個人情報保護法における履歴書の取り扱い

ベトナムでは、2023年より政令13/2023/ND-CP（通称「個人情報保護に関する政令」）が施行され、個人情報の収集、利用、管理に関する法的枠組みが大幅に強化されました。この中には企業が採用活動、特に面接時に候補者の履歴書をどのように扱うべきかについてのガイドラインも含まれます。また来年からは同政令からの流れを受けて個人情報保護法が施行される予定で、ベトナムにおける個人情報の取り扱いが今後一層注目されることになりそうです。今回は、この個人情報保護に関する政令の観点から、募集・採用にまつわる履歴書の取り扱いについて、その法的要件と実務上の注意点を解説します。

政令が規定する個人情報の定義

個人情報は「特定の個人を直接的または間接的に特定できる情報」と定義しています。履歴書に含まれる氏名、生年月日、住所、電話番号、メールアドレス、学歴、職歴、写真の他、銀行口座情報や家族構成といった情報もこの定義に含まれます。

同政令では、これらの個人情報の取り扱いに関して以下5つの原則を定めています。これらは履歴書を扱うすべての企業が遵守すべき基本とされています。

◆目的の原則 :

収集する個人情報は、事前に明確に定義された目的にのみ使用されなければなりません。採用活動においては、履歴書は「採用選考のため」という目的にのみ利用されるべきです。

◆同意の原則 :

個人情報を収集・利用する際には、データ主体（この場合は候補者）からの明示的な同意が必要です。これは、履歴書を提出する時点で、企業がどのように情報を利用し、保管するのかを明確に提示し、候補者がそれに同意することを意味します。

◆最小限の原則 :

収集する個人情報は、設定された目的に必要な範囲内で最小限に抑えるべきです。採用選考に関係のない情報は、収集しないことが望ましいです。

◆適法性の原則 :

個人情報は、ベトナムの法律および国際条約に準拠して収集・利用されなければなりません。

◆セキュリティの原則 :

収集した個人情報は、不正アクセス、漏洩、改ざんから保護するための適切な技術的・組織的措置を講じなければなりません。

履歴書の取り扱いにおける法的要件と実務

上記の原則を踏まえ、面接時に履歴書を扱う際の具体的な法的要件と、企業が講じるべき実務上の対策を見ていきましょう。同政令では個人情報の取り扱いについて、情報提供者（ここでは採用応募者）から「収集される個人情報の種類」「収集の目的」「情報の利用方法」「情報の保管期間」「候補者の権利」「実務上の対策」について同意を得る必要があるとされています。

しかし実務的なことを考えると、応募者全員から書面で同意を得るというのは現実的ではありません。そこで面接に関する個人情報の取り扱いとして、法的リスクを極力軽減する対策として以下のような方法を提案します。

個人情報の取り扱いに関する応募者への通知

・自社で募集活動を行う場合は応募フォームやウェブサイトに「個人情報保護方針（Privacy Policy）」を掲載し、事前に応募者が個人情報の取り扱いについて知りうる状態を作っておく。

・直接応募者とメールでやり取りする場合はメールの署名などに個人情報の取り扱いに関する文言を記載する。

・紹介会社からの候補者などについては紹介人材の個人情報の取り扱いに関する取り決めを契約内容に盛り込んでおく。

応募者に対しては口頭での説明だけでなく、書面または電子的な形で記録を残すことが重要となります。

情報の最小化と不適切な情報の収集の禁止

政令では「必要性のない個人情報の収集を禁止」しています。面接時に、採用選考に直接関係のないセンシティブな個人情報を尋ねることは避けるべきです。実務上の対策としては、面接官へ質問のガイドラインを徹底させ、採用選考に関連性のない個人的な質問を控えるよう教育することなどが挙げられます。

履歴書の破棄と保管に関するセキュリティ

面接後、履歴書は適切に保管・管理されなければなりません。同政令では個人情報の漏洩や不正アクセスを防ぐための技術的・組織的対策を企業に義務付けています。不採用者の履歴書については、収集した個人情報の保管期間を「収集目的を達成した時点で」終了することを原則としています。したがって、不採用が決定した候補者の履歴書は、合理的な期間内に安全に破棄または削除することが求められます。仮に企業が将来の候補者として履歴書を保管しておきたい場合、その目的と保管期間を事前に候補者に伝え、別途同意を得る必要があるとされています。

一方で採用者の履歴書の場合、雇用期間中およびその後も法律で定められた期間保管されることがあります。しかし、その保管もアクセス権限を限定し、物理的・技術的なセキュリティ対策を講じなければなりません。

ベトナムにおける個人情報保護は、面接時の履歴書の取り扱いについて企業に明確な責任と義務を課しています。これは単なる法的義務ではなく、候補者との信頼関係を築き、企業の評判を守る上で不可欠な要素です。

「個人情報の適切な扱い」「不適切な個人情報の収集」「利用後の履歴書破棄」「履歴書保管に関するセキュリティ対策」これらの対策を講じることで、企業は法的リスクを回避するだけでなく、候補者から「個人情報を尊重する信頼できる企業」として評価されることになるでしょう。これらの要件を深く理解し、採用活動において適切に運用されることをお勧めします。