リクナビ事案について

(note.comに書いたものの転載です。)

リクナビを運営するリクルートキャリアが、就活学生のデータ等から内定辞退率を予測して、38社に有償で提供していました（サービス名はDMPフォロー）。このデータ提供について、以下のようなさまざまな問題点が指摘されています。

  1. 同意取得方法に問題があった。 　- 包括的な目的の提示ではなく具体的な利用目的が必要であった。 　- プライバシーポリシーが個人で理解できるようなものではなかった。 　- 同意せざるを得ない状況で同意を強要されていたとも考えられる（優越的地位の乱用）。
  2. 委託先、委託元の関係に問題があった。 　- 個人データの流れと、責任関係の問題
  3. 個人データの連結に問題があった。
  4. 内定辞退率という指標の問題 　- 根拠、説明可能性と個人の不利益 　- 機械的判断の問題
  5. 職業安定法上の問題

以下では、このリクナビ事案について、プレイヤーとデータの流れについて整理をおこないます。トリッキーなことが多いわりに、報道から得られる情報が不十分なのであまり整理できていませんが。

用語

経緯

個人情報保護委員会は7月にDMPフォローにういてリクナビに聞き取りをおこない、「利用規約が学生に伝わりにくい」などを指摘しました。それを受けて7月末でDMPフォローのサービスは一時中止されました。

この件が報道された時点では、リクルートキャリアは学生から同意が取れているので問題はないとしていましたが、詳細が明らかになる過程で専門家や学生などから批判を受け、また、7,983名の学生からは同意が取れていなかったことが明らかになり、8月にサービスは廃止になりました。

リクナビについて リクナビの機能は大きく2つに分けられると思います。(1) 就職情報ポータルと、(2) 各企業の選考プロセスの実施、です。プライバシーポリシーが登録時と選考時の2種類あるということは、(2)の選考については、各企業が選考プロセスの一部をリクナビのSaaS機能に委託しているということではないかと考えられます。

各企業の選考が委託であるなら、コントローラーは各企業でプロセッサーはリクナビになります。就職情報ポータルはコントローラー、プロセッサーともにリクナビです。

DMPフォロー

今回問題になったDMPフォローが個人情報の取り扱いに問題がありました。以下では、報道の内容からサービスとデータの流れを整理します。

DMPフォローは、各企業への応募者が辞退する可能性（内定後、選考中）の予測を提供するサービスです。予測は5段階で示していたということです。1年あたり400万〜500万円の業務委託契約ということです。

予測は個々の応募者の選考には利用していないとリクナビと各社は説明しています。辞退の可能性が高い応募者のフォローアップや、入社にいたる内定者数の予測から選考計画の立て直しに利用するということでしょう。

DMPフォローのフローは以下の通りです。

(1) 事前作業

　①　選考情報の送付　 　　企業は、前年度応募者（内定者、辞退者、不合格者）の情報（個人ID、選考結果、学歴など）をリクナビに送付します。

　②　IDメールの作成 　　リクナビは、選考情報を元に、個人IDつきURLの入った案内メール（IDメール）を作成して、顧客に渡します。IDメールの内容は不明です。

　③　IDメール送付　 　　企業は応募者にIDメールを送付します。

　④　 URLへのアクセス（学生） 　　学生がURLにアクセスすることによって、リクナビは個人IDとDMPで用いられるcookieを紐づけて入手することができます。

(2) 予測モデルの作成

　データ分析をおこなったのはリクルートコミュニケーションズです。企業からの委託事業であるDMPフォローにおいて、リクナビとリクルートコミュニケーションズの関係は不明です。リクルートコミュニケーションズはOracle DMPを導入してサードパーティを含む行動ログを蓄積していると思われます。

　データ分析の手順は以下の通りです。

　①　個人IDとDMP行動ログの連結

　　応募者のアクセスによって得た個人IDとcookieから、リクナビ内の行動履歴、DMP内に蓄積されている行動ログをひもづけて、連結データを作成します。このデータには内定辞退したかどうかのデータも含まれています。

　②　 内定辞退の可能性の予測モデルの作成

　連結データから、応募者の内定辞退を予測する行動モデルを作成します。内定辞退可能性が5段階でラベルできるようなモデルです。

(3) 内定辞退の予測

　作成した予測モデルと、当該年度のデータを用いて、個々の学生の内定辞退可能性を予測して、企業に提供します。

問題点と疑問

リクナビ事案の問題点は先の説明の通りですが、同意の不備や職業安定法関連以外の技術に近いところをいくつか考察します。

(1) 個人情報の取得方法

　本件では、委託先のDMP行動ログとの連結を目的として、個人情報を含むURLへのアクセスを内容としたメールの送付を、委託先（リクナビ）が委託元（各企業）にうながしています。委託元（各企業）からメールを送っている点で、リクナビはこの方法に問題があることを理解しているものと思います。この方法によって、リクナビに登録のない各企業への応募者のデータを取得することができます。

(2) 委託の問題（企業、リクナビ、リクルートコミュニケーションズ）

　予測モデルの作成はリクルートコミュニケーションズが行っています。リクルートグループには横断データ基盤があるようですが、個人情報の第三者提供または共同利用をおこなう場合、グループ会社であっても同意時に明記が必要です。

(3) データと予測の制度

　各企業から委託された個人データは、それぞれの企業の内定辞退予測のためだけに用いられたのかどうか。 　合法に委託されたデータだけを用いているなら、たかだか数百人の内定者（単年度）から、内定辞退率は十分な予測精度が得られたのでしょうか。たとえ、実験、研究であったとしても、委託先が集めた個人データを連結することは違法です。

参考

プレスリリース等

新聞

ニュースサイト

ブログ

ツイッター

#個人情報