JP2005339205A - 個人情報管理システム - Google Patents

Abstract

【課題】
業務上ある条件下で、特定個人の許可に基づき個人の個人情報のほかに、その個人の関係者の個人情報を閲覧可能とする。
【解決手段】
サーバーによって個人情報を管理する個人情報管理システムにおいて、個人に関する情報を格納する個人情報ＤＢと、個人との関係者を管理する個人関係ＤＢと、システムの利用者に対して閲覧を許可する個人関係を管理する個人情報閲覧資格ＤＢとを備える。サーバーは、個人情報閲覧資格ＤＢを参照して業務の遂行に閲覧可能な個人情報を取得して、端末に出力して特定個人の承認を得る処理と、個人情報を閲覧する際に個人関係ＤＢを参照して閲覧可能な個人関係にある個人の関係者についての個人情報を、該個人情報ＤＢから取得して、閲覧対象として端末に出力する処理を行う。
【選択図】 図２

Description

本発明は、個人情報管理システムに係り、更に詳しくは、集積された個人情報の閲覧に関して、業務担当者が業務遂行に必要な個人情報を閲覧できるが、業務遂行に不必要な個人情報の閲覧をできないようにして、個人情報を管理するシステム或いは方法に関するものであり、例えば地方自治体の役所等における住民情報の管理に適した技術に関するものである。

通常、個人情報の管理システムでは、個人情報のセキュリティのためにシステムの利用者に対してＩＤとパスワードの入力を求めている。
たとえば、非特許文献１に開示されているように、地方自治体では住民の個人情報を住民基本台帳ネットワークシステムで管理しているが、住民基本台帳ネットワークシステムでは取り扱う個人情報を、氏名、生年月日、性別、住所、住民票コード、付随情報に限定し、さらにシステム利用者は操作者用ＩＣカードとパスワードによる認証を行って個人情報の保護を実現している。個人情報以外の情報は、部署毎に設置された業務システム等で管理されているが、業務システムについても部署の職員のみが閲覧できるようにＩＤとパスワードによる認証を行っている。

しかし、システムで管理されている個人情報の中には、システムの利用者に閲覧されることがプライバシー上問題となる項目がある場合が想定される。元来、システムの利用者といえども、個人の許可無しにその個人情報を閲覧可能とすることはセキュリティ上望ましいとは言えない。このような問題を解決するために、システム利用者の閲覧できる個人情報を制御する手法が提案されている。

たとえば、特許文献１（特開２００３−２２３３５２公報）に開示される個人情報管理システムでは、個人に情報閲覧を許容された業者が当該個人との間で個人ＤＢのレコード識別子及び業者ＤＢのレコード識別子を関連付ける連携手段と、個人情報を閲覧する業者の所属する業種分野に応じて表示する個人情報の項目をフィルタする手段とを備えることにより、業者の閲覧できる個人情報の範囲を業者の業種毎に制限し、かつ個人が許可を得た業者だけに個人情報を表示するようにしている。

特開２００３−２２３３５２公報

「住民基本台帳ネットワークシステムの概要」住民基本台帳ネットワークシステム推進協議会、住民基本台帳ネットワークシステム全国センター編Ｐ３１

しかしながら、上述のような個人情報管理システムにおいて個人情報を扱う際に、以下のような問題がある。
すなわち、システム利用者の業務によっては、特定個人の個人情報のほか、その個人の関係者に関する個人情報の参照が必要となる場合がある。このような場合、関係者全員に対して個人情報の登録と閲覧許可を得るか、又は個人の個人情報と併せてその関係者の個人情報も管理せざるを得ない。

ところが、個人の関係者に対して個人情報の登録と閲覧許可を得ることは、実用上問題がある。たとえば役所で世帯全員の個人情報が記載された住民票の写しを取得するのに、世帯全員の閲覧許可を取ることは使い勝手が悪く、不便である。

また、ある個人の個人情報として関係者の個人情報も含めて管理することは、関係者の個人情報が重複して管理されることになるため、非効率であるばかりでなく、個人情報の更新が複雑になるという問題がある。

本発明の目的は、業務上ある条件下で、特定個人の許可に基づき個人の個人情報のほかに、その個人の関係者の個人情報を閲覧可能とする個人情報管理方法およびシステムを提供することにある。

本発明は、サーバーによって個人情報を管理する個人情報管理システムにおいて、個人に関する情報を格納する個人情報ＤＢと、個人との関係者を管理する個人関係ＤＢと、システムの利用者に対して閲覧を許可する個人関係を管理する個人情報閲覧資格ＤＢとを備え、サーバーは、個人情報閲覧資格ＤＢを参照して業務の遂行に閲覧可能な個人情報を取得して、端末に出力して特定個人の承認を得る処理と、個人情報を閲覧する際に、個人関係ＤＢを参照して閲覧可能な個人関係にある個人の関係者についての個人情報を、個人情報ＤＢから取得して、閲覧対象として端末に出力する処理を行う。
好ましい例では、前記端末に表示する個人情報に関係者個人のＩＤが含まれている場合には、関係者の個人情報もあわせて表示する。
また、一例では、前記個人情報ＤＢには、それぞれ個人の関係者の情報が含まれ、業務遂行に必要な個人情報に関係者情報が相当する場合には、関係者の個人情報も端末に出力する。

本発明は、好ましくは、サーバーを利用して個人情報を管理するシステムにおいて、システムの利用者の情報を格納して管理する利用者ＤＢと、個人情報を格納して管理する個人情報ＤＢと、個人情報ＤＢに管理されている個人の関係を格納して管理する個人関係ＤＢと、個人情報ＤＢと個人関係ＤＢに登録されている情報の閲覧資格を格納して管理する個人情報閲覧資格ＤＢと、情報の表示部及び入力部を有する端末から得られる利用者の認証情報、及び利用者ＤＢの情報を用いて利用者の認証処理を行う利用者認証処理部と、利用者認証処理部からの通知を受けて、該端末から得られる対象者及び業務に関する情報と、個人情報閲覧資格ＤＢの情報を用いて業務において閲覧資格のある個人情報項目を取得する処理を行う閲覧対象決定処理部と、閲覧対象決定処理部からの通知を受けて、端末から得られる対象者によって入力される対象者の認証情報と、個人情報ＤＢの情報を用いて対象者の認証処理を行う対象者認証処理部と、対象者認証処理部からの通知を受けて、個人関係ＤＢから対象者の関係者の情報を取得し、個人情報ＤＢから対象者と関係者の個人情報を取得し、端末に出力する処理を行う個人情報検索処理部とを有する個人情報管理システムである。
一例では、前記利用者認証処理部は、端末に利用者認証用の画面を出力し、利用者認証画面に入力される利用者の認証情報を取得し、前記閲覧対象決定処理部は、端末に業務・対象者入力画面を出力し、業務・対象者入力画面に入力される対象者のＩＤ及び業務の情報を取得し、前記対象者認証処理部は、端末に承認依頼画面を出力し、承認依頼画面に対象者によって入力される対象者の認証情報を取得し、前記個人情報検索処理部は、個人情報ＤＢから得られた対象者と関係者の個人情報を含む個人情報閲覧画面を端末に出力する処理を行う。
また、一例では、前記個人情報ＤＢは、個人ＩＤを付与して個人ごとの個人情報を格納し、前記個人関係ＤＢは、ある個人に関係する者の個人ＩＤを格納し、前記個人情報閲覧資格ＤＢは、業務ごとに個人ＩＤをキーとして必要な情報を格納し、利用者に遂行される業務と、その業務の対象となる個人の個人ＩＤと、個人の暗証番号の情報を端末より入力して個人情報の出力を要求すると、遂行業務に必要な個人情報のみが出力されるように処理される。
好ましい例では、前記個人情報閲覧資格ＤＢは、行政サービスＩＤと行政サービス毎に参照する必要のある個人情報のデータ項目を記憶し、前記個人情報ＤＢは、住民ＩＤ及びその住民の暗証番号を記憶し、住民ＩＤと暗証番号と行政サービスＩＤを用いて端末からサーバーへアクセスされたときに、サーバーは、行政サービスＩＤに関連して参照が必要なデータ項目の個人情報を端末に出力する住民情報管理システムである。

本発明によれば、システム利用者は特定個人の許可に基づき、業務遂行に必要な個人の個人情報と、特定個人の関係者の個人情報を閲覧することができ、個人は自分の承認なしに個人情報を閲覧されないため、自分の知らないうちに個人情報を閲覧される心配なく個人情報を提供することができる。

以下、図面を用いて本発明の実施の形態を説明する。
図１は、本発明の一実施例による自治体の住民情報サービスシステムに適用した個人情報管理システムの全体構成図である。
このシステムは、インターネット又は自治体内ＬＡＮ等のネットワーク１０２に接続された個人情報管理サーバー１０１と、各業務部署に設置され、職員によって個人情報の検索や閲覧の操作、及び検索結果の表示を行う業務端末１０３〜１０８を備えて構成される。

業務端末１０３〜１０８は、個人情報管理サーバー１０１がネットワークを介して提供するインタフェース画面を通してデータの表示、書込み、保存が行える機能を有する、例えばパーソナルコンピュータ（ＰＣ）のような、表示部及び入力部、処理部、記憶部を有する情報処理装置である。勿論、ＰＣに限定されるものではない。

図２は、個人情報管理システムにおける個人情報管理サーバー１０１の機能構成を示す図である。
個人情報管理サーバー１０１は、ネットワーク１０２を介して業務端末１０３〜１０８と通信を行う通信処理部２０１と、情報処理部２１０と、データベース（以下、ＤＢという）群から構成される。ＤＢ群は、システムの利用者である各部署の職員の情報を格納しＤＢとして管理する利用者ＤＢ２０２と、個人情報を格納しＤＢとして管理する個人情報ＤＢ２０３と、個人情報ＤＢ２０２に管理されている個人の関係を格納し、ＤＢとして管理する個人関係ＤＢ２０４と、個人情報ＤＢ２０２と個人関係ＤＢ２０４に登録されている情報の閲覧資格を記憶し、ＤＢとして管理する個人情報閲覧資格ＤＢ２０５とを含む。

情報処理部２１０は、各処理部２０６〜２０９を有する。
利用者認証処理部２０６は、通信処理部２０１を介して業務端末１０３〜１０８に利用者認証用の画面を出力し、利用者認証画面に入力される利用者の認証情報と、利用者ＤＢ２０２の情報を用いて利用者の認証処理を行い、認証が成功した場合は閲覧対象決定処理部２０７にその旨を通知する処理を行う。

閲覧対象決定処理部２０７は、利用者認証処理部２０６からの通知を受けて、通信処理部２０１を介して業務端末１０３〜１０８に業務・対象者入力画面を出力し、業務・対象者入力画面に入力される対象者と、業務情報と、個人情報閲覧資格ＤＢ２０５の情報を用いて業務において閲覧資格のある個人情報項目を取得し、対象者承認処理部２０８に通知する処理を行う。

対象者認証処理部２０８は、閲覧対象決定処理部２０７からの通知を受けて、通信処理部２０１を介して業務端末に承認依頼画面を出力し、承認依頼画面に対象者によって入力される対象者の認証情報と、個人情報ＤＢ２０３の情報を用いて対象者の認証処理を行い、認証が成功した場合は、個人情報検索処理部２０９に、閲覧資格のある個人情報項目と対象者の情報を通知する処理を行う。

個人情報検索処理部２０９は、対象者認証処理部２０８からの通知を受けて、個人関係ＤＢ２０４から対象者の関係者の情報を取得し、個人情報ＤＢ２０３から対象者と関係者の個人情報を取得し、通信処理部２０１を介して業務端末に個人情報閲覧画面を出力する処理を行う。

ここで、個人情報管理サーバー２０１の各処理部２０６〜２０９の機能は、メモリおよびＣＰＵ（中央演算装置）により構成されたハードウェア上にＯＳを搭載し、そのＯＳ上に各機能を実現するためのプログラムをメモリにロードして実行することにより、その機能を実現することができる。尚、上記構成機能の全部または一部は、専用のハードウェアにより実現されてもよい。
また、利用者ＤＢ２０２、個人情報閲覧資格ＤＢ２０５、個人情報ＤＢ２０３、個人関係ＤＢ２０４は、データを格納するハードディスク装置等の補助記憶装置内に形成することにより実現できる。

次に、利用者ＤＢ２０２、個人情報閲覧資格ＤＢ２０５、個人情報ＤＢ２０３、個人関係ＤＢ２０４の夫々の記憶データ構造について説明する。
図３は、利用者ＤＢ２０２のデータ構造の一例を模擬的に示したものである。
利用者ＤＢ２０２は、利用者の識別子を示すＩＤ３０１と、利用者の氏名を示す氏名３０２と、利用者が所属する部署を示す部署３０３と、利用者を認証するための暗証番号３０４と、利用者の担当業務である担当業務３０５の項目を有する。この例では、利用者ＤＢ２０２のデータは、総合受付窓口の管理者により予め格納されている。図中３０６〜３０９はそれぞれ登録された利用者の情報を示している。

図４は、個人情報ＤＢ２０３のデータ構造の一例を模擬的に示したものである。
個人情報ＤＢ２０３は、個人の識別子を示すＩＤ４０１と、個人の氏名を示す氏名４０２と、個人の生年月日を示す生年月日４０３と、個人の性別を示す性別４０４と、個人の住所を示す住所４０５と、個人の職業を示す職業４０６と、個人の前年度所得を示す前年所得４０７と、個人が国民健康保険の加入者であるか否かを示す国保４０８と、個人が固定資産の保有者であるか否かを示す固定資産４０９と、個人が軽自動車を保有するかどうかを示す軽自動車４１０と、個人が障害者であるかどうかを示す障害者４１１と、個人を認証するための暗証番号４１２の項目を有する。住民情報管理システムに適用される例では、上記個人識別子ＩＤ４０１は好ましくは住民ＩＤである。

この例において、個人情報ＤＢ２０３のデータは、システムの管理者により予め格納されている。図中４１３〜４１９はそれぞれ登録された個人の情報を示している。

図５は、個人関係ＤＢ２０４のデータ構造の一例を模擬的に示したものである。
個人関係ＤＢ２０４は、個人の識別子を示すＩＤ５０１と、個人の世帯主のＩＤ又はその個人が世帯主の場合にはアスタリスク「＊」で示す世帯主５０２と、個人の配偶者のＩＤを示す配偶５０３と、個人が扶養している者のＩＤを示す扶養５０４と、個人が扶養されている者のＩＤを示す被扶養５０５と、個人が生計をともにする者のＩＤを示す生計同一５０６と、個人と同居している者のＩＤを示す同居５０７の項目を有する。
この例においては、個人関係ＤＢ２０４のデータは、システムの管理者により予め格納されている。図中５０８〜５１４はそれぞれ登録された個人の情報を示している。たとえば、５０８は個人ＩＤが「００１」である個人の個人関係情報であり、この人は世帯主であり、配偶者に個人ＩＤ「００２」の人、扶養者に個人ＩＤ「００３」の人、生計を同一にする人に「００２」「００３」の人、同居人に「００２」「００３」「００４」「００５」の人が存在することを示している。

図６は、個人情報閲覧資格ＤＢ２０５のデータ構造の一例を模擬的に示したものである。
個人情報閲覧資格ＤＢ２０５は、一例では業務毎に設定される。そのデータ構造は、業務の識別子を示すＩＤ６０１と、業務の名称を示す業務名６０２と、個人関係ＤＢ２０４の項目である世帯主５０２の閲覧資格を示す世帯主６０３と、同じく配偶５０３の閲覧資格を示す配偶６０４と、扶養５０４の閲覧資格を示す扶養６０５と、被扶養５０５の閲覧資格を示す被扶養６０６と、生計同一５０６の閲覧資格を示す生計同一６０７と、同居５０７の閲覧資格を示す配偶６０８と、個人情報ＤＢ２０３の項目である「生年月日」４０３の閲覧資格を示す生年月日６０９と、同じく項目「性別」４０４の閲覧資格を示す性別６１０と、項目「住所」４０５の閲覧資格を示す住所６１１と、項目「職業」４０６の閲覧資格を示す職業６１２と、項目「前年所得」４０７の閲覧資格を示す前年所得６１３と、項目「国保」４０８の閲覧資格を示す国保６１４と、項目「固定資産」４０９の閲覧資格を示す固定資産６１５と、項目「軽自動車」４１０の閲覧資格を示す軽自動車６１６と、項目「障害者」４１１の閲覧資格を示す障害者６１７との各項目を有して構成される。住民情報管理システムに適用される例では、業務識別子ＩＤ６０１は好ましくは、行政サービスＩＤである。
この例においては、個人情報閲覧資格ＤＢ２０５のデータは、システムの管理者により予め格納されている。また閲覧資格項目には「関係情報」と「個人情報」に分類され、６０３〜６０７が関係情報、６０８〜６１７が個人情報である。

図７は、システムの利用者が個人情報を閲覧する場合の手順を示す図である。なお、システム利用者に対して個人が個人情報の閲覧を許可するために、個人認証用にあらかじめ暗証番号（パスワード）が設定されるものとする。
システム利用者は、業務端末１０３〜１０８を利用し、ネットワーク１０２を介して個人情報管理サーバー１０１に接続する。個人情報管理サーバー１０１の利用者認証処理部２０６は通信処理部２０１で業務端末（例えば１０３）からの接続要求を受け取ると、業務端末１０３に図８に示すような「利用者認証画面」を生成して送信する（７０１）。

利用者認証画面８０１は、図８に示すように、システムログインの際に利用者の認証情報を取得するために個人情報管理サーバー１０１が出力する画面であり、利用者ＩＤ入力欄８０２と、暗証番号入力欄８０３と、ログインボタン８０４を備える。利用者ＩＤ入力欄８０２及び暗証番号入力欄８０３にデータが入力された状態で、ログインボタン８０３が操作されると、そのデータは業務端末１０３から個人情報管理サーバー１０１へ送信される（７０２）。

個人情報管理サーバー１０１の利用者認証処理部２０２は、利用者ＤＢ２０２を参照し、受信した利用者ＩＤと暗証番号の照合を行う。照合の結果、一致したら正当な利用者による接続であると判定して次の処理７０４に進む。一方、一致しなかった場合には、不正な利用者による接続であると判定し処理を終了する（７０３）。

個人情報管理サーバー１０１の閲覧対象決定処理部２０７は、業務端末１０３へ、図９に示すような「業務・対象者入力画面」を生成して送信する（７０４）。
業務・対象者入力画面９０１は、図９に示すように、処理する業務と対象者を決定する際に業務ＩＤと対象者の個人ＩＤを取得するために個人情報管理サーバー１０１が出力する画面であり、業務ＩＤ入力欄９０２と、個人ＩＤ入力欄９０３と、送信ボタン９０４を備える。業務ＩＤ入力欄９０２及び業務ＩＤ入力欄９０３にデータが入力された状態で、送信ボタン９０４が操作されると、それらのデータは個人情報管理サーバー１０１へ送信される（７０５）。

個人情報管理サーバー１０１の閲覧対象決定処理部２０７は、業務ＩＤと対象者ＩＤを受信した後、個人情報閲覧資格ＤＢ２０５を参照して業務ＩＤによって示される業務遂行に際して閲覧可能な個人情報を取得し、個人情報ＤＢ２０３を参照して対象者の氏名を取得して次の処理に進む（７０６）。

個人情報管理サーバー１０１の対象者承認処理部２０８は、業務端末に図１０に示すような「承認依頼画面」を生成して送信する（７０７）。
対象者承認依頼画面１００１は、図１０に示すように、対象者に個人情報閲覧の承認を得る際に、閲覧する個人情報と閲覧者を明示して対象者の意思を確認するため画面であり、これから閲覧する個人情報についての情報を表示する閲覧内容表示欄１００２と、対象者の個人ＩＤ入力欄１００３と、暗証番号入力欄１００４と、承認可否情報１００５と、送信ボタン１００６を備える。利用者は利用者端末に表示されたこの画面を対象者に見せて、個人ＩＤと暗証番号承認可否情報の入力を依頼する。個人ＩＤ欄１００３と暗証番号１００４と承認可否情報１００５に、データが入力された状態で送信ボタン１００６が操作されると、これらのデータ（即ち対象者の暗証番号と承認可否情報）は個人情報管理サーバー１０１へ送信される（７０８）。

個人情報管理サーバー１０１の対象者承認処理部２０８は、個人情報ＤＢ２０３を参照し、受信した暗証番号の照合を行う。照合の結果、暗証番号が一致し、かつ承認可否情報が「承認します」である場合には、対象者による閲覧の承認が得られたものと判定して次の処理７１０に進む。それ以外の場合には対象者による承認が得られなかったと判定して処理を終了する（７０９）。

個人情報管理サーバー１０１の個人情報検索処理部２０９は、処理７０６で取得した閲覧可能な個人情報に、閲覧可能な関係情報が含まれる場合、個人関係ＤＢ２０４から、対象者ＩＤと閲覧可能な関係情報にある関係者を検索する。次に個人情報ＤＢ２０３から、対象者と関係者についての閲覧可能な個人情報を取得する（７１０）。そして、個人情報検索処理部２０９は、業務端末１０３へ図１１に示すような「個人情報閲覧画面」を生成して送信する（７１１）。

個人情報閲覧画面１１０１は、図１１に示すように、個人情報を表示するための画面であり、表示している個人情報についての情報を表示する閲覧内容表示欄１１０１と、閲覧個人情報１１０３を備える。図示の例では、本人日立太郎と配偶者日立花子の生年月日と前年所得が表示されている。
業務端末１０３は、取得した「個人情報閲覧画面」１１０１を表示する（７１２）。

このようにして業務端末１０３〜１０８に表示された個人情報を閲覧しながら、利用者は業務を遂行することができる。なお、処理７０８における「承認依頼画面」に対して暗証番号と承認可否情報を入力するのは、利用者ではなく対象者本人である。

以上説明したようなフローに従って個人情報閲覧が行われる。また本実施例の個人情報管理サーバー１０１の運用にあたり、業務端末における対象者の個人情報閲覧の承認方法は、各業務端末にＩＣカードリーダを備えておき、対象者に事前に発行されたＩＣカードをＩＣカードリーダに挿入し、暗証番号を入力する方式で行ってもよい。また、承認可否情報を省略して入力された暗証番号の照合のみを持って判定するようにしてもよい。

尚、上述した図８〜図１１に示す表示画面は、個人情報管理サーバー１０１が、業務端末１０３〜１０８に提供するインタフェース画面の一例を模擬的に示したものであり、表示形式は図示のものに限定されない。また、業務端末へのインタフェースの提供方法としては、例えばインターネット上のウェブ画面でインタフェース画面を提供し、業務端末からのデータ入力を受け付ける方法等を用いてもよい。

本実施例に係る個人情報管理システムは、たとえば役所において個人が窓口に申請を行う窓口の職員によって利用される際に、以下のような流れで動作する。申請の処理にあたり職員Ｃはシステムにログインし、申請業務と申請者の入力を行うと、申請者である個人Ａの個人情報Ｘと、個人Ａの配偶者の個人情報Ｙが必要であることを本システムの出力により知ることができる。そして個人情報Ｘと個人情報Ｙを閲覧するために、閲覧内容がＸとＹであり閲覧者がＣであることを明示した上で、個人Ａに対して閲覧の承認を求める。個人Ａが承認したことは、個人Ａしか知らない暗証番号の入力をもって判断するので、職員Ｃが勝手に個人情報を閲覧することはできないため、プライバシーの保護が可能である。また個人Ａの権限で関係者の個人情報も含めて閲覧の承認ができるため、職員Ｃは関係者全員の承認を取るといった手間を省くことができる。

なお、本実施例の構成によれば、個人情報の持ち主（対象者）に対して、閲覧実施以前に閲覧内容と閲覧者を確認させ、対象者の承認を得る「対象者承認処理部」と、対象者の関係者の個人情報も必要に応じて検索する「個人情報検索処理部」を備えている。しかしこれは一例であり、本発明はこれに限定されない。例えば、利用者の認証方式として暗証番号の照合による方式ではなく、ＰＫＩを用いた個人認証の方式を用いても良い。

また、対象者の閲覧承認方式として、業務端末における暗証番号入力による方式ではなく、対象者の所有する携帯電話機のような別の端末から送信する方式を用いても良い。具体的には、対象者に対して電子メール等で対象者承認依頼画面へアクセスを求め、そこから暗証番号の入力を依頼する方式が考えられる。この方式によれば、対象者が業務端末の付近に居なくても個人情報の閲覧の承認が可能であるし、対象者の使い慣れた情報端末を利用できるという利点がある。さらに別の端末から送信されるデータには対象者のデジタル署名を付加することで対象者の本人確認を行うことが可能である。

また、本実施例によれば、個人情報閲覧資格ＤＢを部署毎に管理することにより、システムを共有しつつ部署内でのみ必要な個人情報を部外の利用者の閲覧されることなく管理することができる。
また、個人情報閲覧資格ＤＢを業務毎に管理することにより、業務の遂行に必要な個人情報のみを閲覧できるため、システム利用者の利便性がよくなり作業効率を向上できる。

尚、個人情報閲覧資格ＤＢは、図６で業務ごとに閲覧資格を管理しているが、代替例によれば、システム利用者ごとや、所属部署ごとに管理してもよい。
また、本発明は上記した実施例による自治体の住民情報サービスシステムに限定されずに、多数の個人情報を管理し、本人の要請により本人以外の者に個人情報を閲覧されるなどプライバシーの保護が必要なシステム全般に適用できる。

本発明の実施形態における個人情報管理システムの全体構成を示す図、 実施形態における個人情報管理サーバー１０１の機能構成を示す図、 個人情報管理サーバー１０１における利用者ＤＢ２０２の一例を模擬的に示す図、 個人情報管理サーバー１０１における個人情報ＤＢ２０３の一例を模擬的に示す図、 個人情報管理サーバー１０１における個人関係ＤＢ２０４の一例を模擬的に示す図、 個人情報管理サーバー１０１における個人情報閲覧資格ＤＢ２０５の一例を模擬的に示す図、 実施形態における個人情報の閲覧のためのフローを示す図、 利用者認証画面の一例を示す図、 業務・対象者入力画面の一例を示す図、 対象者承認依頼画面の一例を示す図、 個人情報閲覧画面の一例を示す図。

符号の説明

１０１：個人情報管理サーバー、 １０２：ネットワーク、
２０１：通信処理部、 ２０２：利用者ＤＢ、
２０３：個人情報ＤＢ、 ２０４：個人関係ＤＢ、
２０５：個人情報閲覧資格ＤＢ、 ２０６：利用者認証処理部、
２０７：閲覧対象決定処理部、 ２０８：対象者承認処理部、
２０９：個人情報検索処理部、 ８０１：利用者認証画面、
９０１：業務・対象者入力画面、 １００１：対象者承認依頼画面、
１１０１：個人情報閲覧画面

Claims (9)

1. サーバーによって個人情報を管理する個人情報管理システムにおいて、
   個人に関する情報を格納する個人情報ＤＢと、個人との関係者を管理する個人関係ＤＢと、システムの利用者に対して閲覧を許可する個人関係を管理する個人情報閲覧資格ＤＢとを備え、
   該サーバーは、該個人情報閲覧資格ＤＢを参照して業務の遂行に閲覧可能な個人情報を取得して、端末に出力して特定個人の承認を得る処理と、
   個人情報を閲覧する際に、該個人関係ＤＢを参照して閲覧可能な個人関係にある個人の関係者についての個人情報を、該個人情報ＤＢから取得して、閲覧対象として端末に出力する処理を行うことを特徴とする個人情報管理システム。
2. 前記端末に表示する個人情報に関係者個人のＩＤが含まれている場合には、関係者の個人情報もあわせて表示することを特徴とする請求項１の個人情報管理システム。
3. 前記個人情報ＤＢには、それぞれ個人の関係者の情報が含まれ、業務遂行に必要な個人情報に関係者情報が相当する場合には、関係者の個人情報も該端末に出力することを特徴とする請求項１の個人情報管理システム。
4. サーバーを利用して個人情報を管理するシステムにおいて、
   システムの利用者の情報を格納して管理する利用者ＤＢと、個人情報を格納して管理する個人情報ＤＢと、該個人情報ＤＢに管理されている個人の関係を格納して管理する個人関係ＤＢと、該個人情報ＤＢと該個人関係ＤＢに登録されている情報の閲覧資格を格納して管理する個人情報閲覧資格ＤＢと、
   情報の表示部及び入力部を有する端末から得られる利用者の認証情報、及び該利用者ＤＢの情報を用いて利用者の認証処理を行う利用者認証処理部と、
   該利用者認証処理部からの通知を受けて、該端末から得られる対象者及び業務に関する情報と、該個人情報閲覧資格ＤＢの情報を用いて業務において閲覧資格のある個人情報項目を取得する処理を行う閲覧対象決定処理部と、
   該閲覧対象決定処理部からの通知を受けて、該端末から得られる対象者によって入力される対象者の認証情報と、該個人情報ＤＢの情報を用いて対象者の認証処理を行う対象者認証処理部と、
   該対象者認証処理部からの通知を受けて、該個人関係ＤＢから対象者の関係者の情報を取得し、該個人情報ＤＢから対象者と関係者の個人情報を取得し、該端末に出力する処理を行う個人情報検索処理部とを有することを特徴とする個人情報管理システム。
5. 前記利用者認証処理部は、該端末に利用者認証用の画面を出力し、利用者認証画面に入力される利用者の認証情報を取得し、
   前記閲覧対象決定処理部は、該端末に業務・対象者入力画面を出力し、業務・対象者入力画面に入力される対象者のＩＤ及び業務の情報を取得し、
   前記対象者認証処理部は、該端末に承認依頼画面を出力し、該承認依頼画面に対象者によって入力される対象者の認証情報を取得し、
   前記個人情報検索処理部は、該個人情報ＤＢから得られた対象者と関係者の個人情報を含む個人情報閲覧画面を該端末に出力する処理を行うことを特徴とする請求項４個人情報管理システム。
6. 前記個人情報ＤＢは、個人ＩＤを付与して個人ごとの個人情報を格納し、
   前記個人関係ＤＢは、ある個人に関係する者の個人ＩＤを格納し、
   前記個人情報得売らん資格ＤＢは、業務ごとに個人ＩＤをキーとして必要な情報を格納し、
   利用者に遂行される業務と、その業務の対象となる個人の個人ＩＤと、個人の暗証番号の情報を該端末より入力して個人情報の出力を要求すると、遂行業務に必要な個人情報のみが出力されるように処理されること特徴とする請求項４又は５の個人情報管理システム。
7. 前記個人情報閲覧資格ＤＢは、行政サービスＩＤと行政サービス毎に参照する必要のある個人情報のデータ項目を記憶し、
   前記個人情報ＤＢは、住民ＩＤ及びその住民の暗証番号を記憶し、
   住民ＩＤと暗証番号と行政サービスＩＤを用いて該端末からサーバーへアクセスされたときに、該サーバーは、該行政サービスＩＤに関連して参照が必要なデータ項目の個人情報を端末に出力することを特徴とする請求項４乃至６のいずれかに記載のシステムを利用した住民情報管理システム。
8. 個人情報を管理するサーバーであって、
   個人に関する個人情報と、個人との関係者を示す個人関係情報と、システムの利用者に対して閲覧を許可する個人関係を示す個人情報閲覧資格情報と格納して管理するＤＢを有し、
   該ＤＢの該個人情報閲覧資格情報を参照して業務の遂行に閲覧可能な個人情報を取得して、端末に出力して特定個人の承認を得る処理と、
   個人情報を閲覧する際に、該ＤＢの個人関係情報を参照して閲覧可能な個人関係にある個人の関係者についての個人情報を、該ＤＢから取得して、閲覧対象として端末に出力する処理と、
   を行うことを特徴とする個人情報管理用サーバー。
9. サーバーを用いて個人情報を管理する方法であって、
   個人に関する個人情報と、個人との関係者を示す個人関係情報と、システムの利用者に対して閲覧を許可する個人関係を示す個人情報閲覧資格情報と格納して管理するＤＢを用意するステップと、
   該サーバーの処理により、該ＤＢの該個人情報閲覧資格情報を参照して業務の遂行に閲覧可能な個人情報を取得して、端末に出力して特定個人の承認を得るステップと、
   該サーバーの処理により、個人情報を閲覧する際に、該ＤＢの個人関係情報を参照して閲覧可能な個人関係にある個人の関係者についての個人情報を、該ＤＢから取得して、閲覧対象として端末に出力するステップと、
   を含むことを特徴とする個人情報管理方法。
   
   

Images