JP2006344156A - 個人情報流通管理システム、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラム - Google Patents

Abstract

【課題】 装置間で個人情報の流通管理を行う場合において、個人情報生成者が規定する個人情報管理ポリシだけでなく、個人情報を取扱う全ての装置の管理ポリシに基づいて、個人情報の流通管理を行えるようにする。
【解決手段】 個人情報生成装置１は、個人情報と送信ポリシとをカプセル化して、個人情報カプセルとして個人情報利用装置２に送信する。個人情報利用装置２は、個人情報カプセルを受信して保管し、利用する。この場合、個人情報生成装置１は、個人情報生成者が規定した送信ポリシを提示する。また、個人情報利用装置２は、個人情報利用者が規定した受信ポリシを提示する。そして、個人情報生成装置１と個人情報利用装置２とが、流通させる個人情報に関する契約内容を決定し、契約情報を生成する。また、生成した契約情報に基づいて、個人情報生成装置１から個人情報利用装置２に個人情報を流通させる。
【選択図】 図１

Description

本発明は、個人情報の流通を管理する個人情報流通管理システム及び個人情報流通管理方法に関し、特に個人情報の管理ポリシに従って、制限された範囲内で個人情報の配布を行える個人情報流通管理システム及び個人情報流通管理方法に関する。また、本発明は、個人情報を提供する個人情報提供装置及び個人情報提供プログラムに関する。更に、本発明は、個人情報を利用する個人情報利用装置及び個人情報利用プログラムに関する。

一般に、情報流通管理システムにおいて、流通させる情報とその情報に対する管理ポリシとをカプセル化し、カプセル単位で情報を流通させ管理することが行われている。ここで、「管理ポリシ」とは、情報に関する開示利用規定や、アクセス権限制御、流通範囲等を記述したポリシであり、情報を管理する主体（例えば、システム管理者）によって作成される。

例えば、特許文献１には、管理ポリシに従って情報を管理する従来の情報流通管理システムの一例が記載されている。特許文献１に記載された情報流通管理システムでは、デジタル著作物の流通に際して、利用条件の記述を行い、デジタル著作物の利用制御、二次著作物の利用制御及びデジタル著作物に対する課金管理を行う。また、特許文献１に記載された情報流通管理システムは、編集装置と、チケットサーバ装置と、流通センタ装置と、視聴装置とを含む。また、情報流通システムにおいて、視聴装置は、チケットが取得された場合にのみ、カプセル化著作物に含まれる暗号化著作物データを復元し、復元した著作物データを再生する。

上記のような構成を有する特許文献１に記載された情報流通管理システムは、次のように動作する。編集装置は、利用法毎の利用条件と、利用法毎に異なるチケット鍵を用いて暗号化著作物データの復号鍵を再暗号化した利用秘密情報とを、暗号化著作物データとともにカプセル化する。チケットサーバは、編集装置が生成した利用条件及びチケット鍵を管理する。また、チケットサーバは、利用者からの利用要求に対して利用法を許可した場合に、チケット鍵を含むチケットを発行する。流通センタ装置は、カプセル化著作物を管理し、利用者からの要求に応じてカプセル化著作物を送信する。視聴装置は、流通センタ装置からカプセル化著作物を取得し、さらにチケットサーバ装置から利用に関するチケットを取得する。視聴装置は、適切なチケットを取得した場合のみ、カプセル化著作物に含まれる暗号化著作物データを復号し、再生することができる。

また、特許文献２には、個人情報を流通させ管理する情報流通管理システムの一例が記載されている。特許文献２に記載された情報流通管理システムでは、個人に関する情報の管理や流通を行う際の個人情報提供者のプライバシ保護と、個人情報利用に関する利用者の利便向上とが意図されている。特許文献２に記載された情報流通管理システムは、個人情報提供装置、個人情報利用装置、利用環境認証局及び個人情報カプセル認証局を含む。

特許文献２に記載された情報流通管理システムにおいて、個人情報提供装置は、個人情報と開示利用規定判断手段とをカプセル化した個人情報カプセルを生成する。開示利用規定判断手段は、利用環境認証局から受け取った利用環境証明書に基づいて、個人情報提供装置によって生成される。また、利用環境証明書は、個人情報利用装置が利用環境認証局に利用環境を登録することによって生成される。個人情報提供装置が生成した個人情報カプセルは個人情報カプセル認証局に登録され、個人情報カプセル認証局は必要に応じてカプセル証明書を発行する。

個人情報利用装置は、個人情報提供装置から取得した個人情報カプセルの正当性を、個人情報カプセル認証局が発行するカプセル証明書によって確認する。そして、個人情報利用装置は、個人情報カプセルに含まれる開示利用規定判断手段を用いて、個人情報にアクセスする。開示利用規定判断手段は、個人情報利用装置の利用環境情報と、利用環境認証装置から得た利用環境証明書とを照合することによって、個人情報利用装置の個人情報アクセスを認める。

また、非特許文献１には、Ｗｅｂ上の個人情報に関する標準規格として、Ｗ３Ｃ（World Wide Web Consortium ）が策定したＰ３Ｐ（Platform for Privacy Preferences）が記載されている。

Ｐ３Ｐは、Ｗｅｂ上でプライバシを保護するためのプライバシポリシを記述し、Ｗｅｂ上で情報を交換するための規格である。Ｐ３Ｐは、ユーザの個人情報がユーザの意図する利用目的でのみ利用されるように、ユーザとＷｅｂ上のサービス提供者との合意に基づいてサービスが提供されることを意図したものである。この場合、Ｗｅｂサイトでは、個人情報の利用基準（プライバシポリシ）を正確に開示し、ユーザは、Ｗｅｂサイトから開示されたプライバシポリシを読んで、個人情報を送付するか否かを決定する。

図１３は、Ｐ３Ｐ技術を利用した個人情報交換方式を示す説明図である。以下、図１３を用いて、Ｐ３Ｐを利用したユーザのＷｅｂブラウザとＷｅｂサーバとの交渉形式を示す。ユーザは、Ｐ３Ｐ対応のブラウザを予め搭載したユーザ端末を用いて、ブラウザを利用している。一方、Ｗｅｂサーバも、Ｐ３Ｐに対応しており、予め収集する個人情報の種類やその利用目的、利用範囲等のポリシを記述したＰ３Ｐポリシを保持し、ユーザ端末のＷｅｂブラウザがアクセス可能な場所に配置される。また、ＷｅｂページのＵＲＩ（Uniform Resource Identifier ）とＰ３ＰポリシのＵＲＩとの対応関係を記したポリシリファレンスも、同時にＷｅｂサーバに配置されている。

まず、ユーザは、ユーザ端末を用いてＷｅｂページにアクセスする。また、ユーザ端末のブラウザは、Ｗｅｂページに対応するポリシリファレンスをＷｅｂサーバから取得する（図１３に示すステップ１）。さらに、ブラウザは、Ｐ３ＰポリシをＷｅｂサーバから取得する（ステップ２）。ブラウザは、取得したＰ３Ｐポリシとユーザのプリファレンスとを比較して、Ｐ３Ｐポリシに問題がないか否かを確認する（ステップ３）。問題がなければＷｅｂサーバに個人情報を送付し、Ｗｅｂページにアクセスする（ステップ４）。一方、Ｐ３Ｐポリシがユーザのプリファレンスに合致していなければ、ブラウザは、ユーザにＷｅｂサイトへのアクセスをさせる際に、ユーザに警告を発することができる。

特開２０００−０４８０７６号公報（段落００４７−０１０１、図１−５） 特開２００３−３４５９３１号公報（段落００２３−００３４、図１−２） Massimo Marchiori 、"The Platform for Privacy Preference 1.0 (P3P1.0) Specification"、[online]、２００２年４月１６日、［２００５年５月３０日検索］、インターネット< URL : http://www.w3.org/TR/2002/REC-P3P-20020416/>、section 2.2, 2.3, 3.2, 3.3

特許文献１や特許文献２に記載された従来の情報流通管理システムでは、情報を生成する生成装置と情報を利用する利用装置とのいずれが一方が、情報を流通させるための所定の契約条件を提示し、他方が契約条件の内容に合意した場合に情報を流通させることができる。しかし、情報の生成装置と利用装置とが、相互に各々の情報管理や送信に関わるポリシと契約条件とを提示し、相互のポリシや契約条件に基づいた合意の基に、個人情報を流通させることはできない。また、特許文献１や特許文献２に記載された情報流通管理システムでは、契約条件に基づいた個人情報の利用を制御するための手段は開示されていない。従って、従来の情報流通管理システムでは、第１の問題点として、個人情報の流通に関わる装置同士が、各々の情報管理や情報の利用目的、流通範囲を規定した契約情報を考慮して、個人情報の流通や管理、利用を行うことができない。

すなわち、従来の情報流通管理システムでは、送付する個人情報に関して、送付先の対象である利用装置の利用目的や流通範囲を生成装置が確認するだけで、利用装置と生成装置とが契約条件を共有せずに、そのまま生成装置が個人情報を利用装置に送信している。そのため、個人情報を受け取った利用装置は、自分が提示したポリシが適切に処理されたか否かを確認できず、生成装置と利用装置との間で、個人情報の管理に関する責任が不明確になる。

また、特許文献１や特許文献２に記載された従来の情報流通管理システムでは、利用装置内で個人情報の利用手段が個人情報保管手段から個人情報を抽出し利用する際に、個人情報の生成装置と交わした契約条件を確認し、その確認結果を保管する手段がない。そのため、個人情報の利用手段と保管手段との間で契約条件を遵守するという責任の所在が不明確になる。

個人情報は個人のプライバシに深く関連するので、配布する情報自体の選別や利用目的の確認を慎重に行うことが望ましい。また、個人情報の生成装置と個人情報の利用装置との間、又は利用装置同士において、送受信する個人情報の要素、利用目的及び流通範囲等に関して事前に合意を成立させ、それぞれの装置が責任を持って個人情報を適切に流通させ、管理し、利用できるようにすることが望ましい。

また、特許文献１や特許文献２に記載された従来の情報流通管理システムでは、流通対象の情報をカプセル化する際に、情報の生成装置の情報管理ポリシのみを含むカプセルを生成する。そのため、生成装置側の情報管理ポリシしか考慮されず、情報カプセルの利用装置側の情報管理や送信に関するポリシと契約条件は考慮されない。従って、従来の情報流通管理システムでは、第２の問題点として、個人情報を利用し管理する装置が、自らの情報管理や情報の利用目的等を規定した送信に関するポリシを考慮して、個人情報の流通管理を行うことができない。

ここで、「情報管理や送信に関するポリシ」とは、各装置がそれぞれ装置内のみで適用する情報の流通に関する規則を示すポリシである。個人情報の利用装置は、独自の情報管理ポリシと契約条件とに基づいて、個人情報を管理している。そのため、個人情報の利用装置は、管理責任を有する以上、個人情報生成装置から提示された契約条件を考慮しながら、自分自身が送信ポリシを規定し、規定したポリシに従わなければならない。例えば、個人情報の生成装置が契約条件でその個人情報の流通を広く認めている場合であっても、利用装置は、個人情報を生成装置が認めた範囲内に流通させることによって、個人のプライバシ漏洩を引き起こし加害者になる可能性がある。そのため、情報の利用装置自身が、個人のプライバシ漏洩を回避すべく、個人情報を適正に管理しなければならない。よって、契約条件に加えて、利用装置自身の送信ポリシに基づいて、個人情報の流通を適切に制限することが望ましい。

また、特許文献１に記載された情報流通管理システムにおいて、デジタル著作物に対する著作権保有者が、デジタル著作物を管理するポリシを管理できるとは限らない。そのため、個人情報を扱う場合に、個人情報の生成装置の管理ポリシだけでなく、個人情報の利用装置が適切な管理ポリシをもち、利用装置の管理ポリシも考慮して個人情報を管理することが望ましい。よって、情報の生成装置の管理ポリシのみを考慮して情報流通を行う情報流通管理システムを、そのまま個人情報の流通管理に適用することはできない。

また、特許文献２に記載された情報流通管理システムでは、個人情報カプセルに含まれる情報の生成装置の管理ポリシに基づいて、個人情報の生成装置が予め定める共同利用範囲内での流通を考慮して情報管理を行っている。すなわち、情報の生成装置の管理ポリシだけを仮定した情報管理を行えるにすぎない。

また、従来の情報流通管理システムでは、前述したように、情報の生成装置と利用装置とが、相互のポリシや契約条件に基づいた合意の基に、個人情報を流通させることはできない。そのため、従来の情報流通管理システムでは、第３の問題点として、既存の個人情報を再利用して、各装置の情報管理や送信に関わるポリシと契約情報とを考慮した個人情報の流通管理を行うことができない。

また、従来の情報流通管理システムでは、前述したように、情報の生成装置と利用装置とが、相互のポリシや契約条件に基づいた合意の基に、個人情報を流通させることはできない。また、従来の情報流通管理システムでは、前述したように、生成装置側の情報管理ポリシしか考慮されず、情報カプセルの利用装置側の情報管理や送信に関するポリシと契約条件は考慮されない。そのため、従来情報流通管理システムでは、第４の問題点として、個人情報の生成装置又は利用装置が、管理する個人情報を自分以外の利用装置からの利用要求以外の理由により送信する必要がある場合に、各装置の情報管理や送信に関するポリシと契約情報とを考慮にした個人情報の流通管理を行うことができない。

また、従来の情報流通管理システムでは、個人情報が適切に利用されたか否かを記録し参照する手段は開示されていない。そのため、従来の情報流通管理システムでは、第５の問題点として、利用装置が個人情報を適切に利用しているか否かを、その個人情報を提供する個人自身が確認することができない。

そこで、本発明は、個人情報の生成装置と利用装置との間の交渉に基づいて、送受信する行動の決定や流通させるべき個人情報の選択に関して合意をした上で個人情報を流通させ、合意内容に基づいて個人情報を利用できる個人情報流通管理システム、個人情報提供装置、個人情報利用装置、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラムを提供することを目的とする。

また、本発明は、個人情報を管理し利用する利用装置が、各々の装置の情報管理や送信に関するポリシと契約条件とに基づき自分以外の装置と交渉することによって、送受信する行動の決定や流通させるべき個人情報の選択に関して合意をした上で、管理する個人情報を流通させることができる個人情報流通管理システム、個人情報提供装置、個人情報利用装置、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラムを提供することを目的とする。

また、本発明は、個人情報を生成する生成装置が予め個人情報を管理している場合に、他の個人情報の利用装置に対して、提供可能な個人情報に制限した上で、情報管理や送信に関わるポリシと契約条件とに基づき交渉することによって、送受信する行動の決定や流通させるべき個人情報の選択に関して合意をした上で、個人情報を流通させることができる個人情報流通管理システム、個人情報提供装置、個人情報利用装置、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラムを提供することを目的とする。

また、本発明は、個人情報の生成装置又は利用装置が、管理する個人情報を、自分以外の利用装置からの利用要求以外の理由により送付する必要がある場合に、装置間で各々の情報管理ポリシ、送信に関わるポリシ及び契約条件に基づいて交渉することによって、送受信する行動の決定や流通すべき個人情報の選択に関して合意をした上で、個人情報を流通させることができる個人情報流通管理システム、個人情報提供装置、個人情報利用装置、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラムを提供することを目的とする。

また、本発明は、個人情報を管理する利用装置が個人情報を適切に利用しているかを、個人が確認できる個人情報流通管理システム、個人情報提供装置、個人情報利用装置、個人情報流通管理方法、個人情報提供プログラム及び個人情報利用プログラムを提供することを目的とする。

本発明による個人情報流通管理システムは、個人情報を提供する個人情報提供装置（例えば、個人情報生成装置１によって実現される）と、個人情報を利用する個人情報利用装置とを備え、個人情報利用装置は、個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシ（例えば、個人情報受信ポリシ）を、通信ネットワークを介して個人情報提供装置に送信する受信条件送信手段（例えば、受信交渉手段２２によって実現される）と、個人情報提供装置は、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシ（例えば、個人情報送信ポリシ）と、個人情報利用装置から受信した受信ポリシとを照合し、個人情報利用装置に提供可能な個人情報の選択条件（例えば、契約情報）を決定する選択条件決定手段（例えば、送信交渉手段１３によって実現される）と、個人情報抽出条件決定手段が決定した選択条件に従って選択した個人情報と、選択条件決定手段が決定した選択条件とをカプセル化した情報である個人情報カプセルを生成するカプセル生成手段（例えば、送信情報作成手段１５によって実現される）と、カプセル生成手段が生成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する個人情報送信手段（例えば、送信手段１６によって実現される）とを含むことを特徴とする。

また、個人情報流通管理システムにおいて、個人情報利用装置は、受信ポリシを予め記憶する受信ポリシ記憶手段（例えば、個人情報要求手段２１によって実現される）と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報受信手段（例えば、受信手段２４によって実現される）と、個人情報受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段（例えば、個人情報保管手段２５によって実現される）とを含み、受信ポリシ送信手段は、受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して個人情報提供装置に送信するものであってもよい。

また、個人情報流通管理システムにおいて、個人情報利用装置は、個人情報利用装置が個人情報を利用する利用条件（例えば、利用ポリシ）と、個人情報カプセル保存手段が保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する利用可能条件決定手段（例えば、送信交渉手段２６によって実現される）と、利用可能条件決定手段が決定した選択条件に従って、個人情報カプセルに含まれる個人情報を選択する利用可能情報選択手段（例えば、送信情報作成手段２８によって実現される）と、利用可能情報選択手段が選択した個人情報を利用する個人情報利用手段（例えば、利用手段２９３によって実現される）とを含むものであってもよい。なお、「個人情報を利用する」とは、例えば、Ｗｅｂサーバが、個人情報利用部２９を実現するプログラムに従って、インターネットを介してユーザに各種サービスを提供する処理を実行することである。

また、個人情報流通管理システムは、個人情報を提供する個人情報提供装置と、個人情報を利用する個人情報利用装置とを備え、個人情報提供装置は、流通対象の個人情報を入力する個人情報入力手段と、個人情報の流通に関する規定を示すポリシ（例えば、個人情報送信ポリシ）を、個人情報生成者の操作に従って入力するポリシ入力手段（例えば、契約情報入力手段１２によって実現される）と、個人情報入力手段が入力した個人情報と、ポリシ入力手段が入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する契約情報生成手段（例えば、送信交渉手段１３によって実現される）と、契約情報生成手段が生成した契約情報を保存する記録手段（例えば、交渉結果記録手段１４によって実現される）と、契約情報生成手段が生成した契約情報に基づいて、個人情報と契約情報とをカプセル化した個人情報カプセルを生成するカプセル作成手段（例えば、送信情報作成手段１５によって実現される）と、カプセル作成手段が作成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する送信手段とを含み、個人情報利用装置は、個人情報の要求内容を決定するためのポリシ（例えば、個人情報受信ポリシ）を記憶する要求ポリシ記憶手段（例えば、個人情報要求手段２１によって実現される）と、要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージ（例えば、要求メッセージ）を、通信ネットワークを介して個人情報提供装置に送信する要求メッセージ送信手段（例えば、受信交渉手段２２によって実現される）と、要求メッセージ送信手段の処理の結果に基づいて、契約情報を保存する契約情報記録手段（例えば、交渉結果記録手段２３によって実現される）と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報カプセル受信手段（例えば、受信手段２４によって実現される）と、個人情報カプセル受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段（例えば、個人情報保管手段２５によって実現される）と、個人情報の利用に関する制限事項（例えば、利用ポリシ）を確認するために、個人情報カプセルに含まれる契約情報を照合する照合手段（例えば、送信交渉手段２６によって実現される）と、照合手段の照合結果を保存する照合結果記録手段（例えば、交渉結果記録手段２７によって実現される）と、照合手段の照合結果に基づいて、利用する個人情報を制限する情報制限手段（例えば、送信情報作成手段２８によって実現される）と、個人情報の利用に関する情報を照合手段に出力し、照合手段との間で個人情報の利用に関する合意を形成する合意形成手段（例えば、利用交渉手段２９１によって実現される）と、合意形成手段の処理結果を保存する処理結果記録手段（例えば、交渉結果記録手段２９２によって実現される）と、個人情報カプセルに含まれる個人情報を利用する利用手段とを含むことを特徴とする。

また、個人情報流通管理システムにおいて、個人情報利用装置は、個人情報カプセルの転送を管理するための送信ポリシを保存する送信ポリシ保存手段（例えば、送信ポリシ保管手段２０１によって実現される）と、個人情報カプセルに含まれる個人情報と、送信ポリシ保存手段が保存する情報とに基づいて、個人情報に含まれる情報のうち、転送先に送信する情報を抽出する情報抽出手段（例えば、情報抽出手段２０３によって実現される）と、個人情報カプセルに含まれる契約情報から、送信ポリシ保存手段が保存する情報に基づいて、転送先に提示する個人情報の利用に関する制限情報（例えば、装置間契約ポリシ）を生成する制限情報生成手段（例えば、契約照合手段２０２によって実現される）とを含むものであってもよい。

また、個人情報流通管理システムにおいて、個人情報提供装置は、個人情報生成者によって入力された個人情報と、個人情報生成者によって入力された個人情報に対応するポリシ（例えば、個人情報送信ポリシ）とを予め保存する個人情報保存手段（例えば、個人情報保管手段１０２によって実現される）と、契約情報生成手段からの要求に基づいて、個人情報保存手段を検索し、個人情報保存手段から、個人情報と個人情報に対応するポリシとを抽出する情報抽出手段（例えば、情報抽出手段１０１によって実現される）とを含むものであってもよい。

また、個人情報流通管理システムにおいて、個人情報提供装置は、個人情報生成者の操作に従って、個人情報の送信先（例えば、ＩＰアドレス等の識別情報）を入力する送信先入力手段を含み、個人情報利用装置は、個人情報の受信制限を示す制限情報（例えば、情報管理ポリシ）を予め記憶する制限情報記憶手段（例えば、情報管理ポリシ保管手段２００１によって実現される）と、個人情報を個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する送信決定手段とを含み、送信手段は、送信先入力手段が入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信するものであってもよい。

また、個人情報流通管理システムにおいて、個人情報利用装置は、個人情報カプセル保存手段が保存する個人情報カプセルを、個人情報提供装置に開示する個人情報開示手段（例えば、保管個人情報開示手段２１０１によって実現される）と、処理結果記録手段が保存する処理結果（例えば、個人情報利用履歴）を、個人情報提供装置に開示する処理結果開示手段（例えば、利用結果開示手段２１０２によって実現される）とを含み、個人情報開示手段は、個人情報保存手段が保存する個人情報カプセルを、通信ネットワークを介して個人情報提供装置に送信することによって開示し、処理結果開示手段は、処理結果記録手段が保存する処理結果を、通信ネットワークを介して個人情報提供装置に送信することによって開示するものであってもよい。

本発明による個人情報提供装置は、個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を提供する個人情報提供装置であって、個人情報を利用する個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して個人情報利用装置から受信する受信条件受信手段と、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、受信条件受信手段が受信した受信ポリシとを照合し、個人情報利用装置に提供可能な個人情報の選択条件を決定する選択条件決定手段と、選択条件決定手段が決定した選択条件に従って選択した個人情報と、選択条件決定手段が決定した選択条件とをカプセル化した情報である個人情報カプセルを生成するカプセル生成手段と、カプセル生成手段が生成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する個人情報送信手段とを備えたことを特徴とする。

また、個人情報提供装置は、個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を提供する個人情報提供装置であって、流通対象の個人情報を入力する個人情報入力手段と、個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力するポリシ入力手段と、個人情報入力手段が入力した個人情報と、ポリシ入力手段が入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する契約情報生成手段と、契約情報生成手段が生成した契約情報を保存する記録手段と、契約情報生成手段が生成した契約情報に基づいて、個人情報と契約情報とをカプセル化した個人情報カプセルを生成するカプセル作成手段と、カプセル作成手段が作成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する送信手段とを備えたものであってもよい。

また、個人情報提供装置は、個人情報生成者によって入力された個人情報と、個人情報生成者によって入力された個人情報に対応するポリシとを予め保存する個人情報保存手段と、契約情報生成手段からの要求に基づいて、個人情報保存手段を検索し、個人情報保存手段から、個人情報と個人情報に対応するポリシとを抽出する情報抽出手段とを備えたものであってもよい。

また、個人情報提供装置は、個人情報生成者の操作に従って、個人情報の送信先を入力する送信先入力手段を備え、送信手段は、送信先入力手段が入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信するものであってもよい。

本発明による個人情報利用装置は、個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を利用する個人情報利用装置であって、受信ポリシを予め記憶する受信ポリシ記憶手段と、受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信する受信ポリシ送信手段と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報受信手段と、個人情報受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段とを備えたことを特徴とする。

また、個人情報利用装置は、個人情報利用装置が個人情報を利用する利用条件と、個人情報カプセル保存手段が保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する利用可能条件決定手段と、利用可能条件決定手段が決定した選択条件に従って、個人情報カプセルに含まれる個人情報を選択する利用可能情報選択手段と、利用可能情報選択手段が選択した個人情報を利用する個人情報利用手段とを備えたものであってもよい。

また、個人情報利用装置は、個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を利用する個人情報利用装置であって、個人情報の要求内容を決定するためのポリシを記憶する要求ポリシ記憶手段と、要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して個人情報提供装置に送信する要求メッセージ送信手段と、要求メッセージ送信手段の処理の結果に基づいて、契約情報を保存する契約情報記録手段と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報カプセル受信手段と、個人情報カプセル受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段と、個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する照合手段と、照合手段の照合結果を保存する照合結果記録手段と、照合手段の照合結果に基づいて、利用する個人情報を制限する情報制限手段と、個人情報の利用に関する情報を照合手段に出力し、照合手段との間で個人情報の利用に関する合意を形成する合意形成手段と、合意形成手段の処理結果を保存する処理結果記録手段と、個人情報カプセルに含まれる個人情報を利用する利用手段とを備えたものであってもよい。

また、個人情報利用装置は、個人情報カプセルの転送を管理するための送信ポリシを保存する送信ポリシ保存手段と、個人情報カプセルに含まれる個人情報と、送信ポリシ保存手段が保存する情報とに基づいて、個人情報に含まれる情報のうち、転送先に送信する情報を抽出する情報抽出手段と、個人情報カプセルに含まれる契約情報から、送信ポリシ保存手段が保存する情報に基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する制限情報生成手段とを備えたものであってもよい。

また、個人情報利用装置は、個人情報の受信制限を示す制限情報を予め記憶する制限情報記憶手段と、個人情報を個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する送信決定手段とを備えたものであってもよい。

また、個人情報利用装置は、個人情報カプセル保存手段が保存する個人情報カプセルを、個人情報提供装置に開示する個人情報開示手段と、処理結果記録手段が保存する処理結果を、個人情報提供装置に開示する処理結果開示手段とを備え、個人情報開示手段は、個人情報保存手段が保存する個人情報カプセルを、通信ネットワークを介して個人情報提供装置に送信することによって開示し、処理結果開示手段は、処理結果記録手段が保存する処理結果を、通信ネットワークを介して個人情報提供装置に送信することによって開示するものであってもよい。

本発明による個人情報流通管理方法は、個人情報を利用する個人情報利用装置が、個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信するステップと、個人情報提供装置が、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、個人情報利用装置から受信した受信ポリシとを照合し、個人情報利用装置に提供可能な個人情報の選択条件を決定するステップと、個人情報提供装置が、決定した選択条件に従って、個人情報を選択するステップと、個人情報提供装置が、選択した個人情報を、通信ネットワークを介して個人情報利用装置に送信するステップとを含むことを特徴とする。

また、個人情報流通管理方法は、個人情報を提供する個人情報提供装置が、流通対象の個人情報を入力するステップと、個人情報提供装置が、個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力するステップと、個人情報提供装置が、入力した個人情報と、入力した流通に関する規定を示すポリシとに基づいて、個人情報を利用する、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成するステップと、個人情報提供装置が、生成した契約情報を保存するステップと、個人情報提供装置が、生成した契約情報に基づいて、個人情報と契約情報とをカプセル化した個人情報カプセルを生成するステップと、個人情報提供装置が、作成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信するステップと、個人情報利用装置が、個人情報の要求内容を決定するためのポリシを予め記憶するステップと、個人情報利用装置が、予め記憶したポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して個人情報提供装置に送信するステップと、個人情報利用装置が、メッセージの送信処理の結果に基づいて、契約情報を保存するステップと、個人情報利用装置が、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信するステップと、個人情報利用装置が、受信した個人情報カプセルを保存するステップと、個人情報利用装置が、個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合するステップと、個人情報利用装置が、契約情報の照合結果を保存するステップと、個人情報利用装置が、照合結果に基づいて、利用する個人情報を制限するステップと、個人情報利用装置が、個人情報の利用に関する情報を出力し、個人情報の利用に関する合意を形成するステップと、個人情報利用装置が、合意を形成する処理の処理結果を保存するステップと、個人情報利用装置が、個人情報カプセルに含まれる個人情報を利用するステップとを含むものであってもよい。

本発明による個人情報提供プログラムは、個人情報を利用する個人情報利用装置に、個人情報を提供するための個人情報提供プログラムであって、コンピュータに、個人情報を利用する個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して個人情報利用装置から受信する処理と、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、受信した受信ポリシとを照合し、個人情報利用装置に提供可能な個人情報の選択条件を決定する処理と、決定した選択条件に従って、個人情報を選択する処理と、選択した個人情報を、通信ネットワークを介して個人情報利用装置に送信する処理とを実行させることを特徴とする。

また、個人情報提供プログラムは、コンピュータに、選択した個人情報と決定した選択条件とをカプセル化した情報である個人情報カプセルを生成する処理と、生成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する処理とを実行させるものであってもよい。

また、個人情報提供プログラムは、個人情報を利用する個人情報利用装置に、個人情報を提供するための個人情報提供プログラムであって、コンピュータに、流通対象の個人情報を入力する処理と、個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力する処理と、入力した個人情報と、入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する処理と、生成した契約情報を保存する処理と、生成した契約情報に基づいて、個人情報と契約情報とをカプセル化した個人情報カプセルを生成する処理と、作成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する処理とを実行させるものであってもよい。

また、個人情報提供プログラムは、コンピュータに、個人情報生成者によって入力された個人情報と、個人情報生成者によって入力された個人情報に対応するポリシとを予め保存する処理と、要求に基づいて、保存する個人情報とポリシとを検索し、個人情報と個人情報に対応するポリシとを抽出する処理とを実行させるものであってもよい。

また、個人情報提供プログラムは、コンピュータに、個人情報生成者の操作に従って、個人情報の送信先を入力する処理と、入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信する処理とを実行させるものであってもよい。

本発明による個人情報利用プログラムは、個人情報提供装置から個人情報を取得し、取得した個人情報を利用するための個人情報利用プログラムであって、受信ポリシを予め記憶する受信ポリシ記憶手段を備えたコンピュータに、受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信する処理と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する処理と、受信した個人情報カプセルを保存する処理とを実行させることを特徴とする。

また、個人情報利用プログラムは、コンピュータに、個人情報を利用する利用条件と、保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する処理と、決定した選択条件に従って、個人情報カプセルに含まれる個人情報を選択する処理と、選択した個人情報を利用する処理とを実行させるものであってもよい。

また、個人情報利用プログラムは、個人情報提供装置から個人情報を取得し、取得した個人情報を利用するための個人情報利用プログラムであって、個人情報の要求内容を決定するためのポリシを記憶する要求ポリシ記憶手段を備えたコンピュータに、要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して個人情報提供装置に送信する処理と、メッセージの送信処理の結果に基づいて、契約情報を保存する処理と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する処理と、受信した個人情報カプセルを保存する処理と、個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する処理と、契約情報の照合結果を保存する処理と、照合結果に基づいて、利用する個人情報を制限する処理と、個人情報の利用に関する情報を出力し、個人情報の利用に関する合意を形成する処理と、合意の形成処理の処理結果を保存する処理と、個人情報カプセルに含まれる個人情報を利用する処理とを実行させるものであってもよい。

また、個人情報利用プログラムは、コンピュータに、個人情報カプセルの転送を管理するための送信ポリシを保存する処理と、個人情報カプセルに含まれる個人情報と、保存する送信ポリシとに基づいて、個人情報に含まれる情報のうち、転送先に送信する情報を抽出する処理と、個人情報カプセルに含まれる契約情報から、保存する送信ポリシに基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する処理とを実行させるものであってもよい。

また、個人情報利用プログラムは、個人情報の受信制限を示す制限情報を予め記憶する制限情報記憶手段を備えたコンピュータに、個人情報を個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する処理を実行させるものであってもよい。

また、個人情報利用プログラムは、コンピュータに、保存する個人情報カプセルを、通信ネットワークを介して個人情報提供装置に送信することによって開示する処理と、保存する処理結果を、通信ネットワークを介して個人情報提供装置に送信することによって開示する処理とを実行させるものであってもよい。

本発明によれば、個人情報提供装置と個人情報利用装置とが、各々の個人情報利用のポリシに基づいて、個人情報利用のための交渉を行う。また、交渉の結果、装置間で合意が成立した場合にのみ、個人情報提供装置と個人情報利用装置との間の個人情報の送受信を決定する。そのため、個人情報提供装置と個人情報利用装置との間で、個人情報の管理や取扱いに関して責任の所在を明確にすることができる。従って、個人情報の生成装置と利用装置との間の交渉に基づいて、送受信する行動の決定や流通させるべき個人情報の選択に関して合意をした上で個人情報を流通させ、合意内容に基づいて個人情報を利用することができる。

また、本発明によれば、個人情報提供装置は、個人情報利用装置との個人情報の送信に関する交渉の結果、個人情報の送信が不適切であると判断する場合、個人情報を送信しないように制御する。そのため、個人情報提供装置は、個人情報利用装置に対する個人情報の送信に伴い、自らがプライバシ漏洩を引き起こす可能性を低減することができる。

また、本発明によれば、個人情報利用装置は、個人情報提供装置との個人情報の受け取りに関する交渉の結果、個人情報の受け取りが不適切であると判断する場合、個人情報を受信しないように制御する。そのため、個人情報利用装置は、個人情報提供装置からの個人情報の受け取りに伴い、自らが個人情報の不当な利用やプライバシ漏洩を起こす可能性を低減することができる。

また、本発明において、個人情報利用装置内で個人情報を利用する際に、個人情報カプセル保存手段が保存する個人情報カプセルに含まれる選択条件と、個人情報利用装置が個人情報を利用する利用条件とを照合して、個人情報利用の条件を確認するよう構成してもよい。そのような構成によれば、条件に合致している場合にのみ、個人情報を利用するので、個人情報カプセル保存手段と個人情報利用手段との間の責任を明確にすることができる。従って、個人情報利用装置内における個人情報の管理や利用に関する責任の所在を明確にすることができ、個人情報を安全に流通管理することができる。

また、本発明において、個人情報提供装置以外の個人情報利用装置が、他の個人情報利用装置に対して個人情報を送信する場合において、２つの個人情報利用装置間で個人情報利用の交渉を行い、合意が成立した場合にのみ、個人情報利用装置間で個人情報を転送するように構成してもよい。そのように構成すれば、個人情報提供装置の情報管理ポリシを考慮しつつ、個人情報提供装置との交渉を行うことなく、個人情報を２次的に自動的に流通させることができる。従って、個人情報利用装置間においても、個人情報を安全、柔軟且つ迅速に流通させることができる。

また、本発明において、個人情報提供装置が予め個人情報を保存管理するように構成してもよい。そのように構成すれば、個人情報のもち主である個人の付加的な情報入力を不要とすることができる。また、個人情報提供装置は、他の個人情報利用装置との個人情報の送信に関する交渉の結果、合意が成立すれば、個人情報を自動的に個人情報利用装置に送信するように制御することができる。従って、個人情報提供装置が、予め保存する個人情報を、安全、柔軟且つ迅速に流通させることができる。

また、本発明において、個人情報提供装置は、個人情報生成者の操作に従って、個人情報の送信先を入力するように構成してもよい。そのように構成すれば、個人情報提供装置は、他の個人情報利用装置からの個人情報の要求を受動的に待つのでなく、自らのポリシに基づいて、個人情報利用装置に、個人情報を能動的に流通させることができる。従って、個人情報提供装置側からの要求に基づいて、個人情報を安全に幅広く流通させることができる。

また、本発明において、個人情報利用装置は、保存する個人情報カプセルや処理結果を個人情報提供装置に開示するように構成してもよい。そのような構成によれば、個人情報のもち主である個人が、その個人情報が個人情報利用装置において適切に利用されているか否かを確認することができる。また、個人情報利用装置側にとっても、個人情報のもち主である個人からの個人情報を適切に利用しているか否かの確認要求に対して、個人情報を適切に利用していることを証明することができる。従って、個人情報のもち主である個人と、個人情報を管理する個人情報利用装置側との両方に、安心感を与えることができる。

実施の形態１．
以下、本発明の第１の実施の形態について図面を参照して説明する。図１は、本発明による個人情報流通管理システムの構成の一例を示すブロック図である。図１に示すように、個人情報流通管理システムは、個人情報カプセルを生成して送信する個人情報生成装置１と、個人情報カプセルを受信して利用する個人情報利用装置２とを含む。なお、個人情報生成装置１と個人情報利用装置２とは、例えば、インターネット等の通信ネットワークを介して接続される。

本実施の形態において、個人情報流通管理システムは、例えば、Ｗｅｂサーバが、ユーザの個人情報に基づいて、インターネットを介して各種サービスを提供する用途に用いられる。本実施の形態では、例えば、個人情報利用装置２がＷｅｂサーバに相当し、個人情報生成装置１がユーザ端末に送信する。この場合、インターネットを介した各種サービスの提供を受けるために、個人情報生成装置１は、ユーザの指示操作に従って、インターネットを介して個人情報利用装置２にアクセスする。すると、個人情報利用装置２は、ユーザの個人情報の送信要求を、個人情報生成装置１に要求する。個人情報生成装置１と個人情報利用装置２との間で個人情報利用に関する所定の契約が成立し、個人情報生成装置１から個人情報を受信すると、個人情報利用装置２は、受信した個人情報に基づいて、インターネットを介して各種サービスを提供する。

「個人情報カプセル」とは、個人情報を所定の契約情報とともにカプセル化した情報である。図２は、個人情報カプセルの一例を示す説明図である。図２に示すように、「個人情報カプセル」は、個人情報だけでなく、個人情報の利用に関して個人情報生成装置１と個人情報利用装置２との間で交わされた契約情報を含む。

「個人情報」とは、個人の属性を示す情報である。本実施の形態において、個人情報カプセルは、個人情報として、個人に関するあらゆる情報を含んでいる。例えば、個人情報カプセルは、個人の名前や住所、電話番号等の個人を特定できる要素だけでなく、その個人の趣味や嗜好等の要素も個人情報として含む。

「契約情報」とは、個人情報の利用内容や利用条件について、個人情報生成装置１と個人情報利用装置２との間で締結された契約内容を示す情報である。本実施の形態において、「契約情報」は、情報の送受信を行う装置間の交渉に基づいて規定された情報の流通に関する規則を含む情報であり、個人情報生成装置１と個人情報利用装置２とが共有する情報である。すなわち、本実施の形態において、契約情報は、個人情報送信先の個人情報利用装置２との個人情報の利用契約を結ぶための情報であり、個人情報利用装置２に提供可能な個人情報の選択条件を示す情報である。

図２に示すように、契約情報には、配布対象の個人情報がどのユーザの情報であるかを示す情報（情報主体情報ともいう）と、個人情報を配布してよい装置（利用装置ともいう）の範囲を示す流通範囲情報と、利用装置が利用してよい個人情報の要素を示す利用可能要素情報と、個人情報の利用目的を示す利用目的情報とが含まれる。例えば、契約情報は、情報主体情報や流通範囲情報として、ユーザＩＤや装置ＩＤ等の識別情報を含む。また、例えば、契約情報は、利用目的情報として、「名簿作成」や「アンケート集計」等の目的情報を含む。この契約情報は、送信者が一方的に規定するのではなく、個人情報生成者が規定した個人情報送信ポリシと、個人情報要求者が保持する個人情報受信ポリシとに基づいて、送信者と受信者との交渉によって適切な内容に決定される。

「個人情報送信ポリシ」とは、個人情報を送信する装置（本例では、個人情報生成装置１）が、他の装置に提供（送信）可能な個人情報の範囲や提供（送信）条件を示すポリシである。本実施の形態では、「個人情報送信ポリシ」は、情報を送信する装置が利用装置と契約を締結し契約情報を作成するために参照する情報である。すなわち、個人情報送信ポリシは、個人情報の流通に関する規定を示すポリシであり、個人情報を個人情報利用装置２に送信する場合の送信条件を示すポリシ（設定情報）である。また、「個人情報送信ポリシ」は、送信可能な（すなわち、他の装置に利用させてもよい）個人情報の要素と、個人情報を送信してもよい個人情報利用装置２の範囲と、個人情報利用装置２が個人情報を利用してよい目的を規定した情報を含む。なお、本実施の形態において、個人情報送信ポリシのデータ形式は、個人情報カプセルの契約情報のデータ形式と同じである。

「個人情報受信ポリシ」とは、個人情報を受信する装置（本例では、個人情報利用装置２）が、個人情報を受信する場合の受信条件を示すポリシである。本実施の形態は、「個人情報受信ポリシ」は、個人情報を受信する装置が個人情報生成装置１と契約を締結し契約情報を作成するための情報であり、個人情報の要求内容を決定するためのポリシである。また、「個人情報受信ポリシ」は、必要とする個人情報の要素と、個人情報を利用する目的と、個人情報を利用する装置の範囲とを規定した情報を含む。なお、本実施の形態において、個人情報受信ポリシのデータ形式は、個人情報カプセルの契約情報のデータ形式と同じである。また、「ポリシ」とは、装置毎に保持している情報の流通に関する規則であり、装置毎に異なる。

本実施の形態では、送信者と受信者との間で契約が締結されることによって、受信者は自分が必要とする情報のみを受け取れるので、情報漏洩のリスクを削減することができる。また、送信者は、個人情報生成者の規定に基づいて送信契約を結ぶので、個人情報生成者と送信者との間の情報送信に関する責任を明確にすることができる。

個人情報生成装置１は、個人情報を作成する個人情報生成者（ユーザ）が使用する装置であり、具体的には、パーソナルコンピュータ等の情報処理装置によって実現される。図１に示すように、個人情報生成装置１は、個人情報入力手段１１と、契約情報入力手段１２と、送信交渉手段１３と、交渉結果記録手段１４と、送信情報作成手段１５と、送信手段１６とを含む。なお、図１では、１つの個人情報生成装置１を示しているが、個人情報流通管理システムは、複数の個人情報生成装置１を含んでもよい。

個人情報入力手段１１及び契約情報入力手段１２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びマウスやキーボード等の入力装置によって実現される。個人情報入力手段１１は、個人情報生成者の操作に従って、個人情報を入力する機能を備える。契約情報入力手段１２は、個人情報生成者の操作に従って、各種契約条件を入力する機能を備える。契約情報入力手段１２は、個人情報生成装置１以外の他の装置（本例では、個人情報利用装置２）と契約を結ぶために必要となる情報（個人情報送信ポリシ）を入力する。本実施の形態では、契約情報入力手段１２は、個人情報生成装置１のユーザを示す主体情報と、個人情報入力手段１１が入力する個人情報に対応する利用目的と、利用可能な情報要素や利用装置を限定するための情報とを入力する。

送信交渉手段１３は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。送信交渉手段１３は、個人情報利用装置２と通信ネットワークを介して各種情報を送受信し、他の個人情報利用装置２からの要求に従って、個人情報の利用に関する契約を締結する機能を備える。すなわち、本実施の形態において、送信交渉手段１３は、個人情報送信ポリシと個人情報受信ポリシとを照合し、個人情報利用装置２に提供可能な個人情報の選択条件を決定する。

本実施の形態では、契約を締結する際に、送信交渉手段１３は、個人情報利用装置２からの個人情報の送信要求を受信する。また、送信交渉手段１３は、個人情報の送信要求とともに、個人情報受信ポリシを個人情報利用装置２から受信する。また、送信交渉手段１３は、契約情報入力手段１２が入力した情報（個人情報送信ポリシ）と、個人情報利用装置２から受信した情報（個人情報受信ポリシ）とを照合する。そして、個人情報生成装置１と個人情報利用装置２との間で合意が取れると、送信交渉手段１３が、所定契約情報を生成し、個人情報の利用契約の内容を決定する処理を実行することによって、契約が結ばれる。

送信交渉手段１３は、例えば、照合結果に基づいて、個人情報受信ポリシに含まれる情報のうち、個人情報送信ポリシに含まれる情報と合致する情報を抽出する。そして、送信交渉手段１３は、抽出した情報を含む契約情報を生成する。本実施の形態では、送信交渉手段１３は、個人情報生成装置１のユーザを示す情報主体情報と、個人情報を配布してよい利用装置のリスト（流通範囲情報）と、送信する個人情報の要素（利用可能要素情報）と、個人情報の利用目的情報とを含む契約情報を生成する。

なお、送信交渉手段１３は、情報主体、流通範囲、利用可能な情報要素及び利用目的のうちのいずれか１以上の項目において、個人情報送信ポリシと個人情報受信ポリシとに合致する情報が含まれなかった場合、個人情報生成装置１と個人情報利用装置２との間で合意が成立しなかったと判定する。この場合、送信交渉手段１３は、合意が成立しなかった旨の通知情報を生成し、通信ネットワークを介して個人情報利用装置２に送信する。

交渉結果記録手段１４は、具体的には、磁気ディスク装置等の記憶装置によって実現される。交渉結果記録手段１４は、送信交渉手段１３と他の個人情報利用装置２との間の交渉結果に従って、送信交渉手段１３によって生成された契約情報を記録する。

送信情報作成手段１５は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。送信情報作成手段１５は、送信交渉手段１３が作成した契約情報に基づいて、個人情報利用装置２に送信する個人情報カプセルを作成する機能を備える。本実施の形態では、送信情報作成手段１５は、個人情報入力手段１１が入力した個人情報と、送信交渉手段１３が生成した契約情報とをカプセル化し、個人情報カプセルを生成する。

本実施の形態では、送信情報作成手段１５は、契約情報として、契約情報入力手段１２がユーザ操作に従って入力した情報（個人情報送信ポリシ）ではなく、個人情報利用装置２との間の交渉結果に従って、送信交渉手段１３が生成した契約情報を含む個人情報カプセルを生成する。この場合、送信情報作成手段１５は、契約情報に基づいて、送信する個人情報を限定し、限定した個人情報を含む個人情報カプセルを生成する。例えば、送信情報作成手段１５は、個人情報入力手段１１が入力した個人情報のうち、契約情報に含まれる利用可能要素情報に示される情報要素を抽出する。そして、送信情報作成手段１５は、抽出した個人情報の情報要素のみを含む個人情報カプセルを生成する。

送信手段１６は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。送信手段１６は、送信情報作成手段１５が作成した個人情報カプセルを、通信ネットワークを介して他の個人情報利用装置２に送信する機能を備える。

個人情報利用装置２は、個人情報を利用するサーバ等であり、具体的には、ワークステーションやパーソナルコンピュータ等の情報処理装置によって実現される。図１に示すように、個人情報利用装置２は、個人情報要求手段２１と、受信交渉手段２２と、交渉結果記録手段２３と、受信手段２４と、個人情報保管手段２５と、送信交渉手段２６と、交渉結果記録手段２７と、送信情報作成手段２８と、個人情報利用部２９とを含む。

個人情報要求手段２１は、具体的には、磁気ディスク装置等の記憶装置によって実現される。個人情報要求手段２１は、個人情報送受信の契約を結ぶために必要な情報（例えば、個人情報利用装置２が必要とする個人情報を示す情報と、個人情報の利用目的を示す情報）を管理する。具体的には、個人情報要求手段２１は、個人情報の要求内容を決定するためのポリシを予め記憶する。本実施の形態では、個人情報要求手段２１は、個人情報受信ポリシを予め蓄積する。例えば、個人情報受信ポリシは、個人情報を利用して各種処理を実行するプログラム（個人情報利用部２９を実現するプログラム）の管理者によって予め作成され、個人情報要求手段２１に予め蓄積される。なお、個人情報利用装置２が複数の個人情報利用部２９を含む場合（個人情報を利用するプログラムが複数ある場合）、個人情報要求手段２１は、予め複数の個人情報受信ポリシを記憶する。

受信交渉手段２２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。受信交渉手段２２は、個人情報生成装置１と通信ネットワークを介して各種情報を送受信し、個人情報の利用に関する契約を締結する機能を備える。

本実施の形態では、契約を締結する際に、受信交渉手段２２は、個人情報の送信要求（要求メッセージともいう）を、通信ネットワークを介して個人情報生成装置１に送信する。本実施の形態では、受信交渉手段２２は、個人情報要求手段２１が記憶する個人情報受信ポリシに基づいて、個人情報生成装置１と流通に関する契約を結ぶための要求メッセージを、通信ネットワークを介して個人情報生成装置１に送信する。この場合、受信交渉手段２２は、個人情報要求手段２１から個人情報受信ポリシを抽出する。また、受信交渉手段２２は、抽出した個人情報受信ポリシに基づいて、個人情報利用装置２が必要とする個人情報の要求指示を、通信ネットワークを介して個人情報生成装置１に送信する。そして、受信交渉手段２２は、個人情報生成装置１との個人情報の利用に関する合意を得る。

なお、受信交渉手段２２は、合意が成立しなかった旨の通知情報を個人情報生成装置１から受信した場合、個人情報要求手段２１が別の個人情報受信ポリシを蓄積しているか否かを判断する。別の個人情報受信ポリシがある場合、受信交渉手段２２は、個人情報要求手段２１から別の個人情報受信ポリシを抽出し、抽出した個人情報受信ポリシに基づいて、再び要求メッセージを個人情報生成装置１に送信する。

交渉結果記録手段２３は、具体的には、磁気ディスク装置等の記憶装置によって実現される。交渉結果記録手段２３は、受信交渉手段２２が個人情報生成装置１と締結した契約情報及び交渉履歴を記録する。

受信手段２４は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。受信手段２４は、個人情報生成装置１から、通信ネットワークを介して個人情報カプセルを受信する機能を備える。

個人情報保管手段２５は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及び磁気ディスク装置等の記憶装置によって実現される。個人情報保管手段２５は、受信手段２４が個人情報生成装置１から受信した個人情報カプセルを保管（保存）する機能を備える。また、個人情報保管手段２５は、個人情報カプセルを保管する際に、交渉結果記録手段２３が記憶する契約情報に基づいて、個人情報カプセルが個人情報生成装置１と交わした契約情報に従っているか否かを確認（判定）する機能を備える。この場合、例えば、個人情報保管手段２５は、交渉結果記録手段２３が記憶する契約情報と、個人情報カプセルに含まれる契約情報とを照合し、それぞれの契約情報に含まれる情報が合致するか否かを判断する。含まれる情報が合致する場合、個人情報保管手段２５は、個人情報カプセルが個人情報生成装置１と交わした契約情報に従っていると判定する。また、含まれる情報が合致しない場合、個人情報保管手段２５は、個人情報カプセルが個人情報生成装置１と交わした契約情報に従っていないと判定する。

送信交渉手段２６は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。送信交渉手段２６は、個人情報保管手段２５が保管する個人情報カプセルに含まれる個人情報を個人情報利用部２９が利用する際、個人情報の利用目的を確認する機能を備える。すなわち、本実施の形態において、送信交渉手段２６は、個人情報利用装置２が個人情報を利用する利用条件と、個人情報保管手段２５が保存する個人情報カプセルに含まれる契約情報（選択条件）とを照合し、利用可能な情報の選択条件を決定する。また、送信交渉手段２６は、個人情報の利用目的に従って、個人情報利用部２９による個人情報の利用を許可するか否かを判定する機能を備える。送信交渉手段２６が利用目的を確認する処理を行うことによって、個人情報利用装置２が個人情報生成装置１との間で交わした個人情報の利用に関する契約を遵守することができる。

本実施の形態では、個人情報利用の際に、送信交渉手段２６は、個人情報利用部２９が必要とする個人情報要素の範囲や利用目的を示す利用ポリシを、個人情報利用部２９から入力する。また、送信交渉手段２６は、個人情報保管手段２５が蓄積する個人情報カプセルに含まれる契約情報と、入力した利用ポリシとを照合する。すなわち、送信交渉手段２６は、個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する。また、送信交渉手段２６は、照合結果に基づいて、利用ポリシに含まれる情報のうち、契約情報に含まれる情報と合致する情報を抽出する。送信交渉手段２６は、抽出した情報を含む契約情報（利用側契約情報という）を生成する。

交渉結果記録手段２７は、具体的には、磁気ディスク装置等の記憶装置によって実現される。交渉結果記録手段２７は、送信交渉手段２６と個人情報利用部２９との交渉の結果（照合結果）を記録する。本実施の形態では、交渉結果記録手段２７は、個人情報カプセルに含まれる利用可能な個人情報の要素とその個人情報の利用目的とを含む個人情報の利用履歴を登録することになる。

送信情報作成手段２８は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。送信情報作成手段２８は、送信交渉手段２６の判定結果に基づいて、個人情報カプセルに含まれる個人情報の要素の中で、利用しない情報を限定する機能を備える。また、送信情報作成手段２８は、限定した結果に基づいて、個人情報利用部２９が利用する個人情報の要素を個人情報利用部２９に出力する機能を備える。

本実施の形態では、送信情報作成手段２８は、個人情報カプセルに含まれる個人情報のうち、送信交渉手段２６が生成した利用側契約情報に示される利用可能な情報要素を抽出する。すなわち、送信情報作成手段２８は、送信交渉手段２６が生成した利用側契約情報（決定した選択条件）に従って、個人情報に含まれる個人情報を選択する。そして、送信情報作成手段２８は、抽出した個人情報の情報要素を個人情報利用部２９に出力する。

個人情報利用部２９は、利用交渉手段２９１と、交渉手段記録手段２９２と、利用手段２９３とを含む。利用交渉手段２９１は、具体的には、個人情報を利用して、ユーザに各種サービスを提供するためのプログラムに従って動作する情報処理装置のＣＰＵによって実現される。利用交渉手段２９１は、送信交渉手段２６に、個人情報利用部２９が必要とする個人情報の要素と利用目的とを伝え、利用に関する合意を得る機能を備える。すなわち、利用交渉手段２９１は、個人情報の利用に関する情報（個人情報の要素や利用目的の情報）を送信交渉手段２６に出力し、送信交渉手段２６との間で個人情報の利用に関する合意を形成する。

本実施の形態では、個人情報利用の際に、利用交渉手段２９１は、個人情報の利用ポリシを利用手段２９３から入力する。そして、利用交渉手段２９１は、入力した利用ポリシを送信交渉手段２６に出力する。

交渉結果記録手段２９２は、具体的には、磁気ディスク装置等の記憶装置によって実現される。交渉手段記録手段２９２は、利用交渉手段２９１が送信交渉手段２６と交わした個人情報利用のための利用側契約情報及び交渉履歴を記録する。

利用手段２９３は、具体的には、個人情報を利用して、ユーザに各種サービスを提供するためのプログラムに従って動作する情報処理装置のＣＰＵ、及びマウスやキーボード等の入力装置によって実現される。利用手段２９３は、個人情報の利用要求（利用ポリシを含む）を利用交渉手段２９１に伝える機能を備える。また、利用手段２９３は、利用交渉手段２９１による交渉の結果に基づいて、送信情報作成手段２８から個人情報を入力する機能を備える。また、利用手段２９３は、入力した個人情報を利用する機能を備える。

本実施の形態では、例えば、利用手段２９３は、個人情報を利用して、ユーザに各種サービスを提供するためのプログラムの利用者の入力操作に従って、利用対象の個人情報の要素の指定と利用目的とを入力する。また、利用手段２９３は、入力した利用ポリシ（指定情報及び利用目的）を利用交渉手段２９１に出力することによって、個人情報の利用要求を伝える。そして、利用手段２９３は、送信情報作成手段２８から個人情報を入力し、個人情報を利用して各種処理を実行する。

次に、動作について説明する。図３は、個人情報生成装置と個人情報利用装置との間で、個人情報を流通させ管理する処理の一例を示す流れ図である。まず、個人情報生成装置１から個人情報利用装置２に個人情報を提供する動作を説明する。例えば、個人情報生成装置１のユーザが個人情報利用装置２から各種サービスの提供を受ける場合、個人情報生成装置１は、ユーザの指示操作に従って、通信ネットワークを介して個人情報利用装置２にアクセスする。すると、個人情報利用装置２は、通信ネットワークを介して個人情報生成装置１に対して個人情報を要求する。

個人情報を要求する処理において、最初に、受信交渉手段２２は、個人情報要求手段２１から、個人情報利用装置２が必要とする個人情報の要素、利用目的及び個人情報の利用装置の一覧等の契約に必要な情報を含む個人情報受信ポリシを抽出する。また、受信交渉手段２２は、抽出した個人情報受信ポリシに基づいて要求メッセージを生成する（ステップＳ１０１）。なお、この契約に必要な情報である個人情報受信ポリシは、個人情報利用部２９によって決定されてもよい。

次に、個人情報利用装置２と個人情報生成装置１との間で契約情報を生成し、個人情報利用の契約内容を決定する。この契約内容の決定処理では、最初に、受信交渉手段２２は、生成した要求メッセージを、通信ネットワークを介して個人情報生成装置１に送信する（ステップＳ１０２）。例えば、受信交渉手段２２は、個人情報受信ポリシを要求メッセージとして、送信交渉手段１３に送信する。

また、送信交渉手段１３は、個人情報利用装置２から、通信ネットワークを介して要求メッセージを受信する（ステップＳ１０３）。すると、送信交渉手段１３は、受信した要求メッセージに基づいて、例えば、ディスプレイ装置等の表示装置に個人情報の入力要求を表示させて、個人情報作成者に個人情報の入力を促す。

個人情報入力手段１１は、個人情報生成者の入力操作に従って、個人情報を入力する。また、個人情報の入力と同時に、契約情報入力手段１２は、個人情報生成者の入力操作に従って、個人情報を送信する際に個人情報生成装置１と個人情報利用装置２の間で決定する契約情報の元になる情報（個人情報送信ポリシ）を入力する（ステップＳ１０４）。この情報（個人情報送信ポリシ）を入力することによって、個人情報生成者は、個人情報を送信したり利用させたりするための規則を規定することができる。

次に、送信交渉手段１３は、契約情報入力手段１２が入力した契約情報の元になる情報（個人情報送信ポリシ）と、要求メッセージの内容（個人情報受信ポリシ）とを照合する（ステップＳ１０５）。この場合、送信交渉手段１３は、個人情報生成者が規定した個人情報送信ポリシに記載されている内容と、要求メッセージに記載されている項目とが一致している場合にのみ、要求メッセージを受け付ける処理を実行する。また、送信交渉手段１３は、照合の結果に基づいて、要求メッセージを受けつけるか否か（個人情報利用装置２からの送信要求に応じて個人情報を送信するか否か）を決定する（ステップＳ１０６）。

要求メッセージを受け付けると判断すると、送信交渉手段１３は、例えば、要求メッセージの個人情報受信ポリシの内容を含む契約情報を生成する。また、要求メッセージを受け付けると判断すると、送信交渉手段１３は、例えば、個人情報受信ポリシに含まれる情報のうち、個人情報送信ポリシに含まれる情報と合致する情報を抽出し、抽出した情報を含む契約情報を生成する。

契約情報を生成した場合、送信交渉手段１３は、生成した契約情報を交渉結果記憶手段１４に登録する。また、送信交渉手段１３は、生成した契約情報を、通信ネットワークを介して個人情報利用装置２に送信する。この場合、受信交渉手段２２は、個人情報生成装置１から契約情報を受信すると、受信した契約情報を交渉結果記録手段２３に記憶させる。なお、受信交渉手段２２は、ステップＳ１０２で送信した要求メッセージも交渉結果記録手段２３に記憶させてもよい。

また、送信情報作成手段１５は、送信交渉手段１３から、契約情報と、個人情報入力手段１１から入力された個人情報とを入力する。また、送信情報作成手段１５は、個人情報入力手段１１が入力した個人情報のうち、契約情報に含まれる利用可能要素情報に示される情報要素を抽出し、個人情報カプセルを作成する（ステップＳ１０７）。そして、送信手段１６は、送信情報作成手段１５が作成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置２に送信する（ステップＳ１０８）。

個人情報利用装置２の受信手段２４は、個人情報生成装置１から、通信ネットワークを介して個人情報カプセルを受信する（ステップＳ１０９）。この場合、個人情報保管手段２５は、個人情報カプセルに含まれる契約情報と、交渉結果記録手段２３に蓄積する契約情報や要求メッセージの内容とを照合する（ステップＳ１１０）。そして、個人情報保管手段２５は、照合結果に基づいて、受信した個人情報カプセルに含まれる個人情報が、要求メッセージに基づいた情報であることを確認する。照合の結果、正しい個人情報であることと判断した場合、個人情報保管手段２５は、交渉結果記録手段２３に、個人情報カプセルに含まれる契約情報を記憶させる。また、個人情報保管手段２５は、受信した個人情報カプセルを登録する（ステップＳ１１１）。

また、ステップＳ１０６で、送信交渉手段１３は、契約情報入力手段１２が入力した契約情報の元になる情報（個人情報送信ポリシ）と、要求メッセージの内容（個人情報受信ポリシ）とを照合した結果、要求メッセージを受け付けないと判断した場合、送信不可である旨のメッセージ（通知情報）を作成する。そして、送信交渉手段１３は、作成したメッセージを、通信ネットワークを介して個人情報利用装置２に送信する（ステップＳ１１２）。

個人情報利用装置２の受信交渉手段２２は、個人情報生成装置１から、通信ネットワークを介してメッセージを受信する。すると、受信交渉手段２２は、新たな要求メッセージを作成可能であるか否かを判断する（ステップＳ１１３）。この場合、例えば、受信交渉手段２２は、個人情報要求手段２１が記憶する個人情報受信ポリシのうち、要求メッセージとして未送信のポリシがあるか否かを判断する。未送信のポリシがあると判断すると、受信交渉手段２２は、新たな要求メッセージを作成可能であると判定する。また、個人情報要求手段２１が記憶する全ての個人情報受信ポリシについて既に要求メッセージを作成し送信済みであると判断すると、受信交渉手段２２は、新たな要求メッセージを作成できないと判定する。

要求メッセージを作成可能であると判定した場合、受信交渉手段２２は、再びステップＳ１０１の処理に戻り、ステップＳ１０１以降の処理が繰り返し実行される。すなわち、個人情報要求手段２１が記憶する次の個人情報受信ポリシに基づいて、繰り返し要求メッセージが作成され個人情報生成装置１に送信される。要求メッセージを作成できないと判定した場合、個人情報利用装置２は、そのまま処理を終了する。すなわち、この場合、個人情報生成装置１と個人情報利用装置２との間で個人情報利用の合意が成立しなかったので、個人情報生成装置１が個人情報利用装置２に個人情報を送信することなく、そのまま処理を終了する。

次に、個人情報利用装置２が個人情報を利用する場合の動作について説明する。まず、個人情報利用部２９は、送信交渉手段２６との間で個人情報利用に関する利用側契約情報を決定する。この場合、利用手段２９３は、必要な個人情報の要素と利用目的（利用ポリシ）を、利用交渉手段２９１に伝える。

次に、利用交渉手段２９１と送信交渉手段２６との間で、利用する個人情報の要素と利用目的とを決定するための交渉が行われる。そして、送信交渉手段２６は、その交渉の結果を交渉結果記録手段２７に登録する。また、利用交渉手段２９１は、その交渉の結果を交渉結果記録手段２９２に登録する。この場合、送信交渉手段２６と利用交渉手段２９１とは、個人情報要求手段２１と受信交渉手段２２との間で行われる処理と同様の処理に従って、利用交渉手段２９１から送信交渉手段２６に要求メッセージが送られることによって、交渉処理を実行する。また、送信交渉手段２６と利用交渉手段２９１とは、受信交渉手段２２と送信交渉手段１３との間で行われる処理と同様の処理に従って、交渉処理を実行する。

なお、送信交渉手段２６と利用交渉手段２９１との交渉処理では、個人情報と契約情報との入力手段を用いて情報を入力するのではなく、個人情報保管手段２５から個人情報と契約情報とを入力する点で、送信交渉手段１３と受信交渉手段２２との処理と異なる。すなわち、送信交渉手段２６は、個人情報保管手段２５が記憶する個人情報カプセルに含まれる契約情報と、利用交渉手段２９１から入力した利用ポリシとを照合することによって、利用側契約情報を生成する。

また、送信情報作成手段２８は、送信交渉手段２６の処理の結果に基づいて、個人情報利用部２９に渡す個人情報を抽出する。すなわち、送信情報作成手段２８は、送信交渉手段２６が生成した利用側契約情報に従って、個人情報保管手段２５が記憶する個人情報カプセルに含まれる個人情報から、個人情報利用部２９が利用可能な個人情報を抽出する。また、送信情報作成手段２８は、抽出した個人情報を利用手段２９３に渡す。そして、利用手段２９３は、送信情報作成手段２８から受け取った個人情報を利用する。例えば、利用手段２９３は、個人情報に基づいて各種処理を実行し、ユーザに対する各種サービス提供処理を実行する。

以上のように、本実施の形態によれば、個人情報生成装置１と個人情報利用装置２とが、個人情報利用の契約情報に基づいて、個人情報を流通させる。予め装置間で個人情報利用の契約を成立させて契約情報を生成し、契約情報に基づいて情報を流通させるので、責任の所在を明確にすることができ、個人情報を安全に流通管理できる。従って、個人情報の生成装置と利用装置との間の交渉に基づいて、送受信する行動の決定や流通させるべき個人情報の選択に関して合意をした上で個人情報を流通させ、合意内容に基づいて個人情報を利用することができる。

また、本実施の形態によれば、個人情報生成装置１は、契約情報に基づいて不適切と判断した個人情報を送信しないように制御するので、個人情報生成装置１がプライバシ漏洩を引き起こす可能性を低減することができる。また、本実施の形態によれば、個人情報利用装置２は、契約情報に基づいて不適切と判断した個人情報を受信しないように制御するので、個人情報利用装置２がプライバシ漏洩を引き起こす可能性を低減することができる。

実施の形態２．
次に、本発明の第２の実施の形態について図面を参照して説明する。図４は、個人情報流通管理システムの他の構成例を示すブロック図である。図４に示すように、本実施の形態において、個人情報流通管理システムは、個人情報生成装置１と、２つの個人情報利用装置３，４とを含む。なお、個人情報生成装置１と各個人情報利用装置３，４とは、例えば、ＬＡＮやインターネット等の通信ネットワークを介して接続される。

本実施の形態では、個人情報生成装置１から個人情報利用装置４に個人情報を提供したのち、更に個人情報利用装置４から別の個人情報利用装置３に個人情報を流通させる場合を説明する。なお、図４では、２つの個人情報利用装置３，４を示しているが、個人情報流通管理システムは、２以上の個人情報利用装置を含んでもよい。

図４に示すように、本実施の形態では、個人情報利用装置４が、図１に示した第１の実施の形態における個人情報利用装置２の構成要素に加えて、送信ポリシ保管手段２０１、契約合成手段２０２及び情報抽出手段２０３を含む点で、第１の実施の形態と異なる。また、本実施の形態では、図１に示した第１の実施の形態における個人情報利用部２９が、個人情報利用装置２の内部に含まれるのではなく、独立した装置（個人情報利用装置３）として構成される点で、第１の実施の形態と異なる。すなわち、本実施の形態において、個人情報利用装置３は、第１の実施の形態で示した個人情報利用部２９に相当する。

送信ポリシ保管手段２０１は、具体的には、磁気ディスク装置等の記憶装置によって実現される。送信ポリシ保管手段２０１は、個人情報利用装置４が個人情報利用装置３に個人情報を送信するための送信ポリシを保管する。すなわち、本実施の形態において、送信ポリシ保管手段２０１は、個人情報カプセルの転送を管理するための送信ポリシを予め保存する。

「送信ポリシ」とは、個人情報利用装置４が個人情報利用装置３に個人情報を送信する際の送信条件を示すポリシである。本実施の形態において、「送信ポリシ」は、データ送信に関する条件を示すデータ送信ポリシと、個人情報利用の契約に関する条件を示す契約ポリシとを含む。データ送信ポリシは、個人情報送信先に提示しない（送信を禁止する）個人情報を規定する情報（利用可能要素）を含む。個人情報利用装置４が個人情報利用装置３と契約を結ぶ処理において、個人情報利用装置４は、このデータ送信ポリシに示される個人情報送信先に提示しない個人情報の存在を、送信先の個人情報利用装置３に知らせない（送信しない）。

また、契約ポリシは、送信先装置の利用目的の制限と、送信先装置が個人情報を再配布する際の再配布先の制限（流通範囲）との情報を含む。本実施の形態では、個人情報利用装置４は、個人情報送信先と契約を結ぶ際に、送信ポリシに含まれる契約ポリシを参照する。すなわち、個人情報利用装置４は、個人情報保管手段２５が保管する個人情報カプセルに含まれる契約情報と、送信ポリシ保管手段２０１が蓄積する契約ポリシとに基づいて、個人情報利用装置３と個人情報の利用契約を結ぶ。

契約照合手段２０２及び情報抽出手段２０３は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。契約照合手段２０２は、個人情報カプセルに含まれる契約情報と、送信ポリシ保管手段２０１が蓄積する送信ポリシに含まれる契約ポリシとを統合する機能を備える。そして、契約照合手段２０２は、個人情報利用装置３と契約を交わすための情報（装置間契約ポリシという）を作成する機能を備える。すなわち、本実施の形態において、契約照合手段２０２は、個人情報カプセルに含まれる契約情報から、送信ポリシ保管手段２０１が保存する送信ポリシに基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する。本実施の形態では、契約照合手段２０２は、個人情報カプセルに含まれる契約情報と、送信ポリシに含まれる契約ポリシとを照合する。また、契約照合手段２０２は、契約ポリシに含まれる情報のうち、契約情報に含まれる情報と合致する情報を抽出する。そして、契約照合手段２０２は、抽出した情報を含む装置間契約ポリシを生成する。

情報抽出手段２０３は、個人情報カプセルに含まれる個人情報要素と、送信ポリシ保管手段２０１が蓄積する送信ポリシに含まれるデータ送信ポリシとを照合し、個人情報カプセルに含まれる個人情報要素のうち、送信先に提示可能な要素を抽出する機能を備える。すなわち、情報抽出手段２０３は、個人情報カプセルに含まれる個人情報と、送信ポリシ保管手段２０１が保存する送信ポリシとに基づいて、個人情報に含まれる情報のうち、転送先に送信する情報を抽出する。また、情報抽出手段２０３は、抽出した送信先に提示可能な個人情報要素の一覧情報を作成する機能を備える。

なお、送信ポリシ保管手段２０１、契約合成手段２０２及び情報抽出手段２０３以外の個人情報利用装置４の構成要素の基本的な機能は、第１の実施の形態で示したそれらの機能と同様である。

個人情報利用装置３は、図４に示すように、個人情報要求手段３１と、受信交渉手段３２と、交渉結果記録手段３３と、受信手段３４と、個人情報保管手段３５とを含む。なお、本実施の形態において、個人情報要求手段３１、受信交渉手段３２、交渉結果記録手段３３、受信手段３４及び個人情報保管手段３５の機能は、それぞれ個人情報要求手段２１、受信交渉手段２２、交渉結果記録手段２３、受信手段２４及び個人情報保管手段２５の機能と同様である。

次に、動作について説明する。本実施の形態において、個人情報利用装置４が個人情報生成装置１との間で個人情報利用の契約を結び、個人情報カプセルの送受信が行われ、個人情報保管手段２５が個人情報カプセルを登録するまでの動作は、第１の実施の形態で示した動作と同様である。

第１の実施の形態では、個人情報利用装置２が受信した個人情報カプセルを、個人情報利用装置２の内部にある個人情報利用部２９が利用する例を示したが、本実施の形態では、個人情報利用装置４の外部装置である個人情報利用装置３が個人情報を利用する。図５は、個人情報利用装置４から別の個人情報利用装置３に個人情報を流通させる処理の一例を示す流れ図である。

個人情報利用装置３の受信交渉手段３２は、個人情報要求手段３１が記憶する個人情報受信ポリシを抽出し、抽出した個人情報ポリシに基づいて、個人情報利用装置４が管理する個人情報を要求するための要求メッセージを作成する（ステップＳ２０１）。また、受信交渉手段３２は、作成した要求メッセージを、通信ネットワークを介して個人情報利用装置３に送信する（ステップＳ２０２）。この場合、個人情報利用装置３は、第１の実施の形態における個人情報利用装置２と同様の処理に従って、要求メッセージを送信する。

送信交渉手段２６は、受信交渉手段３２から、通信ネットワークを介して要求メッセージを受信する（ステップＳ２０３）。また、送信交渉手段２６は、受信したメッセージに基づいて、個人情報抽出手段２０３に、送信可能な個人情報の抽出を指示する（ステップＳ２０４）。個人情報抽出手段２０３は、個人情報保管手段２５から個人情報カプセルを抽出し、送信ポリシ保管手段２０１からデータ送信に関する送信ポリシを抽出する。情報抽出手段２０３は、抽出した個人情報カプセルと送信ポリシとの２つの情報に基づいて、個人情報利用装置３に提示してよい個人情報の要素を抽出する。また、情報抽出手段２０３は、抽出した個人情報の要素を送信交渉手段２６に渡す。

個人情報の抽出を指示すると同時に、送信交渉手段２６は、契約合成手段２０２から、個人情報利用装置３との契約情報の元になる情報（装置間契約ポリシ）を入力する。この契約情報の元になる情報は、個人情報カプセルに含まれる契約情報と、個人情報利用装置３が規定した送信ポリシとに基づいて、個人情報利用装置４が個人情報を転送する際に利用する送信ポリシである。送信交渉手段２６は、個人情報カプセルの契約情報に含まれる情報と、利用装置３が規定した送信ポリシに含まれる情報とのうち、一致しているポリシの情報を抽出する処理を実行する。

ポリシの照合処理を行う際、契約照合手段２０２は、個人情報保管手段２５から個人情報カプセルを抽出し、送信ポリシ保管手段２０１から契約に関するポリシ（送信ポリシに含まれる契約ポリシ）を抽出する。また、契約照合手段２０２は、これら個人情報カプセルに含まれる契約情報と、契約ポリシとに基づいて、個人情報利用装置３に提示可能な個人情報の利用目的と利用を許可する装置との一覧（装置間契約ポリシ）を生成する。

また、送信交渉手段２６は、契約照合手段２０２からの装置間契約ポリシと、個人情報抽出手段２０３から抽出した個人情報とに基づいて、受信交渉手段３２との個人情報の利用契約を決定する。この場合、送信交渉手段２６は、装置間契約ポリシと、個人情報利用装置３から受信した要求メッセージの個人情報受信ポリシとを照合する（ステップＳ２０５）。また、送信交渉手段２６は、照合結果に基づいて、要求メッセージを受け入れ可能であるか否かを判断する（ステップＳ２０６）。

送信交渉手段１３と受信交渉手段２２との間の交渉処理では、送信側（個人情報生成装置１）は、個人情報生成者が規定した契約情報の元になる情報（個人情報送信ポリシ）を決定していた。これに対し、送信交渉手段２６と受信交渉手段３２との間の交渉処理では、送信側は、個人情報保管手段２５と送信ポリシ保管手段２０１との予め保管している情報に基づいて、契約情報の元になる情報（送信ポリシ）を決定している。

なお、ステップＳ２０６において、要求メッセージを受け入れ可能と判断した場合、個人情報利用装置４は、個人情報カプセルを生成して個人情報利用装置３に送信する（ステップＳ２０７〜Ｓ２０８）。そして、個人情報利用装置３は、個人情報カプセルを受信し個人情報保管手段３５に保存する（ステップＳ２０９〜Ｓ２１１）。なお、ステップＳ２０７からステップＳ２１１までの処理は、第１の実施の形態で示した個人情報生成装置１と個人情報利用装置２との間で実行されるステップＳ１０７からステップＳ１１１までの処理と同様である。

また、要求メッセージを受け入れ不可能であると判断した場合、個人情報利用装置４は、エラーメッセージを作成し個人情報利用装置３に送信する（ステップＳ２１２）。そして、個人情報利用装置３は、新たな要求メッセージを作成可能であるか否かを判断し、判断結果に基づいて要求メッセージを再送し、又はそのまま処理を終了する（ステップＳ２１３，Ｓ２１４）。なお、ステップＳ２１２からステップＳ２１４までの処理は、第１の実施の形態で示した個人情報生成装置１と個人情報利用装置２との間で実行されるステップＳ１１２からステップＳ１１４までの処理と同様である。

以上のように、本実施の形態によれば、個人情報利用装置間においても、個人情報送信に関する交渉が行われる。そして、個人情報利用装置間で個人情報利用に関する合意が成立した場合にのみ、個人情報利用装置間で個人情報を流通させる。そのため、個人情報利用装置間においても、個人情報を安全に流通させることができる。

実施の形態３．
次に、本発明の第３の実施の形態について図面を参照して説明する。図６は、個人情報流通管理システムの更に他の構成例を示すブロック図である。図６に示すように、本実施の形態において、個人情報流通管理システムは、個人情報生成装置５と、個人情報利用装置２とを含む。なお、個人情報生成装置５と個人情報利用装置２とは、例えば、インターネット等の通信ネットワークを介して接続される。また、図６では、１つの個人情報生成装置５を示しているが、個人情報流通管理システムは、複数の個人情報生成装置５を含んでもよい。

第１の実施の形態では、個人情報利用装置２から個人情報の要求メッセージを受信した場合に、個人情報生成装置５がユーザの入力操作に従って個人情報及び個人情報送信ポリシを入力する場合を説明した。本実施の形態では、個人情報生成装置５は、予め個人情報及び個人情報送信ポリシを記憶装置に蓄積する。そして、個人情報の要求メッセージを受信した場合、個人情報生成装置５は、予め蓄積する個人情報及び個人情報送信ポリシを抽出し、処理を実行する。

図６に示すように、本実施の形態では、個人情報利用装置５が、図１に示した第１の実施の形態における個人情報利用装置１の構成要素に加えて、情報抽出手段１０１と、個人情報保管手段１０２とを含む点で、第１の実施の形態と異なる。

情報抽出手段１０１は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。情報抽出手段１０１は、送信交渉手段１３からの要求に基づいて、個人情報の要素と、その個人情報に対応する契約条件（個人情報送信ポリシ）とを取得する機能を備える。この場合、情報抽出手段１０１は、個人情報保管手段１０２に予め個人情報及び個人情報送信ポリシが蓄積されているか否かを判断する。個人情報生成者によって個人情報が個人情報生成装置５に既に登録されている場合、情報抽出手段１０１は、個人情報保管手段１０２から個人情報及び個人情報送信ポリシを抽出する。また、個人情報生成者によって個人情報が個人情報生成装置５に登録されていない場合、情報抽出手段１０１は、個人情報入力手段１１と契約情報入力手段１２とが、それぞれ、個人情報生成者の操作に従って入力した個人情報及び個人情報送信ポリシを入力する。

個人情報保管手段１０２は、具体的には、磁気ディスク装置等の記憶装置によって実現される。個人情報保管手段１０２は、個人情報生成者の入力操作に従って入力した個人情報と、その個人情報に対応する個人情報送信ポリシとを予め登録（保存）する。

なお、本実施の形態において、情報抽出手段１０１及び個人情報保管手段１０２以外の個人情報生成装置５の構成要素の機能は、第１の実施の形態で示したそれらの機能と同様である。また、個人情報利用装置２の機能は、第１の実施の形態で示した個人情報利用装置２の機能と同様である。

次に、動作について説明する。本実施の形態では、個人情報利用装置２から要求メッセージを受信した際に、個人情報生成装置５が個人情報を取得する処理が、第１の形態における個人情報取得処理と異なる。図７は、要求メッセージを受信した際に、個人情報生成装置５が個人情報を取得する個人情報取得処理の一例を示す流れ図である。

まず、第１の実施の形態で示したステップＳ１０１からステップＳ１０３までと同様の処理に従って、個人情報生成装置５は、個人情報利用装置２から要求メッセージを受信する。すると、送信交渉手段１３は、情報抽出手段１０１に対して、個人情報とその個人情報に対応する送信ポリシを要求する（ステップＳ３０１）。

情報抽出手段１０１は、最初に、個人情報保管手段１０２を検索し（ステップＳ３０２）、個人情報保管手段１０２に既に個人情報及び個人情報送信ポリシが保管されているか否か判断する（ステップＳ３０３）。個人情報及び個人情報送信ポリシが個人情報保管手段１０２に存在すると判断した場合、情報抽出手段１０１は、ステップＳ３０４の処理を実行せずに、そのままステップＳ３０５の処理に移行する。そして、情報抽出手段１０１は、ステップ個人情報保管手段１０２から個人情報カプセルを抽出し（ステップＳ３０５）、送信交渉手段１３に渡す。

ステップＳ０３で個人情報保管手段１０２に個人情報及び個人情報送信ポリシが保管されていないと判断した場合、情報抽出手段１０１は、表示装置に個人情報の入力要求を表示させる等して、ユーザに個人情報とその個人情報に対応する送信ポリシの入力を促す。この場合、個人情報入力手段１１及び契約情報入力手段１２は、それぞれ、ユーザの入力操作に従って、個人情報及び個人情報送信ポリシを入力する（ステップＳ３０４）。そして、情報抽出手段１０１は、個人情報入力手段１１及び契約情報入力手段１２から、それぞれ個人情報及び個人情報送信ポリシを入力し（ステップＳ３０５）、ユーザによって入力された情報を送信交渉手段１３に渡す。

なお、本実施の形態において、個人情報生成装置５が個人情報カプセルを生成して個人情報利用装置２に送信する処理、及びエラーメッセージを個人情報利用装置２に返す処理は、第１の実施の形態で示したステップＳ１０５からステップＳ１１４までの処理と同様である。また、本実施の形態において、送信情報作成手段１５は、個人情報カプセルを作成すると、送信手段１６が個人情報利用装置２に送信する前に、個人情報保管手段１０２に記憶させる。

以上のように、本実施の形態によれば、個人情報生成装置５が予め個人情報を保管管理する。そして、個人情報生成装置５は、個人情報保管手段１０２に保管している情報を用いて、個人情報利用装置２と個人情報送信に関する交渉を行う。そのため、個人情報生成装置５は、予め保存する個人情報を、安全、柔軟且つ迅速に流通させることができる。

実施の形態４．
次に、本発明の第４の実施の形態について図面を参照して説明する。図８は、個人情報流通管理システムの更に他の構成例を示すブロック図である。図８に示すように、本実施の形態において、個人情報流通管理システムは、個人情報生成装置６と、２つの個人情報利用装置７，８とを含む。なお、個人情報生成装置６と各個人情報生成装置６，７とは、例えば、ＬＡＮやインターネット等の通信ネットワークを介して接続される。

第１の実施の形態から第３の実施の形態では、個人情報利用装置からの要求に応じて、個人情報生成装置から個人情報利用装置に個人情報を送信する場合を説明した。本実施の形態では、個人情報生成装置から個人情報利用装置に個人情報を一度流通させた後に、個人情報利用装置が保管する個人情報を更新する必要が生じた場合に、個人情報生成装置からの要求に従って、個人情報利用装置が個人情報を更新する場合を説明する。

図８に示すように、本実施の形態では、個人情報利用装置６が、図４に示した第２の実施の形態における個人情報利用装置１の構成要素に加えて、送信先入力手段１００１を含む点で、第２の実施の形態と異なる。また、本実施の形態では、個人情報利用装置７が、図４に示した第２の実施の形態における個人情報利用装置４の構成要素に加えて、情報管理ポリシ保管手段２００１と、送信決定手段２００２とを含む点で、第２の実施の形態と異なる。また、本実施の形態では、個人情報利用装置８が、図４に示した第２の実施の形態における個人情報利用装置３の構成要素に加えて、情報管理ポリシ保管手段３００１を含む点で、第２の実施の形態と異なる。また、本実施の形態では、送信交渉手段１３Ａ、受信交渉手段２２Ａ、送信交渉手段２６Ａ及び受信交渉手段３２Ａの機能が、第２の実施の形態で示したそれらの機能と異なる。

送信先入力手段１００１は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びマウスやキーボード等の入力装置によって実現される。送信先入力手段１００１は、個人情報生成者の入力操作に従って、個人情報カプセルを送信する装置を指定する指定情報（例えば、ＩＰアドレス等の識別情報）を入力する機能を備える。すなわち、送信先入力手段１００１は、個人情報生成者の操作に従って、個人情報の送信先を入力する。本実施の形態では、一度個人情報利用装置７に個人情報を流通させた後に個人情報を更新する必要が生じた場合に、送信先入力手段１００１は、個人情報生成者の入力操作に従って、個人情報カプセルを送信する個人情報利用装置の指定情報を入力する。

また、本実施の形態において、送信交渉手段１３Ａは、契約情報入力手段１２が入力した個人情報送信ポリシに基づいて、更新後の個人情報の受信を要求する旨の受信要求メッセージを生成する機能を備える。また、送信交渉手段１３Ａは、生成した受信要求メッセージを、通信ネットワークを介して個人情報利用装置７に送信する機能を備える。また、送信交渉手段１３Ａは、受信交渉手段２２Ａから受信した照合結果に基づいて、契約情報を生成する機能を備える。

情報管理ポリシ保管手段２００１は、具体的には、磁気ディスク装置等の記憶装置によって実現される。情報管理ポリシ保管手段２００１は、受信交渉手段２２Ａが個人情報生成装置６から個人情報カプセルの受信要求（受信要求メッセージ）を受信したときに、個人情報カプセルを受け取って管理するため条件を示すポリシ（情報管理ポリシという）を予め記憶する。すなわち、本実施の形態において、情報管理ポリシ保管手段２００１は、個人情報の受信制限を示す制限情報を予め記憶する。なお、情報管理ポリシ保管手段２００１が予め記憶する情報管理ポリシは、例えば、個人情報利用装置７を管理する管理者によって予め作成され、情報管理ポリシ保管手段２００１に蓄積される。

また、本実施の形態において、受信交渉手段２２Ａは、個人情報生成装置６から受信要求メッセージを受信すると、情報管理ポリシ保管手段２００１から情報管理ポリシを抽出する機能を備える。また、受信交渉手段２２Ａは、受信要求メッセージの個人情報送信ポリシと、抽出した情報管理ポリシとを照合する機能を備える。また、受信交渉手段２２Ａは、個人情報送信ポリシと情報管理ポリシとの照合結果を、通信ネットワークを介して送信交渉手段１３Ａに送信する機能を備える。

送信決定手段２００２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。送信決定手段２００２は、個人情報利用装置７が、いずれの個人情報利用装置８に、個人情報カプセルを再配布するかを決定する機能を備える。この送信決定手段２００２が再配布先の決定処理を行うことにより、個人情報の送信先と、送信対象の個人情報カプセルとが決定される。すなわち、本実施の形態において、送信決定手段２００２は、個人情報を個人情報利用装置７とは異なる個人情報利用装置８に転送するか否かを決定し、個人情報を転送する転送先を決定する。

また、本実施の形態において、送信交渉手段２６Ａは、契約照合手段２０２が生成した装置間ポリシに基づいて、個人情報利用装置８に更新後の個人情報の受信を要求する旨の装置間受信要求メッセージを生成する機能を備える。また、送信交渉手段２６Ａは、生成した装置間受信要求メッセージを、通信ネットワークを介して個人情報利用装置８に送信する機能を備える。また、送信交渉手段２６Ａは、受信交渉手段３２Ａから受信した照合結果に基づいて、装置間契約情報を生成する機能を備える。

情報管理ポリシ保管手段３００１は、具体的には、磁気ディスク装置等の記憶装置によって実現される。情報管理ポリシ保管手段３００１は、受信交渉手段３２Ａが個人情報利用装置７から装置間受信要求メッセージを受信したときに、個人情報カプセルを受け取って管理するため条件を示すポリシ（情報管理ポリシ）を予め記憶する。なお、情報管理ポリシ保管手段３００１が予め記憶する情報管理ポリシは、例えば、個人情報利用装置８を管理する管理者によって予め作成され、情報管理ポリシ保管手段３００１に蓄積される。

また、本実施の形態において、受信交渉手段３２Ａは、個人情報利用装置７から装置間受信要求メッセージを受信すると、情報管理ポリシ保管手段３００１から情報管理ポリシを抽出する機能を備える。また、受信交渉手段３２Ａは、装置間受信要求メッセージの個人情報送信ポリシと、抽出した情報管理ポリシとを照合する機能を備える。また、受信交渉手段３２Ａは、個人情報送信ポリシと情報管理ポリシとの照合結果を、通信ネットワークを介して送信交渉手段２６Ａに送信する機能を備える。

なお、本実施の形態において、送信先入力手段１００１及び送信交渉手段１３Ａ以外の個人情報生成装置６の構成要素の基本的な機能は、第２の実施の形態で示したそれらの機能と同様である。また、情報管理ポリシ保管手段２００１、受信交渉手段２２Ａ、送信交渉手段２６Ａ及び送信決定手段２００２以外の個人情報利用装置７の構成要素の基本的な機能は、第２の実施の形態で示したそれらの機能と同様である。更に、情報管理ポリシ保管手段３００１及び受信交渉手段３２Ａ以外の個人情報利用装置８の構成要素の基本的な機能は、第２の実施の形態で示したそれらの機能と同様である。

次に、動作について説明する。図９は、個人情報生成装置と個人情報利用装置との間で、個人情報を流通させ管理する処理の他の例を示す流れ図である。まず、個人情報入力手段１１及び契約情報入力手段１２は、個人情報作成者の入力操作に従って、それぞれ、個人情報及び契約情報を規定するための送信ポリシ（個人情報送信ポリシ）を入力する。この場合、本実施の形態では、個人情報入力手段１１は、更新後の個人情報を入力する。また、送信先入力手段１００１は、個人情報作成者の入力操作に従って、個人情報を送信する利用装置を指定する指定情報（送信先情報ともいう）を入力する（ステップＳ４０１）。

なお、個人情報を送信する送信先は、送信先入力手段１００１が、個人情報生成者の入力操作に従って直接入力するのでなく、個人情報生成装置６が、自動的に決定してもよい。この場合、例えば、個人情報生成装置６は、過去に個人情報カプセルを送信した個人情報利用装置の識別情報を記憶し、記憶する識別情報に従って送信先を決定し、送信先情報を生成してもよい。

この送信先情報は、個人情報送信ポリシに記載されている利用可能な装置（流通範囲）の情報と異なる情報であり、個人情報生成装置６が個人情報を直接送信する装置を指定するための情報である。

送信先情報、更新後の個人情報、及び契約情報を規定するための送信ポリシを入力すると、送信交渉手段１３Ａは、個人情報利用装置７に対して、個人情報の受信を要求するための受信要求メッセージを作成する（ステップＳ４０２）。そして、送信交渉手段１３は、生成した受信要求メッセージを、通信ネットワークを介して個人情報利用装置７に送信する。また、個人情報利用装置７の受信交渉手段２２Ａは、個人情報生成装置６から、受信要求メッセージを受信する（ステップＳ４０３）。

受信要求メッセージを受信すると、受信交渉手段２２Ａは、情報管理ポリシ保管手段２００１から、情報管理ポリシを抽出する（ステップＳ４０４）。本実施の形態において、情報管理ポリシは、個人情報利用装置７が保有可能な個人情報の要素と、その個人情報の利用目的を規定したポリシである。また、情報管理ポリシは、個人情報利用装置７の管理者によって予め設定され、情報管理ポリシ保管手段２００１に記憶される。

受信交渉手段２２Ａは、抽出した情報管理ポリシと、受信した受信要求メッセージの内容（個人情報送信ポリシ）とを照合する（ステップＳ４０５）。この場合、受信交渉手段２２Ａは、照合結果に基づいて、受信要求メッセージを受け入れ可能であるか否かを判断する（ステップＳ４０６）。受信要求メッセージを受け入れ可能であると判断した場合、受信交渉手段２２Ａは、要求を受け入れ可能である旨を伝えるためのメッセージを作成する。そして、受信交渉手段２２Ａは、作成したメッセージを、通信ネットワークを介して個人情報生成装置６に送信する（ステップＳ４０７）。

個人情報交渉手段１３Ａは、個人情報利用装置７からメッセージを受信すると、個人情報送信ポリシに基づいて契約情報を生成する。また、送信交渉手段１３Ａは、交渉結果記録手段に、送信ポリシや生成した契約情報を登録する。また、送信情報作成手段１５は、契約情報に基づいて、個人情報カプセルを生成する（ステップＳ４０８）。

また、個人情報生成装置６は、生成した個人情報カプセルを個人情報利用装置７に送信し（ステップＳ４０９）、個人情報利用装置７は、個人情報カプセルを受信し保存する（ステップＳ４１０〜Ｓ４１２）。なお、個人情報生成装置６から個人情報利用装置７に情報カプセルを送信し保存する処理は、第１の実施の形態で示したステップＳ１０８からステップＳ１１１までの処理と同様である。

また、ステップＳ４０６において、受信要求メッセージを受け入れできないと判断した場合、受信交渉手段２２Ａは、要求を受け入れ不可能である旨を伝えるためのメッセージ（通知情報）を作成する。そして、受信交渉手段２２Ａは、作成したメッセージを、通信ネットワークを介して個人情報生成装置６に送信する（ステップＳ４１３）。

個人情報生成装置６の送信交渉手段１３Ａは、メッセージを受信すると、新たに受信要求メッセージを作成可能であるか否かを判断する（ステップＳ４１４）。例えば、送信交渉手段１３Ａは、表示装置に、個人情報の入力を拒否された旨を表示し、ユーザに新たな送信先や送信ポリシの入力を促す。そして、新たな送信先や送信ポリシの入力操作がなされると、送信交渉手段１３Ａは、新たな受信要求メッセージの作成が可能であると判断する。

新たな受信要求メッセージの作成が可能であると判断した場合、個人情報生成装置６は、再びステップＳ４０１の処理に戻り、ステップＳ４０１以降の処理が繰り返し実行される。新たな受信メッセージの作成が不可能であると判断した場合、個人情報生成装置６は、そのまま処理を終了する（ステップＳ４１５）。

以上のように、本実施の形態によれば、送信先入力手段１００１を用いて送信先を入力し、個人情報生成装置６側からの要求に従って個人情報の送信を決定することができる。そのため、個人情報生成装置６は、他の個人情報利用装置からの個人情報の送信要求を受動的に待つのでなく、自らの情報管理ポリシや契約情報に基づいて、個人情報利用装置に個人情報を流通させることができる。

実施の形態５．
次に、本発明の第５の実施の形態について図面を参照して説明する。図１０は、個人情報流通管理システムの更に他の構成例を示すブロック図である。図１０に示すように、本実施の形態において、個人情報流通管理システムは、個人情報生成装置１と、個人情報利用装置９とを含む。なお、個人情報生成装置１と個人情報利用装置９とは、例えば、インターネット等の通信ネットワークを介して接続される。

図１０に示すように、本実施の形態では、個人情報利用装置９が、図１に示した第１の実施の形態における個人情報利用装置２の構成要素に加えて、保管個人情報開示手段２１０１及び利用結果開示手段２１０２を含む点で、第１の実施の形態と異なる。

保管個人情報開示手段２１０１は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。保管個人情報開示手段２１０１は、個人情報生成者の要求に基づいて、個人情報保管手段２５が管理する個人情報を個人情報生成者に提示する機能を備える。すなわち、本実施の形態において、保管個人情報開示手段２１０１は、個人情報保管手段２５が保存する個人情報カプセルを、個人情報生成装置１に開示する。

具体的には、保管個人情報開示手段２１０１は、個人情報生成装置１からの要求に従って、個人情報保管手段２５から個人情報を抽出し、通信ネットワークを介して個人情報生成装置１に送信する。また、保管個人情報開示手段２１０１は、個人情報生成装置１からの要求に従って、交渉結果記録手段２３から、送信交渉手段１３と受信交渉手段２２との間の交渉の履歴情報を抽出する。そして、保管個人情報開示手段２１０１は、抽出した履歴情報を、通信ネットワークを介して個人情報生成装置１に送信する。すると、個人情報生成装置１は、受信した個人情報や履歴情報を表示装置に表示することによって、個人情報生成者に提示する。

利用結果開示手段２１０２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ、及びネットワークインタフェース部によって実現される。利用結果開示手段２１０２は、個人情報生成者の要求に基づいて、交渉結果記録手段２７又は交渉結果記録手段２９２が管理する個人情報利用履歴を個人情報生成者に提示する機能を備える。すなわち、本実施の形態において、利用結果開示手段２１０２は、交渉結果記録手段２７又は交渉結果記録手段２９２が保存する処理結果を、個人情報生成装置１に開示する。

具体的には、利用結果開示手段２１０２は、個人情報生成装置１からの要求に従って、交渉結果記録手段２７又は交渉結果記録手段２９２から個人情報利用履歴を抽出し、通信ネットワークを介して個人情報生成装置１に送信する。すると、個人情報生成装置１は、受信した個人情報利用履歴を表示装置に表示することによって、個人情報生成者に提示する。

以上のように、本実施の形態によれば、保管個人情報開示手段２１０１と利用結果開示手段２１０２とを用いて、個人情報の利用状況や管理状況を個人情報生成者が確認することができる。そのため、個人情報のもち主である個人（個人情報生成者）と、個人情報を管理する個人情報利用装置側との両方に、安心感を与えることができる。

実施の形態６．
次に、本発明の第６の実施の形態について図面を参照して説明する。図１１は、個人情報流通管理システムの更に他の構成例を示すブロック図である。図１１に示すように、本実施の形態において、個人情報流通管理システムは、個人情報生成装置１ａ及び個人情報利用装置２ａを備える。なお、個人情報生成装置１ａと個人情報利用装置２ａとは、例えば、インターネット等の通信ネットワークを介して接続される。

個人情報生成装置１ａは、具体的には、ワークステーションやパーソナルコンピュータ等の情報処理装置である。本実施の形態において、個人情報生成装置１ａは、例えば、個人情報を生成し提供するための個人情報生成プログラム１ｂを記憶媒体（例えば、ＣＤ−ＲＯＭ）から読み込む。例えば、個人情報生成装置１ａは、コンピュータに、個人情報を利用する個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して個人情報利用装置から受信する処理と、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、受信した受信ポリシとを照合し、個人情報利用装置に提供可能な個人情報の選択条件を決定する処理と、決定した選択条件に従って、個人情報を選択する処理と、選択した個人情報を、通信ネットワークを介して個人情報利用装置に送信する処理とを実行させる個人情報生成プログラム（個人情報提供プログラム）１ｂを読み込む。そして、個人情報生成装置１ａは、読み込んだ個人情報生成プログラムに従って処理を実行する。

本実施の形態では、個人情報生成装置１ａは、個人情報生成プログラム１ｂに従って、個人情報利用装置２ａと個人情報利用に関する交渉を行う処理を実行し、個人情報カプセルを個人情報利用装置２ａに送信する。なお、個人情報生成装置１ａは、個人情報生成プログラム１ｂに従って、第１の実施の形態から第５の実施の形態に示したいずれかの個人情報生成装置１，５，６の処理と同様の処理を実行する。

個人情報利用装置２ａは、具体的には、ワークステーションやパーソナルコンピュータ等の情報処理装置である。本実施の形態において、個人情報利用装置２ａは、例えば、個人情報を利用する処理を実行するための個人情報利用プログラム２ｂを記憶媒体から読み込む。例えば、個人情報利用装置２ａは、コンピュータに、受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信する処理と、個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する処理と、受信した個人情報カプセルを保存する処理とを実行させる個人情報利用プログラムを読み込む。そして、個人情報利用装置２ａは、読み込んだ個人情報利用プログラムに従って処理を実行する。

本実施の形態では、個人情報利用装置２ａは、個人情報利用プログラムｂ２に従って、個人情報生成装置１ａと個人情報流通に関する交渉を行う処理を実行し、個人情報生成装置１ａから個人情報カプセルを受信し、個人情報の利用を可能とする。なお、個人情報利用装置２ａは、個人情報利用プログラム２ｂに従って、第１の実施の形態から第５の実施の形態に示したいずれかの個人情報利用装置２，３，４，７，８，９の処理と同様の処理を実行する。

次に、本発明の実施例を図面を参照して説明する。図１２は、個人情報流通管理システムの具体例を示す説明図である。なお、図１２に示す個人情報流通管理システムは、第１の実施の形態から第６の実施の形態に示したいずれかの個人情報流通管理システムに相当する。

本実施例では、図１２に示すように、個人情報流通管理システムを、ユーザとサポートセンタとの間において個人情報を流通させるシステムに適用する場合を説明する。本実施例では、ユーザ、オペレータ及び専門部門（例えば、機器の修理等を行う技術部門の担当者）が、それぞれユーザの個人情報を取り扱う。例えば、ユーザは、ＰＣ（パーソナルコンピュータ）の修理等のサービスを依頼するため、自分の個人情報カプセルをサポートセンタに提供する。そして、サポートセンタは、個人情報カプセルに基づいた修理サービスをユーザに提供する。

図１２に示すように、本実施例において、個人情報流通管理システムは、ユーザ端末と、オペレータ端末と、専門部門端末とを含む。図１２において、ユーザ端末は、個人情報生成装置に相当する。また、オペレータ端末は、個人情報利用装置に相当する。更に、専門部門端末は、オペレータ端末とは別の個人情報利用装置に相当する。

まず、ユーザ端末は、ユーザの操作に従って、サポートセンタのオペレータ端末に、個人情報カプセルを提供（送信）する。例えば、ユーザ端末は、個人情報として、ユーザ名や住所、電話番号等の情報だけでなく、ユーザのＰＣの不具合に関する情報を送信する。ユーザ端末は、ユーザの操作に従って、個人情報と送信ポリシとを入力し、ユーザ端末とオペレータ端末との間で契約情報を生成する。ユーザ端末は、入力したデータと契約情報とに基づいて個人情報カプセルを生成し、通信ネットワークを介してオペレータ端末に送信する。

オペレータ端末は、ユーザ端末から個人情報カプセルを受信し保管する。また、オペレータ端末は、個人情報カプセルから個人情報を抽出し、ユーザサポート業務のために利用する。また、オペレータ端末は、個人情報を利用する際に、契約情報に基づいて、個人情報の利用目的が契約内容に合致していることを確認する。

ユーザサポート業務を行う場合、オペレータ端末は、例えば、個人情報と予め蓄積するサポート情報とを照合して、オペレータが処理できる業務内容であるか否かを判断する。オペレータが処理できる内容であると判断すると、オペレータ端末は、オペレータの操作に従ってユーザに対して各種サービスを提供する。

個人情報を利用して判断した結果、ユーザが抱えている問題にオペレータが対応できないと判断した場合、オペレータ端末は、オペレータの操作に従って専門部門端末にサービスを依頼する。この場合、オペレータ端末と専門部門端末との間で、個人情報の送受信が行われる。オペレータ端末がユーザの個人情報を転送する場合、オペレータ端末自身が保持している送信ポリシと個人情報カプセルに含まれる契約情報とに従って、個人情報を専門部門端末に転送する。また、専門部門端末に個人情報を転送する場合、オペレータと専門部門とが個人情報に関する装置間契約情報を作成する。そして、オペレータ端末は、作成した装置間契約情報に基づいて、転送対象の個人情報を個人情報カプセルに加工する。

専門部門端末は、オペレータ端末から個人情報カプセルを受信する。また、専門部門端末は、個人情報カプセルに含まれる装置間契約情報を確認し、装置間契約情報に基づいて専門窓口が個人情報を利用可能であるかを確認する。個人情報を利用可能であると判断すると、専門部門端末は、専門部門の担当者の操作に従って、個人情報を利用しながらユーザに対するサービス提供を行う。

また、ユーザ端末からオペレータ端末に個人情報を流通させた後に、個人情報を更新する場合、ユーザ端末は、ユーザの操作に従って、更新後の個人情報及び送信先情報を入力する。また、ユーザ端末は、ユーザ端末とオペレータ端末との交渉結果に従って、送信先情報で指定されるオペレータ端末に、更新後の個人情報を送信する。すると、オペレータ端末は、受信した情報に基づいて、保管する個人情報を更新する。

本発明によれば、個人情報を必要とするサービスを提供するために、個人情報をユーザ端末からネットワーク上のサーバに流通させる用途に適用できる。また、グループウェア等を利用したグループにおいて、個人情報を共有する用途にも適用可能である。

本発明による個人情報流通管理システムの構成の一例を示すブロック図である。 個人情報カプセルの一例を示す説明図である。 個人情報生成装置と個人情報利用装置との間で、個人情報を流通させ管理する処理の一例を示す流れ図である。 個人情報流通管理システムの他の構成例を示すブロック図である。 個人情報利用装置４から別の個人情報利用装置３に個人情報を流通させる処理の一例を示す流れ図である。 個人情報流通管理システムの更に他の構成例を示すブロック図である。 要求メッセージを受信した際に、個人情報生成装置５が個人情報を取得する個人情報取得処理の一例を示す流れ図である。 個人情報流通管理システムの更に他の構成例を示すブロック図である。 個人情報生成装置と個人情報利用装置との間で、個人情報を流通させ管理する処理の他の例を示す流れ図である。 個人情報流通管理システムの更に他の構成例を示すブロック図である。 個人情報流通管理システムの更に他の構成例を示すブロック図である。 個人情報流通管理システムの具体例を示す説明図である。 Ｐ３Ｐ技術を利用した個人情報交換方式を示す説明図である。

符号の説明

１，５，６ 個人情報生成装置
２、３，４，７，８，９ 個人情報利用装置
１１ 個人情報入力手段
１２ 契約情報入力手段
１３，１３Ａ 送信交渉手段
１４ 交渉結果記録手段
１５ 送信情報作成手段
１６ 送信手段
２１，３１ 個人情報要求手段
２２，２２Ａ，３２，３２Ａ 受信交渉手段
２３，３３ 交渉結果記録手段
２４，３４ 受信手段
２５，３５ 個人情報保管手段
２６，２６Ａ 送信交渉手段
２７ 交渉結果記録手段
２８ 送信情報作成手段
２９ 個人情報利用部
１０１ 情報抽出手段
１０２ 個人情報保管手段
２０１ 送信ポリシ保管手段
２０２ 契約合成手段
２０３ 情報抽出手段
２０４ 送信手段
２９１ 利用交渉手段
２９２ 交渉結果保管手段
２９３ 利用手段
１００１ 送信先入力手段
２００１ 情報管理ポリシ保管手段
２００２ 送信決定手段
２１０１ 保管個人情報開示手段
２１０２ 利用結果開示手段
３００１ 情報管理ポリシ保管手段
ａ１ 個人情報生成装置
ａ２ 個人情報利用装置
ｂ１ 個人情報生成プログラム
ｂ２ 個人情報利用プログラム

Claims (31)

1. 個人情報を提供する個人情報提供装置と、
   個人情報を利用する個人情報利用装置とを備え、
   前記個人情報利用装置は、
   当該個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して前記個人情報提供装置に送信する受信条件送信手段と、
   前記個人情報提供装置は、
   個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、前記個人情報利用装置から受信した受信ポリシとを照合し、前記個人情報利用装置に提供可能な個人情報の選択条件を決定する選択条件決定手段と、
   前記個人情報抽出条件決定手段が決定した選択条件に従って選択した個人情報と、前記選択条件決定手段が決定した選択条件とをカプセル化した情報である個人情報カプセルを生成するカプセル生成手段と、
   前記カプセル生成手段が生成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する個人情報送信手段とを含む
2. 個人情報利用装置は、
   受信ポリシを予め記憶する受信ポリシ記憶手段と、
   前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報受信手段と、
   前記個人情報受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段とを含み、
   受信ポリシ送信手段は、前記受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して個人情報提供装置に送信する
   請求項１記載の個人情報流通管理システム。
3. 個人情報利用装置は、
   当該個人情報利用装置が個人情報を利用する利用条件と、個人情報カプセル保存手段が保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する利用可能条件決定手段と、
   前記利用可能条件決定手段が決定した選択条件に従って、前記個人情報カプセルに含まれる個人情報を選択する利用可能情報選択手段と、
   前記利用可能情報選択手段が選択した個人情報を利用する個人情報利用手段とを含む
   請求項２記載の個人情報流通管理システム。
4. 個人情報を提供する個人情報提供装置と、
   個人情報を利用する個人情報利用装置とを備え、
   前記個人情報提供装置は、
   流通対象の個人情報を入力する個人情報入力手段と、
   前記個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力するポリシ入力手段と、
   前記個人情報入力手段が入力した個人情報と、前記ポリシ入力手段が入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する契約情報生成手段と、
   前記契約情報生成手段が生成した契約情報を保存する記録手段と、
   前記契約情報生成手段が生成した契約情報に基づいて、前記個人情報と前記契約情報とをカプセル化した個人情報カプセルを生成するカプセル作成手段と、
   前記カプセル作成手段が作成した個人情報カプセルを、通信ネットワークを介して前記個人情報利用装置に送信する送信手段とを含み、
   前記個人情報利用装置は、
   個人情報の要求内容を決定するためのポリシを記憶する要求ポリシ記憶手段と、
   前記要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して前記個人情報提供装置に送信する要求メッセージ送信手段と、
   前記要求メッセージ送信手段の処理の結果に基づいて、契約情報を保存する契約情報記録手段と、
   前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報カプセル受信手段と、
   前記個人情報カプセル受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段と、
   個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する照合手段と、
   前記照合手段の照合結果を保存する照合結果記録手段と、
   前記照合手段の照合結果に基づいて、利用する個人情報を制限する情報制限手段と、
   個人情報の利用に関する情報を前記照合手段に出力し、前記照合手段との間で個人情報の利用に関する合意を形成する合意形成手段と、
   前記合意形成手段の処理結果を保存する処理結果記録手段と、
   個人情報カプセルに含まれる個人情報を利用する利用手段とを含む
   ことを特徴とする個人情報流通管理システム。
5. 個人情報利用装置は、
   個人情報カプセルの転送を管理するための送信ポリシを保存する送信ポリシ保存手段と、
   前記個人情報カプセルに含まれる個人情報と、前記送信ポリシ保存手段が保存する情報とに基づいて、前記個人情報に含まれる情報のうち、転送先に送信する情報を抽出する情報抽出手段と、
   前記個人情報カプセルに含まれる契約情報から、前記送信ポリシ保存手段が保存する情報に基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する制限情報生成手段とを含む
   請求項４記載の個人情報流通管理システム。
6. 個人情報提供装置は、
   個人情報生成者によって入力された個人情報と、前記個人情報生成者によって入力された前記個人情報に対応するポリシとを予め保存する個人情報保存手段と、
   契約情報生成手段からの要求に基づいて、前記個人情報保存手段を検索し、前記個人情報保存手段から、個人情報と前記個人情報に対応するポリシとを抽出する情報抽出手段とを含む
   請求項４又はは請求項５記載の個人情報流通管理システム。
7. 個人情報提供装置は、個人情報生成者の操作に従って、個人情報の送信先を入力する送信先入力手段を含み、
   個人情報利用装置は、
   個人情報の受信制限を示す制限情報を予め記憶する制限情報記憶手段と、
   個人情報を当該個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する送信決定手段とを含み、
   送信手段は、前記送信先入力手段が入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信する
   請求項４から請求項６のうちのいずれか１項に記載の個人情報流通管理システム。
8. 個人情報利用装置は、
   個人情報カプセル保存手段が保存する個人情報カプセルを、個人情報提供装置に開示する個人情報開示手段と、
   処理結果記録手段が保存する処理結果を、前記個人情報提供装置に開示する処理結果開示手段とを含み、
   前記個人情報開示手段は、個人情報保存手段が保存する個人情報カプセルを、通信ネットワークを介して前記個人情報提供装置に送信することによって開示し、
   前記処理結果開示手段は、処理結果記録手段が保存する処理結果を、通信ネットワークを介して前記個人情報提供装置に送信することによって開示する
   請求項４から請求項７のうちのいずれか１項に記載の個人情報流通管理システム。
9. 個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を提供する個人情報提供装置であって、
   個人情報を利用する個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して前記個人情報利用装置から受信する受信条件受信手段と、
   個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、前記受信条件受信手段が受信した受信ポリシとを照合し、前記個人情報利用装置に提供可能な個人情報の選択条件を決定する選択条件決定手段と、
   前記選択条件決定手段が決定した選択条件に従って選択した個人情報と、前記選択条件決定手段が決定した選択条件とをカプセル化した情報である個人情報カプセルを生成するカプセル生成手段と、
   前記カプセル生成手段が生成した個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する個人情報送信手段とを備えた
   ことを特徴とする個人情報提供装置。
10. 個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を提供する個人情報提供装置であって、
    流通対象の個人情報を入力する個人情報入力手段と、
    前記個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力するポリシ入力手段と、
    前記個人情報入力手段が入力した個人情報と、前記ポリシ入力手段が入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する契約情報生成手段と、
    前記契約情報生成手段が生成した契約情報を保存する記録手段と、
    前記契約情報生成手段が生成した契約情報に基づいて、前記個人情報と前記契約情報とをカプセル化した個人情報カプセルを生成するカプセル作成手段と、
    前記カプセル作成手段が作成した個人情報カプセルを、通信ネットワークを介して前記個人情報利用装置に送信する送信手段とを備えた
    ことを特徴とする個人情報提供装置。
11. 個人情報生成者によって入力された個人情報と、前記個人情報生成者によって入力された前記個人情報に対応するポリシとを予め保存する個人情報保存手段と、
    契約情報生成手段からの要求に基づいて、前記個人情報保存手段を検索し、前記個人情報保存手段から、個人情報と前記個人情報に対応するポリシとを抽出する情報抽出手段とを備えた
    請求項１０記載の個人情報提供装置。
12. 個人情報生成者の操作に従って、個人情報の送信先を入力する送信先入力手段を備え、
    送信手段は、前記送信先入力手段が入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信する
    請求項１０又は請求項１１記載の個人情報提供装置。
13. 個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を利用する個人情報利用装置であって、
    受信ポリシを予め記憶する受信ポリシ記憶手段と、
    前記受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信する受信ポリシ送信手段と、
    前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報受信手段と、
    前記個人情報受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段とを備えた
    ことを特徴とする個人情報利用装置。
14. 個人情報利用装置が個人情報を利用する利用条件と、個人情報カプセル保存手段が保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する利用可能条件決定手段と、
    前記利用可能条件決定手段が決定した選択条件に従って、前記個人情報カプセルに含まれる個人情報を選択する利用可能情報選択手段と、
    前記利用可能情報選択手段が選択した個人情報を利用する個人情報利用手段とを備えた
    請求項１３記載の個人情報利用装置。
15. 個人情報の流通を管理する個人情報流通管理システムにおける、個人情報を利用する個人情報利用装置であって、
    個人情報の要求内容を決定するためのポリシを記憶する要求ポリシ記憶手段と、
    前記要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して前記個人情報提供装置に送信する要求メッセージ送信手段と、
    前記要求メッセージ送信手段の処理の結果に基づいて、契約情報を保存する契約情報記録手段と、
    前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する個人情報カプセル受信手段と、
    前記個人情報カプセル受信手段が受信した個人情報カプセルを保存する個人情報カプセル保存手段と、
    個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する照合手段と、
    前記照合手段の照合結果を保存する照合結果記録手段と、
    前記照合手段の照合結果に基づいて、利用する個人情報を制限する情報制限手段と、
    個人情報の利用に関する情報を前記照合手段に出力し、前記照合手段との間で個人情報の利用に関する合意を形成する合意形成手段と、
    前記合意形成手段の処理結果を保存する処理結果記録手段と、
    個人情報カプセルに含まれる個人情報を利用する利用手段とを備えた
    ことを特徴とする個人情報利用装置。
16. 個人情報カプセルの転送を管理するための送信ポリシを保存する送信ポリシ保存手段と、
    前記個人情報カプセルに含まれる個人情報と、前記送信ポリシ保存手段が保存する情報とに基づいて、前記個人情報に含まれる情報のうち、転送先に送信する情報を抽出する情報抽出手段と、
    前記個人情報カプセルに含まれる契約情報から、前記送信ポリシ保存手段が保存する情報に基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する制限情報生成手段とを備えた
    請求項１５記載の個人情報利用装置。
17. 個人情報の受信制限を示す制限情報を予め記憶する制限情報記憶手段と、
    個人情報を当該個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する送信決定手段とを備えた
    請求項１５又は請求項１６記載の個人情報利用装置。
18. 個人情報カプセル保存手段が保存する個人情報カプセルを、個人情報提供装置に開示する個人情報開示手段と、
    処理結果記録手段が保存する処理結果を、前記個人情報提供装置に開示する処理結果開示手段とを備え、
    前記個人情報開示手段は、個人情報保存手段が保存する個人情報カプセルを、通信ネットワークを介して前記個人情報提供装置に送信することによって開示し、
    前記処理結果開示手段は、処理結果記録手段が保存する処理結果を、通信ネットワークを介して前記個人情報提供装置に送信することによって開示する
    請求項１５から請求項１７のうちのいずれか１項に記載の個人情報利用装置。
19. 個人情報を利用する個人情報利用装置が、当該個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信するステップと、
    前記個人情報提供装置が、個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、前記個人情報利用装置から受信した受信ポリシとを照合し、前記個人情報利用装置に提供可能な個人情報の選択条件を決定するステップと、
    前記個人情報提供装置が、決定した前記選択条件に従って、個人情報を選択するステップと、
    前記個人情報提供装置が、選択した前記個人情報を、通信ネットワークを介して前記個人情報利用装置に送信するステップとを含む
    ことを特徴とする個人情報流通管理方法。
20. 個人情報を提供する個人情報提供装置が、流通対象の個人情報を入力するステップと、
    前記個人情報提供装置が、前記個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力するステップと、
    前記個人情報提供装置が、入力した前記個人情報と、入力した流通に関する規定を示すポリシとに基づいて、個人情報を利用する、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成するステップと、
    前記個人情報提供装置が、生成した前記契約情報を保存するステップと、
    前記個人情報提供装置が、生成した前記契約情報に基づいて、前記個人情報と前記契約情報とをカプセル化した個人情報カプセルを生成するステップと、
    前記個人情報提供装置が、作成した前記個人情報カプセルを、通信ネットワークを介して前記個人情報利用装置に送信するステップと、
    前記個人情報利用装置が、個人情報の要求内容を決定するためのポリシを予め記憶するステップと、
    前記個人情報利用装置が、予め記憶したポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して前記個人情報提供装置に送信するステップと、
    前記個人情報利用装置が、前記メッセージの送信処理の結果に基づいて、契約情報を保存するステップと、
    前記個人情報利用装置が、前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信するステップと、
    前記個人情報利用装置が、受信した前記個人情報カプセルを保存するステップと、
    前記個人情報利用装置が、個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合するステップと、
    前記個人情報利用装置が、前記契約情報の照合結果を保存するステップと、
    前記個人情報利用装置が、前記照合結果に基づいて、利用する個人情報を制限するステップと、
    前記個人情報利用装置が、個人情報の利用に関する情報を出力し、個人情報の利用に関する合意を形成するステップと、
    前記個人情報利用装置が、前記合意を形成する処理の処理結果を保存するステップと、
    前記個人情報利用装置が、個人情報カプセルに含まれる個人情報を利用するステップとを含む
    ことを特徴とする個人情報流通管理方法。
21. 個人情報を利用する個人情報利用装置に、個人情報を提供するための個人情報提供プログラムであって、
    コンピュータに、
    個人情報を利用する個人情報利用装置が個人情報を受信する場合の受信条件を示す受信ポリシを、通信ネットワークを介して前記個人情報利用装置から受信する処理と、
    個人情報を個人情報利用装置に送信する場合の送信条件を示す送信ポリシと、受信した前記受信ポリシとを照合し、前記個人情報利用装置に提供可能な個人情報の選択条件を決定する処理と、
    決定した前記選択条件に従って、個人情報を選択する処理と、
    選択した前記個人情報を、通信ネットワークを介して前記個人情報利用装置に送信する処理とを
    実行させる個人情報提供プログラム。
22. コンピュータに、
    選択した個人情報と決定した選択条件とをカプセル化した情報である個人情報カプセルを生成する処理と、
    生成した前記個人情報カプセルを、通信ネットワークを介して個人情報利用装置に送信する処理とを実行させる
    請求項２１記載の個人情報提供プログラム。
23. 個人情報を利用する個人情報利用装置に、個人情報を提供するための個人情報提供プログラムであって、
    コンピュータに、
    流通対象の個人情報を入力する処理と、
    前記個人情報の流通に関する規定を示すポリシを、個人情報生成者の操作に従って入力する処理と、
    入力した前記個人情報と、入力した流通に関する規定を示すポリシとに基づいて、個人情報の送信先の個人情報利用装置と個人情報の利用契約を結ぶための契約情報を生成する処理と、
    生成した前記契約情報を保存する処理と、
    生成した前記契約情報に基づいて、前記個人情報と前記契約情報とをカプセル化した個人情報カプセルを生成する処理と、
    作成した前記個人情報カプセルを、通信ネットワークを介して前記個人情報利用装置に送信する処理とを
    実行させる個人情報提供プログラム。
24. コンピュータに、
    個人情報生成者によって入力された個人情報と、前記個人情報生成者によって入力された前記個人情報に対応するポリシとを予め保存する処理と、
    要求に基づいて、保存する個人情報とポリシとを検索し、個人情報と前記個人情報に対応するポリシとを抽出する処理とを実行させる
    請求項２３記載の個人情報提供プログラム。
25. コンピュータに、
    個人情報生成者の操作に従って、個人情報の送信先を入力する処理と、
    入力した送信先の個人情報利用装置に、通信ネットワークを介して個人情報カプセルを送信する処理とを実行させる
    請求項２３又は請求項２４記載の個人情報提供プログラム。
26. 個人情報提供装置から個人情報を取得し、取得した個人情報を利用するための個人情報利用プログラムであって、
    受信ポリシを予め記憶する受信ポリシ記憶手段を備えたコンピュータに、
    前記受信ポリシ記憶手段が記憶する受信ポリシを、通信ネットワークを介して、個人情報を提供する個人情報提供装置に送信する処理と、
    前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する処理と、
    受信した前記個人情報カプセルを保存する処理とを
    実行させる個人情報利用プログラム。
27. コンピュータに、
    個人情報を利用する利用条件と、保存する個人情報カプセルに含まれる選択条件とを照合し、利用可能な情報の選択条件を決定する処理と、
    決定した前記選択条件に従って、前記個人情報カプセルに含まれる個人情報を選択する処理と、
    選択した個人情報を利用する処理とを実行させる
    請求項２６記載の個人情報利用プログラム。
28. 個人情報提供装置から個人情報を取得し、取得した個人情報を利用するための個人情報利用プログラムであって、
    個人情報の要求内容を決定するためのポリシを記憶する要求ポリシ記憶手段を備えたコンピュータに、
    前記要求ポリシ記憶手段が記憶するポリシに基づいて、個人情報提供装置と流通に関する契約を結ぶためのメッセージを、通信ネットワークを介して前記個人情報提供装置に送信する処理と、
    前記メッセージの送信処理の結果に基づいて、契約情報を保存する処理と、
    前記個人情報提供装置から、通信ネットワークを介して個人情報カプセルを受信する処理と、
    受信した前記個人情報カプセルを保存する処理と、
    個人情報の利用に関する制限事項を確認するために、個人情報カプセルに含まれる契約情報を照合する処理と、
    前記契約情報の照合結果を保存する処理と、
    前記照合結果に基づいて、利用する個人情報を制限する処理と、
    個人情報の利用に関する情報を出力し、個人情報の利用に関する合意を形成する処理と、
    前記合意の形成処理の処理結果を保存する処理と、
    個人情報カプセルに含まれる個人情報を利用する処理とを
    実行させる個人情報利用プログラム。
29. コンピュータに、
    個人情報カプセルの転送を管理するための送信ポリシを保存する処理と、
    前記個人情報カプセルに含まれる個人情報と、保存する送信ポリシとに基づいて、前記個人情報に含まれる情報のうち、転送先に送信する情報を抽出する処理と、
    前記個人情報カプセルに含まれる契約情報から、保存する送信ポリシに基づいて、転送先に提示する個人情報の利用に関する制限情報を生成する処理とを実行させる
    請求項２８記載の個人情報利用プログラム。
30. 個人情報の受信制限を示す制限情報を予め記憶する制限情報記憶手段を備えたコンピュータに、
    個人情報を当該個人利用装置とは異なる個人情報利用装置に転送するか否かを決定し、個人情報を転送する送信先を決定する処理を実行させる
    請求項２８又は請求項２９記載の個人情報利用プログラム。
31. コンピュータに、
    保存する個人情報カプセルを、通信ネットワークを介して個人情報提供装置に送信することによって開示する処理と、
    保存する処理結果を、通信ネットワークを介して前記個人情報提供装置に送信することによって開示する処理とを実行させる
    請求項２８から請求項３０のうちのいずれか１項に記載の個人情報利用プログラム。

Images