Q&A：公司调查员工时，把他的亲属和关联公司都画进关系图，合法吗？

一、问题引入

企业发现一笔异常采购后，为了看清员工、供应商、账户和项目之间的关系，往往会制作一张关系图。调查越往下走，图上可能出现员工的配偶、父母、兄弟姐妹，以及由这些人登记或者经营的公司。

但亲属不是公司的员工，也不因为与员工有关系，就自动成为调查对象。公司能不能把这些人画进图里，关键不在于软件能不能画，而在于信息从哪里来、为什么必须使用、使用到什么程度。

二、法律问题翻译

需要回答三个问题：

1. 企业处理员工及其亲属的个人信息，有没有合法处理基础？
2. 公开信息、内部信息和敏感个人信息，使用边界是否相同？
3. 关系图应当如何控制字段、权限、保存期限和对外披露？

三、先说结论

• 为核验具体舞弊线索，企业可以在有合法处理基础、合法来源、明确目的且确有必要的范围内制作关系图，但不能无限扩张。
• 依法制定的劳动规章制度可以为必要的人力资源管理提供处理基础，却不等于公司可以查看员工全部私人生活。
• 亲属属于第三人，其信息与劳动管理的联系通常更弱；只有与具体交易、账户、控制或利益线索直接相关时，才有纳入的必要性。
• 已经公开的信息也不能任意拼接、画像和传播；金融账户、行踪轨迹等敏感个人信息，还需要更严格的必要性审查和保护措施。

四、裁判要旨与参考案例

指导性案例194号中，行为人购买微信账号和求职人员的姓名、电话等信息，再用于批量添加好友、制作账号、转卖牟利。江西省丰城市人民法院作出有罪判决，判决生效。

最高人民法院归纳的裁判要点明确：个人信息即使已在一定范围内公开，未经本人同意或者没有其他法定理由，通过购买、收受、交换等方式取得后改变公开范围、目的和用途并作非法利用，也不属于合理处理。

这个案例处理的是侵犯公民个人信息犯罪，情节和企业依法开展内部调查并不相同。它能提示的是：公开可见不等于可以随意汇总使用；不能据此反推企业只要处理亲属信息就构成犯罪。

案件来源：指导性案例194号：熊昌恒等侵犯公民个人信息案，江西省丰城市人民法院（2021）赣0981刑初376号刑事判决，一审判决已生效。

五、律师建议

第一，先写清调查目的。不要笼统写“了解员工社会关系”，而应写明要核验哪一笔交易、哪一个供应商或者哪一条资金线索。目的越具体，越容易判断哪些信息确有必要。

第二，把人员分层。员工、供应商经办人、与异常交易直接相关的亲属，以及仅因同姓或家庭关系出现的人，不应使用同一处理强度。没有具体关联的亲属，原则上不进图。

第三，给每个字段注明合法来源。工商登记、公司依法保存的业务记录、员工按制度提交的信息和待有权机关调取的信息要分开。不得购买非法数据、冒名登录私人账号，或者绕过权限复制个人设备内容。

第四，工作底表和展示图分开。核验所需的完整字段只在最小团队内受控保存；给管理层看的图用编号、掩码或者化名，对外版本再按程序审查。图上只写“亲属”“登记股东”等已证实关系，不写“共犯”“白手套”等结论性标签。

第五，建立删除和更正机制。记录谁在何时因什么目的查看、修改和导出；线索排除后及时调整节点，对错误关联保留更正记录，并按制度确定保存期限。

六、最后的话

关系图可以帮助企业看清问题，但不能把一个人的家庭生活变成没有边界的调查区。

该画谁，不取决于他和员工关系有多近，而取决于他和这笔异常业务关系有多直接。目的明确、来源合法、范围最小，才是一张关系图可以继续使用的前提。