个人信息保护法·内部调查相关边界（要点与关键条文）

以下为个人信息保护法中与企业内部调查取证边界最相关的要点。为避免条号位移带来的偏差，本页以要点方式呈现、并标注对应制度，条文原文请以官方发布为准。

一、总则性原则（处理个人信息的四把尺子）

• 合法、正当、必要、诚信原则：处理个人信息应当遵循合法、正当、必要和诚信原则，不得以误导、欺诈、胁迫等方式处理。——对应个人信息保护法总则原则条款。
• 目的明确、最小必要：处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集。——这是判断"调查取证有没有越界"的核心标尺。
• 公开透明、质量、安全、担责：处理规则应公开、目的方式范围应告知，并对处理活动负责、采取安全措施。

二、处理的合法性基础（"凭什么可以处理"）

处理个人信息应当具备法定的合法性基础。除取得个人同意外，法律还规定了不需取得个人同意即可处理的若干情形（例如为订立、履行个人作为一方当事人的合同或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，以及法律、行政法规规定的其他情形等）。企业在人力资源管理与内部合规调查中处理员工信息，是否落入上述情形、边界如何把握，应结合具体场景与现行条文判断。

三、敏感个人信息与特别限制

对敏感个人信息（如生物识别、金融账户、行踪轨迹等）以及在特定情形下的处理，法律设有更严格的条件与告知要求。调查中若确需触及此类信息，门槛更高、更应审慎，通常需要充分的合法性基础与最小化处理。

四、法律责任（越界的代价）

• 民事责任：处理个人信息侵害权益造成损害的，应依法承担损害赔偿等民事责任。
• 行政责任：违法处理个人信息的，可由履行个人信息保护职责的部门责令改正、没收违法所得、罚款，情节严重的可处更高额罚款并对直接责任人员处罚。
• 刑事风险：违反国家有关规定，向他人出售或者提供公民个人信息，或者非法获取公民个人信息，情节严重的，可能触犯《刑法》侵犯公民个人信息罪。——这也是"私查流水、私调通讯记录"最危险的地方。