JP2008140202A - 情報提供制御装置、情報提供制御方法、及び、プログラム - Google Patents

Abstract

【課題】 複数の検索結果を持ち寄っても、個人を特定できる可能性の低い技術を提供する。
【解決手段】 複数の項目各々の項目値を含む個人情報を複数記憶する個人情報記憶装置を有するＲＤＢ装置と、個人情報を要求するユーザの用いるクライアント端末と、制御装置とが接続される。制御装置は、クライアント端末から要求する項目の名称を含むデータ要求が入力されると、そのデータ要求をＲＤＢ装置に出力する。制御装置は、ＲＤＢ装置から入力された応答データに所定項目の項目値が含まれている場合、その項目値とユーザのユーザ識別情報とを組み合わせた値を取得し、応答データに含まれる所定項目の項目値を取得した値に代えて、クライアント端末に出力する。
【選択図】 図１

Description

本発明は、個人情報の保護に関するものである。

情報通信技術の発展により、個人のプライバシに関する様々な個人情報が電子化されて企業活動や公共サービスに利用されている。そうした個人情報は、一般にデータベースを用いて管理されており、そのデータベースにアクセスして個人情報の取得、更新、追加、削除などを行う。

このような個人情報は、目的に対して過分なデータが提供されることを防ぐ必要がある。

過分なデータの提供を防止する手段として、例えば特許文献１に記載の技術が存在する。

特許文献１に記載の技術は、個人情報の検索結果を匿名化して取得する技術である。特許文献１に記載の技術は、まず、ユーザが与えた検索条件から、あらかじめ与えられていた定義に基づいて個人を特定可能な項目を削除する。次に、分散データベースでそれぞれ検索を実行し、検索結果に各データベースに含まれる共通項目で生成したＩＤを付与する。最後に、各データベースの検索結果を結合し、その結合したデータから、あらかじめ与えられていた定義に基づいて個人を特定可能な項目を削除してユーザに出力する。

特開２００４−３１８３９１号広報

しかしながら、特許文献１に記載の技術は、同じ個人に関する個人情報であれば生成されるＩＤは常に同じとなる。そのため、複数の検索結果を持ち寄ってＩＤを結合させると、個人を特定できる可能性が高くなる。

本発明はこのような事情に鑑みてなされたもので、複数の検索結果を持ち寄っても、個人を特定できる可能性の低い技術を提供することを目的とする。

本発明は上記の目的を達成するためになされたもので、要求する個人情報の項目を含む要求データを出力するクライアント端末と、複数の項目各々の項目値を含む個人情報を複数記憶する個人情報記憶装置を有し要求データに含まれる項目の項目値を含む応答データを出力する個人情報管理装置とに接続され、前記クライアント端末からのデータ要求を前記個人情報管理装置に出力すると共に、前記個人情報管理装置からの応答データを前記クライアント端末に出力する情報提供制御装置であって、データが入出力されるデータ入出力手段と、制御手段と、を有し、前記制御手段が、前記クライアント端末からの、要求する項目と、前記クライアント端末を用いるユーザのユーザ識別情報とを含むデータ要求が入力されると、該データ要求を前記個人情報管理装置に出力し、前記個人情報管理装置から入力された応答データに所定項目の項目値が含まれている場合、該項目値と前記ユーザ識別情報とを組み合わせて変換項目値を取得し、前記応答データに含まれる前記所定項目の項目値を前記変換項目値に代えて、前記クライアント端末に出力することを特徴とする。

本発明の技術によれば、検索を要求するユーザにより、同一の個人に関する個人情報でも異なるＩＤを発行することが可能となる。これにより、複数の検索結果を持ち寄っても、個人を特定することが不可となる。

以下、本発明の一実施形態を、図面を参照して詳細に説明する。

まず、図１を参照し、本実施形態の構成例を説明する。

本実施形態のシステムは、クライアント端末１００、制御装置１２０、ＲＤＢ（Relational Database）装置１５０等を有する。クライアント端末１００、制御装置１２０、ＲＤＢ装置１５０等は通信ネットワーク１８０を介して接続されている。クライアント端末１００、制御装置１２０、ＲＤＢ装置１５０等は、例えば、ＰＣ（Personal Computer）、ワークステーション、オフィスコンピュータ、メインフレーム等の任意の情報処理装置である。通信ネットワーク１８０は、例えば、インターネット、ＬＡＮ（Local Area Network）、公衆網等である。

クライアント端末１００は、データを検索等するユーザの用いるものである。制御装置１２０は、クライアント端末１００からのデータ要求を受付、ＲＤＢ装置１５０に送信すると共に、ＲＤＢ装置１５０から送信された応答データをクライアント端末１００に送信する。このとき、制御装置１２０は、応答データに所定の個人情報が含まれている場合、その個人情報を変換してクライアント端末１００に送信する。また、制御装置１２０は、データ要求に変換後の個人情報が含まれている場合、その情報を変換前に戻してＲＤＢ装置１５０に送信する。ＲＤＢ装置１５０は、個人情報を保持しており、要求に応じてその個人情報を送信する。

ここで、各機器の構成について詳細に説明する。

まず、クライアント端末１００について説明する。

クライアント端末１００は、ＣＰＵ（Central Processing Unit）１０１、メモリ１０２、２次記憶装置１０３、入力装置１０４、出力装置１０５、インタフェース１０６等を有する。

ＣＰＵ１０１は、２次記憶装置１０３から読み出したプログラム（図示略）を実行することにより、要求部１１１、出力処理部１１２等を実現する。要求部１１１は、閲覧するデータを要求する。出力処理部１１２は、送信されたデータを出力する。この要求部１１１、出力処理部１１２の機能は、例えば、従来技術のブラウザ等により実現されてもよい。

２次記憶装置１０３は、例えば、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disk）等の記憶メディア及び当該記憶メディアの駆動装置、ＨＤＤ（Hard Disk Drive）、シリコンディスク等である。入力装置１０４は、例えば、キーボード、マウス、スキャナ、マイク等である。出力装置１０５は、例えば、ディスプレイ、スピーカ、プリンタ等である。インタフェース１０６は、モデムやネットワークカード等である。クライアント端末１００は、インタフェース１０６を介して通信ネットワーク１８０と接続する。

次に、制御装置１２０の構成例について説明する。

制御装置１２０は、ＣＰＵ１２１、メモリ１２２、２次記憶装置１２３、入力装置１２４、出力装置１２５、インタフェース１２６等を有する。

ＣＰＵ１２１は、２次記憶装置１２３から読み出したプログラム（図示略）を実行することにより、判定部１３１、要求変換部１３２、結果変換部１３３等を実現する。判定部１３１は、ユーザ毎に定められたアクセス権限に応じて、要求された個人情報の項目の組合せが閲覧許可されるものであるか否か判定する。要求変換部１３２は、クライアント端末１００からのデータ要求に変換後の個人情報が含まれている場合、その情報を変換前に戻して、ＲＤＢ装置１５０に送信する。結果変換部１３３は、ＲＤＢ装置１５０から送信された情報に変換すべき個人情報が含まれる場合、その個人情報を変換して、クライアント端末１００に送信する。

本実施形態では、各個人の個人情報は、複数の項目毎の項目値から成るものとする。ここでは、変換対象の項目は、個人情報の識別情報（以下、個人ＩＤ）であるものとする。また、ここでは、要求変換部１３２、結果変換部１３３は、個人ＩＤと、その個人ＩＤを要求したユーザの識別情報（以下、ユーザＩＤ）等を組み合わせて変換するものとする。

即ち、要求変換部１３２は、データ要求に含まれる個人ＩＤの項目値が変換後のものである場合、その項目値とユーザＩＤとから、変換前の値を取得し、変換後の値を変換前の値に代えたデータ要求をＲＤＢ装置１５０に送信する。結果変換部１３３は、クライアント端末１００から送信された応答データに個人ＩＤの項目値が含まれている場合、その項目値とユーザＩＤとから他の値に変換し、変換前の値を変換後の値に代えた応答データをクライアント端末１００に送信する。

なお、要求変換部１３２、結果変換部１３３による変換技術は特に限定するものではないが、ここでは、排他的論理和を適用するものとする。排他的論理和とは、例えば、変換対象のデータが「０１０１１」である場合、このデータに含まれる「１」と「０」とを逆にすることにより、データ「１０１００」を取得することである。

以下、変換前の個人ＩＤと、変換後の個人ＩＤとを特に区別する場合、変換前の個人ＩＤを「実名ＩＤ」、変換後の個人ＩＤを「偽名ＩＤ」という。

２次記憶装置１２３は、例えば、ＣＤやＤＶＤ等の記憶メディア及び当該記憶メディアの駆動装置、ＨＤＤ、シリコンディスク等である。２次記憶装置１２３は、項目データテーブル１４１、アクセス権限データテーブル１４２等を記憶する。項目データテーブル１４１は、要求された個人情報、及び、検索された個人情報の各々を変換すべきか否か判定するための情報を含む。アクセス権限データテーブル１４２は、ユーザからのアクセスを許可すべきか否か判定するための情報を含む。

入力装置１２４は、例えば、キーボード、マウス、スキャナ、マイク等である。出力装置１２５は、例えば、ディスプレイ、スピーカ、プリンタ等である。インタフェース１２６は、モデムやネットワークカード等である。制御装置１２０は、インタフェース１２６を介して通信ネットワーク１８０と接続する。

次に、ＲＤＢ装置１５０の構成例について説明する。

ＲＤＢ装置１５０は、ＣＰＵ１５１、メモリ１５２、２次記憶装置１５３、入力装置１５４、出力装置１５５、インタフェース１５６等を有する。

ＣＰＵ１５１は、２次記憶装置１５３から読み出したプログラム（図示略）を実行することにより、情報提供部１６１等を実現する。情報提供部１６１は、要求されたデータを検索し、制御装置１２０に送信する。

２次記憶装置１５３は、例えば、ＣＤやＤＶＤ等の記憶メディア及び当該記憶メディアの駆動装置、ＨＤＤ、シリコンディスク等である。２次記憶装置１５３は、個人情報テーブル１７１等を記憶する。個人情報テーブル１７１は、検索対象の個人情報を含む。

入力装置１５４は、例えば、キーボード、マウス、スキャナ、マイク等である。出力装置１５５は、例えば、ディスプレイ、スピーカ、プリンタ等である。インタフェース１５６は、モデムやネットワークカード等である。ＲＤＢ装置１５０は、インタフェース１５６を介して通信ネットワーク１８０と接続する。

クライアント端末１００、ＲＤＢ装置１５０は、従来技術と同じであり、制御装置１２０が、ユーザＩＤを組合せることで実名ＩＤから偽名ＩＤを取得して、クライアント端末に送信する点が従来とは異なる。

また、クライアント端末１００、制御装置１２０、ＲＤＢ装置１５０の数は任意であり、図１に示すものに限られるわけではない。また、制御装置１２０、ＲＤＢ装置１５０各々の有する機能及びテーブルを、複数の機器が有していても良い。

次に、上記機器の各々に記憶されているテーブルの一例を詳細に説明する。

まず、図２を参照し、項目データテーブル１４１の一例を説明する。

図２において、項目データテーブル１４１は、項目名２０１、分類２０２、項目種別２０３等のフィールドを有する。各行のフィールドは互いに対応付けられている。

項目名２０１は、データ項目の名称を示す。分類２０２は、対応する項目名２０１の分類を示す。この分類２０２は、ユーザのアクセス権限に応じてデータ要求に対し応答可能か否かを判定するための情報である。項目種別２０３は、対応する項目名２０１が変換対象のものであるか否かを示す。上述のように、本実施形態では、変換対象の項目は個人ＩＤである。従って、図２の項目種別２０３は、対応する項目名２０１が個人の識別情報である場合、その識別情報が変換されたものであるか否かを示す。図２の例では、項目種別２０３「実在」は変換されたものでないことを示し、「仮想」は変換されたものを示す。なお、項目種別２０３「-」は、対応する項目名２０１が個人の識別情報でないことを示す。

次に、図３を参照し、アクセス権限データテーブル１４２の一例を説明する。

図３において、アクセス権限データテーブル１４２は、許可ユーザ名３０１、クラス３０２等のフィールドを有する。各行のフィールドは互いに対応付けられている。

許可ユーザ名３０１は、制御装置１２０、ＲＤＢ装置１５０にアクセス可能なユーザ名を示す。クラス３０２は、対応する許可ユーザ名３０１のユーザの個人情報へのアクセス権限を示す。図３の例では、クラス３０２「Ａ」は、個人情報の全ての項目に対し同時にアクセス可能であることを示す。クラス３０２「Ｂ」は、個人情報の一部の項目に対し同時にアクセス可能であることを示す。

次に、図４を参照し、個人情報テーブル１７１の一例を説明する。

図４の個人情報テーブル１７１は、家電量販店に蓄積される購買履歴の例である。図４において、個人情報テーブル１７１は、実名ＩＤ４０１、名前４０２、住所４０３、購入商品名４０４、金額４０５、購入日４０６等のフィールドを有する。各行のフィールドは互いに対応付けられている。

実名ＩＤ４０１は、個人ＩＤである。名前４０２は、対応する実名ＩＤ４０１の個人の名前である。住所４０３は、対応する実名ＩＤ４０１の個人の住所である。購入商品名４０４は、対応する実名ＩＤ４０１の個人が購入した商品名である。金額４０５は、対応する実名ＩＤ４０１の個人が対応する購入商品名４０４の商品を購入した金額である。購入日４０６は、対応する実名ＩＤ４０１の個人が対応する購入商品名４０４の商品を購入した月日である。

なお、上述の項目データテーブル１４１、アクセス権限データテーブル１４２、個人情報テーブル１７１は、予め、２次記憶装置１２３、２次記憶装置１５３の各々に格納されているものとする。

次に、動作例を説明する。

まず、図５を参照し、クライアント端末１００の動作例を説明する。この動作例は、例えば、ユーザが入力装置１０４を用いて、データ要求を指示した場合に起動される。

要求部１１１は、検索条件を含むデータ要求を受け付けると（Ｓ５０１）、そのデータ要求を制御装置１２０に送信する（Ｓ５０２）。このデータ要求には、クライアント端末１００を操作するユーザのユーザＩＤ、要求する個人情報の項目名等が含まれる。データ要求に含まれるこれらの情報は、ユーザが入力装置１０４を用いて入力等したものである。データ要求の形式は任意でよいが、例えば、ＳＱＬ（Structured Query Language）等で示される。

制御装置１２０に送信するデータ要求の一例を、図６に示す。図６において、データ要求６０１は、ユーザ名６１１、操作内容６１２等を有するものとする。ユーザ名６１１は、データを要求するユーザのユーザＩＤである。操作内容６１２は、命令６２１、項目指定６２２、テーブル指定６２３、条件指定６２４等を含む。命令６２１は、要求する命令を示す。図６の例では、命令６２１「ＳＥＬＥＣＴ」は、データベースからデータを抽出することを示す。項目指定６２２は、命令の対象となるデータ項目名を示す。テーブル指定６２３は、命令の対象となるテーブル名を示す。条件指定６２４は、命令６２１に対する条件を示す。即ち、図６に一例を示すデータ要求６０１は、テーブル指定６２３「個人情報テーブル」から、条件指定６２４「購入商品名=液晶テレビ」である個人の、項目指定６２２「実名ＩＤ、金額」を抽出することを示す。

後述する動作例により、制御装置１２０は、ＲＤＢ装置１５０から送信された個人情報を変換等して、変換後の情報を含めて応答データとしてクライアント端末１００に送信する。

図５において、クライアント端末１００の出力処理部１１２は、制御装置１２０からの応答データを受信すると（Ｓ５０３）、受信した応答データを出力装置１０５に出力する（Ｓ５０４）。上述のデータ要求６０１を送信した場合に受信した情報を、出力装置１０５のディスプレイ等に表示した場合の例を、図７を参照して説明する。図７において、画面７０１は、制御装置１２０から送信された偽名ＩＤ、金額という項目名の項目値を表示する場合の例である。この偽名ＩＤは、後述する制御装置１２０等の動作により取得される情報である。

次に、図８を参照し、制御装置１２０の動作例を説明する。

上述のように、クライアント端末１００の要求部１１１は、データ要求を制御装置１２０に送信する。図８において、制御装置１２０の判定部１３１は、クライアント端末１００からのデータ要求を受信すると（Ｓ８０１）、このデータ要求に対し応答可能か否か判定する（Ｓ８０２）。上述のように、データ要求には、ユーザＩＤ、要求する個人情報の項目名等が含まれる。判定部１３１は、ユーザのアクセス権限、及び、データ要求に含まれる項目の組合せ等に応じて、応答可能か否か判定する。

そのために、例えば、判定部１３１は、アクセス権限データテーブル１４２の許可ユーザ名３０１の各々を参照し、データ要求に含まれているユーザＩＤと一致するものが含まれているか否か判定する。一致するものが含まれている場合、判定部１３１は、その許可ユーザ名３０１に対応するクラス３０２を読み出す。読み出したクラス３０２が「Ａ」である場合、判定部１３１は、このデータ要求が応答可能であると判定する。また、読み出したクラス３０２が「Ｂ」である場合、判定部１３１は、さらに、項目データテーブル１４１内の、このデータ要求に含まれる項目名の各々と一致する項目名２０１の各々と対応する分類２０２及び項目種別２０３を参照する。要求データに、分類２０２が「実名」、「偽名」のうち何れか一方のみの項目が含まれている場合、判定部１３１は、このデータ要求が応答可能であると判定する。また、要求データに、互いに対応する分類２０２、項目種別２０３が「実名」、「実在」である項目と、分類２０２が「偽名」である項目との両方が含まれている場合、判定部１３１は、このデータ要求に対し応答可能であると判定する。これら以外の場合、判定部１３１は、応答不可と判定する。

具体的には、例えば、上述の図６に一例を示すデータ要求６０１を受け付けた場合の例を説明する。データ要求６０１のユーザ名６０１は「ａａｂｂ」であり、要求する個人情報の項目６２２は「実名ＩＤ」、「金額」である。図３に一例を示すアクセス権限データテーブル１４２の場合、ユーザ名「ａａｂｂ」と一致する許可ユーザ名３０１と対応付けられたクラス３０２は「Ｂ」である。また、図２に一例を示す項目データテーブル１４１の場合、項目名２０１「実名ＩＤ」に対応する分類２０２、項目種別２０３は「実名」、「実在」であり、項目名２０１「金額」に対応する分類２０２、項目種別２０３は「偽名」、「仮想」である。従って、データを要求したユーザがクラス「Ｂ」であり、データ要求に、互いに対応する分類２０２、項目種別２０３が「実名」、「実在」である項目と、分類２０２が「偽名」である項目との両方が含まれているので、判定部１３１は、データ要求６０１に対し応答可能であると判定する。

Ｓ８０２の判定の結果、応答不可である場合、判定部１３１は、エラー処理を行なう（Ｓ８０３）。具体的には、例えば、判定部１３１は、データ要求を送信したクライアント端末１００に、応答不可であることを通知する情報を送信する。

Ｓ８０２の判定の結果、応答可能である場合、判定部１３１は、そのデータ要求が「クラスＢ」のユーザによるものか否か判定する（Ｓ８０４）。そのために、判定部１３１は、例えば、アクセス権限データテーブル１４２を参照し、データ要求に含まれているユーザＩＤと一致する許可ユーザ名３０１に対応するクラス３０２が「Ｂ」であるか否か判定する。

Ｓ８０４の判定の結果、「クラスＢ」のユーザによるものである場合、判定部１３１は、データ要求に、項目種別「仮想」の項目名及び項目値が含まれているか否か判定する（Ｓ８０５）。そのために、判定部１３１は、例えば、まず、受信したデータ要求から項目名及び項目値を抽出する。次に、判定部１３１は、項目データテーブル１４１内の、抽出した項目名、及び、抽出した項目値の項目名と一致する項目名２０１の各々と対応する項目種別２０３に「仮想」が含まれているか否か判定する。

具体的には、例えば、上述の図６に一例を示すデータ要求６０１を受け付けた場合の例を説明する。この場合、含まれている項目名及び項目値は、項目指定６２２「実名ＩＤ，金額」、及び、条件指定６２４の「購入商品名=液晶テレビ」である。図２に一例を示す項目データテーブル１４１の場合、項目名２０１「実名ＩＤ」と対応する項目種別２０３は「実在」である。また、項目名２０１「金額」、「購入商品名」の各々と対応する項目種別２０３は「-」である。従って、判定部１３１は、データ要求６０１には、項目種別「仮想」の項目が含まれていないと判定する。

Ｓ８０５の判定の結果、データ要求に含まれる個人情報の項目の項目種別に「仮想」が含まれている場合、要求変換部１３２は、その項目を変換前に戻す（Ｓ８０６）。そのために、要求変換部１３２は、例えば、項目名「偽名ＩＤ」を「実名ＩＤ」とする。また、例えば、要求変換部１３２は、項目値を排他的論理和により変換する。この詳細は後述する。

Ｓ８０４の判定の結果、「クラスＢ」のユーザによるものでない場合、又は、Ｓ８０５の判定の結果、データ要求に含まれる個人情報の項目の項目種別に「仮想」が含まれていない場合、或いは、上述のＳ８０６の処理の後、判定部１３１は、データ要求をＲＤＢ装置１５０に送信する（Ｓ８０７）。ここで、上述のＳ８０６の処理を行なっている場合、判定部１３１は、項目種別が「仮想」である項目名及び項目値の代わりに、変換前に戻した項目名及び項目値を含めた要求データをＲＤＢ装置１５０に送信する。この詳細は後述する。

ＲＤＢ装置１５０の情報提供部１６１は、データ要求を受信すると、該当するデータを２次記憶装置１５３から読出し、制御装置１２０に送信する。具体的には、例えば、上述の図６に一例を示すデータ要求６０１を受信した場合、情報提供部１６１は、図４に一例を示す個人情報テーブル１７１から、購入商品名４０４「液晶テレビ」である行を選択し、選択した行の実名ＩＤ４０１「ａｂｃｄ」、金額４０５「２００,０００」、及び、実名ＩＤ４０１「ｅｆｇｈ」、金額４０５「６０,０００」を抽出する。情報提供部１６１は、抽出したデータと、受信したデータ要求に含まれていたユーザＩＤ「ａａｂｂ」等とを含む応答データを制御装置１２０に送信する。

制御装置１２０の判定部１３１は、ＲＤＢ装置１５０から送信された応答データを受信する（Ｓ８０８）。判定部１３１は、受信した応答データが「クラスＢ」のユーザのデータ要求に対するものか否か判定する（Ｓ８０９）。そのために、判定部１３１は、例えば、アクセス権限データテーブル１４２を参照し、応答データに含まれているユーザＩＤと一致する許可ユーザ名３０１に対応するクラス３０２が「Ｂ」であるか否か判定する。

Ｓ８０９の判定の結果、「クラスＢ」のユーザによるものである場合、判定部１３１は、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれているか否か判定する（Ｓ８１０）。そのために、判定部１３１は、例えば、項目データテーブル１４１内の、この応答データに含まれる各項目名と一致する項目名２０１の各々と対応する分類２０２、項目種別２０３を参照する。判定部１３１は、互いに対応する分類２０２、項目種別２０３が「実名」、「実在」である項目と、分類２０２が「偽名」である項目との両方が、応答データに含まれているか否か判定する。

Ｓ８１０の判定の結果、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれている場合、結果変換部１３３は、その項目を変換する（Ｓ８１１）。そのために、結果変換部１３３は、その項目値と、データ要求を指示したユーザのユーザＩＤとを組み合わせた値を排他的論理和により変換する。

なお、項目値とユーザＩＤとの組合せは特に限定するものではない。例えば、項目値の前方又は後方にユーザＩＤを追加した値の排他的論理和を取得することにより変換してもよい。また、例えば、項目値を構成するデータに、任意の規則に従い、ユーザＩＤを構成するデータを混合した値の排他的論理和を取得することにより変換してもよい。

上述の図６に一例を示すデータ要求６０１を受け付けた場合のＳ８１０、Ｓ８１１の処理の具体例を説明する。

上述のように、ＲＤＢ装置１５０は、ユーザＩＤ「ａａｂｂ」、実名ＩＤ「ａｂｃｄ」、金額「２００,０００」、実名ＩＤ「ｅｆｇｈ」、金額「６０,０００」等を含む応答データを送信する。

図２に一例を示す項目データテーブル１４１の場合、項目名２０１「実名ＩＤ」と対応する分類２０２、項目種別２０３は「実名」、「実在」である。また、項目名２０１「金額」の各々と対応する分類２０２、項目種別２０３は「偽名」、「-」である。従って、判定部１３１は、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれていると判定する。

ここでは、結果変換部１３３は、実名ＩＤの後方にユーザＩＤを追加した値の排他的論理和を取得することにより、変換後の値を取得するものとする。結果変換部１３３は、実名ＩＤ「ａｂｃｄ」の後方にユーザＩＤ「ａａｂｂ」を追加した値の、排他的論理和を取得する。さらに、結果変換部１３３は、実名ＩＤ「ｅｆｇｈ」の後方にユーザＩＤ「ａａｂｂ」を追加した値の、排他的論理和を取得する。ここでは、変換後の各項目値を「ＡＢＣＤＡＡＢＢ」、「ＥＦＧＨＡＡＢＢ」で示すものとする。この実名ＩＤを変換した値が仮想ＩＤとなる。

Ｓ８０９の判定の結果、「クラスＢ」のユーザによるものでない場合、又は、Ｓ８１０の判定の結果、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれていない場合、或いは、上述のＳ８１１の処理の後、判定部１３１は、応答データをクライアント端末１００に送信する（Ｓ８１２）。ここで、上述のＳ８１１の処理を行なっている場合、判定部１３１は、応答データに、項目種別が「実在」である項目値の代わりに変換した項目値を含め、さらに、「実名ＩＤ」を「仮想ＩＤ」に代えてクライアント端末１００に送信する。

図６に一例を示すデータ要求を受信した場合の具体例を説明する。この場合、上述のように、ＲＤＢ装置１５０からの応答データに含まれる実名ＩＤ「ａｂｃｄ」、実名ＩＤ「ｅｆｇｈ」の各々が「ＡＢＣＤＡＡＢＢ」、「ＥＦＧＨＡＡＢＢ」に変換されるものとする。判定部１３１は、クライアント端末１００に送信する応答データに、ＲＤＢ装置１５０から送信された応答データの実名ＩＤ「ａｂｃｄ」の代わりに、仮想ＩＤ「ＡＢＣＤＡＡＢＢ」を含める。また、判定部１３１は、ＲＤＢ装置１５０から送信された応答データの実名ＩＤ「ｅｆｇｈ」の代わりに、取得した仮想ＩＤ「ＥＦＧＨＡＡＢＢ」を含める。即ち、判定部１３１は、取得した仮想ＩＤ「ＡＢＣＤＡＡＢＢ」、ＲＤＢ装置１５０からの応答データに含まれる金額「２００,０００」、取得した仮想ＩＤ「ＥＦＧＨＡＡＢＢ」、ＲＤＢ装置１５０からの応答データに含まれる金額「６０,０００」、ＲＤＢ装置１５０からの応答データに含まれるユーザＩＤ「ａａｂｂ」等を含む応答データを、クライアント端末１００に送信する。

この動作例により、クライアント端末１００は、要求した情報を受信する。クライアント端末１００は、受信した情報を上述の図７の画面７０１に一例を示すように出力する。

次に、上述の動作例により受信した応答データを閲覧したユーザが、その応答データに含まれる特定の個人の個人情報を取得する場合の具体例を説明する。

ユーザは、クライアント端末１００の入力装置１０４を用いて、個人ＩＤと、取得する情報の項目名とを指定する。クライアント端末１００の要求部１１１は、個人ＩＤと、取得する情報の項目とを含む要求を制御装置１２０に送信する。ここで、先の個人情報の取得において、実名ＩＤを取得した場合、要求部１１１は、実名ＩＤを示す項目名、その実名ＩＤの項目値、及び、取得する個人情報の項目名等を含むデータ要求を送信する。また、先の個人情報の取得において、偽名ＩＤを取得した場合、要求部１１１は、偽名ＩＤを示す項目名、その偽名ＩＤの項目値、及び、取得する個人情報の項目名等を含むデータ要求を送信する。

ここで、図９を参照し、上述の図６に一例を示すデータ要求６０１を送信して個人情報を取得した後に、特定の個人の購入商品名及び金額を取得する場合のデータ要求の例を説明する。

図９において、データ要求９０１は、ユーザ名９１１、操作内容９１２等を有するものとする。ユーザ名９１１は、データを要求するユーザのユーザＩＤである。操作内容９１２は、命令９２１、項目指定９２２、テーブル指定９２３、条件指定９２４等を含む。命令９２１は、要求する命令を示す。図９の例では、命令９２１「ＳＥＬＥＣＴ」は、データベースからデータを抽出することを示す。項目指定９２２は、命令の対象となるデータ項目名を示す。テーブル指定９２３は、命令の対象となるテーブル名を示す。条件指定９２４は、命令９２１に対する条件を示す。即ち、データ要求９０１は、テーブル指定９２３「個人情報テーブル」から、条件指定９２４「偽名ＩＤ=ＡＢＣＤＡＡＢＢ」である個人の、項目指定９２２「購入商品名、金額」を抽出して送信することを示す。

このようなデータ要求を受信した場合の制御装置１２０の具体的な動作例を説明する。この動作そのものは、上述の図８を参照して説明したものと同じであるので、具体的な動作例を説明していないステップのみ詳細に説明する。

制御装置１２０の判定部１３１は、クライアント端末１００の要求部１１１からデータ要求を受信すると（Ｓ８０１）、このデータ要求に対し応答可能か否か判定する（Ｓ８０２）。

Ｓ８０２の判定の結果、応答不可である場合、判定部１３１は、エラー処理を行なう（Ｓ８０３）。

Ｓ８０２の判定の結果、応答可能である場合、判定部１３１は、そのデータ要求が「クラスＢ」のユーザによるものか否か判定する（Ｓ８０４）。

Ｓ８０４の判定の結果、「クラスＢ」のユーザによるものである場合、判定部１３１は、データ要求に、項目種別「仮想」の項目名及び項目値が含まれているか否か判定する（Ｓ８０５）。

上述の図９に一例を示すデータ要求９０１を受信した場合の例を説明する。この場合、含まれている項目名及び項目値は、項目指定９２２「購入商品名、金額」、条件指定６２４の「偽名ＩＤ=ＡＢＣＤＡＡＢＢ」である。図２に一例を示す項目データテーブル１４１の場合、項目名２０１「購入商品名」、「金額」と対応する項目種別２０３は「-」である。また、項目名２０１「偽名ＩＤ」と対応する項目種別２０３は「仮想」である。従って、判定部１３１は、データ要求６０１に含まれている項目の項目種別に「仮想」が含まれていると判定する。

Ｓ８０５の判定の結果、データ要求に含まれる個人情報の項目の項目種別に「仮想」が含まれている場合、要求変換部１３２は、その項目を変換前に戻す（Ｓ８０６）。この処理は、上述のＳ８１１と逆の手順で処理を行なう。具体的には、例えば、上述のＳ８１１の処理で、結果変換部１３３が項目値の後方にユーザＩＤを追加した値の排他的論理和を取得することにより変換する場合、要求変換部１３２は、抽出した項目値の排他的論理和を取得した後、その値の後方からユーザＩＤ分を削除する等ことにより変換する。

ここで、上述の図９に一例を示すデータ要求９０１を受信した場合の具体例を説明する。上述の図９に一例を示すデータ要求９０１の場合、含まれている項目名及び項目値は、項目指定９２２「購入商品名、金額」、条件指定６２４の「偽名ＩＤ=ＡＢＣＤＡＡＢＢ」である。図２に一例を示す項目データテーブル１４１の場合、項目名２０１「購入商品名」、「金額」と対応する項目種別２０３は「-」である。また、項目名２０１「偽名ＩＤ」と対応する項目種別２０３は「仮想」である。従って、結果変換部１３３は、このデータ要求に変換対象の項目名及び項目値が含まれているものと判定する。結果変換部１３３は、この偽名ＩＤの項目値「ＡＢＣＤＡＡＢＢ」の排他的論理和を取得し、取得した値の後方からユーザＩＤ「ａａｂｂ」を削除等することにより変換前の値を取得する。ここでは、変換前の項目値「ａｂｃｄ」を取得する。

Ｓ８０４の判定の結果、「クラスＢ」のユーザによるものでない場合、又は、Ｓ８０５の判定の結果、データ要求に含まれる個人情報の項目の項目種別に「仮想」が含まれていない場合、或いは、上述のＳ８０６の処理の後、判定部１３１は、データ要求をＲＤＢ装置１５０に送信する（Ｓ８０７）。ここで、上述のＳ８０６の処理を行なっている場合、判定部１３１は、項目種別が「仮想」である項目名及び項目値の代わりに、変換前の項目名及び項目値等を含めてＲＤＢ装置１５０に送信する。

上述の図９に一例を示すデータ要求９０１を受信した場合の例を説明する。この場合、判定部１３１は、受信したデータ要求９０１に含まれている条件指定９２４「偽名ＩＤ=ＡＢＣＤＡＡＢＢ」の代わりに、条件指定９２４「実名ＩＤ=ａｂｃｄ」を含むデータ要求を、ＲＤＢ装置１５０に送信する。

ＲＤＢ装置１５０の情報提供部１６１は、データ要求を受信すると、該当するデータを２次記憶装置１５３から読出し、制御装置１２０に送信する。具体的には、例えば、上述の図９に一例を示すデータ要求９０１を受信した場合、情報提供部１６１は、図４に一例を示す個人情報テーブル１７１から、実名ＩＤ４０１「ａｂｃｄ」である行を選択し、選択した行の購入商品名４０４「液晶テレビ」、金額４０５「２００,０００」、及び、購入商品名４０４「ＤＶＤプレーヤ」、金額４０５「３０,０００」を抽出する。情報提供部１６１は、抽出したデータと、受信したデータ要求に含まれていたユーザＩＤ等を含む応答データを制御装置１２０に送信する。

制御装置１２０の判定部１３１は、ＲＤＢ装置１５０から送信された応答データを受信する（Ｓ８０８）。判定部１３１は、受信した応答が「クラスＢ」のユーザのデータ要求に対するものか否か判定する（Ｓ８０９）。

Ｓ８０９の判定の結果、「クラスＢ」のユーザによるものである場合、判定部１３１は、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれているか否か判定する（Ｓ８１０）。

Ｓ８１０の判定の結果、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれている場合、結果変換部１３３は、その項目を変換する（Ｓ８１１）。

Ｓ８０９の判定の結果、「クラスＢ」のユーザによるものでない場合、又は、Ｓ８１０の判定の結果、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれていない場合、或いは、上述のＳ８１１の処理の後、判定部１３１は、応答データをクライアント端末１００に送信する（Ｓ８１２）。

クライアント端末１００の出力処理部１１２は、受信した情報を出力装置１０５等に出力する。

上述の図９のデータ要求９０１を送信した場合の応答データを、出力装置１０５のディスプレイ等に出力した画面例を図１０に示す。図１０において、画面１００１は、偽名ＩＤ「ＡＢＣＤＡＡＢＢ」、購入商品名「液晶テレビ」、金額「２００,０００」、及び、購入商品名「ＤＶＤプレーヤ」、金額「３５０,０００」等を含む応答データを受信した場合の例である。

なお、データ要求の形式は任意であり、上述した図６のデータ要求６０１、図９のデータ要求９０１に限るものではない。データ要求の他の例を図１１に示す。

図１１において、データ要求１１０１は、ユーザ名１１１１、操作内容１１１２、利用目的１１１３、利用期限１１１４等を含む。ユーザ名１１１１は、データを要求するユーザの識別情報である。操作内容１１１２は、命令１１２１、項目指定１１２２、テーブル指定１１２３等を含む。命令１１２１は、要求する命令を示す。図１１の例では、命令１１２１「ＳＥＬＥＣＴ」は、データベースからデータを抽出することを示す。項目指定１１２２は、命令の対象となるデータ項目名を示す。テーブル指定１１２３は、命令の対象となるテーブル名を示す。利用目的１１１３は、取得するデータの利用目的を示す。利用期限１１１４は、取得するデータの利用期限を示す。

制御装置１２０は、データ要求１１０１を受信すると、図８を参照して説明した動作例を行い、ＲＤＢ装置１５０にデータ要求を送信する。ＲＤＢ装置１５０の情報提供部１６１は、受信したデータ要求に従い個人情報を抽出し、抽出した情報を制御装置１２０に送信する。図１１に一例を示すデータ要求１１０１の場合、情報提供部１６１は、図４に一例を示す個人情報テーブル１７１から、利用期限１１１４「２００６/７/１５」と一致する購入日４０６と対応付けられた購入商品名４０４及び金額４０５を読み出す。具体的には、情報提供部１６１は、購入商品名４０４「デジタルカメラ」、金額４０５「３５，０００」、及び、購入商品名４０４「ＤＶＤプレーヤ」、金額４０５「３０，０００」を読出し、これらの情報等を含む応答データを制御装置１２０に送信する。制御装置１２０は、上述と同じ処理を行ない、応答データをクライアント端末１００に送信する。クライアント端末１００の出力処理部１１２は、受信した情報を出力装置１２４に出力する。

図１１のデータ要求１１０１を送信した場合に受信する応答データを出力装置１０５のディスプレイ等に表示した場合の画面例を図１２に示す。図１２において、画面例１２０１は、購入商品名「デジタルカメラ」、金額「３５，０００」、及び、購入商品名「ＤＶＤプレーヤ」、金額「３０，０００」等を含む応答データを受信した場合の例である。

また、データ要求の他の例を図１３に示す。

図１３において、データ要求１３０１は、ユーザ名「ａａｂｂ」のユーザが、「個人情報テーブル」から、「住所=東京都」である個人の「実名ＩＤ、氏名」の取得を指示するものである。上述の図６に示すデータ要求６０１、図９に示すデータ要求９０１等と異なる点は、データ要求に含まれる個人情報の項目の項目種別に「仮想」が含まれていないことである。

制御装置１２０は、データ要求１１０１を受信すると、図８を参照して説明した動作例を行い、ＲＤＢ装置１５０にデータ要求を送信する。ＲＤＢ装置１５０は、受信したデータ要求に従い個人情報を抽出し、抽出した情報を制御装置１２０に送信する。図１３に一例を示すデータ要求１３０１の場合、情報提供部１６１は、図４に一例を示す個人情報テーブル１７１から、「東京都」と一致する住所４０３と対応付けられた実名ＩＤ４０１及び名前４０３を読み出す。具体的には、情報提供部１６１は、実名ＩＤ４０１「ａｂｃｄ」、名前４０３「ｓｕｚｕｋｉ」、及び、実名ＩＤ４０１「ｉｊｋｌ」、名前４０３「ｗａｔａｎａｂｅ」を読出し、これらの情報等を含む応答データを制御装置１２０に送信する。制御装置１２０は、上述と同じ処理を行ない、応答データをクライアント端末１００に送信する。ここで、制御装置１２０の判定部１３１は、Ｓ８１０の処理で、応答データに、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれているか否か判定する。図２に一例を示す項目データテーブル１４１の場合、項目名２０１「実名ＩＤ」に対応する分類２０２、項目種別は「実名」、「実在」である。また、項目名２０１「名前」に対応する分類２０２、項目種別は「実名」、「-」である。従って、判定部１３１は、この応答データには、分類及び項目種別が「実名」及び「実在」である項目と、分類が「偽名」である項目との両方が含まれていないと判定し、上述のＳ８１１の処理を実行することなく、応答データをクライアント端末１００に送信する。クライアント端末１００の出力処理部１１２は、受信した情報を出力装置１２４に出力する。

図１３のデータ要求１３０１を送信した場合に受信する応答データを出力装置１０５のディスプレイ等に表示した場合の画面例を図１４に示す。図１４において、画面例１４０１は、実名ＩＤ「ａｂｃｄ」、氏名「ｓｕｚｕｋｉ」、実名ＩＤ「ｉｊｋｌ」、金額「ｗａｔａｎａｂｅ」等を含む応答データを受信した場合の例である。

以上に説明したように、本実施形態の技術では、管理者によって許可されたユーザだけが異なる分類のデータ項目に対して同時にアクセスすることができる。また、データベースに対するデータ要求の中で、データベースに存在しない仮想的なデータ項目が指定されていた場合に、データベースで同一人のデータを識別するために使用されているデータ項目値とユーザ名を基にして動的に項目値を生成するため、同一人のデータに対してユーザごとに異なる識別情報が割り振られ、複数のユーザによる容易なデータの結合を防止できる。

即ち、本実施形態の技術では、各個人の個人情報の項目を、個人の特定に直接結びつく可能性の高い項目と、個人の特定に直接結びつく可能性の比較的低い項目とに分類しておく。フルアクセス権を持たないユーザが、個人情報の識別情報（実名ＩＤ）と、個人の特定に直接結びつく可能性の比較的低い項目とを同時に取得する場合、その個人情報の識別情報をユーザ毎に異なるものに変換して提供する。さらに、フルアクセス権を持たないユーザが、個人の特定に直接結びつく可能性の高い項目と、個人の特定に直接結びつく可能性の比較的低い項目とを同時に取得することを不可とする。これにより、複数の検索結果を持ち寄っても、ユーザ毎に異なるＩＤが発行されるため、ＩＤにより各検索結果を統合することが不可となる。また、個人の特定に直接結びつく可能性の高い項目から、各検索結果を統合することが不可となる。

また、本実施形態の技術では、同一の個人情報であっても、ユーザ毎に異なる個人情報の識別情報に変換して提供することが可能となる。この変換後の識別情報は、同一のユーザ名で同一の個人情報を取得する場合、同一のものとなる。従って、検索結果を統合することを不可とすると共に、ユーザが個人情報の識別情報を元に他の情報を検索することが可能となる。

なお、上述のシステムは、例えば臨床研究など、匿名性が必要なデータの管理システムに適用することもできる。このような管理システムに適用した場合には、診療に使用するデータと研究に使用する匿名性の必要なデータとを安全に切り分けることが可能となる。

以上、この発明の実施形態を、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、上述の実施形態では、変換前後の値は排他的論理和により取得するものとしたが、変換前後の値を取得するための具体的処理はこれに限るわけではない。例えば、あらかじめ作成され制御装置の２次記憶装置に格納してある対応表（図示略）を用いて項目値を変換前後の値してもよい。また、例えば、「実在」に分類されるＩＤ項目の項目値とユーザ名とを、従来技術の暗号化によって暗号化した値を、変換後の項目値としてもよい。

また、例えば、上述の実施形態項目値の変換は、「実名ＩＤ」の項目にユーザ名を加えた値に対し処理するものとしたが、これに限られるわけではない。ユーザ名に加え、例えば、利用目的や利用期限等を加えたものに対し変換処理してもよい。

また、上述の実施形態では、変換の要否は、項目データテーブルにより判定するものとしたが、これに限られるわけではない。例えば、項目値の先頭や末尾などに「実在」や「仮想」といった属性情報を持たせ、「実在」の場合には変換不要として「仮想」の場合には変換必要として判定してもよい。また、例えば、従来技術の暗号技術などを用いて項目値の中にそうした属性情報を隠蔽しておいても良い。

本発明の一実施形態において、構成例を示す図である。 同実施形態において、項目データテーブルの一例を示す図である。 同実施形態において、アクセス権限データテーブルの一例を示す図である。 同実施形態において、個人情報テーブルの一例を示す図である。 同実施形態において、クライアント端末の動作例を示す図である。 同実施形態において、データ要求の一例を示す図である。 同実施形態において、画面例を示す図である。 同実施形態において、制御装置の動作例を示す図である。 同実施形態において、データ要求の一例を示す図である。 同実施形態において、画面例を示す図である。 同実施形態において、データ要求の一例を示す図である。 同実施形態において、画面例を示す図である。 同実施形態において、データ要求の一例を示す図である。 同実施形態において、画面例を示す図である。

符号の説明

１００：クライアント端末、１０１：ＣＰＵ、１１１：要求部、１１２：出力処理部、１０２：メモリ、１０３：２次記憶装置、１０４：入力装置、１０５：出力装置、１０６：インタフェース、１２０：制御装置、１２１：ＣＰＵ、１３１：判定部、１３２：要求変換部、１３３：結果変換部、１２２：メモリ、１２３：２次記憶装置、１４１：項目データテーブル、１４２：アクセス権限データテーブル、１２４：入力装置、１２５：出力装置、１２６：インタフェース、１５０：ＲＤＢ装置、１５１：ＣＰＵ、１６１：情報提供部、１５２：メモリ、１５３：２次記憶装置、１５４：入力装置、１５５：出力装置、１５６：インタフェース、１８０：通信ネットワーク

Claims (7)

1. 要求する個人情報の項目を含む要求データを出力するクライアント端末と、複数の項目各々の項目値を含む個人情報を複数記憶する個人情報記憶装置を有し要求データに含まれる項目の項目値を含む応答データを出力する個人情報管理装置とに接続され、前記クライアント端末からのデータ要求を前記個人情報管理装置に出力すると共に、前記個人情報管理装置からの応答データを前記クライアント端末に出力する情報提供制御装置であって、
   データが入出力されるデータ入出力手段と、
   制御手段と、を有し、
   前記制御手段が、
   前記クライアント端末からの、要求する項目と、前記クライアント端末を用いるユーザのユーザ識別情報とを含むデータ要求が入力されると、該データ要求を前記個人情報管理装置に出力し、
   前記個人情報管理装置から入力された応答データに所定項目の項目値が含まれている場合、該項目値と前記ユーザ識別情報とを組み合わせて変換項目値を取得し、前記応答データに含まれる前記所定項目の項目値を前記変換項目値に代えて、前記クライアント端末に出力すること
   を特徴とする情報提供制御装置。
2. 請求項１記載の情報提供制御装置であって、
   前記制御手段が、前記クライアント端末から入力されたデータ要求に前記変換項目値が含まれている場合、前記変換項目値と前記ユーザ識別情報とから、該ユーザ識別情報を組合せる前の項目値を取得し、前記要求データに含まれる前記変換項目値を前記取得した組合せる前の項目値に代えて、前記個人情報管理装置に出力すること
   を特徴とする情報提供制御装置。
3. 請求項１記載の情報提供制御装置であって、
   前記制御手段が、前記応答データに、前記個人情報の識別情報の項目値が含まれている場合、該個人情報の識別情報の項目値と前記ユーザのユーザ識別情報とを組み合わせて変換項目値を取得し、前記応答データに含まれる前記個人情報の識別情報の項目値を前記変換項目値に代えて、前記クライアント端末に出力すること
   を特徴とする情報提供制御装置。
4. 請求項３記載の情報提供制御装置であって、
   前記制御手段が、前記クライアント端末から入力されたデータ要求に前記変換項目値が含まれている場合、前記変換項目値と前記ユーザ識別情報とから、該ユーザ識別情報を組合せる前の前記個人情報の識別情報の項目値を取得し、前記要求データに含まれる前記変換項目値を前記取得した前記個人情報の識別情報の項目値に代えて、前記個人情報管理装置に出力すること
   を特徴とする情報提供制御装置。
5. 請求項１記載の情報提供制御装置であって、
   前記制御手段が、前記データ要求に含まれている項目に、個人情報の識別情報の項目と、所定の項目とが含まれている場合、該データ要求に応答しないこと
   を特徴とする情報提供制御装置。
6. 要求する個人情報の項目を含む要求データを出力するクライアント端末と、複数の項目各々の項目値を含む個人情報を複数記憶する個人情報記憶装置を有し要求データに含まれる項目の項目値を含む応答データを出力する個人情報管理装置とに接続され、前記クライアント端末からのデータ要求を前記個人情報管理装置に出力すると共に、前記個人情報管理装置からの応答データを前記クライアント端末に出力する情報提供制御装置による情報提供方法であって、
   データが入出力されるデータ入出力手段と、
   制御手段と、を有する前記情報提供装置に、
   前記クライアント端末からの、要求する項目と、前記クライアント端末を用いるユーザのユーザ識別情報とを含むデータ要求が入力されるステップと、
   前記データ要求を前記個人情報管理装置に出力するステップと、
   前記個人情報管理装置から入力された応答データに所定項目の項目値が含まれている場合、該項目値と前記ユーザ識別情報とを組み合わせて変換項目値を取得するステップと、
   前記応答データに含まれる前記所定項目の項目値を前記変換項目値に代えて、前記クライアント端末に出力するステップと、を実行させること
   を特徴とする情報提供制御方法。
7. 要求する個人情報の項目を含む要求データを出力するクライアント端末と、複数の項目各々の項目値を含む個人情報を複数記憶する個人情報記憶装置を有し要求データに含まれる項目の項目値を含む応答データを出力する個人情報管理装置とに接続され、前記クライアント端末からのデータ要求を前記個人情報管理装置に出力すると共に、前記個人情報管理装置からの応答データを前記クライアント端末に出力する情報提供制御装置に実行させる、コンピュータ読み取り可能なプログラムであって、
   データが入出力されるデータ入出力手段と、
   制御手段と、を有する前記情報提供装置に、
   前記クライアント端末からの、要求する項目と、前記クライアント端末を用いるユーザのユーザ識別情報とを含むデータ要求が入力されるステップと、
   前記データ要求を前記個人情報管理装置に出力するステップと、
   前記個人情報管理装置から入力された応答データに所定項目の項目値が含まれている場合、該項目値と前記ユーザ識別情報とを組み合わせて変換項目値を取得するステップと、
   前記応答データに含まれる前記所定項目の項目値を前記変換項目値に代えて、前記クライアント端末に出力するステップと、を実行させること
   を特徴とするプログラム。

Images