学生向けの就職情報支援を行っているリクルートキャリアに対して、個人情報保護法に基づき、政府の個人情報保護委員会が勧告と行政指導を行いました（令和元年８月２６日）。

同社が、就活生がホームページ上で行った行動ログなどを分析し、スコア化した内定辞退率を企業に提供していたことについて、情報の安全管理措置や個人データの第三者提供の観点から問題視されたものです。

就活生の行動ログやその分析結果もどの個人のものかが特定できれば個人情報に該当します。個人情報は、原則として予め本人の同意がなければ第三者に提供することは許されません（個人情報保護法第２３条）。リクルートキャリアが特定の個人のものと分かる形でデータの提供を始めたのは今年の３月からで、それ以降に会員登録をした利用者からは、第三者提供の同意を得るような仕組みにしたようですが、それ以前に会員登録をした利用者については、同意を得ていなかった点で法律違反が指摘されました。

個人情報の取得に際しては、個人情報の利用目的の予めの公表等が必要で（同法第１８条）、その利用目的の範囲内でしか利用できないことになっています。利用者としてはリクルートキャリアが集めているデータで自分の内定辞退の可能性が同社によって予測されていたり、しかもそのデータが就職希望先の企業に渡されていたりするとは思ってもみなかったというところでしょう。提供先の企業は採否の資料としては使っていなかったということですが、リクルートキャリアの予想では内定辞退率が高そう、という情報を採用担当者が見たとき、採否に影響が全くないのか、という疑問が湧くのは当然でしょう。個人情報を利用しての分析や予測は、勝手に格付けされていたようなものですが、分析や予測という利用方法は事業者の利用目的の範囲内であれば許されています。今年の３月からは、第三者への情報提供に同意を得るようにしていた、ということですが、問題は同意の内容で、内定辞退の予想というネガテイブな情報まで、第三者の企業に提供されてしまうことを含めて、リクルートキャリアから十分な説明がなされていたのか、ということになると問題があったようで、個人情報保護委員会からは「個人データの第三者提供に係る説明が明確であるとは認めがたい」という指摘がなされています。

今回は、個人情報の第三者提供が問題となっています。しかし、第三者提供の前に蓄積された情報を分析したデータ（内定辞退率予測）が価値を生んでリクルートキャリアはこれを商品としていたことも注目されます。個人情報保護法上、利用目的の範囲内であれば、集めたデータを分析して利用すること自体には細かな同意は要りません。利用目的はある程度具体的なものであることは必要ですが、個別的に定めておくことまでは要求されていませんし、この点は個人情報保護委員会からも問題とされていません。事業者による利用目的の範囲内での個人情報の分析結果自体がネガテイブな個人情報となることも考えられます。個人が明確に認識しない形で、ネガテイブな個人情報が事業者によって利用されていることの問題性を浮かび上がらせた事件であるとも言えるでしょう。