JP2020112922A

JP2020112922A - サーバ装置およびデータ移転方法

Info

Publication number: JP2020112922A
Application number: JP2019001878A
Authority: JP
Inventors: 拓也平岡; Takuya Hiraoka; 正裕石原; Masahiro Ishihara
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2019-01-09
Filing date: 2019-01-09
Publication date: 2020-07-27

Abstract

【課題】個人データを含むデータを移転する際に、データ管理者の負荷を軽減することが可能なサーバ装置を提供する。【解決手段】サーバ装置は、データの移転先を示す移転先情報に基づいて、個人データの移転条件を満たすか否かを判定する。個人データの移転条件を満たさない場合は、個人データの内容を判定し、個人データが無い場合は、データを未加工とする。個人データが有る場合は、重要度により、移転対象のデータに含まれる個人データを匿名化、または、削除する。【選択図】図６

Description

本発明は、データを移転先に提供するサーバ装置およびデータ移転方法に関する。

近年、大量の個人情報を分析して、分析結果に基づいて、ユーザ毎に適した情報を提供したり、ユーザ毎に機器の設定値を最適化したりする技術が発達している。個人データの取り扱いには、ユーザのプライバシーの観点から注意が必要である。特に、データを移転する際には、データの加工が必要な場合がある。

特許文献１には、個人データを含むデータを匿名化する匿名化処理を自動化する匿名化処理装置が開示されている。この匿名化処理装置を用いれば、データの管理者が手動でデータを加工することなく、データの匿名化を行うことができる。

特開２０１６−１３９２６１号公報

しかしながら、データを移転する場合には、移転先によって、データの加工の要否は異なる。このため、特許文献１に記載の技術では、データの管理者が加工の要否を判断した上で、加工が必要な場合に匿名化処理装置を用いてデータの匿名化を行う必要があり、データの管理者の負荷が大きいという問題があった。

本発明は、上記に鑑みてなされたものであって、個人データを含むデータを移転する際にデータ管理者の負荷を軽減することが可能なサーバ装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係るサーバ装置は、データの移転先を示す移転先情報に基づいて、個人データの移転条件を満たすか否かを判定する条件判定部と、移転条件を満たさない場合、移転対象のデータに含まれる個人データを加工するデータ加工部と、を備える。

本発明によれば、データ管理者の負荷を軽減することが可能であるという効果を奏する。

本発明の実施の形態１にかかるデータ移転システムの構成を示す図図１に示すサーバ装置の機能構成を示すブロック図図２に示すサーバ装置の加工前後のデータを示す図図２に示すデータ記憶部が記憶する条件データの一例を示す図図２に示すサーバ装置の機能を実現するためのハードウェア構成の説明図図２に示すサーバ装置の条件判定部およびデータ加工部の動作を示すフローチャート

以下に、本発明の実施の形態にかかるサーバ装置およびデータ移転方法を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明の実施の形態１にかかるデータ移転システム１の構成を示す図である。データ移転システム１は、サーバ装置１０と、移転先装置２０と、ユーザの所有する機器３０と、ユーザが操作する入出力端末４０とを有する。サーバ装置１０は、クラウドネットワーク５０に接続されたクラウドサーバである。なお、ここでは１台の機器３０および１台の入出力端末４０が示されているが、データ移転システム１は、複数の機器３０を有してもよいし、複数の入出力端末４０を有してもよい。

サーバ装置１０は、ユーザの保有する機器３０、入出力端末４０などからデータを収集する装置である。移転先装置２０は、サーバ装置１０からのデータの移転先の装置であり、サーバ装置１０とは管理者が異なる装置である。サーバ装置１０は、例えば、データの解析を行うために、移転先装置２０にデータを移転する。

機器３０は、例えば、ＨＥＭＳ（Home Energy Management System）のような管理システム、空気調和機、給湯器、テレビ受像機、冷蔵庫、炊飯器といった家電機器などである。機器３０は、サーバ装置１０に機器３０の状態を示す機器データを送信することができる。

入出力端末４０は、ユーザからの入力操作を受け付け、ユーザに表示画面などを出力することができる。入出力端末４０は、例えば、スマートフォン、タブレット端末などの情報処理装置である。入出力端末４０を用いて、ユーザは、ユーザの個人データを入力し、サーバ装置１０に送信することができる。

サーバ装置１０は、移転先装置２０にデータを移転する際に、移転先に基づいて、移転対象のデータに含まれる個人データをデータ加工する必要があるか否かを判断し、データ加工する必要があると判断した場合、個人データを加工する。データ加工の方法としては、個人データの削除、個人データの匿名化などがある。匿名化は、データとしては残しておくが、元のデータとは無関係な値に置き換える処理である。

図２は、図１に示すサーバ装置１０の機能構成を示すブロック図である。サーバ装置１０は、データ収集部１１と、ラベル付加部１２と、データ記憶部１３と、条件判定部１４と、データ加工部１５と、データ提供部１６とを有する。

データ収集部１１は、機器３０および入出力端末４０から機器データ、個人データなどのデータを受信する。データ収集部１１は、収集したデータをラベル付加部１２に入力する。

ラベル付加部１２は、データ収集部１１が収集したデータに、当該データの付帯情報を示すデータラベルを付加する。ラベル付加部１２は、データラベルを付加したデータを、データ記憶部１３に記憶させる。

データ記憶部１３は、ラベル付加部１２から入力される、データラベル付きのデータと、条件判定部１４が個人データの移転条件を判定する際に使用する条件データとを記憶する。

図３は、図２に示すサーバ装置１０の加工前後のデータを示す図である。図３に示す加工前データは、データ収集部１１が収集したデータに、ラベル付加部１２がデータラベルを付加した後の状態を示している。加工前データは、「氏名」「年齢」「性別」「所有デバイス」「個人データ」「同意有無」「加工済」のデータを含む。「氏名」「年齢」「性別」「所有デバイス」は、入出力端末４０を使用してユーザが入力したデータであり、個人データを含む。「個人データ」「同意有無」「加工済」は、ラベル付加部１２が付加したデータラベルである。「個人データ」は、個人データの有無と、個人データの重要度とを示す。「同意有無」は、入出力端末４０から個人データの入力を受け付ける際に、ユーザの同意を得たか否かを示す。「加工済」は、データに含まれる個人データを加工したか否かを示す。

図４は、図２に示すデータ記憶部１３が記憶する条件データの一例を示す図である。条件データは、個人データを移転する際に加工を行う必要がない移転条件を示す。具体的には、条件データは、個人データを移転する際に、加工を行わなくてよいと承認された移転先の国または企業のリストである。

例えば、個人データを含むデータの移転に制約がある状況の一例としては、ＥＵ（欧州連合：European Union）の域内からＥＵの域外にデータを移転する場合が挙げられる。ＥＵの個人情報保護法令である一般データ保護規則（ＧＤＰＲ：General Data Protection Regulation）が強化されて、ＥＵの域内で取得した顧客情報などの個人データをＥＵの域外で処理する場合、ＧＤＰＲの適用を受ける。この場合、ＥＵの域内から域外に移転するデータは、個人データを含まない状態で移転する必要がある。ＥＵの域内で取得した個人データをＥＵの域内で移転する際には、ＧＤＰＲの適用は受けない。ここで、データ単体で個人を識別することができるデータだけでなく、複数のデータを組み合わせることで個人識別につながると考えられる場合も個人データとみなされる。

また、ＥＵの域内から域外にデータを移転する場合であっても、個人データの加工が必要ない場合もある。例えば、データ移転先の国の個人データ保護の水準が十分高いとＥＵの欧州委員会が認定している場合、ＢＣＲ（Binding Corporate Rules：拘束的企業準則）承認を受けている場合、ＳＣＣ（Standard Contractual Clauses：標準契約条項）承認を受けている場合である。図４に示すリストは、国家単位の十分性認定を受けている国、ＢＣＲ承認を受けている企業、および、ＳＣＣ承認を受けている企業のリストである。

条件判定部１４は、データの移転先を示す移転先情報を受け付け、受け付けた移転先情報に基づいて、個人データの移転条件を満たすか否かを判定する。条件判定部１４は、移転対象のデータに含まれる個人データの分類を示すデータラベルおよび移転先情報に基づいて、移転条件を満たすか否かを判定することもできる。また、移転先情報は、移転先の国および企業の少なくとも１つを示し、条件判定部１４は、移転先の個人データ保護の水準に基づいて、移転条件を判定することができる。

条件判定部１４は、移転元の国および移転先の国がＥＵの加盟国であるか否かに基づいて、移転条件を判定することができる。具体的には、条件判定部１４は、移転元の国および移転先の国がいずれもＥＵの加盟国である場合、移転条件を満たすと判定することができる。また条件判定部１４は、移転元の国がＥＵの加盟国であって、移転先の国がＥＵの加盟国でない場合、図４に示すリストを使用して、移転先の国または企業の個人データ保護の水準に基づいて、移転条件を満たすか否かを判定することができる。具体的には、条件判定部１４は、移転元の国がＥＵの加盟国であって、移転先の国がＥＵの加盟国でない場合、移転先の国または企業が図４に示すリストと一致する場合、移転条件を満たすと判定することができる。このとき条件判定部１４は、リストに含まれるデータのうち国を含み企業を含まないデータについては、移転先の国がデータと一致すると、移転条件を満たすと判定し、国および企業を含むデータについては、移転先の企業がデータと一致すると、移転条件を満たすと判定する。条件判定部１４は、個人データの移転条件の判定結果をデータ加工部１５に入力する。

データ加工部１５は、条件判定部１４の判定結果が、移転条件を満たさない場合、移転対象のデータに含まれる個人データを加工し、加工後のデータをデータ提供部１６に入力する。データ加工部１５は、条件判定部１４の判定結果が、移転条件を満たす場合、移転対象のデータを加工せずにそのまま、データ提供部１６に入力する。

データ加工部１５は、移転条件を満たさない場合、移転対象のデータに付加されたデータラベルに基づいて加工方法を選択し、選択した加工方法を用いて個人データを加工することができる。加工方法は、個人データの削除、個人データの匿名化などである。さらに、データ加工部１５は、移転対象のデータに付加されたデータラベルを編集したり、データラベルを新たに追加したりすることができる。例えば、データ加工部１５は、個人データを加工した場合、加工後のデータに加工度合を示すデータラベルを付加することができる。またデータ加工部１５は、条件判定部１４の判定結果に基づいて、データの移転可能範囲を示すデータラベルを付加することができる。

図３の例を参照すると、データ加工部１５が個人データを削除する加工を行った後の加工後データが示されている。加工後データは、加工前データの「氏名」「年齢」「性別」といった個人データが削除されており、「所有デバイス」はそのまま残されている。また、加工後データには、データ加工部１５によって「加工度合」「移転可能範囲」を示す新たなデータラベルが追加されている。

図３の例では、データ加工部１５は、個人データを削除しているため、「加工度合」を示すデータラベルとして、「削除」が付加されている。なお、加工度合を示すデータラベルは、ここでは加工方法を用いて示されているが、加工度合を示す数値を用いて示してもよいし、例えば、「高」「中」「低」など度合を示すワードを用いて示してもよい。図３の例では、データ加工部１５は、個人データを削除しているため、移転対象のデータに個人データは含まれず、「移転可能範囲」は、制約なしとなっている。

また、データ加工部１５は、個人データの加工に伴って、データラベルを編集する。図３に示す例では、データ加工部１５は、個人データの有無を示す「個人データ」のデータラベルの値を「なし」に変更する編集を行っている。さらにデータ加工部１５は、データに含まれる個人データを加工したか否かを示す「加工済」のデータラベルの値を「加工済」に変更する編集を行っている。

さらにデータ加工部１５は、加工後のデータに、加工元を示す署名を付加することもできる。またデータ加工部１５は、データの移転に対するユーザの同意を得たことを示すデータラベルが付加されたデータに、ユーザから同意を得る際に提示したデータの利用目的を示すメタデータを付加してもよい。

図５は、図２に示すサーバ装置１０の機能を実現するためのハードウェア構成の説明図である。サーバ装置１０の各機能部は、プロセッサ９１とメモリ９２とを用いて実現することができる。

プロセッサ９１は、ＣＰＵ（Central Processing Unit）であり、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、ＤＳＰ（Digital Signal Processor）などとも呼ばれる。メモリ９２は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリー、ＥＰＲＯＭ（Erasable Programmable ＲＯＭ）、ＥＥＰＲＯＭ（登録商標）（Electrically ＥＰＲＯＭ）などの不揮発性または揮発性の半導体メモリ、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disk）などである。

図２に示すサーバ装置１０の各機能部は、図５に示す制御回路を用いて実現することができる。プロセッサ９１は、メモリ９２に記憶されたコンピュータプログラムを読みだして実行することにより、データ収集部１１、ラベル付加部１２、データ記憶部１３、条件判定部１４、データ加工部１５およびデータ提供部１６の機能を実現することができる。

図６は、図２に示すサーバ装置１０の条件判定部１４およびデータ加工部１５の動作を示すフローチャートである。ここでは、データの移転元はＥＵの域内であるものとする。サーバ装置１０の条件判定部１４は、まず、データの移転先を示す移転先情報を受け付け、データの移転先はＥＵの域内であるか否かを判定する（ステップＳ１０１）。条件判定部１４は、ＥＵ域内の国のリストを保持し、移転先の国がリストに含まれるか否かに基づいて、ステップＳ１０１の判定を行うことができる。或いは、条件判定部１４は、ＥＵ域内の国の一覧をプログラム内の定数として保持してもよい。

移転先がＥＵの域外である場合（ステップＳ１０１：Ｎｏ）、条件判定部１４は、データの移転先は承認済であるか否かを判断する（ステップＳ１０２）。条件判定部１４は、移転先が承認済であるか否かを、例えば図４に示すリストを使用して判断することができる。図４に示すリストを使用する場合、条件判定部１４は、移転先の国または企業と一致するデータがリストにある場合、移転条件を満たすと判定し、リスト内に移転先の国または企業と一致するデータがない場合、移転条件を満たさないと判定する。

移転先が承認済でない場合（ステップＳ１０２：Ｎｏ）、条件判定部１４は、個人データの内容を判定する（ステップＳ１０３）。このとき、条件判定部１４は、移転対象のデータに付加されたデータラベルに基づいて、個人データの内容を判定することができる。移転対象のデータに重要度が高い個人データが含まれる場合（ステップＳ１０３：重要度高）、データ加工部１５は、個人データの削除を行う（ステップＳ１０４）。移転対象のデータに含まれる個人データの重要度が低い場合（ステップＳ１０３：重要度低）、データ加工部１５は、データの匿名化を行う（ステップＳ１０５）。移転対象のデータに個人データが含まれない場合（ステップＳ１０３：個人データ無）、データの移転先がＥＵ域内である場合（ステップＳ１０１：Ｙｅｓ）、および、データの移転先が承認済である場合（ステップＳ１０２：Ｙｅｓ）、データ加工部１５は、移転対象のデータを加工せずにデータ未加工のままデータ提供部１６に入力する（ステップＳ１０６）。

ここで、重要度が高い個人データとは、特に配慮が必要な個人データであり、ＧＤＰＲでは、例えば、人種的素養、民族的素養、政治的思想、宗教的信条、遺伝データ、一意な識別を目的とした生体データ、健康に関するデータなどが挙げられている。重要度が低い個人データとは、一般的な個人データであって、ＧＤＰＲでは、例えば、氏名、識別番号、技術的な情報（ＧＰＳ、ＩＰアドレス）などが挙げられている。

なお、図６では、個人データの重要度を示すデータラベルに基づいて移転条件を判定したが、本実施の形態はかかる例に限定されない。例えば、図３に示す例では、「同意有無」「加工済」のデータラベルが含まれており、これらのデータラベルに基づいて、データの内容を判定してもよい。例えば、条件判定部１４は、移転先が移転条件を満たしておらず、移転対象のデータが個人データを含む場合であっても、ユーザの同意を得ていれば、移転条件を満たすと判定することができる。この場合、条件判定部１４は、ユーザ毎に移転条件を判定し、データ加工部１５は、ユーザ毎に加工の要否を切り替える必要がある。

以上説明したように、本発明の実施の形態にかかるサーバ装置１０は、データの移転先を示す移転先情報に基づいて、個人データの移転条件を満たすか否かを判定し、移転条件を満たさない場合、移転対象のデータに含まれる個人データを加工する。このような加工処理を自動化することによって、データ管理者の負荷を軽減することが可能になる。個人データの取り扱いには注意が必要だが、人間のみが判断を行っていると、ミスが生じることもある。サーバ装置１０を使用することで、今後、個人データの取り扱いについて、国家間で新たな制限が課せられた場合や、企業間で取り決めが締結された場合であっても、データの移転作業を行う担当者は移転先を入力するだけで、移転先に応じたデータ加工が行われる。このため、個人データが誤った移転先に流出してしまうことを抑制することができる。

また、サーバ装置１０は、収集したデータに、個人データの分類を示すデータラベルを付加する。このため、データを移転する際に、データの内容を全て確認することなく、データに個人データが含まれているか否か、含まれている個人データの種類などを把握することが可能になる。

また、サーバ装置１０によれば、移転対象のデータに含まれる個人データの分類を示すデータラベルと、移転先情報とに基づいて、移転条件を満たすか否かを判定することができる。これにより、移転するデータの内容に応じて、データを加工するか否かを切り替えることができる。

サーバ装置１０によれば、移転対象のデータに含まれる個人データの分類を示すデータラベルに基づいて選択した加工方法を用いて、個人データを加工することができる。加工方法の選択肢は、個人データの削除、個人データの匿名化などである。また、個人データの分類は、個人データの重要度などを示す。このような構成をとることで、サーバ装置１０は、移転対象のデータに含まれる個人データの内容に応じて、適切な加工方法を用いて、個人データを加工することが可能になる。

また、サーバ装置１０によれば、個人データを加工した場合、加工度合、データの移転可能範囲を示すデータラベルが移転対象のデータに付加される。このようなデータラベルを付加することで、データの提供可否を容易に判断することが可能になる。サーバ装置１０によれば、さらに、加工元を示す署名が付加されるため、規約違反等が発生した際の責任の所在を明確にすることができ、データの信頼性が向上する。

また、サーバ装置１０によれば、データを収集する際に、ユーザの同意を得た場合、ユーザの同意有無を示すデータラベルが付加され、ユーザから同意を得る際に提示したデータの利用目的を示すメタデータが付加されたデータが移転先に提供される。このため、データの利用目的以外の用途でデータが利用されるリスクを軽減することが可能になる。

サーバ装置１０によれば、移転先の国の個人データ保護の水準、または移転先の企業の個人データ保護のルールに基づいて、移転条件を満たすか否かを判定することができる。具体的には、個人データ保護の水準に関して、ＥＵの欧州委員会が十分高いと認定している十分性認定を受けた国、データ保護に関するルールを整備しており、欧州のデータ保護機関から承認を受けている企業、および、データの移転元との間で、データ保護に関する契約を締結しており、欧州委員会から承認を受けている企業が移転先である場合、移転条件を満たすと判定される。上記は現在、ＥＵの域内から域外にデータを移転する際に認められている移転条件であるため、このような構成をとることで、現在、認められている移転条件に基づいて、ＥＵの域内から域外へ移転するデータの加工の要否を判断することが可能になる。

また、サーバ装置１０によれば、移転元の国および移転先の国の両方がＥＵの加盟国である場合、移転条件を満たすと判定され、データを加工せずにそのまま移転することができ、移転元の国がＥＵの加盟国であって、移転先の国がＥＵの加盟国でない場合、移転先の国の個人データ保護の水準または移転先の企業の個人データに関するルールに基づいて、データを加工するか否か判定される。このような構成をとることで、ＥＵの個人データ保護の基準を満たすことが可能になる。

以上の実施の形態に示した構成は、本発明の内容の一例を示すものであり、別の公知の技術と組み合わせることも可能であるし、本発明の要旨を逸脱しない範囲で、構成の一部を省略、変更することも可能である。

例えば、上記の実施の形態では、サーバ装置１０がデータ収集機能と、移転するデータの加工機能とを併せ持つこととしたが、本実施の形態はかかる例に限定されない。例えば、データを収集する装置は、サーバ装置１０と異なる装置であってもよい。

また、上記の実施の形態では、サーバ装置１０は、機器３０の機器データと、機器３０のユーザの個人データとを収集することとしたが、本実施の形態はかかる例に限定されない。個人データを含むデータを移転する場合に、本発明の技術は広く適用することができる。

１データ移転システム、１０サーバ装置、１１データ収集部、１２ラベル付加部、１３データ記憶部、１４条件判定部、１５データ加工部、１６データ提供部、２０移転先装置、３０機器、４０入出力端末、５０クラウドネットワーク、９１プロセッサ、９２メモリ。

Claims

データの移転先を示す移転先情報に基づいて、個人データの移転条件を満たすか否かを判定する条件判定部と、
前記移転条件を満たさない場合、移転対象のデータに含まれる個人データを加工するデータ加工部と、
を備えるサーバ装置。
前記条件判定部は、移転対象の前記データに含まれる個人データの分類を示すデータラベルと前記移転先情報とに基づいて、前記移転条件を満たすか否かを判定する請求項１に記載のサーバ装置。
前記データ加工部は、前記データラベルに基づいて選択した加工方法を用いて、前記個人データを加工する請求項２に記載のサーバ装置。
前記データ加工部は、前記個人データの削除、前記個人データの匿名化を含む加工方法の選択肢の中から加工方法を選択する請求項３に記載のサーバ装置。
前記データ加工部は、前記個人データを加工した場合、加工度合を示すデータラベルを移転対象の前記データに付加する請求項１から３のいずれか１項に記載のサーバ装置。
前記データ加工部は、前記条件判定部の判定結果に基づいて、前記データの移転可能範囲を示すデータラベルを移転対象の前記データに付加する請求項１から５のいずれか１項に記載のサーバ装置。
前記データ加工部は、前記個人データを加工した場合、加工元を示す署名を移転対象の前記データに付加する請求項１から６のいずれか１項に記載のサーバ装置。
前記データには、データの移転に対するユーザの同意有無を示すデータラベルが付加されており、
ユーザから同意を得る際に提示した前記データの利用目的を示すメタデータを前記データに付加して前記移転先に提供する請求項１から７のいずれか１項に記載のサーバ装置。
前記移転先情報は、前記移転先の国を示す情報を含み、
前記条件判定部は、前記移転先の国の個人データ保護の水準に基づいて、前記移転条件を満たすか否かを判定する請求項１から８のいずれか１項に記載のサーバ装置。
前記移転先情報は、前記移転先の企業を示す情報を含み、
前記条件判定部は、前記移転先の企業の個人データ保護のルールに基づいて、前記移転条件を満たすか否かを判定する請求項９に記載のサーバ装置。
前記移転先情報は、前記移転先の国を示す情報を含み、
前記条件判定部は、移転元の国および前記移転先の国が欧州連合の加盟国であるか否かに基づいて、前記移転条件を満たすか否かを判定する請求項１から１０のいずれか１項に記載のサーバ装置。
前記条件判定部は、前記移転元の国および前記移転先の国が前記欧州連合の加盟国である場合、前記移転条件を満たすと判定する請求項１１に記載のサーバ装置。
前記条件判定部は、前記移転元の国が前記欧州連合の加盟国であって、前記移転先の国が前記欧州連合の加盟国でない場合、前記移転先の国の個人データ保護の水準に基づいて、前記移転条件を満たすか否かを判定する請求項１１または１２に記載のサーバ装置。
サーバ装置が、
データの移転先を示す移転先情報に基づいて、個人データの移転条件を満たすか否かを判定するステップと、
前記移転条件を満たさない場合、移転対象のデータに含まれる個人データを加工するステップと、
を含むデータ移転方法。