不採用者の個人情報、正しい保管と廃棄の進め方

「不採用になった応募者の履歴書、気づいたら何年も引き出しに眠っている……」。採用活動が一段落すると、つい後回しになりがちな書類の後処理。しかし個人情報の管理は、採用した社員だけでなく、不採用になった応募者についても法的な義務が生じます。「特に規則を決めていなかった」という状態は、実はリスクをはらんでいます。この記事では、不採用者の個人情報をいつまで・どのように保管し、どう廃棄すればよいかを、法的根拠と実務の両面から整理します。

不採用者の個人情報は「個人情報保護法」の対象になる

採用応募者の氏名・住所・学歴・職歴などは、個人情報保護法第2条が定める「個人情報」に該当します。つまり、採用しなかった応募者の書類であっても、法律の保護対象から外れることはありません。

応募者情報に適用されるルール

個人情報保護法は、応募者情報を取り扱う企業に対して次の義務を課しています。利用目的を特定し本人に通知・公表すること（第17条・第21条）、その目的以外に使わないこと（第18条）、漏洩を防ぐための安全管理措置を講じること（第23条）、本人の同意なく第三者に提供しないこと（第27条）——これらはすべて、不採用者の書類にも適用されます。採用ページや応募フォームに「利用目的」を明示していない場合は、まずここを見直す必要があります。

2022年改正で強化されたポイント

2022年施行の改正個人情報保護法により、個人情報の漏洩等が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました（第26条）。以前は努力義務に近い扱いでしたが、現在は違反すれば行政指導・命令・罰則の対象になります。不採用者の書類を長期間・無管理で放置することは、漏洩リスクを高め、この義務違反に直結します。

保管期間に「法定の年数」はないが、目安の考え方がある

結論から言うと、「不採用者の書類は○年保管すること」と定めた法律条文は存在しません。ただし、個人情報保護法第22条は「利用する必要がなくなった場合は、当該個人データを遅滞なく消去するよう努めなければならない」と定めており、無期限の保管は認められません。

「利用する必要がなくなった時点」をどう考えるか

不採用が確定した時点が、採用選考という利用目的が終了した瞬間です。つまり法律の趣旨に照らせば、不採用確定後はできるだけ速やかに廃棄するのが原則です。ただし実務上は、選考に関するトラブル（「差別的な理由で落とされた」などの申し立て）に備えて、一定期間記録を手元に置いておく必要があります。専門家の間では、選考終了後おおむね6か月から1年程度を目安にするケースが多く見られます。これは法定ではなく、各社の方針として設定するものです。

「将来また声をかけたい」は本人同意が必要

「優秀な方だったので、次の募集のときに連絡したい」という意図でデータを長期保管したいケースもあるでしょう。これ自体は違法ではありませんが、当初の利用目的（採用選考）を超えた使い方になるため、本人の同意を取得する必要があります（個人情報保護法第18条第3項）。応募時に「将来の採用活動に活用する場合がある」旨を明示・同意取得していない限り、黙って持ち続けることは目的外利用にあたるリスクがあります。

媒体ごとに異なる廃棄方法と注意点

廃棄の方法は、書類の媒体によって異なります。「ゴミ箱に捨てた」「削除した」だけでは不十分なケースがあるため、媒体ごとの正しい手順を押さえておくことが重要です。

紙の書類の廃棄

紙の履歴書・職務経歴書は、シュレッダー処理が基本です。シュレッダーがない場合や大量の書類がある場合は、専門業者による溶解処理・焼却処分を委託する方法があります。業者に委託する場合は「廃棄証明書」を発行してもらうと、後日トラブルが生じたときの証拠になります。ビニール袋にまとめて一般ゴミに出すことは、個人情報の安全管理措置として不十分であり、避けてください。

デジタルデータの廃棄

PDFやWord形式のファイルをPC上で「ゴミ箱に移動」するだけでは、データは復元可能な状態で残っています。完全削除には、ゴミ箱を空にするだけでなく、専用のデータ消去ツールを使うか、ファイルを上書き処理する方法が推奨されます。メール添付で受け取った書類は、メール本文・添付ファイルの削除に加えて、送受信フォルダ・ゴミ箱フォルダからも完全に削除する必要があります。

求人媒体・採用管理ツール上のデータ

Indeedやエン転職などの求人媒体、採用管理ツール（ATS）上に残っている応募者データは、自社のPCやサーバーとは別に存在しています。各サービスの管理画面から手動で削除するか、サービスのデータ保存ポリシーを確認して対応します。「社内のデータは消したが、媒体側に残っていた」という見落としが起きやすい部分です。担当者が変わるときに特に注意が必要です。

データの廃棄方法は複雑で、各媒体での対応漏れが起きやすいため、不安があればウェルセンス株式会社への相談も一つの手段です。

社内にルールがない状態は問題か——規程整備の進め方

「今まで何も決めていなかった」という状態は、直ちに違法とは言えませんが、個人情報保護法が求める安全管理措置（第23条）を満たせていない可能性があります。担当者が替わっても一貫した対応ができるよう、社内規程を整備しておくことが現実的なリスク管理です。

規程に盛り込む最低限の項目

社内規程（個人情報管理規程や採用管理規程など）に定めておくべき主な項目は次のとおりです。まず、取得する個人情報の種類と利用目的を明確にします。次に、保管場所・アクセス権限者を限定します（担当者以外はアクセスできない状態にする）。さらに、保管期間の目安（例：不採用確定後1年以内）と廃棄のタイミングを定めます。最後に、廃棄の方法と記録の残し方（廃棄日・担当者・方法を記録）を決めます。これらを文書化することで、担当者が変わっても対応が属人化しません。

就業規則との関係と専任人事がいない場合の注意

個人情報管理規程は、就業規則とは別に作成する会社が多いですが、就業規則の付属規程として位置づけることも可能です。専任人事がいない中小企業では、「誰が廃棄作業の責任者か」が不明確になりがちです。総務担当者や経営者が兼務している場合でも、規程の中に担当者の役割を明記し、引き継ぎができる状態にしておくことが重要です。採用フローそのものを見直すタイミング（採用ツールの切り替え時、従業員数が増えたときなど）で、あわせて規程を整備すると効率的です。

見落としがちな落とし穴と対処法

実務上よくある誤解や見落としを把握しておくことで、意図しない法令違反を防ぐことができます。以下に特に注意が必要なポイントを整理します。

「保管期間の規定がないから、ずっと持っていてよい」は誤り

個人情報保護法第22条は「利用する必要がなくなった場合は遅滞なく消去するよう努めなければならない」と定めています。「法律で年数が決まっていないから問題ない」という解釈は誤りです。不採用確定後も目的なく保管し続けることは、同条の努力義務に反するとみなされる可能性があります。

採用ページに利用目的を書いていない場合のリスク

個人情報を取得する際は、利用目的をあらかじめ本人に通知または公表する義務があります（個人情報保護法第21条）。採用ページや応募フォームに「取得した個人情報は採用選考にのみ使用します」などの記載がない場合は、この義務を果たせていません。今すぐ採用ページや応募フォームを確認し、利用目的を明記してください。

「担当者だけが知っている」という属人管理のリスク

採用担当者が退職・異動した際に、どこに何のデータがあるか引き継ぎができていないケースがあります。その結果、廃棄されるべき書類が何年も放置されたり、逆に必要な記録が消えてしまったりします。管理台帳（どの媒体に、誰の情報が、いつまで保管されているかを記録するシート）を作成することで、こうしたリスクを大幅に減らすことができます。

個人情報の管理に関する疑問は、人事が一社で判断するよりも専門家の視点を入れることで、より堅牢な運用が実現します。

よくある質問