JP2014044528A - ユーザ非特定情報の提供記録を通知するユーザ情報管理装置、プログラム及び方法 - Google Patents

Abstract

【課題】ユーザが自身のユーザ情報の利用実態を把握することができるユーザ情報管理装置を提供する。
【解決手段】本ユーザ情報管理装置は、ユーザを個別に特定可能なユーザ情報を記憶するユーザ情報データベースと、記憶されたユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースと、ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する非特定情報生成手段と、非特定情報を第三者に提供する非特定情報提供手段と、識別情報データベースを用いて、第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、非特定情報の提供記録を生成し、通知する提供記録生成・通知手段とを有する。このような構成によって、ユーザ情報から生成された非特定情報の提供記録を、該当するユーザに通知することが可能となる。
【選択図】図１

Description

本発明は、個人情報を含むユーザ情報を加工し、提供する情報管理技術に関する。

現在、多くの分野におけるサービス事業者（サービス提供者）は、ユーザ（サービス利用者）に関するユーザ情報（個人情報、企業情報等）を取得し、管理する。例えば、サービス事業者であるインターネットプロバイダや携帯電話サービス事業者は、サービス利用の申込みを受けた際、本人確認を行った上で、取得したユーザ情報をデータベースに登録する。このようなユーザ情報は、サービス事業者とユーザとの連絡のため、さらには新規サービス開始時の本人確認のため、等に利用される。

多くの場合、サービス事業者によって提供されるサービスは、主幹となるサービスとその他の付帯的なサービスとに分類され、それぞれがさらに様々なサービスから構成される。従って、ユーザが受け得るサービス及びサービスの組合せの種類も多様であり、この種類に応じて、ユーザがサービス利用時に提供しなければならないユーザ情報の粒度（情報単位の大きさ）も様々に変化する。

このような状況下で、ユーザは、サービス利用と引き替えに自身のユーザ情報が流出したり不正利用されたりするのではないかとの不安を抱え、できる限り少ない情報登録で済まそうとする。一方、サービス事業者は、粒度の高い情報登録が必要となるサービスを含め、より多くのサービスの利用を促進させようとする。

このように相反する意向が拮抗する状態の中で、幾つかのサービス事業者は、事業の透明性を提示する目的で、データベースに登録されたユーザ情報における統計値を公開している。例えば、非特許文献１では、携帯電話サービス事業者が第三者機関のホームページ上で主幹サービスの契約者数や付帯サービスの契約者数を公開している。

また、非特許文献２では、米国連邦政府が公共サービスを提供する際に収集した住民情報や地理情報を、統計値の形に編集して公開している。さらに、非特許文献３、４及び５では、非特許文献２のような形式で公開された情報を、組み合わせたり加工したりした上で配布・販売している。

さらに、米国の携帯電話事業者は、ユーザの許諾の下に、個人情報（ユーザ情報）を第三者サービス事業者に提供している。例えば、非特許文献６及び７では、第三者サービス事業者は、ユーザ（個人情報所有者）の認可を受けることによって、ユーザの個人情報（ユーザ情報）の一部にアクセスすることができる。具体的には、ユーザの現在位置や年齢等の属性情報を取得可能となる。

社団法人電気通信事業者協会、「携帯電話・ＰＨＳ契約数プレスリリース」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://www.tca.or.jp/＞ DATA.GOV、「DATA」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://www.data.gov/＞ Infochimps、「Data Marketplace」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://www.infochimps.com/marketplace＞ Microsoft、「Windows Azure Marketplace」、［online］、［平成２４年８月１日検索］、インターネット＜URL: https://datamarket.azure.com/＞ factual、「Definitive Global Data」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://www.factual.com/＞ AT&T、「AT&T Developer Program」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://developer.att.com/developer/＞ Verizon Developer Community、「TOOLS &APIS」、［online］、［平成２４年８月１日検索］、インターネット＜URL: http://developer.verizon.com/content/vdc/en/verizon-tools-apis.html＞

しかしながら、上述したような従来技術を用いても、ユーザが自身のユーザ情報の利用実態を追跡・把握することはできない。従って、ユーザがユーザ情報を提供することに不安を感じる状況は解消されない。その結果、提供サービスの種類によっては、ユーザがサービス利用を手控えがちになり、サービス事業者は十分な数のユーザを獲得し難い、という問題が生じる。

例えば、非特許文献１〜５に開示されたサービスでは、個人情報（ユーザ情報）を統計情報に変換した上で、この匿名化された情報を提供している。しかしながら、このような変換処理に依ったとしても、ユーザの知覚・認識し得ない形式で情報が流出してしまう問題が生じる。

また、非特許文献６及び７では、第三者サービス事業者は、ユーザの個人情報（ユーザ情報）の一部にアクセスする際、ユーザ（個人情報所有者）の認可を受けねばならない。しかしながら、一度認可が行われば、それ以降の利用状態・実績について、ユーザは情報を得たり追跡したりすることができない問題が依然として残る。その結果、ユーザは、情報利用の認可を手控えがちになり、サービス事業者は、十分なサービスを提供することが困難となる問題が生じる。

そこで、本発明は、ユーザが自身のユーザ情報の利用実態を把握することができるユーザ情報管理装置、プログラム及び方法を提供することを目的とする。

本発明によれば、ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置であって、
ユーザ情報を記憶するユーザ情報データベースと、
記憶されたユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースと、
ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する非特定情報生成手段と、
非特定情報を第三者に提供する非特定情報提供手段と、
識別情報データベースを用いて、第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、非特定情報の提供記録を生成し、通知する提供記録生成・通知手段と
を有するユーザ情報管理装置が提供される。

この本発明によるユーザ情報管理装置の一実施形態として、
本ユーザ情報管理装置が、ユーザ情報の属性毎に、第三者への開示を許可する条件である開示基準が設定された開示ポリシを生成して記憶する開示ポリシデータベースを更に有しており、
非特定情報生成手段は、ユーザ情報から生成される情報のうち、開示ポリシに設定された開示基準を満たす属性に係る情報を使用して非特定情報を生成することも好ましい。

さらに、上記実施形態において、非特定情報生成手段は、非特定化の度合いを示す非特定化パラメータを指定して実施される非特定化方法を用いて、ユーザ情報から非特定情報を生成し、
開示ポリシデータベースは、開示基準を、非特定化パラメータの限界値として設定することも好ましい。

また、本発明によるユーザ情報管理装置の他の実施形態として、
本ユーザ情報管理装置が、第三者に対して非特定情報の利用を許可する利用許可手段を更に有しており、
非特定情報提供手段は、利用許可手段によって利用を許可された第三者にのみ、非特定情報を提供することも好ましい。

さらに、本発明によるユーザ情報管理装置の他の実施形態として、提供記録を通知されたユーザ毎に、ユーザに係る提供記録に対応した報酬値を設定する報酬設定手段を更に有することも好ましい。

また、上記の開示ポリシに係る実施形態において、開示ポリシデータベースは、提供対象である第三者の属性に基づいて決定される開示基準を設定することも好ましい。

さらに、本発明によるユーザ情報管理装置の他の実施形態として、
非特定情報生成手段は、ユーザ情報から、ユーザが単独で特定される属性のデータを削除した匿名化情報を生成し、第三者の要求に基づいて、匿名化情報から非特定情報を生成することも好ましい。

本発明によれば、さらに、ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置に搭載されたユーザ情報管理プログラムであって、
上記ユーザ情報管理装置は、
ユーザ情報を記憶するユーザ情報データベースと、
記憶されたユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースとを有し、
上記ユーザ情報管理プログラムは、
ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する非特定情報生成手段と、
非特定情報を第三者に提供する非特定情報提供手段と、
識別情報データベースを用いて、第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、非特定情報の提供記録を生成し、通知する提供記録生成・通知手段と
してコンピュータを機能させるユーザ情報管理プログラムが提供される。

本発明によれば、さらにまた、ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置におけるユーザ情報管理方法であって、
上記ユーザ情報管理装置は、
ユーザ情報を記憶するユーザ情報データベースと、
記憶されたユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースとを有し、
上記ユーザ情報管理方法は、
ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する第１のステップと、
非特定情報を第三者に提供する第２のステップと、
識別情報データベースを用いて、第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、非特定情報の提供記録を生成し、通知する第３のステップとを有するユーザ情報管理方法が提供される。

本発明のユーザ情報管理装置、プログラム及び方法によれば、ユーザ情報から生成された非特定情報の提供記録を、該当するユーザに通知することによって、ユーザが自身のユーザ情報の利用実態を把握することができる。

本発明によるユーザ情報管理装置が設置されるネットワークの構成図、及び当該ユーザ情報管理装置の機能構成図である。 本発明に係るユーザ情報テーブル及びユーザ識別情報テーブルについての一実施形態を示す概略図である。 本発明に係る匿名化情報テーブル及び開示ポリシについての一実施形態を示す概略図である。 本発明に係る、第三者サービス事業者からの提供要求、提供履歴テーブル、及び提供記録についての一実施形態を示す概略図である。 本発明によるユーザ情報管理方法の一実施形態を示すシーケンス図である。

以下では、本発明の実施形態について、図面を用いて詳細に説明する。

図１は、本発明によるユーザ情報管理装置が設置されるネットワークの構成図、及び当該ユーザ情報管理装置の機能構成図である。

［ユーザ情報管理システム］
図１によれば、ユーザ情報管理装置１は、通信事業者網４内に設置されており、「ユーザ情報」を管理するサービス事業者（サービス提供者）の装置である。「ユーザ情報」は、個人情報及び企業情報等であり、ユーザ（サービス利用者）を個別に特定可能な情報である。個人情報については、その有用性に配慮しながら個人の権利利益を保護すべく、特定の法律でその取り扱いが規制されている。

ユーザ情報管理装置１は、通信事業者網４に接続された端末２のユーザに係る「ユーザ情報」を、通信によって又はその他の手段によって取得し、登録・記憶する。例えば、ユーザのサービス開始時に、住所、氏名、電話番号、口座番号等の該当するユーザに係る個人情報を収集して、登録・記憶する。この際、ユーザ情報管理装置１を運営するサービス事業者は、ユーザとの間で、ユーザ情報の利用範囲に関して、利用規約等の形の取り決めを行う。この上で、サービス事業者は、例えば、月次課金の処理を実施する際、ユーザの口座番号、住所等を参照する。

また、ユーザ情報管理装置１は、サービスの透明性を示すために、「ユーザ情報」から、ユーザの特定が不可能又は困難である「非特定情報」としての統計情報を生成し、例えば、インターネット５を介して、第三者機関（サービス事業者装置３）に提供する。

さらに、ユーザ情報管理装置１は、第三者サービス事業者（サービス事業者装置３）の要求に基づいて、「ユーザ情報」から「非特定情報」を生成し、この「非特定情報」を、この第三者サービス事業者に、例えばインターネット５を介して提供する（参照させる）。一方、第三者サービス事業者は、個人に強く紐付いた個人情報等の「ユーザ情報」を必要とする場合、ユーザ情報管理装置１のサービス事業者から事前に認可を受け、この認可の下、ユーザ情報管理装置１から情報の提供を受ける。

尚、ユーザは、予め開示ポリシという形で、第三者サービス事業者に提供する非特定情報の粒度を設定することができる。また、非特定情報の利用目的の許容範囲、許可する第三者サービス事業者の種類、情報利用回数の上限等を、予め設定しておくことも可能である。

さらにまた、ユーザ情報管理装置１は、「非特定情報」の提供記録を、対応するユーザに帰還通知する。ここで、提供記録は、所定期間に提供した事実・内容を記録した提供履歴であってもよい。ユーザ情報管理装置１は、第三者サービス事業者（サービス事業者装置３）に情報を提供するたびに逐次、提供記録を端末２のユーザに通知してもよく、または定期的に、提供履歴を端末２のユーザに通知してもよい。

ここで、端末２は、スマートフォン、タブレット型コンピュータ、又はパーソナルコンピュータ等の情報機器とすることができる。また、通信事業者網４は、サービス事業者が使用・管理するアクセスネットワークの一例であり、本発明は、通信事業者網４の使用に限定されるものではない。

以上に述べたサービスを実現するために、ユーザ情報管理装置１は、
（ａ）「ユーザ情報」と、「ユーザ情報」の属性（項目）毎に対応するユーザの「識別情報」とを記憶し、
（ｂ）「ユーザ情報」から「非特定情報」を生成し、
（ｃ）「非特定情報」を第三者に提供し、
（ｄ）「識別情報」を用いて、この第三者に提供された「非特定情報」に対応するユーザを割り出し、割り出されたユーザに向けて、「非特定情報」の提供記録を通知する。

ユーザ情報管理装置１は、このように「ユーザ情報」から生成された「非特定情報」の提供記録を、該当するユーザに通知することによって、ユーザが自身の「ユーザ情報」の利用実態を把握することを可能にする。

［ユーザ情報管理装置１の機能構成］
同じく図１によれば、ユーザ情報管理装置１は、ユーザ側通信インタフェース１００と、外部ネットワーク側通信インタフェース１０１と、ユーザ情報データベース１１０と、識別情報データベース１１１と、匿名化情報データベース１１２と、開示ポリシデータベース１１３と、提供履歴データベース１１４と、事業者データベース１１５と、プロセッサ・メモリとしての機能構成部とを備えている。ここで、機能構成部（プロセッサ・メモリ）は、ユーザ情報管理装置１に搭載されたコンピュータを機能させるプログラムを実行することによって、その機能を実現する。

この機能構成部（プロセッサ・メモリ）は、非特定情報生成部１２０と、非特定情報提供部１２１と、利用許可部１２２と、提供記録生成・通知部１２３と、報酬設定部１２４とを有している。

ユーザ側通信インタフェース１００は、端末２（ユーザ）から、通信事業者網４を介してユーザ情報を受信し、さらに、端末２（ユーザ）宛てに、第三者サービス事業者への非特定情報の提供記録を送信する際のインタフェースである。また、外部ネットワーク側通信インタフェース１０１は、サービス事業者装置３から、インターネット５を介して非特定情報の提供要求を受信し、さらに、サービス事業者装置３宛てに非特定情報を送信する際のインタフェースである。

ユーザ情報データベース１１０は、端末２（ユーザ）から受信したユーザ情報に基づいてユーザ情報テーブルを生成し、記憶する。尚、ユーザ情報テーブルは、通信で得られたユーザ情報ではなく、ユーザ情報管理装置１に直接入力されたユーザ情報を用いて生成されてもよい。このユーザ情報テーブルは、後に図２（Ａ）を用いて説明されるように、個人（又は企業等）に係るデータの属性（項目）として、氏名（名称）、性別、電話番号、住所（居所）、年齢、現在位置等を有する。ユーザ情報テーブルの行及び列にはそれぞれ、行番号及び列番号が付与されており、各属性の各データに、例えば「１２」といった行番号及び列番号の組からなる項目識別子が割り当てられる。

識別情報データベース１１１は、ユーザ情報データベース１１０における、各属性の各データに対応するユーザを記録したユーザ識別情報テーブルを記憶する。具体的に、ユーザ識別情報テーブルには、後に図２（Ｂ）を用いて説明されるように、各属性（項目）の各データを識別する項目識別子毎に、ユーザ毎に割り当てられたユーザ識別子が対応付けられ記録されている。これにより、ユーザ情報データベース１１０の各属性（項目）の各データに、当該データの該当者（ユーザ）が紐付けられる。

匿名化情報データベース１１２は、ユーザ情報テーブルから、ユーザが単独で特定される属性のデータを削除した、匿名化された情報である匿名化情報テーブルを記憶する。後に図３（Ａ）を用いて説明されるように、匿名化情報データベース１１２は、ユーザ情報テーブルから、ユーザが単独で特定される属性、例えば氏名、電話番号等、のデータを削除したものである。ここで、例えば住所（居所）も削除対象となり得るが、削除する代わりに、例えば、住所を都道府県名、及び市名若しくは郡名までのデータとし、匿名化の程度を所定以上に保った状態で記録することも好ましい。

後に、このように作成された匿名化情報テーブルから、第三者サービス事業者の要求に基づいて、非特定情報が生成可能となる。尚、この匿名化情報テーブルを生成することなく、ユーザ情報テーブルから直接非特定情報を生成することも可能である。しかしながら、非特定情報を生成する際、匿名化情報テーブルを取り扱う方が、ユーザ情報保護の観点から好ましい場合もある。

開示ポリシデータベース１１３は、ユーザ情報テーブルの各属性に対し、第三者サービス事業者への開示を許可する条件である開示基準がユーザ（識別子）毎に設定された開示ポリシを生成して記憶する。開示ポリシは、後に図３（Ｂ）を用いて説明されるように、ユーザ情報テーブルの属性のうち、例えば、
（ａ）氏名、電話番号については、開示しない、即ち開示不許可とし、
（ｂ）性別については、後に説明する非特定化（匿名化）パラメータをｋとして、ｋ＝１０００以上のｋ匿名化処理をする、
といった指示内容をまとめたものである。即ち、開示ポリシにおける開示基準は、非特定化パラメータの限界値、例えば下限値、として設定可能である。

尚、開示ポリシデータベース１１３は、提供対象である第三者サービス事業者の属性に基づいて決定される開示基準を設定することも可能である。例えば、第三者サービス事業者が特定の認証機関の認証を受けているか否かによって、開示ポリシにおける開示基準を選択することも好ましい。また、「政府機関ならば開示（参照）を許可する」、「特定業種の大企業ならば開示（参照）を許可する」等の開示基準（ポリシ）を設定することも可能である。さらに、第三者サービス事業者の情報開示状況に合わせて、開示ポリシを設定することも好ましい。さらにまた、非特定情報の提供（参照）回数に上限を設けた開示基準を設定することも可能である。

さらに、第三者サービス事業者が、ユーザ自身と対等な関係にあるソーシャルネットワークサービス事業者であれば、ユーザ自身と同等の粒度で互いに情報を開示する設定にすることも可能である。さらにまた、ユーザの開示ポリシに加えて、ユーザ情報管理装置１を運営するサービス事業者も開示ポリシを有することも好ましい。この場合、このサービス事業者は、自らの開示ポリシに反する情報提供要求を拒否する。例えば、このサービス事業者が年齢に関する開示を一切拒否する開示ポリシを設定している場合、年齢に関する情報の提供（参照）依頼を受け付けない、とすることができる。

提供履歴データベース１１４は、サービス事業者装置３に提供された非特定情報についての情報を記録した提供履歴テーブルを記憶する。提供履歴テーブルは、後に図３（Ｃ）を用いて説明されるように、提供日時、被提供者（提供先第三者名）、提供情報の種類、提供粒度等の項目を有している。この後、端末２（ユーザ）に帰還通知される提供履歴は、この提供履歴テーブルから、該当するユーザ分を取り出すことによって生成される。

事業者データベース１１５は、ユーザ情報管理装置１を運営するサービス事業者によって非特定情報取得を予め認可された第三者サービス事業者を、登録・記憶したデータベースである。ここで、ユーザ情報管理装置１のサービス事業者が第三者サービス事業者を認可するための認可条件として、例えば、第三者サービス事業者が政府機関であること又は特定業種の大企業であること等、を設定することも可能である。事業者データベース１１５には、このような認可条件を満たす第三者サービス事業者のみが登録されることが好ましい。

非特定情報生成部１２０は、ユーザ情報データベース１１０に記録されたユーザ情報テーブルのデータに対して非特定化処理を実施し、ユーザの特定が不可能又は困難である非特定情報を生成する。この際、非特定情報生成部１２０は、後に図３（Ｂ）に示す開示ポリシを用いて説明するように、ユーザ情報テーブルから生成される情報のうち、開示ポリシデータベース１１３に記録された開示ポリシに設定された開示基準を満たす属性に係る情報を使用して非特定情報を生成する。

具体的に、非特定情報生成部１２０は、非特定化の度合いを示す非特定化（匿名化）パラメータを指定して実施される非特定化方法、例えばパラメータｋを使用するｋ匿名化法、を用いて、ユーザ情報テーブルから非特定情報を生成する。

さらに、非特定情報生成部１２０は、匿名化情報生成部を有していて、ユーザ情報テーブルから、ユーザが単独で特定される属性のデータを削除した匿名化情報テーブルを生成し、同テーブルを予め匿名化情報データベース１１２に記録しておくことも好ましい。この場合、非特定情報生成部１２０は、第三者サービス事業者の要求に基づいて、記録された匿名化情報テーブルから非特定情報を生成する。

非特定情報提供部１２１は、非特定情報生成部１２０で生成された非特定情報を、第三者サービス業者に提供する。また、利用許可部１２２は、非特定情報の利用許可要求を行った第三者サービス事業者（サービス事業者装置３）に対し、非特定情報の利用を許可する。この際、利用許可部１２２は、非特定情報の利用を許可するに当たって、この第三者サービス事業者が事業者データベース１１５に予め登録されたものであるか否かを確認し、予め登録されているサービス事業者にのみ、利用を許可することも好ましい。

この場合、非特定情報提供部１２１は、利用許可部１２２によって利用を許可された第三者サービス事業者（サービス事業者装置３）にのみ、非特定情報を提供する（参照させる）。

提供記録生成・通知部１２３は、非特定情報提供部１２１がサービス事業者装置３に提供した非特定情報を入力する。次いで、この非特定情報を用いて提供毎の記録となる提供履歴テーブルを生成・更新し、この提供履歴テーブルを提供履歴データベース１１４に記録する。

提供記録生成・通知部１２３は、さらに、識別情報データベース１１１に記録されたユーザ識別情報テーブルを用いて、サービス事業者装置３に提供された非特定情報に対応するユーザを割り出す。次いで、割り出されたユーザに向けて（ユーザ宛てに）、生成・更新された非特定情報の提供記録を通知する。ここで、提供記録生成・通知部１２３は、第三者サービス事業者（サービス事業者装置３）に情報を提供するたびに逐次、提供記録を端末２のユーザに通知してもよく、または定期的に、例えば毎月の頻度で、提供記録（提供履歴）を端末２のユーザに通知してもよい。

報酬設定部１２４は、提供記録の通知先であるユーザ毎に、当該ユーザに係る提供記録に対応した報酬値を設定する。この報酬は、有用な非特定情報（統計情報）を生成するのに必要なユーザ情報（個人情報）を提供してもらったことに対するユーザへの対価に相当する。報酬値は、例えば、（ａ）第三者サービス事業者への非特定情報の提供回数、（ｂ）提供した非特定情報の項目数及び粒度等、に比例して増額するように設定されてもよい。報酬としては、カード上のポイント、現金、提供サービス料の割引等、種々の形態が可能である。例えば、非特定情報の提供１回当たり１円、といった報酬を配当することが可能である。このように、非特定情報提供の対価として報酬を設定することによって、ユーザのサービス利用を促進することが可能となる。

さらに、報酬設定部１２４は、あるユーザについて、所定の期間内での総報酬値が所定の範囲内の額となるように、開示ポリシデータベース１１３に、開示ポリシにおける開示基準としての非特定化パラメータ（ｋ）の値を調整させることも可能である。この場合、ユーザは、ユーザ情報保護の観点から、非特定化パラメータの調整範囲を予め指定しておくことも好ましい。

以下、以上に述べたユーザ情報管理装置１におけるユーザ情報処理について、情報テーブル等を用いて詳細に説明する。

図２は、本発明に係るユーザ情報テーブル及びユーザ識別情報テーブルについての一実施形態を示す概略図である。また、図３は、本発明に係る匿名化情報テーブル及び開示ポリシについての一実施形態を示す概略図である。さらに、図４は、本発明に係る、第三者サービス事業者からの提供要求、提供履歴テーブル、及び提供記録についての一実施形態を示す概略図である。

［ユーザ情報テーブル］
図２（Ａ）によれば、ユーザ情報テーブルでは、個人（又は企業等）に係るデータの属性として、氏名（名称）、性別、電話番号、住所（居所）、年齢、現在位置等が各列をなす。また、ユーザ毎のデータが各行を占めている。ここで、第８列の属性「現在位置」は、ユーザの端末２が現在通信を確立している基地局の位置情報（例えば緯度経度情報）から決定される。従って、「現在位置」は、ユーザが移動して、端末２と通信する基地局が変更される度に更新される。

尚、ユーザ情報テーブルの他の属性として、例えば、端末２が向いている「現在方位」が挙げられる。この「現在方位」は、端末２に内蔵された方位センサ（例えば３軸タイプの加速度センサ＋３軸タイプの地磁気センサ）によって測定される端末２の方位情報が、通信事業者網４を介してユーザ情報管理装置１に送信されることによって、ユーザ情報テーブルに記録される。

ユーザ情報テーブルのこれらの行及び列にはそれぞれ、行番号及び列番号が付与されており、各属性（項目）の各データに、行番号及び列番号の組からなる項目識別子が割り当てられる。例えば、第１行第２列の「（性別）女」というデータには、例えば「１２」といった行番号及び列番号の組からなる項目識別子が付与される。さらに、各行はユーザ毎のデータの列挙であるので、この各行にユーザ識別子、例えばid0002、が付与される。

［ユーザ識別情報テーブル］
図２（Ｂ）によれば、ユーザ識別情報テーブルでは、ユーザ情報テーブル（図２（Ａ））の各項目識別子毎に、対応するユーザのユーザ識別子が記録される。このユーザ識別情報テーブルを使用することによって、ユーザ情報テーブルの各属性における各データが、どのユーザに属するものなのかが、確実に判別される。

［匿名化情報テーブル］
図３（Ａ）によれば、匿名化情報テーブルは、ユーザ情報テーブル（図２（Ａ））から、ユーザが単独で特定される属性、例えば氏名、電話番号といった属性のデータを削除したものである。ここで、例えば住所（居所）も削除対象となり得るが、削除する代わりに、例えば、住所を都道府県名、及び市名若しくは郡名までのデータとし、匿名化の程度を所定以上に保った状態で記録することも好ましい。同じく年齢に関しても、例えば４０歳から４９歳までの年齢データを、４０代として、匿名化の程度を所定以上に保った状態で記録することも好ましい。後に、このように作成された匿名化情報テーブルから、第三者サービス事業者の要求に基づいて、非特定情報が生成可能となる。

ここで、匿名化を含む、情報の非特定化の方法について説明する。個人情報を含むユーザ情報は、例えばすべてのユーザに関するデータを集計し、平均化等の加工処理を実施することによって、統計情報に変換することができる。ユーザ情報は、さらに、このように単純な合計（平均）等による統計処理だけでなく、例えば、
（ａ）ｋ匿名化法、（ｂ）ｌ多様化法、（ｃ）摂動法
といった非特定化法によって処理し、非特定化することが可能となる。

このうち、ｋ匿名化法は、ユーザ情報の１つの属性について、同一データ値を有するユーザが少なくともｋ人存在することを保証するデータ処理方法である。即ち、例えば一個人を、他の少なくとも（ｋ−１）人に紛れさせ、個人が特定される確率を１／ｋ以下に押さえ込む方法である。ｋ匿名法は、非特定化の度合いを示す非特定化（匿名化）パラメータｋを指定して実施される。

また、ｌ多様化法は、ユーザ情報の１つの属性について、少なくともｌ（エル）種類の異なるデータ値が存在することを保証するデータ処理方法である。これにより、例えば、この属性について一種類しかデータ値が存在しない場合、ｋ人にまで特定された個人について、少なくともこの属性に関してはその一種類のデータ値をとる、ということが知られてしまう事態を回避することができる。ｌ多様化法は、非特定化の度合いを示す非特定化パラメータｌを指定して実施される。

さらに、摂動法は、ユーザ情報の１つの属性について、データ値に意図的にランダムノイズ（乱数）を加算して、当該属性の各データ値の特定を阻むデータ処理方法である。例えば、年齢がＸ＝３３歳、との個人情報データに、ガウス分布の乱数ｒを加算し、
（１） Ｙ＝Ｘ＋ｒ＝３８
のように、歪みを有する値（Ｙ＝３８）をデータベースに登録する。これにより、例え第三者が３８歳との属性値を取得しても、真のデータ値に辿り着くことはできない。摂動法については、非特定化の度合いを示す非特定化パラメータとして、乱数ｒの従うガウス分布の分布パラメータ、例えば平均μ及び標準偏差σ、が採用可能である。

尚、以下の実施形態では、非特定化法としてｋ匿名化法を採用し、非特定化パラメータをｋとしている。しかしながら、当然に、非特定化法としてｌ多様化法を使用し、非特定化パラメータをｌとしてもよい。さらには、非特定化法として摂動法を採用し、非特定化パラメータを平均μ及び標準偏差σとすることも可能である。

［開示ポリシ］
図３（Ｂ）によれば、開示ポリシは、ユーザ情報テーブル（図２（Ａ））の各属性に対し、第三者サービス事業者への開示を許可する条件である開示基準がユーザ（識別子）毎に設定されたものである。開示ポリシは、ユーザ情報テーブルの属性のうち、例えば、
（ａ）氏名、電話番号については、開示しない、即ち開示不許可とし、
（ｂ）性別、住所、年齢については、指定した非特定化（匿名化）パラメータｋ以上のｋ匿名化処理を実施する場合、その匿名化された属性データに係る情報を開示してもよい、
といった指示内容をまとめている。

非特定情報生成部１２０（図１）は、この開示ポリシを参照して、開示ポリシに設定されたｋ値を下限としたｋ匿名化法を実施し、この開示基準（ｋ値）を満たす項目に係る情報を使用して非特定情報を生成する。

尚、開示ポリシにおいて、複数の属性の組合せ、例えば「性別」及び「住所」、に対して、非特定化パラメータｋを指定することも可能である。これは、後に説明する提供要求の内容が、例えば「東京都在住の男性契約者数」といったものである場合に対応したポリシとなる。

［提供要求］
図４（Ａ）によれば、サービス事業者装置３は、インターネット５を介して、非特定情報の提供（参照）要求を行う。ここで、この提供要求の内容として、例えば、
（ａ）男性契約者数（男性ユーザ数）、
（ｂ）東京都在住の契約者数（東京都に住所を有するユーザ数）、
（ｃ）（端末２の）現在位置が東京都内である契約者数（ユーザ数）
等の統計情報を要求するものが挙げられる。

このうち、例えば（ａ）男性契約者数の場合、属性「性別」に関して「男性」が指定されている。これは、結果的に参照粒度（参照時に指定される非特定化パラメータ値）として例えばｋ＝５０００が指定されたことに相当する。また、例えば（ｂ）東京都在住の契約者数の場合、属性「住所」に関して「東京都」が指定されている。これは、結果的に参照粒度として例えばｋ＝１０００が指定されたことに相当する。さらに、（ｃ）現在位置が東京都内である契約者数の場合、属性「現在位置」に関して「東京都」が指定されている。これは、結果的に参照粒度として例えばｋ＝３０００が指定されたことに相当する。

非特定情報生成部１２０（図１）は、この提供要求を受け取った際、開示ポリシ（図３（Ｂ））を参照して、匿名化情報テーブル（図３（Ａ））に、指定されたｋ値に基づくｋ匿名化処理を実施し、非特定情報を生成する。

一実施例として、例えば、提供要求が、（ａ）男性契約者数、である場合を説明する。開示ポリシ（図３（Ｂ））において、属性「性別」のｋ値は、id0004及びid0008のユーザ識別子を有するユーザではｋ＝１００００であって、その他のユーザではいずれもｋ＝１０００である。従って、匿名化情報テーブル（図３（Ａ））の属性「性別」に対し、id0004及びid0008のユーザのデータを除外して、参照粒度ｋ＝５０００としたｋ匿名化処理を行い、非特定情報、例えば「参照粒度ｋ＝５０００とした男性契約者数＝５,１２３（人）」、を生成する。

［提供履歴テーブル］
図４（Ｂ）によれば、提供履歴テーブルは、サービス事業者装置３に提供された非特定情報についての情報を記録したものである。提供履歴テーブルは、記録項目として、提供日時、被提供者、提供情報の種類、提供粒度等の項目を有している。また、他の記録項目として、参照（被提供）目的、参照（被提供）方法、提供回数、実施された非特定化処理の方法等が挙げられる。

提供履歴テーブルの記録項目のうち、被提供者は、提供先である第三者サービス事業者名である。また、提供情報の種類は、例えば、「住所」に係る情報、「年齢」に係る情報等といった属性の種類であり、ユーザ情報テーブルに割り当てられた項目識別子が記録される項目とすることができる。さらに、提供粒度は、第三者サービス事業者に提供した非特定情報の粒度であり、非特定化パラメータｋの値とすることができる。

［提供記録］
図４（Ｃ）によれば、提供記録は、提供履歴テーブル（図４（Ｂ））から、該当するユーザ分のデータを取り出すことによって生成される。ここで、提供履歴テーブルの「提供情報の種類」に記録された項目識別子を用いて、ユーザ識別情報テーブル（図２（Ｂ））を参照することにより、該当するユーザ（ユーザ識別子）が取得される。

提供記録は、記録項目として、提供日時、被提供者、提供情報の種類、提供粒度等の項目を有している。このうち、提供情報の種類には、「住所」、「年齢」等のユーザ情報テーブルにおける属性が記載される。また、他の記録項目として、参照（被提供）目的、参照（被提供）方法、提供回数、実施された非特定化処理の方法等が挙げられる。

以上、ユーザ情報テーブル等を用いて、ユーザ情報管理装置１におけるユーザ情報処理について説明したが、この処理において使用されるユーザ情報テーブル、ユーザ識別情報テーブル、匿名化情報テーブル、開示ポリシ、提供要求、提供履歴テーブル、及び提供記録は、当然に上記実施形態の形式に限定されるものではない。各テーブルにおける項目についても、その他種々のものが採用可能である。

［ユーザ情報管理方法］
図５は、本発明によるユーザ情報管理方法の一実施形態を示すシーケンス図である。

尚、図５のシーケンスの前提として、ユーザ情報管理装置１は、認可した第三者サービス事業者（サービス事業者装置３）を事業者データベース１１５（図１）に登録している。
（Ｓ５００）ユーザ情報管理装置１は、端末２から通信事業者網４を介して又はユーザから別手段で、ユーザ情報を取得し、ユーザ情報テーブルを生成・登録する。
（Ｓ５０１）ユーザ情報管理装置１は、端末２から通信事業者網４を介して又はユーザから別手段で、開示基準に関する情報を取得し、開示ポリシを生成・登録する。
（Ｓ５０２）ユーザ情報管理装置１は、ユーザ情報テーブルに基づいて、ユーザ識別情報テーブルを生成・登録する。
（Ｓ５０３）ユーザ情報管理装置１は、ユーザ情報テーブルに基づいて、匿名化情報テーブルを生成・登録する。

（Ｓ５０４）第三者サービス事業者（サービス事業者装置３）は、ユーザ情報管理装置１に対し、非特定情報の利用許可要求を行う。
（Ｓ５０５）ユーザ情報管理装置１は、利用許可要求を行ってきた第三者サービス事業者（サービス事業者装置３）が認可された事業者として登録されているか否かを判定する。ここで、偽の判定、即ち登録されていないとの判定がなされた際、利用は許可できない旨を第三者サービス事業者（サービス事業者装置３）に通知する。
（Ｓ５０６）一方、ステップＳ５０５で真の判定がなされた際、ユーザ情報管理装置１は、この登録されている第三者サービス事業者（サービス事業者装置３）に対し、非特定情報の利用許可を通知する。

（Ｓ５０７）サービス事業者装置３は、ユーザ情報管理装置１に対し、所定の非特定情報の提供を要求する。
（Ｓ５０８）ユーザ情報管理装置１は、受信した提供要求の要求内容及び生成・登録した開示ポリシに基づいて、非特定情報を生成する。
（Ｓ５０９）ユーザ情報管理装置１は、サービス事業者装置３に、生成した非特定情報を送信（提供）する。

（Ｓ５１０）ユーザ情報管理装置１は、（複数の）サービス事業者装置３に非特定情報を提供する毎に、非特定情報の提供履歴テーブルを生成・更新する。
（Ｓ５１１）ユーザ情報管理装置１は、ユーザ識別情報テーブルに基づいて、提供履歴テーブルに対応するユーザ（の全て）を割り出す。

（Ｓ５１２）ユーザ情報管理装置１は、提供履歴テーブルから、割り出されたユーザ毎に、提供記録を生成する。
（Ｓ５１３）ユーザ情報管理装置１は、対応するユーザ（端末２）に対し、生成した提供記録を送信（帰還通知）する。

ここで、ステップＳ５０７〜Ｓ５１０は、（複数の）サービス事業者装置３による非特定情報の提供要求が生じる度に発生することも好ましい。また、ステップＳ５１０で提供履歴テーブルが生成・更新された後、定期的に、ステップＳ５１１〜Ｓ５１３（対応ユーザの割り出し〜提供記録の帰還通知）が発生することも好ましい。

また、ステップＳ５０４〜Ｓ５０６（非特定情報の利用許可）の変更態様として、ＡＰＩ（Application Programming Interface）認可の標準的手段であるOAuthプロトコルを用いて利用許可を行うことも可能である。この場合、最初に、端末２（ユーザ）が、第三者サービス事業者（サービス事業者装置３）に対し、ユーザ情報管理装置１からの認可が必要な非特定情報へのアクセス権を取得することを許可する。これは、例えば、ユーザが端末２に表示されたＷｅｂ画面上で所定リンクをクリックすることによって実現する。このようにOAuthプロトコルを用いた実施形態では、サービス事業者装置３は、個別にユーザからの許可を得た上で、ユーザ情報管理装置１から非特定情報の利用許可を受けることになる。

以上、本発明によれば、ユーザ情報から生成された非特定情報の提供記録を、該当するユーザに通知することによって、ユーザが自身のユーザ情報の利用実態を把握することがきる。これにより、ユーザ情報（個人情報等）の取り扱いに対する不安を払拭することが可能となる。

また、その結果、サービス事業者も、個人情報及びプライバシの侵害の恐れがない範囲でユーザ情報を利用したサービスを円滑に実施することができる。さらに、ユーザにとってのユーザ情報の取り扱いに対する信頼感と、サービス事業者によるサービス利用の促進と、さらに第三者サービス事業者による有用な非特定情報（統計情報）の享受とを一度に実現することも可能となる。

また、本発明は、通信事業者の個人情報（ユーザ情報）管理システムだけでなく、ソーシャルネットワークサービス、オンラインショッピングサービス、オンラインメールサービス、オンラインＷｅｂ検索サービス等の個人に関わる情報を管理する様々なサービスシステムに適用される。この際、これらのサービスシステムを運用するサービス事業者の事業運営の透明性を向上させることができるので、より多くのユーザを獲得することが期待される。

尚、以上に述べた本発明の種々の実施形態について、本発明の技術思想及び見地の範囲の種々の変更、修正及び省略は、当業者によれば容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。

１ ユーザ情報管理装置
１００ ユーザ側通信インタフェース
１０１ 外部ネットワーク側通信インタフェース
１１０ ユーザ情報データベース
１１１ 識別情報データベース
１１２ 匿名化情報データベース
１１３ 開示ポリシデータベース
１１４ 提供履歴データベース
１１５ 事業者データベース
１２０ 非特定情報生成部
１２１ 非特定情報提供部
１２２ 利用許可部
１２３ 提供記録生成・通知部
１２４ 報酬設定部
２ 端末
３ サービス事業者装置
４ 通信事業者網
５ インターネット

Claims (9)

1. ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置であって、
   当該ユーザ情報を記憶するユーザ情報データベースと、
   記憶された当該ユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースと、
   当該ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する非特定情報生成手段と、
   当該非特定情報を第三者に提供する非特定情報提供手段と、
   前記識別情報データベースを用いて、当該第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、当該非特定情報の提供記録を生成し、通知する提供記録生成・通知手段と
   を有することを特徴とするユーザ情報管理装置。
2. 当該ユーザ情報の属性毎に、第三者への開示を許可する条件である開示基準が設定された開示ポリシを生成して記憶する開示ポリシデータベースを更に有しており、
   前記非特定情報生成手段は、当該ユーザ情報から生成される情報のうち、当該開示ポリシに設定された開示基準を満たす属性に係る情報を使用して当該非特定情報を生成する
   ことを特徴とする請求項１に記載のユーザ情報管理装置。
3. 前記非特定情報生成手段は、非特定化の度合いを示す非特定化パラメータを指定して実施される非特定化方法を用いて、当該ユーザ情報から非特定情報を生成し、
   前記開示ポリシデータベースは、当該開示基準を、当該非特定化パラメータの限界値として設定する
   ことを特徴とする請求項２に記載のユーザ情報管理装置。
4. 第三者に対して当該非特定情報の利用を許可する利用許可手段を更に有しており、
   前記非特定情報提供手段は、前記利用許可手段によって利用を許可された第三者にのみ、当該非特定情報を提供する
   ことを特徴とする請求項１から３のいずれか１項に記載のユーザ情報管理装置。
5. 当該提供記録を通知されたユーザ毎に、当該ユーザに係る提供記録に対応した報酬値を設定する報酬設定手段を更に有することを特徴とする請求項１から４のいずれか１項に記載のユーザ情報管理装置。
6. 前記開示ポリシデータベースは、提供対象である第三者の属性に基づいて決定される開示基準を設定することを特徴とする請求項２又は３に記載のユーザ情報管理装置。
7. 前記非特定情報生成手段は、当該ユーザ情報から、ユーザが単独で特定される属性のデータを削除した匿名化情報を生成し、第三者の要求に基づいて、当該匿名化情報から非特定情報を生成することを特徴とする請求項１から６のいずれか１項に記載のユーザ情報管理装置。
8. ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置に搭載されたユーザ情報管理プログラムであって、
   前記ユーザ情報管理装置は、
   当該ユーザ情報を記憶するユーザ情報データベースと、
   記憶された当該ユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースと
   を有し、
   前記ユーザ情報管理プログラムは、
   当該ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する非特定情報生成手段と、
   当該非特定情報を第三者に提供する非特定情報提供手段と、
   前記識別情報データベースを用いて、当該第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、当該非特定情報の提供記録を生成し、通知する提供記録生成・通知手段と
   してコンピュータを機能させることを特徴とするユーザ情報管理プログラム。
9. ユーザを個別に特定可能なユーザ情報を管理するユーザ情報管理装置におけるユーザ情報管理方法であって、
   前記ユーザ情報管理装置は、
   当該ユーザ情報を記憶するユーザ情報データベースと、
   記憶された当該ユーザ情報の属性毎に、対応するユーザの識別情報を記憶する識別情報データベースと
   を有し、
   前記ユーザ情報管理方法は、
   当該ユーザ情報から、ユーザの特定が不可能又は困難である非特定情報を生成する第１のステップと、
   当該非特定情報を第三者に提供する第２のステップと、
   前記識別情報データベースを用いて、当該第三者に提供された非特定情報に対応するユーザを割り出し、割り出されたユーザに向けて、当該非特定情報の提供記録を生成し、通知する第３のステップと
   を有することを特徴とするユーザ情報管理方法。

Images