このページの要点
- 名義と最終的な管理権限は顧客。入り方は、使えるなら権限付与の機能を優先する。
- 二段階認証は受託者の端末・電話番号で設定しない。例外は顧客の承諾がある場合に限る。
- 凍結・乗っ取りは、報告・復旧協力・停止期間の報酬・責任の切り分けを決める。受託者側の規約違反は禁止事項で防ぐ。
- 終了時は、引継ぎ・権限削除・パスワード変更・端末からの削除を期限付きで定める。
最初に結論：名義は顧客、ログインは「権限付与」を優先し、終了の日の手順まで書く
SNSアカウントは、顧客にとって事業の基幹となる資産です。運用代行の契約で決めておくべきことは、①アカウントの名義と最終的な管理権限が顧客にあること、②受託者がどの方法でアカウントに入るか（ID・パスワードを受け取るのか、プラットフォームの権限付与の機能を使うのか）、③二段階認証をどの端末・電話番号で設定するか、④凍結・機能制限・乗っ取りが起きたときに誰が何をするか、⑤契約が終わったときに誰がいつまでに権限を削除しパスワードを変えるか、の5点です。
事務所に届く運用代行の契約書を読むと、名義が顧客にあることは書かれていても、②から⑤が数行しかないか、まったくないものが目立ちます。ログイン情報をメッセージで送ってそのまま運用させ、終了時の扱いが何も書かれていない例もあります。名義の考え方そのものは業務委託契約書のページでも触れていますが、このページでは投稿用アカウントの認証・凍結・乗っ取り・終了時の権限削除に絞って解説します。
アカウントへの入り方は2通り：ID・パスワードの共有と、権限付与
アカウントへの入り方の比較
| 項目 | ID・パスワードを受け取る方式 | 権限付与の機能を使う方式 |
|---|---|---|
| 仕組み | 顧客のログイン情報そのものを受託者が使う | 顧客が管理画面から受託者を管理者・編集者などとして追加する |
| 誰が操作したかの記録 | 顧客本人の操作と区別しにくい | 受託者のアカウントでの操作として区別しやすい |
| 二段階認証 | 認証コードの受け渡しが必要になる | 受託者自身のアカウントの認証で足りることが多い |
| 漏えい時の影響 | アカウント全体が危険にさらされる | 受託者の権限を外せば足りる |
| 終了時 | パスワードの変更と、受託者の端末からの削除が必要 | 権限の削除で足りる |
各SNSで使える権限付与の機能や権限の種類は異なり、変更されることもあるため、契約書では特定の機能名に頼らず「権限付与の機能を利用できる場合はこれを優先する」と書いておくのが無難です。
ID・パスワードを受け取る方式は、受託者にとっても危険を抱え込むことになります。事務所がレビューした運用代行サービスの規約には、「ID等でログインがされ本サービスが利用されたときは、利用者自身の行為であるか否かを問わず利用者自身の利用とみなす」という条項がありました。事業者側を守るための条項ですが、受託者自身がそのIDを預かっている構造では、乗っ取りや誤操作が起きたときに、顧客から「預けたIDの管理責任は受託者にある」と反論されやすくなります。ID・パスワードの管理責任をどちらが負うかは、受け取る方式を選ぶときに併せて決めておきます。
SNSに限らず、他社が運営するアプリのアカウントを、利用者に代わって専用の端末で操作する「運用代行」のサービスもあります。事務所がレビューしたこの種のサービスの利用規約では、対象のアカウントが利用者自身の保有し利用権限を持つものであることを前提に、預かる認証情報の範囲、アプリ側の不具合や凍結・停止・削除について事業者が責任を負わない場合、利用者の規約違反による解除のときの扱いを定めていました。こうしたサービスは、そもそも運営会社の規約がアカウントの第三者による操作や自動化を認めているかによって、凍結の危険が大きく変わります。顧客から「アカウントごと預けたい」と言われたときは、まずプラットフォームの規約上それが許されるのかを確かめ、契約書には凍結の危険を顧客が理解していることと、その場合の料金の扱いを書いておきます。
二段階認証の登録先と、認証コードの受け渡し
二段階認証は乗っ取りを防ぐための仕組みですが、設定のしかたを誤ると、契約終了時にアカウントを取り戻せなくなる原因になります。受託者の個人の携帯電話番号や受託者の端末で二段階認証を設定してしまうと、顧客は受託者の協力なしにログインできなくなるからです。
アカウント情報の管理（外注先にも同じ水準を課す例）
1委託者は、本業務の遂行に必要な範囲に限り、受託者に対し、SNSアカウントの管理者権限、投稿権限又は閲覧権限を付与する。
2受託者は、前項の権限を委託者が指定する目的以外に使用せず、第三者に共有し、又は利用させない。
3受託者は、第1項の権限に係るアカウントの二段階認証を、受託者自身の端末又は電話番号によって設定しない。ただし、委託者があらかじめ承諾したときは、この限りでない。
4受託者は、不正アクセス、乗っ取りその他の事故が発生し、又はそのおそれがあるときは、直ちにその旨を委託者に報告する。
5本契約が終了したとき、又は担当者が交代したときは、委託者は速やかに受託者に付与した権限を削除し、又は変更する。受託者は、これに必要な協力をし、自己の端末に保存したアカウント情報を削除する。
運用代行会社が外注のディレクター・編集者に権限を渡す場合も、顧客から求められている管理水準をそのまま外注先に引き継ぐ形にします。
どうしても受託者側で認証コードを受け取る必要がある場合は、コードを受け取る連絡手段（顧客の担当者からの転送か、共有のメールアドレスか）、受け取ったコードを保存しないこと、担当者が交代したら設定を見直すこと、を手順として決めておきます。アカウントを新規に開設する代行を受ける場合は、登録するメールアドレス・電話番号・認証の端末をすべて顧客のものにすることを、申込書の段階で確認しておきます。顧客の担当者の個人のメールアドレスで登録すると、その担当者が退職したときに復旧の連絡を受け取れなくなるため、会社として管理する共有のメールアドレスを使うのが安全です。二段階認証の復旧用のコードを発行した場合は、その保管者を顧客の側に決め、受託者は保管しないことも確認しておきます。開設を代行した後に、顧客がログインと設定の変更をできることを確認してから、受託者側の操作を始める、という手順にしておくと、名義と管理権限が顧客にあることが運用の上でもはっきりします。
凍結・機能制限・乗っ取りが起きたとき
アカウントの凍結や機能制限は、プラットフォームの判断で予告なく行われることがあります。契約書では、少なくとも次の3つを決めておきます。
- 報告と初動：どちらが気づいても指定の連絡手段で直ちに相手方へ報告すること、受託者が異議申立てや本人確認の手続に協力すること（手続を行うのはアカウントの名義人である顧客であることが多い）。
- 報酬の扱い：凍結で投稿できない期間の月額料金をどうするか。事務所がレビューした規約には、プラットフォーム側の事情で運用が困難になった場合の協議・通知・精算・一部解除まで定めた、水準の高いものがありました。
- 責任の切り分け：受託者の責めに帰すべき事由がない限り責任を負わない、とするのが基本です。ただし、受託者が選んだ音源や投稿方法がきっかけで制限された場合は、受託者の責めに帰すべき事由があるとされやすくなります。
個人のInstagram投稿代行の契約書には、「規約違反その他の事由でアカウントが停止・削除・利用制限を受けた場合、受託者は一切の責任を負わない」としつつ、「明らかに受託者の故意又は重大な過失に起因する場合に限り、協議のうえ賠償の有無と範囲を決める」と定めたものがありました。理由を問わず報酬だけは支払う、あるいは理由を問わず一切責任を負わない、という書き方は、顧客との交渉で必ず問題にされます。受託者の側に原因がある場合と、プラットフォーム側の事情の場合とを分けて書くほうが、署名してもらいやすく、有事にも説明がつきます。
凍結・機能制限が起きたときの定め（責任を分けて書く例）
1アカウントの停止、凍結、機能制限、投稿の削除その他プラットフォームによる措置が生じたときは、当事者は直ちに相手方に通知し、受託者は、委託者が行う異議申立てその他の手続に必要な範囲で協力する。
2前項の措置が受託者の責めに帰すべき事由によらないときは、受託者はこれによる損害について責任を負わない。この場合、措置により本業務の全部又は一部を実施できない期間の料金は、実施できなかった業務の割合に応じて減額し、措置が1か月以上継続するときは、各当事者は書面による通知により本契約の全部又は一部を解除することができる。
3前項の措置が受託者の故意又は過失（受託者が禁止された自動化ツールの使用その他プラットフォームの規約に反する方法をとった場合を含む。）によるときは、受託者は、本契約に定める範囲でこれによって委託者に生じた損害を賠償する。
減額の割合や解除できるまでの期間は、取引の実態に合わせて調整します。外注先との基本契約にも、同じ考え方で「故意又は過失によらない措置について外注先は責任を負わない」と定めました。
凍結時の成果報酬・レベニューシェアの扱いは成果報酬の決め方のページで扱います。
受託者側の規約違反を防ぐ禁止事項
凍結の原因が受託者の運用にあると、責任の切り分けで受託者が不利になります。各SNSの利用規約は法令ではありませんが、違反すれば投稿の削除やアカウントの凍結という直接の損害が生じます。契約書や外注先向けの業務仕様書には、次のような行為を具体的に禁止しておきます。
受託者・外注先に禁止しておく行為の例
- 自動化ツールやボットによる投稿・フォロー・いいね
- フォロワー・いいね・再生数の購入
- アカウントそのものの購入や譲受け（費用項目として「アカウントの購入」を挙げた契約書の案もありましたが、多くのプラットフォームの規約に反するおそれがあります）
- 事業者アカウントでは使えない音源の使用、利用条件の確認をしない音源の使用
- 他者の投稿の無断転載、構成のそのままの流用
- 過度な繰り返し投稿、スパムと判断されやすい一斉送信
一方で、プラットフォームの規約の変更や運営者の裁量による措置については受託者の責任を問わない、という限定もあわせて置きます。
終了時：権限の削除・パスワードの変更・端末からの削除
契約が終わった後も元の受託者がアカウントに入れる状態が残っていると、無断投稿、フォロワーへの営業、乗っ取りが起こり得ます。終了時の手順は、次の流れで条項にしておきます。
契約終了時のアカウント手順（例）
- 1引継ぎ投稿予定・下書き・分析データ・素材の引渡しを、終了日から一定期間内（例えば30日以内）に行う
- 2権限削除顧客が受託者の権限を削除する。顧客から指示がない場合でも、一定期間経過後は受託者が自ら権限を外せる
- 3変更ID・パスワードを共有していた場合は、顧客がパスワードと二段階認証の設定を変更する
- 4削除の報告受託者は自己の端末・クラウド・メモに残したログイン情報を削除し、その旨を報告する
事務所がレビューした契約書には、アクセスの終了を「合理的な期間内」とする一方、データの引継ぎは「30日以内」とするなど、終了時の期限の定め方がそろっていないものがありました。また、別の契約書では「受託者は委託者の指示に従い権限を削除する」とだけ定めていたため、委託者が指示をしないまま受託者が権限を持ち続けるおそれがありました。受託者にとっても、不要な権限を持ち続けることは情報管理の負担と誤操作のリスクになるため、指示がなくても一定期間後に自ら削除できる旨を提案しました。
なお、契約が終わり利用の許諾がなくなった後に、元の受託者が他人のID・パスワードを入力してアカウントにログインすることは、不正アクセス行為の禁止等に関する法律が禁じる不正アクセス行為（同法3条）に当たり得ます。罰則として、3年以下の拘禁刑又は100万円以下の罰金が定められています（同法11条）。ただし、刑事責任の追及と、失われたアカウントやフォロワーの回復とは別の問題です。契約書で終了時の手順を決めておくことが、最も確実な予防策です。
関係者による無断使用への備え
アカウントのトラブルは、受託者との間だけで起きるわけではありません。事務所が作成した、商用アカウントを無断で使った営業DMの和解の合意書があります。法人が運用する商用SNSアカウントに関わっていた個人が、法人の承諾なく、そのアカウントを自分の事業の宣伝に使い、フォロワーに営業目的のダイレクトメッセージを送った事案でした。合意書では、事実関係と責任の承認、和解金の支払、法人の名称・アカウント・標章を今後使わない旨の誓約、秘密保持、清算条項を定めました。
このような事態を防ぐには、アカウントにアクセスできる人の一覧を顧客が管理すること、担当者の交代・退任のたびにパスワードと権限を見直すこと、運用代行契約に「アカウント情報の変更・削除・第三者への開示を委託者の承諾なく行わない」「アカウントを本業務以外の目的に使わない」と書いておくことが有効です。外注先や伴走支援の受講者からログイン情報を受け取らない設計については、伴走サポート・内製化支援のページで扱います。炎上時に投稿を非公開にする権限は投稿承認・炎上時の対応のページをご覧ください。
アカウントに入ると、DMの履歴やフォロワーの情報、問い合わせのやり取りなど、顧客の顧客の個人情報にも触れることになります。受託者は、顧客から個人データの取扱いを任された委託先の立場になり、顧客には受託者に対する必要かつ適切な監督が求められます（個人情報保護法25条）。個人の権利利益を害するおそれの大きい漏えい等の事態が起きたときは、個人情報保護委員会への報告と本人への通知が求められます（同法26条）。委託先が委託元へ通知した場合の例外も置かれています（同条1項ただし書）。契約書には、漏えい又はそのおそれを知ったら直ちに顧客へ報告すること、詳細が確定していないことを理由に最初の報告を遅らせないこと、受託者の端末やクラウドにスクリーンショットなどを残さないことを書いておきます。事務所がレビューした規約には、この最初の報告を遅らせない旨を定めたものがあり、評価できる点として挙げました。
アカウントの条項を作る前に事務所が伺うこと
- アカウントは新規に開設しますか、既存のものを運用しますか。新規開設を代行する場合は、登録メール・電話番号・認証端末の名義を最初に決める必要があるためです。
- 権限付与で運用できますか、ID・パスワードを受け取る必要がありますか。管理責任の所在と、終了時の手順が変わるためです。
- 外注先もアカウントに入りますか。どの職種にどこまでの権限を渡しますか。外注先との契約にも同じ管理水準を引き継ぐ必要があるためです。
- 凍結されたときの月額料金は、どうしたいとお考えですか。停止期間の精算と一部解除の定めを置くかどうかが決まるためです。
起きがちなこと：終了の日に困るケース
よくあるご質問
運用代行を頼むとき、ID・パスワードを渡すしかないのですか？
多くのSNSには、管理画面から他の人を管理者や編集者として追加する権限付与の機能があります。利用できる場合は、ID・パスワードを共有するよりも、誰が操作したかを区別しやすく、終了時も権限を外せば足りるため、権限付与を優先するのが無難です。
二段階認証は誰の電話番号で設定すべきですか？
アカウントの名義人である顧客の電話番号・端末で設定するのが基本です。受託者の個人の電話番号で設定すると、契約終了後に顧客が受託者の協力なしにログインできなくなるおそれがあります。
アカウントが凍結されたら、運用代行業者が責任を負いますか？
契約で決めた内容によります。プラットフォームの判断による凍結は受託者の責めに帰すべき事由がない限り責任を負わない、とするのが一般的ですが、受託者が自動化ツールや規約違反の音源を使っていた場合などは責任を問われやすくなります。
契約終了後に元の受託者がログインしたら違法ですか？
利用の許諾がなくなった後に他人のID・パスワードを入力してログインすることは、不正アクセス禁止法が禁じる不正アクセス行為に当たり得ます。ただし、アカウントの回復とは別の問題なので、終了時の権限削除とパスワード変更の手順を契約で決めておくことが大切です。
凍結された期間の月額料金は払わなければいけませんか？
契約に定めがなければ争いになりやすい点です。プラットフォーム側の事情で運用が困難になった場合の協議、通知、精算方法、一部解除の可否を契約書に書いておきます。
あわせて読みたい、関連する別のガイド
- 広告アカウントの名義と終了時の引継ぎ広告運用代行・集客支援の契約書ガイド
- 責任分界：名義・費用・アクセス権限システム保守・SES契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別の取引に必要な対応は、当事者の規模、顧客が事業者か個人か、契約内容、報酬の決め方などによって異なります。事務所の書類での扱いとして紹介している内容は、アトラス行政書士法人が作成・レビューしてきたSNS運用代行・運用支援の契約書、申込書・利用規約、外注先との基本契約・発注書、キャンペーン規約・プライバシーポリシー、リーガルレビュー報告書などを、個別の依頼者・相手方が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月18日）。参考: e-Gov法令検索 / フリーランス法特設サイト（公正取引委員会） / ステルスマーケティングに関する消費者庁の案内 / 景品規制の概要（消費者庁）
