JP2007141192A - データ処理制御装置 - Google Patents

Abstract

【課題】 個人情報および機微な情報を扱う統計調査の保有者からのデータ提供処理において、他の情報を容易に照合することができる場合を含め、個人を識別する情報を与えずに、また万一、個人を識別する情報の漏洩した場合でも、機微な情報と個人を特定できないが、経年変化を追跡できるデータ処理技術が従来なかった。
【解決手段】 処理の間だけ一時的に個人識別情報と機微な情報を含むファイルとの関連を記録し、機微な情報を含む出力ファイルには、個人の特定につながる情報を付与することなく、経年変化、経時変化を追跡するに十分な期間分だけの統計情報を処理、出力することを特徴とするデータ処理制御装置である。
【選択図】図１

Description

本発明は機微な個人情報を含む入力ファイルを処理し出力ファイルを生成するデータ処理制御装置、データベース、情報処理・制御方法及びプログラム記録媒体に関する。

従来より統計調査の目的で個人情報を含むデータを電子的に収集、集計処理することが行われてきた。このプロセスは、１）データの保有者からのデータ提供、２）収集集計処理者におけるデータ処理、３）利用者におけるデータ参照利用の３つのステップからなるが、１）のステップ、データの保有者からのデータ提供において個人情報を含むデータの提供が、情報漏洩、事故予防の点から、また近年の国際的な法規制強化の点から制限され、その結果として収集集計処理者におけるデータ処理が制約され、統計調査目的であっても利用者が参照利用したいデータが制約されるという課題が生じてきていた。

例えば健康診断、医療診断、処方調剤など医療情報の加齢に伴う経年的な傾向を追う場合、個人が識別されないデータでは、これが困難となる。

また個人の氏名、住所など個人の基本情報の代わりとして個人を識別する番号を用いた場合、前記医療情報など機微な情報を扱う場合においては、個人を識別する情報が漏洩し、それにより機微な情報が個人特定された場合の影響が甚大であり、予め漏洩対策を考慮する必要がある。また漏洩対策が用意されていなければ機微な情報に関するデータ提供は事実上実施できない。

このように機微な情報を扱う統計調査、そのデータ処理においては、他の情報を容易に照合することができる場合を含め、個人を識別する情報を与えずに、また万一、個人を識別する情報の漏洩した場合でも、機微な情報と個人を特定できないようにし、かつ統計調査の利用目的の妨げにならないようなデータ処理技術が必要であるが、これまでこれを十分安全にかつ系統的に対応できるデータ処理制御装置はなかった。

本発明は上記説明の従来の技術では解決されていない課題を解決するデータ処理制御装置である。
従来の技術による課題とはすなわち以下の通りである。
個人情報および機微な情報を扱う統計調査、そのデータ処理における、データの保有者からのデータ提供のステップにおいて、他の情報を容易に照合することができる場合を含め、個人を識別する情報を与えずに、また万一、個人を識別する情報の漏洩した場合でも、機微な情報と個人を特定できないようにし、かつ統計調査の利用目的の妨げにならないようなデータ処理技術が必要であるが、これまでこれを十分安全にかつ系統的に対応できるデータ処理制御装置はなかった。

本発明は上記従来の技術の課題を有効に解決するため、個人情報および機微な情報を含む入力ファイルから、個人単位での経年変化を統計的追跡することが可能でかつ機微な情報を個人情報から分離した出力ファイルを生成し、データ処理制御装置やその一部を構成するデータベースの一部またはすべてが漏洩しても出力ファイル中の機微な情報と個人を特定することができないデータ処理制御装置である。

本発明によれば、個人情報および機微な情報を含むデータ、ファイルから、データの保有者は、機微な情報を取り扱う上で考慮すべき情報漏洩対策に対応して安全に、統計調査用のデータ、ファイルを生成し、かつそのデータ、ファイルを収集、集計した統計調査において個人単位での加齢に伴う経年変化を統計的追跡することが可能である。

本発明を実施するための最良の形態では、実施例１として本発明の基本的な装置構成と情報処理・制御方法を説明し、実施例２としてレセプトデータの分析集計を例にとり、本発明の基本的な装置構成と情報処理・制御方法で用いられるデータ構造を説明する。

図１は本発明の基本的な装置構成であり、図２は本発明の基本的な情報処理・制御方法を表すフローチャートである。

図１において、個人情報を含むファイル（１０１）は、個人情報および機微な情報を含むデータ、ファイルであり、これを入力ファイルとして、データ処理制御装置（１０２）は図２に説明される情報処理・制御方法により、個人名寄せデータベース（１０３）とファイル集計一時データベース（１０４）を使い分け、個人情報抹消済みファイル（１０５）と集計情報ファイル（１０６）を出力ファイルとして生成する。

個人情報を含むファイル（１０１）は、経年変化、経時変化を追跡する場合、追跡する時点を二つ以上含む必要があり、そのため複数個のファイルとなる場合がある。

次に図２のフローチャートにより、本発明の基本的な情報処理・制御方法を説明する。

処理開始のステップ２０１では、処理開始にあたりファイル集計一時データベース（１０４）、必要に応じ個人名寄せデータベース（１０３）が一時データベースであることを宣言する。一時データベースであるとは、処理の終了時に自動的に内容が抹消されるデータベースであることをいう。また正常終了のみならず、中断、例外の発生、他装置の障害などにより処理を継続できなくなった場合においても、同様にデータベースが抹消される。

ステップ２０２では、入力ファイル、すなわち図１における、個人情報を含むファイル（１０１）を逐次読み込み、予め定義された情報に基づき、入力ファイル中から個人情報を取得する。ファイル中のどこに個人情報が記録されているという定義は、別途定義ファイルとして、また別途データベースとして、またプログラム中に記憶されている。

ステップ２０３では、氏名、生年月日などの個人情報を図１の個人名寄せデータベース（１０３）に照会する。この照会は個人情報を平文として照会する方式も可能だが、一定の暗号化ルール（ＭＤ５方式、ＳＨＡ−１方式、ＲＳＡ公開鍵方式など）によって暗号化しデータベースへ照会する方式も従来から広く利用されている方式であり、どちらの方式でも当発明には利用可能であるが、後者の方がより安全であることは言うまでもない。

なお暗号文単体からの平文復号化、解読が困難であっても、暗号化鍵（公開鍵方式では公開鍵）が知られた場合、平文を元に暗号文を作ることは容易であり、氏名、生年月日など個人情報が仮に暗号化されていたとしても、機微な情報と個人情報への紐付け、関係付け可能な他の情報の存在が問題視されるのはこのためである。

本発明ではファイル集計一時データベース（１０４）に加え、個人名寄せデータベース（１０３）自体の抹消も可能である。

ステップ２０４において、個人名寄せデータベース（１０３）に照会した個人情報が登録されているか否かの判定をし、登録されていなければステップ２０５において当該個人情報を登録し、識別番号を付与する。

この識別番号は個人名寄せデータベース（１０３）において機械的にただし一意的に付与される番号であり、それ自体が電話番号とか、被保険者番号のように現実の世界で個人情報として意味を持つものではない。しかし、個人情報と紐付けられた識別番号であることは間違いなく、個人名寄せデータベース（１０３）が漏洩した場合は、先に述べた「他の情報を容易に照合することができる場合」に相当し、かつこの識別番号が、機微な情報を含むファイルに仮に付与されていれば重大な事態を招くことになる。本発明では識別番号を一切機微な情報に付与することなく以下処理を行う。

ステップ２０６では、個人名寄せデータベース（１０３）への照会ないし登録の結果得られた当該個人情報に対する識別番号と、当該個人に対する個人情報ないし機微な情報が記録されている入力ファイルないし、入力ファイル中の位置（行番号、ブロック番号、レコード番号など）を識別する番号の対をファイル集計一時データベース（１０４）一時記録する。一時記録とは当処理の終了、中断、例外発生時に記録された内容が末梢されることをいう。これはトランザクション処理においてコミットを発行しない状態であったり、データベースコネクションのクローズと共に自動消去されるテーブル、データ構造であったり、またプログラムの終了、中断、例外発生時に必ずテーブル、データ構造のクリア、抹消処理が組まれたプログラムなどによって実現される。この一時記録された状態を処理の中断、例外発生などがなければステップ２０９まで維持する。

次にステップ２０７においてステップ２０２に入力ファイルから読み込まれたデータのうち、個人情報、個人を識別しうる情報を定義に従い抹消したものを個人情報抹消済みファイル（１０５）として出力する。ここでいう定義は、別途定義ファイルとして、また別途データベースとして、またプログラム中に記憶されている。

ステップ２０８において、未処理の入力ファイルがあれば、以上、ステップ２０２からステップ２０７までの処理を繰り返すものとする。特に経年変化、経時変化を追跡する場合は、追跡する時点を二つ以上含む必要があり、そのため複数個の入力ファイルが必要となる場合がある。

すべての入力ファイルに対するステップ２０２からステップ２０７までの処理が終了したらステップ２０９に進む。

ステップ２０９では、ステップ２０６で記録された、個人情報に対する識別番号と入力ファイルないし、入力ファイル中の位置を識別する番号の対について、ファイル集計一時データベース（１０４）より、個人情報に対する識別番号単位で、入力ファイルないし、入力ファイル中の位置を識別する番号の集合を取得し、当該個人情報に対する統計調査上必要な属性情報を個人名寄せデータベース（１０３）から抽出、算出し、紐付けたデータを集計情報ファイル（１０６）として出力する。統計調査上必要な属性情報とは、年齢であれば生年月日ではなく３０代というような年齢階層であり、個人情報にはあたらないものを言う。

当発明では、経年変化、経時変化を追跡する場合、集計情報ファイル（１０６）には、追跡する時点を二つ以上含むように、個人情報を含むファイル（１０１）を入力ファイルとして与えるものとしている。これは定期的に発生する事象、例えば、毎月発生する事象を統計調査するのであれば、最新の２ヶ月分のデータを毎月処理し、前月調査における最新の月の入力ファイルないし、入力ファイル中の位置を識別する番号と、今月調査における１ヶ月前の入力ファイルないし、入力ファイル中の位置を識別する番号を照合し、個人を特定する情報が無い条件で経年変化、経時変化を追跡していくということである。なお調査の事故、不完全性に対する安全性を考慮し、最新の３ヶ月など期間を伸ばしてもよい。

また統計調査の目的においては定期的に発生する事象ばかりではなく、一定期間同一個人からの事象発生がなければ追跡の意義がないものもある。例えば医療行為において過去３ヶ月以内に同一個人からの事象発生がなければ、治癒、完治とみなし、一連の医療行為の追跡を終了する場合などがこれにあたる。この例でなくとも一般に統計調査における追跡期間には、有限の有効範囲があり、このような事情にのっとり、図２のフローチャートで示される、本発明の基本的な情報処理・制御方法を実行する際の、個人情報を含むファイル（１０１）の対象期間は決定される。

ステップ２１０は終了処理を表すもので、処理の中断、例外の発生においても必ずこのステップを実行する。ステップ２１０では、ファイル集計一時データベース（１０４）の内容を抹消することを特徴とし、必要なければ、個人名寄せデータベース（１０３）の内容も抹消する。

個人名寄せデータベース（１０３）が必要な場合とは、件数確認、統計調査の監査、ある個人の情報が処理に供されたかどうかの事後確認などである。

以上、実施例１として本発明の基本的な装置構成と情報処理・制御方法を説明したが、当発明で特徴的であるのは、機微な情報な情報を含む出力ファイルである個人情報抹消済みファイル（１０５）には、個人の特定につながる一切の情報を付与することなく、また本発明によるにデータ処理制御装置やその一部を構成するデータベースの一部またはすべてが漏洩したとしても、個人情報抹消済みファイル（１０５）に対して特定個人への紐付け、関係付け可能な他の情報が一切存在しない仕組みとなっているということ、かつ統計調査の目的を達するにあたり、十分な属性情報を集計情報ファイル（１０６）より得ることができ、また経年変化、経時変化を追跡することも同じく集計情報ファイル（１０６）より得ることができるという点にある。

わが国の国民健康保険、社会保険で用いられるレセプトファイル（調剤）の分析集計を例にとり、本発明の基本的な装置構成と情報処理・制御方法で用いられるデータ構造を説明する。
レセプトファイル（調剤）は薬局レコード、レセプト共通レコード、保険レコード、処方レコード、調剤レコード、医薬品レコード、コメントレコードなどから成るマルチフォーマットファイルであり、個人情報はレセプト共通レコード（患者の氏名、生年月日と医師の氏名が存在する）、保険レコード（保険者番号、被保険者記号・番号が存在する）にあり、機微な情報は主にレセプト共通レコード（医療機関名称が存在する）、医薬品レコード（医薬品名があり疾病が類推される）にある。当実施例では個人情報の処理方式を説明することが目的であるので、患者の氏名、生年月日を含むレセプト共通レコードを例にとり説明する。

図３はわが国で規定されているレセプト（調剤）におけるレセプト共通レコードの項目（左欄）である。項目中、氏名（３０１）、生年月日（３０２）および保険医氏名＿氏名＿０１（３０３）から保険医氏名＿氏名＿２０（３０４）は典型的な個人情報である。なおレセプト番号（３０５）は、マルチフォーマットであるであるレセプトファイル中の位置を示す識別番号であり、薬局レコード中の情報とともにレセプトを一意に識別するものである。

レセプトファイルは、図１の個人情報を含むファイル（１０１）として、データ処理制御装置（１０２）により読み込まれ処理される。レセプト共通レコードからは、図２のステップ２０２により、個人情報が取得される。

ステップ２０３から２０５では、図６で示すような、個人名寄せデータベース構造において、取得された個人情報である氏名（３０１）を暗号化し、暗号化氏名（６０５）として、名寄せ用に記録し、それと対応するように個人識別番号（６０１）を振る。生年月日（３０２）からは生年月（６０４）のみを取り出し、さらに年齢階層（６０２）を算出する。男女区別（３０６）は個人を特定するに至らない情報であるのでそのまま用いる。

ステップ２０６では、図７で示すような、ファイル集計一時データベース構造において、薬局レコード中の情報である審査支払機関（７０１）、都道府県（７０２）、薬局コード（７０３）、請求年月（７０４）、マルチボリューム識別情報（７０５）とともに、レセプト番号（３０５）と個人識別番号（６０１）を一組として記録する。

ステップ２０７では図３右欄にあるような出力ファイルへの記録条件仕様に基づき、個人情報抹消済みファイル（１０５）として出力する。ここで患者、医師の個人情報は抹消されている。

ステップ２０８で、個人情報を含むファイル（１０１）について、必要なだけの入力ファイルをステップ２０２から２０７までの繰り返し処理で行ったと判断する。

ステップ２０９では、集計情報ファイル（１０６）を出力するが、実施例２においては図４で示す個人属性レコードと図５で示すレセプト番号レコードにより、一つの個人属性レコードに対して、複数のレセプト番号レコードが対応する、入れ子式、繰り返し構造のマルチフォーマットファイルで実現することができる。

個人属性レコードでは、マルチフォーマットファイルとしてレコード種別を識別するための固定値、例えばローマ字１文字などを、レコード識別情報（４０１）としてもち、個人を特定するに至らない、統計上必要な属性情報として年齢階層（６０２）、男女区別（３０６）をもつ。

レセプト番号レコードでは、同じくレコード識別情報（４０１）と、レセプトを一意に識別するための、レセプト番号（３０５）、薬局レコード中の情報である、審査支払機関（７０１）、都道府県（７０２）、薬局コード（７０３）、請求年月（７０４）、マルチボリューム識別情報（７０５）をもつ。

ステップ２１０の処理は実施例１の説明の通りである。

本発明の基本的な装置構成 情報処理・制御方法を表すフローチャート レセプト共通レコードにおける記録仕様例 個人属性レコードの構造例 レセプト番号レコードの構造例 個人名寄せデータベースの構造例 ファイル集計データベースの構造例

符号の説明

１０１個人情報を含むファイル
１０２データ処理制御装置
１０３個人名寄せデータベース
１０４ファイル集計一時データベース
１０５個人情報抹消済みファイル
１０６集計情報ファイル
２０１処理開始ステップ
２０２入力ファイル読み込み、個人情報取得ステップ
２０３名寄せデータベース照会ステップ
２０４個人情報が登録されているかの判定ステップ
２０５個人情報を登録し識別番号を付与するステップ
２０６個人情報識別番号とファイル識別番号をファイル集計一時データベースに記録するステップ
２０７個人情報抹消済みファイルを出力するステップ
２０８未処理の入力ファイルについて処理の繰り返しを判定するステップ
２０９集計情報ファイルを出力するステップ
２１０処理終了、一時データベースの内容を抹消するステップ
３０１氏名
３０２生年月日
３０３、３０４保険医師氏名
３０５レセプト番号
３０６男女区別
４０１レコード識別情報
６０１個人識別番号
６０２年齢階層
６０４生年月
６０５暗号化氏名
７０１審査支払機関
７０２都道府県
７０３薬局コード
７０４請求年月
７０５マルチボリューム識別情報

Claims (7)

1. 個人情報を含むファイルを入力ファイルとして、出力ファイルには個人情報が抹消されていて、他の情報を容易に照合することができる場合を含め、個人を識別する情報を与えないことを特徴とするデータ処理制御装置。
2. 前記請求項１の出力ファイルには、個人情報ないし機微な情報が記録されている入力ファイルを識別する情報や入力ファイル中の位置を識別する情報が記録され、この情報の組み合わせにより複数個の情報が同一個人の情報であることを表すことを特徴とする。
3. データ処理制御装置やその一部を構成するデータベースの一部またはすべてにおいて、出力ファイル中の機微な情報と個人とを特定する情報をもたないことを特徴とする前記請求項１、２に記載のデータ処理制御装置。
4. 入力ファイルを読み込みから、出力ファイルを生成する処理の間だけ、個人情報ないし機微な情報が記録されている入力ファイルを識別する情報や入力ファイル中の位置を識別する情報と、その情報に対応する個人情報ないし個人を識別しうる情報が一時的に記録され、処理の終了、中断、例外発生時には抹消することを特徴とする前記請求項１、２、３に記載のデータ処理制御装置。
5. 入力ファイルの読み込みから、出力ファイルを生成する処理の間だけ、個人情報による名寄せを行い、その名寄せデータを一時的に記録し、処理の終了、中断、例外発生時には抹消することを特徴とする前記請求項１、２、３、４に記載のデータ処理制御装置。
6. 出力ファイルには個人情報にはあたらない、または個人を特定しうる情報にはあたらない個人の属性情報をもつことを特徴とする前記請求項１、２に記載のデータ処理制御装置。
7. 経年変化、経時変化を追跡する場合、追跡する時点を二つ以上含むように入力ファイルの対象期間が設定されることを特徴とする前記請求項１、２に記載のデータ処理制御装置。

Images