不採用の連絡をしたあと、応募者からこんなメールが届くことがあります。「御社が保有している私の個人情報を開示してください」。あるいは「面接での評価を見せてほしい」「私のデータを消してほしい」。
多くの会社で、このメールは総務か社長のところで止まります。そして調べ始める。ネットには「原則30日以内に開示決定を」と書いてある記事が並んでいるので、「ひと月あるなら、まず落ち着いて調べよう」と考える——ここが最初の分かれ道です。
その「30日以内」は、役所の話です。個人情報保護法で30日の期限が書かれているのは第83条、行政機関や自治体の開示決定についての条文で、民間企業に適用される条文ではありません。民間の会社に適用されるのは第33条第2項で、こちらの言葉は「遅滞なく」です。つまり、調べる時間を30日もらえる前提で動き出すと、その時点で対応が遅れます。
ではどうするか。答えは「請求が来てから急いで整える」ではなく、来る前に4つだけ決めておくことです。この記事では、実際に来る請求が4種類あることを整理したうえで、断ってよい場合、期限、開示のやり方、そして事前に決めておく4つを、条文と個人情報保護委員会の資料をたどりながらまとめます。従業員数の少ない会社でも、紙の履歴書しか持っていない会社でも、そのまま使える形にしています。
前提：応募者の履歴書を持っている会社は、ほぼ全部が対象
「うちは小さいから個人情報保護法の対象外では」と考える方がいますが、これは以前の話です。法律上、個人情報取扱事業者とは「個人情報データベース等を事業の用に供している者」であって（個人情報の保護に関する法律 第16条第2項）、件数の下限は書かれていません。応募者の履歴書を氏名順やフォルダごとに整理して、探せる状態で持っていれば、それが紙のファイルであっても該当し得ます。
そして開示や消去の請求の対象になるのは、そのうち保有個人データ——事業者が開示・訂正・削除・利用停止・消去などを行う権限を持っている個人データです（同第16条第4項）。自社で採用した応募者の履歴書は、通常ここに入ります。
書類の保管期間そのものについては不採用者の履歴書は返却か廃棄かで扱っているので、この記事では「請求が来たとき、どう動くか」に絞ります。
来るのは「開示請求」だけではない。4種類に分けて受ける
現場では全部まとめて「開示請求」と呼ばれますが、法律上は別の条文の、別の請求です。最初にここを分けると、あとの判断が一気に軽くなります。
| 本人が求めてくること | 条文 | 会社がすること | |---|---|---| | 利用目的を教えてほしい | 第32条第2項 | 遅滞なく通知する | | 私のデータを見せてほしい | 第33条第1項 | 遅滞なく開示する（例外3つ） | | 内容が事実と違うので直してほしい | 第34条第1項 | 調査して訂正・追加・削除する | | 使うのをやめて・消してほしい | 第35条 | 要件に当たれば利用停止・消去する |
この4つをまとめて「開示等の請求等」と呼びます（第37条第1項）。分けておく実益は2つあります。
ひとつは、手数料を取れるのは上の2つだけだということ。第38条第1項が手数料を認めているのは「利用目的の通知を求められたとき」と「開示の請求を受けたとき」で、訂正や利用停止では取れません。もうひとつは、後で見るように、訂正請求と消去請求には開示とは別の判断基準があることです。
断れるのは3つの場合だけ。「面倒だから」は入っていない
開示請求を受けたら、原則として開示しなければなりません。開示しないことができるのは、第33条第2項ただし書の3つの場合だけです。
一 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合
三 他の法令に違反することとなる場合
採用の場面でよく持ち出されるのが二号です。不採用の理由や選考時の評価は、開示すると選考業務の適正な実施に著しい支障を及ぼすおそれがあるとして、開示しないことができるという整理が一般的です。ここまでは多くの解説が書いているとおりです。
ただ、この二号を広く使えると思い込むのは危ない。個人情報保護委員会のガイドライン（通則編）は、二号についてこう釘を刺しています。
なお、「著しい支障を及ぼすおそれ」に該当する場合とは、個人情報取扱事業者の業務の実施に単なる支障ではなく、より重い支障を及ぼすおそれが存在するような例外的なときに限定され、単に開示すべき保有個人データの量が多いという理由のみでは、一般には、これに該当しない。
つまり「探すのが大変」は理由になりません。実務的にいえば、評価メモは二号で説明がつくとしても、本人が自分で書いて提出した履歴書・職務経歴書・応募フォームの入力内容まで一緒に断る、という組み立ては通りにくいということです。請求が来たら、まず手元の情報を「本人が出したもの」と「こちらが作ったもの」に分ける。ここが実際の作業の最初の一手になります。
そして、開示しないと決めたときは、遅滞なくその旨を本人に通知しなければなりません（第33条第3項）。加えて第36条は、そのとき理由を説明するよう努めなければならないとしています（努力義務）。黙って断るのは、条文の向きと逆です。
期限は「遅滞なく」。では実際は何日か
30日ではない、と冒頭で書きました。では「遅滞なく」とは何日なのか。個人情報保護委員会のQ&Aに、言葉の意味そのものの説明があります（第三者提供記録の開示についての問答ですが、条文上の「遅滞なく」は同じ言葉です）。
「遅滞なく」とは理由のない滞りを生じさせることなくという趣旨です。請求対象となる記録を検索・集約する等の一定の作業を要する場合には、当該作業を行うために通常必要と考えられる期間も考慮した上で、合理的な期間内に開示を行えば、「遅滞なく」開示したこととなると考えられます。
（個人情報保護委員会 よくある質問 Q9-17）
読み替えると、探す作業に必要な日数は見てもらえるが、放置した日数は見てもらえないということです。ですから実務では、受け取ったその日か翌営業日に「受け付けました・いつごろまでに回答します」の一報を返し、そこから作業に入るのが素直な形になります。この一報があるかないかで、その後のやりとりの温度がかなり変わります。
開示の「形」は本人が選べる。ただし紙しかない会社には逃げ道がある
ここは見落としが多いところです。2022年4月に施行された改正で、本人は開示の方法を指定できるようになりました。第33条第1項は「電磁的記録の提供による方法その他の個人情報保護委員会規則で定める方法」と書いており、規則第30条がその方法を、電磁的記録の提供・書面の交付・その他事業者の定める方法としています。
つまり応募者から「データで（PDFで）ください」と言われたら、原則はデータで出すことになります。紙のコピーを郵送すれば足りる、ではありません。
ただし条文には続きがあり、その方法での開示に多額の費用を要する場合その他の開示が困難である場合は、書面の交付による方法でよいとされています（第33条第2項）。そして「困難である場合」の事例として、ガイドラインはこう挙げています。
事例2）本人が電磁的記録の提供による開示を請求した場合であって、書面で個人情報や帳簿等の管理を行っている小規模事業者が、電磁的記録の提供に対応することが困難な場合
紙の履歴書をファイルで管理している会社が、そのために大がかりなシステムを入れる必要はない、という趣旨です。中小企業にとっては現実的な逃げ道がきちんと用意されています。ただし、書面に切り替えるならその旨を本人に通知したうえで書面で開示することになり（第33条第3項）、ガイドラインは「直ちに書面の交付による開示を行うのではなく、個人情報取扱事業者が対応できる方法への変更を求めることが望ましい」「開示の請求に際して提出すべき書面の様式において、対応できる方法や媒体等をあらかじめ示しておくといった対応も考えられる」としています。
「うちはコピーの郵送でお返しします」と先に書いておけば、ここは揉めません。これが、次の「事前に決めておく4つ」につながります。
来る前に決めておく4つ（ここが本題）
第37条第1項は、事業者が請求の受け付け方を定めることができるとしています。そして定めることができる事項は、政令第12条で4つに限定されています。裏を返せば、この4つを決めれば準備は終わりです。
1. 申出先（担当窓口名・係名、郵送先、電話番号、メールアドレスなど） 2. 提出してもらう書面の様式・受付の方式（郵送／メール／専用フォームなど） 3. 本人または代理人であることの確認方法 4. 手数料の徴収方法
決めておく効果は、はっきりしています。ガイドラインは「開示等の請求等を受け付ける方法を合理的な範囲で定めたときは、本人は、当該方法に従って開示等の請求等を行わなければならず、当該方法に従わなかった場合は、個人情報取扱事業者は当該開示等の請求等を拒否することができる」としています。逆に定めていない場合はどうなるか。
当該方法をあらかじめ定めていない場合には、本人は任意の方法により開示等の請求等をすることとなりますので、その事業者は、個別に相談しながら対応することとなります。
（個人情報保護委員会 よくある質問 Q9-25）
期限が「遅滞なく」である以上、来てから個別に相談しながら組み立てるのは、いちばん重い進め方です。
決めたら、本人が知ることのできる状態に置く
ここが対になっている部分です。請求に応じる手続（手数料の額を定めたならその額も）は、第32条第1項第3号により、本人の知り得る状態に置かなければならないとされています。同項は他に、会社の名称・住所・代表者名、すべての保有個人データの利用目的、そして政令第10条により安全管理のために講じた措置と苦情の申出先も挙げています。
「本人の知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれるので、必ずしもサイトに全文を載せなければならないわけではありません。ただしガイドラインは、ホームページに掲載する場合は「本人が簡単な操作によって該当箇所へ到達でき、円滑に請求等を行えるようにしておくことが望ましい」としています。採用ページに窓口が1行あるかないかの差です。
本人確認は「重くしすぎない」が条文になっている
第37条第4項は、手続を定めるにあたって本人に過重な負担を課すものとならないよう配慮しなければならないと定めています。ガイドラインも、必要以上に煩雑な書類を書かせることや、窓口をいたずらに不便な場所に限定することを名指しで挙げています。
確認書類の例としてガイドラインが挙げているのは、来所なら運転免許証・健康保険の資格確認書・マイナンバーカード表面・旅券など、送付なら公的証明書のコピーを受け取って、そこに記載された住所宛に書留で送る方法などです。一方、運転免許証に加えて印鑑登録証明書まで求めてよいかという問いには、「本人確認のために事業者が保有している個人データに比して必要以上に多くの情報を求めないようにする必要があります」という答えが出ています（よくある質問 Q9-26）。
なお代理人による請求ができるのは、政令第13条で2種類に限られます。未成年者または成年被後見人の法定代理人と、本人が委任した代理人です。このときガイドラインは委任状や、親権者であることを示す戸籍謄抄本・住民票の写しを確認書類の例に挙げています。採用の入口では戸籍や本籍の記載された書類を一律に集めてはいけない（内定後に戸籍謄本・住民票を出させていいか）のに、ここでは出てくる。矛盾ではなく、「代理権を確認する」という具体的な目的があるから、その範囲で取れるという話です。目的と範囲で決まる、という線の引き方は同じです。
手数料は、取るなら先に額を決めて公表する
第38条第2項は「実費を勘案して合理的であると認められる範囲内において」額を定めなければならないとしています。相場については、個人情報保護委員会のQ&Aが「実費を予測して平均的単価を算出して定めることが望ましい」「統一的な相場を示すことは困難」とし、郵便で開示に応じるなら配達証明付の書留料金を勘案するなど、と例示しています。結果として開示しなかった場合でも、必ずしも返還義務は生じないとされています（ガイドラインQ&A）。
年に数件あるかどうかの会社なら、無料にしてしまうほうが手続きは軽くなります。決めるべきは「取る／取らない」であって、放置しないことです。
「評価が間違っている、直せ」と言われたら
開示の次に来やすいのがこれです。ここは条文がはっきりしています。第34条第1項が訂正等を認めているのは、保有個人データの内容が事実でないときです。評価は事実ではないので、対象になりません。
訂正等の対象が事実ではなく評価に関する情報である場合には、訂正等を行う必要はありません。ただし、評価に関する保有個人データに評価の前提となっている事実も記載されており、それに誤りがある場合においては、その限りにおいて訂正等を行う義務が生じます。
（個人情報保護委員会 よくある質問 Q9-19）
後半が実務では効きます。面接メモに「前職2年で退職」と書いてあって実際は5年だった、という類は事実の誤りなので、そこは直す義務が生じます。評価と、評価の前提にした事実を、同じメモの中で書き分けておくと、この場面で困りません。これは選考の記録の取り方そのものの話でもあります（求人票に選考フローを書く）。
「履歴書を返して」「消して」と言われたら
採用の文脈で実際にいちばん多いのは、開示より消去です。ここにも国の答えがあります。
個人情報保護法では、本人からの請求による保有個人データの削除（法第34条）、保有個人データの利用の停止又は消去（法第35条）に関する規定は定められていますが、履歴書等の受け取った書類を返還する義務は規定されていません。そのため、個人情報保護法上、提出された履歴書を返却する義務はありません。
他方、応募者本人から、履歴書に記載された当該本人の情報について、保有個人データに該当する場合に、再応募への対応等のための合理的な期間が経過した後、利用する必要がなくなった場合に該当するとして利用停止等の請求を受けたときには、当該請求に応じる義務があると考えられます（法第35条第6項）。
（個人情報保護委員会 よくある質問 Q9-20）
返す義務はないが、消す義務はある。しかもその分かれ目として「再応募への対応等のための合理的な期間」という物差しが示されています。この「合理的な期間」を自社で先に決めて書いておけば、請求が来たときに判断するものが無くなります。決めていないと、請求のたびに一から考えることになります。
採用ページの「個人情報の取扱い」欄：Before → After
ここまでを1か所にまとめると、採用ページに置く文章になります。以下は記入例です（会社名・期間・窓口は自社の実際のものに置き換えてください）。
Before
応募いただいた個人情報は、採用選考の目的以外には使用いたしません。適切に管理いたします。
After
応募いただく個人情報の取扱いについて
・取得者：株式会社◯◯（代表取締役 ◯◯◯◯／〒◯◯◯-◯◯◯◯ ◯◯県◯◯市◯◯1-2-3）
・利用目的：当社の採用選考、選考結果のご連絡、および再応募時の照会のため
・保管期間：選考終了（採否のご連絡）から1年。経過後は責任者が裁断のうえ廃棄します
・安全管理：応募書類は施錠できる書棚で保管し、採用担当◯名のみが取り扱います
・開示・訂正・消去のご請求、および苦情の窓口：採用窓口 ◯◯（メール ◯◯@◯◯.co.jp／電話 ◯◯-◯◯◯◯-◯◯◯◯）
・ご請求の方法：上記メールまたは郵送でお申し出ください。ご本人確認のため、公的証明書の写しのご提出をお願いします。代理人の方は委任状を添えてください
・開示の方法：書面（コピー）の郵送でお返しします。手数料はいただきません
※記入例です。金額・期間・人数は自社の実際の運用に合わせてください。
After側の各行が、そのまま第32条第1項の各号と、第37条第1項・政令第12条の4つに対応しています。特別な文章力は要りません。決めたことを書いただけです。
請求が来たときの返信：記入例
◯◯様
このたびは、当社へのご応募に関するお問い合わせをいただきありがとうございます。◯月◯日付でいただきましたご請求を受け付けました。
ご本人確認のため、公的証明書（運転免許証等）の写しを、本メールにご返信の形でお送りいただけますでしょうか。確認でき次第、対象の書類をお調べのうえ、◯月◯日をめどにご回答いたします。
なお、開示は書面のコピーを郵送する方法でお返しする形となります。あわせて、選考の評価に関する記録など一部お出しできないものがある場合には、その理由とともに改めてご連絡いたします。
採用窓口 ◯◯
「受け付けた」「いつまでに」「どうやって」の3つが入っていれば足ります。※記入例です。
やりがちなNG
- 30日あると思って寝かせる——民間は「遅滞なく」。30日は行政機関の期限（第83条）です - 黙って断る——開示しない決定は遅滞なく通知（第33条第3項）、理由の説明は努力義務（第36条） - 「量が多くて大変だから」で断る——ガイドラインが明確に否定しています - 本人確認を重くしすぎる——必要以上の情報を求めないこと（第37条第4項） - 窓口を決めていない——決めていなければ、本人は任意の方法で請求でき、個別対応になります - 評価と事実を混ぜて書いたメモ——前提の事実に誤りがあれば、そこは訂正義務が生じます - 苦情の受け皿がない——苦情の適切かつ迅速な処理と、そのための体制整備は第40条の努力義務です
直す順番
一度に整えようとすると止まるので、順番をつけます。まず窓口を1つ決める（担当者名とメールアドレス）。次に採用ページの「個人情報の取扱い」欄を書き換える（上のAfterの7行）。そのうえで保管期間と、消去の請求に応じる合理的な期間を決める。最後に評価と事実を分けて書くメモの様式を整える。ここまでで、来たときに慌てる要素はほぼ無くなります。
なお、本人が裁判上の訴えでこれらの請求をする場合には、あらかじめ請求を行い、到達した日から2週間を経過した後でなければ訴えを提起できないとされています（第39条第1項）。会社側から見れば、最初のメールに誠実に返しておくこと自体が、いちばん手前の対応だということでもあります。
自分の求人はどこでつまずくか
ここまでは、応募が終わったあとの話でした。ただ、こうした請求が来る背景には、「選考で何が起きたのか分からない」という不透明さがあることも少なくありません。応募の入口で何をどこまで書いているかは、その後のやりとりの温度にそのまま効いてきます。
よくある質問（FAQ）
Q. 開示請求には何日以内に回答すればいいですか。 A. 民間企業に適用される第33条第2項は「遅滞なく」とだけ定めています。よく見かける「30日以内」は行政機関や自治体に適用される第83条の期限で、会社には当てはまりません。個人情報保護委員会は「遅滞なく」を、理由のない滞りを生じさせることなく、検索や集約に通常必要な期間も考慮した合理的な期間内、と説明しています。受付の一報を先に返し、そこから作業に入るのが現実的です。
Q. 不採用の理由や面接の評価も開示しなければなりませんか。 A. 開示しないことができる場合として第33条第2項第2号（業務の適正な実施に著しい支障を及ぼすおそれ）があり、選考の評価はここで説明されるのが一般的です。ただしガイドラインは、この号は例外的なときに限定され、量が多いという理由のみでは一般には該当しないとしています。本人が自ら提出した履歴書や応募フォームの内容まで同じ理由で断るのは難しいと考えてください。開示しない場合は、遅滞なく通知し、理由の説明に努める必要があります。
Q. データで出してほしいと言われましたが、紙でしか管理していません。 A. 本人は開示の方法を指定できますが、その方法での開示が困難な場合は書面の交付でよいとされています。ガイドラインは、書面で管理している小規模事業者が電磁的記録の提供に対応することが困難な場合を、その事例として挙げています。その場合は本人にその旨を通知したうえで書面で開示します。あらかじめ「書面の郵送でお返しします」と示しておくと、やりとりが短くなります。
Q. 開示の手数料は取ってもいいですか。 A. 取れます。ただし取れるのは利用目的の通知と開示の請求だけで、訂正や利用停止では取れません（第38条第1項）。額は実費を勘案した合理的な範囲で定め、決めたら本人の知り得る状態に置く必要があります（第32条第1項第3号）。年に数件程度の会社であれば、無料と決めてしまうほうが手続きは軽くなります。
Q. 「履歴書を返してください」と言われたら返さなければいけませんか。 A. 個人情報保護法に返還義務の規定はないため、返す義務はありません。ただし、再応募への対応等のための合理的な期間が経過し、利用する必要がなくなったとして消去を求められた場合は、その請求に応じる義務があると考えられる、というのが個人情報保護委員会の整理です。返すか返さないかより、「いつまで持つか」を先に決めて書いておくほうが効きます。
この記事は、中小企業の採用運用を支援する SaishiLu（運営：株式会社プラスメイト）が作成しています。本文中の条文・解釈は、個人情報保護法および個人情報保護委員会が公開している資料によります。制度は改正されることがあるため、実際の運用にあたっては最新の一次資料をご確認ください。