「応募者の個人情報はATS（採用管理システム）で管理しています」。ヒアリングでこう答える会社に、続けて聞くことがある。「本当にそこだけですか」。
ここで沈黙が返ってくることが多い。思い出していくと出てくるのだ。エージェントからメール添付で届いた履歴書 (そのままローカル保存)。面接官に転送した評価依頼(共有フォルダ)。選考会議用にまとめたExcel(notionだったり)。共有ドライブの「採用2026」フォルダ(GoogleDriveだったりシェアポイントだったり)。前任者が残した候補者リスト(onedrive共有設定で複数人共有していたり)。...
どうだろうか？応募者情報は管理しているつもりの場所の外に、悪意ゼロで散らばっていくのが現状ではないだろうか？
このAI時代、個人情報管理は大丈夫？という話をすると「うちは大丈夫」と返す会社ほど、この散らばりを把握していない。今回はその話を書く。
散らばりは「業務の自然な結果」として起きる
まず前提として、散らばりは誰かのミスではない、全く悪気はなく社内共有の連続で仕方なく起こっていくものだ。
書類は現場の面接官に見せなければ選考できない。だから送る。評価は集めなければ会議ができない。だからまとめる。エージェントとのやり取りはメールで来る。だから受信箱に残る。1つ1つは正しい業務行動で、その積み重ねの結果として、応募者情報のコピーがメール・ドライブ・個人フォルダに増えていく。辞退した人、不採用にした人のデータも含めてだ。そして消さない。消さない。
直近でさえ「過去の応募者情報の漏洩事件」が後を絶たない。
この1か月だけでも、過去の応募者の情報はこれだけ漏れている
直近の事例を3つ挙げる。いずれも各社・各自治体の公式発表に基づく。
2026年9月18日、冷凍食品のニチレイが7月のサイバー攻撃で個人情報53,866件の漏えいを確認したと公表した。そのうち43,709件はグループ従業員（2021年以降の退職者を含む）とその家族、そして求職者の情報だ。氏名や連絡先だけでなく給与・賞与、在留資格、所属・異動といった人事情報まで含まれる。選考が終わった応募者の書類が、どのサーバーにいつまで置かれているか。 答えられる会社はそんなに多くないと思う。
同じ9月、化粧品のクチコミサイト@cosmeを運営するアイスタイルが、会員10,997人分のメールアドレスなどを含むファイルがURLを知っていれば誰でも開ける状態になっていたと公表した（9月16日）。原因は社内でファイルを受け渡すために使った外部のファイル転送サービスの公開設定の不備で、9月2日の約20分間だった。「社内の受け渡し」のつもりでも、外部に置いた瞬間に共有設定次第で誰でも開ける。 採用データで同じことが起きない理由はない。
そして採用そのものの現場では、株式会社ApplyNow（きちりホールディングス子会社）の採用管理プラットフォームへの不正アクセスが9月9日に公表された。氏名・メールアドレス・電話番号を含む応募者情報が漏えいした可能性があり、原因は同社が利用するデータ分析ツールの脆弱性だった。その後、大阪市（申込者106名）や富士市（約800件・令和4年度から令和8年度に申し込んだ人）など、同システムを使う自治体の職員採用試験にも波及している。数年前に受けた分まで残っていて、まとめて漏れる。 応募者情報の「消す時」が決まっていないと、こうなる。
「うちは大丈夫」の正体
これらの事例に共通するのは、技術力の不足ではないケースが多い。所在の把握が業務の速度に追いついていないことだ。
ここに置くこと、このAIを使っておいてもらうこと、共有の方法、これらがどういう影響があるかを把握しきれず、普段の業務で当たり前に行い、また特に採用データに関しては「消す時」を明確にしていないことでリスクを蓄えているケースが多い。
これは社内で決めるべきルールだが「5年経ったら消す(ATSからも)」など決め打ちしておいた方が、余計なリスクを生まない。
応募者データの「地図」を作る
打ち手の方向性はシンプルで、応募者データの地図を作ることだ。どこに（ATS・メール・ドライブ・個人端末・委託先）、何が（書類・評価・連絡先・口座情報）、誰がアクセスでき、いつ消えるのか。この4点を一覧にするだけで「うちは大丈夫」が「ここが危ない」に変わる。
そしてこの地図はAI活用の前提条件でもある。採用業務にAIを入れるほどデータの複製と移動は増える。地図がないままAIを足すのは、在庫を数えずに倉庫を増やすようなものだ。導入前の宿題として先に済ませることをおすすめする。
地図作りから運用設計まではセコネが採用業務のAI活用支援の入り口として提供している領域だ。どう情報を管理し、どうAIを活用するか、悩んでいる場合には是非一度ご相談いただきたい。
※関連記事：「採用AIツールを入れる前に、個人情報保護の宿題が3つある」／「採用業務でAIに応募者情報を入れている人事の3割が知らない、5つの落とし穴」／「採用業務でChatGPTに応募者情報を入れている会社へ」
ご留意事項
本記事で言及した事例は各社・各機関の公式発表に基づく公開情報であり、教訓の共有を目的としています。
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。
出典：株式会社ニチレイ 公式発表（第7報・2026年9月18日）https://www.nichirei.co.jp/news/2026/524.html ／株式会社アイスタイル 公式発表（2026年9月16日）https://www.istyle.co.jp/news/info/2026/09/20260916-3.html ／株式会社きちりホールディングス 公式発表（2026年9月9日）https://www.kichiri.co.jp/wp-content/uploads/2026/09/2609091111.pdf ／大阪市 報道発表資料（2026年9月15日）https://www.city.osaka.lg.jp/hodoshiryo/gyouseiiinkai/0000687493.html