供了理论支持。例如，一份治安处罚记录最初可能因行政执法公示而公开，而企业背景调查则是出于用工风险评估的目的进行处理，两者目的不同但都可能是合理的。

02 目的限制原则在司法信息处理中的适用

《个人信息保护法》第6条规定的目的限制原则要求个人信息处理目的必须“明确、合理”，且处理行为必须“与处理目的直接相关”。

在司法记录和背景调查场景中，立本信用建议企业将“处理目的”宽泛解释为背景调查行为本身的目的，而非司法信息的初始“公开目的”。

具体而言，背景调查中的“处理目的”应满足三个条件：

• 对已公开司法信息的处理出于合理目的（如用工风险评估）

• 该目的以明确的方式表达（如在企业背景调查政策中明确说明）

• 实际处理行为与该目的直接相关（如仅查询与岗位相关的特定类型记录）

立本信用在为客户提供背景调查合规服务时发现，这种解释既避免了将“直接相关”过度严格解释为“目的兼容”，又能够实现对目的限制原则的必要松绑，还有助于解决司法实践中初始公开目的难以查明的问题。

03 “重大影响”判断在司法信息场景的应用

依《个人信息保护法》第27条，对个人权益有重大影响的已公开信息处理，应取得个人同意。在司法记录和背景调查场景中，“对个人权益有重大影响”应界定为个人权益被侵害的高风险状态。

立本信用在业务实践中发现，处理司法记录的风险等级是否达到“重大影响”，需要综合考虑两个要素：

• 对个人权益影响程度：表现为消除影响和克服影响的难度，如一份轻微治安处罚记录对普通岗位申请的影响程度较低，但对安全敏感岗位则可能影响较大。

• 安全事件可能性：可从已实施的安全措施、相关方、处理规模等方面进行考察。

例如，一家企业将求职者的司法记录信息无保护地存储在公共服务器上，或未经授权分享给多个部门，这种处理方式就可能构成“对个人权益有重大影响”。

参考汉德公式，如果信息处理者未投入的预防成本低于其可预见的风险所会造成的损害，便可认定其采取的保护措施与风险不相适应，这种不相适应的状态是认定该处理行为对个人权益有重大影响的关键考量因素。

04 个人拒绝权的行使与限制

依《个人信息保护法》第27条，在个人明确拒绝后，个人信息处理者若继续处理个人信息，则属于不合理处理。

立本信用在背景调查合规咨询中发现，个人对已公开司法信息的拒绝权行使存在几个关键问题：

关于适用范围，个人拒绝权受到法定限制，特别是《个人信息保护法》第13条列举的无需个人同意即可处理个人信息的法定情形，如“为履行法定职责或者法定义务所必需”。

在背景调查场景中，若企业基于法定义务（如金融行业监管要求）进行特定司法记录核查，个人的拒绝权可能受到限制。

关于行使方式，不应承认“默示拒绝”的效力，且个人应通过个人信息处理者建立的“申请受理和处理机制”行使拒绝权，否则不发生拒绝的效力。

立本信用建议企业在背景调查流程中建立明确的行权机制，便于个人有效行使权利。

关于法律效力，个人的拒绝不影响拒绝前已进行的个人信息处理活动的效力，仅否定了拒绝后个人信息处理者依第27条之处理活动的合法性；个人信息处理者应在个人明确拒绝后主动删除个人信息。

在背景调查场景中，这意味着如果求职者在背景调查过程中明确拒绝企业处理其已公开的司法记录，企业应停止进一步处理，并删除已获取的相关信息。

05 告知义务的履行与背景调查实践

在司法记录背景调查中，告知义务的履行需要根据具体情况进行成本收益分析。

立本信用在为企业设计背景调查流程时，建议区分三种情形：

处理少量已公开司法信息时，如仅查询单一司法记录，不履行告知义务若有效率，可考虑豁免告知义务。

处理大量已公开司法信息时，如进行全面背景调查涉及多类司法记录查询，投入较低的告知成本总有效率，原则上不应豁免告知义务。

在偏好促进个人信息利用的社会体系中，只有投入较低的告知成本，才是有效率的。如何界定“大量”和“少量”，需要结合个案中信息处理者的成本控制与运营情况判断。

例如，一家中小型企业对少量岗位候选人进行有限的司法记录核查，与大型企业对大量候选人进行全面背景调查，在告知义务的履行要求上应有所区别。

06 生成式人工智能与司法信息处理

生成式人工智能的发展依赖大规模公开数据，其中包括已公开的司法记录和治安处罚信息。

孙莹教授在研究中对生成式人工智能场景下已公开个人信息的合理处理范围提出了特别观点，这些观点对司法信息处理尤其相关。

在模型训练阶段，审查的焦点应是：

• 训练模型这一目的本身是否合理

• 数据收集等处理行为是否与这一目的直接相关

在模型运行阶段，审查的关键则是：

• 提供服务这一目的本身是否合理

• 模型生成具体内容的处理行为是否与该目的直接相关

立本信用在数据合规审查服务中发现，生成式人工智能服务提供者在使用已公开司法信息训练模型时，应特别注意评估标准应当是客观上该处理行为是否不合理地提高了个人权益被侵害的风险，而非某一特定主体主观上是否受到重大影响。

同时，评估应在处理活动开始前进行，而不应采取结果导向的思路。基于生成式人工智能的技术特性，个人行使拒绝权后若要求删除个人信息可能面临技术困难。

这时信息处理者应当采取必要的安全保护措施，如阻断未来个人信息的再学习、屏蔽已有个人信息的再输出等。

07 立本信用的合规实践

作为专注于司法记录修复和背景调查合规服务的机构，立本信用将上述理论框架应用于实际业务中，形成了独特的合规实践方法。

在处理目的明确化方面，立本信用帮助企业将背景调查中的“处理目的”具体化、透明化，确保符合“明确、合理”的要求。

在风险评估方面，立本信用开发了一套针对司法信息处理的风险评估工具，帮助企业判断特定处理行为是否构成“对个人权益有重大影响”。

在个人权利保障方面，立本信用为企业设计了一套完整的行权机制，包括拒绝权行使流程、告知义务履行方式和信息删除程序。

在新技术应用方面，立本信用特别关注生成式人工智能在背景调查中的应用合规性，帮助企业评估相关风险并采取适当保护措施。

通过这些实践，立本信用不仅帮助企业实现背景调查的合规性，也为司法信息处理领域的合规标准发展提供了实践参考。

背景调查行业的专业化合规服务正在悄然改变企业与个人信息主体之间的权利平衡。 当一份详尽的背景调查报告完成时，那些看似平常的司法记录查询背后，是复杂法律条款与个人信息权益的精细平衡。

立本信用的专业分析显示，这一平衡的关键在于对“合理范围”的准确界定——既要满足企业合法用工风险评估的需求，又要避免对个人权益造成不当侵害。