就職情報サイト「リクナビ」を運営するリクルートキャリアが学生の同意なく「内定辞退予測スコア（＝キーワード解説）」を企業に販売していた問題で、提携サイト「外資就活ドットコム」から同社に提供された学生の「クッキー（＝キーワード解説）」データが、スコア算出に利用されていたことが分かった。外資就活ドットコムは、リクルートキャリアから内定辞退予測について事前に説明を受けていたが、会員にはクッキーの第三者提供の目的を「広告配信」「広告効果測定」と通知していた。
＊ ＊ ＊ ＊ ＊
内定辞退予測スコア
リクルートキャリアが提携企業ごとに独自に算出した、学生の採用選考離脱や内定辞退の可能性を表す数値。前年度の選考離脱、内定辞退者の「リクナビ」サイト内閲覧履歴を踏まえて作成した予測モデルに、今年度「リクナビ」に登録している学生の閲覧履歴を当てはめて点数化していた。0.0から1.0の値や、「High」「Low」などの評価で示され、データの見方は販売先企業によって異なる。
クッキー
特定のサイトを訪問した利用者のＩＤ、パスワード、メールアドレス、サイト内閲覧履歴などのログイン情報を一時的に保存したデータ。ログインの手間を省いたり、サイト運営者が利用者行動を把握し広告に活用したりするために使われる。
＊ ＊ ＊ ＊ ＊
問題になった「リクナビＤＭＰフォロー」のサービスでは2019年3月以降、リクルートキャリアが企業34社から応募者の個人情報を取得。リクナビが保有する会員情報と照合し個人を特定した上で「内定辞退予測スコア」を納品していた。この際、学生約8000人の同意を得ておらず、同社は8月に個人情報保護委員会から是正勧告を受けた。「リクナビＤＭＰフォロー」は同月に廃止されている。
事前に説明受ける
外資就活ドットコムは、会員のクッキーに含まれる閲覧履歴をリクルートキャリアに提供していた。それらの情報が、18年3月以降にリクナビＤＭＰフォローで内定辞退予測に利用される旨の説明も受けていたという。リクルートキャリアの担当者は「外資就活ドットコムとの契約書に基づき、スコア算出の参考情報として取得していた」と明らかにした上で、スコア算出に用いた計算式や、提携先企業への提供方法などは「共有していない」とした。
また、リクナビのプライバシーポリシー（個人情報保護方針）には、外資就活ドットコムを含む「提携サイトから取得した行動履歴等」を独自に分析し、「採用活動補助のための利用企業等への情報提供」に利用するとの記載があった。しかし、外資就活ドットコムは、プライバシーポリシーにクッキーの第三者提供の目的を「広告配信」「広告効果測定」とのみ記載。この文言をもって、会員のクッキーが内定辞退予測に利用されることの承諾を得たとしていた。
「対応問題ない」
塾生新聞の取材に対し、外資就活ドットコムは「プライバシーポリシーの表現が誤解を招きやすいという認識はある。どう修正するかはこれから検討する」と説明不足を認めたものの、「我々としては、広く『広告効果測定』を行うとの記載をもって対応できている」との立場を示した。
外資就活ドットコムは10年にサービスを開始。19年7月末時点で全会員の約14％を慶大生が占め、学生の間では「外就（がいしゅう）」の略称が定着している。サイトでは主に外資系企業や大手日系企業の選考情報を紹介し、利用者は会員登録することで過去の学生の「選考体験記」などを閲覧することができる。
クッキーの法的扱い
氏名や生年月日など個人に関する明確な情報を含まないクッキーは、これまで個人情報保護法の「グレーゾーン」とされてきた。だが近年、人工知能（ＡＩ）の高性能化に伴い、クッキーを他の情報と照合し個人を特定することが容易になりつつある。個人情報保護委は、「クッキー等であっても、会員情報等と紐付けられ特定の個人を識別できるような場合は、個人情報保護法上の個人情報として取り扱われる必要がある」との見解を示している。
リクルートキャリアは19年3月から、リクナビ会員のクッキーと企業から取得したクッキーを照合し、学生を特定していた。同社は外資就活ドットコムから取得していたクッキーも「3月以降、当社の保有するクッキーと突き合わせていた」と認めている。
ただし、問題のクッキーが「個人情報」とみなされたとしても、外資就活ドットコムのプライバシーポリシーに法律上の不備があったとは言い難い。個人情報保護法は、個人情報の第三者提供の際、提供元がその目的を明記することまでは定めていないからだ。外資就活ドットコムは「会員データがこのように利用されていたことは遺憾。ユーザーに申し訳ない」としつつも「学生に分かりやすく許諾を得るのは、リクルートキャリアの責任」と強調する。
個人情報保護法には3年ごとの見直しが盛り込まれており、20年には次の改正が予定されている。クッキーの扱いや個人情報の第三者提供における提供元と提供先の責任について、今回の問題を踏まえてさらなる法改正の議論を進めていくことが求められる。