JP2003345931A - 個人情報流通管理方法，個人情報流通管理システムにおける個人情報認証装置，個人情報利用環境認証装置，個人情報提供装置，個人情報利用装置および開示利用規定判断プログラム，並びに上記各装置用プログラム - Google Patents

Abstract

(57)【要約】 【課題】 個人情報の正当性および個人情報の転々とす
る流通における個人情報の漏洩を保護するのに有効な技
術を提供する。 【解決手段】 個人情報提供装置１は，提供する個人情
報５２とその個人情報５２に対する開示利用規定との組
を，開示利用規定判断手段５１と共に一つにカプセル化
した個人情報カプセル５を生成する。個人情報利用装置
２は，個人情報提供装置１から取得した個人情報カプセ
ル５の正当性を，個人情報認証装置３が発行するカプセ
ル証明書６０によって確認し，個人情報カプセル５中の
開示利用規定判断手段５１を介して，自装置に参照を許
可された個人情報５２のみを参照する。開示利用規定判
断手段５１は，個人情報利用装置２の利用環境情報と，
個人情報利用環境認証装置４から得た個人情報利用装置
２の利用環境証明書７０中の利用環境情報とを照合する
ことにより，参照可能な個人情報５２を決定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は，例えば電子商取引
や医療の分野において，個人情報の管理や流通を行う際
の個人情報提供者のプライバシー保護と個人情報利用に
関する利用者の利便性向上とを図り得る個人情報流通管
理方法に関するものである。

【０００２】

【従来の技術】インターネット上でオンラインショッピ
ングや電子商取引を行う際には，認証，顧客管理，マー
ケティング，配達先情報の提示などの必要性から，利用
者は個人情報（一種のコンテンツ）の入力が不可欠であ
った。利用者は，商品購入やサービス提供を受ける度に
個人情報の入力を要求され，提供した自分の個人情報が
どこでどのように使用されているのか，また知らないと
ころで公開，流通されたりしないのかという不安があっ
た。上記問題を解決するための技術としては，ＷＷＷコ
ンソーシアム(World Wide Web Consortium（Ｗ３Ｃ）で
Working Draft)として検討中のＰ３Ｐ(Platform for P
rivacy Perference Project) などがある。

【０００３】このＰ３ＰはＷＷＷのサーバとクライアン
トとの間での個人情報の受け渡し方法を定めた仕様であ
り，Ｗｅｂサイトを訪れた利用者の個人情報に対して，
｛開示／拒否／拒否の場合の代替条件｝を設定すること
で，個人情報の保護を可能にしている。具体的にはＷｅ
ｂサイトが個人情報を入手するとき，取得した個人情報
の項目，利用目的や開示する範囲などをＷｅｂサイトの
プライバシーに関する要求として利用者に明示し，利用
者はその説明内容に応じて，個人情報の開示に｛合意／
拒否／代替条件｝を採用するかどうかを選択することが
できる。

【０００４】すなわち，Ｗｅｂサイトが予めプライバシ
ーに関する要求を宣言し，利用者が個人情報のデータセ
ットと開示のための条件設定を用意しておけば，Ｗｅｂ
サイトの要求と利用者の設定とを比較し，自動的に合意
に至ることを可能にしている。また，合意に至らなくて
もＷｅｂサイトが利用目的に応じて複数の要求を宣言し
ていれば，別の要求に対して合意に至ることができる。

【０００５】さらに，Ｗｅｂサイトは利用者が訪れる度
にプライバシーに関する要求を送らなくても，以前合意
が取れたものに関しては，再取得の手間を省くことを可
能にしているので，同じ情報を何度も入力する必要がな
い。

【０００６】

【発明が解決しようとする課題】しかしながら，上記の
従来技術では，提供者は利用者が申請する利用目的や利
用期間などの要求条件に応じてコンテンツを提供する仕
組みであることから，利用者が別の人物になりすまし
て，コンテンツの要求を行ったり，利用目的や利用期間
などの要求条件の内容を偽ってコンテンツの要求を行っ
たりすると，現実世界での利用者本来の権限ならば入手
し得ないような情報でも開示されてしまう可能性を否定
できなかった。特に，利用するコンテンツが医療情報，
資産情報などの重要な個人情報の場合には，重大な問題
となる。

【０００７】本発明は，上記課題に鑑みてなされたもの
で，個人情報の正当性および個人情報の転々とする流通
における個人情報の漏洩を保護するのに有効な個人情報
流通管理方法を提供することを目的とする。

【０００８】

【課題を解決するための手段】前述した目的を達成する
ために，本発明は少なくとも一つ以上の個人情報を供す
ることが可能な個人情報提供主体と，個人情報提供主体
が提供する個人情報に関する認証を行う個人情報認証主
体と，個人情報提供主体から開示される個人情報の提供
を受ける個人情報利用主体と，個人情報利用主体の個人
情報利用に関する認証を行う個人情報利用環境認証主体
との間で，個人情報の開示を判断する開示利用規定判断
手段を用いて個人情報を流通・管理するときの個人情報
流通管理方法であって，個人情報提供主体が提供する個
人情報と，当該個人情報に対する開示利用規定との組を
開示利用規定判断手段と共に一つにカプセル化し，個人
情報認証主体が，個人情報提供主体から提供された個人
情報カプセルに対して，一意に識別可能なＩＤを発行す
ると共に，該ＩＤに対する個人情報カプセルの正当性を
保証する，個人情報カプセル証明書を発行し，開示利用
規定判断手段が当該個人情報に保持される個々の開示利
用規定と個人情報利用主体が持つ利用環境情報に基づい
て，当該個人情報利用主体に対して開示可能な個人情報
を検索して，提示し，個人情報利用環境認証主体が，個
人情報利用主体の利用環境に対して，一意に識別可能な
ＩＤを発行すると共に，該ＩＤに対する個人情報利用環
境の正当性を保証する利用環境証明書を発行することを
要旨とする。

【０００９】本発明では，個人情報と，個人情報の開示
利用規定と，開示利用規定を判断する開示利用規定判断
手段とをまとめて一つの個人情報カプセルとすること
で，個人情報カプセルがどのような環境においても，個
人情報提供主体の意図する開示利用規定に基づいた個人
情報の開示制御を行うことができる。

【００１０】また，本発明は，開示利用規定が，個人情
報の利用に関する個々の要求条件である少なくとも一つ
以上の個人情報利用主体の利用環境情報と，生成される
カプセルの要求条件である回数，期間，期限と要求条件
が満たされなかったときの処理方法を規定したものであ
ることを要旨とする。

【００１１】また，本発明は，利用環境情報が，カプセ
ル化した個人情報を参照するために使われる情報利用主
体のアプリケーション情報，マシン情報，ネットワーク
情報，ユーザ情報，開示利用規定判断手段の情報を規定
したものであることを要旨とする。

【００１２】また，本発明は，個人情報認証主体が，個
人情報をカプセル化しようとする個人情報提供主体に対
し，個人情報カプセルに一意のＩＤを発行し，生成され
た個人情報カプセルの特徴情報と個人情報提供主体の属
性情報と付与されたＩＤの組を登録・管理し，ＩＤ，特
徴情報，属性情報を記した個人情報カプセル証明書を発
行し，個人情報利用者から提示されたＩＤに基づき該Ｉ
Ｄの個人情報カプセルの個人情報カプセル証明書の提供
を行うことを要旨とする。

【００１３】本発明では，個人情報カプセル証明書に記
述されている特徴情報と個人情報カプセルの特徴情報を
確認することで，個人情報カプセルが改竄されていない
ことを検証することができると共に，一意のＩＤを付与
することで流通する個人情報カプセルのすべてを識別す
ることができ，個人情報カプセルの登録の前に個人情報
提供主体と個人情報認証主体の間で何らかの認証を行う
ことで，個人情報利用主体が直接個人情報提供主体の情
報にアクセスすることなく，個人情報カプセルを生成し
た個人情報提供主体の身元を保証することができる。

【００１４】また，本発明は，個人情報利用環境認証主
体が，個人情報を利用しようとする個人情報利用主体の
利用環境情報に対して一意に識別可能なＩＤを発行し，
個人情報利用主体の利用環境情報とＩＤの組を登録・管
理し，利用環境情報とＩＤを記した利用環境証明書を発
行し，開示利用規定判断手段から提示されたＩＤに基づ
き，該ＩＤの利用環境情報の正当性を保証する利用環境
証明書の提供を行うことを要旨とする。

【００１５】本発明では，個人情報提供主体が，個人情
報の開示を許可する利用環境を特定することで，個人情
報カプセルが個人情報提供主体の意図しない個人情報利
用主体に渡ったとしても個人情報の参照を防ぐことがで
きると共に，個人情報利用主体の利用環境情報に対して
一意のＩＤを付与することで，個人情報提供主体に個人
情報利用主体の利用環境情報を容易に伝えることがで
き，利用環境情報を登録する際に個人情報利用主体と個
人情報利用環境認証主体との間で何らかの認証を行うこ
とで，個人情報利用環境認証主体が個人情報提供主体に
対し，個人情報カプセルを参照しようとする個人情報利
用主体の身元を保証することができる。

【００１６】また，本発明は，個人情報提供主体が，提
供しようとする一つ以上の個人情報と該個人情報に対し
て開示に必要な要求条件を個人情報利用環境認証主体か
ら取得した利用環境証明書に記されている利用環境情報
で設定し，生成する個人情報カプセルに対する要求条件
を設定し，個人情報認証主体から取得したＩＤと，開示
利用規定判断手段とをそれぞれ暗号化し，一つにカプセ
ル化し，生成された個人情報カプセルの特徴情報とＩＤ
を個人情報認証主体に登録を行うことを要旨とする。

【００１７】本発明では，個人情報提供主体が開示利用
規定判断手段を個人情報とその開示利用規定とともにカ
プセル化するので，開示利用規定判断手段は常に個人情
報提供主体が指定したものを使用するため必ず個人情報
提供主体が意図した開示利用規定を保証することができ
ると共に，個人情報利用環境認証主体から利用環境証明
書を取得することで，正当な利用環境情報を利用するこ
とができる。また，個人情報認証主体と何らかの認証を
行って生成した個人情報カプセルを登録することによっ
て，個人情報カプセルの身元保証を個人情報認証主体に
代行させることができる。

【００１８】また，本発明は，個人情報利用主体が，個
人情報カプセルのＩＤに基づき個人情報認証主体に登録
されたものかを確認し，登録されていればその個人情報
カプセルの個人情報カプセル証明書を取得し，該特徴情
報が参照しようとしている個人情報カプセルと同一のも
のかを確認し，カプセルに定められた開示利用規定判断
手段に対して，個人情報カプセルに格納された個人情報
の参照要求を行い，開示利用規定判断手段の返却する個
人情報の受け取りを行うことを要旨とする。

【００１９】本発明では，個人情報利用主体が個人情報
カプセルに格納された個人情報を参照する際の開示利用
規定の判断には，個人情報カプセルごとに格納されてい
る開示利用規定判断手段が使われるので，個人情報利用
主体が利用したい開示利用規定判断手段をカプセルごと
に変更することができると共に，個人情報カプセルのＩ
Ｄに基づき個人情報認証主体に問い合わせることで，個
人情報カプセルが改竄されているかどうかを検証でき
る。また，個人情報カプセルを生成した個人情報提供主
体の正当性を保証できる。

【００２０】また，本発明は，開示利用規定判断手段
が，個人情報利用主体の個人情報カプセルに格納された
個人情報の参照要求時において，個人情報利用主体から
の要求条件を受け取り，個人情報カプセルに設定された
要求条件を判断し，個人情報利用主体の利用環境を検査
し，該検査結果が個人情報利用環境認証主体に登録され
た利用環境情報であるかを確認し，要求された個人情報
の要求条件に基づいて個人情報の開示を判断し，個人情
報利用主体からの要求と判断結果を履歴情報としてカプ
セルに格納し，開示できる個人情報が存在する場合は，
該個人情報を復号して個人情報利用主体への引き渡しを
行うことを要旨とする。

【００２１】本発明では，個人情報利用主体が個人情報
カプセルに格納された個人情報にアクセスするには開示
利用規定判断手段に依頼するので，どのような場面で個
人情報カプセルに参照しようとしても必ず個人情報の要
求条件を判断させることができると共に，各個人情報は
開示利用規定判断手段だけが復号できるので個人情報利
用主体が参照できないほかの個人情報を保護することが
できる。また，開示利用規定判断手段によってアクセス
履歴が個人情報カプセルに格納されるので，個人情報カ
プセルがどのような流通経路を辿ってきたか，知ること
ができる。

【００２２】

【発明の実施の形態】以下，図面を用いて本発明の実施
形態について説明する。

【００２３】図１は，本発明の個人情報流通管理方法が
適用されるシステムの一実施形態に係る個人情報流通管
理プラットフォームの概要を示すブロック図である。同
図に示す個人情報流通管理プラットフォームは，インタ
ーネットなどのネットワーク環境において，個人情報提
供装置１と，個人情報利用装置２と，個人情報認証装置
３と，個人情報利用環境認証装置４とにより構成され
る。

【００２４】個人情報提供装置１は，個人情報を提供す
る個人情報提供者が所有するパーソナルコンピュータな
どの装置で，個人情報カプセル５を生成する個人情報カ
プセル生成手段１１を持つ。

【００２５】個人情報利用装置２は，電子モールの運営
者や医療機関などが所有する計算機システムであり，個
人情報カプセル５に内包された個人情報を利用するため
に，個人情報提供装置１から提供された個人情報カプセ
ル５に対してアクセスする個人情報カプセルアクセス手
段２１を備える。

【００２６】個人情報認証装置３は，個人情報カプセル
認証局３０が所有する計算機システムであり，個人情報
提供装置１が生成した個人情報カプセル５に対するＩＤ
の発行やその登録情報の管理を行うカプセル管理手段３
１と，個人情報カプセル５に関する情報を保証するため
のカプセル証明書６０を発行するカプセル証明書発行手
段３２を備える。

【００２７】個人情報利用環境認証装置４は，利用環境
認証局４０が所有する計算機システムであり，個人情報
利用装置２の利用環境情報を管理する利用環境管理手段
４１と，その利用環境の正当性を保証する利用環境証明
書７０を発行する利用環境証明書発行手段４２を備え
る。

【００２８】個人情報提供装置１が生成した個人情報カ
プセル５を流通させ，それを受け取った個人情報利用装
置２は，個人情報カプセルアクセス手段２１によって個
人情報カプセル５にアクセスし，個人情報カプセル５に
格納されている各種の個人情報５２のうち，個人情報提
供者が許可した個人情報だけを参照することができる。
個人情報カプセル５は，個人情報利用装置２に対して開
示可能な個人情報であるかを判断するための開示利用規
定判断手段５１を持つ。

【００２９】図２は，図１に示すシステムの動作概要を
説明する図である。個人情報を利用する個人情報利用装
置２は，あらかじめ個人情報利用環境認証装置４に自装
置に関する利用環境情報を登録し，利用環境情報を一意
に識別する情報（これを，利用環境情報ＩＤという）を
取得する。利用環境情報は，個人情報利用装置２が個人
情報カプセル５に格納された個人情報を参照するために
使われるアプリケーション情報（個人情報カプセルアク
セス手段２１に関する情報），個人情報利用装置２のマ
シン情報，ネットワーク情報，個人情報利用者のユーザ
情報，開示利用規定判断手段５１の情報などからなる。

【００３０】個人情報利用環境認証装置４は，個人情報
を利用しようとする個人情報利用装置２の利用環境情報
に対して一意に識別可能な利用環境情報ＩＤを発行し，
個人情報利用装置２の利用環境情報とその利用環境情報
ＩＤの組を登録・管理し，利用環境情報ＩＤを指定した
利用環境証明書７０の要求があれば，その利用環境情報
ＩＤに対応する利用環境証明書７０を発行する。

【００３１】個人情報提供装置１は，１または複数の個
人情報利用装置２に対し，個人情報を提供する場合に
は，個人情報カプセル生成手段１１によって個人情報カ
プセル５を生成するために，まず個人情報認証装置３に
対しカプセルに付与する一意のＩＤであるカプセルＩＤ
を要求し（図２の（ａ）），個人情報認証装置３が発行
するカプセルＩＤを取得する（ｂ）。

【００３２】また，個人情報提供装置１は，個人情報利
用装置２が要求している個人情報の種類と個人情報利用
装置２自体の利用環境情報ＩＤとを，個人情報利用装置
２に要求し（ｃ），それらの情報を個人情報利用装置２
から取得する（ｄ）。

【００３３】個人情報提供装置１は，取得した個人情報
利用装置２の利用環境情報ＩＤに基づき，個人情報利用
環境認証装置４にその利用環境証明書を要求し（ｅ），
個人情報利用環境認証装置４から利用環境証明書を取得
する（ｆ）。取得した利用環境証明書から個人情報利用
装置２の利用環境情報を得る。

【００３４】個人情報提供装置１は，少なくとも一つ以
上の個人情報と，該個人情報の開示を許可する個人情報
利用装置２の利用環境情報および生成される個人情報カ
プセル５に対する利用条件（これを開示利用規定とい
う）と，個人情報認証装置３から取得したカプセルＩＤ
とをもとに，個人情報カプセル生成手段１１によって，
個人情報カプセル５を生成する（ｇ）。

【００３５】図３に，個人情報カプセル５の構成例を示
す。個人情報カプセル５は，カプセルＩＤ５３，開示利
用規定判断手段５１，各種個人情報５２および個人情報
ごとの開示利用規定５４を，一体不可分にまとめたもの
である。また，個人情報カプセル５に対してアクセスが
あったときにアクセス履歴情報５５を記録するための領
域を持つ。個人情報カプセル５は，例えば一つのファイ
ルとして構成される。個人情報カプセル５の外部から直
接読み取れるのは，カプセルＩＤ５３だけであり，他の
データは暗号化されて中身は外部から読み取れないよう
になっている。外部からは，開示利用規定判断手段５１
を通した場合にだけ，個人情報５２等にアクセスするこ
とができるようになっている。

【００３６】開示利用規定判断手段５１は，利用環境情
報ＩＤに基づいて個人情報の開示条件をチェックする開
示判断プログラムのコード情報からなる。個人情報カプ
セル５内に開示判断プログラムを内蔵させないような実
施の形態を採る場合には，開示利用規定判断手段５１
は，外部の開示判断プログラムを動作させるための鍵の
ような情報でもよい。本実施の形態では，開示利用規定
判断手段５１は，所定の開示判断プログラムによって構
成されるものとして説明する。

【００３７】個人情報５２は，個人情報提供者の住所，
メールアドレス，クレジット番号その他，個人情報利用
装置２に提供するどのような情報でもよい。各個人情報
の種類ごとに開示利用規定５４を設定することができ
る。

【００３８】開示利用規定５４は，図３（Ｂ）に示すよ
うに，各個人情報の利用に関する要求条件である個人情
報利用装置２の利用環境情報と，生成されるカプセルの
要求条件であるアクセス回数，期間，期限などの制限に
関する情報と，要求条件が満たされなかったときの処理
方法を規定する情報などからなる。

【００３９】個人情報提供装置１は，生成された個人情
報カプセル５のカプセルＩＤと，そのカプセルの特徴情
報とを何らかの認証を行って個人情報認証装置３に送
り，個人情報カプセル５を登録する（ｈ）。ここでの認
証は，周知の各種認証方法を用いることができるので，
その詳しい説明は省略する。

【００４０】個人情報認証装置３は，送られてきた個人
情報カプセル５のカプセルＩＤとその特徴情報からカプ
セル証明書を作成し，それをカプセルＩＤによって検索
・取得可能なように記憶装置上のデータベースなどに蓄
積する。

【００４１】個人情報利用装置２は，個人情報提供装置
１の利用者である個人情報提供者の個人情報が必要な場
合には，インターネットなどを経由して個人情報提供装
置１から個人情報カプセル５を取得する（ｉ）。

【００４２】個人情報利用装置２は，個人情報カプセル
５から必要な個人情報を入手するために，まず，個人情
報カプセル５のカプセルＩＤに基づき個人情報認証装置
３にそのカプセル証明書を要求し（ｊ），個人情報認証
装置３からカプセル証明書６０を取得する（ｋ）。

【００４３】図４（Ａ）に，カプセル証明書６０の例を
示す。カプセル証明書６０には，個人情報カプセル５の
カプセルＩＤと，個人情報カプセル５の特徴情報と，個
人情報提供者の属性情報と，本証明書の発行年月日（時
刻を含む）等の情報が記載されている。

【００４４】個人情報カプセル５の特徴情報は，個人情
報カプセル５が改竄されていないかどうかを確認するた
めの情報である。具体例としては，個人情報カプセル５
のファイルのハッシュ（ＨＡＳＨ）値などであり，これ
を用いることで，改竄のチェックを行うことができる。
カプセル証明書の中の特徴情報と，実際の個人情報カプ
セル５のファイルから算出した特徴情報とを比較し，一
致すればカプセル登録時から改竄されていないことを証
明することができる。実際には，個人情報カプセル５に
は，アクセス履歴情報が記録されるので，カプセルファ
イル全体のハッシュ値ではなく，アクセス履歴情報以外
の部分のハッシュ値を使用する。

【００４５】個人情報提供者の属性情報は，個人情報カ
プセル５の作成者が必要に応じてカプセル証明書に追加
できる付加的な情報であり，カプセル作成者の名前や連
絡先などの任意に設定できる情報である。入力が必須で
はないので，省略することも可能である。

【００４６】個人情報利用装置２は，カプセル証明書を
取得したならば，そのカプセル証明書に記されている特
徴情報と実際にある個人情報カプセル５の特徴情報とを
比較して改竄がないかを検証することで，個人情報認証
装置３に登録されている個人情報カプセル５と相違がな
いことや，それが身元の保証された個人情報提供装置１
から提供された個人情報カプセル５であることの正当性
を検証する。

【００４７】個人情報利用装置２は，個人情報カプセル
アクセス手段２１を利用して，個人情報カプセル５中に
組み込まれている開示利用規定判断手段５１に，個人情
報利用装置２の利用環境情報ＩＤを指定し，個人情報カ
プセル５に格納された各種情報の取得要求を行う
（ｌ）。開示利用規定判断手段５１に要求できる処理
は，個人情報利用装置２がアクセスできる個人情報リス
トの取得と，各個人情報の取得である。

【００４８】開示利用規定判断手段５１は，個人情報利
用装置２から処理を要求されると，カプセルに対する要
求条件｛回数・期間・期限等｝が満たされているかどう
かを確認する。カプセルに対する要求条件が満たされて
いなければ，その旨を個人情報利用装置２に伝える。

【００４９】次に，開示利用規定判断手段５１は，現在
の個人情報利用装置２の実際の利用環境に関する各情報
を検査取得すると共に，入力情報である利用環境情報Ｉ
Ｄに基づき，個人情報利用環境認証装置４に登録された
その利用環境情報ＩＤに対応する利用環境証明書を要求
し（ｍ），個人情報利用環境認証装置４から利用環境証
明書を取得する（ｎ）。利用環境証明書を取得したなら
ば，その利用環境証明書に記された各情報と，実際に検
査取得した現在の利用環境の各情報とを比較する。一致
しなければ，個人情報へのアクセスを不可とする。

【００５０】次に，開示利用規定判断手段５１は，前記
で確認した利用環境情報やその他の利用条件に関する開
示利用規定に従って，個人情報５２の要求条件が満たさ
れる個人情報を検索し，要求条件が満たされる個人情報
が存在すれば，それを個人情報カプセル５から引き出し
て，個人情報利用装置２に引き渡す。これによって，個
人情報利用装置２は，個人情報カプセル５から必要な個
人情報を取得することができる（ｏ）。

【００５１】開示利用規定判断手段５１は，個人情報利
用装置２からの要求を受けてからの処理の結果を，すべ
て個人情報カプセル５の内部にアクセス履歴として格納
する。

【００５２】個人情報カプセル５の生成時または個人情
報カプセル５に対するアクセス時に，個人情報提供装置
１または開示利用規定判断手段５１が個人情報利用環境
認証装置４から取得する利用環境証明書７０は，図４
（Ｂ）に示すように，利用環境情報ＩＤと，利用環境情
報７１と，本証明書の発行年月日等の情報を記載したも
のである。

【００５３】利用環境情報７１は，カプセル化した個人
情報を参照するために使われる情報利用装置２のアプリ
ケーション情報，マシン情報，ネットワーク情報，ユー
ザ情報，開示利用規定判断手段５１の情報からなる。

【００５４】個人情報利用装置２のアプリケーション情
報は，個人情報カプセルアクセス手段２１に関するアプ
リケーションプログラムのプログラム名またはＡＰ公開
鍵などの情報である。このアプリケーション情報に一致
しない個人情報カプセルアクセス手段２１からは，個人
情報カプセル５中の個人情報の参照を禁止する。

【００５５】マシン情報は，個人情報利用装置２の計算
機環境に関する情報である。ネットワーク情報は，個人
情報利用装置２のネットワークアドレス等に関する情報
である。これらに一致しない環境での個人情報カプセル
５へのアクセスは禁止される。

【００５６】ユーザ情報は，個人情報カプセル５が利用
される環境で，どの個人情報利用者が利用するかを示す
情報である。例えば電子モール，配達業者，課金業者な
どのそれぞれの担当者のＩＤ情報である。これは必要に
応じて設定される情報であり，ユーザ情報を指定してお
くと，そのユーザ以外は個人情報を参照できなくなる。

【００５７】利用環境情報７１における開示利用規定判
断手段５１の情報とは，利用環境の検査取得や開示判断
に基づき，個人情報の取り出しを行う開示利用規定判断
手段５１を構成する開示判断プログラムの識別情報であ
る。開示判断プログラムは，個人情報カプセル５に内包
されるが，個人情報カプセルアクセス手段２１が，個人
情報カプセル５内の開示判断プログラムを正しく起動す
るために，そのＩＤやバージョン番号などの情報を，開
示利用規定判断手段５１の情報として利用環境情報７１
の中に設定する。これにより，個人情報利用装置２の利
用環境にある他のプログラムを利用しないようにする。
利用環境情報７１の中に開示利用規定判断手段５１の情
報を持たせておくことにより，個人情報カプセル５に
は，必ずしも開示判断プログラムを内包させなくてもよ
く，開示利用規定判断手段５１との連携により外部のプ
ログラムを利用する実施も可能である。

【００５８】図５は，個人情報提供装置１における個人
情報カプセル５の生成処理のフローチャートである。

【００５９】個人情報カプセル５を生成する際には，ま
ずステップＳ１では，個人情報認証装置３にカプセルＩ
Ｄを要求し，カプセルＩＤを取得する。次に，ステップ
Ｓ２では，個人情報を提供する相手である個人情報利用
装置２から，その利用環境情報ＩＤと，個人情報利用者
が要求する個人情報の種類とを取得する。複数の個人情
報利用装置２に対して個人情報を提供する場合には，そ
れぞれの個人情報利用装置２から利用環境情報ＩＤと個
人情報の種類を取得する。

【００６０】ステップＳ３では，取得した利用環境情報
ＩＤをもとに，個人情報利用環境認証装置４から利用環
境情報ＩＤに対応する利用環境証明書を取得する。次
に，ステップＳ４では，それぞれ個人情報利用装置２に
対して開示する個人情報を入力する。ステップＳ５で
は，入力した各個人情報に対応して，利用環境証明書か
ら得た利用環境情報を用いて，開示利用規定５４を作成
する。

【００６１】ステップＳ６では，カプセルＩＤ５３，開
示利用規定判断手段５１の開示判断プログラム，個人情
報５２および開示利用規定５４から，これらの必要な部
分を暗号化して個人情報カプセル５を生成する。

【００６２】ステップＳ７では，必要に応じてカプセル
証明書に記載する個人情報提供者の属性情報を入力す
る。続いて，ステップＳ８では，生成した個人情報カプ
セル５のハッシュ値などによる特徴情報を算出する。ス
テップＳ９では，個人情報認証装置３に，生成した個人
情報カプセル５を登録し，処理を終了する。

【００６３】図６は，個人情報利用装置２における個人
情報カプセルアクセス手段２１の処理フローチャートで
ある。本実施の形態では，個人情報カプセルアクセス手
段２１は，各個人情報利用装置２ごとにそれぞれの用途
に応じて用意される個人情報利用アプリケーション２１
１のプログラムと，ライブラリとして各個人情報利用装
置２に対して共通に用意されるプログラム２１２（ここ
では，カプセルコンテンナという）から構成される。

【００６４】個人情報カプセル５に対する参照手続きを
カプセルコンテナ２１２としてライブラリ化することに
より，個人情報利用アプリケーション２１１の開発者
は，アプリケーション内でこのライブラリの関数を呼び
出すだけで，個人情報カプセルアクセス手段２１を実装
することができる。したがって，個人情報利用アプリケ
ーション２１１の開発が容易化されるが，それだけでな
く，個人情報カプセル５に対する参照の処理を，アプリ
ケーション開発者から隠蔽することも可能になってい
る。これによって，個人情報カプセルアクセス手段２１
が，開示判断プログラムとのやり取りにおいて虚偽の手
続きを行い，不正に個人情報カプセル５内のデータを取
得することの防止も図られる。

【００６５】個人情報利用アプリケーション２１１は，
まずステップＳ１１において，カプセルコンテナ２１２
を呼び出し，参照しようとする個人情報カプセル５の正
当性を確認する。

【００６６】カプセルコンテナ２１２は，この正当性の
確認のために，まずステップＳ２１において，個人情報
カプセル５からカプセルＩＤを読み込む。なお，個人情
報カプセル５のカプセルＩＤは，暗号化されずに，だれ
でも参照できるようになっている。次に，ステップＳ２
２では，カプセルＩＤを個人情報認証装置３へ送信し，
カプセルＩＤに対応するカプセル証明書６０を取得す
る。ステップＳ２３では，カプセル証明書６０中の特徴
情報と，実際に個人情報カプセル５から算出した特徴情
報とを比較し，一致するかどうかによって，個人情報カ
プセル５の正当性，すなわち個人情報カプセル５が改竄
されていないかを検証する。ステップＳ２４では，検証
した結果を個人情報利用アプリケーション２１２に返却
する。

【００６７】個人情報利用アプリケーション２１２で
は，ステップＳ１２により，検証結果から個人情報カプ
セル５が正当であるかどうかを判定し，正当でなけれ
ば，エラーメッセージの出力などのエラー処理を行っ
て，処理を終了する。

【００６８】正当であれば，ステップＳ１３へ移り，デ
ータ取得要求の関数によってカプセルコンテナ２１２を
呼び出す。このとき，個人情報利用装置２の利用環境情
報ＩＤをパラメータとして，カプセルコンテナ２１２に
引き渡す。

【００６９】カプセルコンテナ２１２は，ステップＳ２
５において，パラメータとして入力した利用環境情報Ｉ
Ｄを指定し，開示利用規定判断手段５１として個人情報
カプセル５内に組み込まれている開示判断プログラム５
１０を起動する。このとき，必要に応じて開示判断プロ
グラム５１０を復号してロードする。開示判断プログラ
ム５１０はインタプリタ形式で実行されるプログラムで
あってもよい。開示判断プログラム５１０の入力情報
は，利用環境情報ＩＤである。

【００７０】ステップＳ２６では，開示判断プログラム
５１０とのやり取りにより，チャレンジ・アンド・レス
ポンスによるアクセスの正当性の確認（詳しくは後述）
を行い，ステップＳ２７では，開示判断プログラム５１
０から参照が許可されている開示可能な個人情報のデー
タを取得する。ステップＳ２８では，その取得したデー
タを個人情報利用アプリケーション２１１に返却し，ス
テップＳ２８では，終了通知を開示判断プログラム５１
０へ送って開示判断プログラム５１０を終了させる。

【００７１】カプセルコンテナ２１２から個人情報のデ
ータを受け取った個人情報利用アプリケーション２１１
は，ステップＳ１４において，取得した個人情報のデー
タを利用して，それぞれの個人情報利用装置２に応じた
商品配送，課金処理などの各種処理を実行する。

【００７２】図７は，開示判断プログラム５１０の処理
フローチャートである。開示判断プログラム５１０は，
カプセルコンテナ２１２から利用環境情報ＩＤを入力情
報として起動されると，まず，ステップＳ３１におい
て，入力した利用環境情報ＩＤを個人情報利用環境認証
装置４へ送信し，個人情報利用装置２の利用環境証明書
を取得する。

【００７３】ステップＳ３２では，利用環境情報ＩＤに
対応する利用環境情報証明書を取得できたかを検証し，
続いてステップＳ３３では，利用環境証明書から利用環
境情報を取り出す。

【００７４】次に，ステップＳ３４では，カプセルコン
テナ２１２とのチャレンジ・アンド・レスポンスのため
に，利用環境証明書から個人情報利用アプリケーション
２１１のＡＰ公開鍵を取り出し，ステップＳ３５により
乱数を生成して，乱数をカプセルコンテナ２１２へ送信
する。

【００７５】カプセルコンテナ２１２では，ステップＳ
２６′において，受信した乱数をＡＰ公開鍵に対応する
秘密鍵でもって暗号化し，暗号化した乱数を開示判断プ
ログラム５１０へ返送する。開示判断プログラム５１０
は，ステップＳ３６により，利用環境証明書から取得し
たＡＰ公開鍵で復号し，元の乱数と照合して一致するか
を確認する。一致しなければ（ステップＳ３７），エラ
ー通知を行い（ステップＳ３８），これに対し，カプセ
ルコンテナ２１２ではエラー処理を行う。

【００７６】乱数が一致すれば（ステップＳ３７），個
人情報カプセル５に対してアクセスする個人情報利用ア
プリケーション２１１は，利用環境証明書に示されてい
るアプリケーション情報と一致することが確認されるこ
とになる。

【００７７】続いて，ステップＳ３９では，利用環境証
明書から利用環境情報を取得し，ステップＳ４０では，
個人情報の開示判断を行う。具体的には，利用環境証明
書から得たマシン情報やネットワーク情報などの利用環
境の情報と，実際の個人情報利用装置２の利用環境とが
一致するかどうかを判断し，一致すると確認できた利用
環境（開示利用規定５４）に対応する個人情報のデータ
を取り出す。なお，カプセルの要求条件であるアクセス
回数や期間，期限なども開示利用規定５４中に設定され
ていれば，それらのチェックを併せて行う。

【００７８】ステップＳ４１では，個人情報カプセル５
から取り出した開示可能な個人情報のデータを個人情報
利用装置２に返却する。その後，ステップＳ４２では，
カプセルコンテナ２１２からの終了通知受信により，処
理を終了する。

【００７９】カプセルコンテナ２１２では，ステップＳ
２７において開示可能なデータを取得し，呼び出し元の
個人情報利用アプリケーション２１１に引き渡す。

【００８０】

【実施例】次に，図８を参照して本発明を用いてオンラ
インショッピングに適用した例を説明する。

【００８１】本適用例におけるシステムは，電子モール
利用者１００，電子モール２００，配達業者２０２，課
金業者２０１，個人情報カプセル認証局３０，利用環境
認証局４０で構成されている。電子モール利用者１００
は，図１に示す個人情報提供装置１に対応し，電子モー
ル２００，配達業者２０２，課金業者２０１は，それぞ
れ図１に示す個人情報利用装置２に対応する。

【００８２】電子モール利用者１００は，Ｗｅｂブラウ
ザなどを用いることにより，インターネットを通じて電
子モール２００を利用し，その中で購入したい品物を選
定して電子モール２００にその内容を伝える。

【００８３】電子モール２００は，電子モール利用者１
００に対し，購入に必要な価格を提示し，課金業者情報
と課金番号，配達業者情報と配達先住所を要求する。電
子モール利用者１００は，要求された情報など必要な情
報に開示条件を付けてカプセル化したものを電子モール
２００に渡す。

【００８４】ここでカプセル化する情報は，課金業者情
報，課金番号，配達業者情報，配達先住所，商品情報，
価格情報，電子モール情報である。電子モール情報は，
課金業者２０１と配達業者２０２とが問い合わせをする
ために用いる。

【００８５】開示条件を設定するために，それぞれの業
者が参照できる情報を整理する。電子モール２００は，
課金業者情報，配達業者情報，商品情報，価格情報，電
子モール情報を参照できる。課金業者２０１は，価格情
報，課金番号，電子モール情報を参照できる。配達業者
２０２は，商品情報，配達先住所，電子モール情報を参
照できる。よって，課金業者情報と配達業者情報は，電
子モール２００のみ参照でき，商品情報は，電子モール
２００と配達業者２０２のみ参照でき，価格情報は，課
金業者２０１と電子モール２００のみ参照でき，配達先
住所は配達業者２０２のみ参照でき，課金番号は課金業
者２０１のみ参照できるように開示条件を定める。ま
た，電子モール情報の参照は制限なしとする。

【００８６】この各開示条件を設定するために，それぞ
れの業者が個人情報カプセル５を利用する環境の利用環
境証明書７０を利用環境認証局４０から入手する。この
利用環境証明書に記されている利用環境情報を，格納す
る各情報と共にカプセル化する。個人情報カプセル５に
格納された情報を参照しようとする場合，各情報の開示
条件として設定された利用環境情報が実際に参照を行お
うとした環境と一致している場合にのみ情報を開示す
る。

【００８７】電子モール利用者１００は，各情報の開示
条件を設定しカプセル化して生成された個人情報カプセ
ル５のファイルを個人情報カプセル認証局３０に登録す
る。カプセル登録時には何らかの認証が行われ，個人情
報カプセル５を登録した電子モール利用者１００の身元
を保証する。これにより，カプセル利用者は，個人情報
カプセル認証局３０に個人情報カプセル５の正当性を問
い合わせると同時に，電子モール２００を利用する個人
情報カプセル提供者の保証もされることになる。

【００８８】個人情報カプセル５が登録されたら，電子
モール利用者１００は，登録した個人情報カプセル５の
カプセルＩＤを何らかの認証を経て課金業者２０１に通
知する。

【００８９】電子モール２００は，電子モール利用者１
００から受け取った個人情報カプセル５の正当性を個人
情報カプセル認証局３０に問い合わせる。確認できたら
この個人情報カプセル５内にある課金業者情報を参照し
て，その課金業者２０１に個人情報カプセル５を送る。
このとき，電子モール２００がカプセルの中で参照でき
る情報は，課金業者情報，配達業者情報，商品情報，価
格情報，電子モール情報であり，課金番号や，配達先住
所に関しては参照できない。

【００９０】課金業者２０１は，電子モール２００から
受け取った個人情報カプセル５の正当性を，個人情報カ
プセル認証局３０に問い合わせる。次に，事前に電子モ
ール利用者１００から得た個人情報カプセル５のカプセ
ルＩＤと一致するかを確認する。すべて問題なければ，
電子モール２００に課金可能なことを伝える。このと
き，課金業者２０１は，価格情報，課金番号，電子モー
ル情報の情報しか参照できない。

【００９１】電子モール２００は，課金可能であると確
認できたならば，品物と個人情報カプセル５を配達業者
２０２に渡す。

【００９２】配達業者２０２は，電子モール２００から
受け取った個人情報カプセル５の正当性を，個人情報カ
プセル認証局３０に問い合わせる。問題なければ配達業
者２０２は，個人情報カプセル５の中の配達先住所を参
照して配達を行う。このとき配達業者２０２は，商品情
報，配達先住所，電子モール情報の情報しか参照できな
い。

【００９３】本発明を適用した具体例では，電子モール
利用者１００は，住所，課金番号といった個人情報を必
要最低限の業者にのみ開示することができる。従来の電
子モールでは，課金のために課金番号登録しなれけばな
らなかったが，本発明を用いれば課金番号を非公開にす
るだけでなく，課金業者を自由に設定することが可能と
なる。

【００９４】

【発明の効果】本発明を用いることにより，個人情報
と，個人情報の開示利用規定と，開示利用規定を判断す
る開示利用規定判断手段をまとめて一つの個人情報カプ
セルとすることで，個人情報カプセルがどのような環境
においても，個人情報提供主体の意図する開示利用規定
に基づいた個人情報の開示制御を行うことができる。

【００９５】また，本発明を用いることにより，個人情
報カプセル証明書に記述されている特徴情報と個人情報
カプセルの特徴情報を確認することで，個人情報カプセ
ルが改竄されていないことを検証することができると共
に，一意のＩＤを付与することで流通する個人情報カプ
セルのすべてを識別することができ，個人情報カプセル
の登録の前に個人情報提供主体と個人情報認証主体の間
で何らかの認証を行うことで，個人情報利用主体が直接
個人情報提供主体の情報にアクセスすることなく，個人
情報カプセルを生成した個人情報提供主体の身元を保証
することができる。

【００９６】本発明では，個人情報提供主体が，個人情
報の開示を許可する利用環境を特定することで，個人情
報カプセルが個人情報提供主体の意図しない個人情報利
用主体に渡ったとしても個人情報の参照を防ぐことがで
きると共に，個人情報利用主体の利用環境情報に対して
一意のＩＤを付与することで，個人情報提供主体に個人
情報利用主体の利用環境情報を容易に伝えることができ
る。また，利用環境情報を登録する際に個人情報利用主
体と個人情報利用環境認証主体との間で何らかの認証を
行うことで，個人情報利用環境認証主体が個人情報提供
主体に対し，個人情報カプセルを参照しようとする個人
情報利用主体の身元を保証することができる。

【００９７】また，本発明を用いることにより，個人情
報提供主体が開示利用規定判断手段を個人情報とその開
示利用規定とともにカプセル化するので，開示利用規定
判断手段は常に個人情報提供主体が指定したものを使用
するため，必ず個人情報提供主体が意図した開示利用規
定を保証することができると共に，個人情報利用環境認
証主体から利用環境証明書を取得することで，正当な利
用環境情報を利用することができる。また，個人情報認
証主体と何らかの認証を行って生成した個人情報カプセ
ルを登録することによって，個人情報カプセルの身元保
証を個人情報認証主体に代行させることができる。

【００９８】また，本発明を用いることにより，個人情
報利用主体が個人情報カプセルに格納された個人情報を
参照する際の開示利用規定判断は，個人情報カプセルご
とに格納されている開示利用規定判断手段が使われるの
で，個人情報利用主体が利用したい開示利用規定判断手
段をカプセルごとに変更することができると共に，個人
情報カプセルのＩＤに基づき個人情報認証主体に問い合
わせることで，個人情報カプセルが改竄されているかど
うかを検証できる。また，個人情報カプセルを生成した
個人情報提供主体の正当性を保証できる。

【００９９】また，本発明を用いることにより，個人情
報利用主体が個人情報カプセルに格納された個人情報に
アクセスするには，開示利用規定判断手段にデータの取
得を依頼するので，どのような場面で個人情報カプセル
に参照しようとしても必ず個人情報の要求条件を判断さ
せることができると共に，各個人情報は開示利用規定判
断手段だけが復号でき，したがって個人情報利用主体が
参照できないほかの個人情報を保護することができる。
また，開示利用規定判断手段によってアクセス履歴が個
人情報カプセルに格納されるので，個人情報カプセルが
どのような流通経路を辿ってきたか，知ることができ
る。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る個人情報流通管理プ
ラットフォームの概要を示すブロック図である。

【図２】図１に示すシステムの動作概要を説明する図で
ある。

【図３】個人情報カプセルの構成例を示す図である。

【図４】カプセル証明書と利用環境証明書の例を示す図
である。

【図５】個人情報カプセルの生成処理のフローチャート
である。

【図６】個人情報カプセルアクセス手段の処理フローチ
ャートである。

【図７】開示判断プログラムの処理フローチャートであ
る。

【図８】本発明の個人情報流通管理方法のオンラインシ
ョッピングへの適用例を示す図である。

【符号の説明】

１ 個人情報提供装置 １１ 個人情報カプセル生成手段 ２ 個人情報利用装置 ２１ 個人情報カプセルアクセス手段 ３ 個人情報認証装置 ３０ 個人情報カプセル認証局 ３１ カプセル管理手段 ３２ カプセル証明書発行手段 ４ 個人情報利用環境認証装置 ４０ 利用環境認証局 ４１ 利用環境管理手段 ４２ 利用環境証明書発行手段 ５ 個人情報カプセル ５１ 開示利用規定判断手段 ５２ 個人情報 ６０ カプセル証明書 ７０ 利用環境証明書

───────────────────────────────────────────────────── フロントページの続き (72)発明者 西田 玄 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5B017 AA07 BB10 5B085 AE00 BA06 BG02 BG03 BG04 BG07 (54)【発明の名称】 個人情報流通管理方法，個人情報流通管理システムにおける個人情報認証装置，個人情報利用環 境認証装置，個人情報提供装置，個人情報利用装置および開示利用規定判断プログラム，並びに 上記各装置用プログラム

Claims (17)

【特許請求の範囲】
1. 【請求項１】 個人情報を提供する個人情報提供装置
   と，個人情報提供装置が提供する個人情報に関する認証
   を行う個人情報認証装置と，個人情報提供装置から開示
   される個人情報の提供を受ける個人情報利用装置と，個
   人情報利用装置の個人情報利用に関する認証を行う個人
   情報利用環境認証装置とを有するシステムにおいて個人
   情報を流通・管理するための個人情報流通管理方法であ
   って，前記個人情報提供装置が提供する個人情報と，当
   該個人情報に対する開示利用規定との組を，個人情報の
   開示を判断するための開示利用規定判断手段とともに，
   一つにカプセル化した個人情報カプセルを生成するステ
   ップと，前記個人情報提供装置が生成した個人情報カプ
   セルに関する情報を，前記個人情報認証装置に登録する
   ステップと，前記個人情報認証装置が，前記個人情報利
   用装置からの要求によって個人情報カプセルを一意に識
   別する情報をもとに個人情報カプセルの正当性を保証す
   るカプセル証明書を発行するステップと，前記個人情報
   利用環境認証装置が，前記個人情報利用装置の利用環境
   の正当性を保証する利用環境証明書を発行するステップ
   と，前記個人情報利用装置が，カプセル証明書によって
   正当性が保証された個人情報カプセルから，前記開示利
   用規定判断手段を用いて，当該個人情報カプセル内に保
   持される個々の開示利用規定と，前記利用環境証明書に
   よって正当性が確認された当該個人情報利用装置が持つ
   利用環境情報に基づいて，当該個人情報利用装置に対し
   て開示可能な個人情報を取得するステップとを有するこ
   とを特徴とする個人情報流通管理方法。
2. 【請求項２】 前記開示利用規定が，個人情報の利用に
   関する個々の要求条件である少なくとも一つ以上の個人
   情報利用装置の利用環境情報と，生成されるカプセルの
   要求条件である回数，期間もしくは期限，または要求条
   件が満たされなかったときの処理方法とを規定したもの
   であることを特徴とする請求項１記載の個人情報流通管
   理方法。
3. 【請求項３】 前記利用環境情報が，カプセル化した個
   人情報を参照するために使われる個人情報利用装置のア
   プリケーション情報，マシン情報，ネットワーク情報，
   ユーザ情報，または前記開示利用規定判断手段に関する
   情報のいずれか複数を規定したものであることを特徴と
   する請求項１記載の個人情報流通管理方法。
4. 【請求項４】 前記個人情報認証装置が，個人情報をカ
   プセル化しようとする個人情報提供装置に対し，個人情
   報カプセルに一意のカプセルＩＤを発行し，生成された
   個人情報カプセルの特徴情報，またはさらに個人情報提
   供者の属性情報と，個人情報カプセルに付与されたカプ
   セルＩＤとの組を登録・管理し，前記個人情報利用装置
   から提示されたカプセルＩＤに基づき，前記カプセルＩ
   Ｄ，特徴情報またはさらに属性情報を記した個人情報カ
   プセル証明書を発行し，該カプセルＩＤが付与された個
   人情報カプセルの正当性を保証することを特徴とする請
   求項１記載の個人情報流通管理方法。
5. 【請求項５】 前記個人情報利用環境認証装置が，個人
   情報を利用しようとする個人情報利用装置の利用環境情
   報に対して一意に識別可能な利用環境情報ＩＤを発行
   し，前記個人情報利用装置の利用環境情報と利用環境情
   報ＩＤとの組を登録・管理し，前記開示利用規定判断手
   段から提示された利用環境情報ＩＤに基づき，利用環境
   情報と利用環境情報ＩＤとを記した利用環境証明書を発
   行し，該利用環境情報ＩＤの利用環境情報の正当性を保
   証することを特徴とする請求項１記載の個人情報流通管
   理方法。
6. 【請求項６】 前記個人情報提供装置が，提供しようと
   する一つ以上の個人情報と，該個人情報に対して開示に
   必要な要求条件であって，前記個人情報利用環境認証装
   置から取得した利用環境証明書に記されている利用環境
   情報を用いて設定した条件とを含む開示利用規定とを少
   なくとも暗号化した情報と，前記個人情報認証装置から
   取得したカプセルＩＤと，前記開示利用規定判断手段と
   を一つにカプセル化して個人情報カプセルを生成し，生
   成された個人情報カプセルの特徴情報と当該カプセルＩ
   Ｄとを前記個人情報認証装置に登録することを特徴とす
   る請求項１記載の個人情報流通管理方法。
7. 【請求項７】 前記個人情報利用装置が，前記個人情報
   カプセルのカプセルＩＤに基づき，前記個人情報認証装
   置に登録されたものかを確認し，登録されていればその
   個人情報カプセルのカプセル証明書を取得し，該特徴情
   報が参照しようとしている個人情報カプセルと同一のも
   のかを確認し，当該個人情報カプセルに収められた開示
   利用規定判断手段に対して，当該個人情報カプセルに格
   納された個人情報の参照要求を行い，前記開示利用規定
   判断手段の返却する個人情報の受け取りを行うことを特
   徴とする請求項１記載の個人情報流通管理方法。
8. 【請求項８】 前記開示利用規定判断手段が，前記個人
   情報利用装置の個人情報カプセルに格納された個人情報
   の参照要求に対して，当該個人情報利用装置の利用環境
   を検査し，該検査結果が前記個人情報利用環境認証装置
   に登録された利用環境情報であるかを確認し，当該個人
   情報カプセルに設定された開示条件を判断し，個人情報
   の開示の可否を判断し，開示できる個人情報が存在する
   場合には，該個人情報を前記個人情報利用装置へ引き渡
   し，前記個人情報利用装置からの要求と判断結果とをア
   クセス履歴情報として当該個人情報カプセル内に格納す
   ることを特徴とする請求項１記載の個人情報流通管理方
   法。
9. 【請求項９】 個人情報を提供する個人情報提供装置
   と，個人情報提供装置から開示される個人情報の提供を
   受ける個人情報利用装置と，個人情報利用装置の個人情
   報利用に関する認証を行う個人情報利用環境認証装置と
   を有するシステムにおいて，前記個人情報提供装置が提
   供する個人情報に関する認証を行う個人情報認証装置で
   あって，個人情報をカプセル化しようとする個人情報提
   供装置に対し，個人情報カプセルに一意のカプセルＩＤ
   を発行する手段と，生成された個人情報カプセルの特徴
   情報，またはさらに個人情報提供者の属性情報と，個人
   情報カプセルに付与されたカプセルＩＤとの組を，前記
   個人情報提供装置からの要求によって登録し管理する手
   段と，前記個人情報利用装置から提示されたカプセルＩ
   Ｄに基づき，該カプセルＩＤが付与された個人情報カプ
   セルの正当性を保証するための，前記カプセルＩＤ，特
   徴情報またはさらに属性情報を記した個人情報カプセル
   証明書を発行する手段とを備えることを特徴とする個人
   情報流通管理システムにおける個人情報認証装置。
10. 【請求項１０】 個人情報を提供する個人情報提供装置
    と，個人情報提供装置が提供する個人情報に関する認証
    を行う個人情報認証装置と，個人情報提供装置から開示
    される個人情報の提供を受ける個人情報利用装置とを有
    するシステムにおいて，前記個人情報利用装置の個人情
    報利用に関する認証を行う個人情報利用環境認証装置で
    あって，個人情報を利用しようとする個人情報利用装置
    の利用環境情報に対して一意に識別可能な利用環境情報
    ＩＤを発行する手段と，前記個人情報利用装置の利用環
    境情報と利用環境情報ＩＤとの組を登録し管理する手段
    と，前記個人情報提供装置が提供する個人情報の開示の
    可否を判断する開示利用規定判断手段から提示された利
    用環境情報ＩＤに基づき，前記個人情報利用装置の利用
    環境情報の正当性を保証するための，利用環境情報と利
    用環境情報ＩＤとを記した利用環境証明書を発行する手
    段とを備えることを特徴とする個人情報流通管理システ
    ムにおける個人情報利用環境認証装置。
11. 【請求項１１】 個人情報に関する認証を行う個人情報
    認証装置と，個人情報の提供を受ける個人情報利用装置
    と，個人情報利用装置の個人情報利用に関する認証を行
    う個人情報利用環境認証装置とを有するシステムにおい
    て，前記個人情報利用装置に個人情報を提供する個人情
    報提供装置であって，前記個人情報認証装置から生成す
    る個人情報カプセルに付与するカプセルＩＤを取得する
    手段と，提供しようとする一つ以上の個人情報と，該個
    人情報に対して開示に必要な要求条件であって前記個人
    情報利用環境認証装置から取得した利用環境証明書に記
    されている利用環境情報を用いて設定した条件とを含む
    開示利用規定との組の情報，および前記個人情報認証装
    置から取得したカプセルＩＤ，および個人情報の開示を
    判断するための開示利用規定判断手段とを一つにカプセ
    ル化して個人情報カプセルを生成する手段と，生成され
    た個人情報カプセルの特徴情報と当該カプセルＩＤとを
    前記個人情報認証装置に登録する手段とを備えることを
    特徴とする個人情報流通管理システムにおける個人情報
    提供装置。
12. 【請求項１２】 個人情報を提供する個人情報提供装置
    と，個人情報提供装置が提供する個人情報に関する認証
    を行う個人情報認証装置と，個人情報利用に関する認証
    を行う個人情報利用環境認証装置とを有するシステムに
    おいて，前記個人情報提供装置から開示される個人情報
    の提供を受ける個人情報利用装置であって，前記個人情
    報提供装置から提供された，個人情報と，その各個人情
    報の利用条件に関する開示利用規定と，個人情報の開示
    を判断するための開示利用規定判断手段とを内包する個
    人情報カプセルのカプセルＩＤに基づき，該個人情報カ
    プセルが前記個人情報認証装置に登録されたものかを確
    認し，登録されていればその個人情報カプセルのカプセ
    ル証明書を取得し，該カプセル証明書に記載されている
    個人情報カプセルの特徴情報が，参照しようとしている
    個人情報カプセルと同一のものかを確認する手段と，当
    該個人情報カプセルに収められた開示利用規定判断手段
    に対して，当該個人情報カプセルに格納された個人情報
    の参照要求を行い，前記開示利用規定判断手段の返却す
    る個人情報の受け取りを行うデータ取得手段とを備える
    ことを特徴とする個人情報流通管理システムにおける個
    人情報利用装置。
13. 【請求項１３】 個人情報を提供する個人情報提供装置
    と，個人情報提供装置が提供する個人情報に関する認証
    を行う個人情報認証装置と，個人情報提供装置から開示
    される個人情報の提供を受ける個人情報利用装置と，個
    人情報利用装置の個人情報利用に関する認証を行う個人
    情報利用環境認証装置とを有するシステムにおいて，前
    記個人情報提供装置が個人情報の提供のために生成する
    個人情報カプセル内に，個人情報およびその開示条件と
    共に収められる開示利用規定を判断するプログラムであ
    って，前記個人情報利用装置の個人情報カプセルに格納
    された個人情報の参照要求に対して，当該個人情報利用
    装置の利用環境を検査し，該検査結果が前記個人情報利
    用環境認証装置に登録された利用環境情報であるかを確
    認する処理と，当該個人情報カプセルに設定された開示
    条件を判断し，個人情報の開示の可否を判断し，開示で
    きる個人情報が存在する場合には，該個人情報を前記個
    人情報利用装置へ引き渡す処理とを，計算機に実行させ
    るための開示利用規定判断プログラム。
14. 【請求項１４】 請求項９記載の個人情報認証装置を計
    算機によって実現するためのプログラムであって，個人
    情報をカプセル化しようとする個人情報提供装置に対
    し，個人情報カプセルに一意のカプセルＩＤを発行する
    処理と，生成された個人情報カプセルの特徴情報，また
    はさらに個人情報提供者の属性情報と，個人情報カプセ
    ルに付与されたカプセルＩＤとの組を，前記個人情報提
    供装置からの要求によって登録し管理する処理と，前記
    個人情報利用装置から提示されたカプセルＩＤに基づ
    き，該カプセルＩＤが付与された個人情報カプセルの正
    当性を保証するための，前記カプセルＩＤ，特徴情報ま
    たはさらに属性情報を記した個人情報カプセル証明書を
    発行する処理とを，計算機に実行させるための個人情報
    認証装置用プログラム。
15. 【請求項１５】 請求項１０記載の個人情報利用環境認
    証装置を計算機によって実現するためのプログラムであ
    って，個人情報を利用しようとする個人情報利用装置の
    利用環境情報に対して一意に識別可能な利用環境情報Ｉ
    Ｄを発行する処理と，前記個人情報利用装置の利用環境
    情報と利用環境情報ＩＤとの組を登録し管理する処理
    と，前記個人情報提供装置が提供する個人情報の開示の
    可否を判断する開示利用規定判断手段から提示された利
    用環境情報ＩＤに基づき，前記個人情報利用装置の利用
    環境情報の正当性を保証するための，利用環境情報と利
    用環境情報ＩＤとを記した利用環境証明書を発行する処
    理とを，計算機に実行させるための個人情報利用環境認
    証装置用プログラム。
16. 【請求項１６】 請求項１１記載の個人情報提供装置を
    計算機によって実現するためのプログラムであって，前
    記個人情報認証装置から生成する個人情報カプセルに付
    与するカプセルＩＤを取得する処理と，提供しようとす
    る一つ以上の個人情報と，該個人情報に対して開示に必
    要な要求条件であって前記個人情報利用環境認証装置か
    ら取得した利用環境証明書に記されている利用環境情報
    を用いて設定した条件とを含む開示利用規定との組の情
    報，および前記個人情報認証装置から取得したカプセル
    ＩＤ，および個人情報の開示を判断するための開示利用
    規定判断手段とを一つにカプセル化して個人情報カプセ
    ルを生成する処理と，生成された個人情報カプセルの特
    徴情報と当該カプセルＩＤとを前記個人情報認証装置に
    登録する処理とを，計算機に実行させるための個人情報
    提供装置用プログラム。
17. 【請求項１７】 請求項１２記載の個人情報利用装置を
    実現するためのプログラムであって，前記個人情報提供
    装置から提供された，個人情報と，その各個人情報の利
    用条件に関する開示利用規定と，個人情報の開示を判断
    するための開示利用規定判断手段とを内包する個人情報
    カプセルのカプセルＩＤに基づき，該個人情報カプセル
    が前記個人情報認証装置に登録されたものかを確認し，
    登録されていればその個人情報カプセルのカプセル証明
    書を取得し，該カプセル証明書に記載されている個人情
    報カプセルの特徴情報が，参照しようとしている個人情
    報カプセルと同一のものかを確認する処理と，当該個人
    情報カプセルに収められた開示利用規定判断手段に対し
    て，当該個人情報カプセルに格納された個人情報の参照
    要求を行い，前記開示利用規定判断手段の返却する個人
    情報の受け取りを行うデータ取得処理とを，計算機に実
    行させるための個人情報利用装置用プログラム。