受け取る側にも義務がある
個人情報保護法では、第三者から個人データの提供を受ける際、受領者は提供元の氏名・住所（法人の場合は代表者の氏名を含む）と、提供元がそのデータを取得した経緯を確認し、記録を作成・保存することとされています。提供する側にも別途、提供の記録を作る義務があります。
つまり送客サービスを使う人材紹介会社は、「同意は送客元が取っている」で終わらせることはできません（提供する側の実務は第三者提供と同意取得の実務にまとめています）。どのように同意を取得したデータなのかを確認し、その確認内容を残す必要があります。
- 確認すること：提供元の名称・住所・代表者名、そのデータを取得した経緯
- 記録すること：提供を受けた年月日、確認した事項、本人を特定できる事項、データの項目
- 保存すること：所定の期間（原則3年とされています）
1件ごとに書類を作る必要はない
記録は1件ごとに個別の書面を作らなければならないわけではなく、継続的に提供を受ける場合は一括して記録する方法や、契約書などの書面をもって代替する方法が認められています。送客サービスのように毎日データが届く関係では、この方法が現実的です。
実務的には、①契約書に取得の経緯と同意取得の方法を明記しておく ②届いたデータ自体をCRMに受信日時つきで保存する、の2つで要件を満たす形にするのが運用しやすい構成です。保存期間の起算や具体的な要件は個人情報保護委員会のガイドライン（第三者提供時の確認・記録義務編）に定めがあるため、自社の運用は管理部門か顧問弁護士に確認してください。
契約時に書面で残しておくこと
確認義務を満たすために、契約の段階で次の内容を書面に残しておくと、あとから監査や本人からの問い合わせがあっても説明できます。
- 提供元が本人の同意を得たうえで提供していること
- 同意を取得した方法（画面の構成、提供先の表示方法）
- 提供される個人データの項目
- 提供元が同意日時と提供先の記録を保存していること、その期間
- 本人から削除・停止の申し出があった場合の連絡先と手順
受け取ったあとに自社ですること
受領後は、自社の側でも利用目的を特定して公表または通知する必要があります。送客で取得した個人データも、自社が取得した個人情報であることに変わりはありません。プライバシーポリシーの「取得方法」に、第三者提供を受けて取得する場合がある旨を書いていない会社は、ここを追記してください。
あわせて、社内での閲覧権限も決めておきます。届いた履歴書データは経歴や連絡先を含むため、担当CA以外が閲覧できる状態にしないほうが安全です。
よくあるご質問
記録はどんな形式で残せばよいですか？
形式の指定はありません。CRM上のレコード（受信日時・送客元・項目）と、契約書の写しを組み合わせる形で運用している会社が多いです。重要なのは、あとから「いつ・誰から・どんな経緯のデータを受け取ったか」を再現できることです。
送客元が同意を取っているか、どうやって確認しますか？
同意画面の実物（スクリーンショット）と、同意記録の保存方針を見せてもらうのが確実です。口頭の説明だけで済ませず、契約書に記載してもらってください。当社では申込時に、同意の取得方法と保存期間を明示しています。
3年経った記録は消すべきですか？
保存期間は最低限の期間なので、経過後に直ちに消す義務はありません。ただし不要に長く保持することは別のリスクになります。自社の個人情報の保管ルールに合わせて、保存期間と廃棄のタイミングを決めておいてください。