チョータツSES研究所

スキルシートの個人情報と第三者提供の同意｜BP経由の再提案と同意書の文例・匿名化12項目

公開日：2026年10月1日更新日：2026年10月1日

スキルシートは個人情報？「個人データ」になる理由

スキルシートは個人情報であり、社内で一覧やフォルダにまとめて管理していれば個人データにも当たります。個人データを社外に渡すときに、第三者提供のルールがかかります。

個人情報とは、生きている個人に関する情報で、氏名や生年月日などから特定の人がわかるもののことです（個人情報保護法第2条第1項）。ほかの情報と簡単に照らし合わせて誰かわかるものも含みます。

個人データとは、検索できるように整理した個人情報の集まりに入っている、1件1件の個人情報のことです。この集まりを「個人情報データベース等」と呼びます（同法第16条）。人材管理のExcelや、スキルシートを名前順に保存したフォルダがこれに当たります。

スキルシートとは、エンジニアの経歴・スキル・参加した案件を1枚にまとめた資料のことです。SESでは、客先やBPへ要員を提案するときに必ず使います。

小さな会社でもルールは同じ

個人情報取扱事業者とは、個人情報データベース等を事業に使っている会社や個人のことです（同法第16条第2項）。社員数や扱う人数に関係なく、人材一覧を持つSES企業は当てはまります。「うちは小さいから対象外」とは考えないでください。

イニシャルにしても個人データのままのことがある

氏名をイニシャルにしても、自社の人材一覧と照らせば誰かわかるなら、自社にとっては個人情報のままです。個人情報保護委員会のQ&A（Q1-18・Q1-19）の説明です。社内で普通に照らし合わせられる状態なら「容易に照合できる」とされています。

そのため、「イニシャルにしたから同意は要らない」と考えるのは危険です。匿名化は同意の代わりではなく、同意に加えて行う漏えい対策と位置づけましょう。

第三者提供・委託・共同利用の違い

個人データを社外に渡す方法は3つに分かれ、本人の同意が必要なのは第三者提供だけです。ただし、委託と共同利用には、それぞれ満たすべき条件があります。

渡し方どんなときか本人の同意SES提案での使いやすさ
第三者提供相手が自分の目的で使う原則必要◎ 基本はこれ
委託自社の仕事を代わりにやってもらう不要（委託先の監督が必要）× 提案には合わない
共同利用決めた会社同士で一緒に使う不要（事前の通知・公表が必要）△ 範囲を決めにくい

第三者提供とは、個人データを自社以外の会社や人に渡し、相手が相手の目的で使えるようにすることです（同法第27条第1項）。客先が「この人に参画してもらうか」を判断するのは客先自身の目的なので、スキルシートの提案はこれに当たります。

委託とは、自社の利用目的の範囲で、個人データを扱う作業を外の会社に任せることです（同法第27条第5項第1号）。給与計算の外注などが典型です。委託先は、預かったデータを自分の目的では使えません（委員会Q&A Q7-40・Q7-41）。

共同利用とは、特定の会社同士で個人データを一緒に使うことです（同法第27条第5項第3号）。前もって、次の5つを本人に知らせる必要があります。①共同利用する旨、②データの項目、③使う会社の範囲、④利用目的、⑤責任者です。

SESで「委託」「共同利用」が使いにくい理由

提案先の客先は、自社の仕事を代わりにやっているわけではありません。そのため、スキルシートの提案を委託と整理するのは難しいです。

共同利用は、グループ会社どうしのように相手が前もって決まっている場合に向いています。案件ごとに提案先が変わるSESでは、範囲を決めて事前に知らせる運用が回りにくいです。

オプトアウトも現実的ではない

オプトアウトとは、本人が「やめて」と言うまでは同意なしで第三者に提供できる仕組みのことです（同法第27条第2項）。個人情報保護委員会への届出などが必要です。SES企業のスキルシート提案で使う方法ではないと考えてください。

SESの場面別：同意が要るのはどこか

SESでスキルシートが社外に出る場面は、ほとんどが第三者提供です。自社が誰から受け取り、誰に渡すかで、確認する相手が変わります。

場面当てはまる渡し方同意を取る・確かめる相手
自社社員のシートを客先へ提案第三者提供自社社員から直接取る
自社社員のシートをBPへ提案第三者提供自社社員から直接取る
BPから届いたシートを上位の会社へ再提案第三者提供（自社から新たに）BPに同意の範囲を確認する
契約するフリーランスのシートを客先へ提案第三者提供フリーランス本人から直接取る
社内の営業どうしで共有提供ではない（社内利用）利用目的の範囲内か確認

BP経由の転送（再提案）の考え方

BPから届いたシートを上位の会社へ回すのは、自社から上位への新しい第三者提供です。BPから自社への提供に同意があっても、それだけで上位への転送まで許されるとは限りません。

BP（ビジネスパートナー）とは、案件や人材を紹介し合う取引先の会社のことです。商流とは、エンド（発注元）から元請け、一次請け、二次請けと仕事が流れる経路のことです。

実務では、本人がBPに出した同意書に「提案先の企業と、その上位の商流の企業」まで書かれていることが多いです。自社は転送する前に、BPへ「上位への再提案まで同意があるか」をメールで確認し、その返信を保存しておきます。

同意の範囲がわからないまま転送すると、同意なしの第三者提供になるおそれがあります。確認が取れるまでは転送しないのが、この研究所のおすすめです。

受け取る側にも確認の義務がある

個人データを第三者から受け取るときは、確認と記録が必要です（同法第30条）。確認するのは、①相手の社名・住所・代表者名、②相手がそのデータを手に入れた経緯です。BPから届いたシートなら、「本人から同意を得て提供していること」を確かめます。

ツールへの登録は第三者提供になる？

クラウドの管理ツールにスキルシートを保存するだけなら、第三者提供にならない場合があります。委員会のQ&A（Q7-53）は、サービス提供会社が中のデータを取り扱わない約束になっていれば、提供に当たらないと説明しています。利用規約で、データの取り扱いを確認しておきましょう。

本人の同意を取る5ステップ

同意は取得のときにまとめて取り、送る直前に範囲の中かどうかを確かめるのが基本です。委員会Q&A（Q7-8）は、取得時に予想される提供について、まとめて同意を取ることを認めています。

  1. 利用目的を決めて書く：「客先・パートナー企業への要員提案のため」のように、何に使うかを具体的に書きます（同法第17条）。

  2. 書面で受け取る前に目的を示す：本人から直接スキルシートを受け取るときは、先に利用目的をはっきり示します（同法第21条第2項）。

  3. 提供先の範囲を示す：社名を1社ずつ書く必要はありません（Q&A Q7-9）。「提案先の企業と、その上位の商流の企業」のように、範囲と属性を書きます。

  4. 同意を記録に残す：署名した同意書、またはメール・フォームでの「同意します」の返信を保存します。口頭だけの同意は、あとで証明できません。

  5. 送る直前に範囲を確かめる：提案先が同意の範囲に入っているか、本人が「この会社には出さないで」と言っていないかを確認してから送ります。

案件ごとに一声かけるのが一番確実

包括的な同意があっても、提案のたびに「A社のJava案件に提案してよいですか」と本人に聞くのがおすすめです。本人が知らない提案先で面談が決まるトラブルも防げます。並行営業で複数社に同時に出すときほど、この一声が効きます。

同じ人を同じ案件に2つのルートから出してしまう二重提案も、この一声で防げます。起きたときの対応は、SESの二重提案が発覚したら｜どちらを残すかの判断と謝罪例文にまとめています。

そのまま使える同意書の文例

同意書は、利用目的・提供先の範囲・提供する項目・撤回の方法の4つを入れれば、必要なことが伝わります。入社時や登録面談の日に、雇用契約や業務委託契約と一緒に取ると漏れません。

例文・テンプレート
スキルシート等の個人情報の取扱いに関する同意書

株式会社〇〇 御中

私は、貴社が私の個人情報を次のとおり取り扱うことに同意します。

1. 利用目的
   貴社が行うシステム開発等の案件への要員提案、
   面談の調整、および契約の手続きのため

2. 提供先の範囲
   貴社が要員を提案する企業（取引先・パートナー企業）、
   およびその企業と取引関係にある上位の商流の企業

3. 提供する項目
   氏名のイニシャル、最寄り駅、
   保有スキル・資格、業務経歴、稼働開始可能日、希望条件
   ※氏名・連絡先は、面談の調整や契約に必要な場合に限り提供します

4. 提供の方法
   電子メールへのファイル添付、または管理ツールでの共有

5. 同意の撤回・提供の停止
   以下の窓口へ連絡すれば、いつでも今後の提供を停止できます
   窓口：営業部 個人情報担当（privacy@example.co.jp）

2026年10月1日（木）
氏名：＿＿＿＿＿＿＿＿（署名）

病歴は、要配慮個人情報に当たります。要配慮個人情報とは、人種・信条・病歴・犯罪の経歴など、差別や偏見につながらないよう特に注意が必要な情報のことです（同法第2条第3項）。スキルシートには書かせない、載っていたら消す、を徹底します。

BPに転送の可否を確認するメール例文

BPから届いたシートを上位へ回す前は、「上位への再提案に本人の同意があるか」を1通のメールで確認します。返信は、そのまま確認の記録になります。

例文・テンプレート
件名：【確認】T.S様（Java/5年）の上位企業へのご提案について

株式会社△△
営業部 □□様

いつもお世話になっております。株式会社〇〇の■■です。
10月2日（金）にご紹介いただいたT.S様について、
弊社の上位の企業（エンド直の元請け1社）へご提案したく、
念のため確認させてください。

・T.S様ご本人から、上位の商流の企業への提供について
 同意を得ていらっしゃいますか。
・提案を避けたい企業があれば、お知らせください。

ご同意を確認でき次第、10月6日（火）中に提案いたします。
お手数ですが、ご返信をお願いいたします。

※例文の日付は2026年の暦に合わせています。

→ 提案メール全体の書き方は要員提案メールの例文とテンプレ｜SES営業の通過率を上げる書き方で紹介しています。

送る前の匿名化チェックリスト12項目

提案の最初の段階では、選考に要らない個人情報を外してから送るのが基本です。外すほど、誤送信や転送が起きたときの被害が小さくなります。

#項目送る前の形
1氏名イニシャル（例：T.S）
2生年月日・年齢・性別載せない（スキルと経験年数で判断してもらう）
3住所最寄り駅か沿線
4電話番号・メール載せない
5顔写真載せない
6病歴・健康状態載せない（病歴は要配慮個人情報）
7家族構成・本籍載せない
8過去の客先の社名業種と規模に言い換え（例：大手損保）
9案件の固有名・システム名一般名に言い換え
10ファイル名氏名を入れない（例：TS_Java_2026.xlsx）
11ファイルの作成者情報実名が残っていないか確認
12添付先と宛先同意の範囲の会社か、宛先の打ち間違いがないか

8と9は、個人情報というより以前の客先との秘密保持のための項目です。過去の案件の情報を出すと、秘密保持契約（NDA）に反するおそれがあります。

→ 項目ごとの記入例はSESスキルシートのフォーマットと書き方｜15項目の記入例付きにまとめています。

面談が決まったら必要な分だけ出す

面談や契約の段階では、氏名や連絡先が必要になります。その時点で、必要な相手に、必要な項目だけを追加で渡します。最初から全部を載せたシートを配らないのがコツです。

派遣契約で提案する場合は、氏名や年齢を伏せる理由が個人情報とは別にもあります。派遣のスキルシートはどこまで出せる？事前面接のルールとSESの違いで確認してください。

提供の記録と保存期間

個人データを第三者に提供したら、提供先や日付などを記録し、原則3年保存します（同法第29条、施行規則第21条）。受け取った側も、確認した内容を記録します。

同意に基づく提供の記録には、次の4つを残します（施行規則第20条）。①本人の同意を得ている旨、②提供先の名称・住所・代表者名、③本人を特定できる事項、④提供した項目です。

記録の作り方保存期間
契約書などの書面で記録に代えた場合最後に提供した日から1年
同じ相手への繰り返しの提供をまとめて記録した場合最後に提供した日から3年
提供のたびに記録した場合3年

記録が要らない場合もある

本人の依頼で、本人に代わって提供する場合は、確認・記録の義務がかからないと整理されています（確認・記録義務編ガイドライン2-2-1-1）。本人が提供先を具体的にわかっているかで判断されます。

たとえば、本人が「A社の案件に応募したい」と言い、A社にだけ出す場合がこれに近いです。一方、BPへの一斉配信のように提供先を本人が知らない場合は、記録を残すのが安全です。

やってはいけない3つのこと

スキルシートの個人情報で起こりがちな失敗は、次の3つです。どれも、送る前の1分の確認で防げます。

  1. 同意の範囲を確かめずに一斉配信する：BP向けの配信メールに、同意の範囲外の会社が入っていることがあります。

  2. 退職者・契約終了者のシートを出し続ける：本人が離れたあとも、古いシートを提案に使ってしまうケースです。

  3. 本人の「出さないで」を無視する：同意の撤回や提供停止の申し出があったら、すぐに止めて記録します。法律上も、一定の場合には本人が第三者提供の停止を請求できます（同法第35条）。

個人情報保護委員会は、法律違反に対して勧告や命令ができます。命令に違反すると、1年以下の拘禁刑または100万円以下の罰金です。法人には1億円以下の罰金が定められています（同法第148条・第178条・第184条）。

→ 宛先を間違えて送ったときは、スキルシートを誤送信したら｜削除依頼の例文と個人情報の報告要否の手順で対応します。より大きな漏えいの動き方はSESの情報漏洩の責任は誰に？損害賠償の範囲と事故報告の流れを確認してください。

チョータツで人材情報の管理と共有を楽にする

ここまでの手順を自分でやる場合、スキルシートの最新版を探し、同意の範囲を確かめ、メールで送る作業をくり返します。シートがメール添付と共有フォルダに散らばるほど、古い版や同意の範囲外のシートを送るミスが起きやすくなります。

場面自分でやる場合DrivenXのツールを使う場合
人材情報の保管Excelとフォルダでシートを管理チョータツで人材の情報を1か所で管理・共有
BPから届く人材メール案件か人材か、1通ずつ目で仕分けチョータツメールAIが案件メールと人材メールに切り分け
提案する情報の配信BCCで一斉送信（誤送信の心配）チョータツのメール配信機能でパートナーに配信

チョータツでできること

  • 人材の管理・共有：人材の情報をチームで管理・共有できます。誰がどの版を送ったかわからない状態を減らせます

  • メール配信：自社の人材情報を、パートナーへまとめて配信できます

  • 他社との連携：連携した会社の営業中案件・営業中人材を、データベースとして見られます

  • AIの入力補助：情報の登録を、AIが手伝います

チョータツメールAIは、届いたメールをAIが処理し、案件メールと人材メールに切り分ける機能です。メールに書かれた単価や商流などの条件も読み取ります。転送設定でメールを取り込めます。案件・人材以外のメールはデータに残らないので、関係のないメールまで保存されることはありません。

ツールを使う場合も、同意の範囲の確認と匿名化は、送る側の責任です。チョータツに登録する前に、自社の同意書の「提供の方法」に管理ツールでの共有が入っているかも確認しておきましょう。

よくある質問

Q. スキルシートを客先に送るのに、本人の同意は必要ですか？
原則として必要です。社外の会社が要員選びに使うため、個人データの第三者提供に当たります。入社時や登録時に、提案先への提供についてまとめて同意を取っておくと運用が楽です。
Q. 個人データの委託と共同利用と第三者提供の違いは何ですか？
第三者提供は相手が自分の目的で使う渡し方で、原則として本人の同意が要ります。委託は自社の仕事を代わりにやってもらう渡し方、共同利用は決めた会社同士で一緒に使う渡し方です。委託と共同利用は同意が不要な代わりに、監督や事前の通知が必要です。
Q. スキルシートの氏名をイニシャルにすれば、同意は要りませんか？
要らないとは言い切れません。自社の人材一覧と照らして誰かわかるなら、自社にとっては個人データのままです。イニシャル化は同意に加えて行う漏えい対策と考えましょう。
Q. BPから届いたスキルシートを、上位の会社に転送してもいいですか？
本人の同意が上位への提供まで及んでいれば転送できます。転送は自社からの新しい第三者提供なので、BPに同意の範囲をメールで確認し、返信を保存してから送りましょう。
Q. 同意書に提供先の会社名を全部書く必要がありますか？
個別に書くことまでは求められていません（個人情報保護委員会Q&A Q7-9）。ただし「提案先の企業と、その上位の商流の企業」のように、範囲や属性を示すことが望ましいとされています。
Q. 本人から「この会社には出さないで」と言われたら？
その会社への提供をすぐに止め、申し出の日付と内容を記録します。人材の管理表に「提案NG先」の欄を作り、営業全員が見られるようにすると、うっかり送るのを防げます。管理表の作り方はSESのスキルシート管理方法｜探せる保管ルールと更新・同意の手順で紹介しています。

まとめ

  • スキルシートを社外へ送ることは、多くの場合「個人データの第三者提供」に当たり、原則として本人の同意が必要

  • 委託は「代わりに作業してもらう」、共同利用は「決めた会社同士で使う」渡し方。SESの提案は第三者提供で考える

  • BPから届いたシートの上位への転送は、自社からの新しい第三者提供。BPに同意の範囲を確認してから送る

  • 同意は入社時・登録時にまとめて取れる。提供先の範囲・項目・撤回の方法を書いておく

  • 送る前に12項目の匿名化チェック。ただしイニシャル化は同意の代わりにならない

  • 提供したら提供先・日付・項目などを記録し、原則3年保存する

本記事は一般的な情報の提供を目的としており、個別の法的助言ではありません。具体的な判断は弁護士・社会保険労務士などの専門家にご相談ください。

運営：チョータツSES研究所（株式会社DrivenX）｜編集方針｜公開日：2026年10月1日｜更新日：2026年10月1日

参考資料（2026年9月30日確認）

関連する記事