🔍
就活サイトが「内定辞退率」を売っていた: 2019 年、同意なく 26,060 人
二次資料 2026-10-31 · 5 分
2019 年、大手の就職情報サイトが、会員の学生の「内定を辞退する確率」を計算して、採用する企業に売っていた。個人情報保護委員会は 2 回勧告し、同意を得ないまま提供された学生は最終的に 26,060 人になった。
何をしていたか
個人情報保護委員会の説明(2019 年 12 月 4 日)によると、サービスの中身は次の通り。
採用活動に応募した学生等の情報と〇〇会員情報を突合し、〇〇上の閲覧履歴等を基に内定を辞退する確率(以下「内定辞退率」という。)を算出して提供するサービス。
— 個人情報保護委員会「個人情報の保護に関する法律に基づく行政上の対応について」(2019-12-04)
※ 引用中のサイト名・社名は 〇〇 に置き換えた。原文は文末の出典で読める。
流れを順に書くと:
- 企業は、自社に応募した学生の情報をサイトの運営会社に渡す
- 運営会社は、それをサイトの会員情報と照らし合わせる
- その学生がサイト上で何を見ていたか(閲覧履歴など)から、内定を辞退する確率を出す
- その確率を、学生ごとに企業へ返す
委員会が認定したこと
| 日付 | 内容 |
|---|---|
| 2019-08-26 | 1 回目の勧告。第三者提供の同意を得ないまま 7,983 人の個人データを企業に提供した。プライバシーポリシーを改訂した後、同意の画面が出る機会がなかった会員がいた |
| 2019-12-04 | 2 回目の勧告。前回以外にも違反があった。同意なく提供された人数は合わせて 26,060 人 |
| 2019-12-04 | サービスを使っていた企業にも指導。利用目的の通知・公表などが不適切だった |
2 回目の勧告で、委員会は手口を具体的に書いている。
- 氏名の代わりに Cookie で照らし合わせ、「運営会社の側では個人を特定できない」として同意を取らなかった。受け取る企業の側では特定できることを知りながら、だった。委員会はこれを「法の趣旨を潜脱した極めて不適切なサービス」と書いた
- 「ハッシュ化すれば個人情報に当たらない」という誤った認識で、企業から受け取った氏名で照らし合わせていた
「人生をも左右しうる」
1 回目の勧告文には、こう書かれている。
〇〇が大量に取り扱う個人情報は、求人企業の採用活動に関わる情報であり、「〇〇2020」の会員となった学生等の人生をも左右しうることから、その適正な取扱いについては重大な責務を負っていると認められる。
— 個人情報保護委員会 勧告(2019-08-26)
その後、法律に加わったこと
今の個人情報保護法には、この事件の手口に当たる部分を押さえる定めがある。
- 個人関連情報(第 31 条): Cookie や閲覧履歴のように、それだけでは個人情報に当たらない情報でも、渡した先で個人データとして使われることが想定されるなら、本人の同意が得られていることを確認しないで渡してはならない
- 第三者提供記録の開示(第 33 条第 5 項): 自分の個人データを誰に渡したかの記録を、本人が開示請求できる
- 利用停止・提供停止(第 35 条第 5 項): 利用する必要がなくなった場合や、権利・正当な利益が害されるおそれがある場合、本人は利用停止や第三者への提供の停止を請求できる
学生ができること
- 登録前に: プライバシーポリシーの「第三者提供」と「利用目的」を読む。「採用企業への提供」「行動履歴の分析」がどう書かれているか
- 登録後に: 運営会社に対して、自分の保有個人データの開示と、第三者提供記録の開示を請求できる(第 33 条)
- 使わなくなったら: 退会だけでなく、利用停止・消去を請求できる場合がある(第 35 条)
- 閲覧の履歴も情報: サイト上で何を見たかは、企業に何かを伝えうるデータとして扱われてきた
読むときの注意
- この記事は公表資料をまとめたもので、法律相談ではない。
- 条文の番号は 2026-10-31 時点の個人情報保護法による。2019 年当時の勧告文の条番号(第 20 条、第 23 条など)は、その後の改正で変わっている。
出典: 個人情報保護委員会「個人情報の保護に関する法律第 42 条第 1 項の規定に基づく勧告等について」(2019-08-26)/ 同「個人情報の保護に関する法律に基づく行政上の対応について」(2019-12-04)/ 個人情報の保護に関する法律 第 2 条第 7 項・第 31 条・第 33 条・第 35 条(e-Gov 法令検索)。2026-10-31 確認。