JP2023085088A - 情報処理装置、情報処理方法及びコンピュータプログラム - Google Patents

Abstract

【課題】記録に示される処理が適正に実行されているか検証可能にする。【解決手段】本実施形態に係る情報処理装置は、データに対する処理に関する記録及びデータに対する処理の同意に関する記録の少なくとも一方を保持する第１記憶システムから前記記録を取得し、前記処理及び前記同意の少なくとも一方に関連して行われる動作のログを保持する第２記憶システムから前記ログを取得し、取得した前記ログに基づき、取得した前記記録に関する整合性を検証する、処理部、を備える。【選択図】図１

Description

本実施形態は、情報処理装置、情報処理方法及びコンピュータプログラムに関する。

個人情報の保護に関する法律（以下、個人情報保護法）により個人情報取扱事業者は、個人情報（要配慮個人情報を含む）の取得、利用等に当たって、その利用目的、個人データの第三者への提供及び第三者からの受領に関して、本人、つまり、個人データの所有者の同意をあらかじめ得ることが求められる。例えば、個人情報取扱事業者は、当該同意に関する記録を作成し、所有者の同意を要する処理を実行する際に、当該同意の有無を確認する。

個人データの提供の流れをトレース可能にするために、個人情報取扱事業者が第三者へ個人データを提供する際には、当該提供に関する記録を作成して一定期間保存することが求められる。例えば、個人情報取扱事業者は、個人データを提供したことを、所有者の名称、所有者の同意、個人データの項目、提供先の第三者の名称などとともに記録する。また、個人データを提供された第三者である個人情報取扱事業者は、提供された個人データを提供元の個人情報取扱事業者が取得した経緯を確認し、受領に関する記録を作成して一定期間保存することが求められる。例えば、個人データを提供された第三者、言い換えれば、個人データの利用者は、提供元の個人情報取扱事業者の名称と、提供された個人データを提供元の個人情報取扱事業者が取得した経緯とを確認し、確認した情報とともに個人データを受領したことを記録する。

個人データに対して行われた処理を検証可能にするために、個人情報取扱事象者が、提供に関する記録（提供記録）と受領に関する記録（受領記録）の他にも、例えば、個人データの取得に関する記録（取得記録）、生成（例えば個人データを処理して生成されるデータ）に関する記録（生成記録）、削除に関する記録（削除記録）を作成して一定期間保存することが行われている。これらの記録を総称して、処理に関する記録と言う。個人情報取扱事業者による個人データの処理が記録に示される通りに実際に行われているか、すなわち、処理に関する記録が個人情報取扱事業者の処理実行を反映しているかを所有者又は監査者により検証する仕組みが必要であるが、このような仕組みは現状存在しない。

特開２０２１－４８５４６号公報

本実施形態は、記録に示される処理が適正に実行されているかを検証可能にする情報処理装置、情報処理方法及びコンピュータプログラムを提供する。

本実施形態に係る情報処理装置は、データに対する処理に関する記録及びデータに対する処理の同意に関する記録の少なくとも一方を保持する第１記憶システムから前記記録を取得し、前記処理及び前記同意の少なくとも一方に関連して行われる動作のログを保持する第２記憶システムから前記ログを取得し、取得した前記ログに基づき、取得した前記記録に関する整合性を検証する、処理部、を備える。

第１の実施形態に係るデータ管理システムの全体構成図。 個人データとその属性情報の例を示す図。 データの種別及び詳細の例、事業者識別子の例、データの処理の目的の識別子（目的識別子）の例、同意情報の撤回時の取り扱いに関する撤回識別子の例を示す図。 個人データの属性情報、要求情報及び同意情報の例を示す図。 個人データの属性情報、要求情報及び同意情報の他の例を示す図 個人データの属性情報、要求情報及び同意情報のさらに他の例を示す図。 提供の記録の例と、受領の記録の例とを示す図。 解析結果データ（生成データ）の属性情報の例と、解析の記録の例とを示す図。 取得の記録の一例を示す図。 第１の実施形態に係る処理の一例のフローチャート。 データアクセスログの例を示す図。 削除の記録の例を示す図。 第１の実施形態に係る通信ログの例を示す図。 第１の実施形態に係る通信ログの他の例を示す図。 実施形態１－３に係る動作の一例のフローチャート。 同意情報（同意の撤回情報）の例を示す図。 第１の実施形態に係る認証ログの一例を示す図。 第２の実施形態に係るデータ管理システムの全体構成図。 第２の実施形態に係る対応表の例を示す図。 所有者識別子２を仮名にした対応表の例を示す図。 第２の実施形態に係る検証装置の動作の一例のフローチャート。 第２の実施形態に係るデータアクセスログの他の例を示す図。 第２の実施形態に係る通信ログの例を示す図。 第３の実施形態に関するデータ管理システムの一例を示すブロック図。 第３の実施形態に係るブロックチェーンの一例を示す図。 図２５に続く図。 第３の実施形態に係る検証装置の動作の一例のフローチャート。 第３の実施形態に係るデータアクセスログの例を示す図。 第３の実施形態に係る通信ログの例を示す図。 第３の実施形態に係る認証ログの一例を示す図。 検証装置（情報処理装置）のハードウェア構成を示す図。

以下、図面を参照しながら、本発明の実施形態について説明する。図面において同一の要素には同一の符号を付し、変更又は拡張された処理を除き、説明を適宜省略する。

（第１の実施形態）
＜実施形態１－１＞

図１は、第１の実施形態に係る情報処理システムであるデータ管理システムの全体構成図である。図１のデータ管理システムは、本実施形態に係る情報処理装置である検証装置１と、データ管理装置１０１と、同意情報・履歴情報記憶システム２０１（以下、第１記憶システム２０１と記載する）、データ送信元装置３０１、データ受信先装置４０１、所有者装置５０１と、第２記憶システム６０１とを備えている。

検証装置１は、通信ネットワークを介して、第１記憶システム２０１と第２記憶システム６０１とに接続されている。データ管理装置１０１は、通信ネットワークを介して、第１記憶システム２０１、データ送信元装置３０１、データ受信先装置４０１、第２記憶システム６０１と接続されている。データ管理装置１０１が、通信ネットワークを介して所有者装置５０１と接続されていてもよい。所有者装置５０１は、通信ネットワークを介して、第１記憶システム２０１と接続されている。データ送信元装置３０１及びデータ受信先装置４０１が、通信ネットワークを介して、第１記憶システム２０１に接続されていてもよい。各通信ネットワークは、インターネット又はモバイルネットワーク等のワイドエリアネットワークでも、イーサネット又は無線ＬＡＮ（Local Area Network）等のローカルエリアネットワークでもよいし、シリアル通信ケーブル等のケーブルでもよい。データ管理装置１０１は、一例としてＣＰＵ（Central Processing Unit）等のプロセッサ及びメモリ等を含むコンピュータにより構成される。

データ管理装置１０１は、データ管理装置１０１を管理する事業者の装置やシステム、データ送信元装置３０１、データ受信先装置４０１、所有者装置５０１から、ある個人に関するデータに対して処理を行うことを要求する要求情報を受信する。データ送信元装置３０１又はデータ受信先装置４０１からデータ管理装置１０１への要求情報の送信は、データ管理装置１０１を管理する事業者の装置やシステム又は所有者装置５０１が、データ送信元装置３０１又はデータ受信先装置４０１に要求情報の送信を要求することで行われることもある。個人に関するデータは、一例として、個人データ、個人データを解析した解析結果データ（個人データに基づき生成されたデータ）等である。以下では、単にデータと記述した場合、個人に関するデータを意味し、個人データでも、解析結果データなどいずれでもよい。要求情報は、例えば他の事業者へのデータの提供、データの利用（解析等）、又は、個人からのデータの取得等を要求する情報である。他の事業者へのデータの提供は、当該他の事業者から見ればデータの受領及び保有（保管）の少なくとも一方を意味する。したがって、データの提供の要求は、データの受領及び保有（保管）の少なくとも一方の要求を含んでいる。データ管理装置１０１は、個人が当該個人のデータに処理を行うことに同意する同意条件を含む同意情報（同意に関する記録）を第１記憶システム２０１から取得する。データ管理装置１０１は、取得した同意情報と要求情報とに基づき、データに対する処理の実行可否を判定する。データ管理装置１０１は、実行可否の判定結果に応じて、データに対し処理を行う。データ管理装置１０１は、処理を行った場合に、処理の内容等を示す記録を作成し、記録を第１記憶システム２０１に登録する。

所有者装置５０１は、個人データの所有者である個人が操作する装置である。所有者装置５０１は、一例としてノート型又はデスクトップ型のパーソナルコンピュータ（ＰＣ）、スマートフォン、タブレット端末等である。個人は、所有者装置５０１から第１記憶システム２０１に１つ以上の同意情報を登録することができる。また個人は所有者装置５０１から個人データをデータ管理装置１０１に送信することができる。すなわち、データ管理装置１０１が所有者装置５０１から個人データを受信（取得）することができる。

第１記憶システム２０１は、１人以上の個人の同意情報を記憶している。また第１記憶システム２０１はデータ管理装置１０１で行われた処理の内容等を示す記録の履歴を記憶している。第１記憶システム２０１は、情報を記憶可能なシステムである。第１記憶システム２０１のうち同意情報を記憶する部分は同意情報記憶部に対応し、記録の履歴を記憶する部分は記録記憶部に対応する。第１記憶システム２０１は、一例として、ブロックチェーンシステム、又はデータベースである。第１記憶システム２０１がブロックチェーンシステムの場合、同意情報と記録とがそれぞれトランザクションとして同じブロックチェーンで管理されてもよいし、別々のブロックチェーンシステムで管理されてもよい。第１記憶システム２０１がデータベースの場合も、同意情報と記録とがそれぞれ同じデータベースで管理されてもよいし、別々のデータベースで管理されてもよい。

データ送信元装置３０１は、個人データ等のデータの処理（提供、利用（解析等）、取得等）をデータ管理装置１０１に要求する装置である。または、データ送信元装置３０１は、データの処理に関する要求を、データ管理装置１０１を管理する事業者の装置やシステム（図示のデータ管理装置１０１以外の装置やシステム）又は所有者装置５０１から受信してもよい。データ送信元装置３０１は、当該要求に基づいて、データ管理装置１０１にデータの処理を要求してもよい。データ送信元装置３０１は、一例としてデータ送信元装置３０１を管理する事業者に従事する職員（ユーザ）によって操作される。データ送信元装置３０１は、要求情報をデータ管理装置１０１に送信する。または、データ送信元装置３０１は、要求を受信し、要求に応じて、要求情報をデータ管理装置１０１に送信する。要求情報の種類に応じて、処理を行う対象となるデータもデータ管理装置１０１に送信する。データ送信元装置３０１がデータ管理装置１０１とは異なる他のデータ管理装置（データ管理装置１０１と同等の構成を有する装置）であってもよい。データ管理装置１０１を管理する事業者とデータ送信元装置３０１を管理する事業者が同一の事業者であってもよい。データ管理装置１０１を管理する事業者とデータ送信元装置３０１を管理する事業者が異なる事業者であってもよい。データ送信元装置３０１が所有者装置５０１と同一のこともあり得る。

データ受信先装置４０１は、データ（個人データ又は解析結果データ等）をデータ管理装置１０１から受信する装置である。データ受信先装置４０１は、データの処理（提供、利用（解析等）等）の要求を、データ管理装置１０１を管理する事業者の装置やシステム（図示のデータ管理装置１０１以外の装置やシステム）又は所有者装置５０１から受信してもよい。データ受信先装置４０１は、当該要求に基づいて、データ管理装置１０１にデータの処理を要求してもよい。データ受信先装置４０１は、個人データ等のデータの処理（提供、利用（解析等）、取得等）をデータ管理装置１０１に要求する場合もある。データ受信先装置４０１は、一例としてデータ受信先装置４０１を管理する事業者に従事する職員（ユーザ）によって操作される。データ受信先装置４０１は、要求情報をデータ管理装置１０１に送信してもよい。または、データ受信先装置４０１は、要求を受信し、要求に応じて要求情報をデータ管理装置１０１に送信してもよい。データ受信先装置４０１は、データをデータ管理装置１０１から受信する。データ受信先装置４０１がデータ管理装置１０１とは異なる他のデータ管理装置（データ管理装置１０１と同等の構成を有する装置）でもよい。データ管理装置１０１を管理する事業者とデータ受信先装置４０１を管理する事業者が同一の事業者であってもよい。データ管理装置１０１を管理する事業者とデータ受信先装置４０１を管理する事業者が異なる事業者であってもよい。

データ受信先装置４０１の事業者とデータ送信元装置３０１の事業者が同一であってもよい。また、データ受信先装置４０１とデータ送信元装置３０１が同一の装置であってもよい。また、データ管理装置１０１の事業者が、データ送信元装置３０１の事業者及びデータ受信先装置４０１の少なくとも一方の事業者と同一であってもよい。

以下、「個人データ」、「同意情報」、「要求情報」ついて説明する。
図２は、個人データとその属性情報の例として、個人データ１及び属性情報１を示す。属性情報は個人データの１つ又は複数の属性を含む。個人データ１の属性情報が属性情報１である。属性情報１は、データの所有者識別子、データ種別（種別）と、１つ以上のデータ詳細（詳細）を含む。詳細を含まない場合もあり得る。図２の例では詳細１、詳細２、詳細３が示される。

所有者識別子は、データの所有者（個人）に振られる識別子である。本実施形態において所有者識別子は、データ管理装置１０１、第１記憶システム２０１、第２記憶システム６０１、データ送信元装置３０１、データ受信先装置４０１及び検証装置１で共通の値が用いられる。種別及び詳細の値は、識別子、文字列、日付型データ又は数値等である。

図３（Ａ）は、データの種別及び詳細の例を示す。種別はデータ種別識別子、詳細はデータ詳細識別子で表される。データ種別識別子Ｔ０００１はヘルスケアデータを示す。Ｔ０００１はデータ詳細識別子Ｄ０００１、Ｄ０００２、Ｄ０００３に関連付けられている。Ｄ０００１、Ｄ０００２、Ｄ０００３は、それぞれ体温、体重、歩数を表す。

上述の図２の例では、詳細１の値が、Ｄ０００１である。詳細２は日付、詳細３は任意の数値（例えばインデックス番号等）である。図２の個人データ１は、所有者識別子Ｕ０００００１の個人の２０２０年８月における各日の体温の値を含む。

図３（Ｂ）は、事業者識別子の例を示す。図３（Ｃ）は、データの処理の目的の識別子（目的識別子）の例を示す。図３（Ｄ）は、同意情報の撤回時の取り扱いに関する撤回識別子の例を示す。図３（Ｂ）～図３（Ｄ）の情報は後述する同意情報及び要求情報等で用いられる。

次に、同意情報について説明する。同意情報は、同意情報識別子、所有者識別子、データ種別（種別）、詳細、１つ以上の事業者、同意対象の事象、当該事象に対する同意状態（同意／不同意）、同意期間、撤回時の取り扱い、同意日時等を含む。詳細を含まない場合もある。

図４の右は、同意情報の例として、同意情報７（間接取得同意）を示す。同意情報７は、同意情報識別子、所有者識別子、種別、詳細、提供事業者、受領事業者、同意対象の事象、同意対象への同意状態（同意／不同意）、同意期間、撤回時の取り扱い、同意日時等を含む。同意情報が詳細を含まない場合もあり得る。同意対象の事象は、例えば、受領事業者によるデータ受領、受領事業者によるデータ保有、受領又は保有による目的への利用、同意情報と記録との保存である。受領事業者はデータを受領する事業者であり、受け取ったデータを保有又は保存することもある。同意情報識別子は、同意情報を識別する情報である。

図５の右は、同意情報の他の例として、同意情報３（直接取得同意）を示す。同意情報３は、同意情報識別子、所有者識別子、種別、詳細、取得事業者、同意対象の事象、同意対象への同意状態（同意／不同意）、同意期間、撤回時の取り扱い、同意日時等を含む。同意情報は詳細を含まない場合もあり得る。同意対象の事象は例えば、取得事業者によるデータ取得、取得事業者によるデータ保有（保存）、取得する目的への利用、同意情報と記録との保存がある。取得事業者は個人のデータを個人の所有者装置５０１やデータ送信元装置３０１から取得する事業者であり、図の例ではデータ管理装置１０１の事業者（Ｃ００１）である。

次に、要求情報について説明する。要求情報は、データ管理装置１０１に処理の要求を行う情報である。要求の種類は、一例として、提供、利用（解析等）、取得がある。

図４の中央は、要求の種類が提供の場合の要求情報の例として要求情報１を示す。要求の種類が提供の場合、要求情報は、所有者識別子、データ種別（種別）、詳細、提供事業者、受領事業者、１つ以上の受領事業者の受領及び保有（保存）の目的、を含む。要求情報１が詳細を含まない場合もある。提供は、提供先の事業者に受領と保有（保存）を要求する。

図５の中央は、要求の種類が取得の場合の要求情報の例として要求情報２を示す。要求の種類が取得の場合、要求情報は、所有者識別子、データ種別（種別）、詳細、取得事業者、１つ以上の取得事業者の取得の目的、を含む。要求情報２が詳細を含まない場合もあり得る。

図６の中央は、要求の種類が利用の場合の要求情報の例として要求情報３を示す。要求の種類が利用の場合、要求情報は、所有者識別子、データ種別（種別）、詳細、利用事業者（図の例では解析事業者）、１つ以上の利用事業者（図の例では解析事業者）のデータの利用の目的、を含む。要求情報３が詳細を含まない場合もあり得る。データの利用とはデータ（第１データ）に何らかの処理を行い新たなデータ（第２データ）を生成することを含む。例えばヘルスケアデータを解析して、健康状態に関する解析結果データを生成することがある。

以下、データ管理装置１０１の各部について説明する。データ管理装置１０１は、データ保管部１１と、同意情報取得部１２と、判定処理部１３と、履歴登録部１４と、入力部１５と、出力部１６と、データ解析部１７と、を備える。データ管理装置１０１が備える要素はこれらに限定されず、例えば、情報又は指示を入力する入力インタフェース、情報又はデータを表示する表示装置等の出力インタフェースを備えていてもよい。

入力部１５は、データ送信元装置３０１又はデータ受信先装置４０１又は所有者装置５０１又はデータ管理装置１０１を管理する事業者の装置やシステムから処理（提供、利用（解析等）、又は取得等）を要求する要求情報を受信し、受信した要求情報を判定処理部１３に送る。入力部１５は、要求情報を受信する受信部の一例である。また、入力部１５は、データ送信元装置３０１から個人に関するデータ（個人データ等）を受信し、受信したデータをデータ保管部１１に送る。上述したように、入力部１５はデータ送信元装置３０１以外の装置から要求情報及びデータの少なくとも一方を受信してもよい。例えばデータ管理装置１０１の管理者が操作する装置又は所有者装置５０１等から、要求情報及びデータの少なくとも一方を受信してもよい。

判定処理部１３は、入力部１５から要求情報を受け取り、受け取った要求情報に基づき同意情報を取得する指示を同意情報取得部１２に送る。

同意情報取得部１２は、要求情報に基づき所有者識別子が一致する同意情報の読み出しを第１記憶システム２０１に依頼し、第１記憶システム２０１から同意情報を受け取る。同意情報取得部１２は、最新の同意情報（例えば最新の同意日付の同意情報）だけを第１記憶システム２０１から受け取ってもよい。また同意情報取得部１２は、全て又は一定期間の全ての同意情報を受け取ってもよい。また、所有者識別子が一致する全ての同意情報を受け取ってもよい。要求情報のうち所有者識別子に加え、他の１つ以上の項目が一致する同意情報を受け取ってもよい。

判定処理部１３は、同意情報取得部１２によって取得された同意情報を受け取り、要求情報が同意情報を満たすかに応じて、要求情報によって要求された処理の実行可否を判定する。判定処理部１３は、判定結果を示す情報をデータ保管部１１と出力部１６とに送る。

判定処理部１３による判定方法の第１例を、前述した図４を用いて説明する。

要求情報が図４の要求情報１であるとする。要求情報１の所有者識別子、種別、詳細、提供事業者、受領事業者、受領事業者の受領（又は保有）の目的等の比較項目が一致する同意情報を特定する。目的については、同意情報の目的が要求情報１の目的を含んでいればよく、要求情報１に存在しない目的が同意情報に含まれていてもよい。特定した同意情報において、受領事業者によるデータ受領への同意状態、受領事業者によるデータ保有（データ保存）への同意状態、要求情報１に含まれる目的への同意状態がすべて「同意」であるとき、要求情報１は同意情報を満たす。要求情報１に存在しない目的が同意情報において不同意であってもよい。特定した同意情報が複数あるときは、最新の同意情報を対象として、各同意状態を判断する。要求情報１が同意情報を満たすとき、要求情報１によって要求された処理は実行可能であると判定される。図４の同意情報７は、要求情報１が満たす同意情報である。従って、同意情報７が取得された場合は、要求情報１によって要求された処理は実行可能であると判定される。要求情報１が満たす同意情報が無い場合は、要求情報１によって要求された処理の実行は不可と判定される。例えば、比較項目が一致する同意情報がある場合であっても、同意状態が「不同意」になっていた場合、処理の実行は不可と判定される。最新か否かは、一例として、同意情報に含まれる同意日付（同意日時）から判断することができる。あるいは、第１記憶システム２０１に登録する同意情報にタイムスタンプをつけ、タイムスタンプで判断してもよい。

判定処理部１３による判定方法の第２の例を、前述した図６を用いて説明する。図６に示した要求情報３の要求の種類は利用である。要求情報３の所有者識別子、種別、詳細の全てが一致し、要求情報３の利用事業者（本例では解析事業者）が同意情報の利用者事業者と一致し、要求情報３の事業者の利用の目的と一致する目的を含む同意情報を特定する。目的については、同意情報の目的が要求情報３の目的を含んでいればよく、要求情報３に存在しない目的が同意情報に含まれていてもよい。特定した同意情報において、要求情報３に含まれる目的への利用への同意状態がすべて「同意」であるとき、要求情報３が同意情報を満たす。要求情報３に存在しない目的が同意情報で不同意になっていてもよい。特定した同意情報が複数あるときは、最新の同意情報を対象として、各同意状態を判断する。要求情報３が同意情報を満たすとき、要求情報３によって要求された処理は実行可能と判定される。上述した図６の同意情報７は要求情報３が満たす同意情報である。要求情報３を満たす同意情報が無い場合は、要求情報３によって要求された処理の実行は不可と判定される。例えば、比較項目が一致する同意情報がある場合であっても、同意状態が「不同意」になっていた場合、処理の実行は不可と判定される。

判定処理部１３による判定方法の第３の例を、前述した図５を用いて説明する。図５に示した要求情報２の要求の種類は取得である。要求情報２の所有者識別子、種別、詳細の全てが一致し、要求情報２の取得事業者（本例ではデータ管理装置１０１の事業者）が同意情報の取得事業者と一致し、要求情報２の取得事業者の取得の目的と一致する目的を含む同意情報を特定する。目的については、同意情報が要求情報２の目的について同意していればよく、要求情報２に存在しない目的に対して不同意であってもよい。特定した同意情報において、要求情報２に含まれる目的への同意状態がすべて「同意」であるとき、要求情報２が同意情報を満たす。特定した同意情報が複数あるときは、最新の同意情報を対象として、各同意状態を判断する。要求情報２が同意情報を満たすとき、要求情報２によって要求された処理は実行可能と判定される。上述した図５の同意情報３は要求情報２が満たす同意情報である。要求情報２を満たす同意情報が無い場合は、要求情報２によって要求された処理の実行は不可と判定される。例えば、比較項目が一致する同意情報がある場合であっても、同意状態が「不同意」になっていた場合、処理の実行は不可と判定される。

データ保管部１１は、要求情報が処理としてデータ（例えば個人データ）のデータ管理装置１０１への提供（データ管理装置１０１によるデータの保管及び受領）を要求する場合に、入力部１５から保管対象となるデータを受け取る。判定処理部１３による判定結果が処理の実行可を示す場合は、データを内部の記憶部に保管する。実行不可の場合はデータを削除する。入力部１５は、判定処理部１３により処理の実行可が判定された後に、データ送信元装置３０１からデータを受信してもよい。この場合、処理が実行不可と判定された場合にはデータを受け取らないため、データを削除する動作が不要になる。

データ保管部１１は、要求情報が処理としてデータ（例えば個人データ）をデータ受信先装置４０１へ提供（送信）することを要求する場合、判定処理部１３により当該処理の実行可が決定された後、該当データを内部の記憶部から読み出す。データ保管部１１は、データを、出力部１６を経由して、データ受信先装置４０１へ送信する。なおデータの送信先がデータ受信先装置４０１以外の装置である場合もあり得る。

データ保管部１１は、要求情報が処理としてデータ（例えば個人データ）の利用（例えば解析）を要求する場合は、判定処理部１３により処理の実行可が判定された後に、解析対象となる１つ以上のデータを内部の記憶部から読み出して、データ解析部１７に送る。

データ解析部１７は、当該データに対して所定の解析を行い、解析結果データをデータ保管部１１に送る。解析結果データは属性情報を含み、属性情報は解析結果データの複数の属性を含む。データ保管部１１は、解析結果データを内部の記憶部に記憶する。データの解析要求が解析データの提供の要求を含む場合は、データ保管部１１は、解析結果データを出力部１６に送る。

出力部１６は、判定処理部１３による処理の実行可否の判定結果を、要求情報の送信元であるデータ送信元装置３０１又はデータ受信先装置４０１に送信する。判定結果を、要求情報の送信元である所有者装置５０１又はデータ管理装置１０１を管理する事業者の装置やシステムに送信してもよい。また、出力部１６は、データ保管部１１から受け取ったデータ（個人データ、解析結果データ等）を、受領事業者、利用者事業者又は取得事業者等として指定された事業者のデータ受信先装置４０１に送信する。なお、利用者事業者又は取得事業者がデータ管理装置１０１の事業者であり、データ送信元装置３０１又はデータ受信先装置４０１がデータ管理装置１０１と同じ装置である場合は、送信は不要である。出力部１６は、判定結果又はデータ等を送信する送信部の一例である。

履歴登録部１４は、データ保管部１１により行われた処理の履歴の記録をするため、処理の内容を示す記録を生成する。記録は属性情報を含み、属性情報は記録の複数の属性を含む。処理の例としては、データ（個人データ又は解析結果データ等）の提供、利用（解析等）、取得等がある。データを受領する事業者が存在する場合、受領の記録を生成してもよい。履歴登録部１４は、記録を第１記憶システム２０１に送る。第１記憶システム２０１は、受け取った記録を内部に登録する。記録は監査に用いてもよい。

図４及び図７を用いて、記録の生成の具体例を説明する。
図４は、個人データの属性情報、要求情報及び同意情報の例として、属性情報２、要求情報１及び同意情報７を示す。要求情報１は、属性情報２の個人データを事業者Ｃ００２（提供事業者）から事業者Ｃ００１（受領事業者）に提供することを要求し、要求情報１は同意情報７を満たしている。

図７の左は、提供の記録の一例を示す。提供の記録は、記録識別子、記録の種類（本例では“提供”）、第１記憶システム２０１に記録を行った記録事業者（提供事業者）、受領事業者の名称、同意情報識別子、個人データを特定する情報（所有者識別子、種別、詳細等）、日時（提供年月日）を含む。データ管理装置１０１の履歴登録部１４は、個人データが提供された後、提供の記録を生成する。

図７の右は、受領の記録の一例を示す。受領の記録は、記録識別子、記録の種類（本例では“受領”）、第１記憶システム２０１に記録を行った記録事業者（受領事業者）、提供事業者の名称、同意情報識別子、取得の経緯、データを特定する情報（データの属性）、提供年月日を含む。取得の経緯は、提供者が個人データをどのように取得したのかの情報を含む文書１を指定する。文書１は、例えば、個人データの売買契約書、取得の経緯が示されている契約書、取得の経緯が示されている提供者のウェブサイト、提供者が本人の同意を得ていることを誓約する書面、又は同意情報等である。個人データを受領した事業者Ｃ００１の装置（本例ではデータ管理装置１０１）が、個人データの受領（保管）の記録を生成し、第１記憶システム２０１に記録を登録する。

データ管理装置１０１の事業者が提供事業者の場合、データ管理装置１０１が提供の記録を作成して第１記憶システム２０１に登録する。そして、受領事業者の装置（例えばデータ受信先装置４０１の事業者）が受領の記録を作成して、受領事業者の装置で保存する。あるいは、受領事業者の装置が記録を第１記憶システム２０１に記録を登録してもよい。すなわち、第１記憶システム２０１を事業者間で共有して、提供事業者と受領事業者で同一の第１記憶システム２０１に記録を登録してもよい。一方、データ管理装置１０１の事業者が受領事業者の場合、データ管理装置１０１が受領の記録を作成して第１記憶システム２０１に登録する。そして、提供事業者の装置（例えばデータ送信元装置３０１の事業者）が提供の記録を作成して、提供事業者の装置で保存する。あるいは、提供事業者の装置が記録を第１記憶システム２０１に記録を登録してもよい。

図６及び図８を用いて、記録の他の具体例を説明する。
図６は、個人データの属性情報、要求情報及び同意情報の例として、属性情報２、要求情報３及び同意情報７を示す。要求情報３は、属性情報２の個人データを事業者Ｃ００１（保有事業者）が利用（ここでは解析を想定）することを要求し、要求情報３は同意情報７を満たしている。

データ管理装置１０１の履歴登録部１４は、データ解析部１７によるデータ解析結果に基づき、解析の記録を生成する。より詳細には、データ管理装置１０１（事業者Ｃ００１）のデータ解析部１７は、属性情報２を有する個人データを解析し、解析結果データを生成する。解析結果データはデータの利用により生成されるデータ（生成データ）の一例である。解析結果データ（生成データ）はデータ本体と属性情報とを含む。解析結果データはデータ保管部１１で保管される。履歴登録部１４は、解析結果データに基づき、利用（ここでは解析）の記録を作成する。

図８の左は、解析結果データ（生成データ）の属性情報の例として属性情報３を示す。図８の右は、解析の記録の一例を示す。解析の記録は、記録識別子、記録の種類（本例では“生成”）、第１記憶システム２０１に記録を行った記録事業者（解析事業者）、同意情報識別子、１つ以上の利用したデータを特定する情報（利用データ所有者識別子、利用データ種別、利用データ詳細等。本例では属性情報２の情報）、生成データを特定する情報（生成データ所有者識別子、生成データ種別、生成データ詳細、生成データが生成された日時）を含む。生成データを特定する情報は本例では属性情報３に相当する。

図５及び図９を用いて、記録の他の具体例を説明する。
図５は、個人データの属性情報、要求情報及び同意情報の例として、属性情報１、要求情報２及び同意情報３を示している。要求情報２は、属性情報２の個人データを事業者Ｃ００１が個人から取得することを要求している。要求情報２は同意情報３を満たしている。

データ管理装置１０１の履歴登録部１４は、個人データの取得に基づき、取得の記録を生成する。

図９は、取得の記録の一例を示す。取得の記録は、記録識別子、記録の種類、記録事業者(取得事業者)、同意情報、取得したデータを特定する情報(本例では属性情報１の情報)、取得日時を含む。

第１の実施形態において、所有者識別子は、データ管理装置１０１、第１記憶システム２０１、データ送信元装置３０１、データ受信先装置４０１で共通の値が用いられる。処理に関する記録に含まれる項目のうち、処理に関する記録により参照される同意情報（同意に関する記録）と同一の項目に関しては、同意に関する記録を参照することで、項目を省略してもよい。省略する項目として、例えば、処理に関する記録では、所有者識別子、種別、詳細などがある。

第２記憶システム６０１のログ保管部２１はデータ保管部１１への書き込みのログ、データ保管部１１からの読み出しのログ、データ保管部１１における削除のログを保存する。これらのログを総称してデータアクセスログという。第２記憶システム６０１におけるログの保管期限は、第１記憶システム２０１における記録の保管期限よりも短くてもよい。検証装置１を操作又は管理するユーザ（検証者）は、所有者又は監査者のどちらでもよい。第２記憶システム６０１はクラウド事業者が提供するログ管理システムでもよい。記録事業者がログを改ざんできない場合に、本実施形態が提供する整合性検証の信頼性が高まる。

検証装置１は、入力部１Ａと、処理部１Ｂとを備える。処理部１Ｂは、取得部１Ｃと、検証部１Ｄとを備える。

入力部１Ａは、ユーザによる各種の指示を受ける。入力部１Ａは、例えば、ユーザから、記録に関する整合性の検証要求を受ける。検証要求は、検証対象に関する条件を含んでもよい。検証対象に関する条件は、個人を識別する識別子及び事業者を識別する識別子の少なくとも一方を含んでもよい。また、検証対象に関する条件は、検証対象とする期間に関する条件を含んでもよい。検証対象に関する条件は、その他の条件を含んでもよい。

処理部１Ｂは、整合性の検証要求を受けた場合に、取得部１Ｃ及び検証部１Ｄを用いて、整合性の検証処理を行う。取得部１Ｃは、第１記憶システム２０１から記録（処理に関する記録及び同意に関する記録の少なくとも一方）を取得する。取得部１Ｃは、第２記憶システム６０１からログ（処理及び同意の少なくとも一方に関連して行われる動作のログ）を取得する。取得部１Ｃは、検証要求に含まれる条件を満たす記録を第１記憶システム２０１から取得し、検証要求に含まれる条件を満たすログを第２記憶システム６０１から取得してもよい。

検証部１Ｄは、取得したログに基づき、取得した記録に関する整合性を検証する。例えば、記録（処理に関する記録又は同意に関する記録）とデータアクセスログとの整合性を検証する。検証部１Ｄは、取得した記録に示される処理又は同意に対応する動作のログが、取得したログに含まれない場合に、整合性がないと判定する。また、検証部１Ｄは、取得したログが示す動作に対応する処理又は同意を示す記録が、取得した記録に含まれない場合は、整合性がないと判定する。また、１つの処理に関連して複数の動作（例えばデータ保管部１１に対する書き込みと読み出し）が行われる場合に複数の動作に対応する複数のログが第２記憶システム６０１に保持される場合を想定する。検証部１Ｄは、第２記憶システム６０１から１つの処理に対して行われる複数の動作に対応する複数のログを取得し、取得した複数のログのうち最後に行われる動作に対応するログを特定する。特定したログが示す動作に対応する処理を示す記録が、取得した記録に含まれない場合に整合性がないと判定してもよい。

処理部１Ｂは、記録（処理に関する記録及び同意に関する記録の少なくとも一方）に関する整合性として、記録とログとの整合性の検証以外に、同意に関する記録と処理に関する記録との整合性を検証してもよい。例えば、取得部１Ｃは、検証要求に含まれる条件に基づき、処理に関する記録と同意に関する記録とを第１記憶システム２０１から取得する。処理部１Ｂは、処理に関する記録に示される当該処理に対する同意に関する記録が取得できない場合は、整合性がないと判定する。また、取得した同意に関する記録に基づき、同意期間又は非同意期間を取得又は算出し、処理に関する記録に示される処理の時刻（例えば日時）が、同意期間に含まれない又は非同意期間に含まれる場合は、整合性がないと判定する。

処理部１Ｂは、検証結果を検証装置１、第２記憶システム６０１、又は他の装置に記録してもよい。検証結果を記録する際に、データアクセスログの一部（例えば検証に利用したログ）又は全部を、第２記憶システム６０１から消去してもよい。処理部１Ｂは、第２記憶システム６０１にデータアクセスログの一部又は全部の消去を指示する指示データを送信し、第２記憶システム６０１は指示データに基づきデータアクセスログの一部又は全部を消去してもよい。その場合、記録とログとの整合性の検証は期間を区切って行ってもよい。

図１０は、第１の実施形態に係る処理の一例のフローチャートである。本処理において、検証装置１は、所有者ごとに処理に関する記録とデータアクセスログとの整合性の検証を行う。

ステップＳ１０１：検証装置１が所有者識別子に対する整合性検証要求を受ける。例えばユーザが操作部（キーボード、マウス又はタッチパネル等）を用いて所有者識別子を指定し、画面に表示されたアプリケーションウィンドウ内の整合性検証を指示するボタンを押下する。

ステップＳ１０２：検証装置１は、第１記憶システム２０１から所有者識別子を含む同意情報の同意情報識別子を取得する。
ステップＳ１０３：検証装置１は、第１記憶システム２０１から当該同意情報識別子を同意情報項目に含む記録の記録識別子を取得する。処理に関する記録に所有者識別子が含まれる場合は、第１記憶システム２０１から所有者識別子を含む記録の記録識別子を取得してもよい。
ステップＳ１０４：検証装置１は、同意に関する記録（同意情報）と処理に関する記録（記録）との整合性を検証する。例えば、当該記録に示される処理が、所有者の同意が得られていることを同意情報により確認できるかを検証する。検証の方法は特定のものに限定されない。

同意の種類には、間接取得の同意（間接取得同意）と直接取得の同意（直接取得同意）がある。間接取得は第三者により提供されるデータの受領に対応する。直接取得は所有者から提供されるデータの取得に対応する。間接取得同意と直接取得同意を合わせて保管同意ともいう。他に、第三者がデータを提供することに対応する同意（提供同意）がある。

処理に関する記録とデータアクセスログとの整合性の検証は、記録起点による検証と、ログ起点による検証とがある。ログ起点の検証では単純な比較はできない。この詳細を説明すると以下の通りある。個人データの受領又は取得において、通信ネットワークを介して個人データを受信した後に間接取得同意又は直接取得同意を確認し、同意に関する記録が存在しない又は同意状態が不同意である場合に、データ保管部１１に個人データの書き込みをしない動作は許容される。個人データの提供において、データ保管部１１から個人データを読み出した後に提供同意を確認し、同意に関する記録が存在しない又は同意状態が不同意である場合に、通信ネットワークを介して個人データを提供先へ送信しない動作は許容される。個人データの生成において、データ保管部１１から個人データを読み出した後に間接取得同意又は直接取得同意を確認し、同意に関する記録が存在しない又は同意状態が不同意である場合に、個人データの生成を行わずにデータ保管部１１に個人データを書き込まない動作は許容される。つまり、処理における一連の操作の最後のログと、処理に関する記録とが対応する。

記録とログとが対応するとは、処理に関する記録が参照する、同意に関する記録におけるデータを特定する記述（種別、詳細など）と、データアクセスログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す（要件１－１－１）。処理に関する記録にデータを特定する記述が含まれる場合は、処理に関する記録におけるデータを特定する記述（種別、詳細など）と、データアクセスログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す（要件１－１－２）。要件１－１－１又は要件１－１－２に対して、さらに、処理に関する記録において特定される日時（年月日）と、データアクセスログにおいて特定される日時とが互いに閾値より近いこと（要件１－１－３）を追加してもよい。閾値はあらかじめ固定しても、ユーザ入力により可変としてもよい。

処理に関する記録とデータアクセスログとの整合性の検証の詳細な動作は後述する。

ステップＳ１０５：検証装置１は、第２記憶システム６０１から所有者識別子に関するデータアクセスログを取得する。
ステップＳ１０６：検証装置１は、ステップＳ１０３で取得した記録識別子を含む記録のうち対象の記録事業者を含む処理に関する記録と、データアクセスログとの整合性を検証する。対象の記録事業者はあらかじめ固定しても、ユーザ入力により可変としてもよい。以下、整合性の検証の動作例を示す。

記録起点の検証では、間接取得同意又は提供同意の同意情報識別子を同意情報項目に含む受領記録について対応する書き込みログがない場合に整合性なしと判定する。また、間接取得同意又は提供同意の同意情報識別子を同意情報項目に含む提供記録について対応する読み出しログがない場合に整合性なしと判定する。直接取得同意の同意情報識別子を同意情報項目に含む取得記録について対応する書き込みログがない場合に整合性なしと判定する。また、間接取得同意又は直接取得同意の同意情報識別子を同意情報項目に含む生成記録について対応する読み出しログ又は書き込みログがない場合に整合性なしと判定する。また、間接取得同意又は直接取得同意の同意情報識別子を同意情報項目に含む削除記録について対応する削除ログがない場合に整合性なしと判定する。

ログ起点の検証では、書き込みログについて対応する取得記録、受領記録、又は、生成記録がない場合に整合性なしと判定する。また、削除ログについて対応する削除記録がない場合に整合性なしと判定する。

検証装置１は、記録起点とログ起点の少なくとも一方で整合性なしと判定した場合に、不整合が検出された（整合性なし）と判定する。

ステップＳ１０７：検証装置１は、ステップＳ１０４とステップＳ１０６との両方で不整合が検出されない場合に、全体として不整合は検出されないことを決定する。検証装置１は、全体として不整合が検出されないことを示す情報を出力（例えば画面に表示）してもよい。ステップＳ１０４とステップＳ１０６の少なくとも一方で整合性なしと判定した場合に、全体として不整合が検出されることを決定する。検証装置１は、全体として不整合が検出されたことを示す情報を出力してもよい。この際、ステップＳ１０４とステップＳ１０６のいずれで不整合が検出されたかを識別する情報を併せて画面に表示してもよい。

ステップＳ１０４において行う整合性検証とステップＳ１０６における整合性検証との順序は逆でもよいし、両者を並列に実行してもよい。また、ステップＳ１０４とステップＳ１０６の一方で整合性なしと判定した場合に、他方の整合性検証を実行しなくてもよい。全体として不整合を検出した場合、整合性なしと判定した原因となる箇所の情報を出力してもよい。

以下、図１０のフローチャートの各ステップの動作例を具体的に示す。

（例１）
ステップＳ１０１：検証装置１が所有者識別子としてＵ０００００１に対する整合性検証要求を受ける。

ステップＳ１０２：検証装置１が第１記憶システム２０１から所有者識別子Ｕ０００００１を含む同意情報の同意情報識別子Ｃ０００００７（間接取得同意）を取得する。

ステップＳ１０３：検証装置１が第１記憶システム２０１から同意情報識別子（Ｃ０００００７）を同意情報項目に含む記録の記録識別子として、Ｒ０００００１（提供記録）、Ｒ０００００２（受領記録）、Ｒ０００００４（生成記録）を取得する。この例では、処理に関する記録に所有者識別子が含まれるため、第１記憶システム２０１から所有者識別子としてＵ０００００１を含む記録の記録識別子（Ｒ０００００１，Ｒ０００００２，Ｒ０００００４）を取得してもよい。

ステップＳ１０４：検証装置１が同意に関する記録と処理に関する記録との整合性を検証する。不整合は検出されないと判定する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子（Ｕ０００００１）に関するデータアクセスログを取得する。

図１１は、データアクセスログ１－１の例を示す。データアクセスログの種別として、書き込み、読み出し、削除がある。データアクセスログの記録事業者はＣ００１であり、Ｃ００１はデータ管理装置１０１に対応するとしているが、より詳細に、１行目と２行目は入力部１５に対応し、３行目と４行目はデータ解析部１７に対応するとしてもよい。または、記録事業者は、個人データ処理に携わる者の個人アカウントとしてもよい。アクセス先は所有者識別子、種別、詳細の組としているが、アクセス先を第２記憶システム６０１における番地としてもよい。この場合、番地と、所有者識別子、種別、詳細との対応を示すデータを別のテーブルに保持してもよい。日時はデータアクセスが実行された日時であり、処理に関する記録の日時よりも粒度が細かくてもよい。

本例では所有者識別子（Ｕ０００００１）に関するデータアクセスログを取得するため、データアクセスログ１－１における１，３，４行目のログを取得する。取得したログから、対象とする記録事業者をＣ００１とし、記録識別子（Ｒ０００００１，Ｒ０００００２，Ｒ０００００４）のうち、Ｃ００１を含む記録の記録識別子Ｒ０００００２，Ｒ０００００４を取得する。

ステップＳ１０６：検証装置１は、取得した記録識別子を含む記録と、データアクセスログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２の記録にデータアクセスログの１行目が対応し、記録識別子Ｒ０００００４の記録にデータアクセスログの３，４行目が対応する。記録起点の検証では不整合は検出されない。ログ起点の検証では、データアクセスログ１行目に記録識別子０００００２の記録が対応し、データアクセスログ４行目に記録識別子Ｒ０００００４の記録が対応する。ログ起点の検証では不整合は検出されない。従って、処理に関する記録とデータアクセスログについて、不整合は検出されないと判定する。

ステップＳ１０７：検証装置１は、ステップＳ１０４とステップＳ１０６の両方で不整合が検出されないため、全体として不整合は検出されないことを決定する。

（例２）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００２に対する整合性検証要求を受ける。

ステップＳ１０２：検証装置１が第１記憶システム２０１から所有者識別子Ｕ０００００２を含む同意情報の同意情報識別子Ｃ０００００３，Ｃ００００１０（直接取得同意）を取得する。

ステップＳ１０３：検証装置１が第１記憶システム２０１から同意情報識別子Ｃ０００００３，Ｃ００００１０を同意情報項目に含む記録の記録識別子Ｒ０００００３（取得記録）、Ｒ０００００５（削除記録）を取得する。

図１２は、記録識別子Ｒ０００００５の記録（削除の記録）の例を示す。この例では処理に関する記録に所有者識別子が含まれるため、第１記憶システム２０１から所有者識別子Ｕ０００００２を含む記録の記録識別子Ｒ０００００３，Ｒ０００００５を取得してもよい。

ステップＳ１０４：検証装置１が同意に関する記録と処理に関する記録との整合性を検証する。不整合は検出されないと判定する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子Ｕ０００００２に関するデータアクセスログを取得する。図１１のデータアクセスログの２，５行目のログを取得する。また、対象とする記録事業者をＣ００１とする。上述の記録識別子Ｒ０００００３，Ｒ０００００５の記録の記録事業者はいずれもＣ００１である。

ステップＳ１０６：検証装置１は、当該記録とデータアクセスログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００３の記録にデータアクセスログの２行目が対応し、記録識別子Ｒ０００００５の記録にデータアクセスログの５行目が対応すると判断する。記録起点の検証では不整合は検出されない。ログ起点の検証では、データアクセスログの２行目に記録識別子Ｒ０００００３の記録が対応し、データアクセスログの５行目に記録識別子Ｒ０００００５の記録が対応すると判断する。ログ起点の検証では不整合は検出されない。従って、処理に関する記録とデータアクセスログとの不整合は検出されないと判定する。

ステップＳ１０７：検証装置１は、ステップＳ１０４とステップＳ１０６の両方で不整合が検出されないため、全体として不整合は検出されないことを決定する。

（例３）
ステップＳ１０１で所有者識別子を入力せずに、第１記憶システム２０１に保管されている処理に関する記録が参照する同意に関する記録から所有者識別子を取得してもよい。処理に関する記録に所有者識別子が含まれる場合は、第１記憶システム２０１に保管されている処理に関する記録から所有者識別子を取得してもよい。また、第２記憶システム６０１に保管されているデータアクセスログから所有者識別子を取得してもよい。

（例４）
検証装置１は所有者ごとに処理に関する記録とデータアクセスログとの整合性検証を行うのではなく、第１記憶システム２０１における保管順又は第２記憶システム６０１における保管順に、整合性検証を行ってもよい。記録とログが対応する、及び、ログと記録が対応するとは、処理に関する記録が参照する同意に関する記録におけるデータを特定する記述（所有者識別子、種別、詳細など）と、データアクセスログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す。処理に関する記録にデータを特定する記述が含まれる場合は、処理に関する記録におけるデータを特定する記述（所有者識別子、種別、詳細など）とデータアクセスログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す。対応に関する判定項目に実質的な変わりはなく、所有者識別子に関する判定を先に行うか後で行うかの違いである。

以下、例４の動作例を示す。
ステップＳ１０１：検証装置１が整合性検証要求を受ける。

ステップＳ１０２：検証装置１が第１記憶システム２０１から同意情報識別子Ｃ０００００３（直接取得同意）、Ｃ０００００７（間接取得同意）、Ｃ００００１０（直接取得同意）を取得する。

ステップＳ１０３：検証装置１が、第１記憶システム２０１から記録識別子Ｒ０００００１（提供記録）、Ｒ０００００２（受領記録）、Ｒ０００００３（取得記録）、Ｒ０００００４（生成記録）、Ｒ０００００５（削除記録）を取得する。

ステップＳ１０４：検証装置１が、同意に関する記録と処理に関する記録について整合性検証を行い、不整合は検出されないと判定する。

ステップＳ１０５：検証装置１が第２記憶システム６０１からデータアクセスログを取得する。図１１の１行目から５行目のログを取得する。また、対象とする記録事業者Ｃ００１とする。記録事業者Ｃ００１を含む記録の記録識別子Ｒ０００００２，Ｒ０００００３，Ｒ０００００４，Ｒ０００００５を用いる。

ステップＳ１０６：検証装置１は、当該記録とデータアクセスログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２の記録にデータアクセスログの１行目が対応し、記録識別子Ｒ０００００３の記録にデータアクセスログの２行目が対応し、記録識別子Ｒ０００００４の記録にデータアクセスログの３，４行目が対応し、記録識別子Ｒ０００００５の記録にデータアクセスログの５行目が対応すると判断する。記録起点の検証では不整合は検出されない。ログ起点の検証では、データアクセスログの１行目に記録識別子Ｒ０００００２の記録が対応し、データアクセスログの２行目に記録識別子Ｒ０００００３の記録が対応し、データアクセスログの４行目に記録識別子Ｒ０００００４の記録が対応し、データアクセスログの５行目に記録識別子Ｒ０００００５の記録が対応すると判断する。ログ起点の検証では不整合は検出されない。従って、処理に関する記録とデータアクセスログについて、不整合は検出されないと判定する。

ステップＳ１０７：検証装置１は、ステップＳ１０４とステップＳ１０６の両方で不整合が検出されないため、全体として不整合は検出されないことを決定する。

（例５）
以下に、ステップＳ１０６で検証装置１が整合性なしと判定する例を示す。対象とする記録事業者をＣ００１とする。
第２記憶システム６０１に保管される図１１のデータアクセスログ１－１において、３行目のログがないと仮定する。この場合、ステップＳ１０６において記録起点の検証において、生成記録（図８）に対して対応する読み出しログがない場合に該当する。よって、整合性なしと判定される。

第１記憶システム２０１に、記録識別子Ｒ０００００３（取得記録）、Ｒ０００００４（生成記録）、Ｒ０００００５（削除記録）の記録が保管されていないとする。この場合、ステップＳ１０２～Ｓ１０４における同意に関する記録と処理に関する記録との整合性の検証では、不整合は検出されない。一方で、ステップＳ１０６におけるログ起点の検証では、書き込みログに対応する取得記録、受領記録、生成記録がなく、また、削除ログについて対応する削除記録がないため、整合性なしと判定される。

以上、図１０のフローチャートの動作の具体例を示したが、上述した例以外の動作も可能である。

（変形例）
信頼性を高めるために機能を追加した変形例を示す。受領記録、取得記録、生成記録に、データのハッシュ値を項目として追加する。検証装置１は、ステップＳ１０２～Ｓ１０４においてデータ保管部１１に保管されているデータのハッシュ値を計算し、計算したハッシュ値と、記録における項目のハッシュ値との比較を行い、一致しない場合は、整合性なしと判定してもよい。

同意に関する記録において、目的識別子（図３参照）の代わりに、利用目的を記載した同意文書を参照してもよい。

同意に関する記録の項目として同意文書のハッシュ値を含めてもよい。ステップＳ１０２～Ｓ１０４においてデータ保管部１１に保管している同意文書のハッシュ値と、記録におけるハッシュ値との比較を行い、一致しない場合は整合性なしと判定してもよい。

受領記録における取得の経緯で参照している文書について、項目として文書のハッシュ値を記録に含めてもよい。ステップＳ１０２～Ｓ１０４においてデータ保管部１１に保管している文書のハッシュ値と、記録におけるハッシュ値との比較を行い、一致しない場合は、整合性なしと判定してもよい。

図１に示した構成では、第２記憶システム６０１がデータ管理装置１０１に接続し、データ管理装置１０１におけるデータアクセスログを保管した。他の構成例として、第２記憶システム６０１が、所有者装置５０１、データ送信元装置３０１又はデータ受信先装置４０１に接続し、接続先におけるデータアクセスログとを保管してもよい。対象の記録事業者はそれぞれの接続先の装置を管理又は所有する事業者とする。

また、データ保管部１１全体を検索して、特定のデータが存在しないことを確認し、確認結果を削除ログの代わりに用いてもよい。データ保管部１１全体を検索して、特定のデータが存在することを確認し、確認結果を書き込みログの代わりに用いてもよい。これらの確認結果をデータアクセスログと同等の情報として用いることができる。これらの場合、ステップＳ１０６における整合生の検証において日時は比較しなくてもよい。

＜実施形態１－２＞
検証装置１は所有者ごとに、処理に関する記録と通信ログとの整合性を検証する。実施形態１－２における検証装置１の動作に関して、実施形態１－１におけるステップＳ１０１～Ｓ１０４、Ｓ１０７は実施形態１－２にも同様に適用される。ステップＳ１０５、Ｓ１０６に対応する動作が、実施形態１－１と異なる。

処理に関する記録と通信ログとの整合性検証は、記録起点とログ起点とで行う。記録とログとが対応するとは、処理に関する記録が参照する同意に関する記録におけるデータを特定する記述（種別、詳細など）と、通信ログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す（要件１－２－１）。処理に関する記録にデータを特定する記述が含まれる場合は、処理に関する記録におけるデータを特定する記述（種別、詳細など）と、通信ログにおけるデータを特定する記述とが一致するか、後者が前者の部分集合として含まれることを指す（要件１－２－２）。要件１－２－１又は要件１－２－２に対して、さらに、処理に関する記録において特定される日時（年月日）と、通信ログにおいて特定される日時とが互いに閾値より近いこと（要件１－２－３）を追加してもよい。閾値はあらかじめ固定しても、ユーザ入力により可変としてもよい。

ステップＳ１０５：検証装置１は第２記憶システム６０１から所有者識別子に関する通信ログを取得する。個人データ送受の通信ログのみ取得してもよい。

ステップＳ１０６：検証装置１は、ステップＳ１０３で取得した記録識別子を含む記録のうち、対象の記録事業者を含む処理に関する記録と、個人データ送受の通信ログとの整合性を検証する。対象の記録事業者はあらかじめ固定しても、ユーザ入力により可変としてもよい。

記録起点の検証では、間接取得同意又は提供同意の同意情報識別子を同意情報項目に含む受領記録について対応する個人データ受信ログがない場合に、整合性なしと判定する。間接取得同意又は提供同意の同意情報識別子を同意情報項目に含む提供記録について対応する個人データ送信ログがない場合に整合性なしと判定する。直接取得同意の同意情報識別子を同意情報項目に含む取得記録について対応する個人データ受信ログがない場合に、整合性なしとし判定する。

ログ起点の検証では、個人データ送信ログについて対応する提供記録がない場合に整合性なしと判定する。

検証装置１は、記録起点とログ起点の少なくとも一方で整合性がない場合に、不整合を検出する（整合性なしと判定する）。

以下に、各ステップの動作例を具体的に示す。

（例１）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００１に対する整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１は第２記憶システム６０１から所有者識別子Ｕ０００００１に関する通信ログを取得する。
図１３は、通信ログ１－２Ａの例を示す。
検証装置１は、通信ログ１－２Ａから２，３行目のログを取得する。また、対象とする記録事業者Ｃ００１とする。所有者識別子Ｕ０００００１と記録事業者Ｃ００１とに基づき、記録識別子Ｒ０００００２（受領記録）、Ｒ０００００４（生成記録）を取得する。Ｒ０００００４（生成記録）は送信又は受信に関係しないため通信ログとの検証に用いない。Ｒ０００００２（受領記録）を通信ログとの検証に用いる。

ステップＳ１０６：検証装置１は、当該記録と通信ログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２に通信ログの３行目が対応すると判断する。記録起点の検証では不整合は検出されない。ログ起点の検証では、記録事業者Ｃ００１に関して、個人データの送信ログは存在しない。ログ起点の検証では、不整合は検出されない。よって、検証装置１は、処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例２）
ステップＳ１０１：検証装置１は、所有者識別子Ｕ０００００２に対する整合性検証要求を受ける場合を示す。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１は第２記憶システム６０１から所有者識別子Ｕ０００００２に関する通信ログを取得する。図１３の通信ログ１－２Ａから１，４，５行目のログを取得する。また、対象とする記録事業者をＣ００１とする。所有者識別子Ｕ０００００２と記録事業者Ｃ００１とに基づき記録識別子Ｒ０００００３（取得記録）、Ｒ０００００５（削除記録）を取得する。Ｒ０００００５（削除記録）は、送信又は受信に関係しないため通信ログとの検証に用いない。

ステップＳ１０６：検証装置１は、当該記録と通信ログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００３に通信ログの４行目が対応すると判断する。記録起点の検証では不整合は検出されない。ログ起点の検証では、記録事業者Ｃ００１に関して、個人データの送信ログは存在しない。ログ起点の検証では不整合は検出されない。よって、検証装置１は、処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例３）
ステップＳ１０１：検証装置１は、整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から通信ログを取得する。図１３の通信ログ１－２Ａにおける１行目から５行目のログを取得する。また、対象とする記録事業者をＣ００１とする。記録事業者Ｃ００１に基づき、記録識別子Ｒ０００００２（受領記録）、Ｒ０００００３（取得記録）、Ｒ０００００４（生成記録）、Ｒ０００００５（削除記録）を取得する。Ｒ０００００４（生成記録）、Ｒ０００００５（削除記録）は送信又は受信に関係しないため通信ログとの検証に用いない。

ステップＳ１０６：検証装置１が当該記録と通信ログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２に通信ログの３行目が対応し、記録識別子Ｒ０００００３に通信ログの４行目が対応すると判断する。記録起点の検証では不整合は検出されない。ログ起点の検証では、記録事業者Ｃ００１に関して、個人データの送信ログは存在しない。ログ起点の検証では不整合は検出されない。よって、検証装置１は、処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例４）
以下に、検証装置１が、ステップＳ１０６における処理に関する記録と通信ログとの整合性の検証で整合性なしと判定する例を示す。対象とする記録事業者Ｃ００１とする。

図１３の通信ログ１－２Ａにおいて、３行目のログがないとする。この場合、ステップＳ１０６の記録起点の検証で、受領記録について対応する受信ログがない場合に該当する。検証装置１は、整合性なしと判定する。

通信ログにおける内容項目（図１３参照）の代わりに、所有者からの同意の受信かあるいは個人データの受信かを区別する種類の項目を用いてもよい。

図１４は、当該種類の項目を含む通信ログ１－２Ｂの例を示す。この場合、所有者からの同意の受信かあるいは個人データの受信かを区別して、記録とログの簡易的な対応を用いて整合性検証を行ってもよい。記録とログとが簡易的に対応するとは、処理に関する記録における各項目を特定する記述（所有者識別子と記録事業者）と、通信ログにおける各項目を特定する記述（送信者と受信者）とが一致することを指す。

図１３及び図１４に示した通信ログは一例であり、他の通信ログの例も可能である。例えば、通信ログに、送信者と受信者だけではなく、送信者及び受信者の間にある中間者を通信ログに含めてもよい。あるいは、受信後に行われるプロセスが存在する場合は、このプロセスを最終的な受信者として通信ログに含めてもよい。

＜実施形態１－３＞
検証装置１は所有者ごとに同意に関する記録と通信ログとの整合性を検証する。同意に関する記録に対応する通信ログを処理事業者（提供事業者、受領事業者、取得時業者）が持つ、あるいは、検証装置１がアクセスできることが前提となる。

検証装置１は、同意に関する記録と通信ログとの整合性の検証を記録起点とログ起点とで行う。提供同意は、前提とする保管同意が撤回されたら無条件に（自動的に）撤回されるとする。記録とログが対応するとは、同意に関する記録における各項目を特定する記述（同意状態など）と、通信ログにおける各項目を特定する記述とが一致し、かつ、同意に関する記録において特定される日時（年月日）と、通信ログにおいて特定される日時とが互いに閾値より近いことを指す。閾値はあらかじめ固定しても、ユーザ入力により可変としてもよい。

図１５は、実施形態１－３に係る動作の一例のフローチャートである。ステップＳ１０１～Ｓ１０４、Ｓ１０７は、実施形態１－１の説明で用いた図１０と同じである。

ステップＳ１０５：検証装置１は第２記憶システム６０１から所有者識別子に関する通信ログを取得する。データ所有者による同意の受信の通信ログのみ取得してもよい。

ステップＳ１０６：検証装置１は、ステップＳ１０２で取得した同意情報識別子の同意情報のうち、対象の処理事業者の識別子を含む同意情報（同意に関する記録）と、データ所有者による同意の受信の通信ログとの整合性を検証する。対象の処理事業者はあらかじめ固定しても、ユーザ入力により可変としてもよい。

記録起点の検証では、間接取得同意と直接取得同意について、対応する所有者からの同意の受信ログがない場合に整合性なしと判定する。また、保管同意の撤回に基づかない提供同意について、対応する所有者からの同意の受信ログがない場合に整合性なしと判定する。

ログ起点の検証では、所有者からの同意の受信ログについて、対応する間接取得同意、直接取得同意、又は、提供同意（保管同意の撤回に基づかない）がない場合に整合性なしと判定する。

検証装置１は、記録起点の検証とログ起点の検証とのうち少なくとも一方で整合性がない場合に、不整合を検出する（整合性なしと判定する）

以下に、図１５のフローチャートにおける各ステップの動作例を具体的に示す。所有者装置５０１は、第１記憶システム２０１に直接アクセスせず、対象の処理事業者を介して、第１記憶システム２０１にアクセスするものとする。従って、同意に関する記録に対応する通信ログを処理事業者の装置が持ち、所有者の同意を受信する受信者は処理事業者の装置となっている。

（例１）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００１に対する整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子Ｕ０００００１に関する通信ログを取得する。通信ログ（図１３参照）の送信者と受信者には、それぞれ所有者識別子又は処理事業者を記載しているが、ＩＰアドレス等を記載し、ＩＰアドレス等と、所有者識別子又は処理事業者との対応を別のテーブルに保持してもよい。通信ログにおける内容項目には、所有者からの同意の受信の場合には、同意に関する記録の各項目の値を設定する。処理実行としてのデータ送受の場合は、所有者識別子、種別、詳細の組を設定する。通信ログにおける日時は、通信が実行された日時で、処理に関する記録の日時よりも粒度が細かくてもよい。通信ログの内容項目に所有者識別子Ｕ０００００１を含むログとして２，３行目のログを取得する。取得したログの受信者項目に基づき、対象とする処理事業者をＣ００１とする。所有者識別子Ｕ０００００１を含む同意情報の同意情報識別子Ｃ０００００７（間接取得同意）を取得する。

ステップＳ１０６：検証装置１は、同意情報識別子Ｃ０００００７の同意情報（同意に関する記録）と通信ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００７の同意情報に通信ログの２行目が対応する。記録起点の検証では不整合は検出されない。

ログ起点の検証では、通信ログの２行目に同意情報識別子Ｃ０００００７の同意情報が対応する。ログ起点の検証では不整合は検出されない。

よって、検証装置１は、同意に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例２）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００２に対する整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子Ｕ０００００２に関する通信ログを取得する。図１３の通信ログから１，４，５行目のログを取得する。また、対象とする処理事業者Ｃ００１とする。所有者識別子Ｕ０００００２を含む同意情報（同意に関する記録）の同意情報識別子Ｃ０００００３，Ｃ００００１０（直接取得同意）を取得する。
ステップＳ１０６：検証装置１は、当該同意情報識別子の同意情報と通信ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００３の同意情報に通信ログの１行目が対応し、同意情報識別子Ｃ００００１０の同意情報に通信ログの５行目が対応すると判断する。記録起点の検証では不整合は検出されない。

ログ起点の検証では、通信ログの１行目に同意情報識別子Ｃ０００００３の同意情報が対応し、通信ログの５行目に同意情報識別子Ｃ００００１０の同意情報が対応すると判断する。ログ起点の検証では不整合は検出されない。

よって、検証装置１は、同意に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例３）
ステップＳ１０１：検証装置１は、整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から通信ログを取得する。図１３の１行目から５行目のログ（すべてのログ）を取得する。また、対象とする処理事業者Ｃ００１とする。また、すべての同意情報（同意に関する記録）の同意情報識別子として、同意情報識別子Ｃ０００００３（直接取得同意）、Ｃ０００００７（間接取得同意）、Ｃ００００１０（直接取得同意）を取得する。

ステップＳ１０６：検証装置１は、当該同意情報識別子と通信ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００３に通信ログの１行目が対応し、同意情報識別子Ｃ０００００７に通信ログの２行目が対応し、同意情報識別子Ｃ００００１０に通信ログの５行目が対応すると判断する。記録起点の検証では不整合は検出されない。

ログ起点の検証では、通信ログの１行目に同意情報識別子Ｃ０００００３の同意情報が対応し、通信ログの２行目に同意情報識別子Ｃ０００００７の同意情報が対応し、通信ログの５行目に同意情報識別子Ｃ００００１０の同意情報が対応すると判断する。ログ起点の検証では不整合は検出されない。

よって、検証装置１は、同意に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例４）
以下に、ステップＳ１０６における同意に関する記録と通信ログとの検証で整合性なしと判定される例を示す。対象とする処理事業者Ｃ００１とする。

第２記憶システム６０１に保管される図１３の通信ログにおいて、２行目がないと仮定する。この場合、ステップＳ１０６の記録起点の検証で、直接取得同意について対応する受信ログがない場合に該当し、整合性なしと判定される。

図１６は、同意情報（同意の撤回情報）の例を示す。第１記憶システム２０１に保管される同意に関する記録に関して、図１６の同意情報識別子Ｃ００００１０（直接取得同意の撤回）の同意情報がないと仮定する。この場合、ステップＳ１０４における同意に関する記録と処理に関する記録との整合性の検証では、同意の撤回に基づかない不同意の受信ログが存在するため、整合性なしと判定する。更に、ステップＳ１０６のログ起点の検証において、所有者からの同意の受信ログについて、対応する間接取得同意、直接取得同意、又は、保管同意の撤回に基づかない提供同意がない場合、整合性なしと判定する。

通信ログが内容項目を含まない場合でも、所有者の同意の受信か個人データ受信かを区別して（図１４参照）、記録とログとの簡易的な対応を用いて整合性検証を行ってもよい。記録とログが簡易的に対応するとは、同意に関する記録における各項目を特定する記述（所有者識別子と処理事業者）と、通信ログにおける各項目を特定する記述（送信者と受信者）とが一致することを指す。

＜実施形態１－４＞
検証装置１は所有者ごとに同意に関する記録（同意情報）と認証ログとの整合性を検証する。同意に関する記録に対応する認証ログを処理事業者（提供事業者、受領事業者、取得時業者）が持つ、あるいは、検証装置１が認証ログにアクセスできることが前提となる。
データ所有者が処理に対する同意をデータ管理装置１０１に対して行い、データ管理装置１０１が所有者の同意に基づき同意情報（同意に関する記録）を登録する場合に、データ管理装置１０１における判定処理部１３は、データ所有者の認証を行う。認証の方法は、電子証明書認証、ワンタイムパスワード認証、多要素認証など、どのような方式でもよい。データ所有者は所有者装置５０１を用いてデータ管理装置１０１にアクセスし、同意を行うために必要な情報（例えば所有者識別子、同意の内容を特定する情報等）と認証に必要な情報とを入力する。判定処理部１３は、入力された情報に基づきデータ所有者を認証し、認証に成功した場合には、当該同意に基づく同意情報を登録することを決定し、成功しない場合には同意情報の登録を拒絶する。認証処理の結果（成功又は失敗）は認証ログとしてログ保管部２１に提供され、保存される。データ所有者の認証を行う認証部を判定処理部１３とは別に設けてもよい。

図１７は、認証ログ１－４の一例を示す。認証ログの内容項目は、認証成功又は認証失敗を含む。日時は認証が実行された日時であり、処理に関する記録の日時よりも粒度が細かくてもよい。データ所有者は認証の対象となった所有者の所有者識別子である。

実施形態１－４の動作例は、基本的に実施形態１－１と同様である（ステップＳ１０１～Ｓ１０４、Ｓ１０７は同様である）が、ステップＳ１０５，Ｓ１０６が異なる。

同意に関する記録と認証ログとの整合性の検証は記録起点で行う。記録とログとが対応するとは、同意に関する記録におけるデータ所有者を特定する記述（所有者識別子）と認証ログにおけるデータ所有者を特定する記述が一致し、かつ、同意に関する記録において特定される日時（年月日）と認証ログにおいて特定される日時とが互いに閾値より近いことを指す。閾値はあらかじめ固定しても、ユーザ入力により可変としてもよい。

ステップＳ１０５：検証装置１は第２記憶システム６０１から所有者識別子に関する認証ログを取得する。所有者の認証ログのみ取得してもよい。

ステップＳ１０６：検証装置１はステップＳ１０２で取得した同意情報識別子を含む同意に関する記録（同意情報）のうち対象の処理事業者の識別子を含む同意に関する記録と、所有者の認証ログとの整合性を検証する。対象の処理事業者はあらかじめ固定しても、ユーザ入力により可変としてもよい。

検証装置１は、記録起点の検証において、間接取得同意と直接取得同意について対応する所有者の認証成功ログがない場合に整合性なしとする。また、検証装置１は、保管同意の撤回に基づかない提供同意について対応する所有者の認証成功ログがない場合に、整合性なしと判定する。

以下に、各ステップの動作例を具体的に示す。所有者装置５０１は第１記憶システム２０１に直接アクセスせず、対象の処理事業者の装置（例えばデータ管理装置１０１、第２記憶システム６０１、データ送信元装置３０１、データ受信先装置４０１）を介して、第１記憶システム２０１にアクセスするものとする。従って、所有者の認証ログを処理事業者の装置が持つ。

（例１）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００１に対する整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子Ｕ０００００１に関する認証ログを取得する。図１７の認証ログから２行目のログを取得する。また、対象とする処理事業者をＣ００１とする。所有者識別子Ｕ０００００１と処理事業者Ｃ００１とに基づき、同意情報識別子Ｃ０００００７（間接取得同意）を取得する。
ステップＳ１０６：検証装置１は、当該同意情報識別子の同意情報と認証ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００７に認証ログの２行目が対応する。記録起点の検証では不整合は検出されない。よって、検証装置１は、同意に関する記録と認証ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例２）
ステップＳ１０１：検証装置１が所有者識別子Ｕ０００００２に対する整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者識別子Ｕ０００００２に関する認証ログを取得する。図１７の認証ログの１，３行目のログを取得する。また、対象とする処理事業者をＣ００１とする。所有者識別子Ｕ０００００２と処理事業者Ｃ００１とに基づき、同意情報識別子Ｃ０００００３，Ｃ００００１０（直接取得同意）を取得する。

ステップＳ１０６：検証装置１が、当該同意情報識別子の同意情報と認証ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００３に認証ログの１行目が対応し、同意情報識別子Ｃ００００１０に認証ログの３行目が対応する。記録起点の検証では不整合は検出されない。よって、検証装置１は、同意に関する記録と認証ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例３）
ステップＳ１０１：検証装置１が整合性検証要求を受ける。

ステップＳ１０２～Ｓ１０４：実施形態１－１と同様のため省略する。

ステップＳ１０５：検証装置１が第２記憶システム６０１から所有者の認証ログを取得する。図１７の１行目から３行目のログ（すべてのログ）を取得する。対象とする処理事業者Ｃ００１とする。また、すべての同意情報の同意情報識別子として、同意情報識別子Ｃ０００００３（直接取得同意）、Ｃ０００００７（間接取得同意）、Ｃ００００１０（直接取得同意）を取得する。

ステップＳ１０６：検証装置１が、当該同意情報識別子の同意情報と認証ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００３に認証ログの１行目が対応し、同意情報識別子Ｃ０００００７に認証ログの２行目が対応し、同意情報識別子Ｃ００００１０に認証ログの５行目が対応する。記録起点の検証では不整合は検出されない。よって、検証装置１は、同意に関する記録と認証ログとの不整合は検出されないと判定する。

ステップＳ１０７：実施形態１－１と同様のため省略する。

（例４）
以下に、ステップＳ１０６における同意に関する記録と認証ログとの検証で、整合性なしと判定される例を示す。対象とする処理事業者Ｃ００１とする。

第２記憶システム６０１に保管される図１７の認証ログ例において、２行目のログがない、又は、内容項目の値が認証失敗であると仮定する。この場合、ステップＳ１０６の記録起点の検証において、間接取得同意について対応する認証成功ログがない場合に該当し、整合性なしと判定する。

（第２の実施形態）
＜実施形態２－１＞
図１８は、第２の実施形態に係る情報処理システムであるデータ管理システムの全体構成図である。データ管理装置１０１が、識別子対応関係記憶部４１と、識別子変換部４２を更に備える。第１の実施形態と同一の要素には同一の符号を付して、説明を適宜省略する。

第２の実施形態では、ある同一のデータ所有者（個人）に対して、データ管理装置１０１、第１記憶システム２０１、データ送信元装置３０１、データ受信先装置４０１は、互いに異なる所有者識別子を用いる。

識別子対応関係記憶部４１は、各装置（１０１、２０１、３０１、４０１）間の所有者識別子間の対応表４１Ａを記憶する。対応表４１Ａは、データ管理装置１０１の管理者等により格納される。

図１９は、対応表４１Ａの例を示す。一例として、所有者識別子１は第１記憶システム２０１で所有者の管理（識別）に用いる識別子、所有者識別子２はデータ管理装置１０１で所有者の管理に用いる識別子である。また、所有者識別子３はデータ送信元装置３０１で所有者の管理に用いる識別子、所有者識別子４はデータ受信先装置４０１で所有者の管理に用いる識別子である。複数の装置で所有者識別子が共通の場合は、４種類の所有者識別子でなく、２種類又は３種類の所有者識別子の対応表４１Ａでもよい。例えば所有者識別子２と所有者識別子３の対応表４１Ａでもよい。あらかじめ得ている所有者識別子と、新たに取得した所有者識別子とを対応づけて、対応表４１Ａを生成してもよい。

識別子変換部４２は、変換対象の所有者識別子を含む情報（変換対象情報）と、変換後の所有者識別子を含む情報の出力先の情報（出力先情報）とを受け取る。識別子変換部４２は、変換対象情報に含まれる所有者識別子ｉ（ｉ＝１，…，４）から、対応表４１Ａに基づき、対応する所有者識別子ｊ（ｊ＝１，…，４，ｊ≠ｉ）を得る。識別子変換部４２は、変換対象情報の所有者識別子ｉを所有者識別子ｊに置換した情報を変換後情報として生成する。これにより変換対象情報に含まれていた所有者識別子ｉを所有者識別子ｊに変換する。識別子変換部４２は、変換後の所有者識別子ｊを含む変換後情報を、出力先情報が示す出力先に出力する。

第２の実施形態のデータ管理装置１０１の動作は、異なる所有者識別子を扱う装置間のやりとりが発生する場合に識別子変換部４２で所有者識別子を変換する処理が追加される点が第１の実施形態と異なる。複数の装置の一部間で所有者識別子が共通している場合は、所有者識別子が共通する装置間のやりとりにおいて、識別子変換部４２で所有者識別子を変換する処理は不要である。

以上、識別子対応関係記憶部４１及び識別子変換部４２を追加したことにより、各システム又は装置で異なる所有者識別子を用いていても、同意の確認や記録を行うことができる。

データ保管部１１で用いる所有者識別子（所有者識別子２）は仮名でもよい。仮名は、例えばランダムで互いに重複しない文字列である。仮名だけでは個人を識別できないが、対応表４１Ａを用いることで、個人を識別することができる。

図２０は、所有者識別子２を仮名にした対応表４１Ａの例を示す。所有者識別子２以外の所有者識別子が仮名であってもよい。また所有者識別子１～４のうちの複数が仮名であってもよい。仮名を用いることで、データを仮名で保存することができ、個人のプライバシーを保護することができる。

検証装置１は対応表４１Ａにアクセスし、所有者ごとに処理に関する記録とデータアクセスログとの整合性を検証する。以下、図２１を用いて、検証装置１の動作について説明する。

図２１は、第２の実施形態に係る検証装置１の動作の一例のフローチャートである。

ステップＳ２０１：検証装置１は所有者識別子１（又は２）に対する整合性検証要求を受ける。

ステップＳ２０２：検証装置１は、対応表４１Ａから所有者識別子１（又は２）に対応する所有者識別子２（又は１）を取得する。

ステップＳ２０３：検証装置１は第１記憶システム２０１から所有者識別子１を含む同意情報の同意情報識別子を取得する。

ステップＳ２０４：検証装置１は第１記憶システム２０１から同意情報識別子を同意情報項目に含む記録の記録識別子を取得する。処理に関する記録に所有者識別子１が含まれる場合は、第１記憶システム２０１から所有者識別子を含む記録の記録識別子を取得してもよい。

ステップＳ２０５：検証装置１は、同意に関する記録（同意情報）と処理に関する記録との整合性を検証する。

記録とログが対応するとは、処理に関する記録が参照する同意に関する記録におけるデータを特定する記述（所有者識別子１）が、データアクセスログにおけるデータを特定する記述（所有者識別子２）に対応することを指す。このことは、第１の実施形態において所有者識別子同士が一致する場合に対応する。

ステップＳ２０６：検証装置１は第２記憶システム６０１から所有者識別子２に関するデータアクセスログを取得する。

ステップＳ２０７：検証装置１は、ステップＳ２０４で取得した記録識別子を含む記録のうち、対象の記録事業者を含む処理に関する記録と、取得したデータアクセスログとの整合性を検証する。

ステップＳ２０８：検証装置１は、記録起点の検証とログ起点の検証とのうち少なくとも一方で整合性なしと判定した場合に、不整合が検出された（整合性なし）との情報を出力する。

以下に、各ステップの動作例を具体的に示す。所有者識別子２は仮名とする。所有者識別子２に対応する実名をデータ管理装置で用い、所有者識別子２（仮名）をデータ保管部１１で用いることを想定する。

（例１）
ステップＳ２０１：検証装置１は、所有者識別子１（Ｕ０００００１）に対する整合性検証要求を受ける。
ステップＳ２０２：検証装置１は、対応表４１Ａから所有者識別子１（Ｕ０００００１）に対応する所有者識別子２（ＤＫＧＬＡＮＣＫ）を取得する。

ステップＳ２０３～Ｓ２０５：実施形態１－１のステップＳ１０２～Ｓ１０４と同様のため省略する。

ステップＳ２０６：検証装置１は第２記憶システム６０１から所有者識別子２（ＤＫＧＬＡＮＣＫ）に関するデータアクセスログを取得する。
図２２は、データアクセスログ２－１の例を示す。検証装置１は図２２のデータアクセスログにおける１，３，４行目のログを取得する。
また、対象とする記録事業者Ｃ００１とする。検証装置１は、記録事業者Ｃ００１及び所有者識別子１（Ｕ０００００１）に基づき、記録識別子Ｒ０００００２（受領記録）、Ｒ０００００４（生成記録）を取得する。

ステップＳ２０７：検証装置１は当該記録とデータアクセスログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２の記録にデータアクセスログの１行目が対応し、記録識別子Ｒ０００００４の記録にデータアクセスログの３，４行目が対応すると判断する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、データアクセスログの１行目に記録識別子Ｒ０００００２の記録が対応し、データアクセスログの４行目に記録識別子Ｒ０００００４の記録が対応すると判断する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、処理に関する記録とデータアクセスログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１のステップＳ１０７と同様のため省略する。

（例２）
ステップＳ２０１：検証装置１は、所有者識別子１（Ｕ０００００２）に対する整合性検証要求を受ける。

ステップＳ２０２：検証装置１は、対応表４１Ａから所有者識別子１（Ｕ０００００２）に対応する所有者識別子２（ＰＥＱＺＬＦＭＡ）を取得する。

ステップＳ２０３～Ｓ２０５：実施形態１－１のステップＳ１０２～Ｓ１０４と同様のため省略する。

ステップＳ２０６：検証装置１は第２記憶システム６０１から所有者識別子２（ＰＥＱＺＬＦＭＡ）に関するアクセスログを取得する。検証装置１は図２２のデータアクセスログにおける２，５行目のログを取得する。
また、対象とする記録事業者Ｃ００１とする。検証装置１は、記録事業者Ｃ００１及び所有者識別子１（Ｕ０００００２）に基づき記録識別子Ｒ０００００３（取得記録）、Ｒ０００００５（削除記録）を取得する。

ステップＳ２０７：検証装置１は当該記録とデータアクセスログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００３の記録にデータアクセスログの２行目が対応し、記録識別子Ｒ０００００５の記録にデータアクセスログの５行目が対応する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、データアクセスログの２行目に記録識別子Ｒ０００００３の記録が対応し、データアクセスログの５行目に記録識別子Ｒ０００００５の記録が対応する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、処理に関する記録とデータアクセスログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１と同様のため省略する。

（例３）
信頼性を高めるために機能を追加した変形例を示す。提供記録、受領記録、取得記録に、用いる所有者識別子の対応関係のハッシュ値を項目として追加する。検証装置１は、ステップＳ２０３～Ｓ２０５において、識別子対応関係記憶部４１に保管されている所有者識別子の対応関係のハッシュ値を計算し、計算したハッシュ値と、記録における項目のハッシュ値との比較を行い、一致しない場合は、整合性なしと判定してもよい。
所有者識別子２は複数種類を用いてもよい。この場合、データアクセスログのアクセス先に記載する所有者識別子２について、複数種類が含まれてもよい。

＜実施形態２－２＞
検証装置１は対応表４１Ａにアクセスし、所有者ごとに、処理に関する記録と通信ログとの整合性を検証する。実施形態２－２における検証装置１の動作のステップに関して、実施形態２－１におけるステップＳ２０３～Ｓ２０５、Ｓ２０８は実施形態２－２にも同様に適用される。ステップＳ２０１、Ｓ２０２、Ｓ２０６、Ｓ２０７に対応する動作が実施形態２－１と異なる。

記録とログが対応するとは、処理に関する記録におけるデータを特定する記述（所有者識別子１）が、通信ログにおけるデータを特定する記述（所有者識別子ｉ，ｉ＝１，…，４）に対応することを指す。このことは、第１の実施形態において所有者識別子同士が一致する場合に対応する。

ステップＳ２０１、Ｓ２０２：検証装置１が所有者識別子ｉ（ｉ＝１，…，４）に対する整合性検証要求を受ける。検証装置１が対応表４１Ａから所有者識別子ｉ（ｉ＝１，…，４）に対応する所有者識別子ｊ（ｊ＝１，…，４，ｊ≠ｉ）を取得する。

ステップＳ２０６：検証装置１が第２記憶システム６０１から所有者識別子ｉ（ｉ＝１，…，４）に関する通信ログを取得する。

ステップＳ２０７：検証装置１が、ステップＳ２０４で取得した記録識別子を含む記録のうち対象の記録事業者を含む処理に関する記録と、通信ログとの整合性を検証する。記録起点の検証とログ起点の検証とのうち少なくとも一方で整合性なしが判定された場合に、不整合が検出される（整合性なしと判定する）。

以下に、各ステップの動作例を具体的に示す。所有者識別子２は実名とする。所有者識別子２（実名）をデータ管理装置で用い、所有者識別子２に対応する仮名をデータ保管部１１で用いることを想定する。

（例１）
ステップＳ２０１、Ｓ２０２：検証装置１は所有者識別子２（Ｖ０００００１）に対する整合性検証要求を受ける。検証装置１は対応表４１Ａから所有者識別子２（Ｖ０００００１）に対する所有者識別子１（Ｕ０００００１）、所有者識別子３（Ｕｓｅｒｎａｍｅ１）を取得する。

ステップＳ２０３～Ｓ２０５：実施形態１－１と同様のため省略する。

ステップＳ２０６：検証装置１は第２記憶システム６０１から所有者識別子２（Ｖ０００００１）、所有者識別子３（Ｕｓｅｒｎａｍｅ１）に関する通信ログを取得する。
図２３は、通信ログ２－２の例を示す。検証装置１は、図２３の通信ログから２，３行目のログを取得する。また対象とする記録事業者Ｃ００１とする。記録事業者Ｃ００１及び所有者識別子１（Ｕ０００００１）に基づき、記録識別子Ｒ０００００２（受領記録）、Ｒ０００００４（生成記録）を取得する。Ｒ０００００４（生成記録）は送信又は受信に関係しないため通信ログとの検証に用いない。Ｒ０００００２（受領記録）を通信ログとの検証に用いる。

ステップＳ２０７：検証装置１が、当該記録と通信ログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００２の記録に通信ログの３行目が対応すると判断する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、個人データの送信ログは存在しない。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１と同様のため省略する。

（例２）
ステップＳ２０１、Ｓ２０２：検証装置１が所有者識別子２（Ｖ０００００２）に対する整合性検証要求を受ける。検証装置１が対応表４１Ａから所有者識別子２（Ｖ０００００２）に対応する所有者識別子１（Ｕ０００００２）、所有者識別子３（Ｕｓｅｒｎａｍｅ２）を取得する。

ステップＳ２０３～Ｓ２０５：実施形態１－１と同様のため省略する。

ステップＳ２０６：検証装置１が第２記憶システム６０１から所有者識別子２（Ｖ０００００２）、所有者識別子３（Ｕｓｅｒｎａｍｅ２）に関する通信ログを取得する。図２３の通信ログの１，４，５行目のログを取得する。
また対象とする記録事業者Ｃ００１とする。記録事業者Ｃ００１及び所有者識別子１（Ｕ０００００２）に基づき、記録識別子Ｒ０００００３（取得記録）、Ｒ０００００５（削除記録）を取得する。Ｒ０００００５（削除記録）は送信又は受信に関係しないため通信ログとの検証に用いない。Ｒ０００００３（取得記録）を通信ログとの検証に用いる。

ステップＳ２０７：検証装置１が、当該記録と通信ログとの整合性を検証する。記録起点の検証では、記録識別子Ｒ０００００３の記録に通信ログの４行目が対応する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、個人データの送信ログは存在しない。ログ起点の検証では不整合は検出されない。
よって、検証装置１は処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１と同様のため省略する。

図２３に示した通信ログは一例であり、他の通信ログの例も可能である。例えば、送信者、受信者及び内容それぞれの項目に記載する所有者識別子は仮名でもよい。また、データ送信元装置３０１において所有者の管理に用いる識別子である所有者識別子３は、例えばデータ送信元別に、複数種類を用いてもよい。データ受信先装置４０１において所有者の管理に用いる識別子である所有者識別子４は、例えばデータ受信先別に、複数種類を用いてもよい。

＜実施形態２－３＞
検証装置１は対応表４１Ａにアクセスし、所有者ごとに同意に関する記録（同意情報）と通信ログとの整合性を検証する。実施形態２－３における検証装置の動作のステップに関して、実施形態２－１におけるステップＳ２０３～Ｓ２０５、Ｓ２０８は実施形態２－３にも同様に適用され、実施形態２－２におけるステップＳ２０１、Ｓ２０２は実施形態２－３にも同様に適用される。ステップＳ２０６、Ｓ２０７に対応する動作が実施形態２－１及び実施形態２－２と異なる。

記録とログが対応するとは、同意に関する記録におけるデータを特定する記述（所有者識別子１）が、通信ログにおけるデータを特定する記述（所有者識別子ｉ，ｉ＝１，…，４）に対応することを指す。このことは、実施形態１における所有者識別子が一致することに対応する。

ステップＳ２０６：検証装置１が第２記憶システム６０１から所有者識別子ｉ（ｉ＝１，…，４）に関する通信ログを取得する。

ステップＳ２０７：検証装置１がステップＳ２０３で取得した同意情報識別子の同意情報のうち対象の処理事業者を含む同意情報（同意に関する記録）と、通信ログとの整合性を検証する。検証装置１は、記録起点の検証とログ起点の検証とのうち少なくとも一方で整合性なしの場合に、不整合を検出する（整合性なしと判定する）。

以下に、各ステップの動作例を具体的に示す。

（例１）
ステップＳ２０１：検証装置１が所有者識別子２（Ｖ０００００１）に対する整合性検証要求を受ける。

ステップＳ２０２：実施形態２－２と同様のため省略する。

ステップＳ２０３～Ｓ２０５：実施形態１－１と同様のため省略する。

ステップＳ２０６：検証装置１が、第２記憶システム６０１における通信ログから、所有者識別子２（Ｖ０００００１）及び所有者識別子３（Ｕｓｅｒｎａｍｅ１）に関するログを取得する。図２３の通信ログにおける２，３行目のログを取得する。
また、対象とする処理事業者Ｃ００１とする。処理事業者Ｃ００１及び所有者識別子（Ｕ０００００１）に基づき、同意情報識別子Ｃ０００００７（間接取得同意）を取得する。

ステップＳ２０７：検証装置１が、当該同意情報識別子の同意情報（同意に関する記録）と通信ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００７の同意情報に通信ログの２行目が対応すると判断する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、通信ログの２行目に同意情報識別子Ｃ０００００７の同意情報が対応する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、同意に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１と同様のため省略する。

（例２）
ステップＳ２０１：検証装置１が所有者識別子２（Ｖ０００００２）に対する整合性検証要求を受ける。

ステップＳ２０２：実施形態２－２と同様のため省略する。

ステップＳ２０３～Ｓ２０５：実施形態１－１と同様のため省略する。

ステップＳ２０６：検証装置１が第２記憶システム６０１における通信ログから所有者識別子２（Ｖ０００００２）及び所有者識別子３（Ｕｓｅｒｎａｍｅ２）に関する通信ログを取得する。図２３の通信ログにおける１，４，５行目のログを取得する。
また、対象とする処理事業者Ｃ００１とする。処理事業者Ｃ００１及び所有者識別子２（Ｕ０００００２）に基づき、同意情報識別子Ｃ０００００３，Ｃ００００１０（直接取得同意）を取得する。

ステップＳ２０７：検証装置１が、当該同意情報識別子の同意情報（同意に関する記録）と通信ログとの整合性を検証する。記録起点の検証では、同意情報識別子Ｃ０００００３の同意情報に通信ログの１行目が対応し、同意情報識別子Ｃ００００１０の同意情報に通信ログの５行目が対応する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、通信ログ１行目に同意情報識別子Ｃ０００００３の同意情報が対応し、通信ログ５行目に同意情報識別子Ｃ００００１０の同意情報が対応する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、処理に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ２０８：実施形態１－１と同様のため省略する。

（第３の実施形態）
＜実施形態３－１＞
図２４は、本発明の一実施形態に係る情報処理システムであるデータ管理システムの一例を示すブロック図である。図１と同一又は対応する要素には同一の符号を付して詳細な説明は適宜省略する。本実施形態に関する情報処理システムは、データ関係者（例えばデータ所有者）の情報処理装置である関係者装置５０１（図１の所有者装置５０１に対応）と、データ取扱者の情報処理装置であるデータ管理装置１０１と、データ関係者でもデータ取扱者でもない第三者であるデータ利用者の情報処理装置である利用者装置７０１と、第１記憶システム２０１（本例ではブロックチェーンシステム）と、検証装置１とを備える。検証装置１は、ブロックチェーンシステム２０１に書き込まれた各種記録に関する検証を行う情報処理装置である。図１では検証装置１は関係者装置５０１、データ管理装置１０１及び利用者装置７０１とは別の装置として示されているが、関係者装置５０１、データ管理装置１０１及び利用者装置７０１の少なくともいずれかと同一の装置であってもよい。データ管理装置１０１は、第２記憶システム６０１に接続されている。データ管理装置１０１は、利用者向け識別子対応表９１（以下、対応表９１）を備えている。対応表９１はデータ保管部又は他の記憶部に格納されている。検証装置１、データ管理装置１０１及び第２記憶システム６０１のブロック構成は図１と同じであるとする。

なお、関係者装置５０１、データ管理装置１０１、及び利用者装置７０１は、１台とは限らず、複数台であってもよい。利用者装置７０１は、一例として図１のデータ送信元装置３０１又は受信先装置４０１に対応する。但し、利用者装置７０１がデータ管理装置１０１である場合も可能である。

本実施形態の情報処理システムは、データ管理装置１０１がデータ関係者（データ所有者）のデータを取り扱う。様々な取り扱いが想定されるが、この取り扱いの一つとして、データ管理装置１０１は、当該データを利用者装置７０１に送信し得る。言い換えれば、データ取扱者が、データ関係者のデータを、第三者であるデータ利用者に提供し得る。例えば、個人データを保管するＰＤＳ（Ｐｅｒｓｏｎａｌ Ｄａｔａ Ｓｔｏｒｅ）を運営する個人情報取扱事業者（ＰＤＳ事業者）がデータ取扱者であり、ＰＤＳ事業者が、個人データを、本人又は代理人の同意を取得した上で、第三者に提供することが考えられる。なお、データ取扱者が自らデータを収集するのではなく、データ取扱者がデータ関係者からデータを取得してデータ利用者に提供する場合、データ取扱者はデータの一次受領者であり、データ利用者がデータの二次受領者とも言える。

なお、データ関係者、データ取扱者、及びデータ利用者は、特定の者に限られるものではなく、個人でも法人でもよい。また、データ関係者は、単に、データに対応づけられる者を意味し、特定の者に限定されるものではない。例えば、データ関係者は、データ取扱者に対してデータの取り扱いについて同意した同意者、データの保有者、当該保有者の代理人などでもよい。また、データ関係者は、データによって特定される人でもよい。例えば、当該データが、住所、性別、年齢などを示すものであり、それら住所等によって特定される人をデータ関係者としてもよい。このように、データに対する同意、又は、データ自体に関係する者がデータ関係者として想定される。

また、本実施形態において扱うデータの種類、また、データの送受信方法などは、特定の種類又は方法に限られるものではない。例えば、対象とするデータは、個人データでもよいし、産業データでもよい。

また、本実施形態では、データに対する記録が、ブロックチェーンシステム２０１が提供するブロックチェーンに書き込まれる。データの取り扱い対する同意が成されたこと、当該取り扱いが実行されたこと、当該取り扱いが実行されたことによってデータが利用可能となったことなどが、ブロックチェーンに書き込まれる。例えば、データを第三者に提供したこと、又は、データの取得、受領、解析、編集、もしくは消去などが行われことが、ブロックチェーンに書き込まれてもよい。本実施形態においてデータの取得は、データ関係者からデータ取扱者がデータを獲得することを意味し、データの受領は、データ取扱者からデータを獲得することを意味する。ただし、取得と受領をいずれか一方に統一してもよい。

このようなデータに対する記録を残すことにより、データのトレーサビリティを担保する。例えば、データが第三者に提供された場合に、データ関係者が、データがどの利用者に提供されたかと、提供の根拠となった同意と、を確認できるようにする。また、当該記録がブロックチェーンによって管理されることにより、当該記録に対する改ざんへの耐性を向上させることができる。

ブロックチェーンは、ブロックチェーンに係るＰ２Ｐネットワークに所属する情報処理装置に分散されて管理される。当該Ｐ２Ｐネットワークは、ブロックチェーンのブロックに書き込む内容を合意形成するためのネットワークとも言える。関係者装置５０１、データ管理装置１０１、及び利用者装置７０１は、直接又は間接的に、データに関する記録をブロックチェーンに書き込めればよい。すなわち、関係者装置５０１、データ管理装置１０１、及び利用者装置７０１が、ブロックチェーンシステム２０１、言い換えればブロックチェーンに係るＰ２Ｐネットワークに属していて、ブロックチェーンのブロックに、直接、書き込みを行ってもよい。あるいは、関係者装置５０１、データ管理装置１０１、及び利用者装置７０１は、ブロックチェーンシステム２０１に属しておらず、ブロックチェーンシステム２０１に属する情報処理装置に対して、ブロックチェーンへの書き込みを依頼してもよい。言い換えれば、書き込みたい記録をブロックチェーンに属する情報処理装置に送付することにより、間接的に、ブロックチェーンへの書き込みを実現してもよい。

また、関係者装置５０１、データ管理装置１０１、及び利用者装置７０１が、個別に、ブロックチェーンのブロックに書き込みを行ってもよいし、それらのいずれかが、代表して書き込みを行ってもよい。例えば、関係者装置５０１がブロックチェーンのブロックに同意に関する記録を書き込み、データ管理装置１０１は、ブロックチェーンを監視しておくことにより、当該同意を認識してもよい。あるいは、データ管理装置１０１が、関係者装置５０１からの同意を示す情報を、ブロックチェーン以外の媒体、例えば、メール、Ｗｅｂページなどを介して取得して、当該情報に基づいてブロックチェーンのブロックに、同意に関する記録を書き込んでもよい。

なお、ブロックチェーンへの書き込み方法は、公知の技術を用いればよく、本実施形態においては、詳細に記載しない。例えば、安全性を示すために、書き込まれる記録にデジタル署名が添付され得るが、当該デジタル署名は、関係者装置５０１の秘密鍵から生成されたものでもよいし、データ管理装置１０１の秘密鍵から生成されたものでもよい。また、データ関係者が秘密鍵を安全に管理するのは比較的困難であるため、秘密鍵の管理をデータ取扱者に任せる場合もあり得る。そのため、データ管理装置１０１が、関係者装置５０１の代わりに関係者装置５０１の秘密鍵からデジタル署名を生成して関係者装置５０１に送信してもよい。

検証装置１は、他の装置からブロクチェーンに書き込まれた任意の記録に対する整合性の検証要求を受信し、検証要求に基づきブロックチェーンから記録を検索し、記録の整合性を検証する。検証要求の要求元装置は、関係者装置５０１、データ管理装置１０１又は利用者装置７０１でもよいし、これらとは異なる装置でもよい。検証装置１は、ブロックチェーンシステム２０１に属しておらず、ブロックチェーンシステム２０１に属する情報処理装置に対して、ブロックチェーンにおける検索を依頼してもよい。図２４では検証装置１は関係者装置５０１、データ管理装置１０１及び利用者装置７０１とは別の装置として示されているが、関係者装置５０１、データ管理装置１０１及び利用者装置７０１の少なくともいずれかが検証装置１を兼ねていてもよい。

なお、情報処理システムに関わる主体は、図２４に示した主体に限られるわけではなく、その他の主体が存在してもよい。例えば、関係者のデータは、データ取扱者とは別のデータ管理者によって保管されることも想定される。この場合、データ管理者の情報処理装置が、関係者装置５０１からデータを取得し、データ管理者の情報処理装置が、データ管理装置１０１からの指示を受けて利用者装置７０１にデータを送信すればよい。すなわち、データ管理者の情報処理装置が、データ管理装置１０１の一部として機能すればよい。

図２５は、本実施形態に係るブロックチェーンの一例を示す図である。図２６は、図２５に続く図である。以下、図２５及び図２６のブロックチェーンについて説明する。

図２５及び図２６には、ブロック３００からブロック３１８を含むブロックチェーンが示されている。ブロックチェーンには、データに関する記録、より詳細には、データの取扱に関する記録が書き込まれている。ブロック３００から３１８に示されたトランザクションＩＤは、各記録が示す処理（トランザクション）の識別子である。ブロック３００からブロック３１８に示されたＢＣユーザＩＤは、ブロックチェーンにおけるユーザＩＤを意味し、各記録が示す処理の主体を示す。

第３の実施形態について、第１の実施形態及び第２の実施形態の説明で用いた用語との関係について説明する。
・第３の実施形態におけるデータ関係者は、第１の実施形態及び第２の実施形態におけるデータ所有者に対応する。
・トランザクションＩＤは、第１の実施形態及び第２の実施形態における同意情報識別子又は記録識別子に対応する。
・ＢＣユーザＩＤは、第１の実施形態及び第２の実施形態における所有者識別子又は記録事業者に対応する。
・「取扱」は第１の実施形態及び第２の実施形態における「処理」と同様の意味で用いる。
・処理に関する記録には、提供記録、受領記録、取得記録、生成記録、削除記録の他に、利用記録がある。なお、第３の実施形態では生成記録の例はない。
・同意に関する記録（同意情報）には、直接取得同意の記録、間接取得同意の記録、提供同意の記録がある。実施形態３では間接取得同意の例はないが、提供先がデータ取扱者である提供同意が間接取得同意にあたる。

ブロック３００は、ＢＣユーザＩＤが「ｈａｎａｋｏ」であるデータ関係者が、ＢＣユーザＩＤが「ｄｅａｌｅｒ１」であるデータ取扱者によるデータの取得という取り扱いに同意したという記録（取扱同意記録）を示す。同意の有効日は２０２１年８月１１日以降である。取扱の種類は「取得」、記録の種類は「取扱同意」となっている。このような同意に関する記録を直接取得同意という。また状態は「同意」となっている。「ｈａｎａｋｏ」は実名でも仮名でもよいが、本実施形態では仮名の場合を想定する。

本実施形態においてデータの取得は、取得したデータの保管までを含んでよい。つまりデータの取得に同意したことは、取得したデータの保管にも同意したことを意味する。ただし、データの取得と、取得したデータの保管とを、異なる取扱の種類として別々に定義してもよい。

ブロック３０１も取扱同意記録を示している。ブロック３０１は、データ提供元が「ｄｅａｌｅｒ１」で、データ提供先がＢＣユーザＩＤ「ｃｏｍｐａｎｙ１」であるデータ利用者であればデータを提供してもよいという提供に関する同意を「ｈａｎａｋｏ」が行ったことを示している。これは、「ｃｏｍｐａｎｙ１」によるデータ受領への同意とも言える。この記録では、取扱の種類が「提供」、記録の種類は「取扱同意」となっている。このような同意に関する記録を提供同意という。同様に、ブロック３０２は、データ提供元が「ｄｅａｌｅｒ１」で、データ利用者が「ｃｏｍｐａｎｙ２」であればデータを提供してもよいという同意を「ｈａｎａｋｏ」が行ったことを示している。これは、「ｃｏｍｐａｎｙ２」によるデータ受領への同意とも言える。ブロック３０１と同様に、取扱の種類が「提供」、記録の種類は「取扱同意」となっている（提供同意）。

ブロック３０３及びブロック３０４はそれぞれ、ＢＣユーザＩＤが異なる以外は、ブロック３０１及びブロック３０２と同じ記録（取扱同意記録）を示すものである。ブロック３０３及びブロック３０４に示されるＢＣユーザＩＤは、利用者（提供先）に応じて変更されている。言い換えれば、ＢＣユーザＩＤは、利用者ごとに専用の識別子とされている。ＢＣユーザＩＤは、関係者と利用者の組み合わせと一意に対応する識別子となっており、データ関係者「ｈａｎａｋｏ」が、利用者によって異なる識別子によって表される。同じ利用者であっても、組み合わされる関係者に応じて識別子は異なる。取扱同意記録のＢＣユーザＩＤを、関係者に対応する利用者用の識別子に書き換えた取扱同意記録を取扱同意再記録と呼ぶ。このため、ブロック３０３及びブロック３０４のいずれにおいても、記録の種類は「取扱同意再」となっている。

ブロック３０５及びブロック３０６は、ＢＣユーザＩＤが異なる以外は、ブロック３００と同じ取扱同意記録を示すものである。ブロック３０５及びブロック３０６に示されるＢＣユーザＩＤは、ブロック３０３及びブロック３０４と同様、関係者と利用者の組み合わせと一意に対応する識別子となっている。

ブロック３０７は、データ取得に関する取扱実行記録である。取得の主体は「ｄｅａｌｅｒ１」で、データ取得が２０２１年８月１３日に行われたことを示す。記録の種類は「取扱実行」、取扱の種類は「取得」となっている。取扱の種類が「取得」である取扱実行記録を、取得に関する取扱実行記録、取得の取扱実行記録又は取得記録などと呼ぶことがある。
ブロック３０８は、「ｄｅａｌｅｒ１」によるデータ提供に関する取扱実行記録である。記録の種類は「取扱実行」、取扱の種類は「提供」となっている。取扱の種類が「提供」である取扱実行記録を、提供に関する取扱実行記録、提供の取扱実行記録又は提供記録などと呼ぶことがある。

ブロック３０９は、「ｄｅａｌｅｒ１」による当該データ提供に対応する、「ｃａｍｐａｎｙ１」によるデータ受領に関する利用記録である。当該データの提供者は、参照する提供同意ＩＤ０３の提供元「ｄｅａｌｅｒ１」から分かる。記録の種類は「取扱実行」、取扱の種類は「受領」となっている。取扱の種類が「受領」である取扱実行記録を、受領に関する取扱実行記録、受領の取扱実行記録又は受領記録などと呼ぶことがある。

同様に、ブロック３１０は、「ｄｅａｌｅｒ１」によるデータ提供に関する取扱実行記録（提供記録）であり、ブロック３１１は、「ｄｅａｌｅｒ１」による当該データ提供に対応する、「ｃａｍｐａｎｙ２」によるデータ受領に関する利用記録（受領記録）である。ブロック３１０及びブロック３１１は、それぞれ、ブロック３０８及びブロック３０９と同様の内容であるが、ブロック３０８及びブロック３１１に比べて提供同意ＩＤ及び取得同意ＩＤなどが異なっている。

ブロック３１２は、「ｄｅａｌｅｒ１」によるデータの利用を表す取扱実行記録である。記録の種類は「取扱実行」、取扱の種類は「利用」となっている。このような取扱に関する記録を利用記録という。当該データの関係者は、参照する同意ＩＤ００のＢＣユーザＩＤ「ｈａｎａｋｏ」である。「ｄｅａｌｅｒ１」はデータ取扱者（図１参照）に対応するが、データの利用は、データ利用者のみならず、データ取扱者も行うことができる。すなわちデータ取扱者もデータ利用者になり得る。

ブロック３１３は、ＢＣユーザＩＤが「ｈａｎａｋｏ」というデータ関係者が、「ｄｅａｌｅｒ１」というデータ取扱者によるデータの取得の同意を撤回したという記録（取扱同意記録）を示す。ブロック３１３において、状態は「不同意」となっている。

ブロック３１４及びブロック３１５はそれぞれ、ＢＣユーザＩＤが異なる以外は、ブロック３１３と同じ取扱同意記録を示すものである。ブロック３１４及びブロック３１５に示されたＢＣユーザＩＤは、利用者に応じて変更されており、言い換えれば、利用者と一意に対応する識別子となっている。ブロック３１４及びブロック３１５において、記録の種類は「取扱同意再」となっており、状態は「不同意」となっている。

ブロック３１６は、ＢＣユーザＩＤが「ｈａｎａｋｏ」というデータ関係者が、「ｄｅａｌｅｒ１」から「ｃｏｍｐａｎｙ１」へのデータの提供という取扱の同意を撤回したという記録（取扱同意記録）を示す。

ブロック３１７は、ＢＣユーザＩＤが異なる以外は、ブロック３１６と同じ取扱同意記録を示すものである。ブロック３１７に示されたＢＣユーザＩＤは、利用者に応じて変更されており、利用者と一意に対応する識別子となっている。ブロック３１７において、記録の種類は「取扱同意再」となっており、状態は「不同意」となっている。

ブロック３１８は、「ｄｅａｌｅｒ１」によるデータの削除を表す取扱実行記録（削除記録）である。当該データの関係者は、参照する同意ＩＤ（トランザクションＩＤ）１３のブロック３１３におけるＢＣユーザＩＤが示す「ｈａｎａｋｏ」である。

なお、ブロックチェーンに書き込まれる記録には様々の情報が含まれ得る。例えば、取得に関する取扱同意記録（例えばブロック３００）に、取扱者がデータをどこから取得するか、言い換えれば、データの送信元、が含まれていてもよい。また、取得に関する取扱実行記録（例えばブロック３０７）に、取扱者がデータをどこから取得したか、言い換えればデータの送信元、が含まれていてもよい。また、例えば、提供に関する取扱同意記録（例えばブロック３０８）においては、データの全部を提供してよいこと、あるいは、データのどの部分を提供してよいかを示すデータ項目などが含まれていてもよい。また、これらの取扱同意記録・取扱実行記録において、データの提供先が、明示的に含まれていてもよいし、上記のように、他の記録を参照することによってデータの提供先が判明するのであれば、データの提供先が省略されてもよい。

また、図２５及び図２６の例では、一つの記録が一つのブロックに書き込まれているが、必ずしも１対１である必要はなく、複数の記録が一つのブロックに書き込まれていてもよい。例えば、取得に関する取扱同意記録（直接取得同意）と、提供に関する取扱同意記録（提供同意）と、が、一つのブロックに書き込まれていてもよい。また、一つの記録内に複数の同じ種類の項目が記載されていてもよい。例えば、取得の同意（直接取得同意）、提供の同意（提供同意）などの複数の同意が、一つの取扱同意記録に含まれていてもよい。あるいは、一つの取得に関する取扱同意記録（直接取得同意）に、複数の関係者それぞれの取得に関する同意が含まれていてもよい。また、複数の同意に基づいて、複数のデータを一度に提供した場合に、データ提供に関する取扱実行記録（提供記録）には、データ提供に関する複数の取扱同意記録（提供同意）が示す情報が含まれ得る。

また、ブロックから必要な情報が読み取ることができれば、記録がどのようにブロックに書き込まれてもよい。例えば、記録の一部又は全部が、メタ情報として、ブロックに含まれていてもよい。

このように、ブロックチェーンに記録を書き込むことにより、トレーサビリティを担保することができる。なお、ブロックチェーンのブロックは、ブロックチェーンシステム（Ｐ２Ｐネットワーク）に所属する情報処理装置であれば利用可能であるため、秘匿性が問題となるが、図２５及び図２６のブロックチェーンでは、秘匿性に対する対策も行われている。例えば、図２５及び図２６では、ＢＣユーザＩＤが「ｈａｎａｋｏ」という識別子（仮名）により示されているが、当該識別子が実際の個人名とは関係なければ、個人を特定することは難しい。所定ルールに基づいて個人名を、他の文字列、数字などに置き換えるという仮名化といった手法を行うことで、個人を特定することを難しくできる。

なお、ブロックチェーンに書き込まれる記録には、様々な情報を付与してよい。例えば、取得・提供等されるデータの詳細が付与されていてもよい。関係者装置５０１から渡されたデータの一部をデータ管理装置１０１が利用者装置７０１に提供する場合は、当該一部を認識することができる情報、例えば、項目名、データ内の位置などの情報、が記録されていてもよい。また、データ管理装置１０１が１つの場合は、提供元のデータ管理装置１０１のＢＣユーザＩＤを記録に含めなくてもよい。

このようにして、ブロックチェーンへの記録の書き込みが行われると、データが漏洩した場合にもデータ突合わせなどによりデータ関係者を特定する情報等が漏洩する不利益を低減しつつ、第三者への提供に対する同意及び提供の履歴を確認できる。

例えば、データ関係者は、通常の識別子のＢＣユーザＩＤをキーとして、ブロックチェーン上のブロックに書き込まれた取扱同意記録を読み出すことにより、データ関係者が意図した同意の内容になっているか否かを確認できる。図２６の例では、関係者装置５０１は、「ｈａｎａｋｏ」をキーとして、ブロック３００、ブロック３０１、ブロック３０２、及びブロック３１３を検出できる。これにより、取得の同意（保管の同意）と、ｃｏｍｐａｎｙ１という第１利用者への提供の同意と、ｃｏｍｐａｎｙ２という第２利用者への提供の同意と、が有効であるか否かを確認することができる。

また、第１利用者は、第２利用者向けの識別子「ｊ１ｋ２ｍ３」が第１利用者向けの識別子「ｇ７ｈ８ｉ９」と同一のデータ関係者を表すことを認識できない。同じく、第２利用者は、第１利用者向けの識別子「ｇ７ｈ８ｉ９」が第２利用者向けの識別子「ｊ１ｋ２ｍ３」と同一のデータ関係者を表すことを認識できない。このため、第１利用者及び第２利用者の一方がデータを漏洩したとしても、他方は、突合わせによりこのデータが「ｈａｎａｋｏ」のデータであることは特定できない。したがって、データの漏洩による不利益を低減することができる。

なお、データ関係者がデータ利用者向け識別子を知っており、データ利用者向け識別子でもトレーサビリティを担保できる場合など、システムの仕様に応じて、ブロック３０１及びブロック３０２などの生成は省略されてもよい。また、ブロック３０１及びブロック３０２などの生成を省略した場合には、通常の識別子と、利用者ごとの一意の識別子と、の対応関係を認識している情報処理装置に問い合わせてもよい。これにより、データ提供又はデータ取得などに対する同意を行っているデータ関係者の通常の識別子又は利用者用の識別子を確認できる。

なお、関係者装置５０１がデータ提供に同意した後に、提供の同意を撤回することもあり得る。そのため、データ提供に際して、提供の同意が撤回されていないことを確認できることが好ましい。すなわち、関係者装置５０１がデータの提供の同意を撤回した場合には、ブロックチェーンに提供の同意を撤回する記録が書き込まれる。データ管理装置１０１は、データ提供の際に、関係者装置５０１のＢＣユーザＩＤをキーとしてブロックチェーンを検索して、提供の同意が撤回されていないかを判定することが好ましい。なお、提供の同意に有効期限が示されている場合は、提供の同意に示された有効期限が切れていないかを確認することが好ましい。このように、データ提供に際して、提供の同意の有効性を確認することが好ましい。

なお、上記では、データ取扱者としてｄｅａｌｅｒ１だけが説明されたが、複数の取扱者が存在する場合もあり得る。その場合、複数のデータ取扱者ごとに、データ関係者のＢＣユーザＩＤを変更してもよい。また、データ取扱者及びデータ利用者の組み合わせごとに、データ関係者のＢＣユーザＩＤを変更してもよい。例えば、ｄｅａｌｅｒ１というデータ取扱者からデータ利用者ｃｏｍｐａｎｙ１へのデータ提供の取扱同意記録には、「ｇ７ｈ８ｉ９」を用いる。ｄｅａｌｅｒ２という別のデータ取扱者からデータ利用者ｃｏｍｐａｎｙ１へのデータ提供の取扱同意記録には、「ｇ７ｈ８ｉ９」とは別の識別子を用いる。これにより、データの漏洩による不利益を低減することができる。

なお、図２５及び図２６のブロックチェーンは例示であり、ブロックチェーンには、様々な記録が書き込まれてよい。例えば、データ利用者が、データの解析、編集、又は消去などを実行した記録など、データの受領以外の利用記録が書き込まれてもよい。また、受領に関する利用記録に、受領したデータの項目、データを提供したデータ管理装置１０１のＢＣユーザＩＤなどが記録されてもよい。

検証装置１は対応表９１にアクセスし、データ関係者ごとに処理に関する記録とデータアクセスログとの整合性を検証する。

図２７は、第３の実施形態に係る検証装置１の動作の一例のフローチャートである。

ステップＳ３０１：検証装置１はデータ関係者のＢＣユーザＩＤ（例えば所有者識別子）に対する整合性検証要求を受ける。

ステップＳ３０２：検証装置１は、データ関係者のＢＣユーザＩＤ（所有者識別子）に基づき、対応表９１から利用者向けの識別子であるＢＣユーザＩＤを取得する。

ステップＳ３０３：検証装置１は、第１記憶システム２０１からＢＣユーザＩＤ（所有者識別子又は利用者向けの識別子）を含む取扱同意のトランザクションＩＤ（同意情報識別子）を取得する。

ステップＳ３０４：検証装置１は、第１記憶システム２０１から取扱同意のトランザクションＩＤ（同意情報識別子）を、同意ＩＤ項目に含む取扱実行のトランザクションＩＤを取得する。取扱実行記録（処理に関する記録）にデータ関係者のＢＣユーザＩＤ（利用者向けの識別子）が含まれる場合は、第１記憶システム２０１からデータ関係者のＢＣユーザＩＤ（所有者識別子又は利用者向けの識別子）を含む取扱実行のトランザクションＩＤを取得してもよい。

ステップＳ３０５：検証装置１は、取扱同意（同意に関する記録）と取扱実行記録（処理に関する記録）との整合性を検証する。

ステップＳ３０６：検証装置１は、第２記憶システム６０１からデータ関係者（データ所有者等）のＢＣユーザＩＤに関するデータアクセスログ（後述する図２８参照）を取得する。データアクセスログでは、データ関係者のＢＣユーザＩＤとして、対象とする記録事業者用のＢＣユーザＩＤが用いられる（同じデータ関係者でも記録事業者ごとにＢＣユーザＩＤが異なる）。

ステップＳ３０７：検証装置１は、ステップＳ３０４で取得したトランザクションＩＤの取扱実行記録のうち、対象とする記録事業者のＢＣユーザＩＤを含む取扱実行記録（処理に関する記録）と、データアクセスログとの整合性を検証する。
記録起点の検証では、実施形態１－１と同様の処理を行う。さらに、取扱実行記録が利用記録である場合に、利用記録について対応する読み出しログがない場合に整合性なしと判定する。
検証装置１は、記録起点とログ起点との少なくとも一方で整合性なしの場合に不整合を検出する（整合性なしと判定する）。

ステップＳ３０８：検証装置１は、ステップＳ３０５とステップＳ３０７との両方で不整合が検出されない場合に、全体として不整合は検出されないことを決定する。検証装置１は、全体として不整合が検出されないことを示す情報を出力（例えば画面に表示）してもよい。ステップＳ３０５とステップＳ３０７の少なくとも一方で整合性なしと判定した場合に、全体として不整合が検出されることを決定する。検証装置１は、全体として不整合が検出されたことを示す情報を出力してもよい。この際、ステップＳ３０５とステップＳ３０７のいずれで不整合が検出されたかを識別する情報を併せて画面に表示してもよい。

以下に、各ステップの動作例を具体的に示す。
（例１）
ステップＳ３０１：検証装置１がＢＣユーザＩＤ（ｈａｎａｋｏ）に対する整合性検証要求を受ける。
ステップＳ３０２：検証装置１が対応表９１からＢＣユーザＩＤ（ｈａｎａｋｏ）に対応する第１利用者向けの識別子であるＢＣユーザＩＤ（ｇ７ｈ８ｉ９）と第２利用者向けの識別子であるＢＣユーザＩＤ（ｊ１ｋ２ｍ３）を取得する。

ステップＳ３０３：検証装置１が第１記憶システム２０１からＢＣユーザＩＤ（ｈａｎａｋｏ，ｇ７ｈ８ｉ９，ｊ１ｋ２ｍ３）を含む取扱同意のトランザクションＩＤ００，０１，０２，０３，０４，０５，０６，１３，１４，１５，１６，１７を取得する。
ステップＳ３０４：検証装置１が第１記憶システム２０１から取扱同意のトランザクションＩＤ００，０１，０２，０３，０４，０５，０６，１３，１４，１５，１６，１７を同意ＩＤに含む取扱実行のトランザクションＩＤ０７，０８，０９，１０，１１，１２，１８を取得する。

ステップＳ３０４：検証装置１が、取扱同意（同意に関する記録）と取扱実行記録（処理に関する記録）との整合性を検証する。不整合は検出されないと判定する。

ステップＳ３０６：検証装置１が第２記憶システム６０１からＢＣユーザＩＤ（ｈａｎａｋｏ）に関するデータアクセスログを取得する。
図２８は、データアクセスログ３－１の例を示す。図２８のデータアクセスログから１～５行目のログを取得する。対象とする記録事業者のＢＣユーザＩＤをｄｅａｌｅｒ１とする。ｄｅａｌｅｒ１に基づき、取扱実行のトランザクションＩＤ０７，０８，１０，１２，１８を取得する。

ステップＳ３０７：検証装置１が当該取扱実行の記録とデータアクセスログとの整合性を検証する。記録起点の検証では、トランザクションＩＤ０７の取得記録にデータアクセスログの１行目のログが対応し、トランザクションＩＤ０８の提供記録にデータアクセスログの２行目が対応し、トランザクションＩＤ１０の提供記録にデータアクセスログの３行目が対応し、トランザクションＩＤ１２の利用記録にデータアクセスログの４行目が対応し、トランザクションＩＤ１８の削除記録にデータアクセスログの５行目が対応すると判断する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、データアクセスログの１行目にトランザクションＩＤ０７の取得記録が対応し、データアクセスログの５行目にトランザクションＩＤ１８の削除記録が対応すると判断する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、取扱実行記録（処理に関する記録）とデータアクセスログとの不整合は検出されないと判定する。

ステップＳ３０８：実施形態１－１のステップＳ１０７と同様のため省略する。

＜実施形態３－２＞
検証装置１は対応表９１にアクセスし、データ関係者ごとに取扱実行記録（処理に関する記録）と通信ログとの整合性を検証する。実施形態３－２における検証装置の動作に関して、実施形態３－１におけるステップＳ３０１～Ｓ３０５、Ｓ３０８は実施形態３－２にも同様に適用される。ステップＳ３０６、Ｓ３０７に対応する動作が、実施形態３－１と異なる。

ステップＳ３０６：検証装置１が第２記憶システム６０１からデータ関係者のＢＣユーザＩＤに関する通信ログを取得する。
ステップＳ３０７：検証装置１がステップＳ３０４で取得したトランザクションＩＤが示す取扱実行記録のうち、対象とする記録事業者のＢＣユーザＩＤを含む取扱実行記録（処理に関する記録）と、通信ログとの整合性を検証する。記録起点とログ起点の少なくとも一方で整合性なしと判定された場合に、不整合が検出される（整合性なしと判定される）。

以下に、各ステップの動作例を具体的に示す。

ステップＳ３０１、Ｓ３０２：実施形態３－１と同様のため省略する。

ステップＳ３０３～Ｓ３０５：実施形態３－１と同様のため省略する。

ステップＳ３０６：検証装置１が第２記憶システム６０１からＢＣユーザＩＤ（ｈａｎａｋｏ，ｇ７ｈ８ｉ９，ｊ１ｋ２ｍ３）に関する通信ログを取得する。
図２９は、通信ログ３－２の例を示す。個人データ送受の通信ログのみ取得するとし、図２９の通信ログの４～６行目を取得する。対象とする記録事業者のＢＣユーザＩＤをｄｅａｌｅｒ１とする。ｄｅａｌｅｒ１に基づき、取扱実行のトランザクションＩＤ０７，０８，１０，１２，１８を取得する。

ステップＳ３０７：検証装置１が当該取扱実行の記録と通信ログとの整合性を検証する。記録起点の検証では、トランザクションＩＤ０７（取得記録）に通信ログの４行目が対応し、トランザクションＩＤ０８（提供記録）に通信ログの５行目が対応し、トランザクションＩＤ１０（提供記録）に通信ログの６行目が対応する。記録起点の検証では不整合は検出されない。
ログ起点の検証では、通信ログの５行目にトランザクションＩＤ０８（提供記録）が対応し、通信ログの６行目にトランザクションＩＤ１０（提供記録）が対応する。ログ起点の検証では不整合は検出されない。なお、本例では通信ログの４行目に対応してトランザクションＩＤ０７（取得記録）が存在するが、通信ログの４行目に対応してトランザクションＩＤ０７（取得記録）が存在する場合もあり得る。例えば、個人データの受領又は取得において、通信ネットワークを介して個人データを受信した後に、間接取得同意又は直接取得同意を確認し、同意に関する記録が存在しない又は同意状態が不同意である場合に、データ保管部１１に個人データの書き込みをしない動作は許容される。このため、データ受信に対応する取得記録がないことは必ずしも不整合ではない。よって、ログ起点の検証において、通信ログの４行目に対応してトランザクションＩＤ０７（取得記録）が存在するかを確認することは必ずしも必要ではなく、本動作例ではそのような確認を行っていない。
よって、検証装置１は、取扱実行記録（処理に関する記録）と通信ログとの不整合は検出されないと判定する。

ステップＳ３０８：実施形態１－１と同様のため省略する。

＜実施形態３－３＞
検証装置１は対応表９１にアクセスし、データ関係者ごとに同意に関する記録と通信ログとの整合性を検証する。実施形態３－３における検証装置の動作に関して、実施形態３－１におけるステップＳ３０１～Ｓ３０５、Ｓ３０８は実施形態３－３にも同様に適用される。ステップＳ３０６、Ｓ３０７に対応する動作が、実施形態３－１と異なる。

ステップＳ３０６：検証装置１が第２記憶システム６０１からデータ関係者のＢＣユーザＩＤに関する通信ログを取得する。データ関係者の同意の受信ログでは、対象とする処理事業者向けのＢＣユーザＩＤが用いられる。

ステップＳ３０７：検証装置１がステップＳ３０４で取得したトランザクションＩＤが示す取扱同意のうち対象とする処理事業者のＢＣユーザＩＤを含む取扱同意（同意に関する記録）と、通信ログとの整合性を検証する。記録起点とログ起点の少なくとも一方で整合性なしの場合に不整合が検出される（整合性なしと判定する。

以下に、各ステップの動作例を具体的に示す。データ関係者の装置（関係者装置）は第１記憶システム２０１に直接アクセスせず、対象の処理事業者（例えば、データ取扱事業者のデータ管理装置１０１）を介してアクセスするものとする。従って、同意に関する記録に対応する通信ログを処理事業者の装置（例えばデータ管理装置１０１）が持ち、所有者の同意を受信する受信者が処理事業者の装置（例えばデータ管理装置１０１）となっている。

ステップＳ３０１、Ｓ３０２：実施形態３－１と同様のため省略する。

ステップＳ３０３～Ｓ３０５：実施形態３－１と同様のため省略する。

ステップＳ３０６：検証装置１が第２記憶システム６０１からＢＣユーザＩＤ（ｈａｎａｋｏ）に関する通信ログを取得する。データ関係者の同意の受信の通信ログのみ取得するとし、図２９の通信ログの１～３，７行目を取得する。対象とする処理事業者のＢＣユーザＩＤをｄｅａｌｅｒ１とする。ｄｅａｌｅｒ１に基づき、取扱同意のトランザクションＩＤ００，０１，０２，１３，１６を取得する。

ステップＳ３０７：検証装置１が当該取扱同意の記録（同意情報）と通信ログとの整合性を検証する。記録起点の検証では、トランザクションＩＤ００の直接取得同意に通信ログの１行目が対応し、トランザクションＩＤ０１の提供同意に通信ログの２行目が対応し、トランザクションＩＤ０２の提供同意に通信ログの３行目が対応し、トランザクションＩＤ１３の直接取得同意の撤回に通信ログの７行目が対応すると判断する。トランザクションＩＤ１６の提供同意の撤回は、トランザクションＩＤ１３の直接取得同意の撤回に基づき内部処理として生成されるため、対応する通信ログはない。記録起点の検証では不整合は検出されない。
ログ起点の検証では、通信ログの１行目にトランザクションＩＤ００の直接取得同意が対応し、通信ログの２行目にトランザクションＩＤ０１の提供同意が対応し、通信ログの３行目にトランザクションＩＤ０２の提供同意が対応し、通信ログの７行目にトランザクションＩＤ１３の直接取得同意の撤回が対応する。ログ起点の検証では不整合は検出されない。
よって、検証装置１は、同意に関する記録と通信ログとの不整合は検出されないと判定する。

ステップＳ３０８：実施形態１－１と同様のため省略する。

＜実施形態３－４＞
検証装置１は対応表９１にアクセスし、データ関係者ごとに同意に関する記録と認証ログとの整合性を検証する。実施形態３－４における検証装置の動作に関して、実施形態３－１におけるステップＳ３０１～Ｓ３０５、Ｓ３０８は実施形態３－４にも同様に適用される。ステップＳ３０６、Ｓ３０７に対応する動作が、実施形態３－１と異なる。

ステップＳ３０６：検証装置１は第２記憶システム６０１からデータ関係者のＢＣユーザＩＤに関する認証ログを取得する。データ関係者の認証ログでは、データ関係者のＢＣユーザＩＤとして、対象とする処理事業者向けのＢＣユーザＩＤが用いられる。
ステップＳ３０７：検証装置１はステップＳ３０４で取得したトランザクションＩＤが示す取扱同意のうち対象とする処理事業者のＢＣユーザＩＤを含む取得同意（同意に関する記録）と、認証ログとの整合性を検証する。

以下に、各ステップの動作例を具体的に示す。データ関係者の装置（関係者装置）は第１記憶システム２０１に直接アクセスせず、対象の処理事業者の装置（例えば、データ管理装置１０１）を介してアクセスするものとする。従って、取扱同意（同意に関する記録）に対応する認証ログを、処理事業者の装置（例えば、データ管理装置１０１）が持つ。

ステップＳ３０１、Ｓ３０２：実施形態３－１と同様のため省略する。

ステップＳ３０３～Ｓ３０５：実施形態３－１と同様のため省略する。

ステップＳ３０６：検証装置１は第２記憶システム６０１からＢＣユーザＩＤ（ｈａｎａｋｏ）に関する認証ログを取得する。
図３０は、認証ログ３－４の一例を示す。データ関係者の認証ログのみ取得するとし、図３０の認証ログの１～４行目を取得する。
また、対象とする処理事業者のＢＣユーザＩＤ（ｄｅａｌｅｒ１）とする。ｄｅａｌｅｒ１に基づき、取扱同意のトランザクションＩＤ００，０１，０２，１３，１６を取得する。

ステップＳ３０７：検証装置１は、当該取扱同意の記録（同意情報）と認証ログとの整合性を検証する。記録起点の検証では、トランザクションＩＤ００の直接取得同意に認証ログの１行目が対応し、トランザクションＩＤ０１の提供同意に認証ログの２行目が対応し、トランザクションＩＤ０２の提供同意に認証ログの２行目が対応し、トランザクションＩＤ１３の直接取得同意の撤回に認証ログの４行目が対応する。トランザクションＩＤ１６の提供同意の撤回は、トランザクションＩＤ１３の直接取得同意の撤回に基づき内部処理として生成されるため、対応する認証ログはない。記録起点の検証では不整合は検出されない。
よって、検証装置１は、取扱同意（同意に関する記録）と認証ログとの不整合は検出されないと判定する。

ステップＳ３０８：実施形態１－１と同様のため省略する。

（ハードウェア構成）
図３１は、検証装置１（情報処理装置）のハードウェア構成を示す。データ管理装置１０１、データ送信元装置３０１、データ受信先装置４０１、所有者装置（関係者装置）５０１も同様のハードウェア構成を有する。検証装置１は、コンピュータ９００により構成される。コンピュータ９００は、ＣＰＵ９０１と、入力インタフェース９０２と、表示装置９０３と、通信装置９０４と、主記憶装置９０５と、外部記憶装置９０６とを備え、これらはバス９０７により相互に接続されている。

ＣＰＵ（中央演算装置）９０１は、主記憶装置９０５上で、コンピュータプログラムである情報処理プログラムを実行する。情報処理プログラムは、検証装置１の上述の各機能構成を実現するプログラムのことである。情報処理プログラムは、１つのプログラムではなく、複数のプログラムやスクリプトの組み合わせにより実現されていてもよい。ＣＰＵ９０１が、情報処理プログラムを実行することにより、各機能構成は実現される。

入力インタフェース９０２は、キーボード、マウス、及びタッチパネルなどの入力装置からの操作信号を、検証装置１に入力するための回路である。

表示装置９０３は、検証装置１から出力されるデータを表示する。表示装置９０３は、例えば、ＬＣＤ（液晶ディスプレイ）、有機エレクトロルミネッセンスディスプレイ、ＣＲＴ（ブラウン管）、又はＰＤＰ（プラズマディスプレイ）であるが、これに限られない。

通信装置９０４は、検証装置１が外部装置と無線又は有線で通信するための回路である。データは、通信装置９０４を介して外部装置から入力することができる。外部装置から入力したデータを、主記憶装置９０５や外部記憶装置９０６に格納することができる。

主記憶装置９０５は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。情報処理プログラムは、主記憶装置９０５上で展開され、実行される。主記憶装置９０５は、例えば、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭであるが、これに限られない。検証装置１の各記憶部又はデータベースは、主記憶装置９０５上に構築されてもよい。

外部記憶装置９０６は、情報処理プログラム、情報処理プログラムの実行に必要なデータ、及び情報処理プログラムの実行により生成されたデータなどを記憶する。これらの情報処理プログラムやデータは、情報処理プログラムの実行の際に、主記憶装置９０５に読み出される。外部記憶装置９０６は、例えば、ハードディスク、光ディスク、フラッシュメモリ、及び磁気テープであるが、これに限られない。検証装置１の各記憶部又はデータベースは、外部記憶装置９０６上に構築されてもよい。

なお、情報処理プログラムは、コンピュータ９００にあらかじめインストールされていてもよいし、ＣＤ－ＲＯＭなどの記憶媒体に記憶されていてもよい。また、情報処理プログラムは、インターネット上にアップロードされていてもよい。

また、検証装置１は、単一のコンピュータ９００により構成されてもよいし、相互に接続された複数のコンピュータ９００からなるシステムとして構成されてもよい。

なお、本発明は上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素を適宜組み合わせることによって種々の発明を形成できる。また例えば、各実施形態に示される全構成要素からいくつかの構成要素を削除した構成も考えられる。さらに、異なる実施形態に記載した構成要素を適宜組み合わせてもよい。

１ 検証装置
１Ａ 入力部
１Ｂ 処理部
１Ｃ 取得部
１Ｄ 検証部
１１ データ保管部
１２ 同意情報取得部
１３ 判定処理部
１４ 履歴登録部
１５ 入力部
１６ 出力部
１７ データ解析部
２１ ログ保管部
４１ 識別子対応関係記憶部
４１Ａ 所有者識別子間の対応表
４２ 識別子変換部
９１ 利用者向け識別子対応表（対応表）
１０１ データ管理装置
２０１ 同意情報・履歴情報記憶システム（第１記憶システム、ブロックチェーンシステム）
３０１ データ送信元装置
４０１ データ受信先装置
５０１ 所有者装置（関係者装置）
６０１ 第２記憶システム
７０１ 利用者装置
９００ コンピュータ
９０２ 入力インタフェース
９０３ 表示装置
９０４ 通信装置
９０５ 主記憶装置
９０６ 外部記憶装置
９０７ バス

Claims (19)

1. データに対する処理に関する記録及びデータに対する処理の同意に関する記録の少なくとも一方を保持する第１記憶システムから前記記録を取得し、
   前記処理及び前記同意の少なくとも一方に関連して行われる動作のログを保持する第２記憶システムから前記ログを取得し、
   取得した前記ログに基づき、取得した前記記録に関する整合性を検証する、処理部、
   を備えた情報処理装置。
2. 前記データに関して検証対象に関する条件を含む整合性の検証要求を受ける入力部と、
   前記条件を満たす記録を前記第１記憶システムから取得し、前記条件を満たすログを前記第２記憶システムから取得する
   請求項１に記載の情報処理装置。
3. 前記処理部は、取得した前記記録に示される処理又は同意に対応する動作のログが、取得した前記ログに含まれない場合に、前記整合性がないと判定する
   請求項１又は２に記載の情報処理装置。
4. 前記処理部は、取得した前記ログが示す動作に対応する処理又は同意を示す記録が、取得した前記記録に含まれない場合は、前記整合性がないと判定する
   請求項１～３のいずれか一項に記載の情報処理装置。
5. 前記処理に関連して複数の動作が行われる場合に複数の動作に対応する複数のログが前記第２記憶システムに保持されており、
   前記処理部は、前記第２記憶システムから前記複数の動作に対応する複数のログを取得し、取得した複数のログのうち最後に行われる動作に対応するログを特定し、特定したログが示す動作に対応する処理を示す記録が、前記取得した記録に含まれない場合に、前記整合性がないと判定する
   請求項１～４のいずれか一項に記載の情報処理装置。
6. 前記処理部は、前記第１記憶システムに保持される前記記録に含まれる第１識別子と、前記第２記憶システムに保管されるログに含まれる第２識別子との対応関係に関する情報を、前記対応関係に関する情報を保持するデータ管理装置から取得し、
   前記処理部は、前記情報に示される前記対応関係にさらに基づいて、前記整合性を検証する
   請求項１に記載の情報処理装置。
7. 前記処理部は、取得した前記記録に含まれる前記第１識別子に対応する第２識別子を前記対応関係から検出し、検出した前記第２識別子と、取得した前記記録に含まれる前記第１識別子とに基づき算出される値が、取得した前記記録の項目に含まれる値と異なる場合に、前記整合性がないと判定する
   請求項６に記載の情報処理装置。
8. 前記処理部は、前記記録に関する前記処理の対象とされた前記データを、前記データを保持するデータ管理装置から取得し、
   前記処理部は、取得した前記記録の項目に含まれる値が、取得した前記データから算出される値と異なる場合に、前記整合性がないと判定する
   請求項１～７のいずれか一項に記載の情報処理装置。
9. 前記同意に関する記録に含まれる値が、前記同意に関する記録の項目で指定される同意文書から算出する値と異なる場合に、前記整合性がないと判定する
   請求項１～８のいずれか一項に記載の情報処理装置。
10. 前記処理部は、前記処理に関する記録と、前記処理に対する同意に関する記録とを取得し、
    前記処理に対する同意に関する記録が存在しない場合、又は、前記処理に対する同意に関する記録に基づき特定される同意期間に、前記処理に関する記録に示される前記処理の時刻が含まれない場合に、前記整合性がないと判定する
    請求項１～９のいずれか一項に記載の情報処理装置。
11. 前記処理に関する記録は、受領記録、提供記録、取得記録、生成記録、削除記録及び利用記録のうちの少なくとも１つであり、
    前記処理部は、
    前記受領記録に対応するデータの書き込みのログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記提供記録に対応するデータの読み出しのログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記取得記録に対応するデータの書き込みのログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記生成記録に対応するデータの読み出しのログ又は書き込みのログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記削除記録に対応するデータの削除のログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記利用記録に対応するデータの読み出しのログが、取得した前記ログに含まれない場合に、前記整合性がないと判定する
    請求項１～１０のいずれか一項に記載の情報処理装置。
12. 前記処理部は、
    データの書き込みのログに対応する取得記録、受領記録、又は、生成記録が、取得した前記記録に含まれない場合に、前記整合性がないと判定し、
    データの削除のログに対応する削除記録が、取得した前記記録に含まれない場合に、前記整合性なしと判定する
    請求項１～１１のいずれか一項に記載の情報処理装置。
13. 前記処理に関する記録は、受領記録、提供記録、及び取得記録のうちの少なくとも１つであり、
    前記処理部は、
    前記受領記録に対応するデータの受信ログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記提供記録に対応するデータの送信ログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    前記取得記録に対応するデータの受信ログが、取得した前記ログに含まれない場合に、前記整合性なしと判定する
    請求項１～１２のいずれか一項に記載の情報処理装置。
14. 前記処理部は、データの送信ログに対応する提供記録が、取得した前記記録に含まれない場合に、前記整合性がないと判定する
    請求項１～１３のいずれか一項に記載の情報処理装置。
15. 前記同意に関する記録は、保管同意の記録及び提供同意の記録のうちの少なくとも１つを含み、
    前記処理部は、
    前記保管同意に対応する同意の受信ログが、取得した前記ログに含まれない場合に、前記整合性がないと判定し、
    取得した前記記録に前記保管同意の撤回の記録が含まれず、かつ前記提供同意に対応する同意の受信ログが、取得した前記ログに含まれない場合に、前記整合性がないと判定する
    請求項１～１４のいずれか一項に記載の情報処理装置。
16. 前記処理部は、同意の受信ログに対応する間接取得同意、直接取得同意及び提供同意のうちの１つの記録が、取得した前記記録に含まれない場合に、前記整合性がないと判定する
    請求項１～１５のいずれか一項に記載の情報処理装置。
17. 前記第２記憶システムに保持されている前記ログは、前記データの関係者による前記処理の同意を受け付け、前記関係者の認証処理を行い、認証処理に成功した場合に前記同意に関する記録を前記第１記憶システムに提供する装置により行われる前記関係者に対する前記認証処理の結果を含み、
    前記同意に関する記録は、保管同意の記録及び提供同意の記録のうちの少なくとも１つを含み、
    前記処理部は、
    前記保管同意の記録に対応する認証成功のログがない場合に、前記整合性がないと判定し、
    取得した前記記録に前記保管同意の撤回の記録が含まれず、かつ前記提供同意の記録に対応する認証成功のログがない場合に、前記整合性がないと判定する
    請求項１～１６のいずれか一項に記載の情報処理装置。
18. データに対する処理に関する記録及びデータに対する処理の同意に関する記録の少なくとも一方を保持する第１記憶システムから前記記録を取得し、
    前記処理及び前記同意の少なくとも一方に関連して行われる動作のログを保持する第２記憶システムから前記ログを取得し、
    取得した前記ログに基づき、取得した前記記録に関する整合性を検証する、
    コンピュータにより実行される情報処理方法。
19. データに対する処理に関する記録及びデータに対する処理の同意に関する記録の少なくとも一方を保持する第１記憶システムから前記記録を取得し、
    前記処理及び前記同意の少なくとも一方に関連して行われる動作のログを保持する第２記憶システムから前記ログを取得するステップと、
    取得した前記ログに基づき、取得した前記記録に関する整合性を検証するステップと
    をコンピュータに実行させるためのコンピュータプログラム。

Images