近年来，我们目睹了世界各地隐私保护要求的显著收紧。欧洲的GDPR、加利福尼亚州的CCPA、加拿大的PIPEDA以及许多国家的其他立法，为个人信息管理树立了新的标准。在以色列，《隐私保护法》第13号修正案是朝这一方向迈出的又一重要步伐。
对于基于公开来源情报（OSINT）开展背景调查的组织而言，有时会产生这样一个疑问：这些法规是否会使此类调查变得不可能，或损害其有效性。
专业的回答是否定的。
法规改变了开展调查的方式，但并未消除对调查的需求，也不会阻碍以专业、合法且适度的方式进行高质量的调查。
什么是《隐私保护法》第13号修正案？第13号修正案旨在加强隐私保护局的执法能力，并使以色列法律与现代国际标准接轨。除其他事项外，该修正案赋予隐私保护局更广泛的执法权力，大幅提高罚款金额，要求组织更负责任地管理个人信息，加大数据库所有者和数据处理者的问责力度，并强化数据主体的权利。在实践中，对组织而言其含义是：违反隐私规定可能转变为重大的商业、法律和声誉风险。
隐私法规如何影响背景调查？最常见的错误是认为隐私立法禁止收集信息。事实上，世界上大多数法规并未全面禁止收集个人信息。它们要求收集应基于明确的原则进行：合法目的、适度性、透明度、数据最小化、信息安全以及有时限的保存。也就是说，问题不在于“是否允许收集信息？”，而在于“收集了哪些信息、为何收集以及如何使用？”。
使用OSINT并不免除隐私法的适用。还存在另一种错误认知，认为在互联网上发布的信息是“可自由使用的”。信息存在于网络上这一事实，并不能否定其属于个人信息。例如：LinkedIn个人资料、社交媒体上的帖子、新闻报道、商业登记以及论坛中的内容。所有这些都可能被视为个人信息并受隐私法约束。因此，开展背景调查的组织不能仅凭信息曾经是“公开的”这一说法作为依据。
如何在符合法规的前提下开展高质量的背景调查？
明确界定目的：背景调查应与组织寻求降低的风险直接相关。例如：发现利益冲突、识别过往的欺诈行为、发现可能损害组织的行为、审查声誉风险以及识别有问题的业务关系。收集与该目的无关的信息可能被视为违背适度性原则。
仅收集相关信息：专业的调查不以所收集信息的数量来衡量，而以信息的质量来衡量。在许多情况下，信息过剩反而会使决策更加困难。正确的做法是聚焦于具有真正商业价值的信息，并将其与所需的风险评估相联系。
使用人工分析师：自动化调查的核心问题之一是在缺乏背景的情况下大规模收集信息。专业的分析师懂得区分事实与观点、交叉核对来源、识别身份辨识中的错误、理解文化和语言背景并运用判断力。恰恰是在监管严格的世界里，人的因素的价值反而上升。
在需要时保持透明并取得同意：在员工招聘流程或某些合作关系中，建议取得开展背景调查的明确同意。即使法律并未完全要求这样做，明确的同意也能增强流程的正当性并降低法律风险。
删除信息与限制保存：大多数隐私法规的基本原则之一是限制保存期限。在完成调查并作出商业决策之后，应审查是否有理由继续保存信息、是否可以删除报告，以及是否只需部分保存数据。这种做法可降低信息安全风险并减少监管方面的暴露。
隐私时代恰恰凸显OSINT的优势：颇为矛盾的是，隐私法规反而强化了高质量OSINT调查的地位。过去，许多组织依赖于从众多数据库中收集信息，其中一些在法律上存在问题。如今，重点正转向从公开、合法、有记录且可核实的来源所收集的信息。当调查以专业方式进行时，即使无法获取私密或机密信息，也能得出有意义的洞见。在许多情况下，恰恰是公开的信息提供了有关行为、业务关系、声誉风险或利益冲突的最重要迹象。
关键在于Governance而非禁止：第13号修正案以及世界各地隐私法规的核心信息并不是“不要开展背景调查”。其信息是：以负责任的方式开展调查。那些建立有序工作流程、注重适度性、运行控制机制并使用专业分析师的组织，即使在严格的法规之下，也能够继续开展极为有效的背景调查。
事实上，在一个内部威胁、欺诈、基于AI的冒充以及利益冲突日益复杂的世界里，对专业背景调查的需求只会不断增长。
新的挑战不在于找到信息。挑战在于懂得收集正确的信息、以合法的方式使用它，并从中提炼出对决策具有真正价值的洞见。