JP2004005583A - 個人情報保護方法およびシステム、ならびにプログラム、記録媒体 - Google Patents

Abstract

【課題】Ｐ３Ｐにおけるポリシーやプレファレンス等の情報を適宜なタイミングで確実に保管可能な個人情報保護方法を提供する。
【解決手段】クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録するステップと、所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段から抽出した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力するステップとを実行する。
【選択図】　　　図３

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネット等のネットワーク上でやり取りされる個人情報の保護方法に関するものである。
【０００２】
【発明の背景】
Ｐ３Ｐと呼ばれるＷｅｂ上でのプライバシー保護規格が存在する。これは、ウェブ関連の標準化団体Ｗ３Ｃ（Ｗｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ　Ｃｏｎｓｏｒｔｉｕｍ）が開発中の規格であって、Ｗｅｂサイトの運営者が、住所、氏名、メールアドレス、ｃｏｏｋｉｅ、ＩＰアドレスといった個人情報の利用基準（ポリシー）を開示し、ユーザがそれに基づいて、個人情報の提供を判断できるようにする仕組みである。ユーザはそのクライアントに、前記ポリシーに応じてどのように個人情報を提供するかを記述したプレファレンスと呼ばれるファイルを保持する。図１に示すように、Ｗｅｂサーバ（情報提供サーバ２０）とユーザクライアント１０のＷｅｂブラウザーがこれら、ポリシー２００やプレファレンス１００といったプライバシーの規定をやり取りしてマッチング処理し、ユーザーが開示を許可している個人情報３００のレベル（図中では氏名のみ）に応じてクッキー等の受け取りの許可、拒否を自動的に行うことも出来る。情報提供サーバ２０ではこの個人情報に提供に応じて例えばマイページ等を生成して前記ユーザクライアント１０に提供する。例えば、ｃｏｏｋｉｅを使うとユーザーのアクセス情報をＷｅｂサーバ側で収集可能である現状に対し、Ｐ３Ｐ等のネット上のプライバシー保護規定のニーズは高いといえるだろう。
【０００３】
【発明が解決しようとする課題】
上記Ｐ３ＰはＷｅｂ上のプライバシー保護規定を実現する礎となりうるであろうが、しかし発展過程であるが故の改善すべき点も存在する。例えば、Ｗｅｂサーバが悪意をもって管理されているとすれば、前記ポリシーを都合のよい内容に随時書き換えてクライアント側に提示する可能性が否定できない。つまり、ある時点ＡでこのＷｅｂサーバにアクセスしたクライアントに対し、「入手した個人情報は当サイトのみで使用し、あなたの許可なく第三者に提供することはありません」といったポリシーを提示したとする。これをクライアントの画面で眺めたユーザが、もしくはクライアント自体が前記プレファレンスに基づき、このポリシー内容であれば問題ないだろうと判断し、個人情報をＷｅｂサーバに提供する。
【０００４】
しかし、その後の時点Ｂで前記Ｗｅｂサーバが前記ポリシーの内容を書き換えて、「入手したあなたの個人情報は第三者に提供されることになります」とした場合、さきほどの個人情報はそのまま第三者に転送されてしまうことが容易に推定出来る。Ｗｅｂサーバの管理上、ポリシーを更新することはあろうが、その基本理念まで変更するような更新が行われて個人情報が気ままに取り扱われてしまえば、ユーザの立場からすれば騙されたということになりかねない。
【０００５】
したがって、適宜なタイミングで上記のポリシーやプレファレンスを確実に保管して、以後の様々な事態に対処可能なシステムが必要となっていた。
【０００６】
そこで本発明はこのような従来の課題に着目してなされたもので、Ｐ３Ｐにおけるポリシーやプレファレンス等の情報を適宜なタイミングで確実に保管可能な個人情報保護方法を提供することを目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成する本発明の個人情報保護方法は、クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録するステップと、所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段から抽出した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力するステップと、を含むことを特徴とする。
【０００８】
本発明には、上記の処理を実行する情報処理装置、本情報処理装置に上記の処理を実行させるプログラム、このプログラムを格納し情報処理装置で読取り可能な記憶媒体が含まれる。
【０００９】
また、クライアントとサーバとを除く第１の情報管理装置が、クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録するステップと、クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送するステップと、前記情報提供リクエストが、当該第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定するステップと、直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行するステップと、直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信するステップと、前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行うステップと、前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供するステップと、を含むことを特徴とする個人情報保護方法にかかる。
【００１０】
更に、個人情報保護方法を実現する情報管理装置であって、クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録する手段と、クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送する手段と、前記情報提供リクエストが、第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定する手段と、直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行する手段と、直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信する手段と、前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行う手段と、前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供する手段と、を備えることを特徴とする情報管理装置にかかる。
【００１１】
また、個人情報保護方法をコンピュータ上で機能させるためのプログラムであって、クライアントとサーバとを除く第１の情報管理装置が、クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録するステップと、クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送するステップと、前記情報提供リクエストが、当該第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定するステップと、直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行するステップと、直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信するステップと、前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行うステップと、前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供するステップと、を含むことを特徴とする個人情報保護プログラムにかかる。
【００１２】
更に、個人情報保護プログラムを記録したコンピュータ読み取り可能な記録媒体にかかる。
【００１３】
【発明の実施の形態】
以下、添付の図面を参照しつつ、本発明の実施の形態について詳細に説明する。図１で示したＰ３Ｐの一般的な処理流れの中で、本実施形態においてなされるべきは、図２に示すようなマッチング時のポリシー情報とプレファレンス情報との保存処理である。以降、全てこの保存処理までの前手順は終了しているものとして説明を行う。
【００１４】
図３はプレファレンス情報およびポリシー情報の合意を第三者機関に保管する実施例を示す説明図であり、図４は図３の実施例における保管手順を示す流れ図、図５は図３の実施例における裁判時の処理手順を示す流れ図である。ポリシー情報やプレファレンス情報を授受するのは、前出のユーザクライアント１０と情報提供サーバ２０である。ユーザクライアント１０としては、一般のパーソナルコンピュータ等が想定できる。また、情報提供サーバ２０には、ＷＷＷサーバが想定できる。そして両者の間はインターネットなどのＴＣＰ／ＩＰネットワークで結ばれ、ＨＴＴＰリクエスト／レスポンスを交わす通信環境となっている。
【００１５】
そして、両者の間に立って中立な立場にある電子公証役場が備えるのが公証役場端末３０である。この電子公証役場はユーザ側、情報提供サーバ運営者側のそのどちらにも中立である。ここでの端末３０はサーバ機能を備えて、ユーザクライアント１０から保管依頼のあったマッチング時のプレファレンス情報とポリシー情報とをセットにして保管する一方、裁判所などの求めに応じて適宜なタイミングでその保管してある情報を裁判所等の端末に送信する。
【００１６】
ユーザクライアント１０および情報提供サーバ２０でそれぞれ実行される処理の流れとしては、以下のようになる。ユーザクライアント１０から情報提供サーバ２０に対してＨＴＴＰリクエストが送信されると、これを受信した情報提供サーバ２０は、ポリシー情報を該当ユーザクライアント１０に対して返信する。このポリシー情報を受け取ったユーザクライアント１０では、自身が格納しているプレファレンス情報と、情報提供サーバ２０から受け取ったポリシー情報とをマッチングさせる。マッチングした範囲に応じてユーザの個人情報３００の中から適宜な個人情報３０１を抽出して情報提供サーバ２０に送信する。この時の待機画面が図１４の画面５０である。無表示であるが、この時点で情報提供サーバ２０での情報提供を待っている。
【００１７】
情報提供サーバ２０ではこれを受けて、ユーザクライアント１０の望む情報を適宜な記憶資源から抽出してユーザクライアント１０に返信する。この提供情報は、例えばユーザの氏名が表示され、予めユーザ毎に指定された好みに応じてカスタマイズしたマイページの画面情報６０（図１４参照）であったりする。続いてユーザクライアント１０では、前記マッチングしたポリシー情報とプレファレンス情報とに、ハッシュ関数を演算させてハッシュ値を生成する。それぞれのハッシュ値はセットにしてユーザクライアント１０の保有する秘密鍵で署名する。つまり、ある時点でマッチングしたプレファレンス情報とポリシー情報とは暗号化され、電子署名４５０が施されるわけである。
【００１８】
署名付きハッシュデータは４００は、前記電子公証役場端末３０に送信される。電子公証役場端末３０では、受け取ったハッシュデータ４００を、例えばユーザクライアント１０および情報提供サーバ２０に関係付けして登録日時と共にデータベース登録する。以後、時節到来まで保管される。
【００１９】
時節とは、課題でも述べたように、例えば前記情報提供サーバ２０が前記マッチング後にポリシー情報を変更し、ユーザ側が不利益を被ったと認識した状況が考えられる。そこで、不利益を被ったユーザ側が司法の場に訴えたとする。図５は図３の実施例における裁判時の処理手順を示す流れ図である。この場合、裁判所に対して提出する証拠としてプレファレンス情報１００およびポリシー情報２００が扱われる。各者の立場で切り分けて考えると、ユーザは、ユーザクライアント１０に保持しているプレファレンス情報１００を裁判所に提出し、情報提供サーバの運営者は同サーバ２０に保持している現時点でのポリシー情報２０１を提出し、他方、電子公証役場は先に保管してある署名付きハッシュデータ４００を提出する。
【００２０】
裁判所の端末ではこれを受信し、まずユーザクライアント１０から取得したプレファレンス情報１００はハッシュ処理し、また、情報提供サーバ２０から取得した現時点でのポリシー情報２０１もハッシュ処理する。両ハッシュ値が揃ったならば、電子公証役場端末３０由来の署名付きハッシュデータ４００とこれらの照合処理を行う。ハッシュデータが異なっていれば前記マッチング後に改竄が行われている証拠となるのである。裁判所ではこれを利用して手続を進めることができる。
【００２１】
図６はプレファレンス情報およびポリシー情報の合意を第三者機関によらず保管する実施例を示す説明図であり、図７は図６の実施例における保管手順を示す流れ図、図８は図６の実施例における裁判時の処理手順を示す流れ図である。上記のように、電子公証役場等の第三者機関を利用せずに処理を行う場合も考えられる。この場合、マッチング後のプレファレンス情報１００およびポリシー情報２００は、ユーザクライアント１０でハッシュ処理が行われて電子署名された後、ユーザクライアント１０自身で保管する一方で、この署名付きハッシュデータ４００を情報提供サーバ２０にも転送することとなる。前記の裁判時においては、ユーザクライアント１０と情報提供サーバ２０の少なくともいずれかが署名付きハッシュデータ４００を裁判所に送信する。
【００２２】
また、ユーザクライアント１０からプレファレンス情報１００、情報提供サーバ２０から現時点でのポリシー情報２０１をそれぞれ取得した裁判所では、これらのハッシュ値と前記提出された署名付きハッシュデータ４００とを照合するのである。これにより、ハッシュデータが異なっていれば前記マッチング後に改竄が行われている証拠となるのである。裁判所ではこれを利用して手続を進めることができる。なお、ユーザクライアント１０から情報提供サーバ２０へＨＴＴＰリクエストが送信され、マッチングが行われる前までの処理については図４および図５に即して既に説明したため説明は省略する。
【００２３】
図９は個人情報管理機関を設置してＰ３Ｐを適用した実施例を示す説明図である。ここでいう個人情報管理機関（図中では個人情報管理センタ。以下、管理センタとする）とは、ユーザの個人情報３００やプレファレンス情報１００をユーザ毎に予め登録して管理するとともに、ユーザクライアント１０から情報提供サーバ２０への情報提供リクエストに合わせて、該当サーバから得たポリシー情報２００と、該当ユーザクライアント１０に関して保持するプレファレンス情報１００とのマッチング処理およびその結果に応じた情報提供サーバ２０への個人情報提供を実行するコンピュータである。
【００２４】
この管理センタ４０のセキュリティ性を高めることで、個人ベースのパーソナルコンピュータ等に個人情報を保管しておくよりも、セキュリティ管理を一元化し管理の効率化および高セキュリティ性を確立しやすくなる。また、ユーザクライアント１０で行う処理は、情報提供サーバ２０に対するＨＴＴＰリクエストとそれに応じたレスポンスの受信だけとなり、負荷低減を図れる。勿論、社会的信用或る企業や公共団体等がこの管理センタ４０を運営して、ユーザの登録資格を吟味すれば、登録・管理する個人情報にも信用性が高まる。
【００２５】
例えば、マンションを管理する管理組合やマンション管理企業、不動産会社等が、この管理センタ４０を運営して、マンション居住者にサービスを提供することが出来る。ＬＡＮで結ばれた各居住者からこの管理センタ４０（例：マンション毎に設けられる専用サーバ）に預けられた個人情報は、各自毎に登録されたプレファレンス情報に応じて、前記ＬＡＮが接続するインターネットの先の情報提供サーバ２０に適宜提供される。いわゆるＩＴマンションが想定できるであろう。
【００２６】
図１０はプレファレンス情報およびポリシー情報の合意を個人情報管理機関に保管する実施例を示す説明図、図１１は図１０の実施例におけるプレファレンス情報および個人情報の登録手順を示す流れ図、図１２は図１０の実施例における保管手順を示す流れ図、図１３は図１０の実施例における裁判時の処理手順を示す流れ図である。上述したように、ユーザクライアント１０からのＨＴＴＰリクエストを情報提供サーバ２０に仲介し、その際に発生したプレファレンス情報１００とポリシー情報２００とのマッチング処理は、この管理センタ４０において実行される。このため、図１１に示すように、ユーザはユーザクライアント１０を介してプレファレンス情報１００と個人情報３００とを管理センタ４０に送信して登録しておく必要がある。
【００２７】
プレファレンス情報１００とポリシー情報２００とのマッチング処理を実行した管理センタ４０は、そのマッチング結果に応じて抽出した個人情報３０１を、情報提供サーバ２０に送信する。一方で、これ応じて当該情報提供サーバ２０から返信されてきた提供情報をユーザクライアント１０に転送する。
【００２８】
続いて、マッチングしたプレファレンス情報１００とポリシー情報２００とは、前記同様それぞれハッシュ処理してセットとなし、これに電子署名４５０を施す。こうして生成した署名付きハッシュデータ４００は自身の適宜な記憶資源において、ユーザ（或いはユーザクライアント）毎にデータベース化して格納する。
【００２９】
例えば上記してきたように、情報提供サーバ２０が前記マッチング後にポリシー情報を変更し、ユーザ側が不利益を被ったと認識し、裁判が生じた場合、裁判所に対して提出する証拠として管理センタ４０が保管していた署名付きハッシュデータ４００が上げられる。また一方で、該当ユーザのプレファレンス情報１００もこの管理センタ４０から裁判所に提出される。他方、情報提供サーバ２０からは同サーバ２０に保持している現時点でのポリシー情報２０１を提出する。
【００３０】
裁判所の端末ではこれらを受信し、管理センタ４０から取得したプレファレンス情報１００と、情報提供サーバ２０から取得した現時点でのポリシー情報２０１とをハッシュ処理する。両ハッシュ値が揃ったならば、管理センタ４０由来の署名付きハッシュデータ４００とこれらの照合処理を行う。ハッシュデータが異なっていれば前記マッチング後に改竄が行われている証拠となるのである。裁判所ではこれを利用して手続を進めることができる。
【００３１】
なお、ユーザクライアント１０は、ラップトップタイプを含む一般のパーソナルコンピュータだけでなく、例えばネットワーク接続可能な携帯電話機、ＰＤＡ、ゲーム機、ファックス機、デジタルＴＶなどネットワーク接続可能ないずれのコンピュータチップを備える機器でもよい。
【００３２】
加えて、ユーザクライアント１０と情報提供サーバ２０、また電子公証役場端末３０や個人情報管理センタ４０らをそれぞれつなぐネットワークに関して本実施形態ではインターネットを想定するが、これに限らずＷＡＮ（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、ＬＡＮ、無線ネットワークなど様々なネットワークを採用することも出来る。また、ＶＰＮなど仮想専用ネットワーク技術を用いれば、インターネットにおいてセキュリティ性を高めた通信が確立され好適である。
【００３３】
また他の実施形態として以下に示すものがある。図１５はシングルサインオンに対応した個人情報管理方法を示す概要図である。例えばマルチドメイン環境下などにおいて個人情報の管理を行うとすれば、複数存在する前記個人情報管理センタ毎にユーザのプレファンレス１００や個人情報３００を登録する必要があった。しかしながら、本実施形態における手法を採用することで、シングルサインオンの処理が可能となり、ユーザにかかる手間が軽減されるることとなる。
【００３４】
つまり、ユーザクライアント１０から一カ所の個人情報管理センタ４０（第１の情報管理装置）にのみユーザのプレファレンス１００および個人情報３００を登録しておく。そして、当該個人情報管理センタ４０を例えばポータルサイトとすれば、このポータルサイトを入り口として直接リンクする情報提供サーバ２０らへの情報提供リクエスト（ユーザクライアント１０由来）については、上記実施形態と同様の処理がなされる。
【００３５】
前記個人情報管理センタ４０は、該当サーバ２０より、この情報提供リクエストに応じた、ユーザの個人情報の取扱い基準を記述したポリシー情報２００を受信し、このポリシー情報２００と、該当ユーザクライアント１０に関して保持するプレファレンス情報１００とのマッチング処理およびその結果に応じた情報提供サーバ２０への個人情報提供を実行するのである。
【００３６】
一方、前記情報提供リクエストが、前記個人情報管理センタ４０をポータルサイトとせず直接リンクしない情報提供サーバ２５に宛てたものであったならば、前記ユーザクライアント１０についての該当情報提供サーバ２５からのアクセス認証要求を、当該サーバが直接リンクされた個人情報管理センタ４５（第２の情報管理装置）より受け付ける。そしてこれの認証処理を実行し、当該認証処理の結果を前記個人情報管理センタ４５に返信する。
【００３７】
そして、前記アクセス認証を受けたユーザクライアント１０に対する前記情報提供サーバ２５からのポリシー情報２００を、前記個人情報管理センタ４５より受信し、当該ポリシー情報２００と該当ユーザクライアント１０に関して保持するプレファレンス１００とのマッチング処理を行う。
【００３８】
前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報３００を特定するとともに、この個人情報３００を該当情報提供サーバ２５宛で前記個人情報管理センタ４５に提供する。
【００３９】
なお、前記個人情報３００を該当情報提供サーバ２５宛で前記個人情報管理センタ４５に提供するに際し、前記個人情報３００を該当情報提供サーバ２５の公開鍵で暗号化する。これにより、個人情報管理センタ４５においては、この個人情報３００を読み取ることは出来ない。勿論、情報提供サーバ４５側では、自身の秘密鍵にて前記個人情報３００を復号化し利用することとなる。
【００４０】
図１６は病院ポータルサイト（情報管理装置）を例とした実施形態を示すネットワーク構成図である。上記のような手法を、例えば医師がユーザとなって病院、薬局といったポータルサイトの情報提供サービスを受ける状況に適用したとする。この場合、前記医師についてのプレファレンス１００および個人情報３００は、個人情報管理センタ４０としての病院ポータルサイトに登録されている。
【００４１】
そしてこの医師はユーザクライアント１０を通じて前記病院ポータルサイト４０にアクセスし、情報提供サーバ２０（病院Ａの）などからカルテ情報等を閲覧することができる。他方、情報提供サーバ４５としての薬局ポータルサイトを通じて前記アクセス認証を受けることで情報提供サーバ２５（薬局Ｄの）から薬の在庫確認や処方情報などを得ることも可能となる。
【００４２】
図１７は病院ポータルサイト（情報管理装置）を基点としたデータフローを示す図である。以下、上記した医師のユーザクライアント１０と病院ポータルサイト２０、薬局ポータルサイト２５とから構成されるネットワークにおける本実施形態の処理手順について、図１８および図１９のフロー図も参照しつつ説明を行う。なお、図１９において、病院ポータルサイト２０および薬局ポータルサイト２５を、“ファーストメディエータ”と称している。また、情報提供サーバ２０、２５を“プロバイダ”と称している。
【００４３】
まず、ユーザクライアント１０から病院ポータルサイト２０に対し、ログイン処理がなされる。病院ポータルサイト２０ではこれを受けて認証処理を実行し、当該ログインに伴う情報提供リクエストも受診する。ここで受信した情報提供リクエストは、該当する情報提供サーバに転送する。
【００４４】
但し、前記情報提供リクエストについては、当該病院ポータルサイト２０と直接リンクする情報提供サーバ２０宛のものか否かを判定する。この判定により、直接リンクするサーバ２０宛のものであったならば、該当サーバ２０より、前記情報提供リクエストに応じた、ポリシー情報２００を受信し、このポリシー情報２００と、該当ユーザクライアント１０に関して保持するプレファレンス１００とのマッチング処理およびその結果に応じたサーバ２０への個人情報提供を実行する。
【００４５】
前記情報提供リクエストが例えばカルテ閲覧といったものであり、前記個人情報が前記医師の医師免許のＩＤや氏名等である場合、前記情報提供サーバ２０より提供される情報は、カルテ情報となる。
【００４６】
一方、前記情報提供リクエストが、病院ポータルサイト２０に直接リンクしないサーバ２５宛（薬局Ｄ）のものであったならば、前記ユーザクライアント１０についての該当サーバ２５（薬局Ｄ）からのアクセス認証要求（図１８：アクセス権限問合わせ）を、薬局ポータルサイト４５より受け付けて認証処理する。当該認証処理の結果（図１８：問合わせ結果）は前記薬局ポータルサイト４５に返信する。
【００４７】
前記アクセス認証が問題なければ、当該認証を受けたユーザクライアント１０に対する前記サーバ２５からのポリシー情報２００を、前記薬局ポータルサイト４５より受信する。当該ポリシー情報２００は該当ユーザクライアント１０に関して保持するプレファレンス１００とのマッチング処理に供される。
【００４８】
病院ポータルサイト２０は、このマッチング処理の結果に応じて、提供可能な該当ユーザの個人情報３００を特定するとともに、この個人情報３００を該当サーバ２５宛で前記薬局ポータルサイト４５に提供する。
【００４９】
なお、この時、前記個人情報３００は該当サーバ２５（薬局Ｄ）の公開鍵で暗号化して薬局ポータルサイト４５に提供するものとする。この個人情報３００の提供を受けた薬局ポータルサイト４５は、これをサーバ２５（薬局Ｄ）に転送する。サーバ２５ではこれを自身の秘密鍵で複合化して利用し、ダイナミックな情報を前記ユーザクライアント１０に対して提供する。
【００５０】
本発明に係る実施の形態としては、前記目的を達成すべく、次の通りとしてもよい。前記個人情報保護方法において、前記記憶手段をクライアント、サーバ、及び第三者が運営する端末のいずれかのコンピュータに設け、前記所定タイミングが到来したならば、前記いずれかのコンピュータにおいて前記照合処理機関の端末への送信処理を行うか、又は前記照合処理を実行してその照合結果を出力装置に出力することとする。
【００５１】
また、前記個人情報保護方法において、前記第三者の運営する端末が、ユーザの個人情報およびプレファレンス情報をユーザ毎に予め登録して管理するとともに、クライアントからサーバへの情報提供リクエストに合わせて、該当サーバから得たポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行する個人情報管理機能を備えて、前記照合処理機関の端末への送信処理又は当該照合処理を実行してその照合結果を出力装置に出力するステップを実行することとする。
【００５２】
更に、前記個人情報保護方法において、前記第三者の運営する端末が、前記マッチング処理の結果に応じたサーバへの個人情報提供を実行するとともに、提供した個人情報に応じてサーバから得た提供情報を該当クライアントに転送することとする。
【００５３】
また、個人情報保護方法を実現するコンピュータシステムであって、クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録する手段と、所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段で参照した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力する手段と、を含むことを特徴とする個人情報保護システムをなすこととする。
【００５４】
更に、前記個人情報保護方法をコンピュータ上で機能させるためのプログラムであって、クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録するステップと、所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段で参照した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力するステップと、を含むことを特徴とする個人情報保護プログラムをなすこととする。
【００５５】
また、前記個人情報保護プログラムを記録したコンピュータ読み取り可能な記録媒体をなすこととする。
【００５６】
【発明の効果】
本発明によれば、Ｐ３Ｐにおけるポリシーやプレファレンス等の情報を適宜なタイミングで確実に保管可能な個人情報保護方法を提供可能となる。また、マルチドメイン環境にも対応し、シングルサインオンによるユーザ側の手間軽減につながる。
【図面の簡単な説明】
【図１】Ｐ３Ｐの一般的な処理の流れを示す説明図である。
【図２】Ｐ３Ｐにおいてポリシー情報とプレファレンス情報とのマッチングを行うまでの処理手順を示す説明図である。
【図３】プレファレンス情報およびポリシー情報の合意を第三者機関に保管する実施例を示す説明図である。
【図４】図３の実施例における保管手順を示す流れ図である。
【図５】図３の実施例における裁判時の処理手順を示す流れ図である。
【図６】プレファレンス情報およびポリシー情報の合意を第三者機関によらず保管する実施例を示す説明図である。
【図７】図６の実施例における保管手順を示す流れ図である。
【図８】図６の実施例における裁判時の処理手順を示す流れ図である。
【図９】個人情報管理機関を設置してＰ３Ｐを適用した実施例を示す説明図である。
【図１０】プレファレンス情報およびポリシー情報の合意を個人情報管理機関に保管する実施例を示す説明図である。
【図１１】図１０の実施例におけるプレファレンス情報および個人情報の登録手順を示す流れ図である。
【図１２】図１０の実施例における保管手順を示す流れ図である。
【図１３】図１０の実施例における裁判時の処理手順を示す流れ図である。
【図１４】ユーザがあるＷｅｂサイトを訪れて個人情報の提供を行う画面遷移を示すイメージ図である。
【図１５】シングルサインオンに対応した個人情報管理方法を示す概要図である。
【図１６】病院ポータルサイト（情報管理装置）を例とした実施形態を示すネットワーク構成図である。
【図１７】病院ポータルサイト（情報管理装置）を基点としたデータフローを示す図である。
【図１８】個人情報を提供されるサーバ側における処理のフロー図である。
【図１９】ポータルサイト側における処理のフロー図である。
【符号の説明】
１０　クライアント、ユーザクライアント
２０　サーバ、情報提供サーバ
３０　電子公証役場端末（第三者機関の端末）
４０　個人情報管理機関端末（第三者の端末）
１００　プレファレンス情報
２００　ポリシー情報
３００　個人情報

Claims (12)

1. クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録するステップと、
   所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段から抽出した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力するステップと、
   を含むことを特徴とする個人情報保護方法。
2. 前記記憶手段をクライアント、サーバ、及び第三者が運営する端末のいずれかのコンピュータに設け、前記所定タイミングが到来したならば、前記いずれかのコンピュータにおいて前記照合処理機関の端末への送信処理を行うか、又は前記照合処理を実行してその照合結果を出力装置に出力することを特徴とする請求項１に記載の個人情報保護方法。
3. 前記第三者の運営する端末が、ユーザの個人情報およびプレファレンス情報をユーザ毎に予め登録して管理するとともに、クライアントから発信された情報提供リクエストをサーバに転送し、この情報提供リクエストに合わせて、該当サーバから得たポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行する個人情報管理機能を備えて、前記照合処理機関の端末への送信処理又は当該照合処理を実行してその照合結果を出力装置に出力する処理を実行することを特徴とする請求項２に記載の個人情報保護方法。
4. 前記第三者の運営する端末が、前記マッチング処理の結果に応じたサーバへの個人情報提供を実行するとともに、提供した個人情報に応じてサーバから得た提供情報を該当クライアントに転送することを特徴とする請求項３に記載の個人情報保護方法。
5. 個人情報保護方法を実現するコンピュータシステムであって、
   クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録する手段と、
   所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段で参照した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力する手段と、
   を含むことを特徴とする個人情報保護システム。
6. 請求項１〜４のいずれかに記載の個人情報保護方法をコンピュータ上で機能させるためのプログラムであって、
   クライアントから取得するユーザの個人情報の取扱い基準を記述したサーバ由来のポリシー情報と、クライアントからサーバへの個人情報の提供内容をポリシー情報に応じて定義したクライアント由来のプレファレンス情報と、を互いに関係付けして適宜な記憶手段に登録するステップと、
   所定タイミングにおいてクライアントから取得したプレファレンス情報およびサーバから取得したポリシー情報と、該当クライアントおよびサーバについて前記記憶手段で参照した前記登録済みのプレファレンス情報およびポリシー情報とをその照合処理を行う機関の端末に送信するか、又は当該照合処理を実行してその照合結果を出力装置に出力するステップと、
   を含むことを特徴とする個人情報保護プログラム。
7. 請求項６に記載の個人情報保護プログラムを記録したコンピュータ読み取り可能な記録媒体。
8. クライアントとサーバとを除く第１の情報管理装置が、クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録するステップと、
   クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送するステップと、
   前記情報提供リクエストが、当該第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定するステップと、
   直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行するステップと、
   直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信するステップと、
   前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行うステップと、
   前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供するステップと、
   を含むことを特徴とする個人情報保護方法。
9. 前記個人情報を該当サーバ宛で前記第２の情報管理装置に提供するに際し、前記個人情報を該当サーバの公開鍵で暗号化するステップを含むことを特徴とする請求項８に記載の個人情報保護方法。
10. 個人情報保護方法を実現する情報管理装置であって、
    クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録する手段と、
    クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送する手段と、
    前記情報提供リクエストが、第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定する手段と、
    直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行する手段と、
    直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信する手段と、
    前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行う手段と、
    前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供する手段と、
    を備えることを特徴とする情報管理装置。
11. 個人情報保護方法をコンピュータ上で機能させるためのプログラムであって、
    クライアントとサーバとを除く第１の情報管理装置が、クライアントからサーバへの個人情報の提供内容を定義したクライアント由来のプレファレンス情報と、当該プレファレンス情報に対応する前記個人情報とを、ユーザ毎に登録するステップと、
    クライアントから情報提供リクエストを受信し、当該情報提供リクエストを該当サーバに転送するステップと、
    前記情報提供リクエストが、当該第１の情報管理装置の端末と直接リンクするサーバ宛のものか否かを判定するステップと、
    直接リンクするサーバ宛のものであったならば、該当サーバより、前記情報提供リクエストに応じた、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシー情報を受信し、このポリシー情報と、該当クライアントに関して保持するプレファレンス情報とのマッチング処理およびその結果に応じたサーバへの個人情報提供を実行するステップと、
    直接リンクしないサーバ宛のものであったならば、前記クライアントについての該当サーバからのアクセス認証要求を、当該サーバが直接リンクされた第２の情報管理装置より受け付けて認証処理し、当該認証処理の結果を前記第２の情報管理装置に返信するステップと、
    前記アクセス認証を受けたクライアントに対する前記サーバからのポリシー情報を、前記第２の情報管理装置より受信し、当該ポリシー情報と該当クライアントに関して保持するプレファレンス情報とのマッチング処理を行うステップと、
    前記マッチング処理の結果に応じて、提供可能な該当ユーザの個人情報を特定するとともに、この個人情報を該当サーバ宛で前記第２の情報管理装置に提供するステップと、
    を含むことを特徴とする個人情報保護プログラム。
12. 請求項１１に記載の個人情報保護プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images