JP2016146124A - 管理装置とその制御方法、個人番号管理システム、及びプログラム - Google Patents

Abstract

【課題】個人番号の登録時に行なう承認処理において、承認時に必要な書類の中に含まれる承認には使用しない重要な情報に承認者がアクセスできてしまい、情報が漏洩してしまうといった課題が存在する。【解決手段】少なくともユーザの識別情報、当該ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを互いに関連付けて記憶部に記憶しておき、ユーザからの個人番号の登録を受け付けると、ユーザの識別情報、ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを記憶部に仮登録し、ユーザの個人番号と、当該個人番号の登録に際して読み取られた書類の画像データの一部をマスクした画像データとを含む、前記仮登録された個人番号を承認するための承認用の画面を提示する。そして、その提示された承認用の画面を介した承認者による承認結果に応じて、記憶部へのユーザの個人番号の登録を制御する。【選択図】 図４

Description

本発明は、管理装置とその制御方法、個人番号管理システム、及びプログラムに関する。

社会保障・税番号制度により、企業から公的機関へ各社員に関する帳票を提出する際、その社員の個人番号を記載することが求められている。従って、企業は、社員などの個人番号を保持する対象者から個人番号を収集して、厳密に管理する必要がある。また個人番号の登録に際しては、対象者が必要な情報を入力し、上長など対象者とは異なる承認者がその情報を確認して承認するといった手順を取ることにより、誤った情報を登録しないようなワークフローを取ることが一般的となっている。例えば特許文献１には、管理者が情報媒体をコピーする際に、個人情報の漏洩を防ぐように印刷を行なうことによりセキュリティを保つ技術が記載がされている。

特開２００８−２５９１１４号公報

個人番号を登録し、承認する際には、法的に定められた個人番号が記載された公的文書（例えば個人番号カード、個人番号通知カード、個人番号の記載された住民票等）が必要になる。また、個人番号の所有者であることを証明するための書類（例えば運転免許証、パスポート、住民票など）を併せて登録時に提示する必要がある。しかし、これら書類の中には、個人番号の承認時には不要な、第三者に提示する必要のない情報が含まれており、承認者は、これら承認時に情報を閲覧できてしまうことが課題である。

これらの情報は、企業の管理業務における人事情報として管理、保管していないものであるため、第三者の目に触れることでプライバシーの侵害や、情報漏洩時のリスク拡大といった問題点を持っている。また、これら情報は、承認者が通常閲覧する必要のないものであると同時に、個人番号の所有者からしても他人に見せたくない情報であるとも考えられるものである。

本発明の目的は、上記従来技術の課題を解決することにある。

本発明の特徴は、承認者が個人番号を承認するときに表示される承認用画面に、承認に不要な個人情報が表示されるのを防止して個人情報が漏洩するリスクを低減させる技術を提供することにある。

上記目的を達成するために本発明の一態様に係る管理装置は以下のような構成を備える。即ち、
個人番号を管理する管理装置であって、
少なくともユーザの識別情報、当該ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを互いに関連付けて記憶する第１記憶手段と、
ユーザからの個人番号の登録を受け付けると、前記ユーザの識別情報、前記ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを前記第１記憶手段に仮登録する仮登録手段と、
前記ユーザの個人番号と、当該個人番号の登録に際して読み取られた書類の画像データの一部をマスクした画像データとを含む、前記仮登録された個人番号を承認するための承認用の画面を提示する提示手段と、
前記提示手段により提示された前記承認用の画面を介した前記承認者による承認結果に応じて、前記第１記憶手段への前記ユーザの個人番号の登録を制御する制御手段と、を有することを特徴とする。

本発明によれば、承認者が個人番号を承認するときに表示される承認用画面で、個人番号の登録に際して読み取られた書類の画像データの一部をマスクして表示することで、承認に不要な個人情報の表示を抑えて個人情報の漏洩リスクを少なくできる。

本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。

添付図面は明細書に含まれ、その一部を構成し、本発明の実施の形態を示し、その記述と共に本発明の原理を説明するために用いられる。
本発明の実施形態１に係る個人番号管理システムの構成を説明する図。 実施形態１に係る企業システム、クライアント、及び管理サーバのハードウェア構成を説明するブロック図。 実施形態１に係る画像形成装置のハードウェア構成を示すブロック図。 実施形態１に係る画像形成装置、企業システム、クライアント、及び管理サーバの機能を説明する機能ブロック図。 実施形態１に係る画像形成装置の操作部に表示されるＩＤ及びパスワードの入力画面の一例を示す図（Ａ）と、管理サーバが提供する機能の一覧の表示画面例を示す図（Ｂ）。 実施形態１に係る読取り対象の書類の選択画面の例を示す図（Ａ）と、個人番号読取り時の表示画面の一例を示す図（Ｂ）。 実施形態１に係るクライアントで表示される承認依頼の一覧の表示例を示す図（Ａ）と、図７（Ａ）で選択されたユーザの承認作業画面のＵＩ例を示す図（Ｂ）。 実施形態においてクライアントで承認する際に、画像形成装置で読み取った証明書の画像をマスクする処理の一例を説明する図。 実施形態１に係る企業システムから管理サーバへ社員情報を登録する際の処理を説明するフローチャート。 実施形態１において、ユーザ（社員）が画像形成装置を操作して、そのユーザの個人番号を管理サーバに登録するまでの処理の流れを説明するフローチャート。 図１０のＳ１０１１の登録処理を説明するフローチャート。 実施形態１に係るクライアントと管理サーバとの間で実行される承認者による承認作業を説明するフローチャート。 実施形態１に係る管理サーバによるスキャン画像のマスク処理（図１２のＳ１２０５）の処理を説明するフローチャート。 実施形態１において、企業システムが管理サーバが管理している個人番号を取得する処理の流れを説明するフローチャート。 本発明の実施形態２に係る承認依頼画面の一例を示す図。 実施形態２に係る管理サーバによるスキャン画像のマスク処理の処理（図１２のＳ１２０５）を説明するフローチャート。

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組合せの全てが本発明の解決手段に必須のものとは限らない。

図１は、本発明の実施形態１に係る個人番号管理システムの構成を説明する図である。

このシステムでは、画像形成装置（画像処理装置）１０１、企業システム１０２、クライアント１０３がイントラネット１０４に存在し、これらはインターネット１０５を介して個人番号管理サーバ１０６（以下、管理サーバ）と通信する。ここでイントラネット１０４の装置１０１〜１０３と管理サーバ１０６とは、ブラウザや専用のアプリケーションを介して通信を行う。管理サーバ１０６は、ＨＴＴＰ、ＳＯＡＰ等のプロトコルに準拠したＷｅｂサービスを有している。このＷｅｂサービスでは、画像形成装置１０１からの個人番号の仮登録、企業システム１０２からの社員情報の登録や個人番号の取得、また、クライアント１０３からの個人番号の登録内容の取得リクエスト等を受け付ける。図示はしていないが、管理サーバ１０６には、各種データを保存しておくためのデータベースシステムやファイルシステムが存在する。

図２は、実施形態１に係る企業システム１０２、クライアント１０３、及び管理サーバ１０６のハードウェア構成を説明するブロック図である。企業システム１０２、クライアント１０３、管理サーバ１０６は、一般的な情報処理装置（いわゆるＰＣ）のハードウェアで構成できる。このため図２では、その代表的な構成例を示し、この構成は、企業システム１０２、クライアント１０３及び管理サーバ１０６で共通である。

図２において、ＣＰＵ２０１は、ＲＯＭ２０３のプログラムＲＯＭに記憶されたブートプログラムを実行して、ハードディスク等の外部メモリ２１０からＲＡＭ２０２にＯＳ（オペレーションシステム）やアプリケーションを展開する。こうしてＣＰＵ２０１は、ＲＡＭ２０２に展開した、これらプログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。ＲＡＭ２０２は、ＣＰＵ２０１のメインメモリであり、上記プログラムの格納エリアに加えて、ワークエリアを提供している。キーボードコントローラ２０４は、キーボード２０８や図示しないポインティングデバイス（タッチパッド、タッチパネル、トラックボールなど）からの操作入力を制御する。表示制御部２０５は、表示部２０９への表示を制御する。ディスクコントローラ２０６は、各種データを記憶するハードディスク（ＨＤ）やフレキシブルディスク（ＦＤ）等の外部メモリ２１０へのアクセスを制御する。ネットワークコントローラ（ＮＣ）２０７はネットワークに接続され、そのネットワークに接続された他の機器との通信制御を実行する。

図３は、実施形態１に係る画像形成装置１０１のハードウェア構成を示すブロック図である。

画像形成装置１０１は、制御部３０１、操作部３０４、認証部３０５、ＮＩＣ３０６、画像読取部３０７、印刷部３０８、記憶部３１２を備えている。制御部３０１はＣＰＵ３０９、ＲＡＭ３１０、ＲＯＭ３１１を有し、画像形成装置３０１全体を制御しており、また画像データを処理する画像処理部３０３を有する。操作部３０４は、例えばソフトウェアキーボード、タッチパネル、その他入出力装置を有し、各種の設定値の入力、及び表示を行うことができる。ＣＰＵ３０９は、ＲＯＭ３１１に記憶されたプログラムや、記憶部３１２からＲＡＭ３１０に展開されたアプリケーション等のプログラムを実行する。ＲＡＭ３１０は、ＣＰＵ３０９のメインメモリであり、ＣＰＵ３０９のワークエリア等を提供している。画像読取部３０７は例えばスキャナ等を含み、紙文書（原稿、書類）等を読取ることにより電子データである紙文書の画像データを取得する。制御部３０１は、記憶部３１２に記憶された文書画像データを操作部３０４に出力して表示させる。また制御部３０１は同様に、記憶部３１２に記憶された文章画像データを印刷部３０８に出力して印刷させることができる。印刷部３０８は、文書画像データに従って文書画像を印刷する。また画像形成装置１０１は、ＮＩＣ３０６を介してネットワークと接続し、ネットワークとの間でデータの送受信を可能とする。ＮＩＣ３０６を介して得られたデータは操作部３０４に表示することも可能である。

図４は、実施形態１に係る画像形成装置１０１、企業システム１０２、クライアント１０３、及び管理サーバ１０６の機能を説明する機能ブロック図である。

まず画像形成装置１０１の機能について説明する。

画面表示部４０１は、通信部４０２を介して、管理サーバ１０６から取得したマークアップランゲージ（ＭＬ）（画面情報）や、入力受付部４０３によってユーザにより入力された情報を画像形成装置１０１の表示部に表示する。通信部４０２は、入力受付部４０３で指示された内容に従って管理サーバ１０６と通信し、管理サーバ１０６へのログインや、個人番号の仮登録処理を実施する。書類スキャン部４０４は、画像読取部３０７を用いて書類の読み取りを行う。書類スキャン部４０４によって読み取られた書類の画像データは個人番号抽出部４０５に渡される。個人番号抽出部４０５は、書類スキャン部４０４で得られた画像データに個人番号が含まれているか否かを判定し、個人番号が含まれていると判定するとＯＣＲ等の技術を用いて、その個人番号を抽出する。個人番号抽出部４０５によって抽出された個人番号は画面表示部４０１に表示される。尚、実施形態１では画面表示部４０１に画面を表示する例を説明するが、同様の画面を画像形成装置１０１に接続されたＰＣの表示部に表示してもよい。その場合、ユーザからの操作は、ＰＣのマウスやキーボードなどの操作部から受け付ければよい。

次に、クライアント１０３の各処理部の機能について説明する。

クライアント１０３は、個人番号登録の承認作業を行う。承認作業は、例えば、画像形成装置のユーザが所属する企業の番号管理責任者が行う。この個人番号の管理責任者として、例えば、そのユーザの上司、または、そのユーザが所属する企業の番号管理資格保持者、又は人事部の部員が挙げられる。通信部４１１は、管理サーバ１０６から承認リクエストを取得し、また承認結果を管理サーバ１０６に送信する。画面表示部４１２は、通信部４１１が取得した承認リクエストの一覧や、各承認リクエストの内容を表示し、承認者が登録内容を確認するための画面を表示する。また入力受付部４１３は、キーボード２０８等の操作部を介して承認者からの入力を受け付ける。

次に企業システム１０２の各処理部の機能について説明する。

企業システム１０２は、管理サーバ１０６から個人番号を受信して、調書の作成作業を行う。通信部４２１は、管理サーバ１０６に対して、個人番号を取得するためのリクエストを送信するとともに、画像形成装置１０１へ印刷データを送信する。画面表示部４２２は、管理サーバ１０６から取得した個人番号取得用のマークアップランゲージの表示や、入力受付部４２３から調書を編集、或いは印刷指示するための画面を表示する。調書作成部４２４は、社員管理テーブル４２５のデータ及び管理サーバ１０６から受信した個人番号等に基づいて調書を作成する。

次に管理サーバ１０６の各処理部の機能について説明する。

画面生成部４３１は、画像形成装置１０１や、クライアント１０３等からのリクエストに応じて、表示部２０９に表示するためのデータ（例えばＨＴＭＬ等）を生成する。ログイン要求受信部４３２は、画像形成装置１０１、クライアント１０３や企業システム１０２からのログイン要求を受け付けると、ユーザ管理テーブル４３３で管理されているデータに基づいて、ユーザの認証処理を実施する。個人番号登録処理部４３４は、画像形成装置１０１からの個人番号の仮登録リクエストや、クライアント１０３からの承認リクエストを受信する。そのリクエストに応じて、表示項目管理テーブル４３９のデータを使用して個人番号管理テーブル４３５にデータを登録し、またそのデータを更新する。個人番号要求受信部４３６は、企業システム１０２等からのリクエストに応じて、個人番号管理テーブル４３５に登録された個人番号を返却する。社員情報登録部４３７は、企業システム１０２からのリクエストを受信すると、ユーザ管理テーブル４３３及び社員情報管理テーブル４３８にデータを登録する。具体的には、企業システム１０２のオペレータが、社員管理テーブル４２５から取得したーデータに、後述する社員情報管理テーブル４３８で定義されるデータ項目に相当する情報を付加し、通信部４２１を介して社員情報登録部４３７にリクエストを発行する。これにより社員情報登録部４３７は、社員情報管理テーブル４３８へのデータ登録に加え、後述するユーザ管理テーブル４３３に、企業コード及び社員ＩＤ等を登録する。

次に、実施形態１に係るユーザ管理テーブル４３３、個人番号管理テーブル４３５、社員管理テーブル４２５、社員情報管理テーブル４３８、及び表示項目管理テーブル４３９のデータ構成例を表を参照して説明する。

表１は、実施形態１に係る管理サーバ１０６が管理しているユーザ管理テーブル４３３の一例を示す。

ユーザ管理テーブル４３３は、アカウント（Ａ１）、パスワード（Ａ２）、企業コード（Ａ３）、社員ＩＤ（Ａ４）の４つの要素を含む。アカウント（Ａ１）及びパスワード（Ａ２）は、画像形成装置１０１、企業システム１０２、クライアント１０３が、管理サーバ１０６が提供するサービスを利用する際に必要となるＩＤ及びパスワードである。アカウント（Ａ１）は、社員情報登録部４３７がユーザ管理テーブル４３３に情報を登録する際に、各社員に対して自動で発行される。またパスワード（Ａ２）は、企業システム１０２で予め設定されたものが一律で設定される。このパスワードは、各社員によって変更可能であるが、この方法については公知であるため、説明を割愛する。また、企業コード（Ａ３）及び社員ＩＤ（Ａ４）は、後述する社員情報管理テーブル４３８の各社員情報と、アカウント（Ａ１）を紐付けるためのキーとなる。

表２は、個人番号管理テーブル４３５に保存されている情報の一例を示す。

個人番号管理テーブル４３５は、社員ＩＤ（Ｂ１）、個人番号（Ｂ２）、続柄（Ｂ３）、利用目的（Ｂ４）、画像データ（Ｂ５）、ステータス（Ｂ６）、マスク画像データ（Ｂ７）、表示領域（Ｂ８）の８つの要素を有している。社員ＩＤ（Ｂ１）は、後述する社員管理テーブル４２５の社員情報と個人番号を紐付けるためのキーとなる識別情報である。個人番号（Ｂ２）は、実施形態に係る手法で登録された、その社員或いは配偶者、子供等の個人番号を示す。また続柄（Ｂ３）は、対象の社員の扶養家族を含む続柄（本人、配偶者、子供）を示す項目である。利用目的（Ｂ４）は、その社員の個人番号を企業システム１０２を利用可能な範囲を示す項目である。この利用目的（Ｂ４）は、個人番号を社員から収集するときに、予めその社員に対して開示されている内容が登録される。画像データ（Ｂ５）は、その社員の個人番号の登録作業において読み取られた書類の画像データである。この画像データは、複数登録することができる。表２の例では、複数の｛書類種別：画像データ｝の組を画像データ（Ｂ５）として登録しているが、これら画像データを別テーブルで管理するような構成に変更してもよい。ステータス（Ｂ６）は、その社員の個人番号の登録状況を表す項目である。具体的には、画像形成装置１０１からの登録リクエストを受け付けると、そのステータスは仮登録となり、クライアント１０３により、その登録が承認されると初めて、そのステータスが本登録となって正式に登録される。

この実施形態の特徴であるマスク画像データ（Ｂ７）は、画像データ（Ｂ５）の画像データを、クライアント１０３で承認するときに表示するために、マスクした画像データとして登録される。この画像データ（Ｂ７）は、画像データ（Ｂ５）と同様に複数登録することができる。表２の例では、複数の｛書類種別：画像データ｝の組をマスク画像データ（Ｂ７）に登録しているが、これらのデータを別テーブルで管理するような構成に変更してもよい。表２の例では、社員ＩＤが「１２３４５６」の社員の個人番号を登録したときに使用された書類が個人番号通知カードと運転免許証であり、それらの画像データが保存されている。そして、それらの個人番号通知カードと運転免許証の画像データのそれぞれに対して、マスク画像データが設定されている。表示領域（Ｂ８）は、マスク画像データのうち、表示しているデータ項目とそのデータ領域を登録している。この表示領域のデータは、複数が登録することができる。表２の例では、複数の｛表示データ：領域データ｝の組を表示領域（Ｂ８）として登録している。表２では、個人番号通知カードと運転免許証の画像データのそれぞれの画像データの内、氏名と住所だけが表示領域として指定されていることになる。

表３は、実施形態１に係る企業システム１０２が管理している社員管理テーブル４２５の一例を示す。

社員管理テーブル４２５は、社員ＩＤ（Ｃ１）、氏名（Ｃ２）、続柄（Ｃ３）、所属（Ｃ４）の４つの要素を含む。社員ＩＤ（Ｃ１）は、企業内で一意に割り当てられる社員のＩＤであり、先に述べたユーザ管理テーブル４３３（表１）の社員ＩＤ（Ａ４）に対応している。氏名（Ｃ２）は、社員の氏名を示す項目であり、続柄は対象社員の続柄を示す項目である。所属（Ｃ４）は、対象社員が企業内で所属する部署を示す属性である。尚、表３は、上記の４つの要素を示しているが、これらに限らず、社員の情報を示す他の情報を含むようにしてもよい。

表４は、実施形態１に係る管理サーバ１０６が管理している社員情報管理テーブル４３８の一例を示す。

社員情報管理テーブル４３８は、企業コード（Ｄ１）、社員ＩＤ（Ｄ２）、社員名（Ｄ３）、承認者ＩＤ（Ｄ４）、社員メールアドレス（Ｄ５）、承認者メールアドレス（Ｄ６）の６要素から構成される。企業コード（Ｄ１）には、管理サーバ１０６を利用する組織を一意に特定するためのＩＤが設定される。この企業ＩＤは、管理サーバ１０６の利用契約時などに発行されても良いし、自動でＩＤを払い出すような仕組みを別途作成してもよい。社員ＩＤ（Ｄ２）には、企業コード（Ｄ１）内で、社員を社内で一意に識別するためのＩＤが設定される。また社員名（Ｄ３）には、その社員の氏名が設定される。承認者ＩＤ（Ｄ４）は、その企業で、その社員の個人番号を登録する際に、その個人番号の登録を昇進する人のＩＤを示す。社員メールアドレス（Ｄ５）は、その社員の連絡先のメールアドレスが設定される。ここで設定される社員メールアドレス（Ｄ５）に、前述の社員情報登録部４３７が、その社員の個人番号を登録するように要求する通知を発行する。承認者メールアドレス（Ｄ６）は、社員ＩＤ（Ｄ２）が示す社員の個人番号の登録を承認する人物のメールアドレスである。管理サーバ１０６の個人番号登録処理部４３４は、ここに設定された承認者メールアドレス（Ｄ６）に、その社員の個人番号の登録を承認するように承認依頼を通知する。

表５は、実施形態に係る管理サーバ１０６が管理している表示項目管理テーブル４３９の一例を示す。

この表示項目管理テーブル４３９は、書類名称（Ｅ１）、書類種別（Ｅ２）、表示項目（Ｅ３）の３要素を有している。書類名称（Ｅ１）には、クライアント１０３による承認時に、画面表示部４１２に表示される、個人番号の登録時にスキャンされた書類を示す名称が設定される。この名称は管理上のものであり、書類の種類を一意に表すものであれば良い。書類種別（Ｅ２）には、表２の画像（Ｂ５）として登録されている書類の種別を識別するための文字列が設定される。この種別については、ＯＣＲにより抽出した文字列により画像の種別を判定するために使用されるものである。表示項目キーワード（Ｅ３）には、その書類の中で表示に必要な情報を探索するためのキーワード文字列が設定される。この表示項目キーワードには、複数の表示項目のキーワードデータを登録できる。表５の例では、複数の｛キーワード文字列｝の組を表示項目キーワード（Ｅ３）に登録している。即ち、例えば運転免許証の場合は、氏名、生年月日、住所、本人の写真、及び有効年月日だけが表示され、それ以外の例えば本籍、公布年月日、免許証番号などは表示されないことが分かる。

次に、図５を参照して、本実施形態１に係るシステムにおける登録作業に関するＵＩ例について説明する。

図５（Ａ）は、実施形態１に係る画像形成装置１０１の操作部３０４に表示される、管理サーバ１０６が提供するサービスの利用を開始するためのＩＤ及びパスワードの入力画面の一例を示す図である。

ユーザは、この画面を介して、ユーザのＩＤとパスワードを、それぞれ入力欄５１１，５１２に入力してログインボタン５１３を押下する。ここで入力されたユーザＩＤとパスワードが、前述の管理サーバ１０６のユーザ管理テーブル４７４に登録された内容と一致すれば、そのユーザのログインが可能となる。

こうしてユーザのログインが成功すると、操作部３０４の表示部には、図５（Ｂ）に示すような、管理サーバ１０６が提供する機能の一覧５２１が表示される。尚、図５（Ｂ）に示した機能が全てではなく、管理サーバ１０６が提供する機能が増える度に、この画面上に表示される機能が増加する。以下、個人番号登録５２２が選択されたときのＵＩの遷移を図６を参照して説明する。

図６（Ａ）は、図５（Ｂ）の画面で、ユーザが個人番号登録５２２を指示したときに操作部３０４に表示される画面例を示す図である。

この画面により、ユーザに、個人番号を登録するためにスキャンする書類の種別を選択させる。この画面を介してユーザは、これらからスキャンする書類の種別を選択した後、その書類を画像読取部３０７にセットしてＯＫボタン６１２を押下すると、その書類のスキャンが開始される。こうして書類のスキャンが完了すると、図６（Ｂ）に示すようなスキャンした書類の画像データを含む確認画面が表示される。図６（Ａ）では、読み取り対象の書類として、個人番号通知カードが選択されている。

図６（Ｂ）は、例えば、個人番号が記載された書類を読み取った場合を示しており、ここでは図６（Ａ）の画面での選択に対応して、個人番号通知カードを読み取った場合を示している。個人番号は、その読み取った個人番号通知カードの画像データから、ＯＣＲなどの技術を用いて抽出した個人番号の文字列６２１として表示される。ユーザは、ここで抽出された個人番号の文字列に誤りがあると判定した場合は、この画面を直接編集し、個人番号を、通知された正しい番号に訂正できる。併せて、この画面には、スキャンされた個人番号通知カードのイメージデータ６２２を表示することも可能である。尚、個人番号が記載されていない原稿（例えば、運転免許証など）を読み取った場合には、個人番号の文字列６２１は表示されない。ここでユーザは、この画面で表示された内容を確認した後にＯＫボタン６２３を押下すると、再度図６（Ａ）に示すような画面が表示され、次にスキャンする書類の種別を選択する。また、全ての書類の読み取りが完了した場合には、全スキャン完了ボタン６２４を押下する。これを押下することによって、個人番号管理テーブル４３５に、その読み取った個人番号が登録される。

次に、図７を参照して、本実施形態１に係るクライアント１０３において承認者が承認作業を行うときのＵＩ例について説明する。

図７（Ａ）は、実施形態１に係るクライアント１０３で表示される承認依頼の一覧の表示例を示す図である。

承認者がクライアント１０３から管理サーバ１０６にログインすると、画像形成装置１０１の場合と同様に、図５（Ｂ）に示すような機能一覧の画面が表示部２０９に表示される。この画面を介してユーザが、機能一覧の中の個人番号承認５２３のリンクを押下すると、それが管理サーバ１０６に送られる。これにより管理サーバ１０６は、クライアント１０３に対して、例えば図７（Ａ）に示すような、承認作業を行うべきユーザの一覧を送信して表示させる。

図７（Ａ）のＵＩ例では、依頼番号、依頼日時、及び氏名の３項目が表示されているが、他の項目が表示されていても良いし、いずれかの項目が無くても構わない。この画面に表示されたユーザの内、承認者がキーボード２０８等を操作して承認作業を行うユーザ７１２を選択すると、例えば図７（Ｂ）に示すような、承認作業を行うための画面に遷移する。

図７（Ｂ）では、承認対象である社員（ユーザ）の情報と、個人番号、及び、その個人番号の登録時にスキャンされた書類（ここでは個人番号通知カードと運転免許証）の画像が表示される。承認者は、個人番号７２１と、スキャン画像７２２に記載された個人番号とが一致意しているかどうかをチェックする。またスキャン画像７２２を証明するスキャン画像７２３が、その社員（ユーザ）を現しているかをチェックする。この際、スキャン画像７２３は、承認時の確認作業に必要のない情報部分がマスクされた形式で表示される。このマスク処理は、前述の表２のマスク画像データ（Ｂ７）と表示領域（Ｂ８）に基づいて決定される。そして承認者は、チェックを終了し、問題がないと判断した場合に、承認ボタン７２４を押下する。承認ボタン７２４が押下されると、クライアント１０３の通信部４１１から管理サーバ１０６の個人番号登録処理部４３４に通知され、個人番号管理テーブル４３５の仮登録を本登録に変更して承認結果を登録する。一方、承認者は、内容に不備があって承認できないと判断すると差し戻しボタン７２５を押下する。これによりリクエスト元である管理サーバ１０６に承認できない旨を通知する。これにより管理サーバ１０６は、再度、そのユーザ（社員）に対して、そのユーザの個人番号を登録するように促すように通知する。

図８は、実施形態においてクライアント１０３で承認する際に、画像形成装置１０１で読み取った証明書の画像をマスクする処理の一例を説明する図である。

図８（Ａ）は、図６（Ａ）でユーザが運転免許証を指定して読み取ったときの画像例を表している。この例では、氏名８０１、生年月日８０２、住所８０３、交付日８０４、有効期限８０５、免許証番号８０６、証明書を表す名称８０７、本人を表す写真画像８０８が記載されている。

図８（Ｂ）は、図８（Ａ）のスキャン画像に対して不要な情報をマスクして表示した状態を示している。ここでは、図８（Ａ）の中の交付日８０４及び免許書番号８０６をそれぞれマスクエリア８１１，８１２で覆い隠している。

図８（Ｃ）は、図６（Ａ）でユーザが住民票を指定して読み取ったときの画像の例を表している。この例では、氏名８２１、生年月日８２２、続柄８２３、区民となった日８２４、世帯主８２５、住所８２６、前住所８２７、本籍８２８、筆頭者８２９、備考８３０が記載されている。

図８（Ｄ）は、図８（Ｃ）の画像をマスクした状態を示す。本例では、図８（Ｄ）の中の区民となった日８２４、世帯主８２５、前住所８２７、本籍８２８、筆頭者８２９、備考８３０をそれぞれマスクエリア８３１，８３２，８３３，８３４，８３５で覆い隠して、マスク対象の画像を表示しないようにしている。

図９は、実施形態１に係る企業システム１０２から管理サーバ１０６へ社員情報を登録する際の処理を説明するフローチャートである。尚、ここで、企業システム１０２と管理サーバ１０６のそれぞれの処理は、図２に示す企業システム１０２と管理サーバ１０６の各ＣＰＵ２０１が、外部メモリ２１０からＲＡＭ２０２に展開したプログラムを実行することにより実現される。

まずＳ９０１で、企業システム１０２のＣＰＵ２０１は、管理サーバ１０６に対して、社員情報の登録リクエストを発行する。このリクエストには、表４に示すような情報が含まれている。

これによりＳ９０２で、管理サーバ１０６のＣＰＵ２０１は、企業システム１０２から発行された登録リクエストを受信する。次にＳ９０３に進み、管理サーバ１０６のＣＰＵ２０１は、その受信した登録リクエストに含まれる社員の情報を社員情報管理テーブル４３８に登録する（表４参照）。そしてＳ９０４に進み、管理サーバ１０６のＣＰＵ２０１は、Ｓ９０３で登録した各社員のメールアドレスに、個人番号を登録するように依頼する個人番号の登録依頼をメールで送信する。このときのメールアドレスは、社員情報管理テーブル４３８に登録されているものを使用する。

図１０は、実施形態１において、ユーザ（社員）が画像形成装置１０１を操作して、そのユーザの個人番号を管理サーバ１０６に登録するまでの処理の流れを説明するフローチャートである。

図１１は、図１０のＳ１０１１の登録処理を説明するフローチャートである。尚、ここで、画像形成装置１０１と管理サーバ１０６のそれぞれの処理は、画像形成装置１０１のＣＰＵ３０９と、管理サーバ１０６のＣＰＵ２０１が、各対応するＲＡＭに展開したプログラムを実行することにより実現される。

図１０において、まずＳ１００１でＣＰＵ３０９は、図５（Ａ）の画面を介して入力されたユーザのＩＤ及びパスワードを取得し、その入力されたユーザＩＤ及びパスワードを用いて、管理サーバ１０６にログイン要求を発行する。

これによりＳ１００２で、管理サーバ１０６のＣＰＵ２０１は、受け付けたログイン要求のユーザＩＤ及びパスワードに基づいて、そのユーザの認証処理を実施する。ここでユーザの認証に成功した場合はＳ１００３に進み、認証に失敗した場合はエラーメッセージなどを出力して、この処理を終了する。Ｓ１００３で、管理サーバ１０６のＣＰＵ２０１は、画像形成装置１０１に対して、例えば図５（Ｂ）に示すような機能一覧画面を表示するように、その画面表示用ＵＲＬへのリダイレクト命令を発行する。

これによりＳ１００４で画像形成装置１０１のＣＰＵ３０９は、そのリダイレクト命令に従って管理サーバ１０６にアクセスする。これによりＳ１００５で、管理サーバ１０６のＣＰＵ２０１は、そのリダイレクトされたアクセス、即ち、機能一覧画面の取得要求を受信する。そしてＳ１００６に進み、管理サーバ１０６のＣＰＵ２０１は、その要求された機能一覧画面を表示するためのマークアップランゲージを生成して画像形成装置１０１に返却する。

こうしてＳ１００７に進み、画像形成装置１０１のＣＰＵ３０９は、受信したマークアップランゲージに従って、操作部３０４の表示部に機能一覧画面（図５（Ｂ）参照）を表示する。次にＳ１００８に進みＣＰＵ３０９は、その画面を介したユーザの操作に基づいて、選択された機能を検知する。そしてＳ１００９に進みＣＰＵ３０９は、押下された機能が何れの機能であるかを判定し、押下された機能が個人番号登録５２２であった場合はＳ１０１１に進み、そうでないときはＳ１０１０に進む。Ｓ１０１０でＣＰＵ３０９は、その指示された機能に従った処理を実行して、この処理を終了する。尚、Ｓ１００９では、管理サーバ１０６が提供する機能の分だけ分岐が存在することとなる。分岐以降の処理は管理サーバ１０６が提供する機能によって異なるため、その説明を割愛する。一方、Ｓ１０１１でＣＰＵ３０９は、指示された個人番号の登録処理を管理サーバ１０６と協働で実行して、この処理を終了する。

次に、Ｓ１０１１の登録処理の詳細を図１１のフローチャートを参照して説明する。

Ｓ１１０１でＣＰＵ３０９は、操作部３０４に、個人番号の登録に有効な書類の種別を全て表示する。これにより例えば図６（Ａ）に示すような画面が表示される。次にＳ１１０２に進みＣＰＵ３０９は、この画面でＯＫボタン６１２が押下されると、ユーザが選択した書類種別を取得する。そしてＳ１１０３に進みＣＰＵ３０９は、画像読取部３０６により、その選択された書類を読み取る。次にＳ１１０４に進みＣＰＵ３０９は、Ｓ１１０２で選択された書類が、個人番号が印刷された書類であるか否かを判定し、個人番号が印刷された書類であると判定するとＳ１１０５に進む。Ｓ１１０５でＣＰＵ３０９は、ＯＣＲ等の技術を用いて、Ｓ１１０３で取得したスキャン画像データから個人番号を抽出する。ＯＣＲ等の技術は公知であるため、説明を割愛する。次にＳ１１０６に進みＣＰＵ３０９は、Ｓ１１０５で抽出した個人番号の数字の妥当性を、チェックディジットを用いて検証する。ここで個人番号が正しくないと判定したときはＳ１１０７に遷移し、正しいと判定した場合にはＳ１１０９に遷移する。

Ｓ１１０７でＣＰＵ３０９は、操作部３０４の表示部に、例えば図６（Ｂ）の様な画面を表示して、ユーザーに個人番号の訂正を促し、ユーザからの入力を受け付ける。次にＳ１１０８に進みＣＰＵ３０９は、図６（Ｂ）の画面で、ユーザがＯＫボタン６２３、もしくは全スキャン完了ボタン６２４の押下を検知する。これらのボタン６２３，６２４のいずれかが押下されるとＳ１１０９に進み、ＣＰＵ３０９は、確定した個人番号を保存してＳ１１１０に進む。Ｓ１１１０でＣＰＵ３０９は、Ｓ１１０３でスキャンして得られた画像を保存してＳ１１１に進む。次にＳ１１１１に進みＣＰＵ３０９は、Ｓ１１０８で全スキャン完了ボタン６２４が押下されているかどうか、即ち、個人番号の登録に必要な全ての書類の読み取りが完了しているかどうかを調べる。ここで個人番号の登録に必要な全ての書類の読み取りが完了していないときはＳ１１０１に戻るが、完了していると判定したときはＳ１１１２に進む。Ｓ１１１２でＣＰＵ３０９は、ＮＩＣ３０６を介して、管理サーバ１０６に、抽出した個人番号及びスキャンした画像データを含む仮登録リクエストを送信する。またＳ１１０４でＣＰＵ３０９は、選択された書類が個人番号が印刷された書類でないと判定するとＳ１１１０に進み、スキャンにより得られた画像データを保存してＳ１１１１に処理を進める。

Ｓ１１１３で管理サーバ１０６のＣＰＵ２０１は、画像形成装置１０１から送信された仮登録リクエストを受信し、そのリクエストに含まれて個人番号及び画像データを、個人番号管理テーブル４３５の、認証済のユーザ（社員）のデータとして保存する。次にＳ１１１４に進み管理サーバ１０６のＣＰＵ２０１は、社員情報管理テーブル４３８を参照して、その社員の個人番号の登録の承認者のＩＤ及びメールアドレスを取得し、その承認者に対して電子メールにより承認作業を行うように依頼する。

以上説明した処理を行うことにより、ユーザは、管理サーバ１０６からの要求に応じて、そのユーザの個人番号を管理サーバ１０６に登録することができる。こうして登録作業が完了すると、管理サーバ１０６は、そのユーザの承認者に対して、そのユーザの個人番号の要録を承認するように依頼できる。

次に図１２を参照して、承認者による承認作業に関する処理を説明する。

図１２は、実施形態１に係るクライアント１０３と管理サーバ１０６との間で実行される承認者による承認作業を説明するフローチャートである。尚、図１２に示すフローチャートの前に、クライアント１０３から管理サーバ１０６へのログイン処理や機能一覧画面の表示及び承認機能の選択などの処理が含まれるが、これら処理は図１０の画像形成装置１０１の場合と同じであるためその説明を割愛する。但し、この場合のログイン処理では、承認者は、その承認者のＩＤでログインする必要がある。図１２では、そのログインに応答して管理サーバ１０６から送られる画面情報に基づいてクライアント１０３で機能一覧の画面が表示され、その中の承認機能が選択された以降の処理の流れで説明する。尚、ここで、クライアント１０３と管理サーバ１０６のそれぞれの処理は、クライアント１０３のＣＰＵ２０１と、管理サーバ１０６のＣＰＵ２０１が、各対応するＲＡＭに展開したプログラムを実行することにより実現される。

まずＳ１２０１でクライアント１０３のＣＰＵ２０１は、管理サーバ１０６に対して、承認を要求するユーザの一覧の取得要求を発行する。このときクライアント１０３のＣＰＵ２０１は、管理サーバ１０６に対して、承認者のＩＤも併せて送信する。

これによりＳ１２０２で管理サーバ１０６のＣＰＵ２０１は、Ｓ１２０１で送信された承認者ＩＤに対応する社員のＩＤを、社員情報管理テーブル４３８（表４）及びユーザ管理テーブル４３３から特定する。その後、個人番号管理テーブル４７６（表３参照）の中で、その社員ＩＤに対応するステータス（Ｃ６）が仮登録となっているデータを取得する。そして、それらデータ（承認依頼を発行したユーザで、かつその承認者の承認が必要なユーザの一覧）を表示用のマークアップランゲージに成形してクライントに返却する。

これによりＳ１２０３に進みクライアント１０３のＣＰＵ２０１は、受信したマークアップランゲージに従って、承認依頼を発行したユーザの一覧（例えば図７（Ａ）参照）を表示部２０９に表示する。そしてＳ１２０４に進みクライアント１０３のＣＰＵ２０１は、その表示された承認依頼を発行したユーザの一覧の中から、承認者が選択したユーザを検知する、そのユーザの詳細情報の取得要求を管理サーバ１０６に対して発行する。

これによりＳ１２０５に進み管理サーバ１０６のＣＰＵ２０１は、個人番号管理テーブル４３５に保存されている承認依頼の対象データの画像データのマスク処理を行なう。この処理については、後述の図１３のフローチャートを参照して詳しく説明する。次にＳ１２０６に進み管理サーバ１０６のＣＰＵ２０１は、個人番号管理テーブル４３５から承認依頼の対象データを取得し、それらのデータを表示用のマークアップランゲージに成形してクライアント１０３に返却する。この際、表示するデータには、個人番号管理テーブル４３５のマスク画像データ（Ｂ７）を使用する。

こうしてＳ１２０７に進みクライアント１０３のＣＰＵ２０１は、受信したマークアップランゲージに従って、例えば図７（Ｂ）に示すような承認依頼画面を表示する。次にＳ１２０８に進みクライアント１０３のＣＰＵ２０１は、承認者が、この画面上でボタンを押下したのを検知すると、その押下されたボタンが承認ボタン７２４或いは差し戻しボタン７２５かを判定する。承認ボタン７２４の押下を検知した場合はＳ１２１１に遷移し、差し戻しボタン７２５の押下を検知した場合はＳ１２０９に遷移する。Ｓ１２０９で、クライアント１０３のＣＰＵ２０１は、管理サーバ１０６に対して、個人番号を再登録するように依頼するメールの発行要求を送信する。これによりＳ１２１０に進み管理サーバ１０６のＣＰＵ２０１は、個人番号の登録を依頼する電子メールを、そのユーザに送信して、この処理を終了する。

一方、承認ボタン７２４が押下されるとＳ１２１１に進み、クライアント１０３のＣＰＵ２０１は、管理サーバ１０６に対して、そのユーザを承認したことを送信する。これによりＳ１２１２に進み管理サーバ１０６のＣＰＵ２０１は、個人番号管理テーブル４３５に登録されている、そのユーザのデータのステータスを、仮登録から本登録に変更して、この処理を終了する。このとき、個人番号管理テーブル４３５の画像データ（Ｂ５）及びマスク画像データ（Ｂ７）に格納されたデータを情報漏洩時の情報流出に備えて暗号化することを行なってもかまわない。

以上説明した図１２のフローチャートに従った処理を実施することで、クライアント１０３の承認者は、管理サーバ１０６からの承認要求に応じて、ユーザが行った個人番号登録の承認作業を行うことができる。このとき図７（Ｂ）に示すように、承認に不要な情報がマスクされた状態で表示されるので、承認に不要なユーザの情報が、承認者によって見られてしまうことを防ぐことができる。

次に、図１３を参照して、図１２のＳ１２０５のスキャン画像データの一部をマスクするマスク処理の処理を説明する。

図１３は、実施形態１に係る管理サーバ１０６によるスキャン画像のマスク処理（図１２のＳ１２０５）の処理を説明するフローチャートである。このフローチャートで示す処理は全て、管理サーバ１０６のＣＰＵ２０１により実行される。

まずＳ１３０１でＣＰＵ２０１は、個人番号管理テーブル４３５で、図１２のＳ１２０４で承認依頼を選択した社員ＩＤユーザＩＤ）でステータス（Ｂ６）が「仮登録」になっている画像データ（Ｂ５）を取得する。次にＳ１３０２に進みＣＰＵ２０１は、Ｓ１３０１で取得した画像データのうち、未処理の画像データがあるかどうかを判定し、未処理の画像データがなくなると、即ち、全て処理が完了すると、この処理を終了する。一方Ｓ１３０２で未処理の画像データがあると判定したときはＳ１３０３に進む。Ｓ１３０３でＣＰＵ２０１は、Ｓ１３０１で取得した画像データの内、未処理の画像データを一つ選択してＲＡＭ２０２に読み込む。そしてＳ１３０４に進みＣＰＵ２０１は、その読み込んだ画像データに対してＯＣＲ処理を実行し、その画像データに存在する文字データとその領域の座標位置を抽出してＲＡＭ２０２に一時保存する。次にＳ１３０５に進みＣＰＵ２０１は、表示項目管理テーブル４３９から書類種別（Ｅ４）を全て取得してＲＡＭ２０２に一時保存する。次にＳ１３０６に進みＣＰＵ２０１は、Ｓ１３０５で取得した書類種別データを全てチェックし終わったかどうかを判定する。ここで全てチェックが終了している場合はＳ１３０２に進むが、そうでないときはＳ１３０７に進む。

Ｓ１３０７でＣＰＵ２０１は、チェックしていない書類種別情報から一つ選択して、その書類種別情報が、Ｓ１３０４でＯＣＲ処理により得られた文字データの中に存在するかを検索する。そしてＳ１３０８に進みＣＰＵ２０１は、Ｓ１３０７で検索した結果、書類種別情報が文字データに含まれるかどうかを判定し、含まれると判定したときはＳ１３０９へ進み、そうでないときはＳ１３０６へ進む。Ｓ１３０９でＣＰＵ２０１は、Ｓ１３０７で取得した書類種別の表示項目のキーワードを表示項目管理テーブル４３９から取得してＲＡＭ２０２に一時保存する。次にＳ１３１０に進みＣＰＵ２０１は、Ｓ１３０９で取得した表示項目のキーワードを、区切り記号（{}等）で分割して、マスクせずに表示する項目のキーワードリストを作成してＳ１３１１に進む。Ｓ１３１１でＣＰＵ２０１は、Ｓ１３１０で作成したキーワードリスト内のキーワード全てに対して画像データでの存在チェックが完了したかどうかを判定する。完了したと判定したときはＳ１３１８へ進むが、未チェックのキーワードが残っている場合はＳ１３１２へ進む。Ｓ１３１２でＣＰＵ２０１は、Ｓ１３１１の判定で未チェックと判定されたキーワードを一つ選択し、ＯＣＲ処理により抽出した文字データの中に、そのキーワードが含まれているかどうかを判定する。ここで、キーワードが含まれていないと判定したときはＳ１３１３からＳ１３１１に進むが、含まれていると判定したときはＳ１３１３からＳ１３１４に進む。Ｓ１３１４でＣＰＵ２０１は、含まれていたキーワードの文字データ座標位置の終端（右端）から一番近い始端（左端）を座標位置に持つ文字データとその座標位置をＲＡＭ２０２から取得する。そしてＳ１３１５に進みＣＰＵ２０１は、Ｓ１３１４で取得した座標位置とキーワードの座標位置の間隔が、予め規定された間隔よりも広く、文字同士の関連が薄いと判定した場合はＳ１３１６に進む。一方、間隔が狭く文字同士の関連が濃いと判定した場合はＳ１３１７に進む。Ｓ１３１６でＣＰＵ２０１は、含まれていたキーワードの文字データ座標位置の終端（下）から一番近い始端（上）を座標位置に持つ文字データとその座標位置をＲＡＭ２０２から取得してＳ１３１７に進む。このＳ１３１６は、例えば図８（Ｃ）の住民票のように、キーワード、例えば「生年月日」の下側に、そのユーザの生年月日が記載されている場合があるためである。Ｓ１３１７でＣＰＵ２０１は、Ｓ１３１５もしくはＳ１３１６で取得した文字データとその座標位置、及びＳ１３１２で取得したキーワードの文字データとその座標位置をＲＡＭ２０２に保存してＳ１３１１に進む。

こうしてＳ１３１１で、全てのキーワードに対する処理が完了するとＳ１３１８に進みＣＰＵ２０１は、Ｓ１３１７でＲＡＭ２０２に保存した文字データと座標位置が一つでも存在するかを判定する。ここで存在していると判定したときはＳ１３１９に進むがそうでないときはＳ１３０２に進む。Ｓ１３１９でＣＰＵ２０１は、Ｓ１３０３で読み込んだ画像データの内、Ｓ１３１７でＲＡＭ２０２に保存した文字データの座標位置以外の文字列が含まれる領域を、例えば図８（Ｂ）や図８（Ｄ）に示すように、全て黒色で塗りつぶす。この塗りつぶしに関しては、実施形態では、黒色を使用しているが、その色や模様等を特に限定するものではなく、情報を隠すことができるものであれば何でもよい。次にＳ１３２０に進みＣＰＵ２０１は、Ｓ１３１９でマスクした画像データをマスク画像データ（Ｂ７）に、表示するデータとその画像領域を表示領域（Ｂ８）に保存して個人番号管理テーブル４３５を更新する。そして、Ｓ１３０３からＳ１３１９で使用したＲＡＭ２０２の一時保存領域を解放してＳ１３０２へ進む。

以上説明した処理により、承認者に対する、承認対象であるユーザの個人情報の開示を最小限に抑えて、承認者による個人番号を承認するための作業が可能となる。

次に図１４を参照して、登録された個人番号の利用に関する処理を説明する。

図１４は、実施形態１において、企業システム１０２が管理サーバ１０６が管理している個人番号を取得する処理の流れを説明するフローチャートである。尚、ここで、企業システム１０２と管理サーバ１０６のそれぞれの処理は、企業システム１０２のＣＰＵ２０１と、管理サーバ１０６のＣＰＵ２０１が、各対応するＲＡＭに展開したプログラムを実行することにより実現される。

まずＳ１４０１で企業システム１０２のＣＰＵ２０１は、管理サーバ１０６に対して、個人番号の取得要求を発行する。このとき、この取得要求には、取得対象の社員ＩＤが含まれている。

これによりＳ１４０２で管理サーバ１０６のＣＰＵ２０１は、企業システム１０２から送信された個人番号の取得要求を受信する。そして１４０３に進み管理サーバ１０６のＣＰＵ２０１は、取得対象の社員ＩＤに対応する個人番号管理テーブル４３５のデータを参照する。そしてＳ１４０４に進み管理サーバ１０６のＣＰＵ２０１は、個人番号管理テーブル４３５に登録されている、その社員の個人番号のステータス（Ｂ６）を確認する。ここで、そのステータスが本登録であればＳ１４０５に進んで、その取得した社員の個人番号を企業システム１０２に送信するが、本登録でなければＳ１４０８に進み、エラーメッセージなどを企業システム１０２に返却して、処理を終了する。

Ｓ１４０６で企業システム１０２のＣＰＵ２０１は、管理サーバ１０６から送信された個人番号を受信する。そしてＳ１４０７に進み企業システム１０２のＣＰＵ２０１は、その受信した個人番号を用いて、帳票（例えば源泉徴収票等）を作成して、この処理を終了する。作成された帳票は、その後、企業システム１０２に保存され、ＣＰＵ２０１によって、ネットワークを介して送信される。または、作成された帳票は、ＣＰＵ２０１によってプリンタに送信されて、印刷される。

一方、エラーメッセージなどが返却されたときはＳ１４０９に進み企業システム１０２のＣＰＵ２０１は、エラーが発生したことをオペレータに通知して、この処理を終了する。

以上説明したように本実施形態１によれば、ユーザは、画像形成装置１０１を使用して個人番号の登録に必要な書類を読み取らせて、そのユーザの個人番号を登録することができる。また、そのユーザが所属している企業システムは、その登録された個人番号を用いて、帳票などの生成が可能となる。また承認者による、ユーザの個人番号登録の承認作業に際しては、そのユーザの個人情報の内、承認に必要な事項だけを含む承認用画面を提示できるため、そのユーザのプライバシーの侵害や、個人情報の漏洩等のリスクを回避できるという効果がある。

［実施形態２］
本発明に係る実施形態２について説明する。尚、実施形態２に係るシステム構成、及び画像形成装置１０１、企業システム１０２、クライアント１０３及び管理サーバ１０６等の構成は、いずれも基本的に前述の実施形態１と同じであるため、それらの説明を省略する。

実施形態２においては、個人番号の承認を行なう管理者（上長など）が複数の対象者（ユーザ（社員）の承認行為を行なわなければならない場合を考える。この場合、承認者による承認行為は、短期間のうちに複数回繰り返されることになる。この場合、如何に承認者による承認作業の負荷を軽減できるかにより、承認時の確認ミスの発生頻度が抑えられると考える。そのため実施形態２では、承認者の承認時の負荷軽減を行なうことを目的とする。

実施形態２を実現するためには、前述の実施形態１の承認時画面である図７（Ｂ）及び承認時の処理を示す図１３のフローチャートに対して更に処理を追加して説明する。それ以外の構成については実施形態１と同じであるため、その説明を省略する。

図１５は、本発明の実施形態２に係る承認依頼画面の一例を示す図である。ここでは図７（Ｂ）と共通する部分は同じ参照番号で示している。

この画面にされる情報（個人番号や、証明書、画面構成）は、前述の実施形態１に係る図７（Ｂ）の画面と特に変更はない。変更点は、画面上の確認すべき情報の表示領域にマウス（登録商標）等のポインティングデバイスで指し示した際、他の表示領域中に同じ情報がある場合には、その領域をハイライトさせる処理を行っている。この状態を表しているのが、図１５の領域１５１６及び１５１７である。ここでは、表示領域（氏名欄）１５１６が指示されると、同じ氏名が表示されている表示領域（氏名欄）１５１７も同様にハイライト表示されている。これは逆の場合もあり、表示領域（氏名欄）１５１７が指示されても、表示領域（氏名欄）１５１６の表示も同様にハイライト表示される。

図１６は、実施形態２に係る管理サーバ１０６によるスキャン画像のマスク処理の処理（図１２のＳ１２０５）を説明するフローチャートである。このフローチャートで示す処理は全て、管理サーバ１０６のＣＰＵ２０１により実行される。尚、図１６において、前述の図１３と共通する処理は同じステップ番号で示し、それらの説明を省略する。

Ｓ１６０１でＣＰＵ２０１は、Ｓ１３１７で保存した表示領域と同じキーワードを持っている画像データが存在するかどうかを、保存している個人情報管理テーブル４３５の表示領域（Ｂ８）に保存してあるキーワードと比較して判定する。ここで同じキーワードが存在すると判定するとＳ１６０２に進み、存在しないと判定するとＳ１３１１に進む。Ｓ１６０２でＣＰＵ２０１は、Ｓ１３１７で保存した表示領域の情報に、Ｓ１６０１で比較した画像データを現す情報を付与してＲＡＭ２０２に保存する。

こうしてＳ１３１１で全てのキーワードに対する着が完了するとＳ１３１８に進み、ＣＰＵ２０１は、Ｓ１３１７でＲＡＭ２０２に保存した文字データと座標位置が一つでも存在するかを判定する。存在していると判定したときはＳ１３１９に進みＣＰＵ２０１は、Ｓ１３０３で読み込んだ画像データの内、Ｓ１３１７でＲＡＭ２０２に保存した文字データの座標以外の文字列が含まれる領域を、例えば図８（Ｂ）や図８（Ｄ）に示すように黒色で塗りつぶす。この塗りつぶしに関しては、実施形態では、黒色を使用しているが、その色や模様等を特に限定するものではなく、情報を隠すことができるものであれば何でもよい。そしてＳ１６０３に進みＣＰＵ２０１は、Ｓ１３１９でマスクした画像データをマスク画像データ（Ｂ７）に、表示するデータとその画像領域を表示領域（Ｂ８）に保存する。更に、Ｓ１６０２で保存した画像を現す情報を、表示領域（Ｂ８）に保存して個人番号管理テーブル４３５を更新する。そして、Ｓ１３０３からＳ１３１９で使用したＲＡＭ２０２の一時保存領域を解放してＳ１３０２へ進む。

以上説明した処理により、複数の書類の画像が表示される承認用の画面で、別の書類の画像に含まれる同じ情報同士を容易に関連付けることができるため、承認者による承認作業の負担を軽減できるという効果がある。

尚、上記実施形態では、ユーザが企業に属しているものとして説明したが、本発明はこれに限らず、個人単体でも良く、或いは団体や特定の法人等に属していても良い。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本発明は上記実施の形態に制限されるものではなく、本発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。

１０１…画像形成装置、１０２…企業システム、１０３…クライアント、１０６…管理サーバ、２０１，３０９…ＣＰＵ、３０４…操作部

Claims (12)

1. 個人番号を管理する管理装置であって、
   少なくともユーザの識別情報、当該ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを互いに関連付けて記憶する第１記憶手段と、
   ユーザからの個人番号の登録を受け付けると、前記ユーザの識別情報、前記ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを前記第１記憶手段に仮登録する仮登録手段と、
   前記ユーザの個人番号と、当該個人番号の登録に際して読み取られた書類の画像データの一部をマスクした画像データとを含む、前記仮登録された個人番号を承認するための承認用の画面を提示する提示手段と、
   前記提示手段により提示された前記承認用の画面を介した承認者による承認結果に応じて、前記第１記憶手段への前記ユーザの個人番号の登録を制御する制御手段と、
   を有することを特徴とする管理装置。
2. 前記第１記憶手段は更に、前記マスクの対象となる書類の画像データと、当該書類の画像データのマスクしない領域を示す情報を、前記ユーザの識別情報に関連付けて記憶していることを特徴とする請求項１に記載の管理装置。
3. 前記マスクされた画像データの部分は、前記仮登録された個人番号の承認に不要である、前記ユーザの個人情報が記載された部分であることを特徴とする請求項１又は２に記載の管理装置。
4. ユーザからの個人番号の登録を受け付けると、当該ユーザの個人番号の登録を承認する承認者に承認依頼を通知する通知手段と、
   前記通知に基づく前記承認者からのリクエストに応じて、承認対象のユーザの情報を前記承認者に送信する送信手段と、を更に有し、
   前記提示手段は、前記送信手段により送信した前記承認対象のユーザの情報に対する前記承認者からの応答に基づいて前記承認用の画面を提示することを特徴とする請求項１乃至３のいずれか１項に記載の管理装置。
5. 前記ユーザの識別情報に関連付けて前記承認者の情報を記憶する第２記憶手段を更に有し、
   前記通知手段は、前記第２記憶手段から、前記個人番号を登録したユーザの承認者の情報を取得し、当該承認者の情報に基づいて当該承認者に承認依頼を通知することを特徴とする請求項４に記載の管理装置。
6. 前記承認用の画面が複数の書類の画像データを含む場合に、当該書類の画像データに共通して含まれる情報同士を関連付ける手段を更に有することを特徴とする請求項１乃至５のいずれか１項に記載の管理装置。
7. 少なくとも管理サーバ、画像処理装置及び情報処理装置を含む個人番号管理システムであって、
   前記管理サーバは、
   少なくともユーザの識別情報、当該ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを互いに関連付けて記憶する記憶手段と、
   前記画像処理装置から個人番号の登録の要求を受け付けると、前記個人番号に対応するユーザの識別情報、前記個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを前記記憶手段に仮登録する仮登録手段と、
   前記ユーザの個人番号と、当該個人番号の登録に際して読み取られた書類の画像データの一部をマスクした画像データとを含む、前記仮登録された個人番号を承認するための承認用の画面情報を前記情報処理装置に送信する第１送信手段と、
   前記情報処理装置における承認者による承認結果に応じて、前記記憶手段への前記ユーザの個人番号の登録を制御する制御手段と、を有し、
   前記画像処理装置は、
   書類を読み取って当該書類の画像データを生成する画像読取手段と、
   前記画像読取手段により生成された画像データに含まれる個人番号を抽出する抽出手段と、
   ユーザが前記管理サーバにログインしている状態で、前記抽出手段により抽出された前記個人番号と前記画像データとを前記管理サーバに送信して前記個人番号の登録を要求する要求手段と、を有し、
   前記情報処理装置は、
   前記管理サーバから前記仮登録された個人番号を承認するように要求された前記承認者により前記管理サーバにログインした状態で、前記承認用の画面情報を受信して承認用の画面を表示する表示制御手段と、
   前記承認用の画面を介した前記承認者による承認結果を前記管理サーバに送信する第２送信手段と、
   を有することを特徴とする個人番号管理システム。
8. 前記管理サーバは、更に、
   前記登録が要求された個人番号に対応するユーザの承認者に対して電子メールで承認を依頼する依頼手段を有し、
   前記情報処理装置は、
   前記承認者が前記管理サーバにログインした状態で、当該管理サーバから承認対象のユーザの一覧を取得して表示する表示手段と、
   前記表示手段に表示されたユーザの一覧から選択されたユーザの情報を前記管理サーバに送信する第３送信手段と、を有し、
   前記第１送信手段は、前記第３送信手段により送信された前記ユーザの情報に対応する前記承認用の画面情報を前記情報処理装置に送信することを特徴とする請求項７に記載の個人番号管理システム。
9. 前記記憶手段は更に、前記マスクの対象となる書類の画像データと、当該書類の画像データのマスクしない領域を示す情報を、前記ユーザの識別情報に関連付けて記憶していることを特徴とする請求項７又は８に記載の個人番号管理システム。
10. 前記マスクされた画像データの部分は、前記仮登録された個人番号の承認に不要である、前記ユーザの個人情報が記載された部分であることを特徴とする請求項７乃至９のいずれか１項に記載の個人番号管理システム。
11. 少なくともユーザの識別情報、当該ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを互いに関連付けて記憶する記憶部を有し、個人番号を管理する管理装置を制御する制御方法であって、
    仮登録手段が、ユーザからの個人番号の登録を受け付けると、前記ユーザの識別情報、前記ユーザの個人番号、及び当該個人番号の登録に際して読み取られた書類の画像データを前記記憶部に仮登録する仮登録工程と、
    提示手段が、前記ユーザの個人番号と、当該個人番号の登録に際して読み取られた書類の画像データの一部をマスクした画像データとを含む、前記仮登録された個人番号を承認するための承認用の画面を提示する提示工程と、
    制御手段が、前記提示工程で提示された前記承認用の画面を介した承認者による承認結果に応じて、前記記憶部への前記ユーザの個人番号の登録を制御する制御工程と、
    を有することを特徴とする管理装置の制御方法。
12. コンピュータを、請求項１乃至６のいずれか１項に記載の管理装置の各手段として機能させるためのプログラム。

Images