M&P Legal Note 2019 No.7-1

リクナビ問題から見る個人情報とビジネス
2019 年 10 月 9 日
松田綜合法律事務所
弁護士 森田岳人
係性などについて解説します。

１

はじめに

2019 年 8 月 1 日、就職情報サイト「リクナビ」を運営するリクルートキャリアが、

２ 個人情報保護委員会の勧告・指導内
容に関して「リクナビDMPフォロー」というサービス
において、就活学生の「内定辞退率」を本（１）勧告・指導人の十分な同意なしに 38 社に有償で提供

2019 年 8 月 26 日、個人情報保護委員会していたと報道されました。それをきっかは、個人情報保護法に基づき、リクルート

けに、リクナビに対する社会的非難が高まキャリアに対して勧告及び指導を行いましり、2019 年 8 月 26 日には個人情報保護委

た。個人情報保護委員会が勧告を行ったの員会から勧告・指導がされ 1、また 2019 年

は、2005 年の個人情報保護法制定後、初め

9 月 6 日に東京労働局からも指導がなされてのことです。

たこと 2は、皆様もご承知のことと思います。

では、勧告・指導の内容を具体的に見ていリクナビ問題に関する法的留意点（主にプ

きます。

ロファイリング、第三者提供）ついてはす
でに前回のニュースレターで解説しました（２）勧告の原因となる事実１：安全管理

が、その後になされたリクルートキャリア

措置違反に対する行政処分の内容、また近年注目さ２れつつあるプラットフォーマー規制、さら（1）リクルートキャリアが大量に取にはこれからのビジネスと個人情報との関り扱う個人情報は、求人企業の採用活1

勧告の原因となる事実

動に関わる情報であり、「リクナビhttps://www.ppc.go.jp/files/pdf/190826_ho
udou.pdf

2020」の会員となった学生等の人生

https://www.recruitcareer.co.jp/news/pressrelease/2019/190906-01/

取扱いについては重大な責務を負っ

2をも左右しうることから、その適正なていると認められる。
また、リクルートキャリアは、自ら
1
M&P Legal Note 2019 No.7-1

が個人情報を取得するだけでなく、多ていただきたかったと思います。

くの個人情報取扱事業者からの委託を受け、個人情報を取り扱っており、（３）勧告の原因となる事実２：安全管理

これらの情報を適切に区分し、安全に措置違反管理する必要がある。

（2）リクルートキャリアは、個人デー

しかしながら、現 DMP フォロー

タの第三者提供の同意を得るたの商品を検討する際に、旧 DMP フ

め、プライバシーポリシーをウェ

ォローの仕組みから個人データの取ブサイト上で公表し必要な同意を扱いに係る重大な変更があったにも得る仕組みとしていたが、平成 31

かかわらず、法令順守等に関して適切

年３月にプライバシーポリシーを

な判断を行っていなかった。また 、顧改訂した際の事務手続き等の不備

客企業との個人データのやり取りににより、一部の会員から必要な同おいて、法における適用関係等につい意を得ていない状態となった。リて 適切 な検 討を 行っ てお らず 、現クルートキャリアにおいて、このDMP フォローに係る個人データの不備を予防、発見、修正する体制

安全管理のために必要かつ適切な措がなかったため、令和元年７月に置を講じていなかった。これは、法第個人情報保護委員会からプライバ

20 条の規定に違反するものである。

シーポリシーに関する照会を受け、点検を行うまでこの状態が放（※ 下線部は筆者）置されていたなど、不適切な管理体制であった。これは、法第 20 条

上記は、個人情報保護法第 20 条の安全管の規定に違反するものである。

理措置に違反していたことを指摘しています。

上記は、リクルートキャリアが本人の同しかし、「法令順守等に関して適切な判断

意を得ずに個人データを第三者提供してしを行っていなかった」「法における適用関係

まったことに関し、リクルートキャリアの等について適切な検討を行っておらず」と体制の不備、すなわち個人情報保護法第 20の記載だけでは、リクルートキャリアが具

条の安全管理措置の違反を指摘するもので体的に何を怠っていたのかが、これだけです。

はよくわかりません。

これについては当然かと思われます。

おそらく本人の同意なく個人データを第三者提供したことについて十分な事前の検（４）勧告の原因となる事実３：同意なき討や判断を行っていなかったことを指して第三者提供いると思われますが、このあたりはせっか(3)個人データを第三者提供する場合にくの初めての勧告であり、先例的価値もあは、本人の同意を得る必要がある

るところですから、もう少し明確に記載しところ、⑴及び⑵の結果として、
2
M&P Legal Note 2019 No.7-1

7,983 人の個人データについて第め難い。

三者提供の同意を得ないまま、現DMP フォローによりリクルート（※ 下線部は筆者）

キャリアの顧客企業に提供された。これは、法第 23 条第１項の規定に違反するものである。

上記は「勧告」より弱い「指導」の対象に過ぎませんが、実は重要な内容ではないかと考えています。

上記は、本人同意がなく個人データを第

個人情報保護法では、本人の同意があれ三者（顧客企業）に提供していることにつば第三者提供が許されています（法 23 条 1

いて、個人情報保護法第 23 条第 1 項の第三

項）。この「本人の同意」について、ガイド者提供禁止の違反を指摘するものであり、ラインでは、「本人が同意に係る判断を行う

こちらも当然です。さらに厳しい処分（命ために必要と考えられる合理的かつ適切な令）となる可能性もあったように思われま

範囲の内容を明確に示さなければならない」

すが、故意ではなく、過失（「事務手続き等と記載されていますが、実務上はかなり緩の不備」）であることから、勧告にとどまっく運用されています。

たのでしょう。

具体的かつ詳細に第三者提供の内容を本人に説明すれば、同意がとりにくくなった（５）指導（1）事実概要

り、第三者提供が狭い範囲に限定されてしまいます。そのため、抽象的な説明だけしリクルートキャリアは、プライバて、できるだけ簡単に本人同意を取ること

シーポリシー上で、現 DMP フォ

が、実務上広く行われています。

ローにおける個人データを第三者

こ の 点 、 EU の 一 般 デ ー タ 保 護 規 則

である顧客企業へ提供することに（GDPR）では、「同意」とは「自由に与えついて本人の同意を取得するためられ、特定され、説明を受けた上での、不の説明を行っていた。

明瞭ではない、データ主体の意思の表示を

個人情報の保護に関する法律につ意味し、それによって、データ主体が、そいてのガイドライン（通則編）にの陳述又は明確な積極的行為により、自身

おいては、「本人が同意に係る判断に関連する個人データの取扱いの同意を表を行うために必要と考えられる合

明するもの」という定義をしており、さら

理的かつ適切な範囲の内容を明確に補足説明として、極めて詳細なガイドラに示さなければならない」とされインまで定めています 3。そのため、同意をている。しかしながら、リクルー取得したとしても、少しでも不備があればトキャリアのプライバシーポリシ

後から同意の有効性が否定されるリスクがーの記載内容は、現 DMP フォロ
ーにおける個人データの第三者提供に係る説明が明確であるとは認

3

https://www.ppc.go.jp/enforcement/infopr
ovision/laws/GDPR/
3
M&P Legal Note 2019 No.7-1

高いため、同意を前提にビジネスを組み立てるのは極力避けるべきだとも言われてい（１）経緯
独占禁止法によるプラットフォーマー規ます。
このような GDPR と比較すれば、日本の制にも触れておきたいと思います。

個人情報保護法上の「同意」が、極めて緩公正取引委員会は、2019 年 8 月 29 日、く解釈されていることがおわかりいただけ「デジタル・プラットフォーマーと個人情

るかと思います。

報等を提供する消費者との取引における優越的地位の濫用に関する独占禁止法上の考リクルートキャリアのプライバシーポリ

え方(案)」（以下「考え方」といいます）をシーでも、「・採用活動補助のための利用企

公表し、パブリックコメントに付しました 4。

業等への情報提供（選考に利用されること

公表のタイミングがちょうどリクナビ問はありません）。」との記載がありました。

題が出た直後になってしまいましたが、こリクルートキャリアは、このプライバシーの公正取引委員会の考え方は、もともとリポリシーにユーザーが同意したことをもっクナビをターゲットして公表されたものでて、「内定辞退率」の第三者提供にも同意しはありません。
近年、いわゆるGAFAをはじめとするデたとみなしていたわけです。
しかし、今回、個人情報保護委員会は、

ジタル・プラットフォーマーが台頭し、さ上記のようなプライバシーポリシーでは本

まざまなサービスを展開していく一方で、人同意を得たとは言えないと判断し、行政公正な競争をゆがめたり、消費者が一方的指導を行いました。

に不利益な立場に立たされるなどのリスク

これまで「同意」を極めて緩く解釈し、も顕在化しました。そのため、政府（経産形式的な同意さえとればいくらでも第三者

省、総務省、公正取引委員会）は、2018 年

提供ができるかのように行動してきたビジ

より検討会を立ち上げ、2018 年 12 月 12

ネスの現場に、個人情報保護委員会が強い

日に中間論点整理をとりまとめ 5、同月 18

警鐘をならしたものととらえるべきだと思日に、「プラットフォーマー型ビジネスの台います。

頭に対応したルール整備の基本原則」を策

第三者提供について本人同意を得たこと

定し、公表しました 6。

を前提にビジネスを行っている事業者は、

さらに、その後ワーキンググループでの改めて同意の取得方法について確認をし、議論を経て、2019 年 5 月 21 日には、プラ不十分であれば早急に見直すべきだと思われます。

4https://www.jftc.go.jp/houdou/pressreleas
e/2019/aug/190829_dpfpc.html
5

３ 独占禁止法によるプラットフォー
マー規制

https://www.jftc.go.jp/houdou/pressreleas
e/h30/dec/181212_1.html
6https://www.jftc.go.jp/houdou/pressreleas
e/h30/dec/181218.html
4
M&P Legal Note 2019 No.7-1

ットフォーマー型ビジネスの台頭に対応しことについて，例えば，電子メールにたルール整備に関するオプションを公表しよって個々の消費者に連絡し，自社のました 7。

ウェブサイトにおいて，消費者から取その流れを受け、上記の公正取引委員会による考え方が公表されました。

得した個人情報を第三者に提供することに同意する旨の確認欄へのチェックを得た上で提供する場合には，通常，（２）内容問題とならない。ただし，消費者が，この公正取引委員会の考え方は、デジタサービスを利用せざるを得ないことか

ル・プラットフォーマーが消費者に対してら，個人情報の第三者への提供にやむ行うサービスにおいて、独占禁止法の「優を得ず同意した場合には，当該同意は越的地位の濫用」に該当しうることを明確

消費者の意に反するものと判断されるに指摘するものです。

場合がある。

この考え方は、法令を改正するものではなく、現行の独占禁止法の範囲内で、公正（※ 下線部は筆者）

取引委員会の解釈を示すものに過ぎません。
しかしながら、これまで独占禁止法は、主「やむを得ずに同意した場合」が具体的に B to B の取引において適用されてきましにどのような場面かまでの説明はありませたが、今回、デジタル・プラットフォーマ

んが、形式的に同意を取るだけでは、同意ーによる B to C の取引においても適用してとはみなされない場合がありますので、同いく方針が示されたことに大きな意義があ

意を前提としたビジネスモデルをとっていります。

るプラットフォーマーは、至急、同意の取この考え方では、「優越的地位の濫用」となる場合として、例えば以下のような具体例を挙げています。

得方法の見直しが必要になるでしょう。
例えば、優越的地位にあるプラットフォーマーが、ユーザーに提供している本来的なサービスに必要ではないにもかかわらず【想定例⑥】

個人データの第三者提供への同意をユーザ

デジタル・プラットフォーマーＦ社が，ーに求める場合には、ユーザーは本来的なサービスを利用する消費者から取得しサービスを受けたいために、渋々ながら第た個人情報を，消費者の同意を得るこ

三者提供への同意をすることもありえるわとなく第三者に提供した（注７）。

けですが、当該同意及び第三者提供については優越的地位の濫用とみなされるおそれ（注７）個人情報を第三者に提供する
7

https://www.jftc.go.jp/houdou/pressreleas
e/2019/may/190521_1.html

があります。
今回のリクナビの問題も、そもそもリク
ナビが「プラットフォーマー」と言えるのかという論点はありますが、形式的な同意では足りないという個人情報保護委員会の

5
M&P Legal Note 2019 No.7-1

指導の内容は、上記の公正取引委員会の考・NTTドコモ

個人情報の活用状況を透え方と通ずるものがあり、仮にリクナビが明化、自由に設定「プラットフォーマー」に該当する場合に2019/8/27）

9（日本経済新聞

は、独占禁止法上の優越的地位の濫用と判・個人情報や検索結果を収集しない検索断される可能性があります。

サービスDuckDuckGoが、アメリカで急速にユーザー数を伸ばしています 10。

４

個人情報とビジネス
いずれも、個人情報やプライバシーを競以上のように、今後、個人情報をビジネスで利用する場合には、個人上保護法だけではなく、独占禁止法などの関連法にも十争戦略上の重要ポイントと捉えており、今後もこのような動きが世界中で広まっていくものと思われます。

分配慮していく必要があります。そのためには、ビジネスモデルやサービス内容の構築の段階から、各社の営業部門・新規開発
部門と、法務部等の管理部門が連携し、各種規制への対応策をビジネスモデルやサー

この記事に関するお問い合わせ、ご照会は以下の連絡先までご連絡ください。

弁護士

ビス内容に組み込んでいくことが、コンプ

森田岳人

morita@jmatsuda-law.com

ライアンスの観点だけでなく、他社との競争戦略上も重要になってくると思われます。
この点に関し、気になる出来事を３つほど挙げておきます。

松田綜合法律事務所〒100-0004
東京都千代田区大手町二丁目６番１号
朝日生命大手町ビル７階

・アップル発表会、「プライバシー保護」

電話：03-3272-0101

FAX：03-3272-0102

前面に 8（日本経済新聞 2019/6/4）98

https://www.nikkei.com/article/DGXMZO
45648930U9A600C1000000/?n_cid=SPT
MG002

https://www.nikkei.com/article/DGXMZO
49060910X20C19A8TJ2000/
10https://duckduckgo.com/traffic

この記事に記載されている情報は、依頼者及び関係当事者のための一般的な情報として作成されたものであり、教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう、また、個別な事実関係に基づく具体的な法律
アドバイスなしに行為されないようご留意下さい。

6
M&P Legal Note 2019 No.7-1