採用応募者の個人情報、保管・廃棄規程の作り方

引き出しの中に、去年の採用活動で集めた履歴書が10枚ほど眠っている——そんな状況、心当たりはありませんか。「採用が決まったら用済みのはずなのに、捨てていいのか判断がつかない」「電子データはメールにもドライブにも散らばっていて、どこから手をつければいいか……」。専任人事がいない企業でよく聞かれる声です。じつは、採用応募者の個人情報は、保管し続けること自体がリスクになり得ます。この記事では、個人情報保護法に基づいた保管期間の考え方・廃棄の具体的な方法・社内規程の作り方を、実務的にわかりやすく解説します。

採用個人情報の保管に関する法律の基本

個人情報保護法は「採用情報は○ヶ月以内に廃棄せよ」とは定めていません。しかし、「利用目的の達成に必要な範囲を超えて保管してはならない」という原則が適用されるため、採用目的が終了した後の漫然とした保管はリスクになります。

個人情報保護法の対象は規模を問わない

2017年の法改正以降、個人情報保護法の対象事業者から「5,000件以下の小規模事業者を除く」という規模要件が撤廃されました。現在は、個人情報データベースを事業に利用しているすべての事業者が対象です。「うちは中小だから関係ない」は通用しません。求人票を出して応募者情報を収集している時点で、法律の義務が生じています。

利用目的の達成とは何を指すか

採用選考時に「採用選考の目的のみに使用します」と応募者へ通知・公表した場合（個人情報保護法第21条）、その目的は採用・不採用・辞退のいずれかが確定した時点で達成されます。目的が達成されれば、その情報を保管し続ける正当性は原則として失われます。「いつか別のポジションで声をかけるかもしれない」という理由で残しておくことは、目的外利用（同法第18条違反）に該当する可能性があります。

安全管理措置と廃棄の義務

同法第23条は、個人データの漏えい・滅失・毀損を防ぐための「安全管理措置」を事業者に義務づけています。この義務には廃棄プロセスも含まれます。つまり、「いつか捨てよう」と放置しているだけでも、安全管理が不十分として問題になりえます。廃棄のタイミング・方法・記録の保存まで一体で管理することが求められます。

保管期間の設定の考え方

法律が具体的な期間を定めていない以上、企業側が合理的な根拠をもって保管期間を社内規程に明記し、実際にその期間内に廃棄することが、法令対応の実質です。期間の長短よりも「根拠があること」と「実際に運用されていること」が重要です。

採用フェーズ別の考え方

「1年保管すれば大丈夫」は根拠がない

現場でよく聞かれる「とりあえず1年」という運用は、法律上の根拠を持ちません。ただし、不採用の理由に関して応募者から問い合わせや苦情が来る可能性を考えると、短期間（例：選考終了後3ヶ月程度）は対応できる状態にしておくという実務判断は合理的です。重要なのは、その期間の設定理由を社内規程に書いておくことです。「慣行として」「なんとなく」ではなく、「問い合わせ対応のため選考終了後○ヶ月間保管し、その後廃棄する」という形で根拠を持たせてください。

求人媒体のサービス規約との関係

求人媒体（転職サイト・求人サイト等）のマイページに保管されている応募者データは、その媒体のサービス規約に従った保管が行われています。しかし、媒体が保管していること自体は「貴社の安全管理義務」を免除しません。媒体からダウンロードした履歴書のPDFデータや、媒体上で取得したメッセージのやりとりについては、貴社の管理下にある個人データとして扱う必要があります。

法令対応を着実に進めるには、採用情報の保管・廃棄ルールをシンプルかつ実行可能な形で文書化することが欠かせません。不安な点があれば、人事労務の専門家に相談しながら進めることをお勧めします。

廃棄の具体的な方法

廃棄方法が不適切だと、情報の「消去」が完了していないことになります。紙と電子データで異なる対応が必要なため、それぞれ正しい方法を把握しておくことが重要です。

紙媒体（履歴書・エントリーシート・面接メモ）の廃棄

紙の書類は、シュレッダー処理が基本です。一般的なストレートカット型より、縦横両方に裁断するクロスカット型のシュレッダーのほうが復元リスクが低く、安全管理の観点から望ましいとされています。枚数が多い場合や、社外への持ち出しリスクを避けたい場合は、機密書類廃棄業者への委託も有効です。ただし、委託先に対しても適切な監督を行う義務があります（個人情報保護法第25条）。委託先が適切な廃棄処理を行っているか、契約書や廃棄証明書で確認しておくことを推奨します。廃棄後は「廃棄記録」（日付・対象書類の種類・廃棄担当者・廃棄方法）を残しておくと、万一問い合わせがあったときの証拠になります。

電子データの廃棄

電子データの「削除」は、ゴミ箱への移動や通常の削除操作では不十分です。多くのOSでは、ゴミ箱を空にした後もデータ領域が残っており、専用ソフトで復元できる場合があります。適切な廃棄方法は次の通りです。まず、PCやサーバーに保存されたデータは、専用のデータ消去ソフト（例：NIST SP 800-88の基準に沿ったもの）を使って完全消去するか、ストレージを物理的に破壊します。次に、クラウドサービスや求人媒体に保管されているデータは、サービス上の「削除」操作を行い、削除した日付をメモしておきます。さらに、社内のメールサーバー・Gmailなどに残っている応募者からの添付ファイルや本文も廃棄の対象です。メール検索で応募者名を検索して対象メールを洗い出し、削除する手順が実務的です。

廃棄漏れが起きやすいデータの場所

電子データの廃棄で最もよくある失敗は「保管場所の把握漏れ」です。応募者情報は、求人媒体のマイページ・採用担当者の個人メール・Googleドライブやクラウドストレージ・Excelで作った応募者管理台帳・面接官が個人のPCに保存したメモ、といった複数の場所に分散していることが多いです。廃棄の前に、まず「どこに何を持っているか」を棚卸しするステップを規程に組み込むことが実務上の鍵です。

採用個人情報の保管・廃棄規程の作り方

社内規程を整備する目的は、「担当者が替わっても同じ運用ができること」と「万一の際に会社として適切な対応をしていたことを示せること」の2点です。完璧な文書を目指すより、実態に合った内容を正確に書いておくほうが実効性があります。

規程に盛り込む必須項目

採用個人情報の取り扱いに関する社内規程（または個人情報管理規程の一部）には、以下の項目を必ず含めてください。

• 利用目的の明示（採用選考目的に限定する旨）
• 取得する情報の種類（履歴書・職務経歴書・面接記録等）
• 保管場所・アクセス権限（誰が閲覧・管理できるか）
• 保管期間（フェーズ別の期間と、その根拠）
• 廃棄方法（紙・電子データ別の手順）
• 廃棄記録の保存方法（いつ・誰が・何を廃棄したか）
• 情報漏えいが発生した場合の対応フロー
• 規程の管理責任者と見直し時期

既存のプライバシーポリシーとの整合性

採用ページや求人票に掲載しているプライバシーポリシー（個人情報保護方針）に記載している利用目的・保管期間と、社内の運用規程が矛盾していないか確認してください。「プライバシーポリシーには選考目的のみと書いているが、実態では営業部にも情報を共有していた」「Webサイトには3ヶ月以内に廃棄と書いているが、実際は1年以上残っていた」といった齟齬が最もリスクの高い状態です。外部向けの表明と内部の運用を一致させることが、規程整備の最優先事項です。

就業規則との関係と更新のタイミング

採用個人情報の取り扱い規程は、就業規則の附属規程として整備するか、独立した社内規程として定めるかのいずれかです。就業規則が10人以上の事業所では労働基準監督署への届出義務がありますが、個人情報管理規程は届出対象ではないため、社内で決裁・周知すれば効力が生じます。規程は「一度作って終わり」にしないことが重要です。求人媒体の変更・採用ツールの導入・法改正のたびに見直しを行い、見直した日付を規程内に記録しておくことで、継続的な管理体制を示せます。

運用を形骸化させないための実務ポイント

規程を作っても、実際に運用されなければ意味がありません。中小企業でよくある「規程はあるが誰も読んでいない」という状態を防ぐには、仕組みとして廃棄タイミングを自動的に迎えられるようにすることが効果的です。

採用終了後の廃棄チェックを業務フローに組み込む

採用が決定した・求人掲載を終了した、というタイミングをトリガーにして、廃棄作業をカレンダーやタスク管理ツールに登録する習慣をつけると、担当者の記憶に頼らずに廃棄期限を管理できます。例えば「求人掲載終了日の翌々月末日に不採用者情報を廃棄する」と規程で定め、その日をリマインダーに設定しておく方法は、専任人事がいない企業でも実行しやすい仕組みです。

電子データの保管場所を一元化する

廃棄漏れの最大の原因は、保管場所の分散です。採用担当者が使う電子データの保管先を「共有フォルダ（またはクラウドストレージ）の採用フォルダのみ」と規程で定め、個人のメールやデスクトップへの保存を禁止することで、廃棄時の棚卸しが格段に楽になります。面接官が個人メールで履歴書を受け取っているケースは特に注意が必要で、面接前に「すべての応募書類は採用担当者が一元管理する」というルールを社内周知することが重要です。

企業規模に応じた対応レベルの設定

従業員20名以下の企業では、採用担当者が経営者や総務兼務の1〜2名であることが多く、規程は簡潔でも「実際に運用している」ことが最も重要です。一方、30〜50名規模になると採用に関わる人数が増え（経営者・部門長・人事兼務担当者）、情報の保管場所も増えやすいため、アクセス権限の設定と廃棄記録の確認プロセスをより厳密に規程化することをお勧めします。また、ISO認証の取得や取引先からのセキュリティ審査を受ける可能性がある企業は、廃棄記録の保存様式まで整備しておくと審査対応が円滑になります。

よくある質問