リクナビ問題（その1）（リクナビの「内定辞退率」データ提供は何が問題だったのか 弁護士が解説、リクナビ内定辞退率問題で厚労省激怒 「データ購入企業」にも鉄拳） [企業経営]
今日は、リクナビ問題（その1）（リクナビの「内定辞退率」データ提供は何が問題だったのか 弁護士が解説、リクナビ内定辞退率問題で厚労省激怒 「データ購入企業」にも鉄拳）を取上げよう。一昨日は、個人情報保護を取上げたが、本件はより幅広いので、独立させた。
先ずは、8月23日付けダイヤモンド・オンラインに掲載したSTORIA法律事務所 東京オフィスの杉浦 健二弁護士へのインタビュー「リクナビの「内定辞退率」データ提供は何が問題だったのか、弁護士が解説」を紹介しよう（Qは聞き手の質問、Aは回答、付注は省略）。
https://diamond.jp/articles/-/212543
・『8月1日、就職情報サイト「リクナビ」を運営する株式会社リクルートキャリア（以下、リクルートキャリア）は、同社が提供していた「リクナビDMPフォロー」サービスにおいて、いわゆる「内定辞退率」データをクライアントである採用企業に提供していたことを公表。その際、ユーザーである学生の個人データの扱いや同意の取得方法等が適切だったかが問われています。 8月5日には7,983名の学生からプライバシーポリシー同意取得の不備と、「リクナビDMPフォロー」の廃止についてリクルートキャリアから報告されました。 ユーザーから同意を取得する方法や個人データの扱い、また行動履歴等を分析した結果の活用方法に関して議論がなされる本事案について、STORIA法律事務所 東京オフィスの杉浦健二弁護士に見解を伺いました』、興味深そうだ。
・『1.同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案 Q：本事案について、ユーザーである学生からの同意取得の方法をはじめとした個人情報取り扱いの観点からは、どういった点に問題があったと考えられますか。） A：報道によればリクルートキャリアは「リクナビDMPフォロー」を通して、就活生の内定辞退率を個人が特定できるかたちで、同サービスを利用する企業38社に提供していたとのことでした*1。リクナビ2020のプライバシーポリシーには、以下のような記載がなされています。 （リクナビ2020 プライバシーポリシー（株式会社リクルートキャリア、2019年8月14日取得、傍線加工 BUSINESS LAWYERS編集部）） この「行動履歴等（当該ログイン以前からの行動履歴等を含みます）を分析・集計」した結果こそが、今回問題となっている内定辞退率にあたると考えられます。同プライバシーポリシーの記載では、「行動履歴等は、あらかじめユーザー本人の同意を得ることなく個人を特定できる状態で第三者に提供されることはございません」とあるものの、冒頭の傍線で示した「個人を特定したうえで、」の文言がどの文節にかかるのかがはっきりしないために、個人が特定されるかたちで内定辞退率を企業に提供するという意味なのか、個人が特定されないかたちで企業に提供するという意味なのかが不明確といえます。 個人情報保護法上、個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないものとされています（個人情報保護法23条1項）。リクルートキャリアの8月1日付プレスリリースによれば、「ご同意いただいたプライバシーポリシーに基づき、リクナビサイト上での行動履歴の解析結果を取引企業に対して提供しておりました」との記載があるため、リクルートキャリア自身はユーザー個人が特定されるかたちで内定辞退率を提供することについて、同プライバシーポリシーによって同意を取得できていると判断していたようです。その後、リクルートキャリアは8月5日付プレスリリースで、学生7983名については同プライバシーポリシーによる形式的な同意すら得られていなかったことを発表しました。 しかし本件で問題なのは、プライバシーポリシーの内容が不明確であることで、これら7983名以外の学生についても適切な同意が得られていなかった可能性が残っているという点であると考えます』、企業側は自社に都合良く解釈しがちだが、「リクルートキャリア」の場合は酷過ぎる。
・『Q：ユーザーである学生から、個人情報の取扱いについて適切な同意を得る方法はどうあるべきだったと考えられますか。 A：個人データを第三者に提供するにあたってあらかじめ本人の同意を得たといえるためには、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならないものとされています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-12「本人の同意」、平成28年11月（平成31年1月一部改正））。 たとえばプライバシーポリシーを公表している場合は、当該プライバシーポリシーの内容に同意する旨のボタンをクリックしてもらう方法が考えられますが、同意の前提として、プライバシーポリシーで示された取扱い方法で自分の個人情報が取り扱われる旨を理解していることが必要となります。 リクナビ2020のプライバシーポリシーの記載内容は上記のとおり明確であったとはいえず、同意ボタンをクリックする方法等をとっていたとしても、ユーザー個人が特定されるかたちで各企業に対して内定辞退率が提供されることについて本人の同意を得たといえるかどうかは疑問の残るところです。本件では同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案であったといえます。 今回のプライバシーポリシーの問題となった部分について、より明確な内容にしようとすれば、たとえば以下のような文案が考えられます（また、当社は、ユーザーがログインして本サービスを利用した場合には、ユーザーが本サービスに登録した個人情報、およびcookieを使用して本サービスまたは当社と提携するサイト（当社と提携するサイトはこのリンクをご参照ください）から取得した行動履歴等（当該ログイン以前からの行動履歴等を含みます）を分析・集計したデータについて、ユーザー個人を特定できる状態で、利用企業等に対して提供する場合があります。このデータ提供は利用企業等における採用活動補助を目的としてなされるものであり、利用企業等において選考目的で利用されることはありません。また利用企業等に対して提供されるデータは行動履歴等の分析・集計データであり、行動履歴等そのものは、あらかじめユーザー本人の同意を得ることなく個人を特定できる状態で第三者に提供されることはありません。） この文案であれば、「行動履歴等を分析・集計したデータ」について、ユーザー個人を特定できる状態で利用企業等に提供される可能性があることは、少なくとも明確となります。 しかし、この文案によっても、行動履歴等を分析・集計した個人データに「内定辞退率」とのラベルが貼られて利用企業等に提供されることまでは想起できないため、プライバシーポリシーの明確性については問題とならなかったとしても、「内定辞退率」とのラベルが貼られて個人データが利用企業等に提供されるビジネスモデルになお批判が集まった可能性は否定できません』、「内定辞退率」とは企業がノドから手が出るほど欲しがるデータだ。着想はさすが攻撃的なリクルート系だけあるが、きちんとしたコンプライアンス上の詰めが疎かになったようだ。
・『2.「内定辞退率」を選考に利用しない条件で有償提供するという契約に無理があった Q：リクルートキャリアは8月1日のリリースにおいて「学生の応募意思を尊重し、合否の判定には当該データを活用しないことを企業に参画同意書として確約いただいています」としています。しかしクライアント企業が当該データを合否の判定に用いていないかは確認が難しいことから、合否判定に利用された懸念があるとする声もあります。当該データの用途の取り決め方法については適切だったのでしょうか。 A：たしかにリクナビ2020のプライバシーポリシー上、企業に提供した内定辞退率（ユーザー行動履歴等の分析・集計結果）については「選考に利用されることはありません」と記載されています。またリクルートキャリアの8月1日付プレスリリースによれば「提供された情報を合否の判定に活用しないことにご同意いただいた企業にのみ、本サービスをご提供してきました」「ご利用いただいている企業には当社から定期的に利用状況の確認をさせていただいております」とも記載されています。 しかし、たとえこれらの運用が十分に行われていたとしても、「リクナビDMPフォロー」を導入する各企業側とすれば、内定辞退率データを選考に利用したい動機があることは否めず、各企業が実際に選考に利用していなかったかどうかも不明です。 契約の取り決め方法としては、リクルートキャリアからの利用状況の確認にとどまらず、リクルートキャリアから各企業に対する立入調査条項を含めることも考えられますが、自社の顧客である各企業に対する調査権限を認めるような条項を定めることは非現実的といえます。企業が選考に利用したいと考える価値があるデータを、選考に利用しない条件で有償で提供するという契約内容自体にそもそも無理があったといえるかもしれません。 Q：サービスを利用するために、ユーザー本人が望まない個人情報の利用に同意せざるを得ないケースもあるのではないかと懸念されます。「本人の同意」に加え、データ利活用時代における、個人情報を提供する側、利用する企業側双方が納得できる仕組みについてはどのように考えますか。 A：ユーザーが個人情報の提供を望まないのに、他のサービスに乗り換えられないために個人情報を提供せざるを得ないケースが問題視されています。現在、GAFAをはじめとした大手IT企業による個人情報の収集方法について、公正取引委員会が、独占禁止法違反である「優越的地位の乱用」にあたるケースを示す運営指針（ガイドライン）案を策定中であると報道されています*2。ユーザーに利用目的を知らせなかったり、サービス提供に必要な範囲を超えて個人情報を取得したりするようなケースについて、今後規制が進むことが予想されます。 またEUの「一般データ保護規則（GDPR）」では個人データの利用停止はいつでも行える（EU 一般データ保護規則 第7条）のに対し、日本の個人情報保護法では、個人データの利用停止は個人情報保護法違反があった場合にのみ可能とされている（個人情報保護法30条）点は問題ではないかとの声があり、2019年4月に個人情報保護委員会が公表した「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理（個人情報保護委員会、平成31年4月25日）」では、個人データの利用停止制度の導入について検討がされています』、「「リクナビDMPフォロー」を導入する各企業側とすれば、内定辞退率データを選考に利用したい動機があることは否めず、各企業が実際に選考に利用していなかったかどうかも不明です」、というのであれば、「提供された情報を合否の判定に活用しないことにご同意いただいた企業にのみ、本サービスをご提供してきました」との強弁には無理がある。
・『3.「リクナビDMPフォロー」を利用したクライアント企業が問われ得る法的責任 Q：「リクナビDMPフォロー」は38社で「試験的な運用」がなされていたと公表されています。今回の件について、利用していたクライアント企業に責任等は生じますか。 A：報道によれば各企業は、「リクナビDMPフォロー」の利用にあたって、選考結果や学歴などの応募学生の個人データをリクルートキャリアに提供していたとのことでした*3。個人データを第三者に提供する場合、原則として本人の同意が必要となることは先に述べた通りですが（個人情報保護法23条1項）、各企業が、個人データの取扱いを利用目的の達成に必要な範囲でリクルートキャリアに委託していたといえる場合、個人情報保護法上は本人の同意を得る必要はないとされています（個人情報保護法23条5項1号）。 本件では、各企業がリクルートキャリアに提供した応募学生の個人データについて、たとえばリクルートキャリアが委託に基づかず自ら取得した行動履歴等の個人データを突合して内定辞退率を算出し、各企業に提供する内容の業務委託契約であったような場合は、各企業による応募学生の個人データの提供は個人情報保護法23条5項1号が定める委託の範囲を超えるものとして、各企業は個人情報保護法違反の責任を問われる可能性が生じます。この場合、個人情報保護委員会は各企業に対して、必要に応じて報告を求めたり立入検査を行うことができるほか、実態に応じて指導・助言、勧告・命令を行うことができ（個人情報保護法40条、41条、42条）、命令に違反した者は6ヵ月以下の懲役又は30万円以下の罰金に処する旨も定められています（個人情報保護法84条）。 Q：本件では、職業安定法への抵触の可能性もあるとされていますが、この点についてはいかがでしょうか。 A：本サービスのような、人事労務分野においてAIやデータを活用する手法はHRテックと呼ばれ、近年注目が集まっています。ただしHRテックの分野では、職業安定法に抵触しないかどうかの検討が不可欠となります。職業安定法では、採用活動を行う企業には求職者の個人情報の取扱いについての義務が課せられる旨が定められているところ（職業安定法5条の4）、厚生労働省の指針*4によれば「職業紹介事業者等は、個人情報を収集する際には、本人から直接収集し、又は本人の同意の下で本人以外の者から収集する等適法かつ公正な手段によらなければならない」とされています。 本件では、38社の企業が、個人が特定できる状態の内定辞退率という個人情報の提供を受けていたとされています。仮に38社の企業が、リクルートキャリアから個人情報の提供を受けることについて応募学生から同意を得ていなかったとすれば、上記指針に抵触する可能性が生じます。 Q：個人情報を扱ううえで、適法かどうかの判断は今まで以上に重要となりますね。 A：今回の件で、「リクナビDMPフォロー」と同様のHRテックビジネスに対する世間の目は厳しくなることが予想されます。個人情報保護法、職業安定法等の法令を遵守することはもちろん、たとえ適法であっても、採用時における求職者情報というデリケートなデータを取り扱う以上、そのビジネスモデル自体が批判を受けることも想定されますので、これまで以上に慎重な検討が求められるものと考えます。 特に個人データの第三者提供を行う場合は、不明確なプライバシーポリシーを提示して形式的な同意を得ておくだけでは不十分であり、ユーザーの個人データが第三者提供される旨が明確にわかるようまず利用目的の欄に記載したうえで、提供を予定する個人データの項目もできる限り具体的に記載することが求められるでしょう。さらに個人データの第三者提供に同意することで、ユーザーにとってどのようなメリットが生じるのか（たとえば当該サービスの無償提供や、より充実したサービスが提供可能となること等）まで触れられていれば望ましいものといえます。 明確でわかりやすい内容のプライバシーポリシーを提示し、ユーザーも納得したうえで真に同意していると評価できる個人情報の取扱いを行うことが、結果的にユーザーや世間からも評価されるサービスの実現につながるのではないかと考えます』、（利用企業）「仮に38社の企業が、リクルートキャリアから個人情報の提供を受けることについて応募学生から同意を得ていなかったとすれば、上記指針に抵触する可能性が生じます」、と「職業安定法に抵触」する恐れがあるとは、リクルートキャリアは顧客の利用企業まで違法行為に巻き込んだことになり、罪は深いようだ。「人事労務分野においてAIやデータを活用する手法はHRテック」、については、まだまだ手探りのようだ。
次に、9月20日付けダイヤモンド・オンライン「リクナビ内定辞退率問題で厚労省激怒、「データ購入企業」にも鉄拳」を紹介しよう。
https://diamond.jp/articles/-/215312
・『労働者保護を原則とする厚生労働省が、怒り狂っている。就職情報サイト「リクナビ」を運営するリクルートキャリアが就活学生の内定辞退率予測データを大企業に販売していた問題についてだ。厚労省の怒りの矛先は、個人情報のデータを販売したリクルートキャリアのみならず、購入したビッグカンパニーへも向いている。 戦後最大の疑獄事件「リクルート事件」が発覚したのは、1988年のこと。リクルートから賄賂として未公開株を譲渡された収賄側には、時の労働省（現・厚生労働省）事務次官の名もあった。 リクルートホールディングス（ＨＤ）が31年前の亡霊に取り付かれている。 就職情報サイト「リクナビ」を運営するリクルートキャリア（リクルートＨＤ傘下）が就活学生の内定辞退率を算出、その予測データを企業に販売するサービス「リクナビＤＭＰフォロー」が廃止に追い込まれたのだ。データを購入した企業はトヨタ自動車やホンダ、ＮＴＴグループなどビッグネームばかり34社に上る。 実は、この問題の根っこはリクルート事件にある。 ある厚労省ＯＢは、「当時、求職者と企業をマッチングする職業紹介事業と同じように、求人情報サービスを行う『募集情報等提供事業』に対しても、規制をかけるべきという議論が省内であったが、ノールールという結論が導き出された」と打ち明ける。 後に、その判断を下したのが収賄罪に問われた労働次官であり、リクルートによる根回しが取り沙汰された。それでも、「募集情報等提供事業＝無法地帯」という結論が覆ることはなく、うやむやにされた。求人情報サービスに野放図が許された元凶はここにある』、「この問題の根っこはリクルート事件にある」、というのには驚かされた。
・『怒り心頭の厚労省は新ビジネスを本気でつぶす 9月6日、厚労省はリクルートキャリアに対して、職業安定法に基づく行政指導を実施。同時に、業界団体である全国求人情報協会向けに、役所らしからぬ感情的な文言で要請を行った。厚労省はリクルートＨＤが考案した「新しいビジネスモデル」を本気でつぶしにかかったのだ。 そもそも、「リクナビＤＭＰフォロー」で売買されたデータとはどんなものなのか。 トヨタの場合、採用試験を受けた大学新卒学生の名簿をリクルートキャリアに提出、同社が「リクナビ」のプラットフォーム上で得られた個人情報（トヨタ志願者が何社にエントリーしたか、どんな就職活動をしたのか）からトヨタの「志望度の高さ」を数値化し、内定辞退率予測データと称して販売していたというものだ。 要するに、学生が浮気性であるかどうかが分かる身辺調査のようなものである。身持ちが堅い学生の歩留まりは高くなるだろうという想定の下、「相場は400万～500万円」（購入企業関係者）ともいわれる高額データに、企業が群がったのである。 厚労省は怒り心頭に発している。「リクルートの顧客は企業だけではなく、学生でもあるはず。ビジネスの起点を忘れるとは言語道断だ」（厚労省幹部）と手厳しい。 まず、リクナビなど募集情報等提供等事業で得た個人情報を「選別・加工」して別の商品としてビジネスを展開した段階で、それはより規制の強い職業紹介事業の範疇になるとした。 厚労省による新ビジネスつぶしの本気度は、二つの視点で分かる。 一つ目は、就活学生が個人情報利用に同意しているか否かにかかわらず、採用合否の決定前に募集企業へデータを提供するビジネスをシャットアウトしたことだ。 今回の事案は、職業安定法と並行して、個人情報保護法にも抵触するのだが、こちらは学生本人の同意さえ得られればビジネス続行の可能性はあった。その意味で、厚労省の決断は、一歩踏み込んでいるといえる。 二つ目は、厚労省の怒りの鉄拳が、リクルートＨＤのみならず、データを購入した企業にも向けられていることだ。 購入企業の多くは、「合否判定に使っていない」の一点張りだ。仮に合否に使った場合でも、社会的に責めを負うことはあっても法的責任を問われることはない。） また、リクルートキャリアと購入企業は業務委託契約を結んでおり、購入企業が名簿など個人情報を渡した場合でも、「人事部人事課から人事部分析課（リクルートキャリア）へデータ分析を外注しただけ」（厚労省幹部）という扱いになる。厚労省が購入企業の法律違反を追及することは極めて難しい。 厚労省の旗色は悪い。それでも、労働局を動員することは決まっている。派遣や職業紹介など人材サービスの専門家である、需給調整指導官が調査に入るのだという。「個人情報データを目的外で使用していないか」など職業安定法に抵触していないかどうかを丹念にヒアリングする予定だ。 労働基準監督官のように強い捜査権を持っているわけではないが、「需給調整指導官が切る指導書は監督官でいう是正勧告のようなものだと思ってもらっていい」（厚労省幹部）と息巻く。百戦錬磨の大企業が尻尾を出すとは思えないが、労働者に不利に働く新ビジネス頻発の抑止力にはなるだろう』、「志願者が何社にエントリーしたか、どんな就職活動をしたのか から・・・「志望度の高さ」を数値化し（た）内定辞退率予測データ」が、「相場は400万～500万円」で入手できるのであれば、利用企業にとっては、有難いデータだろう。
・『採用だけではなく雇用管理でも個人情報が使われる 厚労省は、「内定辞退率データ」事業を業として展開できるのは、寡占化された業界上位のリクナビや「マイナビ」くらいしか想定しておらず、今回の強硬手段で法の網を掛けられたと判断している。 だがいつの時代も、法整備が技術革新を超えることは難しい。 すでに「リクナビ」モデルも陳腐化しつつある。約80万人もの新卒学生がエントリーシートを企業へ一括送信し、募集企業は大量の学生を選別しなければならない。学生と企業の双方が非効率なマッチングという「壮大なる無駄」を前に疲弊している。 ひずみのあるところにビジネスが生まれるのは世の常だ。効率化を目的に、内定辞退率データ販売という違法なビジネスは生まれた。 本来、どの企業が第1志望なのかを秘密にすることは、学生に許された特権だったはず。それが、本人があずかり知らぬところで選考過程が進む理不尽さが明らかになった。 ICTやＡＩの進化により、今後、個人情報からブラックボックスになっていた経済状況、嗜好、生活パターンなどが暴かれやすくなる。その解析データが企業の人事評価に使われる公算は大きい。 今回のリクナビ問題は「採用」という入り口の規制で解消したかにみえるが、企業が雇った後の「雇用管理」の現場でも、個人情報は駆使されるはずだ。データ解析で得られた「判断」は一定の根拠があるだけに覆すことが難しく、社会の差別構造を助長するリスクをはらむ。 リクナビ問題は、技術革新と労働者保護を両立することの難しさを露呈している』、「企業が雇った後の「雇用管理」の現場でも、個人情報は駆使されるはずだ」、というのは嫌な監視社会の到来である。日本でもEUのGDPR（一般データ保護規則）のような規制で歯止めをかける必要がありそうだ。
先ずは、8月23日付けダイヤモンド・オンラインに掲載したSTORIA法律事務所 東京オフィスの杉浦 健二弁護士へのインタビュー「リクナビの「内定辞退率」データ提供は何が問題だったのか、弁護士が解説」を紹介しよう（Qは聞き手の質問、Aは回答、付注は省略）。
https://diamond.jp/articles/-/212543
・『8月1日、就職情報サイト「リクナビ」を運営する株式会社リクルートキャリア（以下、リクルートキャリア）は、同社が提供していた「リクナビDMPフォロー」サービスにおいて、いわゆる「内定辞退率」データをクライアントである採用企業に提供していたことを公表。その際、ユーザーである学生の個人データの扱いや同意の取得方法等が適切だったかが問われています。 8月5日には7,983名の学生からプライバシーポリシー同意取得の不備と、「リクナビDMPフォロー」の廃止についてリクルートキャリアから報告されました。 ユーザーから同意を取得する方法や個人データの扱い、また行動履歴等を分析した結果の活用方法に関して議論がなされる本事案について、STORIA法律事務所 東京オフィスの杉浦健二弁護士に見解を伺いました』、興味深そうだ。
・『1.同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案 Q：本事案について、ユーザーである学生からの同意取得の方法をはじめとした個人情報取り扱いの観点からは、どういった点に問題があったと考えられますか。） A：報道によればリクルートキャリアは「リクナビDMPフォロー」を通して、就活生の内定辞退率を個人が特定できるかたちで、同サービスを利用する企業38社に提供していたとのことでした*1。リクナビ2020のプライバシーポリシーには、以下のような記載がなされています。 （リクナビ2020 プライバシーポリシー（株式会社リクルートキャリア、2019年8月14日取得、傍線加工 BUSINESS LAWYERS編集部）） この「行動履歴等（当該ログイン以前からの行動履歴等を含みます）を分析・集計」した結果こそが、今回問題となっている内定辞退率にあたると考えられます。同プライバシーポリシーの記載では、「行動履歴等は、あらかじめユーザー本人の同意を得ることなく個人を特定できる状態で第三者に提供されることはございません」とあるものの、冒頭の傍線で示した「個人を特定したうえで、」の文言がどの文節にかかるのかがはっきりしないために、個人が特定されるかたちで内定辞退率を企業に提供するという意味なのか、個人が特定されないかたちで企業に提供するという意味なのかが不明確といえます。 個人情報保護法上、個人情報取扱事業者は、原則として、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならないものとされています（個人情報保護法23条1項）。リクルートキャリアの8月1日付プレスリリースによれば、「ご同意いただいたプライバシーポリシーに基づき、リクナビサイト上での行動履歴の解析結果を取引企業に対して提供しておりました」との記載があるため、リクルートキャリア自身はユーザー個人が特定されるかたちで内定辞退率を提供することについて、同プライバシーポリシーによって同意を取得できていると判断していたようです。その後、リクルートキャリアは8月5日付プレスリリースで、学生7983名については同プライバシーポリシーによる形式的な同意すら得られていなかったことを発表しました。 しかし本件で問題なのは、プライバシーポリシーの内容が不明確であることで、これら7983名以外の学生についても適切な同意が得られていなかった可能性が残っているという点であると考えます』、企業側は自社に都合良く解釈しがちだが、「リクルートキャリア」の場合は酷過ぎる。
・『Q：ユーザーである学生から、個人情報の取扱いについて適切な同意を得る方法はどうあるべきだったと考えられますか。 A：個人データを第三者に提供するにあたってあらかじめ本人の同意を得たといえるためには、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならないものとされています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-12「本人の同意」、平成28年11月（平成31年1月一部改正））。 たとえばプライバシーポリシーを公表している場合は、当該プライバシーポリシーの内容に同意する旨のボタンをクリックしてもらう方法が考えられますが、同意の前提として、プライバシーポリシーで示された取扱い方法で自分の個人情報が取り扱われる旨を理解していることが必要となります。 リクナビ2020のプライバシーポリシーの記載内容は上記のとおり明確であったとはいえず、同意ボタンをクリックする方法等をとっていたとしても、ユーザー個人が特定されるかたちで各企業に対して内定辞退率が提供されることについて本人の同意を得たといえるかどうかは疑問の残るところです。本件では同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案であったといえます。 今回のプライバシーポリシーの問題となった部分について、より明確な内容にしようとすれば、たとえば以下のような文案が考えられます（また、当社は、ユーザーがログインして本サービスを利用した場合には、ユーザーが本サービスに登録した個人情報、およびcookieを使用して本サービスまたは当社と提携するサイト（当社と提携するサイトはこのリンクをご参照ください）から取得した行動履歴等（当該ログイン以前からの行動履歴等を含みます）を分析・集計したデータについて、ユーザー個人を特定できる状態で、利用企業等に対して提供する場合があります。このデータ提供は利用企業等における採用活動補助を目的としてなされるものであり、利用企業等において選考目的で利用されることはありません。また利用企業等に対して提供されるデータは行動履歴等の分析・集計データであり、行動履歴等そのものは、あらかじめユーザー本人の同意を得ることなく個人を特定できる状態で第三者に提供されることはありません。） この文案であれば、「行動履歴等を分析・集計したデータ」について、ユーザー個人を特定できる状態で利用企業等に提供される可能性があることは、少なくとも明確となります。 しかし、この文案によっても、行動履歴等を分析・集計した個人データに「内定辞退率」とのラベルが貼られて利用企業等に提供されることまでは想起できないため、プライバシーポリシーの明確性については問題とならなかったとしても、「内定辞退率」とのラベルが貼られて個人データが利用企業等に提供されるビジネスモデルになお批判が集まった可能性は否定できません』、「内定辞退率」とは企業がノドから手が出るほど欲しがるデータだ。着想はさすが攻撃的なリクルート系だけあるが、きちんとしたコンプライアンス上の詰めが疎かになったようだ。
・『2.「内定辞退率」を選考に利用しない条件で有償提供するという契約に無理があった Q：リクルートキャリアは8月1日のリリースにおいて「学生の応募意思を尊重し、合否の判定には当該データを活用しないことを企業に参画同意書として確約いただいています」としています。しかしクライアント企業が当該データを合否の判定に用いていないかは確認が難しいことから、合否判定に利用された懸念があるとする声もあります。当該データの用途の取り決め方法については適切だったのでしょうか。 A：たしかにリクナビ2020のプライバシーポリシー上、企業に提供した内定辞退率（ユーザー行動履歴等の分析・集計結果）については「選考に利用されることはありません」と記載されています。またリクルートキャリアの8月1日付プレスリリースによれば「提供された情報を合否の判定に活用しないことにご同意いただいた企業にのみ、本サービスをご提供してきました」「ご利用いただいている企業には当社から定期的に利用状況の確認をさせていただいております」とも記載されています。 しかし、たとえこれらの運用が十分に行われていたとしても、「リクナビDMPフォロー」を導入する各企業側とすれば、内定辞退率データを選考に利用したい動機があることは否めず、各企業が実際に選考に利用していなかったかどうかも不明です。 契約の取り決め方法としては、リクルートキャリアからの利用状況の確認にとどまらず、リクルートキャリアから各企業に対する立入調査条項を含めることも考えられますが、自社の顧客である各企業に対する調査権限を認めるような条項を定めることは非現実的といえます。企業が選考に利用したいと考える価値があるデータを、選考に利用しない条件で有償で提供するという契約内容自体にそもそも無理があったといえるかもしれません。 Q：サービスを利用するために、ユーザー本人が望まない個人情報の利用に同意せざるを得ないケースもあるのではないかと懸念されます。「本人の同意」に加え、データ利活用時代における、個人情報を提供する側、利用する企業側双方が納得できる仕組みについてはどのように考えますか。 A：ユーザーが個人情報の提供を望まないのに、他のサービスに乗り換えられないために個人情報を提供せざるを得ないケースが問題視されています。現在、GAFAをはじめとした大手IT企業による個人情報の収集方法について、公正取引委員会が、独占禁止法違反である「優越的地位の乱用」にあたるケースを示す運営指針（ガイドライン）案を策定中であると報道されています*2。ユーザーに利用目的を知らせなかったり、サービス提供に必要な範囲を超えて個人情報を取得したりするようなケースについて、今後規制が進むことが予想されます。 またEUの「一般データ保護規則（GDPR）」では個人データの利用停止はいつでも行える（EU 一般データ保護規則 第7条）のに対し、日本の個人情報保護法では、個人データの利用停止は個人情報保護法違反があった場合にのみ可能とされている（個人情報保護法30条）点は問題ではないかとの声があり、2019年4月に個人情報保護委員会が公表した「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理（個人情報保護委員会、平成31年4月25日）」では、個人データの利用停止制度の導入について検討がされています』、「「リクナビDMPフォロー」を導入する各企業側とすれば、内定辞退率データを選考に利用したい動機があることは否めず、各企業が実際に選考に利用していなかったかどうかも不明です」、というのであれば、「提供された情報を合否の判定に活用しないことにご同意いただいた企業にのみ、本サービスをご提供してきました」との強弁には無理がある。
・『3.「リクナビDMPフォロー」を利用したクライアント企業が問われ得る法的責任 Q：「リクナビDMPフォロー」は38社で「試験的な運用」がなされていたと公表されています。今回の件について、利用していたクライアント企業に責任等は生じますか。 A：報道によれば各企業は、「リクナビDMPフォロー」の利用にあたって、選考結果や学歴などの応募学生の個人データをリクルートキャリアに提供していたとのことでした*3。個人データを第三者に提供する場合、原則として本人の同意が必要となることは先に述べた通りですが（個人情報保護法23条1項）、各企業が、個人データの取扱いを利用目的の達成に必要な範囲でリクルートキャリアに委託していたといえる場合、個人情報保護法上は本人の同意を得る必要はないとされています（個人情報保護法23条5項1号）。 本件では、各企業がリクルートキャリアに提供した応募学生の個人データについて、たとえばリクルートキャリアが委託に基づかず自ら取得した行動履歴等の個人データを突合して内定辞退率を算出し、各企業に提供する内容の業務委託契約であったような場合は、各企業による応募学生の個人データの提供は個人情報保護法23条5項1号が定める委託の範囲を超えるものとして、各企業は個人情報保護法違反の責任を問われる可能性が生じます。この場合、個人情報保護委員会は各企業に対して、必要に応じて報告を求めたり立入検査を行うことができるほか、実態に応じて指導・助言、勧告・命令を行うことができ（個人情報保護法40条、41条、42条）、命令に違反した者は6ヵ月以下の懲役又は30万円以下の罰金に処する旨も定められています（個人情報保護法84条）。 Q：本件では、職業安定法への抵触の可能性もあるとされていますが、この点についてはいかがでしょうか。 A：本サービスのような、人事労務分野においてAIやデータを活用する手法はHRテックと呼ばれ、近年注目が集まっています。ただしHRテックの分野では、職業安定法に抵触しないかどうかの検討が不可欠となります。職業安定法では、採用活動を行う企業には求職者の個人情報の取扱いについての義務が課せられる旨が定められているところ（職業安定法5条の4）、厚生労働省の指針*4によれば「職業紹介事業者等は、個人情報を収集する際には、本人から直接収集し、又は本人の同意の下で本人以外の者から収集する等適法かつ公正な手段によらなければならない」とされています。 本件では、38社の企業が、個人が特定できる状態の内定辞退率という個人情報の提供を受けていたとされています。仮に38社の企業が、リクルートキャリアから個人情報の提供を受けることについて応募学生から同意を得ていなかったとすれば、上記指針に抵触する可能性が生じます。 Q：個人情報を扱ううえで、適法かどうかの判断は今まで以上に重要となりますね。 A：今回の件で、「リクナビDMPフォロー」と同様のHRテックビジネスに対する世間の目は厳しくなることが予想されます。個人情報保護法、職業安定法等の法令を遵守することはもちろん、たとえ適法であっても、採用時における求職者情報というデリケートなデータを取り扱う以上、そのビジネスモデル自体が批判を受けることも想定されますので、これまで以上に慎重な検討が求められるものと考えます。 特に個人データの第三者提供を行う場合は、不明確なプライバシーポリシーを提示して形式的な同意を得ておくだけでは不十分であり、ユーザーの個人データが第三者提供される旨が明確にわかるようまず利用目的の欄に記載したうえで、提供を予定する個人データの項目もできる限り具体的に記載することが求められるでしょう。さらに個人データの第三者提供に同意することで、ユーザーにとってどのようなメリットが生じるのか（たとえば当該サービスの無償提供や、より充実したサービスが提供可能となること等）まで触れられていれば望ましいものといえます。 明確でわかりやすい内容のプライバシーポリシーを提示し、ユーザーも納得したうえで真に同意していると評価できる個人情報の取扱いを行うことが、結果的にユーザーや世間からも評価されるサービスの実現につながるのではないかと考えます』、（利用企業）「仮に38社の企業が、リクルートキャリアから個人情報の提供を受けることについて応募学生から同意を得ていなかったとすれば、上記指針に抵触する可能性が生じます」、と「職業安定法に抵触」する恐れがあるとは、リクルートキャリアは顧客の利用企業まで違法行為に巻き込んだことになり、罪は深いようだ。「人事労務分野においてAIやデータを活用する手法はHRテック」、については、まだまだ手探りのようだ。
次に、9月20日付けダイヤモンド・オンライン「リクナビ内定辞退率問題で厚労省激怒、「データ購入企業」にも鉄拳」を紹介しよう。
https://diamond.jp/articles/-/215312
・『労働者保護を原則とする厚生労働省が、怒り狂っている。就職情報サイト「リクナビ」を運営するリクルートキャリアが就活学生の内定辞退率予測データを大企業に販売していた問題についてだ。厚労省の怒りの矛先は、個人情報のデータを販売したリクルートキャリアのみならず、購入したビッグカンパニーへも向いている。 戦後最大の疑獄事件「リクルート事件」が発覚したのは、1988年のこと。リクルートから賄賂として未公開株を譲渡された収賄側には、時の労働省（現・厚生労働省）事務次官の名もあった。 リクルートホールディングス（ＨＤ）が31年前の亡霊に取り付かれている。 就職情報サイト「リクナビ」を運営するリクルートキャリア（リクルートＨＤ傘下）が就活学生の内定辞退率を算出、その予測データを企業に販売するサービス「リクナビＤＭＰフォロー」が廃止に追い込まれたのだ。データを購入した企業はトヨタ自動車やホンダ、ＮＴＴグループなどビッグネームばかり34社に上る。 実は、この問題の根っこはリクルート事件にある。 ある厚労省ＯＢは、「当時、求職者と企業をマッチングする職業紹介事業と同じように、求人情報サービスを行う『募集情報等提供事業』に対しても、規制をかけるべきという議論が省内であったが、ノールールという結論が導き出された」と打ち明ける。 後に、その判断を下したのが収賄罪に問われた労働次官であり、リクルートによる根回しが取り沙汰された。それでも、「募集情報等提供事業＝無法地帯」という結論が覆ることはなく、うやむやにされた。求人情報サービスに野放図が許された元凶はここにある』、「この問題の根っこはリクルート事件にある」、というのには驚かされた。
・『怒り心頭の厚労省は新ビジネスを本気でつぶす 9月6日、厚労省はリクルートキャリアに対して、職業安定法に基づく行政指導を実施。同時に、業界団体である全国求人情報協会向けに、役所らしからぬ感情的な文言で要請を行った。厚労省はリクルートＨＤが考案した「新しいビジネスモデル」を本気でつぶしにかかったのだ。 そもそも、「リクナビＤＭＰフォロー」で売買されたデータとはどんなものなのか。 トヨタの場合、採用試験を受けた大学新卒学生の名簿をリクルートキャリアに提出、同社が「リクナビ」のプラットフォーム上で得られた個人情報（トヨタ志願者が何社にエントリーしたか、どんな就職活動をしたのか）からトヨタの「志望度の高さ」を数値化し、内定辞退率予測データと称して販売していたというものだ。 要するに、学生が浮気性であるかどうかが分かる身辺調査のようなものである。身持ちが堅い学生の歩留まりは高くなるだろうという想定の下、「相場は400万～500万円」（購入企業関係者）ともいわれる高額データに、企業が群がったのである。 厚労省は怒り心頭に発している。「リクルートの顧客は企業だけではなく、学生でもあるはず。ビジネスの起点を忘れるとは言語道断だ」（厚労省幹部）と手厳しい。 まず、リクナビなど募集情報等提供等事業で得た個人情報を「選別・加工」して別の商品としてビジネスを展開した段階で、それはより規制の強い職業紹介事業の範疇になるとした。 厚労省による新ビジネスつぶしの本気度は、二つの視点で分かる。 一つ目は、就活学生が個人情報利用に同意しているか否かにかかわらず、採用合否の決定前に募集企業へデータを提供するビジネスをシャットアウトしたことだ。 今回の事案は、職業安定法と並行して、個人情報保護法にも抵触するのだが、こちらは学生本人の同意さえ得られればビジネス続行の可能性はあった。その意味で、厚労省の決断は、一歩踏み込んでいるといえる。 二つ目は、厚労省の怒りの鉄拳が、リクルートＨＤのみならず、データを購入した企業にも向けられていることだ。 購入企業の多くは、「合否判定に使っていない」の一点張りだ。仮に合否に使った場合でも、社会的に責めを負うことはあっても法的責任を問われることはない。） また、リクルートキャリアと購入企業は業務委託契約を結んでおり、購入企業が名簿など個人情報を渡した場合でも、「人事部人事課から人事部分析課（リクルートキャリア）へデータ分析を外注しただけ」（厚労省幹部）という扱いになる。厚労省が購入企業の法律違反を追及することは極めて難しい。 厚労省の旗色は悪い。それでも、労働局を動員することは決まっている。派遣や職業紹介など人材サービスの専門家である、需給調整指導官が調査に入るのだという。「個人情報データを目的外で使用していないか」など職業安定法に抵触していないかどうかを丹念にヒアリングする予定だ。 労働基準監督官のように強い捜査権を持っているわけではないが、「需給調整指導官が切る指導書は監督官でいう是正勧告のようなものだと思ってもらっていい」（厚労省幹部）と息巻く。百戦錬磨の大企業が尻尾を出すとは思えないが、労働者に不利に働く新ビジネス頻発の抑止力にはなるだろう』、「志願者が何社にエントリーしたか、どんな就職活動をしたのか から・・・「志望度の高さ」を数値化し（た）内定辞退率予測データ」が、「相場は400万～500万円」で入手できるのであれば、利用企業にとっては、有難いデータだろう。
・『採用だけではなく雇用管理でも個人情報が使われる 厚労省は、「内定辞退率データ」事業を業として展開できるのは、寡占化された業界上位のリクナビや「マイナビ」くらいしか想定しておらず、今回の強硬手段で法の網を掛けられたと判断している。 だがいつの時代も、法整備が技術革新を超えることは難しい。 すでに「リクナビ」モデルも陳腐化しつつある。約80万人もの新卒学生がエントリーシートを企業へ一括送信し、募集企業は大量の学生を選別しなければならない。学生と企業の双方が非効率なマッチングという「壮大なる無駄」を前に疲弊している。 ひずみのあるところにビジネスが生まれるのは世の常だ。効率化を目的に、内定辞退率データ販売という違法なビジネスは生まれた。 本来、どの企業が第1志望なのかを秘密にすることは、学生に許された特権だったはず。それが、本人があずかり知らぬところで選考過程が進む理不尽さが明らかになった。 ICTやＡＩの進化により、今後、個人情報からブラックボックスになっていた経済状況、嗜好、生活パターンなどが暴かれやすくなる。その解析データが企業の人事評価に使われる公算は大きい。 今回のリクナビ問題は「採用」という入り口の規制で解消したかにみえるが、企業が雇った後の「雇用管理」の現場でも、個人情報は駆使されるはずだ。データ解析で得られた「判断」は一定の根拠があるだけに覆すことが難しく、社会の差別構造を助長するリスクをはらむ。 リクナビ問題は、技術革新と労働者保護を両立することの難しさを露呈している』、「企業が雇った後の「雇用管理」の現場でも、個人情報は駆使されるはずだ」、というのは嫌な監視社会の到来である。日本でもEUのGDPR（一般データ保護規則）のような規制で歯止めをかける必要がありそうだ。
タグ：人事労務分野においてAIやデータを活用する手法はHRテックと呼ばれ、近年注目 「リクルート事件」が発覚したのは、1988年 職業安定法では、採用活動を行う企業には求職者の個人情報の取扱いについての義務が課せられる旨が定められている 「内定辞退率」を選考に利用しない条件で有償提供するという契約に無理があった EUの「一般データ保護規則（GDPR） トヨタの場合、採用試験を受けた大学新卒学生の名簿をリクルートキャリアに提出、同社が「リクナビ」のプラットフォーム上で得られた個人情報（トヨタ志願者が何社にエントリーしたか、どんな就職活動をしたのか）からトヨタの「志望度の高さ」を数値化し、内定辞退率予測データと称して販売していた （その1）（リクナビの「内定辞退率」データ提供は何が問題だったのか 弁護士が解説、リクナビ内定辞退率問題で厚労省激怒 「データ購入企業」にも鉄拳） ダイヤモンド・オンライン 「リクナビの「内定辞退率」データ提供は何が問題だったのか、弁護士が解説」 怒り心頭の厚労省は新ビジネスを本気でつぶす リクナビ問題 「リクナビ内定辞退率問題で厚労省激怒、「データ購入企業」にも鉄拳」 職業安定法 杉浦 健二弁護士 内定辞退率 「相場は400万～500万円」 同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案 リクナビDMPフォロー 求人情報サービスを行う『募集情報等提供事業』に対しても、規制をかけるべきという議論が省内であったが、ノールールという結論が導き出された 採用だけではなく雇用管理でも個人情報が使われる その判断を下したのが収賄罪に問われた労働次官であり、リクルートによる根回しが取り沙汰された。それでも、「募集情報等提供事業＝無法地帯」という結論が覆ることはなく、うやむやにされた 31年前の亡霊に取り付かれている 「リクナビDMPフォロー」を利用したクライアント企業が問われ得る法的責任
