採用活動において、候補者のSNSアカウントを検索し、そこで発信された過去の情報を見て、採用不採用の判断をすることは許されるか？

2019年のリクナビ問題を機に、HR Techとあわせて個人情報保護の重要性が改めて注目されました。でも、また、忘れ去られている感じもします。それで、改めて振り返りたいと思ったのです。

まず、個人情報保護法ってなんだろうと。

個人情報保護法というのは、主に消費者と企業の関係における顧客データの管理を主なスコープにしていて、従業員データの管理についてはほとんど触れていません。

結果、多くの企業の人事部門は、個人情報保護を自分事と捉えていない。必然的に、個人情報保護の重要性についての意識は低く、従業員にかんする個人情報保護やプライバシーについての議論やノウハウの蓄積があるとは言い難いのが現状です。

リクナビ問題は、そこに一石を投じた格好になりました。

採用活動においては、通常、本人が応募先企業に提出した情報や、正式な採用プロセスを通じて企業が取得した情報を元に、選考が行われます。

ところが、リクナビ問題では、本人が応募先企業に提出していない(あるいはしたつもりがない)情報が、採用選考のためになんらかの形で使われました(あるいは使われた可能性がある)。

リクナビ問題を、それはHR Techの問題だといったりしてHR Techと無関係な(と考えている)人事担当は、それを他人事と考えられることがあるようです。でも、リクナビ問題は、HRの世界に対して割と大きな示唆をあたえてくれた事件だと、私は考えます。

私たちは例えば以下のような身近なテーマに向き合う必要があります。

「採用選考にあたって、本人が積極的に意図しない形で
出した、あるいは出てしまった候補者に関する個人情報を、採用判断に使ってよいか？」

リクナビ問題は、たまたまHR Techの文脈で問題になったのですが、HR Techはツールでしかありません。HR Techを使ったら問題で、HR Techを使わなければ問題ないのか？という問いは別にありますが、リクナビ問題はそういう話ではありませんでした。HR Techの発展により、個人情報を取得しやすくなったことはあるにしても、テクノロジーをつかわない場合でも、例えば人的ネットワークを活用することで、容易に個人情報を得ることは出来ます。つまり、HR Tech云々以前の話として、本人が提出していない個人情報を採用選考に使ってよいかどうかが問われた事件でした。

そこで、いかにもありがちな二つの具体的な問いを立ててみます。

問1.
候補者のSNSアカウントを検索し、そこで発信された過去の情報を見て、採用不採用の判断をすることは許されるか？

問2.
候補者のCVを見て、候補者の過去の勤務先を知る。そこで、同じ勤務先の出身者の知人に、「この人知ってる？」と過去の情報を聞いて、採用不採用の判断をすることは許されるか？

【そもそも、採用活用における個人情報保護法上のポイントはなにか？】

採用活動において抑えておくべき個人情報法のポイントを整理します。

個人情報保護法は3階建。1ー3章で個人情報保護にかんする基本方針を定め、4ー7章で民間事業者向けに義務や罰則等を定めています。そのしたに4つのガイドラインがあり、具体的運用を規定しています。2015年改正以前には、雇用分野に特化したガイドラインがあったのですが、廃止されました。厚労省が事業所轄大臣から外れたことが背景にあります。

法律上の個人情報の定義はこうです。
•個人情報とは、生存する個人にかんする情報で、氏名•生年月日その他の記述等を差す。顔写真もここにあたる。
•さらに個人情報保護法は、個人情報のなかでも特にセンシティブな人種•信条•社会的身分•病歴•犯罪歴等を要配慮個人情報と定義し、「取得」に際しては本人の同意を得ることを求めている。要配慮個人情報とは、不当な差別、偏見その他の不利益が生じない ように取扱いに配慮を要する情報として、法律・政令・規則に定められた情報をいう。
•一方で、要配慮個人情報であるかどうかに関わらず、本人の同意を得ずに個人データを第三者に「提供」することを禁止している。

「取得」と「提供」の違いをしっかり抑えないといけません。その違いは、要配慮個人情報に関する本人同意の有無。逆に「取得」と「提供」の両方に共通しているのは、通知•公表。この点が、上記2つの問いに答える際の、法的な鍵になります。


【リクナビ問題とはなにか？を整理することで、2つの問いへのヒントを得る】　

遠回りにはなりますが、上述の個人情報にかんする基本理解を踏まえて、まずはリクナビ問題を整理することで、2つの問いに答えるヒントを探したいです。

リクナビ問題は、個人情報保護法と職安法の両面から問題となりました。この二つの法律を見ないと理解できないことがポイントです。

○個人情報保護法
個人情報保護法を所轄する個人情報委員会は、「指導及び助言」にくわえ、法令違反があった場合には「勧告及び命令」を行います。リクナビ問題は、2016年に同委員会が設置されてから初の勧告事案となりました。これまで特に雇用分野において、表立って個人情報保護法違反とされるケースはありませんでした。その意味で、事実上形骸化していたとも言える個人情報保護法が、一躍注目を集めたのです。その昔、有名無実化していた36協定が、2001年の電通事件判決をうけて突然、実態として重要視されたのと似ています。

ところで、リクナビ問題とは、リクルートキャリア社のサービス「リクナビ　DMP フォロー」にかんするものです。このサービスは、学生の了承を十分に取らずに「内定辞退率」を算出し、企業に販売するスキームにより成立していました。アルゴリズムとハッシュ化により、個人が特定できる形でサービス提供していたことが問題とされました。

個人情報保護委員会による2度に渡る勧告によると、このサービスの具体的な問題点は以下の通りです。

①2019年3月、プライバシーポリシーを改訂し、リクルートキャリア社から顧客企業に個人データの第三者提供を行えるとした。しかしながら、その際、「事務手続き等の不備により」第三者提供について本人同意をとるオペレーションに変更しなかった。さらにこの不備を予防•発見•修正する体制がなく、不適切な管理体系であった。
https://www.ppc.go.jp/files/pdf/190826_houdou.pdf

なお、リクナビ2020プライバシーポリシーはこう記しています。
•個人情報の第三者への提供 - 当社は、原則として、ユーザー本人と同意を得ずに個人情報を第三者に提供しません。提供先•提供情報内容を特定したうえで、ユーザーの同意を得た場合に限り提供します。
•属性情報•端末情報•位置情報•行動履歴等の取得及び利用について - 当社は、ユーザーがログインして本サービスを利用した場合は、個人を特定したうえで、ユーザーが本サービスに登録した個人情報、およびcookieを分析•集計し、以下の目的(「採用活用補助のための利用企業等への情報提供(選考に利用されることはありません」等)で利用することがあります。

②このサービスは、ハッシュ化の技術を使い、データ突合により個人の特定ができるようになっていました。リクルートキャリア社は、内定辞退率の提供を受けた企業側において特定の個人を識別できることを知りながら、提供する側では特定の個人を識別できないとして、個人データの第三者提供の同意取得を回避していました。
https://www.ppc.go.jp/files/pdf/191204_houdou.pdf

③合わせて個人情報保護委員会は、本サービスを利用し、個人情報を取得していた企業に対しても、「利用目的の通知•公表」、「個人データを第三者への提供にあたっての組織的な法的検討の必要性」、「個人データ取り扱い委託先への必要かつ適切な指導の必要性」の3点から「指導」を行いました。
ここで問題になっているのは、上述の個人情報の「提供」と「取得」の原則そのものです。提供には本人同意が、取得には通知•公表が必要という基本的な原則が、リクルートのような膨大な人材データを扱う大企業においてすら、十分に認識されていないことが明らかになった格好となりました。

○職安法
他方、職安法も、個人情報にかんする定義を定めます。「個人に関する情報であって、特定の個人を識別できるもの(他の情報と照合することにより特定個人を識別できるものを含む)」とあります。この法律は、「労働者の募集を行う者」を含むあらゆる事業者が遵守しなければならないものとされており、個人情報保護法と合わせて注意しておくべき法律です。

平成11年労働省告示17条第141号では、要配慮個人情報よりも広い範囲の個人情報について収集自体を禁止します。個人情報の取得について、本人からの直接収集または本人の同意のもとで本人以外からの収集を例示し「適法かつ公正な手段」を義務付けます。そして、採用活動等にかかわるひとは「その業務上取り扱ったことについて知り得た人の秘密を漏らしてはならない」とします。

厚労省の職安局長は、2019年9月1日付けで全国求人情報協会•人材サービス産業協議会宛に以下のような内容を含む通知を行いました。

「本人同意なく、あるいは仮に同意があったとしても同意を余儀なくされた状態で学生等の他社を含めた就職活動や情報収集、関心の持ち方などに関する状況を本人があずかり知らない形で合否決定前に募集企業に提供することは、募集企業に対する学生等の立場を弱め、学生等の不安を惹起し、就職活動を萎縮させるなど学生等の就職活動に不利に働くおそれが高いものと言わざるを得ません」
https://www.mhlw.go.jp/content/000545728.pdf

さらに、同じ職安局長は「労働者募集における個人情報の適正な取扱意について」(職発1213第5号、2019.12.13)において経団連、日本商工会議所、中小企業団体連合会宛に以下内容を含む通達をおこないます。

「本人同意なく、応募する事業主への就職を希望する学生等にとっては同意しないことも現実には難しい状況で、学生等の他社を含めた就職活動や情報収集、関心の持ち方などに関する状況を、本人があずかり知らない形で合否決定前に第三者から収集することは、学生等の立場を弱め、学生等の不安を惹起し、就職活動を萎縮させるなど学生等の就職活動に不利に働くおそれがたかいものであるので、こうした個人情報の収集のための第三者によるサービスの利用は控えること」

これによれば、たとえば、応募者が当社に応募してきたという情報を、第三者に提供しreferenceをとるような場合は、本人同意が必要なことはもちろん「適法かつ公正な手段」による必要がありそうです。

そこで、改めて冒頭に立てたひとつ目の問いに戻ります。

候補者のSNSアカウントを検索し、そこで発信された過去の情報を見て、採用不採用の判断をすることは許されるか？

議論の前提として、SNS上で個人が発信している情報は、個人情報、さらには要配慮個人情報に該当するのでしょうか？

個人情報保護委員会は、「(インターネット上等で)公知の情報であっても、その利用目的や他の個人情報との照合など取扱いの態様によっては個人の権利利益の侵害につながるおそれがあることから、個人情報保護法では、既に公表されている情報も他の個人情報と区別せず、保護の対象としています」し、公知の情報であるかどうかは、個人情報に該当するかどうかに関係ないとしています。

つまり、インターネット上で公表されているなどの公知の情報であっても、個人情報保護法の保護は及びます。

しかしながら、前述の通り、個人情報保護法は、要配慮個人情報以外の個人情報取得に際して、利用目的の通知義務を課している一方で、本人の同意は要求していません。

また、SNS上等で本人によって公表された情報の取得は、内容如何に関わらず要配慮個人情報には該当しないとされています。

個人データの取得にも本人同意を必要とする欧州とは異なりこの辺はまだゆるいのです。

もう一つの論点。　

個人情報保護法は、「偽りその他不正な手段により個人情報を取得してはならない」としています

しかし、何が「偽りその他不正の手段」に該当するかについては、定義規定もないため不明確であり、インターネット上で公開された個人情報の取得が同条に該当するか否かについては慎重な検討を要します。しかし、現在の日本では、SNS上での候補者の投稿を取得すること自体は違法とは言えません。企業の倫理観や姿勢に負うところになります。

ところで、実際の採用現場ではどうでしょうか？

採用領域で一つのベストプラクティスとされるメルカリでは、「採用活動におけるプライバシーポリシー | 採用情報 株式会社メルカリ」において以下のように定めています。「取得」と「提供」の両面から少々長いですが引用します。
https://careers.mercari.com/jp/privacy/

「取得」
本ポリシーにおける個人情報とは、個人情報の保護に関する法律（平成15年法律第57号、以下「個人情報保護法」といいます）2条1項に定める個人情報をいいます。弊社グループは、「2.個人情報の利用目的」に定める目的を達成するために、応募者から、以下のものを含む個人情報を取得します。
* 氏名、年齢、住所、性別、生年月日、電話番号、メールアドレス、学歴、職務経歴、保有する資格等の情報、現在の年収、希望年収、その他弊社グループが個人情報であると指定する一切の情報
* 履歴書、職務経歴書、エントリーフォーム、アンケート等形式を問わず、採用活動への応募のために応募者が弊社グループに提供した書類等に含まれる一切の情報
* 対話、通信、電話等、弊社グループと応募者との間で行われるあらゆる形式のコミュニケーション（面接におけるコミュニケーションを含みますが、これに限られないものとします）の一切の内容
* 採用選考のためのバックグラウンドチェック、リファレンスチェック、その他の確認手続により弊社グループが取得する一切の情報
* 採用活動への応募・参加の履歴および採用選考における選考結果

→ここには「対話、通信、電話等、弊社グループと応募者との間で行われるあらゆる形式のコミュニケーション」とあります。すなわちSNS等からの情報取得は含まれておらず、少なくともポリシー上は「自主規制」しているようにみえることに注目したいです。

「提供」
弊社グループは、以下の場合を除き、応募者本人の同意を得ない限り、応募者の個人情報を第三者に提供しません。なお、第三者には、業務委託先である外国のクラウドサービス事業者等、個人情報保護法24条に定める外国にある第三者が含まれる場合があります。
* 法令に基づく場合
* 人の生命、身体または財産の保護のために必要がある場合であって、応募者の同意を得ることが困難な場合
* 公衆の衛生の向上のために特に必要がある場合であって、応募者の同意を得ることが困難な場合
* 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、応募者の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合

→こちらは、「応募者の個人情報を第三者に提供」しないことを明記していることが重要です。

前述の通り、SNS上の発信は、個人情報にはあたるが要配慮個人情報ではないため、その取得にあたっては本人同意は不要です。採用担当者が候補者のSNSを覗くことは、法的には問題とは言えない行為です。

問題は、それが倫理的にただしいかどうか？

わたしは、正しくないと考えています。

なぜならば、候補者のSNS上の発信を採用担当者が見ることを前提とすると、候補者は、SNS上の発信の内容にみずから制約をかけざるを得ません。そうするとSNSでの自由なコミュニケーションは損なわれます。SNSで発信しない方が安全という意識も生まれます。

企業が選考の精度をすこしでも高めるために、SNSを覗き見に行きたい気持ちはわかります(Linkedinのように、就活用のSNSはある程度問題ない？！)。ひょっとしたら、面接などよりも効率的な選考ができるかもしれません。それでも、候補者は、選考プロセスで真剣勝負をしたいと考えプロセスに臨みます。そうであれば、企業はそれに応じるべきだろうと思うのです。選考プロセスそのものに工夫をこらすことで、選考精度を上げるべきではないかとおもうのです。

欧州では、過去のナチスの教訓もおり、プロファイリング(推知)には厳しい制約があります。個人情報の取得に本人同意を求めているのも、そのためです。欧州にできることは日本にもできるはずかなと。日本企業は、違法かどうかにかかわらず、SNS上のプライベートな発信を採用判断に組み込むべきではないとおもいます。

面接を中心とした選考プロセスで、場合によってはテクノロジーも活用しながらも、先入観なく最後は自分の目で見極める。運や直感も含めて選考することがフェアだとおもいます。

つぎのテーマ。

候補者のCVを見て、候補者の過去の勤務先を知る。そこで、同じ勤務先の出身者の知人に、「この人知ってる？」と過去の情報を聞いて、採用不採用の判断をすることは許されるか。

実際におきた事例。

ある会社に応募すると、そこの人事部長は他社に人材を多数輩出する優良企業の出身者。だから業界を問わず、各社に知り合いがいます。その人事部長は、候補者が紹介されるとまずは出身企業の人事アルムナイネットワークにコンタクトして、その候補者の経歴は中で接点のあった旧友(アルムナイ)を探し出し、応募者の過去のパフォーマンスや、プライベートに至るまでの情報を入手します。応募者が応募してきたことを言うまでもなく、「人事のプロ同士だから」という「阿吽の呼吸」で、候補者本人の同意なくして、簡単にリファレンスをとります。実は一次面接までに、採否判断はほぼ終わっているのです。

リクナビ問題でとりあげられた論点を持ち出すまでもなく、このアプローチに法的な問題があります。

候補者が応募した企業が第三者へ情報提供するに際して本人同意がないこととが一つ。情報提供者の方は、本人に通知することなく、この会社に応募したというプライバシーにかかわる情報を取得し、あることないこと、場合によっては噂話レベルの話まで提供する。「できる人だよ」「クセがあるよ」などとレッテル貼りまで行います。

こうしたことは、いまの日本の採用シーンでは、残念ながら頻繁に行われているようです。(当社ではないです)

ところで、これと似た採用方法として、リファーラル採用があります。新卒のOBOGネットワークを活用した採用も、この一類系と言えます。リファーラル採用は、候補者の過去の経歴を口づてに伝えることにより成立します。しかし、「そこで、同じ勤務先の出身者の知人に、「この人知ってる？」と過去の情報を聞いて、採用不採用の判断をすることは許されるか」という問題とは、根本的に違います。なぜかというと、候補者とリファーする人の間に同意が存在するからです。さらに、候補者の過去になんらかのネガティブなものがあったとしても、リファーする人が候補者が採用されるあたって悪い情報を企業に伝えることは、想定しづらいです。なぜならば、リファーラルプログラムには大抵の場合はインセンティブがついており、候補者をよく見せるモチベーションが、リファーする人の側にあるからです。

【採用は過去と未来が交錯する現在】
映画「マチネの終わりに」では、こんなフレーズがなんどか登場します。

人は、変えられるのは未来だけだと思い込んでる。だけど、実際は、未来は常に過去を変えてるんです。
変えられるとも言えるし、変わってしまうとも言える。過去は、それくらい繊細でかんじやすいものじゃないですか？

過去は変えられるし、変わってしまいます。

一人一人の過去には、いろんな事情や思いがあります。
転職理由が良い例です。過去の転職理由を根掘り葉掘り聞くようなことは、私は野暮だとおもいます。そこからでてくるのは、採用担当者自身の経験や意見に基づく、偏見に満ちた解釈でしかありません。

面接は、過去の経験を経て今の何に繋がっているか、これからの何に貢献できるかを聞く場です。

面接という現在で、過去と未来は交錯します。過去だけ、未来だけにフォーカスすることは間違っています。よくあるBehavioral interviewは、過去の経験をくどくどと聞くものではありません。過去の経験をいまどう咀嚼して、今後に向けてどういかしていくかを確認するものです。もう一つのSituational interviewは、過去の経験を踏まえて、今後起きる課題にどう向き合うかを問うものです。

翻って、最初の2つの問いにもどります。採用活動において、共通の知人から候補者の過去を聞くことは構わないかもしれません。でも、その時、その共通の知人は、候補者の過去を伝えてよいかどうか、伝えて良いのであれば、なにを伝えてよくて、なにを伝えてほしくないのかを、候補者に確認すべきでしょう。評判や噂が大切であることには異論はありません。でも、５年や10年も前の過去のあることないことを、当事者の確認も経ずに無責任にペラペラ喋ることが、採用しようとしている企業にとっても、候補者にとっても、よい影響があるとは考えづらいです。容易にレッテル貼りが行われ、選考プロセスが始まる前に、その結果は決まっていることもあり得ます。同様に、採用担当者がSNSで候補者のプライバシーに踏み込みたい衝動も否定はしません。法的には許される行為です。でも、そうであれば、採用担当者は成熟した見識をもって、それらの情報に向き合うべきだとおもいます。それができないのであれば、やめたほうがよいです。

過去は変えられるし、変わってしまう。だから過去だけで採否の判断をするべきではないです。面接は過去と未来が交錯する場。だからこそ面接は面白いのです。