企業のSNSアカウントには、商品・サービスの質問、採用応募、取材依頼、苦情、個人情報を含む相談、営業連絡、不審なURLなど、性質の異なるダイレクトメッセージ（DM）が同じ受信箱へ届きます。担当者がその場で判断すると、返信漏れ、必要以上の個人情報の受け取り、誤送信、不審リンクのクリック、引き継ぎ漏れが起きやすくなります。
DMは便利な入口ですが、すべての相談をそのまま処理する場所にする必要はありません。個人情報保護委員会は、公式SNSを情報発信専用とし、コメント・リプライ・DMによる個別の質問には原則対応せず、別の公式窓口へ案内しています。これは全企業に同じ対応を求める法的ルールではありませんが、受付範囲と正式窓口を先に決める運用例として参考になります。
この記事では、2026年10月11日時点の個人情報保護委員会、IPA、Metaの一次情報をもとに、企業SNSのDM対応を5項目で整理します。アカウント自体の管理は企業SNSの権限管理、偽アカウントへの対応は企業SNSのなりすまし対策もあわせてご覧ください。
結論：DMは「受付」、個別対応は安全な窓口へ分ける
最初に、DMで回答できる内容、担当部署へ引き継ぐ内容、フォーム・電話・店舗などの正式窓口へ移す内容、返信せず通報・遮断する内容を決めます。アカウントごとの受付時間、一次返信期限、本人確認が必要な手続き、緊急時に対応しないこと、保存する記録、責任者を一つのDM運用台帳へまとめます。
DMだけで本人確認や契約変更、支払い、診療・健康相談、採用選考、機密情報の受け渡しを完結させない設計にします。内容に応じて、自社が管理する問い合わせフォームや確認済みの公式連絡先へ移し、SNS上で受け取る情報を必要最小限にします。
企業SNSのDM対応で揃える5つの設計
1．受け付ける内容と、返信しない内容を決める
アカウントのプロフィール、運用ポリシー、自動応答などで、DMを受け付ける目的と範囲を案内します。商品・サービスの一般的な質問、取材、採用、既存顧客のサポート、営業連絡を分け、各分類の担当部署と正式窓口を決めます。返信時間を保証できない場合は、常時対応や即時対応のように受け取られる表現を避けます。
Metaの公式ヘルプでは、Facebookページについて、会話開始時に表示する挨拶やインスタント返信をMeta Business Suiteの受信箱から設定できると案内しています。自動返信を使う場合も、受信したこと、通常の確認時間、個人情報を送らないこと、正式窓口のURLを簡潔に示し、自動返信だけで対応完了としません。
緊急性のある連絡、法的通知、アカウント・契約の変更、本人確認が必要な依頼など、DMでは受け付けない内容を決めます。医療機関や健康関連アカウントでは、DMで診断や個別の医療助言を行わず、院内で定めた予約・受診・緊急時の案内へつなぎます。
2．個人情報を受け取る前に、フォームへ移す基準を置く
氏名、住所、電話番号、メールアドレス、予約情報、応募書類、本人確認書類、診療・健康情報などをDMへ送るよう求めない運用にします。一般的な質問へ回答した後、個別確認が必要になった時点で、自社ドメインの問い合わせフォームなど、入力項目・利用目的・送信先を管理できる窓口へ案内します。
個人情報保護委員会の通則編は、個人情報の利用目的をできる限り具体的に特定し、あらかじめ公表していない場合は取得後速やかに通知または公表することを示しています。また、ホームページの入力画面で本人から直接個人情報を取得する場合は、原則として送信前に利用目的を明示する必要があるとしています。フォームへ移すときは、必要な項目だけを設定し、プライバシーポリシーと利用目的を送信前に確認できるようにします。
DMで自発的に個人情報が届いた場合は、内容を必要以上に転載せず、社内の定めた担当へ安全に引き継ぎます。マーケティング、営業案内、第三者提供など、問い合わせ対応から合理的に予想しにくい別目的へ使う場合は、元の連絡目的と同じだと決めつけません。問い合わせフォームの設計は医療サイトの問い合わせフォーム設計も参考にしてください。
3．送信者とリンクを、メッセージ外で確かめる
認証済みのように見える名前やアイコン、過去にやり取りした相手からのDMでも、突然届いたログイン、投票、ファイル共有、請求、権限追加、認証コードの依頼は、その場で開かないようにします。URL、添付ファイル、QRコード、短縮リンクを含むメッセージは、担当者が個人端末で試すのではなく、社内のセキュリティ手順へ回します。
IPAは、不正ログインの事例として、Instagram上の知人になりすましたDMから電話番号を聞き出す手口を紹介し、メッセージ内のURLや電話番号を使わず、公式サイトや公式アプリから真偽を確認するよう案内しています。企業をかたるメッセージについても、リンクをタップせず、当該企業の公式サイト等で確認するよう注意喚起しています。
不審なDMを見つけたら、返信や転送で拡散せず、送信者、受信日時、メッセージ、URL、添付の有無を必要な範囲で記録し、プラットフォームへの通報、社内セキュリティ担当への連絡、アカウントのログイン履歴・権限確認を行います。2026年10月9日のIPAの注意喚起も、外部公開サービスやアカウントの侵害を起点とする事案を踏まえ、組織として対策を進める必要性を示しています。
4．返信権限・期限・引き継ぎ先をセットにする
DMへ返信できる担当者を、閲覧、一次返信、個別対応、設定変更、権限管理に分けます。Metaの公式ヘルプでは、ページのタスクアクセスを持つ人がMeta Business Suiteなどからメッセージを管理できる一方、フルコントロールを持つ人は他者のアクセス追加・削除やページ削除まで行えると案内しています。返信担当に必要以上の管理権限を渡さず、退職・異動・委託終了時に見直します。
一次返信の目標時間、担当部署へ渡す期限、休日の扱い、未処理を確認する時刻を決めます。テンプレートは、受領、追加確認、正式窓口への案内、対応不可、解決、迷惑行為への警告など、目的別に用意します。ただし、氏名や案件を確認せずに送ると誤送信になり得るため、宛先、対象サービス、URL、担当名を送信前に確認します。
担当を移すときは、DMの全文を無差別に共有せず、案件番号、要点、期限、既に伝えた内容、必要な個人情報の範囲をまとめます。公開コメントとの対応範囲は企業SNSのコメント管理と分けて設計します。
5．プラットフォームの受信箱だけに履歴を残さない
対応中の案件は、アカウント、受信日時、分類、担当、一次返信、引き継ぎ先、期限、解決日、使用したテンプレートを社内の対応台帳へ残します。個人情報や添付ファイルをすべて複製するのではなく、後から対応経緯を確認するために必要な項目と保存期間を決め、アクセス権を制限します。
Instagramの公式ヘルプは、送信を取り消したメッセージはチャットから見えなくなり、データダウンロードにも含まれないと案内しています。プラットフォーム側の表示や取得データだけを唯一の業務記録とせず、重要な判断、合意、案内先、完了結果を社内の管理対象へ移します。
解決後は、返信が必要な案件が残っていないか、フォームや電話へ正しく引き継がれたか、保存期間を過ぎた記録を扱う担当が決まっているかを確認します。誤案内を送った場合は、訂正内容と時刻を残し、必要に応じて企業X投稿の訂正・削除の考え方も参照しながら、公開情報との不一致を直します。
DM運用台帳に残す項目
- 対象アカウント、受付目的、受付時間、一次返信の目標時間
- DMで回答できる内容、正式窓口へ移す内容、対応しない内容
- 問い合わせ、採用、取材、苦情、営業、不審メッセージなどの分類
- 閲覧、返信、個別対応、設定変更、権限管理の担当者
- 自動返信・定型返信の文面、公式フォーム、確認済みの連絡先
- 個人情報をフォームへ移す基準、利用目的、保存期間、アクセス権
- 不審リンク・添付・認証コード依頼の通報とエスカレーション手順
- 受信日時、一次返信、引き継ぎ先、期限、解決日、対応結果
よくある質問
DMを問い合わせ窓口として案内してもよいですか？
運用できる範囲を具体的に決めて案内します。一般的な質問の受付に限定し、本人確認、契約変更、支払い、応募書類、診療・健康情報などは、目的と安全性に合う正式窓口へ移します。返信時間や対応範囲を保証できない表現は避けてください。
相手が自分から個人情報を送ってきた場合、そのまま社内へ転送できますか？
必要性、利用目的、引き継ぐ相手、共有範囲を確認します。問い合わせ対応に不要な情報まで転送・保存せず、必要な要点へ絞ります。個別事情により判断が異なるため、社内の個人情報保護担当者や適切な専門家へ確認してください。
知っている取引先から届いたURLなら開いてもよいですか？
送信元アカウントが乗っ取られている可能性があります。突然のログイン、投票、ファイル共有、認証コード等を求めるDMは、メッセージ内のリンクや連絡先を使わず、既知の公式連絡先や公式アプリから確認します。
DMを削除すれば、記録も完全に消えますか？
一律には判断できません。サービスの仕様、報告状況、社内での転記や保存によって扱いが異なります。業務上必要な記録を受信箱だけに依存せず、保存目的、項目、期限、削除手順を社内で決めてください。
公開前・運用前チェックリスト
- DMの受付目的、対応範囲、受付時間、正式窓口を案内した
- 本人確認、契約変更、支払い、機微な情報をDMだけで完結させない
- 個人情報を求める前に、必要項目と利用目的を確認した
- 自社フォームへ移すURLを公式ドメインで確認した
- 不審なURL、添付、認証コード依頼を開かず通報する手順がある
- 閲覧、返信、設定変更、権限管理を必要な範囲に分けた
- 一次返信、引き継ぎ、未処理確認、休日対応の期限を決めた
- 対応台帳の記録項目、保存期間、アクセス権、削除担当を決めた
- PCとスマートフォンでプロフィール、自動返信、フォーム導線を確認した
まとめ：受信箱を、正式な対応フローの入口にする
企業SNSのDM対応では、早く返信することだけでなく、受付範囲、個人情報を受け取る場所、不審メッセージの確認、担当権限、引き継ぎ、記録をつなげることが重要です。DMで完結させる案件と、正式窓口へ移す案件を分けることで、利用者にも担当者にも分かりやすい運用になります。
SNSのDM対応を、問い合わせ・セキュリティ運用まで整理したい方へ
株式会社メディカルアトラクトでは、運用中のSNSアカウントと問い合わせ導線を確認し、DMの受付範囲、自動返信、フォームへ移す基準、担当権限、一次返信期限、不審メッセージの報告、対応履歴までを一つの運用台帳へ整理します。お問い合わせページから、対象アカウント、現在DMで受けている相談、困っている引き継ぎや権限の状況をお聞かせください。初回の相談では、DMで回答する内容と正式窓口へ移す内容、優先して整えるテンプレート、担当部署と確認順を具体化できます。
SNS運用を含む支援範囲はサービスページ、制作・運用例は制作実績ページをご覧ください。
本記事は株式会社メディカルアトラクト編集部（SNS運用・Web運用支援担当）が、個人情報保護委員会、IPA、Metaの公表資料を2026年10月11日に確認して作成しました。
参考にした一次情報
- 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）（2026年10月11日確認）
- ホームページ上の入力画面で連絡先を取得する場合の利用目的に関するFAQ（個人情報保護委員会）（2026年10月11日確認）
- ソーシャルメディア運用ポリシー（個人情報保護委員会）（2026年10月11日確認）
- インターネットサービスへの不正ログインによる被害が増加中（IPA）（2026年10月11日確認）
- 企業をかたるメッセージから海外SMS送信に誘導される手口を確認（IPA）（2026年10月11日確認）
- 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA）（2026年10月11日確認）
- Create an automated Messenger greeting for your Facebook Page（Meta）（2026年10月11日確認）
- About Facebook Page access（Meta）（2026年10月11日確認）
- Unsend a message you've sent in a chat on Instagram（Instagramヘルプセンター）（2026年10月11日確認）
本記事は2026年10月11日時点の公表資料に基づく一般的なSNS・問い合わせ運用上の整理であり、個別案件への法律上、情報セキュリティ上または医療上の助言ではありません。個人情報、記録保存、本人確認、緊急対応、通報の扱いは、事業、契約、情報の内容、利用するサービスによって異なります。判断が難しい場合はDMでの対応を止め、社内の個人情報保護・情報セキュリティ担当者、サービス運営元、弁護士その他の適切な専門家へ確認してください。本記事は個人情報保護委員会、IPA、Meta等の提携・監修を受けたものではなく、返信速度、問題解決、問い合わせ数、売上、法令適合、事故防止を保証しません。