SNSの投稿から個人が特定される種類は、大きく3つに絞れます。写真に写り込んだもの、位置情報、プロフィール欄と過去投稿の組み合わせです。この3つを投稿前に確認することが、特定を防ぐ最初の手立てになります。

個人情報とは、生存する個人に関する情報のうち、氏名や生年月日などによって特定の個人を識別できるもの、および他の情報と容易に照合でき、それによって特定の個人を識別できることとなるものをいいます。個人情報の保護に関する法律（平成15年法律第57号）が定める考え方で、詳しい解釈は個人情報保護委員会のガイドライン（通則編）をご覧ください。

1.SNSで情報漏洩の可能性がある個人情報

SNSで漏れるのは、氏名や住所のような分かりやすい情報だけではありません。単体では誰のことか分からない情報でも、複数が組み合わさると特定につながります。判断の基準は、その情報の組み合わせによって特定の誰か一人にたどり着けるかどうかという点です。

次の3種類に分かれます。

種類	具体例
単体で個人を特定できるもの	氏名、住所、電話番号、メールアドレス、顔が判別できる写真や動画
組み合わせで特定に至るもの	勤務先、最寄り駅、生年月日、家族構成、子どもの学校名、通っている店舗
写真や映像から読み取れるもの	表札、郵便物の宛名、レシート、名札や社員証、制服のロゴ、カレンダーの書き込み

たとえば氏名だけでは同姓同名が多く、それ単独では一人に絞れません。そこに勤務先が加わると対象は一気に狭まり、最寄り駅と生活時間帯が分かれば、待ち伏せができる程度まで絞り込めます。1つの投稿では特定できない情報でも、複数が組み合わさることで個人が特定できるようになります。

顔が判別できる写真や動画も個人情報にあたります。顔の骨格や目鼻の配置から同一人物かを判定する顔認識データも同じ扱いです。

定義をもう少し詳しく知りたい場合は、下記コラムをご覧ください。

2.SNSに投稿する際の注意点

投稿ボタンを押す前に見る項目は、次の7つです。どれも投稿画面と写真を見れば判断できます。

• 背景に住所や建物が特定できるものが写っていないか
• 窓ガラス、瞳、眼鏡、金属面の反射に景色が映っていないか
• レシート、宛名入りの郵便物、薬袋、名札、社員証、カレンダーが写っていないか
• 画像ファイルに位置情報が残っていないか、投稿に位置情報を付けていないか
• プロフィール欄と過去の投稿を合わせて、勤務先や自宅の最寄りが割れないか
• 自分以外の人が写っていないか、写っているなら許可を得たか
• 投稿する時刻と頻度から生活のパターンが読み取れないか

（1）写り込みの危険性

写真から住所が特定されるまでのプロセスは、撮影者が考えるよりもはるかに簡単です。窓ガラスや瞳に映り込んだわずかな景色からでも、建物や街並みが判別され、撮影場所や住所が特定される可能性があるためです。

書類の写り込みも同じです。レシートには店舗名と日時が印字され、宛名入りの郵便物には住所が載っています。薬袋に入っているのは氏名と医療機関名で、健康に関する情報として、より慎重な取り扱いが求められる要配慮個人情報にあたります。制服や名札から学校名や勤務先が割れる点にも注意してください。撮る前に机の上を片付けておくほうが、後から加工するより確実です。

映像に写り込む個人情報の扱いは、下記コラムでも触れています。

（2）位置情報

位置情報には、性質の違う2つの種類があります。撮影した時点でファイルに記録されるものと、投稿する時点で自分が付けるものです。

前者は、カメラが撮影地点の緯度と経度を画像ファイルに書き込む仕組みによります。多くのSNSは投稿時にこの情報を取り除きますが、画像ファイルをそのまま送ったりクラウドで共有したりすると残ってしまう点に注意が必要です。後者は投稿に場所を追加する機能なので、自分の操作で止められます。

危険度が高いのは、いま居る場所をその都度発信する使い方です。自宅と勤務先、立ち寄る店舗が積み上がると、行動範囲がほぼ再現されます。撮影時の記録は端末の設定でオフにし、投稿への追加は必要なときだけに限ってください。また、旅行中の写真や投稿は帰宅後に公開することで、「今、家を空けている」という情報を発信せずに済みます。

（3）プロフィール欄と過去投稿の積み重ね

単発の投稿に注意していても、特定の材料になるのはプロフィール欄と過去の投稿です。勤務先の業種と最寄り駅をプロフィールに書き、子どもの学校行事の写真があり、誕生日を祝われた投稿が残っていれば、それだけで勤務先の業種、生活圏、家族構成がそろい、人物像を絞り込めます。

生年月日は特に扱いの難しい情報です。本人確認の質問に使われることがあり、氏名と生年月日が揃うと各種サービスへの不正ログインの足がかりになります。IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」でも、個人向けの脅威として「インターネット上のサービスへの不正ログイン」が11年連続で選出されました（2026年1月29日公開）。年に一度は、プロフィール欄と過去半年分の投稿をさかのぼって見直してください。

（4）他人のプライバシー保護

自分以外の人が写っている写真は、相手の肖像権とプライバシーの問題になります。無関係な人の顔や名札が入った場合は、加工するかトリミングで画面から外してください。

一緒に写っているのが親しい友人であっても、投稿前に本人の許可を取ってください。その日その場所にいたこと自体を、相手が知られたくないと考えている場合があるからです。先に一声かけておけば、後から削除を求められて投稿を取り下げる事態を避けられます。

（5）投稿する時間帯と生活パターン

投稿の中身だけでなく、投稿する時刻と頻度も情報になります。毎朝同じ時刻の通勤写真と、平日の夜の決まった時間帯の投稿。並べれば生活のリズムが読み取れます。時間をずらして投稿するだけで、いま何をしているかという情報の価値は下がります。

3.SNSのプライバシー設定で最低限見直す項目

プライバシー設定はサービスごとに画面の名称が変わりますが、見直す対象の種類は共通です。次の6つを確認すれば、投稿ごとの注意では届かない範囲まで手当てできます。誰に見えるか、誰が自分を見つけられるかは、設定でしか決められないからです。

1. 公開範囲。全体公開と、つながっている相手だけの公開を使い分ける
2. 検索での見つかりやすさ。電話番号やメールアドレスからアカウントを探せる設定になっていないか
3. 位置情報。撮影時の記録と投稿への追加の両方を確認する
4. タグ付けの承認。他人がタグ付けした投稿を、承認なしで自分のページに載せない
5. 連絡先の同期。端末の電話帳を渡す設定は、登録している相手の情報も送ることになる
6. 外部アプリとの連携。過去に許可したまま使っていない連携が残っていないか

見落とされやすいのは、設定画面の外で起きる情報の送信です。個人情報保護委員会は「SNSの利用者のみなさまへの留意事項」として、SNSのボタン等が設置されたウェブサイトを閲覧すると、ボタンを押さなくてもユーザーIDやアクセス先の情報がSNS側へ自動送信されることがあると案内しています。そのユーザーIDが他の情報と紐づけて管理されていれば、当該ユーザーIDは個人情報にあたります。

4.個人情報保護法はSNSの投稿にどこまで関係するのか

個人が私生活でSNSに投稿する行為には、原則として個人情報保護法上の義務がかかりません。同法が義務を課している相手は「個人情報取扱事業者」であり、これは個人情報データベース等を事業の用に供している者を指すからです（法第16条第2項）。

ここでいう「事業」について、個人情報保護委員会のガイドライン（通則編）は、一定の目的をもって反復継続して遂行される同種の行為であって、社会通念上事業と認められるものと説明しています。営利か非営利かは問いません。同委員会は、NPO法人や自治会、町内会、同窓会、PTA、サークル、マンション管理組合なども個人情報取扱事業者に該当し得ると案内しています。会社が顧客名簿・従業員名簿・メールアドレス一覧・採用応募者情報などを整理して利用している場合、規模が小さくても対象です。

私的な投稿でも、個人的な投稿であっても、責任が問われる可能性はあります。他人のプライバシーを暴く投稿、無断で撮影した写真の公開、事実を摘示して社会的評価を下げる投稿は、それぞれプライバシー侵害、肖像権の侵害、名誉毀損として民事上の損害賠償の対象になり得ます。実際に争われるのは、この枠組みのほうです。

一方、同じ投稿でも会社の業務が関わると話が変わります。従業員が業務上知った個人データを投稿した場合、責任を負うのはその会社です。個人情報取扱事業者には、取り扱う個人データの漏えいや滅失を防ぐための安全管理措置（法第23条）と、従業者に対する必要かつ適切な監督（法第24条）が義務づけられています。さらに一定の事態に該当する漏えい等が起きた場合は、個人情報保護委員会への報告と本人への通知が求められます（法第26条）。

2026年の法改正はSNSの使い方に影響するか

2026年8月時点で、SNSの使い方に直接影響する新しい義務は発生していません。

個人情報保護法については、令和8年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が第221回国会（特別会）に提出され、令和8年7月10日に成立、令和8年7月17日に公布されました。ただし施行日はまだ先で、個人情報保護委員会は政令、規則、ガイドライン等の整備を進めている段階です。同委員会は令和8年7月31日に改正法の施行へ向けたロードマップに沿って整備を進める方針を決め、令和8年8月26日には政令や規則で定める事項の全体像を決定しました（2026年8月28日時点、同委員会の公表資料による）。

改正の内容が実務にどう影響するかは、ガイドラインが整備された段階での判断になります。対応を先取りするより、現に義務づけられている安全管理措置と従業者の監督が自社で機能しているかを確認するほうが先でしょう。

5.SNSからの個人情報流出はどう起きるのか

SNSからの漏えいは、外部からの攻撃よりも内側にいる人の投稿から起きるものが目立ちます。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの脅威として「内部不正による情報漏えい等」が第7位に入り、11年連続の選出となりました（2026年1月29日公開）。

会社側から見た件数の規模も公表されています。個人情報保護委員会の令和7年度年次報告の概要（令和8年7月公表）によると、個人情報取扱事業者等に対する監督のうち、漏えい等事案に関する報告の処理は17,139件でした（令和6年度は19,056件）。SNS起因に限った統計ではないものの、漏えいの報告は日常的に処理されている状況です。

漏えいを起こした側が経過を公表している事案が1件あります。都内の医療機関は2026年4月28日、職員が2025年1月頃にSNSへ投稿した動画に患者48名の氏名が含まれていたと公表しました。発覚は2026年4月4日で、職員からの報告がきっかけでした。投稿からおよそ1年3か月が経っていました。この医療機関は投稿を削除したうえで、対象となる患者へ個別に連絡し、個人情報保護委員会への報告を終えています。あわせて、非常勤と派遣を含む職員636名全員がSNSの利用と個人情報保護に関する研修を受け、SNS利用ガイドラインの策定と院内での撮影機器の使用ルールの見直しに取り組むと公表しました。

この事案で漏れたのは、投稿者が伝えようとした内容ではなく、動画に写り込んだ氏名です。2章（1）で挙げた写り込みが、報告義務の対象になった例にあたります。

流出した後に何が続くかは、誰の身に何が起きるかで3段階に整理できます。

第1に、投稿した人が元の投稿を削除しても、転載とスクリーンショットは残ります。複製された先まで削除が届かないからです。

第2に、情報を出された本人の生活に影響が出ます。氏名と勤務先が結びついて拡散されると、職場への問い合わせや採用選考での不利につながるからです。

第3に、従業員の投稿で個人データが漏れた会社では、翌日から事実確認と報告の要否判断を同時に進めることになります。

6.投稿してしまった後にできること

対処の順序は、情報を出したのが自分か他人か、会社の業務に関わるかで変わります。

（1）自分の投稿から情報が出てしまった場合

自分のアカウントの投稿なら、気づいた時点で削除してください。自分の操作で消せるので、証拠を残す作業は要りません。

同じ情報が過去の投稿やプロフィール欄に残っていないかも確認します。1枚の写真を消しても、別の日の投稿に同じ背景が写っていれば意味がありません。転載や引用が始まっている場合は（2）へ移ります。

（2）他人に晒された場合・拡散して自分では消しきれない場合

他人のアカウントに出ている投稿は自分では削除できないため、先に画面を保存して証拠を残してください。削除依頼や相談の際に、どこにどんな内容が出ていたかを示す材料が要るからです。保存したら、自分の氏名やアカウント名で検索して転載先を洗い出し、投稿が残っているサービスの窓口へ削除を申し出ます。

削除の申し出については制度面の整備が進んでいます。従来のプロバイダ責任制限法は令和6年法律第25号による改正を経て、2025年4月に「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」（平成13年法律第137号、情報流通プラットフォーム対処法）へ名称を含めて改められ、大規模なプラットフォーム事業者に削除申し出の手続の迅速化と実施状況の透明化が義務づけられました。

自分だけで対処しきれない場合の相談先は次のとおりです。

• 違法・有害情報相談センター（総務省支援事業）
• 法務省 インターネット人権相談受付窓口
• 総務省 インターネットトラブル事例集

（3）会社で従業員の投稿から個人データが漏れた場合

投稿者の特定と投稿内容の保全を最初に行い、次に漏れた個人データの範囲を確定させてください。そのうえで、本人への通知と個人情報保護委員会への報告が必要な事態かを判断します。判断を担当者一人に委ねると初動が遅れるため、誰が決めるかを事前に固めておいてください。

社内の管理体制を一から見直すなら、下記コラムが出発点になります。

7.会社として従業員のSNS投稿をどう管理する

従業員のSNS投稿への対策は、禁止事項を並べるだけでは足りません。私用のアカウントの投稿を会社が一件ずつ確認することはできないため、どこからが業務に関わるのかの線引きと、その理由の共有で運用します。整理すべきものは3つです。

1つ目はルールです。何を禁止するかを、抽象的な心構えではなく場面で書きます。執務スペースでの撮影、業務端末の画面の撮影、取引先や来訪者に関する投稿、発売前の商品や未公表案件に触れる投稿など、迷う場面を具体的に並べてください。「業務上知り得た情報を投稿しない」とだけ書いたルールは、投稿した従業員がそれを業務上の情報だと認識していない場面では守りようがありません。

2つ目は教育です。ルールを配っただけでは行動が変わらないため、入社時と年1回、事例をもとに考えさせる形式が有効です。写真に何が写り込んでいたら問題になるかを実際の画像で判断してもらうと定着します。医療や介護のように業務上の会話が要配慮個人情報を含む業種では、投稿の可否より前に、業務の話を持ち出さない前提を共有してください。

3つ目は起きたときの連絡経路です。投稿してしまった従業員が最初に誰へ言うのかを決めておきます。言い出しにくい空気があると発覚が遅れ、その遅れがそのまま拡散の時間になるからです。報告した人を責めない運用を明示すると、初動が早まります。

この3つは、プライバシーマーク（一般財団法人日本情報経済社会推進協会が運営するプライバシーマーク制度）やISMS（情報セキュリティマネジメントシステム）の運用でも、従業者の教育および安全管理措置として求められる項目にあたります。認証取得を検討しているなら、SNSの管理を別枠の課題にせず、既存の教育計画に組み込むほうが無理なく進められます。

教育の進め方は下記コラムで解説しています。

自社が扱う個人情報の範囲を把握する作業には、下記コラムが役立ちます。

また、会社で方針やルールを定めて従業員に周知したい場合は

自社の方針をどう文書にするかは、下記コラムを参照してください。

自社の体制がどこまでできているかを確認したい方は、無料でダウンロードできるPマーク・ISO27001 漏洩事故を起こさないための個人情報保護体制チェックシートをご利用ください。

認証の取得や運用のご相談は、Pマーク（プライバシーマーク）取得とPマーク（プライバシーマーク）更新・運用で承っています。

8.まとめ

個人が私的に投稿する行為に個人情報保護法上の義務はかからないものの、プライバシー侵害や肖像権の問題は残ります。会社の場合、従業員の投稿がそのまま安全管理措置と従業者の監督の問題になり、事態によっては個人情報保護委員会への報告義務が生じる点にご注意ください。

会社として最初に取り組むべきなのは、禁止事項を増やすことではありません。投稿してしまった場合に備え、誰へ報告するかをあらかじめ決めておくことです。発覚までの時間が短いほど、被害を抑えるための対応策を取りやすくなるからです。