2026.07.07

【専門家解説】KDDIの1200万人規模情報流出に学ぶ「ゼロデイ攻撃」の脅威とこれからの防衛策

今回のインシデントの概要：何が起きたのか？ まずは、これまでに公表された事実関係を整理してみましょう。 今回の最大の特徴は、KDDI自身の単純な管理ミスというよりも、「ソフトウェアの開発元すら把握していなかったプログラムの不具合（脆弱性）」が悪用された点にあります。 5月中旬から不正アクセスが始まり、6月中旬に被害が確認されるまで、攻撃者は網の目をくぐるように侵入を続けていました。   専門家がみる、今回の事案の2つの盲点　 ■「防御不可能」と言われるゼロデイ攻撃の現実 どれだけ強固なファイアウォールやセキュリティソフトを導入していても、ベンダーから修正プログラム（パッチ）が出回っていない脆弱性を突かれると、侵入を完全に防ぐのは極めて困難です。 今回の事案は、「どれだけセキュリティに投資していても、100%防ぐことは不可能である」という冷徹な現実を改めて証明することとなりました。 ■サプライチェーン（BtoBtoC）に潜む構造的リスク KDDIが構築したISP向けのメールシステムを、複数の大手プロバイダーが共通インフラとして利用する構造になっていました。 インフラの集約・共通化はコストや効率の面で大きなメリットがありますが、ひとたびその「本丸」が破られると、傘下の異なるサービスを利用する数千万人に被害が直撃するという、サプライチェーンリスクの恐ろしさが浮き彫りになりました。   私たち（個人）が今すぐ取るべき「自己防衛」　 今回の事案を受け、該当するプロバイダーの利用者はもちろん、すべてのインターネットユーザーが意識すべき「二次被害防止策」は以下の3点です。 ☑️ パスワードの即時変更と「使い回し」の完全撤廃 漏洩したパスワードがハッシュ化（暗号化）されていたとしても、解析されるリスクはゼロではありません。 特に、他のSNSやネットバンキングで同じパスワードを使い回している場合、芋づる式に不正ログインされる（パスワードリスト攻撃）危険性があります。 ☑️ 二要素認証（2FA）の徹底 万が一パスワードが漏れても、スマートフォンへのワンタイムパスワード通知などの二要素認証を設定していれば、不正アクセスを水際で防ぐことができます。 ☑️ 不審なメール（フィッシング詐欺）への警戒 今後、漏洩したメールアドレス宛てに、本物のサービスを装った詐欺メールやウイルスメールが届く可能性が高まります。 「身に覚えのない通知」や「至急のパスワード変更を求めるリンク」には安易に触れないよう、いつも以上の警戒が必要です。   企業がこれから目指すべきセキュリティの姿　 KDDIは総務省へ再発防止策を報告し、今後は全サーバーへの攻撃検知システムの導入や、さらなる不具合の分析を進めるとしています。 これからの企業セキュリティは、従来の「侵入を防ぐ壁を高くする（境界型防御）」だけでなく、「侵入されることを前提に、いかに早く検知し、被害を最小限に抑えて復旧するか（サイバーレジリエンス）」の視点が不可欠です。 未知の脆弱性に対抗するためには、異変をリアルタイムで察知するログ監視や挙動検知の仕組みが、これまで以上に重要になります。   まとめ　　 「明日は我が身」――今回のインシデントは、決して一企業のセキュリティ怠慢として片付けられるものではありません。 デジタル社会のインフラを支える企業にはより高度な「検知・レジリエンス力」が求められ、私たちユーザー側には「パスワードを使い回さない」という基本の徹底が求められています。 被害の全容が見えてきた今こそ、ご自身のデジタルセキュリティを見直す絶好の機会にしてください。

2026.06.25

【2026年最新】個人情報保護法改正案でビジネスはどう変わる？AI開発・顔認証・課徴金など「4つの激変ポイント」を徹底解説

2026年4月7日、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定し、国会に提出しました。 これは、同年1月に個人情報保護委員会が公表した「3年ごと見直し」の方針を具体化したものです。 すでに衆議院では5月下旬に可決され、現在は参議院での審議が進められている段階（未成立の改正「案」）ですが、 成立すればビジネスのルールがガラリと変わることは確実です。 「まだ先の話」と油断していると、施行時に大慌てすることになります。 今回は、企業のDXやマーケティング担当者が絶対に押さえておくべき「4つの激変ポイント」をどこよりも分かりやすく解説します！   2026年改正案の「4つの柱」何が変わる？ 今回の改正案は、データの利活用を促す「攻め」の側面と、プライバシー侵害を防ぐ「守り」の側面がはっきりと分かれているのが特徴です。 1️⃣   AI開発に追い風！適正なデータ利活用の推進（攻めの緩和） これまでハードルが高かったデータ活用ですが、今回の改正案ではAI開発や統計分析を進めやすくなる見直しが盛り込まれています。 🟪本人同意が不要に？：第三者へのデータ提供や、公開されている要配慮個人情報を取得する場合でも、個人を特定せず「統計作成（AI開発など）」に限って使う場合は、本人同意を求めない扱いが予定されています。 🟪本人の権利を害さない場合：取得の状況から見て、本人の意思に反せず、権利利益を害しないことが明らかな取扱についても、本人同意を不要とする方向です。 ⚠️ 注意！「何でも自由に使える」わけではありません。利用目的の厳格化、安全管理、再提供の制限など、一定の条件をクリアした場面に限定されます。 2️⃣ 「16歳未満」と「顔認証」はガチガチに！規律強化（守りの強化） 特にリスクが高いとされる「子ども」と「生体データ」への監視の目が厳しくなります。 🟪16歳未満のデータ：同意取得や通知の際、原則として「法定代理人（親権者など）」を対象とすることが明文化されます。また、未成年者のデータ取扱いは「本人の最善の利益」を最優先する責務が課されます。 🟪顔認証データ：カメラや本人確認サービス（eKYC）での利用を想定し、取扱事項の周知義務化、利用停止請求の要件緩和、さらにオプトアウト（本人の同意なく第三者提供すること）の禁止が示されています。 3️⃣  メアドや電話番号も対象に？ 不適正利用・名簿流通の防止個人情報そのものではなくても、「特定の個人に連絡や働きかけができる情報」への規制が新設されます。 🟪連絡先情報の悪用禁止：メールアドレスや電話番号単体など、これまでは「個人情報に該当するか微妙」とされていたグレーゾーンの情報であっても、不適正な利用や不正取得が禁止されます。 🟪オプトアウトの身元確認義務化：名簿流通や詐欺的利用を防ぐため、データを第三者に提供する際は、提供先の「身元」や「利用目的」の確認が義務付けられます。 4️⃣  違反したら利益没収！？「課徴金・罰則」による実効性確保 今回、企業にとって最大のインパクトと言えるのが「課徴金制度」の導入です。 🟪儲けた利益は吐き出す仕組み：個人情報の違法な取扱いによって財産上の利益を得た場合、個人情報保護委員会が課徴金の納付を命じることができるようになります。 🟪周辺への飛び火も：違反行為を補助する第三者への要請や、データベース不正提供の罰則強化も盛り込まれています。   改正案のポイントまとめ（早見表)   企業が今すぐ始めるべき「最初の1歩」とは？ この改正案が成立した場合、施行日は「公布の日から2年を超えない範囲」とされています。 具体的な細かい条件は今後の政令やガイドラインで肉付けされますが、施行されてから動いたのでは間に合いません。 今、すべての企業がやるべき対策は「個人情報の棚卸し（データマッピング）」です。   ① 自社がどんな個人情報・データを取得しているか？ ② それは誰に、どうやって提供されているか？ ③ どのような目的（AI開発、マーケティング等）で使っているか？ ④ その中に「16歳未満」「顔認証データ」「メアド・電番」は含まれていないか？   これらを現段階から洗い出しておくことが、新法が施行された際にスムーズに対応できる唯一の近道です。 データ利活用のチャンスが広がる反面、ガバナンスを怠った企業には厳しいペナルティが待っている2026年の法改正。 今のうちに社内のデータ管理体制を見直しておきましょう！

2026.06.30

【専門家解説】アフラック生命438万人個人情報漏洩事件に学ぶ、Webサイトセキュリティの盲点と今すぐ企業が取るべき対策

こんにちは。個人情報保護・情報セキュリティコンサルタントの吉村です。 2026年6月30日、日本の個人情報保護の歴史においても極めて深刻な、超大規模な情報漏洩事案が公表されました。 アフラック生命保険株式会社において、契約者専用サイト「アフラック よりそうネット」等のシステムが第三者によるサイバー攻撃を受け、顧客約438万人分、および代理店約4万店分の個人情報が漏洩したというニュースです。 今回の事案は、被害規模の大きさだけでなく、「複数回の攻撃を許したタイムライン」や「漏洩した情報の性質」など、 企業のセキュリティ担当者や経営層が猛省し、教訓としなければならないポイントが多数含まれています。 本記事では、個人情報保護の専門コンサルタントの視点から、この事件の概要を整理し、構造的な問題点と企業が今取るべき対策について徹底解説します。   1. 事件の概要とタイムライン　 報道および発表資料によると、今回の事件の骨子は以下の通りです。 対象企業： アフラック生命保険株式会社 被害規模： 顧客約438万人、代理店約4万店 漏洩した主な情報： 顧客：氏名、生年月日、性別、住所、電話番号、証券番号、保障内容 一部の顧客（約23万人）：保険料振替口座情報（銀行口座情報） 代理店：代表者氏名、店舗住所、電話番号など ※マイナンバーおよびクレジットカード情報は対象外   発生のタイムライン 🫟 6月15日： 最初のサイバー攻撃（不正アクセス）が発生。以降、25日までに複数回にわたり不正アクセスが継続。 🫟 6月25日： 同社が不正アクセスによる情報漏洩を検知・判明。同日中にアクセスを遮断し、関連システムを一部停止。 🫟 6月30日： 金融庁・警察へ報告の上、公式に事象を発表。   2. 専門コンサルタントが指摘する「3つの問題点」　 今回の漏洩事件において、セキュリティおよび個人情報保護の観点から特に注視すべきは以下の3点です。 ① 「初撃から検知まで10日間」というタイムラグ 最初の不正アクセスが6月15日に発生していたにもかかわらず、システムを遮断したのが6月25日と、約10日間のタイムラグが生じています。 その間、複数回にわたり攻撃が繰り返されていました。 これは、システムのログ監視（EDRやSIEM、SOCの運用）において、異常検知の閾値設定やアラートの精査に課題があった可能性を示唆しています。 高度化するサイバー攻撃を「リアルタイム」で遮断することの難しさ、そして「検知体制の強化」が急務であることを物語っています。 ② 契約者専用サイトという「認証エリア」の脆弱性 攻撃対象となったのは、一般公開されているホームページではなく、ログインを必要とする「契約者専用サイト（アフラック よりそうネット）」などでした。 ここから考えられる手口としては、他所で流出したID・パスワードを悪用する「リスト型アカウントハッキング（パスワードリスト攻撃）」、あるいはWebアプリケーション自体の脆弱性（APIの不備やインジェクション系脆弱性）を突いた攻撃などが推測されます。 いずれにせよ、「ログインの壁」があるからと安心していたエリアが突破された点は非常に重い事実です。 ③ 漏洩情報の「質」による二次被害（フィッシング詐欺）のリスク 幸いにもマイナンバーやクレジットカード情報は含まれていなかったとされていますが、「氏名・生年月日・住所・電話番号」という基本4情報に加え、「証券番号」や「保障内容（保険の種類など）」、さらに一部は「口座番号」まで流出しています。 これだけの情報が揃うと、単なる迷惑メールに留まらず、「アフラックの担当者」を騙った極めて巧妙なフィッシング詐欺や、給付金手続きを装った特殊詐欺（還付金詐欺など）に悪用されるリスクが跳ね上がります。 顧客への二次被害防止のアナウンスが極めて重要になります。   3. 他山の石とせよ！ 企業が今すぐ見直すべき「3つの防壁」　 今回の事件は、アフラック生命という大企業だけの問題ではありません。 顧客のマイページやECサイト、会員組織を持つすべての企業に共通するリスクです。 同様の悲劇を防ぐため、企業は以下の対策を即座に見直すべきです。   対策A：Webアプリケーションと認証の強化（WAF・多要素認証） 会員サイトへの不正アクセスを防ぐ最も有効な手段は、認証プロセスの強化です。 ☑️ 多要素認証（MFA）の必須化： パスワードだけでなく、SMSやアプリによる二段階認証を導入すれば、リスト型攻撃の大部分を防げます。 ☑️ WAF（Web Application Firewall）の導入とチューニング： Webアプリケーションの脆弱性を突く攻撃をネットワークエッジで遮断します。 ☑️ 定期的な脆弱性診断： 年に1〜2回、またはシステム改修時に必ず専門業者によるペネトレーションテスト（擬似攻撃テスト）を行い、未知の脆弱性を潰しておきます。 対策B：検知・早期警戒体制（SOC・ログ監視）の高度化　 攻撃を100%防ぐことは不可能です。だからこそ、「侵入された後にいかに早く気づくか」が被害の規模を左右します。 ☑️ 24時間365日のログ監視（SOCサービスの活用）を導入する。 ☑️ 通常とは異なる大量のデータダウンロードや、不審なIPアドレスからの連続ログインなどの「振る舞い」をAIやシステムで自動検知し、即座にアカウントロックやネットワーク遮断を行う仕組み（レジリエンス）を構築する。   4. データミニマリズムとデータの分離・暗号化　 万が一システムに侵入されても、被害を最小限に抑える構造（データミニマリズム）が必要です。 🔷 顧客の基本情報と、口座情報や契約内容といった機微な情報は、データベース（DB）を分離して管理する。 🔷 重要なデータは必ず暗号化して保存し、万が一ファイルが盗まれても中身が解読できないようにする。   まとめ：セキュリティは「コスト」ではなく「未来への投資」　 今回の438万人という規模の情報漏洩は、企業のブランドイメージや顧客からの信頼を失墜させるだけでなく、今後の対応コスト（お詫び状の発送、コールセンターの設置、システムの改修、個人情報保護委員会への対応など）として、巨額の損失を生み出すことになります。 セキュリティ対策を「コスト（削るべき費用）」と考えている経営層はいまだに少なくありませんが、それは大きな間違いです。 今やセキュリティは「事業継続のための投資」であり、顧客の信頼を守るための最優先事項です。 「うちは大丈夫だろう」という過信を捨て、今一度、自社の会員サイト、委託先の管理体制、ログの監視体制を見直してください。 自社のセキュリティ体制に不安がある、どこから手を付ければいいか分からないという企業様は、ぜひ一度当事務所（コンサルタント）までご相談ください。

2026.05.01

【西日本シティ銀炎上】BeRealに映り込んだ「預金残高」の恐怖。現役銀行員が人生を棒に振るSNSの落とし穴とは？

 はじめに  「今、この瞬間」を切り取るSNS、BeReal（ビーリアル）。 加工なしの日常をシェアする手軽さが人気ですが、その「無防備さ」が、ついに取り返しのつかない事態を引き起こしました。 西日本シティ銀行の行員が、業務中に撮影したとみられる画像をSNSに投稿し、大炎上。 そこには、あってはならない「顧客の個人情報」が写り込んでいました。   今回は、この炎上騒動を「個人情報保護」の観点から深掘りし、なぜ私たちが明日は我が身として警戒すべきなのかを解説します。   1. 事件の概要：何がSNSに流出したのか？ 報道によると、当該の行員は勤務中にスマートフォンを使用し、PC画面や書類などが写り込む形で投稿を行ったとされています。 問題の投稿：顧客の氏名、口座番号、さらには預金残高が見える状態。 プラットフォーム：特定のタイミングで通知が来る「BeReal」などが絡んでいると話題に。 銀行の対応：事実関係を認め、謝罪。厳正な処分を検討中。 銀行員という、最も高い倫理観と守秘義務を求められる職業の人間が、なぜこんな初歩的なミスを犯したのでしょうか？     2. BeRealが抱える「映り込み」の罠 今回の騒動でキーワードとなっているのがBeRealです。 このSNSには、他のアプリにはない「炎上リスク」を高める2つの特徴があります。 ① 「今すぐ撮れ」という強制力 BeRealは1日に1回、ランダムな時間に通知が来ます。 通知から2分以内に投稿しないと「遅刻（Late）」扱いになるため、焦って周囲の状況を確認せずにシャッターを切ってしまう心理が働きます。 ② 前後カメラの同時撮影 BeRealは背面のメインカメラだけでなく、自撮り用のインカメラも同時に撮影されます。 自分を撮っているつもりでも、背後のデスクに置かれた重要書類や、PCモニターに表示された顧客データがバッチリ記録されてしまうのです。     3. 個人情報保護法と「人生へのダメージ」 「悪気はなかった」「つい、うっかり」では済まされないのが個人情報の取り扱いです。 法的責任: 銀行側は個人情報保護法に基づき、漏洩報告や再発防止策を義務付けられます。 民事賠償: 顧客から損害賠償請求をされる可能性もあります。 社会的制裁: 解雇などの懲戒処分だけでなく、デジタルタトゥーとして一生ネットに名前が残るリスクがあります。   ▶️　プロの視点 銀行業務検定などで叩き込まれるはずの「守秘義務」。 しかし、スマートフォンの操作が「呼吸」と同じくらい無意識な動作になった現代では、知識よりも「一瞬の承認欲求」や「日常の切り取り」が勝ってしまう恐れがあるのです。     4. 私たちが学ぶべき「防衛策」 今回の件は、銀行員に限った話ではありません。 リモートワーク中の会社員や、カフェで作業するフリーランスも同様です。 ☑️ 仕事場でのスマホ操作をルーティンから外す ☑️ 投稿前に「文字情報」が写っていないか3秒間チェックする ☑️ そもそも職場に私物スマホを持ち込まない（持ち込ませない）ルールの徹底     終わりに：信頼は一瞬で崩れる 西日本シティ銀行が長年築き上げてきた「信頼」は、たった一人の行員の一枚の投稿によって大きく傷つきました。 「映える」日常を共有することよりも、目の前の「守るべき情報」を優先する。 SNS時代を生きる私たちにとって、今一度デジタル・リテラシーをアップデートする必要がありそうです。   あなたのスマホ、 そのレンズの先に「映ってはいけないもの」はありませんか？ （免責事項） 本記事は報道された事実に基づき、一般的なSNSのリスク管理を啓蒙する目的で作成しています。 個別の事案の詳細については、公式サイト等の発表をご確認ください。

2025.12.28

タレントプールは危険？個人情報保護の観点から見る課題と企業が取るべき対策

はじめに 近年、採用活動の高度化や人材不足への対応策として「タレントプール」を導入する企業が増えています。 タレントプールとは、過去の応募者や将来採用したい人材の情報を蓄積し、継続的に関係を構築する仕組みです。 一方で、この仕組みは個人情報保護の観点からさまざまなリスクをはらんでいます。 本記事では、タレントプールが抱える個人情報保護上の問題点と、企業が取るべき対策について詳しく解説します。 タレントプールとは何か タレントプールには、氏名、連絡先、職歴、学歴、スキル、評価結果など、個人情報および要配慮に近い情報が含まれるケースもあります。 採用に直結する有用なデータである反面、管理を誤ると法令違反や企業イメージの低下につながる可能性があります。   個人情報保護の観点での主な問題点 1. 利用目的の不明確さ 個人情報保護法では、利用目的をできる限り特定し、本人に明示することが求められています。 しかしタレントプールでは「将来の採用のため」といった抽象的な目的にとどまりがちです。 利用範囲が曖昧なまま情報を保有すると、目的外利用と判断されるリスクがあります。 2. 本人同意の不十分さ 不採用となった応募者の情報をタレントプールに登録する場合、明確な同意取得が不可欠です。 採用応募時の同意文に十分な説明がない場合、本人の認識と企業の運用にズレが生じ、トラブルに発展する可能性があります。 3. 長期間の情報保管リスク タレントプールでは「いつか使うかもしれない」という理由で、情報を半永久的に保管してしまう傾向があります。 しかし、保有期間の合理性が説明できない場合、過剰保管とみなされ、個人情報保護の原則に反する恐れがあります。 4. セキュリティ対策不足 タレントプールはクラウド型システムで管理されることが多く、不正アクセスや情報漏えいのリスクも無視できません。 万が一漏えいが発生した場合、企業の社会的信用は大きく損なわれます。 5. 社内での不適切な共有 人事部門以外の社員がタレントプールへ容易にアクセスできる状態は、内部不正や目的外閲覧の温床となります。 アクセス権限管理が不十分なケースも多く見受けられます。   企業が取るべき対策 ☑️ 利用目的を具体的かつ明確に定義し、応募者へ分かりやすく説明する。 ☑️ タレントプール登録に関する明示的な同意を取得する ☑️ 保有期間を定め、定期的に情報の見直し・削除を行う ☑️ 技術的・組織的な安全管理措置を講じる ☑️ アクセス権限を最小限に限定し、ログ管理を徹底する   まとめ タレントプールは採用力強化に有効な手段である一方、個人情報保護の観点では多くの課題を抱えています。 法令遵守はもちろん、「応募者の信頼を守る」という視点を持った運用が不可欠です。 適切な管理体制を構築することで、タレントプールは企業と個人双方にとって価値ある仕組みとなるでしょう。

2025.10.29

リファレンスチェックで押さえるべき“適法／違法”の線 — 個人情報保護法＆プライバシーマーク対応ガイド

採用活動において、候補者の前職知見を取り入れる「リファレンスチェック（ Reference Check ）」は、企業にとってミスマッチ防止や人材の定着性を高める有効な手段です。 一方で、個人情報の保護に関する法律（以下「個人情報保護法」）や、日本情報経済社会推進協会（JIPDEC）推進の プライバシーマーク制度といった個人情報管理規範に触れるリスクもあります。 今回は、リファレンスチェックが適法となる具体例・運用ポイントと、違法リスクとなる典型ケースを、実務の視点から整理します。   1. リファレンスチェックとは何か 「リファレンスチェック」とは、採用候補者（転職希望者等）が過去在籍していた勤務先等の上司・同僚・部下など（あるいは外部の紹介者）から、職務内容・実績・人柄・在籍状況などを聞き取ることで、応募書類・面接では掴みきれない情報を補完するものです。 この手法自体は日本法上「原則禁止」とされているわけではなく、実務上も一定の活用が進んでいます。 ただし、「どのように」「何を」「どのタイミングで」行うかによって、 適法／違法の分かれ目となるポイントがあるため、注意が不可欠です。   2. 適法に行うためのポイント（具体例） （1）候補者本人からの「同意取得」 リファレンスチェックで取得する情報は、応募者本人だけでなく、元勤務先の上司・同僚（＝第三者）から得る情報も含まれ、個人情報保護法上の「個人データ」に該当する可能性があります。 そのため、候補者本人に対して「リファレンスチェックを実施する可能性」「誰に」「どのような内容を聞取るか」「利用目的」を事前に説明し、書面または記録で同意を得ておく運用が推奨されます。 （2）利用目的の明確化・通知 個人情報保護法では、個人情報を取得する際に「利用目的」を明示し、またその目的の範囲内で取り扱うことが求められます。 リファレンスチェックにおいても、「本採用に際しての適性確認」「職務経歴の整合性確認」など、目的を明確にし、それを候補者に通知（または公表）しておくべきです。 （3）適切なタイミングで実施 内定を出した後にリファレンスチェックを行い、その結果を理由に内定を取り消すと、雇用契約の成立後の解約・解雇に関わるリスクが生じる可能性があります。 よって、できれば「最終面接前」や「内定提示前」に実施し、かつ内定後に行うなら、取り消し理由に客観的合理性・社会的相当性を確保する必要があります。 （4）取り扱い・管理の安全確保 取得した情報は、採用判断以外の目的に流用せず、必要なくなったら速やかに消去・または匿名化等を行うことが求められます。 個人情報保護法19条・20条が安全管理措置・消去義務を定めています。 また、プライバシーマーク取得企業であれば、「個人情報の漏えい防止」「アクセス管理」「ログの保存」等の運用規定に沿った形で扱う必要があります。   3. 違法・リスクが高まるケース（具体例） 以下は、実務上特に注意すべき「リファレンスチェックが違法またはリスクの高い運用」とされる典型例です。   （1）候補者の「同意なし」で実施 候補者の同意を得ずに、元勤務先の上司や同僚へ無断で問い合わせを行った場合、個人情報保護法23条の「第三者提供の制限」に抵触する可能性があります。 例：応募者が知らないうちに、前職の上司に電話して人柄や退職理由を聞いていた。 ▶️ 適切な同意手続きがなければ違法と判断される可能性があります。   （2）差別・プライバシー侵害につながる質問内容 例えば、宗教・思想信条・出身地・家族構成・健康状態（病歴）・前科など、採用選考の適性・能力に関わらない事項をリファレンスで尋ねることは、差別的取扱いやプライバシー侵害の観点から問題となる可能性があります。 例：前職の上司に「ご本人は宗教法人に所属していますか？」「家庭が大変だから勤続できないと思いますか？」といった質問をする。 ▶️ これは採用差別禁止規定や公正な採用選考の基本に反する可能性があります。   （3）目的外利用や不要な保管・漏えい 取得したリファレンス情報を、採用判断以外（例えば営業目的、人材紹介目的など）に使ったり、採用決定後も長期間保管し続けたり、関係のない人がアクセスできる状態にしていたりすると、個人情報保護法に基づく安全管理義務違反となる可能性があります。 例：採用後5年経ってもリファレンスの音声録音データを消去せず放置していた。 ▶️ 消去義務違反として指摘されるリスクあり。   （4）内定後のリファレンスチェックを理由とした内定取消し 内定後に実施したリファレンスチェックの結果を根拠として、合理的な理由なしに内定を取り消すと、労働契約法等による解雇の濫用として無効となるリスクがあります。 例：内定提示後に「リファレンス先がちょっと評判悪かったので」だけで内定を取り消した。 ▶️ 十分な事由がなければ違法となる可能性が高いです。   4. プライバシーマーク（ＰＭＳ）運用視点での注意点 プライバシーマーク制度とは、JIPDECが個人情報を適切に取り扱っている事業者を認定する制度です。リファレンスチェックを実施する企業がＰマークを取得している場合、以下のような運用観点が重要となります。 個人情報保護方針・社内規程で「採用活動における個人情報の取得・利用・提供」のルールを明記しておく リファレンスチェックを行う際には、同意取得プロセスを標準化（候補者向け説明書・同意書テンプレート） 外部委託（リファレンスチェック会社を利用する場合）時には、委託先との契約にて「安全管理措置」「目的外利用禁止」「再委託制限」などを明確に定める 情報取得・管理・消去の実務フローを整備し、ログ記録／アクセス制御／期限管理を実施 定期的に社内監査・教育を実施し、万一の情報漏えいやクレーム発生時に対応できる体制を構築 このような運用を通じて、リファレンスチェックを行いながらも、Ｐマークの要求水準をクリアし、安心して採用活動を進めることができます。   5. 実務チェックリスト（導入・運用時） 採用担当者がすぐ活用できるチェックリストを以下にまとめます。 ✅ 候補者にリファレンスチェック実施の可能性を事前説明し、同意を取得しているか？ ✅ 同意内容（誰に・どのような質問を・どの目的で）を明文化・記録しているか？ ✅ 質問内容が、能力・適性・職務遂行能力に関連のある項目か、差別・プライバシー侵害となる項目を含んでいないか？ ✅ リファレンス先に対して、紹介された候補者の同意がある旨を確認・説明しているか？ ✅ 情報を採用選考目的以外で利用しておらず、不要となった情報を速やかに消去・匿名化しているか？ ✅ 情報を管理する体制（アクセス制御、ログ、保存期限等）を整備しているか？ ✅ 内定後にリファレンス結果を利用する場合、内定取り消し等の判断にあたって「合理的な理由・根拠」が整理されているか？ ✅ 外部委託先（リファレンスチェック代行業者）を利用している場合、契約で安全管理措置・守秘義務等を定めているか？   6. まとめ リファレンスチェックそのものは違法ではありませんが、個人情報保護法やプライバシーマーク運用の観点から「同意取得」「目的明示」「質問内容の適切性」「情報管理」「タイミング」のいずれかを誤ると、違法・リスクの高い運用となります。採用活動においては、「適法なリファレンスチェックの仕組み」を前提に設計・運用することが重要です。 採用選考プロセスにおけるリスクを最小限にしつつ、候補者の職務適合性を高めるためのツールとして、リファレンスチェックを活用するための運用整備をぜひ進めてください。