リファレンスチェックの同意書、どう取ればいい？

「採用候補者のリファレンスチェックを外部業者に頼みたいけれど、本人から何に同意をもらえばいいのかわからない」——採用に本腰を入れ始めた中小企業の担当者から、こういった相談が増えています。個人情報保護法の話になると途端に難しく感じてしまいますが、押さえるべきポイントは実はシンプルです。この記事では、同意書に何を書くか・いつ取るか・代行業者との契約で何を確認するかを、専任人事がいない企業でも実行できるレベルで整理します。

「同意書が必要かどうか」を正しく理解する

結論から言うと、代行業者へ候補者情報を渡すこと自体は、条件を満たせば個人情報保護法上の「第三者提供」には該当しません。ただし、だからといって同意書が不要というわけではなく、むしろ実務上は取得しておくことが強く推奨されます。

「委託」は第三者提供の例外になる

個人情報保護法第27条は、個人データを第三者に提供する際に本人同意を求めています。しかし同条第5項第1号には重要な例外があり、「利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合」は第三者提供に該当しないと定められています。リファレンスチェック代行業者への情報提供は、採用業務の委託として、この例外に当てはまります。

つまり、代行業者に候補者情報を渡すために「別途、第三者提供の同意書を取らなければならない」という法的義務は発生しません。ただしこれには2つの前提条件があります。

例外が成立するための2つの前提条件

まず、プライバシーポリシーや採用応募時の個人情報の取り扱いに関する案内文に、「採用適性確認のためのリファレンスチェックを含む利用」が利用目的として明記されていること。次に、委託先（代行業者）が個人データを適切に管理するよう、委託元である自社が必要かつ適切な監督を行うこと（同法第25条）。この2点が揃って初めて「適法な委託」として扱われます。

それでも同意書を取るべき実務上の理由

法的義務はないとしても、同意書を取っておくことには実務上の大きなメリットがあります。候補者との信頼関係の構築、「聞いていなかった」というトラブルの防止、そして万一採用辞退や内定取り消し等のトラブルになった際の証跡確保です。特に中小企業では、候補者との関係性が採用後の定着率にも影響するため、透明性を持ったプロセスを踏むことが長期的な採用力に直結します。

同意書に何を書くか

リファレンスチェック同意書に必要な情報は、「誰が・何のために・誰に・どの情報を・いつまで渡すのか」を候補者が理解できるように示すことが基本です。「個人情報の取り扱いに同意します」という一文だけでは不十分です。

記載すべき6つの項目

「不同意の場合の影響」は必ず明記する

特に見落とされがちなのが、同意しなかった場合に選考へどう影響するかの明記です。「同意しなくても選考は継続する」という企業もあれば、「リファレンスチェックを選考要件としているため、同意いただけない場合は選考を進めることができない」とする企業もあります。どちらの方針であれ、候補者に事前に明示することが誠実な対応です。曖昧にしておくと、後になって「強制的に同意させられた」というトラブルの原因になります。

照会先（リファレンス提供者）の個人情報にも配慮する

見落とされやすいのが、照会先となる元上司や元同僚の個人情報の扱いです。候補者から照会先の氏名・連絡先を取得する際、その情報も個人情報として適切に管理する必要があります。代行業者に渡す際はリファレンスチェックの目的に限定されていることを確認し、同意書の中でも「照会先の個人情報は本チェックの目的にのみ使用し、第三者に提供しない」旨を明記しておくと丁寧です。

同意を取るタイミングと選考フローへの組み込み方

同意取得のタイミングは、リファレンスチェックを実施する予定のステージに到達する前に行うことが原則です。不意打ちでの実施は候補者の不信感を招き、内定辞退リスクにもつながります。

応募時か、実施予告のタイミングか

同意取得のタイミングには大きく2つのアプローチがあります。一つは、応募時に提示する個人情報の取り扱い案内に利用目的としてリファレンスチェックを含めておき、応募という行為をもって同意とみなす方法。もう一つは、選考の一定ステージ（最終面接通過後・内定前など）で「次のステップとしてリファレンスチェックを実施します」と明示し、その時点で改めて同意書を取得する方法です。

専任人事がいない中小企業では、後者の「実施ステージで個別に取得する」方が、候補者への説明もしやすく、認識のズレが生じにくいためお勧めです。特に社員数が50名以下の企業ではプライバシーポリシーの整備が不十分なケースも多く、個別の同意書でしっかりカバーする方が安全です。

「内定前」と「内定後」どちらが適切か

リファレンスチェックを内定の判断材料にする場合は、内定通知の前に実施します。この場合、同意取得も内定前（最終面接後など）に行うことになります。一方、内定後に追加確認として行う企業もあります。いずれのケースでも、「同意を断ると選考・内定に影響するか」を同意書に明記しておくことが誠実な対応です。候補者が心理的に断りにくい状況での同意取得は、後のトラブルの種になり得ます。

代行業者との契約で確認すべきこと

個人情報保護法第25条に基づき、委託元である自社は委託先の代行業者を適切に監督する義務を負います。「業者に任せれば大丈夫」という認識は法的に誤りです。

契約書で必ず確認する4つの項目

• 再委託の制限：代行業者がさらに外部へ再委託していないか、再委託する場合はどのような条件・手続きが必要かを確認する。
• データの利用目的制限：取得した候補者情報が、自社の採用目的以外（業者の他事業・マーケティング等）に使われないことを契約上明記させる。
• 保管期間と削除の確認：選考終了後にいつ・どのような方法でデータを削除するか、また削除の証明を提供できるかを確認する。
• セキュリティ基準：Pマーク（プライバシーマーク）やISO27001などの認証取得状況、あるいは社内でのセキュリティポリシーの有無を確認する。小規模な業者の場合は、特にこの点の確認を怠らないようにしましょう。

「業者が言っているから大丈夫」は通じない

代行業者が「適切に管理しています」と口頭で説明しているだけでは、自社の監督義務を果たしたことにはなりません。個人情報保護委員会のガイドラインでも、委託先の選定・契約内容・定期的な確認が委託元の責任として示されています。「うちは小さい会社だから」という規模感は免責の理由にはならないため、最低限、上記の項目を委託契約書（または覚書）に明記させることが必要です。

業者選定で使える簡易チェックリスト

代行業者を選ぶ際は、以下を確認するだけでも信頼性の見極めに役立ちます。プライバシーポリシーがウェブサイトに公開されているか、Pマークや情報セキュリティ関連の認証を取得しているか、契約書のひな形を事前に提示できるか、問い合わせに対して個人情報の扱いについて具体的に回答できるか、の4点です。これらに明確に答えられない業者は慎重に検討する必要があります。

リファレンスチェック同意書の作成・代行業者の選定・契約内容の確認については、実務的なサポートが重要です。

🔗 リファレンスチェック同意書の作成・代行業者の選定・契約内容の確認については、実務的なサポートが重要です。 →

同意なしで進めた場合のリスク

リファレンスチェックを無断または不十分な説明のまま実施した場合、法的リスクと採用実務上のリスクの両面で問題が生じます。「実際に問題になるのか」という疑問に対して、率直に整理しておきます。

個人情報保護法上のリスク

利用目的の通知・公表なしに個人情報を利用したり、適切な委託管理なしに第三者へ提供した場合、個人情報保護法違反となり得ます。個人情報保護委員会による指導・勧告・命令の対象となり、重大な違反の場合は公表されることもあります。中小企業であっても「個人情報取扱事業者」として法の適用を受けるため、規模による免除はありません。

採用実務上のリスク

法的リスクよりも日常的に起こりやすいのが、候補者との関係悪化です。「知らないうちにリファレンスをかけられた」と候補者が感じた場合、内定辞退・SNSでの拡散・口コミによる採用ブランドの毀損につながるケースがあります。特に中小企業は採用ブランドの回復が難しいため、プロセスの透明性を保つことが採用活動全体への投資として重要です。また、照会先の元上司等が「なぜ私の連絡先を渡したのか」と候補者に問い合わせてくるといったトラブルも実際に発生しています。

採用トラブルの防止と信頼関係の構築には、専門家の視点から規程やプロセスを整備することが効果的です。

よくある質問