人材紹介の個人情報漏洩を防ぐチェックリスト10項目｜タイムズカーの事例から今日見直す

初めまして。株式会社Jinouの三輪です。グループ会社の人材紹介の現場で実際に使っているAIの活用方法を紹介するシリーズ、今回は少し毛色を変えて、求職者の情報の守り方の話です。

最近、個人情報の漏えいのニュースが本当に多いですよね。AIの記事ばかり書いてきましたが、AIを安心して使うためにも、まずは足元の「情報の扱い方」を見直しておきたい。そう思って、この記事を書きました。

今回は、いつもの"人間用"と"AI用"の2部構成ではなく、情報提供の記事として書きました。最近のニュースと、今日から見直せる10項目をまとめています。10項目をそのまま使えるチェックシートも付けているので、社内で共有して使ってみてください。

求職者の情報の扱いを、10項目で見直す

最近、情報漏えいのニュースが続いています

2026年9月、カーシェアリングの「タイムズカー」のWebシステムが不正アクセスを受け、最大で約660万件のアカウントの情報が漏えいしたと発表されました。そのうち約160万件は、運転免許証の画像などの本人確認書類です。報道によると、過去7年間に退会した会員の情報も含まれていました。

実は、僕のところにもタイムズカーから、漏えいについての案内メールが届きました。そう、僕も漏れた側です（笑）。ニュースで見ていた話が、急に自分ごとになりました。

タイムズカーだけではありません。今年は、人材や採用に関わるサービスでも、漏えいの発表が続いています。

• 人材サービスのマイナビは、業務で使っている外部のクラウドサービスが不正アクセスを受け、一般ユーザーや取引先担当者など、合計約11万件の個人情報が流出した可能性があると発表しました（2026年3月の第3報）。転職サイトなどのサービス本体ではなく、業務用のクラウドが入り口でした。
• 採用管理のサービスを提供するApplyNowでは、サービスで使っていたデータ分析ツールの弱点を突かれ、応募者の情報などが漏えいした可能性があると発表されました（2026年9月）。このサービスを使っていた企業も、それぞれ応募者に知らせる対応に追われています。
• 求人サイト「バイトル」を運営するディップは、サイトの一部機能の不備を突かれ、会員のメールアドレスが最大で約388万件漏えいしたおそれがあると発表しました（2026年10月）。
• 人材関連のKaizen Tech Agentでは、元従業員が業務で持っていたアクセス権限を使って社内の情報をダウンロードし、社外に持ち出した可能性があると発表されました（2026年6月）。報道によると、対象には連絡先や勤務先に加えて、面談の記録も含まれていたとされています。

東京商工リサーチの調べでは、上場企業とその子会社が発表した100万件以上の個人情報の漏えいは、2026年は10月5日時点ですでに10件。2025年の1年間の6件を、すでに上回っています。

※各社の発表や報道の内容は、2026年10月14日時点のものです。出典は記事の最後にまとめています。

人材紹介会社が持っている情報は、もっと中身が濃い

ここで考えてほしいのが、僕たち人材紹介会社が持っている情報です。

氏名や連絡先だけではありません。職歴、今の年収、転職したい理由、家族の事情、ときには体調のこと。面談の記録や録音には、本人がほかの人にはあまり話さないような話まで残っています。

上のKaizen Tech Agentの件のように、面談の記録が対象になったケースもあります。求職者の人生に関わる、とても大事な情報を預かっている。まずはそこを、あらためて意識しておきたいところです。

脅かしたいわけではありません。押さえるところを押さえれば、必要以上に怖がることはありません。今日から見直せる10項目を紹介します。

考え方は3つだけ：「持たない」「散らばらせない」「持ち出させない」

10項目と聞くと多く感じるかもしれませんが、考え方はシンプルです。

• 持たない：いらなくなった情報は、持ち続けない。持っていない情報は、漏れようがありません。
• 散らばらせない：情報の置き場所を決めて、あちこちに散らばらせない。どこにあるか分からない情報は、守れません。
• 持ち出させない：見られる人を絞り、辞めた人が使えない状態にする。

タイムズカーの件で退会した会員の情報まで含まれていたのは、「持たない」の大切さを表しています。マイナビやApplyNowの件は、使っているツールまで含めて「どこに置いているか」を把握する大切さ。Kaizen Tech Agentの件は、「持ち出させない」の大切さです。

これに「もしものとき」の備えを1つ足して、10項目にしました。

今日見直す10項目

それぞれ、「なぜ大事か」と「今日やること」をまとめています。

【持たない】

① 本人確認書類のコピーを、必要以上に保管していないか

本人確認書類（運転免許証の画像など）は、悪用されたときの被害が大きい情報です。確認が終わったら、本当に保管し続ける必要があるかを見直しましょう。

今日やること：本人確認書類の画像がどこに、どれくらい残っているかを確認する。必要がないものは消す。

② 不要になった履歴書・職務経歴書を、いつ消すか決まっているか

選考が終わった人、何年も連絡を取っていない人の履歴書が、ずっと残っていませんか。職業安定法の指針でも、目的に照らして不要になった個人情報は、破棄・削除することが求められています。

ただし、何でも消せばいいわけではありません。有料職業紹介事業者は、求人求職管理簿などの帳簿を決められた期間保存する義務があります。消すのは書類のファイルなどで、帳簿に載せる事項は残す、と分けて考えましょう。

今日やること：「どの書類を、どうなったら、いつ消すか」を社内で決める。

③ 面談の録音を、ずっと残していないか

面談の録音は、記録の中でも一番中身が濃いものです。文字起こしやまとめができたあとも、録音をそのまま残し続ける必要があるかを考えましょう。

今日やること：録音がどこに保存されているか、何か月分残っているかを確認する。

【散らばらせない】

④ 求職者の情報が、あちこちに散らばっていないか

メールの添付ファイル、個人のGoogleドライブ、LINE、パソコンのデスクトップ。気づくと、同じ人の履歴書が何か所にもあったりします。散らばっているほど、消し忘れも、漏れたときに把握するのも難しくなります。

今日やること：求職者の書類を置く場所を1か所に決めて、ほかの場所にあるものを移す。

⑤ 「リンクを知っている人は誰でも見られる」共有が残っていないか

GoogleドライブやDropboxなどで、リンクさえあれば誰でも開ける設定のまま、求職者の書類を共有していませんか。メールが転送されたり、リンクが別の人に渡ったりすると、誰でも見られる状態になります。

今日やること：求職者の書類が入ったフォルダの共有設定を開き、「リンクを知っている全員」になっていないか確認する。

⑥ 使っているツールやAIに、何を渡しているか把握しているか

マイナビやApplyNowの件のように、入り口になるのは自社のシステムだけではありません。業務で使っているクラウドサービス、採用管理ツール、AIなども含めて、「どのツールに、求職者のどんな情報を入れているか」を把握しておきましょう。

AIについては、個人情報保護委員会も、個人情報を入力するときは利用目的の範囲内かを確認すること、入力した情報がAIの学習に使われないことを十分に確認することを呼びかけています。AIの設定の具体的な確認方法は、次の記事で詳しく書きます。

今日やること：求職者の情報を入れているツールを書き出す。AIは、学習に使わない設定になっているかを確認する。

【持ち出させない】

⑦ 辞めたメンバーのアカウントを、その日のうちに止めているか

Kaizen Tech Agentの件のように、辞めた人や辞める前の人が持っている権限は、大きなリスクになります。退職日にアカウントを止めるのが基本です。CRM、メール、クラウドストレージ、circusなどの外部サービス、AIのアカウントまで、止めるものを一覧にしておきましょう。

今日やること：退職のときに止めるアカウントの一覧を作る。今、辞めた人のアカウントが残っていないかも確認する。

⑧ メンバーごとに、見られる情報の範囲を分けているか

全員が全部の求職者の情報を見られる、ダウンロードできる状態になっていませんか。担当外の情報や、まとめてダウンロードする機能は、必要な人だけに絞りましょう。

今日やること：CRMやクラウドストレージで、誰が何を見られるか（権限）を確認する。

⑨ 共有アカウントを使っていないか。二段階認証は入っているか

みんなで同じIDとパスワードを使っていると、誰がいつ何をしたか分からず、辞めた人も入れてしまいます。また、パスワードだけのログインは、使い回しなどから乗っ取られる危険があります。

今日やること：共有アカウントをやめて、一人ひとりのアカウントにする。メールやクラウドストレージ、CRMで二段階認証をオンにする。

【もしものとき】

⑩ 漏れたかもしれないときに、誰が・何を・どこへ報告するか決まっているか

どれだけ気をつけても、ゼロにはできません。だからこそ、起きたときの動き方を先に決めておきます。

個人情報保護法では、次のような漏えい（漏えいの「おそれ」を含む）は、個人情報保護委員会への報告と、本人への通知が義務になります。

• 病歴など「要配慮個人情報」が含まれるとき（1件でも対象になりえます）
• クレジットカード番号など、お金の被害につながるおそれがあるとき
• 不正アクセスや、従業員による持ち出しなど、不正な目的によるおそれがあるとき
• 対象の人数が1,000人を超えるとき

報告は、知ったあと速やかに（目安は3〜5日以内）速報を出し、30日以内（不正な目的によるものは60日以内）に確報を出します。面談の記録に体調の話が書かれていることもある人材紹介では、他人事ではありません。

なお、個人情報保護法は2026年7月に改正法が成立していますが、まだ施行前です。ここでは今のルールを書いています。実際に自社の件が報告の対象になるかは、個人情報保護委員会や専門家に確認してください。

今日やること：「漏れたかも」と気づいたときに、最初に誰に知らせるか、誰が判断するかを決めて、社内で共有する。

全部を一度にやらなくていい

10項目を全部いきなりやろうとすると、しんどいですよね。まず手を付けるなら、次の3つがおすすめです。

• ① 本人確認書類の保管を見直す（持っていなければ漏れない）
• ⑦ 辞めたメンバーのアカウントを止める（すぐできて効果が大きい）
• ⑩ もしものときの連絡の流れを決める（起きてからでは遅い）

この記事には、10項目をそのまま使えるチェックシートを付けています。今の状況と、誰がいつまでにやるかを書き込めるようにしているので、社内で共有して使ってみてください。

この先の2本について

この記事は、セキュリティの話の1本目です。続けて、次の2本も書く予定です。

• AIに求職者の情報を渡すときのルール：学習に使わない設定の確認、名前を伏せて渡す方法など。
• 消し忘れを自動でなくす仕組み：保存期限を過ぎたファイルを、Googleドライブで自動で知らせる方法。

この記事のまとめ

最後に、この記事の内容を振り返っておきます。

人材紹介会社は、求職者の人生に関わる、中身の濃い情報を預かっています。 最近の漏えいのニュースを見ても、入り口は外部からの不正アクセス、使っているツール、辞めた人による持ち出しと、さまざまです。

考え方は、「持たない」「散らばらせない」「持ち出させない」の3つ。そこに「もしものとき」の備えを足した10項目で、自社の状況を見直してみてください。まず手を付けるなら、本人確認書類の保管の見直し、辞めたメンバーのアカウント停止、もしものときの連絡の流れの3つです。

情報の扱いが整っていれば、AIも安心して使えます。次の記事では、AIに求職者の情報を渡すときのルールを書きます。

求職者の情報と面談の記録を、まとめて管理したい方へ

この記事の「散らばらせない」で書いたとおり、求職者の情報があちこちにあると、守るのも消すのも難しくなります。

弊社で開発している「キャリアドCRM」は、人材紹介会社のためのCRMです。求職者の経歴や希望条件といった情報や、面談の記録を一か所で管理できます。面談については、録音した音声は保存せず、文字起こしとまとめだけを残す設計にしています。

なお、キャリアドCRMは、履歴書や職務経歴書のファイルを保管しておく場所ではありません。書類のファイルはGoogleドライブなど決めた場所にまとめ、求職者の情報や面談の記録はキャリアドCRMで管理する、という使い分けになります。

もちろん、CRMを入れれば安心、というわけではありません。この記事の10項目は、どんなツールを使っていても大事なことです。そのうえで、求職者の情報や面談の記録をまとめて管理したいと考えている方は、検討してみてください。

キャリアドCRMの詳細を見る

出典（2026年10月14日に確認）

• タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）｜パーク24
• タイムズカー、会員情報流出 660万件、不正アクセスで｜時事ドットコム
• マイナビが利用するクラウドサービスへの不正アクセス、一般ユーザー74,224件の個人情報が流出した可能性｜ScanNetSecurity
• ApplyNow 提供の採用管理プラットフォームに不正アクセス｜ScanNetSecurity
• ディップ「バイトル」への不正アクセス｜NHK
• Kaizen Tech Agent で元従業員が情報を不正取得し社外に持ち出した可能性｜ScanNetSecurity
• 上場企業「個人情報漏えい」、過去最悪ペース｜東京商工リサーチ
• 漏えい等の対応とお役立ち資料｜個人情報保護委員会
• 生成AIサービスの利用に関する注意喚起等｜個人情報保護委員会
• 令和8年改正個人情報保護法について｜個人情報保護委員会
• 職業紹介事業について（業務運営要領など）｜厚生労働省