JP2010244272A - 個人属性情報管理方法、個人属性情報管理システムおよび個人属性情報管理プログラム - Google Patents

Abstract

【課題】サービス提供者のサービスを利用する場合に、サービスの利用に必要な当該サービス利用者の個人属性情報を当該サービス利用者本人が自由な裁量で管理することが可能な個人属性情報管理方法を提供する。
【解決手段】サービス利用者の個人管理情報を保管する保管場所として、利用者端末２０に装着可能な耐タンパ性を有する属性情報記録媒体１０、および／または、サービス利用者およびサービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバ３０に、当該サービス利用者からの指示に基づいて、第１個人属性情報１３ａおよび／または第２個人属性情報３３ａとして分散またはまとめて保管する。さらに、属性情報記録媒体１０および／または個人属性情報管理サーバ３０に保管されたサービス利用者の前記個人属性情報の提供を許容する提供先のサービス提供サーバ５０を、当該サービス利用者からの指示に基づいて、あらかじめ設定する。
【選択図】図１

Description

本発明は、個人属性情報管理方法、個人属性情報管理システムおよび個人属性情報管理プログラムに関する。

何らかのサービスを提供することを目的としたクライアント／サーバ型の情報システムにおいては、一般に、サービス利用者のアカウント情報ならびにサービス利用に関する情報が、サービスを提供する情報提供サーバの情報格納部（ストレージデバイス）に保存・記録されている。

サービス利用者のアカウント情報並びにサービス利用に関する情報は、その特性において大きく二通りに分類される。一つは、利用者個人を特定し得る個人属性情報であり、もう一つは、利用者個人を特定することができないサービス属性情報である。ここで、個人属性情報とは、当該情報そのものもしくは当該情報と他の情報との照合から、個人を特定することが可能となる情報であるものと定義する。

サービス利用者は、クライアント端末（利用者端末）より情報システムの情報提供サーバにアクセスして、適切な認証を経た後に、該情報提供サーバの情報格納部（ストレージデバイス）に保存・記録された自らの個人属性情報を、閲覧、修正、追加することなどを実施することができる。かかる場合は、サービス利用者本人の個人属性情報にアクセスするものであり、「セルフサービス」と称する。

また、本情報システムの管理者は、情報提供サーバへの適切なアクセス認証の後、本情報システムのサービスを利用するサービス利用者の個人属性情報を閲覧、修正、追加すること等も実施することができる。情報システムの管理者は、特権を有しており、本情報システムのサービスを利用するサービス利用者の個人属性情報にアクセスすることができ、かかる場合は「特権サービス」に位置付けられる。

かくのごとく、クライアント／サーバ型の情報システムにおいては、一般に、サービス利用者である個人が、自らの個人属性情報の管理を完全に占有することができていない状況にある。

従来の情報システムにおいては、クライアント端末（利用者端末）から、サービス利用者が、アカウントのキー情報となる利用者ＩＤ（利用者識別子）と、操作者がサービス利用者本人であることを、情報システムのサービス提供サーバに認証してもらうために、利用者ＩＤ（利用者識別子）と対応付けられたパスワードとを、セキュアなデータ通信手段により提示することが一般的である。

ここで、サービスの特性により、認証方式が、前述のような利用者ＩＤ（利用者識別子）／パスワード認証ではなく、ＰＫＩ（Public Key Infrastructure：公開鍵暗号基盤方式）認証の場合、クライアント端末の操作者が提示するのは、信頼された証明機関より発行された個人証明書になる。

また、利用者ＩＤ（利用者識別子）／パスワードや個人証明書等の情報の提示手段は、クライアント端末の入力デバイスへの操作による他、サービス利用者が保持するＩＣカードのような可搬性があるデバイスより、データ通信による手段もある。

特開２００２−３３４２７４号公報

前述のように、サービス利用者が、何らかのサービスを利用したいとき、当該サービスを提供するサービス提供者の要求に対して、サービス利用者個人を特定可能な個人属性情報を当該サービス提供者側にあらかじめ提供する必要があり、提供した個人属性情報がサービス提供サーバの情報格納部（ストレージデバイス）に保存・記録されるという状況は、個人属性情報の秘匿性を確保する上で課題である。これは、個人情報の保護に関する法律の下、如何に、サービスを提供する情報システムとして適切に情報管理がなされていたとしても、当該個人属性情報が、サービス利用者本人の同意なく利用され、また、流出・漏洩する可能性は、サービス提供者側の情報管理方法および情報システムに依存し、全くないというわけではないからである。

特に、複数のサービス提供者の連携に基づくサービスを利用する場合、サービス提供者間で、当該サービスに関するサービス属性情報以外に、当該サービスを利用しようとするサービス利用者の個人属性情報も流通可能にしているという現状は、個人属性情報を含む情報の名寄せにより、第三者が、或るサービス利用者個人の特定を容易に行うことも可能になるという点で、課題である。

本発明は、かかる課題に鑑みてなされたものであり、本発明が解決しようとする課題は、サービス提供者が提供するサービスをサービス利用者が利用する場合、当該サービス利用者の個人属性情報を、当該サービス利用者本人が自由な裁量で管理することを可能とし、かつ、第三者に利用される可能性を低減する仕組みを有する個人属性情報管理方法、個人属性情報管理システムおよび個人属性情報管理プログラムを提供することにある。

本発明は、前述の課題を解決するために、以下のごとき各技術手段から構成されている。

第１の技術手段は、サービス利用者が利用者端末を用いてサービス提供者のサービス提供サーバが提供するサービスを利用する際に必要になる当該サービス利用者の個人属性情報を管理する個人属性情報管理方法であって、前記個人管理情報を保管する保管場所として、前記利用者端末に装着することが可能な耐タンパ性を有する個人属性情報記録媒体と、前記サービス利用者および前記サービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバとの２つの保管場所を有し、前記サービス利用者の前記個人管理情報を、当該サービス利用者からの指示に基づいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバ分散またはまとめて保管することを特徴とする。

第２の技術手段は、前記第１の技術手段に記載の個人属性情報管理方法において、前記属性情報記録媒体および／または前記個人属性情報管理サーバに保管された前記サービス利用者の前記個人属性情報を、前記サービス提供サーバへ提供する際の提供先を、当該サービス利用者からの指示に基づいて、あらかじめ設定することを特徴とする。

第３の技術手段は、前記第１または第２の技術手段に記載の個人属性情報管理方法において、前記サービス利用者が前記サービス提供者のサービス提供サーバが提供するサービスを利用する場合、サービスを利用しようとする前記サービス提供者に関する情報と当該サービス利用者の利用者識別子とを付したサービス利用要求を前記利用者端末から前記個人属性情報管理サーバに対して送信し、該サービス利用要求を受け取った前記個人属性情報管理サーバは、前記利用者識別子とは異なる匿名ＩＤを一時的に生成して、該匿名ＩＤを用いて、前記サービス利用要求によって指定された前記サービス提供者の前記サービス提供サーバに対してサービス利用要求を送信することを特徴とする。

第４の技術手段は、前記第３の技術手段に記載の個人属性情報管理方法において、前記個人属性情報管理サーバは、前記サービス利用要求を前記サービス提供サーバに送信する際に、または、前記サービス利用要求を送信した送信先の前記サービス提供サーバから、サービスの提供に必要とする前記個人属性情報の取得を送信元の当該個人属性情報管理サーバに要求してきた際に、当該サービス利用要求の要求元のサービス利用者が提供先として当該サービス提供サーバへの前記個人属性情報の提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、前記サービス提供サーバに対して送信することを特徴とする。

第５の技術手段は、前記第３または第４の技術手段に記載の個人属性情報管理方法において、前記サービス利用要求を受信した前記サービス提供サーバが、当該サービス利用要求を実行するために、他のサービス提供サーバとの連携動作を必要とする場合、前記他のサービス提供サーバへのサービス継続依頼を前記個人属性情報管理サーバに返送し、該サービス継続依頼を受信した前記個人属性情報管理サーバは、前記他のサービス提供サーバがサービスの提供に必要とする前記個人属性情報について、当該サービス利用要求の要求元のサービス利用者が提供先として当該他のサービス提供サーバへの提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、収集した前記個人属性情報と新たに一時的に生成した匿名ＩＤとを付したサービス継続要求を前記他のサービス提供サーバに対して送信することを特徴とする。

第６の技術手段は、サービス利用者が利用者端末を用いてサービス提供者のサービス提供サーバが提供するサービスを利用する際に必要になる当該サービス利用者の個人属性情報を管理する個人属性情報管理システムであって、前記個人管理情報を保管する保管場所として、前記利用者端末に装着することが可能な耐タンパ性を有する個人属性情報記録媒体と、前記サービス利用者および前記サービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバとの２つの保管場所を有し、前記サービス利用者の前記個人管理情報を、当該サービス利用者からの指示に基づいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバ分散またはまとめて保管することを特徴とする。

第７の技術手段は、前記第６の技術手段に記載の個人属性情報管理システムにおいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバに保管された前記サービス利用者の前記個人属性情報を、前記サービス提供サーバへ提供する際の提供先を、当該サービス利用者からの指示に基づいて、あらかじめ設定することを特徴とする。

第８の技術手段は、前記第６または第７の技術手段に記載の個人属性情報管理システムにおいて、前記サービス利用者が前記サービス提供者のサービス提供サーバが提供するサービスを利用する場合、サービスを利用しようとする前記サービス提供者に関する情報と当該サービス利用者の利用者識別子とを付したサービス利用要求を前記利用者端末から前記個人属性情報管理サーバに対して送信し、該サービス利用要求を受け取った前記個人属性情報管理サーバは、前記利用者識別子とは異なる匿名ＩＤを一時的に生成して、該匿名ＩＤを用いて、前記サービス利用要求によって指定された前記サービス提供者の前記サービス提供サーバに対してサービス利用要求を送信することを特徴とする。

第９の技術手段は、前記第８の技術手段に記載の個人属性情報管理システムにおいて、前記個人属性情報管理サーバは、前記サービス利用要求を前記サービス提供サーバに送信する際に、または、前記サービス利用要求を送信した送信先の前記サービス提供サーバから、サービスの提供に必要とする前記個人属性情報の取得を送信元の当該個人属性情報管理サーバに要求してきた際に、当該サービス利用要求の要求元のサービス利用者が提供先として当該サービス提供サーバへの前記個人属性情報の提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、前記サービス提供サーバに対して送信することを特徴とする。

第１０の技術手段は、前記第１ないし第５の技術手段のいずれかに記載の個人属性情報管理方法をコンピュータによって実行可能なプログラムとして実施している個人属性情報管理プログラムとすることを特徴とする。

本発明の個人属性情報管理方法、個人属性情報管理システムおよび個人属性情報管理プログラムによれば、以下のごとき効果を奏することができる。

（１）サービス利用者を個人として特定するための個人属性情報のうち、サービスの利用に必要とするすべてまたは一部の個人属性情報を、サービス利用者の自由な裁量により、サービス提供者側ではなく、サービス利用者個人が所持するＩＣカードなど耐タンパ性を有するデバイス（個人属性情報記録媒体）、および／または、サービス利用者およびサービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバに、分散してまたはまとめて、管理することができ、個人が特定されてしまう個人特定率を低く抑えることができる。

（２）信頼機関が運営する個人属性情報管理サーバに個人属性情報を預託して該信頼機関に管理を委任する場合であっても、サービス利用者の自由な裁量により、当該サービス利用者の個人属性情報の取り扱い方法（例えば提供先）を適切に設定することができるので、サービス利用者が所望する形態で当該サービス利用者の個人属性情報を管理することができる。

（３）一方で、サービスの利用に必要とするすべてまたは一部の個人属性情報の管理を、信頼することができる信頼機関に委任することができ、柔軟なシステム設計を行うことができる。

本発明に係る個人属性情報管理システムのシステム構成の一例を示すシステム構成図である。 現状の一般的な個人属性情報管理システムにおけるサービス利用形態を示す説明図である。 本発明の一例として示した図１の個人属性情報管理システムにおけるサービス利用形態を説明するための説明図である。 図１に示す個人属性情報管理システムにおいてサービス利用者（Ｕ）の個人属性情報の保管形態の一例を説明するためのテーブルである。 図１に示す個人属性情報管理システムの動作の一例を説明するためのシーケンスチャートである。

以下に、本発明に係る個人属性情報管理方法、個人属性情報管理システムおよび個人属性情報管理プログラムの好適な実施形態について、その一例を、図面を参照しながら詳細に説明する。なお、以下の説明においては、本発明による個人属性情報管理システムおよび個人属性情報管理方法について説明するが、かかる個人属性情報管理方法をコンピュータにより実行可能な個人属性情報管理プログラムとして実施するようにしても良いし、さらに、かかる個人属性情報管理プログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。

（本発明の特徴）
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、クライアント／サーバ型情報システムを用いたサービスを提供する際に必要となるサービス利用者の個人属性情報を管理する仕組みに関するものである。本発明においては、サービス利用者が、本人の個人属性情報の管理方法を、秘匿性を確保しつつ、本人の裁量で自由に選択することができるようにしている点に特徴がある。

具体的には、個人属性情報を、サービス利用者本人が所持するＩＣカード等の耐タンパ性を有するデバイス（個人属性情報記録媒体）によって管理する第１個人属性情報と、サービス利用者およびサービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバによって管理する第２個人属性情報と、にサービス利用者の意思で任意に区分して管理する。

そして、サービス利用者からサービスの利用が要求される都度、サービス提供者が運営するサービス提供サーバがサービスの提供に必要とする個人属性情報のうち、当該サービス利用者が許容している個人属性情報のみを、当該個人属性情報を格納しているＩＣカード等の個人属性情報記録媒体からタンパ性を有する個人属性情報管理サーバを介して、および／または、当該個人属性情報を格納している個人属性情報管理サーバから、サービス提供者によってのみ復号が可能な形式で暗号化された個人属性情報として、サービス提供サーバが取得することができる。

而して、サービス利用者の自由な裁量で、本人の個人属性情報の管理をより厳格に行うことを可能とし、個人属性情報の漏洩に伴うサービス利用者個人の特定率を低減することができる。

（個人属性情報管理システムの構成例）
次に、本発明に係る個人属性情報管理システムのシステム構成について、その一例を説明する。図１は、本発明に係る個人属性情報管理システムのシステム構成の一例を示すシステム構成図であり、個人属性情報管理システムを構成する各構成要素の関係を示している。

図１に示すように、個人属性情報管理システムは、ＩＣカードなど耐タンパ性を有する情報格納／制御／処理手段である利用者側の個人属性情報記録媒体１０、該個人属性情報記録媒体１０を装着可能な個人属性情報管理クライアント端末である利用者端末２０、信頼機関が運用する個人属性情報管理サーバ３０、利用者端末２０と個人属性情報管理サーバ３０とを接続するネットワーク４０によって構成される。

なお、図１には、利用者に対してサービスを提供するサービス提供サーバ５０を図示しているが、サービス提供サーバ５０は、クライアント／サーバ型システムとして、ネットワーク４０を介して、利用者端末２０と接続される構成となっているが、本個人属性情報管理システムにおいては、論理的には、サービス提供サーバ５０は利用者端末２０とネットワーク４０を介して直接接続されるのではなく、個人属性情報管理サーバ３０およびネットワーク４０を介して利用者端末２０と接続される。つまり、
利用者端末２０ − ネットワーク４０ − 個人属性情報管理サーバ３０
− ネットワーク４０ − サービス提供サーバ５０
の接続形態で、クライアント／サーバ型のサービスが実施される。

個人属性情報記録媒体１０は、利用者の個人属性情報のうち一部またはすべてを第１個人属性情報１３ａとして記録する耐タンパ性を有するＩＣカード等の記録媒体であり、通信部１１、情報制御部１２、情報格納部１３を少なくとも備えている。

通信部１１は、当該個人属性情報記録媒体１０を利用者端末２０に装着した際に利用者端末２０側との間で情報を送受信する通信手段であり、利用者端末２０側の記録媒体用通信部２２およびオブジェクト通信処理部２４と対応する。

情報制御部１２は、情報格納部１３に格納される第１個人属性情報１３ａ、プロファイル情報１３ｂの読み書き、編集等の情報の格納／制御／処理手段であり、通信部１１との間で情報を授受する。

情報格納部１３は、サービス利用者の個人属性情報のうち当該個人属性情報記録媒体１０側に記録される第１個人属性情報１３ａ、および、個人属性情報管理サーバ３０との通信を行うために必要となる情報である制御情報および基本情報からなるプロファイル情報１３ｂを少なくとも格納する。第１個人属性情報１３ａは、個人属性情報管理サーバ３０側に格納される第２個人属性情報３３ａと合わせて、サービス利用者がサービスを利用するために必要とする個人属性情報となる。また、プロファイル情報１３ｂは、個人属性情報管理サーバ３０側に格納されるプロファイル情報３３ｂと対応する。

利用者端末２０は、個人属性情報記録媒体１０を装着することが可能であって、個人属性情報管理サーバ３０を介して、サービス提供サーバ５０のサービスを利用するクライアント側の端末であり、個人属性情報記録媒体１０に記録される第１個人属性情報１３ａをサービス利用者本人が管理する個人属性情報管理クライアント端末でもある。利用者端末２０は、通信部２１、記録媒体用通信部２２、情報制御部２３、オブジェクト通信処理部２４、情報閲覧部２５を少なくとも備えている。

通信部２１は、個人属性情報管理サーバ３０との間でネットワーク４０を介して情報の送受信を行うネットワーク通信手段であり、個人属性情報管理サーバ３０の通信部３１と対応する。

記録媒体用通信部２２は、当該利用者端末２０に装着された個人属性情報記録媒体１０との間で情報を送受信する通信手段であり、個人属性情報記録媒体１０がＩＣカードの場合、ＩＣカードリーダライタが該当する。

情報制御部２３は、当該利用者端末２０内の情報の編集や各種の処理を行うとともに、各部位の制御を行うことによって、当該利用者端末２０の動作を制御する。

オブジェクト通信処理部２４は、ＡｃｔｉｖｅＸ等のオブジェクトを個人属性情報記録媒体１０や個人属性情報管理サーバ３０との間でやり取りする通信処理手段であり、個人属性情報記録媒体１０側の通信部１１、個人属性情報管理サーバ３０側の通信処理部３４と対応する。

情報閲覧部２５は、Ｗｅｂブラウザ等の情報転送／表示／制御／処理を行う閲覧手段であり、個人属性情報管理サーバ３０側のウェブサーバ部３５と対応する。

次に、個人属性情報管理サーバ３０は、利用者の個人属性情報のうち、個人属性情報記録媒体１０側に記録される第１個人属性情報１３ａ以外の個人属性情報を第２個人属性情報３３ａとして管理するサーバであり、信頼機関によって運営され、利用者端末２０、サービス提供サーバ５０との間で、ネットワーク４０を介して、セキュアな通信手段を用いて、情報を送受信する。サービス利用者が、サービス提供者が提供するサービスを利用しようとする場合、サービス利用者の利用者端末２０からのサービス利用要求を受け取って、以降、該サービス利用者の代行者として、個人属性情報管理サーバ３０が、要求されたサービスを提供しているサービス提供サーバ５０との間の情報のやり取りを行う。

サービス提供者のサービス提供サーバ５０が提供するサービスを利用する際に必要となる利用者の個人属性情報は、サービス利用者が所持するＩＣカード等の個人属性情報記録媒体１０に記録される第１個人属性情報１３ａと個人属性情報管理サーバ３０が管理する第２個人属性情報３３ａとに分割されて構成されるが、第１個人属性情報１３ａと第２個人属性情報３３ａとして、どの情報をそれぞれに割り当てるか、あるいは、いずれか一方にまとめて管理するかについては、利用者が任意に決定することができる。

個人属性情報管理サーバ３０は、通信部３１、情報制御部３２、情報格納部３３、通信処理部３４、ウェブサーバ部３５、サーバ間通信部３６を少なくとも備えている。

通信部３１は、ネットワーク４０を介して利用者端末２０やサービス提供サーバ５０との間でネットワーク４０を介して情報の送受信を行うネットワーク通信手段であり、利用者端末２０の通信部２１やサービス提供サーバ５０のネットワーク通信手段と対応する。

情報制御部３２は、当該個人属性情報管理サーバ３０内の情報の編集や処理や格納を行うとともに、通信部３１や情報格納部３３や通信処理部３４やウェブサーバ部３５やサーバ間通信部３６等の各部位の制御を行うことによって、当該個人属性情報管理サーバ３０の動作を制御する。

情報格納部３３は、ＨＳＭ（Hardware Security Module）等の耐タンパ性を有する情報格納技術からなり、利用者の個人属性情報のうち当該個人属性情報管理サーバ３０側で管理する第２個人属性情報３３ａ、個人属性情報記録媒体１０側に格納されるプロファイル情報１３ｂと対応する制御情報および基本情報からなるプロファイル情報３３ｂを少なくとも格納するデータベースである。

通信処理部３４は、ＡｃｔｉｖｅＸ等のオブジェクトを利用者端末２０との間でやり取りする通信処理手段であり、利用者端末２０側のオブジェクト通信処理部２４と対応する。

ウェブサーバ部３５は、ＨＴＴＰＳ（Hypertext Transfer Protocol over Secure Socket Layer）等のプロトコル処理を行うとともに、情報表示／制御／処理を行うサーバ側のウェブ機能を実施する手段であり、利用者端末２０の情報閲覧部２５と対応する。

サーバ間通信部３６は、サービス提供サーバ５０との間で情報をやり取りするための通信手段であり、サービス提供サーバ５０との間でセキュアな通信を行うとともに、情報制御部３２の制御の下、情報格納部３３や通信処理部３４、ウェブサーバ部３５との間でやり取りを行ったり、情報格納部３３に記録される第２個人属性情報３３ａやプロファイル情報３３ｂの編集や処理を行ったりする。

（個人属性情報管理システムのサービス利用上の前提）
次に、図１に示す個人属性情報管理システムにおいてサービスを利用する上で前提とする点について、図２、図３を用いて説明する。ここに、図２は、現状の一般的な個人属性情報管理システムにおけるサービス利用形態を示す説明図であり、図３は、本発明の一例として示した図１の個人属性情報管理システムにおけるサービス利用形態を説明するための説明図である。

図２の現状の個人属性情報管理システムにおいては、サービス利用者（Ｕ）は、特定のサービス提供者（Ｓ１）に対して、当該サービス利用者（Ｕ）に関する個人属性情報の預託および管理を委任し、該サービス提供者（Ｓ１）との間で、サービス利用者（Ｕ）を特定する個人ＩＤ（利用者ＩＤ）の提示／利用を行うことによって、該サービス提供者（Ｓ１）におけるサービスの提供に必要とする個人属性情報を参照して、サービスの利用／提供を実現する形態である。

さらに、サービス利用者（Ｕ）がサービス提供者（Ｓ１）のサービスの利用／提供形態として、他のサービス提供者Ｓ２，Ｓ３と連携して、他のサービス提供者Ｓ２，Ｓ３との間でサービスの利用／提供を継続して実施しようとする場合は、個人属性情報の預託および管理を委任した特定のサービス提供者（Ｓ１）から他のサービス提供者Ｓ２，Ｓ３との連携動作が直接行われることになり、該サービス提供者（Ｓ１）とサービス利用／提供を継続して行うサービス提供者Ｓ２，Ｓ３との間で、サービス利用者（Ｕ）を特定する個人ＩＤ（利用者ＩＤ）、個人属性情報、サービス属性情報の提供／利用が行われる。

これに対して、本発明の一例を示す図１の個人属性情報管理システムの場合、図３に示すように、サービス利用者（Ｕ）は、サービス提供者（Ｓ１，Ｓ２，Ｓ３）に個人属性情報を管理させる形態ではなく、信頼機関（Ｋ）に、サービスの利用／提供に必要な個人属性情報の一部またはすべての預託および管理を委任する形態であり、サービス利用者（Ｕ）の個人ＩＤ（利用者ＩＤ）を利用して、信頼機関（Ｋ）を介して、サービス提供者（Ｓ１，Ｓ２，Ｓ３）との間でサービス利用／提供を行う形態としている。

ここで、信頼機関（Ｋ）は、サービス利用者（Ｕ）の代行者として機能するものであり、サービス利用者（Ｕ）は、信頼機関（Ｋ）に対してサービス提供者（Ｓ１，Ｓ２，Ｓ３）に対するサービスの利用／提供要求を、個人ＩＤ（利用者ＩＤ）を用いて行い、該要求を受け取った信頼機関（Ｋ）が、個人ＩＤ（利用者ＩＤ）をキーとして、管理を委任されている個人属性情報を検索し、サービス利用者（Ｕ）が決定した利用方法にしたがって該個人属性情報の提供先を決定して、サービス提供者（Ｓ１，Ｓ２，Ｓ３）との間で、サービスの利用／提供に関するやり取りを行う。

この際、信頼機関（Ｋ）は、従来の個人属性情報管理システムの場合とは異なり、サービス提供者（Ｓ１，Ｓ２，Ｓ３）との間のやり取りは、サービス利用者（Ｕ）を特定する個人ＩＤ（利用者ＩＤ）ではなく、サービス利用者（Ｕ）を特定することが不可能な一時的な匿名ＩＤを生成して用いる。つまり、個人属性情報管理サーバは、匿名ＩＤ、サービス提供者（Ｓ１，Ｓ２，Ｓ３）がサービス提供に必要とする特定の個人属性情報、要求するサービスの属性を示すサービス属性情報を、サービス提供者（Ｓ１，Ｓ２，Ｓ３）との間で提供／利用することにより、サービス提供者（Ｓ１，Ｓ２，Ｓ３）は、サービス利用者（Ｕ）が要求するサービスの利用／提供を実施し、その結果は、個人属性情報管理サーバを介して、サービス利用者（Ｕ）に転送される。

また、サービス提供者（Ｓ１）が、サービスを利用／提供するために、他のサービス提供者（Ｓ２，Ｓ３）との連携動作が必要になった場合、従来の個人属性情報管理システムの場合とは異なり、サービス提供者（Ｓ１）から直接他のサービス提供者（Ｓ２，Ｓ３）に対してサービスの利用／提供を継続させるための要求を行う形態ではなく、信頼機関（Ｋ）を介して、他のサービス提供者（Ｓ２，Ｓ３）に対してサービスの利用／提供を継続させるための依頼を行う形態としている。

さらに、図３の説明図について説明すると、サービス利用者（Ｕ）がサービスを利用する場合のサービス利用モデルは、次の点を前提としている。

（１）サービス利用者（Ｕ）は、個人属性情報の預託と管理の委任に関する信頼機関（Ｋ）との契約において、サービス利用の際に、サービス提供者（Ｓ１，Ｓ２，Ｓ３、…）が要求するサービス利用者（Ｕ）の個人属性情報の管理に、ＩＣカードなど耐タンパ性があるデバイス（図１に示す個人属性情報記録媒体１０）と、信頼機関（Ｋ）の情報システムである個人属性情報管理サーバ（図１に示す個人属性情報管理サーバ３０）と、個人属性情報管理サーバ（図１に示す個人属性情報管理サーバ３０）との間でセキュアな通信を行う利用者端末（図１に示す利用者端末２０）とを利用する。

（２）また、信頼機関（Ｋ）は、サービス利用者（Ｕ）より預託された個人属性情報を、個人属性情報管理サーバ（図１に示す個人属性情報管理サーバ３０）に実装されるデータベース（図１に示す情報格納部３３）に記録・保存する。データベースに記録・保存される個人属性情報は、安全に管理された信頼機関（Ｋ）の鍵により暗号化されている。

（３）また、信頼機関（Ｋ）は、サービス利用者（Ｕ）の識別のために、サービス利用者（Ｕ）の利用者ＩＤ（個人ＩＤ）つまり利用者識別子ｕＩＤを用いる。利用者識別子ｕＩＤは、それ自体では、個人を特定・識別することができないユニークな識別子である。該利用者識別子ｕＩＤを、サービス利用者（Ｕ）の個人属性情報を検索するためのキーとすることによって、サービス利用者（Ｕ）を識別することができる。

（４）利用者識別子ｕＩＤは、サービス利用者（Ｕ）が信頼して個人属性情報の預託を行う信頼機関（Ｋ）により該当のサービス利用者（Ｕ）に対して発行される。信頼機関（Ｋ）がＣＡ（Certificate Authority：認証機関）およびカード発行者として機能する場合は、信頼機関（Ｋ）は、サービス利用者（Ｕ）の秘密鍵、公開鍵証明書も発行し、利用者識別子ｕＩＤとともに、サービス利用者（Ｕ）に提供するＩＣカードなど耐タンパ性があるデバイス（図１に示す個人属性情報記録媒体１０の情報格納部１３）にプロファイル情報として格納する。

（５）サービス利用者（Ｕ）がサービス提供者（Ｓ１，Ｓ２，Ｓ３，…）のサービスを利用する仕組み、および、信頼機関（Ｋ）とサービス提供者（Ｓ１，Ｓ２，Ｓ３，…）との間でサービス利用者（Ｕ）の個人属性情報が流通する仕組みは、従来の技術を利用することができるものとする。

（６）ＩＣカードなど耐タンパ性があるデバイスの通信手段（図１に示す個人属性情報記録媒体１０の通信部１１、情報制御部１２）と利用者端末の通信手段（図１に示す利用者端末２０の記録媒体用通信部２２、情報制御部２３、オブジェクト通信処理部２４）との間の通信方式、通信プロトコルについては、従来の技術を利用することができるものとする。

（個人属性情報管理システムの動作例）
次に、図１に示す個人属性情報管理システムの動作について、その一例を説明する。個人属性情報管理システムの動作の説明に先立って、サービス利用者（Ｕ）の個人属性情報の保管形態について、その一例を、図４を用いて説明する。図４は、図１に示す個人属性情報管理システムにおいてサービス利用者（Ｕ）の個人属性情報の保管形態の一例を説明するためのテーブルであり、サービス利用者（Ｕ）が所持する個人属性情報記録媒体１０側と信頼機関（Ｋ）が運営する個人属性情報管理サーバ３０側とで個人属性情報を分割して記録している論理的なイメージとともに、各サービス提供者（Ｓ１，Ｓ２，Ｓ３）のサービスを利用する際に必要とする個人属性情報（サービス提供者が利用する個人属性情報）についても合わせて示している。

図４の個人属性情報欄１の項目欄１ａに示すように、或るサービス利用者（Ｕ）に関する個人属性情報は、当該サービス利用者（Ｕ）が利用しようとする各サービス提供者（Ｓ１，Ｓ２，Ｓ３）のサービスの利用に必要とする情報として、個人ＩＤつまり利用者識別子ｕＩＤ、氏名、性別、生年月日、住所、電話番号、クレジット番号、…の各構成要素からなっており、個人属性情報欄１の値欄１ｂに示すような値を有している。

ここで、図４の情報管理方法欄２の保管先欄２ａに示すように、各構成要素は、１箇所にまとめて保管されるのではなく、サービス利用者（Ｕ）の自由な裁量により、サービス利用者（Ｕ）つまり個人属性情報記録媒体１０例えばＩＣカード側と信頼機関（Ｋ）つまり個人属性情報管理サーバ３０とに分散して保管することが可能である。

例えば、図４に示す本実施例においては、個人ＩＤつまり利用者識別子ｕＩＤは、個人属性情報の検索用のキーとして個人属性情報記録媒体１０例えばＩＣカードと信頼機関（Ｋ）との双方に記録されるが、氏名、生年月日、電話番号に関する個人属性情報は、個人属性情報記録媒体１０例えばＩＣカード側に保管され、性別、住所、クレジット番号に関する情報は、信頼機関（Ｋ）側の個人属性情報管理サーバ３０に保管される。

また、図４の情報管理方法欄２の提供先欄２ｂに示すように、個人属性情報の各構成要素の提供先（利用先）として、サービスを利用する際に必要とする各サービス提供者（Ｓ１，Ｓ２，Ｓ３）それぞれが設定されており、図４に示す本実施例においては、サービス提供者が利用する属性情報欄３にも示すように、サービス提供者（Ｓ１）は、性別と生年月日とを利用し、サービス提供者（Ｓ２）は、クレジット番号を利用し、サービス提供者（Ｓ３）は、住所を利用する場合を示している。

次に、図５のシーケンスチャートを用いて、図１に示す個人属性情報管理システムの動作について、その一例を説明する。ここに、図５は、図１に示す個人属性情報管理システムの動作の一例を説明するためのシーケンスチャートであり、サービス利用者（Ｕ）がサービス提供者（Ｓ１，Ｓ２，Ｓ３）のサービスを利用する際に必要とする個人属性情報の登録から、サービス利用者（Ｕ）からのサービス利用要求に対してサービス提供者（Ｓ１，Ｓ２，Ｓ３）が連携動作してサービスを実施するまでの動作を例にとって示している。

つまり、図５において、シーケンスＳｅｑ１からシーケンスＳｅｑ９までが、サービス利用者（Ｕ）の個人属性情報の登録動作に関する流れの一例を示し、シーケンスＳｅｑ１０からシーケンスＳｅｑ２５までが、サービス利用者（Ｕ）が、連携動作するサービス提供者（Ｓ１，Ｓ２，Ｓ３）のサービスを利用する際の動作に関する流れの一例を示している。

また、図５のシーケンスチャートは、説明を理解し易くするために、サービス利用者（Ｕ）が物品を購入するという具体的なオンラインサービスを利用する場合について例示しており、物品の購入、購入代金の支払決済、物品の発送までの一連のサービスを、複数のサービス提供者（Ｓ１，Ｓ２，Ｓ３）それぞれに跨って利用する場合を示している。ここで、サービス提供者（Ｓ１）がサービス利用者（Ｕ）からの物品の注文を受け付ける流通業者であり、サービス提供者（Ｓ２）がサービス利用者（Ｕ）の支払を決済する決済業者であり、サービス提供者（Ｓ３）が決済された受注物品をサービス利用者（Ｕ）へ発送する物流業者である場合を例にとって示している。

ただし、本個人属性情報管理システムは、かかる物品購入の場合のみに限るものではなく、如何なるアプリケーション分野であっても、全く同様に適用することができることは、図５に関する以下の説明からも明らかであり、他のアプリケーション分野への応用に関する説明は割愛する。

（個人属性情報の登録）
まず、サービス利用者（Ｕ）が、信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して、管理を委任する個人属性情報および管理を委任した個人属性情報の提供先を登録するまでの動作について説明する。

図５のシーケンスチャートにおいて、サービス利用者（Ｕ）が個人属性情報の預託と管理とを委任しようとする信頼機関（Ｋ）は、サービス提供者（Ｓ１，Ｓ２，Ｓ３）との間で、あらかじめ、情報の提供／利用に関する契約を締結している（シーケンスＳｅｑ１−１，Ｓｅｑ１−２，Ｓｅｑ１−３）。契約を締結したサービス提供者（Ｓ１，Ｓ２，Ｓ３）は、それぞれのサービス提供サーバからそれぞれのサービスを提供するために必要とする個人属性情報を信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して送信してくる（シーケンスＳｅｑ４−１，Ｓｅｑ４−２，Ｓｅｑ４−３）
一方、サービス利用者（Ｕ）は、個人属性情報の預託と管理とに関する委任契約を信頼機関（Ｋ）との間で締結する（シーケンスＳｅｑ２）。信頼機関（Ｋ）は、サービス利用者（Ｕ）との間で委任契約を取り交わすと、本人認証用の情報の記録・保持が可能なＩＣカード等の耐タンパ性を有するデバイスつまり個人属性情報記録媒体１０を発行し、契約したサービス利用者（Ｕ）に配布する（シーケンスＳｅｑ３）。該個人属性情報記録媒体１０には、当該サービス利用者（Ｕ）の個人ＩＤつまり利用者識別子ｕＩＤも記録されている。

個人属性情報記録媒体１０を受け取ったサービス利用者（Ｕ）は、個人属性情報管理システムを利用するに当たって、まず、配布された個人属性情報記録媒体１０例えばＩＣカードを利用者端末２０に装着して、信頼機関（Ｋ）の個人属性情報管理サーバ３０へ利用登録するための操作を行う。

利用登録するための操作内容を受け取った情報制御部２３は、記録媒体用通信部２２を駆動して、装着している個人属性情報記録媒体１０例えばＩＣカードを利用者端末２０に記録されている当該サービス利用者（Ｕ）の個人ＩＤつまり利用者識別子ｕＩＤを読み出して、信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して、読み出した当該サービス利用者（Ｕ）の個人ＩＤつまり利用者識別子ｕＩＤを通信部２１を介して送信して、利用登録の要求を行う（シーケンスＳｅｑ５）。この際、個人属性情報記録媒体１０例えばＩＣカードの認証や本人認証の手続きが実行される。

認証が得られると、信頼機関（Ｋ）の個人属性情報管理サーバ３０の情報制御部３２は、当該サービス利用者（Ｕ）の個人ＩＤつまり利用者識別子ｕＩＤを、情報格納部３３にプロファイル情報３３ｂの一つとして登録するとともに、通信処理部３４、ウェブサーバ部３５を駆動して、契約しているサービス提供者（Ｓ１，Ｓ２，Ｓ３）それぞれのサービスを利用する際に必要とする個人属性情報の各項目を含む管理メニューを生成して、個人属性情報の登録要求として、通信部３１を介して、利用登録要求元の利用者端末２０に対して送信する（シーケンスＳｅｑ６）。

該個人属性情報の登録要求には、当該サービス利用者（Ｕ）が利用するサービスに必要とする個人属性情報の登録を要求するとともに、当該サービス利用者（Ｕ）が登録する個人属性情報のうち、信頼機関（Ｋ）の個人属性情報管理サーバ３０側で管理する個人属性情報の項目と、個人属性情報記録媒体１０例えばＩＣカード側に記録して、当該サービス利用者（Ｕ）自身が管理する項目と、に分離することを要求する内容が含まれている。

該個人属性情報の登録要求を通信部２１を介して受信した利用者端末２０の情報制御部２３は、オブジェクト通信処理部２４、情報閲覧部２５により、受信した管理メニューを画面表示して、サービス利用者（Ｕ）に提示する。サービス利用者（Ｕ）は、管理メニューに含まれているサービス提供者（Ｓ１，Ｓ２，Ｓ３）それぞれが提供するサービスのうち、利用しようとするサービスを選択して、当該サービスに必要とする個人属性情報の各項目を、利用者端末２０に入力するとともに、入力した個人属性情報のうち、信頼機関（Ｋ）の個人属性情報管理サーバ３０側で管理する個人属性情報の項目を任意に選び出す。

利用者端末２０の情報制御部２３は、サービス利用者（Ｕ）によって選択された、各サービス、および、信頼機関（Ｋ）の個人属性情報管理サーバ３０側で管理する個人属性情報の項目、例えば、図４に示す例では、性別（個人属性情報ａ）、クレジット番号（個人属性情報ｂ）、住所（個人属性情報ｃ）を、信頼機関（Ｋ）の公開鍵によって暗号化して、通信部２１を介して個人属性情報管理サーバ３０に返送し、個人属性情報の登録・更新を要求する（シーケンスＳｅｑ７）。

さらに、利用者端末２０の情報制御部２３は、サービス利用者（Ｕ）から入力された個人属性情報の残りの項目について、例えば、図４に示す例では、氏名（個人属性情報ｘ）、生年月日（個人属性情報ｙ）、電話番号（個人属性情報ｚ）について、サービス利用者（Ｕ）の公開鍵によって暗号化して、記録媒体通信部２２を介して、個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に、第１個人属性情報１３ａとして記録する。個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に記録された第１個人属性情報１３ａは、当該サービス利用者（Ｕ）の秘密鍵によってのみ復号することができる。

なお、個人属性情報管理サーバ３０側に、性別（個人属性情報ａ）、クレジット番号（個人属性情報ｂ）、住所（個人属性情報ｃ）を返送する際に、サービス提供者（Ｓ１，Ｓ２，Ｓ３）それぞれが提供するサービスのうち、当該サービス利用者（Ｕ）が利用しようとするサービスを示す情報とともに、残りの個人属性情報が第１個人属性情報１３ａとして個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に記録されていることを含めて、利用者端末２０から個人属性情報管理サーバ３０側に返送している。

信頼機関（Ｋ）の個人属性情報管理サーバ３０側で管理する個人属性情報の項目を利用者端末２０から受け取ると、個人属性情報管理サーバ３０の情報制御部３２は、受け取った個人属性情報の項目を、信頼機関（Ｋ）の公開鍵によって暗号化した状態のまま、耐タンパ性を有する情報格納部３３に第２個人属性情報３３ａとして格納する。

なお、個人属性情報管理サーバ３０の情報格納部３３に格納される第２個人属性情報３３ａは、利用者端末２０のオブジェクト通信処理部２４、情報閲覧部２５と個人属性情報管理サーバ３０の通信処理部３４、ウェブサーバ部３５とにより、前述のように、セキュリティを維持した状態で通信が行われ、情報格納部３３に信頼機関（Ｋ）の公開鍵によって暗号化して状態で格納されるが、格納された第２個人属性情報３３ａは、情報格納部３３の耐タンパ性を有する領域に格納されている信頼機関（Ｋ）の秘密鍵によってのみ復号することができる。

また、信頼機関（Ｋ）に預託して管理を委任した第２個人属性情報３３ａは、サービス利用者（Ｕ）からの閲覧要求があった場合、利用者端末２０のオブジェクト通信処理部２４、情報閲覧部２５と個人属性情報管理サーバ３０の通信処理部３４、ウェブサーバ部３５とにより、情報制御部２３、情報制御部３２それぞれの制御の下、情報格納部３３から読み出されて信頼機関（Ｋ）の秘密鍵によって復号されて、しかる後、当該サービス利用者（Ｕ）の公開鍵によって暗号化して、利用者端末２０に返送することになる。

該第２個人属性情報は、利用者端末２０の情報制御部２３において、利用者端末２０に装着された個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に記録されている当該サービス利用者（Ｕ）の秘密鍵によって復号され、情報閲覧部２５を駆動して、利用者端末２０側で閲覧して確認することができる。

なお、サービス利用者（Ｕ）が指定した場合は、個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に記録する第１個人属性情報１３ａのうち任意に指定した１ないし複数の個人属性情報の項目を、指定個人属性情報として、個人属性情報管理サーバ３０と個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３との双方に記録することができる。

かかる場合、個人属性情報管理サーバ３０は、利用者端末２０から当該サービス利用者（Ｕ）の公開鍵によって暗号化されて転送されてきた指定個人属性情報を、情報格納部３３の領域のうち当該サービス利用者（Ｕ）専用に割り当てられた領域に格納する。該領域に格納された指定個人属性情報は、当該サービス利用者（Ｕ）の個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に記録されている秘密鍵によってのみ復号することができる。

さらに、個人属性情報管理サーバ３０の情報制御部３２は、管理を委任された第２個人属性情報３３ａのそれぞれについて、サービスの提供／利用契約を締結しているサービス提供者（Ｓ１，Ｓ２，Ｓ３）のいずれに提供することを認めるのかをサービス利用者（Ｕ）に問い合わせるために、サービスの提供／利用契約を締結しているサービス提供者（Ｓ１，Ｓ２，Ｓ３）のサービス情報の管理メニューを利用者端末２０に対して送信し、当該サービス利用者（Ｕ）が第２個人属性情報３３ａを提供する提供先となるサービス提供者（Ｓ１，Ｓ２，Ｓ３）の選択を要求する（シーケンスＳｅｑ８）。

サービス情報の管理メニューを受け取ると、利用者端末２０は、情報閲覧部２５にて、受け取ったサービス情報の管理メニューを画面表示して、サービス利用者（Ｕ）に提示する。サービス利用者（Ｕ）は、画面表示されたサービス情報の管理メニューに基づいて、第２個人属性情報３３ａを提供する提供先のサービス提供者（Ｓ１，Ｓ２，Ｓ３）を選択して、選択結果を、個人属性情報の取り扱いを定義する情報として、信頼機関（Ｋ）の個人属性情報管理サーバ３０に通信部２１を介して返送する（シーケンスＳｅｑ９）。

例えば、図４に示す例においては、個人属性情報管理サーバ３０からサービス情報の管理メニューを受け取った際に、該管理メニューを確認したサービス利用者（Ｕ）は、利用者端末２０から、個人属性情報管理サーバ３０側で管理する第２個人属性情報３３ａの各項目のうち、性別（個人属性情報ａ）はサービス提供者（Ｓ１）を提供先とする項目であり、クレジット番号（個人属性情報ｂ）はサービス提供者（Ｓ２）を提供先とする項目であり、住所（個人属性情報ｃ）はサービス提供者（Ｓ３）を提供先とする項目である旨を、第２個人属性情報３３ａの各項目に関する取り扱い定義として返送する。

さらに、個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３に第１個人属性情報１３ａとして記録されている個人属性情報の各項目のうち、生年月日（個人属性情報ｙ）についてもサービス提供者（Ｓ１）を提供先とする項目である旨を記録する。

なお、第２個人属性情報３３ａの提供先を個人属性情報の取り扱いとして定義して設定するシーケンスＳｅｑ８，Ｓｅｑ９の動作を、シーケンスＳｅｑ７に含ませることとして、第２個人属性情報３３ａを個人属性情報管理サーバ３０に登録する際に、登録しようとする第２個人属性情報３３ａの項目それぞれについて、サービス利用者（Ｕ）が自由な裁量で、提供先のサービス提供者（Ｓ１，Ｓ２，Ｓ３）を定義する情報も合わせて設定して、個人属性情報の登録要求と各個人属性情報の提供先に関する情報とを同時に個人属性情報管理サーバ３０に対して送信するようにしても良い。

以上のような動作結果として、図４に示す実施例の場合、選択されたサービス提供者（Ｓ１，Ｓ２，Ｓ３）のいずれか例えばサービス提供者（Ｓ１）のサービスの利用を利用者端末２０から要求された際に、信頼機関（Ｋ）の個人属性情報管理サーバ３０は、サービスの利用が要求されたサービス提供者（Ｓ１）がサービスの提供に必要とする個人属性情報の項目のうち、事前の取り扱いの定義がなされた性別（個人属性情報ａ）に関しては、情報格納部３３の第２個人属性情報３３ａから取り出して、サービス提供者（Ｓ１）のサービス提供サーバに送信する。

しかし、事前の取り扱いの定義がなされていない生年月日（個人属性情報ｙ）に関しては、利用者端末２０側に対して送信要求を行う。該送信要求を受け取った利用者端末２０は、サービス利用者（Ｕ）に対して、生年月日（個人属性情報ｙ）に関する個人属性情報のサービス提供者（Ｓ１）への提供の可否を問い合わせて、サービス利用者（Ｕ）から許容する旨の応答を受け取った場合は、利用者端末２０に装着された個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３の第１個人属性情報１３ａから生年月日（個人属性情報ｙ）を取り出して、個人属性情報管理サーバ３０に返送する。個人属性情報管理サーバ３０は、利用者端末２０から転送されてきた生年月日（個人属性情報ｙ）を、第２個人属性情報３３ａから取り出した性別（個人属性情報ａ）に引き続いて、サービスの利用を要求されたサービス提供者（Ｓ１）のサービス提供サーバに対して送信することになる。

（個人属性情報の利用）
次に、サービス利用者（Ｕ）が、信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して、登録した個人属性情報を利用して、例えばサービス提供者（Ｓ１）に対してサービスの利用を要求した場合の動作について説明する。ここで、前述したように、サービス利用者（Ｕ）は、流通業者のサービス提供者（Ｓ１）に対して或る物品の購入を要求し、該購入要求を受け付けたサービス提供者（Ｓ１）は、決済業者のサービス提供者（Ｓ２）、物流業者のサービス提供者（Ｓ３）と連携動作して、購入物品に対して代金の支払いに関する決済処理（注文決済処理）を行い、さらに、決済された購入物品を、サービス利用者（Ｕ）へ発送して届けるまでの動作シーケンスを例にとって説明する。

まず、サービス利用者（Ｕ）は、利用者端末２０に個人属性情報記録媒体１０例えばＩＣカードを装着して、サービス提供者（Ｓ１）のサービスの利用を指示すると、利用者端末２０の情報制御部２３が、通信部２１を介して、該利用者端末２０から、当該サービス利用者（Ｕ）の個人属性情報の管理を委任している信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して、サービス提供者（Ｓ１）のサービスを利用する旨のサービス利用要求を送信する（シーケンスＳｅｑ１０）。ここで、該サービス利用要求は、前述のように、或る物品に関するオンライン購入要求であるものとする。

該サービス利用要求例えば物品購入要求を通信部３１を介して受け取った個人属性情報管理サーバ３０の信頼機関（Ｋ）は、以降、サービス提供者（Ｓ１）に対しては、サービス利用者（Ｕ）の代行者として機能する。個人属性情報管理サーバ３０は、情報制御部３２において、サーバ間通信部３６を駆動して、当該サービス利用者（Ｕ）からのサービス利用要求例えば物品購入要求をユニークに特定することが可能なＩＤを匿名ＩＤ（図５の場合は、匿名ＩＤ：Ａ）として一時的に生成し、該匿名ＩＤを付したサービス利用要求例えば物品購入要求を、サービス提供者（Ｓ１）のサービス提供サーバに通信部３１を介して送信する（シーケンスＳｅｑ１１）。

なお、サービス利用要求例えば物品購入要求には、サービス利用者（Ｕ）の個人ＩＤつまり利用者識別子ｕＩＤも付されていないし、また、サービス要求元のサービス利用者（Ｕ）の個人属性情報も付与されていないので、該サービス利用要求例えば物品購入要求を受け取ったサービス提供者（Ｓ１）のサービス提供サーバ側では、サービス要求元のサービス利用者（Ｕ）を特定することはできない。

サービス提供者（Ｓ１）のサービス提供サーバは、受け取った該サービス利用要求例えば物品購入要求に応じて、サービスの利用に必要とするサービス利用者（Ｕ）の個人属性情報（サービス提供者（Ｓ１）の場合、前述のように、性別（個人属性情報ａ）および生年月日（個人属性情報ｙ））の取得要求を、サービス利用要求を送信してきた代行者の信頼機関（Ｋ）の個人属性情報管理サーバ３０に対して返送する（シーケンスＳｅｑ１２）。

該個人属性情報の取得要求を通信部３１を介して受け取った個人属性情報管理サーバ３０は、情報制御部３２において、当該個人属性情報管理サーバ３０の情報格納部３３に第２個人属性情報３３ａとして格納されている当該サービス利用者（Ｕ）の個人情報を確認し、該第２個人属性情報３３ａのうち、サービス提供者（Ｓ１）に提供可能な個人属性情報として事前に定義されている個人属性情報のみ（図４の場合、性別（個人属性情報ａ）のみ）を取り出して、サーバ間通信部３６を駆動して、サービス提供者（Ｓ１）の公開鍵を用いて暗号化して、サービス提供者（Ｓ１）のサービス提供サーバに通信部３１を介して返送する（シーケンスＳｅｑ１３）。

さらに、サービス提供者（Ｓ１）のサービス提供サーバからの個人属性情報の取得要求を受け取った個人属性情報管理サーバ３０の情報制御部３２は、サービス提供者（Ｓ１）のサービス提供サーバが要求する個人属性情報のうち、当該信頼機関（Ｋ）には預託されておらず、当該個人属性情報管理サーバ３０の情報格納部３３には格納されていない個人属性情報があった場合、通信処理部３４、ウェブサーバ部３５を駆動して、サービス利用者（Ｕ）の利用者端末２０に対して、当該個人属性情報（図４の場合、生年月日（個人属性情報ｙ））のサービス提供者（Ｓ１）への提供可否問合せを通信部３１を介して送信し、サービスの継続可否を問い合わせる（シーケンスＳｅｑ１４）。

利用者端末２０は、信頼機関（Ｋ）に預託されていない個人属性情報のサービス提供者（Ｓ１）への提供可否問合せを、個人属性情報管理サーバ３０から通信部２１を介して受け取ると、情報制御部２３の制御の下、該問合せ通知を、オブジェクト通信処理部２４、情報閲覧部２５を駆動して画面表示する。

該画面表示を確認したサービス利用者（Ｕ）が、信頼機関（Ｋ）に預託していない個人属性情報のうち、個人属性情報（図４の場合、生年月日（個人属性情報ｙ））を、サービス提供者（Ｓ１）へ提供することを認めた場合、サービス利用者（Ｕ）は、情報閲覧部２５によって表示された表示画面に応じて提供許可を示す特定の操作を行う。情報制御部２３は、該特定の操作が行われたことを検出すると、オブジェクト通信処理部２４を駆動して、情報制御部２３の制御の下、記録媒体用通信部２２を介して、個人属性情報記録媒体１０例えばＩＣカードの情報格納部１３の第１個人属性情報１３ａのうち、指定された個人属性情報（図４の場合、生年月日（個人属性情報ｙ））を読み出す。

利用者端末２０に読み出された当該個人属性情報（図４の場合、生年月日（個人属性情報ｙ））は、オブジェクト通信処理部２４、情報閲覧部２５を介してサービス利用者（Ｕ）によって確認された後、信頼機関（Ｋ）の公開鍵によって暗号化されて、サービスの継続を要求するＯＫ応答とともに個人属性情報管理サーバ３０に対して通信部２１を介して送信される（シーケンスＳｅｑ１５）。

個人属性情報管理サーバ３０は、利用者端末２０からＯＫ応答を受け取った場合、情報制御部３２の制御の下、通信処理部３４、ウェブサーバ部３５により、利用者端末２０から返送されてきた個人属性情報（図４の場合、生年月日（個人属性情報ｙ））を、信頼機関（Ｋ）の秘密鍵によって復号し、さらに、サーバ間通信部３６を駆動して、サービス提供者（Ｓ１）の公開鍵によって暗号化して、サービス利用者（Ｓ１）のサービス提供サーバに通信部３１を介して送信する（シーケンスＳｅｑ１６）。

なお、サービス利用者（Ｕ）が、信頼機関（Ｋ）に預託されていない個人属性情報のうち、個人属性情報（図４の場合、生年月日（個人属性情報ｙ））を、サービス提供者（Ｓ１）へ提供することを認めなかった場合、サービスの継続を拒否する旨のＮＧ応答が個人属性情報管理サーバ３０に対して通信部２１を介して送信される。利用者端末２０からＮＧ応答を受け取った個人属性情報管理サーバ３０は、サーバ間通信部３６を駆動して、サービスを打ち切る旨の指示をサービス提供者（Ｓ１）のサービス提供サーバに送信することにより、サービス提供者（Ｓ１）に要求していたサービスを打ち切る。

個人属性情報管理サーバ３０から個人属性情報が返送されてきた場合、サービス利用者（Ｓ１）のサービス提供サーバは、個人属性情報管理サーバ３０からの個人属性情報（図４の場合、生年月日（個人属性情報ｙ））を、当該サービス利用者（Ｓ１）の秘密鍵で復号し、サービスの提供に必要とする個人属性情報をすべて受け取ったことが判明した場合には、該個人属性情報の正常性を確認して、匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）によって指定されたサービス要求例えば物品購入要求を受け付け、指定されたサービスに必要な処理を継続して実施する。

ここで、要求元のサービス利用者（Ｕ）から要求されたサービスを完了させるために、サービス提供者（Ｓ１）以外の他のサービス提供者（Ｓ２，Ｓ３）との連携が必要であった場合、例えば、注文された物品の購入に関する決済を行い、かつ、注文された物品を発送してサービス利用者（Ｕ）まで届けることが必要であった場合、サービス提供者（Ｓ１）のサービス提供サーバは、連携する他のサービス提供者（Ｓ２）に対するサービス継続依頼を個人属性情報管理サーバ３０に対して通知する。

つまり、サービス提供者（Ｓ１）のサービス提供サーバは、サービス提供者（Ｓ２）に対して依頼するサービス属性情報（例えば、注文決済処理を依頼する情報）を通知するために、個人属性情報管理サーバ３０から受け取っていた匿名ＩＤとサービス提供者（Ｓ２）に依頼するサービス（注文決済処理）をユニークに特定するサービス属性情報（注文決済依頼（ｓ１））とを含むサービス継続依頼（Ｓ２サービス継続依頼）を、個人属性情報管理サーバ３０に対して返送する（シーケンスＳｅｑ１７）。

サービス提供者（Ｓ１）のサービス提供サーバから該サービス継続依頼（サービス提供者（Ｓ１）からサービス提供者（Ｓ２）への注文決済依頼（ｓ１））を通信部３１を介して受け取った個人属性情報管理サーバ３０は、情報制御部３２において、匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）によって特定されるサービス利用者（Ｕ）の利用者識別子ｕＩＤとのマッピング処理（匿名ＩＤ：Ａ＝利用者識別子ｕＩＤ）を行い、サービス要求をしているサービス利用者（Ｕ）を特定するとともに、サービス属性情報（注文決済依頼（ｓ１））とサービス提供者（Ｓ２）とをマッピング処理して、該サービスを提供するサービス提供者（Ｓ２）を識別する。

しかる後、当該サービス利用者（Ｕ）に関するサービスとしてさらに継続してサービス提供者（Ｓ２）のサービスを利用するために、当該個人属性情報管理サーバ３０の情報格納部３３に第２個人属性情報３３ａとして格納されている当該サービス利用者（Ｕ）の個人情報を確認し、該第２個人属性情報３３ａのうち、サービス提供者（Ｓ２）に提供可能な個人属性情報として事前に定義されている個人属性情報のみ（図４の場合、クレジット番号（個人属性情報ｂ））を取り出す。

取り出した個人属性情報（図４の場合、クレジット番号（個人属性情報ｂ））は、サーバ間通信部３６において、サービス提供者（Ｓ２）の公開鍵を用いて暗号化されるとともに、サービス提供者（Ｓ２）へのサービス継続要求をユニークに特定することが可能な新たなＩＤを匿名ＩＤ（図５の場合、匿名ＩＤ：Ｂ）として生成して、該匿名ＩＤを付したサービス提供者（Ｓ２）へのサービス継続要求を、暗号化した個人属性情報（図４の場合、クレジット番号（個人属性情報ｂ））とともに、サービス提供者（Ｓ２）のサービス提供サーバに通信部３１を介して送信する（シーケンスＳｅｑ１８）。

ここで、サービス提供者（Ｓ２）へのサービス継続要求に付される匿名ＩＤ（図５の場合、匿名ＩＤ：Ｂ）は、サービス提供者（Ｓ１）へのサービス利用要求例えば物品購入要求として付した匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）とは異なるＩＤ情報となっていて、サービス提供者（Ｓ１）とサービス提供者（Ｓ２）との間で名寄せができないようにしている。

サービス提供者（Ｓ２）のサービス提供サーバは、個人属性情報管理サーバ３０から匿名ＩＤ付きのサービス継続要求を受け取ると、該サービス継続要求に含まれている個人属性情報（図４の場合、クレジット番号（個人属性情報ｂ））を、当該サービス提供者（Ｓ２）の秘密鍵によって復号し、該個人属性情報の正常性を確認した後、サービス提供者（Ｓ２）において指定されたサービス例えば注文決済に関する処理を実施する。

ここで、サービス提供者（Ｓ２）のサービスを提供するために必要とする個人属性情報が不足していた場合には、個人属性情報管理サーバ３０に対して不足する個人属性情報の返送を要求することになるが、図４の場合には、サービス提供者（Ｓ２）において必要とする個人属性情報は、サービス継続要求に含まれているクレジット番号（個人属性情報ｂ）のみであり、個人属性情報管理サーバ３０に対する新たな返送要求を行うことはない。

しかる後、サービス提供者（Ｓ２）のサービス提供サーバは、サービス処理（本実施例では注文決済処理）を完了すると、要求元のサービス利用者（Ｕ）から要求されたサービスを完了させるために、サービス提供者（Ｓ２）以外の他のサービス提供者（Ｓ３）との連携が必要である旨が、サービス提供者（Ｓ１）のサービス提供サーバからサービス提供者（Ｓ２）へのサービス継続要求に含まれていた場合は、サービス提供者（Ｓ２）のサービス提供サーバは、連携する他のサービス提供者（Ｓ３）に対するサービス継続依頼を個人属性情報管理サーバ３０に対して返送する。

つまり、サービス提供者（Ｓ２）のサービス提供サーバは、サービス提供者（Ｓ３）に対して依頼するサービス属性情報（例えば、物品発送処理を示す情報）を通知するために、個人属性情報管理サーバ３０から受け取っていた匿名ＩＤ（図５の場合、匿名ＩＤ：Ｂ）とサービス提供者（Ｓ３）に依頼するサービス（物品発送処理）をユニークに特定するサービス属性情報（物品発送依頼（ｓ２））とを含むサービス継続依頼（Ｓ３サービス継続依頼）を、個人属性情報管理サーバ３０に対して返送する（シーケンスＳｅｑ１９）。

サービス提供者（Ｓ２）のサービス提供サーバから該サービス継続依頼（サービス提供者（Ｓ２）からサービス提供者（Ｓ３）への物品発送依頼（ｓ２））を通信部３１を介して受け取った個人属性情報管理サーバ３０は、情報制御部３２において、匿名ＩＤ（図５の場合、匿名ＩＤ：Ｂ）によって特定されるサービス利用者（Ｕ）の利用者識別子ｕＩＤとのマッピング処理（匿名ＩＤ：Ｂ＝利用者識別子ｕＩＤ）を行い、サービス要求をしているサービス利用者（Ｕ）を特定するとともに、サービス属性情報（物品発送依頼（ｓ２））とサービス提供者（Ｓ３）とをマッピング処理して、該サービスを提供するサービス提供者（Ｓ３）を識別する。

しかる後、当該サービス利用者（Ｕ）に関するサービスとしてさらに継続してサービス提供者（Ｓ３）のサービスを利用するために、当該個人属性情報管理サーバ３０の情報格納部３３に第２個人属性情報３３ａとして格納されている当該サービス利用者（Ｕ）の個人情報を確認し、該第２個人属性情報３３ａのうち、サービス提供者（Ｓ３）に提供可能な個人属性情報として事前に定義されている個人属性情報のみ（図４の場合、住所（個人属性情報ｃ））を取り出す。

取り出した個人属性情報（図４の場合、住所（個人属性情報ｃ））は、サーバ間通信部３６において、サービス提供者（Ｓ３）の公開鍵を用いて暗号化されるとともに、サービス提供者（Ｓ３）へのサービス継続要求をユニークに特定することが可能な新たなＩＤを匿名ＩＤ（図５の場合、匿名ＩＤ：Ｃ）として生成して、該匿名ＩＤを付したサービス提供者（Ｓ３）へのサービス継続要求を、暗号化した個人属性情報（図４の場合、住所（個人属性情報ｃ））とともに、サービス提供者（Ｓ３）のサービス提供サーバに通信部３１を介して送信する（シーケンスＳｅｑ２０）。

ここで、サービス提供者（Ｓ３）へのサービス継続要求に付される匿名ＩＤ（図５の場合、匿名ＩＤ：Ｃ）は、サービス提供者（Ｓ１）へのサービス利用要求例えば物品購入要求として付した匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）、サービス提供者（Ｓ２）へのサービス利用要求例えば注文決済要求として付した匿名ＩＤ（図５の場合、匿名ＩＤ：Ｂ）とは異なるＩＤ情報となっていて、サービス提供者（Ｓ１）とサービス提供者（Ｓ２）とサービス提供者（Ｓ３）との間のいずれについても名寄せができないようにしている。

サービス提供者（Ｓ３）のサービス提供サーバは、個人属性情報管理サーバ３０から匿名ＩＤ付きのサービス継続要求を受け取ると、該サービス継続要求に含まれている個人属性情報（図４の場合、住所（個人属性情報ｃ））を、当該サービス提供者（Ｓ３）の秘密鍵によって復号し、該個人属性情報の正常性を確認した後、サービス提供者（Ｓ３）において指定されたサービス例えば受注物品の発送に関する処理を実施する。

ここで、サービス提供者（Ｓ３）のサービスを提供するために必要とする個人属性情報が不足していた場合には、個人属性情報管理サーバ３０に対して不足する個人属性情報の返送を要求することになるが、図４の場合には、サービス提供者（Ｓ３）において必要とする個人属性情報は、サービス継続要求に含まれている住所（個人属性情報ｃ）のみであり、個人属性情報管理サーバ３０に対する新たな返送要求を行うことはない。

しかる後、サービス提供者（Ｓ３）のサービス提供サーバは、サービス処理（本実施の例では受注物品発送処理）を完了すると、最初のサービスの提供を行った連携元のサービス提供者（Ｓ１）に対して要求されたサービスの実施結果を通知する旨が、サービス提供者（Ｓ２）のサービス提供サーバからサービス提供者（Ｓ３）へのサービス継続要求に含まれていた場合は、サービス提供者（Ｓ３）のサービス提供サーバは、個人属性情報管理サーバ３０から受け取っていた匿名ＩＤ（図５の場合、匿名ＩＤ：Ｃ）とサービス提供者（Ｓ３）におけるサービス実施結果を示すサービス属性情報（受注物品発送完了（ｓ３））とを含むサービス提供処理完了通知を、個人属性情報管理サーバ３０に対して返送する（シーケンスＳｅｑ２１）。

サービス提供者（Ｓ３）のサービス提供サーバから該サービス提供処理完了通知を通信部３１を介して受け取った個人属性情報管理サーバ３０は、情報制御部３２において、匿名ＩＤ（図５の場合、匿名ＩＤ：Ｃ）によって特定されるサービス利用者（Ｕ）の利用者識別子ｕＩＤとのマッピング処理（匿名ＩＤ：Ｃ＝利用者識別子ｕＩＤ）を行い、サービス要求をしているサービス利用者（Ｕ）を特定するとともに、サービス提供者（Ｓ１）へのサービス利用要求例えば物品購入要求として付していた匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）を取り出し、該匿名ＩＤとサービス提供者（Ｓ３）におけるサービス実施結果を示すサービス属性情報（受注物品発送完了）とを含むサービス提供処理完了通知（サービス提供者（Ｓ３）における受注物品発送完了（ｓ３））を、サービス提供者（Ｓ１）のサービス提供サーバに通信部３１を介して送信する（シーケンスＳｅｑ２２）。

サービス提供処理完了通知（受注物品発送完了（ｓ３））を受け取ったサービス提供者（Ｓ１）のサービス提供サーバは、送信元の個人属性情報管理サーバ３０に対して、サービス提供処理完了通知の受信確認通知を返送する（シーケンスＳｅｑ２３）。

個人属性情報管理サーバ３０は、サービス提供者（Ｓ１）のサービス提供サーバからサービス提供処理完了通知の受信確認通知を通信部３１を介して受け取ると、匿名ＩＤ（図５の場合、匿名ＩＤ：Ａ）に該当するサービス要求元のサービス利用者（Ｕ）の利用者識別子ｕＩＤが示す利用者端末２０に対して、サービス提供者（Ｓ１）に要求したサービスの実施が完了した旨を示すＳ１サービス完了通知（サービス属性として、物品購入（物品受注）＋注文決済依頼（ｓ１）＋物品発送依頼（ｓ２）＋受注物品発送完了（ｓ３）までを含む、物品受注〜注文決済〜受注物品発送完了に関する情報）を通信部３１から送信する（シーケンスＳｅｑ２４）。

利用者端末２０では、該Ｓ１サービス完了通知を通信部２１にて受信すると、情報制御部２３において、オブジェクト通信処理部２４、情報閲覧部２５を駆動して、サービス提供者（Ｓ１）に対して要求したサービス（本実施例では、物品購入）が完了した旨を画面表示して、サービス利用者（Ｕ）に通知する。

しかる後、サービス提供者（Ｓ１）にて購入した物品が、商品お届けとして、物品の発送サービスを行うサービス提供者（Ｓ３）の物流業者から、先に個人属性情報として通知している住所に配送されてくる（シーケンスＳｅｑ２５）。

なお、以上の本実施形態の場合であっても、サービス利用者（Ｕ）は、各サービス提供者（Ｓ１、Ｓ２，Ｓ３）のサービスを利用するために必要とする個人属性情報を、信頼機関（Ｋ）の個人属性情報管理サーバ３０に預託して管理する第２個人属性情報３３ａと、サービス使用者（Ｕ）が所持する個人属性情報記録媒体１０例えばＩＣカードに格納する第１個人属性情報１３ａとで分離して管理するのではなく、サービス利用者（Ｕ）の自由な裁量によって、いずれか一方にまとめて管理するようにすることも可能である。

なお、場合によっては、個人属性情報の各項目のうち、いずれか１ないし複数の個人属性情報を、各サービス提供者（Ｓ１、Ｓ２，Ｓ３）が示すプライバシー・ポリシーの下、各サービス提供者（Ｓ１、Ｓ２，Ｓ３）が直接保有することを容認することも可能である。各サービス提供者（Ｓ１、Ｓ２，Ｓ３）に保有される場合は、サービス提供者（Ｓ１、Ｓ２，Ｓ３）のサービス提供サーバに、当該サービス提供者（Ｓ１、Ｓ２，Ｓ３）のサービスを利用するために必要とするサービス利用者（Ｕ）の個人属性情報の一部、あるいは、場合によっては、すべてが、保存・記録されることになるが、本実施形態においては、サービス利用者（Ｕ）からのサービス提供者（Ｓ１、Ｓ２，Ｓ３）のサービス提供サーバへのサービス利用要求は、個人属性情報管理サーバ３０を介して実施されることに変わりはない。

（本実施形態の作用効果）
以上に詳細に説明したように、本実施形態によれば、次のような作用効果が得られる。

例えば、同一のサービスの利用を希望する二人のサービス利用者（Ａ），（Ｂ）がいる場合について、説明する。

サービス提供者（Ｓ）のサービスの利用に際して、利用者を特定する個人属性情報として分類される項目のうち、例えば或る５種の項目について、サービス提供者（Ｓ）に対して提示することが必要であるものとする。

かかる場合において、例えば、サービス利用者（Ａ）は、サービス提供者（Ｓ）のサービスを利用するために必要とする５種すべての個人属性情報を、サービス利用者（Ｕ）自身が管理する形態とし、信頼機関（Ｋ）が発行するサービス利用者（Ｕ）専用のＩＣカードなどの耐タンパ性があるデバイス（個人属性情報記録媒体）を用いて管理することが可能である。

一方、利用者（Ｂ）は、当該５種の項目のうち、サービス提供者（Ｓ）のサービスを利用するために必要とする５種の個人属性情報のうち、１種の個人属性情報のみを、サービス提供者（Ｓ）が示すプライバシー・ポリシーの下、サービス提供者（Ｓ）が直接保有することを容認する。かかる場合、利用者（Ｂ）は、サービス提供者（Ｓ）が直接保有する必要がないと想定する残りの４種の個人属性情報については、サービス利用者（Ｂ）、サービス提供者（Ｓ）の双方が信頼する信頼機関（Ｋ）に、預託して管理を委任するか、あるいは、信頼機関（Ｋ）より発行されて、サービス利用者（Ｂ）が保持しているサービス利用者（Ｂ）専用のＩＣカードなど耐タンパ性を有するデバイス（個人属性情報記録媒体）を用いて管理することによって、サービス提供者（Ｓ）のサービスを利用することを可能にすることを希望することになる。

以上のような双方のシナリオにおいて、サービス利用者（Ａ），（Ｂ）の希望を満たす仕組みのことを、本発明においては、「個人属性情報の管理方法を、サービス利用者本人の自由な裁量の下、選択することができる仕組み」としている。これにより、本人が意図しない、または、本人の行為によらない個人属性情報の漏洩の発生の可能性を低減することができる。

前述のような仕組みの具体的な実現手順の一例は、以下の通りである。

（１）サービス利用者（Ｕ）は、サービス利用上に必要となる自らの個人属性情報の預託と管理とを、特定の信頼機関（Ｋ）に委任する。

（２）信頼機関（Ｋ）は、サービス利用者（Ｕ）に対し、サービス利用者（Ｕ）の本人認証が可能なＩＣカードなどの耐タンパ性があるデバイス（サービス利用者（Ｕ）の利用者識別子ｕＩＤや個人属性情報の記録が可能な個人属性情報記録媒体１０）を発行して配布する。

（３）サービス利用者（Ｕ）は、サービス利用に先立ち、各サービス提供者（Ｓ）が要求する個人属性情報の管理方法について、信頼機関（Ｋ）が運営する個人属性情報管理サーバ３０上に、自らの意思と判断で、自由に設定を行うことができる。

（４）個人属性情報管理サーバ３０上への個人属性情報の設定をサービス利用者（Ｕ）が自由に行うことを可能とすることにより、個人属性情報が管理されるデバイスは、個人属性情報の各項目ごとに、サービス利用者（Ｕ）に配布されたＩＣカードなどの耐タンパ性を有するデバイス（個人属性情報記録媒体１０）か、あるいは、サービス利用者（Ｕ）および各サービス提供者（Ｓ）から信頼されている信頼機関（Ｋ）が運営する個人属性情報管理サーバ３０の情報格納部３３（データベースなどストレージデバイス）か、あるいは、場合によっては、サービス提供者のプライバシー・ポリシーを信頼して、サービス提供者のサービス提供サーバのストレージデバイスかのいずれかになる。

（５）サービス利用者（Ｕ）自らが保持するＩＣカードなどの耐タンパ性を有するデバイス（個人属性情報記録媒体１０）で管理することを選択した場合、サービス利用者（Ｕ）自らの個人属性情報を自らが管理することになる。

（６）信頼機関（Ｋ）で管理することを選択した場合、信頼機関（Ｋ）にサービス利用者（Ｕ）自らの個人属性情報を預託し管理を委任することになる。

（７）信頼機関（Ｋ）で管理することを選択した場合であっても、当該個人属性情報の取り扱い方法（個人属性情報の提供を行う提供先などの選択）については、信頼機関（Ｋ）の提供する個人属性情報管理サーバ３０上において、サービス利用者（Ｕ）自らの意思と判断で、自由に設定を行うことになる。

（８）而して、信頼機関（Ｋ）で管理することを選択した場合であっても、当該個人属性情報の取り扱い方法をサービス利用者（Ｕ）自らが自由に設定を行うことにより、信頼機関（Ｋ）は、サービス利用者（Ｕ）の許可なく、サービス利用者（Ｕ）の個人属性情報を、サービス提供者（Ｓ）に対して提供することはできなくなる。

１…個人属性情報欄、１ａ…項目欄、１ｂ…値欄、２…情報管理方法欄、２ａ…保管先欄、２ｂ…提供先、３…属性情報欄、１０…個人属性情報記録媒体、１１…通信部、１２…情報制御部、１３…情報格納部、１３ａ…第１個人属性情報、１３ｂ…プロファイル情報、２０…利用者端末、２１…通信部、２２…記録媒体用通信部、２３…情報制御部、２４…オブジェクト通信処理部、２５…情報閲覧部、３０…個人属性情報管理サーバ、３１…通信部、３２…情報制御部、３３…情報格納部、３３ａ…第２個人属性情報、３３ｂ…プロファイル情報、３４…通信処理部、３５…ウェブサーバ部、３６…サーバ間通信部、４０…ネットワーク、５０…サービス提供サーバ。

Claims (10)

1. サービス利用者が利用者端末を用いてサービス提供者のサービス提供サーバが提供するサービスを利用する際に必要になる当該サービス利用者の個人属性情報を管理する個人属性情報管理方法であって、前記個人管理情報を保管する保管場所として、前記利用者端末に装着することが可能な耐タンパ性を有する個人属性情報記録媒体と、前記サービス利用者および前記サービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバとの２つの保管場所を有し、前記サービス利用者の前記個人管理情報を、当該サービス利用者からの指示に基づいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバ分散またはまとめて保管することを特徴とする個人属性情報管理方法。
2. 請求項１に記載の個人属性情報管理方法において、前記属性情報記録媒体および／または前記個人属性情報管理サーバに保管された前記サービス利用者の前記個人属性情報を、前記サービス提供サーバへ提供する際の提供先を、当該サービス利用者からの指示に基づいて、あらかじめ設定することを特徴とする個人属性情報管理方法。
3. 請求項１または２に記載の個人属性情報管理方法において、前記サービス利用者が前記サービス提供者のサービス提供サーバが提供するサービスを利用する場合、サービスを利用しようとする前記サービス提供者に関する情報と当該サービス利用者の利用者識別子とを付したサービス利用要求を前記利用者端末から前記個人属性情報管理サーバに対して送信し、該サービス利用要求を受け取った前記個人属性情報管理サーバは、前記利用者識別子とは異なる匿名ＩＤを一時的に生成して、該匿名ＩＤを用いて、前記サービス利用要求によって指定された前記サービス提供者の前記サービス提供サーバに対してサービス利用要求を送信することを特徴とする個人属性情報管理方法。
4. 請求項３に記載の個人属性情報管理方法において、前記個人属性情報管理サーバは、前記サービス利用要求を前記サービス提供サーバに送信する際に、または、前記サービス利用要求を送信した送信先の前記サービス提供サーバから、サービスの提供に必要とする前記個人属性情報の取得を送信元の当該個人属性情報管理サーバに要求してきた際に、当該サービス利用要求の要求元のサービス利用者が提供先として当該サービス提供サーバへの前記個人属性情報の提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、前記サービス提供サーバに対して送信することを特徴とする個人属性情報管理方法。
5. 請求項３または４に記載の個人属性情報管理方法において、前記サービス利用要求を受信した前記サービス提供サーバが、当該サービス利用要求を実行するために、他のサービス提供サーバとの連携動作を必要とする場合、前記他のサービス提供サーバへのサービス継続依頼を前記個人属性情報管理サーバに返送し、該サービス継続依頼を受信した前記個人属性情報管理サーバは、前記他のサービス提供サーバがサービスの提供に必要とする前記個人属性情報について、当該サービス利用要求の要求元のサービス利用者が提供先として当該他のサービス提供サーバへの提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、収集した前記個人属性情報と新たに一時的に生成した匿名ＩＤとを付したサービス継続要求を前記他のサービス提供サーバに対して送信することを特徴とする個人属性情報管理方法。
6. サービス利用者が利用者端末を用いてサービス提供者のサービス提供サーバが提供するサービスを利用する際に必要になる当該サービス利用者の個人属性情報を管理する個人属性情報管理システムであって、前記個人管理情報を保管する保管場所として、前記利用者端末に装着することが可能な耐タンパ性を有する個人属性情報記録媒体と、前記サービス利用者および前記サービス提供者の双方が信頼する信頼機関が運営する個人属性情報管理サーバとの２つの保管場所を有し、前記サービス利用者の前記個人管理情報を、当該サービス利用者からの指示に基づいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバ分散またはまとめて保管することを特徴とする個人属性情報管理システム。
7. 請求項６に記載の個人属性情報管理システムにおいて、前記属性情報記録媒体および／または前記個人属性情報管理サーバに保管された前記サービス利用者の前記個人属性情報を、前記サービス提供サーバへ提供する際の提供先を、当該サービス利用者からの指示に基づいて、あらかじめ設定することを特徴とする個人属性情報管理システム。
8. 請求項６または７に記載の個人属性情報管理システムにおいて、前記サービス利用者が前記サービス提供者のサービス提供サーバが提供するサービスを利用する場合、サービスを利用しようとする前記サービス提供者に関する情報と当該サービス利用者の利用者識別子とを付したサービス利用要求を前記利用者端末から前記個人属性情報管理サーバに対して送信し、該サービス利用要求を受け取った前記個人属性情報管理サーバは、前記利用者識別子とは異なる匿名ＩＤを一時的に生成して、該匿名ＩＤを用いて、前記サービス利用要求によって指定された前記サービス提供者の前記サービス提供サーバに対してサービス利用要求を送信することを特徴とする個人属性情報管理システム。
9. 請求項８に記載の個人属性情報管理システムにおいて、前記個人属性情報管理サーバは、前記サービス利用要求を前記サービス提供サーバに送信する際に、または、前記サービス利用要求を送信した送信先の前記サービス提供サーバから、サービスの提供に必要とする前記個人属性情報の取得を送信元の当該個人属性情報管理サーバに要求してきた際に、当該サービス利用要求の要求元のサービス利用者が提供先として当該サービス提供サーバへの前記個人属性情報の提供を容認している場合には、当該個人属性情報管理サーバおよび／または前記個人属性情報記録媒体から前記個人属性情報を収集して、前記サービス提供サーバに対して送信することを特徴とする個人属性情報管理システム。
10. 請求項１ないし５のいずれかに記載の個人属性情報管理方法をコンピュータによって実行可能なプログラムとして実施していることを特徴とする個人属性情報管理プログラム。

Images