【デジタル人材の採用を成功させる「個人情報」との付き合い方 イベントレポート】

ひかり総合法律事務所パートナー弁護士の板倉さんに、採用・コーポレート担当として抑えるべき「個人情報」のポイントを解説していただきました。

2023年6月6日（火）に、HERP主催で「【採用×法務 最前線】デジタル人材の採用を成功させる「個人情報」との付き合い方」と題したセミナーを開催。

働き方や人材の流動性が変化しつつある昨今。人事・採用担当者は候補者との関係構築をもとにした長期的な活動が求められています。そんな中、重要視されるのは「個人情報の取扱い」です。企業が真の採用力を高めていくためには何から取り組むべきなのか。採用文脈で個人情報を取り扱う際のポイント、企業視点だけでなく候補者視点でのプライバシーポリシーの効能についてなど、個人情報保護法分野の第一人者である板倉弁護士に詳しく話を伺いました。

本記事では当日の内容を紹介します。

ひかり総合法律事務所 パートナー弁護士 板倉 陽一郎 
慶應義塾大学総合政策学部卒業、京都大学大学院情報学研究科社会情報学専攻修士課程修了、慶應義塾大学法務研究科（法科大学院）修了。主としてデータ保護、サイバー法関連案件に従事。理化学研究所革新知能統合研究センター客員主管研究員、国立情報学研究所客員教授、大阪大学社会技術共創研究センター招へい教授、国立がん研究センター研究所客員研究員を各兼務。官公庁等の有識者委員を歴任するほか、法とコンピュータ学会理事、日本メディカルAI 学会監事等。 近著として『HR テクノロジーの法・理論・実務衾人事データ活用の新たな可能性』（分担執筆、労務行政・2022 年）、『基本講義消費者法〔第5版〕』（分担執筆、日本評論社・2022 年）などがある。

モデレーター：株式会社HERP 西村 嘉久
大手建設会社と日系シンクタンクにて企業法務に14年間携わる。また、各社で企業法務の他にも新卒採用、新規事業の開発や新規事業のための組織開発にも従事。これまで様々なリスク案件への対応のほか、事業の目線での実践的な法務を経験。2022年９月に株式会社HERP入社。現在は事業開発に従事しながら、コンサルタントとして候補者目線を取り入れた採用活動の施策立案や運営支援を行う。

採用トレンドの変化がもたらすプライバシーポリシーの「罠」

西村：まずはじめに、採用活動とプライバシーポリシーの関係について60社ほどの企業の人事の方にアンケートを実施しました。その結果をもとに現状を確認したいと思います。

デジタル人材とはDXや新規ビジネス、デジタル事業をやるときなどに必要な人材であり、広く受け取っていただいてよいです。そういったデジタル人材は引く手数多で、転職求人倍率も高くなっています。実際に、認知・初回接点から入社までの採用活動期間について、70％の方が長期化していると実感しています。

西村：そんな状況の中で、採用担当者の約60％は個人情報の取り扱いに関して不安を抱えているという回答をいただきました。

西村：不安を感じている項目の筆頭は、候補者の個人情報の利用期間でした。次いで法律理解や保管方法。人事担当の方が、多岐にわたって不安を抱えていることが伺えます。

西村：個人情報についての不安と採用の長期化に向き合いながらも、採用成果を生むために、みなさん様々な施策を実施しています。カジュアル面談を取り入れたり、通年採用をしたり、タレントプールを構築したりといった施策は優先的に進めているようです。しかし、個人情報関係の見直しを実施しているのは10％未満という回答になりました。採用活動に関わるプライバシーポリシーの対応については、優先度が低いのが現状です。

西村：アンケート結果を総評すると、長期的な視点での採用活動に取り組み始めた企業は多いですが、プライバシーポリシーの見直しといった個人情報保護の観点まで取り組めている企業は少ないということです。

それによって人事担当者に何が起きているかというと、個人情報を守らなければいけない・漏洩してはいけないという不安が膨らむ一方で、法務の専門家でもないためプライバシーポリシーの文面を把握していなかったり、用語の意味・定義をきちんと理解できなかったり、板挟みになっている状況です。個人情報の取り扱いが、企業レピュテーションに関わる潜在リスクであることが、人事のみなさんが抱える不安につながっているのかなと考えています。

一方で、採用の長期化に伴った施策を行ううちに、プライバシーポリシーでは選考など短期的な利用しか規定されていないにもかかわらず、その範囲を超えて候補者の個人情報を所持してしまったり、候補者に再び連絡をしてしまったり、意図せずに個人情報保護法や職業安定法に抵触してしまったりする事態が発生しています。

板倉先生、アンケート結果を見てどのように感じられましたか。

板倉：人事の方が、どのくらい個人情報についての研修を受けているのか気になっています。顧客の情報についてはいろいろ対応していても、従業者や候補者については甘くなりがちです。たとえばですが、候補者向けイベントをやるにあたってプライバシーポリシーを作る際に、あまり意識せずにコピペしてしまっていることが、実態としては多いのではないでしょうか。

法人顧客向けのプライバシーポリシーは管理に気をつけていると思いますが、候補者向けの場合、理論上は利用しているいろんな採用サイトに自社のプライバシーポリシーを書かないといけません。一つひとつ管理しているかと尋ねると「している」とは聞いたことがないので、運用としてはかなり混沌としているのではと思います。

6割が不安を抱えているとありますが、では残りの4割がしっかり管理できているのかと考えると、それも実はできていないのではないでしょうか。

西村：顧客向けプライバシーポリシーは管理に気をつけているというのは、顧客には常に接しているからメンテナンスが行き届くということでしょうか。

板倉：苦情も来ますしニュースにもなりますから。対して従業員には、日本特有の身内意識から、「そんなに文句言わないだろう」みたいな考えがあると思います。候補者は採用数全体としては新卒が多いので立場が弱いですし、たくさん応募して入社する過程で、一つひとつプライバシーポリシーを見て「おかしいじゃないか」と言うことはありません。つまり指摘される機会がほぼ無い。

過去、某大手就活ナビサイトで個人情報の扱いが問題になり法改正にもつながったわけですが、顧客情報に比べると後回しだし、力も入らないですよね。

また、サービス開発部がやることは法務やセキュリティの部署がチェックしますが、総務系の部局に対してはそうでもないと思います。問題となったナビサイトでも、その運営会社との契約を法務が見る発想がなかったんだと思います。人事や労務が見てるから大丈夫でしょう、という意識。今もそれほど変わっていないのではないかと思っています。

今回フォーカスしているような、候補者と長期的な関係構築を戦略的にやるのであれば、人事・労務だけでなく総務や法務、セキュリティの部署ともチームを組むことになるでしょう。総務系の部局で相互にチェックしないというのは単なる思い込みなので、そこを廃して、知見がある人に見てもらうことになると思います。

西村：私も過去法務だった身としてお話しすると、コーポレートに対するチェック体制があったかと当時を振り返ると、現場担当へのチェックに頼っていたかなと思います。大きな企業になればなるほど燻っている可能性がありそうですね。

採用活動において個人情報保護のために気をつけるべきこととは？

西村：では実際に採用活動において個人情報保護のために気をつけるべきことに話を移していきます。まず「どの法律に気をつけておくべきか？」と「プライバシーポリシーを定める目的とは？」という問いについて、板倉先生のご意見を伺いたいです。

板倉：大前提として、プライバシーポリシーは法律用語ではありません。個人情報保護法や職業安定法上では、公表しましょう、明示しましょうとか容易に知り得る状態に置きましょうなど定めていますが、その方法について特に指定はありません。法定公表事項をまとめて示しているものをプライバシーポリシーと呼んでいます。

何を書かなければいけないというのが決まっているわけではありません。たとえば利用目的は基本的に通知公表することになっていて、本人から直接取得する場合は明示することになっているので、そういったものをプライバシーポリシーという文章にまとめているわけです。違う名前にしているところもありますね。個人情報の取り扱い、個人情報保護指針など。

西村：企業のホームページに載せているのは、容易に知り得る状態にあたるのかなと思います。本人から直接受け取るときに明示するという点について、具体的にどういったアクションが必要で、どこまでやる必要があるのでしょうか。

板倉：オンラインで取得する場合は、通知も公表も明示も容易に知り得る状態も大体一緒です。その場で見せればいい。その際に、プライバシーポリシーの本文を貼らなければいけないのかと言うと、「 ワンクリックで到達すればいい」と通常言われています。ですので、サイトの下にプライバシーポリシーを貼っている場合が多いですよね。

常にウェブサイトに書いておけばいいわけではありません。採用から逸れますが、たとえば監視カメラのようなものでマーケティングをやりたいという場合、プライバシーポリシーをウェブサイトに掲載していても、監視カメラを誰が設置しているかわからなければアクセスできないし意味がないですよね。そういうときはウェブサイトだけではダメなんです。

しかしオンラインで採用活動をして自社サイトで応募してもらう、採用サイトで応募してもらうときは、どれも同じ。ちゃんとそこでクリックするなり、見られれば大丈夫です。

西村：オンラインではなく、リアルな採用イベントで会った人に情報をもらうときは、その場で明示すればよいのでしょうか。

板倉：アンケートでよく見る個人情報の取扱いに関する記載は、多くの場合が明示のつもりだと思います。リアルイベントで何か書いてもらうときはあのように下に記載したり、裏に書いたり、もう1枚配ったりするとよいでしょう。「ウェブサイトにあるからいいでしょ」というのは、よほど有名な会社でしたら許されるかもしれませんが、そうでないならば（ウェブサイトに）アクセスする可能性がないと見なされ、きちんと伝わっていないことになります。リアルな場で個人情報をもらう場合は同じ紙に書いておくのが普通です。

西村：ちなみに、採用候補者向けのプライバシーポリシーを特に定めないとどうなるのでしょうか。

板倉：常に法律違反になるというわけでもありません。どのくらい意識しているかによるのですが、何も書いてなければ一般向けのプライバシーポリシーとみなされるので、プライバシーポリシーに記載されている利用目的で個人情報を使いますという意味になります。

ここで不具合も生じる訳で、BtoCの企業であれば顧客向けに作ったプライバシーポリシーに書いてあるものが個人情報の利用目的ということになります。では「プライバシーポリシーに採用活動に使うとは書いていないから法律違反だ！」となるかというと、応募しているのだから採用目的に使用するのは明らかです。全く明らかな場合、書く必要はありませんが本当に最低限の採用活動にしか使えません。

別の例でいうと、通販で買い物をすれば、プライバシーポリシーに特段書かずとも伝えた場所に商品を送ってくるのは当たり前なので、個人情報の使い方として明らかなこととなります。採用候補者との関係で明らかな利用目的は、採用活動で最低限必要なその場限りの選考です。何も定めていなかったのに、企業がずっと個人情報を所持していて5年後に連絡したら、「なんで？」となりますよね。

西村：話が戻ってしまうかもしれませんが、このトピックに関しては、個人情報保護法、職業安定法という2種類の法律が適用されることになると思います。長期的な採用施策を推進するために、きちんとプライバシーポリシーに取り組みたいとなったときには、2つのどちらを優先して見るべきといった違いはありますか？

板倉：両方確認するしかありません。もともと職業安定法にも個人情報の規定はあって、個人情報保護法では義務が15条から47条まで書いてあります。職業安定法では一つしか条文がなく、5条の4にしかない。ですが、これに基づいた長い指針があります。

結局重なって同じようなことが規定されていますが、少しずつ違います。本当に定める際には、個人情報保護法の法律とガイドラインを見て、職業安定法の条文も見てということになります。

職業安定法については、ハローワークや職業紹介事業者が守るものだと思われています。しかし求人企業や労働者の募集を行う人も守らなければいけません。つまり普通の一般的な企業。職業安定法って全事業者が見なければいけない法律なんです。しかも、例の就活ナビサイトの件を受けてさらに細かくなりましたから、今日ここで話すと5時間くらいかかってしまいます（笑）。なので今日は話しませんが、両方見ながらやらなくてはいけないのは間違いありません。

西村：通知公表自体がより詳しく書かれているということですか？

板倉：個人情報の取り扱い部分というよりは、「取得する際に相手にこういう情報を与えなさい」というような、教えなければいけない情報が主に義務化されています。

西村：なるほど。どちらの法律も意義を見なければいけないと。 

板倉：細かいことを言うと、2つの法律で個人情報の定義から微妙に違うんですよ。そんなに差があるのかと言うとあんまりないと思うのですが、詳しいことはこちらの本に細かく書きましたので、興味がある方はご覧になってください。

長期化する採用活動において必要な対応とは？

西村：ここからは、長期化する採用活動で具体的にどういう対応が必要なのかを話していきます。

そもそも「採用活動の長期化」は何を指すのかですね。背景として採用難易度の高いデジタル人材の転職求人倍率が10倍を超え、なかなか出会えなくなっています。採用活動においては通年かつ長期にわたり候補者を探さなければいけません。当然、待ちの姿勢では難しく、転職意欲の低い候補者、企業に所属していて転職活動をしていない候補者のような「潜在的な候補者」と長期的にコミュニケーションをとり続けて、転職意欲が高まったタイミングを逃さないようにする。そろそろキャリアを変えようかなと思ったときに「うちにいかがですか？」とコミュニケーションを取る手段が出てきています。

こういった採用は、先ほど先生がシンプルな利用目的しか書かないとしたときの採用活動の目的、つまり「選考が終わったら個人情報管理を終わります」という状況から、長期的に個人情報と関係性を持ち続けないと採用活動できないような状況に変わっています。

このような状況になったときの利用目的の変更について、みなさんの会社の「個人情報の利用目的」に例1〜3がある場合、長期的な使用活動にどれくらい対応できているのかを板倉先生に伺っていきたいです。

西村：まず例1の「これらの利用は、採用選考および入社手続きに必要な範囲に限らせていただき、その他の目的で利用することはありません」という表現です。これはかなり限定的だなと思います。

板倉：そうですね。「採用活動及び入社手続きに必要な範囲」と書くと、普通の人は「この」採用選考だと読み取りますから、それ以外には使えません。自分たちで狭めてしまってるわけです。

「他の目的で利用することはありません」と書きがちですが、書かなくていいんです。
安心してほしいから書いてしまう気持ちはわかります。しかし、事実を書く。使う予定があるならそれを書く。「その他の利用目的で利用することはありません」という記載はノイズです。利用目的に書いていない利用は、そもそもできないわけですから。どういうふうに読まれてるかというと、当該採用選考以外では個人情報を持っていてはいけないという理解になるんです。

例2もそうだと思います。「採用活動にのみ利用する」と書くと、やはり当該選考以外には使えないと思われます。そうすると何も書いていないのと一緒です。

申し上げたように、何も書いていなくても応募者はその選考に使われる常識的な範囲は当然だと思っています。長期化する採用活動における個人情報の利用目的が書かれているのかと考えたときに、例1や例2の表現は何も書いてないのと同じです。

みなさんは、食品表示を書いているわけではありません。食品の表示だったら何を書かなければいけないと全部決まっています。利用目的は将来どういったことに使う可能性があるのか、特定する必要があります。なんでも使えますとは書けないですから、今後の採用や人事に関する戦略に照らし合わせて書かなければいけません。漫然と書いたり、コピペすればいいやと思いたくなる気持ちもあるかもしれませんが、それは絶対にだめです。みなさんは長期的な採用活動をするつもりで書くわけですから、重要なのは「採用候補者本人が読んでどう思うか」「どういうふうに候補者に読まれるか」を考えながら書くことです。

西村：なるほど。「例3：候補者様への定期的なご連絡および採用計画の作成のためと、選考および採否に関する連絡のため」はいかがですか。

板倉：「定期的なご連絡 」という表現は例1や例2よりはいいですね。もちろんこれも当該採用活動が終わるまでの定期的な連絡だと（候補者に）思われる可能性もありますから、明確に書いたほうがいいかもしれませんね。

「採用計画の作成の為」は「利用目的があなたのためだけではないですよ」という意思表示ですよね。顧客向けの場合だと結構書いてありますよね、「当社サービスの改善のため」とか。 そういうふうに書いてないと、使っていいのか問題があるわけですよ。細かく言うと統計を作るのは個人情報としての利用ではないからできるとか、いろんなルールがあるのですが。

例1、例2しか書かない場合が多いと思いますが、これだと本当にその選考でしか使えないことになってしまいます。顧客と異なり指摘される機会が無いからいいというわけではありませんので、堂々と長期的な採用活動で使うためには、使うかもしれないことについては適切に書きましょう。

西村：ふわっと書いたほうがいろいろなことに使えるのではないか、というマインドになりそうな気もします。そうすると何も書いてないのと一緒になってしまうのでしょうか。

板倉：そうですね、理由は2つあります。

1つは、利用目的を特定しなければいけないというルールがあるので特定しないと違法になってしまいます。

もう1つは、例1や例2だと候補者側から見るとその採用活動だとしか思わないわけです。結局利用目的が限定されてしまいます。候補者に忖度しなくていいので、淡々とやることを書くのがいいです。

西村：採用活動の難しいところとしては、今と未来で採用の状況が変わり、この先が読みづらいことがあると思います。そうした状況に合わせた利用目的の変更の手続きは、どの程度までできるのでしょうか。

板倉：基本的には、利用目的は変更できません。変更には本人の同意が必要ですが、同意はなかなか取れないと思います。同意を取るためにならば連絡していいことにはなっていますが、2年前にお見送りした人にいきなり電話をかけて、「この度、長期的な採用活動を始めることにしたので、以前同意してくれば利用目的を変えてもいいですか」と連絡したら、なんて会社だと思われてしまいますよね。

たとえばウェブサービスやアプリでアップデートの際に、「利用目的を変更します。異議がある場合はサービスを利用しないでください」とするならば、感じは悪くなるかもしれませんが利用目的の変更ができます。

板倉：リアルで接点を持つ場合、利用目的を変えるのはすごく大変なので、基本的には一発勝負です。きちんと考えて定めないと、後々怒られるわけです。社長が新聞を読んで「長期採用、タレントプールって話題になっているじゃないか。今から利用目的を変更しなさい」とお達しがあったとしても、「それはできません」といった話です。

やる予定がないと特定できないジレンマがあるものの、今回出しているような「オープン採用ポリシー」のようなものを作ってメンテナンスしていくことによって、将来的にタレントプール施策をやりたいときにも準備できるようになります。過去の利用目的を置き換えるのはものすごく大変です。

西村：基本的には一発勝負で、利用目的の範囲を具体的にしなければいけないということ、利用目的の変更は基本的にはできず後戻りができないということだと分かりました。

プライバシーポリシーの形は今のままでいいのか？

西村：視点を変えて、そもそもプライバシーポリシーの位置付けに関してご意見をお聞きしたいです。プライバシーポリシーの形は今のままでいいのか？ということです。

採用活動においては、そもそもプライバシーポリシーが読まれていない、閲覧されていないのではないかと考えています。

採用担当のみなさん自身も、どれくらいプライバシーポリシーを覚えていますでしょうか。実際に候補者にヒアリングしてもしっかり読んでいる人は、ほとんどいませんでした。重要な約束事にもかかわらず内容を認識されていない状況です。

プライバシーポリシーの内容を確認して、応募するかしないかを決める候補者は、ほぼいないと思います。採用活動におけるプライバシーポリシーの存在意義をどれくらいまで高める必要があるのか、どうすれば意義があるものになるのか、先生の考えを伺いたいです。

板倉：採用活動における個人情報の取り扱いって基本的には当該採用活動に使って他には使わないだろうと思っているので、それしかないのであればその部分について熱心に記載してもしょうがないと思います。たとえば「長期にわたり使います」「グループ会社で共同利用します」「グループ会社全体でタレントプール作ります」という場合は、それら全ての施策が候補者の視点からは想像を超えたものなので、きちんと説明したほうがいいです。一方で、「厳重に取り扱います」というのも書きがちですが、それは当たり前なのであえて強調することに意味はありません。

強調されるべきは、通常その場面では使わないであろう利用目的です。今回でいえば、タレントプールはまだメジャーではないので、「弊社は長期的にお付き合いしたいと思っているので、しばらく個人情報を持たせていただきます。今後も人手が足りなくなったら連絡するかもしれないし、あなたもたとえ今回の選考に落ちたとしても気軽に連絡くださいね」というのであれば、それを強調して書くべきです。プライバシーポリシーへのリンクでもいいですが、その部分だけは本文に記載するなどメリハリをつけるといいと思います。

西村：確かにメリハリが重要ですね。読ませることを意識して「あなたと今後もコミュニケーションを取ろうとしてるんですよ」といった意思表示をすると、採用活動をする中でも候補者からの印象にもプラスに働くのではと思いました。

板倉：それは当然だと思います。試験で上から順に採用しているわけではないので、そのタイミングで不合格になったとしても、後々採用される可能性は大いにあるわけです。その後もファンでいてもらうとか、また付き合っていこうかなと思われたほうがお互いに絶対に得です。そういう姿勢を示す意味でも、丁寧に書いているなと思われた方が企業にとってはいいですよね。

個人情報の取り扱いまで含めて人事戦略をやっている会社だと思われたほうが絶対に得ですし、そこまで力を入れているわけですからアピールにもなります。

西村：ありがとうございます。そういう姿勢をきちんと表に出してく見せ方もかなり重要だと思っています。ここまでのお話しのポイントは2点で、個人情報保護法、職業安定法で利用目的を定めなければいけない、どんな形でどんな内容で利用目的を定める必要があるかというのが1つ。もう1つは候補者に実際に見てもらうことを意識した見せ方をすることで、今までと違うことをやろうとしているんだ、長期的な採用活動であなたとお付き合いしていきたいんだと思ってもらえること。この2点を意識すると、法律を遵守しながら採用活動にメリットを出していくことを、プライバシーポリシーで実現できるんじゃないかと思いました。

候補者にとってもプラスにはたらくプライバシーポリシーとは？

西村：ここまでは企業視点でのお話を進めてきました。最後に、候補者にとっても理想となるようなプライバシーポリシーのあり方について考えていきたいと思います。

切り口として、関係期間は長期を想定していて、一度限りの選考ではなく、将来にわたる候補者のキャリアについても目線に入っている。そういったことを前提に、利用目的や利用範囲が選べたり、わかりやすく明示されているのが理想だと思っています。

板倉：利用目的の管理って結構面倒くさいので、そこまでやりきれたら「この企業はちゃんとしているな」と、わかる人にはわかるんですよね。

西村：採用に関する個人情報管理でこれまで起きてきた事件について記憶に残っている候補者の方に対しては、なおさらきちんとした会社だと印象に残すのが大事になるかもしれないですね。

手前味噌ながら、先生に監修いただいた「オープン採用ポリシー」がまさにそういったことを実現しているポリシーの雛形です。具体的な利用目的、候補者本人のメリット、本人が企業に対してどんな権利を行使できるか、を端的に表しています。

先生、監修していかがでしたか。

板倉：利用目的の書き方に決まりがあるわけではないので、独立させるというのは1つのやり方で、どこかに埋め込んでも大丈夫です。しかし、どこかに埋め込むと管理が大変になるので、「本ポリシーに定める他、個人情報保護法及び職業安定法等に関連した個人情報の取扱いはプライバシーポリシー等で別途定めます。ただし、既に当社に存在するプライバシーポリシー等と本ポリシーの内容が異なる場合は、本ポリシーの定めが優先されます」とあるとおり、他で定めてここに書いてないから何も定めてないわけではなくて、付属というか、アタッチメントですよということですね。

候補者への忖度はしなくていいと言いましたが、本人のメリットとして利用目的を詳細化しているんです。具体例を盛り込んで詳細化しているのが特徴です。一方で無意味なサービス文言は書かないように工夫しました。

これは例なので、好きに付け加えていただいていいですし、自由に使っていただいていいと思います。

このように作成すると「変わったこと（変わった採用）しているな」と明らかにわかるので、そういう使い方もいいと思います。普通のプライバシーポリシーの後ろに文字で入れておいても読まないですし、そもそも通知してない、明示していないと思われる可能性もあります。

長期的な採用という候補者にとって変わったことをやるためのプライバシーポリシーなので、候補者が変わったことをやっているなと気づけるようにしています。

西村：ありがとうございます。利用目的の内容については、自身の会社でやらないことは外す、もしくは加えていただいて大丈夫です。ぜひ実際に埋め込む際には、HERPのウェブサイトの下部にある「個人情報の取り扱いについて」に埋め込んでいますので、興味がありましたらご覧いただければと思います。

板倉先生、本日はありがとうございました。