エンジニア採用における個人情報の取り扱い。状況別に注意すべき点を解説

エンジニア採用においても、応募者の個人情報の取り扱いに十分注意しなければいけません。これからエンジニアの採用活動を始める企業は、個人情報の範囲や企業側の義務について、基本的なところを理解しておきましょう。状況別に注意点を解説します。

採用活動で知っておくべき個人情報の取り扱い

特定の個人を識別できる個人情報は、企業の採用活動でも、とりわけ取り扱いに注意を要するものです。エンジニア採用でも、企業側の個人情報の取り扱いに関する義務を理解し、適切に情報を管理できる体制の構築が求められます。

そもそも個人情報とは？

個人情報の定義は人によって幅があるものの、特定の個人を識別できる情報は、全て個人情報と見なされるのが一般的です。名前はもちろん住所や電話番号・メールアドレスをはじめ、職業や個人の趣味・インターネットの購入履歴に至るまで、個人にたどり着ける情報は全て個人情報に該当します。

個人情報は法令の下で管理しなければならず、特に2022年の4月1日に改正された個人情報保護法では、全ての個人情報を取り扱う事業者に法令が適用されるようになりました。

すなわち事業規模や職種などを問わず、事業者ならば顧客や取引先はもちろん、人材採用で収集したあらゆる個人情報を、法令に基づいて適切に管理する必要があります。

個人情報の取り扱いに関する企業側の義務

採用活動において求職者の個人情報を取り扱うに当たっては、応募者に対して、事前に個人情報の利用目的を明示し、本人からの同意を得なければいけません。それに加えて、個人情報の取得や利用・保管・譲渡などに関して多くの義務があるので、人事担当者としてよく理解しておく必要があります。

とりわけ近年は個人情報の取り扱いに関して、情報漏えいをはじめとした問題を起こす企業が多いため、人事担当者は特に注意しなければいけません。

個人情報の取得・利用に関する注意点

法令に基づいた個人情報の取り扱いについて理解するには、情報の取得や利用をはじめ、保管方法や譲渡などの状況別に、必要な事柄を理解することが重要です。まずは、個人情報の取得や利用に関して、企業が守るべき義務を確認していきましょう。

利用目的の特定および通知

人材採用をはじめ、事業活動において個人情報を取得する際には、まず目的を可能な範囲で具体的に特定する必要があります。さらに利用目的を変更する際には、変更前の利用目的との関連性について、合理的に認められる範囲に収めなければいけません。

また、利用の目的は個人情報によって識別される人（「本人」と呼称）に対して、事前に知らせるか、企業の公式サイトなどで公表する義務があります。エンジニアを採用する際にも、取得した応募者の個人情報の取り扱いに関して、事前に知らせるか、自社サイトなどで公表する必要があるわけです。

※出典：利用目的の特定 第十七条｜個人情報の保護に関する法律｜e-Gov法令検索

目的の範囲内での利用

取得した個人情報は、原則として特定した目的の範囲内でのみ利用できます。もし、目的の範囲を超えて使用する必要が生じたときには、事前に本人からの同意が必要です。当然ながら不当な行為を助長したり、誘発したりする恐れがある方法で利用してはいけません。

ただし、後述するように法令に基づく場合や、人の生命や財産・身体の保護のために必要であり、さらに本人の同意を得ることが困難な事態が起こる可能性もあります。その際には例外的に、目的外の利用も許される場合があります。

※出典：利用目的による制限 第十八条｜個人情報の保護に関する法律｜e-GOV法令検索

個人情報の保管に関する注意点

次に、個人情報を保管する場合に、注意すべき点を確認しましょう。個人情報の取扱事業者はもちろん、その従業員や委託先においても、安全な情報管理の措置が求められます。

安全管理措置

個人情報の取扱業者は、情報の漏えいを防ぐために適切な措置を講じなければいけません。何をもって適切といえるかは判断が難しいところですが、一般的に情報を安全に管理していると見なされる方法を取る必要があります。

例えば、個人情報を含むファイルには必ずパスワードを設定し、第三者が閲覧できない状態にするのが基本的な対策です。さらにマルウエアの侵入を許さないように、情報を利用する端末全てにセキュリティーソフトの導入も必要です。

また、紙ベースで個人情報の管理をしている場合は、部外者が無許可で情報を閲覧できないように、鍵のかかった場所に保管するといった措置が求められます。

※出典：安全管理措置 第二十三条｜個人情報の保護に関する法律｜e-Gov法令検索

従業員や情報の委託先の監督

事業者は人事担当者やシステム管理者など、個人情報を取り扱う社員に対して、しっかりと監督をしなければいけません。

特にこれから採用活動を始める企業の場合は、求職者や応募者の情報管理を担当する社員に対して、企業の個人情報の取り扱いに関する義務を説明し、セキュリティー意識を高める必要があります。積極的に講習やトレーニングなどを実施しましょう。

採用業務を委託する場合も、個人情報の取得や編集・管理などを任せるならば、委託先の監督を徹底しなければいけません。

※出典：従業者の監督 第二十四条｜個人情報の保護に関する法律｜e-GOV法令検索

委託先の監督 第二十五条｜個人情報の保護に関する法律｜e-GOV法令検索

第三者への情報提供の制限

個人情報を第三者に提供する際には、原則として本人の同意を得なければいけません。特に外国の第三者に提供する場合、事前に本人の同意を得るのはもちろん、提供先の情報管理体制を定期的に確認し、問題が生じた場合の対応も考えておく必要があります。

さらに、誰にどのような情報を提供（あるいは受領）したのか、記録・保存をするのも個人情報取扱業者の義務とされているので、忘れないようにしましょう。

※出典：第三者提供の制限 第二十七条｜個人情報の保護に関する法律｜e-GOV法令検索

外国にある第三者への提供の制限 第二十八条｜個人情報の保護に関する法律｜e-GOV法令検索

第三者提供に係る記録の作成等 第二十九条｜個人情報の保護に関する法律｜e-GOV法令検索

本人の同意なしで譲渡が許される場合

個人情報は本人の同意なしで第三者に提供してはいけませんが、法令に基づき本人の同意なしでも、例外的に情報の提供・譲渡が許されるケースもあります。

例えば警察からの照会を受けた場合や、人の生命や身体・財産などの保護に必要な場合で、本人からの同意を得るのが困難な場合などは、個人情報の提供をしても問題はありません。本人の同意を得るのが難しい場合とは、災害時などが挙げられます。

さらに、国や地方公共団体に協力する必要がある場合も、提供・譲渡が許されることがあります。

※出典：第三者提供の制限 第二十七条｜個人情報の保護に関する法律｜e-GOV法令検索

個人情報の開示を求められた際の対応は？

本人から収集・管理している個人情報の開示を求められるケースも考えられます。その際の事業者としての対応も押さえておきましょう。

原則として開示が必要

本人から個人情報の開示を求められた場合、個人情報の取扱業者は原則として、すぐに当該情報を開示しなければいけません。本人からの求めに応じて、保有個人データの開示や訂正・利用の停止などに応じる必要があります。

ただし、当該情報を開示することにより、適正な業務の実施に著しい支障が出る場合は、開示しないケースも許されます。例えばエンジニアの採用において、自社の応募者への評価は、個人情報と見なされる情報が含まれるケースもあるでしょう。

しかし、開示によって適切な人事評価ができなくなる恐れがある場合は、その旨を伝えた上で、開示を拒否することも可能です。また、当該情報がそもそも保有個人データに該当しない場合も、開示請求に応じる義務はありません。

※出典：第三者提供の制限 第二十七条｜個人情報の保護に関する法律｜e-GOV法令検索

苦情を受けた場合には適切・迅速に処理

個人情報の取得や管理・譲渡などに関して、本人から苦情を受けた場合には、適切かつ迅速に処理する必要があります。事前に情報収集の目的と用途について本人に伝えた上で、同意を得ている限り、適切に情報を管理していれば苦情を受けることはほとんどありません。 

しかし情報の管理体制に問題があるケースや、第三者への提供が疑われる場合などは、本人から状況の説明を求められることもあるでしょう。本人から情報の開示や事情の説明を求められた際には、誠実に対応しなければいけません。

また本人が個人情報の取扱業者に開示請求をしやすいように、個人情報取扱事業者の氏名や名称、請求手続きの方法などに関して、公式サイトなどで明示しておく必要があります。

※出典：開示 第三十三条｜個人情報の保護に関する法律｜e-GOV法令検索

個人情報の取り扱いには十分注意が必要

エンジニア採用の場面でも、求職者や応募書の情報を収集・管理する際には個人情報保護法に基づいて、適切に情報を取り扱わなければいけません。個人が特定できる情報は基本的に全て個人情報であり、取得や利用・保管などに関して、事業者が守らなければならないルールがあります。

これから人材採用を始める企業は、個人情報の取り扱いに関してしっかり確認し、社員に法令の順守を徹底させるようにしましょう。

情報管理やセキュリティーに関して、講習やセミナーなどを実施するのも効果的です。安全に情報を管理できる体制を構築して、採用活動に臨みましょう。