人材紹介事業は、その性質上「求職者の機微な個人情報」を大量に取り扱う業態です。氏名・連絡先に加え、職歴・年収・転職理由・健康状態に近い情報まで保有することも珍しくなく、個人情報保護法・職業安定法・労働者派遣法（兼業の場合）の複数法令が同時に適用されます。2022年の改正個人情報保護法施行、2024年の職業安定法指針改正を経て、求職者保護の論点はさらに細かくなりました。
本記事では、人材紹介事業者が日常の集客〜送客〜決定フローの中で押さえるべき個人情報保護の実務論点を、求職者DB運用・同意取得・データ削除・外部サービス利用時の責任分界の4つの観点で整理します。形式的な法令遵守ではなく、運用に落とすためのチェックポイントとして使えるレベルで解説します。
人材紹介で適用される法令の要点
人材紹介事業者が押さえる法令は大きく3つです：
- 個人情報保護法（個情法）：利用目的の特定・通知、第三者提供制限、安全管理措置、開示請求対応、漏えい時の報告義務
- 職業安定法：求職者の個人情報取扱いに関する指針（厚労省告示）。業務目的の範囲内での収集、本人同意なき目的外利用の禁止
- 有料職業紹介事業の業務運営要領：個人情報適正管理規程の整備、教育研修、苦情処理体制
特に職業安定法の指針は、個情法より「踏み込んだ取得制限」を課している点に注意が必要です。具体的には、人種・社会的身分・思想信条・労働組合への加入状況の取得は原則禁止とされ、本籍・出生地・家族構成・宗教・支持政党・健康状態（業務に必要な範囲を超えるもの）も収集してはならないとされています。
2022年改正個情法では、漏えい等が発生した場合の個人情報保護委員会への報告と本人通知が法定義務化されました。1,000人を超える漏えい、要配慮個人情報を含む漏えい、不正アクセスによる漏えいなどが対象で、速報は3〜5日以内、確報は30日以内（不正アクセス時は60日以内）が期限です。
違反時のインパクト：個情法違反は法人最大1億円の罰金、職業安定法違反は許可取消もあり得ます。さらに実務的に重いのは「個人情報保護委員会からの公表・行政指導」がそのままレピュテーション毀損となり、求職者集客のCPAが跳ね上がる点です。
求職者からの同意取得の実務
求職者からの同意取得は、LP登録・LINE友だち追加・カウンセリング予約のいずれの導線でも、以下の項目を明示することが実務上の必須要件です：
- 事業者名・連絡先：法人名、許可番号（13-ユ-XXXXXX形式）、苦情窓口
- 利用目的の特定：「職業紹介サービス提供のため」だけでは不十分。具体的には「求人企業への推薦」「マッチング業務」「キャリア相談」「サービス改善のための分析」など個別記載
- 第三者提供の有無と提供先：求人企業への履歴書・職務経歴書提供は第三者提供にあたるため、同意の取得が必須
- 外国にある第三者への提供：海外企業推薦やクラウドサービス利用時の同意
- 保有期間と削除請求の方法
同意取得の方法は、「チェックボックス（オプトイン）＋プライバシーポリシーへのリンク」が最低ライン。デフォルトチェックON状態の「みなし同意」は同意取得として無効と解されるリスクがあります。LP登録フォームでは、メール配信・SMS・LINE通知それぞれの同意を分けて取得する設計が望ましく、現実的な運用としては「サービス利用の必須同意」と「マーケティング配信のオプション同意」を分離します。
カウンセリング段階で取得する情報は登録時より深くなります。職歴・年収・転職理由・希望年収・現職の不満などを聞き取った段階で、「これらの情報を求人企業に推薦資料として共有することへの同意」を改めて確認するのが安全側の運用です。電話カウンセリングの場合は、録音保存と「録音内容の利用目的」も同意項目に含めます。
求職者DBの保管・削除・権限設計
求職者DBの安全管理措置は、個情法ガイドラインで4つの観点が求められています。実務的なチェックポイントを整理します。
- 組織的安全管理：個人情報取扱責任者の選任、取扱状況の点検・監査、漏えい時の報告ルート整備
- 人的安全管理：従業者への教育（年1回以上）、秘密保持誓約書の取得、退職時の情報持ち出し禁止
- 物理的安全管理：オフィス入退室管理、PC持ち出し制限、書類の施錠保管
- 技術的安全管理：アクセス権限管理、ログ取得、暗号化、不正アクセス防止
保管期間については法令上の明確な年数規定はありませんが、職業紹介事業の業務記録は有料職業紹介事業報告書の根拠資料として2年間の保存義務があります。実務的には「最終接触から3年」を一般的な保管期間とし、それを超えた求職者データは削除または匿名加工情報化する運用が標準的です。CRM上でフラグ管理し、自動アーカイブ・削除する仕組みを組み込みます。
アクセス権限設計は、最小権限の原則（Need-to-Know）に従って設計します：
- キャリアアドバイザー（CA）：自身が担当する求職者のみ閲覧可。他CAの担当案件は原則アクセス不可
- RA（リクルーティングアドバイザー）：求人企業情報を中心に、推薦中の求職者のみ閲覧
- マネージャー・管理者：全件アクセス可だが、操作ログを必ず残す
- マーケティング担当：集計データ・匿名化データのみアクセス。個別の求職者情報には原則アクセスしない
退職者のアカウントは退職当日中に無効化し、ダウンロード履歴を確認します。CRM・ATS（採用管理システム）に「ダウンロード件数のアラート」を設定し、月間異常値（通常の3倍以上等）を検知する仕組みは現実的な対策です。
外部サービス利用時の責任分界
人材紹介事業者は、自社単独で集客〜送客を完結させているケースは少なく、媒体・送客サービス・SaaSベンダー等の外部事業者と連携するのが通常です。この際の個人情報の取り扱いには、3つの類型があります：
- 委託：自社の利用目的の範囲内で処理を委託する場合（例：CRMベンダー、メール配信ツール）。本人同意は不要だが、委託先の監督義務が発生
- 第三者提供：別事業者の利用目的のためにデータを渡す場合。原則として本人の事前同意が必要
- 共同利用：あらかじめ利用目的・利用者範囲を本人に通知した上で、複数事業者が共同でデータを利用する場合
媒体・送客サービス利用時の責任分界の代表例：
- 求人媒体経由の応募：媒体が取得した個人情報を、媒体規約に基づきエージェントへ提供。取得時点で媒体が同意を取得済み。エージェント側は受領後の管理責任を負う
- 着座成果報酬型の送客サービス：送客元事業者が求職者から「提携エージェントへの情報提供同意」を取得し、エージェントへ送客。送客時点での同意の有効性確認が実務上の重要ポイント
- クラウドCRM・SFA：委託に該当。委託先の安全管理措置を契約書で明確化し、再委託の可否を規定
送客サービス利用時の確認事項：①求職者からどの範囲の同意を取得しているか、②提供される情報項目の明細、③送客元の漏えい時の通知ルート、④契約解除時のデータ削除手順。これらを契約書・覚書で明示しているサービスを選定することで、自社のリスクを大きく下げられます。
2024年以降、個人情報保護委員会の人材ビジネス領域への監視は強化傾向にあり、形式的なプライバシーポリシーの整備だけでは不十分です。「同意取得→DB管理→第三者提供→削除」までの一連のフローを、運用ベースで監査可能な状態にしておくことが、事業継続の前提条件になっています。
SUMMARY
- 人材紹介には個情法・職業安定法・業務運営要領が同時適用。職業安定法の指針では人種・思想信条等の取得が原則禁止
- 求職者からの同意取得は利用目的の具体的記載が必須。第三者提供（求人企業への推薦）には別途同意が必要
- 求職者DBは最終接触から3年を目安に削除運用。CAは担当案件のみアクセス可とする最小権限設計が標準
- 送客サービス・媒体利用時は委託・第三者提供・共同利用のいずれかを明確化し、契約書で責任分界を規定する
コンプライアンスを担保した送客チャネルを「補完的に持ちたい」場合
自社で集客導線を完結させる場合、同意取得・DB管理・削除ルール・教育研修まで全工程の責任を一社で負うことになります。集客規模を拡大しようとするほどコンプライアンスの運用負荷も上がり、CAやマーケ担当者の生産性を圧迫する構造が生まれます。同意取得済みの母集団を外部から補完する選択肢は、コスト面だけでなくリスク分散の意味でも合理的です。
「求職者送客の窓口」は、SNSを軸とした自社集客で求職者から「提携エージェントへの情報提供同意」「事前カウンセリング内容の共有同意」を取得した上で、エージェント様に送客する着座成果報酬型サービスです。初期費用0円・月額費用0円・面談着座率80〜90%で、同意取得済み・カウンセリング済みの求職者のみを送客するため、受領側エージェント様のコンプライアンス負荷を最小化できます。