個人情報保護運用規則

（目的）

第1条 本規定は、一般社団法人ふらの観光振興機構（以下「機構」という。）が取り扱うすべての個人情報および関連するデータの基本的な取扱いを定め、本人の権利利益を保護するとともに、地域における信頼に基づいたデータ利活用を実現することを目的とする。

（適用範囲・守備範囲）

第2条 機構が行う事業（観光地経営、マーケティング、調査・分析、事業者支援、二次交通、人材育成、着地型商品造成等）の遂行に関連して取り扱うすべてのデータに適用する。データマネジメントプラットフォーム（以下「DMP」という。）で取り扱うデータも同様とする。

2 本規程の対象となるデータは、次の各号に掲げるとおりとする。

• （1）事業者データ 地域の宿泊・飲食・物販・体験・交通等の事業者および関係団体の会員に関する情報（担当者の氏名・連絡先、施設・店舗の属性情報を含む）。
• （2）宿泊者・滞在者データ 宿泊・予約・来訪に関する情報、来訪者調査・宿泊者アンケートの回答（属性・行動・満足度等）。
• （3）位置情報・人流データ 携帯位置情報等から得られる人の流れ・周遊に関するデータ（原則として個人を特定しない統計データ）。
• （4）その他 住民意識調査の回答、Webサイト・アプリの利用情報、機構が事業遂行のために取得・生成するデータ。

3 前項各号のうち「特定の個人を識別できる情報」または「他の情報と容易に照合して識別できる情報」が個人情報保護法上の個人情報に該当する。統計化・匿名化され個人を特定できないデータは法律上の個人情報には該当しないが、本人の安心と地域の信頼を重んじる観点から、これらのデータについても本規程の精神に沿って慎重に取り扱う。

（注記）本規程における集計・匿名化の基準（各区分に複数件以上を含める等）は、特定の個人を識別できない状態を確保するための運用上の基準であり、個人情報保護法上の「匿名加工情報」「仮名加工情報」「統計情報（個人情報非該当）」の法的要件と自動的に一致しない。少数区分からの逆算特定や他の情報との容易照合が生じないよう、加工方法を継続的に点検する。

（定義）

第3条 本方針における用語の定義は、次の各号に定めるところによる。

• （1）個人情報 生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
• （2）個人データ 個人情報データベース等を構成する個人情報をいう。
• （3）要配慮個人情報 本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないように、その取扱いに特に配慮を要するものとして個人情報保護法で定める記述等が含まれる個人情報をいう。
• （4）統計データ 複数人の情報を集計・加工し、特定の個人を識別できないようにした記述等であって、法律上の個人情報に該当しないものをいう。
• （5）共同利用 個人情報保護法第27条第5項第3号に基づき、あらかじめ定めた範囲の者が特定の個人データを共同で利用することをいう。
• （6）DMP 機構が構築および運用する観光データマネジメントプラットフォームをいう。

（取得する情報の種類）

第4条 機構は、事業の遂行に必要な範囲で、主として次の各号に掲げる個人情報を取得する。

• （1）事業者および関係団体の会員に関する情報 事業者名、施設・店舗名、担当者の氏名、役職、住所、電話番号、メールアドレス、業種・属性、ならびに機構事業への参加および協力履歴
• （2）宿泊者および滞在者に関する情報 宿泊および予約に関する情報（個人を特定しない形態での取得を原則とする。）、アンケートの回答（年齢層、性別、居住地、国籍、旅行形態、来訪目的、満足度、消費額等）、ならびに連絡先（謝礼の送付または追跡調査への同意がある場合に限る。）
• （3）住民に関する情報 住民意識調査の回答および属性（世帯構成、居住年数等）
• （4）Webサイト等の利用者に関する情報 問い合わせおよび申込みフォームへの入力情報、ならびにクッキー（Cookie）およびアクセスログ等のオンライン識別子に関する情報

2 前項の規定にかかわらず、位置情報等の人流データについては、通信事業者またはデータ提供事業者の段階で統計化または匿名化された情報（特定の個人を識別できないものに限る。）を取得するものとし、機構において個人を特定する処理は行わない。

（利用目的）

第5条 機構は、取得した個人情報を、次の各号に掲げる目的の達成に必要な範囲内で利用する。あらかじめ本人の同意を得た場合、または法令に基づく場合を除き、当該利用目的の範囲を超えて個人情報を取り扱ってはならない。

• （1）観光地経営に関する調査、分析および統計の作成、ならびにマーケティング戦略の立案（FURANO VISION 2030 の KPI 管理を含む。）
• （2）地域の事業者に対する分析結果のフィードバック、ならびに事業者の経営力強化、人材育成および販路開拓に関する支援
• （3）観光コンテンツおよび着地型旅行商品の企画、開発および販売、ならびに二次交通その他の受入環境整備
• （4）機構および株式会社ふらのDMC（以下「DMC」という。）の事業、イベントおよび調査に関する案内、ならびに資料等の送付
• （5）問い合わせおよび意見への対応、ならびに各種手続きおよび連絡
• （6）前各号に付随する業務、および法令に基づく対応

（適正な取得等）

第6条 機構は、偽りその他不正の手段により個人情報を取得してはならない。

2 機構は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、または公表しなければならない。本人から直接書面（電磁的記録を含む。）に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。

3 機構は、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。ただし、法令に基づく場合その他個人情報保護法で定める例外に該当する場合は、この限りでない。

（移管の手続きおよび本人の同意取得）

第7条 他団体が保有する会員等の事業者データ、および富良野市の事業を通じて蓄積された個人情報（メールアドレス、氏名、属性、調査データ等）を機構へ移管（第三者提供を受ける場合を含む。以下同じ。）する場合は、本章の規定によらなければならない。

2 機構は、前項の個人情報の移管にあたり、あらかじめ本人の明示的な同意を得なければならない。ただし、移管元においてあらかじめ機構への共同利用の定めがなされている場合その他法令に基づく場合は、この限りでない。

3 前項の規定により本人の同意を取得する場合、機構および移管元は、原則として次の各号に掲げるプロセスを履行しなければならない。

• （1）移管の対象となる情報の種類、保有元、および当初の取得目的を明確にすること。
• （2）本人に対し、移管の趣旨、移管元、移管先（機構）、利用目的、問い合わせおよび同意撤回の方法を、書面、電子メール、ウェブサイトその他の適切な方法により通知し、または容易に知ることができる状態に置くこと。
• （3）同意書、ウェブフォーム等により本人の確実な同意を取得すること。なお、継続的な関係のある会員および事業者等に対する通知において、一定の期間内に異議の申し出がないことをもって同意とみなす方式（いわゆるオプトアウト方式）を採用する場合は、あらかじめ移管元において個人情報保護法第27条第2項に基づく国の個人情報保護委員会への届出および公表等の法定手続きが完了している場合に限るものとし、移管後であっても本人からの撤回の機会を常に確保しなければならない。
• （4）本人の同意（前号ただし書に基づく場合を含む。）が得られた個人情報のみを機構へ移管し、当該移管に関する記録を作成し、これを保存すること。
• （5）同意が得られない場合、または同意が撤回された個人情報は機構へ移管せず、移管元における取扱いに委ねること。移管後に本人から同意の撤回、または利用停止の請求があった場合は、速やかに当該個人情報の利用を停止し、必要に応じてこれを消去すること。

4 機構は、移管後の個人情報を、前項の規定により通知または公表した利用目的の範囲内で利用する。当初の取得目的と関連性を有すると合理的に認められる範囲を超える利用を行う場合は、改めて本人の同意を得なければならない。

（第三者提供の制限）

第8条 機構は、取得した個人データを機構およびDMCの間でのみ利用するものとし、次の各号のいずれかに該当する場合を除き、あらかじめ本人の同意を得ることなく、第三者に提供または公開しない。

• （1）本人の同意がある場合。
• （2）法令に基づく場合。
• （3）人の生命、身体または財産の保護のために必要があり、本人の同意を得ることが困難な場合。
• （4）国の機関、地方公共団体等への協力に必要があり、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合。
• （5）次条に定める共同利用による場合、または利用目的の達成に必要な範囲で業務委託を行う場合。

（DMCとの共同利用）

第9条 機構は、観光地経営を一体的に推進するため、個人情報保護法第27条第5項第3号に基づき、取得した個人データをDMCと共同して利用することがある。

2 前項に基づき共同利用される個人データの項目は、氏名、住所、電話番号、メールアドレス、所属（事業者名・役職）、属性（年齢層・居住地・国籍等）、宿泊・予約・来訪に関する情報、調査・アンケートの回答内容、その他第4条に定める情報とする。

3 共同利用する個人データの利用目的は、第5条に定める利用目的（観光地経営に関する調査・分析、事業者支援、商品造成、各種案内等）とする。

4 共同利用する個人データの管理について責任を有する者は、次のとおりとする。

• 名称：一般社団法人ふらの観光振興機構（代表者：会長 大玉 英史）
• 住所：北海道富良野市本町2番27号 コンシェルジュフラノ2F

（業務委託先の管理）

第10条 機構は、利用目的の達成に必要な範囲内において、個人データの取扱いの全部または一部を外部に委託することができる。

2 前項の場合、機構は、委託先との間で個人データの取扱いに関する契約を締結する等により、委託先において個人データの安全管理が図られるよう、必要かつ適切な監督を行うものとする。

（外国にある第三者への個人データの提供）

第11条 機構は、個人データを生成AI等のクラウドサービスで取り扱う場合、可能な限り国内のサーバー（日本リージョン等）で処理されるサービスを選択するものとし、適切なセキュリティ措置が講じられていることを確認したうえで利用する。

2 機構は、海外のクラウドサービスの利用等に伴い、外国にある第三者へ個人データを提供する場合は、当該第三者が我が国の個人情報保護法に相当する措置を継続的に講ずる体制（データ処理契約または標準契約条項（SCC）の締結等）を備えていることを確認したうえで行うものとする。

3 前項の措置に関する情報、および外国にある主な委託先の名称・所在国等の情報は、本人の求めに応じて速やかに提供または開示する。

（宿泊・予約データの取扱い）

第12条 機構が宿泊施設等から提供を受ける宿泊および予約に関するデータは、原則として特定の個人を識別できない統計データ（CSV形式等）として取得し、分析に利用するものとする。

2 前項のデータに特定の個人を識別できる情報（個人データ）が含まれる場合は、本規約の各規定（利用目的、安全管理、本人の権利等）を適用するものとする。

（事業者データの取扱い）

第13条 機構が取得した事業者または会員に関する情報のうち、担当者個人を識別できる情報については、個人データとして本規約に基づき適切に保護するものとする。

2 機構は、事業者へのフィードバックや分析結果の共有を行うにあたっては、特定の事業者の非公開の営業情報（個別の売上、客単価等）が、本人の同意なく他の事業者に特定される形式で開示または共有されないよう、必要な配慮を講じるものとする。

（位置情報・人流データの取扱い）

第14条 機構が通信事業者またはデータ提供事業者等から取得する人流データは、提供元の段階で統計化または匿名化された特定の個人を識別できない情報であることを原則とし、機構において個人を特定する解析等は行わないものとする。

2 前項の定めにかかわらず、特定の個人を識別できる位置情報（個人データ等）を取り扱う場合は、あらかじめその利用目的を明示して本人の同意を得たうえで、関係法令および主務官庁が定めるガイドラインに従って適切に取り扱うものとする。

（統計データおよび匿名加工情報の取扱い）

第15条 機構は、取得した個人情報をもとに、特定の個人を識別できないよう加工した統計データまたは個人情報保護法に定める匿名加工情報を作成し、観光地経営、政策立案および地域への還元のために自ら利用し、または第三者に提供することがある。

2 前項に基づき匿名加工情報を作成または第三者に提供する場合、機構は、法令の定めに従い、当該匿名加工情報に含まれる個人に関する情報の項目等を公表するものとし、特定の個人を再識別するための行為を行わないものとする。

3 本規程における集計および匿名化の基準（特定の区分に一定件数以上を含める等の処理）は、特定の個人を識別できない状態を確保するための運用上の基準であり、個人情報保護法上の「匿名加工情報」、「仮名加工情報」または「統計情報」の法的要件と当然に同一の基準を意味するものではない。機構は、少数区分からの逆算特定や他の情報との照合が生じないよう、加工方法を継続的に点検および見直すものとする。

（生成AIの利用とデータ利活用）

第16条 機構は、観光地経営に関する調査・分析、文書作成、翻訳、業務効率化等の目的で、生成AI（人工知能）を補助的に利用することができる。

2 （人間の関与）生成AIの出力はそのまま最終判断とはせず、必ず職員による確認・検証を経て利用するものとする。

3 （データ入力の原則）機構は、個人情報を生成AIサービスに入力することを原則として行わず、生成AIによる分析は、原則として統計化または匿名化等の加工により特定の個人を識別できない状態にしたデータを対象とする。

4 （個人データを取り扱う場合の例外要件）前項の定めにかかわらず、利用目的の範囲内において、次の各号の要件をすべて満たし、かつ個人情報保護管理者の事前の承認を得た場合に限り、必要最小限の個人データを取り扱うことができる。

• （1）本人の同意または委託契約等の法令上の根拠があること。
• （2）入力データをAIモデルの学習に利用しないこと、データ保持期間の限定、および契約終了時のデータ消去が契約上担保されていること。
• （3）取り扱うデータが最小化されていること。
• （4）データへのアクセス制御、暗号化、および利用記録の保存がなされていること。
• （5）国外移転を伴う場合は、第11条の規定が厳守されていること。

5 （厳格な入力禁止データ）特定の個人を識別できる要配慮個人情報、クレジットカード情報等の決済データ、および事業者の個別の営業秘密（個社の売上、稼働率、価格戦略等）は、生データのまま生成AIサービスに入力してはならない。ただし、特定の事業者を識別できないよう業種別等で統計・集計加工されたデータはこの限りではない。

6 （シャドーITの禁止）職員が私的なアカウントまたは機構が承認していない生成AIサービスを業務に用いることを禁じる。

7 （委託先としての監督）機構が利用する生成AIサービスの提供者は、第10条に定める委託先として取り扱うものとし、データの取扱い（学習不使用、保持期間、再委託先の管理、契約終了時の消去）について契約で明確化し、必要かつ適切な監督を行う。

8 （国外移転の識別管理）生成AIの利用に伴いデータが国外に移転する場合は、第11条に従って取り扱う。なお、生成AIサービスがデータを学習に利用しないことと、当該データが国外に移転しないこととは別の事項であり、国外移転の有無は第11条により別途識別して管理するものとする。

9 （出力物の検証と明示）生成AIが生成・提示する情報には誤りが含まれる可能性があるため、機構は事実関係、著作権、および公平性（国籍、年齢、障害の有無その他の属性による不当な差別が生じないこと）を確認したうえで利用する。また、生成AIを用いて作成・加工したコンテンツには、必要に応じてその旨を明示するものとする。

10 （社内規程の整備とリスク管理）利用するサービスの具体的な名称、利用経路、データ保管場所（リージョン）、および保持期間は、別途定める「AI利用ポリシー（社内規程）」により管理する。また、個人データの取扱い、対外発信、価格設定等のリスクの高い利用については利用状況を記録して定期的に点検し、管理するものとする。

（安全管理措置）

第17条 機構は、個人データの漏えい、滅失または毀損の防止その他の安全管理のため、次の各号に掲げる措置を講じなければならない。

• （1）組織的安全管理措置：個人情報保護管理者の設置、取扱規程の整備、責任の明確化、および定期的な点検・監査の実施
• （2）人的安全管理措置：役員、職員および委託先に対する定期的な教育の実施、並びに秘密保持の徹底
• （3）物理的安全管理措置：個人データを取り扱う区域・機器の管理、並びに盗難および持ち出しを防止するためのルールの策定
• （4）技術的安全管理措置：アクセス制御および権限管理、通信・保存時の暗号化、並びに不正アクセス対策
• （5）外的環境の把握：海外のクラウドサービス等を利用して外国において個人データを取り扱う場合は、第11条の定めに従い、当該外国における個人情報の保護に関する制度および委託先の管理体制等を把握したうえで行う措置

2 個人データの漏えい等が発生し、または発生するおそれがある事態が生じた場合は、機構は直ちに二次被害の防止に努めるとともに、法令および個人情報保護委員会の定めに従い、同委員会への報告および本人への通知を行わなければならない。

3 前項の報告のうち確報は、当該事態を知った日から30日以内（不正の目的によるおそれがある漏えい等の場合は60日以内）に行わなければならない。

（保有期間および消去）

第18条 機構は、個人データを利用目的の達成に必要な範囲内において、必要な期間に限り保有するものとする。

2 機構は、利用目的を達成したとき、または当該個人データを利用する必要がなくなったときは、遅滞なく当該個人データを消去または廃棄しなければならない。

（開示・訂正・利用停止等の請求）

第19条 機構は、本人から保有個人データの開示、訂正、追加、削除、利用停止または第三者提供の停止等（以下「開示等」という。）を求められた場合は、本人であることを確認のうえ、第7章第22条に定める窓口および手続きに従い、速やかに対応するものとする。

（要配慮個人情報）

第20条 機構は、観光または地域に関する調査等において、信条、病歴（食事制限やアレルギーに関する情報等）その他の要配慮個人情報を取得する場合は、あらかじめ本人の同意を得なければならない。

2 前項の要配慮個人情報の取得は、利用目的の達成に必要な最小限の範囲にとどめるものとし、その取扱いにあたっては特段の配慮をもって慎重に取り扱うものとする。

（Cookie およびアクセス解析ツールの利用）

第21条 機構が運営するWebサイトまたはアプリ（以下「公式ウェブサイト等」という。）では、利用者の利便性向上および利用状況の分析のため、Cookieやアクセス解析ツールを利用することがある。

2 前項により取得される情報には、単体で特定の個人を識別できる情報は含まれないものとする。利用者は、自らのブラウザ設定を変更することにより、Cookieの機能を無効化することができる。

（問い合わせおよび開示等の請求窓口）

第22条 個人情報の取扱いに関する問い合わせ、第19条に定める開示等の請求、または意見等に対応するため、次のとおり窓口を設置する。

• 名称：一般社団法人ふらの観光振興機構　個人情報保護管理者
• 所在地：北海道富良野市本町2番27号 コンシェルジュフラノ2F
• E-mail：toiawase@f-tourism.or.jp

（本規程の改定）

第23条 機構は、法令の改正または事業内容の変更等に応じて、本規程を継続的に見直し、改定することがある。

2 改定後の規程は、公式ウェブサイト等への掲載その他の適切な方法により公表した時点から効力を生じるものとする。