リファレンスチェックは個人情報に注意｜個人情報保護法の観点と実施時の注意点

中途採用者の適性を見極めるため、前職・現職の職場などに対するリファレンスチェックが行われるケースがあります。

ただし、企業が中途採用者についてのリファレンスチェックを行う際には、個人情報保護法の規制に触れないように注意する必要があります。

この記事では、リファレンスチェックに関する個人情報保護法との関係での問題点や、リファレンスチェック実施時の注意点などを解説します。

リファレンスチェックで得られる情報は「個人データ」に当たる

リファレンスチェックにより得られる情報は、候補者個人を識別できる情報、つまり、一般の人が見たときに「誰かの情報であるとわかる」情報であることから、「個人情報」に該当します（個人情報保護法2条1項）。

（定義）
第二条　この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一　当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。第十八条第二項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

引用元：個人情報保護法2条

そして企業は通常、リファレンスチェックで得られた情報をデータベース上で管理することになるため、当該個人情報は「個人データ」に該当します（同条6項）。

６ この法律において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。

引用元：個人情報保護法２条

個人データを取り扱う企業は、個人情報保護法に定められた個人データの取り扱いに関する規定を遵守する必要ことが義務付けられます（個人情報保護法１５条以下）。

（利用目的の特定）
第十五条　個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２　個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

引用元：個人情報保護法１５条

したがってリファレンスチェックを実施する際には、個人情報保護法の規定を遵守するよう、必要な措置を講ずべき点に注意が必要です。

リファレンスチェック実施時に問題となる個人情報保護法の規制

リファレンスチェックを実施して、候補者に関する情報を取得する際に問題となる、個人情報保護法上の規定について解説します。

個人データの第三者提供の制限とは

個人情報保護法23条1項柱書によれば、個人データを第三者に提供する際には、原則として本人の同意が必要とされています。

個人データは本人のプライバシーに関わる情報のため、本人の意思に反して無制限に拡散されてしまうことがないよう、第三者への提供が制限されているのです。

リファレンスチェック実施時には候補者の同意が必要

リファレンスチェックで得られる情報は、個人情報保護法上の「個人データ」に該当します。

したがって、リファレンスチェックの依頼を受けた企業が候補者（元社員）についての情報を提供するためには、候補者本人の同意が必要です。

逆から見ると、リファレンスチェックを実施する側の企業にとっては、候補者の同意がなければ照会先がリファレンスチェックに応じてくれないということになります。

そこで通常は、リファレンスチェックを依頼する側の企業が候補者から同意を取り、同意書面を依頼先に提示するというプロセスが取られることになります。

リファレンスチェックで取得した個人データの取り扱いについての注意点

リファレンスチェックを実施した結果、候補者に関して得られた情報は、「個人データ」として個人情報保護法の規定に従い取り扱う必要があります。

以下では、個人データに関して企業に求められている取り扱いの方法について、個人情報保護法の条文に沿って見ていきましょう。

必要のない個人データは遅滞なく消去する

（データ内容の正確性の確保等）

第十九条　個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。

引用元：個人情報保護法19条

リファレンスチェックによって得た候補者に関する情報（個人データ）は、あくまでも中途採用の可否を判断するための参考資料として取得されたものです。

そのため、候補者の採用・不採用が決定した場合には、もはや候補者に関する個人データは不要となります。この場合、企業は遅滞なく、個人データを消去するように努めなければなりません。

漏えいなどを防止する安全管理措置を講ずる

（安全管理措置）

第二十条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

引用元：個人情報保護法20条

リファレンスチェックによって得た候補者に関する情報（個人データ）は、候補者のプライバシーを保護するため、漏えいなどの危険には十分注意しなければなりません。

企業には、個人データの漏えいなどを防止するため、情報セキュリティ面での必要かつ適切な措置を講ずることが義務付けられています。

どの程度の措置を講ずれば適切なのか、ここが一番知りたいところですが、結局のところ、その個人データが漏洩等された場合の「リスクに応じて」措置を講じればよいとされています。

例えば、公開されている情報や仮名となっている情報については、漏洩された場合の影響は限定的です。

個人データを取り扱う従業員を適切に監督する

（従業者の監督）

第二十一条　個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。

引用元：個人情報保護法21条

個人データの取り扱いに関する業務を取り扱うのも人間である以上、その取り扱いに関してミスが生じてしまう可能性は常にあります。

そこで会社には、個人データを取り扱う従業員に対して、個人データの漏えいなどが生じないように必要かつ適切な監督を行うことが義務付けられています。

従業者に個人データの適正な取扱いを周知するとともに、適宜研修等により教育を行うことが必要です。

外部委託先の監督も必要

（委託先の監督）

第二十二条　個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

引用元：個人情報保護法22条

企業によっては、個人データの取り扱いを外部業者に委託しているケースがあります。

特に中途採用の場面では、候補者の経歴調査などを外部の業者に委託しているケースも見受けられます。

このような場合には、企業は委託先の個人データを取り扱う業者に対して、必要かつ適切な監督を実施する義務も負うことになります。

具体的には、委託先の選定を適切に行うこと、委託する際にはきちんと契約を締結すること、委託先の個人データの取扱状況を適切に把握することです。

【企業向け】候補者からリファレンスチェックの結果の開示を求められたら？

リファレンスチェック後に企業が候補者の採用を拒否した場合、候補者側からリファレンスチェックの結果を開示するよう求められるケースがあります。

この場合、企業は候補者に対して、リファレンスチェックの結果を開示すべき義務はあるのでしょうか。

原則として開示する義務はない

結論としては、リファレンスチェックによって得た候補者に関する個人データについては、原則として企業側に開示義務はないケースが多いと考えられます。

個人情報保護法28条によると、本人に「保有個人データ」の開示請求権が認められています。

この「保有個人データ」の定義からは、6か月以内に消去することになっている個人データが除外されています（同法2条7項、個人情報保護法施行令5条）。

（開示）
第二十八条　本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる。
２　個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
一　本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二　当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三　他の法令に違反することとなる場合

引用元：個人情報保護法28条

リファレンスチェックによって得られた個人データは、もっぱら中途採用の可否を判断するために用いられるため、保存が必要となる期間も6か月に満たないことが通常でしょう。

リファレンスチェックにより得られた個人データにつき、取得から6か月以内に消去するルールを定めていれば、企業が候補者に対してリファレンスチェックの結果を開示する必要はないということになります。

この個人データの保有期間については、候補者からのリファレンスチェックに関する同意を取得時に、あらかじめ明示しておくのが良いでしょう。

リファレンスチェックの結果を理由として内定を取り消す場合は注意

ただし、候補者に対して内定を出した後、リファレンスチェックの結果を理由として内定を取り消す場合には注意が必要です。

内定を出した時点で雇用契約は成立

判例上、内定を出した時点で、企業と候補者の間には雇用契約が成立していると解されています（最判昭和54年7月20日）。したがって内定取り消しは、法的には「解雇」と同様のものとして取り扱われ、解雇に関する労働法上の規定が適用されます。

解雇する際も注意が必要

労働者が使用者に解雇された場合、解雇の理由に関する証明書の発行を請求することができます（労働基準法22条1項）。

解雇理由証明書には、形式的な不採用理由だけでなく、不採用に至ったプロセスを具体的に記載することが求められます。一度解雇理由証明書が発行されると、それ以外の理由を後から付け加えることは困難です。

これ以外にも、一度内定を出した後で内定取り消しを行うには、法律上のさまざまなハードルが存在します。

そのため、内定取り消しを検討する際には、事前に弁護士にリーガルチェックを経ておくべきでしょう。

【関連記事】リファレンスチェックによる内定取消しは有効？内定取り消しの有効性を弁護士が解説

【労働者向け】リファレンスチェックによる個人情報漏えいが不安な場合の対処法

中途採用のプロセスにおいて、企業側からリファレンスチェックへの同意を求められた場合には、候補者（労働者）としてはどのように対応すれば良いのでしょうか。

個人情報の漏えいリスクなども気になるところですが、対応指針の目安について解説します。

リファレンスチェックに同意しないことも自由

候補者（労働者）側としては、リファレンスチェックに同意するかどうかは完全に自由です。

ただし、リファレンスチェックに同意しない場合、企業側から訝しく思われてしまう可能性もあります。

したがって、同意することのメリット・デメリットを比較しつつ、総合的に見てベストな選択をすることが大切になります。

リファレンスチェック後の内定取消しに関して

なお、すでに内定が出ている場合には、リファレンスチェックに同意しないという理由だけで内定取り消しをすると違法と判断される可能性が高いといえます。

内定の時点で雇用契約が成立していると解されるため、内定取り消しは法的な「解雇」と同様のものとして、解雇権濫用の法理の適用を受けます（労働契約法16条）。

そのため、内定取り消しには客観的・合理的な理由および社会的相当性が必要です。

リファレンスチェックを拒否したというだけでは、裏に何か事情があるのかもしれませんが、その事情が何なのかについて企業側は確証を得る段階には至っていません。

そのため、内定取り消しをする客観的・合理的な理由としては、リファレンスチェックを拒否したことだけでは足りないと考えられます。

内定前の場合は同意しない理由をきちんと説明した方が良い

企業側にとって内定取り消しのハードルは高いため、内定を出す前にリファレンスチェックを実施する企業もあります。

この段階では、企業が候補者に対してオファーを出すかどうかは、完全に企業側の自由です。

したがってリファレンスチェックを拒否したこと自体を理由として、何か裏があるのではないかと勘繰られ、内定への障害になってしまう可能性もあります。

内定が出ていない段階で、どうしてもリファレンスチェックを拒否したいという場合には、その理由をきちんと説明する方が望ましいでしょう。

まとめ

リファレンスチェックによって得られた中途採用候補者に関する情報は、個人情報保護法上の「個人データ」に該当します。

企業側としては、個人データを取得する際には候補者本人の同意が必要となります。

また取得後は、個人情報保護法の規定に従って、個人データを適切に取り扱えるような体制を整備することも必要です。

労働者側にとっては、個人データの漏えいなどに関する不安などから、リファレンスチェックに同意したくないと考える場合もあるかもしれません。

しかし、リファレンスチェックへ同意しなかったこと自体が採用選考に影響を与える可能性を考えると、どのように対応すれば良いかは悩ましいところです。

このように、リファレンスチェックについては、個人情報保護法に関連する重要な注意点が多数存在します。

もしリファレンスチェックと個人情報保護法の関係に疑問や懸念がある場合は、弁護士にご相談ください。