结论：公司老板利用个人身份证查询员工信息是否违法，需根据查询的具体内容、方式及目的综合判断，但未经员工同意或法定授权，擅自查询其敏感个人信息（如身份证号、家庭住址、银行账户等）通常涉嫌违法。以下从不同角度详细分析：

1. 查询内容是否涉及“敏感个人信息”

根据《个人信息保护法》第28条，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。若老板查询的是员工身份证号、家庭住址、银行账户等敏感信息，且未取得员工明确同意或无法律依据（如税务申报、社保办理等法定事由），则可能构成违法。

例外情形：若查询内容仅为员工姓名、性别、入职时间等普通个人信息，且用于公司正常管理（如制作工牌、统计考勤），通常不违法，但仍需遵循“最小必要”原则，不得过度收集。

2. 查询方式是否合法

• 通过非法渠道查询：若老板通过黑客攻击、购买内部数据、冒用身份等非法手段获取员工信息，无论信息是否敏感，均涉嫌违反《刑法》第253条之一（侵犯公民个人信息罪），可能面临刑事处罚。
• 通过合法渠道但越权查询：若老板利用公司管理权限（如HR系统）查询员工信息，但超出职务范围（如查询非直属下属信息），或泄露给第三方，可能违反《个人信息保护法》第9条（个人信息处理者的合规义务），需承担行政责任或民事赔偿。

3. 查询目的是否正当

即使查询方式合法，若目的不正当（如打击报复、泄露隐私、非法交易），仍可能构成违法。例如：

• 老板因员工提出劳动仲裁，擅自查询其银行流水以寻找“把柄”，属于滥用权利，可能被认定为侵权；
• 老板将员工信息出售给第三方（如催收公司），涉嫌违反《个人信息保护法》第10条（禁止非法买卖个人信息），需承担刑事责任。

4. 员工如何维权

若员工发现老板违法查询其信息，可采取以下措施：

1. 收集证据：保存查询记录（如系统截图、邮件、聊天记录）、信息泄露的证据（如收到骚扰电话）；
2. 向公司投诉：要求公司停止侵权、删除信息，并书面答复；
3. 向监管部门举报：向当地网信办、劳动监察部门投诉，要求查处违法行为；
4. 提起诉讼：若造成损失（如精神损害、财产损失），可起诉要求赔偿。

5. 对公司的建议

为避免法律风险，公司应：

• 完善制度：制定《个人信息保护制度》，明确查询权限、流程及责任；
• 获得同意：查询敏感信息前，需取得员工书面同意（如入职时签署《授权书》）；
• 限制访问：通过技术手段（如权限分级、日志审计）防止越权查询；
• 定期培训：对HR、管理层进行合规培训，强化隐私保护意识。

总结：老板查询员工信息是否违法，需结合内容、方式、目的综合判断。若涉及敏感信息、非法手段或不正当目的，员工可依法维权。公司应主动合规，避免法律风险。如有具体案例或疑问，可直接向我咨询。