JP2008077391A - 個人情報提供システム、および、当該システムに供する個人情報保有装置と個人情報利用装置 - Google Patents

Abstract

【課題】個人情報保有装置から個人情報利用装置に提供された被照合者の個人情報を保護する。
【解決手段】保有装置は、利用装置からダイレクトに被照合者40の個人情報の提供要求を受信するとともに提供要求情報中の要求プライバシーポリシーと保有プレファレンスとを比較することによって、提供項目と提供情報の提供の可否とを決定し、提供個人情報と要求プライバシーポリシーとを用いて、提供情報を生成する。利用装置は、提供要求情報をダイレクトに保有装置に送信するとともに保有装置から提供情報をダイレクトに受信し、保有プライバシーポリシーに基づいて要求プライバシーポリシーを生成するとともに、要求元情報を生成し、提供要求情報を生成し、かつ、提供個人情報と要求プライバシーポリシーと被照合者の保有プライバシーポリシーとを比較し、開示が可能な提供個人情報がある場合にそれを表示させる。
【選択図】図１

Description

この発明は、照合を受ける人物の情報を、ネットワークを介して接続された一方の装置から他方の装置に提供する個人情報提供システム、および、当該システムに供する、一方の装置である個人情報保有装置と他方の装置である個人情報利用装置とに関する。

従来、様々な人物の個人情報を管理するサーバと、様々な人物の個人情報を保有し、保有する個人情報の中から照合を受ける人物（以下、「被照合者」と称する）の提供対象となる項目（以下、「提供項目」と称する）の個人情報を用いて提供情報を生成する個人情報保有装置と、個人情報保有装置から被照合者の提供情報の提供を受けて、提供された被照合者の提供情報を利用する個人情報利用装置とを有する個人情報提供システムが実用されている（例えば、特許文献１及び２参照）。なお、ここでは、被照合者の個人情報を利用装置に送信する動作を、「提供」と称する。

以下、図３４を参照して、個人情報提供システムの構成を説明する。図３４は、従来例の個人情報提供システムのブロック図である。

個人情報提供システム（以下、単に「システム」と称する）５は、様々な人物の個人情報を管理するサーバ（以下、「管理装置」と称する）１と、個人情報保有装置（以下、「保有装置」と称する）２と、個人情報利用装置（以下、「利用装置」と称する）３とが、ネットワーク４を介して、接続された構成となっている。

管理装置１は、管理者１０によって使用されるサーバである。なお、管理者１０は、様々な人物の個人情報を管理する組織または人物である。管理装置１は、保有装置２と利用装置３との間に介在し、被照合者４０の個人情報の提供を管理する。

保有装置２は、提供者２０によって使用される端末装置である。なお、提供者２０は、被照合者４０の個人情報を利用者３０に提供する組織または人物である。

利用装置３は、利用者３０によって使用される端末装置である。なお、利用者３０は、被照合者４０の個人情報を利用する組織または人物である。

システム５は、例えば、消費者がデパートでクレジット決済にて商品を購入する場合に利用されるカード決済システムとして、流通機関（ここでは、デパート）と決済機関（ここでは、クレジット会社）との間に構築される。この例では、クレジット会社のアプリケーションサーバが管理装置１となり、クレジット会社のデータベースサーバが保有装置２となり、デパートの各店舗の店頭に設置されているキャッシュレジスタが利用装置３となる。また、クレジット会社が管理者１０および提供者２０となり、デパートの店員が利用者３０となり、消費者が被照合者４０となる。なお、この例では、同一の組織が管理者１０と提供者２０を兼ねているが、異なる組織のそれぞれが管理者１０と提供者２０とになる場合もある。

このシステム５は、以下のように動作する。ここでは、システム５がデパートとクレジット会社との間に構築されたカード決済システムであるものとし、被照合者がデパートのいずれかの支店の店頭でクレジット決済によって商品を購入する場合を例にして、説明する。

予め、消費者である被照合者４０は、例えば、デパートの図示せぬ装置を操作して、自身の個人情報と、個人情報の利用条件を規定する情報（以下、「プレファレンス」と称する）とを、決済機関（例えば、クレジット会社）である提供者２０の保有装置２に登録する。なお、以下、保有装置２に登録されたプレファレンスを、特に、「保有プレファレンス」と称する。

保有装置２へのプレファレンスの登録の後、被照合者４０は、デパートのいずれかの支店の店頭でクレジット決済にて商品を購入しようとする。

このとき、利用者（ここでは、デパートの店員）３０は、利用装置３を操作して、被照合者４０の提供情報の提供を要求する情報（以下、「提供要求情報」または単に「提供要求」と称する）を管理装置１に送信する。なお、この提供要求は、例えば、要求元（すなわち、当該利用者３０が操作している利用装置３）を表す情報（以下、「要求元情報」と称する）や、利用方針や利用範囲などの、提供情報の利用基準を規定する情報（以下、「プライバシーポリシー」と称する）、その他によって構成されている。なお、以下、提供要求に含まれているプライバシーポリシーを、特に、「要求プライバシーポリシー」と称する。

管理装置１は、利用装置３から提供要求を受信すると、提供要求から要求プライバシーポリシーを抽出するとともに、保有装置２から保有プレファレンスを読み出し、要求プライバシーポリシーと保有プレファレンスとを比較して、要求プライバシーポリシーの利用基準が保有プレファレンスの利用条件を満たしているか否かを判定する。

この判定において、管理装置１は、要求プライバシーポリシーの利用基準が保有プレファレンスに含まれるいずれかの利用条件に一致すると判定される場合に、提供者２０と利用者３０との間で被照合者４０の提供情報を提供するための合意が形成されたと判定する。この場合、管理装置１は、被照合者４０の提供情報の提供を指示する指示信号を保有装置２に送信する。保有装置２は、この指示信号を受信すると、これに応答して、被照合者４０の個人情報を用いて被照合者４０の提供情報を生成し、生成した被照合者４０の提供情報を利用装置３に送信する。利用装置３は、被照合者４０の提供情報を受信すると、これに応答して、被照合者４０の提供情報をディスプレイに表示する。

他方、この判定において、管理装置１は、要求プライバシーポリシーの利用基準が保有プレファレンスに含まれるいずれかの利用条件にも一致しないと判定される場合に、提供者２０と利用者３０との間で、被照合者４０の提供情報を提供するための合意が形成されていないと判定する。この場合、管理装置１は、被照合者４０の提供情報の提供を指示する指示信号を保有装置２に送信せずに、被照合者４０の提供情報の提供を拒否する旨の応答信号を利用装置３に送信する。利用装置３は、この応答信号を受信すると、これに応答して、提供情報の提供が拒否された旨をディスプレイに表示する。このようにして、管理装置１は、被照合者４０の提供情報の提供を拒否する。

なお、特許文献１のシステムは、「情報送信条件決定装置」と称する管理装置と、「情報提供装置」と称する保有装置と、「情報要求装置」と称する利用装置とを有する構成となっている。特許文献１のシステムでは、管理装置は、保有装置に予め登録された被照合者の個人情報の中から特定の項目の情報を抽出し、その項目に該当する個人情報を提供情報として利用装置に提供する。

また、特許文献２のシステムは、「サーバ」と称する管理装置と、「個人情報保有者端末」と称する保有装置と、「個人情報利用者端末」と称する利用装置とを有する構成となっている。特許文献２のシステムでは、管理装置は、プライバシーポリシーがプレファレンスに含まれるいずれの条件にも一致しない場合に、ただちに被照合者の提供情報の提供を拒否するのではなく、プレファレンスに予め設定された調停条件にしたがって、保有装置を介して被照合者の提供情報の提供の可否を提供者に問合せる。提供者は、この問合せを受けると、保有装置を操作して、被照合者の提供情報の提供を許可する情報（以下、「提供許可情報」と称する）、または、被照合者の提供情報の提供を拒否する情報（以下、「提供不許可情報」と称する）を、管理装置に送信する。管理装置は、保有装置から提供許可情報を受信した場合に、被照合者の提供情報の提供を指示する指示信号を保有装置に送信する。保有装置は、この指示信号を受信すると、これに応答して、被照合者の個人情報を用いて提供情報を生成し、生成した提供情報を利用装置に送信する。他方、管理装置は、保有装置から提供不許可信号を受信した場合に、提供情報の提供を拒否する旨の応答信号を利用装置に送信する。
特開２００４−２３４３３２号公報（段落００１２〜段落００４１、図１〜図１２） 特開２００４−１９２３５３号公報（段落００３１〜段落００６９、図１〜図１１）

しかしながら、上述の特許文献１と２のシステム（以下、「既存のシステム」と称する）は、いずれも、保有装置から利用装置に提供された被照合者の提供情報を保護することについては考慮していない。

そのため、既存のシステムは、いずれも、利用装置に提供された被照合者の提供情報が、提供を要求した利用者以外の人物に漏洩する可能性がある。特に、被照合者の提供情報が、悪意ある者に漏洩した場合に、不正に利用される可能性がある。

また、既存のシステムは、いずれも、保有装置と利用装置との間でダイレクトに被照合者の提供情報を提供する構成になっておらず、保有装置と利用装置との間に、第三者によって管理される管理装置が介在する構成となっている。したがって、既存のシステムは、いずれも、第三者によって管理される管理装置が、被照合者の提供情報を提供するための合意形成の判定、すなわち、提供者と利用者との間で被照合者の提供情報を提供するための合意が形成されたか否かの判定を行っている。

このような既存のシステムは、いずれも、以下の（１）〜（４）のような課題がある。

（１）既存のシステムは、いずれも、利用装置に提供された個人情報を保護することができない、という課題がある。

（２）既存のシステムは、いずれも、個人情報の提供者と利用者との間に介在する手段または装置があるため、セキュリティが高い、２点間での個人情報の提供を実現していない、という課題がある。

（３）既存のシステムは、いずれも、（ａ）個人情報の提供行為を記録する手段が無いため、個人情報の提供行為を記録することができない、（ｂ）提供行為の記録を提供者に参照させる手段が無いため、提供者が提供行為の記録を参照することができない、および（ｃ）提供行為の過程で不正を検出した場合に、当該不正を記録するとともに提供者に通知する手段が無いため、不正を記録したり、不正を提供者に通知することができない、という課題がある。

（４）既存のシステムは、いずれも、（ａ）被照合者の提供情報を利用者から別の利用者に再提供する場合に安全に実行する手段が無いため、被照合者の提供情報の再提供を安全に実行することができない、および（ｂ）被照合者の提供情報の再提供を防ぐ手段が無いため、被照合者の意図しない利用者、特に被照合者が提供を拒否したい人物への、被照合者の提供情報の再提供を防止することができない、という課題がある。

この発明は、保有装置から利用装置に提供された被照合者の提供情報を保護することを思想としている。

上述の課題を解決するために、この発明に係る情報提供システムは、様々な人物の個人情報を保有する個人情報保有装置と、当該個人情報保有装置から、照合を受ける被照合者の個人情報を用いて生成される被照合者の提供情報の提供を受ける個人情報利用装置とを有する構成となっている。

上述の個人情報保有装置は、ネットワークを介して個人情報利用装置からダイレクトに被照合者の提供情報の提供を要求する提供要求情報を受信するとともに、被照合者の提供情報をダイレクトに個人情報利用装置に送信する通信部と、様々な人物の個人情報と、各人物の個人情報毎に個人情報の利用条件を規定する保有プレファレンスとを記憶する記憶部と、個人情報利用装置から提供要求情報を受信した場合に、提供要求情報の中から、被照合者の提供情報の利用基準を規定する要求プライバシーポリシーを抽出するとともに、記憶部から被照合者の保有プレファレンスを読み出し、抽出した被照合者の要求プライバシーポリシーと読み出した被照合者の保有プレファレンスとを比較することによって、記憶部に記憶されている被照合者の個人情報の中の提供対象となる提供項目と被照合者の提供情報の提供の可否とを決定する提供情報決定部と、提供情報決定部によって、提供項目と被照合者の提供情報の提供とが決定された場合に、記憶部から被照合者の個人情報を読み出して、読み出した被照合者の個人情報の中から、提供項目に該当する提供個人情報を抽出し、抽出した提供個人情報と被照合者の要求プライバシーポリシーとを用いて、被照合者の提供情報を生成する提供情報生成部とを備える。

他方、上述の個人情報利用装置は、ネットワークを介して提供要求情報をダイレクトに個人情報保有装置に送信するとともに、個人情報保有装置から被照合者の提供情報をダイレクトに受信する通信部と、被照合者の提供情報の利用基準を規定する保有プライバシーポリシーと、個人情報保有装置から提供される被照合者の提供情報とを記憶する記憶部と、提供要求情報を個人情報保有装置に送信する場合に、記憶部から被照合者の保有プライバシーポリシーを読み出し、読み出した被照合者の保有プライバシーポリシーに基づいて被照合者の要求プライバシーポリシーを生成するとともに、被照合者の提供情報の提供を要求する要求元を表す要求元情報を生成し、生成した要求プライバシーポリシーと要求元情報とを用いて提供要求情報を生成し、かつ、個人情報保有装置から被照合者の提供情報を受信した場合に、被照合者の提供情報の中から被照合者の提供個人情報と要求プライバシーポリシーとを抽出するとともに、記憶部から被照合者の保有プライバシーポリシーを読み出し、抽出した被照合者の要求プライバシーポリシーと読み出した被照合者の保有プライバシーポリシーとを比較することによって、被照合者の提供情報の中の、利用者への開示が可能な提供個人情報の有無を判定し、開示が可能な提供個人情報があると判定される場合に、開示が可能な提供個人情報をディスプレイに表示させる提供情報利用部とを備える。

この発明のシステムによれば、利用装置は、要求元情報と要求プライバシーポリシーとを用いて被照合者の個人情報の提供要求を生成し、生成した提供要求を保有装置に送信する。

保有装置は、利用装置から提供要求を受信すると、提供要求から要求元情報と要求プライバシーポリシーとを抽出し、抽出した要求プライバシーポリシーと記憶部に記憶されている保有プレファレンスとを比較する。これにより、保有装置は、個人情報の提供項目と被照合者の個人情報の提供の可否とを決定する。そして、保有装置は、個人情報の提供項目と提供の許可とが決定された場合にのみ、被照合者の個人情報の中から、提供項目に該当する提供個人情報を抽出し、要求プライバシーポリシーと抽出した提供個人情報とを用いて提供情報を生成して、生成した提供情報を利用装置に提供する。

利用装置は、保有装置から提供情報を受信すると、提供情報の中から要求プライバシーポリシーを抽出し、抽出した要求プライバシーポリシーと記憶部に記憶されている保有プライバシーポリシーとを比較する。これにより、利用装置は、利用者への開示が可能な提供個人情報が提供情報の中に含まれているか否かを判定し、含まれていると判定される場合に、利用者への開示が可能な提供個人情報をディスプレイに表示する。

この発明のシステムによれば、保有装置は、利用装置から被照合者の提供情報の提供を要求する提供要求情報を受信した場合に、提供要求情報から抽出した要求プライバシーポリシーと記憶部から読み出した保有プレファレンスとを比較して、提供項目と被照合者の提供情報の提供とが決定された場合にのみ、提供情報を利用装置に提供する。他方、利用装置は、保有装置から被照合者の提供情報を受信した場合に、被照合者の提供情報の中から抽出した要求プライバシーポリシーと記憶部から読み出した保有プライバシーポリシーとを比較して、被照合者の提供情報の中に利用者への開示が可能な提供個人情報がある場合にのみ、開示が可能な提供個人情報をディスプレイに表示する。

したがって、このシステムによれば、利用装置に提供された被照合者の提供情報が提供を要求した利用者以外の人物に漏洩するのを防止することができる。これにより、このシステムは、悪意ある者による被照合者の個人情報の不正な利用を防止することができる。

また、このシステムによれば、保有装置と利用装置との間でダイレクトに被照合者の提供情報を提供することができるので、保有装置と利用装置との間の、第三者によって利用される管理装置を排除することができる。したがって、このシステムは、保有装置が被照合者の提供情報を提供するための合意形成の判定を直接行う構成にすることができる。これにより、このシステムは、被照合者の提供情報が、被照合者の意図しない者の利用装置、特に、被照合者が提供を拒否したい人物の利用装置に提供されるのを防止することができる。

その結果、このシステムは、以下の（１）〜（４）の効果を得ることができる。

（１）このシステムは、利用装置に提供された個人情報を保護することができる。

（２）このシステムは、セキュリティが高い、２点間での個人情報の提供を実現することができる。

（３）このシステムは、（ａ）個人情報の提供行為を記録することができ、（ｂ）提供者が提供行為の記録を参照することができ、および（ｃ）不正を記録したり、不正を提供者に通知することができる。

（４）このシステムは、（ａ）被照合者の提供情報の再提供を安全に実行することができ、および（ｂ）被照合者の意図しない利用者、特に被照合者が提供を拒否したい人物への、被照合者の提供情報の再提供を防止することができる。

以下、図を参照して、この発明の実施の形態につき説明する。各図において、共通する構成要素や同様な構成要素については、同一の符号を付し、それらの重複する説明を省略する。

［実施例１］
＜個人情報提供システムの構成＞
以下、図１〜図３を参照して、この発明に係る個人情報提供システムの構成を説明する。

図１は、この発明に係る個人情報提供システムのブロック図である。

個人情報提供システム（以下、単に「システム」と称する）１００は、個人情報保有装置（以下、単に「保有装置」と称する）２００と個人情報利用装置（以下、単に「利用装置」と称する）３００とを有する。保有装置２００は、被照合者４０の個人情報を利用者３０に提供する提供者２０によって利用される装置である。保有装置２００は、例えば、パーソナルコンピュータや、サーバなどの形態となっている。利用装置３００は、被照合者４０の個人情報を利用する利用者３０によって利用される装置である。利用装置３００は、例えば、パーソナルコンピュータや、販売店のキャッシュレジスタ、その他の個人照合機能を有する装置の形態となっている。なお、ここでは、保有装置２００と利用装置３００の数がそれぞれ１台ずつであるものとして説明するが、保有装置２００と利用装置３００の数はそれぞれ複数台であってもよい。

保有装置２００と利用装置３００は、ネットワーク４００を介して、様々な情報を、ダイレクトに、すなわち、管理装置などの他の装置を介さずに、送信または受信する。なお、保有装置２００と利用装置３００との間で送信または受信される各種の情報は、予め定められた手法によって、暗号化または復号化される。

保有装置２００は、利用装置３００から、後述の提供要求情報（以下、単に「提供要求」と称する）６００（図４参照）を受信する。この提供要求６００は、後述の提供情報６５０（図５参照）の提供を要求する情報である。なお、提供情報６５０は、提供要求６００に対して生成される応答情報である。提供情報６５０は、後述の記憶部２２０に記憶されている被照合者４０の個人情報の中から抽出された、提供対象となる項目（以下、「提供項目」と称する。）に該当する個人情報（以下、「提供個人情報」と称する）６７０（図５参照）を用いることによって生成される情報である。

保有装置２００は、利用装置３００から提供要求６００を受信すると、これに応じて、提供要求６００に含まれている後述の要求プライバシーポリシー６２０と保有装置２００に予め記憶されている後述の保有プレファレンスとを比較して、要求プライバシーポリシー６２０の利用基準が保有プレファレンスの利用条件を満たしているか否かを判定する。この判定において、保有装置２００は、要求プライバシーポリシー６２０の利用基準が保有プレファレンスに含まれるいずれかの利用条件に一致すると判定される場合に、提供者２０と利用者３０との間で被照合者４０の提供情報６５０を提供するための合意が形成されたと判定する。この場合、保有装置２００は、被照合者４０の個人情報を用いて被照合者４０の提供情報６５０を生成し、生成した被照合者４０の提供情報６５０を利用装置３００に送信する。

図２は、実施例１における個人情報保有装置の内部ブロック図である。

保有装置２００は、演算部２１０と記憶部２２０と入力部２３０と出力部２４０と通信部２５０とを備えている。

演算部２１０は、各種の演算を実行する機能手段である。演算部２１０は、ＣＰＵによって構成される。演算部２１０は、制御部２１２と提供情報生成部２１４と提供情報決定部２１６とを有する。なお、制御部２１２は、保有装置２００の各部を制御する機能手段である。また、提供情報生成部２１４は、提供情報６５０を生成する機能手段である。また、提供情報決定部２１６は、利用装置３００への個人情報の提供の可否と利用装置３００に提供する個人情報の項目とを決定する機能手段である。

記憶部２２０は、様々な情報を記憶する機能手段である。記憶部２２０は、ランダムアクセスメモリ（以下、「ＲＡＭ」と称する）と、例えばハードディスク装置（以下、「ＨＤＤ」と称する）やリードオンリメモリ（以下、「ＲＯＭ」と称する）、その他の記憶手段とを組み合わせることによって構成される。記憶部２２０は、様々な人物の個人情報を記憶する個人情報記憶領域２２２と、提供する項目毎に設定された個人情報のプレファレンスを記憶するプレファレンス記憶領域２２４とを有する。なお、プレファレンスは、登録される個人情報の利用条件を規定する情報であり、個人情報の項目毎に登録される。ただし、個人情報の中には、プレファレンスが登録されないものがあってもよい。以下、個人情報記憶領域２２２に記憶された個人情報を、「保有個人情報」と称し、また、プレファレンス記憶領域２２４に記憶された個人情報を、「保有プレファレンス」と称する。

入力部２３０は、提供者２０の操作によって各種の情報が入力される機能手段である。入力部２３０は、キーボードやマウスなどによって構成される。

出力部２４０は、各種の情報を提供者２０に閲覧可能な状態に出力する機能手段である。出力部２４０は、ディスプレイやプリンタなどによって構成される。

通信部２５０は、外部の機器（ここでは、利用装置３００）との間で様々な情報を、送信または受信する機能手段である。通信部２５０は、ネットワーク４００を介して、利用装置３００と接続して、例えば、利用装置３００から提供要求６００を受信したり、または、提供要求６００の応答情報である提供情報６５０を利用装置３００に送信する。

図３は、実施例１における個人情報利用装置の内部ブロック図である。

利用装置３００は、演算部３１０と記憶部３２０と入力部３３０と出力部３４０と通信部３５０とを備えている。

演算部３１０は、各種の演算を実行する機能手段である。演算部３１０は、ＣＰＵによって構成される。演算部３１０は、制御部３１２と提供情報利用部３１４とを有する。なお、制御部３１２は、保有装置３００の各部を制御する機能手段である。また、提供情報利用部３１４は、保有装置２００へ送信する提供要求６００（図４参照）の生成、および、保有装置２００から提供された提供情報６５０（図５参照）に対する様々な管理、例えば、提供情報６５０の記憶部３２０への記憶処理や、提供情報６５０の出力部３４０のディスプレイへの表示処理、その他の処理を実行する機能手段である。

記憶部３２０は、様々な情報を記憶する機能手段である。記憶部３２０は、ＲＡＭと、例えばＨＤＤやＲＯＭ、その他の記憶手段とを組み合わせることによって構成される。記憶部３２０は、プライバシーポリシーを記憶するプライバシーポリシー記憶領域３２２と、保有装置２００から受信した提供情報６５０を記憶する取得情報記憶領域３２４とを有する。なお、プライバシーポリシーは、個人情報の利用方針を規定する情報であり、個人情報の項目毎に、登録される。ただし、個人情報の中には、プライバシーポリシーが登録されないものがあってもよい。以下、プライバシーポリシー記憶領域３２２に記憶されたプライバシーポリシーを、「保有プライバシーポリシー」と称し、また、取得情報記憶領域３２４に記憶された提供情報６５０を、「取得情報」と称する。なお、この実施例では、プライバシーポリシーは、個人情報の項目毎に、設定されているものとして説明する。

入力部３３０は、利用者３０の操作によって各種の情報が入力される機能手段である。入力部３３０は、キーボードやマウスなどによって構成される。

出力部３４０は、各種の情報を利用者３０に閲覧可能な状態に出力する機能手段である。出力部３４０は、ディスプレイやプリンタなどによって構成される。

通信部３５０は、外部の機器（ここでは、保有装置２００）との間で様々な情報を、送信または受信する機能手段である。通信部３５０は、ネットワーク４００を介して、保有装置２００と接続して、例えば、提供要求６００を保有装置２００に送信したり、または、保有装置２００から提供要求６００の応答情報である提供情報６５０を受信する。

＜各種情報の構成＞
以下、図４と図５を参照して、この実施例で用いる各種情報の構成について説明する。

図４は、提供要求の構成を示す図である。

提供要求６００は、要求元情報６１０と、要求プライバシーポリシー６２０とを有する構成となっている。

要求元情報６１０は、被照合者４０の提供情報６５０（図５参照）の提供を要求している要求元（ここでは、利用装置３００）を表す情報である。

要求プライバシーポリシー６２０は、利用方針や利用範囲などの、被照合者４０の提供情報６５０の利用基準を規定する情報である。要求プライバシーポリシー６２０は、利用装置３００が保有装置２００に提供情報６５０の提供を要求する場合に用いられる。なお、要求プライバシーポリシー６２０は、被照合者４０の個人情報の項目毎に、設定される。

図５は、提供情報の構成を示す図である。

提供情報６５０は、要求プライバシーポリシー６６０と、提供個人情報６７０とを有する構成となっている。

要求プライバシーポリシー６６０は、提供要求６００の中から抽出された要求プライバシー６２０が設定される。

提供個人情報６７０は、提供項目、すなわち、提供対象となる項目に該当する被照合者４０の個人情報である。なお、提供項目は、提供要求６００の中に含まれる要求プライバシーポリシー６２０によって規定される。

＜個人情報提供システムの動作＞
この実施例のシステム１００の主な動作としては、保有装置２００から利用装置３００に被照合者４０の提供情報６５０を提供する場合の動作（以下、「提供情報の提供処理動作」と称する）と、利用装置３００に提供された提供情報６５０を利用装置３００の出力部３４０のディスプレイに表示させる場合の動作（以下、「提供情報の表示処理動作」と称する）がある。以下、これらの動作を順次説明する。

（提供情報の提供処理動作）
以下、図６と図７を参照して、保有装置２００から利用装置３００に被照合者４０の提供情報６５０を提供する場合のシステム１００の動作を説明する。なお、図６と図７は、それぞれ、システムの動作を示すフローチャートである。図中、実線は、保有装置２００と利用装置３００の動作の流れを示しており、一点鎖線は、各構成要素間で入出力される情報の流れを示している。

図６に示すように、保有装置２００では、提供者２０が、出力部２４０のディスプレイを見ながら、入力部２３０を操作して、被照合者４０を含む様々な人物の個人情報とプレファレンス（ＰＲ）とを保有装置２００に入力する。このとき、プレファレンスは、個人情報の項目毎に入力される。なお、この保有装置２００への個人情報とプレファレンスの入力は、被照合者４０が提供者２０に代わって行ってもよい。この場合、被照合者４０は、図示しない装置を操作することにより、または、保有装置２００を操作することにより、項目毎に、被照合者４０自身の個人情報とプレファレンスとを保有装置２００に入力することになる。

個人情報とプレファレンスが入力されると、保有装置２００の制御部２１２は、これに応答して、Ｓ１１０５において、個人情報を記憶部２２０の個人情報記憶領域２２２に、また、プレファレンスを記憶部２２０のプレファレンス記憶領域２２４に、記憶する。以下、記憶部２２０に記憶された個人情報を「保有個人情報」と称し、記憶部２２０に記憶されたプレファレンスを「保有プレファレンス」と称する。

他方、利用装置３００では、利用者３０が、被照合者４０の提供情報６５０の閲覧を希望する場合に、出力部３４０のディスプレイを見ながら、入力部３３０を操作して、要求元情報と、閲覧を希望する被照合者４０の提供情報６５０に関するプライバシーポリシー（ＰＰ）とを利用装置３００に入力する。このとき、利用者３０は、個人情報の項目毎に、プライバシーポリシーを入力する。なお、要求元情報は、提供情報６５０の提供を要求する要求元（ここでは、利用装置３００）を表す情報である。要求元情報は、記憶部３２０のプライバシーポリシー記憶領域３２２に予め記憶しておいてもよい。

要求元情報とプライバシーポリシーが入力されると、利用装置３００の制御部３１２は、これに応答して、Ｓ１１１０において、要求元情報とプライバシーポリシーとを記憶部３２０のプライバシーポリシー記憶領域３２２に記憶する。以下、記憶部３２０に記憶された要求元情報を「保有要求元情報」と称し、記憶部３２０に記憶されたプライバシーポリシーを「保有プライバシーポリシー」と称する。

Ｓ１１１０の後、利用装置３００では、利用者３０が、任意の時点で、出力部３４０のディスプレイを見ながら、入力部３３０を操作して、被照合者４０の提供情報６５０の取得処理を実行する指示（以下、単に「取得指示」と称する）を利用装置３００に入力する。

被照合者４０の提供情報６５０の取得指示が入力されると、利用装置３００は、これに応答して、以下のようにして、被照合者４０の提供情報６５０の取得処理を実行する。

すなわち、まず、利用装置３００の提供情報利用部３１４は、Ｓ１１１５において、提供要求６００（図４参照）を生成する。

このＳ１１１５の工程は、以下のＳ１１２０とＳ１１２５の工程からなる。すなわち、まず、提供情報利用部３１４は、Ｓ１１２０において、記憶部３２０から保有プライバシーポリシーを読み出し、その内容に基づいて要求プライバシーポリシーを生成し、生成した要求プライバシーポリシーを、提供要求６００の要求プライバシーポリシー６２０（図４参照）に設定する。次に、提供情報利用部３１４は、Ｓ１１２５において、記憶部３２０から被照合者４０の提供情報６５０の提供を要求している要求元情報を読み出し、読み出した要求元情報を、提供要求６００の要求元情報６１０（図４参照）に設定する。

Ｓ１１１５で、提供要求６００が生成されると、提供情報利用部３１４は、生成した提供要求６００を通信部３５０に出力する。

提供要求６００が提供情報利用部３１４から出力されると、通信部３５０は、これに応答して、Ｓ１１３０において、提供要求６００を保有装置２００に送信する。

保有装置２００では、通信部２５０が、Ｓ１１３５において、利用装置３００から提供要求６００を受信する。通信部２５０は、これに応答して、受信した提供要求６００を提供情報決定部２１６に出力する。

提供要求６００が通信部２５０から出力されると、提供情報決定部２１６は、これに応答して、Ｓ１１４０において、提供要求６００の中から要求プライバシーポリシー６２０を抽出する。

そして、提供情報決定部２１６は、Ｓ１１４５において、記憶部２２０から保有プレファレンスを読み出し、要求プライバシーポリシー６２０と保有プレファレンスとを比較して、提供項目に関するプレファレンスの有無、特に、要求プライバシーポリシー６２０にて必須とされる個人情報の提供項目に関するプレファレンスの有無などを判定し、これによって、提供項目の有無を判定する。

Ｓ１１４５で、提供項目に関するプレファレンスが無い場合に、提供情報決定部２１６は、Ｓ１１５０において、「提供情報無し」と判定する。

この場合、提供情報決定部２１６は、「提供情報無し」を意味する応答を通信部２５０に出力する。

「提供情報無し」を意味する応答が提供情報決定部２１６から出力されると、通信部２５０は、これに応答して、Ｓ１１５５において、「提供情報無し」を意味する応答を利用装置３００に送信する。

利用装置３００では、通信部３５０が、Ｓ１１６０において、保有装置２００から「提供情報無し」を意味する応答を受信する。通信部３５０は、これに応答して、受信した応答を提供情報利用部３１４に出力する。

応答が通信部３５０から出力されると、提供情報利用部３１４は、これに応答して、Ｓ１１６５において、「提供情報無し」を意味する取得処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、「提供情報無し」を意味する取得処理の結果を、利用者３０に通知する。

この後、利用装置３００は、被照合者４０の提供情報６５０の取得処理を終了する。

Ｓ１１４５で、提供項目に関するプレファレンスがある場合に、提供情報決定部２１６は、Ｓ１１５０において、「提供情報有り」と判定する。

この場合、提供情報決定部２１６は、Ｓ１１７０において、再度、要求プライバシーポリシー６２０と保有プレファレンスとを比較して、全個人情報の提供項目の提供の可否、特に、要求プライバシーポリシー６２０にて必須とされる全個人情報の提供項目の提供の可否などを判定し、これによって、被照合者４０の提供情報６５０の利用装置３００への提供の可否を判定する。

Ｓ１１７０で、全個人情報の提供項目が提供不可である場合に、提供情報決定部２１６は、Ｓ１１７５において、「提供拒否」と判定する。

この場合、提供情報決定部２１６は、「提供拒否」を意味する応答を通信部２５０に出力する。

「提供拒否」を意味する応答が提供情報決定部２１６から出力されると、通信部２５０は、これに応答して、Ｓ１１８０において、「提供拒否」を意味する応答を利用装置３００に送信する。

利用装置３００では、通信部３５０が、Ｓ１１８５において、保有装置２００から「提供拒否」を意味する応答を受信する。通信部３５０は、これに応答して、受信した応答を提供情報利用部３１４に出力する。

応答が通信部３５０から出力されると、提供情報利用部３１４は、これに応答して、Ｓ１１９０において、「提供拒否」を意味する結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、「提供拒否」を意味する取得処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、「提供拒否」を意味する取得処理の結果を、利用者３０に通知する。

この後、利用装置３００は、被照合者４０の提供情報６５０の取得処理を終了する。

Ｓ１１７０で、全個人情報の提供項目が提供可能である場合に、提供情報決定部２１６は、Ｓ１１７５において、「提供許可」と判定する。

この場合、提供情報決定部２１６は、Ｓ１１９５において、提供項目と、利用装置３００から受信した提供要求６００とを、提供情報生成部２１４に出力する。

提供項目と提供要求６００が提供情報決定部２１６から出力されると、提供情報生成部２１４は、これに応答して、Ｓ１２００において、記憶部２２０から被照合者４０の保有個人情報を読み出し、提供情報決定部２１６から出力された提供項目にしたがって、読み出した被照合者４０の保有個人情報の中から提供項目に該当する個人情報のみを抽出して、被照合者４０の提供個人情報を生成する。

次に、提供情報生成部２１４は、Ｓ１２０５において、提供情報決定部２１６から出力された提供要求６００の中から要求プライバシーポリシー６２０を抽出する。Ｓ１２０５の後、工程は、図７に示す「Ａ」に進む。

Ｓ１２０５の後、図７に示すように、保有装置２００では、提供情報生成部２１４は、Ｓ１２１０において、被照合者４０の提供情報６５０を生成する。

このＳ１２１０の工程は、以下のＳ１２１５とＳ１２２０の工程からなる。すなわち、提供情報生成部２１４は、Ｓ１２１５において、Ｓ１２００で生成した被照合者４０の提供個人情報を、提供情報６５０の提供個人情報６７０（図５参照）に設定する。次に、提供情報生成部２１４は、Ｓ１２２０において、Ｓ１２０５で抽出した要求プライバシーポリシー６２０を、提供情報６５０の要求プライバシーポリシー６６０（図５参照）に設定する。

Ｓ１２１０で、被照合者４０の提供情報６５０が生成されると、提供情報生成部２１４は、生成した提供情報６５０を通信部２５０に出力する。

提供情報６５０が提供情報生成部２１４から出力されると、通信部２５０は、これに応答して、Ｓ１２２５において、提供情報６５０を利用装置３００に送信する。

利用装置３００では、通信部３５０が、Ｓ１２３０において、保有装置２００から提供情報６５０を受信する。通信部３５０は、これに応答して、受信した提供情報６５０を提供情報利用部３１４に出力する。

提供情報６５０が通信部３５０から出力されると、提供情報利用部３１４は、これに応答して、Ｓ１２３５において、提供情報６５０を取得情報として記憶部３２０の取得情報記憶領域３２４に記憶する。

そして、提供情報利用部３１４は、Ｓ１２４０において、完了を意味する取得処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、完了を意味する取得処理の結果を、利用者３０に通知する。

この後、利用装置３００は、被照合者４０の提供情報６５０の取得処理を終了する。

（提供情報の表示処理動作）
以下、図８を参照して、利用装置３００に提供された被照合者４０の提供情報６５０を出力部３４０のディスプレイに表示する場合の利用装置３００の動作を説明する。なお、図８は、システムの動作を示すフローチャートである。

図８に示すように、利用装置３００では、利用者３０が、任意の時点で、利用装置３００に提供された提供情報６５０、すなわち、利用装置３００の記憶部３２０に記憶された取得情報の閲覧を希望する場合に、出力部３４０のディスプレイを見ながら、入力部３３０を操作して、被照合者４０の提供情報６５０を利用する指示（以下、単に「利用指示」と称する）を利用装置３００に入力する。

被照合者４０の提供情報６５０の利用指示が入力されると、利用装置３００は、これに応答して、以下のようにして、被照合者４０の提供情報６５０の表示処理を実行する。

すなわち、まず、利用装置３００の提供情報利用部３１４は、Ｓ２１０５において、記憶部３２０から被照合者４０の取得情報を読み出し、読み出した取得情報の中から要求プライバシーポリシー６６０を抽出する。

そして、提供情報利用部３１４は、Ｓ２１１０において、記憶部３２０から保有プライバシーポリシーを読み出し、抽出した要求プライバシーポリシー６６０の提供項目の内容と保有プライバシーポリシーの提供項目の内容とを比較して、これにより、被照合者４０の取得情報、すなわち、保有装置２００から提供された提供情報６５０の利用の可否を判定する。

Ｓ２１１０で、要求プライバシーポリシー６６０の提供項目の内容と保有プライバシーポリシーの提供項目の内容とが一致しない場合に、提供情報利用部３１４は、Ｓ２１１５において、「不一致」と判定する。

この場合、被照合者４０の提供情報６５０の利用は、拒否されることになる。したがって、提供情報利用部３１４は、Ｓ２１２０において、提供情報６５０の開示の拒否を意味する利用処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、提供情報６５０の開示の拒否を意味する利用処理の結果を、利用者３０に通知する。

この後、利用装置３００は、被照合者４０の提供情報６５０の利用処理を終了する。

Ｓ２１１０で、要求プライバシーポリシー６６０の提供項目の内容と保有プライバシーポリシーの提供項目の内容とが一致する場合に、提供情報利用部３１４は、Ｓ２１１５において、「一致」と判定する。

この場合、被照合者４０の提供情報６５０の利用は、許可されることになる。したがって、提供情報利用部３１４は、Ｓ２１２５において、記憶部３２０から被照合者４０の取得情報を読み出し、読み出した取得情報の中から、保有プライバシーポリシーによって、利用者３０への利用が許可されている特定項目の個人情報を抽出する。

そして、提供情報利用部３１４は、Ｓ２１３０において、被照合者４０の特定項目の個人情報を出力部３４０に出力し、出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、要求プライバシーポリシー６６０の提供項目の内容と保有プライバシーポリシーの提供項目の内容とが一致すると判定される場合にのみ、特定項目に該当する被照合者４０の提供情報６５０を、利用者３０に開示する。

以上により、利用装置３００は、被照合者４０の提供情報６５０の利用処理を終了する。

（提供情報の保護機能）
この発明に係るシステム１００では、保有装置２００は、利用装置３００から提供要求情報６００を受信すると、これに応答して、提供要求情報６００の中から要求プライバシーポリシー６２０（図４参照）を抽出するとともに、記憶部２２０から予め登録されている保有プレファレンスを読み出す。そして、保有装置２００は、保有プレファレンスと要求プライバシーポリシー６２０とを比較して、被照合者４０の個人情報の中のいずれの項目を提供できるかを判定し、その判定結果に基づいて、被照合者４０の個人情報の一部または全部を、被照合者４０の提供情報６５０として、利用装置３００に送信する。このとき、保有装置２００は、利用装置３００から受信した提供要求情報６００に含まれている要求プライバシーポリシー６２０を、要求プライバシーポリシー６６０として、被照合者４０の提供情報６５０の中に設定して送信する。また、保有装置２００は、表示可能な回数を指定する情報を被照合者４０の提供情報６５０の中に設定して送信する。

利用装置３００は、保有装置２００から被照合者４０の提供情報６５０を受信すると、これに応答して、受信した被照合者４０の提供情報６５０を記憶部３２０に記憶する。

利用装置３００は、被照合者４０の提供情報６５０をディスプレイに表示する場合に、記憶部３２０の中から予め登録されている保有プライバシーポリシーと被照合者４０の提供情報６５０とを読み出す。そして、利用装置３００は、保有プライバシーポリシーと被照合者４０の提供情報６５０の中に含まれている要求プライバシーポリシー６６０とを比較し、両者が一致するときにのみ、被照合者４０の提供情報６５０の中の表示可能な項目の提供個人情報６７０（図５参照）をディスプレイに表示する。すなわち、利用装置３００は、利用装置３００の中に予め登録されている保有プライバシーポリシーを、被照合者４０の提供情報６５０をディスプレイに表示するための「錠」とし、保有装置２００から受信した被照合者４０の提供情報６５０の中に含まれている要求プライバシーポリシー６６０を、被照合者４０の提供情報をディスプレイに表示するための「鍵」として、用いる。

この発明に係るシステム１００では、被照合者４０の提供情報６５０を利用装置３００に送信した後に、個人情報の利用方針が変更された場合に、すなわち、利用装置３００の記憶部３２０の中に予め登録されている保有プライバシーポリシーが変更された場合に、鍵が錠に一致しなくなる。すなわち、この場合に、保有装置２００から受信した被照合者４０の提供情報６５０の中に含まれている要求プライバシーポリシー６６０が、利用装置３００の中に予め登録されている保有プライバシーポリシーに一致しなくなる。そのため、この場合に、利用装置３００は、記憶部３２０の中に被照合者４０の提供情報６５０を記録しているにも関わらず、被照合者４０の提供情報６５０をディスプレイに表示しない。すなわち、この場合に、被照合者４０の提供情報６５０は、利用装置３００の記憶部３２０の中に存在しているにも関わらず、利用者３０には提示されない。

このように、この発明に係るシステム１００では、保有装置２００が、要求プライバシーポリシー６６０（すなわち、利用装置３００が保有装置２００に送信した要求プライバシーポリシー６２０）を被照合者４０の提供情報６５０の中に設定するとともに、利用装置３００が、被照合者４０の提供情報６５０の中に含まれている要求プライバシーポリシー６６０と利用装置３００の記憶部３２０の中に予め登録されている保有プライバシーポリシーとを比較することによって、被照合者４０の提供情報６５０の利用装置３００のディスプレイへの表示の可否を判定している。この仕組みが、この発明で実現する提供情報の保護機能である。

具体的には、システム１００は、以下のように動作する。ここでは、システム１００がデパートとクレジット会社との間に構築されたカード決済システムであるものとし、被照合者４０がデパートのいずれかの支店の店頭でクレジット決済によって商品を購入する場合を例にして、説明する。

予め、被照合者４０となる消費者は、クレジット会社のカードに加入するときに、図示しない装置を操作することにより、または、クレジット会社の保有装置２００を操作することにより、例えば、氏名、住所、および電話番号などの個人情報を、クレジット会社の保有装置２００の記憶部２２０に登録する。このとき、消費者は、プレファレンスとして、例えば、「消費者が商品を購入した支店に限って、氏名と住所のみ提示（すなわち、利用装置３００のディスプレイへの表示）可能とし、電話番号を提示不可とする」旨を、クレジット会社の保有装置２００に登録する。なお、この登録は、消費者の依頼を受けたクレジット会社の社員が行ってもよい。

一方、デパートでは、予め、利用装置３００（ここでは、キャッシュレジスタ）の利用者３０となるデパートの店員が、消費者の提供情報として提供を受ける、氏名、住所、および電話番号などの提供個人情報の項目と、保有プライバシーポリシーとを、利用装置３００の記憶部３２０に登録する。このとき、デパートの店員は、保有プライバシーポリシーとして、例えば、「自店舗の案内メール発送に利用する」旨を登録する。

デパートの店員は、被照合者４０となる消費者が商品を購入する場合に、利用装置３００（ここでは、キャッシュレジスタ）を操作する。利用装置３００は、この操作に応答して、記憶部３２０の中から「自店舗の案内メール発送に利用する」旨を示す保有プライバシーポリシーを読み出し、読み出した保有プライバシーポリシーを要求プライバシーポリシー６２０として、提供要求情報６００（図４参照）に設定し、この提供要求情報６００をクレジット会社の保有装置２００に送信する。

クレジット会社の保有装置２００は、利用装置３００から提供要求情報６００を受信すると、これに応答して、記憶部２２０から予め登録されている被照合者４０の保有プレファレンスを読み出すとともに、受信した提供要求情報６００の中から要求プライバシーポリシー６２０を抽出し、保有プレファレンスと要求プライバシーポリシー６２０とを比較する。その結果、保有装置２００は、「氏名と住所のみ提示可能」と判定する。保有装置２００は、この判定結果に応じて、記憶部２２０から被照合者４０の氏名と住所を読み出し、読み出した被照合者４０の氏名と住所を提供個人情報６７０として被照合者４０の提供情報６５０に設定するとともに、利用装置３００から受信した要求プライバシーポリシー６２０を要求プライバシーポリシー６６０として被照合者４０の提供情報６５０に設定し、被照合者４０の提供情報６５０を利用装置３００に送信する。

利用装置３００は、クレジット会社の保有装置２００から被照合者４０の提供情報６５０を受信すると、これに応答して、被照合者４０の提供情報６５０の中から氏名、住所、および要求プライバシーポリシー６６０（すなわち、利用装置３００がクレジット会社の保有装置２００に送信した「自店舗の案内メール発送に利用する」旨を示す要求プライバシーポリシー６２０）を抽出し、記憶部３２０に蓄積する。

次に、デパートの店員は、例えば、デパートが新規の店舗を開店する場合に、当該新規の店舗の案内メールを消費者に送付する。この場合に、デパートの店員は、利用装置３００の記憶部３２０に登録されている保有プライバシーポリシーを、例えば、「自店舗の案内メール発送に利用する」から「自店舗の案内メール発送、および他店舗の案内メール発送に利用する」に変更して、利用装置３００の記憶部３２０に蓄積された被照合者４０の提供情報６５０を利用装置３００のディスプレイに表示する操作をすることになる。しかしながら、利用装置３００は、デパートの店員がこのような操作を行っても、利用装置３００の記憶部３２０に登録されている変更された保有プライバシーポリシーと、被照合者４０の提供情報６５０に含まれている要求プライバシーポリシー６６０とが一致しないので、被照合者４０の提供情報６５０をディスプレイに表示しない。

このようにして、この発明に係るシステム１００では、提供情報の保護機能を実現している。

なお、上述した従来のシステム５では、消費者である被照合者４０がデパートのいずれかの支店の店頭でクレジット決済によって商品を購入する場合に、住所などの被照合者４０の個人情報は、クレジット会社の保有装置２００に蓄積されるが、クレジット会社の保有装置２００からデパートの利用装置３００には送信されない。デパートは、被照合者４０の個人情報を欲する場合に、別途（例えば、ポイントカードを発行するなどして）、被照合者４０から個人情報を取得する必要がある。

また、利用装置３００の記憶部３２０に記憶された被照合者４０の提供情報６５０は、表示可能な回数が設定されている。そのため、この被照合者４０の提供情報６５０は、表示可能な回数を超過すると、利用者３０に提示されなくなる。この仕組みも、提供情報の保護機能となっている。

この実施例のシステム１００によれば、以下のような効果が得られる。

（１）システム１００の保有装置２００は、被照合者４０の提供情報６５０を利用装置３００に提供するに際して、プレファレンス（すなわち、被照合者４０により定められる提供情報の利用条件を規定する情報）とプライバシーポリシー（すなわち、利用者３０により定められる提供情報の利用基準を規定する情報）とが一致すると判定される場合にのみ、被照合者４０の提供情報６５０を、利用装置３００に提供する。そのため、システム１００は、利用装置３００に提供された被照合者４０の提供情報６５０が提供を要求した利用者３０以外の人物に漏洩するのを防止することができる。これにより、このシステム１００は、悪意ある者による被照合者４０の提供情報６５０の不正な利用を防止することができる。

また、システム１００の利用装置３００は、保有装置２００から提供を受けた被照合者４０の提供情報６５０の利用に際して、提供情報６５０の提供を要求する時に用いた要求プライバシーポリシー６２０を用いて、提供情報６５０を開示するための合意形成を判定している。したがって、仮に、利用者３０が、利用装置３００に提供された提供情報６５０を、提供情報６５０に含まれている要求プライバシーポリシー６６０と提供者２０によって設定された保有プレファレンスとが一致しない内容に変更した場合に、利用装置３００は、これを検出して、提供情報６５０の開示を拒否する。そのため、システム１００は、これによっても、利用装置３００に提供された被照合者４０の提供情報６５０が提供を要求した利用者３０以外の人物に漏洩するのを防止することができる。また、システム１００は、悪意ある者による被照合者４０の提供情報６５０の不正な利用を防止することができる。

（２）システム１００は、保有装置２００と利用装置３００との間でダイレクトに被照合者４０の提供情報６５０を提供する構成になっているので、保有装置２００と利用装置３００との間の、第三者によって管理される管理装置を排除することができる。したがって、このシステム１００は、保有装置２００が被照合者４０の提供情報６５０を提供するための合意形成の判定を直接行う構成にすることができる。これにより、このシステム１００は、被照合者４０の提供情報６５０が、被照合者４０の意図しない者の利用装置３００、特に、被照合者４０が提供を拒否したい人物の利用装置３００に提供されるのを防止することができる。

［実施例２］
この実施例は、利用装置３００に対して各種の動作を実行させる制御機能を保有装置２００に付加するとともに、保有装置２００から各種の動作の制御を受ける機能を利用装置３００に付加したものである。以下、この実施例の保有装置２００を「保有装置２００ａ」と称し、利用装置３００を「利用装置３００ａ」と称する。また、この実施例では、提供情報６５０の構成が、実施例１とは異なる構成に変更されている。以下、この実施例の提供情報６５０を「提供情報６５０ａ」と称する。

なお、背景技術で説明した特許文献１と２のシステムは、いずれも、利用装置に提供された被照合者の提供情報の利用履歴を記録し、その利用履歴を提供者に開示する構成にはなっていない。

また、いずれのシステムも、被照合者の提供情報が悪意ある者によって不正に利用されていることを検出した場合に、その不正利用を提供者に通知する構成にはなっていない。

そのため、いずれのシステムも、悪意ある者による不正利用を早期に発見することができないという課題があった。

この実施例のシステム１００の保有装置２００ａと利用装置３００ａは、この課題も解決している。

＜個人情報提供システムの構成＞
以下、図９と図１０を参照して、実施例２のシステムの構成について説明する。なお、ここでは、保有装置２００ａが、記憶部３２０の取得情報記憶領域３２４に記憶されている被照合者４０の提供情報６５０ａの利用者２０への開示を、利用装置３００ａに指示する場合を例にして、説明する。

図９は、実施例２における個人情報保有装置の内部ブロック図である。この実施例の保有装置２００ａは、実施例１の保有装置２００（図２参照）と以下の点で相違する。

この実施例の保有装置２００ａは、実施例１の保有装置２００に対し、演算部２１０の中に提供情報制御部２１８ａが付加され、記憶部２２０の中に要求元情報記憶領域２２６ａが付加されている。

提供情報制御部２１８ａは、利用装置３００ａに提供された提供情報６５０ａの利用を制御するために、演算部２１０に構築された機能手段である。なお、この実施例では、「提供情報６５０ａの利用」とは、被照合者４０の提供情報６５０ａの利用者３０への開示や、提供情報６５０ａの利用者３０への開示の禁止、提供情報６５０ａの消去、提供情報６５０ａの利用履歴の参照（すなわち、提供情報６５０ａの利用履歴の保有装置２００ａへの送信）などの動作を意味する。

要求元情報記憶領域２２６ａは、提供情報６５０ａの利用を要求する要求元（ここでは、利用装置３００ａ）を表す要求元情報６１０を記憶するために、記憶部２２０に構築された記憶領域である。なお、要求元情報６１０は、提供情報６５０ａを利用装置３００ａに提供する際に、利用装置３００ａから受信する個人情報の提供要求６００の中に、含まれている（図４参照）。

また、この実施例の提供情報生成部２１４ａは、実施例１の提供情報生成部２１４に対し、要求元情報６１０を要求元情報記憶領域２２６ａに記憶する機能と、後述の提供元情報６９０ａ（図１１参照）を提供情報６５０ａに設定する機能とが付加されている。なお、提供元情報６９０ａは、提供元（ここでは、保有装置２００ａ）を表す情報である。

また、この実施例の通信部２５０ａは、実施例１の通信部２５０に対し、後述の制御要求情報（以下、単に「制御要求」と称する）７００ａ（図１２参照）を利用装置３００ａに送信する機能と、利用装置３００ａから提供情報６５０ａを受信する機能と、利用装置３００ａから後述の不正利用通知情報（以下、単に「不正利用通知」と称する）８００ａ（図１４参照）を受信する機能とが付加されている。なお、制御要求７００ａは、利用装置３００ａに対して各種の動作の実行を要求する情報である。また、不正利用通知８００ａは、利用装置３００ａが悪意ある者による不正利用を検出した場合に、悪意ある者による被照合者４０の提供情報６５０ａの不正利用を保有装置２００ａに通知する情報である。

図１０は、実施例２における個人情報利用装置の内部ブロック図である。この実施例の利用装置３００ａは、実施例１の利用装置３００（図３参照）と以下の点で相違する。

この実施例の利用装置３００ａは、実施例１の利用装置３００に対し、記憶部３２０の中に利用履歴情報記憶領域３２６ａが付加されている。

利用履歴情報記憶領域３２６ａは、利用装置３００ａに提供された提供情報６５０ａの利用履歴を表す情報（以下、「利用履歴情報」と称する）を記憶するために、記憶部３２０に構築された記憶領域である。利用履歴情報記憶領域３２６ａは、利用装置３００ａの提供情報利用部３１４ａが被照合者４０の提供情報６５０ａを利用する度に、更新される。

また、この実施例の提供情報利用部３１４ａは、実施例１の提供情報利用部３１４に、提供情報６５０ａの利用履歴を管理する機能が付加されている。

また、この実施例の通信部３５０ａは、実施例１の通信部３５０に、保有装置２００ａに提供情報６５０ａを送信する機能と、保有装置２００ａから制御要求７００ａを受信する機能と、利用装置３００ａが悪意ある者による不正利用を検出した場合に、保有装置２００ａに不正利用通知８００ａを送信する機能とが付加されている。

＜各種情報の構成＞
以下、図１１〜図１４を参照して、この実施例で用いる各種情報の構成について説明する。

図１１は、実施例２における提供情報の構成を示す図である。この実施例で用いる提供情報６５０ａは、利用装置３００ａから保有装置２００ａに送信される提供要求６００に応答して、保有装置２００ａから利用装置３００ａに送信される。なお、この実施例で用いる提供要求６００は、実施例１の提供要求６００の構成（図４参照）と同じである。

図１１に示すように、この実施例に用いる提供情報６５０ａは、実施例１の提供情報６５０に、利用履歴情報６８０ａと、提供元情報６９０ａとを有する構成となっている。

利用履歴情報６８０ａは、被照合者４０の提供情報６５０ａの利用履歴を示す情報である。なお、利用履歴情報６８０ａは、利用履歴以外に、後述の制御要求７００ａや、後述の不正利用通知８００ａを含む構成としてもよい。

提供元情報６９０ａは、被照合者４０の提供情報６５０ａを提供した提供元（ここでは、保有装置２００ａ）を表す情報である。

図１２は、制御要求の構成を示す図である。制御要求７００ａは、利用装置３００ａに対して各種の動作の実行を要求する情報である。制御要求７００ａは、保有装置２００ａによって生成され、保有装置２００ａから利用装置３００ａに送信される。制御要求７００ａは、例えば、利用装置３００ａに提供された被照合者４０の提供情報６５０ａの利用者３０への開示や、提供情報６５０ａの利用者３０への開示の禁止、提供情報６５０ａの消去、提供情報６５０ａの利用履歴の参照（すなわち、提供情報６５０ａの利用履歴の保有装置２００ａへの送信）などの各種の動作のいずれか１つを、利用装置３００ａに指示する。

なお、制御要求７００ａが提供情報６５０ａの利用履歴の参照を指定している場合は、利用装置３００ａは、記憶部３２０の利用履歴情報記憶領域３２６ａから被照合者４０の提供情報６５０ａの利用履歴を読み出して、読み出した利用履歴を保有装置２００ａに送信することになる。保有装置２００ａは、利用装置３００ａからその利用履歴を受信して、受信した利用履歴を出力部２４０のディスプレイに表示する。これにより、システム１００ａは、被照合者４０の提供情報６５０ａの利用履歴を、提供者２０に通知することができる。

図１２に示すように、制御要求７００ａは、提供元情報７１０ａと、制御区分情報７２０ａとを有する構成となっている。

提供元情報７１０ａは、被照合者４０の提供情報６５０ａを提供している提供元（ここでは、保有装置２００ａ）を表す情報である。提供元情報７１０ａは、提供情報６５０ａの提供元情報６９０ａと同様の情報である。

制御区分情報７２０ａは、利用装置３００ａに各種の動作を実行させる際の、動作の制御区分を指定する情報である。この制御区分情報７２０ａは、例えば、被照合者４０の提供情報６５０ａの開示、提供情報６５０ａの開示の禁止、提供情報６５０ａの削除、提供情報６５０ａの利用履歴情報７８０ａの参照のいずれか１つの動作を指定する。

図１３は、制御応答情報の構成を示す図である。制御応答情報７５０ａは、制御要求７００ａに対して生成される応答情報である。制御応答情報７５０ａは、利用装置３００ａによって生成され、利用装置３００ａから保有装置２００ａに送信される。

図１３に示すように、制御応答情報７５０ａは、要求プライバシーポリシー７６０ａと、提供個人情報７７０ａと、利用履歴情報７８０ａと、提供元情報７９０ａとを有する構成となっている。

要求プライバシーポリシー７６０ａは、記憶部３２０の取得情報記憶領域３２４に記憶されている取得情報（すなわち、被照合者４０の提供情報６５０ａ）の中から抽出された要求プライバシーポリシー６６０が設定される。

提供個人情報７７０ａは、記憶部３２０の取得情報記憶領域３２４に記憶された取得情報の中から抽出された提供個人情報６７０が設定される。

利用履歴情報７８０ａは、記憶部３２０の利用履歴情報記憶領域３２６ａに記憶された利用履歴情報６８０ａが設定される。なお、利用履歴情報７８０ａは、利用履歴以外に、制御要求７００ａや、後述の不正利用通知８００ａを含む構成としてもよい。

提供元情報７９０ａは、記憶部３２０の取得情報記憶領域３２４に記憶された取得情報の中から抽出された提供元情報６９０ａが設定される。

図１４は、不正利用通知の構成を示す図である。

不正利用通知８００ａは、被照合者４０の提供情報６５０ａが悪意ある者によって不正利用されている場合に、その不正利用を保有装置２００ａに通知する情報である。不正利用通知８００ａは、利用装置３００ａの提供情報利用部３１４ａが悪意ある者による被照合者４０の提供情報６５０ａの不正利用を検出した場合に、提供情報利用部３１４ａによって生成され、利用装置３００ａから保有装置２００ａに送信される。なお、この実施例では、不正利用通知８００ａは、要求元情報８１０ａによって構成されている。要求元情報８１０ａは、被照合者４０の提供情報６５０ａの提供を要求している要求元（ここでは、利用装置３００ａ）を表す情報である。要求元情報８１０ａは、提供要求６００の要求元情報６１０と同様の情報である。

＜個人情報提供システムの動作＞
以下、この実施例のシステム１００ａの動作を説明する。なお、ここでは、実施例１の保有装置２００と利用装置３００を、それぞれ、保有装置２００ａと利用装置３００ａに読み替えるとともに、保有装置２００と利用装置３００の各構成要素を保有装置２００ａと利用装置３００ａの対応する構成要素に読み替えるものとし、実施例１と異なる動作についてのみ説明する。

（提供情報の提供処理動作）
以下、図１５と図１６を参照して、保有装置２００ａから利用装置３００ａに被照合者４０の提供情報６５０ａを提供する場合のシステム１００ａの動作を説明する。ただし、図１５は、図６と同じ工程を示している。なお、図１５と図１６は、それぞれ、システムの動作を示すフローチャートである。

図１５に示すように、保有装置２００ａと利用装置３００ａは、実施例１（図６参照）と同様に、Ｓ１１１０〜Ｓ１２０５の工程の動作を実行する。そして、Ｓ１２０５の後、工程は、図１６に示す「Ａ」に進む。

Ｓ１２０５の後、図１６に示すように、保有装置２００ａでは、提供情報生成部２１４ａは、Ｓ１２０６において、利用装置３００ａから受信した提供要求６００に含まれている要求元情報６１０を記憶部２２０に出力して、要求元情報６１０を記憶部２２０の要求元情報記憶領域２２６ａに記憶させる。

次に、提供情報生成部２１４ａは、Ｓ１２１０において、被照合者４０の提供情報６５０ａを生成する。

このＳ１２１０の工程は、以下のＳ１２１５とＳ１２２０とＳ１２２１とＳ１２２２の工程からなる。すなわち、提供情報生成部２１４ａは、Ｓ１２１５において、Ｓ１２００で生成した被照合者４０の提供個人情報を、提供情報６５０ａの提供個人情報６７０（図１１参照）に設定する。次に、提供情報生成部２１４ａは、Ｓ１２２０において、Ｓ１２０５で抽出した要求プライバシーポリシー６２０を、提供情報６５０ａの要求プライバシーポリシー６６０（図１１参照）に設定する。次に、提供情報生成部２１４ａは、Ｓ１２２１において、記憶部２２０から利用履歴情報を読み出して、読み出した利用履歴情報を、提供情報６５０ａの利用履歴情報６８０ａ（図１１参照）に設定する。次に、提供情報生成部２１４ａは、Ｓ１２２２において、記憶部２２０から提供元情報を読み出して、読み出した提供元情報を、提供情報６５０ａの提供元情報６９０ａ（図１１参照）に設定する。

Ｓ１２１０で、被照合者４０の提供情報６５０ａが生成されると、提供情報生成部２１４ａは、生成した提供情報６５０ａを通信部２５０ａに出力する。

以下、保有装置２００ａと利用装置３００ａは、実施例１（図７参照）と同様に、Ｓ１２２５〜Ｓ１２４０の工程の動作を実行する。

（提供情報の表示処理動作）
以下、図１７を参照して、利用装置３００ａに提供された被照合者４０の提供情報６５０ａを出力部３４０のディスプレイに表示する場合の保有装置２００ａと利用装置３００ａの動作を説明する。なお、図１７は、システムの動作を示すフローチャートである。図１７は、図８の工程からＳ２１２０を削除し、その代わりに、Ｓ２１１６〜Ｓ２１１９と、Ｓ２１２１と、Ｓ２１５５〜Ｓ２１６０と、Ｓ２１２６とを付加した工程を示している。

図１７に示すように、利用装置３００ａは、実施例１（図８参照）と同様に、Ｓ２１０５〜Ｓ２１１５の工程の動作を実行する。

Ｓ２１１５で、「不一致」と判定された場合に、被照合者４０の提供情報６５０ａの利用は、拒否されることになる。この場合、提供情報利用部３１４ａは、Ｓ２１１６において、被照合者４０の提供情報６５０ａの不正利用を意味する利用履歴情報を記憶部３２０に出力して、その利用履歴情報を記憶部３２０に記憶させる。次に、提供情報利用部３１４ａは、Ｓ２１１７において、提供元を特定し、Ｓ２１１８において、不正利用通知８００ａ（図１４参照）を生成し、生成した不正利用通知８００ａを出力部３４０と通信部３５０ａに出力する。そして、提供情報利用部３１４ａは、Ｓ２１１９において、被照合者４０の提供情報６５０ａの開示の拒否を意味する利用処理の結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００ａは、被照合者４０の提供情報６５０ａの開示の拒否を意味する利用処理の結果を、利用者３０に通知する。

Ｓ２１１８で、不正利用通知８００ａが提供情報利用部３１４ａから通信部３５０ａに出力されると、通信部３５０ａは、これに応答して、Ｓ２１２１において、不正利用通知８００ａを保有装置２００ａに送信する。

この後、利用装置３００ａは、被照合者４０の提供情報６５０ａの利用処理を終了する。

保有装置２００ａでは、通信部２５０ａが、Ｓ２１５５において、利用装置３００ａから不正利用通知８００ａを受信する。通信部２５０ａは、これに応答して、受信した不正利用通知８００ａを提供情報制御部２１８ａに出力する。

不正利用通知８００ａが通信部２５０ａから出力されると、提供情報制御部２１８ａは、これに応答して、Ｓ２１６０において、不正利用通知８００ａを出力部２４０に出力し、不正利用通知８００ａを出力部２４０のディスプレイに表示させる。これにより、保有装置２００ａは、被照合者４０の提供情報６５０ａの不正利用があることを、提供者２０に通知する。

この後、保有装置２００ａは、被照合者４０の提供情報６５０ａの利用処理を終了する。

（保有装置による利用装置の制御処理動作）
以下、図１８を参照して、保有装置２００ａによる利用装置３００ａの制御処理動作について説明する。なお、図１８は、システムの動作を示すフローチャートである。この実施例では、被照合者４０の提供情報６５０ａの利用履歴情報６８０ａを参照する場合を例にして、説明する。

図１８に示すように、保有装置２００ａでは、提供者２０が、任意の時点で、出力部２４０のディスプレイを見ながら、入力部２３０を操作して、利用装置３００ａに各種の処理動作を実行させる指示を入力する。ここでは、提供者２０が、利用装置３００ａに被照合者４０の提供情報６５０ａの利用履歴情報の参照処理を実行させる指示（以下、「利用履歴の参照指示」と称する）を、保有装置２００ａに入力したものとして説明する。なお、利用履歴情報の参照処理とは、利用装置３００ａが、被照合者４０の提供情報６５０ａの利用履歴情報を保有装置２００ａに送信して、利用履歴情報を保有装置２００ａの出力部２４０のディスプレイに表示させる処理を意味する。なお、この保有装置２００への指示の入力は、被照合者４０が提供者２００に代わって行ってもよい。この場合、被照合者４０は、図示しない装置を操作することにより、または、保有装置２００を操作することにより、指示を保有装置２００に入力することになる。

提供者２０によって利用履歴の参照指示が入力されると、保有装置２００ａは、これに応答して、以下のようにして、利用履歴の参照処理を実行する。

すなわち、まず、保有装置２００ａの提供情報制御部２１８ａは、Ｓ３１０５において、記憶部２２０の要求元情報記憶領域２２６ａから、過去の予め定められた期間内に、被照合者４０の提供情報６５０ａの提供を要求した要求元を表す要求元情報を全て読み出して、その中から処理対象の利用装置３００ａを特定する。

次に、提供情報制御部２１８ａは、Ｓ３１１０において、制御要求７００ａ（図１２参照）を生成する。

このＳ３１１０の工程は、以下のＳ３１１５とＳ３１２０の工程からなる。すなわち、提供情報制御部２１８ａは、Ｓ３１１５において、提供者２０によって入力された利用履歴参照指示に基づいて、「利用履歴情報の参照」を、制御要求７００ａの制御区分情報７２０ａ（図１２参照）に設定する。次に、提供情報制御部２１８ａは、Ｓ３１２０において、被照合者４０の提供情報６５０ａの提供元（ここでは、保有装置２００ａ）を特定する情報（以下、「保有装置の特定情報」と称する）を、制御要求７００ａの提供元情報７１０ａ（図１２参照）に設定する。

Ｓ３１１０で、制御要求７００ａが生成されると、提供情報制御部２１８ａは、生成した制御要求７００ａを通信部２５０ａに出力する。

制御要求７００ａが提供情報制御部２１８ａから通信部２５０ａに出力されると、通信部２５０ａは、これに応答して、Ｓ３１２５において、制御要求７００ａを利用装置３００ａに送信する。

利用装置３００ａでは、通信部３５０ａが、Ｓ３１３０において、保有装置２００ａから制御要求７００ａを受信する。通信部３５０ａは、これに応答して、受信した制御要求７００ａを提供情報利用部３１４ａに出力する。

制御要求７００ａが通信部３５０ａから出力されると、提供情報利用部３１４ａは、これに応答して、Ｓ３１３５において、保有装置２００ａから受信した制御要求７００ａの中から提供元情報７１０ａを抽出し、Ｓ３１４０において、提供元を特定する。

次に、提供情報利用部３１４ａは、Ｓ３１４５において、保有装置２００ａから受信した制御要求７００ａの中から制御区分情報７２０ａを抽出し、Ｓ３１５０において、制御区分（ここでは、「利用履歴情報の参照」）を特定する。

次に、提供情報利用部３１４ａは、Ｓ３１５５において、制御要求７００ａに対する応答情報である制御応答情報７５０ａを生成する。

このＳ３１５５の工程は、以下のＳ３１６０〜Ｓ３１７５の工程からなる。すなわち、まず、提供情報利用部３１４ａは、Ｓ３１６０において、記憶部３２０の取得情報記憶領域３２４から処理対象となる取得情報（すなわち、Ｓ３１４０で特定された提供元から提供された被照合者４０の提供情報６５０ａ）を読み出し、読み出した取得情報の中から提供個人情報６７０を抽出し、抽出した提供個人情報６７０を、制御応答情報７５０ａの提供個人情報７７０ａ（図１３参照）に設定する。次に、提供情報利用部３１４ａは、Ｓ３１６５において、取得情報の中から要求プライバシーポリシー６６０（図１１参照）を抽出し、抽出した要求プライバシーポリシー６６０を、制御応答情報７５０ａの要求プライバシーポリシー７６０ａ（図１３参照）に設定する。次に、提供情報利用部３１４ａは、Ｓ３１７０において、記憶部３２０の利用履歴情報記憶領域３２６ａから提供情報６５０ａの利用履歴情報６８０ａを読み出し、読み出した利用履歴情報６８０ａを、制御応答情報７５０ａの利用履歴情報７８０ａ（図１３参照）に設定する。次に、提供情報利用部３１４ａは、Ｓ３１７５において、取得情報の中からＳ３１３５で抽出された提供元情報７１０ａを、制御応答情報７５０ａの提供元情報７９０ａ（図１３参照）に設定する。

Ｓ３１５５で、制御応答情報７５０ａが生成されると、提供情報利用部３１４ａは、生成した制御応答情報７５０ａを通信部３５０ａに出力する。

制御応答情報７５０ａが提供情報利用部３１４ａから出力されると、通信部３５０ａは、これに応答して、Ｓ３１８０において、制御応答情報７５０ａを保有装置２００ａに送信する。

保有装置２００ａでは、通信部２５０ａが、Ｓ３１８５において、利用装置３００ａから制御応答情報７５０ａを受信する。通信部２５０ａは、これに応答して、受信した制御応答情報７５０ａを提供情報制御部２１８ａに出力する。

制御応答情報７５０ａが通信部２５０ａから出力されると、提供情報制御部２１８ａは、これに応答して、Ｓ３１９０において、制御応答情報７５０ａから利用履歴情報７８０ａを抽出する。そして、提供情報制御部２１８ａは、Ｓ３１９５において、抽出した利用履歴情報７８０ａを出力部２４０に出力し、利用履歴情報７８０ａを出力部２４０のディスプレイに表示させる。これにより、保有装置２００ａは、被照合者４０の提供情報６５０ａの利用履歴を、提供者２０に通知する。

この後、保有装置２００ａは、利用装置３００ａの制御処理を終了する。

この実施例のシステム１００によれば、以下のような効果が得られる。

システム１００の保有装置２００ａは、利用装置３００ａに提供した被照合者４０の提供情報６５０ａがどのように利用されているかを、提供者２０に通知することができる。

また、保有装置２００ａは、保有プレファレンスと要求プライバシーポリシーによる合意形成が正当であっても、利用指示や利用頻度から悪意ある者による被照合者４０の提供情報６５０ａの不正利用を検出することも可能となる。

そのため、システム１００は、悪意ある者による被照合者４０の提供情報６５０ａの不正利用を早期に提供者２０に通知することができる。

［実施例３］
この実施例は、利用装置３００を複数設け、提供装置２００から提供された提供情報６５０を他の利用装置３００に転送する機能を、各利用装置３００に付加したものである。なお、この実施例では、利用装置３００の数が２台であるものとして説明するが、利用装置３００の数は２台よりも多くてもよい。以下、この実施例の個人情報提供システム１００を「個人情報システム１００ｂ」と称し、保有装置２００を「保有装置２００ｂ」と称し、利用装置３００を「利用装置３００ｂ」と称する。また、この実施例では、提供情報６５０の構成が、実施例１とは異なる構成に変更されている。以下、この実施例の提供情報６５０を「提供情報６５０ｂ」と称する。

なお、背景技術で説明した特許文献１と２のシステムは、いずれも、利用装置に提供された被照合者の個人情報を、提供を受けた利用装置から他の利用装置に再配布する場合に、被照合者の個人情報を再配布するための合意形成の判定、すなわち、提供者と再配布を受ける利用者との間で被照合者の個人情報を再配布するための合意が形成されたか否かの判定を行う構成になっていない。

そのため、いずれのシステムも、被照合者の個人情報が、被照合者の意図しない者の利用装置、特に、被照合者が提供を拒否したい人物の利用装置に再配布される可能性があるという課題があった。

この実施例のシステム１００ｂの保有装置２００ｂと利用装置３００ｂは、この課題も解決している。

＜個人情報提供システムの構成＞
以下、図１９〜図２１を参照して、この実施例に係る個人情報提供システムの構成を説明する。

図１９は、実施例３における個人情報提供システムのブロック図である。

システム１００ｂは、１台の保有装置２００ｂと、２台の利用装置３００ｂ−１と３００ｂ−２とを有する。この実施例では、一方の利用装置３００ｂ−１が、保有装置２００ｂから提供情報６５０ｂの提供を受け、保有装置２００ｂから提供された提供情報６５０ｂを他方の利用装置３００ｂ−２に転送するものとして説明する。以下、保有装置２００ｂから提供情報６５０ｂの提供を受けた利用装置３００ｂ−１が、提供情報６５０ｂを他の利用装置３００ｂ−２に送信する動作を、「再配布」と称する。なお、この実施例では、保有装置２００ｂの数が１台であるものとして説明するが、保有装置２００ｂの数は複数台であってもよい。

図２０は、実施例３における個人情報保有装置の内部ブロック図である。この実施例の保有装置２００ｂは、実施例１の保有装置２００（図２参照）と以下の点で相違する。

この実施例の保有装置２００ｂは、実施例１の保有装置２００に対し、提供情報生成部２１４に、要求プライバシーポリシー６６０と提供個人情報６７０と提供元情報６９０ａと後述の提供プレファレンス６９５ｂとを有する提供情報６５０ｂを生成して、生成した提供情報６５０ｂを利用装置３００ｂに提供する機能が付加されている。以下、この実施例の提供情報生成部２１４を「提供情報生成部２１４ｂ」と称する。

図２１は、実施例３における個人情報利用装置の内部ブロック図である。この実施例の利用装置３００ｂは、実施例１の利用装置３００（図３参照）と以下の点で相違する。

この実施例の利用装置３００ｂは、実施例１の利用装置３００に対し、演算部３１０の中に再配布制御部３１６ｂが付加され、記憶部３２０の中に利用履歴情報記憶領域３２６ａが付加されている。

再配布制御部３１６ｂは、保有装置２００ａから提供された提供情報６５０ｂの、他の利用装置３００ｂへの再配布を制御するために、演算部２１０に構築された機能手段である。

利用履歴情報記憶領域３２６ａは、利用装置３００ｂに提供された提供情報６５０ｂの利用履歴を表す情報（以下、「利用履歴情報」と称する）を記憶するために、記憶部３２０に構築された記憶領域である。利用履歴情報記憶領域３２６ａは、利用装置３００の提供情報利用部３１４ａが被照合者４０の提供情報６５０ｂを利用する度に、更新される。

また、この実施例の提供情報利用部３１４ｂは、実施例１の提供情報利用部３１４に対し、提供情報６５０ｂの再配布を、保有装置２００ａから提供情報６５０ｂの提供を受けた利用装置３００ｂに要求する再配布要求情報（以下、単に「再配布要求」と称する）９００ｂを生成する機能が付加されている。

また、この実施例の通信部３５０ｂは、実施例１の通信部３５０に、提供情報利用部３１４ｂによって生成された再配布要求９００ｂを他の利用装置３００ｂに送信する機能および他の利用装置３００ｂから再配布要求９００ｂを受信する機能が付加されている。

＜各種情報の構成＞
以下、図２２〜図２４を参照して、この実施例で用いる各種情報の構成について説明する。

図２２は、実施例３における提供情報の構成を示す図である。提供情報６５０ｂは、利用装置３００ｂ−１から保有装置２００ｂに送信される提供要求６００に応答して、保有装置２００ｂから利用装置３００ｂ−１に送信される。なお、この実施例で用いる提供要求６００は、実施例１の提供要求６００の構成（図４参照）と同じである。

図２２に示すように、この実施例に用いる提供情報６５０ｂは、実施例１の提供情報６５０に、提供元情報６９０ａと、提供プレファレンス６９５ｂとを有する構成となっている。

提供元情報６９０ａは、被照合者４０の提供情報６５０ｂを提供した提供元（ここでは、保有装置２００ｂ）を表す情報である。

提供プレファレンス６９５ｂは、提供項目に該当する個人情報のプレファレンスである。提供プレファレンス６９５ｂは、利用装置３００ｂ−１に提供された被照合者４０の提供情報６５０ｂを他の利用装置３００ｂ−２に再配布する場合の条件（以下、「再配布条件」と称する）を規定する。この提供プレファレンス６９５ｂは、記憶部２２０のプレファレンス記憶領域２２４に記憶されている被照合者４０の保有プレファレンスの中から抽出される。

図２３は、提供情報の再配布要求の構成を示す図である。再配布要求９００ｂは、被照合者４０の提供情報６５０ｂの再配布を要求する情報である。再配布要求９００ｂは、保有装置２００ａから提供情報６５０ｂの提供を受けていない利用装置３００ｂ−２が、保有装置２００ａから提供情報６５０ｂの提供を受けた利用装置３００ｂ−１に対して、提供情報６５０ｂの再配布を要求する場合に、利用装置３００ｂ−２によって生成され、利用装置３００ｂ−２から利用装置３００ｂ−１に送信される。

図２３に示すように、再配布要求９００ｂは、要求元情報９１０ｂと、要求プライバシーポリシー９２０ｂと、提供元情報９３０ｂとを有する構成となっている。

要求元情報９１０ｂは、被照合者４０の提供情報６５０ｂの再配布を要求している要求元（ここでは、利用装置３００ｂ−２）を表す情報である。

要求プライバシーポリシー９２０ｂは、利用方針や利用範囲などの、被照合者４０の提供情報６５０ｂの利用基準を規定する情報である。要求プライバシーポリシー９２０ｂは、利用装置３００ｂ−２の記憶部３２０のプライバシーポリシー記憶領域３２２に記憶されている保有プライバシーポリシーが設定される。

提供元情報９３０ｂは、被照合者４０の提供情報６５０ｂを提供している提供元（ここでは、保有装置２００ｂ）を表す情報である。

図２４は、再配布情報の構成を示す図である。再配布情報９５０ｂは、再配布要求９００ｂに対して生成される応答情報である。再配布情報９５０ｂは、保有装置２００ｂから提供情報６５０ｂの提供を受けた利用装置３００ｂ−１が、他の利用装置３００ｂ−２から、再配布要求９００ｂを受信した場合に、利用装置３００ｂ−１によって生成され、利用装置３００ｂ−１から利用装置３００ｂ−２に送信される。

図２４に示すように、再配布情報９５０ｂは、要求プライバシーポリシー９６０ｂと、提供個人情報９７０ｂと、提供元情報９９０ｂと、提供プレファレンス９９５ｂとを有する構成となっている。

要求プライバシーポリシー９６０ｂは、記憶部３２０の取得情報記憶領域３２４に記憶されている取得情報（すなわち、被照合者４０の提供情報６５０ｂ）の中に含まれる要求プライバシー６６０が設定される。

提供個人情報９７０ｂは、記憶部３２０の取得情報記憶領域３２４に記憶された取得情報の中から抽出された提供個人情報６７０が設定される。

提供元情報９９０ｂは、記憶部３２０の取得情報記憶領域３２４に記憶された取得情報の中から抽出された提供元情報６９０ａが設定される。

提供プレファレンス９９５ｂは、記憶部３２０の取得情報記憶領域３２４に記憶された取得情報の中から抽出された提供プレファレンス６９５ｂが設定される。

＜個人情報提供システムの動作＞
以下、この実施例のシステム１００ｂの動作を説明する。なお、ここでは、実施例１の保有装置２００と利用装置３００を、それぞれ、保有装置２００ｂと利用装置３００ｂ−１に読み替えるとともに、保有装置２００と利用装置３００の各構成要素を保有装置２００ｂと利用装置３００ｂ−１の対応する構成要素に読み替えるものとし、実施例１と異なる動作についてのみ説明する。

（提供情報の提供処理動作）
以下、図２５と図２６を参照して、保有装置２００ｂから利用装置３００ｂ−１に被照合者４０の提供情報６５０ｂを提供する場合のシステム１００ｂの動作を説明する。なお、図２５と図２６は、それぞれ、システムの動作を示すフローチャートである。

図２５に示すように、保有装置２００ｂと利用装置３００ｂ−１は、実施例１（図６参照）と同様に、Ｓ１１１０〜Ｓ１２００の工程の動作を実行する。

Ｓ１２００で、被照合者４０の提供個人情報が生成されると、保有装置２００ｂの提供情報生成部２１４ｂは、Ｓ１２０１において、提供情報決定部２１６から出力された被照合者４０の個人情報の提供項目にしたがって、記憶部２２０のプレファレンス記憶領域２２４から被照合者４０の保有プレファレンスを読み出し、読み出した被照合者４０の保有プレファレンスの中から提供プレファレンス、すなわち、提供項目に該当する個人情報のプレファレンスのみを抽出する。

次に、提供情報生成部２１４ｂは、Ｓ１２０５において、提供情報決定部２１６から出力された提供要求６００の中から要求プライバシーポリシー６２０を抽出する。Ｓ１２０５の後、工程は、図２６に示す「Ａ」に進む。

Ｓ１２０５の後、図２６に示すように、保有装置２００ｂでは、提供情報生成部２１４ｂは、Ｓ１２１０において、被照合者４０の提供情報６５０ｂを生成する。

このＳ１２１０の工程は、以下のＳ１２１５とＳ１２２０とＳ１２２２とＳ１２２３とＳ１２２４の工程からなる。すなわち、まず、提供情報生成部２１４ｂは、Ｓ１２１５において、Ｓ１２００で生成した被照合者４０の提供個人情報を、提供情報６５０ｂの提供個人情報６７０（図２２参照）に設定する。次に、提供情報生成部２１４ｂは、Ｓ１２２０において、Ｓ１２０５で抽出した要求プライバシーポリシー６２０を、提供情報６５０ｂの要求プライバシーポリシー６６０（図２２参照）に設定する。次に、提供情報生成部２１４ｂは、Ｓ１２２２において、記憶部２２０から提供元情報を読み出して、読み出した提供元情報を、提供情報６５０ｂの提供元情報６９０ａ（図２２参照）に設定する。次に、提供情報生成部２１４ｂは、Ｓ１２２３において、Ｓ１２０１で抽出された被照合者４０の提供プレファレンスを、提供情報６５０ｂの提供プレファレンス６９５ｂ（図２２参照）に設定する。次に、提供情報生成部２１４ｂは、Ｓ１２２４において、被照合者４０の提供情報６５０ｂを利用装置３００ｂ−１に提供した履歴を表す提供履歴情報を記憶部２２０の個人情報記憶領域２２２に記憶する。

Ｓ１２１０で、被照合者４０の提供情報６５０ｂが生成されると、提供情報生成部２１４ｂは、生成した提供情報６５０ｂを通信部２５０に出力する。

提供情報６５０ｂが提供情報生成部２１４ｂから出力されると、通信部２５０は、これに応答して、Ｓ１２２５において、提供情報６５０ｂを利用装置３００ｂ−１に送信する。

以下、保有装置２００ｂと利用装置３００ｂ−１は、実施例１（図７参照）と同様に、Ｓ１２２５〜Ｓ１２４０の工程の動作を実行する。

この後、利用装置３００ｂは、被照合者４０の提供情報６５０ｂの取得処理を終了する。

（提供履歴情報の通知処理動作）
図２６に示すＳ１２４０の後、保有装置２００ｂは、保有装置２００ｂに接続されている全ての利用装置３００ｂに対して、被照合者４０の提供情報６５０ｂを利用装置３００ｂ−１に提供した場合の提供履歴情報（以下、単に「提供履歴」と称する）の通知処理を行う。

以下、図２７を参照して、被照合者４０の提供情報６５０ｂの提供履歴の通知処理における、保有装置２００ｂと各利用装置３００ｂの動作を説明する。なお、図２７は、システムの動作を示すフローチャートである。

図２７に示すように、図２６に示すＳ１２４０の後、保有装置２００ｂでは、提供情報生成部２１４ｂが、Ｓ１２５５において、被照合者４０の提供情報６５０ｂを利用装置３００ｂ−１に提供した履歴を各利用装置３００ｂに通知する提供履歴通知情報を生成し、生成した提供履歴通知情報を通信部２５０に出力する。この提供履歴通知情報は、提供情報生成部２１４ｂが、記憶部２２０から提供履歴情報を読み出し、さらに、その提供履歴情報の中から各利用装置３００ｂに通知可能な項目の情報を抽出して、抽出した項目の情報を予め定められた形式に設定することによって生成される。

提供履歴通知情報が提供情報生成部２１４ｂから出力されると、通信部２５０は、これに応答して、Ｓ１２６０において、提供履歴通知情報を保有装置２００ｂに接続されている全ての利用装置３００ｂに送信する。

各利用装置３００ｂでは、通信部３５０ｂが、Ｓ１２６５において、保有装置２００ｂから提供履歴通知情報を受信する。通信部３５０ｂは、これに応答して、受信した提供履歴通知情報を提供情報利用部３１４ｂに出力する。

提供履歴通知情報が通信部３５０ｂから出力されると、提供情報利用部３１４ｂは、これに応答して、Ｓ１２７０において、提供履歴通知情報を取得情報として記憶部３２０の取得情報記憶領域３２４に記憶する。

この後、保有装置２００ｂと各利用装置３００ｂは、被照合者４０の提供情報６５０ｂの提供履歴の通知処理を終了する。

なお、この実施例では、Ｓ１２５５〜Ｓ１２７０の工程は、Ｓ１２４０の後に行うものとして説明した。しかしながら、Ｓ１２５５〜Ｓ１２７０の工程は、Ｓ１２２５〜Ｓ１２６０の工程と並行して実行してもよい。

（提供情報の再配布処理動作）
図２７に示すＳ１２７０の後、保有装置２００ｂから提供情報６５０ｂの提供を受けた利用装置３００ｂ−１と、保有装置２００ｂから提供情報６５０ｂの提供を受けていない利用装置３００ｂ−２との間で、提供情報６５０ｂの再配布処理が行われる場合がある。

以下、図２８と図２９を参照して、提供情報６５０ｂの再配布処理における、利用装置３００ｂ−１と３００ｂ−２の動作を説明する。なお、図２８と図２９は、それぞれ、システムの動作を示すフローチャートである。

図２８に示すように、利用装置３００ｂ−２では、利用者３０が、任意の時点で、出力部３４０のディスプレイを見ながら、入力部３３０を操作して、被照合者４０の提供情報６５０ｂの再配布処理を実行する指示（以下、単に「再配布指示」と称する）を利用装置３００ｂ−２に入力する。

被照合者４０の提供情報６５０ｂの再配布指示が入力されると、利用装置３００ｂ−２は、これに応答して、以下のようにして、被照合者４０の提供情報６５０ｂの再配布処理を実行する。

すなわち、まず、利用装置３００ｂ−２の提供情報利用部３１４ｂは、被照合者４０の提供情報６５０ｂの再配布指示にしたがって、Ｓ４１０５において、記憶部３２０から提供履歴通知情報を読み出して、読み出した提供履歴通知情報の中から再配布を要請する被照合者４０の提供情報６５０ｂを特定し、さらに、その提供情報６５０ｂの提供元（すなわち、保有装置２００ｂ）を特定する。

次に、提供情報利用部３１４ｂは、Ｓ４１１０において、提供情報６５０ｂの再配布要求９００ｂを生成する。

このＳ４１１０の工程は、以下のＳ４１１５とＳ４１２０とＳ４１２５の工程からなる。すなわち、まず、提供情報利用部３１４ｂは、Ｓ４１１５において、Ｓ４１０５で特定した提供元を表す情報（すなわち、提供元の保有装置の特定情報）を、再配布要求９００ｂの提供元情報９３０ｂ（図２３参照）に設定する。次に、提供情報利用部３１４ｂは、Ｓ４１２０において、記憶部３２０から保有プライバシーポリシーを読み出し、その内容に基づいて要求プライバシーポリシーを生成し、生成した要求プライバシーポリシーを、再配布要求９００ｂの要求プライバシーポリシー９２０ｂ（図２３参照）に設定する。次に、提供情報利用部３１４ｂは、Ｓ４１２５において、記憶部３２０から被照合者４０の提供情報６５０ｂの再配布を要求している要求元を表す要求元情報を読み出し、読み出した要求元情報を、再配布要求９００ｂの要求元情報９１０ｂ（図２３参照）に設定する。

Ｓ４１１０で、被照合者４０の提供情報６５０ｂの再配布要求９００ｂが生成されると、提供情報利用部３１４ｂは、生成した再配布要求９００ｂを通信部３５０ｂに出力する。

再配布要求９００ｂが提供情報利用部３１４ｂから出力されると、通信部３５０ｂは、これに応答して、Ｓ４１３０において、再配布要求９００ｂを利用装置３００ｂ−１に送信する。

利用装置３００ｂ−１では、通信部３５０ｂが、Ｓ４１３５において、利用装置３００ｂ−２から再配布要求９００ｂを受信する。通信部３５０ｂは、これに応答して、受信した再配布要求９００ｂを再配布制御部３１６ｂに出力する。

再配布要求９００ｂが通信部３５０ｂから出力されると、再配布制御部３１６ｂは、これに応答して、Ｓ４１４０において、再配布要求９００ｂの中から提供元情報９３０ｂを抽出し、さらに、Ｓ４１４５において、再配布の対象となっている被照合者４０の提供情報６５０ｂを特定する。

次に、再配布制御部３１６ｂは、Ｓ４１５０において、再配布要求９００ｂの中から要求プライバシーポリシー９２０ｂを抽出し、さらに、Ｓ４１５５において、記憶部３２０からＳ４１４５で特定した被照合者４０の提供情報６５０ｂを読み出し、被照合者４０の提供情報６５０ｂの中から提供プレファレンスを抽出する。

そして、再配布制御部３１６ｂは、Ｓ４１６０において、Ｓ４１５０で抽出した要求プライバシーポリシー９２０ｂとＳ４１５５で抽出した提供プレファレンスとを比較して、要求プライバシーポリシー９２０ｂと提供プレファレンスのそれぞれの条件が一致するか否かを判定し、これによって、再配布の可否を判定する。

Ｓ４１６０で、要求プライバシーポリシー９２０ｂと提供プレファレンスのそれぞれの条件が一致しない場合に、再配布制御部３１６ｂは、Ｓ４１６５において、「再配布拒否」と判定する。

この場合、再配布制御部３１６ｂは、「再配布拒否」を意味する応答を通信部３５０ｂに出力する。

「再配布拒否」を意味する応答が再配布制御部３１６ｂから出力されると、通信部３５０ｂは、これに応答して、Ｓ４１７０において、「再配布拒否」を意味する応答を利用装置３００ｂ−２に送信する。

利用装置３００ｂ−２では、通信部３５０ｂが、Ｓ４１７５において、利用装置３００ｂ−１から「再配布拒否」を意味する応答を受信する。通信部３５０ｂは、これに応答して、受信した応答を提供情報利用部３１４ｂに出力する。

応答が通信部３５０ｂから出力されると、提供情報利用部３１４ｂは、これに応答して、Ｓ４１８０において、「再配布拒否」を意味する再配布処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００ｂ−２は、「再配布拒否」を意味する再配布処理の結果を、利用者３０に通知する。

この後、利用装置３００ｂ−２は、被照合者４０の提供情報６５０ｂの再配布処理を終了する。

Ｓ４１６０で、要求プライバシーポリシー９２０ｂと提供プレファレンスのそれぞれの条件が一致する場合に、再配布制御部３１６ｂは、Ｓ４１６５において、「再配布許可」と判定する。

この場合、再配布制御部３１６ｂは、Ｓ４１８５において、再度、Ｓ４１５０で抽出した要求プライバシーポリシー９２０ｂとＳ４１５５で抽出した提供プレファレンスとを比較して、再配布対象となっている被照合者４０の提供情報６５０ｂの提供項目に関するプレファレンスの有無、特に、要求プライバシーポリシー９２０ｂにて必須とされる提供情報６５０ｂの提供項目に関するプレファレンスの有無などを判定し、これによって、再配布対象となっている被照合者４０の提供情報６５０ｂの提供項目の有無を判定する。

Ｓ４１８５で、再配布対象となっている被照合者４０の提供情報６５０ｂの提供項目に関するプレファレンスが無い場合に、再配布制御部３１６ｂは、Ｓ４１９０において、「提供情報無し」と判定する。

この場合、再配布制御部３１６ｂは、「提供情報無し」を意味する応答を通信部３５０ｂに出力する。

「提供情報無し」を意味する応答が再配布制御部３１６ｂから出力されると、通信部３５０ｂは、これに応答して、Ｓ４１９５において、「提供情報無し」を意味する応答を利用装置３００ｂ−２に送信する。

利用装置３００ｂ−２では、通信部３５０ｂが、Ｓ４２００において、利用装置３００ｂ−１から「提供情報無し」を意味する応答を受信する。通信部３５０ｂは、これに応答して、受信した応答を提供情報利用部３１４ｂに出力する。

応答が通信部３５０ｂから出力されると、提供情報利用部３１４ｂは、これに応答して、Ｓ４２０５において、「提供情報無し」を意味する再配布処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００は、「提供情報無し」を意味する再配布処理の結果を、利用者３０に通知する。

この後、利用装置３００ｂ−２は、被照合者４０の提供情報６５０ｂの再配布処理を終了する。

Ｓ４１８５で、再配布対象となっている被照合者４０の提供情報６５０ｂの提供項目に関するプレファレンスがある場合に、再配布制御部３１６ｂは、Ｓ４１９０において、「提供情報有り」と判定する。

この場合、再配布制御部３１６ｂは、Ｓ４２１０において、再度、Ｓ４１５０で抽出した要求プライバシーポリシー９２０ｂとＳ４１５５で抽出した提供プレファレンスとを比較して、再配布対象となっている被照合者４０の提供情報６５０ｂの全個人情報の提供項目の提供の可否、特に、要求プライバシーポリシー９２０ｂにて必須とされる全個人情報の提供項目の提供の可否などを判定し、これによって、利用装置３００ｂ−２への被照合者４０の提供情報６５０ｂの再配布の可否を判定する。

Ｓ４２１０で、再配布対象となっている被照合者４０の提供情報６５０ｂの全個人情報の提供項目が提供不可である場合に、再配布制御部３１６ｂは、Ｓ４２１５において、「再配布拒否」と判定する。

この場合、再配布制御部３１６ｂは、「再配布拒否」を意味する応答を通信部３５０ｂに出力する。

「再配布拒否」を意味する応答が再配布制御部３１６ｂから出力されると、通信部３５０ｂは、これに応答して、Ｓ４２２０において、「再配布拒否」を意味する応答を利用装置３００ｂ−２に送信する。

利用装置３００ｂ−２では、通信部３５０ｂが、Ｓ４２２５において、利用装置３００ｂ−１から「再配布拒否」を意味する応答を受信する。通信部３５０ｂは、これに応答して、受信した応答を提供情報利用部３１４ｂに出力する。

応答が通信部３５０ｂから出力されると、提供情報利用部３１４ｂは、これに応答して、Ｓ４２３０において、「再配布拒否」を意味する結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００ｂ−２は、「再配布拒否」を意味する再配布処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００ｂ−２は、「再配布拒否」を意味する再配布処理の結果を、利用者３０に通知する。

この後、利用装置３００ｂ−２は、被照合者４０の提供情報６５０ｂの再配布処理を終了する。

Ｓ４２１０で、再配布対象となっている被照合者４０の提供情報６５０ｂの全個人情報の提供項目が提供可能である場合に、再配布制御部３１６ｂは、Ｓ４２１５において、「再配布許可」と判定する。

この場合、再配布制御部３１６ｂは、Ｓ４２３５において、記憶部３２０から再配布対象となっている被照合者４０の提供情報６５０ｂを読み出し、読み出した被照合者４０の提供情報６５０ｂの中から、要求プライバシーポリシー６６０によって利用者３０への利用が要求されている提供個人情報６７０のみを抽出する。さらに、再配布制御部３１６ｂは、Ｓ４２４０において、読み出した被照合者４０の提供情報６５０ｂの中から、Ｓ４２３５で抽出した提供個人情報６７０の提供プレファレンス６９５ｂを抽出する。Ｓ４２４０の後、工程は、図２９に示す「Ｂ」に進む。

Ｓ４２４０の後、図２９に示すように、利用装置３００ｂ−１では、再配布制御部３１６ｂは、Ｓ４２４５において、被照合者４０の再配布情報９５０ｂを生成する。

このＳ４２４５の工程は、以下のＳ４２５０とＳ４２５５とＳ４２６０とＳ４２６５とＳ４２７０の工程からなる。すなわち、まず、再配布制御部３１６ｂは、Ｓ４２５０において、Ｓ４２３５で抽出した被照合者４０の提供個人情報を、再配布情報９５０ｂの提供個人情報９７０ｂ（図２４参照）に設定する。次に、再配布制御部３１６ｂは、Ｓ４２５５において、Ｓ４１５０で抽出した要求プライバシーポリシー６６０を、再配布情報９５０ｂの要求プライバシーポリシー９６０ｂ（図２４参照）に設定する。次に、再配布制御部３１６ｂは、Ｓ４２６０において、Ｓ４１４０で抽出した提供元情報６９０ａを、再配布情報９５０ｂの提供元情報９９０ｂ（図２４参照）に設定する。次に、再配布制御部３１６ｂは、Ｓ４２６５において、Ｓ４２４０で抽出した被照合者４０の提供プレファレンス６９５ｂを、再配布情報９５０ｂの提供プレファレンス９９５ｂ（図２４参照）に設定する。次に、再配布制御部３１６ｂは、Ｓ４２７０において、被照合者４０の再配布情報９５０ｂを利用装置３００ｂ−２に提供した履歴を表す再配布履歴情報を記憶部３２０の利用履歴情報記憶領域３２６ａに記憶する。

Ｓ４２４５で、被照合者４０の再配布情報９５０ｂが生成されると、再配布制御部３１６ｂは、生成した再配布情報９５０ｂを通信部３５０に出力する。

再配布情報９５０ｂが再配布制御部３１６ｂから出力されると、通信部３５０ｂは、これに応答して、Ｓ４２７５において、再配布情報９５０ｂを利用装置３００ｂ−２に送信する。

利用装置３００ｂ−２では、通信部３５０ｂが、Ｓ４２８０において、利用装置３００ｂ−１から再配布情報９５０ｂを受信する。通信部３５０ｂは、これに応答して、受信した再配布情報９５０ｂを提供情報利用部３１４ｂに出力する。

再配布情報９５０ｂが通信部３５０ｂから出力されると、提供情報利用部３１４ｂは、これに応答して、Ｓ４２８５において、再配布情報９５０ｂを取得情報として記憶部３２０の取得情報記憶領域３２４に記憶する。

そして、提供情報利用部３１４ｂは、Ｓ４２９０において、完了を意味する再配布処理の結果を出力部３４０に出力し、結果を出力部３４０のディスプレイに表示させる。これにより、利用装置３００ｂ−２は、完了を意味する再配布処理の結果を、利用者３０に通知する。

この後、利用装置３００ｂ−２は、被照合者４０の再配布情報９５０ｂの再配布処理を終了する。

この実施例のシステム１００ｂによれば、以下のような効果が得られる。

すなわち、このシステム１００ｂによれば、利用装置３００ｂ−１は、利用装置３００ｂ−２から再配布要求９００ｂを受信すると、再配布要求９００ｂに含まれている要求プライバシーポリシー９２０ｂと被照合者４０の提供情報６５０ｂに含まれている提供プレファレンス６９５ｂとを比較する。なお、提供プレファレンス６９５ａは、提供者２０によって予め定められた提供項目に該当する被照合者４０の提供情報６５０ｂの保有プレファレンスに一致する。そして、利用装置３００ｂ−１は、要求プライバシーポリシー９２０ｂと提供プレファレンス６９５ｂのそれぞれの条件が一致する場合に、すなわち、要求プライバシーポリシー９２０ｂが提供プレファレンス６９５ｂの規定する利用制限範囲内である場合に、被照合者４０の再配布情報９５０ｂの再配布を実行することができる。そのため、システム１００ｂによれば、被照合者４０の再配布情報９５０ｂを再配布する場合に、被照合者４０の再配布情報９５０ｂが被照合者４０の意図しない利用装置３００ｂに再配布されるのを防止することができる。

［実施例４］
この実施例は、実施例２の利用装置３００ａに対してさらに多くの動作を実行させる制御機能を保有装置２００ａに付加するとともに、保有装置２００ａから各種の動作の制御を受ける機能を利用装置３００ａに付加したものである。以下、この実施例の保有装置２００ａを「保有装置２００ｃ」と称し、利用装置３００ａを「利用装置３００ｃ」と称する。

＜個人情報提供システムの構成＞
以下、図３０と図３１を参照して、実施例４のシステムの構成について説明する。なお、ここでは、保有装置２００ｃが、記憶部３２０の利用履歴情報記憶領域３２６ａに記憶されている被照合者４０の提供情報６５０ａの利用履歴情報７８０ａの削除や、記憶部３２０の取得情報記憶領域３２４に記憶されている提供個人情報６７０の変更、または、その提供個人情報６７０の削除のいずれか１つを、利用装置３００ｃに指示する場合を例にして、説明する。なお、以下、提供個人情報６７０の変更、または、その提供個人情報６７０の削除などの動作を、「編集」と称する。

図３０は、実施例４における個人情報保有装置の内部ブロック図である。この実施例の保有装置２００ｃは、実施例２の保有装置２００ａ（図９参照）と以下の点で相違する。

この実施例の保有装置２００ｃの提供情報制御部２１８ｃは、実施例２の保有装置２００ａの提供情報制御部２１８ａに対し、記憶部３２０の利用履歴情報記憶領域３２６ａに記憶された利用履歴情報７８０ａの削除を要求する機能と、記憶部３２０の取得情報記憶領域３２４に記憶されている提供個人情報６７０の編集（すなわち、変更または削除）を要求する機能とが付加されている。なお、この実施例では、「提供情報６５０ａの利用」とは、被照合者４０の提供情報６５０ａの利用者３０への開示や、提供情報６５０ａの利用者３０への開示の禁止、提供情報６５０ａの消去、提供情報６５０ａの利用履歴の参照（すなわち、提供情報６５０ａの利用履歴の保有装置２００ａへの送信）、利用履歴の削除、提供個人情報６７０の変更、提供個人情報６７０の削除などの動作を意味する。

図３１は、実施例４における個人情報利用装置の内部ブロック図である。この実施例の利用装置３００ｃは、実施例２の利用装置３００ａ（図１０参照）と以下の点で相違する。

この実施例の利用装置３００ｃの提供情報利用部３１４ｃは、実施例２の利用装置３００ａの提供情報利用部３１４ａに対し、記憶部３２０の利用履歴情報記憶領域３２６ａに記憶された利用履歴情報７８０ａを削除する機能と、記憶部３２０の取得情報記憶領域３２４に記憶されている提供個人情報６７０を編集（すなわち、変更または削除）する機能とが付加されている。

＜各種情報の構成＞
以下、図３２を参照して、この実施例で用いる各種情報の構成について説明する。

図３２は、実施例４における制御要求の構成を示す図である。この実施例で用いる制御要求７００ｃは、実施例２の制御要求７００ａと同様に、利用装置３００ｃに対して各種の動作の実行を要求する情報である。制御要求７００ｃは、保有装置２００ｃによって生成され、保有装置２００ｃから利用装置３００ｃに送信される。制御要求７００ｃは、例えば、利用装置３００ｃに提供された被照合者４０の提供情報６５０ａの利用者３０への開示や、提供情報６５０ａの利用者３０への開示の禁止、提供情報６５０ａの消去、提供情報６５０ａの利用履歴の参照（すなわち、提供情報６５０ａの利用履歴の保有装置２００ｃへの送信）、利用履歴の削除、提供個人情報６７０の変更、提供個人情報６７０の削除などの各種の動作のいずれか１つを、利用装置３００ｃに指示する。

図３２に示すように、この実施例に用いる制御要求７００ｃは、提供元情報７１０ａと、制御区分情報７２０ｃと、処理内容情報７３０ｃとを有する構成となっている。

提供元情報７１０ａは、被照合者４０の提供情報６５０ａを提供している提供元（ここでは、保有装置２００ｃ）を表す情報である。提供元情報７１０ａは、提供情報６５０ａの提供元情報６９０ａと同様の情報である。

制御区分情報７２０ｃは、利用装置３００ｃに各種の動作を実行させる際の、動作の制御区分を指定する情報である。この制御区分情報７２０ｃは、例えば、被照合者４０の提供情報６５０ａの開示、提供情報６５０ａの開示の禁止、提供情報６５０ａの消去、提供情報６５０ａの利用履歴情報７８０ａの参照、利用履歴情報７８０ａの削除、提供個人情報６７０の変更、提供個人情報６７０の削除のいずれか１つの動作を指定する。

処理内容情報７３０ｃは、提供個人情報６７０の変更を行う場合に設定される、変更後の内容を表す情報である。

なお、この実施例で用いる提供要求６００は、実施例１と２の提供要求６００の構成（図４参照）と同じである。

また、この実施例で用いる提供情報６５０ａは、実施例２の提供情報６５０ａの構成（図１１参照）と同じである。

また、この実施例で用いる制御応答情報７５０ａは、実施例２の制御応答情報７５０ａの構成（図１３参照）と同じである。

また、この実施例で用いる不正利用通知８００ａは、実施例２の不正利用通知８００ａの構成（図１４参照）と同じである。

＜個人情報提供システムの動作＞
以下、この実施例のシステム１００ｃの動作を説明する。なお、ここでは、実施例２の保有装置２００ａと利用装置３００ａを、それぞれ、保有装置２００ｃと利用装置３００ｃに読み替えるとともに、保有装置２００ａと利用装置３００ａの各構成要素を保有装置２００ｃと利用装置３００ｃの対応する構成要素に読み替えるものとし、実施例２と異なる動作についてのみ説明する。

（提供情報の提供処理動作）
この実施例における提供情報６５０ａの提供処理動作は、実施例２の動作と同様である（図１５と図１６参照）ので、ここでは説明を省略する。

（提供情報の表示処理動作）
この実施例における提供情報６５０ａの表示処理動作は、実施例２の動作と同様である（図１７参照）ので、ここでは説明を省略する。

（提供情報の利用履歴情報の参照処理動作）
この実施例における提供情報６５０ａの利用履歴情報６８０ａの参照処理動作は、実施例２の動作と同様である（図１８参照）ので、ここでは説明を省略する。

（保有装置による利用装置の制御処理動作）
以下、図３３を参照して、保有装置２００ｃによる利用装置３００ｃの制御処理動作について説明する。なお、図３３は、システムの動作を示すフローチャートである。この実施例では、記憶部３２０に記憶されている被照合者４０の提供情報６５０ａの利用履歴情報６８０ａを消去する場合、記憶部３２０に記憶されている提供個人情報６７０を変更する場合、および、記憶部３２０に記憶されている提供個人情報６７０を消去する場合を例にして、説明する。

図３３に示すように、保有装置２００ｃでは、提供者２０が、任意の時点で、出力部２４０のディスプレイを見ながら、入力部２３０を操作して、利用装置３００ｃに各種の処理動作を実行させる指示（以下、「各種の処理指示」と称する）を入力する。ここでは、提供者２０が、利用装置３００ｃに被照合者４０の個人情報６５０ａの利用履歴情報６８０ａの消去処理を実行させる指示（以下、「利用履歴の消去指示」と称する）、または、利用装置３００ｃに提供個人情報６７０の変更処理を実行させる指示（以下、「提供個人情報の変更指示」と称する）、または、利用装置３００ｃに提供個人情報６７０の消去処理を実行させる指示（以下、「提供個人情報の消去指示」と称する）のいずれか１つを、保有装置２００ｃに入力したものとして説明する。なお、この保有装置２００への指示の入力は、被照合者４０が提供者２０に代わって行ってもよい。この場合、被照合者４０は、図示しない装置を操作することにより、または、保有装置２００を操作することにより、指示を保有装置２００に入力することになる。

提供者２０によって各種の処理指示が入力されると、保有装置２００ｃは、これに応答して、以下のようにして、各種の処理を実行する。

すなわち、まず、保有装置２００ｃの提供情報制御部２１８ｃは、Ｓ５１０５において、記憶部２２０の要求元情報記憶領域２２６ａから、過去の予め定められた期間内に、被照合者４０の個人情報の利用を要求した要求元を表す要求元情報を全て読み出して、その中から処理対象の利用装置３００ｃを特定する。

次に、提供情報制御部２１８ｃは、Ｓ５１１０において、制御要求７００ｃを生成する。

このＳ５１１０の工程は、以下のＳ５１１５〜Ｓ５１３０の工程からなる。すなわち、提供情報制御部２１８ｃは、Ｓ５１１５において、提供者２０によって入力された各種の処理指示に基づいて、「利用履歴情報の削除」または「提供個人情報の変更」または「提供個人情報の削除」のいずれかを、制御要求７００ｃの制御区分情報７２０ｃ（図３２参照）に設定する。次に、提供情報制御部２１８ｃは、Ｓ５１２０において、制御区分情報７２０ｃが提供個人情報６７０の変更か否かを判定する。Ｓ５１２０で、制御区分情報７２０ｃが提供個人情報６７０の変更であると判定される場合に、提供情報制御部２１８ｃは、Ｓ５１２５において、提供者２０によって入力された各種の処理指示に基づいて、提供個人情報６７０の変更内容を、制御要求７００ｃの処理内容情報７３０ｃ（図３２参照）に設定する。なお、Ｓ５１２０で、制御区分情報７２０ｃが提供個人情報６７０の変更でないと判定される場合に、工程は、Ｓ５１３０に進む。次に、提供情報制御部２１８ｃは、Ｓ５１３０において、被照合者４０の提供情報６５０ａの提供元（ここでは、保有装置２００ｃ）を特定する情報（以下、「保有装置の特定情報」と称する）を、制御要求７００ｃの提供元情報７１０ａ（図３２参照）に設定する。

Ｓ５１１０で、制御要求７００ｃが生成されると、提供情報制御部２１８ｃは、生成した制御要求７００ｃを通信部２５０ａに出力する。

制御要求７００ｃが提供情報制御部２１８ｃから通信部２５０ａに出力されると、通信部２５０ａは、これに応答して、Ｓ５１３５において、制御要求７００ｃを利用装置３００ｃに送信する。

利用装置３００ｃでは、通信部３５０ａが、Ｓ５１４０において、保有装置２００ｃから制御要求７００ｃを受信する。通信部３５０ａは、これに応答して、受信した制御要求７００ｃを提供情報利用部３１４ｃに出力する。

制御要求７００ｃが通信部３５０ａから出力されると、提供情報利用部３１４ｃは、これに応答して、Ｓ５１４５において、保有装置２００ｃから受信した制御要求７００ｃの中から提供元情報７１０ａを抽出し、Ｓ５１５０において、提供元を特定する。

次に、提供情報利用部３１４ｃは、Ｓ５１５５において、保有装置２００ｃから受信した制御要求７００ｃの中から制御区分情報７２０ｃを抽出し、Ｓ５１６０において、制御区分（ここでは、「利用履歴情報の削除」または「提供個人情報の変更」または「提供個人情報の削除」のいずれか）を特定する。

次に、提供情報利用部３１４ｃは、Ｓ５１６５において、保有装置２００ｃから受信した制御要求７００ｃの中から処理内容情報７３０ｃを抽出し、Ｓ５１７０において、処理内容を特定する。このとき、制御要求７００ｃの制御区分情報７２０ｃが、「提供個人情報の変更」であれば、処理内容情報７３０ｃには、提供個人情報６７０の変更内容が設定されている。他方、制御要求７００ｃの制御区分情報７２０ｃが、「提供個人情報の変更」でなければ、処理内容情報７３０ｃには、情報が何も設定されていない。

次に、提供情報利用部３１４ｃは、Ｓ５１７５において、記憶部３２０の取得情報記憶領域３２４から処理対象となる取得情報（すなわち、Ｓ５１５０で特定された提供元から提供された被照合者４０の提供情報６５０ａ）を読み出し、読み出した取得情報に対して、Ｓ５１６０で特定した制御区分（ここでは、「利用履歴情報の削除」または「提供個人情報の変更」または「提供個人情報の削除」のいずれか）およびＳ５１７０で特定された処理内容に基づいて、提供者２０によって指示された処理を実行する。

次に、提供情報利用部３１４ｃは、Ｓ５１８０において、制御要求７００ａに対する応答情報である制御応答情報７５０ａ（図１３参照）を生成する。このとき、提供情報利用部３１４ｃは、制御要求７００ｃによって指示された処理の成否を表す情報（以下、「処理に対する成否情報」と称する）を利用履歴情報７８０ａに設定して、制御応答情報７５０ａを生成する。

Ｓ５１８０で、制御応答情報７５０ａが生成されると、提供情報利用部３１４ｃは、生成した制御応答情報７５０ａを通信部３５０ａに出力する。

制御応答情報７５０ａが提供情報利用部３１４ｃから出力されると、通信部３５０ａは、これに応答して、Ｓ５１８５において、制御応答情報７５０ａを保有装置２００ｃに送信する。

保有装置２００ｃでは、通信部２５０ａが、Ｓ５１９０において、利用装置３００ｃから制御応答情報７５０ａを受信する。通信部２５０ａは、これに応答して、受信した制御応答情報７５０ａを提供情報制御部２１８ｃに出力する。

制御応答情報７５０ａが通信部２５０ａから出力されると、提供情報制御部２１８ｃは、これに応答して、Ｓ５１９５において、制御応答情報７５０ａから処理に対する成否情報（すなわち、利用履歴情報７８０ａ）を抽出する。そして、提供情報制御部２１８ｃは、Ｓ５２００において、抽出した処理に対する成否情報を出力部２４０に出力し、処理に対する成否を出力部２４０のディスプレイに表示させる。これにより、保有装置２００ｃは、制御要求７００ｃによって指示された処理の成否を、提供者２０に通知する。

この後、保有装置２００ｃは、利用装置３００ｃの制御処理を終了する。

この発明によれば、以下のような効果が達成される。

（１）利用装置３００ｃに提供した提供情報６５０ａに変更が生じた場合に、遠隔地に設置されている保有装置２００ｃから提供情報６５０ａの内容を変更することができる。

（２）提供した提供情報６５０ａのセキュリティを保護するために、遠隔地に設置されている保有装置２００ｃから提供情報６５０ａを消去することができる。

以上の通り、この個人情報提供システムによれば、利用装置によって被照合者の提供情報を保護する機能、利用装置によって他の利用装置への被照合者の提供情報の再提供の可否を判定する機能、利用装置によって他の利用装置への被照合者の提供情報の再提供を安全に実行する機能、保有装置によって利用装置に提供した被照合者の提供情報の利用状況を確認する機能、および保有装置によって他の利用装置に再提供された被照合者の提供情報の利用状況を確認する機能を実現することができる。

この発明は、上述の実施例に限定されることなく、この発明の要旨を逸脱しない範囲で種々の変更や変形を行うことができる。

例えば、実施例１〜４では、利用者３０が様々な動作を行っているが、利用装置３００は、利用者３０が行う動作のいくつかを利用者３０に代わって行うソフトウェアを格納する構成にしてもよい。

また、実施例１〜４では、保有装置２００の記憶部２２０と利用装置３００の記憶部３２０は、それぞれ、ＲＡＭと、例えばＨＤＤやＲＯＭ、その他の記憶手段とを組み合わせることによって構成されるものとして説明したが、各種の情報を十分に記憶できる容量が確保できるのであれば、ＲＡＭのみによって構成してもよい。

また、実施例１〜４では、保有装置２００は、パーソナルコンピュータやサーバであるものとして説明したが、被照合者４０の個人情報と被照合者４０の個人情報に関するプレファレンスを磁気記憶部またはＩＣチップ上のメモリ記憶部に記憶したカードと、このカードに記憶された情報を読み取る読取装置とによって構成するようにしてもよい。

また、実施例１〜４では、保有装置２００と利用装置３００は、ネットワーク４００に常時接続されているものとして説明したが、被照合者４０の提供情報６５０を提供する時にのみ、ネットワーク４００に接続するようにしてもよい。

また、実施例１〜４では、利用装置３００は、提供情報６５０の中に含まれている提供個人情報６７０の利用者３０への開示を拒否する場合に、「提供拒否」を利用者３０に通知しているが、好ましくは、被照合者４０の個人情報を保護するために、提供情報６５０の中に含まれている提供個人情報６７０を削除するようにしてもよい。

また、実施例１、２、および４では、保有装置２００と利用装置３００は、それぞれ、１つずつしかないが、それぞれ、複数存在していてもよい。

また、実施例３では、保有装置２００ｂと他の利用装置３００ｂ−２は、ともに、同じネットワーク４００上に存在しているが、複数のネットワークが存在し、それぞれのネットワークに利用装置３００ｂ−１が存在していれば、異なるネットワーク上に存在するようにしてもよい。

この発明に係る個人情報提供システムのブロック図である。 実施例１における個人情報保有装置の内部ブロック図である。 実施例１における個人情報利用装置の内部ブロック図である。 提供要求の構成を示す図である。 提供情報の構成を示す図である。 システムの動作を示すフローチャート（１）である。 システムの動作を示すフローチャート（２）である。 システムの動作を示すフローチャート（３）である。 実施例２における個人情報保有装置の内部ブロック図である。 実施例２における個人情報利用装置の内部ブロック図である。 実施例２で用いる提供情報の構成を示す図である。 制御要求の構成を示す図である。 制御応答情報の構成を示す図である。 不正利用通知の構成を示す図である。 システムの動作を示すフローチャート（１）である。 システムの動作を示すフローチャート（２）である。 システムの動作を示すフローチャート（３）である。 システムの動作を示すフローチャート（４）である。 実施例３における個人情報提供システムのブロック図である。 実施例３における個人情報保有装置の内部ブロック図である。 実施例３における個人情報利用装置の内部ブロック図である。 実施例３で用いる提供情報の構成を示す図である。 再配布要求の構成を示す図である。 再配布情報の構成を示す図である。 システムの動作を示すフローチャート（１）である。 システムの動作を示すフローチャート（２）である。 システムの動作を示すフローチャート（３）である。 システムの動作を示すフローチャート（４）である。 システムの動作を示すフローチャート（５）である。 実施例４における個人情報保有装置の内部ブロック図である。 実施例４における個人情報利用装置の内部ブロック図である。 実施例４で用いる制御要求の構成を示す図である。 システムの動作を示すフローチャートである。 従来例の個人情報提供システムのブロック図である。

符号の説明

２０ …提供者
３０ …利用者
４０ …被照合者
１００ …個人情報提供システム
２００ …個人情報保有装置
３００ …個人情報利用装置
４００ …ネットワーク

Claims (9)

1. 様々な人物の個人情報を保有する個人情報保有装置と、当該個人情報保有装置から、照合を受ける被照合者の前記個人情報を用いて生成される前記被照合者の提供情報の提供を受ける個人情報利用装置とを有する個人情報提供システムにおいて、
   前記個人情報保有装置は、
   ネットワークを介して前記個人情報利用装置からダイレクトに前記被照合者の前記提供情報の提供を要求する提供要求情報を受信するとともに、前記被照合者の前記提供情報をダイレクトに前記個人情報利用装置に送信する通信部と、
   様々な人物の前記個人情報と、各人物の前記個人情報毎に前記個人情報の利用条件を規定する保有プレファレンスとを記憶する記憶部と、
   前記個人情報利用装置から前記提供要求情報を受信した場合に、前記提供要求情報の中から、前記被照合者の前記提供情報の利用基準を規定する要求プライバシーポリシーを抽出するとともに、前記記憶部から前記被照合者の前記保有プレファレンスを読み出し、抽出した前記被照合者の前記要求プライバシーポリシーと読み出した前記被照合者の前記保有プレファレンスとを比較することによって、前記記憶部に記憶されている前記被照合者の前記個人情報の中の提供対象となる提供項目と前記被照合者の前記提供情報の提供の可否とを決定する提供情報決定部と、
   前記提供情報決定部によって、前記提供項目と前記被照合者の前記提供情報の提供とが決定された場合に、前記記憶部から前記被照合者の前記個人情報を読み出して、読み出した前記被照合者の前記個人情報の中から、前記提供項目に該当する提供個人情報を抽出し、抽出した前記提供個人情報と前記被照合者の前記要求プライバシーポリシーとを用いて、前記被照合者の前記提供情報を生成する提供情報生成部とを備え、
   前記個人情報利用装置は、
   前記ネットワークを介して前記提供要求情報をダイレクトに前記個人情報保有装置に送信するとともに、前記個人情報保有装置から前記被照合者の前記提供情報をダイレクトに受信する通信部と、
   前記被照合者の前記提供情報の利用基準を規定する保有プライバシーポリシーと、前記個人情報保有装置から提供される前記被照合者の前記提供情報とを記憶する記憶部と、
   前記提供要求情報を前記個人情報保有装置に送信する場合に、前記記憶部から前記被照合者の前記保有プライバシーポリシーを読み出し、読み出した前記被照合者の前記保有プライバシーポリシーに基づいて前記被照合者の前記要求プライバシーポリシーを生成するとともに、前記被照合者の前記提供情報の提供を要求する要求元を表す要求元情報を生成し、生成した前記要求プライバシーポリシーと前記要求元情報とを用いて前記提供要求情報を生成し、かつ、前記個人情報保有装置から前記被照合者の前記提供情報を受信した場合に、前記被照合者の前記提供情報の中から前記被照合者の前記提供個人情報と前記要求プライバシーポリシーとを抽出するとともに、前記記憶部から前記被照合者の前記保有プライバシーポリシーを読み出し、抽出した前記被照合者の前記要求プライバシーポリシーと読み出した前記被照合者の前記保有プライバシーポリシーとを比較することによって、前記被照合者の前記提供情報の中の、利用者への開示が可能な提供個人情報の有無を判定し、開示が可能な提供個人情報があると判定される場合に、開示が可能な当該提供個人情報をディスプレイに表示させる提供情報利用部とを備える
   ことを特徴とする個人情報提供システム。
2. 様々な人物の個人情報を保有し、照合を受ける被照合者の前記個人情報を用いて前記被照合者の提供情報を生成して個人情報利用装置に提供する個人情報保有装置において、
   ネットワークを介して前記個人情報利用装置からダイレクトに前記被照合者の前記提供情報の提供を要求する提供要求情報を受信するとともに、前記被照合者の前記提供情報をダイレクトに前記個人情報利用装置に送信する通信部と、
   様々な人物の前記個人情報と、各人物の前記個人情報毎に前記個人情報の利用条件を規定する保有プレファレンスとを記憶する記憶部と、
   前記個人情報利用装置から前記提供要求情報を受信した場合に、前記提供要求情報の中から、前記被照合者の前記提供情報の利用基準を規定する要求プライバシーポリシーを抽出するとともに、前記記憶部から前記被照合者の前記保有プレファレンスを読み出し、抽出した前記被照合者の前記要求プライバシーポリシーと読み出した前記被照合者の前記保有プレファレンスとを比較することによって、前記記憶部に記憶されている前記被照合者の前記個人情報の中の提供対象となる提供項目と前記被照合者の前記提供情報の提供の可否とを決定する提供情報決定部と、
   前記提供情報決定部によって、前記提供項目と前記被照合者の前記提供情報の提供とが決定された場合に、前記記憶部から前記被照合者の前記個人情報を読み出して、読み出した前記被照合者の前記個人情報の中から、前記提供項目に該当する提供個人情報を抽出し、抽出した前記提供個人情報と前記被照合者の前記要求プライバシーポリシーとを用いて、前記被照合者の前記提供情報を生成する提供情報生成部とを備える
   ことを特徴とする個人情報保有装置。
3. 請求項２に記載の個人情報保有装置において、
   さらに、前記個人情報利用装置に対して、前記個人情報利用装置に提供した前記被照合者の前記提供情報の利用を制御する制御要求情報を生成する提供情報制御部を備える
   ことを特徴とする個人情報保有装置。
4. 請求項２に記載の個人情報保有装置において、
   前記通信部は、前記個人情報利用装置から、前記被照合者の前記提供情報を他の個人情報利用装置に再配布する場合の利用基準を規定する再配布基準情報を前記要求プライバシーポリシーの一情報として含む前記提供要求情報を受信し、
   前記提供情報生成部は、前記個人情報利用装置から受信した前記提供要求情報から前記被照合者の前記要求プライバシーポリシーを抽出するとともに、前記記憶部から前記被照合者の前記個人情報を読み出して、読み出した前記被照合者の前記個人情報の中から、前記提供項目に該当する提供個人情報を抽出し、さらに、前記記憶部から前記被照合者の前記保有プレファレンスを読み出して、読み出した前記被照合者の前記保有プレファレンスを用いて、前記被照合者の前記提供情報を他の個人情報利用装置に再配布する場合の利用条件を規定する再配布条件情報を一情報として含む前記被照合者の提供プレファレンスを生成し、前記被照合者の前記提供個人情報と、前記被照合者の前記要求プライバシーポリシーと、前記被照合者の前記提供プレファレンスとを用いて、前記被照合者の前記提供情報を生成する
   ことを特徴とする個人情報保有装置。
5. 様々な人物の個人情報を保有する個人情報保有装置から、照合を受ける被照合者の前記個人情報を用いて生成される前記被照合者の提供情報の提供を受ける個人情報利用装置において、
   ネットワークを介して前記被照合者の前記提供情報の提供を要求する提供要求情報をダイレクトに前記個人情報保有装置に送信するとともに、前記個人情報保有装置から前記被照合者の前記提供情報をダイレクトに受信する通信部と、
   前記被照合者の前記提供情報の利用基準を規定する保有プライバシーポリシーと、前記個人情報保有装置から提供される前記被照合者の前記提供情報とを記憶する記憶部と、
   前記提供要求情報を前記個人情報保有装置に送信する場合に、前記記憶部から前記被照合者の前記保有プライバシーポリシーを読み出し、読み出した前記被照合者の前記保有プライバシーポリシーに基づいて前記被照合者の前記要求プライバシーポリシーを生成するとともに、前記被照合者の前記提供情報の提供を要求する要求元を表す要求元情報を生成し、生成した前記要求プライバシーポリシーと前記要求元情報とを用いて前記提供要求情報を生成し、かつ、前記個人情報保有装置から前記被照合者の前記提供情報を受信した場合に、前記被照合者の前記提供情報の中から前記被照合者の前記提供個人情報と前記要求プライバシーポリシーとを抽出するとともに、前記記憶部から前記被照合者の前記保有プライバシーポリシーを読み出し、抽出した前記被照合者の前記要求プライバシーポリシーと読み出した前記被照合者の前記保有プライバシーポリシーとを比較することによって、前記被照合者の前記提供情報の中の、利用者への開示が可能な提供個人情報の有無を判定し、開示が可能な提供個人情報があると判定される場合に、開示が可能な当該提供個人情報をディスプレイに表示させる提供情報利用部とを備える
   ことを特徴とする個人情報利用装置。
6. 請求項５に記載の個人情報利用装置において、
   前記提供情報利用部は、
   前記通信部を介して、前記個人情報保有装置から提供された前記被照合者の前記提供情報の利用を制御する制御要求情報を受信した場合に、当該制御要求情報により指示された処理動作を実行する
   ことを特徴とする個人情報利用装置。
7. 請求項５に記載の個人情報利用装置において、
   前記提供情報利用部は、
   前記被照合者の前記提供個人情報を利用者に開示する場合に、前記記憶部から前記被照合者の前記提供情報を読み出して、前記被照合者の前記提供情報から前記被照合者の前記要求プライバシーポリシーを抽出するとともに、前記記憶部から前記被照合者の保有プライバシーポリシーを読み出し、抽出した前記被照合者の前記要求プライバシーポリシーと読み出した前記被照合者の前記保有プライバシーポリシーとを比較し、前記被照合者の前記要求プライバシーポリシーと前記被照合者の前記保有プライバシーポリシーとが一致しないと判定される場合に、前記被照合者の前記提供個人情報の利用者への開示を拒否する
   ことを特徴とする個人情報利用装置。
8. 請求項７に記載の個人情報利用装置において、
   前記提供情報利用部は、
   前記被照合者の前記要求プライバシーポリシーと前記被照合者の前記保有プライバシーポリシーとが一致しないと判定される場合に、前記通信部を介して、前記被照合者の前記提供個人情報の不正利用を通知する不正利用通知を、前記個人情報保有装置に送信する
   ことを特徴とする個人情報利用装置。
9. 請求項５に記載の個人情報利用装置において、
   さらに、前記個人情報保有装置から提供された前記被照合者の前記提供情報を用いて生成される前記被照合者の再配布情報の、他の個人情報利用装置への再配布を制御する再配布制御部とを備え、
   前記通信部は、前記被照合者の前記提供個人情報と、前記被照合者の前記提供情報の提供を前記個人情報保有装置に要求する際に用いられ、かつ、前記被照合者の前記提供情報を他の個人情報利用装置に再配布する場合の利用基準を規定する再配布基準情報を一情報として含む前記被照合者の前記要求プライバシーポリシーと、前記個人情報保有装置から前記被照合者の前記提供情報の提供を受ける際に前記個人情報保有装置によって生成され、かつ、前記被照合者の前記提供情報を他の個人情報利用装置に再配布する場合の利用条件を規定する再配布条件情報を一情報として含む前記被照合者の提供プレファレンスとを用いて生成された前記被照合者の前記提供情報を受信し、
   前記再配布制御部は、前記個人情報保有装置から受信した前記被照合者の前記提供情報の中から、前記被照合者の前記提供個人情報と前記要求プライバシーポリシーと前記提供プレファレンスとを抽出し、前記要求プライバシーポリシーに含まれる前記再配布基準情報と前記提供プレファレンスに含まれる前記再配布条件情報とを比較することによって、前記被照合者の前記提供情報の再配布の可否を判定し、前記被照合者の前記提供情報の再配布が可能であると判定された場合に、前記被照合者の前記提供個人情報と前記要求プライバシーポリシーと前記保存プレファレンスとを用いて、前記被照合者の前記再配布情報を生成する
   ことを特徴とする個人情報利用装置。

Images