コンプライアンス · July 18, 2026 · 約6分

採用におけるGDPR：候補者データ、同意、そして消去権

採用では機微な個人データを収集します。適法な根拠、同意、データ最小化に関してGDPRが求める要件と、監査証跡を損なうことなく削除に対応する方法を解説します。

← 「Hiring AI is high-risk AI: building for NYC LL144 and the EU AI Act from day one」の一部

コンプライアンスを最優先する採用AIに関するガイドから、データ保護についての詳細な解説です。

採用で効いてくる義務

• 処理のための適法な根拠と、候補者への明確な通知
• データ最小化 — 意思決定に必要なものだけを収集し、それ以上は集めない
• プロクタリングのような侵襲性の高い手続きに対する、個別かつ明示的な同意
• 候補者の権利：アクセス、訂正、消去を、請求に応じて対応すること

最も強く効いてくる2つの条項

Article 22は、候補者に対し、法的効果またはそれに準ずる重大な影響を生じさせる、専ら自動化された処理のみに基づく決定の対象とならない権利を与えています。だからこそ、重大な採用判断において人間が関与するレビュー（human-in-the-loop）は任意ではないのです。また、プロクタリングのような侵襲的な手段を導入する場合、データ保護影響評価（DPIA）は「あればよいもの」ではなく、当然に踏むべきステップです。DPIAは、1フレームでもデータを収集する前に、その侵襲を正当化し、安全対策を文書化することを求めます。

健忘に陥らない消去

GDPR Article 17は候補者に消去権を与えています。難しいのは、採用判断が公正に行われたという記録を消してしまうことなく、これに応えることです。その答えは、個人的な内容を削除しつつ、匿名化された完全性ハッシュを保持することにあります。削除は実際に行われ、監査証跡は残り、2つの義務が相反することはなくなります。