JP3917463B2 - 個人情報流通管理方法，個人情報流通管理システムおよび個人情報流通管理用プログラム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は，例えば電子商取引や医療の分野において，個人情報の管理や流通を行う際の個人情報提供者のプライバシー保護と個人情報利用に関する利用者の利便性向上とを図り得る個人情報流通管理方法に関するものである。
【０００２】
【従来の技術】
インターネット上でオンラインショッピングや電子商取引を行う際には，認証，顧客管理，マーケティング，配達先情報の提示などの必要性から，利用者は個人情報（一種のコンテンツ）の入力が不可欠であった。利用者は，商品購入やサービス提供を受ける度に個人情報の入力を要求され，提供した自分の個人情報がどこでどのように使用されているのか，また知らないところで公開，流通されたりしないのかという不安があった。上記問題を解決するための技術としては，ＷＷＷコンソーシアム(World Wide Web Consortium（Ｗ３Ｃ）で Working Draft) として検討中のＰ３Ｐ(Platform for Privacy Perference Project) などがある。
【０００３】
このＰ３ＰはＷＷＷのサーバとクライアントとの間での個人情報の受け渡し方法を定めた仕様であり，Ｗｅｂサイトを訪れた利用者の個人情報に対して，｛開示／拒否／拒否の場合の代替条件｝を設定することで，個人情報の保護を可能にしている。具体的にはＷｅｂサイトが個人情報を入手するとき，取得した個人情報の項目，利用目的や開示する範囲などをＷｅｂサイトのプライバシーに関する要求として利用者に明示し，利用者はその説明内容に応じて，個人情報の開示に｛合意／拒否／代替条件｝を採用するかどうかを選択することができる。
【０００４】
すなわち，Ｗｅｂサイトが予めプライバシーに関する要求を宣言し，利用者が個人情報のデータセットと開示のための条件設定を用意しておけば，Ｗｅｂサイトの要求と利用者の設定とを比較し，自動的に合意に至ることを可能にしている。また，合意に至らなくてもＷｅｂサイトが利用目的に応じて複数の要求を宣言していれば，別の要求に対して合意に至ることができる。
【０００５】
さらに，Ｗｅｂサイトは利用者が訪れる度にプライバシーに関する要求を送らなくても，以前合意が取れたものに関しては，再取得の手間を省くことを可能にしているので，同じ情報を何度も入力する必要がない。
【０００６】
【発明が解決しようとする課題】
しかしながら，上記の従来技術では，提供者は利用者が申請する利用目的や利用期間などの要求条件に応じてコンテンツを提供する仕組みであることから，利用者が別の人物になりすまして，コンテンツの要求を行ったり，利用目的や利用期間などの要求条件の内容を偽ってコンテンツの要求を行ったりすると，現実世界での利用者本来の権限ならば入手し得ないような情報でも開示されてしまう可能性を否定できなかった。特に，利用するコンテンツが医療情報，資産情報などの重要な個人情報の場合には，重大な問題となる。
【０００７】
本発明は，上記課題に鑑みてなされたもので，個人情報の正当性および個人情報の転々とする流通における個人情報の漏洩を保護するのに有効な個人情報流通管理方法を提供することを目的とする。
【０００８】
【課題を解決するための手段】
前述した目的を達成するために，本発明は少なくとも一つ以上の個人情報を供することが可能な個人情報提供主体と，個人情報提供主体が提供する個人情報に関する認証を行う個人情報認証主体と，個人情報提供主体から開示される個人情報の提供を受ける個人情報利用主体と，個人情報利用主体の個人情報利用に関する認証を行う個人情報利用環境認証主体との間で，個人情報の開示を判断する開示利用規定判断手段を用いて個人情報を流通・管理するときの個人情報流通管理方法であって，個人情報提供主体が提供する個人情報と，当該個人情報に対する開示利用規定との組を開示利用規定判断手段と共に一つにカプセル化し，個人情報認証主体が，個人情報提供主体から提供された個人情報カプセルに対して，一意に識別可能なＩＤを発行すると共に，該ＩＤに対する個人情報カプセルの正当性を保証する，個人情報カプセル証明書を発行し，開示利用規定判断手段が当該個人情報に保持される個々の開示利用規定と個人情報利用主体が持つ利用環境情報に基づいて，当該個人情報利用主体に対して開示可能な個人情報を検索して，提示し，個人情報利用環境認証主体が，個人情報利用主体の利用環境に対して，一意に識別可能なＩＤを発行すると共に，該ＩＤに対する個人情報利用環境の正当性を保証する利用環境証明書を発行することを要旨とする。
【０００９】
本発明では，個人情報と，個人情報の開示利用規定と，開示利用規定を判断する開示利用規定判断手段とをまとめて一つの個人情報カプセルとすることで，個人情報カプセルがどのような環境においても，個人情報提供主体の意図する開示利用規定に基づいた個人情報の開示制御を行うことができる。
【００１０】
また，本発明は，開示利用規定が，個人情報の利用に関する個々の要求条件である少なくとも一つ以上の個人情報利用主体の利用環境情報と，生成されるカプセルの要求条件である回数，期間，期限と要求条件が満たされなかったときの処理方法を規定したものであることを要旨とする。
【００１１】
また，本発明は，利用環境情報が，カプセル化した個人情報を参照するために使われる情報利用主体のアプリケーション情報，マシン情報，ネットワーク情報，ユーザ情報，開示利用規定判断手段の情報を規定したものであることを要旨とする。
【００１２】
また，本発明は，個人情報認証主体が，個人情報をカプセル化しようとする個人情報提供主体に対し，個人情報カプセルに一意のＩＤを発行し，生成された個人情報カプセルの特徴情報と個人情報提供主体の属性情報と付与されたＩＤの組を登録・管理し，ＩＤ，特徴情報，属性情報を記した個人情報カプセル証明書を発行し，個人情報利用者から提示されたＩＤに基づき該ＩＤの個人情報カプセルの個人情報カプセル証明書の提供を行うことを要旨とする。
【００１３】
本発明では，個人情報カプセル証明書に記述されている特徴情報と個人情報カプセルの特徴情報を確認することで，個人情報カプセルが改竄されていないことを検証することができると共に，一意のＩＤを付与することで流通する個人情報カプセルのすべてを識別することができ，個人情報カプセルの登録の前に個人情報提供主体と個人情報認証主体の間で何らかの認証を行うことで，個人情報利用主体が直接個人情報提供主体の情報にアクセスすることなく，個人情報カプセルを生成した個人情報提供主体の身元を保証することができる。
【００１４】
また，本発明は，個人情報利用環境認証主体が，個人情報を利用しようとする個人情報利用主体の利用環境情報に対して一意に識別可能なＩＤを発行し，個人情報利用主体の利用環境情報とＩＤの組を登録・管理し，利用環境情報とＩＤを記した利用環境証明書を発行し，開示利用規定判断手段から提示されたＩＤに基づき，該ＩＤの利用環境情報の正当性を保証する利用環境証明書の提供を行うことを要旨とする。
【００１５】
本発明では，個人情報提供主体が，個人情報の開示を許可する利用環境を特定することで，個人情報カプセルが個人情報提供主体の意図しない個人情報利用主体に渡ったとしても個人情報の参照を防ぐことができると共に，個人情報利用主体の利用環境情報に対して一意のＩＤを付与することで，個人情報提供主体に個人情報利用主体の利用環境情報を容易に伝えることができ，利用環境情報を登録する際に個人情報利用主体と個人情報利用環境認証主体との間で何らかの認証を行うことで，個人情報利用環境認証主体が個人情報提供主体に対し，個人情報カプセルを参照しようとする個人情報利用主体の身元を保証することができる。
【００１６】
また，本発明は，個人情報提供主体が，提供しようとする一つ以上の個人情報と該個人情報に対して開示に必要な要求条件を個人情報利用環境認証主体から取得した利用環境証明書に記されている利用環境情報で設定し，生成する個人情報カプセルに対する要求条件を設定し，個人情報認証主体から取得したＩＤと，開示利用規定判断手段とをそれぞれ暗号化し，一つにカプセル化し，生成された個人情報カプセルの特徴情報とＩＤを個人情報認証主体に登録を行うことを要旨とする。
【００１７】
本発明では，個人情報提供主体が開示利用規定判断手段を個人情報とその開示利用規定とともにカプセル化するので，開示利用規定判断手段は常に個人情報提供主体が指定したものを使用するため必ず個人情報提供主体が意図した開示利用規定を保証することができると共に，個人情報利用環境認証主体から利用環境証明書を取得することで，正当な利用環境情報を利用することができる。また，個人情報認証主体と何らかの認証を行って生成した個人情報カプセルを登録することによって，個人情報カプセルの身元保証を個人情報認証主体に代行させることができる。
【００１８】
また，本発明は，個人情報利用主体が，個人情報カプセルのＩＤに基づき個人情報認証主体に登録されたものかを確認し，登録されていればその個人情報カプセルの個人情報カプセル証明書を取得し，該特徴情報が参照しようとしている個人情報カプセルと同一のものかを確認し，カプセルに定められた開示利用規定判断手段に対して，個人情報カプセルに格納された個人情報の参照要求を行い，開示利用規定判断手段の返却する個人情報の受け取りを行うことを要旨とする。
【００１９】
本発明では，個人情報利用主体が個人情報カプセルに格納された個人情報を参照する際の開示利用規定の判断には，個人情報カプセルごとに格納されている開示利用規定判断手段が使われるので，個人情報利用主体が利用したい開示利用規定判断手段をカプセルごとに変更することができると共に，個人情報カプセルのＩＤに基づき個人情報認証主体に問い合わせることで，個人情報カプセルが改竄されているかどうかを検証できる。また，個人情報カプセルを生成した個人情報提供主体の正当性を保証できる。
【００２０】
また，本発明は，開示利用規定判断手段が，個人情報利用主体の個人情報カプセルに格納された個人情報の参照要求時において，個人情報利用主体からの要求条件を受け取り，個人情報カプセルに設定された要求条件を判断し，個人情報利用主体の利用環境を検査し，該検査結果が個人情報利用環境認証主体に登録された利用環境情報であるかを確認し，要求された個人情報の要求条件に基づいて個人情報の開示を判断し，個人情報利用主体からの要求と判断結果を履歴情報としてカプセルに格納し，開示できる個人情報が存在する場合は，該個人情報を復号して個人情報利用主体への引き渡しを行うことを要旨とする。
【００２１】
本発明では，個人情報利用主体が個人情報カプセルに格納された個人情報にアクセスするには開示利用規定判断手段に依頼するので，どのような場面で個人情報カプセルに参照しようとしても必ず個人情報の要求条件を判断させることができると共に，各個人情報は開示利用規定判断手段だけが復号できるので個人情報利用主体が参照できないほかの個人情報を保護することができる。また，開示利用規定判断手段によってアクセス履歴が個人情報カプセルに格納されるので，個人情報カプセルがどのような流通経路を辿ってきたか，知ることができる。
【００２２】
【発明の実施の形態】
以下，図面を用いて本発明の実施形態について説明する。
【００２３】
図１は，本発明の個人情報流通管理方法が適用されるシステムの一実施形態に係る個人情報流通管理プラットフォームの概要を示すブロック図である。同図に示す個人情報流通管理プラットフォームは，インターネットなどのネットワーク環境において，個人情報提供装置１と，個人情報利用装置２と，個人情報認証装置３と，個人情報利用環境認証装置４とにより構成される。
【００２４】
個人情報提供装置１は，個人情報を提供する個人情報提供者が所有するパーソナルコンピュータなどの装置で，個人情報カプセル５を生成する個人情報カプセル生成手段１１を持つ。
【００２５】
個人情報利用装置２は，電子モールの運営者や医療機関などが所有する計算機システムであり，個人情報カプセル５に内包された個人情報を利用するために，個人情報提供装置１から提供された個人情報カプセル５に対してアクセスする個人情報カプセルアクセス手段２１を備える。
【００２６】
個人情報認証装置３は，個人情報カプセル認証局３０が所有する計算機システムであり，個人情報提供装置１が生成した個人情報カプセル５に対するＩＤの発行やその登録情報の管理を行うカプセル管理手段３１と，個人情報カプセル５に関する情報を保証するためのカプセル証明書６０を発行するカプセル証明書発行手段３２を備える。
【００２７】
個人情報利用環境認証装置４は，利用環境認証局４０が所有する計算機システムであり，個人情報利用装置２の利用環境情報を管理する利用環境管理手段４１と，その利用環境の正当性を保証する利用環境証明書７０を発行する利用環境証明書発行手段４２を備える。
【００２８】
個人情報提供装置１が生成した個人情報カプセル５を流通させ，それを受け取った個人情報利用装置２は，個人情報カプセルアクセス手段２１によって個人情報カプセル５にアクセスし，個人情報カプセル５に格納されている各種の個人情報５２のうち，個人情報提供者が許可した個人情報だけを参照することができる。個人情報カプセル５は，個人情報利用装置２に対して開示可能な個人情報であるかを判断するための開示利用規定判断手段５１を持つ。
【００２９】
図２は，図１に示すシステムの動作概要を説明する図である。個人情報を利用する個人情報利用装置２は，あらかじめ個人情報利用環境認証装置４に自装置に関する利用環境情報を登録し，利用環境情報を一意に識別する情報（これを，利用環境情報ＩＤという）を取得する。利用環境情報は，個人情報利用装置２が個人情報カプセル５に格納された個人情報を参照するために使われるアプリケーション情報（個人情報カプセルアクセス手段２１に関する情報），個人情報利用装置２のマシン情報，ネットワーク情報，個人情報利用者のユーザ情報，開示利用規定判断手段５１の情報などからなる。
【００３０】
個人情報利用環境認証装置４は，個人情報を利用しようとする個人情報利用装置２の利用環境情報に対して一意に識別可能な利用環境情報ＩＤを発行し，個人情報利用装置２の利用環境情報とその利用環境情報ＩＤの組を登録・管理し，利用環境情報ＩＤを指定した利用環境証明書７０の要求があれば，その利用環境情報ＩＤに対応する利用環境証明書７０を発行する。
【００３１】
個人情報提供装置１は，１または複数の個人情報利用装置２に対し，個人情報を提供する場合には，個人情報カプセル生成手段１１によって個人情報カプセル５を生成するために，まず個人情報認証装置３に対しカプセルに付与する一意のＩＤであるカプセルＩＤを要求し（図２の（ａ）），個人情報認証装置３が発行するカプセルＩＤを取得する（ｂ）。
【００３２】
また，個人情報提供装置１は，個人情報利用装置２が要求している個人情報の種類と個人情報利用装置２自体の利用環境情報ＩＤとを，個人情報利用装置２に要求し（ｃ），それらの情報を個人情報利用装置２から取得する（ｄ）。
【００３３】
個人情報提供装置１は，取得した個人情報利用装置２の利用環境情報ＩＤに基づき，個人情報利用環境認証装置４にその利用環境証明書を要求し（ｅ），個人情報利用環境認証装置４から利用環境証明書を取得する（ｆ）。取得した利用環境証明書から個人情報利用装置２の利用環境情報を得る。
【００３４】
個人情報提供装置１は，少なくとも一つ以上の個人情報と，該個人情報の開示を許可する個人情報利用装置２の利用環境情報および生成される個人情報カプセル５に対する利用条件（これを開示利用規定という）と，個人情報認証装置３から取得したカプセルＩＤとをもとに，個人情報カプセル生成手段１１によって，個人情報カプセル５を生成する（ｇ）。
【００３５】
図３に，個人情報カプセル５の構成例を示す。個人情報カプセル５は，カプセルＩＤ５３，開示利用規定判断手段５１，各種個人情報５２および個人情報ごとの開示利用規定５４を，一体不可分にまとめたものである。また，個人情報カプセル５に対してアクセスがあったときにアクセス履歴情報５５を記録するための領域を持つ。個人情報カプセル５は，例えば一つのファイルとして構成される。個人情報カプセル５の外部から直接読み取れるのは，カプセルＩＤ５３だけであり，他のデータは暗号化されて中身は外部から読み取れないようになっている。外部からは，開示利用規定判断手段５１を通した場合にだけ，個人情報５２等にアクセスすることができるようになっている。
【００３６】
開示利用規定判断手段５１は，利用環境情報ＩＤに基づいて個人情報の開示条件をチェックする開示判断プログラムのコード情報からなる。個人情報カプセル５内に開示判断プログラムを内蔵させないような実施の形態を採る場合には，開示利用規定判断手段５１は，外部の開示判断プログラムを動作させるための鍵のような情報でもよい。本実施の形態では，開示利用規定判断手段５１は，所定の開示判断プログラムによって構成されるものとして説明する。
【００３７】
個人情報５２は，個人情報提供者の住所，メールアドレス，クレジット番号その他，個人情報利用装置２に提供するどのような情報でもよい。各個人情報の種類ごとに開示利用規定５４を設定することができる。
【００３８】
開示利用規定５４は，図３（Ｂ）に示すように，各個人情報の利用に関する要求条件である個人情報利用装置２の利用環境情報と，生成されるカプセルの要求条件であるアクセス回数，期間，期限などの制限に関する情報と，要求条件が満たされなかったときの処理方法を規定する情報などからなる。
【００３９】
個人情報提供装置１は，生成された個人情報カプセル５のカプセルＩＤと，そのカプセルの特徴情報とを何らかの認証を行って個人情報認証装置３に送り，個人情報カプセル５を登録する（ｈ）。ここでの認証は，周知の各種認証方法を用いることができるので，その詳しい説明は省略する。
【００４０】
個人情報認証装置３は，送られてきた個人情報カプセル５のカプセルＩＤとその特徴情報からカプセル証明書を作成し，それをカプセルＩＤによって検索・取得可能なように記憶装置上のデータベースなどに蓄積する。
【００４１】
個人情報利用装置２は，個人情報提供装置１の利用者である個人情報提供者の個人情報が必要な場合には，インターネットなどを経由して個人情報提供装置１から個人情報カプセル５を取得する（ｉ）。
【００４２】
個人情報利用装置２は，個人情報カプセル５から必要な個人情報を入手するために，まず，個人情報カプセル５のカプセルＩＤに基づき個人情報認証装置３にそのカプセル証明書を要求し（ｊ），個人情報認証装置３からカプセル証明書６０を取得する（ｋ）。
【００４３】
図４（Ａ）に，カプセル証明書６０の例を示す。カプセル証明書６０には，個人情報カプセル５のカプセルＩＤと，個人情報カプセル５の特徴情報と，個人情報提供者の属性情報と，本証明書の発行年月日（時刻を含む）等の情報が記載されている。
【００４４】
個人情報カプセル５の特徴情報は，個人情報カプセル５が改竄されていないかどうかを確認するための情報である。具体例としては，個人情報カプセル５のファイルのハッシュ（ＨＡＳＨ）値などであり，これを用いることで，改竄のチェックを行うことができる。カプセル証明書の中の特徴情報と，実際の個人情報カプセル５のファイルから算出した特徴情報とを比較し，一致すればカプセル登録時から改竄されていないことを証明することができる。実際には，個人情報カプセル５には，アクセス履歴情報が記録されるので，カプセルファイル全体のハッシュ値ではなく，アクセス履歴情報以外の部分のハッシュ値を使用する。
【００４５】
個人情報提供者の属性情報は，個人情報カプセル５の作成者が必要に応じてカプセル証明書に追加できる付加的な情報であり，カプセル作成者の名前や連絡先などの任意に設定できる情報である。入力が必須ではないので，省略することも可能である。
【００４６】
個人情報利用装置２は，カプセル証明書を取得したならば，そのカプセル証明書に記されている特徴情報と実際にある個人情報カプセル５の特徴情報とを比較して改竄がないかを検証することで，個人情報認証装置３に登録されている個人情報カプセル５と相違がないことや，それが身元の保証された個人情報提供装置１から提供された個人情報カプセル５であることの正当性を検証する。
【００４７】
個人情報利用装置２は，個人情報カプセルアクセス手段２１を利用して，個人情報カプセル５中に組み込まれている開示利用規定判断手段５１に，個人情報利用装置２の利用環境情報ＩＤを指定し，個人情報カプセル５に格納された各種情報の取得要求を行う（ｌ）。開示利用規定判断手段５１に要求できる処理は，個人情報利用装置２がアクセスできる個人情報リストの取得と，各個人情報の取得である。
【００４８】
開示利用規定判断手段５１は，個人情報利用装置２から処理を要求されると，カプセルに対する要求条件｛回数・期間・期限等｝が満たされているかどうかを確認する。カプセルに対する要求条件が満たされていなければ，その旨を個人情報利用装置２に伝える。
【００４９】
次に，開示利用規定判断手段５１は，現在の個人情報利用装置２の実際の利用環境に関する各情報を検査取得すると共に，入力情報である利用環境情報ＩＤに基づき，個人情報利用環境認証装置４に登録されたその利用環境情報ＩＤに対応する利用環境証明書を要求し（ｍ），個人情報利用環境認証装置４から利用環境証明書を取得する（ｎ）。利用環境証明書を取得したならば，その利用環境証明書に記された各情報と，実際に検査取得した現在の利用環境の各情報とを比較する。一致しなければ，個人情報へのアクセスを不可とする。
【００５０】
次に，開示利用規定判断手段５１は，前記で確認した利用環境情報やその他の利用条件に関する開示利用規定に従って，個人情報５２の要求条件が満たされる個人情報を検索し，要求条件が満たされる個人情報が存在すれば，それを個人情報カプセル５から引き出して，個人情報利用装置２に引き渡す。これによって，個人情報利用装置２は，個人情報カプセル５から必要な個人情報を取得することができる（ｏ）。
【００５１】
開示利用規定判断手段５１は，個人情報利用装置２からの要求を受けてからの処理の結果を，すべて個人情報カプセル５の内部にアクセス履歴として格納する。
【００５２】
個人情報カプセル５の生成時または個人情報カプセル５に対するアクセス時に，個人情報提供装置１または開示利用規定判断手段５１が個人情報利用環境認証装置４から取得する利用環境証明書７０は，図４（Ｂ）に示すように，利用環境情報ＩＤと，利用環境情報７１と，本証明書の発行年月日等の情報を記載したものである。
【００５３】
利用環境情報７１は，カプセル化した個人情報を参照するために使われる情報利用装置２のアプリケーション情報，マシン情報，ネットワーク情報，ユーザ情報，開示利用規定判断手段５１の情報からなる。
【００５４】
個人情報利用装置２のアプリケーション情報は，個人情報カプセルアクセス手段２１に関するアプリケーションプログラムのプログラム名またはＡＰ公開鍵などの情報である。このアプリケーション情報に一致しない個人情報カプセルアクセス手段２１からは，個人情報カプセル５中の個人情報の参照を禁止する。
【００５５】
マシン情報は，個人情報利用装置２の計算機環境に関する情報である。ネットワーク情報は，個人情報利用装置２のネットワークアドレス等に関する情報である。これらに一致しない環境での個人情報カプセル５へのアクセスは禁止される。
【００５６】
ユーザ情報は，個人情報カプセル５が利用される環境で，どの個人情報利用者が利用するかを示す情報である。例えば電子モール，配達業者，課金業者などのそれぞれの担当者のＩＤ情報である。これは必要に応じて設定される情報であり，ユーザ情報を指定しておくと，そのユーザ以外は個人情報を参照できなくなる。
【００５７】
利用環境情報７１における開示利用規定判断手段５１の情報とは，利用環境の検査取得や開示判断に基づき，個人情報の取り出しを行う開示利用規定判断手段５１を構成する開示判断プログラムの識別情報である。開示判断プログラムは，個人情報カプセル５に内包されるが，個人情報カプセルアクセス手段２１が，個人情報カプセル５内の開示判断プログラムを正しく起動するために，そのＩＤやバージョン番号などの情報を，開示利用規定判断手段５１の情報として利用環境情報７１の中に設定する。これにより，個人情報利用装置２の利用環境にある他のプログラムを利用しないようにする。利用環境情報７１の中に開示利用規定判断手段５１の情報を持たせておくことにより，個人情報カプセル５には，必ずしも開示判断プログラムを内包させなくてもよく，開示利用規定判断手段５１との連携により外部のプログラムを利用する実施も可能である。
【００５８】
図５は，個人情報提供装置１における個人情報カプセル５の生成処理のフローチャートである。
【００５９】
個人情報カプセル５を生成する際には，まずステップＳ１では，個人情報認証装置３にカプセルＩＤを要求し，カプセルＩＤを取得する。次に，ステップＳ２では，個人情報を提供する相手である個人情報利用装置２から，その利用環境情報ＩＤと，個人情報利用者が要求する個人情報の種類とを取得する。複数の個人情報利用装置２に対して個人情報を提供する場合には，それぞれの個人情報利用装置２から利用環境情報ＩＤと個人情報の種類を取得する。
【００６０】
ステップＳ３では，取得した利用環境情報ＩＤをもとに，個人情報利用環境認証装置４から利用環境情報ＩＤに対応する利用環境証明書を取得する。次に，ステップＳ４では，それぞれ個人情報利用装置２に対して開示する個人情報を入力する。ステップＳ５では，入力した各個人情報に対応して，利用環境証明書から得た利用環境情報を用いて，開示利用規定５４を作成する。
【００６１】
ステップＳ６では，カプセルＩＤ５３，開示利用規定判断手段５１の開示判断プログラム，個人情報５２および開示利用規定５４から，これらの必要な部分を暗号化して個人情報カプセル５を生成する。
【００６２】
ステップＳ７では，必要に応じてカプセル証明書に記載する個人情報提供者の属性情報を入力する。続いて，ステップＳ８では，生成した個人情報カプセル５のハッシュ値などによる特徴情報を算出する。ステップＳ９では，個人情報認証装置３に，生成した個人情報カプセル５を登録し，処理を終了する。
【００６３】
図６は，個人情報利用装置２における個人情報カプセルアクセス手段２１の処理フローチャートである。本実施の形態では，個人情報カプセルアクセス手段２１は，各個人情報利用装置２ごとにそれぞれの用途に応じて用意される個人情報利用アプリケーション２１１のプログラムと，ライブラリとして各個人情報利用装置２に対して共通に用意されるプログラム２１２（ここでは，カプセルコンテンナという）から構成される。
【００６４】
個人情報カプセル５に対する参照手続きをカプセルコンテナ２１２としてライブラリ化することにより，個人情報利用アプリケーション２１１の開発者は，アプリケーション内でこのライブラリの関数を呼び出すだけで，個人情報カプセルアクセス手段２１を実装することができる。したがって，個人情報利用アプリケーション２１１の開発が容易化されるが，それだけでなく，個人情報カプセル５に対する参照の処理を，アプリケーション開発者から隠蔽することも可能になっている。これによって，個人情報カプセルアクセス手段２１が，開示判断プログラムとのやり取りにおいて虚偽の手続きを行い，不正に個人情報カプセル５内のデータを取得することの防止も図られる。
【００６５】
個人情報利用アプリケーション２１１は，まずステップＳ１１において，カプセルコンテナ２１２を呼び出し，参照しようとする個人情報カプセル５の正当性を確認する。
【００６６】
カプセルコンテナ２１２は，この正当性の確認のために，まずステップＳ２１において，個人情報カプセル５からカプセルＩＤを読み込む。なお，個人情報カプセル５のカプセルＩＤは，暗号化されずに，だれでも参照できるようになっている。次に，ステップＳ２２では，カプセルＩＤを個人情報認証装置３へ送信し，カプセルＩＤに対応するカプセル証明書６０を取得する。ステップＳ２３では，カプセル証明書６０中の特徴情報と，実際に個人情報カプセル５から算出した特徴情報とを比較し，一致するかどうかによって，個人情報カプセル５の正当性，すなわち個人情報カプセル５が改竄されていないかを検証する。ステップＳ２４では，検証した結果を個人情報利用アプリケーション２１２に返却する。
【００６７】
個人情報利用アプリケーション２１２では，ステップＳ１２により，検証結果から個人情報カプセル５が正当であるかどうかを判定し，正当でなければ，エラーメッセージの出力などのエラー処理を行って，処理を終了する。
【００６８】
正当であれば，ステップＳ１３へ移り，データ取得要求の関数によってカプセルコンテナ２１２を呼び出す。このとき，個人情報利用装置２の利用環境情報ＩＤをパラメータとして，カプセルコンテナ２１２に引き渡す。
【００６９】
カプセルコンテナ２１２は，ステップＳ２５において，パラメータとして入力した利用環境情報ＩＤを指定し，開示利用規定判断手段５１として個人情報カプセル５内に組み込まれている開示判断プログラム５１０を起動する。このとき，必要に応じて開示判断プログラム５１０を復号してロードする。開示判断プログラム５１０はインタプリタ形式で実行されるプログラムであってもよい。開示判断プログラム５１０の入力情報は，利用環境情報ＩＤである。
【００７０】
ステップＳ２６では，開示判断プログラム５１０とのやり取りにより，チャレンジ・アンド・レスポンスによるアクセスの正当性の確認（詳しくは後述）を行い，ステップＳ２７では，開示判断プログラム５１０から参照が許可されている開示可能な個人情報のデータを取得する。ステップＳ２８では，その取得したデータを個人情報利用アプリケーション２１１に返却し，ステップＳ２８では，終了通知を開示判断プログラム５１０へ送って開示判断プログラム５１０を終了させる。
【００７１】
カプセルコンテナ２１２から個人情報のデータを受け取った個人情報利用アプリケーション２１１は，ステップＳ１４において，取得した個人情報のデータを利用して，それぞれの個人情報利用装置２に応じた商品配送，課金処理などの各種処理を実行する。
【００７２】
図７は，開示判断プログラム５１０の処理フローチャートである。開示判断プログラム５１０は，カプセルコンテナ２１２から利用環境情報ＩＤを入力情報として起動されると，まず，ステップＳ３１において，入力した利用環境情報ＩＤを個人情報利用環境認証装置４へ送信し，個人情報利用装置２の利用環境証明書を取得する。
【００７３】
ステップＳ３２では，利用環境情報ＩＤに対応する利用環境情報証明書を取得できたかを検証し，続いてステップＳ３３では，利用環境証明書から利用環境情報を取り出す。
【００７４】
次に，ステップＳ３４では，カプセルコンテナ２１２とのチャレンジ・アンド・レスポンスのために，利用環境証明書から個人情報利用アプリケーション２１１のＡＰ公開鍵を取り出し，ステップＳ３５により乱数を生成して，乱数をカプセルコンテナ２１２へ送信する。
【００７５】
カプセルコンテナ２１２では，ステップＳ２６′において，受信した乱数をＡＰ公開鍵に対応する秘密鍵でもって暗号化し，暗号化した乱数を開示判断プログラム５１０へ返送する。開示判断プログラム５１０は，ステップＳ３６により，利用環境証明書から取得したＡＰ公開鍵で復号し，元の乱数と照合して一致するかを確認する。一致しなければ（ステップＳ３７），エラー通知を行い（ステップＳ３８），これに対し，カプセルコンテナ２１２ではエラー処理を行う。
【００７６】
乱数が一致すれば（ステップＳ３７），個人情報カプセル５に対してアクセスする個人情報利用アプリケーション２１１は，利用環境証明書に示されているアプリケーション情報と一致することが確認されることになる。
【００７７】
続いて，ステップＳ３９では，利用環境証明書から利用環境情報を取得し，ステップＳ４０では，個人情報の開示判断を行う。具体的には，利用環境証明書から得たマシン情報やネットワーク情報などの利用環境の情報と，実際の個人情報利用装置２の利用環境とが一致するかどうかを判断し，一致すると確認できた利用環境（開示利用規定５４）に対応する個人情報のデータを取り出す。なお，カプセルの要求条件であるアクセス回数や期間，期限なども開示利用規定５４中に設定されていれば，それらのチェックを併せて行う。
【００７８】
ステップＳ４１では，個人情報カプセル５から取り出した開示可能な個人情報のデータを個人情報利用装置２に返却する。その後，ステップＳ４２では，カプセルコンテナ２１２からの終了通知受信により，処理を終了する。
【００７９】
カプセルコンテナ２１２では，ステップＳ２７において開示可能なデータを取得し，呼び出し元の個人情報利用アプリケーション２１１に引き渡す。
【００８０】
【実施例】
次に，図８を参照して本発明を用いてオンラインショッピングに適用した例を説明する。
【００８１】
本適用例におけるシステムは，電子モール利用者１００，電子モール２００，配達業者２０２，課金業者２０１，個人情報カプセル認証局３０，利用環境認証局４０で構成されている。電子モール利用者１００は，図１に示す個人情報提供装置１に対応し，電子モール２００，配達業者２０２，課金業者２０１は，それぞれ図１に示す個人情報利用装置２に対応する。
【００８２】
電子モール利用者１００は，Ｗｅｂブラウザなどを用いることにより，インターネットを通じて電子モール２００を利用し，その中で購入したい品物を選定して電子モール２００にその内容を伝える。
【００８３】
電子モール２００は，電子モール利用者１００に対し，購入に必要な価格を提示し，課金業者情報と課金番号，配達業者情報と配達先住所を要求する。電子モール利用者１００は，要求された情報など必要な情報に開示条件を付けてカプセル化したものを電子モール２００に渡す。
【００８４】
ここでカプセル化する情報は，課金業者情報，課金番号，配達業者情報，配達先住所，商品情報，価格情報，電子モール情報である。電子モール情報は，課金業者２０１と配達業者２０２とが問い合わせをするために用いる。
【００８５】
開示条件を設定するために，それぞれの業者が参照できる情報を整理する。電子モール２００は，課金業者情報，配達業者情報，商品情報，価格情報，電子モール情報を参照できる。課金業者２０１は，価格情報，課金番号，電子モール情報を参照できる。配達業者２０２は，商品情報，配達先住所，電子モール情報を参照できる。よって，課金業者情報と配達業者情報は，電子モール２００のみ参照でき，商品情報は，電子モール２００と配達業者２０２のみ参照でき，価格情報は，課金業者２０１と電子モール２００のみ参照でき，配達先住所は配達業者２０２のみ参照でき，課金番号は課金業者２０１のみ参照できるように開示条件を定める。また，電子モール情報の参照は制限なしとする。
【００８６】
この各開示条件を設定するために，それぞれの業者が個人情報カプセル５を利用する環境の利用環境証明書７０を利用環境認証局４０から入手する。この利用環境証明書に記されている利用環境情報を，格納する各情報と共にカプセル化する。個人情報カプセル５に格納された情報を参照しようとする場合，各情報の開示条件として設定された利用環境情報が実際に参照を行おうとした環境と一致している場合にのみ情報を開示する。
【００８７】
電子モール利用者１００は，各情報の開示条件を設定しカプセル化して生成された個人情報カプセル５のファイルを個人情報カプセル認証局３０に登録する。カプセル登録時には何らかの認証が行われ，個人情報カプセル５を登録した電子モール利用者１００の身元を保証する。これにより，カプセル利用者は，個人情報カプセル認証局３０に個人情報カプセル５の正当性を問い合わせると同時に，電子モール２００を利用する個人情報カプセル提供者の保証もされることになる。
【００８８】
個人情報カプセル５が登録されたら，電子モール利用者１００は，登録した個人情報カプセル５のカプセルＩＤを何らかの認証を経て課金業者２０１に通知する。
【００８９】
電子モール２００は，電子モール利用者１００から受け取った個人情報カプセル５の正当性を個人情報カプセル認証局３０に問い合わせる。確認できたらこの個人情報カプセル５内にある課金業者情報を参照して，その課金業者２０１に個人情報カプセル５を送る。このとき，電子モール２００がカプセルの中で参照できる情報は，課金業者情報，配達業者情報，商品情報，価格情報，電子モール情報であり，課金番号や，配達先住所に関しては参照できない。
【００９０】
課金業者２０１は，電子モール２００から受け取った個人情報カプセル５の正当性を，個人情報カプセル認証局３０に問い合わせる。次に，事前に電子モール利用者１００から得た個人情報カプセル５のカプセルＩＤと一致するかを確認する。すべて問題なければ，電子モール２００に課金可能なことを伝える。このとき，課金業者２０１は，価格情報，課金番号，電子モール情報の情報しか参照できない。
【００９１】
電子モール２００は，課金可能であると確認できたならば，品物と個人情報カプセル５を配達業者２０２に渡す。
【００９２】
配達業者２０２は，電子モール２００から受け取った個人情報カプセル５の正当性を，個人情報カプセル認証局３０に問い合わせる。問題なければ配達業者２０２は，個人情報カプセル５の中の配達先住所を参照して配達を行う。このとき配達業者２０２は，商品情報，配達先住所，電子モール情報の情報しか参照できない。
【００９３】
本発明を適用した具体例では，電子モール利用者１００は，住所，課金番号といった個人情報を必要最低限の業者にのみ開示することができる。従来の電子モールでは，課金のために課金番号登録しなれけばならなかったが，本発明を用いれば課金番号を非公開にするだけでなく，課金業者を自由に設定することが可能となる。
【００９４】
【発明の効果】
本発明を用いることにより，個人情報と，個人情報の開示利用規定と，開示利用規定を判断する開示利用規定判断手段をまとめて一つの個人情報カプセルとすることで，個人情報カプセルがどのような環境においても，個人情報提供主体の意図する開示利用規定に基づいた個人情報の開示制御を行うことができる。
【００９５】
また，本発明を用いることにより，個人情報カプセル証明書に記述されている特徴情報と個人情報カプセルの特徴情報を確認することで，個人情報カプセルが改竄されていないことを検証することができると共に，一意のＩＤを付与することで流通する個人情報カプセルのすべてを識別することができ，個人情報カプセルの登録の前に個人情報提供主体と個人情報認証主体の間で何らかの認証を行うことで，個人情報利用主体が直接個人情報提供主体の情報にアクセスすることなく，個人情報カプセルを生成した個人情報提供主体の身元を保証することができる。
【００９６】
本発明では，個人情報提供主体が，個人情報の開示を許可する利用環境を特定することで，個人情報カプセルが個人情報提供主体の意図しない個人情報利用主体に渡ったとしても個人情報の参照を防ぐことができると共に，個人情報利用主体の利用環境情報に対して一意のＩＤを付与することで，個人情報提供主体に個人情報利用主体の利用環境情報を容易に伝えることができる。また，利用環境情報を登録する際に個人情報利用主体と個人情報利用環境認証主体との間で何らかの認証を行うことで，個人情報利用環境認証主体が個人情報提供主体に対し，個人情報カプセルを参照しようとする個人情報利用主体の身元を保証することができる。
【００９７】
また，本発明を用いることにより，個人情報提供主体が開示利用規定判断手段を個人情報とその開示利用規定とともにカプセル化するので，開示利用規定判断手段は常に個人情報提供主体が指定したものを使用するため，必ず個人情報提供主体が意図した開示利用規定を保証することができると共に，個人情報利用環境認証主体から利用環境証明書を取得することで，正当な利用環境情報を利用することができる。また，個人情報認証主体と何らかの認証を行って生成した個人情報カプセルを登録することによって，個人情報カプセルの身元保証を個人情報認証主体に代行させることができる。
【００９８】
また，本発明を用いることにより，個人情報利用主体が個人情報カプセルに格納された個人情報を参照する際の開示利用規定判断は，個人情報カプセルごとに格納されている開示利用規定判断手段が使われるので，個人情報利用主体が利用したい開示利用規定判断手段をカプセルごとに変更することができると共に，個人情報カプセルのＩＤに基づき個人情報認証主体に問い合わせることで，個人情報カプセルが改竄されているかどうかを検証できる。また，個人情報カプセルを生成した個人情報提供主体の正当性を保証できる。
【００９９】
また，本発明を用いることにより，個人情報利用主体が個人情報カプセルに格納された個人情報にアクセスするには，開示利用規定判断手段にデータの取得を依頼するので，どのような場面で個人情報カプセルに参照しようとしても必ず個人情報の要求条件を判断させることができると共に，各個人情報は開示利用規定判断手段だけが復号でき，したがって個人情報利用主体が参照できないほかの個人情報を保護することができる。また，開示利用規定判断手段によってアクセス履歴が個人情報カプセルに格納されるので，個人情報カプセルがどのような流通経路を辿ってきたか，知ることができる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る個人情報流通管理プラットフォームの概要を示すブロック図である。
【図２】図１に示すシステムの動作概要を説明する図である。
【図３】個人情報カプセルの構成例を示す図である。
【図４】カプセル証明書と利用環境証明書の例を示す図である。
【図５】個人情報カプセルの生成処理のフローチャートである。
【図６】個人情報カプセルアクセス手段の処理フローチャートである。
【図７】開示判断プログラムの処理フローチャートである。
【図８】本発明の個人情報流通管理方法のオンラインショッピングへの適用例を示す図である。
【符号の説明】
１ 個人情報提供装置
１１ 個人情報カプセル生成手段
２ 個人情報利用装置
２１ 個人情報カプセルアクセス手段
３ 個人情報認証装置
３０ 個人情報カプセル認証局
３１ カプセル管理手段
３２ カプセル証明書発行手段
４ 個人情報利用環境認証装置
４０ 利用環境認証局
４１ 利用環境管理手段
４２ 利用環境証明書発行手段
５ 個人情報カプセル
５１ 開示利用規定判断手段
５２ 個人情報
６０ カプセル証明書
７０ 利用環境証明書

Claims (7)

1. 個人情報を提供する個人情報提供装置と，個人情報提供装置が提供する個人情報に関する認証を行う個人情報認証装置と，個人情報提供装置から開示される個人情報の提供を受ける個人情報利用装置と，個人情報利用装置の個人情報利用に関する認証を行う個人情報利用環境認証装置とを有するシステムにおいて個人情報を流通・管理するための個人情報流通管理方法であって，
   前記個人情報利用装置が，前記個人情報利用環境認証装置に対し，個人情報の開示の可否の判断に用いられる当該個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報またはユーザ情報を含む利用環境情報を指定して，その利用環境情報の登録を要求するステップと，
   前記個人情報利用環境認証装置が，前記個人情報利用装置からの利用環境情報の登録要求に対し，その利用環境情報を一意に識別する利用環境情報ＩＤを発行し，要求された利用環境情報とその利用環境情報ＩＤとの組を登録して管理するとともに，前記利用環境情報ＩＤを前記個人情報利用装置へ通知するステップと，
   前記個人情報認証装置が，前記個人情報提供装置からの要求により，前記個人情報提供装置が生成する個人情報カプセルを一意に識別するためのカプセルＩＤを発行し，前記個人情報提供装置へ通知するステップと，
   前記個人情報提供装置が，前記個人情報利用装置が要求している個人情報の種類とその個人情報利用装置自体の利用環境情報ＩＤとを前記個人情報利用装置に要求し，それらの情報を前記個人情報利用装置から取得するステップと，
   前記個人情報提供装置が，前記個人情報利用装置から取得した利用環境情報ＩＤを指定して，前記個人情報利用環境認証装置に対して利用環境証明書を要求するステップと，
   前記個人情報利用環境認証装置が，前記個人情報提供装置からの利用環境証明書の要求に対し，指定された利用環境情報ＩＤに対応して登録された利用環境情報を含む利用環境証明書を発行し，前記個人情報提供装置へ通知するステップと，
   前記個人情報提供装置が，前記個人情報利用装置に対して提供する個人情報と，前記個人情報利用装置の利用環境情報を含む当該個人情報カプセルの利用条件を規定した開示利用規定との組を，個人情報の開示を判断するための開示利用規定判断手段とともに，前記カプセルＩＤを付与して一つにカプセル化した個人情報カプセルを生成するステップと，
   前記個人情報認証装置が，前記個人情報提供装置からの前記個人情報カプセルに付与されたカプセルＩＤと，その個人情報カプセルの改竄チェックに用いられる個人情報カプセルの特徴情報との登録要求に対し，それらの情報を登録して管理するステップと，
   前記個人情報認証装置が，前記個人情報利用装置からの個人情報カプセルに付与された前記カプセルＩＤを指定したカプセル証明書の要求に対し，その個人情報カプセルの正当性を保証するための，予め登録された前記カプセルＩＤと前記個人情報カプセルの特徴情報とを含むカプセル証明書を発行し，前記個人情報利用装置へ通知するステップと，
   前記個人情報利用装置が，前記カプセル証明書中の個人情報カプセルの特徴情報と，保証対象の個人情報カプセルから得られる特徴情報との照合によって正当性が保証された個人情報カプセルから，前記開示利用規定判断手段を用いて，当該個人情報カプセル内に保持される開示利用規定に基づき当該個人情報カプセル内の個人情報の利用条件をチェックし，利用条件が満たされて個人情報の開示が可と判断された個人情報だけを当該個人情報カプセルから取得し利用するステップとを有する
   ことを特徴とする個人情報流通管理方法。
2. 前記開示利用規定が，個人情報の利用に関する個々の要求条件である少なくとも一つ以上の個人情報利用装置の利用環境情報と，生成されるカプセルの要求条件である回数，期間もしくは期限，または要求条件が満たされなかったときの処理方法とを規定したものである
   ことを特徴とする請求項１記載の個人情報流通管理方法。
3. 前記利用環境情報が，カプセル化した個人情報を参照するために使われる個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報，ユーザ情報，または前記開示利用規定判断手段を実現するためのプログラムの識別情報のいずれか複数を規定したものである
   ことを特徴とする請求項１記載の個人情報流通管理方法。
4. 前記個人情報認証装置が，
   前記個人情報提供装置からの登録要求により，前記カプセルＩＤと前記個人情報カプセルの特徴情報とともに，指定された個人情報提供者の属性情報を登録して管理し，発行する前記カプセル証明書内に個人情報提供者の属性情報を含ませる
   ことを特徴とする請求項１記載の個人情報流通管理方法。
5. 前記開示利用規定判断手段が，
   前記個人情報利用装置の個人情報カプセルに格納された個人情報の参照要求に対して，当該個人情報利用装置の利用環境を検査し，該検査結果が前記個人情報利用環境認証装置に登録された利用環境情報であるかを確認し，
   当該個人情報カプセルに設定された開示利用規定に規定された利用条件をチェックし，個人情報の開示の可否を判断し，開示できる個人情報が存在する場合には，該個人情報を前記個人情報利用装置へ引き渡し，
   前記個人情報利用装置からの要求と判断結果とをアクセス履歴情報として当該個人情報カプセル内に格納する
   ことを特徴とする請求項１記載の個人情報流通管理方法。
6. 個人情報を提供する個人情報提供装置と，個人情報提供装置が提供する個人情報に関する認証を行う個人情報認証装置と，個人情報提供装置から開示される個人情報の提供を受ける個人情報利用装置と，個人情報利用装置の個人情報利用に関する認証を行う個人情報利用環境認証装置とを有する個人情報流通管理システムにおいて，
   前記個人情報利用環境認証装置は，
   前記個人情報利用装置からの，個人情報の開示の可否の判断に用いられる当該個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報またはユーザ情報を含む利用環境情報の登録要求に対し，その利用環境情報を一意に識別する利用環境情報ＩＤを発行する手段と，
   指定された利用環境情報とその利用環境情報ＩＤとの組を登録し管理する手段と，
   前記個人情報提供装置からの利用環境情報ＩＤを指定した利用環境証明書の要求に対し，指定された利用環境情報ＩＤに対応して登録された利用環境情報を含む利用環境証明書を発行し，前記個人情報提供装置へ通知する手段とを備え，
   前記個人情報認証装置は，
   前記個人情報提供装置からの要求により，前記個人情報提供装置が生成する個人情報カプセルを一意に識別するためのカプセルＩＤを発行し，前記個人情報提供装置へ通知する手段と，
   前記個人情報提供装置からの，前記個人情報提供装置が生成した個人情報カプセルに付与されたカプセルＩＤと，その個人情報カプセルの改竄チェックに用いられる個人情報カプセルの特徴情報との登録要求に対し，それらの情報を登録して管理する手段と，
   前記個人情報利用装置からの個人情報カプセルに付与された前記カプセルＩＤを指定したカプセル証明書の要求に対し，その個人情報カプセルの正当性を保証するための，予め登録された前記カプセルＩＤと前記個人情報カプセルの特徴情報とを含むカプセル証明書を発行し，前記個人情報利用装置へ通知する手段とを備え，
   前記個人情報提供装置は，
   生成しようとする個人情報カプセルを一意に識別するためのカプセルＩＤを，前記個人情報認証装置に要求し，前記個人情報認証装置から取得する手段と，
   前記個人情報利用装置が要求している個人情報の種類とその個人情報利用装置自体の利用環境情報ＩＤとを前記個人情報利用装置に要求し，それらの情報を前記個人情報利用装置から取得する手段と，
   前記個人情報利用装置から取得した利用環境情報ＩＤを指定して，前記個人情報利用環境認証装置に対して利用環境証明書を要求し，利用環境証明書を取得する手段と，
   前記個人情報利用装置に対して提供する個人情報と，前記個人情報利用装置の利用環境情報を含む当該個人情報カプセルの利用条件を規定した開示利用規定との組を，個人情報の開示を判断するための開示利用規定判断手段とともに，前記個人情報認証装置から取得したカプセルＩＤを付与して一つにカプセル化した個人情報カプセルを生成する手段と，
   前記個人情報認証装置に対し，前記個人情報カプセルに付与したカプセルＩＤと，その個人情報カプセルの改竄チェックに用いられる個人情報カプセルの特徴情報との登録を要求する手段とを備え，
   前記個人情報利用装置は，
   前記個人情報利用環境認証装置に対し，個人情報の開示の可否の判断に用いられる当該個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報またはユーザ情報を含む利用環境情報を指定して，その利用環境情報の登録を要求し，前記個人情報利用環境認証装置が発行した前記利用環境情報を一意に識別する利用環境情報ＩＤを受け取る手段と，
   前記個人情報提供装置からの要求により，当該個人情報利用装置が必要としている個人情報の種類と前記個人情報利用環境認証装置から取得した利用環境情報ＩＤとを，前記個人情報提供装置へ通知する手段と，
   前記個人情報認証装置に対し，前記個人情報提供装置から取得した個人情報カプセルに付与されたカプセルＩＤを指定して，カプセル証明書を要求し，前記個人情報認証装置から，個人情報カプセルの正当性を保証するための，予め登録された前記カプセルＩＤと前記個人情報カプセルの特徴情報とを含むカプセル証明書を受け取る手段と，
   前記カプセル証明書中の個人情報カプセルの特徴情報と，保証対象の個人情報カプセルから得られる特徴情報との照合によって正当性が保証された個人情報カプセルから，前記開示利用規定判断手段を用いて，当該個人情報カプセル内に保持される開示利用規定に基づき当該個人情報カプセル内の個人情報の利用条件をチェックし，利用条件が満たされて個人情報の開示が可と判断された個人情報だけを当該個人情報カプセルから取得し利用する手段とを備える
   ことを特徴とする個人情報流通管理システム。
7. 個人情報を提供する個人情報提供装置と，個人情報提供装置が提供する個人情報に関する認証を行う個人情報認証装置と，個人情報提供装置から開示される個人情報の提供を受ける個人情報利用装置と，個人情報利用装置の個人情報利用に関する認証を行う個人情報利用環境認証装置とを有する個人情報流通管理システムを，前記個人情報提供装置，前記個人情報認証装置，前記個人情報利用装置および前記個人情報利用環境認証装置がそれぞれ備えるコンピュータによって実現するための個人情報流通管理用のプログラムであって，
   前記個人情報利用環境認証装置のコンピュータを，
   前記個人情報利用装置からの，個人情報の開示の可否の判断に用いられる当該個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報またはユーザ情報を含む利用環境情報の登録要求に対し，その利用環境情報を一意に識別する利用環境情報ＩＤを発行する手段と，
   指定された利用環境情報とその利用環境情報ＩＤとの組を登録し管理する手段と，
   前記個人情報提供装置からの利用環境情報ＩＤを指定した利用環境証明書の要求に対し，指定された利用環境情報ＩＤに対応して登録された利用環境情報を含む利用環境証明書を発行し，前記個人情報提供装置へ通知する手段として機能させ，
   前記個人情報認証装置のコンピュータを，
   前記個人情報提供装置からの要求により，前記個人情報提供装置が生成する個人情報カプセルを一意に識別するためのカプセルＩＤを発行し，前記個人情報提供装置へ通知する手段と，
   前記個人情報提供装置からの，前記個人情報提供装置が生成した個人情報カプセルに付与されたカプセルＩＤと，その個人情報カプセルの改竄チェックに用いられる個人情報カプセルの特徴情報との登録要求に対し，それらの情報を登録して管理する手段と，
   前記個人情報利用装置からの個人情報カプセルに付与された前記カプセルＩＤを指定したカプセル証明書の要求に対し，その個人情報カプセルの正当性を保証するための，予め登録された前記カプセルＩＤと前記個人情報カプセルの特徴情報とを含むカプセル証明書を発行し，前記個人情報利用装置へ通知する手段として機能させ，
   前記個人情報提供装置のコンピュータを，
   生成しようとする個人情報カプセルを一意に識別するためのカプセルＩＤを，前記個人情報認証装置に要求し，前記個人情報認証装置から取得する手段と，
   前記個人情報利用装置が要求している個人情報の種類とその個人情報利用装置自体の利用環境情報ＩＤとを前記個人情報利用装置に要求し，それらの情報を前記個人情報利用装置から取得する手段と，
   前記個人情報利用装置から取得した利用環境情報ＩＤを指定して，前記個人情報利用環境認証装置に対して利用環境証明書を要求し，利用環境証明書を取得する手段と，
   前記個人情報利用装置に対して提供する個人情報と，前記個人情報利用装置の利用環境情報を含む当該個人情報カプセルの利用条件を規定した開示利用規定との組を，個人情報の開示を判断するための開示利用規定判断手段とともに，前記個人情報認証装置から取得したカプセルＩＤを付与して一つにカプセル化した個人情報カプセルを生成する手段と，
   前記個人情報認証装置に対し，前記個人情報カプセルに付与したカプセルＩＤと，その個人情報カプセルの改竄チェックに用いられる個人情報カプセルの特徴情報との登録を要求する手段として機能させ，
   前記個人情報利用装置が備えるコンピュータを，
   前記個人情報利用環境認証装置に対し，個人情報の開示の可否の判断に用いられる当該個人情報利用装置のアプリケーション情報，マシン情報，ネットワーク情報またはユーザ情報を含む利用環境情報を指定して，その利用環境情報の登録を要求し，前記個人情報利用環境認証装置が発行した前記利用環境情報を一意に識別する利用環境情報ＩＤを受け取る手段と，
   前記個人情報提供装置からの要求により，当該個人情報利用装置が必要としている個人情報の種類と前記個人情報利用環境認証装置から取得した利用環境情報ＩＤとを，前記個人情報提供装置へ通知する手段と，
   前記個人情報認証装置に対し，前記個人情報提供装置から取得した個人情報カプセルに付与されたカプセルＩＤを指定して，カプセル証明書を要求し，前記個人情報認証装置から，個人情報カプセルの正当性を保証するための，予め登録された前記カプセルＩＤと前記個人情報カプセルの特徴情報とを含むカプセル証明書を受け取る手段と，
   前記カプセル証明書中の個人情報カプセルの特徴情報と，保証対象の個人情報カプセルから得られる特徴情報との照合によって正当性が保証された個人情報カプセルから，前記開示利用規定判断手段を用いて，当該個人情報カプセル内に保持される開示利用規定に基づき当該個人情報カプセル内の個人情報の利用条件をチェックし，利用条件が満たされて個人情報の開示が可と判断された個人情報だけを当該個人情報カプセルから取得し利用する手段として機能させる
   ための個人情報流通管理用プログラム。

Images