インフルエンサー施策の個人情報保護と
データ取扱いの実務

インフルエンサー施策では、候補者の氏名やアカウント情報、商品の送り先住所、報酬の振込先、投稿の成果データ、プレゼント企画の当選者情報など、多くの個人情報を扱います。しかし、これらを担当者ごとの表計算ファイルやメッセージアプリに散らばったまま管理している企業は少なくありません。この記事では、インフルエンサー施策で扱う個人情報を、個人情報保護法に沿ってどう取得し、どう保管し、誰と共有し、いつ削除するかを、実務の流れに沿って解説します。未成年の起用時の保護者同意や、顧客データとの連携といった個別のテーマではなく、候補者と取引先としてのインフルエンサー、その先のフォロワーや応募者まで含めた、施策全体のデータの扱い方を整理しました。

インフルエンサー施策における個人情報の基本

インフルエンサー施策で扱う情報の多くは、個人情報保護法の対象になる個人情報です。個人情報とは、生存する個人に関する情報で、氏名や顔写真、アカウント名と結びついたプロフィールなど、特定の個人を識別できるもののことです。インフルエンサーは個人として活動していることが多いため、取引先の担当者情報というより、取引先そのものが個人であるという点に注意が必要です。

公開情報でも個人情報にあたる

SNSで公開されているアカウント名、プロフィール、投稿内容、フォロワー数といった情報も、特定の個人を識別できれば個人情報にあたります。「誰でも見られる情報だから自由に扱ってよい」と考えるのは誤りです。特に、候補者のアカウント情報を表計算ファイルなどで検索できる形にまとめると、個人情報データベース等にあたり、そこに含まれる情報は個人データとして、安全管理や第三者提供の制限といった義務の対象になります。候補者リストを作る時点で、すでに個人情報保護法の義務が始まっていると考えておきます。

施策で扱う個人情報の3つの種類

インフルエンサー施策で扱う個人情報は、大きく3つに分けて考えると整理しやすくなります。1つ目は、起用を検討する段階の「候補者の情報」で、アカウント名、プロフィール、フォロワー数、過去の投稿、連絡先などです。2つ目は、起用が決まったあとの「取引先としての情報」で、本名、住所、電話番号、報酬の振込先、適格請求書発行事業者の登録番号、場合によってはマイナンバーなどです。3つ目は、施策を通じて接する「フォロワーや応募者の情報」で、プレゼント企画の応募者や当選者の情報、コメントやUGCの投稿者の情報などです。種類によって取得の経路も利用目的も異なるため、扱いを分けて設計します。

2022年施行の改正で強まった義務

個人情報保護法は2022年4月1日に改正法が全面施行され、事業者の義務が強化されました。一定の漏えいが起きた場合の個人情報保護委員会への報告と本人への通知が義務になったほか、違法・不当な行為を助長するおそれのある方法での利用の禁止、本人が利用停止などを求められる場面の拡大、外国にある第三者へ提供する場合の情報提供の充実などが定められています。法令とガイドラインの最新版は、個人情報保護委員会の法令・ガイドラインのページで確認できます。本記事の内容は2026年10月時点の法令とガイドラインに基づく一般的な整理であり、個別の判断が必要な場合は弁護士などの専門家に相談してください。

施策の流れで発生する個人情報の一覧

施策で扱う個人情報を漏れなく管理するには、まず施策の流れに沿って「いつ、どの情報が、どこから入ってくるか」を一覧にすることが出発点です。何を持っているかを把握していなければ、利用目的の設定も、保管場所の管理も、削除も行えません。

段階ごとに発生する情報

次の表は、一般的なインフルエンサー施策の流れごとに、発生する個人情報と主な取得経路、保管されやすい場所をまとめたものです。自社の施策に当てはめて、実際にどこに何があるかを確認するときのたたき台として使えます。

担当者の手元に散らばる情報

一覧を作ると、多くの企業で、個人情報が担当者の個人的なメールボックスやメッセージアプリ、パソコンのダウンロードフォルダに散らばっていることが分かります。特に、SNSのDMで送り先住所を聞き、それを表計算ファイルに書き写して配送業者に渡す、という流れでは、同じ住所が3か所以上に残ることになります。担当者が異動や退職をすると、どこに何が残っているかを誰も把握できなくなります。まずは保管場所を数か所に集約し、それ以外の場所に残さないルールを作ることが、管理の第一歩です。情報の共有のルール全般はインフルエンサー施策の情報管理と社内外の共有ルールでも解説しています。

特に慎重に扱う情報

施策で扱う情報のなかには、特に慎重な扱いが必要なものがあります。マイナンバーは、報酬の支払いに関する法定調書の作成など、法律で定められた事務のためにしか取得・利用できず、個人情報保護法とは別に番号法の規制を受けます。病歴などの要配慮個人情報は、取得に原則として本人の同意が必要です。たとえば健康食品や医療関連の施策で、インフルエンサーの持病や体調に関する情報を聞く場合は、その必要性と同意の取り方を事前に検討します。未成年のインフルエンサーの情報は、保護者の同意の取り方も含めて別の配慮が必要で、その詳細は未成年インフルエンサー起用の保護者同意と実務の注意点で整理しています。

利用目的の特定と取得時の通知

個人情報を扱うときに最初に行うべきことは、利用目的をできる限り具体的に特定し、取得する前にそれを本人に伝えるか、公表しておくことです。個人情報保護法では、特定した利用目的の範囲を超えて個人情報を使う場合は、原則として本人の同意が必要になります。目的を曖昧にしたまま集めると、あとから別の用途に使えなくなったり、本人とのトラブルになったりします。

施策ごとの利用目的の書き方

利用目的は、本人が「自分の情報が何に使われるか」を想定できる程度に具体的に書きます。たとえば「マーケティングのため」では不十分で、「PR投稿の依頼に関する連絡、商品の発送、報酬の支払い、施策の効果測定、今後の施策での起用の検討のため」といった書き方が望ましい形です。次の表は、施策で扱う情報の種類ごとの利用目的の例です。

候補者に初めて連絡するときの伝え方

SNSの公開情報から候補者を選び、初めて連絡する場合も、取得した個人情報の利用目的を公表しておく必要があります。一般的には、自社のプライバシーポリシーに、インフルエンサー施策での利用目的を明記しておく方法がとられます。さらに、初回の連絡で「公開されているプロフィールを拝見してご連絡しました。いただいた情報は本件のご相談と今後のご依頼の検討にのみ使用します」と一言添えると、相手の安心感が高まります。依頼文全体の書き方はインフルエンサーへの依頼文面の書き方とテンプレート例文を参考にしてください。

目的外の利用になりやすい場面

インフルエンサー施策では、意図せず目的外の利用になってしまう場面があります。商品の発送のために聞いた住所に、別の商品のカタログを送る、報酬の支払いのために聞いたメールアドレスを、自社のメールマガジンに登録する、といったケースです。こうした使い方をしたい場合は、取得の時点で利用目的に含めておくか、改めて本人の同意を得る必要があります。担当者が善意で行ったことでも、本人から見れば想定外の利用になるため、施策の担当者全員に利用目的の範囲を共有しておきます。

委託・共同利用・第三者提供の整理

代理店や配送業者、グループ会社などに個人データを渡す場合は、それが「委託」「共同利用」「第三者提供」のどれにあたるかを整理し、それぞれに必要な手当てをすることが求められます。個人データを第三者に提供するには、原則として本人の同意が必要ですが、委託と共同利用は一定の条件のもとで第三者提供にあたらないとされています。どれにあたるかで、必要な手続きが大きく変わります。

3つの区分の違い

次の表は、委託・共同利用・第三者提供の違いと、インフルエンサー施策での典型的な場面、必要な手当てをまとめたものです。詳しくは個人情報保護委員会のガイドライン（通則編）で確認してください。

代理店に依頼する場合の整理

代理店に施策を依頼する場合、自社が集めた個人データを代理店に渡すなら、自社の利用目的の範囲内で扱わせる限り委託と整理できます。この場合、自社は代理店に対して、個人データの安全管理が図られるよう必要かつ適切な監督を行う義務を負います。反対に、代理店が独自に集めた候補者の情報を自社に渡してくる場合は、代理店から自社への第三者提供になるため、代理店側が本人の同意を得ているかを確認する必要があります。代理店が持つ情報の取得経路を確認せずに受け取ると、自社も適正でない取得に関わるおそれがあります。

インフルエンサーに個人データを渡す場面

見落とされやすいのが、企業からインフルエンサーに個人データを渡す場面です。たとえば、プレゼント企画の当選者への賞品の発送をインフルエンサーに任せ、当選者の住所を渡す場合などです。このような場合は、インフルエンサーが委託先になるため、契約で目的外の利用の禁止、発送後の削除、再委託の禁止などを定め、扱い方を監督する必要があります。個人のインフルエンサーは、企業ほど安全管理の体制が整っていないことが多いため、そもそも個人データを渡さずに済む流れを優先して検討します。プレゼント企画の設計はインフルエンサーのプレゼントキャンペーン依頼と当選設計で解説しています。

委託先と海外ツールの管理

委託先の管理では、選定の時点で安全管理の体制を確認し、契約で扱い方を定め、取扱いの状況を定期的に確認することが基本です。個人情報保護法では、個人データの取扱いを委託する場合、委託元は委託先に対して必要かつ適切な監督を行わなければならないとされています。委託先で漏えいが起きた場合も、委託元の監督が不十分であれば責任を問われることがあります。

委託先を選ぶときの確認項目

代理店、配送業者、キャスティングツールやマッチングプラットフォームの運営会社など、個人データを任せる相手を選ぶときは、少なくとも次の点を確認します。個人情報の取扱いに関する社内規程があるか、アクセスできる担当者が限定されているか、データの保管場所と暗号化などの技術的な対策、再委託の有無と再委託先の管理、漏えいが起きた場合の連絡体制、契約終了時のデータの返却や削除の方法です。確認した内容は記録に残し、契約の更新時などに見直します。発注先の比較の観点はインフルエンサー起用の発注先を比較する評価シートの作り方も参考になります。

委託契約に盛り込む内容

委託契約には、個人データの取扱いに関する条項を盛り込みます。具体的には、利用目的の範囲内での取扱い、目的外利用と第三者提供の禁止、安全管理措置の実施、再委託の条件、漏えい時の報告義務、委託元による監査や報告の求め、契約終了時の返却と削除です。インフルエンサーとの契約書にも、個人データを預ける場合は同様の条項を入れておきます。契約書全体の作り方はインフルエンサー契約書の作り方と必須チェック項目で解説しています。

海外のツールやサーバーを使う場合

海外の事業者が提供する分析ツールやクラウドサービスに個人データを保存する場合は、外国にある第三者への提供の規律が関係することがあります。クラウドサービスの事業者が保存されたデータを扱わない契約になっている場合は、提供にあたらないとされることもありますが、その場合でも、外国の制度を把握したうえで安全管理措置を講じる必要があります。どの国のどのサービスに、どの情報を保存しているかを一覧にしておき、プライバシーポリシーでの情報提供が必要かどうかを確認します。海外のインフルエンサーへの支払いを伴う施策の実務は海外インフルエンサーへの報酬支払いと為替・税務の実務でまとめています。

保管とアクセス権限の設計

保管の設計で最も重要なのは、個人データを置く場所を限定し、アクセスできる人を必要最小限にすることです。個人情報保護法では、個人データの漏えい、滅失、毀損を防ぐための安全管理措置が義務づけられています。安全管理措置には、組織的、人的、物理的、技術的な措置があり、事業の規模や扱うデータの性質に応じて講じます。

保管場所の集約

インフルエンサー施策の個人データは、施策ごとにばらばらのファイルを作るのではなく、決められた保管場所に集約します。候補者と取引先の情報は候補者管理の仕組み、契約書と請求書は契約・経理の仕組み、成果データは報告用の共有フォルダ、というように、情報の種類ごとに置き場所を1つに決めます。担当者のパソコンのデスクトップや、個人のメールボックス、メッセージアプリに個人データを残さないことをルールにし、受け取った情報は決められた場所に移したうえで元のメッセージを整理します。候補者リストの持ち方はインフルエンサー候補リストの一元管理と更新の進め方で解説しています。

アクセス権限の決め方

アクセス権限は、役割ごとに必要な情報だけを見られるように設定します。次の表は、役割ごとのアクセス範囲の例です。共有リンクを「リンクを知っている全員が閲覧可」にする設定は、リンクが転送されると誰でも見られる状態になるため、個人データを含むファイルでは使わないようにします。

担当者の異動・退職時の対応

担当者が異動や退職をするときは、アクセス権限の削除と、手元に残っている個人データの整理を必ず行います。SNSの企業アカウントやツールのログイン情報を担当者が個人で管理していた場合は、パスワードの変更も必要です。インフルエンサーとのやり取りを担当者個人のアカウントで行っていた場合、退職後もその担当者の手元に個人データが残り続けることになるため、やり取りは企業のアカウントで行うことを原則にします。従業者に対しては、個人データの扱いについての教育と、扱いの状況の確認を行うことも、事業者の義務とされています。社内ルールの整え方はインフルエンサー施策の社内ガイドライン作成手順とSNS運用ルールも参考になります。

保管期間と削除のルール

個人データは、利用する必要がなくなったときには遅滞なく消去するよう努めることが、個人情報保護法で求められています。使い終わった情報をいつまでも持ち続けると、漏えいしたときの影響が大きくなるうえ、管理の手間も増え続けます。情報の種類ごとに保管期間を決め、期間が過ぎたら削除する仕組みを作ります。

情報の種類ごとの保管期間の考え方

保管期間は、利用目的と、法令で保存が求められる期間の両方から決めます。契約書や請求書、支払いの記録は、税法などで保存期間が定められているため、その期間は保存が必要です。一方で、プレゼント企画の当選者の住所のように、賞品の発送が終われば使わない情報は、発送と問い合わせ対応の期間が過ぎたら削除します。次の表は、保管期間の考え方の例です。法令上の保存期間は書類の種類や事業者によって異なるため、税理士などに確認してください。

削除を仕組みにする方法

削除は、担当者の記憶に頼るとほぼ実行されません。施策の終了時に行う作業のリストに「個人データの削除」を入れ、削除した日と範囲を記録するようにします。保管場所が集約されていれば、施策ごと、期間ごとにまとめて削除できます。委託先に渡した個人データについても、契約に定めた方法で返却または削除してもらい、その完了の報告を受けます。記録の保存と廃棄の考え方はインフルエンサー施策の記録保存と監査対応の実務ポイントで詳しく解説しています。

本人から削除を求められた場合

インフルエンサーや応募者から、自分の情報の削除や利用の停止を求められることがあります。個人情報保護法では、一定の場合に本人が利用停止や消去を請求できると定められており、2022年の改正でその対象が広がりました。たとえば、自社が利用する必要がなくなった場合や、本人の権利や正当な利益が害されるおそれがある場合などです。求めがあった場合の受付窓口と対応の手順をあらかじめ決めておき、法令で保存が必要な情報を除いて、速やかに対応できるようにします。

フォロワー・応募者のデータの扱い

フォロワーや応募者のデータは、インフルエンサーとの取引の情報以上に慎重に扱う必要があります。施策の対象者である一般の消費者は、企業と直接の取引関係がなく、自分の情報が企業にどう使われるかを想定していないことが多いためです。プレゼント企画やUGCの活用、コメントの分析など、フォロワーの情報に触れる場面ごとにルールを決めておきます。

インサイトとフォロワー属性の扱い

インフルエンサーから受け取るインサイトの画面やフォロワー属性の集計は、年代や性別、地域などの割合が示されたもので、通常は特定の個人を識別できない統計情報です。ただし、画面の写しに特定のフォロワーのアカウント名やコメントが写り込んでいる場合は、個人情報を含むことになります。報告を受けるときは、集計の数値だけを送ってもらうか、個人が写り込まない形で送ってもらうように依頼書で伝えます。効果測定の報告の受け方はインフルエンサー施策の効果測定の方法と計測ツールで解説しています。

プレゼント企画の応募者の情報

インフルエンサーのアカウントでプレゼント企画を行う場合は、応募者の情報を誰が集め、誰が管理するのかを最初に決めます。企業が当選者の住所を集めて発送する場合は企業が、インフルエンサーが集める場合はインフルエンサーが、それぞれ個人情報を扱う主体になります。応募要項には、情報を集める主体、利用目的、賞品の発送後の削除を明記します。インフルエンサーのDMで住所を集め、それを企業に転送する流れは、情報が複数の場所に残るうえ、応募者から見て誰が情報を管理しているのかが分かりにくいため、企業が用意した応募フォームで直接集める方法が望ましい形です。

UGCやコメントの分析

投稿へのコメントやUGCを集めて分析する場合も、投稿者のアカウント名と結びついた形で一覧にすれば、個人情報を扱っていることになります。分析の目的が反応の傾向をつかむことであれば、アカウント名を外した形で集計する、分析が終わったら元のデータを削除する、といった配慮をします。UGCを広告や自社サイトで使う場合は、投稿者本人の許諾を得る必要があり、許諾の記録も個人情報として管理します。UGCの使い方はUGCマーケティングの活用法と二次利用の進め方でまとめています。

漏えい時の対応と報告

個人データの漏えいが起きた場合は、被害の拡大を防ぐ措置をとり、事実関係を調べ、要件に当たる場合は個人情報保護委員会に報告し、本人に通知することが必要です。2022年4月の改正で、一定の漏えいについての報告と通知が義務になりました。インフルエンサー施策でも、送り先リストの誤送信や、共有ファイルの公開設定の誤りなど、漏えいにつながる場面は少なくありません。

報告が必要になる場合

個人情報保護委員会への報告が必要になるのは、要配慮個人情報を含む個人データの漏えい、不正に利用されると財産的な被害が生じるおそれのある個人データの漏えい、不正の目的によるおそれがある漏えい、1,000人を超える本人の個人データの漏えいなどが、発生した場合または発生したおそれがある場合です。報告は、発覚から概ね3〜5日以内の速報と、30日以内（不正の目的によるおそれがある場合は60日以内）の確報の2段階で行います。具体的な要件と報告の方法は、個人情報保護委員会の漏えい等の対応のページで確認してください（2026年10月時点の案内に基づく整理です）。

施策で起きやすい漏えいの例と対策

次の表は、インフルエンサー施策で起きやすい漏えいの例と、その予防策をまとめたものです。多くは手作業の確認不足から起きるため、仕組みで防ぐことが大切です。

発生時の初動の流れ

漏えいに気づいたら、まず被害の拡大を防ぎます。誤送信であれば受信者に削除を依頼し、共有設定の誤りであれば公開範囲を直ちに制限します。次に、漏えいした情報の範囲、人数、原因、発生と発覚の日時を調べ、報告の要件に当たるかを判断します。要件に当たる場合は個人情報保護委員会への速報を行い、本人への通知を準備します。要件に当たらない場合でも、本人への連絡や再発防止策の検討は行うのが望ましい対応です。発生時に誰が判断し誰が連絡するかを事前に決めておくと、初動が遅れません。トラブル全般への対応はインフルエンサー案件のトラブル対処と督促・返金の実務でも整理しています。

社内体制とインフルエンサーへの説明

個人情報の扱いを施策のたびに担当者が判断する状態を避けるには、社内で扱いのルールを文書にし、インフルエンサーにも分かりやすく説明できる状態を整えておくことが重要です。ルールがあれば、担当者が変わっても同じ水準で扱えるうえ、インフルエンサーからの信頼も得やすくなります。

社内ルールに書いておく項目

社内ルールには、施策で扱う個人情報の種類、利用目的、保管場所、アクセスできる人、保管期間と削除の方法、委託先の選定と監督の方法、漏えい時の連絡体制を書きます。ルールは長い文書にする必要はなく、施策の担当者が迷ったときに参照できる1〜2枚程度の手順書にまとめると実際に使われます。新しい担当者が加わったときには、ルールの説明を引き継ぎの項目に含めます。

インフルエンサーへの説明のしかた

インフルエンサーは個人として活動しているため、自分の住所や本名、振込先を企業に伝えることに不安を感じる人も少なくありません。依頼の段階で、どの情報を何のために使い、どこに保管し、いつ削除するかを簡潔に説明すると、安心して取引に応じてもらいやすくなります。住所を伝えたくない人には、配送業者の営業所での受け取りなど、住所を企業に伝えずに済む方法を用意しておくのも一つの配慮です。個人情報の扱いへの丁寧な説明は、企業の信頼につながり、継続的な起用の関係づくりにも役立ちます。

プラットフォームを使うと楽になる部分

候補者の情報、やり取り、発送先、支払いの情報を担当者が表計算ソフトやメッセージアプリで管理すると、個人データが複数の場所に散らばり、アクセス権限の管理や削除が難しくなります。インフルエンサーのマッチングプラットフォームを使えば、候補者とのやり取りや投稿の記録を一か所に集約でき、担当者個人の端末やアカウントに個人データが残りにくくなります。プラットフォームを選ぶ際は、運営会社の個人情報の取扱いの方針と安全管理の体制を、委託先の選定と同じ観点で確認してください。

本メディアは、審査制インフルエンサー30,000人のマッチングプラットフォーム『Bloom』（株式会社ハーマンドット）が運営しています。