JP2015225446A - 個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラム - Google Patents

Abstract

【課題】個人情報の漏洩を抑制することができる個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラムを提供する。
【解決手段】利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得する個人情報管理部１２と、前記個人情報管理部１２により取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する情報変換部１４と、を備える。
【選択図】図２

Description

本発明は、個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラムに関する。

データベース管理ツールや従来のデータ処理アプリケーションで処理することが困難なほど巨大で複雑なデータ集合の集積物をビッグデータという。これまで多くの企業にとって、データ活用の目的は、例えば、ビジネスの傾向の発見、研究の品質決定、疾病予防、法的引用のリンク、犯罪防止、リアルタイムの道路交通状況判断といった、ビッグデータの傾向の分析を中心としていた。ここで、ビッグデータを扱う企業の中には、ビッグデータに含まれる利用者の個人情報を分析し、種々のサービス提供に利用している企業も存在する。個人情報が含まれるようなビッグデータを集積する企業は、往々にして、集積したデータの分析処理を第三者機関に委託する場合が多く、この場合、個人のプライバシーに関わる情報が第三者に把握されてしまう危惧が高まってきている。

ここで、特許文献１には、利用者の氏名、性別、生年月日、住所等の個人情報と、この利用者の行動履歴との両方を記憶しておき、これらの情報を用いることで、利用者の興味を示す商品を推定する技術について記載されている。

特開２００６−１８５２９３号公報

しかしながら、特許文献１に記載の技術は、個人情報が含まれるデータを集積しサービスを提供することができるが、どのようにして個人情報の漏洩を抑制するかについて具体的には開示されていない。

本発明は、このような事情を考慮してなされたものであり、個人情報の漏洩を抑制することができる個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラムを提供することを、目的の一つとする。

本発明の一態様は、利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得する個人情報管理部と、前記個人情報管理部により取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する情報変換部と、を備える個人情報処理装置である。

本発明の一態様において、個人情報管理部は、前記個人情報管理部により取得された個人情報を記憶部に記憶させ、前記情報変換部による変換処理が完了したことを含む所定の条件を満たした場合に、前記記憶部により記憶された個人情報を消去するものとしてもよい。

本発明の一態様において、前記情報変換部は、前記個人情報を、一方向性関数により不可逆符号に変換するものとしてもよい。

本発明の他の態様は、本発明の一態様の個人情報処理装置と、前記個人情報処理装置の処理結果に基づいて前記利用者にサービス提供を行うサービス提供部と、を備える受託サービス提供装置である。

本発明の他の態様は、利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得し、前記取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する、個人情報処理方法である。

本発明の他の態様は、コンピュータに、利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得する処理と、前記取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する処理と、を実行させる個人情報処理プログラムである。

本発明によれば、利用者へのサービス提供を委託する委託者が運用する装置から、利用者の個人情報を取得し、取得された個人情報を、個人を特定し得ない変換後情報に変換して出力するため、個人情報の漏洩を抑制することができる。

第１実施形態に係る受託サービス提供装置１の構成の一例を模式的に示す図である。 受託サービス提供装置１の機能構成例を示す図である。 情報変換部１４が、個人情報管理部１２により取得された個人情報の個人情報を、不可逆符号に変換する様子を示す図である。 個人情報記憶部１０に記憶される情報の一例を示す図である。 サービス提供部２２が提供するショッピングサイトの画像と、利用者がショッピングサイトの利用状況を示した利用者の履歴情報の一例を併せて示す図である。 履歴情報記憶部３２により記憶させる情報の一例を示す図である。 履歴情報を指定して、該当する適合情報を送信するように要求するデータリクエストの一例を示す図である。 本実施形態の個人情報処理装置５により実行される処理の一例を示すフローチャートである。 本実施形態の情報変換部１４により実行される変換処理の一例を示すフローチャートである。 本実施形態の情報提供装置７により実行される処理の一例を示すフローチャートである。 本実施形態の情報提供装置７の情報マッチング部により実行される処理の一例を示すフローチャートである。 本実施形態の情報提供装置７により実行される処理の一例を示すフローチャートである。 第２実施形態に係る受託サービス提供装置１の構成の一例を模式的に示す図である。

以下、図面を参照し、本発明の個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラムの実施形態について説明する。

＜第１実施形態＞
以下、第１実施形態に係る受託サービス提供装置１の実施形態について説明する。図１は、第１実施形態に係る受託サービス提供装置１の構成の一例を模式的に示す図である。受託サービス提供装置１は、例えば、企業や団体等のサービス提供委託者Ａ、Ｂからサービス提供を受託するサービス提供受託者Ｘが運用する装置である。受託サービス提供装置１は、サービス提供委託者Ａが運用する上位サーバＳａやサービス提供委託者Ｂが運用する上位サーバＳｂから、業務情報を受信する。業務情報には、サービス提供委託者Ａの顧客である利用者Ｕａ〜Ｕｃの個人情報、属性情報、および利用者Ｕａ〜Ｕｃに対して提供するサービス提供用の情報、その他の情報が含まれる。

受託サービス提供装置１は、上位サーバＳａ、Ｓｂから受信した利用者Ｕａ〜Ｕｃの個人情報に基づいて、利用者Ｕａ〜Ｕｃに各種サービスを提供する。受託サービス提供装置１は、インターネットやＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、携帯電話網等を含むネットワークＮＷを介して、上位サーバＳａ、Ｓｂ、並びに利用者Ｕａ〜Ｕｃの使用する利用者端末Ｔａ〜Ｔｃとの間で通信を行うことができる。以下、いずれの上位サーバであるかを区別しない場合、単に「上位サーバＳ」と称する。また、いずれの利用者であるかを区別しない場合、単に「利用者Ｕ」と称する。また、いずれの利用者端末であるかを区別しない場合、単に「利用者端末Ｔ」と称する。なお、本実施形態において、上位サーバの数や利用者の数に、特段の制約は存在しない。

受託サービス提供装置１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等のプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ等の記憶装置、他装置と通信を行うための通信インターフェース等を備えるコンピュータ装置である。

図２は、受託サービス提供装置１の機能構成例を示す図である。受託サービス提供装置１は、個人情報記憶部１０と、個人情報管理部１２と、情報変換部１４と、サービス提供用情報出力部２０と、サービス提供部２２と、対応付け部３０と、履歴情報記憶部３２と、情報マッチング部３４とを備える。この中で、個人情報記憶部１０と、個人情報管理部１２と、情報変換部１４とを含むものが、個人情報処理装置５に相当し、サービス提供部２２と、対応付け部３０と、履歴情報記憶部３２と、情報マッチング部３４とを含むものが、情報提供装置７に相当する。

個人情報管理部１２、情報変換部１４、サービス提供用情報出力部２０、サービス提供部２２、対応付け部３０、および情報マッチング部３４は、例えば、プロセッサが記憶装置に格納されたプログラムを実行することにより機能するソフトウェア機能部である。また、これらの機能部のうち一部または全部は、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）やＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のハードウェア機能部であってもよい。また、個人情報記憶部１０、および履歴情報記憶部３２は、前述したＲＯＭやＲＡＭ、ＨＤＤ等により実現される。プロセッサが実行するプログラムは、装置の導入時に予め記憶装置に格納されていてもよいし、可搬型記憶媒体に記憶されたプログラムが受託サービス提供装置１の記憶装置にインストールされてもよい。また、プログラムは、インターネット設備によって他のコンピュータ装置からダウンロードされ、受託サービス提供装置１の記憶装置にインストールされてもよい。

個人情報管理部１２は、上位サーバＳから受信した業務情報を、個人情報記憶部１０に記憶させる。また、個人情報管理部１２は、個人情報記憶部１０に記憶された業務情報を読み出して他の機能部に提供する。また、個人情報管理部１２は、所定の条件を満たした場合に、個人情報記憶部１０に記憶された業務情報のうち、少なくとも利用者Ｕの個人情報を消去する。所定の条件とは、例えば、情報変換部１４が個人情報を不可逆符号に変換する処理と、サービス提供用情報出力部２０がサービス提供用の情報を利用者Ｕに出力する処理との双方が完了したことである。

情報変換部１４は、個人情報管理部１２により取得された業務情報のうち個人情報を、個人を特定し得ない変換後情報に変換し、個人情報管理部１２を介して個人情報記憶部１０に記憶させる。個人情報は、例えば、氏名、住所、メールアドレス、電話番号等を含む。この他、個人情報は、サービス提供委託者が独自に設定した情報を含んでもよい。なお、業務情報に含まれる属性情報は、例えば、年齢、性別、職業等であり、「その他の情報」は、情報変換部１４により変換されない情報であって、利用者固有の情報を含んでもよい。

情報変換部１４は、個人情報を、例えば一方向性関数により不可逆符号に変換する。情報変換部１４は、例えば、ハッシュ関数によって、個人情報に格納される任意長のデータブロックを入力とし、固定長ビット列であるハッシュ値に変換することによって、不可逆符号による変換処理を行う。個人情報が氏名や住所といった複数の構成要素を含む場合、情報変換部１４は、それぞれの構成要素に対してハッシュ化を行った結果を、空白スペースを入れずに連結して１つのハッシュ化データを得る。また、情報変換部１４は、ディフィー・ヘルマン鍵共有によって生成された共有秘密からハッシュ関数を用いて暗号鍵や公開鍵等を生成し、個人情報を暗号化してもよい。なお、情報変換部１４が生成した公開鍵は、第三者機関によって管理されてもよい。

図３は、情報変換部１４が、個人情報管理部１２により取得された個人情報を、不可逆符号に変換する様子を示す図である。一方向性関数であるハッシュ関数により、個人情報を不可逆符号であるハッシュ値に変換する（以下、「ハッシュ化」と称する）場合、個人情報を構成する構成要素の組み合わせ方に応じて、組み合わせを示す識別情報（以下、「ハッシュ化フィールド」と称する）が形成される。例えば、個人情報のうち、氏名だけに対してハッシュ化を行う場合、ハッシュ化フィールドは１となり、氏名と住所の組み合わせに対してハッシュ化を行う場合、ハッシュ化フィールドは２となる。このようなフィールドの割り振り規則は、例えば、ハッシュ化フィールドテーブル１４Ａに規定されており、情報変換部１４は、ハッシュ化フィールドテーブル１４Ａに格納された情報に基づいて、フィールドの割り振りを行う。

情報変換部１４は、ハッシュ化フィールドに応じてハッシュ化した不可逆符号を空白スペースなしで連結する。情報変換部１４は、例えば、ハッシュ化された氏名のハッシュ値と住所のハッシュ値との間に空白スペースを入れずに連結して一つの不可逆符号として扱う。図３に示すように、個人情報に氏名、住所及びメールアドレスが含まれている場合、情報変換部１４は、利用者一人に対して最大７種類のハッシュ化フィールドを形成してもよい。ハッシュ化フィールドと不可逆符号は一対一の関係であるから、利用者一人に対して７つの不可逆符号が付随することになる。

図４は、個人情報記憶部１０に記憶される情報の一例を示す図である。情報変換部１４は、情報変換部１４により変換された変換後情報と、ハッシュ化フィールドテーブル１４Ａに格納された情報に基づいて割り振られたハッシュ化フィールドとを連結する。そして、情報変換部１４は、個人情報管理部１２を介して、個人情報管理部１２により取得された個人情報および属性情報と、変換後情報と、ハッシュ化フィールドとを、対応付けて個人情報記憶部１０に記憶させる。なお、変換後情報およびハッシュ化フィールドが個人情報記憶部１０に記憶されるのはあくまで一例であり、これらの情報は、個人情報とは別々の記憶装置に記憶されてもよい。

サービス提供用情報出力部２０は、個人情報記憶部１０に記憶された業務情報に基づいて、利用者Ｕにサービス提供用の情報を出力する。サービス提供用の情報は、例えば、サービス提供委託者が作成する販促用の情報、新製品の情報、特売の情報等である。サービス提供用の情報は、例えば、サービス享受を案内する紙媒体のダイレクトメールやビジネスメール、或いは電子記録媒体を介して利用者Ｕに送付される。すなわち、サービス提供用情報出力部２０は、利用者の氏名や住所を含む情報を印刷機に出力したり、印刷業者や電子記録媒体の発送業者の受付端末に送信したりする処理等を行う。なお、紙媒体や電子記録媒体には、サービス享受に必要な識別符号やパスワード等が含まれてよい。識別符号として、例えば、情報変換部１４によって変換された変換後情報が用いられる。

サービス提供部２２は、サービス提供用情報出力部２０によって出力されたサービス提供用の情報に従い、受託サービス提供装置１にアクセスした利用者端末Ｔに対して、ネットワークＮＷを介して所定のサービスを提供する。サービス提供部２２は、例えば、インターネットショッピングや、ネットバンキング、ネットオークション等の電子商取引サービスを提供するためのウェブサイトを生成して、利用者端末Ｔに提供する。

図５は、一例として、サービス提供部２２が提供するショッピングサイトの画像と、利用者がショッピングサイトの利用状況を示した利用者の利用履歴の情報（以下、「履歴情報」と称す）を併せて示す図である。利用者Ｕは、サービス提供部２２が提供するウェブサイトの入力欄に、サービス提供用情報出力部２０によって利用者Ｕに送付された識別符号を入力する。あるいは、利用者Ｕは、ウェブサイトの入力欄に利用者Ｕの個人情報や属性情報を入力する。図５の例では、利用者Ｕは、ウェブサイトの入力欄に個人情報として氏名とメールアドレスを入力し、属性情報として年齢や性別を入力する。利用者Ｕは、個人情報および属性情報の入力が完了した後、サービス提供部２２が提供するウェブサイトにアクセスする。

サービス提供部２２は、サービスを提供する一方で、自身が提供するサービスの履歴情報を収集する。サービスの履歴情報とは、例えば、自身が提供するウェブサイトの履歴情報を含む。また、サービス提供部２２がインターネットを介してサービスを提供する場合、履歴情報は、利用者Ｕの端末に割り当てられているリモートホスト名やリモートアドレス、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、ブラウザ名、ウェブサイトの閲覧順序、ウェブサイト上での電子商取引等の情報を含んでもよい。また、利用者Ｕが電話回線網を介してサービス提供部２２にアクセスした場合、履歴情報は、電話番号や電話機の機体番号、通話音声等の情報を含んでもよい。図５に示すように、利用者Ｕがショッピングサイトに展示されるＡ商品を閲覧した場合、サービス提供部２２は、Ａ商品の閲覧履歴を示すウェブ履歴１を、閲覧したことを示す１の値にする。同様に、利用者Ｕが商品Ｂを閲覧した場合、サービス提供部２２は、ウェブ履歴２を１の値にする。利用者Ｕが商品Ｃを閲覧していない場合、サービス提供部２２は、ウェブ履歴３を０の値に維持する。なお、サービス提供部２２は、利用者Ｕにより入力された個人情報を、任意に消去してもよい。さらに、サービス提供部２２は、利用者Ｕに対して、履歴情報を収集している旨を告知し、利用者Ｕの希望に応じて履歴情報の収集を停止する機能を有してもよい。

対応付け部３０は、サービス提供部２２によるサービスの提供が行われると、サービスの提供を受ける契機として入力された個人情報を変換するように、情報変換部１４に依頼する。そして、対応付け部３０は、情報変換部１４により変換された変換後情報と、サービス提供部２２により収集されて履歴情報記憶部３２に記憶された履歴情報とを対応付けて履歴情報記憶部３２に記憶させる。また、対応付け部３０は、変換後情報と履歴情報とを対応付けて履歴情報記憶部３２に記憶する以外に、変換後情報と属性情報とを対応付けて記憶するようにしてもよく、変換後情報と履歴情報と属性情報とを対応付けて記憶するようにしてもよい。図６は、履歴情報記憶部３２により記憶させる情報の一例を示す図である。図６に示すように、履歴情報記憶部３２には、変換後情報を得る際に、変換を行った個人情報の種別に応じたハッシュ化フィールドが付与される。例えば、ハッシュ化フィールドが「３」となっているレコードは、個人情報として氏名とメールアドレスが入力されたことを示している（図３参照）。なお、履歴情報の収集は、対応付け部３０により行われてもよい。また、対応付け部３０は、個人情報記憶部１０に記憶された変換後情報およびハッシュ化フィールドと合致するものだけを履歴情報記憶部３２に記憶させてもよい。

情報マッチング部３４は、上位サーバＳから受信した照合情報（以下、「データリクエスト」と称す）に基づいて、履歴情報記憶部３２に記憶された履歴情報の中から、データリクエストに対応（適合）した適合情報を抽出する。データリクエストは、サービスの提供履歴（例えば、履歴情報と属性情報とのうちいずれか一方か、履歴情報と属性情報との両方）を指定して、該当する適合情報（例えば変換後情報、ハッシュ化フィールドおよび属性情報）を送信するように要求するものである。図７の例では、データリクエストは、例えば、履歴情報記憶部３２に記憶された履歴情報のうち、ウェブ履歴１の値が１である変換後情報およびハッシュ化フィールドを抽出する、という要求であり、情報マッチング部３４は、履歴情報記憶部３２に記憶された履歴情報から、データリクエストに適合した二つの適合情報（ウェブ履歴１＝１のもの）を抽出し、上位サーバＳに返信する。ここで、データリクエストは、サービスの提供履歴に関して指定できればよく、例えば、履歴情報の具体的な履歴内容を指定するようにしてもよいし、具体的な履歴内容を指定せず、提供履歴があるもの全体（履歴情報記憶部３２に記憶された履歴情報全体）を指定してもよい。また、例えば、特定の履歴情報のみ履歴情報記憶部３２に記憶されるようにしておくことで、具体的な履歴内容を指定することなく、データリクエストを行うことも可能である。

上位サーバＳは、受託サービス提供装置１から返信された適合情報から、例えば、適合情報に含まれるハッシュ化フィールドと、予め保持している暗号鍵とに基づいて、利用者Ｕの個人情報を復元する。なお、上記説明した個人情報の復元は、上位サーバＳではなく、受託サービス提供装置１が行ってもよい。また、上位サーバＳは、個人情報管理部１２に送信する業務情報に含まれる利用者の個人情報をハッシュ化し、ハッシュ化した個人情報の不可逆符号と情報マッチング部３４が抽出した適合情報に含まれる不可逆符号とを照合することで、利用者Ｕを特定してもよい。なお、上位サーバＳが行う個人情報のハッシュ化は、情報変換部１４が行う変換処理と同様の手法で行われる。

［個人情報処理装置５の動作フロー］
図８は、本実施形態の個人情報処理装置５により実行される処理の一例を示すフローチャートである。本フローチャートは、例えば、所定周期で繰り返し実行される。まず、個人情報管理部１２は、上位サーバＳから業務情報を取得し、個人情報記憶部１０に記憶させる（ステップＳ１００）。次に、情報変換部１４は、個人情報管理部１２により取得された業務情報のうち個人情報を、個人を特定し得ない変換後情報に変換する（ステップＳ１０２）。次に、情報変換部１４は、個人情報管理部１２を介して、変換後情報を個人情報記憶部１０に記憶させる（ステップＳ１０４）。次に、個人情報管理部１２は、所定の条件を満たすか否かを判定する（ステップＳ１０６）。次に、個人情報管理部１２は、所定の条件を満たした場合、個人情報記憶部１０に記憶された業務情報のうち、少なくとも利用者Ｕの個人情報を消去する（ステップＳ１０８）。これによって、本フローチャートの処理が終了する。

［情報変換部１４の変換動作フロー］
図９は、本実施形態の情報変換部１４により実行される変換処理の一例を示すフローチャートである。本フローチャートの処理は、図８のフローチャートにおけるステップＳ１０２の処理に相当する。まず、情報変換部１４は、一方向性関数であるハッシュ関数により、個人情報を不可逆符号であるハッシュ値に変換する（ステップＳ２００）。不可逆符号に変換の際、情報変換部１４は、暗号鍵や公開鍵を生成し、変換された不可逆符号を暗号化する処理をしてもよい。次に、情報変換部１４は、個人情報を構成する構成項の組み合わせ方に応じてハッシュ化フィールドを形成する（ステップＳ２０２）。次に、情報変換部１４は、ハッシュ化フィールドに応じてハッシュ化した不可逆符号を空白スペースなしで連結する（ステップＳ２０４）。

［情報提供装置７の動作フロー］
図１０は、本実施形態の情報提供装置７により実行される処理の一例を示すフローチャートである。まず、サービス提供部２２は、サービスの提供を受ける契機として利用者によって入力された個人情報を確認する（ステップＳ３００）。次に、サービス提供部２２は、サービス提供用情報出力部２０によって出力されたサービス提供用の情報に従い、受託サービス提供装置１にアクセスした利用者端末Ｔに対して、ネットワークＮＷを介して所定のサービスを提供する（ステップＳ３０２）。次に、サービス提供部２２は、サービスを提供する一方で、自身が提供するサービスの履歴情報を収集する（ステップＳ３０４）。

一方で、対応付け部３０は、入力された個人情報を変換するように、情報変換部１４に依頼する（ステップＳ３０６）。次に、対応付け部３０による個人情報の変換の依頼に応じて、情報変換部１４は、個人情報を、個人を特定し得ない変換後情報に変換する（ステップＳ３０８）。ステップＳ３０８の処理は、例えば図９で説明した処理と同様である。次に、対応付け部３０は、情報変換部１４により変換されて個人情報記憶部１０に記憶された変換後情報および属性情報と、サービス提供部２２により収集されて履歴情報記憶部３２に記憶された履歴情報とを対応付ける（ステップＳ３１０）。次に、対応付け部３０は、対応付けた履歴情報を履歴情報記憶部３２に記憶させる（ステップＳ３１２）。これによって、本フローチャートの処理が終了する。

［情報提供装置７の情報マッチング部の動作フロー］
図１１は、本実施形態の情報提供装置７の情報マッチング部により実行される処理の一例を示すフローチャートである。まず、情報マッチング部３４は、上位サーバＳからデータリクエストを受信したか否かを判定する（ステップＳ４００）。上位サーバＳからデータリクエストを受信した場合、情報マッチング部３４は、履歴情報記憶部３２に記憶された履歴情報の中から、データリクエストに適合した適合情報を抽出して、上位サーバＳに適合情報を送信する（ステップＳ４０２）。これによって、本フローチャートの処理が終了する。

［その他の動作フロー］
図１２は、本実施形態の情報提供装置７により実行される処理の一例を示すフローチャートである。まず、個人情報管理部１２は、まず、個人情報管理部１２は、上位サーバＳから全利用者の個人情報を取得する（ステップＳ５００）。次に、情報変換部１４は、個人情報管理部１２により取得された全利用者の個人情報を、それぞれ個人を特定し得ない変換後情報に変換する（ステップＳ５０２）。ステップＳ５０２の処理は、例えば図９で説明した処理と同様である。次に、情報提供装置７（いずれの機能部でもよい）は、情報変換部１４により変換されて個人情報記憶部１０に記憶された変換後情報を用いて、履歴情報記憶部３２に記憶された履歴情報を検索する（ステップＳ５０４）。次に、情報提供装置７は、上位サーバＳに検索結果を送信する（ステップＳ５０６）。次に、個人情報管理部１２は、上位サーバＳから業務情報（個人情報およびサービス提供用の情報）を取得する（ステップＳ５０８）。次に、サービス提供部２２は、サービス提供用情報出力部２０によって出力された業務情報に従い、受託サービス提供装置１にアクセスした利用者端末Ｔに対して、ネットワークＮＷを介して所定のサービスを提供する（ステップＳ５１０）。そして、情報提供装置７は、前述したように履歴情報の収集を行い、サービスの提供が終了するとサービス提供用の情報を削除する。このような処理によって、サービス提供委託者が運用する上位サーバＳにおいて、どの委託者にサービス提供を委託したかを把握する必要が無く、より良いサービスを上位サーバに提供することができる。

以上説明した本実施形態の個人情報処理装置５によれば、サービス提供委託者の顧客である利用者の個人情報を、個人を特定し得ない変換後情報に変換することにより、個人情報の漏洩を抑制することができる。
また、本実施形態の個人情報処理装置５によれば、個人情報を一時保有した後消去することで、個人情報の漏洩を更に強力に抑制することができる。
また、本実施形態の情報提供装置７によれば、個人情報を保有せずに利用者の履歴情報を収集することにより、履歴情報の収集の際に、個人情報の漏洩が生じるのを抑制することができる。
また、本実施形態の情報提供装置７によれば、変換後情報と共にハッシュ化フィールドを上位サーバＳに返信することで、上位サーバにおける復元を容易にすることができる。

また、本実施形態の受託サービス提供装置１によれば、個人情報の漏洩を抑制しつつ、サービス提供委託者から委託されたサービスを提供することができる。

＜第２実施形態＞
以下、第２実施形態に係る受託サービス提供装置１（特に情報提供装置７）の実施形態について説明する。
図１３は、第２実施形態に係る受託サービス提供装置１の構成の一例を模式的に示す図である。前述した第１実施形態に係る受託サービス提供装置１と同様の処理の場合、説明を省略する。

情報マッチング部３４は、例えば、サービス提供委託者Ａのデータリクエストに対して、サービス提供委託者ＢおよびＣ等が委託した業務情報に基づき情報提供装置７が収集した履歴情報の中から、横断的に適合情報を検索し抽出する。例えば、サービス提供委託者Ａが飲食系の業種、サービス提供委託者Ｂがアミューズメント系の業種であった場合、サービス提供委託者Ａは、アミューズメント施設の利用者であり、且つアミューズメント施設内に併設された飲食施設の利用者の履歴情報を得ることができる。この際、利用者の履歴情報は、履歴情報を構成する構成要素の情報の他に、属性情報と変換後情報とのうち少なくともいずれか一方を含んだ情報である。ここで、情報マッチング部３４は、例えば、サービス提供委託者Ａのデータリクエストに対して、サービス提供委託者Ａ自身が委託したサービスに起因する履歴情報から適合情報を検索した場合、適合情報は、変換後情報を含んだ履歴情報を上位サーバＳａに送信する。また、本発明を利用するサービス提供委託者であれば、情報マッチング部３４により抽出した適合情報は、利用者Ｕやサービス提供委託者Ａの同意の下、データリクエストを要求したサービス提供委託者Ａだけでなく、サービス提供委託者ＢおよびＣに送ってもよい。この際、情報マッチング部３４は、例えば、サービス提供委託者Ａのデータリクエストに対して、サービス提供委託者ＢおよびＣが委託したサービスに起因する履歴情報から適合情報を検索した場合、適合情報は、変換後情報を除く履歴情報を上位サーバＳａに送信する。例えば、農林漁業の団体が委託したサービス提供から収集された履歴情報を、損害保険企業が得てもよい。この場合、損害保険企業は、農林漁業の団体が委託したサービス提供から収集された履歴情報から、農林漁業従事者を検索し、農林漁業従事者に対して損害保険に関する情報を送付することができる。

第２実施形態の情報提供装置７によれば、異なる複数の業種のサービス提供委託者からサービス提供を受託した場合、異なる複数の業種の履歴情報を収集し、収集した履歴情報を異なる複数の業種のサービス提供委託者に送ることができる。この結果、利便性を向上させることができる。
また、一般に、サービスを提供するサービス提供者が複数存在し、それぞれのサービス提供者が個人を特定せずにユーザの履歴情報を記憶し、これらの履歴情報を利用しようとした場合、同一の利用者の履歴情報であっても、別の利用者の履歴情報としてしか把握することができない。すなわち、仮に同一人物が複数のサービス提供者からサービスを受けたとしても、個人が特定されていないため、それぞれの履歴情報については、同一人物の履歴情報として関連づけて記憶することができない。この場合、複数の履歴情報を得ることができるが、履歴情報の関連性について把握することができない。しかし、上述の実施形態によれば、異なるサービス提供委託者のサービス提供に伴う履歴情報であっても、個人情報に基づく変換後情報に対して関連づけて記憶することができるため、同一人物の履歴情報であるかを把握することが可能となる。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

Ｓ、Ｓａ、Ｓｂ、Ｓｃ…上位サーバ、Ｔ、Ｔａ、Ｔｂ、Ｔｃ…利用者端末、Ｕ、Ｕａ、Ｕｂ、Ｕｃ…利用者、ＮＷ…ネットワーク、１…受託サービス提供装置、５…個人情報処理装置、７…情報提供装置、１０…個人情報記憶部、１２…個人情報管理部、１４…情報変換部、１４Ａ…ハッシュ化フィールドテーブル、２０…サービス提供用情報出力部、２２…サービス提供部、３０…対応付け部、３２…履歴情報記憶部、３４…情報マッチング部

Claims (6)

1. 利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得する個人情報管理部と、
   前記個人情報管理部により取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する情報変換部と、
   を備える個人情報処理装置。
2. 個人情報管理部は、前記個人情報管理部により取得された個人情報を記憶部に記憶させ、前記情報変換部による変換処理が完了したことを含む所定の条件を満たした場合に、前記記憶部により記憶された個人情報を消去する、
   請求項１記載の個人情報処理装置。
3. 前記情報変換部は、前記個人情報を、一方向性関数により不可逆符号に変換する、
   請求項１または２記載の個人情報処理装置。
4. 請求項１から３のうちいずれか１項に記載の個人情報処理装置と、
   前記個人情報処理装置の処理結果に基づいて前記利用者にサービス提供を行うサービス提供部と、
   を備える受託サービス提供装置。
5. 利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得し、
   前記取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する、
   個人情報処理方法。
6. コンピュータに、
   利用者へのサービス提供を委託する委託者が運用する装置から、前記利用者の個人情報を取得する処理と、
   前記取得された前記個人情報を、個人を特定し得ない変換後情報に変換して出力する処理と、
   を実行させる個人情報処理プログラム。

Images