リファレンスチェックの個人情報、社内共有の範囲はどこまで？

「リファレンスチェックの結果、採用に関わった全員に送っていいのかな……」採用面接の場で、そんな迷いを抱えたことはないでしょうか。採用担当を兼務しながら日々の業務をこなす環境では、リファレンスチェックで得た個人情報の取り扱いルールを整備する余裕がないのが実情です。しかし、共有範囲のミスや不適切な保管は、個人情報保護法上の問題に発展するリスクがあります。この記事では、社内共有の適切な範囲から保管・廃棄の実務まで、具体的な判断基準をわかりやすく解説します。

リファレンスチェックで得た情報が「個人情報」になる理由

リファレンスチェックで得た情報は、候補者本人に関する内容である限り、個人情報保護法（正式名称：個人情報の保護に関する法律）が定める「個人情報」に該当します。この前提を押さえることが、適切な管理の出発点です。

候補者の情報だけでなく、回答者の情報も対象になる

見落とされがちなのが、リファレンス提供者（前職の上司や同僚など）の個人情報も同時に取得しているという点です。回答者の氏名・所属・連絡先・職歴上のエピソードなどは、それ自体が個人情報に該当します。「候補者の情報だから」と割り切って管理すると、回答者側の情報保護が疎かになるため注意が必要です。

採用目的で取得した情報は、その目的の範囲内でのみ使える

個人情報保護法第17条・第21条は、個人情報を取得する際に利用目的をできる限り特定し、本人に通知または公表することを義務づけています。「採用選考のため」という目的で取得したリファレンス情報を、入社後の人事評価や別ポジションへの転用に使うことは、同法第18条が定める目的外利用の禁止に抵触するおそれがあります。リファレンスチェックの情報は、あくまで採用判断という目的の範囲内でのみ扱うことが原則です。

職業安定法も適用される

採用活動における個人情報の取り扱いは、個人情報保護法だけでなく職業安定法第5条の4も関係します。同条は、求人者が求職者の個人情報を収集・保管・使用する際に「業務の目的の達成に必要な範囲内」に限ることを義務づけています。つまり、採用と無関係な用途での使用は、この規定の観点からも問題になりえます。

社内共有の「合理的な範囲」はどこまでか

リファレンスチェック結果の社内共有は、採用判断に直接関与する人物に限定することが個人情報管理の基本です。共有範囲が広すぎると「必要最小限の原則」に反するリスクがあります。

共有してよい相手の目安

採用プロセスに直接関与する人物、具体的には採用担当者・最終決裁者（社長や役員）・当該ポジションを担当する面接官が共有の合理的な範囲と考えられます。これらの人物はリファレンス情報を判断材料として使う「業務上の必要性」があります。

一方、以下のような共有は慎む必要があります。

• 採用に関与していない他部門の社員への共有
• 全社Slackチャンネルや全員参照可能な共有フォルダへの保存
• 採用決定後に入社先のチームメンバーへ内容を開示すること
• 別ポジションの選考に流用すること（目的外利用）

共有ツールの選び方と注意点

情報をどのツールで管理するかも重要です。メールの添付ファイル、SlackのDM、共有スプレッドシートなど、ツールが乱立していると「誰がいつアクセスできる状態か」の管理が困難になります。リファレンス情報を扱うツールは一本化し、アクセス権限を関係者に限定する設定を行うことが安全管理措置（個人情報保護法第23条）の観点から求められます。

企業規模別の現実的な対応

専任人事がいない20〜50名規模の企業では、権限管理が複雑なシステムを導入するよりも、まず「リファレンス情報は専用フォルダに集約し、閲覧できるのは採用担当者と社長のみ」といったシンプルなルールを明文化するところから始めるのが現実的です。ルールが文書化されていれば、担当者が変わっても適切な運用を引き継ぐことができます。

候補者への同意取得で押さえるべきポイント

リファレンスチェックを実施する前に候補者から同意を取ることは、多くの企業が実施しています。しかし「実施すること」への同意だけでは不十分で、「誰に共有するか」「いつまで保管するか」まで明示することが適切な同意取得の要件です。

同意書に盛り込むべき内容

リファレンスチェックの同意書や説明文書には、少なくとも以下の内容を含めることが推奨されます。

リファレンス提供者（回答者）への配慮

リファレンスに回答した前職の上司等についても、その情報（氏名・所属・回答内容）を採用プロセス以外の目的で使用しないことを社内ルールとして定めておく必要があります。回答者は候補者を介して情報を提供しているため、その情報が想定外の用途に使われることへの警戒感は高く、適切な管理が採用ブランドの信頼にも直結します。

保管期間と廃棄のルールをどう設定するか

個人情報保護法第22条は「個人情報取扱事業者は、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」と定めています。リファレンス情報は採用判断が終了した時点で「利用する必要がなくなった」と考えるのが基本です。

採用・不採用・辞退別の廃棄タイミングの考え方

候補者の結果によって、保管が必要な期間は異なります。内定者については、入社手続きが完了し、採用判断に関わる書類としての役割が終了するまで保管する合理的な理由があります。一方、不採用者・辞退者については、選考終了後に速やかに廃棄することが個人情報保護法の趣旨に沿った対応です。「なんとなく保存し続ける」状態を避けるため、廃棄期限を社内ルールとして明確に設定しておくことが重要です。

廃棄方法の具体的な注意点

紙で保管していた場合はシュレッダー処理が基本です。デジタルデータの場合は、ファイルの削除だけでなくゴミ箱の完全消去、クラウドサービス上のデータ削除も忘れずに行います。メールの添付ファイルとして送受信した場合は、送受信済みフォルダ内のメールそのものも削除対象となります。廃棄の記録（いつ、誰が、どのデータを廃棄したか）を残しておくと、万一のトラブル時に対応しやすくなります。

🔗 採用業務の個人情報管理に不安がある場合は、スポット産業医に相談して企業リスクを事前に軽減することをお勧めします。 →

情報漏洩リスクを下げるための社内体制づくり

リファレンスチェック情報の漏洩は、候補者・回答者双方のプライバシー侵害となり、企業の信頼を大きく損ないます。漏洩リスクを下げるためには、ツール管理・人的管理・ルールの明文化の三つが柱となります。

アクセス権限の設定と管理

リファレンス情報を保存するフォルダやファイルには、閲覧・編集できる人物を限定するアクセス権限設定を行います。GoogleドライブやSharePointなど多くのクラウドストレージは、ユーザーごとまたはグループごとに権限を設定できます。「関係者全員が見られる共有フォルダ」に置くのではなく、専用の制限付きフォルダを作成することが基本です。また、担当者の退職や異動の際に、アクセス権限を速やかに見直す手順も設けておきましょう。

運用ルールの明文化と周知

どれだけ適切なルールを設計しても、関係者に周知されていなければ意味がありません。リファレンスチェックの取り扱いに関するルール（共有範囲・保管ツール・廃棄期限・廃棄方法）を一枚の簡易マニュアルにまとめ、採用に関わる全員が確認できる状態にすることを推奨します。専任人事がいない企業ほど、ルールの明文化による「誰でも同じ運用ができる状態」の整備が重要です。

万一の漏洩時に備えた対応フローの準備

情報漏洩が発覚した場合、個人情報保護委員会への報告義務（個人情報保護法第26条）が生じるケースがあります。特に、漏洩した個人情報の件数や性質によっては速やかな報告が求められます。万一に備え、漏洩を発見した場合に「誰が・何を・どこに報告するか」の基本的なフローを事前に整理しておくと、いざというときに慌てずに済みます。

🔗 個人情報管理の判断に迷ったら、人事だけで抱えず専門家のスポット相談を活用し、コンプライアンスを強化しましょう。 →

よくある質問