採用活動における「裏アカ」調査
採用活動に当たって、採用候補者の裏アカ調査を行う企業が増えている。
法的な問題点を考えてみることにした。
採用活動において用いられる裏アカ調査
コロナの影響で企業が採用候補者と直接対面する形で採用活動を行うことが難しくなったことが影響しているのか、採用活動に当たり、自社で又は調査会社に委託して採用候補者のSNS上での言動を調査・分析する企業が増えている。当職の知る限り、かなりの大企業も、採用候補者が知らないうちにやっている印象がある（人事部は法務チェックを通さずに色々やりがちなのだろうか。）。
飲食店の卓上の醤油ボトルの注ぎ口をペロペロと舐める様子を撮影した動画をはじめとした迷惑動画が社会問題となり、企業側も、採用候補者の本性やリテラシーを把握し、採用に伴うリスクを軽減したいと考えるのは自然なことだと思う。
飲酒を伴う内定者歓迎会での採用内定者の発言等を理由とする内定取消しの有効性が争われた裁判例（参照：日経新聞2023年10月6日記事）も記憶に新しい。
その中でも、採用候補者の「裏アカ」調査まで行い、企業に採用候補者の素行を報告する調査会社が存在している。
「裏アカ」は、身近な人に知られている本アカとは異なり、典型的には、現実社会における自身と一致させないことを意図してアカウントが運営され、日常生活での不満や社会に対する忌憚のない意見が投稿される。現実社会で認識されている○○さんという自身の人物像から切り離されているからこそ、自身の素性が投稿に表れ、今この人を採用するか迷っている企業にとって良質な判断材料になる。
ただ、採用候補者からみれば、現実社会における自身の人間像と切り離して色々自由に言いたいからこそ裏アカで呟いているのに、そこまで調べられているとは通常思わない筈である。また、そこまで調べられていることを想像すると、純粋に気持ち悪いとの意見がありそうである。
裏アカ調査の方法
最新の調査方法は把握していないが、インターネットで確認できるところでは、裏アカ調査会社が行っている裏アカ調査は、例えば以下のような方法で行われているようである。
エントリーシートに記載された情報等を基に、誕生日や出身校、出身地等が一致するアカウントを探し出し、採用候補者の裏アカを特定する。
＊１つのSNSのIDが他のSNSのアカウントと一致する場合など、複数のSNSアカウントが特定できる場合には、複数のSNSアカウントに調査がまたがる場合がある。投稿内容を確認し、「懸念なし」「懸念あり」「破産歴・犯罪歴などの重大な懸念あり」などの判定結果と当該判定結果に至る理由を企業に報告する。
＊確たる証拠はないが懸念ありなどの判定（例えば、「ポーカーをしている写真付きの投稿」がなされていれば、賭博行為を行っている懸念があるなどと判定する。）がなされることもある。場合によっては、採用候補者の居住地に出向き、周辺住人に聞き込み調査を行う（「○号室の人は変わった人ですか」、「騒音などはないですか」などと質問する。）。
この一連の活動を企業が行うことの問題点を考えてみる。
個人情報保護法
まず、個人情報保護法との関係が問題になりそうである。
ある調査会社の担当者は、
個人情報の管理を徹底している
採用候補者から取扱いに関する同意を取得している
誰もが見られる公知情報を収集しており、収集や分析のノウハウを情報提供しているに過ぎない
ので法律上全く問題がないと述べている。真っ当か。
利用目的の特定に関するルール
個人情報取扱事業者は、個人情報を取り扱うに当たっては、利用目的をできる限り特定しなければならない（個情法17条1項）。
この「できる限り」は、特定可能であれば特定せよということではなく、特定の程度を「できる限り」とするものである。特定した利用目的は、書面やフォームで直接取得する場合にはあらかじめ明示し、間接取得・非書面取得による場合には、あらかじめ公表している場合を除き取得後速やかに本人に通知し又は公表しなければならない（個情法21条1項、2項）、というのが同法上のルールである。
問題は、どの粒度で記載をしておけば利用目的の特定として十分なのかである。
ガイドライン通則編3-1-1では、「最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい」とされており、「事業活動に用いるため」や「マーケティング活動に用いるため」といった記載が特定不十分の典型として挙げられている。
このように、「最終的」な利用目的を具体的に特定することが望ましいとされている一方で、ガイドラインには以下の記載が存在する。
本人が、自らの個人情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない。
例えば、本人から得た情報から、本人に関する行動・関心等の情報を分析する場合、個人情報取扱事業者は、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない。
【本人から得た情報から、行動・関心等の情報を分析する場合に具体的に利用目的を特定している事例】
事例1）「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」
事例2）「取得した行動履歴等の情報を分析し、信用スコアを算出した上で、当該スコアを第三者へ提供いたします。」
すなわち、最終的な利用目的を特定するというルールに従って特定すれば何が行われるのかが合理的に予測・想定されない場合は、取扱いの過程（どのように取り扱われているか）も特定しなければならないということである。最終的な利用目的を特定せよといっておきながら特定の場合に限って中間過程の説明を求めることは理論的に整合しないとの意見があるが、ここでは無視する。
また、ガイドラインは、「本人から得た情報から、本人に関する行動・関心等の情報を分析する場合」を、「最終的な利用目的を特定するだけでは利用目的が合理的に予測・想定されない場合」の一例と位置付けている。
裏アカ調査への当てはめ
裏アカ調査では、氏名・生年月日等の履歴書に記載された情報を基にSNSアカウントを特定して、（AIを用いず人力で地道に調査するとしても）本人が行った投稿を見ながら性格や性向を分析する。まさに、上記引用箇所の「本人から得た情報から、本人に関する行動・関心等の情報を分析する場合」に当たるといって差し支えなさそうである。
採用候補者の住居付近に赴いて周辺住人からヒアリングする場合も同様である（隣人等に質問することなど、採用候補者に全く想像がつかない。）。
なお、上記引用部分はいわゆるプロファイリングを行う場合を指しており、プロファイリングを「個人データの自動的な取扱い」（GDPR4条4項）、「もっぱら自動化された取扱いに基づいた決定」（GDPR22条）と捉えれば、決定プロセスに人が介在すれば上記引用部分の対象外だという考え方があり得る。
ただ、個人情報保護委員会「改正法に関連する政令・規則等の整備に向けた論点について（公表事項の充実）」の記載（以下）を読む限り、「本人から得た情報をもとに、その情報と異なる本人に関する情報を予測等して活用する」ことが本質であると思われ、人的介在の有無は、ここでは本質的要素ではなさそう。
例えば、いわゆる「プロファイリング」といった、本人から得た情報をもとに、その情報と異なる本人に関する情報を予測等して活用する場合、本人が当初想定していないような形で本人に影響を与え得る。
話を元に戻すと、よく「バックグラウンドチェック」というような抽象的な記載がなされることがあるが、この程度の記載で、裏アカまで調べられるとの想像には至らないから、利用目的の特定として不十分である。
利用目的を記載するに当たっては、本人が投稿していると思われる裏アカを特定すること、当該アカウントの投稿を確認・調査すること、当該投稿内容から本人の性向・資質等を分析することが採用候補者に分かるようにする必要がありそうである。
ここまで記載する必要があると言われれば、裏アカ調査の利用を控える企業が多そうである。
補足
なお、3. 公開情報を取得しているから問題がないという上記言い分については、次のとおり考えるべきではないかと思料する。
まず、裏アカ調査のステップは、企業（又は調査会社）からみれば、①履歴書記載の情報の取得と②公開情報の取得という２つのステップがあるが、②が問題ないと立論したところで、①における利用目的に関する規制の適用がなくなる訳ではない。
次に、「個人情報を含む情報がインターネット等により公にされている場合」の当該情報の取得については、以下のように考えられている。
（適正取得）
Ｑ４－４ 個人情報を含む情報がインターネット等により公にされている場合、①当該情報を単に画面上で閲覧する場合、②当該情報を転記の上、検索可能な状態にしている場合、③当該情報が含まれるファイルをダウンロードしてデータベース化する場合は、それぞれ「個人情報を取得」していると解されますか。
Ａ４－４ 個人情報を含む情報がインターネット等により公にされている場合、それらの情報を①のように単に閲覧するにすぎない場合には「個人情報を取得」したとは解されません。一方、②や③のようなケースは、「個人情報を取得」したと解し得るものと考えられます。
裏アカの各投稿を目視で閲覧する段階では個人情報の取得に該当しないが（上記①）、投稿内容を報告書に転記するような場合については個人情報の取得に当たり得る（上記②）と整理すべきである。よって、いずれにしても利用目的規制が掛かることになると思われる（なお、Q&A2-4参照）。
職業安定法
職業安定法5条の5第1項は、次のとおり定めている。
（求職者等の個人情報の取扱い）
第五条の五 公共職業安定所、特定地方公共団体、職業紹介事業者及び求人者、労働者の募集を行う者及び募集受託者、特定募集情報等提供事業者並びに労働者供給事業者及び労働者供給を受けようとする者（次項において「公共職業安定所等」という。）は、それぞれ、その業務に関し、求職者、労働者になろうとする者又は供給される労働者の個人情報（以下この条において「求職者等の個人情報」という。）を収集し、保管し、又は使用するに当たつては、その業務の目的の達成に必要な範囲内で、厚生労働省令で定めるところにより、当該目的を明らかにして求職者等の個人情報を収集し、並びに当該収集の目的の範囲内でこれを保管し、及び使用しなければならない。ただし、本人の同意がある場合その他正当な事由がある場合は、この限りでない。
収集が禁止されている情報
上記条文の解釈を示した厚労省の指針は、特別な職業上の必要性が存在することその他業務の目的の達成に必要不可欠であって、収集目的を示して本人から収集する場合を除き、次に掲げる個人情報を収集してはならないとしている。
イ 人種、民族、社会的身分、門地、本籍、出生地その他社会的差別の原因となるおそれのある事項
ロ 思想及び信条
ハ 労働組合への加入状況
裏アカの投稿を調査する過程で上記個人情報に目が触れることが想定される。ここでも、どの行為からが収集（取得）なのかが問題になるが、上記Q＆A 4-4の考え方に従えば、上記情報について、②や③の方法は避けるべきである。
ただ、企業自らが裏アカ調査を行う場合については、一度目に触れた情報を脳内から消し去ることはできず、情報を覚知した者と採否決定を下す者が同一人であるようなときは、どこからが収集なのかという形式的な議論は余り生産的でないと思える。
収集の方法
また、収集方法について、次のとおり記載されている。
(三) 職業紹介事業者、求人者、労働者の募集を行う者、募集受託者、特定募集情報等提供事業者、労働者供給事業者及び労働者供給を受けようとする者は、個人情報を収集する際には、本人から直接収集し、本人の同意の下で本人以外の者から収集し、又は本人により公開されている個人情報を収集する等の手段であって、適法かつ公正なものによらなければならないこと。
裏アカ調査を行う場合は、①本人の同意を得て行うか、②本人により公開されている個人情報を収集することになるところ、例えば、鍵付きアカウントを何らかの方法で確認する場合を想定すると、鍵付きアカウントは、②「本人により公開されている個人情報」といえないため、①本人から同意を得るしかないように思う。
そのほか
厚生労働省「公正な採用選考の基本」
厚生労働省「公正な採用選考の基本」⑶採用選考時に配慮すべき事項において、「身元調査などの実施」が、「就職差別につながるおそれがあ」ると指摘されている。
これは、個人情報保護法や職業安定法とはまた別の問題だが、職業差別に繋がらないかという観点から十分に議論されるべきである。
調査対象アカウントを誤るリスク
調査会社側は、誕生日や出身地、出身校等の情報を基に裏アカを特定するというが、別人のアカウントを本人のアカウントと判断するリスクが避けられない。
採用候補者に対して調査対象となった裏アカを報告する訳でもないから、採用候補者にとっては完全にブラックボックスである。しかも、採用候補者の人生を左右し得る重要な局面において行われるものである。
少なくとも不採用者に対しては、本人がどのアカウントを調査したのかについて情報提供を求めた場合、企業側にこれに回答する義務を負わせるなど、本人の手続保障を必要とすべきである。
なお、GDPRは、データ主体に対し、公共の利益又は正当な利益を処理の根拠とする場合で、プロファイリングが関係するときなどには、異議を述べる権利を保障している（21条参照）。