《个人信息保护法》规定，处理个人信息应当取得个人同意外，有6种情形可不需取得个人同意，其中包括“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”这一情形。

如果企业依照《劳动合同法》第4条的民主程序建立或修改的劳动规章制度，规章制度中包含了企业可以因人力资源管理的需求而收集必要的员工信息的相关条款，那么企业收集员工的必要的个人信息不需取得员工的同意。但是，企业仍需要向员工履行告知义务。告知的事项包括：个人信息的处理目的、处理方式，处理的个人信息种类、保存期限，个人行使法律规定权利的方式和程序等。

对于员工入职前的背景调查，严格来说不属于前述为订立劳动合同所必须的行为。如企业针对特殊岗位需要对员工进行背景调查，建议在招聘环节取得劳动者的书面同意，并结合员工手册等相关规章制度自行审查拟调查的内容是否满足招聘员工的目的。

为了防止过度收集个人信息，企业仍需采取相应的措施符合该规定的要求，包括设置公司内部管理制度和操作规程，对员工个人信息实施分类管理，采取安全技术措施，对处理员工个人信息的人员（如人力资源管理部门的人员等）进行培训，明确相关人员的操作权限，并制定及组织实施应急预案等。

此外，《个人信息保护法》第50条规定：“个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”

因此，企业还应为员工建立对于个人信息处理的投诉处理渠道，如果员工提出行使对公司处理其个人信息的知情权、查阅权、删除权、更正权等被公司拒绝的，员工可能向法院起诉。《个人信息保护法》第50条规定的公司拒绝员工行使个人信息相关权利的请求的情形，将可能成为劳资纠纷中的新问题。

有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。”

上述法律责任条款中规定的罚款金额上限高达五千万元或者上一年度营业额百分之五，比欧盟、美国加州等地规定的惩处力度更高，体现了国家严惩违法处理个人信息行为的决心。本法将在2021年11月1日起施行，企业应重视经营过程中对个人信息的保护，积极履行作为信息处理者的义务，包括尽早完成相关内部管理规程制度的制定、修订，个人信息管理组织架构的设置等建设。