個人情報保護法と採用実務｜取得・利用・保管・提供・本人の権利を一枚に並べる

副業で人事を受けると、初日から他人の個人情報の真ん中に座ることになります。応募書類、面接の記録、評価シート、内定者の住所、入社後の家族構成。会社によっては、外部の人間にどこまで見せてよいか決まっていないまま、共有フォルダの権限だけ渡されます。この記事は、採用まわりで個人情報保護法をどう読むかを、条文に沿って一枚に並べたものです。結論を先に書くと、個人情報保護法は、取得（第19条〜第21条）、利用（第17条・第18条）、保管（第22条〜第26条）、第三者提供（第27条）、本人の権利（第32条〜第35条）という順に義務を並べており、採用の場面ではこれに加えて職業安定法第5条の5が「その業務の目的の達成に必要な範囲内で…当該目的を明らかにして求職者等の個人情報を収集し、並びに当該収集の目的の範囲内でこれを保管し、及び使用しなければならない」という枠をかけています。個別の判断は弁護士や個人情報保護委員会・ハローワーク・都道府県労働局にご確認ください。面接での質問の線引きは面接で聞いてはいけないことに、保存期間は候補者情報の保有期間にまとめています。

三つの言葉を区別する

条文を読むときに最初につまずくのが、似た言葉が三つあることです。定義は第16条にあります。

個人情報取扱事業者。同条第2項は「個人情報データベース等を事業の用に供している者」と定義し、国の機関、地方公共団体、独立行政法人等、地方独立行政法人を除いています。規模による除外は書かれていません。採用管理システムや応募者一覧のスプレッドシートを持っている会社は、ここに入ります。

個人データ。同条第3項は「個人情報データベース等を構成する個人情報」と定義しています。整理されて検索できる状態になっているもの、ということです。面接官の手元の走り書きと、採用管理システムに登録された応募者情報とでは、かかる義務が変わります。

保有個人データ。同条第4項は「開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ」であって、政令で定めるもの以外のもの、と定義しています。本人からの開示請求などが向くのは、この保有個人データです。

実務での効き方。この区別を押さえると、「どこまでやるべきか」が場面ごとに変わることが分かります。応募者情報をシステムに登録した時点で個人データになり、安全管理措置や第三者提供の制限がかかります。副業で入る側としては、自分がどの段階の情報に触れているかを意識しておくと、判断を間違えにくくなります。

取得・利用・保管・提供の四つ

条文を、採用の流れに沿って並べ替えます。

取得（第19条・第20条・第21条）。第19条は「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない」（不適正な利用の禁止）、第20条第1項は「偽りその他不正の手段により個人情報を取得してはならない」、第2項は法定の場合を除き「あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない」と定めています。第21条第1項は「個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」、第2項は、本人から直接書面に記載された個人情報を取得する場合は「あらかじめ、本人に対し、その利用目的を明示しなければならない」と定めています。応募フォームは、まさにこの第2項の場面です。

利用（第17条・第18条）。第17条第1項は「その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない」、第2項は、利用目的の変更を「変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」と定めています。第18条第1項は「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」と定めています。

保管（第22条〜第26条）。第22条は「利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」、第23条は「その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない」、第24条は従業者に対する「必要かつ適切な監督」、第25条は委託先に対する「必要かつ適切な監督」を定めています。第26条は、個人情報保護委員会規則で定める事態が生じたときの委員会への報告を定めています。

第三者提供（第27条）。「次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない」。除外として、法令に基づく場合などが列挙されています。

本人の権利（第32条〜第35条）。第32条は保有個人データに関する事項を「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない」、第33条は開示の請求、第35条は、第18条・第19条違反で取り扱われているとき、または第20条違反で取得されたときの利用停止等の請求を定めています。

エラベルの見解

担当する側から見ると、この分野で会社が本当に困っているのは条文の知識ではなく、「外部の人にどこまで見せてよいか」が決まっていないことです。副業の人事を入れた会社は、たいていその整理をしないまま採用管理システムのアカウントを発行します。こちらから言い出さないと、誰も気づきません。

実務で最初にやるのは、自分の立場を明文にしてもらうことです。個人情報保護法第24条は従業者に対する必要かつ適切な監督、第25条は委託先に対する必要かつ適切な監督を定めています。副業の人事が業務委託で入る場合、会社から見れば委託先の監督の話になります。契約書に、扱う情報の範囲、持ち出しの可否、終了時の返却と削除、再委託の可否を書いてもらう。これは会社を守ると同時に、こちらも守ります。情報を触る立場の人間が、自分から「線を引きましょう」と言えるかどうかは、信用の分かれ目です。エラベルでは、依頼側が担当者の経歴を見て選ぶ仕組みなので、この提案ができる人は、制度まわりの案件で指名されます。

採用の現場で作るもの

副業の人事が作るのは、次の形です。個別の適否の判断は弁護士や個人情報保護委員会・ハローワーク・都道府県労働局にご確認ください。

面接官のメモが抜け落ちます。システムの権限は設計しても、面接官が手元のノートやSlackのDMに残す情報は抜けます。評価は所定のシートに書く、面接後はその場で提出する、といった運用にすると、散らばりが減ります。

採用と入社後は別に考えます。入社に至った人の情報は、採用の目的から人事労務の目的に移ります。第17条第2項が利用目的の変更を「変更前の利用目的と関連性を有すると合理的に認められる範囲」に限っているので、募集時の利用目的の書き方が、ここで効いてきます。マイナンバーはさらに別の枠なので、マイナンバーの取り扱いに分けて整理しています。

エラベルの見解

外に出してよいのは、利用目的の文案、明示と公表の置き方、取得しない項目の一覧、権限の表、委託の取り決めの項目立て、保存と消去の設計、漏えい時の連絡順までで、「この記載で法令上足りるか」「この事象が報告対象に当たるか」といった個別の判断は、弁護士や個人情報保護委員会の範囲です。副業の人事が持つのは、手続と材料と設計であって、法的な結論ではありません。

担当する側から見ると、この仕事が厄介なのは、成果が「何も起きないこと」だからです。整理しても採用数は増えず、褒められることもありません。だからこそ、着手するときに、この作業が何を防いでいるのかを言葉にして渡しておきます。応募者からの開示請求に答えられない状態、面接官のメモが外に出る状態、退職した担当者のアカウントが生きている状態。具体的に並べると、経営が判断できます。実務では、まず棚卸しを一枚の表にして見せるのが早い。どこに何があり、誰が見られるか。この表が出た瞬間に、会社は自分で動き出します。指摘ではなく可視化で動かすのが、この領域の勘どころです。エラベルは依頼側が担当者を選べる仕組みなので、この手の整理をやり切った経験は、経歴に書いておくと効きます。

まとめ

• 定義は第16条。個人情報取扱事業者は「個人情報データベース等を事業の用に供している者」で、規模による除外は書かれていない
• 取得は第19条（不適正な利用の禁止）・第20条（偽りその他不正の手段による取得の禁止、要配慮個人情報の取得制限）・第21条（利用目的の通知・公表・明示）
• 利用は第17条（できる限り特定）・第18条（目的の達成に必要な範囲を超えない）
• 保管は第22条（正確性・消去）・第23条（安全管理措置）・第24条（従業者の監督）・第25条（委託先の監督）・第26条（漏えい等の報告）
• 提供は第27条、本人の権利は第32条〜第35条
• 採用では、これに職業安定法第5条の5の「業務の目的の達成に必要な範囲内」「収集の目的の範囲内での保管・使用」が重なる。個別の判断は弁護士や個人情報保護委員会にご確認ください

よくある質問

副業で入る自分は、どういう立場になりますか

会社から見れば、個人データの取扱いを任せる相手なので、個人情報保護法第25条の「委託先の監督」の枠で考えるのが自然です。同条は「個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めています。雇用契約で入る場合は第24条の「従業者の監督」の枠になります。いずれにせよ、扱う情報の範囲、持ち出しの可否、終了時の返却と削除、再委託の可否を契約書に書いてもらうのが実務です。位置づけの個別の判断は、弁護士にご確認ください。

応募フォームに利用目的を書いていませんでした

個人情報保護法第21条第2項は、本人から直接書面（電磁的記録を含む）に記載された個人情報を取得する場合は「あらかじめ、本人に対し、その利用目的を明示しなければならない」と定めています。第1項は、あらかじめ利用目的を公表している場合を除き、取得後速やかに本人に通知または公表することを定めています。実務としては、まず利用目的の文を第17条第1項の「できる限り特定」に耐える粒度で作り、応募フォームと採用ページの両方に置きます。すでに取得した分の扱いについては、弁護士や個人情報保護委員会にご確認ください。

応募者から「私の情報を見せてほしい」と言われました

個人情報保護法第33条第1項は、本人が保有個人データの開示を請求できることを定め、第2項は、請求を受けたときは遅滞なく開示しなければならないことと、その例外を定めています。また第32条は、保有個人データに関する事項を本人の知り得る状態に置くことを定めています。実務では、請求の窓口、確認の方法、回答の期限、開示しない場合の理由の伝え方を、先に決めておきます。職業安定法の指針も、個人情報の適正な管理の措置について、求職者等からの求めに応じて説明しなければならないとしています。個別の回答内容や範囲の判断は、弁護士や個人情報保護委員会にご確認ください。