エンジニア採用の候補者情報データ管理ガイド｜保管・廃棄・開示の実務

エンジニア採用で集めた候補者の個人情報は、「利用目的を本人に明示し、必要がなくなったら遅滞なく消去する」のが原則です。不採用者の履歴書に法的な保管義務はなく、多くの企業は3〜6か月を目安に保管した後に廃棄しています。スカウト・面接・選考データを「なんとなく溜め込む」運用は、漏えいリスクと法令違反の両方を招きます。

このページでわかること

エンジニア採用では、スカウト返信、職務経歴書、コーディングテストの結果、面接の評価メモ、リファレンスチェックの記録まで、候補者に関するデータが大量に蓄積されます。採用ツール（ATS・採用CRM・スカウト媒体）が普及したことで、データは「集めやすく、消しにくい」状態になりがちです。

本記事では、エンジニア採用の現場担当者・人事が押さえるべき候補者データの取り扱いを、取得から廃棄までの流れに沿って整理します。

• 採用で扱う個人情報の種類と、個人情報保護法の基本ルール

• 取得時にやるべき「利用目的の明示」と同意の設計

• スカウト・タレントプールでデータを保持する際の注意点

• 不採用者・採用者それぞれの保管期間と廃棄ルール

• 開示・訂正・利用停止の請求への対応

• 採用代行・スカウト代行など委託先の監督

• 漏えいが起きたときの報告義務と初動

TL;DR（要点まとめ）

1. 利用目的を特定して本人に明示する: 採用で個人情報を取得するときは、「採用選考のため」など利用目的を本人に分かる形で示す。後から目的外で使うには原則として本人同意が必要。

2. 不採用者の履歴書に保管義務はない: 法的な保管義務があるのは原則として採用者の労務関係書類のみ。不採用者データは3〜6か月を目安に保管し、必要がなくなったら遅滞なく廃棄する。

3. 採用者の書類は退職後5年が目安: 労働基準法第109条で労働者名簿等の保存が定められており、入社後の履歴書は雇用記録の一部として扱う運用が一般的。

4. タレントプールは「同意」と「保管期間」がカギ: 不採用者を将来の再アプローチ用に保持するなら、利用目的にその旨を含め、保管期間とオプトアウト手段を用意する。

5. 委託先（採用代行・媒体）の監督義務がある: 個人データの取り扱いを外部に委託する場合、委託元には安全管理を確認・監督する責任が残る。

6. 漏えい時は報告・通知が原則義務: 一定の漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が求められる。

1. エンジニア採用で扱う個人情報を棚卸しする

採用データガバナンスの第一歩は、「自社がどんな候補者データを、どこに、どれだけ持っているか」を把握することです。データの所在が分からないと、保管も廃棄も開示請求対応もできません。

エンジニア採用では、一般的な事務職以上に多様なデータが集まります。技術評価のプロセスが多段階だからです。

採用プロセスで蓄積される主なデータは、次の5カテゴリに整理できます。

1. 基本属性データ: 氏名・連絡先・職歴・学歴など、職務経歴書や応募フォームに含まれる情報

2. 技術評価データ: コーディングテストの提出物・スコア、GitHubやポートフォリオの分析メモ、技術面接の評価

3. コミュニケーション履歴: スカウト送信文と返信、カジュアル面談のメモ、日程調整のやり取り

4. 第三者由来データ: リファレンスチェックの回答、エージェント経由で受け取った推薦情報

5. センシティブになりやすい情報: 健康状態・家族構成・信条など、本来は採用判断に使うべきでない情報が面談メモに混入するケース

特に5番目は要注意です。雑談で得た病歴や家族の事情を評価メモに残すと、後で「不適切な情報に基づく不採用」と疑われるリスクがあります。評価メモには「職務遂行に関係する事実」だけを書くというルールを徹底するだけで、リスクは大きく下がります。

エンジニア採用特有のデータとして見落とされやすいのが、技術課題の「提出物そのもの」です。GitHubのプライベートリポジトリへの招待、課題用に共有したデータセット、ペアプログラミングの録画など、通常の応募書類とは別の場所に残るデータが多く、廃棄の対象から漏れやすいという特徴があります。棚卸しの段階で、こうした技術評価系のデータも忘れずにリスト化しておきましょう。

データがどこに散らばっているかを地図にする

棚卸しでは、データの「保管場所」も一覧化します。ATS、採用CRM、スカウト媒体の管理画面、面接官個人のスプレッドシート、メール、チャットツール——エンジニア採用では現場エンジニアが面接に関わるため、評価メモが個人の端末やDM上に残りやすい点が盲点になります。

採用担当が一元管理しているつもりでも、現場に分散したデータは廃棄漏れの温床です。棚卸しの段階で「どのツールに、どのカテゴリのデータが、誰の権限で入っているか」を表にしておくと、後の保管・廃棄ルールがそのまま運用に落とせます。

2. 取得時のルール｜利用目的の明示と同意

個人情報の取り扱いで最も重要なのは「入口」、つまり取得の段階です。ここを正しく設計すれば、後工程の判断はほぼ自動的に決まります。

個人情報保護委員会のガイドラインでは、個人情報を取得する際に利用目的をできる限り特定し、本人が知り得る状態に置くことが求められています。採用の文脈では「採用選考に利用する」ことを応募フォームや募集要項に明示するのが基本です。

応募フォームやプライバシーポリシーに盛り込むべき要素は、次の3点です。

1. 利用目的: 「応募者の採用選考のために利用します」を明記する。将来の別ポジション提案に使うなら「今後の募集案内のため」も加える

2. 保管期間と廃棄方針: 「選考終了後◯か月で廃棄します」と期間を示すと、応募者の安心感につながり、自社の運用規律にもなる

3. 問い合わせ窓口: 開示・削除などの請求を受け付ける連絡先を示す

スカウトで「取得」した情報の扱い

エンジニア採用ではスカウト媒体から候補者情報を取得する機会が多いですが、媒体上の公開プロフィールを閲覧している段階と、自社のシステムに保存して管理し始める段階では、責任の重さが変わります。

媒体内で候補者を検索・閲覧するだけなら媒体側の規約に従えば足りることが多い一方、プロフィールをコピーして自社のスプレッドシートやCRMに転記した瞬間、そのデータは自社が管理責任を負う個人情報になります。「気になる候補者リスト」を社内に作る運用は便利ですが、保管期間と廃棄のルールをセットで決めておかないと、退会済み・転職済みの古いデータが延々と残り続けます。

3. 保持フェーズ｜タレントプールと安全管理措置

取得した候補者データを「持ち続ける」フェーズでは、安全管理措置とタレントプールの設計が論点になります。データは資産であると同時に、管理コストとリスクでもあります。

個人情報保護委員会は、事業者に対し漏えい・滅失・毀損を防ぐための安全管理措置を求めています。これは大企業だけの話ではなく、応募者データを扱うすべての事業者が対象です。

採用データに最低限かけたい安全管理措置は、次の4つです。

1. アクセス権限の限定: 候補者データを見られる人を採用関係者に絞る。現場エンジニアには担当候補者の評価に必要な範囲だけ共有する

2. 保管場所の集約: 個人スプレッドシートやDMでの管理をやめ、ATS/CRMに集約する。散在は廃棄漏れと漏えいの最大要因

3. 暗号化・パスワード管理: 重要ファイルへのパスワード設定、共有リンクの権限制御

4. 退職者のアクセス遮断: 採用に関わっていた社員の退職時に、候補者データへのアクセスを確実に止める

タレントプールは「合意のある保持」にする

優秀だが今回は縁がなかったエンジニアを、将来の募集に向けてタレントプールに残す運用は有効です。ただし本人の認識がないまま長期間データを保持すると、トラブルの火種になります。

タレントプールを安全に運用する条件は、利用目的に「今後の募集案内」を含めること、保管期間を定めること、そして本人が希望すれば登録を解除できる手段を用意することです。「いつでも配信停止・削除できます」と一言添えるだけで、候補者体験を損なわずに関係を継続できます。タレントプールの育成手法そのものについてはタレントプール育成の実践ガイドも参考にしてください。

4. 廃棄フェーズ｜保管期間と消去のルール

データの「出口」、つまり廃棄ルールは、採用データガバナンスで最も誤解が多いポイントです。「とりあえず取っておく」は、もはやリスク管理上の選択肢ではありません。

個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。採用の場面では、不採用者と採用者で扱いが分かれます。

不採用者のデータ

不採用者の履歴書・職務経歴書には、法的な保管義務はありません。一方で、再応募への対応や問い合わせの可能性を考え、多くの企業が3〜6か月を目安に保管した後に廃棄しています。応募者から返却・削除を希望された場合に対応できるよう、保管期限を6か月程度と定める運用が一般的です。

ポイントは「期限を決めて、決めた通りに消す」ことです。期限のない保管は、必要がなくなったデータを持ち続けることになり、法の趣旨に反します。運用としては、四半期に一度など定期的な「廃棄棚卸し日」を設け、その時点で保管期限を過ぎたデータをまとめて削除する方法が現実的です。日々こまめに消すのは難しくても、定例化すれば抜けが起きにくくなります。

なお、不採用者を将来の募集案内のためにタレントプールへ移す場合は、その同意を取った上で保管期間の起点が変わる点に注意します。「選考用データとしては廃棄するが、本人同意のもとで連絡先のみ別管理する」といった切り分けを明確にしておくと、後の混乱を防げます。

採用者のデータ

採用に至った候補者の書類は、雇用後は労務関係の記録として扱われます。労働基準法第109条は、労働者名簿・賃金台帳など労働者に関する重要書類の保存を定めており、保存期間は5年（当面は3年の経過措置）とされています。入社後の履歴書は雇用記録の一部として、この枠組みに沿って管理するのが一般的です。

廃棄は「復元できない方法」で

紙の書類はシュレッダーや溶解処理、電子データは復元不能な削除を行います。クラウドのATS/CRMでは「アーカイブ」と「完全削除」が別物であることが多いため、ツールの仕様を確認しておきます。個人情報の漏えいは、誤送付や誤廃棄など人為的ミスが主な原因とされており、廃棄の手順を明文化しておくことが事故防止に直結します。

エンジニア採用では技術課題の提出物（コード・ファイル）がメールやストレージに残りがちです。基本データだけ廃棄して提出物を消し忘れる、という抜けが起きやすいので、廃棄チェックリストには「提出物・添付ファイル」を必ず項目として入れておきましょう。

5. 開示・訂正・利用停止の請求への対応

候補者本人から自分のデータについて問い合わせが来たとき、慌てず対応できる体制があるかどうかで、企業の信頼度は大きく変わります。請求対応は、データガバナンスが実際に機能しているかの試金石です。

個人情報保護法は、本人に保有個人データの開示・訂正・利用停止などを請求する権利を認めています。採用候補者も例外ではなく、「自分の応募データを開示してほしい」「削除してほしい」という請求が来る可能性があります。

請求に備えて整えておくべきものは、次の3点です。

1. 受付窓口の明示: プライバシーポリシーや応募フォームに問い合わせ先を記載しておく

2. 本人確認の手順: なりすまし防止のため、請求者が本人であることを確認する方法を決めておく

3. 社内の対応フロー: 請求を受けた担当者が、データの所在を特定し、開示・削除を実行できる手順

ここで効いてくるのが、ステップ1の棚卸しです。データの所在が地図化されていれば、「この候補者のデータはどこにあるか」を即座に特定できます。逆に散在していると、削除請求に対して「漏れなく消した」と言い切れず、リスクが残ります。

特に注意したいのが、リファレンスチェックで得た第三者由来のデータです。前職の関係者から提供された情報は本人以外の評価を含むため、開示の範囲が複雑になります。リファレンスチェックを実施する際に本人同意を取得しておけば、後の請求対応がスムーズになります。実施手順はリファレンスチェックの実践ガイドを参考にしてください。

6. 委託先の監督｜採用代行・スカウト代行を使うとき

採用業務を外部に委託する場合でも、個人情報の管理責任は委託元に残ります。「外注したから安心」ではなく、「外注したからこそ監督が必要」というのが法の建て付けです。

個人情報保護委員会のガイドラインでは、個人データの取り扱いを委託する場合、委託先に対して必要かつ適切な監督を行うことが求められています。スカウト代行・採用代行（RPO）・適性検査ツールなどを利用する場面が該当します。

委託先を使うときに確認・契約しておきたい項目は、次の通りです。

1. 安全管理体制: 委託先がアクセス制御・暗号化など適切な措置を講じているか

2. 再委託の有無: 委託先がさらに別の業者へ再委託する場合のルール

3. データの返却・廃棄: 契約終了時に候補者データを返却または確実に廃棄する取り決め

4. 漏えい時の連絡: 委託先で事故が起きた際に速やかに報告を受ける仕組み

スカウト代行やAIスカウト運用を活用する場合も、この監督の視点は欠かせません。techcellarでもスカウト運用代行を提供していますが、候補者データの扱いは委託元企業と認識をそろえて進めることを前提にしています。委託の全体設計については採用代行（RPO）完全ガイドも参考になります。

7. 組織規模別｜どこまでやるべきか

データガバナンスに「すべての企業が同じレベルでやるべき」という正解はありません。組織の規模と採用件数に応じて、現実的に守れる範囲から始めるのが鉄則です。背伸びした仕組みは形骸化し、かえってリスクを見えなくします。

ここでは、フェーズ別に「最低限これだけは」という優先順位を示します。

1. 採用担当が1人・初めての採用フェーズ: まずは「応募フォームに利用目的と保管期間を一文書く」「不採用者データを期限で消す」の2つから。ツールはスプレッドシート1枚でも、保管場所を1つに集約することが最優先

2. 採用担当が複数・月数件の採用フェーズ: ATSまたは採用CRMに集約し、アクセス権限を採用関係者に限定する。現場エンジニアの評価メモも個人管理からツール管理へ移す

3. 専任人事・採用が事業の生命線のフェーズ: 委託先（採用代行・媒体）の監督契約、漏えい時の初動手順、開示請求の受付フローまで文書化する。プライバシーポリシーの定期見直しも組み込む

重要なのは、フェーズが上がっても「入口（利用目的の明示）と出口（期限通りの廃棄）」という原則は変わらないことです。土台が同じなので、最小構成から始めても後から無理なく拡張できます。少人数で採用を回す体制づくりは一人人事のエンジニア採用ガイドも参考にしてください。

採用ツール選定時にデータ管理機能も見る

ATSや採用CRMを選ぶとき、機能比較の軸は「スカウト送信のしやすさ」「候補者管理のUI」に偏りがちです。しかしデータガバナンスの観点では、アクセス権限の細かさ・データの完全削除機能・操作ログの記録・退職者アカウントの無効化といった管理機能も評価軸に入れるべきです。これらが弱いツールは、運用が回り始めてからデータ管理の負担として跳ね返ってきます。ツール選定の詳細は採用CRMの選び方と運用ガイドで解説しています。

8. 漏えいが起きたときの初動と報告義務

どれだけ予防しても、漏えいリスクをゼロにはできません。重要なのは、起きてしまったときに法令に沿って動けるかどうかです。初動の良し悪しが、その後の被害と信頼回復を左右します。

個人情報保護法では、一定の漏えい・滅失・毀損が生じた場合、個人情報保護委員会への報告と本人への通知が原則として義務づけられています。「報告するかどうか」を現場で判断するのではなく、あらかじめ手順を決めておくことが重要です。

漏えいを疑ったときの初動は、次の順序で動きます。

1. 事実確認と封じ込め: 何が、どれだけ漏れたかを確認し、被害拡大を止める

2. 社内エスカレーション: 採用担当だけで抱え込まず、責任者・法務へ即座に共有する

3. 報告・通知の要否判断: 報告義務の対象か確認し、対象なら委員会への報告と本人通知を行う

4. 再発防止: 原因を特定し、運用・ツール・体制を見直す

漏えいは「特別な事故」ではなくなっている

個人情報保護委員会の年次報告によると、事業者等からの漏えい等報告の件数は近年増加傾向にあり、令和6年度（2024年度）は過去最多の水準に達したと公表されています。原因の多くは、資料の誤送付・誤廃棄といった人為的ミスです。高度なサイバー攻撃よりも、日常業務の小さなミスが大半を占めるという点が重要です。

採用データも例外ではありません。「候補者リストを別の候補者にメールで誤送付する」「不採用通知のCCに全員のアドレスを入れてしまう」「面接の評価メモを社外秘の意識なく共有ドキュメントに残す」といった事故は、エンジニア採用の現場でも起こり得ます。だからこそ、高価なセキュリティ製品の前に、誰でも守れるシンプルなルールと手順の整備が、最も費用対効果の高い対策になります。一斉送信時は必ずBCCを使う、共有リンクは権限を確認する、といった基本動作をチェックリスト化するだけでも、人為的ミスの大半は防げます。

採用データガバナンスは「採用力」にもつながる

候補者データの適切な管理は、守りのコンプライアンスにとどまりません。エンジニアはセキュリティや情報管理への感度が高い職種です。「この会社は自分の情報を雑に扱わない」という安心感は、選考体験そのものの質を高め、結果として承諾率にも影響します。

逆に、退会済みのスカウトリストに繰り返しアプローチが来る、不採用後も連絡が続く、といった「データを溜め込んでいる会社」の振る舞いは、候補者からの信頼を確実に削ります。データガバナンスは、候補者体験の一部です。選考全体の体験設計は候補者体験（CX）設計ガイドも合わせて確認してください。

FAQ（よくある質問）

Q1. 不採用者の履歴書はいつまで保管すればいいですか？

法的な保管義務はありません。再応募対応や問い合わせの可能性を考え、3〜6か月を目安に保管し、その後は遅滞なく廃棄する運用が一般的です。保管期間をあらかじめ社内ルールとして定め、決めた通りに廃棄することが重要です。応募者から返却・削除を希望された場合に応じられる体制も用意しておきましょう。

Q2. スカウト媒体で見つけた候補者の情報を自社のリストに保存しても問題ありませんか？

媒体内で閲覧するだけと、自社システムに転記して保管するのとでは責任の重さが変わります。自社に保存した時点で、その情報は自社が管理責任を負う個人情報になります。保管する場合は、利用目的・保管期間・廃棄ルールをセットで決め、退会済みや転職済みの古いデータが残り続けないよう定期的に見直してください。

Q3. 面接の評価メモにはどこまで書いていいですか？

職務遂行に関係する事実と評価に絞るのが原則です。雑談で知った健康状態・家族構成・信条などのセンシティブな情報を評価メモに残すと、不適切な情報に基づく判断を疑われるリスクがあります。「職務に関係することだけを書く」というルールを面接官全員で共有しておくと安全です。評価の標準化については面接スコアカード設計ガイドも参考になります。

Q4. 候補者から「自分の応募データを削除してほしい」と言われたら？

本人確認をしたうえで、保有しているデータを特定し、削除に対応します。スムーズに対応するには、データの所在を事前に棚卸ししておくことが欠かせません。ATS・CRM・媒体・個人のスプレッドシートなど、データが散在していると「漏れなく削除した」と言い切れなくなります。受付窓口と対応フローを決めておきましょう。

Q5. 採用代行やスカウト代行に依頼すると、個人情報の管理責任はどうなりますか？

委託しても、委託元の管理責任は残ります。委託先が適切な安全管理措置を講じているか、再委託のルール、契約終了時のデータ返却・廃棄、漏えい時の連絡体制などを契約で取り決め、監督する必要があります。「外注したから安心」ではなく、「外注先を監督する」という姿勢が求められます。

Q6. 候補者データが漏えいしたら必ず報告が必要ですか？

一定の漏えい・滅失・毀損が生じた場合は、個人情報保護委員会への報告と本人への通知が原則として義務づけられています。報告の要否を現場で迷わないよう、初動手順（事実確認・封じ込め・エスカレーション・要否判断・再発防止）をあらかじめ決めておくことをおすすめします。

まとめ：データの「入口と出口」を設計する

エンジニア採用の候補者データ管理は、難しいルールを丸暗記することではありません。**「利用目的を明示して取得し、必要がなくなったら確実に消す」**という入口と出口の設計ができていれば、大半のリスクは防げます。

最後に、今日から着手できるステップを整理します。

1. 棚卸し: どんな候補者データが、どこに、どれだけあるかを地図にする

2. 取得ルール: 応募フォーム・募集要項に利用目的と保管期間を明示する

3. 保持ルール: アクセス権限を絞り、データをATS/CRMに集約する

4. 廃棄ルール: 不採用者3〜6か月、採用者は労務記録として管理し、期限通りに消去する

5. 請求・委託・漏えい対応: 窓口・委託契約・初動手順を整える

データガバナンスは、コンプライアンスであると同時に候補者体験の一部です。情報を丁寧に扱う姿勢は、エンジニアからの信頼につながります。スカウト運用やデータ管理を含めた採用の仕組み化に課題を感じている場合は、techcellarのサービスもご検討ください。現役エンジニアの視点で、候補者データの扱いまで含めた採用設計を支援します。

参考にした主な一次情報・公的データ:

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」（利用目的・安全管理措置・委託先の監督・漏えい等報告）

• 個人情報保護委員会「年次報告書」（漏えい等報告件数の動向。令和6年度は過去最多水準）

• 労働基準法第109条（労働者名簿等の記録の保存）