SKE48の松村香織さんが過去にアルバイトとして働いていたメイドカフェが2月上旬、松村さんが当時履歴書に書いた内容の一部をツイッターに投稿していた問題で、松村さんは2月28日、ツイッターを更新し、「弁護士の先生にご対応をお任せする事にしました」と法的措置を検討していることを明らかにした。
店は履歴書に記載されていた志望動機やバイト歴、好きなアニメ作品などを投稿。この行為に対して、松村さんはツイッターで、「圧倒的なルール違反をしているの凄すぎる。当時の家の住所など色んな個人情報を未だに保有されていると思うと、気持ち悪いし怖いです」と憤りを表明していた。
これに対し、店はツイッターで「文句を言うのは自由だけど、何も悪いことをしていないし、法律にも違反していないよ」と責任を否定していた。
弁護士ドットコムニュースでは、プライバシー侵害の観点から、法的に問題があることを指摘したが、この問題でもう1つの論点となっていたのは、個人情報保護だ。
個人情報保護の観点からどう考えればいいのか。影島広泰弁護士に聞いた。
●履歴書の記載内容は法的な「個人情報」にあたるのか
そもそも、履歴書の記載内容（例えば、今回のような過去のアルバイト歴、志望動機、趣味など）はそれ自体が個人情報にあたるのか。
「個人情報にあたります。
個人情報保護法では、『生存する個人に関する情報』であって『特定の個人を識別することができるもの』は個人情報にあたるとされています。そして、個人情報保護委員会が公表しているQ&Aによれば、『特定の個人を識別すること』ができるかどうかは、一般人を基準として、『生存する具体的な人物と情報との間に同一性を認めるに至ることができる』かどうかで判断するとされています。
今回の投稿は、過去のアルバイト歴や応募理由などが、ハッシュタグ『#SKE48』『#松村香織』とともに投稿されていますので、一般人がこれらの投稿を見れば、『SKE48の松村香織さん』という生存する具体的な人物と、その投稿とが、同一の人物のものである判断できます。 したがって、個人情報にあたることになります。
なお、仮にハッシュタグなどに氏名が記載されていなくても、その投稿を見た一般人が、松村香織さんの情報だと判断できれば、個人情報にあたることには注意が必要です」
●退職した従業員の採用情報を持ち続けることの問題
それでは、今回の行為は、違反行為にあたるのか。
「今回の事件では、
（1）そもそも、なぜ退職した従業員の採用情報を今も持ち続けているのかという点と、 （2）採用情報をTwitterに投稿したこと
の2点が大きな問題となります」
まず、退職した従業員の採用情報を持ち続けていたことに問題はないのか。
「個人情報保護法では、2017年5月の改正で、利用する必要がなくなった個人データを遅滞なく消去する努力義務が設けられました（個人情報保護法19条）。
ここで『個人データ』という言葉が出てきましたが、これは、個人情報を検索できるように整理したものであるとお考えください。おそらく、採用の際の情報は、個人ごとにまとめて容易に検索できるように整理してあったと思われますので、今回投稿した情報は『個人データ』に該当するでしょう。
そうすると、今回のメイドカフェがこの努力義務を果たしていたのかが問題となります。
従業員が退職した時点で、採用の際の情報は通常の業務にとって必要なくなるでしょう。他方、労働基準法109条により『労働関係に関する重要な書類』は3年間保存する義務があるとされていますので、履歴書も退職後3年間は法律上の保存義務があると考えられています。
以上をあわせて考えれば、退職から3年が経過したところで、業務にとっては不要になっており、かつ法律上の保存義務もなくなっていますので、削除の努力義務が発生していることになります。
もっとも、これは努力義務に過ぎませんので、消去していなかったからといって直ちに個人情報保護法に違反しているということにはなりません。
しかし、今回のケースは、別の法律に違反している疑いがあります。職業安定法です。
職業安定法は、『労働者の募集を行う者』は、『求職者等の個人情報』について、『収集し、保管し、又は使用するに当たつては、その業務の目的の達成に必要な範囲内で求職者等の個人情報を収集し、並びに当該収集の目的の範囲内でこれを保管し、及び使用しなければならない』とされています（職業安定法5条の4）。
そして、この点についての運用基準を定めている厚生労働省の職業安定法指針（https://www.mhlw.go.jp/file/06-Seisakujouhou-11600000-Shokugyouanteikyoku/0000180307.pdf）では、労働者の募集を行う者などは『収集目的に照らして保管する必要がなくなった個人情報を破棄又は削除するための措置』を講じなければならないとしています。
おそらく、今回のメイドカフェは、退職して必要がなくなったアルバイト従業員の履歴書等を破棄するための措置を講じていなかったと考えられますので、職業安定法5条の4に違反していた疑いがあります」
●同意のない個人データの提供は原則として禁止
では次に、保持していた情報をツイッターに公表した点については、どう考えればいいのか。
「個人情報保護法では、事前に本人の同意を得なければ、個人データを第三者提供することは原則として禁止されています。ツイッターにつぶやくことは第三者提供に該当しますので、本人の同意なくつぶやくことは個人情報保護法に違反します。
なお、この点について、店側は、芸能人だからプライバシーがないと反論しているようですが、これは二重の意味で間違っています。まず、芸能人でもプライバシー権はあります。芸能活動とは関係のない昔のアルバイトの際の情報は、プライバシー権の対象となるでしょう。
また、仮にプライバシーにあたらない情報だとしても、個人情報保護法では第三者提供する際には本人の同意が必要となります。第三者提供する際に同意が必要となる個人データには、非公開・公開の区別などがないためです。
さらに、個人情報は、本人に通知等した利用目的の範囲内で利用しなければなりません。そして、第三者提供する場合には、それを利用目的に含めておかなければならないとされています。したがって、今回のつぶやきは、個人情報を目的外で利用していることにもなります。
また、職業安定法は、『労働者の募集を行う者』は、『正当な理由なく、その業務上取り扱つたことについて知り得た人の秘密を漏らしてはならない』としています（職業安定法51条）。したがって、ツイッターに採用時に知った情報をつぶやいて公表することは、この職業安定法の義務に違反している可能性が高いと考えられます」
●罰則を考える際に直面する「不正な利益」とは
違反した場合、罰則はあるのか。
「まず、職業委安定法の秘密を守る義務（51条1項）に違反する行為については、30万円以下の罰金刑の対象となります。
また、職業安定法違反については、厚生労働省の勧告・命令の対象となります。命令に違反すると罰則があります
個人情報保護法では、その業務に関して取り扱った個人データ（正確には「個人情報データベース等（その全部又は一部を複製し、又は加工したものを含む）」）を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、1年以下の懲役又は50万円以下の罰金に処するとされています（個人情報データベース提供罪）。
ここでいう『不正な利益』とは何かが問題となります。名簿業者に顧客リストを売却して金銭を得たようなケースであれば『不正な利益』を得ていることは明らかですが、今回は経済的な利益を直接受けているわけではないからです。
この点を判断した裁判例はありませんので、『利益』とは何を意味するのかは今後の裁判例の蓄積を待つしかありません。しかし、大正時代から、背任罪（刑法247条）の『自己若しくは第三者の利益を図り又は本人に損害を加える目的で』について、『利益』とは、自己の社会的地位、信用、面目、経営権等を保全・維持することなどの身分上の『利益』等、全ての『利益』が含まれるとされています（大判大3・10・16）。
それを考えると、個人情報保護法の『不正な利益』についても、直接の経済的利益ではなく、社会的地位や面目を確保するといったことも『利益』にあたると解釈される可能もあります。 したがって、今回のツイートのような行為も、個人情報保護法の罰則の適用がある可能性があるといえます。
また、個人情報護法に違反して第三者提供と利用を行っていれば、個人情報保護委員会からの勧告・命令の対象になり得ます。命令に違反した場合には、罰則があります」
