コンプライアンス · July 18, 2026 · 約9分

採用におけるGDPR：候補者データ、同意、消去権

採用におけるGDPRの要件：候補者データの適法な根拠、同意とデータ最小化の義務、そして監査証跡を損なうことなく消去権に対応する方法を解説します。

← 「コンプライアンス最優先の採用AI：LL144とEU AI法」の一部

受け取るすべての応募は、いまやあなたが法的責任を負う個人データの山です。GDPRの候補者データ規則のもとでは、その責任はほとんどの採用チームが過小評価している候補者の権利を伴い、誤った対応をした場合の制裁金は数百万規模にまで膨らみます。これが重要な理由は、採用が組織がこれまでに扱う中で最も機密性の高い情報——身元、職歴、時には生体認証やプロクタリングデータ——を収集するからであり、しかも容易に立ち去れない人々から収集するからです。本ガイドは、権利を設計の中心に置くAIネイティブなスキル評価プラットフォームを望むタレントリーダーのためのものであり、コンプライアンスファーストな採用AIに関する広範なガイドからの詳細な解説です。

採用で効いてくる義務

GDPRは一連の原則——適法性、公平性と透明性、目的の限定、最小化、正確性、保存の限定、完全性と機密性、説明責任——に基づいています。採用においては、そのうちの4つが、リクルーターまたはプラットフォームが候補者が応募するたびに正確に対応しなければならない、具体的で繰り返す決定へと変わります。

• 意図的に選ばれた処理の適法な根拠と、収集内容とその理由についての候補者への明確な通知
• データ最小化——意思決定に必要なものを収集し、求めることのできるすべてではなく
• 基本的な応募とは切り離された、プロクタリングなどの侵襲性の高い手順に対する個別の明示的同意
• 候補者の権利：アクセス、訂正、消去を、必要な期間内に請求に応じて対応

これらは各々、アセスメントがサポートする決定を中心に設計されている場合に履行しやすくなります。役割が本当に必要とするシグナルだけを収集するなら——スキルベース採用プロセスの背後にあるアプローチ——最小化はほぼ自動的になります。管理し、セキュリティで保護し、最終的に削除すべきデータが単純に少ないからです。

説明できる適法な根拠の選択

直感は同意に向かいます。安全に感じられるからです。採用においては、最も弱い選択肢であることが多いです。GDPRのもとで同意は自由に与えられ、特定的で、十分な情報のもとで、明示的でなければならず、与えるのと同じくらい簡単に撤回できなければなりません。仕事を求める候補者が雇用主に対してノーと言えることはほとんどなく、これが「自由に与えられた」テストを損ない、根拠を脆弱なものにします。

ほとんどの採用活動の核心は、正当な利益または契約締結前に必要な手順に基づく方が適切であり、正当な利益が使用される場合は文書化されたバランステストを行います。同意は真にオプショナルで侵襲性の高い手順のために確保されます。プロクタリングはその明白な例です。評価される機会を失うことなく候補者が本当に断れる場合に限ります。一括の同意を全体にデフォルト設定するのではなく、処理ステップごとに根拠を選ぶことで、モデル全体が精査に耐えられるようになります。

通知と目的の限定

どの根拠を選んでも、候補者には明確な言語で、何を収集するか、なぜか、どのくらい保持するか、誰が見るかを伝えなければなりません。目的の限定はあなたをその記載された目的に縛ります。ある役割の候補者を評価するために収集されたデータは、新たな根拠と新たな通知なしに、マーケティングリストや恒久的なタレントプールレコードに静かに転用することはできません。採用においてチームが逸脱するのはここです——ひとつの仕事に提出された履歴書が何年も応募者追跡システムに残り、その元の目的はとっくに期限切れです。実際に時間通りに削除する保持スケジュールが、この制度全体の地味な根幹です。

特別カテゴリーデータと生体認証データ

一部のデータは保護が強化されています。人種や民族的出身、健康、または個人を識別するために使用される生体認証データなどのカテゴリーがあります。採用チームは予想以上にこれに踏み込んでしまいます。候補者の顔を分析するプロクタリングシステム、または障害を明らかにするアクセシビリティ配慮は、特別カテゴリーの領域に引き込む可能性があります。そこでは処理が特定の条件が適用され、保護措置が対応して厳しくなる場合を除いて禁止されます。

安全な直感は、明確で文書化された理由と処理の有効な条件なしに特別カテゴリーデータを収集しないことです。プロクタリングが本当に必要な場合は、それが侵襲的な手順であることとして扱ってください。個別の同意、完了した影響アセスメント、厳格な保持、明確に説明された目的。代替案——ツールがたまたまそれを取得するからというだけで機密データを収集すること——は、規制当局が特に指摘するパターンです。スキルを監視ではなく業務を通じて測定するアセスメントを設計すること（AI Sandboxの作業サンプルが行うような）は、このリスクのほとんどをそもそもテーブルから取り除きます。

最も影響力の大きい2つの条項

日常的な原則を超えて、2つの条項がAIネイティブなアセスメントをどのように構築できるかを形成します。1つ目は第22条です。それは候補者が、法的または同様に重大な効果をもたらす自動処理のみに基づく決定の対象とならない権利を与えます——採用の拒否は一般にそのバーを超えます。これがまさに、重要な採用決定において意味のある人間の介在レビューがオプションではない理由です。候補者はまた、人間の介入を求め、自分の見解を表明し、結果に異議を申し立てる権利も得ます。

2つ目はデータ保護影響アセスメントへの期待です。プロクタリングのような侵襲的な手順を導入する場合や、規模で人々を評価する場合、DPIAは望ましいステップではなく期待されるステップです。1フレームのビデオを収集する前に侵害を正当化し、保護措置を文書化することを強制します。適切に実施されれば、後でリスクを真剣に扱ったことを示す最良の証拠でもあります——選択方法に依拠する前に実行する価値があるのと同じ直感であり、有害影響分析も苦情の後ではなく前に実行する価値があります。

実際における第22条

第22条の罠は、人間の手順が単に存在しているだけで十分だと扱うことです。機械のランキングを形式的に承認するレビュアーは実際にはループ内に入っていません。決定は依然として実質的には自動化されていました。意味のあるレビューとは、その人が結果の根拠を理解でき、それを変える権限と情報を持ち、実際に判断を行使することを意味します。機械を上書きすることが正常であるようにワークフローを構築すること——AI生成アセスメントを誠実に保つ同じ規律——は、法的要件を本物の保護措置に変えるものです。

記憶を失わない消去

第17条は候補者に消去権——しばしば「忘れられる権利」と呼ばれる——を与えます。採用では別の義務と衝突します。決定が公平に、差別なく、自分たちのプロセスに沿って行われたことを示す十分な記録を保持することです。すべてを削除すれば一方の義務は果たしたが、他方に必要な証拠を破壊したことになります。すべてを保持すれば消去リクエストを無視したことになります。チームはしばしばこれを避けられない緊張として扱います。

消去を念頭に置いてデータが保存されていれば、そうではありません。答えは、候補者を特定する個人的な内容を、決定が下され、プロセスが遵守されたという匿名化されたレコードから分離することです。前者をリクエストに応じて削除し、後者を保持します。残存するものから個人を特定できなくなるため、削除は本物です。公正で一貫したプロセスという事実は、それが誰の応募であったかを知ることに依存しないため、監査証跡は生き残ります。2つの義務が互いに争うのは、個人データと監査データが分離できない単一の塊として保存されている場合だけです。

アクセスとポータビリティのリクエスト

消去だけが受信箱に届く権利ではありません。候補者は保有しているデータへのアクセスを求め、不正確な情報の訂正を求め、場合によってはデータのポータブルな形式を求めることができます。採用決定に対する情報主体のアクセス請求は一般的な摩擦点です。候補者は何が記録され、どのように結果に至ったかを知りたいのです。レコードがメールスレッド、スプレッドシート、プロクタリングツールに散在している場合、法定期間内に回答することは奔走を必要とします。

これらを落ち着いて処理するチームは、データが明確な構造を持つひとつの場所に保存されているチームです。アクセス請求はクエリであり、考古学プロジェクトではありません。同じ構造が、候補者（または規制当局）が候補者評価がどのように行われたかを尋ねたときに、公正なプロセスの議論を可能にします。迅速に答えられることは、単なるコンプライアンス上の衛生管理ではありません。プロセスがその問いに耐えるほど一貫していたことのシグナルでもあります。

ベンダー、処理者、共有責任

ほとんどの採用チームは独自のアセスメントスタックを構築しません。ツールを使います。それは義務を免除しません。候補者データが処理される理由と方法を決定する雇用主として、あなたは一般的にコントローラーであり、あなたの代わりにツールを動かすベンダーは通常、あなたの指示に従って行動するプロセッサーです。コントローラーが責任を負います。つまりベンダーの選択自体がコンプライアンス上の決定です。書面によるデータ処理契約、データが保存される場所の明確化、プロセッサーがアクセスおよび消去リクエストをサポートできるという確信は、オプションの追加事項ではありません。

ベンダーに尋ねる不快な質問こそが有用なものです。候補者データはどこに、どのくらいの期間保存されますか？匿名化されたレコードを保持しながら個人をリクエストに応じて削除できますか？規制当局に提出できる形式でレビュアーの行動を記録しますか？ベンダーがこれらに明確に答えられない場合、最悪のタイミング——侵害、監査、または情報主体のアクセス請求の最中——に負担があなたに戻ってきます。コンプライアンスファーストなツールを選ぶことは、これらの回答が製品に組み込まれているものを選ぶことを意味します。営業の電話で約束されるのではなく。

権利のために設計し、周囲を回避しない

適法な根拠、同意、第22条、消去に共通する流れは、GDPRが最初から候補者の権利のために設計されたシステムを報い、プライバシーをボルトオンとして扱うシステムを罰するということです。収集するものを最小化し、説明できる根拠を選び、重要な決定に対して人間が真に説明責任を持ち、アイデンティティと証拠をリクエストに応じて切り分けられるようにデータを保存してください。これらの選択はすべて、リクエストや苦情のプレッシャーの下で後付けするよりも、設計時に行う方が簡単です。

ここで名前を挙げる価値のある静かなボーナスがあります。GDPRを満たす同じ実践——最小化、明確な根拠、ループ内の人間、クリーンな監査証跡——は、それ自体で採用をより公平で説明可能なものにします。収集するノイズが少ないほど、評価するシグナルが鋭くなります。記録され、レビュー可能な決定は差別請求に対して説明しやすくなります。そして、どのように評価されるかについて真実を告げられた候補者は、より積極的に関与します。プライバシーの規律と良い採用は同じ方向を向いていることが判明します。これが採用における偏りの削減の取り組みとも連携する理由でもあります。

これはEU AI法が高リスクな採用システムに求めるのと同じ姿勢であり、2つの制度は互いを強化します。人間をループ内に置き、説明可能なレコードを保持し、必要なものだけを収集する。コンプライアンスファーストの設計はこれらをアーキテクチャとして扱い、後付けとしてではなく——同意、レビュー、監査ログがどのように組み合わさるかをデモで確認してください。