公開日：
｜更新日：
採用管理システムと個人情報保護法
採用活動で扱う履歴書や職務経歴書は、企業にとって重要な情報資産であると同時に、個人情報保護法の対象となる「個人情報」そのものです。管理体制が曖昧なまま運用を続けていると、監査で指摘を受けたり、応募者からの開示請求に対応できず信頼を損なうリスクにつながります。
本記事では、採用管理システム（ATS）で応募者データを扱う際に押さえておきたい法令対応のポイントを、解説します。
採用データが個人情報保護法の対象となる理由
応募者から提出された履歴書・職務経歴書・エントリーシートには、氏名・住所・連絡先・学歴・職歴といった本人を特定できる情報が含まれており、これらは個人情報保護法上の「個人情報」に該当します。企業は、こうしたデータを取得・利用・保管・削除するすべての場面で、法律に沿った取り扱いを求められます。
特に2022年の改正個人情報保護法の施行以降は、本人からの開示請求への対応、漏えい発生時の報告義務、越境移転時の同意取得など、企業側の責任が一段と重くなっています。採用担当だけで抱え込まず、法務・情シスと連携した運用体制を整えることが欠かせません。
応募者データを扱う際に企業が押さえるべき5つの義務
利用目的の特定と通知・公表
個人情報を取得する際は、「何のために使うのか」という利用目的をあらかじめ特定し、本人に通知または公表する必要があります。採用の場合は「当社の採用選考および入社後の人事管理に利用する」といった内容を、応募フォームやプライバシーポリシーに明記しておきます。取得後に目的を変更する場合は、あらためて本人の同意を得なければなりません。
適正な取得
偽りや不正な手段でデータを取得することは禁じられています。加えて、思想・信条・病歴・犯罪歴などの「要配慮個人情報」については、原則として本人の同意なく取得することができません。SNS上の情報を採用判断に使うケースでは、本人が公開している範囲であっても、要配慮情報に該当する内容を無断で収集していないか、慎重な確認が必要です。
安全管理措置の実施
取得したデータを漏えい・滅失・改ざんから守るため、組織的・人的・物理的・技術的の4つの側面から安全管理措置を講じる必要があります。ATSに搭載されているアクセス権限管理、通信の暗号化、操作ログの記録、IPアドレス制限などは、技術的な安全管理措置として大きな役割を果たします。あわせて、担当者への教育や運用ルールの整備といった組織的な取り組みも欠かせません。
保管期間と削除ルールの明確化
個人情報保護法は、利用目的を達成した個人データを「遅滞なく消去するよう努めなければならない」と定めています。不採用者・辞退者の応募データを、いつまで保管し、いつ削除するのか。この基準を明文化して運用することが求められます。
一般的には、不採用通知から1年程度を目安に削除するケースが多く、タレントプールとして再活用する場合は本人から別途同意を取り直すのが安全な運用です。ATSの中には、登録日から一定期間経過した候補者データを自動でアラート・削除する機能を持つ製品もあります。
本人からの開示・訂正・利用停止請求への対応
応募者本人から「自分のデータを開示してほしい」「訂正してほしい」「利用を停止してほしい」といった請求があった場合、企業は原則として遅滞なく対応する義務を負います。改正個人情報保護法では、開示方法を本人が選択できる（電子データでの提供含む）ようになり、企業側の運用負担も増えました。ATS上で候補者データを一元管理していれば、こうした請求への対応スピードを大きく向上できます。
職業安定法との関係も忘れずに
採用時の情報取り扱いは、個人情報保護法だけでなく職業安定法にも留意する必要があります。同法は、業務上必要な範囲を超えて個人情報を収集することを禁止しており、本籍地・家族構成・思想信条など「収集してはならない情報」を明確に示しています。
応募フォームで不要な項目を求めていないか、面接時に不適切な質問をしていないか、ATSの初期設定段階から見直しておきましょう。応募フォームのテンプレートをそのまま使ったことで、不要な個人情報を集めてしまっているケースは実務でも珍しくありません。
ATSで対応できる範囲と運用でカバーすべき範囲
採用管理システムは法令遵守を支える強力なツールですが、システムだけですべてを解決できるわけではありません。両者の役割を整理しておくと、体制構築がスムーズです。
ATSで対応できる範囲
- アクセス権限による情報の分離：担当者・面接官・管理者ごとに閲覧範囲を制御し、必要最小限の原則を実現します。
- 操作ログの記録と保存：誰がいつどのデータに触れたかを追跡でき、監査対応の証跡になります。
- 通信の暗号化とデータセンターの安全性：クラウド型ATSではSSL通信やISMS・Pマークなどの認証取得状況を確認できます。
- データの一括エクスポート・削除機能：本人請求への対応や、保管期間経過後の削除作業を効率化できます。
運用ルールで補うべき範囲
- 応募時の利用目的の明示：フォームやプライバシーポリシーへの記載、同意取得の設計は運用側で整えます。
- 保管期間・削除タイミングの社内ルール化：「いつ・誰が・どのように削除するか」を明文化しておく必要があります。
- 本人請求受付窓口の設置：受付フローと回答期限を社内で決めておき、担当者を明確にしておきます。
- 担当者への継続的な教育：法改正やガイドライン改定のたびに、実務に落とし込む研修を行います。
法令対応に強いATSを選ぶチェックポイント
コンプライアンスを重視する企業がATSを選ぶ際は、次の観点を確認しておくと安心です。
- ISMS（ISO27001）・プライバシーマークの取得状況：ベンダー自身が第三者認証を受けているかを確認します。
- データセンターの所在地：国内保管かどうか、越境移転が発生する場合は本人同意の取得可否を確認します。
- 権限設定の細かさ：役職・部署・拠点単位で閲覧範囲を制御できるか。
- 操作ログとレポートの提供：監査時にログを出力できる仕組みが備わっているか。
- データ保管期間の自動管理機能：期限経過データのアラートや自動削除に対応しているか。
- 個人情報漏えい発生時のサポート体制：ベンダー側のインシデント対応フロー・報告体制が明確か。
まとめ
採用管理システムで扱う応募者データは、個人情報保護法・職業安定法の対象となる大切な情報です。取得から削除までを一貫して法令に沿って運用できる体制を整えることが、応募者からの信頼を守り、企業のブランド価値を保つ土台になります。
ATSに搭載された機能と、社内で定めるべき運用ルールを組み合わせて、抜け漏れのないコンプライアンス体制を構築していきましょう。監査対応や上場準備を控えている企業ほど、早めの整備が結果的にコストを抑えることにつながります。
本サイトでは、「積極・大量採用」「新卒採用」「即戦力採用」の3タイプ別に、現場の課題に適した採用管理システム3選を紹介しています。まずは、自社の採用課題に近いATSからチェックしてみてください。
【ニーズ別】
採用管理システム（ATS）
おすすめ3選を見る
よく読まれている関連ページ
