第3章 応募者・従業員データ

学習目標

• 応募者と従業員の個人情報を処理する根拠（同意、法令、契約など）を区別し、AI活用が当初の目的の範囲内にあるかを判断します。
• 敏感情報、固有識別情報、住民登録番号、仮名情報の処理要件を区別して人事データ項目を分類します。
• 処理の委託、第三者提供、国外移転を区別し、AIベンダー契約で確認すべきデータ利用条件を選定します。
• 採用書類とAI分析結果の保有期間、返還、破棄の手続きを設計します。
• 特定の人事データを特定のAIツールに投入してよいかを判断する手順を適用します。

はじめに

人事部は社内で最もセンシティブなデータを最も多く保有する部門です。応募書類には経歴や学歴が、勤怠記録には病気休暇の理由が、給与データには口座情報や控除明細が、面接の録画には顔や声が含まれています。生成AIがこれらのデータを使って行えることは多岐にわたります。数百件の退職アンケートを要約し、面接の文字起こしを整理し、給与計算を検算し、離職リスクを予測します。

問題は「できる」と「してよい」の間の隔たりです。同じ勤務記録であっても、給与の検算に使えば当初の目的内ですが、従業員に通知した目的にない勤務態度の評価に使えば目的外利用になり得ます。同じ顔写真であっても、社員証に印刷するなら一般の個人情報ですが、本人確認用の特徴情報を作成すれば敏感情報になります。同じベンダーであっても、自社の業務のみを代行させるなら委託ですが、ベンダー自身のサービス改善に利用させれば第三者提供になります。

本章では、個人情報保護法（韓国）の処理原則と処理根拠から出発し、目的外利用、特別な情報（敏感情報・固有識別情報・住民登録番号）、委託・提供・国外移転、保有と破棄を順に取り上げます。最後に、「このデータをこのAIツールに投入してよいか」を判断する手順とベンダー契約のチェックリストを作成します。

重要な概念

個人情報と結合可能性

個人情報保護法（韓国）第2条第1号は、個人情報を生存する個人に関する情報であって、氏名・住民登録番号・映像などによって特定の個人を識別できる情報（イ）、その情報単体では識別できなくても他の情報と容易に結合して識別できる情報（ロ）、仮名情報（ハ）と定めています。容易に結合できるかどうかは、他の情報の入手可能性、識別にかかる時間・費用・技術を合理的に考慮して判断します。

人事データにおいてこの定義が重要である理由は、「名前さえ消せば個人情報ではない」という思い込みがあるためです。面接の文字起こしから名前を削除しても、「物流スタートアップで3年間在庫システムを開発した経験」といった発言があれば、社内の誰であるかが容易に推測できてしまいます。12人の部署におけるアンケート回答は、文体だけでも作成者が特定されてしまいます。名前の削除は出発点にすぎず、匿名処理や仮名処理と同等ではありません。

処理原則：目的、最小、匿名

第3条は個人情報の保護原則を定めています。人事AIにおいて特に重要な原則は次の5点です。

第7項は実務で最も頻繁に用いられます。部署単位の改善課題を洗い出すアンケート分析であれば、回答者の身元は不要であるため、匿名処理を施したデータで分析しなければなりません。逆に、給与の検算のように個人単位で支給される業務では、個人を識別せざるを得ません。

処理根拠：何に基づいて収集・利用するのか

第15条第1項は、個人情報を収集・利用できる場合として7つの根拠を定めています。人事業務と特に関連が深いのは次の4点です。

同意を取得する際は、収集・利用目的、項目、保有・利用期間、同意を拒否する権利および拒否による不利益を通知しなければならず（第15条第2項）、同意事項を区分して個別に取得しなければならない場合があります（第22条）。最小限の情報以外の項目については同意しないことができる旨を告知しなければならず、それを理由にサービスの提供を拒否することはできません（第16条）。同意なしに処理できる個人情報については、その項目と法的根拠を同意の対象と区分して公開または通知しなければなりません（第22条第3項）。

処理根拠は、第2章の自動化された決定でも再び用いられます。決定が第1号・第2号・第4号に基づいて行われる場合、拒否権の例外となるためです。根拠を文書として整理しておかなければ、どのような手続きが必要かさえ判断できなくなります。

目的外利用と提供

まず確認すべきなのは、当初の目的と合理的に関連する追加利用です。第15条第3項および第17条第4項は、当初の収集目的と合理的に関連する範囲内であれば、情報主体の同意なしに利用・提供できる道を開いており、施行令第14条の2はその判断要素として、当初目的との関連性、収集状況や処理慣行に照らした予測可能性、情報主体の利益に対する不当な侵害の有無、仮名処理・暗号化などの安全措置を挙げています。この範囲を逸脱すれば目的外利用となります。

第18条第1項は、第15条第1項に基づく範囲を超えて利用することや、第17条第1項などに基づく範囲を超えて第三者に提供することを禁止しています。例外は第2項に定められており、公共機関ではない一般企業に主に該当するのは、情報主体の個別の同意、他の法律の特別な規定、急迫した生命・身体・財産の利益などです。個別の同意を取得する際は、提供を受ける者、利用目的、項目、保有・利用期間、拒否する権利および不利益を通知しなければなりません（第3項）。

人事AIにおいて目的外利用が頻繁に発生する場面は次のとおりです。

「社内システムにすでに存在する情報である」という事実は、処理の根拠にはなりません。利用するたびに目的と必要な範囲を再確認しなければなりません。さらに、目的外利用は法律問題である以前に信頼の問題です。HRチャットボットの対話履歴が評価に使われているという事実が知れ渡れば、従業員はチャットボットに対して率直な質問をしなくなり、導入目的そのものが崩壊してしまいます。

敏感情報

第23条は、思想・信条、労働組合・政党への加入・脱退、政治的見解、健康、性生活などに関する情報および大統領令で定める情報を敏感情報と定め、原則として処理を禁止しています。施行令第18条は、遺伝子検査などにより取得した遺伝情報、犯罪経歴資料、個人の身体的・生理的・行動的特徴に関する情報であって特定の個人を識別する目的で一定の技術的手段を通じて生成した情報、人種や民族に関する情報を追加しています。

敏感情報は、他の処理に対する同意とは個別に同意を取得するか、法令が処理を要求・許容している場合にのみ処理でき（第23条第1項）、処理する際には安全性確保措置を講じなければなりません（第2項）。

人事業務において敏感情報は、想定以上に身近なところに存在します。病気休暇の理由や健康診断の結果は健康情報です。労働組合への加入状況はそれ自体が敏感情報です。出入管理のために顔写真から本人確認用の特徴情報を作成すれば、生体特徴情報になります。このような情報をAI分析に投入するには根拠から再確認しなければならず、人事措置に用いられるモデルであれば投入しないのが原則です。労働組合法（韓国）第81条第1項第1号は、労働組合への加入を理由として労働者に不利益を与える行為を不当労働行為として禁止しているため、労組加入の有無が配置や評価に影響を与えかねないモデルに入力されれば、同意書があっても問題になります。

固有識別情報と住民登録番号

第24条は、法令に基づいて個人を一意に識別するために付与された識別情報のうち、大統領令で定める固有識別情報について、個別の同意を得るか法令が具体的に要求・許容している場合にのみ処理を認め、暗号化などの安全性確保措置を要求しています。施行令第19条は、住民登録番号、旅券番号、運転免許の免許番号、外国人登録番号を定めています。

住民登録番号はさらに厳格です。第24条の2第1項は、法律・大統領令などが具体的に処理を要求または許容している場合、急迫した生命・身体・財産の利益のために明白に必要な場合、これらに準じて不可避な場合として個人情報保護委員会が告示で定める場合を除いては処理を禁止しています。他の固有識別情報とは異なり、情報主体の同意は処理根拠になりません。 処理する場合であっても、暗号化して保管しなければなりません（第2項）。

したがって、「重複応募を防ぐ」という名目で応募書類に住民登録番号を入力させることは、その段階での処理を具体的に要求または許容する法令が存在しない限り、同意書を取得しても行うことはできません。重複の確認は連絡先や本人認証などの別の手段で行います。入社後に法令が具体的に要求する処理であれば、その根拠の範囲内でのみ処理します。

仮名情報とその限界

仮名処理とは、個人情報の一部を削除または代替することにより、追加情報なしには特定の個人を識別できないようにする処理であり（第2条第1号の2）、その結果物が仮名情報です。仮名情報は依然として個人情報です。代替キーと元の氏名を結びつける対応表がどこかに存在するならば、それと結合することで再び個人を識別できるためです。

第28条の2は、統計作成、科学的研究、公益的記録保存などのために、情報主体の同意なしに仮名情報を処理できるようにしています。科学的研究とは、技術の開発と実証、基礎研究、応用研究、民間投資研究など、科学的方法を適用する研究を指します（第2条第8号）。しかし、この特例は特定の個人に対して人事措置を行う目的の根拠にはなりません。離職リスクが高いと判定された従業員を選定して面談を行うための分析は、個人を識別することが目的であるため、仮名処理によって「同意なしに何でもしてよい」データになるわけではありません。第28条の5は、仮名情報を処理する者が特定の個人を識別する目的で仮名情報を処理することを禁止しています。

段階を分けて考えると整理しやすくなります。過去の人事データを仮名処理して予測モデルを開発・検証する段階では科学的研究の特例を検討する余地がありますが、社内の人事管理目的のモデル開発が科学的研究に該当するかは不確実であるため、専門家の検討を受け、他の処理根拠も併せて検討してください。しかし、そのモデルを実際の従業員に適用して面談対象者を選定する段階は個人を識別する処理であるため、労働契約の履行や個別の同意といった一般的な処理根拠と目的の範囲を個別に満たす必要があり、第1章および第5章の差別・公正性の検証も同時に経なければなりません。

処理の委託と第三者提供

AIベンダーに人事データを渡す際、最初に判断すべきことは、その関係が委託であるのか第三者提供であるのかです。基準は、データを誰の目的で処理するのかという点です。

第26条は、委託に対して次の事項を要求しています。委託業務の目的外処理の禁止、技術的・管理的な保護措置などを定めた文書（第1項）。委託業務の内容と受託者を情報主体が容易に確認できるようにするための公開（第2項、この受託者には再委託を受けた第三者も含まれます）。受託者の教育および処理状況の点検などの監督（第4項）。受託者が再委託を行う場合の委託者の同意（第6項）。そして第8項は、破棄（第21条）、敏感情報（第23条）、自動化された決定（第37条の2）など多数の条項を受託者に準用しています。

契約書案に「ベンダーはサービス品質向上のためにデータを活用できる」といった広範な条項がある場合、その活用が委託業務の範囲内にあるかを再検討しなければなりません。ベンダーの汎用モデルの学習のようにベンダー自身の目的であるならば、委託の範囲を逸脱します。

国外移転

AIサービスは海外のクラウド上で動作しているケースが多々あります。第28条の8第1項は、個人情報を国外へ提供（照会される場合を含む）・処理委託・保管することを原則として禁止し、以下の場合にのみ許可しています。

1. 情報主体から国外移転に関する個別の同意を得た場合
2. 法律や条約などに特別な規定がある場合
3. 情報主体との契約締結のために必要な処理委託・保管である場合であって、移転事項を処理方針に公開するか電子メール等で通知した場合
4. 移転を受ける者が保護委員会の告示する認証を取得し、必要な措置を講じた場合
5. 移転対象国などの保護水準が実質的に同等であると保護委員会が認めた場合

通知または公開すべき事項は、移転される項目、移転先の国・時期・方法、移転を受ける者の名称および連絡先、移転を受ける者の利用目的および保有・利用期間、移転を拒否する方法・手順と拒否の効果です（第2項）。会社の目的のための処理であり委託であっても、処理場所が国外であれば委託の要件に国外移転の要件が加わります。まだ労働契約を締結していない応募者段階の処理が第3号の「契約締結のために必要な」処理委託・保管に該当するかどうか判断に迷う場合は、第1号の個別の同意を取得しておく方が紛争を減らせます。

保有期間と破棄

第21条は、保有期間が経過したり処理目的を達成したりするなどして個人情報が不要となった場合、遅滞なく破棄することを義務付け（第1項）、復元・再生されないよう措置を講じさせ（第2項）、他の法令に基づき保存しなければならない場合は分離して保存・管理することを求めています（第3項）。この義務は受託者にも準用されるため、ベンダーのシステムに残存する複製まで漏れなく破棄しなければなりません。

AIを利用すると、破棄すべき対象が増加します。原本となる応募書類だけでなく、AIが生成したスコア、要約、埋め込み（エンベディング）（文章を数値ベクトルに変換した値であり、原文を推測させることがある）、分析ログも、個人を識別できるか、または他の情報と結合して識別できるのであれば個人情報です。他の法令に基づき保存しなければならない資料は、破棄の代わりに分離保管します（第21条第3項）。破棄対象リストにこれらの派生結果を含めておかないと、「原本は削除したが要約は残っている」という状態に陥ります。

採用書類には採用手続法（韓国）の返還規定も重複して適用されます。第11条第1項は、採否が確定した後に求職者（採用が確定した対象者を除く）が返還を請求した場合、本人確認を行った上で返還することを義務付けていますが、ホームページや電子メールで提出された場合や、求職者が要求なしに自発的に提出した場合は例外としています。返還請求期間は、採否が確定した日以後14日から180日までの範囲で求人者が定め、採否が確定する前までに求職者へ通知しなければなりません（施行令第4条、法第11条第6項）。請求期間が経過した、あるいは返還しなかった採用書類は、個人情報保護法（韓国）に従って破棄します（第11条第4項）。採用手続法（韓国）は常時30人以上の事業場に適用されるため（第3条）、それより小規模な事業場では個人情報保護法（韓国）の保有・破棄原則が基準となります。

安全措置とアクセス記録

第29条は、内部管理計画の策定、アクセスログの保管など、安全性確保に必要な技術的・管理的・物理的措置を要求しています。人事AIにおいてこれは、2つの点として具体化されます。1つは、会社が管理するツールにおいてのみ処理することです。面接官が個人アカウントの無料チャットボットに文字起こしを貼り付けた瞬間、会社の安全管理範囲を逸脱してしまいます。もう1つは、誰が何を照会したかを記録に残すことです。これは第4章の監査証跡へとつながります。

判断手順：このデータをこのAIに投入してよいか

人事担当者が毎回活用できる判断手順を整理すると、次のようになります。

1. 目的の確認。 この分析によって何を決定しようとしているのか。個人に対して措置を行うのか、集団を理解しようとしているのか。
2. 根拠の確認。 その目的が当初収集した際の根拠および通知した目的の範囲内にあるか。そうでない場合、個別の同意などの新たな根拠があるか。
3. 情報区分の確認。 敏感情報、固有識別情報、住民登録番号が含まれているか。含まれている場合、その情報に見合った根拠があるか。人事措置に用いられる分析から除外できるか。採用段階であれば、採用手続法（韓国）第4条の3の禁止情報や、保護属性を代理して表す変数（第1章の代理変数）が混入していないか。
4. 最小化。 目的に必要な項目のみを残しているか。匿名処理によって目的を達成できるか。
5. ツールの確認。 会社が契約し承認したツールであるか。委託文書の作成と公開、国外移転の要件が整っているか。従業員の行動を新たに収集するツールである場合、労使協議会の協議（労働者参加法（韓国）第20条第1項第14号）および告知要件（第4章）も確認したか。
6. 期間の確認。 入力データと成果物をいつ破棄するのか。ベンダー側の保存期間はどれくらいか。

ベンダー契約におけるデータ利用条件の確認

AIベンダーのデータ利用条件は、画面上ではなく契約文書に記載されています。契約を結ぶ前に、以下の表の空欄を根拠文書とともに埋めます。

「ベンダーが暗号化を確約した」や「秘密保持契約を締結した」というだけでは、この表の空欄を埋めることはできません。暗号化は保護措置の1つにすぎず、秘密保持契約は委託文書に定めるべき法定記載事項や公開、委託者の監督義務の代わりにはならないからです。

さらに深く

「名前を消した」と「匿名である」の間

第58条の2は、時間・費用・技術などを合理的に考慮した際に、他の情報を用いてももはや個人を識別できない情報には本法を適用しないと定めています。匿名処理はこの状態を作り出すことです。人事データはこの基準を満たすことが容易ではありません。組織が小さく、構成員がお互いを知っており、経歴や業務内容が固有であるためです。実務では3つの方法を組み合わせて用います。集計単位を大きくする（5人未満の部署は上位組織と統合し、同じ値の人が最低k人以上になるようにするk-匿名性の方式）。固有の詳細な内容を削除する（プロジェクト名、顧客企業名、特定の出来事）。成果物に原文の引用を入れない。それでも自由記述にはリスクが残るため、分析は会社が管理するツール内でのみ行い、結果は集計レベルでのみ共有します。

従業員の同意はどれほど自由か

採用や雇用の関係においては、会社と応募者・従業員の間の力関係が対等ではありません。同意書を差し出されれば、大半は署名します。法律は同意を得る方法（第22条）、最小限の情報以外には同意しないことができる旨を告知し、それを理由に不利益を与えてはならないこと（第16条、第22条第5項）を定めて、この不均衡を是正しようとしています。実務の原則は次のとおりです。契約の履行や法令上の義務として説明できる処理はその根拠に基づいて処理し、同意が必要な処理は拒否しても不利益が生じないよう設計し、拒否した人のための代替ルートを最初から用意します。労働組合への加入のように、同意書があったとしても正当化が困難な処理は、そもそも行いません。

派生データの寿命

AIが生成した成果物は、原本よりも長く残りやすいものです。要約は共有フォルダに、スコアはスプレッドシートに、埋め込み（エンベディング）は検索インデックスに散らばります。そして原本を破棄した後も、残った要約が次の採用の「参考資料」として再利用されれば、通知した期間と目的の双方を逸脱した処理になります。データフロー図を作成する際は、原本だけでなくAIが生成するすべての成果物の所在と破棄の時期を併せて記載しておきましょう。

実務の場面

野原農産の退職理由分析

農産物流通企業「野原農産」（従業員1,300人）の人事チームは、過去2年間の退職面談記録480件をAIで分析し、離職原因を突き止めたいと考えました。当初の計画は、面談記録の原文をそのまま会社承認のAIツールに入力し、「退職者ごとに本当の退職理由を推定してほしい」と指示することでした。

判断手順を適用したところ、問題点が浮かび上がりました。目的は全社的な改善課題を見出すことであり、個人を特定する必要はありませんでした。面談記録には健康上の理由や家庭の事情、同僚の名前が混在していました。退職者ごとの「本当の理由」を推定することは、通知した目的（退職手続きの処理と組織改善）を超える可能性がありました。記録の保有期間についても、一部はすでに経過していました。

人事チームは計画を変更しました。保有期間が経過した記録は、分析の前に破棄しました。残った記録から氏名、社員番号、同僚の氏名、健康・家庭に関する詳細な内容を削除し、5人未満の部署は本部単位に統合しました。質問も「退職者ごとの推定」ではなく、「本部ごとに繰り返される退職理由の類型と頻度」に変更しました。結果報告書には原文の引用を含めないようにしました。見送った選択肢は、「記録が社内システムにあるのだからそのまま使おう」と「退職者に事後同意をもらおう」でした。前者は根拠にならず、後者は連絡がつかない人が多く現実的でない上、そもそも個人単位での分析が必要なかったためです。

みのりエネルギーの海外AI要約サービス契約

エネルギー企業「みのりエネルギー」は、キャリア採用のエントリーシートを要約する海外のAIサービスを検討しました。営業担当者は「業界標準のセキュリティ認証を取得しており、暗号化も行っているので心配ありません」と説明しました。人事チームはベンダー契約チェックリストに記入しました。

処理上の位置づけは会社の書類選考目的のみであったため、委託に該当しました。しかし利用規約には「サービス向上のためにお客様データを活用できる」という条項が存在し、学習利用の初期設定が有効になっていました。処理の場所は海外リージョンであり、再委託先リストが別途存在していました。

人事チームは3つの項目を契約条件として提示しました。学習利用を無効化し、サービス改善条項を委託業務の範囲内に限定する。再委託先を変更する際は会社の同意を得る。処理状況の報告と削除確認書の提出を受ける。国外移転に関しては、まだ契約を結んでいない応募者の段階での処理が契約締結に必要な処理委託に当たるかどうかの判断がつきかねたため、応募書類の受付時に国外移転に関する個別の同意を取得することにしました。同意画面には移転項目、国、時期・方法、移転先（提供を受ける者）の名称および連絡先、利用目的と保有期間、拒否方法とその効果を明記し、同意しなかった応募者の書類は国内で人間が審査するルートを設けました。セキュリティ認証は確認したものの、認証だけではこれらの要件を代替できないという点を社内報告書に明記しておきました。

間違えやすいポイント

• 「名前を消せば個人情報ではない。」 他の情報と容易に照合して識別できるのであれば個人情報です。
• 「社内システムにある情報なのだから使ってもよい。」 利用するたびに目的と根拠を確認しなければなりません。保有していること自体は根拠になりません。
• 「同意書を取れば住民登録番号も取得できる。」 住民登録番号は、法令の根拠などがなければ同意があっても処理することはできません。
• 「仮名処理すれば同意なしに何でもできる。」 仮名情報の特例は統計作成、科学的研究、公益的記録保存などのためのものであり、仮名情報も個人情報です。
• 「委託契約を結んでいるのでベンダーが自由に使ってもよい。」 受託者は委託業務の範囲を超えて利用することはできません。ベンダー自身の目的である場合は第三者提供に該当します。
• 「国内の委託要件さえ満たせば海外サーバーでも問題ない。」 処理場所が国外であれば、国外移転の要件が加わります。
• 「原本を消去したのだから破棄は完了した。」 AIによるスコア、要約、埋め込み（エンベディング）、受託者が保管している分まで破棄しなければなりません。
• 「ホームページ経由で受け取った応募書類も、返還請求に備えて長期間保管する。」 ホームページや電子メールによる提出は返還義務の例外です。採用目的が達成されるなど不要になった場合は、あらかじめ通知した期間が残っていたとしても遅滞なく破棄しなければならず、通知した保有期間を超えて保管することもできません。

ひと目でわかるまとめ

公式ドキュメントで確認する

• 個人情報保護法（韓国）第15条 — 収集・利用の7つの根拠と同意時に通知すべき事項を読みます。
• 個人情報保護法（韓国）第18条 — 目的外利用・提供の禁止と例外を確認します。
• 個人情報保護法（韓国）第23条と施行令第18条 — 機微情報の範囲と処理要件を読みます。
• 個人情報保護法（韓国）第24条の2 — 住民登録番号の処理制限と暗号化義務を確認します。
• 個人情報保護法（韓国）第26条 — 委託文書、公開、監督、再委託、準用条項を読みます。
• 個人情報保護法（韓国）第28条の8 — 国外移転の5つのルートと通知すべき事項を確認します。
• 採用手続法（韓国）第11条と施行令第4条 — 採用書類の返還の例外と請求期間を確認します。

セルフチェック

3-1. 個人情報保護法（韓国）第3条第7項の匿名・仮名処理の原則を記述し、この原則が個人単位の処理がどうしても必要な業務とそうでない業務でどのように異なって適用されるか、例を1つずつ挙げて説明してください。

3-2. 敏感情報と固有識別情報、住民登録番号の処理要件の違いを表に整理してください。特に情報主体の同意が根拠となるかに注目してください。

3-3. 処理委託と第三者提供を分ける基準を1文で記述し、委託者が備えるべき義務を4つ記述してください。

3-4. 国外移転が認められている5つの経路のうち、別途の同意なしに利用できる経路を1つ選び、その要件を説明してください。

3-5. AIを利用する採用において、破棄リストに原本の応募書類のほかに必ず含めるべき項目を3つと、その理由を記述してください。

3-6. 仮名情報処理の特例が適用される目的を記述し、この特例が個人に対して人事措置を行おうとする分析の根拠にならない理由を説明してください。

3-7. （設計）会社が利用するAIツールのうち1つについて、本章のベンダー契約チェックシートの8行を埋める計画を立ててください。行ごとにどの文書から根拠を探すか、また確認できなかった場合の処理方法を記述してください。

実習課題