JP4284986B2

JP4284986B2 - 個人情報管理システム及び個人情報管理方法

Info

Publication number: JP4284986B2
Application number: JP2002357417A
Authority: JP
Inventors: 高伸大崎; 伴　　秀行; 裕之栗山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2002-12-10
Filing date: 2002-12-10
Publication date: 2009-06-24
Anticipated expiration: 2022-12-10
Also published as: JP2004192173A

Description

【０００１】
【発明の属する技術分野】
本発明は、サーバ上で個人情報を管理する個人情報管理システム及び個人情報管理方法に関する。
【０００２】
【従来の技術】
医学の発展を目指し、遺伝子情報、健診情報、診療録など医療・健康関係の情報を用いた研究が進められている。その一方、これらの情報はプライバシーを含む個人情報であるため、その取り扱いについては個人情報保護への十分な対応が求められている。従来、このような個人情報を管理・活用するシステムとしては、例えば、遺伝子情報を解析するシステムなどがある。遺伝子情報を扱う場合の運用の基準として、文部科学省、厚生労働省、経済産業省よりヒトゲノム・遺伝子解析研究に関する倫理指針が示されている（非特許文献１参照）。この中では、個人情報を利用するためには情報提供者本人の自由意志による同意を得る必要があることや、個人を特定する情報を含む情報を扱うコンピュータは、他のコンピュータから切り離す必要があることなどが示されている。
【０００３】
【非特許文献１】
平成１３年３月文部科学省・厚生労働省・経済産業省告示第１号
【０００４】
【発明が解決しようとする課題】
上述したシステムを運用するためには、情報提供者から書面で同意を得る作業や、収集したデータを専用のコンピュータで氏名や住所などを取り除く匿名化作業が必要であった。従って、従来のシステムではこれらの作業に手間を要し、大量のデータを集めてそれを活用することは困難であった。また、個人を特定できるデータを持つコンピュータはネットワークから切り離されているため、提供した情報を情報提供者自身が活用できるようにすることは考慮されていなかった。
【０００５】
本発明の目的は、情報提供者から活用に関する同意の得られた情報を、個人情報を保護しながら容易に蓄積・活用できる個人情報管理システムを提供することにある。本発明の他の目的は、蓄積した個人情報を、情報提供者本人が容易に活用できる個人情報管理システムを提供することにある。
【０００６】
【課題を解決するための手段】
上記課題を解決するため、本発明の個人情報管理システムは、個人情報を匿名化してサーバで管理し、サーバにアクセスする場合にＩＣカードを用いるシステムであって、以下の特徴を有している。（１）ＩＣカードが、ＩＣカードの所有者本人を特定する本人特定情報と、ＩＣカードの所有者が匿名化されたときのＩＤを示す匿名化ＩＤ情報とを保持していること。（２）ＩＣカードの本人特定情報を用いて、ＩＣカードを使用している人が、ＩＣカードの所有者本人であることを確認する本人確認手段と、ＩＣカードの匿名化ＩＤ情報を用いて、ＩＣカードの所有者本人と、サーバ上にある匿名化された個人の一人が一致することを確認する匿名化ＩＤ確認手段とを有すること。（３）個人情報から個人を特定する氏名や住所などの情報を削除し、ＩＣカードの匿名化ＩＤ情報を付加して匿名化を行う匿名化手段と、匿名化された個人情報をサーバに送るサーバアクセス手段を有すること。（４）匿名化ＩＤ確認手段で一致した匿名化された個人の個人情報をサーバから取得するサーバアクセス手段を有すること。（５）匿名化ＩＤ確認手段で一致した匿名化された個人の個人情報をサーバから削除するサーバアクセス手段を有すること。
【０００７】
本発明の個人情報管理方法は、個人情報を匿名化してサーバで管理し、サーバにアクセスする場合にＩＣカードを用い、ＩＣカードに記録された本人特定情報によって、ＩＣカードの使用者がＩＣカードの所有者と一致することを確認する本人認証ステップと、ＩＣカードに記録された匿名化ＩＤ情報を用いて、ＩＣカードの所有者が、サーバ上の匿名化された個人と一致することを確認する匿名化ＩＤ認証ステップと、ＩＣカードの所有者の個人情報から、個人を特定する情報を削除してＩＣカードに記録された匿名化ＩＤ情報を付与する匿名化ステップと、匿名化された個人情報をサーバに登録する登録ステップとを有することを特徴としている。
【０００８】
また、本発明の個人情報管理方法は、個人情報を匿名化してサーバで管理し、サーバにアクセスする場合にＩＣカードを用い、ＩＣカードに記録された本人特定情報によって、ＩＣカードの使用者がＩＣカードの所有者と一致することを確認する本人認証ステップと、ＩＣカードに記録された匿名化ＩＤ情報を用いて、ＩＣカードの所有者が、サーバ上の匿名化された個人と一致することを確認する匿名化ＩＤ認証ステップと、ＩＣカードの所有者と一致する匿名化された個人の情報を取得する情報取得ステップを有することを特徴としている。
【０００９】
また、本発明の個人情報管理方法は、個人情報を匿名化してサーバで管理し、サーバにアクセスする場合にＩＣカードを用い、ＩＣカードに記録された本人特定情報によって、ＩＣカードの使用者がＩＣカードの所有者と一致することを確認する本人認証ステップと、ＩＣカードに記録された匿名化ＩＤ情報を用いて、ＩＣカードの所有者が、サーバ上の匿名化された個人と一致することを確認する匿名化ＩＤ認証ステップと、ＩＣカードの所有者と一致する匿名化された個人の情報をサーバから削除する取り消しステップを有することを特徴としている。
【００１０】
【発明の実施の形態】
以下、図を用いて本発明の実施の形態を詳細に説明する。ここでは、個人情報として健診結果の情報を扱う場合を例にとって説明する。
【００１１】
図１は、本発明の実施例の個人情報管理システムの一構成例を示す図である。個人情報管理システムは、サーバ１０１、端末１０２、複数のＩＣカード１０３−１〜１０３−３から構成される。サーバ１０１は、蓄積した個人情報をもとに研究を行う研究施設等に設置される。また、端末１０２は健診施設等に設置され、施設内で行った健診結果を管理している。複数のＩＣカード１０３−１〜１０３−３は、健診を受診した人それぞれに一枚ずつ配布される。サーバ１０１は、処理を行うＣＰＵ１１１、ディスプレイ等の出力装置１１２、マウスやキーボード等の入力装置１１３、他の装置と通信を行うネットワークインターフェイス１１４、メモリやハードディスク等の記憶装置１１５等から構成される。
【００１２】
端末１０２は、処理を行うＣＰＵ１２１、ディスプレイ等の出力装置１２２、マウスやキーボード等の入力装置１２３、他の装置と通信を行うネットワークインターフェイス１２４、メモリやハードディスク等の記憶装置１２５、そして、ＩＣカードと情報の入出力を行うＩＣカードリーダライタ装置１２６から構成される。ＩＣカード１０３−１〜１０３−３は、処理を行うＣＰＵ１３１、ＩＣカードリーダライタ装置との入出力を行う入出力インターフェイス１３２、ＩＣカード上のメモリである記憶装置１３３から構成される。サーバ１０１の記憶装置１１５、端末１０２の記憶装置１２５、ＩＣカード１０３−１〜１０３―３の記憶装置１３３には、プログラムやデータが記録されており、必要に応じてＣＰＵ（１１１、１２１、１３１）に読み出して処理を実行する。サーバ１０１の記憶装置１１５は、プログラムである匿名化ＩＤ確認手段１４１、匿名化データ管理手段１４２、データ分析手段１４３と、データとして匿名化された個人情報である匿名化データ１４４を保持している。端末１０２の記憶装置１２５は、プログラムとして本人確認手段１５１、匿名化手段１５２、サーバアクセス手段１５３と、データとして個人情報１５４を保持している。ＩＣカード１０３−１〜１０３−３の記憶装置１３３は、プログラムとして本人確認手段１６１、匿名化ＩＤ確認手段１６２、匿名化手段１６３と、データとしてＩＣカード所有者を特定する本人特定情報１６４と、サーバ１０１の匿名化データ１４４の中でＩＣカード所有者のデータに付与されている匿名化ＩＤを記録した匿名化ＩＤ情報１６５を保持している。
【００１３】
図４は、本発明の実施例において、サーバで管理する匿名化データの一例を説明する図である。サーバ１０１の匿名化データ１４４は、例えば、図４に示すテーブルで匿名化した個人情報である健診結果を管理している。テーブルには、通し番号４０１、匿名化ＩＤ４０２、健診結果４０３が記録されている。
【００１４】
図５は、本発明の実施例において、端末が保持する個人情報の一例を説明する図である。端末１０２の個人情報１５４は、例えば、図５に示すような形式で個人の健診結果を管理している。○山○男氏の健診結果５０１−１の他、その施設で健診を受けた人の健診結果５０１−２、５０１−３等を管理している。
【００１５】
図６は、本発明の実施例において、ＩＣカードが保持する本人特定情報と匿名化ＩＤ情報の一例を説明する図である。ＩＣカード１０３−１の本人特定情報１６４と匿名化ＩＤ情報１６５は、例えば、図６に示すような形で保持している。本人特定情報６０１は、氏名やＩＤ番号のほかパスワードを記録している。また、匿名化ＩＤ情報６０２では、○山○男氏のデータに対して、サーバ１０１の匿名化データ１４４の中で割り当てている匿名化ＩＤ４０２を記録している。
【００１６】
次に、フローチャートを用いて、具体的な処理の手順について説明する。
【００１７】
図２は、本発明の実施例において、端末から個人情報をサーバに登録する手順の一例を説明するフローチャートであり、端末１０２にある個人情報１５４をサーバ１０１に登録する方法の一例を示している。ここでは、○山○男氏が△年△月△日に受診した健診結果５０１−１をサーバ１０１に登録する手順を例に説明する。この開始時点では、サーバ１０１の匿名化データ１４４には、図４に示すＮｏ．５００１の行４０４は存在しないものとする。
【００１８】
健診施設で健診を受けた結果、健診施設の端末１０２には、健診結果５０１−１が保持されている。この健診結果５０５−１を、研究施設のサーバ１０１に登録して研究に活用することに同意する場合、○山○男氏は、自分のＩＣカード１０３−１を端末１０２のＩＣカードリーダライタ１２６に挿入する。すると、本人認証ステップ２０１で、ＩＣカード１０３−１の使用者と、ＩＣカード１０３−１の本人特定情報１６４で示すＩＣカード所有者とが一致することを確認する。ここでは、本人特定情報６０１にあるパスワードを用いて本人確認を行う。端末１０２の本人確認手段１５１は、ディスプレイ１２２にパスワード入力画面を表示し、データの活用に同意する場合には、パスワードを入力するように促す。○山○男氏が、キーボード１２３を用いてパスワードを入力すると、本人確認手段１５１は、入力されたパスワードをＩＣカードリーダライタ装置１２６を介してＩＣカード１０３−１に送る。ＩＣカード１０３−１では、入出力Ｉ／Ｆ１３２でパスワード情報を受け取り、本人確認手段１６１が本人特定情報６０１のパスワードと比較して本人であることを確認して、結果を端末１０２に送り返す。端末１０２の本人確認手段１５４では、結果を受け取り、ＩＣカード１０３−１の使用者が、正しい○山○男氏であることを確認する。
【００１９】
次に、匿名化ＩＤ認証ステップ２０２で、ＩＣカード１０３−１の匿名化ＩＤ情報１６５で示されるユーザが、サーバ１０１の匿名化データ１４４の中に存在する人と一致することを確認する。ここでは、ＩＣカード１０３−１の匿名化ＩＤ確認手段１６２が、匿名化ＩＤ情報６０２にある匿名化ＩＤ０００１０を取り出して、入出力Ｉ／Ｆ１３２から端末に送る。端末１０２は、ＩＣカードリーダライタ装置１２６で受け取った匿名化ＩＤをネットワークＩ／Ｆ１２４を介してサーバ１０１に送る。サーバ１０１の匿名化ＩＤ確認手段１４１は、ネットワークＩ／Ｆ１１４で匿名化ＩＤを受け取ると、匿名化データの匿名化ＩＤ４０２の中から同一のＩＤを探し、Ｎｏ．２に同一の匿名化ＩＤがあることを確認して、ＩＣカードの所有者が匿名化ＩＤが０００１０の人であることを確認する。
【００２０】
次に、匿名化ステップ２０３で、個人情報１５４から個人を特定する氏名、住所、電話番号等の情報を取り除き、匿名化ＩＤ情報１６５の情報を付加する処理を行う。ここでは、匿名化手段１５２によって、健診結果５０１−１から氏名、電話番号、住所を削除し、代わりにＩＣカード１０３−１の匿名化手段１６３から取得した匿名化ＩＤ情報６０２の匿名化ＩＤ００００１０を付加する。そして、登録ステップ２０４で、匿名化した個人情報をサーバに登録する。ここでは、端末１０２のサーバアクセス手段１５３により、ネットワークＩ／Ｆ１２４を介してサーバ１０１に送信する。サーバ１０１の匿名化データ管理手段１４２は、ネットワークＩ／Ｆ１１４で受信した匿名化済みの健診結果を、匿名化データ１４４の中の新しい行４０４として保存する。
【００２１】
以上説明したように、本発明の個人情報管理システムでは、ＩＣカードの挿入によって個人情報の活用の同意を取るので、サーバ側では本人の同意が確実に取れたデータのみを使用できる効果がある。更に、ＩＣカードの中に本人を特定する情報と、匿名化後のＩＤを保持しているので、ＩＣカードを使用した場合にのみ、本人と匿名化後のデータを連結できる効果がある。また、サーバと端末間の通信上のデータも、サーバで管理するデータも、個人を特定する情報を含んでいないので、サーバで情報を扱う人には誰の情報か分からず、個人のプライバシーを侵害するリスクを低減できる効果がある。更に、ＩＣカードに記録されている匿名化ＩＤを付与した情報をサーバに送るので、サーバが以前から保存している情報に対して情報を追加する場合にも、正確に同一人物であることを確認して追加ができる効果がある。また、個人を特定する情報を付けずにデータをサーバに送るので、個人が研究等のために個人情報を提供する場合でも、個人情報の安全性に対して安心感を持って情報を提供できる効果がある。
【００２２】
図３は、本発明の実施例において、端末でサーバの個人情報を参照する手順の一例を説明するフローチャートである。図３に示すフローチャートを用いて、サーバで保存されている個人情報を参照する方法の例について説明する。○山○男氏がサーバに保存されているデータを参照する場合、健診施設等にある端末１０２で、ディスプレイ１２２に表示されたメニューから、入力手段１２３を用いて健診情報の参照を選択し、ＩＣカード１０３−１を端末１０２のＩＣカードリーダライタ装置１２６に挿入する。
【００２３】
すると、本人認証ステップ３０１で、ＩＣカード１０３−１の使用者とＩＣカード所有者とが一致することを確認する。ここでは、端末１０２の本人確認手段１５１は、ディスプレイ１２２にパスワード入力画面を表示し、データの活用に同意する場合には、パスワードを入力するように促す。○山○男氏が、キーボード１２３を用いてパスワードを入力すると、本人確認手段１５１は、入力されたパスワードをＩＣカードリーダライタ装置１２６を介してＩＣカード１０３−１に送る。ＩＣカード１０３−１では、入出力Ｉ／Ｆ１３２でパスワード情報を受け取り、本人確認手段１６１が本人特定情報６０１のパスワードと比較して本人であることを確認して、結果を端末１０２に送り返す。端末１０２の本人確認手段１５４では、結果を受け取り、ＩＣカード１０３−１の使用者が、正しい○山○男氏であることを確認する。
【００２４】
次に、匿名化ＩＤ認証ステップ３０２で、ＩＣカード１０３−１の匿名化ＩＤ情報１６５で示されるユーザが、サーバ１０１の匿名化データ１４４の中に存在する人であることを確認する。ここでは、ＩＣカード１０３−１の匿名化ＩＤ確認手段が、匿名化ＩＤ情報６０２にある匿名化ＩＤ０００１０を取り出して、入出力Ｉ／Ｆ１３２から端末に送る。端末１０２は、ＩＣカードリーダライタ装置１２６で受け取った匿名化ＩＤをネットワークＩ／Ｆ１２４を介してサーバ１０１に送る。サーバ１０１の匿名化ＩＤ確認手段１４１は、ネットワークＩ／Ｆ１１４で匿名化ＩＤを受け取ると、匿名化データの匿名化ＩＤ４０２の中から同一のＩＤを探し、図４に示すＮｏ．２に同一の匿名化ＩＤがあることを確認して、ＩＣカードの所有者が、匿名化ＩＤが０００１０の人であることを確認する。
【００２５】
次に、情報取得ステップ３０３で、端末１０２は、サーバ１０１からデータを取得する。ここでは、端末１０２のサーバアクセス手段１５３が、ネットワークＩ／Ｆ１２４を介してサーバ１０１に匿名化ＩＤ０００１０の健診結果を送るように要求する。サーバ１０１の匿名化データ管理手段は、ネットワークＩ／Ｆ１１４で要求を受信すると、匿名化データ１４４の中から、匿名化ＩＤ０００１０のデータとして、受診日○年○月○日と×年×月×日の２つの健診結果を取り出し、ネットワークＩ／Ｆ１１４を介して端末１０２に送信する。サーバアクセス手段１５３では、ネットワークＩ／Ｆ１２４で受信した健診結果を、ディスプレイ１２２に表示する。
【００２６】
以上説明したように、本発明の個人情報管理システムでは、ＩＣカードに保存されている匿名化ＩＤを用いてサーバにアクセスするので、サーバに蓄積されている情報が匿名化されていても、情報提供者本人が自分の情報にアクセスできる効果がある。
【００２７】
図７は、本発明の実施例において、個人情報活用に対する同意を取り消す手順の一例を説明するフローチャートである。図７に示すフローチャートを用いて、サーバで保存されている個人情報を削除する方法の例について説明する。○山○男氏は、自分のデータがサーバで保存されていることや、研究等に活用されることに対して同意を取り消したい場合も存在する。そのような場合、端末１０２で、ディスプレイ１２２に表示されたメニューから、入力手段１２３を用いて健診情報保存・活用の同意取り消しを選択し、ＩＣカード１０３−１を端末１０２のＩＣカードリーダライタ装置１２６に挿入する。すると、本人認証ステップ７０１で、ＩＣカード１０３−１の使用者とＩＣカード所有者とが一致することを確認する。ここでは、端末１０２の本人確認手段１５１は、ディスプレイ１２２にパスワード入力画面を表示し、データの活用に対する同意を取り消す場合には、パスワードを入力するように促す。○山○男氏が、キーボード１２３を用いてパスワードを入力すると、本人確認手段１５１は、入力されたパスワードをＩＣカードリーダライタ装置１２６を介してＩＣカード１０３−１に送る。ＩＣカード１０３−１では、入出力Ｉ／Ｆ１３２でパスワード情報を受け取り、本人確認手段１６１が本人特定情報６０１のパスワードと比較して本人であることを確認して、確認結果を端末１０２に送り返す。端末１０２の本人確認手段１５４では、結果を受け取り、ＩＣカード１０３−１の使用者が、正しい○山○男氏であることを確認する。
【００２８】
次に、匿名化ＩＤ認証ステップ７０２で、ＩＣカード１０３−１の匿名化ＩＤ情報１６５で示されるユーザが、サーバ１０１の匿名化データ１４４の中に存在する人であることを確認する。ここでは、ＩＣカード１０３−１の匿名化ＩＤ確認手段が、匿名化ＩＤ情報６０２にある匿名化ＩＤを取り出して、入出力Ｉ／Ｆ１３２から端末に送る。端末１０２は、ＩＣカードリーダライタ装置１２６で受け取った匿名化ＩＤをネットワークＩ／Ｆ１２４を介してサーバ１０１に送る。サーバ１０１の匿名化ＩＤ確認手段１４１は、ネットワークＩ／Ｆ１１４で匿名化ＩＤを受け取ると、匿名化データの匿名化ＩＤ４０２の中から同一のＩＤを探し、Ｎｏ．２に同一の匿名化ＩＤがあることを確認して、ＩＣカードの所有者が、匿名化ＩＤが０００１０の人であることを確認する。
【００２９】
そして、取り消しステップ７０３で、サーバにある指定の個人情報を削除する。ここでは、端末１０２のサーバアクセス手段１５３が、ネットワークＩ／Ｆ１２４を介してサーバ１０１に匿名化ＩＤ０００１０の健診結果を削除するように要求する。サーバ１０１の匿名化データ管理手段１４２は、ネットワークＩ／Ｆ１１４で要求を受信すると、匿名化データ１４４の中から、匿名化ＩＤ０００１０のデータを削除する。
【００３０】
以上説明したように、本発明の個人情報管理システムでは、ＩＣカードに保存されている匿名化ＩＤを用いてサーバのデータを削除するように指定するので、個人情報の提供者本人が、自分の情報の活用に対して行った同意を取り消すことができる効果がある。
【００３１】
サーバ１０１に蓄積した健診結果を基に、疫学研究等を行う場合には、研究者がデータ分析手段１４３を使用して統計処理等を行う。この時、これまで述べた方法により，サーバにあるデータは全て情報提供者本人の同意が得られたデータであり、更に、匿名化された状態となっている。従って、研究者自身が個人を特定する情報に触れることなく研究を行うことができ，研究者が個人情報を漏洩する危険を低減することができる。
【００３２】
以上説明した実施例では、ＩＣカードに保存した匿名化ＩＤを用いてサーバのデータと個人とを結び付ける方法について示したが、他の情報も組み合わせて用いるようにしてもよい。例えば、公開鍵暗号方式など暗号化技術と組み合わせて使用してもよい。２０２，３０２，７０２の匿名化ＩＤ認証ステップにおいて，送付データのハッシュデータや乱数を生成し，これを匿名化ＩＤとを組み合わせて匿名化ＩＤの秘密鍵で暗号化した電子署名を作成する。そして，この電子署名をサーバ送付し，サーバで匿名化ＩＤの公開鍵で解読し，匿名化ＩＤが正しいことを確認する。この方法により，ＩＣカード所有者に付与された匿名化ＩＤと，サーバで管理する匿名化ＩＤを正確に一致させることができる。
さらに，２０２，３０２，７０２の匿名化ＩＤ認証ステップや，登録ステップ２０４，情報取得ステップ３０３，取り消しステップ７０３において，通信するデータをサーバの公開鍵や，一時的に生成した共通鍵を用いて暗号化してもよい。この方法により，通信系路上などにおける情報の漏洩を防止することができる。
【００３３】
また、以上説明した実施例では、端末の匿名化手段１５２で、健診結果から個人を特定する情報を取り除き匿名化ＩＤを付与する例について示したが、これを、ＩＣカードの匿名化手段１６３で行うようにしてもよい。更に、上述した電子署名の方法をＩＣカード内で実行してからサーバに送るようにしてもよい。この方法により、匿名化ＩＤ情報をＩＣカードから外に出さずに匿名化の処理を実行でき、ＩＣカード使用者と匿名化ＩＤの関係が漏洩する危険を低減することができる。
【００３４】
以上説明した実施例では、本人特定情報として、パスワードをＩＣカードに保持させる方法について説明したが、パスワード以外の他の情報を用いてもよい。例えば、指紋や目の虹彩や血管パターン等のバイオメトリクス情報をＩＣカード内に記録し、本人確認を実行することで、より正確に本人確認を実行できる。
【００３５】
また、以上説明した実施例では、健診施設に端末を設置する方法について説明したが、健診施設以外の場所に設置してもよい。例えば、病院に端末を設置し、病気を発症した時に、これまでの健診の結果を医師に見せるような形で使用してもよい。これにより、医師は蓄積された過去の健診結果が参照して治療を実行でき、よりきめ細かい診療が期待できる。また、家庭にあるパーソナルコンピュータが端末の役割をするようにしてもよい。健診の結果等を自分で参照し、健康づくりに役立てることができる。また、以上説明した実施例では、端末が一つの例について示したが、複数の施設に端末を設置してもよい。例えば、複数の健診施設に端末を設置した場合、受診者が健診施設を移動した場合でも、サーバでは同一の人のデータとして扱うことができる。
【００３６】
以上説明した実施例では、個人情報として健診情報を用いる例について説明したが、他の個人情報を用いるようにしてもよい。例えば、病院の診療録、診療報酬明細等の健康・病気等，遺伝子情報などに関するあらゆる情報に適用できる。また、健康や病気の情報以外でも、あらゆる個人情報に対して適用できる。
【００３７】
以上説明した実施例では、取り消しステップはサーバから指定された個人情報を削除する方法について示したが、他の方法を用いてもよい。例えば、個人情報を管理するテーブルに使用禁止を示すフラグを付加するようにしてもよい。また、使用停止のデータを格納するテーブルを設け、データをそちらに移動するようにしてもよい。このようにした場合、情報提供者が情報の活用に再度同意した場合に、新たにデータを登録し直すことなくデータを活用できる。また，以上説明したの実施例では，匿名化ＩＤを認証する場合に匿名化データのテーブルから匿名化ＩＤを一致させる方法について説明したが，匿名化ＩＤを管理するテーブルを設けるようにしてもよい。この方法により，匿名化ＩＤを効率よく一致させることができる。
【００３８】
以上説明したように、本発明の個人情報管理システム及び個人情報管理方法は、ＩＣカードの挿入によって個人情報の活用の同意を取るので、サーバ側では本人の同意が確実に取れたデータのみを使用できる効果がある。更に、ＩＣカードの中に本人を特定する情報と、匿名化後のＩＤを保持しているので、ＩＣカードを使用した場合にのみ、本人と匿名化後のデータを連結できる効果がある。また、サーバと端末間の通信上のデータとサーバで管理するデータは、個人を特定する情報が含まれていないので、個人のプライバシーを侵害するリスクを低減できる効果がある。更に、ＩＣカードに記録されている匿名化ＩＤを付与した情報をサーバに送るので、サーバが以前から保存している情報に対して情報を追加する場合にも、正確に同一人物であることを確認して追加ができる効果がある。また、個人を特定する情報を付けずにデータをサーバに送るので、個人が研究等のために個人情報を提供する場合でも、個人情報の安全性に対して安心感を持って情報を提供できる効果がある。更に、ＩＣカードに保存されている匿名化ＩＤを用いてサーバにアクセスするので、情報提供者本人が自分の情報を活用できる効果がある。即ち、匿名化された個人情報を管理するので個人情報漏洩のリスクを低減でき、情報提供者も自分の情報を活用できる。
【００３９】
【発明の効果】
本発明によれば、情報提供者から活用に関する同意の得られた情報を、個人情報を保護しながら容易に蓄積・活用できる個人情報管理システム及び個人情報管理方法を提供できる。また、本発明によれば、蓄積した個人情報を、情報提供者本人が容易に活用できる個人情報管理システム及び個人情報管理方法を提供できる。
【図面の簡単な説明】
【図１】本発明の実施例の個人情報管理システムの一構成例を示す図。
【図２】本発明の実施例において、端末から個人情報をサーバに登録する手順の一例を説明するフローチャート。
【図３】本発明の実施例において、端末でサーバの個人情報を参照する手順の一例を説明するフローチャート。
【図４】本発明の実施例において、サーバで管理する匿名化データの一例を説明する図。
【図５】本発明の実施例において、端末が保持する個人情報の一例を説明する図。
【図６】本発明の実施例において、ＩＣカードが保持する本人特定情報と匿名化ＩＤ情報の一例を説明する図。
【図７】本発明の実施例において、個人情報活用に対する同意を取り消す手順の一例を説明するフローチャート。
【符号の説明】
１０１…サーバ、１０２…端末、１０３−１〜１０３−３…ＩＣカード、１１１、１２１、１３１…ＣＰＵ、１１２、１２２…出力装置、１１３、１２３…入力装置、１１４、１２４…ネットワークインターフェイス、１１５、１２５、１３３…記憶装置、１２６…ＩＣカードリーダライタ装置、１３２…入出力インターフェイス、１４１、１６２…匿名化ＩＤ確認手段、１４２…匿名化データ管理手段、１４３…データ分析手段、１４４…匿名化データ、１５１、１６１…本人確認手段、１５２、１６３…匿名化手段、１５３…サーバアクセス手段、１５４…個人情報、１６４…本人特定情報、１６５…匿名化ＩＤ情報、４０１…通し番号、４０２…匿名化ＩＤ、４０３…健診結果、５０１−１〜５０１−３…健診結果、６０１…本人特定情報、６０２…匿名化ＩＤ情報。

Claims

ICカード情報を受付ける受付手段とICカード使用者からの情報の入力を受付ける入力手段とサーバアクセス手段とを有する端末と、サーバとから少なくとも構成される個人情報管理システムにおいて、
前記ICカード内に、個人IDを含む本人特定情報を記憶する記憶手段と、匿名化手段と、暗号化手段と、前記端末に対して情報を送受信する入出力インターフェイスとを少なくとも有し、
前記端末は、前記受付手段を介して入力された前記本人特定情報と前記入力手段で入力されるICカード使用者からの前記情報とを照合して本人確認を実行する本人確認手段を有し、当該本人確認手段による認証後、予め記憶される当該ICカード使用者の個人情報を表示できる表示手段と少なくとも有し、
前記ICカードは、前記個人情報を前記入出力インターフェイスを介して端末から受付け、
前記匿名化手段は、当該受信した個人情報から個人を特定する情報を削除し、当該削除後の個人情報に対応する匿名化IDの付与を実行し、前記暗号化手段は少なくとも当該匿名化IDの暗号化を実行し、
前記サーバアクセス手段は、前記暗号化された匿名化ID情報と前記個人を特定する情報が削除された前記個人情報とを前記受付手段を介して前記ICカードから受付け、前記サーバに対して、当該受付けた暗号化された匿名化ID情報と前記個人を特定する情報が削除された前記個人情報とを前記サーバに登録することを特徴とする個人情報管理システム。
請求項１に記載の個人情報管理システムにおいて、
前記本人特定情報はバイオメトリクス情報であることを特徴とする個人情報管理システム。
請求項１または２に記載の個人情報管理システムにおいて、
前記本人特定情報はパスワードを含むことを特徴とする個人情報管理システム。
請求項２に記載の個人情報管理システムにおいて、
前記バイオメトリクス情報は、指紋、虹彩、血管パターンの情報のいずれかであることを特徴とする個人情報管理システム。