リクナビ、「内定辞退率」サービス廃止＝同意得ずにデータ分析・販売
リクナビ、「内定辞退率」サービス廃止＝同意得ずにデータ分析・販売
8月1日、就職情報サイト「リクナビ」を運営する株式会社リクルートキャリア（以下、リクルートキャリア）は、同社が提供していた「リクナビDMPフォロー」サービスにおいて、「内定辞退率」データをクライアントである採用企業に提供していたことを公表。その際、ユーザーである学生の個人データの扱いや同意の取得方法等が適切だったかが問われています。
8月5日には7,983名の学生からプライバシーポリシー同意取得の不備と、「リクナビDMPフォロー」の廃止についてリクルートキャリアから報告されました。
報道によりますと、リクルートキャリアは「リクナビDMPフォロー」を通して、就活生の内定辞退率を個人が特定できるかたちで、同サービスを利用する企業38社に提供していました。
プライバシーポリシーの記載では、「行動履歴等は、あらかじめユーザー本人の同意を得ることなく個人を特定できる状態で第三者に提供されることはございません」とあり、辞退率を企業に提供するという意味なのか、個人が特定されないかたちで企業に提供するという意味なのかが不明確といえます。
プライバシーポリシーの内容が不明確であることで、これら7983名以外の学生についても適切な同意が得られていなかった可能性が残っているという点です。
個人データを第三者に提供するにあたってあらかじめ本人の同意を得たといえるためには、事業の性質及び個人情報の取扱状況に応じ、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法が必要とされています。
リクナビ2020のプライバシーポリシーの記載内容は上記のとおり明確であったとはいえず、同意ボタンをクリックする方法等をとっていたとしても、ユーザー個人が特定されるかたちで各企業に対して内定辞退率が提供されることについて本人の同意を得たといえるかどうかは疑問が残っています。
本件では同意取得の方法以前に、同意の対象となるプライバシーポリシーの内容の明確性が問われた事案であったといえるのです。
行動履歴等を分析・集計した個人データに「内定辞退率」とのラベルが貼られて利用企業等に提供されることまでは想起できないため、プライバシーポリシーの明確性については問題とならなかったとしても、「内定辞退率」とのラベルが貼られて個人データが利用企業等に提供されるビジネスモデルになお批判が集まった可能性は否定できません。
リクナビ2020のプライバシーポリシー上、企業に提供した内定辞退率（ユーザー行動履歴等の分析・集計結果）については「選考に利用されることはありません」と記載されています。
またリクルートキャリアの8月1日付プレスリリースによれば「提供された情報を合否の判定に活用しないことにご同意いただいた企業にのみ、本サービスをご提供してきました」「ご利用いただいている企業には当社から定期的に利用状況の確認をさせていただいております」とも記載されています。
契約の取り決め方法としては、リクルートキャリアからの利用状況の確認にとどまらず、リクルートキャリアから各企業に対する立入調査条項を含めることも考えられますが、自社の顧客である各企業に対する調査権限を認めるような条項を定めることは非現実的といえます。
企業が選考に利用したいと考える価値があるデータを、選考に利用しない条件により有償で提供するという契約内容自体にそもそも無理があったといえるのではないでしょうか。
ユーザーが個人情報の提供を望まないのに、他のサービスに乗り換えられないために個人情報を提供せざるを得ないケースが問題視されています。現在、米国の巨大ＩＴ企業４社・GAFA（グーグル、アップル、フェイスブック、アマゾン）をはじめとした大手IT企業による個人情報の収集方法について、公正取引委員会が、独占禁止法違反である「優越的地位の乱用」にあたるケースを示す運営指針（ガイドライン）案を策定中であると報道されています。
報道によりますと、各企業は、「リクナビDMPフォロー」の利用にあたって、選考結果や学歴などの応募学生の個人データをリクルートキャリアに提供していたとのことでした。仮に38社の企業が、リクルートキャリアから個人情報の提供を受けることについて応募学生から同意を得ていなかったとすれば、リクルートが示していた指針に抵触する可能性が生じるのです。
個人データの第三者提供を行う場合に必要なことは、不明確なプライバシーポリシーを提示して形式的な同意を得ておくだけでは不十分なのです。また、ユーザーの個人データが第三者提供される旨が明確にわかるように、まず、利用目的の欄に記載すること重要にります。また、提供を予定する個人データの項目もできる限り具体的に記載することが求められるでしょう。
明確でわかりやすい内容のプライバシーポリシーを提示し、ユーザーも納得したうえで真に同意していると評価できる個人情報の取扱いを行うことが重要です。結果的にユーザーや世間からも評価されるサービスの実現につながるのではないかと思われます。
今回の一件は、このようなことが問題視されており、提供する側と受け取る側のユーザー側に問いかける事態となっているのです。皆さんも、情報を鵜呑みにせず、まずは、情報を「疑う」ことを考えてみることを示唆しているのではないでしょうか。
この記事が、皆さんの判断材料の１つなっていることを願っています。
