運用代行におけるアカウントの預かりとは

運用代行におけるアカウントの預かりとは、クライアントが所有するアカウントを、運用代行会社の担当者が業務のために操作できる状態にすることです。対象は SNS 公式アカウント・広告アカウント・EC モールの店舗管理画面などです。所有者はクライアントのままで、運用代行会社は任された範囲で操作します。

アカウントの預かりとは何を指すか

預かりの対象は、クライアントの名前で投稿・出稿・受注が起きるアカウントです。「預かる」は、持ち主が変わるのではなく、操作できる状態を任されている、という意味で使います。

預かりの形は 3 つです。

1. 権限付与: 媒体(Google 広告や LINE などのサービス)の仕組みで、クライアントが担当者を招待する形
2. 共有: クライアントの ID とパスワードを受け取って使う形
3. アクセス管理ツール: 運用代行会社がツールを挟み、担当者にパスワードを見せずにログインさせる形

どの形でも、社外の担当者がクライアントのアカウントを操作する点は同じです。違いは、誰が ID とパスワードを持ち、誰が使ったかがどう残るかにあります。3 つの比較は運用代行のクライアントアカウント管理にまとめています。

委任の範囲とアカウントの扱いはなぜ分けて考えるのか

委任の範囲とは、運用代行会社が何をしてよいか(投稿・入稿・予算変更・受注処理など)で、契約で決まります。アカウントの扱いとは、担当者がどうやってそのアカウントに入り、誰がパスワードを持ち、誰が使ったかがどう記録されるかです。こちらは、契約で範囲を決めただけでは決まりません。両者を分けるのは、契約で範囲を狭く決めても、共有 ID で入っている限り、媒体上は所有者と同じ操作ができるからです。誰が操作したかも残りません。

したがって、契約書の範囲の取り決めとは別に、アカウントごとの扱いを決めておく必要があります。預かり方、パスワードを知っている人、記録の方法、担当交代時の手順の 4 つです。

個人データの取扱いを伴うとき何が変わるか

預かる業務に個人データの取扱いが含まれる場合、クライアントは個人情報保護法 25 条により、委託先である運用代行会社を監督する義務を負います。条文の言葉では「必要かつ適切な監督」(委託先がきちんと扱っているか確かめること)です。個人情報保護委員会のガイドライン(通則編)3-4-4 は、この監督の内容として 3 点を挙げています。適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握(委託先がどう扱っているかを知ること)です。同ガイドラインは、委託契約に、取扱状況を委託元が把握できる内容を盛り込むことが望ましいとしています。また、個人データの取扱いの委託を「契約の形態・種類を問わず」他の者に個人データの取扱いを行わせることと説明しています。そのため、運用代行という名称でも、EC モールの受注情報や広告の顧客リストを扱えば、この委託に当たると読めます。

この場合、運用代行会社はクライアントから安全管理措置(個人データを守るための対策)の確認を求められる立場になります。セキュリティチェックシート(委託先の安全対策を確かめる質問票)などがその形です。預かったアカウントを誰がどう使っているかも、確認の対象になります。25 条が及ぶかどうかは、業務に個人データの取扱いが含まれるかで決まります。投稿の作成と配信だけなら含まれないこともあります。DM への対応、キャンペーンの応募者情報、広告の顧客リストを扱えば含まれます。どちらに当たるかは、業務の中身をクライアントと確認して決めます。含まれない業務では、説明を求める根拠は契約と取引の慣習になります。