内定辞退率の提供サービスをめぐる「リクナビ問題」の概要と、令和2年改正個人情報保護法への影響

リクナビ事件における個人情報保護法上の論点

12月4日勧告等において認定された「勧告の原因となる事実」

　12月4日勧告等において個人情報保護委員会が認定した「勧告の原因となる事実」は以下のとおりです。

　以下では、上記の①から③までの各勧告に該当する事実について、リクルートキャリアが公表している「『リクナビDMPフォロー』に関するお詫びとご説明」をもとに検討します。

勧告① アンケートスキーム（2019年2月以前の仕組み）

（1）アンケートスキーム ¹

　2019年2月以前に実施していたアンケートスキームにおいては、リクルートキャリア社が契約企業から学生の姓名・メールアドレス等の個人情報の提供を受けるのではなく、契約企業が学生向けに実施したウェブアンケートを通じて、リクルートキャリア社の委託先である株式会社リクルートコミュニケーションズ（以下「リクルートコミュニケーションズ社」という）が以下の情報を直接取得していました。

　また、リクルートコミュニケーションズ社は、「リクナビ」のウェブサイトを通じて「Cookie情報」およびリクナビサイト上での「業界ごとの閲覧履歴」を直接取得していました。
　そして、リクルートコミュニケーションズ社は「契約企業固有の応募者管理ID」とリクナビサイト上での「業界ごとの閲覧履歴」を、ウェブアンケートとリクナビサイトの「Cookie情報」によって紐づけ、スコアを算出 ² していました。

　リクルートコミュニケーションズ社では、これらの情報だけでは特定の個人を識別することはできませんでしたが、契約企業においては、「応募者管理ID」は特定の個人の姓名と紐づけられているため、個人を特定のうえ、スコアを活用してフォローに利用することが可能でした。

（2）評価

　『「契約企業固有の応募者管理ID」に紐づけられたスコア』は、その提供元であるリクルートキャリア社にとっては特定の個人が識別できないため、「個人情報」³（個人情報保護法2条1項1号）に該当しないということは可能かもしれません。
　この点、契約企業は、ウェブアンケートを通じて、リクルートキャリア社（実際には委託先であるリクルートコミュニケーションズ社）に①契約企業固有の応募者管理ID（契約企業が付与していた応募者の管理ID）、②Cookie情報、③選考プロセスにおける辞退・承諾情報を提供しています。
　個人情報保護法は、特定の情報が提供先で特定の個人が識別することができず個人情報として認識できないとしても、提供元において、特定の個人であることを識別できる情報については個人情報として扱うことを求めています（いわゆる提供元基準）。
　この考え方に基づけば、①契約企業固有の応募者管理ID（契約企業が付与していた応募者の管理 ID）、②Cookie情報、③選考プロセスにおける辞退・承諾情報という情報は、提供先であるリクルートキャリア社にとっては特定の個人の識別はできなくても、提供元の契約企業にとっては特定の個人の識別は可能であるため、「個人情報」に該当していた可能性があります。そうであるとすれば、契約企業においては、本人の事前の同意を得ない個人データの第三者提供として、個人情報保護法23条1項違反であった可能性があります。

　契約企業から提供を受けた情報がリクルートキャリア社にとっても「個人情報」に該当するとすれば（提供元基準を採り、かつ、「個人情報」該当性について相対性を認めない場合）、『契約企業固有の応募者管理ID』に紐づけられたスコアは「個人情報」に該当し、リクルートキャリア社による契約企業への提供は、応募者本人の事前の同意のない個人データの第三者提供として個人情報保護法23条1項違反となります。

　これに対して、契約企業から受けた情報がリクルートキャリア社にとっては、特定の個人が識別できないのであるから「個人情報」ではないと評価する場合には（提供元基準を採り、「個人情報」該当性の判断の相対性を認める場合）、「契約企業固有の応募者管理ID」に紐づけられたスコアについてもリクルートキャリア社にとっては特定の個人が識別できないので、「個人情報」に該当せず、リクルートキャリア社による契約企業への提供は、応募者本人の事前の同意のない個人データの第三者提供ではなく個人情報保護法23条1項違反とならないことになります。
　もっとも、契約企業においては、「契約企業固有の応募者管理ID」と特定の応募者個人を識別可能であるため、「契約企業固有の応募者管理ID」に紐づけられたスコアは、個人情報（個人データ）に該当することになります。

　勧告①は、後者の立場から、「リクルートキャリア社は、内定辞退率の提供を受けた企業側において特定の個人を識別できることを知りながら、提供する側では特定の個人を識別できないとして、個人データの第三者提供の同意取得を回避しており、法の趣旨を潜脱した極めて不適切なサービスを行っていた」としている可能性が高いといえるでしょう。

勧告② アンケートスキーム化におけるイレギュラーケース

（1）アンケートスキーム化におけるイレギュラーケース

　2019年2月以前に実施していたアンケートスキームにおいて、一部の契約企業との間で、対象学生のCookie情報を利用した特定（突合）率を向上させる目的で、アンケートスキームとは異なるスキームでスコア算出を実施するケースがありました。このイレギュラーケースにおいては、当該一部の契約企業から氏名等の個人情報の提供を受けていました。
　リクルートコミュニケーションズ社において取扱うデータがハッシュ化されたものであれば、契約企業に提供する際も非個人情報として取扱えるという誤った認識のもと、契約企業から預かった学生の情報とリクナビ会員の情報がハッシュ化された状態で紐づけられており、これを通じて算出したスコアは、学生本人の同意なく当該契約企業に対して第三者提供されていました。

（2）評価

　ハッシュ化とは、元のデータから一定の計算手順に従ってハッシュ値と呼ばれる規則性のない固定長の値を求め、その値によって元のデータを置き換える方法であり、ハッシュ関数と呼ばれる特殊な計算手順により、任意長の長さのデータから固定長の一見ランダムに思えるハッシュ値を得ることができます ⁴。
　個人情報保護法は、特定の情報が提供先で特定の個人を識別することができず個人情報として認識できないとしても、提供元において、特定の個人であることを識別できる情報については個人情報として扱うことを求める「提供元基準」により、ハッシュ化をして、個人データの提供先にとっては特定の個人を識別できなくしても、提供元の個人情報取扱事業者にとっては、個人情報保護法上の「匿名加工情報」としての処理（加工方法等情報の漏洩防止措置等）をしない限りは、「個人情報」に該当することになります。
　勧告②が「ハッシュ化すれば個人情報に該当しないとの誤った認識」としているのは「提供元基準」の考え方によるものです。

勧告③ プライバシーポリシースキーム（2019年3月以降）

（1）プライバシーポリシースキーム（2019年3月以降）

　リクルートキャリア社は、プライバシーポリシースキームにおいて、契約企業の委託先として、契約企業から、委託業務に必要な限度で氏名などの個人情報の提供を受けます。その後、リクルートキャリア社の委託先であるリクルートコミュニケーションズ社において、提供された個人情報とリクナビに登録された個人情報を紐づけたうえで、当該学生のリクナビサイト上での「業界ごとの閲覧履歴」などからスコアを算出していました。

　リクルートキャリア社は、契約企業から、学生に関する①応募者管理ID（契約企業が付与していた応募者の管理ID）、②姓名・メールアドレス、③大学・学部・学科、④選考プロセスにおける辞退・承諾情報の提供を受けていました。
　また、契約企業によって異なる「企業独自管理情報」の提供を受けていたケースもあります。一例としては、①契約企業の説明会予約有無、②エントリーシートの記述内容、③契約企業が利用していた適正検査の項目の値、④応募職種があげられます。

（2）プライバシーポリシー更新漏れによる同意取得の不備

　「リクナビ2020」では、2018年6月のプレサイト開設時のプライバシーポリシーにおいては、第三者提供の同意を求める記載がありませんでした。
　「リクナビ2020」は、学生が使用する複数の画面においてプライバシーポリシーへの同意を求めるサイト構成になっていますが、2019年3月に行われた、「リクナビDMPフォロー」の提供にあたり必要な内容へのプライバシーポリシーの変更が、一部の画面において反映されていませんでした。

　これにより、『リクナビ2020』に会員登録されている学生のうち、以下に当てはまる計13,840名の情報が、適切な同意を得られていない状態で企業に提供されていました。

（3）評価

　第三者提供の同意を求める記載がない、2019年3月よりも前のプライバシーポリシーにのみ同意しており、第三者提供の同意を求める改定後のプライバシーポリシーへの同意を取得できていない状態の学生（応募者）の個人データが「リクナビDMPフォロー」の対象となっていたという、個人情報保護法23条1項違反の事態です。

リクナビ問題による令和2年改正個人情報保護法への影響

　参議院内閣委員会（令和2年6月4日）における政府参考人答弁では、「今回の改正法案におきましては、こうした懸念に対して、利用停止権、消去権の拡充、それから不適正利用の禁止、第三者提供記録の開示、それから提供先において個人データとなることが想定される情報の本人同意、これがリクナビの事件を教訓として盛り込んだ条項でございますけれども、こうした規律を導入することとしてございます」とされています。

　すなわち、令和2年改正個人情報保護法（以下、改正法）のうち、以下の改正がリクナビ問題に基づくものです。

• 関連書籍
• 令和2年改正個人情報保護法Q&A 増補版―ガイドライン対応実務と規程例―
• 著者：渡邉 雅之
• 定価：本体 3,200円＋税
• 出版社：第一法規
• 発売年月：2021年9月

令和2（2020）年に成立した個人情報保護法の改正法に加え、令和3（2021）年に成立した改正内容や最新「ガイドライン」情報まで新たに織り込み、わかりやすくQ&Aとクイズで解説。サイトより規程等ひな型のダウンロードもできる。