JP2020505835A - データファイリング方法およびシステム - Google Patents

Abstract

データファイリング方法において、データファイリングシステムは、データファイルに含まれることになるデータ要素を受信する。データファイリングシステムは、暗号鍵がデータファイリングシステムにおける別のデータ要素に割り当てられるのを回避するために、暗号鍵をデータ要素にランダムに割り当てる。データファイリングシステムは、データ要素についての有効期限を定義し、暗号鍵を定義された有効期限に関連付けて内部に格納する。データファイリングシステムは、暗号化されたデータ要素を取得するために、暗号鍵に基づいてデータ要素を暗号化する。データファイリングシステムは、暗号化されたデータ要素をデータファイルに含める。データファイリングシステムは、暗号鍵に関連付けられた有効期限が到達した場合、暗号鍵を削除する。これにより、データファイリングシステムにおける監査証跡の集積は確保しつつ、忘れられる権利を尊重することができる。【選択図】図７

Description

本発明の一観点は、データファイリング方法に関する。本方法は、例えば、個人データを含むデータ要素をファイリングするために使用されてもよい。本方法は、例えば、通常はそれぞれ頭字語ＣＲＭ、ＥＲＰ、およびＣＭＳと表されるいわゆる顧客関係管理システム、企業資源計画システム、およびコンテンツ管理システムにおいて使用されてもよい。本発明の他の観点は、データファイリングシステムおよびコンピュータープログラムに関する。

データファイリングシステムは、個人データを含んでいてもよい。個人データは、いわゆる忘れられる権利を有する個人に直接的または間接的に関連するデータと理解される。つまり、人は、特定の日付の後、少なくとも自身以外の人が自身の個人データにアクセスできなくなり、データファイリングシステムから取り出せなくなる権利を有する。忘れられる権利を尊重する１つの方法は、当該日付の後にデータファイリングシステムから個人データを削除することである。

特許文献１には、格納装置に格納された個人情報の利用を制限する個人情報制御システムが記載されている。このシステムでは、各個人情報についての個人情報保護方針は、個人情報のユーザーが個人情報を使用することのできる特定の利用可能期間と関連して制御されている。個人情報保護方針は、利用可能期間を特定する情報である。暗号鍵は、暗号のために取得され、この暗号は、個人情報保護方針の管理者により解号され得るが、個人情報のユーザーにより解号され得ない。暗号鍵は、個人情報保護方針により特定される利用可能期間が満了すれば、ユーザーが個人情報を利用できないように個人情報を暗号化するために使用される。

特許文献２には、データをアーカイブする方法が記載されている。この方法では、データアーカイブ用コンピュータシステムが各固有暗号鍵と共に格納するための受信された各データファイルを暗号化する。データアーカイブ用コンピュータシステムは、各データファイルの各固有暗号鍵を削除することによって１つまたは複数のデータファイルを削除してもよい。

米国特許出願公開第２００５／０１０５７１９号明細書 米国特許出願公開第２０１４／０３７２３９３号明細書

忘れられる権利をより良い方法で尊重することができるデータファイリング技術が必要である。

この必要性により良く対処するために、請求項１において規定されるような本発明の一観点によると、データファイリング方法は、データファイリングシステムがデータファイルに含まれることになるデータ要素を受信するデータ受信ステップと、前記データ要素が個人データを含む余地があるかどうかをデータファイリングシステムが判断するデータ分類ステップであって、前記データ要素が個人データを含む余地がある場合、前記データ要素に時間制限アクセシビリティプロセスを行うデータ分類ステップとを含み、前記時間制限アクセシビリティプロセスは、データファイリングシステムが有効期限を前記データ要素に割り当てる有効期限割当ステップと、暗号鍵がデータファイリングシステムにおける別のデータ要素に割り当てられるのを回避するために、前記データファイリングシステムが暗号鍵を前記データ要素にランダムに割り当てる鍵割当ステップと、前記データファイリングシステムが、定義された前記有効期限に関連して前記暗号鍵を内部に格納する鍵格納ステップと、前記データファイリングシステムが前記暗号鍵に基づいて前記データ要素を暗号化して暗号化されたデータ要素を取得するデータ暗号化ステップと、前記データファイリングシステムが暗号化されたデータ要素をデータファイルに組み込むデータ組込ステップと、前記暗号鍵に関連付けられた有効期限に到達した場合に前記データファイリングシステムが前記暗号鍵を削除する鍵削除ステップであって、前記データ要素が個人データを含む余地が無い場合、前記データファイルがアクセス可能なままである限り前記データ要素がアクセス可能なままであるように、前記時間制限アクセシビリティプロセスを適用せずに前記データ要素が前記データファイルに組み込まれる鍵削除ステップとを含む。

本発明の他の態様によれば、請求項１４および１５にそれぞれ記載のコンピュータープログラムおよびデータファイリングシステムが提供される。

これらの態様の各々において、忘れられる権利を尊重することができ、一方、データファイルのデータ集積は確保される。個人データを含み得るデータ要素を削除する必要がないため、データ集積は確保される。暗号化された形態で格納されているデータ要素は、暗号鍵を削除することによりアクセス不可となる。暗号鍵は、プレーンテキストでのデータ要素の取得を可能にするものである。したがって、データ要素は、忘れられる権利により決定される特定の日付、すなわち有効期限の後も暗号化された形態で残ってもよい。このことは、データファイリングシステムにファイルされたデータ要素に関する監査証跡を保持するデータファイリングシステムにおいて有利であり得る。

説明のため、添付の図を参照して本発明の複数の実施形態を詳細に記載する。この記載は、前述の特徴に加えてさらなる特徴と、それらさらなる特徴が提供し得る利点とを提示するものである。

図１は、データファイリングシステムのブロック図である。 図２は、データファイリングシステムにおけるデータファイルのテーブル図である。 図３は、データファイリングシステムにおける暗号鍵テーブルのテーブル図である。 図４は、データファイリングシステムにおける有効期限テーブルにおけるテーブル図である。 図５は、データファイリングシステムにおける監査証跡記録のテーブル図である。 図６は、データファイリングシステムを含む、データファイリング方法におけるデータファイリングセッションのフローチャート図である。 図７は、データファイリング方法における鍵管理プロセスのフローチャート図である。 図８は、データファイリング方法におけるデータ読取セッションのフローチャート図である。

図１は、データファイリングシステム１００を概略的に示す。データファイリングシステム１００は、ブロック図で表されている。データファイリングシステム１００は、例えばインターネットまたはローカルエリアネットワークまたはその両方などのネットワークを介してアクセスされ得るサーバーの形態であってもよい。データファイリングシステム１００は、通常はそれぞれ頭字語ＣＲＭ、ＥＲＰ、およびＣＭＳで表されるいわゆる顧客関係管理システム、企業資源計画システム、またはコンテンツ管理システムを構成しているか、またはその一部を構成していてもよい。

データファイリングシステム１００は、プロセッサ１０１と、プログラムメモリー１０２と、データメモリー１０３と、ユーザーインターフェース１０４と、通信インターフェース１０５とを含む。プログラムメモリー１０２は、１つまたは複数のメモリー回路、または、１つまたは複数の磁気ディスク、またはこれらの組み合わせなどの様々なデータ格納装置で構成されていてもよい。同様のことがデータメモリー１０３にも当てはまる。ユーザーインターフェース１０４は、例えば、キーボードの形態であってもよいデータ入力装置と、データ表示装置とを備えていてもよい。通信インターフェース１０５は、インターネットまたはローカルエリアネットワークまたはその両方と接続されていてもよい。

より詳細には、プログラムメモリー１０２は、データファイリングソフトウエアプログラム１０６を備え、データファイリングソフトウエアプログラム１０６は、鍵生成モジュール１０７および鍵管理モジュール１０８を有する。データファイリングソフトウエアプログラム１０６は、プロセッサ１０１が実施する可能性のある１セットのインストラクションを含む。これにより、データファイリングシステム１００は、以下でより詳細に説明する動作を行うことができる。

データメモリー１０３は、種々のデータファイル１０９、１１０、１１１、暗号鍵テーブル１１２、終了遅延テーブル１１３、および種々の監査証跡記録１１４、１１５、１１６を含んでいてもよい。これらのデータ実体は、以下で詳細に説明する。説明および簡単化のため、図１は、３つのデータファイル１０９、１１０、１１１、および３つの監査証跡記録１１４、１１５、１１６のみを示す。データメモリー１０３は、これらデータ実体を多少含んでいてもよい。また、データメモリー１０３は、図１に示す暗号鍵テーブル１１２および終了遅延テーブル１１３に加えてそれぞれ少なくとも１つのさらなる暗号鍵テーブルと少なくとも１つのさらなる終了遅延テーブルとを備えていてもよい。

図２は、データファイリングシステム１００におけるデータファイル１０９を概略的に示す。データファイル１０９は、テーブル図で表され、テーブル図は、種々の行２０１、２０２、２０３と種々の欄２０４、２０５とを含む。データファイル１０９は、右手欄２０５において表される種々の暗号化されたデータ要素２０６、２０７、２０８を含む。暗号化されたデータ要素は、データファイル１０９にファイルするためのファイリングシステムにより受信されたデータ要素の暗号化版であってもよい。暗号化されたデータ要素は、データファイリングシステム１００に存在する別の暗号化されたデータ要素へのリンクの暗号化版であってもよい。

例えば、データファイル１０９は、契約に関連してもよい。この例では、暗号化されたデータ要素は、契約の当事者である人の姓、名、またはその両方の暗号化版であってもよい。あるいは、暗号化されたデータ要素は、データファイリングシステム１００に存在する人の姓、名、またはその両方の暗号化版へのリンクの暗号化版であってもよい。前者の場合、暗号化されたデータ要素は、契約の当事者である人の、暗号化された形態での、直接的定義である。後者の場合、暗号化されたデータ要素は、その人の、暗号化された形態での、参照による、間接的定義である。どちらの場合も、データ要素の暗号化版は、データ要素と一義的に関連付けられていてもよい暗号鍵に基づいて得られた。

データファイル１０９は、左手欄２０４に表される種々の識別子２０９、２１０、２１１をさらに含む。テーブル図の同じ行における識別子およびデータ要素は、互いに一義的に関連付けられていてもよい。データファイリングシステム１００における他のデータファイル１１０、１１１は、図２に示し、以下で説明されるデータファイル１０９と同様でもよい。

図３は、暗号鍵テーブル１１２を概略的に示す。暗号鍵テーブル１１２は、種々の行３０１、３０２、３０３と種々の欄３０４、３０５、３０６とを含むテーブル図において表されている。暗号鍵テーブル１１２は、中央の欄３０５に表されている種々の暗号鍵３０７、３０８、３０９を含む。暗号鍵は、データファイル１０９におけるファイリングのためのデータファイリングシステム１００により受信されたデータ要素の暗号化版を取得するために使用された。暗号鍵テーブル１１２は、左手欄３０４に表されている種々の識別子３１０、３１１、３１２をさらに含む。テーブル図の同じ行における識別子および暗号鍵は、互いに一義的に関連付けられていてもよい。

暗号鍵テーブル１１２における識別子は、このテーブルにおける暗号鍵と関連付けられているが、データファイル１０９、１１０、１１１においても生じてもよい。当該データファイルにおいて、識別子は、データ要素と関連付けられており、このデータ要素の暗号化版はデータファイルに存在する。暗号化版は、暗号鍵に基づいて取得された。なぜなら、両方とも同じ識別子と関連付けられているからである。逆に、データファイル１０９、１１０、１１１における識別子は、このファイルにおけるデータ要素の暗号化版と関連付けられているが、暗号鍵テーブル１１２においても生じてもよい。暗号鍵テーブル１１２において、識別子は、暗号鍵と関連付けられている。暗号鍵は、データ要素の暗号化版を取得するために使用された。なぜなら、両方とも同じ識別子に関連付けられているからである。したがって、暗号鍵およびデータ要素は、データ要素の暗号鍵と暗号化版とが同じ識別子に関連付けられている場合、互いに関連付けることができる。

暗号鍵テーブル１１２は、右手欄３０６に表される種々の有効期限３１３、３１４、３１５をさらに含む。テーブル図の同じ行における有効期限および暗号鍵は、互いに一義的に対応付けられていてもよい。有効期限は、データファイリングシステム１００からいつ暗号鍵を削除すべきかを示す。

データファイリングシステム１００は、認証されていないアクセスにから暗号鍵テーブル１１２を保護してもよい。例えば、データファイリングシステム１００は、テーブル暗号鍵に基づいて暗号鍵テーブル１１２自体を暗号化してもよい。より一層のセキュリティの為に、テーブル暗号鍵は、時間と共に、規則的に、またはランダムに繰り返し更新されてもよい。暗号鍵テーブル１１２は、認証されていないアクセスから物理的に保護されたデータメモリー１０３の一部に含まれていてもよい。

図４は、終了遅延テーブル１１３を概略的に示す。終了遅延テーブル１１３は、種々の行４０１、４０２、４０３と種々の欄４０４、４０５とを含むテーブル図に表されている。終了遅延テーブル１１３は、右手欄４０５に表されている種々の終了遅延４０６、４０７、４０８を含む。データファイル１０９は、左手欄４０４に表されるデータ要素４０９、４１０、４１１のカテゴリの種々の定義をさらに含む。テーブル図の同じ行における終了遅延およびデータ要素カテゴリの定義は、互いに一義的に関連付けられていてもよい。終了遅延は、遅延を示す。この遅延後は、当該カテゴリに属するデータ要素はデータファイリングシステム１００から読み取り可能でなくなるべきである。

データ要素カテゴリは、例えばデータ要素が関連する国に基づいて定義されていてもよい。他の例としては、データ要素カテゴリは、データ要素が含む、例えば、人の名前、その人の住所、その人の誕生日またはその人の担当医などの情報のタイプに基づいて定義されてもよい。さらに別の例としては、データ要素カテゴリは、データ要素の使用目的に基づいて定義されてもよい。

図５はデータファイリングシステム１００における監査証跡記録１１４を概略的に示す。監査証跡記録１１４は、種々の行５０１、５０２、５０３と種々の欄５０４、５０５、５０６、５０７とを含むテーブル図において表されている。監査証跡記録１１４は、図２に示すデータファイル１０９などのデータファイルと一義的に関連付けられていてもよい。この例において、監査証跡記録１１４は、監査証跡記録１１４が関連付けられたデータファイル１０９においても表されているデータ要素の種々の暗号化版５０８、５０９、５１０を含む。データ要素の暗号化版５０８、５０９、５１０は、左手欄５０４に表されている。監査証跡記録１１４は、データファイル１０９、１１０、１１２における識別子と同様の識別子と先述の暗号鍵テーブル１１２とを備えていてもよい。

監査証跡記録１１４は、データ要素のための種々のファイリングコンテクスト指標５１１、５１２、５１３をさらに含んでいてもよい。図５のテーブル図において、ファイリングコンテクスト指標は、欄において表されており、データ要素と関連付けられていてもよく、このデータ要素の暗号化版は、ファイリングコンテクスト指標と同じ行に在る。例えば、左中央欄５０５は、ファイリングの方法がデータ要素に対していつ適用されたかの指標５１１を含んでいてもよい。右中央欄５０６はデータ要素がどのように受信されたかの指標５１２を含んでいてもよい。右手欄５０７は、ファイリングの方法を誰が開始したかの指標５１３を含んでいてもよい。データファイリングシステム１００における他の監査証跡記録１１５、１１６は、図５に示された先述の監査証跡記録１１４と同様であってもよい。

図６、７、および８は、データファイリング方法を概略的に示す。この方法は、フローチャート図で示されている。この方法は、プロセッサ１０１がデータファイリングソフトウエアプログラム１０６を実行した場合にデータファイリングシステム１００が実行する一連のステップを含む。フローチャート図は、プログラムメモリー１０２におけるデータファイリングソフトウエアプログラム１０６の少なくとも一部を代表するものと見なされてもよい。

図６は、データファイリング方法におけるデータファイリングセッション６００を概略的に示す。データファイリングシステム１００と通信している遠隔装置は、このようなデータファイリングセッション６００を開始させてもよい。遠隔装置は、例えば、インターネットなどのネットワークを介してデータファイリングシステム１００と通信してもよい。データファイリングセッション６００において、遠隔装置は、クライアント装置として動作してもよく、一方、データファイリングシステム１００は、サーバーとして動作する。データファイリングセッション６００は、以下のステップを含んでいてもよい。

データ受信ステップ６０１において、データファイリングシステム１００は、図２に示すようなデータファイル１０９などのデータファイルに含まれることになるデータ要素６０２を受信する。データファイリングシステム１００は、前記遠隔装置からデータ要素６０２を受信してもよい。データファイリングシステム１００は、遠隔装置が表示可能なウェブページを提供してもよい。ウェブページは、種々のフィールドを含んでいてもよい。その後、遠隔装置のユーザーは、フィールドにおけるデータ要素を特定してもよい。

例えば、対象のデータファイルが契約に関する場合、契約の当事者である人の姓および名についての１つのフィールドまたは複数のフィールドがあってもよい。その後、ユーザーは、フィールドに一連の英数字を入力することにより名前および姓を直接特定してもよい。これは、例えば、データファイリングシステム１００において人が未だ定義されていない場合であってもよい。あるいは、ユーザーは、表示された名前のリストから名および姓を選択してもよい。このようなリストは、ユーザーが当該フィールドに一連の英数字の入力を開始する場合に提案として現れてもよく、この場合、リストはデータファイリングシステム１００に既存の名前を表示する。

したがって、データファイリングシステム１００は、データ要素６０２を一連の英数字の形態もしくは一連の英数字に対するリンクすなわちリファレンスの形態で受信してもよく、または、データファイリングシステム１００に既存の別のタイプのデータ要素を受信してもよい。データファイリングシステム１００は、データファイリングシステム１００に向けられたデータストリームの一部としてデータ要素６０２を受信してもよい。データストリームは、ＸＭＬフォーマットでもよい。

データファイリングシステム１００は、データ要素６０２についての有効期限の定義も含んでいてもよいデータオブジェクトの形態でデータ要素６０２を受信してもよい。有効期限の定義は、例えば、メタデータの形態であってもよい。有効期限はいつデータ要素がアクセスできなくなるべきかを示している。あるいは、データファイリングシステム１００は、有効期限の何らかの明確な指示なしにデータ要素６０２を受信してもよい。

データ評価ステップ６０３において、データファイリングシステム１００は、受信されたデータ要素６０２が個人データを含む余地があるかどうかを評価する。個人データは、忘れられる権利を有する人に直接的または間接的に関連するデータと理解されるものとする。データ要素６０２が個人データを含む余地があるかどうかをデータファイリングシステム１００によって評価することができる種々の方法が在る。例えば、先述のように、有効期限に関連付けられたデータ要素６０２をデータファイリングシステム１００が受信する場合、データファイリングシステム１００は、データ要素６０２が個人データを含むと直接評価してもよい。

データファイリングシステム１００は、先述のような種々のフィールドを有する形態を含むウェブページを提供してもよい。この場合、１つまたは複数のフィールドは、個人データを特定するために当てられていてもよく、一方、１つまたは複数の他のフィールドは、非個人データを特定するために当てられていてもよい。その後、データファイリングシステム１００は、データ要素６０２が派生する当該フィールドに基づいてデータ要素６０２が個人データを含むか否かを評価することができる。別の例として、データファイリングシステム１００は、データファイリングシステム１００が受信するＸＭＬデータストリーム等において、データ要素６０２と関連付けられた記述データに基づいてこのような評価を行うことができる。

データ要素６０２が個人データを含んでいない場合、データファイリングシステム１００は、データ要素６０２をプレーンテキストでファイルしてもよい。データファイリングシステム１００は、従来のファイリングプロセス６０４を適用することによりこれを行ってもよい。データ要素６０２が個人データを含んでいない場合、データファイリングシステム１００は、データ要素６０２に以下で説明する種々のステップを含む時間制限アクセシビリティプロセスを行う。

鍵生成ステップ６０５において、データファイリングシステム１００は、データ要素６０２のための暗号鍵６０６を生成する。そのため、データ評価ステップ６０３においてデータ要素６０２が個人データを含むとされた場合、データファイリングシステム１００は、図１に記載の鍵生成モジュール１０７を体系的に起動してもよい。鍵生成モジュール１０７は、例えば、疑似乱数値を生成する擬似乱数生成器を備えていてもよく、疑似乱数値は、暗号鍵６０６を形成してもよく、または、少なくともその一部を形成してもよい。

鍵割当ステップ６０７において、データファイリングシステム１００は、生成された暗号鍵６０６をデータ要素６０２に割り当てる。したがって、この実施形態において、データファイリングシステム１００は、データ要素６０２に暗号鍵６０６をランダムに割り当てた。暗号鍵６０６のこのようなランダムな割り当ては、同じ暗号鍵６０６が先に受信された別のデータ要素６０２に既に割り当てられていることを回避し、かつ、同じ暗号鍵６０６が未だ受信されていない別のデータ要素６０２に割り当てられることを回避する。

識別子関連付ステップ６０８において、データファイリングシステム１００は、識別子６０９をデータ要素６０２に関連付ける。さらに、データファイリングシステム１００は、識別子６０９を暗号鍵６０６に関連付ける。識別子６０９は、例えば、データ要素６０２から計算されたハッシュでもよい。識別子６０９は、データ要素６０２および暗号鍵６０６に一義的に関連付けられていてもよい。したがって、識別子６０９は、データ要素６０２を暗号鍵６０６に一義的に関連付けてもよいし、その逆でもよい。

有効期限割当ステップ６１０において、データファイリングシステム１００は、有効期限６１１をデータ要素６０２に割り当てる。有効期限６１１は、日付であり、この日付の後、データ要素６０２は、データファイリングシステム１００から読み込めなくなるべきである。データファイリングシステム１００が有効期限と関連してデータ要素６０２を受信する場合、先述のように、データファイリングシステム１００は、その有効期限をデータ要素６０２に直接割り当ててもよい。この場合、データ要素に割り当てられた有効期限６１１は、実行時間が定義された有効期限と考えられてもよい。

他の場合、有効期限６１１は、データ要素６０２が属するカテゴリに基づいて割り当てられてもよい。カテゴリは、以下の特徴、すなわち、データ要素６０２が関連する国、データ要素６０２が含む情報のタイプ、およびデータ要素６０２の使用目的の少なくとも１つに関係していてもよい。したがって、異なる国については異なる有効期限、異なるタイプの情報については異なる有効期限、異なる使用目的については異なる有効期限がある場合もある。

有効期限割り当ては、図４に示すような例えば終了遅延テーブル１１３などのデータ要素の各カテゴリについての各終了遅延のテーブルを含んでいてもよい。有効期限割当ステップ６１０において、データファイリングシステム１００は、データ要素６０２が属するカテゴリについての終了遅延をこのテーブルから選択してもよい。その後、データファイリングシステム１００は、テーブルから選択された終了遅延に基づいて有効期限６１１を定義してもよい。有効期限６１１は、終了遅延が追加される現在のデータであってもよい。データファイリングシステム１００は、終了遅延テーブル提供ステップにおいて各終了遅延の前記テーブルが備えられてもよい。このステップは、データファイリングセッション６００がまず実施される前に実施されてもよい。この場合、データ要素６０２に割り当てられた有効期限６１１は、設計時に定義された有効期限と見なされてもよい。

有効期限更新ステップにおいて、データファイリングシステム１００は、１つまたは複数の有効期限を更新してもよく、１つまたは複数の有効期限は、データ要素６０２に現在割り当てられる有効期限６１１に続く他のデータ要素に事前に割り当てられている。例えば、データ要素６０２が、現在割り当てられる有効期限よりも早期の別の有効期限に関連して事前にファイルされた別のデータ要素に対するリンクであるとする。他の、早期の有効期限が維持される場合、リンクは、この日以後は意味がなくなり、一方、リンク自体は、依然としてアクセス可能であり、機能することが好ましい。これを回避するため、データファイリングシステム１００は、他の早期の有効期限を再定義して、例えば、現在割り当てられた有効期限としてもよい。

鍵格納ステップ６１２において、データファイリングシステム１００は、有効期限６１１に関連して暗号鍵６０６を内部に格納する。例えば、データファイリングシステム１００は、図３に示す暗号鍵テーブル１１２に暗号鍵６０６および有効期限６１１を格納してもよい。そのため、データファイリングシステム１００は、行をこのテーブルに追加し、暗号鍵６０６および有効期限６１１をこの行において、それぞれ、中央欄３０５および右手欄３０６に書き込んでもよい。データファイリングシステム１００は、同じ行であって左手欄３０４に、暗号鍵６０６と関連付けられた識別子６０９をさらに書き込む。

データ暗号化ステップ６１３において、データファイリングシステム１００は、データ要素６０２を暗号鍵６０６に基づいて暗号化する。したがって、暗号化されたデータ要素６１４が得られる。そのため、データファイリングシステム１００は、十分に強固であり、かつ、十分な性能を提供する暗号化アルゴリズムを実行してもよい。種々の異なる暗号化アルゴリズムは、これらの要求を満たす可能性がある。したがって、データファイリング方法は、データファイリングシステム１００にロードされ、実行される暗号化アルゴリズムに比較的こだわらない。

データ組込ステップ６１５において、データファイリングシステム１００は、対象の１つまたは複数のデータファイルにおいて暗号化されたデータ要素６１３を含む。データファイリングシステム１００は、暗号化されたデータ要素６１３が含まれることになる対象のデータファイルを、データファイリングシステム１００が受信したデータ要素６１１と関連づけられた情報に基づいて特定してもよい。例えば、データ要素６１１は、データファイリングシステム１００が提供したウェブページにおける契約者を特定するためのフィールドにおける入力を考察してもよく、この場合、ウェブページは契約を特定する役割を果たす。この例では、データファイリングシステム１００は、対象の契約に関するデータファイルに暗号化されたデータ要素６１３を格納してもよい。このデータファイルは、例えば、図２に示すデータファイル１０９の形態であってもよい。この例では、データファイリングシステム１００は、行をデータファイル１０９に追加し、この行に識別子６０９および暗号化されたデータ要素６１３をそれぞれ左手欄２０４と右手欄２０５とに書き込んでもよい。

データ要素６１１が契約者を特定する上記の例において、暗号化されたデータ要素６１３は、別のデータファイルにおける別のデータ要素へのリンクの暗号化版でもよく、前記別のデータファイルは、暗号化された形態における各契約者を定義する各暗号化されたデータ要素を含む契約者のデータベースを構成している。データ要素６１１が、契約者に関するこのデータファイルに未だ存在していない契約者に関連する場合、データファイリングシステム１００は、対象の契約者を定義する新しい暗号化されたデータ要素が暗号化された形態で、このデータファイルに含まれていてもよい。その後、データファイリングシステム１００は、先述の方法でこの暗号化されたデータ要素に暗号鍵および有効期限を割り当ててもよい。先述の有効期限は、対象の契約に関するデータファイルにおけるリンクを構成する暗号化されたデータ要素６１３に割り当てられたものと同じであってもよい。

監査データ生成ステップ６１６において、データファイリングシステム１００は、監査データ６１７〜６２０を生成し、監査データ６１７〜６２０は、データ要素６０２をファイルする先述のステップに関連する。監査データ６１７〜６２０は、データ要素６０２に対して適用されるファイリングの方法に関する少なくとも１つのファイリングコンテクスト指標およびデータ要素６０２の暗号化版６１７を含んでいてもよい。データ要素６０２の暗号化版６１７は、データ要素６０２に割り当てられた暗号鍵６０６に基づいて取得される。監査データは、例えば、データ要素６０２にいつファイリングの方法が適用されたかの指標６１８、データ要素６０２がどのように受信されたかの指標６１９、ファイリングの方法を開始した人の指標６２０、または、これらファイリングコンテクスト指標の任意の組み合わせをさらに含んでいてもよい。

監査データ６１７〜６２０に含まれるデータ要素６０２の暗号化版６１７は、データ暗号化ステップ６１３において取得された暗号化されたデータ要素６１３に対応してもよい。別の例として、データ要素６０２の暗号化版６１７は、監査データ６１７〜６２０の一部に含まれてもよく、監査データ６１７〜６２０の一部は、データ要素６０２に割り当てられた暗号鍵６０６に基づいて暗号化され、データ要素６０２を含む。つまり、データ要素６０２は、データ要素６０２に適用されるファイリングの方法に関する少なくとも１つの情報要素をさらに含むデータパッケージの一部であってもよい。その後、データファイリングシステム１００は、データ要素６０２に割り当てられた暗号鍵６０６に基づいてこのデータパッケージを暗号化してもよい。したがって、暗号化されたデータパッケージは、監査データ６１７〜６２０、または、少なくともその一部を形成してもよい。

監査データ記録ステップ６２１において、データファイリングシステム１００は、監査データ６１７〜６２０を監査証跡記録に記録する。例えば、データファイリングシステム１００は、図５に示す監査証跡記録１１４に監査データ６１７〜６２０を格納する。そのため、データファイリングシステム１００は、行を監査証跡記録１１４に追加して、この行に監査データ６１７〜６２０を書き込みしてもよい。データ要素６０２の暗号化版６１７は、その後、左手欄５０４に書き込まれる。ファイリングコンテクスト指標は、左中央欄５０５、右中央欄５０６、右手欄５０７に書き込まれる。

図６に示すデータファイリングセッション６００は、監査データ記録ステップ６２１で終了してもよい。あるいは、データファイリングセッション６００は継続してもよい。その場合、図６に示す一連のステップは、ファイルしようとする新しいデータ要素のために新しく実施されてもよい。

図７は、データファイリング方法における鍵管理プロセス７００を概略的に示す。データファイリングシステム１００は、鍵管理プロセス７００を定期的に実施してもよい。データファイリングシステム１００は、図１に示すプログラムメモリー１０２において鍵管理モジュール１０８を定期液に実行することによりそれを行ってもよい。鍵管理プロセス７００は、以下のステップを含んでいてもよい。

有効期限検定ステップ７０１において、データファイリングシステム１００は、格納されていた各暗号鍵に関連付けられた各有効期限をチェックする。例えば、データファイリングシステム１００は、図３に示す暗号鍵テーブル１１２の右手欄３０６を通してスクロールしてもよい。このテーブルにおいて、各有効期限３１３、３１４、３１５は、各暗号鍵３０７、３０８、３０９に関連して格納される。暗号鍵テーブル１１２を通してスクロールする間に、データファイリングシステム１００は、暗号鍵７０３に関連付けられた有効期限７０２を現在の日付７０４と比較してもよい。例えば、有効期限７０２が現在の日付７０４に対応するか、または、現在の日付７０４よりも前であるならば、データファイリングシステム１００は、有効期限７０２になったと評価してもよい。

データファイリングシステム１００は、到達した有効期限７０２に関連付けられた暗号鍵７０３について鍵削除ステップ７０５を実施する。鍵削除ステップ７０５において、データファイリングシステム１００は、当該暗号鍵７０３を削除する。例えば、図３に示す暗号鍵テーブル１１２において、行３０３は、暗号鍵３０９と識別子３１２とそれに関連付けられた有効期限３１５とを備え、有効期限３１５は到達したとする。次に、データファイリングシステム１００は、例えば、当該の行３０３における暗号鍵３０９を削除し、一方、この行における識別子３１２および有効期限３１５を、暗号鍵テーブル１１２のそれぞれ左手欄３０４および右手欄３０６に保持する。暗号鍵３０９と関連付けられたこれらの要素は、暗号鍵３０９の削除後であっても有用情報を提供してもよい。

データファイリングシステム１００は、削除された暗号鍵７０３が別の暗号化されたデータ要素へのリンクを構成する暗号化されたデータ要素と関連付けられている場合、データクリーニングステップをさらに実施してもよい。データクリーニングステップにおいて、データファイリングシステム１００は、リンクが指す他の暗号化されたデータ要素も、少なくとも１つの他のリンクによって指されているかどうかを検証してもよい。されていなければ、他の暗号化されたデータ要素を維持する理由がなくなるように、他の暗号化されたデータ要素がデータファイリングシステム１００内で切断されたことを暗示する。その後、データファイリングシステム１００は、他の暗号化されたデータ要素と関連付けられた暗号鍵も削除する。

別の実施形態において、データファイリングシステム１００は、特定データクリーニングプロセスを実施してもよく、特定データクリーニングプロセスにおいて、データファイリングシステム１００は、接続されていない暗号化されたデータ要素があるかどうかを検証し、この暗号化されたデータ要素は、少なくとも１つの他のデータ要素を参照せず少なくとも１つの他のデータ要素によって参照されない。データファイリングシステム１００が接続されていない暗号化されたデータ要素を特定すると、その後、データファイリングシステム１００は、接続されていないデータが暗号化されたデータ要素と関連付けられた暗号鍵を削除してもよい。したがって、このプロセスは、忘れられる権利に関連する規制に沿うことに加えて、データファイリングシステム１００内の個人データをそれが必要である期間だけ保持することに寄与する。

先述のデータファイリング方法により、特定の日、つまり、有効期限までのみデータ要素を読み込めるようにデータ要素をファイリングできる。データ要素は、この日以後は読み込めなくなり、これは、忘れられる権利を確保する。また、これは、たとえ、読み込めなくなったデータ要素６０２に関する監査データがコンテキスト情報を含んでいても、監査データの集積を確保して達成される。読み込めなくなったデータ要素は、監査データから回収できず、監査データから推定もできない。したがって、信頼性のある総括的な監査は忘れられる権利にも関わらず実施することができる。

図８は、データファイリング方法におけるデータ読取セッション８００を概略的に示す。データファイリングシステム１００と通信している遠隔装置は、データ読取セッション８００を開始してもよい。データ読取セッション８００において、遠隔装置は、クライアント装置として動作してもよく、一方、データファイリングシステム１００は、サーバーとして動作する。データ読取セッション８００は、以下のステップを含む。

読取要求ステップ８０１において、データファイリングシステム１００は、データファイルからデータ要素８０２を読み込むための要求を受信する。要求は、例えば、先述の遠隔装置から派生していてもよい。データファイリングシステム１００は、遠隔装置が表示可能なウェブページを提供してもよい。ウェブページはファイルナビゲーションツールを備えていてもよく、ファイルナビゲーションツールによって、遠隔装置のユーザーは関心のあるデータファイルを選択することができ、関心のあるデータ要素８０２を指定することができる。要求が関連するデータ要素８０２は先述のようにデータファイリングセッション６００においてファイルされているものとする。

鍵検査ステップ８０３において、データファイリングシステム１００は、データ要素８０２に割り当てられた暗号鍵８０４がデータファイリングシステム１００に存在しているかどうかを試験する。例えば、読み込みが要求されたデータ要素８０２が図１に示すデータファイル１０９におけるデータ要素２０７であると仮定する。データファイリングシステム１００は、データ要素２０７が存在する行２０２を特定してもよい。したがって、データファイリングシステム１００は、左手欄２０４からデータ要素２０７に関連付けられた識別子２１０を取得する。

その後、図３に示す暗号鍵テーブル１１２を参照し、データファイリングシステム１００は、左手欄３０４において同じ識別子３１１を含むこのテーブルにおける行３０２を特定してもよい。その後、データファイリングシステム１００は、暗号鍵テーブル１１２のこの行３０２における中央欄３０５に要素があるかどうかを試験する。要素が在る場合、この要素はデータ要素２０７に割り当てられた暗号鍵３０８である。要素が無い場合、または、ダミー要素のみである場合、データファイリングシステム１００は、暗号鍵３０８が存在しなくなっていると結論し得る。

暗号鍵８０４が存在する場合に実施される読込ステップ８０５において、データファイリングシステム１００は、当該データファイルから暗号化されたデータ要素を取得する。データファイリングシステム１００は、プレーンテキストでのデータ要素８０２を取得するために暗号化されたデータ要素を解号する。その後、データファイリングシステム１００は、データ要素８０２を、例えば、読取セッションを開始した遠隔装置へ通信してもよい。

暗号鍵８０４が存在しない場合に行われる指標提供ステップ８０６において、データファイリングシステム１００は、データ要素８０２がデータファイリングシステム１００に存在するが、つまり、暗号化された形態で、読み込めなくなっているという指標を提供してもよい。データファイリングシステム１００は、有効期限をさらに指示してもよく、この有効期限の後はデータ要素８０２にアクセス不可になる。

別の実施形態において、代替のデータファイリングシステムは、代替のデータファイリングシステムが、例えば、異なるサーバーで個別に動作してもよい基本データファイリングサブシステムと監査可能期間満了監視サブシステムとを備えるという点で先述のデータファイリングシステム１００とは異なっていてもよい。基本データファイリングサブシステムは、有効期限の一覧を保持する必要が無く、有効期限に達したかどうかを監視する必要がない。さらに、基本データファイリングサブシステムは、監査証跡を保持する必要が無い。基本データファイリングサブシステムは、これらのタスクを、いわば、監査可能期間満了監視サブシステムへ委任し、監査可能期間満了監視サブシステムは、例えば、ウェブサービスの形態であってもよい。

したがって、基本データファイリングシステムは、種々のデータ実体を含む必要がなく、図３、４、および５をそれぞれ参照して説明された暗号鍵テーブル、有効期限テーブル、または暗号鍵テーブルなどの種々のデータ実体は、先述のデータファイリングシステム１００に存在していてもよい。また、基本データファイリングシステムは、図７を参照して説明した鍵管理プロセス７００などの鍵管理プロセスを実施する必要はない。

基本データファイリングシステムは、受信データ要素が個人データを含む余地があるかどうかを検査してもよい。この検査で含まない場合、基本データファイリングシステムは、プレーンテキストで受信データ要素をファイルしてもよい。この検査で含む場合、基本データファイリングシステムは、受信データ要素を暗号化された形態でファイルしてもよい。これらの動作を考察する限り、それ自体では、基本データファイリングシステムは、先述のデータファイリングシステム１００と同様であってもよい。しかしながら、データ要素暗号化のための固有キーを使用する必要がない。あるいは、基本データファイリングシステムは、全ての受信データ要素をプレーンテキストで、または、暗号化された形態で、個人データを含む余地があるデータ要素とそうでないデータ要素とを区別せずにファイルしてもよい。

基本データファイリングシステムは、データ要素を受信しファイリングする場合、データ要素を監査可能期間満了監視サブシステムへ送信する。データ要素のコピーは、データ要素が個人データを含む余地がある場合、有効期限指示を伴う。有効期限指示は、例えば、データ要素が属するカテゴリの指示を含んでいてもよい。別の例としては、基本データファイリングシステムが有効期限、または、適用されることになる有効期限ルールに関連付けられたデータ要素を受信する場合、有効期限指示は、有効期限または有効期限ルールにそれぞれ対応してもよい。基本データファイリングシステムが監査可能期間満了監視サブシステムへ送信するデータ要素のコピーは、基本データファイリングシステムがデータ要素に関連付けた識別子をさらに伴っていてもよい。

監査可能期間満了監視サブシステムは、先述のデータファイリングシステム１００がデータ要素をファイルする場合と同様に、データ要素ともしあればそれに関連付けられた識別子とのコピーをファイルする。その結果、監査可能期間満了監視サブシステムは、有効期限指示に基づいてデータ要素のコピーに有効期限を割り当ててもよい。その後、監査可能期間満了監視サブシステムは、格納のためのデータ要素の暗号化版を取得するために、データ要素のコピーを暗号化するために使用される固有キーと関連付けてこの有効期限を格納してもよい。

したがって、監査可能期間満了監視サブシステムは、図３を参照して説明されたものと同様の暗号鍵テーブルを保持してもよい。したがって、有効期限をデータ要素に割り当てるために、監査可能期間満了監視サブシステムは、図４を参照して説明されたものと同様の終了遅延テーブルを保持してもよい。さらに、監査可能期間満了監視サブシステムは、図５を参照して説明したものと同様の監査証跡記録１１４を保持してもよい。

監査可能期間満了監視サブシステムは、図７を参照して説明した鍵管理プロセス７００と同様の鍵管理プロセスを規則的に実施してもよい。したがって、このプロセスにおいて、監査可能期間満了監視サブシステムは、到達した有効期限と関連付けられたデータ要素を特定してもよい。その後、監査可能期間満了監視サブシステムは、到達した有効期限に関連付けられた暗号鍵を削除してもよい。したがって、このプロセスにおいて、監査可能期間満了監視サブシステムも到達した有効期限についてのデータ要素を特定する。

監査可能期間満了監視サブシステムは、基本データファイリングシステムに、到達した有効期限についてのデータ要素を通知する。そのため、監査可能期間満了監視サブシステムは、基本データファイリングシステムと通信を確立してもよく、これは、コールバックと考えられてもよい。この通信において、監査可能期間満了監視サブシステムは、有効期限が直接到達したデータ要素を直接、または、これらデータ要素に関連付けられた識別子によって、特定してもよい。これに応じて、基本データファイリングシステムは、当該データ要素がアクセス不可になるように当該データを削除する。監査可能期間満了監視サブシステムに暗号化された形態で存在するこれらデータ要素のコピーは、これらを暗号化するために使用された暗号鍵が削除されているのでアクセス可能ではない。関心のある監査証跡記録は、依然として有効であり、保持されてもよいが、個人データ（これから監査証跡記録が生成された）は、アクセス不可になっている。

この実施形態において、異なる機関に属していてもよい複数の基本データファイリングシステムは、いわば、同じ監査可能期間満了監視サブシステムを共有していてもよい。つまり、監査可能期間満了監視サブシステムは、例えば、基本データファイリングシステム（これからデータ要素コピーが受信される）を特定することによって、および、有効期限に到達しそれゆえに削除されるべきデータ要素の各基本データファイリングシステムを個別に通知することによって、複数の基本データファイリングシステムを提供してもよい。

図面を参照した先述の詳細な説明は、本発明がどのように実施されるかを説明するものである。本発明は、種々の異なる方法で実施されてもよい。これを説明するため、複数の代替を簡単に示す。

本発明は、データファイリングに関連する複数のタイプの製品または方法に適用されてもよい。例えば、本発明は、忘れられる権利を有する人に関連するデータを含む任意の種類のインフラストラクチャーにおいて適用されてもよい。

本発明は、複数の方法で実施されてもよい。例えば、データファイリングシステムがデータファイルに含まれることになるデータ要素を受信してもよい複数の異なる方法がある。先述の詳細な説明は、データファイリングシステムがデータ要素を遠隔装置から受信する例を説明している。別の例として、データファイリングシステムは図１に示すユーザーインターフェースなどのユーザーインターフェースからデータ要素を受信してもよい。

データ要素に暗号鍵をランダムに割り当てる種々の異なる方法がある。先述の詳細な説明は、鍵生成を含む例を説明する。別の例として、暗号鍵は、異なる暗号鍵の事前確立されたプールからランダムに選択されてもよい。

データ要素のための有効期限を定義する種々の異なる方法がある。先述の詳細な説明は、終了遅延テーブルを含む例を説明する。別の例として、データファイリングシステムは、データ要素に関連付けられて受信されたデータに基づいてデータ要素についての有効期限を定義してもよい。このデータは、例えば、ユーザーによって特定されていてもよい。

有効期限に関連付けて暗号鍵を格納する種々の異なる方法がある。先述の詳細な説明は、暗号鍵および有効期限がテーブルに格納されている例を説明する。暗号鍵および有効期限は、テーブルにおける同じ行にあれば、互いに関連付けられている。他の例として、暗号鍵は、１つのテーブルに格納されていてもよく、それと関連付けられた有効期限は、別のテーブルに格納されていてもよい。これらそれぞれのテーブルにおいて、暗号鍵および有効期限は、これらを互いに関連付ける同じ識別子を有していてもよい。

暗号鍵に基づいてデータ要素を暗号化する種々の異なる方法がある。データファイルに格納された暗号化されたデータ要素を取得するために、例えば、暗号鍵の一部のみをデータ要素を暗号化するために使用してもよい。暗号鍵の別の部分を、監査データに含まれるデータ要素の暗号化版を取得するために、データ要素を暗号化するために使用してもよい。

したがって、用語「暗号鍵」は、広い意味で理解されるものとする。この用語は、少なくとも一部がデータ要素の暗号化を定義する任意の形態のデータ、または、任意のセットのデータを含んでいてもよい。

監査証跡を保持する種々の異なる方法がある。例えば、単一の監査証跡記録は、種々のデータファイルのために、または、本発明に係るデータファイリングシステムに存在する全てのデータファイルのためにさえ保持されてもよい。つまり、複数のデータファイルは、いわば、同じ監査証跡記録を共有してもよい。

一般的に、本発明を実施する種々の異なる方法があり、それにより、異なる実施は異なる形態を有する。任意の形態において、単一モジュールは、複数の機能を実施してもよく、または、複数のモジュールが合同で単一の機能を実施してもよい。この点に関し、図面は非常に図式的である。ハードウエア、ソフトウエア、またはその両方によって実施されてもよい複数の機能がある。ソフトウエアベースの実施の説明は、ハードウエアベースの実施を排除せず、その逆も同じである。１つまたは複数の専用の回路および１つまたは複数の適切にプログラムされたプロセッサとを含む組み合わせの実施も可能である。例えば、図面を参照して説明された種々の機能は、１つまたは複数の専用の回路によって実施されてもよく、これにより、特定の回路形態は特定の機能を定義している。

１セットの指示を格納し、分配する複数の方法、つまり、本発明に係るデータのファイリングを可能にするソフトウエアがある。例えば、ソフトウエアは、例えばメモリー回路、磁気ディスク、光ディスクなどの適切な装置により読み取り可能な媒体に格納されてもよい。ソフトウエアが格納される、装置により読み取り可能な媒体は、個々の製品として、または別の製品と共に供給されてもよく、これはソフトウエアを実行してもよい。このような媒体は、ソフトウエアを実行することができる製品の一部でもよい。ソフトウエアは、有線、無線、またはその混合でもよい通信ネットワークを介して配布されてもよい。例えば、ソフトウエアはインターネットを介して配布されてもよい。ソフトウエアは、サーバーを利用してダウンロードするために利用できるようになっていてもよい。ダウンロードは、支払いの対象でもよい。

先述の意見は、図面を参照した詳細な説明が本発明の説明であって限定ではないことを示す。本発明は、添付の請求項の範囲内の複数の代替の方法で実施され得る。請求項の等価の意味および範囲内で行われる全ての変更は、請求項の範囲内となる。請求項における任意の参照符号は請求項を限定するものではない。用語「備える」は、請求項に挙げられたもの以外の要素またはステップの存在を排除しない。要素またはステップに先行する用語「ａ」「ａｎ」は、複数のその要素またはステップの存在を排除しない。各従属請求項が各追加の特徴を定義するという単なる事実は、請求項において反映されたもの以外の追加の特徴の組み合わせを排除しない。

Claims (15)

1. データファイリングシステム（１００）がデータファイル（１０９）に含まれることになるデータ要素（６０２）を受信するデータ受信ステップ（６０１）と、
   前記データ要素が個人データを含む余地があるかどうかを前記データファイリングシステムが判断するデータ評価ステップ（６０３）であって、前記データ要素が個人データを含む余地がある場合、前記データ要素に時間制限アクセシビリティプロセスを行うデータ評価ステップ（６０３）とを含み、
   前記時間制限アクセシビリティプロセスは、
   前記データファイリングシステムが有効期限を前記データ要素に割り当てる有効期限割当ステップ（６１０）と、
   前記暗号鍵が前記データファイリングシステムにおける別のデータ要素に割り当てられるのを回避するために、前記データファイリングシステムが暗号鍵（６０６）を前記データ要素にランダムに割り当てる鍵割当ステップ（６０７）と、
   前記データファイリングシステムが、定義された前記有効期限に関連して前記暗号鍵を内部に格納する鍵格納ステップ（６１２）と、
   前記データファイリングシステムが、前記暗号鍵に基づいて前記データ要素を暗号化して暗号化されたデータ要素（６１４）を取得するデータ暗号化ステップ（６１３）と、
   前記データファイリングシステムが前記暗号化されたデータ要素を前記データファイルに組み込むデータ組込ステップ（６１５）と、
   前記暗号鍵に関連付けられた前記有効期限に到達した場合に前記データファイリングシステムが前記暗号鍵を削除する鍵削除ステップ（７０５）であって、前記データ要素が個人データを含む余地が無い場合、前記データファイルがアクセス可能なままである限り前記データ要素がアクセス可能なままであるように、前記時間制限アクセシビリティプロセスを適用せずに前記データ要素が前記データファイルに組み込まれる鍵削除ステップ（７０５）とを含む、データファイリング方法。
2. 請求項１に係るデータファイリング方法において、
   前記データファイリングシステム（１００）が監査データ（６１７〜６２０）を生成する監査データ生成ステップ（６１６）であって、前記監査データは、前記データ要素（６０２）の暗号化版（６１７）と前記データ要素に適用されるファイリングの前記方法に関する少なくとも１つのファイリングコンテクスト指標（６１８，６１９，６２０）とを含み、前記データ要素の前記暗号化版は、前記データ要素に割り当てられた前記暗号鍵（６０６）に基づいて得られる監査データ生成ステップ（６１６）と、
   前記データファイリングシステムが前記監査データを監査証跡記録（１１４）に記録する監査データ記録ステップ（６２１）とを含むデータファイリング方法。
3. 請求項２に記載のデータファイリング方法において、
   前記監査データ（６１７〜６２０）は、以下のファイリングコンテクスト指標、すなわち、ファイリングの前記方法がいつ前記データ要素に適用されたかの指標（６１７）、前記データ要素がどのように受信されたかの指標（６１８）、および、ファイリングの前記方法を誰が開始したかの指標（６１９）の少なくとも１つを含むデータファイリング方法。
4. 請求項１から３のいずれか１項に記載のデータファイリング方法において、
   前記有効期限割当ステップ（６１０）において、前記データファイリングシステム（１００）は、前記データ要素（６０２）が属するカテゴリに基づいて、前記有効期限（６１１）を割り当てるデータファイリング方法。
5. 請求項４に記載のデータファイリング方法において、
   前記データファイリングシステム（１００）にデータ要素（４０９，４１０，４１１）の各カテゴリについての各終了遅延（４０６，４０７，４０８）のテーブル（１１３）を設ける終了遅延テーブル提供ステップを含み、
   前記有効期限割当ステップ（６１０）において、前記データファイリングシステムは、前記データ要素が属する前記カテゴリについての前記終了遅延を前記テーブルから選択し、前記有効期限（６１１）を前記終了遅延に基づいて割り当てるデータファイリング方法。
6. 請求項４および５のいずれか１項に記載のデータファイリング方法において、
   カテゴリ（４０９，４１０，４１１）は、前記データ要素が関連する国、前記データ要素が含む情報のタイプ、および前記データ要素の使用目的の少なくとも１つを含むデータファイリング方法。
7. 請求項１から３のいずれか１項に記載のデータファイリング方法において、
   前記データファイリングシステム（１００）が前記データ要素（６０２）と関連して有効期限の定義を受信する場合、前記データファイリングシステム（１００）は、前記有効期限（６１１）を前記定義に基づいて割り当てるデータファイリング方法。
8. 請求項１から７のいずれか１項に記載のデータファイリング方法において、
   前記データファイリングシステム（１００）が格納された各暗号鍵（３０７，３０８，３０９）に関連付けられた各有効期限（３１３，３１４，３１５）をチェックする有効期限検定ステップ（７０１）を含み、
   前記鍵削除ステップ（７０５）は、到達した有効期限（７０２）に関連付けられた暗号鍵（７０３）のために実施され、
   前記データファイリングシステムは、前記有効期限検定ステップを規則的に実施するデータファイリング方法。
9. 請求項１から８のいずれか１項に記載のデータファイリング方法において、
   前記データファイリングシステム（１００）が識別子（６０９）を前記データ要素（６０２）に関連付け、前記識別子を前記暗号鍵（６０６）に関連付ける識別子関連付ステップ（６０８）を含むデータファイリング方法。
10. 請求項９に記載のデータファイリング方法において、
    前記識別子（６０９）は、前記データ要素（６０２）から計算されたハッシュであるデータファイリング方法。
11. 請求項１から１０のいずれか１項に記載のデータファイリング方法において、
    前記データファイリングシステム（１００）が前記データ受信ステップ（６０１）での擬似乱数生成器を用いて前記暗号鍵（６０６）を生成する鍵生成ステップ（６０５）を含むデータファイリング方法。
12. 請求項１から１１のいずれか１項に記載のデータファイリング方法において、
    暗号化されたデータ要素が別のデータ要素に関連づけられているかどうかを前記データファイリングシステム（１００）が確認し、
    前記暗号化されたデータ要素が関連を有していない場合、前記データファイリングシステムが前記暗号化されたデータ要素に関連付けられた前記暗号鍵を削除し、
    前記暗号化されたデータ要素が少なくとも１つの関連を有している場合、前記暗号鍵は維持されるデータクリーニングステップを含むデータファイリング方法。
13. 請求項１から１２のいずれか１項に記載のデータファイリング方法において、
    前記データファイリングシステム（１００）が前記データファイルから前記データ要素（８０２）を読み込む要求を受信する読取要求ステップ（８０１）と、
    前記データファイリングシステムが、前記データ要素に割り当てられた前記暗号鍵（８０４）が前記データファイリングシステムに存在するかどうかを検査する鍵検査ステップ（８０３）と、
    前記暗号鍵が存在している場合に実施される読込ステップ（８０５）であって、前記データファイリングシステムは、前記暗号化されたデータ要素を前記データファイルから取得し、前記データファイリングシステムは、前記暗号化されたデータ要素を解号して前記データ要素をプレーンテキストで取得する読込ステップ（８０５）と、
    前記暗号鍵が存在していない場合に実施される指標提供ステップ（８０６）であって、前記データファイリングシステムは、前記データ要素が前記データファイルに存在するが読み込めなくなっているという指標を提供する指標提供ステップ（８０６）と、
    を備えるデータファイリング方法。
14. プロセッサ（１０１）がデータファイリングシステム（１００）において請求項１から１３のいずれかに係る方法を実施することを可能にする１セットの指示を含むコンピュータープログラム（１０６）。
15. 請求項１から１３のいずれか１項に記載の方法を実施するように適合されたデータファイリングシステム（１００）。
    
    

Images