CN101473334B - 个人信息管理装置、个人信息管理方法 - Google Patents

Abstract

本发明提供一种共享管理系统、共享管理方法以及程序。在策略变更输入装置(10)中，当存在来自用户的隐私策略的变更请求时，策略重新计算机构(133)，对已存策略与更新策略进行比较，基于比较结果对向其他提供者发送的发送策略进行重新计算，将所重新计算的发送策略发送给其他提供者。策略重新计算机构(133)，作为用户变更隐私策略的结果，判断为其他提供者不能使用个人信息时，通过删除请求生成机构(135)将个人信息的删除请求发送给其他提供者。

Description

个人信息管理装置、个人信息管理方法

技术领域

本发明涉及在多个提供者中对个人信息进行共享并管理的共享管理系统、共享管理方法以及程序，尤其涉及能够控制个人信息的生命周期的共享管理系统、共享管理方法以及程序。 

背景技术

以往的信息共享系统的一例在JP特开2005-222552号公报中有记载。如图15所示，以往的信息共享系统由多个设备构成，在设备之间对数据及其管理条件进行收发。 

该以往的信息共享系统是按照如下方式工作的。为了在两个设备之间例如职场PC51和设备52之间共享数据，或者在这些设备之间取得数据的同步，一方的设备例如职场PC51向设备52发送数据及其管理条件。接收了数据的设备52，进一步对本宅PC53自动发送所收发的数据。这时，用户可以设置是否许可在与收发数据的设备之间自动交换数据。由此，用户能够限定数据共享的范围，能够控制数据的共享。 

并且，管理个人信息的系统的一例在JP特开2002-269092号公报中有记载。在该公报中记载的系统中，电子市场提供者将按会员信息中的每个信息种类控制访问的信息(公开策略)登记在会员管理系统的数据库中，并按每个信息种类决定会员信息的所有者(电子市场提供者、ASP企业、ASP、ASP使用者)。并且，按每个所有者将控制对各自所管理/持有的会员信息访问的信息(公开规则)登记在会员管理系统的数据库中。当请求会员信息的更新或者查询时，参照公开策略以及公开规则判定是否更新或者对照。 

另外，保护个人信息的系统的一例记载在JP特开2004-5583号公报中。在该公报中所记载的系统中，将描述了从客户取得的用户个人信息的处理基准的策略信息、与根据策略信息对从客户向服务器提供的个人信息的内容进行定义的优先信息进行关联并登记，服务器为了确认是否未经用户知晓便对策略信息进行变更，而对当前时刻的优先信息以及策略信息、与登录完成的优先信息以及策略信息进行对照。 

 一般，在用户同意了提供者提示的隐私策略(个人信息的处理条件)之后，将用户的个人信息提供给提供者。多个提供者各自管理用户的个人信息，如果有用户的同意，则可将个人信息提供给其他提供者。这样，通过在多个提供者之间使个人信息流通，从而可在提供者之间共享个人信息。 

然而，有时用户希望变更隐私策略。例如，用户为了中止使用特定提供者的服务，会考虑对隐私策略中的个人信息的使用目的进行变更。另外，提供者也会对隐私策略进行变更。例如，提供者为了强化安全性也会考虑对个人信息的使用进行限制。 

关于在这样的情况下对于对用户的个人信息进行共享的所有提供者能够反映隐私策略的变更的技术，在之前描述的专利文献中没有记载。另一方面，如果不能对所有的提供者反映隐私策略的变更，则恐怕会对用户不同意的个人信息进行处理，这从个人信息保护的观点来说是不当的。另外，即使反映了隐私策略的变更，则如果没有变更成与以前规定的隐私策略匹配的隐私策略，则很有可能会准许用户所同意的范围以外的个人信息的处理。 

发明内容

因此，本发明的目的在于提供一种能够对于共享个人信息的提供者在用户同意了的范围内反映隐私策略的变更的共享管理系统、共享管理方法以及程序。 

本发明提供一种个人信息管理装置，其特征在于，包括：个人信息管理机构(11、21)，其对个人信息的处理有关的策略进行保存；策略管理机构(12、22)，其在接收到要求上述策略的变更的变更请求时，基于该变更请求对在上述个人信息管理机构中保存的策略进行更新后作为新策略；和策略生成机构(13、23)，其根据上述新策略和过去与其他个人信息管理装置通信的策略，评价是否存在虽然没有包含在上述新策略中但包含在其他个人信息管理装置所实施并保存的策略中的能够将个人信息公开的条件，在存在上述条件的情况下，将包含上述条件的删除请求的策略变更请求发送给上述其他个人信息管理装置，在不存在上述条件的情况 下，将与上述新策略对应的策略变更请求发送给上述其他个人信息管理装置。 

本发明提供一种共享管理系统，在多个提供者中，依据规定了与个人信息的处理有关的条件的策略，对该个人信息进行共享并管理，其特征在于，具备多个管理装置，用于多个提供者对个人信息进行共享并管理，管理装置，包括：个人信息管理机构，其对个人信息进行保管并管理；策略管理机构，其保管与个人信息相应的策略，并根据与规定的个人信息有关的策略的变更请求，对策略的内容进行变更；和策略生成机构，其根据与规定的个人信息有关的策略的变更请求，判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，并将变更后的策略发送给其他管理装置。 

并且，本发明提供一种共享管理系统，在多个提供者中，依据规定了与个人信息的处理有关的条件的策略，对该个人信息进行共享并管理，其特征在于，包括：多个管理装置，其用于多个提供者对个人信息进行共享并管理；以及中继装置，其对在多个管理装置之间收发的数据进行中继；管理装置包括：个人信息管理机构，其对个人信息进行保管并管理；以及策略管理机构，其对与个人信息相应的策略进行保管，并根据与规定的个人信息有关的策略的变更请求，对策略的内容进行变更；中继装置包括策略生成机构，其根据来自规定的管理装置的与规定的个人信息有关的策略的变更请求，判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，并将变更后的策略发送给其他管理装置。 

进一步，本发明还提供一种个人信息管理方法，其特征在于，具有：将与个人信息的处理有关的策略保存在存储装置(122)中的步骤；当接收到要求上述策略的变更的变更请求时，基于该变更请求对在上述存储装置中保存的策略进行更新后作为新策略的步骤；根据上述新策略和过去与其他个人信息管理装置通信的策略，评价是否存在虽然没有包含在上述新策略中但包含在其他个人信息管理装置所实施的策略中的能够将个人信息公开的条件的步骤；和在存在上述条件的情况下，将包含上述条件的删除请求的策略变更请求发送给上述其他个人信息管理装置，在不存在上述条件的情况下，将与上述新策略对应的策略变更请求发送给上述其他个人信息管理装置的步骤。 

进一步，本发明还提供一种共享管理方法，在多个提供者中，依据规定了与个人信息的处理有关的条件的策略对该个人信息进行共享并管理，其特征在于，用于多个提供者对个人信息进行共享并管理的多个管理装置依据控制程序执行如下步骤：个人信息管理步骤，将个人信息保管在存储机构中进行管理；策略管理步骤，将与个人信息相应的策略保管在存储机构中，依据与规定的个人信息有关的策略的变更请求，对策略的内容进行变更；以及策略生成步骤，根据与规定的个人信息有关的策略的变更请求， 判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，将变更后的策略发送给其他管理装置。 

进一步，本发明还提供一种共享管理方法，在多个提供者中，依据规定了与个人信息的处理有关的条件的策略对该个人信息进行共享并管理，其特征在于，用于多个提供者对个人信息进行共享并管理的多个管理装置依据控制程序执行如下步骤：个人信息管理步骤，将个人信息保管在存储机构中进行管理；以及策略管理步骤，将与个人信息相应的策略保管在存储机构中，依据与规定的个人信息有关的策略的变更请求，对策略的内容进行变更；对由多个管理装置所收发的数据进行中继的中继装置，依据控制程序执行策略生成步骤，依据来自规定的管理装置的与规定的个人信息有关的策略的变更请求，判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，将变更后的策略发送给其他管理装置。 

另外，本发明还提供一种程序，用于在多个提供者中依据规定了与个人信息的处理有关的条件的策略对该个人信息进行共享并管理，其特征在于，使在用于多个提供者对个人信息进行共享并管理的多个管理装置中执行如下处理：个人信息管理处理，将个人信息保管在存储机构中进行管理；策略管理处理，将与个人信息相应的策略保管在存储机构中，根据与规定的个人信息有关的策略的变更请求对策略的内容进行变更；策略生成处理，根据与规定的个人信息有关的策略的变更请求，判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，并将变更后的策略发送给其他管理装置。 

进一步，本发明还提供一种程序，用于在多个提供者中依据规定了与个人信息的处理有关的条件的策略对该个人信息进行共享并管理，其特征在于，使对在用于多个提供者对个人信息进行共享并管理的多个管理装置中所收发的数据进行中继的中继装置执行策略生成处理，依据来自规定的管理装置的与规定的个人信息有关的策略的变更请求，判定是否需要对由其他管理装置所管理的策略进行变更，在需要变更的情况下，对由其他管理装置所管理的策略进行变更，并将变更了的策略发送给其他管理装置。 

本发明的上述目的以及其他目的、特征以及优点，根据参照附图的以下描述便能明确。 

附图说明

图1是表示本发明的第一实施例中的提供者的关系的说明图。 

图2是表示本发明的第一实施例中的共享管理系统的结构的框图。 

图3是表示本发明的第一实施例中的提供者所处理的隐私策略的例子的说明图。 

图4是表示本发明的第一实施例中的个人信息共享处理的流程图。 

图5是表示本发明的第一实施例中的策略变更输入处理的流程图。 

图6是表示本发明的第一实施例中的策略变更请求处理的流程图。 

图7是表示本发明的第二实施例中的提供者的关系的说明图。 

图8是表示本发明的第二实施例中的共享管理系统的结构的框图。 

图9是表示本发明的第二实施例中的提供者所处理的隐私策略的例子的说明图。 

图10是表示本发明的第二实施例中的策略变更请求处理的流程图。 

图11是表示本发明的第三实施例中的共享管理系统的结构的框图。 

图12是表示本发明的第三实施例中的策略变更输入处理的流程图。 

图13是表示本发明的第四实施例中的共享管理系统的结构的框图。 

图14是用于说明本发明的系统整体的工作的顺序图。 

图15是表示在以往的设备之间将个人信息的数据对象共享的系统的框图。 

具体实施方式

以下，针对用于实施本发明的最佳实施方式参照附图详细进行说明。 

第一实施例 

图1是表示本发明的第一实施例中的提供者的关系的说明图。在图1所示的结构中，电话公司61、电力公司62以及银行63相当于提供者。在该实施例中，所谓“提供者”，是指将某些服务提供给用户的组织(或者公司)。作为提供者的例子，列举电话公司、电力公司以及银行，但并不一定限于这样的提供者，只要是将某些服务提供给用户的组织，就相当于本实施例所说的提供者。例如，向互联网提供连接服务的互联网服务提供者(ISP)、提供内容的Web网站的运营者等也相当于提供者。但是，由于本发明是与对个人信息进行共享并进行管理的系统有关的发明，因此本发明应用于提供服务的提供者中处理个人信息的提供者的系统。 

各提供者，分别从用户64取得用户的个人信息，或者自己发行个人信息。然后，各提供者61、62、63，按每个用户对所取得的个人信息进行登记并管理。各提供者在从用户取得个人信息等时，在提供者61、62、63与用户64之间缔结隐私策略。在此，所谓“隐私策略”，是指与个人信息 的处理有关所制定的基准/方针/规则。 

一般地，提供者制定与各用户的个人信息的处理相关的基准/方针等，将其作为隐私策略公开，明示或者默认同意了该隐私策略的用户将个人信息提供给提供者。对此，在本实施例中，在用户和提供者决定了将与个人信息的处理有关的基准/方针等(规则或者条件)作为隐私策略之后，用户将个人信息提供给提供者。在一般的隐私策略的制定方法中，由于是提供者一方制定隐私策略，因此不能说制定反映了各用户的意思的隐私策略，并且根据用户的意思进行隐私策略的变更都很困难。另一方面，在本实施例的方法中，可以制定反应了用户的意思的隐私策略，并且还可以根据用户的意思进行隐私策略的变更。这样，由于以反映了用户的意思的形式决定隐私策略，因此隐私策略对每个用户不同。 

具体而言，按照如下方式在用户与提供者之间决定隐私策略。在此，如图1所示，针对用户与提供者“电话公司”61决定与用户的个人信息“电话号码”有关的隐私策略的情况进行说明。作为隐私策略中的处理个人信息的条件(项目)，例如图3(A)所示，有对个人信息进行访问的权限(“访问权”)、个人信息的使用目的(“使用目的”)、对个人信息进行管理的方法(“管理方法”)、对个人信息进行重新分配的情况(向对方)的条件(“重新分配条件”)。 

提供者61，预先制定多个上述各条件(项目)中的详细内容，并将所制定的内容提示给用户64。用户64，从所提示的内容中任意选择后决定隐私策略的详细条件。在图3(A)所示的例子中，针对“访问权”，选择“用户：rxw”和“管理者：rx-”，针对“使用目的”，选择“用户管理”、“提供服务”、“市场交易”、“广告”，针对“管理方法”，选择“持久使用”、针对“重新分配条件”，选择“电话公司”、“银行”、“电力公司”。按照这样，由用户64和提供者61决定用户固有的隐私策略。然后，提供者61，依据所决定的隐私策略对用户的个人信息进行处理。另外，以上这样的隐私策略的决定方法是一例，但不限于这样的方法。 

在用户64同意个人信息的重新分配的情况下，将个人信息分配给其他提供者62、63。具体而言，如图3(A)所示，当“重新分配条件”中含有“银行”和“电力公司”时，“电话公司”可以对“银行”和“电力 公司”提供用户的个人信息“电话号码”。这样，用户的个人信息“电话号码”便在提供者“电话公司”“银行”“电力公司”之间共享了。 

在多个提供者61、62、63之间共享个人信息的情况下，接受从其他提供者提供的个人信息的提供者(电力公司62、银行63)，必须在取得或者发行了个人信息的提供者(电话公司61)中在与用户缔结的隐私策略所规定的范围内，使用由其他提供者提供的个人信息。因为取得了个人信息等的提供者中在隐私策略的范围以外的个人信息的使用，是超越用户同意的范围的个人信息的使用。因此，取得了个人信息等的提供者(电话公司61)中在隐私策略的范围内，在取得了个人信息等的提供者和接受所提供的个人信息的提供者(电力公司62、银行63)之间，与所提供的个人信息有关的隐私策略被交换。 

图3(B)表示在电话公司61和银行63之间交换(缔结)的隐私策略。并且，图3(C)表示在电话公司61和电力公司62之间交换的隐私策略。图3(B)、(C)所示的隐私策略，均为在用户和电话公司之间缔结的隐私策略的范围内的内容。 

用户64，可根据与提供者61、62、63对应的服务的使用状况等，对最初与提供者(电话公司61)缔结的隐私策略的内容进行变更。例如，在缔结了如图3(A)所示这样的隐私策略(“使用目的”为“用户管理”、“提供服务”、“市场交易”、“广告”)的情况下，可以变更成图3(D)所示这样的隐私策略(“使用目的”为“用户管理”“提供服务”)。这种情况下，由于用户同意的个人信息的使用目的的范围变窄，因此如果电话公司61与银行63之间的隐私策略、或电话公司61与电力公司62之间的隐私策略没有配合电话公司61中的隐私策略的变更来进行变更，则恐怕在用户不同意的范围以外个人信息会在电力公司或银行中被进行使用。因此，电话公司61，如图1所示，对正共享用户的个人信息的电力公司62和银行63通知请求隐私策略的变更的策略变更请求消息(策略变更通知)。然后，电力公司62和银行63，根据来自电话公司61的策略变更请求消息，执行隐私策略的变更等处理。 

以上为本发明的前提以及本发明的概要。以下，针对本发明的第一实施例的共享管理系统的结构进行详细说明。 

图2为表示本发明的第一实施例中的共享管理系统的结构的框图。如图2所示，第一实施例中的共享管理系统，由策略变更输入装置10和策略变更请求处理装置20构成。策略变更输入装置10，相当于图1中的电话公司用于管理个人信息或隐私策略的装置，策略变更请求处理装置20，相当于图1的电力公司以及银行用于管理个人信息或隐私策略的装置。 

策略变更输入装置10，接受用户的个人信息以及隐私策略的登记并进行登记管理。另外，策略变更输入装置10，接受隐私策略的变更并执行对隐私策略进行变更的处理。并且，策略变更输入装置10，判定是否需要对与其他提供者交换的隐私策略进行变更，是否需要将由其他提供者管理的个人信息删除。然后，策略变更输入装置10，根据判定结果，执行将请求隐私策略的变更的策略变更请求消息(也叫策略变更通知)或者个人信息的删除请求发送给其他提供者(策略变更处理装置20)的处理。 

如图2所示，策略变更输入装置10，具备：个人信息管理部11、策略管理部12、发送策略生成部13、输入机构14、通信机构15、共享信息决定机构16、以及共享信息管理机构17。 

个人信息管理部11，对个人信息进行登记并管理。个人信息管理部11，包括：进行个人信息的登记/变更/删除的个人信息操作机构111、和按每个用户对个人信息进行保管(存储、保存)的个人信息保管机构112。 

策略管理部12，对隐私策略进行登记并管理。策略管理部12，包括：进行隐私策略的登记/变更/删除的策略操作机构121、和按每个用户对隐私策略进行保管(存储、保存)的策略保管机构122。 

发送策略生成部13，根据来自用户的隐私策略的变更请求，对与其他提供者交换的隐私策略进行重新计算。并且，发送策略生成部13，基于隐私策略的重新计算的结果，制作策略变更请求消息或者个人信息的删除请求，将所制作的策略变更请求消息或者个人信息的删除请求发送给策略变更请求处理装置20(其他提供者)。 

发送策略生成部13，如图2所示，包括：策略历史记录保管机构131、发送提供者决定机构132、策略重新计算机构133、策略变更通知生成机构134、和删除请求生成机构135。 

策略历史记录保管机构131，保管(存储、保存)对其他提供者发送 的每个用户的个人信息以及隐私策略。在此，策略历史记录保管机构131，不仅将其他提供者当前正使用的隐私策略，还将对同一提供者过去发送的多个隐私策略作为发送历史记录(或者收发历史记录)来保管。即，在每次存在来自用户的隐私策略的变更请求时，虽然有可能将所变更后的隐私策略发送给其他提供者，但在向其他提供者发送过多次隐私策略时，将多次发送的隐私策略保管在策略历史记录保管机构131中。 

发送提供者决定机构132，基于在策略历史记录保管机构131中保管的隐私策略的发送历史记录的数据，确认是否对其他提供者已经发送了个人信息以及隐私策略，从而决定有发送策略变更请求消息或者个人信息的删除请求的可能性的提供者。 

策略重新计算机构133，对其他提供者当前正在使用的隐私策略(对其他提供者最近发送过的隐私策略，以下称作已存策略)和由用户请求变更的隐私策略(以下称作更新策略)进行比较，并根据隐私策略的变更请求判断是否需要对已存策略进行变更。 

具体而言，在更新策略包含已存策略的情况下，判断为不需要对已存策略进行变更。并且，在已存策略包含更新策略的情况下，或者虽然已存策略不包含更新策略但存在已存策略与更新策略的交集的情况下，判断为需要对已存策略进行变更。另外，在已存策略包含更新策略的情况下，将更新策略作为向其他提供者发送的隐私策略(在其他提供者中更新的隐私策略，以下称作发送策略)，在存在已存策略和更新策略的交集的情况下，将已存策略和更新策略之间的共同部分(共同的项目、内容)作为发送给其他提供者的发送策略。 

另外，在上述三个状态以外的情况下(已存策略不包含更新策略，也不存在已存策略和更新策略的交集的情况下)，判断为其他提供者(由发送提供者决定机构132所决定的提供者)无法使用要求变更隐私策略的用户的个人信息。 

策略变更通知生成机构134，在通过策略重新计算机构133判断为需要对已存策略进行变更的情况下，生成对其他提供者请求隐私策略的变更的策略变更请求消息(策略变更通知)。策略变更请求消息中，还包含由策略重新计算机构133所重新计算(变更)的隐私策略的信息。 

删除请求生成机构135，在通过策略重新计算机构133判断为其他提供者无法使用请求变更隐私策略的用户的个人信息的情况下，生成对其他提供者发送的个人信息的删除请求。 

输入机构14，根据来自用户的变更请求输入隐私策略的变更。通信机构15，经由通信线路或通信网络等与其他提供者进行规定的信息的通信(收发)。另外，作为通信线路，采用例如专用线路等，另外，作为通信网络，采用例如电话网络或因特网等网络。 

共享信息决定机构16，与其他提供者进行交涉来决定与其他提供者共享的个人信息以及与该个人信息有关的隐私策略。共享信息管理机构17，对与其他提供者共享的个人信息以及与该个人信息有关的隐私策略进行综合来制作用于发送的消息。 

策略变更请求处理装置20，接受用户的个人信息以及隐私策略的登记并进行登记管理。另外，策略变更请求处理装置20，接受隐私策略的变更并执行对隐私策略进行变更的处理。 

如图2所示，策略变更请求处理装置20，具备：个人信息管理部21、策略管理部22、通信机构23、共享信息决定机构24、和共享信息管理机构25。 

策略变更请求处理装置20，只是不具备策略变更输入装置10中的与发送策略生成部13相当的结构，策略变更请求处理装置20中的各结构与策略变更输入装置10的结构大致相同。 

即，个人信息管理部21，对个人信息进行登记并管理。个人信息管理部21，包括：个人信息操作机构211，其进行个人信息的登记/变更/删除；和个人信息保管机构212，其按每个用户对个人信息进行保管(存储、保存)。 

策略管理部22，对隐私策略进行登记并管理。策略管理部22，包括：策略操作机构221，其进行隐私策略的登记/变更/删除；和策略保管机构222，其按每个用户对隐私策略进行保管(存储、保存)。 

通信机构23，经由通信线路或通信网络等与其他提供者进行规定的信息的通信(收发)。共享信息决定机构24，与其他提供者进行交涉以决定与其他提供者共享的个人信息以及与该个人信息有关的隐私策略。共享信 息管理机构25，对与其他提供者共享的个人信息以及与该个人信息有关的隐私策略进行综合以制作用于发送的消息。 

接着，针对本发明的第一实施例中的共享管理系统的工作进行说明。 

(1)个人信息和隐私策略的登记； 

首先，在策略变更输入装置10中，进行用户的个人信息和隐私策略的登记。具体来说，个人信息管理部11的个人信息操作机构111，将由用户提供的个人信息(住所、姓名、年龄等)或者提供者自己发行的个人信息(例如如果是电话公司则为电话号码)登记在个人信息保管机构112中。并且，策略管理部12的策略操作机构121，将在用户和提供者之间缔结的隐私策略登记在策略保管机构122中。另外，在本实施例中，对策略变更输入装置10进行管理的提供者是图1的电话公司。并且，对策略变更请求处理装置20进行管理的提供者是电力公司或者银行。另外，提供者(电话公司)处理的个人信息是图3的电话号码。另外，用户与提供者之间缔结的隐私策略是图3(A)所示的内容。 

(2)个人信息与隐私策略的共享； 

图4是表示本发明的第一实施例中的个人信息共享处理的流程图。为了在提供者之间对个人信息与隐私策略进行共享，首先，策略变更输入装置10的共享信息决定机构16和策略变更请求处理装置20的共享信息决定机构24，通过交涉(谈判)来决定在提供者之间共享的个人信息以及隐私策略(步骤S1)。 

具体而言，策略变更请求处理装置20的共享信息决定机构24，在策略变更输入装置10中公开所请求的个人信息的种类和使用目的等隐私策略。然后，策略变更输入装置10的共享信息决定机构16，对与新登记的个人信息有关的隐私策略(例如图3(A)所示的与用户之间缔结的隐私策略)和由共享信息决定机构24所公开的隐私策略进行对照。对照的结果，如果是一致，则策略变更输入装置10，判断是策略变更请求处理装置20能够处理的个人信息，如果是不一致，则判断是策略变更请求处理装置20不能处理的个人信息。通过重复这样的处理，从而决定在提供者之间共享的个人信息和隐私策略。另外，有关决定在提供者之间共享的个人信息以及隐私策略的方法，更详细的内容由于本申请人在先前申请的JP特愿 2005-171329号中公开了，故可使用该方法。 

接着，在策略变更输入装置10中，共享信息管理机构17，制作综合了由步骤S1的处理所决定的个人信息和有关该个人信息的隐私策略的共享信息(步骤S2)。然后，共享信息管理机构17，经由通信机构15将所制作的共享信息发给策略变更请求处理装置20(步骤S3)。在此，在提供者之间共享个人信息时，不是仅共享个人信息，还需要将个人信息和隐私策略两者综合起来共享。这是因为由于仅在用户同意的范围内才可以使用个人信息，因此其他提供者也需要遵守用户同意的隐私策略。另外，在通过共享信息管理机构17发送共享信息时，也将该共享信息作为隐私策略的收发历史记录登记在策略历史记录保管机构131中。 

接着，在策略变更请求处理装置20中，共享信息决定机构24，经由通信机构23接收来自策略变更输入装置10的共享信息(步骤S4)。然后，共享信息管理机构25，将所接收的共享信息分离成个人信息和隐私策略，并按每个用户将个人信息登记在个人信息保管机构212中，并将隐私策略按每个用户登记在策略保管机构222中(步骤S5)。通过以上操作结束个人信息共享处理。 

(3)来自用户的隐私策略的变更 

图5是表示本发明的第一实施例中的策略变更输入处理的流程图。在策略变更输入处理中，首先，用户，在想要对在电话公司登记的个人信息有关的隐私策略进行变更的情况下，从自己的终端(例如个人电脑)向策略变更输入装置10发送隐私策略的变更请求。在策略变更输入装置10中，输入机构14，对来自用户终端的隐私策略的变更请求进行接收并受理(步骤A1)。来自用户终端的隐私策略的变更请求中，包含内容被更新后的隐私策略(更新策略)。例如，用户更新的隐私策略，是图3(D)的内容。 

策略操作机构121，将输入机构14所接收的更新策略登记(变更或者删除)在策略保管机构122中。然后，策略操作机构121，根据隐私策略的变更来判断是否需要继续个人信息的管理(步骤A3)。例如，在更新策略中的使用目的与电话公司中所希望的个人信息的使用目的不一致的情况下，判断为不继续进行该用户的个人信息的管理。在判断为继续进行个人信息的管理的情况下(步骤A3的“是”)，过渡至步骤A5的处理。在 判断为不继续进行个人信息的管理的情况下(步骤A3的“否”)，基于来自策略操作机构121的指示，个人信息操作机构111，将个人信息保管机构112中所保管的该用户的个人信息删除(步骤A4)。 

接着，发送提供者决定机构132，对在策略历史记录保管机构131中保管的数据进行检索，调查是否存在变更对象的隐私策略的发送历史记录，从而判定策略变更输入装置10是否向其他提供者发送个人信息以及隐私策略(步骤A5)。 

在没有变更对象的隐私策略的发送历史记录的情况下(步骤A5的“否”)，由于其他提供者(电力公司或银行)没有使用与变更对象的隐私策略有关的个人信息，因此结束策略变更输入处理。 

当存在变更对象的隐私策略的发送历史记录时(步骤A5的“是”)，其他提供者正使用与变更对象的隐私策略有关的个人信息。这种情况下，策略重新计算机构133，对已存策略(步骤A5所取得的隐私策略)与更新策略(步骤A1所取得的隐私策略)进行比较，并根据更新策略的内容判断是否需要对已存策略进行变更(步骤A6)。 

具体而言，首先，策略重新计算机构133，对已存策略和更新策略之间的包含关系进行调查。在更新策略包含已存策略时，判断为不需要对已存策略进行变更。因此，结束策略变更输入处理。 

在已存策略包含更新策略时，判断为需要对已存策略进行变更。这种情况下，策略重新计算机构133，将更新策略作为对其他提供者发送的发送策略。并且，在已存策略不包含更新策略但存在已存策略与更新策略的交集的情况下，也判断为需要对已存策略进行变更。这种情况下，策略重新计算机构133，将已存策略和更新策略之间的共同部分(共同的项目、内容)作为对其他提供者发送的发送策略。然后，策略变更通知生成机构134，生成策略变更请求消息(策略变更通知)(步骤A8)。 

在已存策略不包含更新策略并且不存在已存策略和更新策略的交集的情况下，判断为其他提供者(由发送提供者决定机构132所决定的提供者)不能使用进行了隐私策略的变更请求的用户的个人信息。这种情况下，删除请求生成机构135生成个人信息的删除请求(步骤A7)。 

另外，在图3所示的例子中，由于更新策略(图3(D))中的“重新 分配条件”包含银行和电力公司，因此银行和电力公司依然可使用个人信息“电话号码”。并且，由于更新策略(图3(D))的“使用目的”为“用户管理、提供服务”，银行中的已存策略(图3(B))的“使用目的”为“用户管理”，因此更新策略包含着已存策略。因此，策略重新计算机构133判断为不需要变更已存策略，不需要将更新后的隐私策略发送给银行。另一方面，与更新策略(图3(D))的“使用目的”为“用户管理、提供服务”的情况相对，电力公司的已存策略(图3(C))的“使用目的”为“市场交易”，因此已存策略不包含更新策略，不存在已存策略与更新策略之间的交集。因此，策略重新计算机构133判断为电力公司不能使用个人信息“电话号码”，生成个人信息的删除请求。 

接着，通信机构15，还基于策略变更通知生成机构134或者删除请求生成机构135的指示，将通过策略变更通知生成机构134或者删除请求生成机构135所生成的消息(策略变更请求消息或者个人信息的删除请求)发送给其他提供者的策略变更请求处理装置20(步骤A9)。以上便结束策略变更输入处理。 

(4)来自提供者的隐私策略的变更请求； 

图6是表示本发明的第一实施例中的策略变更请求处理的流程图。在策略变更请求处理中，首先，策略变更请求处理装置20的通信机构23，接收从策略变更输入装置10发送的消息(步骤A10)。当由通信机构23所接收的消息是策略变更请求消息时，策略操作机构221，依据策略变更请求消息的内容将在策略保管机构222中保管的与该用户的个人信息有关的隐私策略进行变更(步骤A11)。 

并且，策略操作机构221，判定是否需要继续进行个人信息的管理(步骤A12)。这时，当由通信机构23所接收的消息是个人信息的删除请求时，判断为不继续进行个人信息的管理。另外，即使由通信机构23所接收的消息是策略变更请求消息时，当不必根据隐私策略的变更对个人信息进行管理时，判断为不对个人信息进行管理。例如，在更新(变更)后的隐私策略中的使用目的与银行或者电力公司中所希望的个人信息的使用目的不一致的情况下，判断为不继续进行该用户的个人信息的管理。当判断为不继续进行个人信息的管理时(步骤A12的“是”)，个人信息操作机构 211，基于来自策略操作机构221的指示，将在个人信息保管机构212中保管的该用户的个人信息删除(步骤A13)。然后，结束策略变更请求处理。 

按照以上方式，根据该第一实施例，由于为如下构成，即，策略重新计算机构133，对已存策略和更新策略进行比较，并基于比较结果对向其他提供者发送的发送策略进行重新计算，将重新计算的发送策略发送给其他提供者，因此能够对共享个人信息的提供者在用户同意的范围内反映隐私策略的变更。 

并且，由于为如下构成，即，策略重新计算机构133，作为用户变更隐私策略的结果，判断为在其他提供者中不能使用个人信息时，即，其他提供者中的使用目的等与用户变更的隐私策略不符合时，由删除请求生成机构135将个人信息的删除请求发送给其他提供者，因此对于个人信息的生命周期也能适当进行管理(控制)。从而，能够确切地防止在用户所不希望的使用目的等中个人信息被使用。 

另外，在上述第一实施例中，虽然针对电话公司最初对用户的个人信息进行登记并管理并且将用户的个人信息发送给银行或者电力公司后进行使用(管理)的结构进行了说明，但其结构也可以是，电话公司、银行以及电力公司各自最初对用户的个人信息进行登记并管理，并且将用户的个人信息发送给其他提供者(自己以外的电话公司等提供者)进行使用(管理)。这种情况下，在银行或者电力公司管理的策略变更请求处理装置20中，附加与策略变更输入装置10中的输入机构14以及发送策略生成部13相当的结构。即，在策略变更请求处理装置20中，不仅具备对来自策略变更输入装置10的隐私策略的变更请求进行处理的结构，还具备受理来自用户的变更请求，向策略变更输入装置10请求隐私策略的变更的结构。如果是这样的结构，则能够在各个提供者之间共享电话公司、银行以及电力公司各自所登记的个人信息。 

第二实施例 

图7是表示本发明的第二实施例的提供者的关系的说明图。在图1所示的结构中，作为提供者，表示了电话公司、电力公司以及银行。另一方 面，在图7所示的结构中，作为提供者，除了电话公司61、电力公司62以及银行63外，还表示一站式服务(one-stop service)提供者65。 

在图7所示的结构中，用户64，在想要变更隐私策略时，用户对最初提供个人信息或者最初发行个人信息的提供者(电话公司61)发送变更了的隐私策略，请求隐私策略的变更。被请求隐私策略变更的提供者61，基于所变更后的隐私策略(从用户终端发送的隐私策略)，执行隐私策略的变更处理，并且将变更后的隐私策略作为策略变更通知(策略变更请求消息)发送给一站式服务提供者65。 

一站式服务提供者65，基于来自特定的提供者(电话公司61)的策略变更通知，判断是否需要对与其他提供者(银行63、电力公司62)交换的隐私策略进行变更，在判断为需要变更时，将含有变更了的隐私策略的信息的策略变更通知(策略变更请求消息)发送给其他提供者62、63。在这样的结构中，与在多个提供者之间单独交换策略变更通知的结构相比，能够使各提供者中交换策略变更通知的处理减轻。 

图8为表示本发明的第二实施例的共享管理系统的结构的框图。如图8所示，第二实施例中的共享管理系统，由策略变更输入装置10和策略变更请求处理装置30构成。策略变更输入装置10，相当于图7中的电话公司(另外电力公司、银行也是相同的结构)用于管理个人信息或隐私策略的装置，策略变更请求处理装置30，相当于图7中的一站式服务提供者将来自特定的提供者(图7所示的例中为电话公司)的策略变更通知转送给其他提供者(在图7所示的例中为电力公司、银行)的装置。 

如图8所示，策略变更输入装置10的结构，是与图2所示的策略变更输入装置10相同的结构。策略变更请求处理装置30的结构，是在图2所示的策略变更请求处理装置20的结构中追加转送策略生成部36。另外，针对与图2所示的结构相同的结构，省略说明。 

转送策略生成部36，基于从特定的提供者(在图7所示的例子中为电话公司)发送的隐私策略(在此为由用户变更的隐私策略)，对与其他提供者(在图7所示的例子中为电力公司、银行)交换的隐私策略进行重新计算。并且，转送策略生成部36，基于重新计算隐私策略的结果，制作策略变更请求消息或者个人信息的删除请求，将所制作的策略变更请求消息 或者个人信息的删除请求发送给其他提供者。 

转送策略生成部36，如图8所示，包括：策略历史记录保管机构361、发送提供者决定机构362、策略重新计算机构363、策略变更通知生成机构364、和删除请求生成机构365。 

策略历史记录保管机构361，对向其他提供者发送的每个用户的个人信息以及隐私策略进行保管(存储、保存)。在此，策略历史记录保管机构361，不仅将其他提供者当前使用的隐私策略，还将对同一提供者过去发送的多个隐私策略作为发送历史记录(或者收发历史记录)保管。即，在每次从特定的提供者发送隐私策略时，虽然有可能将变更后的隐私策略发送给其他提供者，但在向其他提供者多次发送过隐私策略的情况下，将多次发送过的隐私策略保管在策略历史记录保管机构131中。 

发送提供者决定机构362，基于在策略历史记录保管机构361中保管的隐私策略的发送历史记录的数据，确认是否已经对其他提供者发送了个人信息以及隐私策略，从而决定有可能发送策略变更请求消息或者个人信息的删除请求的提供者。 

策略重新计算机构363，对其他提供者当前使用的隐私策略(对其他提供者最近发送的隐私策略，以下称作已发送策略)与从特定的提供者取得的隐私策略(由用户请求变更的隐私策略，以下称作取得策略)进行比较，并根据取得策略的内容判断是否需要对已发送策略进行变更。 

具体而言，在取得策略包含已发送策略的情况下，判断为不需要对已发送策略进行变更。并且，在已发送策略包含取得策略的情况下，或者在已发送策略不包含取得策略但存在已发送策略与取得策略的交集的情况下，判断为需要对已发送策略进行变更。然后，在已发送策略包含取得策略的情况下，将取得策略作为向其他提供者发送的隐私策略(在其他提供者中更新的隐私策略，以下称作发送策略)，在存在已发送策略与取得策略的交集的情况下，将已发送策略与取得策略之间的共同部分(共同的项目、内容)作为发送给其他提供者的发送策略。 

并且，在上述三种状态以外的情况下(已发送策略不包含取得策略，也不存在已发送策略与取得策略的交集的情况下)，判断为其他提供者(由发送提供者决定机构362所决定的提供者)不能使用请求变更隐私策略的 用户的个人信息。 

策略变更通知生成机构364，在通过策略重新计算机构363判断为需要对已发送策略进行变更的情况下，生成对其他提供者请求隐私策略的变更的策略变更请求消息(策略变更通知)。策略变更请求消息中，还包含通过策略重新计算机构363所重新计算(变更)的隐私策略的信息。 

删除请求生成机构365，在通过策略重新计算机构363判断为其他提供者不能使用请求变更隐私策略的用户的个人信息的情况下，生成对其他提供者发送的个人信息的删除请求。 

另外，一站式服务提供者，由于原则上实现对在提供者之间交换的消息进行中继的中继装置的作用，因此不需要对在各提供者之间管理的个人信息进行管理。在该情况下，在策略变更请求处理装置30中，不需要个人信息管理部21以及策略管理部22的结构。但是，如图8所示，一站式服务提供者(策略变更请求处理装置30)也可以具备个人信息管理部21以及策略管理部22，对由各提供者(电话公司、电力公司)管理的个人信息进行管理。如果是这样的结构，则当例如在各提供者的装置中发生了故障等时，策略变更请求处理装置30所管理的个人信息等数据成为备份数据，可使个人信息等数据恢复。 

接着，针对本发明的第二实施方式的共享管理系统的工作进行说明。 

(1)个人信息和隐私策略的登记； 

向策略变更输入装置10登记个人信息和隐私策略的处理，与第一实施例所说明的内容相同，因此省略说明。另外，在本实施例中，对策略变更输入装置10进行管理的提供者是图7的电话公司。另外，对策略变更请求处理装置30进行管理的提供者是一站式服务提供者。另外，电话公司、电力公司、或银行处理的个人信息是图9所示的电话号码。并且，在电话公司和一站式服务提供者之间交换的隐私策略(与在用户与提供者(电话公司)之间缔结的隐私策略相同的内容)是图9(A)所示的内容。 

另外，在一站式服务提供者(策略变更请求处理装置30)中的结构也是对电话公司(策略变更输入装置10)管理的个人信息进行管理的情况下，将在策略变更输入装置10中登记的个人信息以及隐私策略发送给策略变更请求处理装置30，在策略变更请求处理装置30中也将个人信息以及隐 私策略登记在个人信息保管机构212以及策略保管机构222中。 

(2)个人信息和隐私策略的共享； 

在第一实施例中，对在提供者之间单独共享的个人信息与隐私策略的内容进行交涉来决定。但是，在该第二实施例中，一站式服务提供者代替其他提供者对个人信息的发行源的提供者(在图7所示的例子中为电话公司)与其他提供者(在图7所示的例子中为电力公司、银行)之间共享的个人信息以及隐私策略的内容进行交涉并决定。 

关于决定所共享的个人信息以及隐私策略的内容的方法，与第一实施例大致相同。即，策略变更请求处理装置30的共享信息决定机构24，代替其他提供者在策略变更输入装置10中公开其他提供者请求的个人信息的种类和使用目的等隐私策略(隐私策略的内容因每个其他提供者而不同)。然后，策略变更输入装置10的共享信息决定机构16，对新登记的个人信息有关的隐私策略(与用户之间缔结的隐私策略)与由共享信息决定机构24所公开的隐私策略进行对照。对照的结果，如果是一致，则策略变更输入装置10，判断是其他提供者能够处理的个人信息；如果是不一致，则判断是其他提供者不能处理的个人信息。通过重复这样的处理，从而决定在个人信息的发行源的提供者与其他提供者之间共享的个人信息与隐私策略。 

接着，在策略变更输入装置10中，共享信息管理机构17，制作将通过交涉所决定的个人信息与有关该个人信息的隐私策略综合后的共享信息。并且，共享信息管理机构17，将所制作的共享信息经由通信机构15发送给策略变更请求处理装置20。 

接着，在策略变更请求处理装置30中，共享信息决定机构24，经由通信机构23接收来自策略变更输入装置10的共享信息。然后，共享信息管理机构25，将所接收的共享信息分离成个人信息和隐私策略，将个人信息按每个提供者登记在个人信息保管机构212中，并将隐私策略按每个提供者登记在策略保管机构222中。然后，共享信息管理机构25，对其他提供者转送所接收的共享信息。另外，在通过共享信息管理机构25转送共享信息时，该共享信息作为隐私策略的收发历史记录登记在策略历史记录保管机构361中。其他提供者，将从策略变更请求处理装置30(一站式服 务提供者)转送的共享信息分离成个人信息和隐私策略，并登记个人信息和隐私策略。 

这样，一站式服务提供者，代替其他提供者，代行决定所共享的个人信息以及隐私策略的内容的处理等。另外，策略变更请求处理装置30的共享信息管理机构25，也可以不将从策略变更输入装置10发送的共享信息登记在个人信息保管机构212或策略保管机构222中，而直接转送给其他提供者。因为一站式服务提供者自己也可以不管理个人信息。采用这样的结构的情况下，在策略变更请求处理装置30中，不需要个人信息管理部21或策略管理部22的结构。 

(3)来自用户的隐私策略的变更； 

在该第二实施例中，与第一实施例同样，执行图5中的步骤A1～A4的处理。即，用户在想要对与在电话公司登记的个人信息有关的隐私策略进行变更的情况下，从自己的终端(例如个人电脑)向策略变更输入装置10发送隐私策略的变更请求。在策略变更输入装置10中，输入机构14，接收来自用户终端的隐私策略的变更请求并受理(步骤A1)。在来自用户终端的隐私策略的变更请求中，含有内容被更新后的隐私策略(更新策略)。例如，用户更新的更新策略为图9(D)所示的内容。 

策略操作机构121，将输入机构14所接收的更新策略登记在策略保管机构122中(步骤A2)。然后，策略操作机构121，通过隐私策略的变更判定是否需要继续个人信息的管理(步骤A3)。例如，在更新策略中的使用目的与电话公司中所希望的个人信息的使用目的不一致的情况下，判断为不继续进行该用户的个人信息的管理。在判断为不继续进行个人信息的管理的情况下(步骤A3的“否”)，基于来自策略操作机构121的指示，个人信息操作机构111，删除在个人信息保管机构112中保管的该用户的个人信息(步骤A4)。 

在第一实施例中，策略变更输入装置10，基于来自用户的隐私策略的变更请求，判断是否需要在其他提供者中对隐私策略进行变更以及是否需要将个人信息删除，并依据判断结果，发送策略变更请求消息或者个人信息的删除请求(参照步骤A5～A9)。但是，在本第二实施例中，使策略变更请求处理装置30(一站式服务提供者)代行判断是否需要在其他提供者 中对隐私策略进行变更以及是否需要将个人信息删除。因此，在策略变更输入装置10中，若存在来自用户的隐私策略的变更请求，则将由用户变更的隐私策略作为策略变更请求消息(策略变更通知)，发送给策略变更请求处理装置30。在策略变更请求消息中，包含内容被更新后的隐私策略(取得策略)。例如，用户所更新的取得策略为图9(E)所示的内容。 

(4)来自提供者的隐私策略的变更请求； 

图10为表示本发明的第二实施例中的策略变更请求处理的流程图。在策略变更请求处理中，首先，策略变更请求处理装置30的通信机构23，接收从策略变更输入装置10发送的消息(步骤A10)。然后，基于由通信机构23所接收的消息中包含的由用户变更的隐私策略(取得策略)，策略操作机构221，对在策略保管机构222中保管的与该用户的个人信息有关的隐私策略进行变更(步骤A11)。 

并且，策略操作机构221，判定是否需要继续进行个人信息的管理(步骤A12)。这时，当不必根据隐私策略的变更对个人信息进行管理时，判断为不管理个人信息。例如，在更新(变更)后的隐私策略中的使用目的与提供者中所希望的个人信息的使用目的不一致的情况下，判断为不继续进行该用户的个人信息的管理。当判断为不继续进行个人信息的管理时(步骤A12的“是”)，基于来自策略操作机构221的指示，个人信息操作机构211，将在个人信息保管机构212中保管的该用户的个人信息删除(步骤A13)。 

接着，发送提供者决定机构362，对在策略历史记录保管机构361中保管的数据进行检索，并调查是否存在变更对象的隐私策略的发送历史记录，从而判定策略变更请求处理装置30是否向其他提供者发送个人信息以及隐私策略(步骤B1)。 

在没有变更对象的隐私策略的发送历史记录的情况下(步骤B1的“否”)，由于其他提供者(电力公司或银行)没有使用与变更对象的隐私策略有关的个人信息，因此结束策略变更请求处理。 

在存在变更对象的隐私策略的发送历史记录的情况下(步骤B1的“是”)，其他提供者正使用与变更对象的隐私策略有关的个人信息。这种情况下，策略重新计算机构363，对已发送策略(步骤B1所取得的隐私 策略)和取得策略(步骤A10所取得的隐私策略)进行比较，依据取得策略的内容判断是否需要对已发送策略进行变更(步骤B2)。 

具体而言，首先，策略重新计算机构363，对已发送策略与取得策略之间的包含关系进行调查。在已发送策略包含取得策略的情况下，判断为不需要对已发送策略进行变更。因此，结束策略变更请求处理。 

在已发送策略包含取得策略的情况下，判断为需要对已发送策略进行变更。这种情况下，策略重新计算机构363，将取得策略作为对其他提供者发送的发送策略。并且，在已发送策略不包含取得策略但存在已发送策略和取得策略之间的交集的情况下，也判断为需要对已发送策略进行变更。这种情况下，策略重新计算机构363，将已发送策略和取得策略之间的共同部分(共同的项目、内容)作为对其他提供者发送的发送策略。然后，策略变更通知生成机构364，生成策略变更请求消息(策略变更通知)(步骤B4)。 

在已发送策略不包含取得策略并且不存在已发送策略和取得策略之间的交集的情况下，判断为其他提供者(由发送提供者决定机构362所决定的提供者)不能使用请求变更隐私策略的用户的个人信息。这种情况下，删除请求生成机构365生成个人信息的删除请求(步骤B3)。 

另外，在图9所示的例子中，由于取得策略(图9(D))中的“重新分配条件”包含银行和电力公司，因此银行和电力公司依然可使用个人信息“电话号码”。并且，由于取得策略(图9(D))的“使用目的”为“用户管理、提供服务”，银行中的已发送策略(图9(B))的“使用目的”为“用户管理”，因此取得策略包含已发送策略。因而，策略重新计算机构363判断为不需要对已发送策略进行变更，不需要将更新了的隐私策略发送给银行。另一方面，与取得策略(图9(D))的“使用目的”为“用户管理、提供服务”的情况相对，由于电力公司的已发送策略(图9(C))的“使用目的”为“市场交易”，因此已发送策略不包含取得策略，也不存在已发送策略与取得策略之间的交集。因此，策略重新计算机构363，判断为电力公司不能使用个人信息“电话号码”，生成个人信息的删除请求。 

接着，通信机构23，基于来自策略变更通知生成机构364或者删除请 求生成机构365的指示，将由策略变更通知生成机构364或者删除请求生成机构365所生成的消息(策略变更请求消息或者个人信息的删除请求)发送给其他提供者(步骤B5)。通过以上步骤结束策略变更请求处理。 

其他提供者(在图7所示的例子中为电力公司、银行)中的策略变更请求处理装置，基于来自策略变更请求处理装置30的消息，执行图6所示的策略变更请求处理(步骤A10～A13的处理)。 

另外，其他提供者(在图7所示的例子中为电力公司、银行)中的策略变更请求处理装置，也可以是执行图5所示的策略变更输入处理(步骤A1～A9的处理)的结构、或者执行图10所示的策略变更请求处理(步骤A10～A13、B1～B5的处理)的结构。即，也可以是其他提供者对另外的其他提供者发送策略变更请求消息或者个人信息的删除请求。 

按照以上，根据本第二实施例，由于采用的结构是，一站式服务提供者中的策略变更请求处理装置30，执行是否对隐私策略进行变更的判断，在需要变更隐私策略的情况下，将策略变更请求消息等发送给其他提供者的装置，因此能够使减轻进行隐私策略的变更的判断的处理负担以及提供者之间的消息的收发的处理负担。 

第三实施例 

在上述第一、第二实施例中，在用户请求隐私策略的变更的情况下，对个人信息的发行源的提供者(在图1以及图7所示的例子中为电话公司)进行隐私策略的变更请求。但是，还考虑用户对除个人信息的发行源的提供者以外的提供者(在图1以及图7所示的例子中为电力公司、银行等)进行隐私策略的变更请求。因此，在该第三实施例中，提出了一种结构，在用户对除个人信息的发行源的提供者以外的提供者进行隐私策略的变更请求的情况下，将隐私策略的变更请求通知给个人信息的发行源的提供者。 

图11是表示本发明的第三实施例中的共享管理系统的结构的框图。如图11所示，第三实施例中的共享管理系统，由策略变更输入装置40和策略变更请求处理装置30构成。策略变更输入装置40，相当于图7中的电力公司或者银行(另外电话公司也是相同的结构)用于管理个人信息或 隐私策略的装置，策略变更请求处理装置30，相当于图7中的一站式服务提供者用于对提供者之间的消息进行中继(转送)的装置。 

如图11所示，策略变更请求处理装置30的结构，是与图8所示的策略变更请求处理装置30相同的结构。策略变更输入装置40的结构为，在图2以及图8所示的策略变更输入装置10的结构中追加个人信息发行提供者通信部48。 

另外，关于与图2以及图8所示的结构相同的结构，省略说明。 

个人信息发行提供者通信部48，在接受了来自用户的隐私策略的变更请求的情况下，判定自己是不是个人信息的发行源的提供者，当不是发行源的提供者时，生成策略变更通知并通知给个人信息的发行源的提供者。 

如图11所示，个人信息发行提供者通信部48，包括：策略变更通知生成机构481、个人信息发行者检索机构482、以及个人信息发行者信息保管机构483。 

策略变更通知生成机构481，在自己不是发行规定用户的个人信息的提供者的情况下，生成用于对发行了个人信息的提供者传达从用户取得的隐私策略的变更请求的策略变更通知。 

个人信息发行者检索机构482，在取得个人信息时，进行将与发行了个人信息的提供者有关的信息(个人信息发行者信息)登记在个人信息发行者信息保管机构483中的处理。并且，个人信息发行者检索机构482，在接受了来自用户的隐私策略的变更请求的情况下，从个人信息发行者信息保管机构483取得个人信息发行者信息，并基于所取得的个人信息发行者信息，执行对发行了请求隐私策略变更的用户的个人信息的提供者进行检索的处理。 

个人信息发行者信息保管机构483，对与发行了个人信息的提供者有关的个人信息发行者信息进行保管(存储、保存)。另外，在个人信息发行者信息保管机构483中，作为个人信息发行者信息，以将识别用户个人的信息和识别提供者的信息对应起来的形式保管。 

接着，针对本发明的第三实施例的共享管理系统的工作进行说明。 

作为说明第三实施例的共享管理系统的工作的前提，在个人信息发行者信息保管机构483中保存个人信息发行者信息。策略变更输入装置10， 在从其他提供者取得个人信息时，将个人信息保管在个人信息保管机构112中，但此时将与个人信息对应的识别该个人信息的信息与识别发行了该个人信息的提供者的信息保管在个人信息发行者信息保管机构483中。 

图12是表示本发明的第三实施例中的策略变更输入处理的流程图。用户在想要对与在规定的提供者(例如电话公司)登记的某个人信息有关的隐私策略进行变更的情况下，从自己的终端(例如个人计算机)将隐私策略的变更请求发送给除规定的提供者以外的提供者(例如电力公司、银行)的策略变更输入装置40。这种情况下，策略变更输入装置40中，输入机构14，对来自用户终端的隐私策略的变更请求进行接收并受理(步骤C1)。来自用户终端的隐私策略的变更请求中，包含内容更新后的隐私策略(更新策略)。 

接着，个人信息发行者检索机构482，从个人信息发行者信息保管机构483取得个人信息发行者信息，基于所取得的个人信息发行者信息，对发行了请求变更隐私策略的用户的个人信息的提供者进行检索。然后，个人信息发行者检索机构482，判定自己是否为个人信息的发行源的提供者(步骤C2)。 

当个人信息的发行源的提供者为策略变更输入装置40自己时，执行第一实施例或者第二实施例的工作。即，过渡至图5的步骤A2的处理。 

另一方面，当个人信息的发行源的提供者不是策略变更输入装置40自己时，不进行基于来自用户的变更请求的隐私策略的变更处理，需要对个人信息的发行源的提供者通知来自用户的变更请求。因此，策略变更通知生成机构481，生成隐私策略的变更通知(策略变更通知)(步骤C3)。策略变更通知中，包含由用户变更的隐私策略。并且，策略变更通知中，还包含表示消息的目的地为个人信息的发行源的提供者的信息。然后，策略变更通知生成机构481，经由通信机构15将所生成的策略变更通知的消息发送给策略变更请求处理装置30(一站式服务提供者)。 

策略变更请求处理装置30，在接收到来自策略变更输入装置40的策略变更通知的消息时，将该消息转送给个人信息的发行源的提供者。并且，执行图10的步骤A10～A13、B1～B5的处理。即，执行对其他提供者发送策略变更请求消息或者个人信息的删除请求的处理。 

另外，策略变更输入装置40，也可以是不经由策略变更请求处理装置30直接对个人信息的发行源的提供者发送策略变更通知的消息的结构。这种情况下，个人信息的发行源的提供者，作为策略变更输入装置10执行第一实施例或者第二实施例中所说明的处理。 

按照以上，根据本第三实施例，由于即使用户对除个人信息的发行源的提供者以外的提供者进行隐私策略的变更请求，该变更请求也被转送给个人信息的发行源的提供者，因此用户可不在意发行了自身的个人信息的提供者而对任意的提供者发送隐私策略的变更请求，能够使用户的便利性提高。 

另外，在上述第三实施例中，作为用户进行隐私策略的变更请求的提供者，是除作为个人信息的发行源的电话公司以外的银行或者电力公司，但也可以是用户对一站式服务提供者进行隐私策略的变更请求的结构。 

第四实施例 

图13为表示本发明的第四实施例中的共享管理系统的结构的框图。如图13所示，在第一～第三实施例中的策略变更输入装置(图13中的策略变更输入装置5)中，CPU等控制部依据在硬盘等存储机构中存储的策略变更输入用程序6通过执行第一～第三实施例中说明的处理从而实现各构成部。并且，在策略变更输入装置(在图13中为策略变更输入装置5)中，个人信息保管机构112、策略保管机构122等保管机构由硬盘或其外的存储机构实现。 

并且，第一～第三实施例中的策略变更请求处理装置(在图13中为策略变更请求处理装置7)中，CPU等控制部依据在硬盘等存储机构中存储的策略变更请求处理用程序8通过执行第一～第三实施例中说明的处理从而实现各构成部。并且，在策略变更请求处理装置(在图13中为策略变更请求处理装置7)中，个人信息保管机构212、策略保管机构222等保管机构由硬盘或其外的存储机构实现。 

接着，针对本系统整体的工作进行说明。 

(1)首先，针对本发明的系统整体的具体例参照图7以及图9进行说明。如图7所示，电话公司、电力公司或银行等，对用户的个人信息(电话号码、户头帐号、住所、姓名、通话费、电力使用量等)进行管理。各 个公司管理的个人信息，经由一站式服务提供者进行收发。个人信息在公司之间已共享，所有的公司持有相同的个人信息，在进行个人信息的收发的公司之间，也进行隐私策略的收发。 

在这种状况下，用户在电话公司对与电话号码的流通有关的隐私策略进行变更，并将该变更通知给所有的公司。在图7的例子中，电话公司与图8的策略变更输入装置1对应，一站式服务提供者与图8的策略变更请求处理装置30对应。 

图9表示各个公司交换的隐私策略的例子。例如，在电话公司和一站式服务提供者之间，对如图9(A)所示的隐私策略进行交换。在该例子中，表示用户和系统管理者的访问权限、可使用个人信息的目的的一览表、管理个人信息的方法、可以共同使用个人信息的公司的一览表。同样地，在一站式服务提供者与银行之间，对如图9(B)所示这样的隐私策略进行交换，在一站式服务提供者与电力公司之间，对如图9(C)所示这样的隐私策略进行交换。 

在该状况下，考虑用户向电话公司请求按照如图9(D)所示那样对与自己的电话号码有关的隐私策略进行变更。这时，电话公司，为了与一站式服务提供者交换图9(A)所示这样的隐私策略，因此送付隐私策略的变更通知。这时，由于图9(D)所示的隐私策略变成(A)所示的隐私策略的子集(包含)，因此(D)所示的隐私策略直接变成变更通知所包含的隐私策略。通过该变更通知的收发，一站式服务提供者与电话公司之间交换的隐私策略，成为如图9(E)所示。 

在此，一站式服务提供者，判断是否向银行和电力公司发送隐私策略的变更通知。在一站式服务提供者与银行之间，对图9(B)所示这样的隐私策略进行管理，但由于这是图9(E)所示的隐私策略的子集，因此一站式服务提供者与银行之间不进行消息的收发。但是，由于在一站式服务提供者与电力公司之间规定的图9(C)所示的隐私策略、与图9(E)所示这样的更新后的隐私策略各自的使用目的之间没有共同的要素，因此一站式服务提供者判断为电力公司没有管理个人信息的权限。因此，一站式服务提供者，向电力公司发送个人信息的删除请求。当电力公司接收到删除请求时，将电话公司管理的电话号码和隐私策略删除。 

在图7所示的例子中，用户不是访问电话公司而是访问一站式服务提供者，因此在对与电话号码有关的隐私策略进行变更的情况下，变成与第三实施例对应的实施例。即使在该状况下，在电话公司和一站式服务提供者之间，对图9(A)所示的隐私策略进行交换，在一站式服务提供者与银行之间对图9(B)所示的隐私策略进行交换，在一站式服务提供者与电力公司之间对图9(C)所示的隐私策略进行交换。 

在此，用户对一站式服务提供者输入图9(D)所示的隐私策略的变更请求。但是，对用户分配电话号码的企业是电话公司，与有关电话号码的隐私策略的变更和删除有关的权限属于电话公司。因此，一站式服务提供者，向电话公司送付图9(D)所示的隐私策略的变更通知。当电话公司接到隐私策略的变更通知时，进行与第一实施例的(2)所示的处理相同的处理 

(2)接着，针对本发明的系统整体的处理以及数据(消息)的顺序，参照图14进行说明。图14是用于说明本发明的系统整体的工作的顺序图。首先，用户64，对电话公司61输入隐私策略的变更请求。电话公司61，根据来自用户64的隐私策略的变更请求，执行隐私策略的变更处理。接着，制作策略变更请求消息，并将该消息作为策略变更请求发送给一站式服务提供者65。 

一站式服务提供者65，基于策略变更请求消息，执行隐私策略的变更处理。并且，一站式服务提供者65，判定是否需要对其他提供者的隐私策略进行变更，当需要变更时，制作策略变更请求消息，并将所制作的消息发送给其他提供者(电力公司62、银行63)。 

电力公司62，基于策略变更请求消息，执行隐私策略的变更处理。当隐私策略的变更处理结束时，将表示隐私策略的变更已结束的策略变更结束消息发送给一站式服务提供者65。 

银行63，也基于策略变更请求消息，执行隐私策略的变更处理。当隐私策略的变更处理结束时，将策略变更结束消息发送给一站式服务提供者65。 

一站式服务提供者65，在从电力公司62、银行63接收到策略变更结束消息时，将该消息转送给电话公司61。电话公司61，当接收到来自一 站式服务提供者65的策略变更结束消息时，将策略变更结束消息转送给用户64的终端。这样，由于策略变更结束消息被发送给电话公司61以及用户64，因此电话公司以及用户能够知道处理个人信息的提供者已结束了隐私策略的变更。 

另外，上述各实施例所示的结构是一例，可与实施状况对应适当变更结构。 

例如，图3以及图9所示的隐私策略是一例，可规定图3以及图9所示的项目以外的项目作为隐私策略。 

并且，虽然针对如下结构进行了说明，即，基于来自用户的隐私策略的变更请求，对管理个人信息的提供者的隐私策略进行变更，但结构也可以是，在规定的提供者中与个人信息的处理有关的基本方针改变了的情况下，基于来自规定的提供者的隐私策略的变更请求，对管理个人信息的提供者的隐私策略进行变更。这种情况下，通过在存在来自用户的隐私策略的变更请求时执行同样的处理，从而可对管理个人信息的各提供者的隐私策略进行变更。 

另外，在上述各实施例中，虽然针对使隐私策略中规定的条件变窄(变严)的情况下的变更作了说明，然而还考虑根据来自用户或者提供者的请求使隐私策略规定的条件变宽(变松)的情况下的变更。但是，这种情况，由于必须是在用户和提供者之间相互同意之后重新规定与个人信息的处理有关的条件，因此只要进行与新设置隐私策略的处理同样的处理即可。 

如以上所说明，根据上述实施例的共享管理系统，能够向共享个人信息的提供者在用户同意了的范围内反映隐私策略的变更 

本发明，可以采用以下的形式。 

本发明的多个管理装置，由例如策略变更输入装置10、40或策略变更请求处理装置20实现。个人信息管理机构，由例如个人信息管理部11、21实现。策略管理机构，由例如策略管理部12、22实现。策略生成机构，由例如发送策略生成部13以及转送策略生成部36实现。 

管理装置，也可以是包含变更请求受理机构的结构，该变更请求受理机构受理来自用户终端的与用户个人信息有关的策略的变更请求。在此，变更请求受理机构，由例如输入机构14实现。根据这样的结构，能够确 切地受理并反映来自用户的策略的变更请求。 

管理装置或者中继装置，也可以包含变更请求发送机构，当接受到自己最初登记的个人信息以外的与个人信息有关的策略的变更请求时，对最初登记该个人信息的提供者的管理装置发送策略的变更请求。在此，变更请求发送机构，例如由个人信息发行提供者通信部48实现。根据这样的结构，用户可以对个人信息的发行源的管理装置或者中继装置以外的装置进行策略的变更请求，可以使用户的便利性提高。 

策略生成机构的构成也可以是，确认被请求变更的策略与由其他管理装置所管理的策略之间的包含关系，当所请求变更的策略包含所正管理的策略时，判断为不需要对正被管理的策略进行变更，当被管理的策略包含被请求变更的策略时，将被管理的策略作为请求变更的策略，当被管理的策略不包含所请求变更的策略时，确认是否存在被请求变更的策略与所管理的策略的交集，当存在交集时，将被管理的策略作为所请求变更的策略。采用这样的结构，能够确切地实现在用户同意的范围内的隐私策略的变更。 

策略生成机构的结构也可以是，确认是否存在所请求变更的策略与所管理的策略的交集，当不存在交集时，对其他管理装置发送由该其他管理装置所管理的个人信息的删除请求，其他管理装置的个人信息管理机构，根据个人信息的删除请求，删除正保管的个人信息。根据这样的结构，能够确切地防止因用户不希望的使用目的等使个人信息被使用。 

管理装置也可以是按照执行变更请求受理步骤的方式构成，在该步骤中受理与来自用户终端的与用户个人信息有关的策略的变更请求。采用这样的结构，能够确切地受理并反映来自用户的策略的变更请求。 

当管理装置或者中继装置接受了与除自己最初登记的个人信息以外的个人信息有关的策略的变更请求时，执行变更请求发送步骤，对最初登记该个人信息的提供者的管理装置发送策略的变更请求。采用这样的结构，用户能够对个人信息的发行源的管理装置或者中继装置以外的装置进行策略的变更请求，能够使用户的便利性提高。 

在策略生成步骤中，确认被请求变更的策略与由其他管理装置所管理的策略之间的包含关系，当所请求变更的策略包含所管理的策略时，判定 为不需要对所管理的策略进行变更，当所管理的策略包含所请求变更的策略时，将所管理的策略作为请求变更的策略，当所管理的策略不包含所请求变更的策略时，确认是否存在所请求变更的策略与所管理的策略的交集，当存在交集时，将所管理的策略作为所请求变更的策略。如果采用这样的结构，则能够确切地实现在用户同意的范围内的隐私策略的变更。 

在策略生成步骤中，其结构也可以是，确认是否存在所请求变更的策略与所管理的策略的交集，当不存在交集时，对其他管理装置发送由该其他管理装置所管理的个人信息的删除请求，在个人信息管理步骤中，根据个人信息的删除请求，将正保管的个人信息删除。如果采用这样的结构，则能够确切地防止因用户不希望的使用目的等而使用个人信息。 

也可以是使管理装置执行变更请求受理处理的结构，受理来自用户终端的与用户的个人信息有关的策略的变更请求。如果采用这样的结构，则能够确切地受理并反映来自用户的策略的变更请求。 

还可以是这样的结构，使管理装置或者中继装置执行变更请求发送处理，当接受到与除自己最初登记的个人信息以外的个人信息有关的策略的变更请求时，对最初登记该个人信息的提供者的管理装置发送策略的变更请求。如果采用这样的结构，则用户能够对个人信息的发行源的管理装置或者中继装置以外的装置进行策略的变更请求，能够使用户的便利性提高。 

在策略生成处理中，其结构也可以是，确认被请求变更的策略与由其他管理装置所管理的策略之间的包含关系，当所请求变更的策略包含所管理的策略时，判定为不需要对所管理的策略进行变更，当所管理的策略包含所请求变更的策略时，将所管理的策略作为所请求变更的策略，当所管理的策略不包含所请求变更的策略时，确认是否存在所请求变更的策略与所管理的策略之间的交集，如果存在交集，则将所管理的策略作为所请求变更的策略。如果采用这样的结构，则能够确切地实现在用户同意的范围内的隐私策略的变更。 

在策略生成处理中，其结构也可以是，确认是否存在所请求变更的策略与所管理的策略之间的交集，当不存在交集时，对其他管理装置发送由该其他管理装置所管理的个人信息的删除请求，在个人信息管理处理中， 根据个人信息的删除请求，删除所保管的个人信息。如果采用这样的结构，能够确切地防止因用户不希望的使用目的等而使用个人信息。 

以上虽然基于其优选实施例对本发明进行了说明，但本发明并非限于上述实施例，根据上述实施例的结构实施各种修正以及变更后的结构也包含在本发明的范围内。 

工业上的可使用性 

本发明能够应用于提供需要个人信息的服务的提供者的服务提供装置、或使服务提供装置的计算机执行处理的程序这样的用途。并且，还能够应用于在各种组织之间共享个人信息的一站式服务这样的用途。 

本申请主张以2006年6月22日申请的日本专利申请2006-172254号公报为基础的优先权，通过引用将其公开的全部内容加入本申请的说明书中。 

Claims (8)

1.一种个人信息管理装置，其特征在于，

包括：

个人信息管理机构(11、21)，其对个人信息的处理有关的策略进行保存；

策略管理机构(12、22)，其在接收到要求上述策略的变更的变更请求时，基于该变更请求对在上述个人信息管理机构中保存的策略进行更新后作为新策略；和

策略生成机构(13、23)，其根据上述新策略和过去与其他个人信息管理装置通信的策略，评价是否存在虽然没有包含在上述新策略中但包含在其他个人信息管理装置所实施并保存的策略中的能够将个人信息公开的条件，在存在上述条件的情况下，将包含上述条件的删除请求的策略变更请求发送给上述其他个人信息管理装置，在不存在上述条件的情况下，将与上述新策略对应的策略变更请求发送给上述其他个人信息管理装置。

2.根据权利要求1所述的个人信息管理装置，其特征在于，

上述策略管理机构(12、22)，在接收到上述策略的变更请求时，判定正在实施的策略中所包含的能够将个人信息公开的条件是否包含用户的指定以外的特定条件，当判定为包含该特定条件时，向实施能够公开个人信息的条件不包含用户的指定以外的条件的策略的其他个人信息管理装置转送上述所接收的变更请求。

3.根据权利要求1或2所述的个人信息管理装置，其特征在于，

上述策略生成机构(13、23)，在上述评价时如果评价为不存在能够将上述新策略与其他个人信息管理装置正在实施的策略所共同的个人信息公开的条件，则对上述其他个人信息管理装置发送所有的个人信息的删除请求。

4.根据权利要求3所述的个人信息管理装置，其特征在于，

上述策略管理机构(12)，在接收到上述所有的个人信息的删除请求时，将所保管的个人信息全部删除。

5.一种个人信息管理方法，其特征在于，具有：

将与个人信息的处理有关的策略保存在存储装置(122)中的步骤；

当接收到要求上述策略的变更的变更请求时，基于该变更请求对在上述存储装置中保存的策略进行更新后作为新策略的步骤；

根据上述新策略和过去与其他个人信息管理装置通信的策略，评价是否存在虽然没有包含在上述新策略中但包含在其他个人信息管理装置所实施的策略中的能够将个人信息公开的条件的步骤；和

在存在上述条件的情况下，将包含上述条件的删除请求的策略变更请求发送给上述其他个人信息管理装置，在不存在上述条件的情况下，将与上述新策略对应的策略变更请求发送给上述其他个人信息管理装置的步骤。

6.根据权利要求5所述的个人信息管理方法，其特征在于，

还具有：

在接收到上述策略的变更请求时，判定正在实施的策略所包含的能够将个人信息公开的条件是否包含用户的指定以外的特定条件的步骤；和

当判定为包含特定条件时，向实施能够公开个人信息的条件不包含用户的指定以外的条件的策略的其他个人信息管理装置转送上述所接收的变更请求。

7.根据权利要求5或6所述的个人信息管理方法，其特征在于，

还具有下述步骤：当上述评价中评价为不存在能够将上述新策略与由其他个人信息管理装置正在实施的策略所共同的个人信息公开的条件时，对上述其他个人信息管理装置发送所有的个人信息的删除请求。

8.根据权利要求7所述的个人信息管理方法，其特征在于，

还具有下述步骤；当接收到上述所有的个人信息的删除请求时，将所保管的个人信息全部删除。

Images