2019年2月以前の「アンケート」期においては、株式会社リクルートキャリアが契約企業から学生の姓名・メールアドレスなどの個人情報の提供を受けるのではなく、契約企業が学生向けに実施したウェブアンケートを通じて、株式会社リクルートキャリアの委託先である株式会社リクルートコミュニケーションズが契約企業固有の応募者管理IDとCookie情報を直接取得していました。株式会社リクルートコミュニケーションズでは、これらの情報だけで特定の個人を識別することはできないため、『リクナビDMPフォロー』は個人情報の取扱いが発生しないことを前提としたサービスでした。

しかしながら、株式会社リクルートコミュニケーションズ内の『リクナビDMPフォロー』のスコア算出などを行っていた部署では、広告配信などの『リクナビDMPフォロー』とは異なるサービスの運用も行っており、これらのサービスにおいて、一部の契約企業から応募者管理IDと共に個人情報を取得していた実態がありました。これらの個人情報を『リクナビDMPフォロー』において、実際に利用していた事実は把握されておりませんが、『リクナビDMPフォロー』において取得していた情報と、別サービスにおいて取得していた情報が同一部署内に存在していたことで、『リクナビDMPフォロー』において一部の契約企業に納品していた情報が、他の情報と照合することによって、特定の個人を識別することが可能な状態になっていました。

これにより、『リクナビ2019』会員のうち、『リクナビDMPフォロー』のスコア提供は、契約企業への個人情報の提供とみなすべきところ、「アンケート」期のプライバシーポリシーには契約企業への個人情報の提供に必要な同意を得るための文言が盛り込まれていなかったため、これらの情報提供は未同意の状態で行われていたものと認識しております。

2019年2月以前の「アンケート」期において、一部の契約企業との間で、対象学生のCookie情報を利用した特定（突合）率を向上させる目的で、「アンケート」期とは異なる形式でスコア算出を実施するケースがありました。このイレギュラーケースにおいては、当該一部の契約企業から氏名などの個人情報の提供を受けていました。

株式会社リクルートコミュニケーションズにおいて取扱うデータがハッシュ化されたものであれば、契約企業に提供する際も非個人情報として取扱えるという誤った認識のもと、契約企業からお預かりした学生の情報とリクナビ会員の情報がハッシュ化された状態で紐づけられており、これを通じて算出したスコアは、学生本人の同意なく当該契約企業に対して第三者提供されていました。

『リクナビ2020』では、2019年3月に、プライバシーポリシーを『リクナビDMPフォロー』の提供にあたって必要な内容に変更いたしました。『リクナビ2020』は、学生の皆さまが使用する複数の画面においてプライバシーポリシーに同意いただくサイト構成になっていますが、一部の画面においてその反映ができておりませんでした。これにより、『リクナビ2020』に会員登録されている学生の皆さまのうち、2019年3月以降にプレエントリー・イベント予約・説明会予約・ウェブテスト受検などの機能を利用されていない方で、かつ、『リクナビDMPフォロー』を導入した企業への応募者の中で2019年3月以降に『リクナビDMPフォロー』のスコア提供対象となった方、計13,840名（※２）の情報が、適切な同意を得られていない状態で企業に提供されていました。（図8参照）

※２｜2019年8月5日時点のプレスリリースでは7,983名とお伝えしておりましたが、継続調査の結果、事象２に該当するケースや、一部の契約企業と『リクナビDMPフォロー』とは異なる個別契約を締結し、『リクナビDMPフォロー』の名を冠さずに実質的に同一の形式でスコアを提供していたことが明らかとなったため、人数が変動しております。

なお、上記には、サービス開発段階における検証協力として契約していた場合や、『リクナビDMPフォロー』の名を冠さずに実質的に同一の形式でスコアを提供した場合を含みます。