「応募者の適性検査データを外部の検査会社から受け取っているが、同意はどこでどう取ればいいのか、正直よくわかっていない」——採用実務を兼務している経営者・人事担当者の方から、こうした相談が後を絶ちません。適性検査は今や採用選考の定番ツールですが、個人情報保護法上の手続きとなると途端にグレーゾーンが生まれます。この記事では、外部機関を介した適性検査データの取得・保管・廃棄にまつわる法的な整理と、実務でつまずきやすいポイントを具体的に解説します。
「第三者提供の同意」が必要かどうかは、契約形式で変わる
結論から言えば、外部検査機関との関係を「委託」として正しく構成すれば、個人情報保護法第24条が定める第三者提供の同意は不要になります。ただし、その代わりに委託契約の締結と委託先の監督が必須条件となります。
三者関係の構造を整理する
適性検査の場面では、応募者・自社（採用企業）・外部検査機関という三者が登場します。個人情報の流れを整理すると、まず自社が応募者から氏名・連絡先などの情報を受け取り、それを外部機関に送って検査を依頼します。次に外部機関から検査結果データを自社が受領します。この「自社→外部機関」と「外部機関→自社」という二方向の流れのそれぞれに、異なる法的論点が存在します。
「第三者提供」と「委託」の違い
個人情報保護法では、個人データを外部の事業者に渡す行為は原則として「第三者提供」とみなされ、本人の同意が必要です（法第24条）。しかし例外として、自社の業務の一部を外部に委託する場合——たとえば「採用選考業務の一部として適性検査を外部機関に委託する」という形であれば、委託先への個人データの提供は第三者提供にあたらないとされています。
つまり、外部検査機関を「委託先」として法的に位置づければ、応募者から別途「第三者提供の同意」を取る必要はなくなります。ただしこの整理が成立するには、きちんとした委託契約書の締結が必要です。利用規約を確認しただけ、あるいは発注書のやりとりだけで済ませている場合は、この例外の恩恵を受けられない可能性があります。
委託契約書に盛り込むべき内容
委託先の監督義務（個人情報保護法第25条）を果たすには、委託契約書に以下の事項を明記することが求められます。
- 再委託の制限または禁止
- 暗号化・アクセス権限管理など安全管理措置の義務
- 委託業務終了後のデータ削除・返却の義務
- 漏えい発生時の自社への報告義務
- 自社による監査権限の留保
「検査会社の申込みページで利用規約に同意した」だけでは、これらの項目が網羅されているとは言えません。既存の取引先である検査会社との間にこうした契約書がなければ、まず現在の契約内容を確認することが先決です。
同意取得のタイミングと「利用目的の明示」のポイント
委託として構成する場合でも、応募者への「利用目的の明示」は必要です。個人情報を取得する際には、あらかじめ利用目的を特定・公表しなければなりません（個人情報保護法第17条・第21条）。
「採用選考のため」では粒度が足りない
応募フォームやプライバシーポリシーに「採用選考のために個人情報を使用します」と書いてあるだけでは不十分です。適性検査について言えば、「外部の検査会社を利用して性格・能力特性を測定し、採用選考の判断材料とします」という水準の記載が望まれます。検査会社名まで明示できればより丁寧です。
また、検査結果を入社後の人事配置や研修設計に流用したい場合は、取得時点の利用目的に含めておく必要があります。後から「配置検討にも使いたい」となっても、当初の利用目的を超えた使用は原則として別途同意が必要になります。
同意を取るタイミングは「検査実施前」が原則
利用目的の明示および（委託ではなく第三者提供として構成する場合の）同意取得は、個人情報を取得する前——つまり適性検査を実施する前に行う必要があります。採用プロセスの中では、応募フォームの送信時またはWeb検査の受検前に確認させる設計が現実的です。
注意点として、「同意する」ボタンを押させるだけでは不十分なケースもあります。利用目的・委託先・データの取り扱いについて読める状態で同意させる「インフォームド・コンセント」の考え方が基本です。
ここまでの手続きを一度に整える必要がなければ、まずは自社の採用フローを一度棚卸しして、どの段階で情報が動いているかを確認することから始めても問題ありません。
採用に至らなかった候補者のデータはいつまで持てるか
不採用者や内定辞退者の適性検査データは、「利用目的を達成したら遅滞なく消去する」という個人情報保護法第22条の原則に照らして、採用選考終了後に一定期間内での廃棄ルールを設ける必要があります。
保管期間の設定は自社で決める
法律上、採用選考データの具体的な保存義務期間は定められていません。自社で合理的な期間を設定し、社内規程に明記することが求められます。以下は実務上よく使われる目安です。
| 対象 | 保管期間の目安 | 廃棄方法 |
|---|---|---|
| 不採用者の検査結果 | 採用決定後6ヶ月程度 | 電子データ：完全削除／紙：シュレッダー |
| 内定辞退者の検査結果 | 辞退確認後6ヶ月程度 | 同上 |
| 内定者・入社者の検査結果 | 入社後の利用目的がある場合は別途設定 | 退職後○年以内など就業規則と整合させる |
「6ヶ月」という期間はあくまで例であり、選考に関する問い合わせ対応や万一の苦情・紛争に備えるための合理的な期間として設定する企業が多いです。重要なのは「期間を決めていること」と「その期間が規程上に記載されていること」です。
廃棄の記録と手順を規程化する
廃棄したことの記録（廃棄日・対象データ・担当者名）も残しておくことが望まれます。万が一、個人情報保護委員会から問い合わせがあった際や、元応募者から開示・消去の請求があった際に、適切に対応できる状態を維持するためです。「消した気がする」では対応できません。廃棄記録の様式をシンプルなExcelやスプレッドシートで運用するだけでも大きく違います。
個人情報取扱規程に「採用選考データ」を明記する
多くの中小企業の個人情報取扱規程は、「従業員の個人情報」を主な対象として書かれており、採用候補者（内定前の第三者）のデータが想定されていません。規程の空白がそのままリスクになります。
規程のどこに何を書き加えるか
既存規程を改定する場合、最低限追加すべき記載は次の三点です。まず、個人情報の種類・取得方法の欄に「採用選考における応募者情報（氏名・連絡先・適性検査結果等）」を追記します。次に、利用目的の欄に「採用選考の実施および結果の評価・判断」を明示します。そして、保管期間・廃棄の欄に「採用選考終了後○ヶ月以内に廃棄」と期間を数値で記載します。
規程が存在しない・更新が数年止まっているケース
従業員数が20〜50名程度の規模であっても、個人情報を扱う以上、個人情報取扱規程の整備は法的義務です。「ひな型を使って作ったが適性検査のことが書いていない」という状態は、規程が不完全なまま運用されているということであり、漏えい等が発生した場合の報告・対応義務（個人情報保護法第26条）にも影響します。このような場合、人事と法務・コンプライアンスの判断が交錯しやすい領域でもあります。規程の更新は専門家に依頼する方法もありますが、まずは現行規程のどこに空白があるかを棚卸しすることから始められます。
外部機関の選定・利用時に確認しておくべきこと
適性検査会社を新規に選定する場合、あるいは現在利用中の会社との取引を見直す場合は、個人情報の取り扱いに関して事前に確認すべき項目があります。
検査会社のプライバシーポリシーと契約書を確認する
検査会社が取得した応募者データをどのように管理しているか、第三者への提供はあるか、データの保存期間と削除ポリシーはどうなっているかを確認します。多くの大手検査会社はプライバシーポリシーを公開していますが、自社の要件（特に廃棄タイミングや監査権限）と合致しているかどうかを確認した上で、必要であれば個別の覚書を締結します。
「Pマーク取得済み」でも委託契約書は別途必要
検査会社がプライバシーマーク（Pマーク）やISMS認証を取得していることは、一定の安全管理措置の証左にはなりますが、それだけで委託契約書の締結義務が免除されるわけではありません。法第25条の委託先監督義務を果たすには、認証の有無にかかわらず書面での合意が必要です。「Pマーク取得済みだから大丈夫」という思い込みが、中小企業での典型的な落とし穴の一つです。
まとめ
採用選考での適性検査データをめぐる個人情報保護法上の対応は、「委託か第三者提供か」という契約の形式によって必要な手続きが変わります。外部検査機関を委託先として構成し、委託契約書を締結することが実務上の基本です。それに加えて、応募者への利用目的の明示・適切な保管期間と廃棄ルールの設定・個人情報取扱規程への明記という三つの整備が揃って初めて、法的に安定した運用が実現します。専任人事がいない環境では、どうしてもこれらの整備が後回しになりがちですが、個人情報の漏えいが起きた場合の対応コストと比べれば、事前の手続き整備は大きな投資ではありません。ウェルセンス株式会社では、採用プロセスにおける個人情報管理の見直しや規程整備の相談にも対応しています。「うちの規程、このケースに対応できているか確認したい」「委託契約書の内容をチェックしてほしい」という段階からでも、お気軽にご相談ください。
よくある質問
ウェルセンスは、メンタル不調者対応・休職復職支援に強い職場メンタルケアサービスです。産業医・保健師・心理士・社労士などの専門家ネットワークが、人事・管理職だけでは判断しづらいケースの初動対応、専門家連携、再発防止まで支援します。
不調者対応を、人事だけで抱えない。
メンタル不調者面談や休職・復職対応を、1件からスポットでご相談いただけます。
