JP2022146426A - 情報処理装置及び情報処理プログラム - Google Patents

Abstract

【課題】ユーザーから個人情報を含む可能性がある文書が格納される場合に、その文書を格納するサーバーを決定することができる情報処理装置を提供する。【解決手段】情報処理装置は、メモリとプロセッサを備え、前記メモリは、ユーザーの国又は地域を示す国情報を記憶しており、前記プロセッサは、ユーザーから個人情報を含む可能性がある文書が格納される場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する。【選択図】図１

Description

本発明は、情報処理装置及び情報処理プログラムに関する。

特許文献１には、機器から送信されるデータの保存先への送信について柔軟性を向上させることを課題とし、１以上のコンピュータを含む情報処理システムは、ネットワークを介して接続される機器から、前記機器が入力したデータと、前記データ又は当該データに基づいて生成されるデータの保存先を複数の保存先の候補の中から特定する特定情報とを受信する受信部と、前記複数の保存先の候補ごとのインタフェースに対して共通化されたインタフェースを提供し、前記共通化されたインタフェースを介した要求に指定された保存先にデータを送信する仲介部と、前記受信部によって受信されたデータ又は当該データに基づいて生成されたデータについて、前記特定情報に基づいて特定される保存先への送信を、前記共通化されたインタフェースを介して前記仲介部に要求する要求部とを有することが開示されている。

特開２０１５－１１１４０８号公報

国又は地域（以下、Ａ国ともいう）によって、政府の規制により個人情報を他国又は他地域（以下、Ｂ国ともいう）のサーバーに置くこと（以下、データ越境ともいう）が禁止されている場合があり、Ａ国内でローカルのサーバーを設置し、そのサーバー内に個人情報を格納することが行われている。グローバル企業においては、Ａ国のユーザーがＡ国以外のＢ国のサービスを利用して業務を行うことがある。Ａ国のユーザーがＢ国内で業務をして、Ｂ国内にあるサーバーに個人情報が含まれている情報を保存する場合に、Ａ国で禁止されているデータ越境が発生しうる。そこで、本発明では、ユーザーから個人情報を含む可能性がある文書が格納される場合に、その文書を格納するサーバーを決定することができる情報処理装置及び情報処理プログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、メモリとプロセッサを備え、前記メモリは、ユーザーの国又は地域を示す国情報を記憶しており、前記プロセッサは、ユーザーから個人情報を含む可能性がある文書が格納される場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、情報処理装置である。

請求項２の発明は、前記プロセッサは、ユーザーが用いるサービスにおける外部認証を行う際に、前記ユーザーの国情報を前記メモリに記憶させる、請求項１に記載の情報処理装置である。

請求項３の発明は、前記メモリは、前記ユーザーの国又は地域以外の国又は地域に設置されており、前記プロセッサは、外部認証を行う際に、前記サービスを利用できることだけを示す情報と国情報を対応させて、前記メモリに記憶させる、請求項２に記載の情報処理装置である。

請求項４の発明は、前記プロセッサは、データ越境を禁止している国の第１ユーザーの文書が、前記国のサーバーに記憶されている場合に、前記国とは異なる国の第２ユーザーに対して、前記文書が存在していることを表示するように制御する、請求項１に記載の情報処理装置である。

請求項５の発明は、前記プロセッサは、前記第２ユーザーに対して、データ越境を禁止している国のサーバーに記憶されている前記文書のダウンロードを禁止するように制御する、請求項４に記載の情報処理装置である。

請求項６の発明は、前記プロセッサは、前記文書に個人情報が含まれている場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、請求項１に記載の情報処理装置である。

請求項７の発明は、前記プロセッサは、前記文書に個人情報が含まれていない場合に、前記文書を格納するサーバーとして、予め定められたサーバーに決定するように制御する、請求項１に記載の情報処理装置である。

請求項８の発明は、前記プロセッサは、予め機械学習により文書に個人情報が含まれているか否かを判断することを学習した人工知能に対して、対象としている文書を入力し、前記文書に個人情報が含まれているか否かを判断する、請求項６又は７に記載の情報処理装置である。

請求項９の発明は、メモリとプロセッサを備えたコンピュータの前記メモリは、ユーザーの国又は地域を示す国情報を記憶しており、前記プロセッサに、ユーザーから個人情報を含む可能性がある文書が格納される場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、処理を実行させるための情報処理プログラムである。

請求項１の情報処理装置によれば、ユーザーから個人情報を含む可能性がある文書が格納される場合に、その文書を格納するサーバーを決定することができる。

請求項２の情報処理装置によれば、ユーザーが用いるサービスにおける外部認証を行う際に、ユーザーの国情報をメモリに記憶させることができる。

請求項３の情報処理装置によれば、プロセッサは、外部認証を行う際に、サービス利用できることだけを示す情報と国情報を対応させて、メモリに記憶させることができる。

請求項４の情報処理装置によれば、Ａ国の第１ユーザーの文書が、Ａ国のサーバーに記憶されている場合に、Ｂ国の第２ユーザーは文書が存在していることを知ることができる。

請求項５の情報処理装置によれば、第２ユーザーに対して、Ａ国のサーバーに記憶されている文書のダウンロードを禁止するように制御することができる。

請求項６の情報処理装置によれば、文書に個人情報が含まれている場合に、ユーザーの国情報を参照して、文書を格納するサーバーを決定するように制御することができる。

請求項７の情報処理装置によれば、文書に個人情報が含まれていない場合に、文書を格納するサーバーとして、予め定められたサーバーに決定するように制御することができる。

請求項８の情報処理装置によれば、人工知能によって、文書に個人情報が含まれているか否かを判断することができる。

請求項９の情報処理プログラムによれば、ユーザーから個人情報を含む可能性がある文書が格納される場合に、その文書を格納するサーバーを決定することができる。

本実施の形態の構成例についての概念的なモジュール構成図である。 本実施の形態の具体的なシステム構成例を示す説明図である。 データ越境が生じる場合の例を示す説明図である。 データ越境が生じる場合の処理例を示す説明図である。 データ越境が生じないようにした場合の処理例を示す説明図である。 図５に示す処理例を行った場合の表示例を示す説明図である。 本実施の形態による処理例を示す説明図である。 本実施の形態による処理例を示す説明図である。 本実施の形態による処理例を示す説明図である。 本実施の形態による表示例を示す説明図である。 本実施の形態による処理例を示す説明図である。 本実施の形態による表示例を示す説明図である。 本実施の形態による表示例を示す説明図である。 本実施の形態による処理例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 本実施の形態による処理例を示すフローチャートである。 ユーザー・国／地域対応テーブルのデータ構造例を示す説明図である。 国／地域・保存先対応テーブルのデータ構造例を示す説明図である。

以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（「ソフトウェア」の解釈として、コンピュータ・プログラムを含む）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（例えば、コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するという意味である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（例えば、データの授受、指示、データ間の参照関係、ログイン等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態にしたがって、又はそれまでの状況・状態にしたがって定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（「２以上の値」には、もちろんのことながら、全ての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。また、「Ａ、Ｂ、Ｃ」等のように事物を列挙した場合は、断りがない限り例示列挙であり、その１つのみを選んでいる場合（例えば、Ａのみ）を含む。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（「ネットワーク」には、一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（つまり、社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎に又はモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。

本実施の形態である情報処理装置１００は、文書の格納先を決定する機能を有している。図１の例に示すように、情報処理装置１００は、少なくともプロセッサ１０５、メモリ１１０を有しており、それらをつないでデータのやりとりをするためのバス１９８により構成されている。この他に、情報処理装置１００は、出力装置１８５、受付装置１９０、通信装置１９５を有していてもよい。そして、バス１９８を介して、プロセッサ１０５、メモリ１１０、出力装置１８５、受付装置１９０、通信装置１９５の間でデータのやりとりが行われる。
特に、情報処理装置１００は、国又は地域間で文書がやり取りされる場合において、個人情報（個人データともいう）が含まれている文書の格納先を決定するものである。ここで「個人情報」とは、個人を特定することが可能な情報をいう。

なお、図１の例に示すブロック図は、本実施の形態を実現するコンピュータのハードウェア構成例をも示している。本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図１に例示するようなコンピュータであり、具体的にはパーソナルコンピュータ、サーバーとなり得るコンピュータ等である。具体例として、処理部としてプロセッサ１０５を用い、記憶装置としてメモリ１１０を用いている。

プロセッサ１０５は、１つであってもよいし、複数あってもよい。プロセッサ１０５として、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略）、マイクロプロセッサ等を含む。複数のプロセッサ１０５を用いる場合は、密結合マルチプロセッサ、疎結合マルチプロセッサのいずれの形態であってもよい。例えば、１つのプロセッサ１０５内に複数のプロセッサ・コアが搭載されていてもよい。さらに、複数のコンピュータを通信路で結んで仮想的に一台のコンピュータのように振る舞わせるシステムとしてもよい。具体例として、疎結合マルチプロセッサであって、クラスタシステム、コンピュータクラスタとして構成してもよい。プロセッサ１０５は、プログラムメモリ１４０内のプログラムを実行する。

メモリ１１０として、例えば、レジスタやキャッシュメモリ等のプロセッサ１０５内部の半導体メモリを含めてもよいし、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略）やＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略）等によって構成される主記憶装置であるメインメモリであってもよいし、永続性記憶装置としての機能を有するＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅの略）の内部記憶装置、ＣＤ、ＤＶＤ、Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ、ＵＳＢメモリ、メモリーカード等の外部記憶装置又は補助記憶装置であってもよいし、また、通信回線を介して接続されたサーバー等の記憶装置を含めてもよい。
メモリ１１０は、主にデータを記憶するデータメモリ１２０と主にプログラムを記憶するプログラムメモリ１４０を有している。なお、データメモリ１２０、プログラムメモリ１４０には、図示している情報、モジュールのプログラムの他、本コンピュータを起動するためのＯＳ等のプログラム、モジュールの実行において適宜変化するパラメータ等のデータが格納されていてもよい。

出力装置１８５は、例えば、表示装置１８７、印刷装置１８９等を有している。液晶ディスプレイ、有機ＥＬディスプレイ、３次元ディスプレイ、プロジェクター等の表示装置１８７は、プロセッサ１０５による処理結果、データメモリ１２０内のデータ等を、テキストやイメージ情報等として表示する。プリンタ、複合機等の印刷装置１８９は、プロセッサ１０５による処理結果、データメモリ１２０内のデータ等を印刷する。また、出力装置１８５として、スピーカー、機器を振動させるアクチュエータ等を含んでいてもよい。
受付装置１９０は、例えば、指示受付装置１９２、文書読取装置１９４等を有している。キーボード、マウス、マイク、カメラ（視線検知カメラ等を含む）等の指示受付装置１９２は、これらに対する利用者の操作（動作、音声、視線等を含む）に基づいたデータを受け付ける。
また、タッチスクリーンのように、表示装置１８７と指示受付装置１９２の両方の機能を備えているものがあってもよい。その場合、キーボードの機能の実現について、物理的なキーが存在しなくても、タッチスクリーン上にソフトウェアでキーボード（いわゆるソフトウェアキーボード、スクリーンキーボード等ともいわれる）を描画して、キーボードの機能を実現するようにしてもよい。
なお、ユーザーインタフェースとして、主に、表示装置１８７、指示受付装置１９２が用いられる。
スキャナ、カメラ等の文書読取装置１９４は、文書を読み取り又は撮影して、発生する画像データを受け付ける。
通信装置１９５は、通信回線を介して他の装置と接続するためのネットワークカード等の通信回線インタフェースである。

本実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のプログラムメモリ１４０にソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、本実施の形態が実現される。つまり、ソフトウェアによる情報処理がハードウェア資源（少なくともプロセッサ１０５、メモリ１１０、場合によっては出力装置１８５、受付装置１９０、通信装置１９５を含む）を用いて、本実施の形態が具体的に実現されており、全体として自然法則を利用している。
なお、図１に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、プロセッサ１０５として、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略、ＧＰＧＰＵ（Ｇｅｎｅｒａｌ－Ｐｕｒｐｏｓｅ ｃｏｍｐｕｔｉｎｇ ｏｎ Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔｓの略）を含む）を用いてもよいし、一部のモジュールの実行を専用のハードウェア（例えば特定用途向け集積回路（具体例として、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略）等がある）や再構成可能な集積回路（具体例として、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略）等がある）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続している形態でもよく、さらに図１に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、サーバー、パーソナルコンピュータの他、携帯情報通信機器（携帯電話、スマートフォン、モバイル機器、ウェアラブルコンピュータ等を含む）、情報家電、ロボット、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）等に組み込まれていてもよい。

プロセッサ１０５は、バス１９８を介してメモリ１１０、出力装置１８５、受付装置１９０、通信装置１９５と接続されている。プロセッサ１０５は、プログラムメモリ１４０内のプログラムである各モジュールの実行シーケンスを記述したコンピュータ・プログラムにしたがった処理を実行する。例えば、指示受付装置１９２によってユーザーの操作を受け付けたことを契機として、プログラムメモリ１４０内のその操作に対応するモジュールによる処理を実行し、その処理結果をデータメモリ１２０に記憶させたり、表示装置１８７に出力したり、通信装置１９５を制御して他の装置に送信したりする。

メモリ１１０は、データメモリ１２０、プログラムメモリ１４０を有しており、バス１９８を介してプロセッサ１０５、出力装置１８５、受付装置１９０、通信装置１９５と接続されている。
データメモリ１２０は、国情報記憶モジュール１２２を有している。
国情報記憶モジュール１２２は、ユーザーの国又は地域を示す国情報を記憶している。具体的には、ユーザーを本実施の形態で一意に特定できる情報（例えば、ユーザーＩＤ：ＩＤｅｎｔｉｆｉｃａｔｉｏｎの略）とそのユーザーの国又は地域とを対応付けて記憶している。特に、その「ユーザーを本実施の形態で一意に特定できる情報」は、後述するように「サービスを利用できることだけを示す情報」であることが望ましい。

プログラムメモリ１４０は、認証制御モジュール１４２、文書格納制御モジュール１４４を記憶している。
認証制御モジュール１４２は、サービスを利用しようとしているユーザーの認証を制御する。認証は、既に知られている認証技術を用いればよい。例えば、ユーザーＩＤとパスワードの組み合わせを入力させてもよいし、ユーザーが所持しているＩＣカード等内に記憶されている情報を読み取ったりしてもよいし、指紋、顔画像等の生体情報を用いるものであってもよい。また、後述するように外部認証を用いてもよい。

文書格納制御モジュール１４４は、人工知能モデル１４６を有している。
文書格納制御モジュール１４４は、ユーザーから個人情報を含む可能性がある文書が格納される場合に、そのユーザーの国情報を参照して、その文書を格納するサーバーを決定するように制御する。
また、ユーザーが用いるサービスにおける外部認証を行う際に、そのユーザーの国情報を国情報記憶モジュール１２２に記憶させるようにしてもよい。ここでの外部認証は、シングルサインオン（Ｓｉｎｇｌｅ Ｓｉｇｎ Ｏｎ）のように、他のシステムによる認証結果だけを取得するようにしてもよい。特に、Ａ国における第１ユーザーをＢ国のシステムにログインさせる場合に、個人情報がＢ国に越境しないように、Ａ国のシステムでの認証結果を取得することが望ましい。
そして、国情報記憶モジュール１２２が、対象としているユーザーの国又は地域以外の国又は地域に設置されている場合、文書格納制御モジュール１４４は、外部認証を行う際に、サービスを利用できることだけを示す情報と国情報を対応させて、国情報記憶モジュール１２２に記憶させるようにしてもよい。なお、「国情報記憶モジュール１２２が、対象としているユーザーの国又は地域以外の国又は地域に設置されている場合」とは、国情報記憶モジュール１２２を有している情報処理装置１００の設置場所が、対象としているユーザーがいない国又は地域（例えば、前述のＢ国）であることである。そして、外部認証を行う際に、対象としているユーザーがいる国又は地域（例えば、前述のＡ国）で管理されているシステム（例えば、図７の例を用いて後述する国／地域情報記憶モジュール７１０Ａ）から、そのユーザーの国又は地域情報を取得することになる。また「サービスを利用できることだけを示す情報」とは、個人情報ではなく、単に対象としているサービスを利用できることだけを示すものであればよく、そのサービスにおけるユーザーＩＤ等が該当する。

以下の説明では、Ａ国はデータ越境を禁止しているが、Ｂ国はデータ越境を禁止していないとする。なお、対象としている国又は地域がデータ越境を禁止しているか否かを判定する方法は、予めデータ越境を禁止している国又は地域を記憶しているテーブルを用意しておき、そのテーブルを参照して、対象としている国又は地域がそのテーブル内にあればデータ越境を禁止している国又は地域であると判定し、対象としている国又は地域がそのテーブル内になければデータ越境を禁止していない国又は地域であると判定すればよい。

また、文書格納制御モジュール１４４は、データ越境を禁止しているＡ国の第１ユーザーの文書が、Ａ国のサーバーに記憶されている場合に、Ａ国とは異なるＢ国の第２ユーザーに対して、文書が存在していることを表示するように制御するようにしてもよい。
ここで「文書が存在していることを表示」とは、第１ユーザーの文書をダウンロードできるか否かを問わず、第１ユーザーの文書があることを表示できればよい。例えば、第１ユーザーと第２ユーザーは、同じサービスを利用している場合であって、第２ユーザーに対しては、そのサービスにおける文書一覧の機能によって、第１ユーザーの文書の文書名が表示される場合が該当する。
さらに、文書格納制御モジュール１４４は、第２ユーザーに対して、データ越境を禁止しているＡ国のサーバーに記憶されている文書のダウンロードを禁止するように制御するようにしてもよい。詳細については、図１２Ａの例を用いて後述する。

また、文書格納制御モジュール１４４は、文書に個人情報が含まれている場合に、ユーザーの国情報を参照して、その文書を格納するサーバーを決定するように制御するようにしてもよい。
また、文書格納制御モジュール１４４は、文書に個人情報が含まれていない場合に、その文書を格納するサーバーとして、予め定められたサーバーに決定するように制御するようにしてもよい。
なお、文書に個人情報が含まれているか否かについては、その文書をアップロードしようとしているユーザーが指定してもよいし、文書内の文章を形態素解析し、予め定められたパターンを持つ個人情報を含むか否かで判断してもよいし、次に示す人工知能を用いて判断してもよい。

文書格納制御モジュール１４４は、人工知能モデル１４６に対して、対象としている文書を入力し、その文書に個人情報が含まれているか否かを判断させるようにしてもよい。
人工知能モデル１４６は、予め機械学習により文書に個人情報が含まれているか否かを判断することを学習した人工知能である。
ここでの機械学習は、教師データとして、文書とその文書には個人情報が含まれているか否かを示す情報との組を用いている。

図２は、本実施の形態の具体的なシステム構成例を示す説明図である。なお、ここでサービスとは、通信回線経由でコンピューティング、データベース、ストレージ、アプリケーション等のＩＴリソースを利用することができるようにしたシステムのことである。一般的には、クラウドサービス、クラウドコンピューティングとも言われている。ただし、クラウドで実現することに限らず、個々のサービスを単独のサーバー等で提供するものであってもよい。

ＩＤ管理サービス２１０は、認証要求処理モジュール２１２、データ管理モジュール２１４を有している。ＩＤ管理サービス２１０は、ユーザーの管理を行う。具体的には、ポータルサイトサービス２２０から認証要求を受け付けて、対象としているユーザーの認証を行う。
認証要求処理モジュール２１２は、データ管理モジュール２１４、ポータルサイトサービス２２０の認証要求処理モジュール２２２と接続されている。認証要求処理モジュール２１２は、ＩＤ管理サービス２１０に対する認証要求を処理する。データ管理モジュール２１４で管理している認証方法の情報をもとに、認証を行う。認証結果として、認証方法を含む認証トークンを発行する。
データ管理モジュール２１４は、認証要求処理モジュール２１２と接続されている。データ管理モジュール２１４は、ユーザーアカウントのデータや、認証方法の情報等を管理する。

ポータルサイトサービス２２０は、認証要求処理モジュール２２２、データ管理モジュール２２４を有している。ポータルサイトサービス２２０は、ユーザーに対して、文書管理サービス２３０等へのリンクを提供し、ＩＤ管理サービス２１０と連携して、ユーザーの認証も行う。
認証要求処理モジュール２２２は、データ管理モジュール２２４、ＩＤ管理サービス２１０の認証要求処理モジュール２１２と接続されている。認証要求処理モジュール２２２は、ポータルサイトサービス２２０に対する認証要求、及び、ＩＤ管理サービス２１０のアカウントでのＳＳＯを処理する。データ管理モジュール２２４で管理している認証方法の情報、ＩＤ管理サービス２１０との認証連携ポリシーをもとに、認証を行う。
データ管理モジュール２２４は、認証要求処理モジュール２２２、文書管理サービス２３０のデータ取得モジュール２３２と接続されている。データ管理モジュール２２４は、ユーザーアカウントのデータ、ＩＤ管理サービス２１０のユーザーＩＤとのマッピング情報、認証方法、認証連携ポリシー、認証結果等を管理する。

文書管理サービス２３０は、データ取得モジュール２３２、画面表示処理モジュール２３４、データ格納モジュール２３６、データ管理モジュール Ｉｎ Ａ国２３８Ａ、データ管理モジュール Ｉｎ Ｂ国２３８Ｂを有している。文書管理サービス２３０は、文書の作成、保存、検索等の管理を行う。文書（ファイルとも言われる）とは、テキストデータ、数値データ、図形データ、画像データ、動画データ、音声データ等、又は、これらの組み合わせであり、記憶、編集及び検索等の対象となり、システム又は利用者間で個別の単位として交換できるものをいい、これらに類似するものを含む。具体的には、文書は、文書作成プログラム（いわゆるワープロソフト）によって作成された文書、画像読取装置（スキャナー等）で読み込まれた画像、Ｗｅｂページ等を含む。

データ取得モジュール２３２は、画面表示処理モジュール２３４、データ管理モジュール Ｉｎ Ａ国２３８Ａ、データ管理モジュール Ｉｎ Ｂ国２３８Ｂ、ポータルサイトサービス２２０のデータ管理モジュール２２４と接続されている。データ取得モジュール２３２は、ポータルサイトサービス２２０のデータ管理モジュール２２４から、文書管理サービス２３０のユーザーのグループ（以下、テナントともいう）内のユーザーアカウントのデータを取得する。また、データ管理モジュール Ｉｎ Ａ国２３８Ａ、データ管理モジュール Ｉｎ Ｂ国２３８Ｂからファイル情報を取得する。

画面表示処理モジュール２３４は、データ取得モジュール２３２、データ格納モジュール２３６と接続されている。画面表示処理モジュール２３４は、ログインしているユーザーのアカウント情報にしたがって、データ取得モジュール２３２から取得した情報を画面に表示する。

データ管理モジュール２３８は、ユーザーがアップロードした文書を記憶する。データ管理モジュール２３８は、文書管理サービス２３０によるサービスを展開する各国に設置されている。
データ管理モジュール Ｉｎ Ａ国２３８Ａは、データ取得モジュール２３２、データ格納モジュール２３６と接続されている。データ管理モジュール Ｉｎ Ａ国２３８Ａは、Ａ国に設置されており、Ａ国のユーザーの個人情報が含まれている文書は、データ管理モジュール Ｉｎ Ａ国２３８Ａに格納される。
データ管理モジュール Ｉｎ Ｂ国２３８Ｂは、データ取得モジュール２３２、データ格納モジュール２３６と接続されている。データ管理モジュール Ｉｎ Ｂ国２３８Ｂは、Ｂ国に設置されており、主に、Ｂ国のユーザーの個人情報が含まれている文書は、データ管理モジュール Ｉｎ Ｂ国２３８Ｂに格納される。なお、Ａ国のユーザーの個人情報が含まれていない文書も、データ管理モジュール Ｉｎ Ｂ国２３８Ｂに格納されるようにしてもよい。

主に、データ取得モジュール２３２とデータ格納モジュール２３６によって、図１の例で示した文書格納制御モジュール１４４の処理を行う。具体的には、データ取得モジュール２３２は、ポータルサイトサービス２２０のデータ管理モジュール２２４から、文書管理サービス２３０を用いているユーザーに関する情報（特に、そのユーザーの国又は地域の情報）を取得して、そのユーザーの文書をデータ管理モジュール Ｉｎ Ａ国２３８Ａ、データ管理モジュール Ｉｎ Ｂ国２３８Ｂのいずれに格納させるかを決定し、その決定にしたがって文書を格納する。

図３は、データ越境が生じる場合の例（前提）を示す説明図である。
ここでＡ国は、データ越境を禁止している国又は地域である。つまり、Ａ国の政府の規制により個人データを他国又は他地域のサーバーに置くことを禁止している。ここでの他国又は他地域がＢ国に該当する。
具体的には、Ａ国３００内のユーザー３１２の個人データが含まれている文書を、Ｂ国３５０内のサーバーに格納することは、データ越境となる可能性がある。

Ａ国３００では、ＩＤ管理サービス２１０によってユーザー３１２のアカウントが管理されている。
Ｂ国３５０では、文書管理サービス２３０によるサービスの提供を受けることができるグループであるテナントＡ３６０があり、文書管理サービス２３０のサーバーが設置されている。
テナントＡ３６０は、グローバル企業における社員の集団であり、ユーザー３１２、ユーザー３６２等の多国籍の社員で構成されている。ユーザー３１２は、Ａ国３００の国籍を有している。

ステップＳ３０２では、ユーザー３１２が外部認証連携で文書管理サービス２３０へログインする。なお、Ａ国のＩＤ管理サービス２１０のアカウント情報を用いて、ポータルサイトサービス２２０にユーザー登録することができる。
ステップＳ３０４では、Ａ国のユーザー３１２は、テナントＡ３６０のユーザーとして、文書管理サービス２３０が利用できる。Ａ国のユーザー３１２が所属するポータルサイトサービス２２０のテナントが文書管理サービス２３０を契約しているため、Ａ国のユーザー３１２も文書管理サービス２３０を利用できる。
ステップＳ３０６では、Ｂ国ローカルで作成した文書を文書管理サービス２３０にアップロード可能である。具体的には、Ａ国のユーザー３１２を含むテナントＡ３６０のユーザーは、Ｂ国ローカルで作成した文書を文書管理サービス２３０にアップロードできる。そして、テナントＡ３６０のユーザーは、端末の画面上でアップロードしたファイルを共有でき、閲覧、ダウンロードすることができる。
なお、ＩＤ情報のみを連携するなどして、データ越境問題を回避した外部認証連携が成立しているとする。以下の説明においても、外部認証連携ではデータ越境問題を回避しているとする。

図４は、データ越境が生じる場合の処理例を示す説明図である。
Ａ国３００のユーザー３１２がＢ国３５０のユーザー３６２等と協業している場合、文書管理サービス２３０を利用したファイル共有時に、個人データの越境が発生する。Ａ国３００のユーザー３１２がＩＤ管理サービス２１０を利用した外部認証連携をし、ファイル共有サービス（文書管理サービス２３０）を利用した場合を例に挙げる。

ステップＳ４０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。なお、ユーザー３１２自身は、Ａ国３００内におり、通信回線を介してログインし、オンラインで文書管理サービス２３０を利用することになる。
ステップＳ４０４では、ユーザー３１２は、個人データを含む文書を作成する。
ステップＳ４０６では、その文書をＢ国３５０内にあるサーバー（文書管理サービス２３０）に格納することは、Ａ国３００で作成された個人データを含む文書が越境することになる。
したがって、ユーザー３１２は、テナントＡ３６０のサービス（文書管理サービス２３０を含む）は、利用不可である（ステップＳ４０８）。

図５は、データ越境が生じないようにした場合の処理例（単なる改善策）を示す説明図である。図４の例に示した処理例ではデータ越境の問題が生じてしまう。そこで、データ越境の問題を回避するための処理例を示すものである。
ステップＳ５０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。
ステップＳ５０４では、ユーザー３１２は、個人データを含む文書を作成する。
ステップＳ５０６では、ユーザー３１２は、越境回避のためにＡ国に文書を保存する。具体的には、Ａ国３００側にも文書管理サービス２３０Ａを立ち上げて（文書管理サービス２３０Ａの文書を記憶するサーバーをＡ国３００内に設置し）、ユーザー３１２が作成した文書を文書管理サービス２３０Ａに格納する。
ステップＳ５０８では、他ユーザー（テナントＡ３６０内のユーザー３１２以外のユーザー３６２等）は、Ａ国３００のユーザー３１２の文書（文書管理サービス２３０Ａ内の文書）にアクセスできない。

Ａ国３００のユーザー３１２がＡ国３００国内の文書管理サービス２３０Ａを利用した場合、Ｂ国のユーザー３６２等が利用する文書管理サービス２３０からファイルが閲覧できないこととなる。図６の例を用いて説明する。

図６は、図５に示す処理例を行った場合の表示例を示す説明図である。Ａ国３００のユーザー３１２がＩＤ管理サービス２１０を利用した外部認証連携をし、ファイル共有サービス（文書管理サービス２３０）を利用した場合を例に挙げる。

図６（ａ）の例に示す画面６００Ｂは、他ユーザー（テナントＡ３６０内のユーザー３１２以外のユーザー３６２等）の端末で表示される内容である。
画面６００Ｂには、文書リスト６１０Ｂが表示される。
そして、文書リスト６１０Ｂ内には、「表示する項目がありません。」と表示される。ユーザー３６２等は、文書管理サービス２３０にアクセスする。したがって、Ａ国３００のユーザー３１２がアップロードした文書は、参照できない。つまり、その文書があること自体を知ることができない。

図６（ｂ）の例に示す画面６００Ａは、ユーザー３１２の端末で表示される内容である。
画面６００Ａには、文書リスト６１０Ａが表示される。
そして、文書リスト６１０Ａ内には、「名前：Ａ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ａ国ユーザー、更新日時：２０２０／１２／０４ １４：１０、サイズ：３バイト」と表示される。ユーザー３１２は、文書管理サービス２３０Ａにアクセスしているので、ユーザー３１２が作成した文書「Ａ国のユーザーがアップロードしたファイル．ｔｘｔ」というファイル名等が表示され、アクセスすることも可能である。
したがって、同じテナントＡ３６０内のユーザーであっても、ユーザー３１２が作成した文書に対しては、その存在そのものがあるか否かを知ることができるユーザーとできないユーザーがいることになる。このような状況では、グループとしての協働作業を行うことが困難になる。

本実施の形態では、Ａ国３００のＩＤ管理サービス２１０に登録された「国又は地域」情報を抽出し、「国又は地域」情報を基に保存先のサーバーを切り替える。
「国又は地域」がＢ国３５０のユーザーである場合は、文書をＢ国３５０に設置されたサーバーに保存する。
「国又は地域」がＡ国３００のユーザー３１２である場合は、文書をＡ国３００に設置されたサーバーに保存する。
Ａ国３００のＩＤ管理サービス２１０に登録された「国又は地域」情報を連携できない場合は、プロビジョニング元からユーザーの「国又は地域」を識別して「国又は地域」情報を格納すればよい。この処理によって、Ａ国３００のユーザー３１２が文書をアップロードしてもデータ越境が発生しないこととなる。
この処理例を、図７、図８の例を用いて説明する。

図７は、本実施の形態による処理例を示す説明図である。設定フェーズにおける処理例である。なお、Ａ国３００内には記憶モジュール７５０Ａが設置されており、Ｂ国３５０内には記憶モジュール７５０Ｂが設置されている。

ステップＳ７０２では、ＩＤ管理サービス２１０との外部認証連携を用いて、文書管理サービス２３０へログインして、ユーザー３１２を作成する。ユーザー３１２をテナントＡ３６０内に含める。
ステップＳ７０４では、外部認証連携時に、ユーザー３１２の「国又は地域」情報を連携して取得する。具体的には、国／地域情報記憶モジュール７１０Ａ内の「国又は地域」情報を、国／地域情報記憶モジュール７１０Ｂに記憶させる。
又は、ステップＳ７０４の代わりに、ステップＳ７０４´では、「国又は地域」情報が連携できない場合は、プロビジョニング元からユーザーの「国又は地域」を識別して「国又は地域」情報を国／地域情報記憶モジュール７１０Ｂに記憶させる。

国／地域情報記憶モジュール７１０Ｂ内の国又は地域情報として、例えば、ユーザー・国／地域対応テーブル１６００がある。
図１６は、ユーザー・国／地域対応テーブル１６００のデータ構造例を示す説明図である。ユーザー・国／地域対応テーブル１６００は、ユーザーＩＤ欄１６１０、国／地域欄１６２０を有している。ユーザーＩＤ欄１６１０は、本実施の形態において、ユーザーを一意に識別するための情報（具体的には、ユーザーＩＤ）を記憶している。文書管理サービス２３０でのユーザーＩＤが好ましい。特に、Ｂ国３５０において、例えば、ランダムに生成された文字列等であってもよい。なお、そのユーザーのメールアドレスであってもよい。国／地域欄１６２０は、そのユーザーの国又は地域を記憶している。この情報は、前述したように、外部認証連携時に取得する。

図８は、本実施の形態による処理例を示す説明図である。図７の例に示した設定フェーズが行われた後に、行われる利用フェーズ（その１）である。

まず、ユーザー３１２が個人データを含む文書を文書管理サービス２３０にアップロードする場合について説明する。
ステップＳ８０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。
ステップＳ８０４では、ユーザー３１２は、個人データを含む文書を作成する。

ステップＳ８０６では、ユーザー３１２は、その文書の文書管理サービス２３０へのアップロードを行う。
ステップＳ８０８では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、その文書のアップロード操作を行ったユーザー３１２の国又は地域情報を取得する。

ステップＳ８１０では、文書管理サービス２３０は、Ａ国の記憶モジュール７５０Ａに保存する。具体的には、ユーザー３１２の国又は地域情報は、Ａ国３００であることが判明するので、記憶モジュール７５０Ａに保存することを決定し、対象となっている文書を記憶モジュール７５０Ａに保存する。個人データが文書に含まれている場合の保存先として記憶モジュール７５０Ａ、記憶モジュール７５０Ｂのいずれを用いるかは、例えば、国／地域・保存先対応テーブル１７００を参照して決定する。

図１７は、国／地域・保存先対応テーブル１７００のデータ構造例を示す説明図である。国／地域・保存先対応テーブル１７００は、国／地域欄１７１０、保存先ディスク情報欄１７２０を有している。国／地域欄１７１０は、国又は地域を記憶している。保存先ディスク情報欄１７２０は、その国又は地域のユーザーによる文書のアップロード先である保存先のサーバー情報を記憶している。例えば、ＵＲＬ等であってもよい。
具体的な利用方法は、文書に個人データを含む場合は、対象となっているユーザー（ユーザー３１２）の国又は地域情報と一致する国／地域欄１７１０の行における保存先ディスク情報欄１７２０内の格納先を適用すればよい。

次に、ユーザー３６６が文書を文書管理サービス２３０にアップロードする場合について説明する。
ステップＳ８１２では、ユーザー３６６は、文書の文書管理サービス２３０へのアップロードを行う。
ステップＳ８１４では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。
ステップＳ８１６では、文書管理サービス２３０は、その文書をＢ国３５０の記憶モジュール７５０Ｂに保存する。
このように、Ｂ国３５０のユーザー３６６が、個人データを含む文書を文書管理サービス２３０にアップロードしてもデータ越境の問題は発生しない。

図８の例に示した処理例の場合、Ａ国３００のユーザー３１２と協業するＢ国３５０のユーザー（ユーザー３６６等）が文書を参照できない、又は、参照できた場合は、Ｂ国３５０のユーザーがユーザー３１２の文書をコピーしてしまい、間接的にデータ越境が発生する可能性があるため、以下の処理を追加する。
・Ａ国３００の記憶モジュール７５０Ａに保存された文書をＢ国３５０（Ａ国３００以外の国）のユーザーに対して、文書が存在していることを表示することを可能にする。図９の例に示す利用フェーズ（その２）を用いて説明する。
・Ａ国３００の記憶モジュール７５０Ａに保存された文書をＢ国３５０のユーザーに対して、文書が存在していることを表示することを可能にするが、ダウンロードはできないようにする。図１１の例に示す利用フェーズ（その３）を用いて説明する。

図９は、本実施の形態による処理例を示す説明図である。図７の例に示した設定フェーズが行われた後に、行われる利用フェーズ（その２）である。

ステップＳ９０２からステップＳ９１０までの処理は、図８の例に示したステップＳ８０２からステップＳ８１０までの処理と同等である。
ステップＳ９０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。
ステップＳ９０４では、ユーザー３１２は、個人データを含む文書を作成する。
ステップＳ９０６では、ユーザー３１２は、その文書の文書管理サービス２３０へのアップロードを行う。
ステップＳ９０８では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、その文書のアップロード操作を行ったユーザー３１２の国又は地域情報を取得する。
ステップＳ９１０では、文書管理サービス２３０は、Ａ国の記憶モジュール７５０Ａに保存する。

ステップＳ９１２では、ユーザー３６６が、文書管理サービス２３０を参照する。
ステップＳ９１４では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、文書管理サービス２３０を参照する操作を行ったユーザー３６６の国又は地域情報を取得する。
ステップＳ９１６では、文書管理サービス２３０は、参照者であるユーザー３６６の「国又は地域」情報に関わらず、タイトル等の閲覧は可能とする。
したがって、Ａ国３００の記憶モジュール７５０Ａに保存された文書のタイトル等を、Ｂ国３５０のユーザーから閲覧可能である。

図１０は、本実施の形態による表示例を示す説明図である。
図１０（ａ）は、Ｂ国３５０におけるユーザーが文書管理サービス２３０を参照した場合の表示例（図９の例で示したステップＳ９１６での表示例）を示すものである。
画面１０００Ｂには、文書リスト１０１０Ｂが表示される。
文書リスト１０１０Ｂ内には、「名前：Ａ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ａ国ユーザー、更新日時：２０２０／１２／０４ １４：１０、サイズ：３バイト」と表示される。
Ｂ国３５０のユーザーも、Ｂ国３５０の文書管理サービス２３０からＡ国３００のユーザー３１２がアップロードした文書のタイトル等を一覧として参照できる。

図１０（ｂ）は、Ａ国３００におけるユーザー３１２が文書管理サービス２３０を参照した場合の表示例を示すものである。
画面１０００Ａには、文書リスト１０１０Ａが表示される。
文書リスト１０１０Ａ内には、「名前：Ａ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ａ国ユーザー、更新日時：２０２０／１２／０４ １４：１０、サイズ：３バイト」と表示される。
もちろんのことながら、Ａ国３００のユーザー３１２も、Ｂ国３５０の文書管理サービス２３０から自分がアップロードした文書のタイトル等を一覧として参照できる。
つまり、Ａ国３００のユーザー、Ｂ国３５０のユーザーも、同じように、文書のタイトル等の一覧を閲覧することができている。

図１１は、本実施の形態による処理例を示す説明図である。図７の例に示した設定フェーズが行われた後に、行われる利用フェーズ（その３）である。

ステップＳ１１０２からステップＳ１１１０までの処理は、図８の例に示したステップＳ８０２からステップＳ８１０までの処理と同等である。
ステップＳ１１０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。
ステップＳ１１０４では、ユーザー３１２は、個人データを含む文書を作成する。
ステップＳ１１０６では、ユーザー３１２は、その文書の文書管理サービス２３０へのアップロードを行う。
ステップＳ１１０８では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、その文書のアップロード操作を行ったユーザー３１２の国又は地域情報を取得する。
ステップＳ１１１０では、文書管理サービス２３０は、Ａ国の記憶モジュール７５０Ａに保存する。

ステップＳ１１１２では、ユーザー３６６が、文書管理サービス２３０を参照する。
ステップＳ１１１４では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、文書管理サービス２３０を参照する操作を行ったユーザー３６６の国又は地域情報を取得する。
ステップＳ１１１６では、文書管理サービス２３０は、参照者であるユーザー３６６の「国又は地域」情報がＡ国の国外の場合（Ａ国ではない場合）は、ユーザー３１２がアップロードした文書のダウンロードを不可とする。例えば、ダウンロードボタンを表示しない等のユーザーインタフェースとする。
これによって、ユーザー３１２がアップロードした文書について、Ａ国の国外にいるユーザーによる文書の持ち出しによるデータ越境を防止する。

図１２Ａは、本実施の形態による表示例を示す説明図である。
図１２Ａ（ａ１）は、Ｂ国３５０におけるユーザーが文書管理サービス２３０を参照した場合の表示例を示すものである。
画面１２００Ｂには、文書リスト１２１０Ｂ、文書リスト１２１２Ｂが表示される。
文書リスト１２１０Ｂ内には、「名前：Ａ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ａ国ユーザー、更新日時：２０２０／１２／０４ １４：１０、サイズ：３バイト」と表示される。
文書リスト１２１２Ｂ内には、「名前：Ｂ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ｂ国ユーザー、更新日時：２０２０／１２／０４ １４：３１、サイズ：５バイト」と表示される。

図１２Ａ（ａ２）は、ステップＳ１１１６における表示例を示している。これは、図１２Ａ（ａ１）の状態から文書リスト１２１０Ｂが選択された状態を示している。つまり、Ｂ国３５０のユーザー３６６が、記憶モジュール７５０Ａに格納された文書に対する操作を行おうとしている。
具体的には、文書リスト１２１０Ｂが選択され、文書操作表示領域１２２０Ｂを表示している。文書操作表示領域１２２０Ｂには、そのチェックに対しての可能な操作（名前の変更等）を表示する。ただし、図１２Ａ（ａ２）では文書操作表示領域１２２０Ｂ内にダウンロード不可１２２２Ｂと表示する。つまり、Ｂ国３５０におけるユーザー３６６等に対しては、Ａ国３００のユーザー３１２がアップロードした文書をダウンロードできないようにしている。

図１２Ａ（ａ３）は、図１２Ａ（ａ１）の状態から文書リスト１２１２Ｂが選択された状態を示している。つまり、Ｂ国３５０のユーザー３６６が、記憶モジュール７５０Ｂに格納された文書に対する操作を行おうとしている。
具体的には、文書リスト１２１２Ｂが選択され、文書操作表示領域１２３０Ｂを表示している。文書操作表示領域１２３０Ｂには、そのチェックに対しての可能な操作（名前の変更等）を表示する。そして、図１２Ａ（ａ３）では文書操作表示領域１２３０Ｂ内にダウンロード１２３２Ｂと表示する。つまり、Ｂ国３５０におけるユーザー３６６等に対しては、Ａ国３００のユーザー３１２がアップロードした文書以外の文書はダウンロードできるようになっている。

図１２Ｂは、本実施の形態による表示例を示す説明図である。
図１２Ｂ（ｂ１）は、Ａ国３００におけるユーザー３１２が文書管理サービス２３０を参照した場合の表示例を示すものである。
画面１２００Ａには、文書リスト１２１０Ａ、文書リスト１２１２Ａが表示される。
文書リスト１２１０Ａ内には、「名前：Ａ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ａ国ユーザー、更新日時：２０２０／１２／０４ １４：１０、サイズ：３バイト」と表示される。
文書リスト１２１２Ａ内には、「名前：Ｂ国のユーザーがアップロードしたファイル．ｔｘｔ、作成者：Ｂ国ユーザー、更新日時：２０２０／１２／０４ １４：３１、サイズ：５バイト」と表示される。
図１２Ａ（ａ１）の例に示した画面１２００Ｂと同等である。

図１２Ｂ（ｂ２）は、図１２Ｂ（ｂ１）の状態から文書リスト１２１０Ａが選択された状態を示している。つまり、Ａ国３００のユーザー３１２が、記憶モジュール７５０Ａに格納された文書に対する操作を行おうとしている。
具体的には、文書リスト１２１０Ａが選択され、文書操作表示領域１２２０Ａを表示している。文書操作表示領域１２２０Ａには、そのチェックに対しての可能な操作（名前の変更等）を表示する。そして、図１２Ｂ（ｂ２）では文書操作表示領域１２２０Ａ内にダウンロード１２２２Ａと表示する。つまり、Ａ国３００におけるユーザー３１２に対しては、Ａ国３００のユーザー３１２がアップロードした文書をダウンロードできるようになっている。

図１２Ｂ（ｂ３）は、図１２Ｂ（ｂ１）の状態から文書リスト１２１２Ａが選択された状態を示している。つまり、Ａ国３００のユーザー３１２が、記憶モジュール７５０Ｂに格納された文書に対する操作を行おうとしている。
具体的には、文書リスト１２１２Ａが選択され、文書操作表示領域１２３０Ａを表示している。文書操作表示領域１２３０Ａには、そのチェックに対しての可能な操作（名前の変更等）を表示する。そして、図１２Ｂ（ｂ３）では文書操作表示領域１２３０Ａ内にダウンロード１２３２Ａと表示する。つまり、Ａ国３００におけるユーザー３１２に対しては、Ａ国３００のユーザー３１２がアップロードした文書以外の文書もダウンロードできるようになっている。前述したように、Ｂ国はデータ越境を禁止していないからである。

前述した図８、図９、図１１の例では、Ａ国３００のユーザー３１２が作成した文書（つまり、個人データを含む、含まないにかかわらず）をＢ国３５０のユーザーが持ち出すことができないため、ユーザー３１２の個人データを含む文書だけを対象とできるようにすべきである。
文書を作成したユーザーが格納先を設定可能にする、又は、機械学習を用いた個人データを含む文書であるか否かの識別を行い、個人データを含む文書のＡ国３００の記憶モジュール７５０Ａへの格納、個人データを含まない文書のＢ国３５０の記憶モジュール７５０Ｂへの格納を可能にするように、図１３の例に示す利用フェーズ（その４）を用いて説明する。

図１３は、本実施の形態による処理例を示す説明図である。図７の例に示した設定フェーズが行われた後に、行われる利用フェーズ（その４）である。

ステップＳ１３０２では、ユーザー３１２は、外部認証連携で文書管理サービス２３０へログインする。
ステップＳ１３０４では、ユーザー３１２は、個人データを含む文書を作成する。
ステップＳ１３０６では、ユーザー３１２は、その文書の保存先をＡ国と設定して、文書管理サービス２３０にアップロードを行う。
ステップＳ１３０８では、文書管理サービス２３０は、Ａ国３００の記憶モジュール７５０Ａにその文書を保存する。

ステップＳ１３１０では、ユーザー３１２は、個人データを含まない文書を作成する。
ステップＳ１３１２では、ユーザー３１２は、その文書の保存先をＢ国と設定して、文書管理サービス２３０にアップロードを行う。
ステップＳ１３１４では、文書管理サービス２３０は、Ｂ国３５０の記憶モジュール７５０Ｂにその文書を保存する。

ステップＳ１３１６では、ユーザー３６４は、文書管理サービス２３０を参照する。
ステップＳ１３１８では、文書管理サービス２３０は、国／地域情報記憶モジュール７１０Ｂを参照する。具体的には、参照操作を行ったユーザー３６４の国又は地域情報を取得する。
ステップＳ１３２０では、記憶モジュール７５０Ａ内の文書については、「国又は地域」情報がＡ国国外の場合（Ａ国３００ではない場合）はダウンロードを不可とする。例えば、ダウンロードボタンを表示しない。
ステップＳ１３２２では、記憶モジュール７５０Ｂ内の文書については、Ａ国国外のユーザー（又はＡ国のユーザー）はダウンロード可能とする。

また、ステップＳ１３０６、ステップＳ１３１２の代替として機械学習を用いた個人情報判別を行い、個人データを含む文書である場合は、Ａ国３００の記憶モジュール７５０Ａに保存し、個人データを含まない文書である場合は、Ｂ国３５０の記憶モジュール７５０Ｂへ保存するよう制御する。機械学習は、教師データとして、文書とその文書には個人情報が含まれているか否かを示す情報との組を用いている。特に、教師データとして、Ａ国３００のユーザーが作成した文書を用いることが望ましい。さらに、教師データとして、Ａ国３００のユーザーが、Ｂ国３５０の言語を用いて作成した文書を用いることが望ましい。
このような処理を行うことによって、Ａ国３００の国外ユーザーによる、Ａ国３００のユーザー３１２の個人データを含まない文書の持ち出しが可能となる。

図１４は、本実施の形態による処理例を示すフローチャートである。文書のアップロードに関する処理例を示すものである。
ステップＳ１４０２では、ユーザーのログイン処理を行う。
ステップＳ１４０４では、ログインしたユーザーのユーザー情報（国又は地域を示す情報）を取得する。

ステップＳ１４０６では、アップロード用の画面を表示する。
ステップＳ１４０８では、文書のアップロードを開始する。

ステップＳ１４１０では、個人情報を含む文書か否かを判別し、アップロード先がデータ越境を禁止している国又は地域の場合はステップＳ１４１２へ進み、アップロード先がデータ越境を禁止している国又は地域以外の場合はステップＳ１４１４へ進む。
ステップＳ１４１２では、アップロード先をその国又は地域に設置されている記憶モジュールに設定する。

ステップＳ１４１４では、アップロード先を予め定められた記憶モジュールに設定する。
ステップＳ１４１６では、設定されたアップロード先に、文書をアップロードする。
ステップＳ１４１８では、次の操作を受け付ける画面を表示する。

図１５は、本実施の形態による処理例を示すフローチャートである。文書のダウンロードに関する処理例を示すものである。
ステップＳ１５０２では、ユーザーのログイン処理を行う。
ステップＳ１５０４では、ログインしたユーザーのユーザー情報（国又は地域を示す情報）を取得する。

ステップＳ１５０６では、ダウンロード用の画面を表示する。
ステップＳ１５０８では、ダウンロード対象の文書の格納先が設置されている国又は地域を示す情報を取得する。

ステップＳ１５１０では、文書のダウンロードの可否を判断し、文書をダウンロード可と判断した場合はステップＳ１５１２へ進み、文書をダウンロードできないと判断した場合はステップＳ１５１４へ進む。
ここでの判断として、ステップＳ１５０４で取得した国又は地域を示す情報とステップＳ１５０８で取得した国又は地域を示す情報が一致する場合は、文書をダウンロード可と判断し、一致しない場合は、文書をダウンロードできないと判断する。又は、ステップＳ１５０８で取得した国又は地域を示す情報がデータ越境を禁止している国又は地域である場合は、ステップＳ１５０４で取得した国又は地域を示す情報とステップＳ１５０８で取得した国又は地域を示す情報が一致する場合は、文書をダウンロード可と判断し、一致しない場合は、文書をダウンロードできないと判断するようにしてもよい。そして、ステップＳ１５０８で取得した国又は地域を示す情報がデータ越境を禁止している国又は地域ではない場合は、文書をダウンロード可と判断するようにしてもよい。

ステップＳ１５１２では、文書をダウンロードする。
ステップＳ１５１４では、文書のダウンロードはできない旨を表示する。
ステップＳ１５１６では、次の操作を受け付ける画面を表示する。

上記各実施形態において、プロセッサとは広義的なプロセッサを指し、汎用的なプロセッサ（例えば ＣＰＵ： Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、等）や、専用のプロセッサ（例えば ＧＰＵ： Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、ＡＳＩＣ： Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ、ＦＰＧＡ： Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ、プログラマブル論理デバイス、等）を含むものである。
また上記各実施形態におけるプロセッサの動作は、１つのプロセッサによって成すのみでなく、物理的に離れた位置に存在する複数のプロセッサが協働して成すものであってもよい。また、プロセッサの各動作の順序は上記各実施形態において記載した順序のみに限定されるものではなく、適宜変更してもよい。
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ－Ｒ、ＤＶＤ－ＲＷ、ＤＶＤ－ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ－ＲＯＭ）、ＣＤレコーダブル（ＣＤ－Ｒ）、ＣＤリライタブル（ＣＤ－ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略）メモリーカード等が含まれる。
そして、前記のプログラムの全体又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、又は無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分若しくは全部であってもよく、又は別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。

１００…情報処理装置
１０５…プロセッサ
１１０…メモリ
１２０…データメモリ
１２２…国情報記憶モジュール
１４０…プログラムメモリ
１４２…認証制御モジュール
１４４…文書格納制御モジュール
１４６…人工知能モデル
１８５…出力装置
１８７…表示装置
１８９…印刷装置
１９０…受付装置
１９２…指示受付装置
１９４…文書読取装置
１９５…通信装置
１９８…バス
２１０…ＩＤ管理サービス
２１２…認証要求処理モジュール
２１４…データ管理モジュール
２２０…ポータルサイトサービス
２２２…認証要求処理モジュール
２２４…データ管理モジュール
２３０…文書管理サービス
２３２…データ取得モジュール
２３４…画面表示処理モジュール
２３６…データ格納モジュール
２３８…データ管理モジュール
２３８Ａ…データ管理モジュール Ｉｎ Ａ国
２３８Ｂ…データ管理モジュール Ｉｎ Ｂ国

Claims (9)

1. メモリとプロセッサを備え、
   前記メモリは、ユーザーの国又は地域を示す国情報を記憶しており、
   前記プロセッサは、
   ユーザーから個人情報を含む可能性がある文書が格納される場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、
   情報処理装置。
2. 前記プロセッサは、
   ユーザーが用いるサービスにおける外部認証を行う際に、前記ユーザーの国情報を前記メモリに記憶させる、
   請求項１に記載の情報処理装置。
3. 前記メモリは、前記ユーザーの国又は地域以外の国又は地域に設置されており、
   前記プロセッサは、
   外部認証を行う際に、前記サービスを利用できることだけを示す情報と国情報を対応させて、前記メモリに記憶させる、
   請求項２に記載の情報処理装置。
4. 前記プロセッサは、
   データ越境を禁止している国の第１ユーザーの文書が、前記国のサーバーに記憶されている場合に、前記国とは異なる国の第２ユーザーに対して、前記文書が存在していることを表示するように制御する、
   請求項１に記載の情報処理装置。
5. 前記プロセッサは、
   前記第２ユーザーに対して、データ越境を禁止している国のサーバーに記憶されている前記文書のダウンロードを禁止するように制御する、
   請求項４に記載の情報処理装置。
6. 前記プロセッサは、
   前記文書に個人情報が含まれている場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、
   請求項１に記載の情報処理装置。
7. 前記プロセッサは、
   前記文書に個人情報が含まれていない場合に、前記文書を格納するサーバーとして、予め定められたサーバーに決定するように制御する、
   請求項１に記載の情報処理装置。
8. 前記プロセッサは、
   予め機械学習により文書に個人情報が含まれているか否かを判断することを学習した人工知能に対して、対象としている文書を入力し、前記文書に個人情報が含まれているか否かを判断する、
   請求項６又は７に記載の情報処理装置。
9. メモリとプロセッサを備えたコンピュータの前記メモリは、
   ユーザーの国又は地域を示す国情報を記憶しており、
   前記プロセッサに、
   ユーザーから個人情報を含む可能性がある文書が格納される場合に、前記ユーザーの前記国情報を参照して、前記文書を格納するサーバーを決定するように制御する、
   処理を実行させるための情報処理プログラム。

Images