採用代行と個人情報保護法｜委託先の監督義務

採用代行に業務を任せると、候補者の情報を社外の担当者が扱うことになります。ここで押さえておきたいのは、委託しても、委託元である自社の責任がなくなるわけではないという点です。個人データの取り扱いを外部に委託する場合、委託元には委託先を監督する立場が生じると一般に整理されています。この記事では、その監督を実務としてどう形にするかを整理します。なお、個別の判断は事業の内容や体制で変わるため、具体的な対応は専門家にご確認ください。

委託・第三者提供・共同利用の違い

まず、採用代行に情報を渡す行為がどの類型にあたるかを整理します。個人データを他社に渡す場面は、一般に次のように分けて説明されます。

採用代行への情報の受け渡しは、一般に委託として整理されることが多い形です。委託の場合、渡した先が自らの目的で情報を使うことは想定されていません。だからこそ、委託元には委託先の取り扱いを見ておく立場が残ります。

この整理は建て付けによって変わり得ます。代行会社が自社の候補者データベースを使って提案してくる場合など、実態が委託と言えるかどうかは個別の検討が要ります。契約の形と実際の運用がずれていないかを見るところです。

監督として実務で行うこと

委託先の監督は、一般に次の三つの局面で説明されます。抽象的な義務に見えますが、実務に落とすと具体的な作業になります。

一.委託先を選ぶとき。取り扱いを任せるにふさわしい体制があるかを確認します。実務としては、社内の管理体制、従業員への教育、再委託の有無、過去の事故の有無などを聞くことになります。商談の段階で質問し、答えを記録に残しておきます。

二.契約で取り決めるとき。取り扱いの範囲、目的外に使わないこと、再委託の条件、契約終了時の返還または削除、事故が起きたときの報告。これらを契約または覚書に落とします。秘密保持の取り決めとは目的が違うので、分けて整理するほうが分かりやすくなります。候補者情報とNDAの範囲とあわせて確認するところです。

三.取り扱いの状況を把握するとき。締結して終わりではなく、実際にどう扱われているかを定期的に確認します。実務では、定例会で運用状況を聞く、年に一度チェックシートに回答してもらう、アクセス権の一覧を見直す、といった形になります。

この三つを記録として残しておくことが、監督の実態を作るうえで大きな意味を持ちます。やっていても記録がなければ、説明が難しくなります。

エラベルの見解

監督というと重い作業に聞こえますが、実務でやることは採用代行の運用管理とほとんど同じです。誰が担当するのか、どこに情報を置くのか、権限は誰が持つのか、契約が終わったら何が残るのか。これらは費用と品質の管理でも確認する項目です。

だから、監督のためのチェックを別立てで作るより、定例会と更新の見直しに組み込むほうが続きます。定例会では、アクセス権を持つ人が変わっていないかを確認する。契約更新の前には、取り扱い状況のチェックシートを一度出してもらう。この二つを運用に埋め込めば、記録も自然に残ります。

逆に、締結時に立派な覚書を交わして以後は放置、という形が一番危うい。書面はあるのに実態が追えていない状態です。書面の厚さより、確認の頻度が効きます。年に一度でも見ていれば、体制の変化に気づけます。

採用の場面で起きやすい論点

利用目的の範囲。応募者から取得した情報を、応募のあった職種の選考以外に使ってよいか。別の職種の選考に回す、次回の募集時に連絡する、といった扱いは、取得時の説明の範囲に収まっているかを確認します。

応募者への説明。取得した情報をどう扱うか、外部に委託することがあるか。自社の個人情報の取り扱いに関する記載が、実際の運用と合っているかを見直します。採用の運用を変えたときに、この記載の更新が漏れることがあります。

保管期間。不採用となった応募者の書類をいつまで保管するか。運用として期間を決め、代行会社側の保管とも整合させておきます。決めていないと、双方に残り続けます。

人材紹介経由の候補者。紹介会社から受け取った候補者情報を代行会社に渡す場合、紹介会社との取り決めの範囲に収まっているかを確認します。経路が増えるほど、整理が必要になります。

再委託。代行会社が業務委託のパートナーに実務を任せる場合、そのパートナーにも同等の取り扱いが及ぶ建て付けかを確認します。事前承諾を要する条項にしておくと、把握できる状態を保てます。

候補者からの問い合わせ。開示や削除を求める連絡が代行会社の窓口に届いた場合、誰がどう対応するか。手順を決めておかないと、対応が遅れます。

事故が起きたときの備え

情報の漏えいや紛失が疑われる事態は、起きないことが前提ですが、備えは要ります。発生してから手順を考えると、初動が遅れます。

決めておくのは次のあたりです。

• 代行会社から自社へ、どのくらいの速さで報告が来るか（契約に定めがあるか）
• 自社の中で誰が受け、誰が判断するか
• 影響範囲を確認する手順（どのデータが、どの範囲に）
• 候補者への連絡が要る場合の文面と経路
• 対外的な公表や、関係機関への対応の要否をどう判断するか

このうち、関係機関への報告や本人への通知が求められる場面については、事案の内容によって扱いが変わります。判断が必要な局面では、社内の管理部門と専門家に速やかに相談してください。ここは一般論で処理できない領域です。

契約書の側では、事故発生時の報告義務と、その期限を定めておきます。契約書全体の確認項目は業務委託契約書で確認する10項目にまとめています。

エラベルの見解

外に出してよい範囲を考えるとき、情報の量ではなく、扱いの深さで線を引くほうが実務に合います。

たとえば、応募者の連絡先と職務経歴を扱う日程調整の業務と、面接での評価コメントや現職の状況を含む選考支援の業務では、扱う情報の性質が違います。前者は定型的で、権限を絞れば管理しやすい。後者は判断が絡むため、共有する情報の範囲が広がりやすく、社内の会話に近い内容まで含まれます。

だから、深い情報を扱う工程ほど、誰が担当するかを確認しておく意味が大きくなります。会社としての管理体制はもちろん要りますが、実際に情報に触れるのは個人です。その人がどんな経歴で、どういう案件を担当してきたか。エラベルが担当者を選べる形にしているのは成果の観点からですが、情報の扱いという観点でも、誰が見るかを把握できる形には意味があります。

範囲を広く任せるほど、深い情報が外に出ます。任せる範囲を決めるときは、費用と成果だけでなく、この観点も一緒に置いてみてください。

まとめ

• 委託しても、委託元の責任は残る。委託先を監督する立場が生じると一般に整理されている
• 採用代行への情報の受け渡しは、一般に委託として整理される。実態とのずれを確認する
• 監督の実務は選定・契約での取り決め・取り扱い状況の把握の三つ。記録に残す
• 別立てのチェックを作るより、定例会と契約更新の見直しに組み込むと続く
• 論点は利用目的・応募者への説明・保管期間・紹介経由の候補者・再委託・本人からの問い合わせ
• 事故が起きたときの報告の速さと社内の判断者を先に決めておく
• 外に出す範囲は、情報の量ではなく扱いの深さで線を引く

よくある質問

採用代行に候補者情報を渡すのに、応募者の同意は要りますか

委託として整理される場合の扱いと、第三者提供として整理される場合の扱いは異なります。自社の運用がどちらにあたるかは、契約の建て付けと実際の情報の流れによって変わります。あわせて、取得時に示した利用目的の範囲に収まっているかも確認するところです。個別の判断は専門家にご確認ください。

委託先の体制はどこまで確認すればよいですか

一律の基準があるわけではなく、扱う情報の性質や量に応じた確認が求められると整理されています。実務としては、社内の管理体制、従業員への教育、再委託の有無、アクセス権の管理方法を聞き、回答を記録に残す形が現実的です。確認の頻度は、契約更新の前を目安に置くと運用に乗ります。

代行会社が個人のパートナーに再委託している場合はどうなりますか

再委託が行われる場合も、委託元として取り扱いを把握できる状態にしておくことが求められると整理されています。契約で事前承諾を要する形にし、再委託先にも同等の義務が及ぶ建て付けかを確認します。実際に誰が業務にあたるのかを商談の段階で聞いておくと、契約と実態のずれに気づけます。