是的，必须取得候选人书面授权同意。根据《个人信息保护法》第十三条、第十四条，处理个人信息应当取得个人的同意，且该同意应当由个人在充分知情的前提下自愿、明确作出。建议在背调授权书中明确告知候选人：调查目的、调查范围、信息使用方式、保存期限等事项。

可以调查：与岗位直接相关的信息，如身份信息、学历学位、工作经历、职务权限、专业资质、离职原因、工作表现等。

不可以调查：与工作无关的个人隐私，如家庭情况、婚姻状况、宗教信仰、政治面貌（除非岗位特殊要求）、银行账户、通讯记录、医疗记录（除非涉及职业病风险岗位）、犯罪记录（除非岗位有特殊法律法规要求）等。

可以，但需注意：1) 委托前必须取得候选人书面授权同意；2) 选择具有合法资质的背调机构；3) 与第三方机构签订保密协议，明确双方权利义务；4) 调查范围仍限于与岗位相关的信息；5) 依据《个人信息保护法》第二十一条，对受托人的个人信息处理活动进行监督。

候选人有权拒绝背调，但企业也有权因此不予录用。关键是要在招聘时明确告知候选人背调政策，让候选人在充分知情的情况下做出选择。建议在招聘公告或面试通知中提前说明背景调查政策，避免在入职前最后环节才告知候选人。

1) 对发现的差异进行客观分析，判断是否属于关键信息差异；2) 给候选人解释和申辩的机会；3) 区分"简历夸大"与"虚假陈述"，前者可能仅是美化，后者涉及诚信问题；4) 结合岗位要求综合评估；5) 如决定不予录用，应遵守诚实信用原则，避免给候选人造成不必要的损失。

依据《个人信息保护法》第十九条，个人信息的保存期限应当为实现处理目的所必要的最短时间。录用候选人的信息并入员工档案管理；未录用候选人的信息应在其同意的保存期限届满后及时删除或匿名化处理。信息管理应采取加密、去标识化等安全技术措施，防止信息泄露、篡改、丢失。