応募者情報の持ち出しを防ぐアクセス管理

応募者情報の持ち出しを防ぐアクセス管理は、応募者情報を見られる人を採用に関わる人に限ることと、情報が動く経路ごとに制限と記録を置くことの 2 つです。経路は 4 つあります。媒体の管理画面からの出力、履歴書のファイルの保存先、面接官への共有、私物の機器です。応募者情報が個人情報保護法の安全管理措置(個人データを守るために行う対策)と職業安定法の対象になる理由は人事・採用のアカウント管理にあります。

持ち出しとは何を指すか

個人情報保護委員会のガイドライン(通則編)の別添は、安全管理措置の運用を確かめるための記録の例を挙げています(組織的安全管理措置(2))。個人情報データベース等の利用・出力状況、個人データが記載された書類・媒体等の持ち運びの状況、情報システムの利用状況(ログイン実績、アクセスログ等)です。「持ち運ぶ」は、個人データを管理区域や取扱区域(個人データを扱う場所)の外へ移すことで、事業所内の移動でも紛失・盗難に注意が要る、としています(物理的安全管理措置(3))。応募者情報で言えば、媒体の管理画面から一覧を出力すること、履歴書のファイルを別の場所に保存すること、面接官に渡すことが、いずれも出力か持ち運びに当たります。

職業安定法 5 条の 5 は、求人者や募集受託者(募集を委託された者)に、求職者等の個人情報を適正に管理するために必要な措置を求めています(2 項)。厚生労働省の指針(平成 11 年労働省告示第 141 号)の第五の二(一)は、その措置として 4 つの事項を挙げています。措置を講ずるとともに、求職者等から求められれば内容を説明しなければならない、としています。4 つのうち 2 つが、正当な権限を有しない者による個人情報へのアクセスを防止するための措置と、収集目的に照らして保管する必要がなくなった個人情報を破棄又は削除するための措置です。見られる人を限ることと、選考が終わった情報を消すことは、この 2 つに当たります。

経路ごとの制限と記録

IPA の「組織における内部不正防止ガイドライン」(第 5 版)では、持ち出しに関わる対策が別々の章にあります。物理的管理の章にあるのは、機器や記録媒体の持ち出しの承認と記録(対策 10)と、私物の機器や USB メモリの業務利用と持込の制限(対策 11)です。技術・運用管理の章には、持ち出す機器の暗号化などの保護(対策 15)があります。そして記録の側から支えるのが、原因究明と証拠確保の章にあるアクセス履歴と操作履歴の記録(対策 18)です。採用の実務に当てはめると、経路ごとに次のようになります。

媒体の管理画面からの一覧出力(CSV)

応募者の一覧をまとめてダウンロードし、表計算ソフトで管理する形です。出力できる人を採用担当者に限り、媒体の権限で分けられなければ、出力してよい人と目的を決めます。残す記録は、誰が・いつ・何件出力したかです。共有アカウントでは媒体の記録に人が残らないため、使った人の記録を別に持ちます。根拠は、通則編 別添 組織的(2)の「利用・出力状況」と、内部不正防止ガイドライン 対策 5(一括ダウンロードの通知)です。

履歴書・職務経歴書のファイルの保存先

履歴書や職務経歴書のファイルは、メールの添付、個人のフォルダー、チャットに散らばります。保存先を 1 か所に決めてそこ以外に置かず、選考が終わった応募者の分は期限を決めて消します。残す記録は、保存先の一覧と削除した日付です。通則編 別添 技術的(1)と物理的(4)、指針 第五の二(一)ニが根拠です。

面接官への共有

面接官には、履歴書をメールで送るか、印刷して渡すことになります。見られる期間を面接の前後に限り、送るならファイルにパスワードを付け、印刷物は面接後に回収します。残す記録は、誰に・いつ・どの応募者の情報を渡し、いつ回収したかです。根拠は、内部不正防止ガイドライン 対策 5(権限の期間)と、通則編 別添 技術的(4)、物理的(3)です。

私物のパソコン・スマホ・USB メモリ・個人のクラウド

自宅や移動中に私物のスマホで応募者情報を見る、個人のクラウドに同期する、といった形です。私物端末で扱ってよいかを決め、許可するなら範囲と守る事項を書面で受け取ります。会社貸与でない USB メモリは使いません。残す記録は、許可した人と端末の一覧です。内部不正防止ガイドライン 対策 11 と対策 15 が根拠です。

経路とは別に、退職・異動する採用担当者にも制限が要ります。退職前に応募者の一覧を持ち出す形なので、退職の申し出から退職日までは出力や持ち出しの手段を限り、退職日に ID を止めて共有アカウントのパスワードを変えます(内部不正防止ガイドライン 対策 24)。記録は、退職時のチェックリストと実行日です。

一覧出力には、通知の仕組みが関わります。内部不正防止ガイドラインは、重要情報を一括してダウンロードすると上司等に通知されるようにすることを望ましいとしています(対策 5)。媒体の管理画面にその通知や出力の記録があるかは媒体ごとに違い、公式ヘルプで確かめます。ない媒体では、出力した人が日付と件数を台帳に書く運用になります。共有アカウントで媒体に入っていると、媒体の記録には企業アカウントの名前しか残らないので、使った人の記録は媒体の外で持つことになります。台帳の項目は共有アカウントの棚卸しの手順と台帳の項目にあります。

退職する担当者については、退職の直前に顧客情報を持ち出された事案に、公表された再発防止策と一緒にまとめています。退職時に止めるものの一覧は入社・退職時のアカウント管理チェックリストにあります。

記録は誰のために残すか

内部不正防止ガイドラインの対策 18 は、記録を残す目的を、不正の早期発見と、起きたあとの原因と影響範囲の調査の 2 つとしています。失敗したアクセスだけでなく成功したアクセスの記録も取ること、記録を残している事実を従業員に知らせることが望ましい、としています。知らせることが持ち出しを思いとどまらせるからです。

同じ対策 18 は、内部不正者ではない従業員の無実を証明するために記録を活用し、プライバシー・人権を保護する姿勢を示すことも挙げています。そのために、記録を取る目的を就業規則などで従業員に知らせること(対策 21)が要ります。応募者情報の記録も、この位置づけを担当者に伝えたうえで運用に組み込みます。

応募者から説明を求められたら

指針は、求職者等から求められれば管理の措置の内容を説明しなければならない、としています。経路ごとに置いた制限と残す記録が、そのまま説明の材料になります。誰が応募者情報を見られるか、いつ消すか、持ち出しをどう防いでいるかを、一覧と記録で答えられる状態にしておきます。