JP4732178B2 - 個人情報の開示経路閲覧システムおよびその開示経路検証方法 - Google Patents

Description

本発明は、個人情報の開示経路閲覧システムおよびその開示経路検証方法に関し、特に、個人情報保護技術において個人情報の利用を制御する技術に関するものである。

インターネットや家庭内のネットワークが普及し、いわゆるＰＣだけでなく、それ以外の一般家電製品にもネットワーク対応型が普及し始めている。こうした中で、個人のプロフィールや家電の使用状況など生活に密着した個人情報が、通信ネットワークを介して容易に送信可能となり、オンラインで個人情報を収集しサービス提供に利用する事業が急増している。

このようなサービスにおいては、個人情報が頻繁にネットワーク上を流れることになる。第三者による個人情報の悪用や改ざんを防ぐためには、このネットワーク上を流れる個人情報の保護が重要である。また、個人情報が不正に流通している場合に、その漏洩元を特定可能とし、個人情報の不正な流通、漏洩を防止することが必要である。

従来、個人情報の漏洩を防止する技術としては、例えば、特開２００５−１５７７２９号公報（特許文献１）に記載されているような、開示権利の存在する場合にのみ開示し、開示制御を行う方式があった。

また、例えば、特開２００２−１９７４２２号公報（特許文献２）に記載されているような、個人情報などの秘密情報を暗号により保護する方式があった。
特開２００５−１５７７２９号公報 特開２００２−１９７４２２号公報

しかしながら、特許文献１，２の技術では、個人情報の保護を実現する上では有効であるが、個人情報の流通経路の検証、また、漏洩した個人情報について、その不正者を特定（漏洩元特定）することは、困難であった。

そこで、本発明の目的は、個人情報の漏洩時や個人情報の不正な流通が疑われる時などに、個人情報の開示経路、開示内容の検証を行うことのできる個人情報の開示経路閲覧システムおよびその開示経路検証方法を提供することにある。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

本発明による個人情報の開示経路閲覧システムは、利用者より個人情報を収集し、収集した個人情報を利用範囲に基づき開示し、また、利用者に対して、収集した個人情報に基づいたサービスを行う業者側装置と、自らの個人情報を業者側装置に送信し、また、業者側装置より提供されるサービスを利用するユーザ側装置と、個人情報の開示を管理し、開示制御や開示経路の管理、検証を行う開示経路管理サーバとを有する個人情報の開示経路閲覧システムであって、業者側装置は、収集した個人情報を他事業者に開示する際には、開示経路管理サーバに開示許可要求を行い、開示経路管理サーバは、開示許可要求対象の個人情報について、その流通経路、開示範囲の判定を行った後、開示許可要求の要求元である開示元業者側装置に対して、許可ＩＤ、開示元業者側装置に関する情報、開示先業者側装置に関する情報および自身の電子署名を含む開示許可データを送信し、開示元業者側装置は、開示許可データおよび自身の電子署名からなる開示経路レコードを作成して個人情報の持つ開示経路データに追加し、その開示経路データを開示対象の個人情報に添付して開示し、開示経路データ付き個人情報を受け取った開示先業者側装置は、開示経路データに追加された最新の開示経路レコードに含まれる開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証し、検証失敗である場合は、開示経路データの１つ前に追加された開示経路レコードについて、開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証していくことを繰り返し、どの開示経路レコードまでが正当であるかを検証して開示経路レコードが不連続である部分を検出するものである。

開示元業者側装置は、開示経路データを開示対象の個人情報に添付して開示することも本発明に含まれる。

また、本発明による個人情報の開示経路閲覧システムは、利用者より個人情報を収集し、収集した個人情報を利用範囲に基づき開示し、また、利用者に対して、収集した個人情報に基づいたサービスを行う業者側装置と、自らの個人情報を事業者に送信し、また、業者側装置より提供されるサービスを利用するユーザ側装置と、個人情報の開示を管理し、開示制御や開示経路の管理、検証を行う開示経路管理サーバとを有する個人情報の開示経路閲覧システムであって、業者側装置は、収集した個人情報を他事業者に開示する際には、開示経路管理サーバに開示許可要求を行い、開示経路管理サーバは、開示許可要求対象の個人情報について、個人情報のハッシュ値からなる特徴量、および許可ＩＤ、開示元業者側装置に関する情報、開示先業者側装置に関する情報および自身の電子署名からなる開示許可データを、自身のデータベースに記録し、ユーザ側装置または業者側装置によって流通、管理されている個人情報について、ユーザ側装置または業者側装置の検証要請に基づき、その検証対象の個人情報に添付されている開示経路データに含まれる開示経路レコードについて、開示経路レコードに含まれる許可ＩＤより自身のデータベースを検索して、開示経路レコードとデータベースより検出した開示許可データとの整合性を検証する第１段階の検証を行い、その後、開示経路データに追加された最新の開示経路レコードに含まれる開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証し、検証失敗である場合は、開示経路データの所定数前に追加された開示経路レコードについて、開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証していくことを繰り返し、どの開示経路レコードまでが正当であるかを検証する第２段階の検証を行い、開示経路レコードが不連続である部分を検出し、検証対象の個人情報とデータベースに含まれる個人情報のハッシュ値からなる特徴量とを比較して、データベースより検証対象の個人情報に関連する開示許可データを検出し、第１段階の検証で検証された開示許可データ以外の開示許可データが検出された場合は、その開示許可データに含まれる開示元事業者に関する情報、開示先事業者に関する情報および自身の電子署名からなる開示許可データについて、開示元事業者および開示先事業者に開示内容の問い合わせを行う第３の検証を行い、第１段階から第３段階の検証までの検証結果を、検証要請元のユーザ側装置または業者側装置に通知するものである。上記の所定数前は、１つ前であることがより望ましい。

また、本発明による個人情報の開示経路検証方法は、利用者の個人情報を開示するユーザ情報開示部と、開示された個人情報を閲覧、検証するユーザ情報取得部と、収集した個人情報を利用してサービスを行うサービス提供部と、視聴者から収集した個人情報を記録、管理するユーザ情報データベースとを有する業者側装置と、業者側装置に対して自身の個人情報を送信するユーザ情報送信部と、個人情報およびその開示経路の検証を行い、また開示経路管理サーバに個人情報の検証要請を行う開示経路要求部と、業者側装置の提供するサービスを利用するサービス利用部と、自身の個人情報を登録する個人情報データベースとを有するユーザ側装置と、開示許可要求に対して許可ＩＤを発行し、開示許可データを作成する許可ＩＤ発行部と、個人情報について、開示経路の検証、不正者の検出を行う開示経路検証部と、作成した開示許可データを記録する開示許可データベースとを有する開示経路管理サーバとを備えた個人情報の開示経路閲覧システムの開示経路検証方法であって、開示経路管理サーバの許可ＩＤ発行部により、業者側装置より開示許可要求のあった個人情報について、開示許可データベースに記録された開示許可データ、および個人情報の利用範囲を参照して、開示可否の判定を行う開示許可判定ステップと、開示許可要求に対する許可ＩＤを作成する許可ＩＤ作成ステップと、開示許可要求に対する自身の電子署名を作成する開示許可署名作成ステップと、許可ＩＤ、開示元事業者に関する情報、開示先事業者に関する情報および自身の電子署名を含む開示許可データ作成し、開示許可要求の要求元に送信する開示許可データ送信ステップとを実行し、開示経路管理サーバの開示経路検証部により、開示経路データに含まれる開示経路レコードの開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証し、開示経路データに含まれる開示経路レコードについて、その前後の繋がりから開示経路を検証する開示経路検証ステップと、検証対象の個人情報のハッシュ値による特徴量から開示許可データベースを検索し、検証対象の個人情報に関係する開示許可データを検出する開示許可データベース検索ステップと、検出した開示許可データに含まれる開示元に関する情報および開示先に関する情報より、業者側装置に対して、検証対象の個人情報に関する開示内容の提出を要請する開示経路情報要求ステップとを実行するものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明によれば、開示経路データを用いて開示経路、開示内容の検証を行うことができ、個人情報の漏洩や開示経路の検知、開示内容の改ざんを検知することができる。

また、本発明によれば、流通している個人情報について、ユーザ（個人情報提供者）は、開示管理サーバに検証要求を行い、正しい経路・手順で開示されたものであるか、また、それが不正に流通しているものであれば、漏洩元はどこであるか検証することができる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

＜個人情報の開示経路閲覧システムの構成＞
図１により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムの構成について説明する。図１は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの構成を示す構成図である。

図１において、個人情報の開示経路閲覧システムは、個人情報の開示許可の発行、開示経路の管理を行う開示経路管理サーバ１０１と、サービスの利用ために自らの個人情報（以降、ユーザ情報と呼ぶ）を提供し、コンテンツを取得するユーザ側装置１０２〜１０４と、個人情報を収集してコンテンツの配信、および関連商品の販売に利用するコンテンツ配信業者側装置１０５と、サービス利用料金などを計算、請求する課金業者側装置１０６と、ユーザに対し商品の発送を行う商品発送業者側装置１０７から構成される。

ユーザ側装置１０２〜１０４は、サービスを利用する利用者数分が存在する。コンテンツ配信業者側装置１０５、課金業者側装置１０６、商品発送業者側装置１０７を、まとめて業者側装置と呼ぶ。開示経路管理サーバ１０１、ユーザ側装置１０２〜１０４、業者側装置１０５〜１０７は、ネットワーク１０８を介して繋がっている。

＜個人情報の開示経路閲覧システムを構成する各部の内部構成＞
次に、図２〜図４により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムを構成する各部の内部構成について説明する。図２〜図４は本発明の一実施の形態に係る個人情報の開示経路閲覧システムを構成する各部の内部構成を示す構成図であり、図２は開示経路管理サーバの構成を示す構成図、図３はユーザ側装置の構成を示す構成図、図４は業者側装置の構成を示す構成図である。

図２において、開示経路管理サーバ１０１の内部構成は、ＣＰＵ２０１と、記憶装置２０２と、ネットワークを介して他の装置と通信を行うための通信装置２０４と、キーボードやマウスなどの入力装置２０５と、ディスプレイなどの表示装置２０６と、これらを接続するインタフェース２０３とから構成される。

記憶装置２０２には、業者側装置１０５〜１０７よりユーザ情報の開示許可要求を受け取り、開示許可判定を行った後、その要求に対して開示許可ＩＤを発行する許可ＩＤ発行プログラム２０７と、ユーザ情報について、自身の開示許可データベース２０９を参照してその開示経路を検証する開示経路検証プログラム２０８と、開示許可ＩＤを発行した際のログが記録された開示許可データベース２０９と、署名の作成や暗号化復号化に利用する開示経路管理サーバ秘密鍵２１０、開示経路管理サーバ公開鍵２１１が格納されている。

以下の説明における各プログラム２０７、２０８の処理は、インタフェース２０３を介して呼び出された各プログラムをＣＰＵ２０１が実行することにより、開示経路管理サーバ１０１上で実現されるものである。

各プログラムは、予め記憶装置２０２に格納されていても良いし、開示経路管理サーバ１０１が利用可能な媒体を介して導入されても良い。媒体とは、例えば、開示経路管理サーバ１０１に着脱可能な記憶媒体や、通信装置２０４に接続するネットワークまたはネットワークを伝搬する搬送波といった通信媒体を含む。

また、図３において、ユーザ側装置１０２〜１０４の内部構成は、前述の開示経路管理サーバ１０１と同様の構成からなる（３０１〜３０６）。

記憶装置３０２には、業者側装置１０５〜１０７からのユーザ情報送信要求を受け、自身のユーザ情報を、署名を付与した後に要求元の業者に送信するユーザ情報送信プログラム３０７と、開示経路管理サーバに対して、自身のユーザ情報についての開示状況の問い合わせや、開示経路の正当性の検証を要請する開示経路要求プログラム３０８と、コンテンツ配信業者側装置１０５より、コンテンツを取得するコンテンツ受信プログラム３０９と、自身のユーザ情報が記録されている個人情報データベース３１０と、コンテンツ配信業者側装置１０５より受信したコンテンツが蓄積されるコンテンツ蓄積領域３１１と、署名の作成や暗号化復号化に利用するユーザ秘密鍵３１２、ユーザ公開鍵３１３が格納されている。

以下の説明における各プログラム３０７〜３０９の処理は、ユーザ側装置１０２〜１０４上で実現されるものである。各プログラムの実行および格納方法については、前述の開示経路管理サーバ１０１と同様である。

また、図４において、業者側装置１０５〜１０７の内部構成は、前述の開示経路管理サーバ１０１と同様の構成からなる（４０１〜４０６）。

記憶装置４０２には、収集したユーザ情報について、開示経路管理サーバに開示許可要求を行った後、他の業者側装置１０５〜１０７に開示するユーザ情報開示プログラム４０７と、他の業者側装置１０５〜１０７からユーザ情報を収集し、収集したユーザ情報、およびその開示経路を検証するユーザ情報取得プログラム４０８と、各業者ごとのサービス（コンテンツ配信業者側装置１０５は、コンテンツの配信処理、課金業者側装置１０６は、各ユーザに対する課金処理、商品発送業者側装置１０７は、各ユーザへの商品の発送処理）を行うサービス提供プログラム４０９と、収集したユーザ情報が記録されているユーザ情報データベース４１０と、収集したユーザ情報の各項目のハッシュ値が記録されているハッシュ値データベース４１１と、署名の作成や暗号化復号化に利用する業者の秘密鍵４１２、公開鍵４１３が格納されている。ただし、この業者秘密鍵４１２、業者公開鍵４１３のペアは、業者側装置ごとに異なる。

以下の説明における各プログラム４０７〜４０９の処理は、業者側装置１０５〜１０７上で実現されるものである。各プログラムの実行および格納方法については、前述の開示経路管理サーバ１０１と同様である。

＜ユーザ側装置からのユーザ情報の送信処理＞
次に、図５および図６により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ側装置からのユーザ情報の送信処理について説明する。

図５は本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ側装置からのユーザ情報の送信処理を示すフローチャート、図６は本発明の一実施の形態に係る個人情報の開示経路閲覧システムで使用されるユーザ情報ファイルの一例を示す図である。

まず、コンテンツ配信業者側装置１０５の提供するコンテンツ配信サービスを利用するために、ユーザ側装置１０２〜１０４が、自身のユーザ情報を、ユーザ情報送信プログラム３０７により、コンテンツ配信業者側装置１０５に送信する際の処理としては、図５に示すように、ユーザ側装置１０２〜１０４は、ユーザ情報送信プログラム３０７により、以下のＳ５０１〜Ｓ５０３のユーザ情報送信処理を行う。これにより、各ユーザ側装置のユーザ情報が、コンテンツ配信業者側装置１０５に送られる。

Ｓ５０１では、個人情報データベース３１０からユーザＩＤと個人情報を取得し、取得された個人情報の各項目について、各項目毎に乱数（ｒ１〜ｒ８）を生成する。そして、取得した値と、生成した乱数より、図６に示すようなユーザ情報ファイル５０４を作成する。また、ここで作成した乱数は、個人情報データベース３１０に記録しておく。

Ｓ５０２では、各項目の値と作成した各項目毎の乱数を足し合わせたものに対し、ハッシュ値を計算する。例えば、項目「郵便番号」については、値「１２３−４５６７」と乱数「ｒ１」を足し合わせたデータに対してハッシュ関数を適用して、ハッシュ値「３Ａ１Ｂ２８５３９Ｃ２１・・・」を生成する。ハッシュ値「３Ａ１Ｂ２８５３９Ｃ２１・・・」の作成に、乱数「ｒ１」を利用することによって、推測攻撃により、ハッシュ値から元の値「１２３−４５６７」が漏洩するのを防止することができる。

乱数を利用しない場合、例えば、「０００−００００」「０００−０００１」「０００−０００２」…と順に数字を当てはめてハッシュ値を生成することにより、ハッシュ値「３Ａ１Ｂ２８５３９Ｃ２１・・・」にぴったり合う郵便番号を見つけることができてしまう可能性がある。そして、各項目のハッシュ値を全て足し合わせたものに対して、ユーザ側装置の秘密鍵３１２を用いて、公開鍵暗号方式により、ユーザ署名５０５を作成し、ユーザ情報ファイル５０４に添付する。

Ｓ５０３では、Ｓ５０１、Ｓ５０２を経て作成されたユーザ情報ファイル５０４を、コンテンツ配信業者側装置１０５に送信する。送信の際は、共通鍵暗号方式などによって、ユーザ情報ファイル５０４を暗号化して送信することが望ましい。その場合、暗号化に用いた共通鍵は、コンテンツ配信業者側装置の公開鍵を用いて暗号化し、暗号化されたユーザ情報ファイルとともに送信する。

ユーザ側装置１０２〜１０４からユーザ情報ファイル５０４を受け取ったコンテンツ配信業者側装置１０５は、ユーザ情報ファイル５０４に含まれる各項目について、「値」と「乱数」を足し合わせたものに対し、ハッシュ値を計算する。例えば、項目「郵便番号」については、値「１２３−４５６７」と乱数「ｒ１」を足し合わせたデータに対してハッシュ関数を適用して、ハッシュ値「３Ａ１Ｂ２８５３９Ｃ２１・・・」を生成する。

次に、ユーザの公開鍵を用いて、公開鍵暗号方式により、ユーザ情報ファイル５０４に含まれるユーザ署名５０５と、上記作成した各項目のハッシュ値を全て足し合わせたものとの整合性を調べることによって、ユーザ署名５０５を検証する。

ここで使用するユーザの公開鍵は、コンテンツ配信業者側装置１０５のユーザ情報データベース４１０に予め記録しておいても良いし、ユーザ情報ファイル５０４とともに、ユーザ側装置１０２〜１０４からコンテンツ配信業者側装置１０５に送られても良い（受信したユーザ情報ファイル５０４が暗号化されている場合は、共通鍵暗号方式により暗号化されているので、コンテンツ配信業者側装置の秘密鍵を用いて、コンテンツ配信業者側装置の公開鍵で暗号化された共通鍵を復元し、復元した共通鍵を用いて、ユーザ情報ファイル５０４を復号する）。

コンテンツ配信業者側装置１０５は、ユーザ署名５０５の検証後、ユーザ情報ファイル５０４について、各項目の値、およびその項目に対する乱数、およびユーザ署名５０５を、ユーザ情報データベース４１０に登録する。登録の際、登録するデータをコンテンツ配信業者側装置で作成した共通鍵を用いて共通鍵暗号方式によって暗号化することにより、データベースからの情報漏洩を防止し、安全性を高めることができる。

また、各項目について、「値」と「乱数」を足し合わせたものに対し、ハッシュ値を計算し、その各項目名とハッシュ値を、ハッシュ値データベース４１１に、ユーザＩＤと対応づけて記録する。

＜個人情報の開示経路閲覧システムのデータフローの概要＞
次に、図７により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムのデータフローの概要について説明する。図７は本発明の一実施の形態に係る個人情報の開示経路閲覧システムのデータフローの概要を説明するための説明図であり、ユーザ情報送信処理によりコンテンツ配信業者側装置１０５に提供されたユーザ情報について、開示経路管理サーバ１０１と、ユーザ側装置１０２〜１０４と、業者側装置１０５〜１０７の間でやり取りされるデータフローを示している。

図７に示すように、コンテンツ配信業者側装置１０５は、自身の持つユーザ情報を、例えば、課金業者側装置１０６に開示する際、開示許可要求データ（Ａ）６０１を、開示経路管理サーバ１０１に送信する（Ｓ１０１）。開示許可要求データ（Ａ）６０１を受け取った開示経路管理サーバ１０１は、開示が正当であるかどうか判断した後、開示内容を開示許可データベース２０９に記録し、開示許可データ（Ａ）６０２を、コンテンツ配信業者側装置１０５に送信する（Ｓ１０２）。

開示許可データ（Ａ）６０２を受け取ったコンテンツ配信業者側装置１０５は、開示許可データ（Ａ）６０２に含まれるデータを元に、開示経路データを作成し、開示する個人情報および開示経路データを含むユーザ情報データ（Ａ）６０３を、課金業者側装置１０６に送信する（Ｓ１０３）。

課金業者側装置１０６は、コンテンツ配信業者側装置１０５より入手したユーザ情報を、さらに、例えば、商品発送業者側装置１０７に開示する際、開示許可要求データ（Ｂ）６０４を、開示経路管理サーバ１０１に送信する（Ｓ１０４）。開示許可要求データ（Ｂ）６０４を受け取った開示経路管理サーバ１０１は、開示が正当であるかどうか判断した後、開示内容を開示許可データベース２０９に記録し、開示許可データ（Ｂ）６０５を、課金業者側装置１０６に送信する（Ｓ１０５）。

開示許可データ（Ｂ）６０５を受け取った課金業者側装置１０６は、開示許可データ（Ｂ）６０５に含まれるデータを元に、開示経路データを作成し、開示する個人情報および開示経路データを含むユーザ情報データ（Ｂ）６０６を、商品発送業者側装置１０７に送信する（Ｓ１０６）。

各業者側装置が持つユーザ情報や不正流出したユーザ情報は、その開示経路データを調べることにより、開示経路を検証、不正者を検出することができる。

また、開示経路管理サーバ１０１の開示許可データベース２０９により、ユーザ情報の開示経路を調べることができる。

例えば、ユーザ側装置１０２の個人情報を含むユーザ情報データ（Ｂ）６０６が不正流出していた場合、ユーザ側装置１０２は、それを開示経路管理サーバ１０１に渡して検証依頼を行う（Ｓ１０７）。開示経路管理サーバ１０１は、ユーザ情報データ（Ｂ）６０６に含まれるデータを元に、自身の開示許可データベース２０９を検索して、そのユーザ情報データの出所、あるいは、関係する業者側装置を割り出し、検証結果通知ファイル６０７に記載して、ユーザ側装置１０２に送信する（Ｓ１０８）。

＜個人情報の開示経路閲覧システムのユーザ情報開示処理＞
次に、図８〜図１６により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報開示処理について説明する。図８は本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報開示処理を示すフローチャート、図９は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示許可要求データを作成し、開示経路管理サーバに送信する処理の詳細を説明するための説明図、図１０は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示許可データを作成し、コンテンツ配信業者側装置１０５に送信する処理の詳細を示す図、図１１は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示元である配信業者Ｚから、開示先である配信業者Ａへの開示は、開示経路管理サーバの許可を得た正当なものであることを説明するための説明図、図１２および図１４は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示情報を作成し、開示先である課金業者側装置に送信する処理の詳細を示す図、図１３は本発明の一実施の形態に係る個人情報の開示経路閲覧システムで使用される開示情報の一例を示す図、図１５および図１６は本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報データの検証の詳細を示す図である。

まず、業者側装置１０５〜１０７（開示元）がユーザ情報を開示し、業者側装置１０５〜１０７（開示先）が、ユーザ情報を受け取るまでの処理としては、図８に示すような処理であり、以下の説明においては、例えば、コンテンツ配信業者側装置１０５（開示元）が、課金業者側装置１０６（開示先）にユーザ情報を開示する場合の処理の流れを以下に記載する。

コンテンツ配信業者側装置１０５は、ユーザ情報開示プログラム４０７により、Ｓ７０１の処理を行い、開示許可要求データ８０２を作成し、開示経路管理サーバ１０１に送信する。この処理の詳細を図９に示す。

コンテンツ配信業者側装置１０５のユーザ情報開示プログラム４０７は、自身のユーザ情報データベース４１０より、課金業者側装置１０６に開示する対象となるユーザの個人情報の各項目（郵便番号など）の値および開示経路データ１２０２を検索する。

開示経路データ１２０２は、Ｓ７１２（処理内容は、後述する）によりユーザ情報がユーザ情報データベース４１０に記録された際に、各項目の値とともに記録されるデータである。取得した各項目の値については、そのハッシュ値を生成する。

例えば、項目「郵便番号」については、値「１２３−４５６７」に対してハッシュ関数を適用して、ハッシュ値「Ｈ（１２３−４５６７）」を生成する。ここで、「Ｈ（値）」は、値のハッシュ値を表す。そして、生成した各項目のハッシュ値、および開示経路データ１２０２を記載した開示情報特徴量８０１を作成する。

次に、上記作成した開示情報特徴量８０１、開示先情報８０３、開示元情報８０４からなる開示許可要求データ８０２を作成し、開示経路管理サーバ１０１に送信する。開示許可要求データ８０２は、例えば、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により暗号化するなど、暗号化して送信するのが望ましい。

本実施の形態では、開示先情報８０３は、開示先である課金業者側装置１０６の業者情報（例えば、業者名など）と、開示項目（開示する項目の項目名）からなる。

また、開示元情報８０４は、開示元であるコンテンツ配信業者側装置１０５の業者情報（例えば、業者名など）と、コンテンツ配信業者側装置１０５の署名８０５（業者Ａ署名と呼ぶ）からなる。

この署名８０５は、開示元業者の署名８０５を除く開示許可要求データ８０２に対して、コンテンツ配信業者側装置１０５の秘密鍵４１１を用いて、公開鍵暗号方式により作成される。この署名８０５は、開示許可要求データ８０２が、コンテンツ配信業者側装置１０５で作られたものであることを証明するのに必要である。

また、開示対象となるユーザのユーザＩＤなどの識別情報を開示許可要求データ８０２に付加することによって、開示経路管理サーバ１０１における開示許可データベースの検索を容易にすることができる。開示許可要求データ８０２には、個人情報自体は含まれていないので、開示経路管理サーバ１０１と、業者側装置１０５〜１０７との間のやり取りでの個人情報漏洩を防ぐことができる。

開示情報特徴量８０１は、開示経路管理サーバ１０１において発行する開示許可データ９０３と、ユーザ情報とを対応づけるのに利用することができる。

開示許可要求データ８０２を受け取った開示経路管理サーバ１０１は、開示許可要求データ８０２が、開示経路管理サーバ１０１の公開鍵で暗号化されている場合は、開示経路管理サーバ１０１の秘密鍵２１０を用いて復号した後、許可ＩＤ発行プログラム２０７により、Ｓ７０２〜Ｓ７０５の処理を行い、開示許可データ９０３を作成し、コンテンツ配信業者側装置１０５に送信する。この処理の詳細を、図１０に示す。

開示経路管理サーバ１０１の許可ＩＤ発行プログラム２０７は、Ｓ７０２において、受け取った開示許可要求データ８０２に対する開示許可判定を行う。図１１に開示許可判定の詳細を示す。具体的には、以下の処理を行う。

まず、開示許可要求データ８０２に含まれる業者Ａ署名８０５を、コンテンツ配信業者側装置１０５の公開鍵を用いて、公開鍵暗号方式により検証する。

次に、開示許可要求データ８０２に含まれるユーザＩＤもしくは、ユーザ情報の各項目のハッシュ値を用いて、開示許可データベース２０９を検索し、今回開示対象となっているユーザ情報に関する開示許可ログ１００１から開示許可データ９０３を取得する。

開示許可要求データ８０２の開示情報特徴量８０１に開示経路データ１２０２が存在しない、かつ開示許可データ９０３が存在しない場合は、Ｓ７０３以降へと進む。開示経路データ１２０２が存在しないが、開示許可データ９０３が存在する場合は、開示許可要求データ８０２の送信元の業者側装置に対して、ユーザ情報の入手元を問い合わせる。入手元がユーザ端末である場合は、Ｓ７０３以降へと進む。

開示許可要求データ８０２の開示情報特徴量８０１に開示経路データ１２０２が存在するが、開示許可データ９０３が存在しない場合は、処理を終了し、開示経路データが不正である旨を、開示許可要求データ送信元に通知する。開示許可データ９０３が存在する場合は、以下の処理を行う。

まず、上記開示許可データベース２０９より取得した開示許可データ９０３に含まれる開示許可署名９０４が、開示経路管理サーバ１０１の公開鍵を用いて検証可能かどうか調べる。次に、その開示許可署名９０４と、開示許可要求データ８０２の開示情報特徴量８０１に含まれる開示経路データ１２０２の開示経路レコード１２０３に含まれる開示許可署名１２０８が一致するかどうか調べる。

一致した場合は、その開示経路レコード１２０３の開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１に含まれる業者側装置間の開示が正当であると判定する。

例えば、図１１の場合、開示元である配信業者Ｚから、開示先である配信業者Ａへの開示は、開示経路管理サーバ１０１の許可を得た正当なものであるといえる。

開示経路レコードが複数存在する場合は、上記の判定に加えて、図１４に示すような開示経路レコード１２０３内のレコード番号１２０４の連続する２つの開示経路レコードについて、レコード番号１２０４が若い方の開示経路レコードの開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１に含まれる開示先情報８０３が、レコード番号１２０４が大きい方の開示経路レコードの開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１に含まれる開示元情報８０４と同一業者側装置であるかどうか確認する。

こうして、開示許可要求データ８０２の開示情報特徴量８０１に含まれる開示経路データ８０５の全ての開示経路レコード１２０３が正当であり、かつ最後の開示経路レコード（開示経路レコードのレコード番号１２０４が最大である開示経路レコード）の開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１に含まれる開示先情報８０３が、開示許可要求データ８０２の開示元情報８０４と同一業者側装置である場合、Ｓ７０３以降へと進む。

同一業者でない場合は、処理を終了し、開示経路データが不正である旨を開示許可要求データ送信元に通知する。以上、Ｓ７０２により、開示経路管理サーバ１０１は、業者側装置からの開示許可要求に対して、その開示対象となるユーザ情報が、正当な流通経路（開示経路管理サーバの許可を得た開示がなされている）を辿っている場合にのみ、開示を許可することができる。上記判定に加えて、ユーザに開示可否を問い合わせる、あるいは予めユーザより開示を許可する業者を登録してもらい、それを基に開示可否を判定する処理を行っても良い。

開示経路管理サーバ１０１の許可ＩＤ発行プログラム２０７は、Ｓ７０３において、受け取った開示許可要求データ８０２に対する許可ＩＤを作成する。ここで作成する新しい許可ＩＤは、例えば、開示許可データベース２０９に記録されている開示許可ログ１００１のうち、開示許可データ９０３の開示許可情報（Ｄ）９０１の許可ＩＤ９０２が最大のものに＋１した値とする。そして、ここで作成した許可ＩＤ９０２と、コンテンツ配信業者側装置１０５より受け取った開示許可要求データ８０２に含まれる開示先情報８０３と、開示元情報８０４からなる開示許可情報（Ｄ）９０１を作成する。

Ｓ７０４では、Ｓ７０３で作成した開示許可情報（Ｄ）９０１のハッシュ値を生成し、そのハッシュ値に対して、開示経路管理サーバ１０１の秘密鍵２１０を用いて、開示許可署名９０４「Ｓ（Ｈ（Ｄ））」（Ｈは、ハッシュ関数。Ｓは、開示経路管理サーバの署名を表す。）を作成する。

そして、コンテンツ配信業者側装置１０５より受け取った開示許可要求データ８０２に含まれるユーザＩＤと、Ｓ７０３で作成した開示許可情報（Ｄ）９０１と、上記作成した開示許可署名９０４「Ｓ（Ｈ（Ｄ））」とからなる開示許可データ９０３を作成する。

Ｓ７０５では、Ｓ７０４で作成した開示許可データ９０３を、開示許可要求元であるコンテンツ配信業者側装置１０５に送信する。

開示許可データ９０３を受け取ったコンテンツ配信業者側装置１０５は、ユーザ情報開示プログラム４０７により、Ｓ７０６、Ｓ７０７の処理を行い、開示情報１１０１を作成し、開示先である課金業者側装置１０６に送信する。この処理の詳細を、図１２〜図１４に示す。

Ｓ７０６は、Ｓ７０６−１とＳ７０６−２の２つの処理からなる。Ｓ７０６−１では、図１２に示すように、コンテンツ配信業者側装置１０５のユーザ情報開示プログラム４０７は、開示経路管理サーバより受け取った開示許可データ９０３を入力として、ユーザ情報データベース４１０よりユーザ情報を取得する。

具体的には、まず、開示許可データ９０３に含まれる開示許可情報（Ｄ）９０１について、許可ＩＤ９０２が記載されていること、開示先情報８０３および開示元情報８０４が、Ｓ７０１で送信した開示許可要求データと一致していることを検証する。次に、開示許可署名９０４を、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により検証する。

上記検証が成功した場合にのみ以下の処理を行う。開示する項目については、ユーザ情報データベース４１０よりユーザ情報の取得を行い、開示しない項目については、ハッシュ値データベース４１１より、その項目のハッシュ値を取得し、開示先である課金業者側装置１０６に送信する図１３に示すような開示情報１１０１を作成する。開示情報１１０１には、開示対象となるユーザについてのユーザ情報１１０２、開示経路データ１２０２（そのユーザ情報についての開示経路データ１２０２が存在する場合のみ）が含まれる。

ユーザ情報１２０２は、ユーザＩＤと、開示項目について、その値および乱数と、非開示項目について、その値とその項目の乱数を足し合わせたデータに対してハッシュ関数が適用されて作成されたハッシュ値と、ユーザより受信したユーザ情報ファイル５０４に付与されたユーザ署名５０５からなる。

非開示項目については、その値ではなく、ハッシュ値を記載することにより、開示先に対して、その項目の値を秘匿しながら、かつ改ざん検知・完全性証明のためのユーザ署名５０５の検証を可能としている。またこのとき、ユーザ情報データベース４１０、ハッシュ値データベース４１１に関するアクセスログを取得し、記録しておく。

このアクセスログは、このとき開示した内容（開示項目、非開示項目を正しく取得しているか）を示し、後述Ｓ１５０５において、開示ログとして利用することができる。

Ｓ７０６−２では、図１４に示すように、Ｓ７０６−１で作成した開示情報１１０１、開示経路管理サーバ１０１より取得した開示許可データ９０３より、ユーザ情報データ１２０１を作成する。ユーザ情報データ１２０１は、開示情報１１０１に、今回の開示に関する開示経路レコード１２０３を開示経路データ１２０２に追記することにより作成する。開示経路レコード１２０３は、次のようにして作成する。ここで作成する開示経路レコードを、新規開示経路レコードと呼ぶ。

開示情報１１０１に開示経路データ１２０２が存在する場合、その開示経路データ１２０２に含まれる開示経路レコード１２０３のレコード番号１２０４の最大値に＋１したものを、新規開示経路レコードのレコード番号１２０４とする。開示情報１１０１に開示経路データ１２０２が存在しない場合は、新規開示経路レコードのレコード番号１２０４を「１」とする。

開示経路管理サーバより受け取った開示許可データ９０３に含まれる開示許可情報（Ｄ）９０３と、開示情報１１０１にハッシュ関数を適用して取得したハッシュ値Ｈ（開示情報）１２０６からなる開示経路情報（Ｍ）１２０５を作成する。

次に、上記作成した開示経路情報（Ｍ）１２０５に対して、開示元であるコンテンツ配信側装置１０５は、秘密鍵４１２を用いて、公開鍵暗号方式により署名（配信業者Ａ署名１２０７「Ｗ（Ｈ（Ｍ））」）を作成する。

そして、上記作成したレコード番号１２０４、開示経路情報（Ｍ）１２０５、配信業者Ａ署名１２０７、開示経路管理サーバより受け取った開示許可データ９０３に含まれる開示許可署名９０４「Ｓ（Ｈ（Ｄ））」からなる新規開示経路レコード１２０３を作成し、ユーザ情報データ１２０１に追加する。

この開示レコードにより、ユーザ情報データ１２０１を受け取った側は、このユーザ情報データ１２０１がどのような経路を通って流通してきたのか、開示経路管理サーバ１０１の許可を取っているか調べることができる。

Ｓ７０７では、コンテンツ配信業者側装置１０５は、Ｓ７０６で作成したユーザ情報データ１２０１を、開示先である課金業者側装置１０６に送信する。また、ここで送信したユーザ情報データ１２０１を、ユーザ情報データベース４１０にログとして記録する。このログは、後述Ｓ１５０５において、開示ログとして、利用することができる。

ユーザ情報データ１２０１を受け取った課金業者側装置１０６は、ユーザ情報取得プログラム４０８により、Ｓ７０８〜Ｓ７１２の処理を行い、ユーザ情報データの検証を行う。この処理の詳細を、図１５、図１６に示す。

課金業者側装置１０６のユーザ情報取得プログラム４０８は、Ｓ７０８で、配信業者Ａ署名１２０７の検証を行う。具体的には、コンテンツ配信業者側装置１０５より受け取ったユーザ情報データ１２０１の開示経路データ１２０２に含まれる開示経路レコード１２０３のレコード番号が最も大きいもの（最新の開示経路レコード）について、その開示経路レコード１２０３に含まれる開示経路情報（Ｍ）１２０５と、配信業者Ａ署名１２０７「Ｗ（Ｈ（Ｍ））」との整合性を、コンテンツ配信業者側装置の公開鍵４１３を用いて、公開鍵暗号方式により検証する。

また、開示経路情報（Ｍ）１２０５に含まれるハッシュ値１２０６「Ｈ（開示情報）」が、ユーザ情報データ１１０１（最新の開示経路レコードを除く）のハッシュ値と一致するか検証する。このＳ７０８での検証により、取得したユーザ情報データ１１０１が、コンテンツ配信業者側装置１０５「配信業者Ａ」により作成され、かつ改ざんされていないことが分かる。

Ｓ７０９では、開示許可署名１２０８の検証を行う。具体的には、Ｓ７０８で検証した開示経路レコード１２０３について、それに含まれる開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１と、開示許可署名１２０８「Ｓ（Ｈ（Ｄ））」との整合性を、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により検証する。このＳ７０９での検証により、取得したユーザ情報データ１１０１が、開示経路管理サーバ１０１の許可を得た正当なユーザ情報であることが分かる。

また、開示許可情報（Ｄ）９０１に含まれる開示先情報８０３、および開示元情報８０４を確認し、開示元と開示先が正しいかどうか検証することができる。

Ｓ７１０では、ユーザ署名の検証を行う。具体的には、ユーザ情報データ１２０１のユーザ情報１１０２の各項目のハッシュ値（開示項目については、値と乱数を足したものに対するハッシュ値を作成する。非開示項目については、そのまま記載されているハッシュ値を取得する。）次に上記各項目のハッシュ値を全て足し合わせたものと、ユーザ情報１１０２のユーザ署名５０５との整合性を、ユーザ側装置の公開鍵３１３を用いて、公開鍵暗号方式により検証する。

また、課金業者側装置１０６のユーザ情報取得プログラム４０８は、Ｓ７１１により、コンテンツ配信業者側装置１０５より受け取ったユーザ情報データ１１０１の流通経路を検証することができる。この具体例を図１６に示す。

図１６は、業者Ｗから業者Ｘ、業者Ｘから業者Ｙ、業者Ｙから業者Ｚと渡ってきたユーザ情報データ１２０１の流通経路の検証を表現したものである。以下のような流れで検証処理を行う。

Ｓ１４０１では、ユーザ情報データ１２０１の開示経路データ１２０２に含まれる開示経路レコード１２０３のレコード番号が最も大きいもの（最新の開示経路レコード）、すなわち、レコード番号「３」の開示経路レコードについて検証を行う。具体的には、レコード番号「３」の開示経路レコードに含まれる開示経路情報（Ｍ３）と、業者Ｙ署名「Ｙ（Ｈ（Ｍ３））」との整合性を、業者Ｙの公開鍵を用いて、公開鍵暗号方式により検証する。また、開示経路情報（Ｍ３）に含まれる開示許可情報（Ｄ３）と、開示許可署名「Ｓ（Ｈ（Ｄ３））」との整合性を、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により検証する。

また、開示許可情報（Ｄ３）に含まれる開示先情報、および開示元情報を確認し、開示元「業者Ｙ」と開示先「業者Ｚ」が正しいかどうか検証する。

また、ユーザ情報データ１２０１のユーザ情報１１０２の各項目のハッシュ値を、開示項目については、値と乱数を足したものに対するハッシュ値を作成し、非開示項目については、そのまま記載されているハッシュ値を取得する。

次に、上記各項目のハッシュ値を全て足し合わせたものと、ユーザ情報１１０２のユーザ署名５０５との整合性を、ユーザ側装置の公開鍵３１３を用いて、公開鍵暗号方式により検証する。Ｓ１４０１での検証が成功した場合は、Ｓ１４０２へ、失敗した場合は、Ｓ１４０３へと進む。Ｓ７０８〜Ｓ７１０の処理が実行済みである場合は、Ｓ１４０１の処理を省略しても良い。

Ｓ１４０２では、開示経路情報（Ｍ３）に含まれるハッシュ値「Ｈ（開示情報）」が、データ（Ａ）１４０９のハッシュ値（ユーザ情報の各項目のハッシュ値を全て足したものに、さらにレコード番号「１」の開示経路のハッシュ値と、レコード番号「２」の開示経路のハッシュ値を加えたもののハッシュ値）と一致するか検証する。

これにより、開示元である業者Ｙが、開示管理サーバ１０１が許可した通りに業者Ｚにユーザ情報を開示したことを検証できる。Ｓ１４０２での検証が成功した場合は、ユーザ情報データ１２０１は、正当である。検証が失敗した場合は、レコード番号「３」の開示経路レコードの作成者、すなわち、業者Ｙが業者Ｗから業者Ｚに至るまでの開示経路を改ざんしていることが分かる。

Ｓ１４０３では、ユーザ情報データ１２０１の開示経路データ１２０２に含まれる開示経路レコード１２０３のうちレコード番号「２」の開示経路レコードについて検証を行う。具体的には、レコード番号「２」の開示経路レコードに含まれる開示経路情報（Ｍ２）と、業者Ｘ署名「Ｘ（Ｈ（Ｍ２））」との整合性を、業者Ｘの公開鍵を用いて、公開鍵暗号方式により検証する。また、開示経路情報（Ｍ２）に含まれる開示許可情報（Ｄ２）と、開示許可署名「Ｓ（Ｈ（Ｄ２））」との整合性を、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により検証する。

また、開示許可情報（Ｄ２）に含まれる開示先情報、および開示元情報を確認し、開示元「業者Ｘ」と開示先「業者Ｙ」が正しいかどうか検証する。Ｓ１４０３での検証が成功した場合は、Ｓ１４０４へ、失敗した場合は、Ｓ１４０５へと進む。

Ｓ１４０４では、開示経路情報（Ｍ２）に含まれるハッシュ値「Ｈ（開示情報）」が、データ（Ｂ）１４０８のハッシュ値（ユーザ情報の各項目のハッシュ値を全て足したものに、さらにレコード番号「１」の開示経路のハッシュ値を加えたもののハッシュ値）と一致するか検証する。

これにより、開示元である業者Ｘが、開示管理サーバ１０１が許可した通りに業者Ｙにユーザ情報を開示したことを検証できる。Ｓ１４０４での検証が成功した場合は、レコード番号「３」の開示経路レコードの作成者、すなわち、業者Ｙが開示許可データ９０３の改ざん、あるいはユーザ情報の改ざんなどの不正を行っていることが分かる。検証が失敗した場合は、レコード番号「２」の開示経路レコードの作成者、すなわち、業者Ｘが業者Ｗから業者Ｙに至るまでの開示経路を改ざんしていることが分かる。

Ｓ１４０５では、ユーザ情報データ１２０１の開示経路データ１２０２に含まれる開示経路レコード１２０３のうちレコード番号「１」の開示経路レコードについて検証を行う。具体的には、レコード番号「１」の開示経路レコードに含まれる開示経路情報（Ｍ１）と、業者Ｗ署名「Ｗ（Ｈ（Ｍ２））」との整合性を、業者Ｗの公開鍵を用いて、公開鍵暗号方式により検証する。

また、開示経路情報（Ｍ１）に含まれる開示許可情報（Ｄ１）と、開示許可署名「Ｓ（Ｈ（Ｄ１））」との整合性を、開示経路管理サーバ１０１の公開鍵２１１を用いて、公開鍵暗号方式により検証する。また、開示許可情報（Ｄ１）に含まれる開示先情報、および開示元情報を確認し、開示元「業者Ｘ」と開示先「業者Ｙ」が正しいかどうか検証する。

Ｓ１４０３での検証が成功した場合は、Ｓ１４０６へ、失敗した場合は、業者Ｗ、業者Ｘ、業者Ｙ、あるいはその他の業者により、ユーザ情報の改ざん、不正流通が行われている可能性がある。

Ｓ１４０６では、開示経路情報（Ｍ１）に含まれるハッシュ値「Ｈ（開示情報）」が、データ（Ｃ）１４０７のハッシュ値（ユーザ情報の各項目のハッシュ値を全て足したもののハッシュ値）と一致するか検証する。

これにより、開示元である業者Ｗが、開示管理サーバ１０１が許可した通りに業者Ｘにユーザ情報を開示したことを検証できる。Ｓ１４０６での検証が成功した場合は、レコード番号「３」の開示経路レコードの作成者あるいはレコード番号「２」の開示経路レコードの作成者、すなわち、業者Ｙあるいは業者Ｘが、開示許可データ９０３の改ざん、あるいはユーザ情報の改ざんなどの不正を行っていることが分かる。

検証が失敗した場合は、レコード番号「１」の開示経路レコードの作成者、すなわち、業者Ｗが業者Ｗから業者Ｘに至るまでの開示経路を改ざんしていることが分かる。

そして、Ｓ７１１での開示経路の検証の後、Ｓ７１２では、上記Ｓ７０８〜Ｓ７１１で検証したユーザ情報データ１２０１を、ユーザ情報データベース４１０に保存する。

＜個人情報の開示経路閲覧システムの流通あるいは取得したユーザ情報の検証処理＞
次に、図１７および図１８により、本発明の一実施の形態に係る個人情報の開示経路閲覧システムの流通あるいは取得したユーザ情報の検証処理について説明する。図１７は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの流通あるいは取得したユーザ情報の検証処理を示すフローチャート、図１８は本発明の一実施の形態に係る個人情報の開示経路閲覧システムの検証対象のユーザ情報に関与している業者の検索処理の詳細を説明するための説明図である。

ユーザ側装置１０２〜１０４、あるいは業者側装置１０５〜１０７が、流通あるいは取得したユーザ情報について、開示経路管理サーバ１０１に検証を依頼し、検証結果を受け取るまでの処理としては、図１７に示すような処理であり、例えば、ユーザ側装置１０２が、不正に流通しているユーザ情報について、その漏洩元の特定を、開示経路管理サーバ１０１に依頼した場合の処理の流れを以下に記載する。

ユーザ側装置１０２は、開示経路要求プログラム３０８により、Ｓ１５０１の処理を行い、検証対象となる不正に流通しているユーザ情報１６０１を添付したユーザ情報検証要求を作成し、開示経路管理サーバ１０１に送信する。

ユーザ情報検証要求を受け取った開示経路管理サーバ１０１は、開示経路検証プログラム２０８により、Ｓ１５０２〜Ｓ１５０４の処理を行い、この検証対象のユーザ情報に関与している業者の検索を行う。この処理の詳細を、図１８に示す。

Ｓ１５０２では、ユーザ側装置１０２より受け取ったユーザ情報検証要求に添付されたユーザ情報１６０１について、図１４に示すような開示経路データ１２０２が存在する場合は、開示経路データ１２０２に含まれる開示経路レコード１２０３について、開示経路レコード１２０３に含まれる開示経路情報（Ｍ）１２０５の開示許可情報（Ｄ）９０１の許可ＩＤ９０２より開示許可データベース２０９を検索して開示経路レコード１２０３に対応する開示許可ログ１００１の開示許可データ９０３を検出し、検証対象のユーザ情報の開示経路レコードと開示許可データベース２０９より検出した開示許可データ９０３との整合性を検証する第１段階の検証を行い、その後、第２段階の検証として、図１６に示すＳ１４０１〜Ｓ１４０６と同様の開示経路検証を行う。ユーザ情報１６０１に開示経路データ１２０２が存在しない場合は、Ｓ１５０３へと進む。

Ｓ１５０３では、ユーザ情報１６０１の各項目について、その値のハッシュ値を作成する。開示経路管理サーバ１０１の開示許可データベース２０９には、開示情報特徴量８０１を含む開示許可ログ１００１が記録されている。

開示情報特徴量８０１には、開示許可ＩＤの発行対象となったユーザ情報の各項目のハッシュ値が含まれているため、上記作成したハッシュ値を用いて、そのユーザ情報に関連する開示許可ログを、開示許可データベース２０９より取得することができる。例えば、Ｓ１５０３において、開示許可データ１（１６０２）と開示許可データ２（１６０３）が検出された場合、開示許可データに含まれる開示先情報、開示元情報より、不正流通しているユーザ情報について、業者Ａ、業者Ｂ、業者Ｃが関係していることが分かる。

Ｓ１５０４では、Ｓ１５０３で検出された業者Ａ、業者Ｂ、業者Ｃに対して、不正の可能性があることの通知、および開示経路に関する情報の要求を行う。

その際は、開示経路管理サーバ１０１は、各業者に対して、Ｓ１５０３で検出された開示許可データに含まれる許可ＩＤを通知する。例えば、業者Ａに対しては、許可ＩＤ「１００１」、業者Ｂに対しては、許可ＩＤ「１００１」および許可ＩＤ「１０１８」、業者Ｃに対しては、許可ＩＤ「１０１８」を送信する。

開示経路情報の要求を受け取った業者側装置１０５〜１０７は、ユーザ情報開示プログラム４０７により、Ｓ１５０５の処理を行い、この要求対象のユーザ情報に関する開示ログを開示経路管理サーバ１０１に送信する。例えば、Ｓ７０６で作成した自身の持つユーザ情報データベース４１０およびハッシュ値データベース４１１のアクセスログを開示ログとして開示経路管理サーバ１０１に送信しても良いし、業者側装置１０５〜１０７が、Ｓ７０７において、開示先に送信したユーザ情報データ１２０１を、ログとして残していた場合、そのログを開示ログとして、開示経路管理サーバ１０１に送信しても良い。

業者側装置１０５〜１０７より開示情報を受け取った開示経路管理サーバ１０１は、開示経路検証プログラム２０８により、Ｓ１５０６の処理を行い、開示ログの検証を行う。

具体的には、Ｓ１５０５で各業者側装置より送られてきた開示ログについて、業者間の開示情報の整合性を検証する。例えば、業者Ａの提示するアクセスログが、開示許可データ１６０２の開示先情報で開示した開示項目と整合するか検証する。

開示経路管理サーバ１０１は、Ｓ１５０３で検出した不正流通したユーザ情報に関係している業者名、および、Ｓ１５０６で検証した検証内容と検証結果を、ユーザ情報検証依頼元であるユーザ側装置１０２に通知する。

以上のように本実施の形態では、開示経路管理サーバ１０１により開示許可判定、開示経路ログの記録、開示経路の検証を行い、個人情報の開示元は、開示経路管理サーバ１０１より許可ＩＤを取得して開示経路データを作成し、これを開示情報に追加付与して個人情報の開示を行い、開示先（個人情報の受け取り側）は、正当に開示された個人情報かどうかの検証を行う（不正なものについては、受け取らない、あるいは、開示管理サーバに報告を行う）ことにより、開示経路データが無い開示情報や、開示経路データに含まれる開示先情報が実際の開示先と異なる場合や、開示経路データに含まれる開示情報が実際の開示情報とは異なる場合は、不正開示経路として検出することが可能である。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、個人情報の開示経路閲覧システムおよびその開示経路検証方法に関し、特に、個人情報保護技術において個人情報の利用を制御するシステムに適用可能である。

本発明の一実施の形態に係る個人情報の開示経路閲覧システムの構成を示す構成図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムを構成する開示経路管理サーバの構成を示す構成図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムを構成するユーザ側装置の構成を示す構成図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムを構成する業者側装置の構成を示す構成図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ側装置からのユーザ情報の送信処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムで使用されるユーザ情報ファイルの一例を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムのデータフローの概要を説明するための説明図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報開示処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示許可要求データを作成し、開示経路管理サーバに送信する処理の詳細を説明するための説明図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示許可データを作成し、コンテンツ配信業者側装置１０５に送信する処理の詳細を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示元である配信業者Ｚから、開示先である配信業者Ａへの開示は、開示経路管理サーバの許可を得た正当なものであることを説明するための説明図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示情報を作成し、開示先である課金業者側装置に送信する処理の詳細を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムで使用される開示情報の一例を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの開示情報を作成し、開示先である課金業者側装置に送信する処理の詳細を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報データの検証の詳細を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムのユーザ情報データの検証の詳細を示す図である。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの流通あるいは取得したユーザ情報の検証処理を示すフローチャートである。 本発明の一実施の形態に係る個人情報の開示経路閲覧システムの検証対象のユーザ情報に関与している業者の検索処理の詳細を説明するための説明図である。

符号の説明

１０１…開示経路管理サーバ、１０２〜１０４…ユーザ側装置、１０５…コンテンツ配信業者側装置、１０６…課金業者側装置、１０７…商品発送業者側装置、１０８…ネットワーク、２０１…ＣＰＵ、２０２…記憶装置、２０３…インタフェース、２０４…通信装置、２０５…入力装置、２０６…表示装置、２０７…許可ＩＤ発行プログラム、２０８…開示経路検証プログラム、２０９…開示許可データベース、２１０…開示経路管理サーバ秘密鍵、２１１…開示経路管理サーバ公開鍵、３０１…ＣＰＵ、３０２…記憶装置、３０３…インタフェース、３０４…通信装置、３０５…入力装置、３０６…表示装置、３０７…ユーザ情報送信プログラム、３０８…開示経路要求プログラム、３０９…コンテンツ受信プログラム、３１０…個人情報データベース、３１１…コンテンツ蓄積領域、３１２…ユーザ秘密鍵、３１３…ユーザ公開鍵、４０１…ＣＰＵ、４０２…記憶装置、４０３…インタフェース、４０４…通信装置、４０５…入力装置、４０６…表示装置、４０７…ユーザ情報開示プログラム、４０８…ユーザ情報取得プログラム、４０９…サービス提供プログラム、４１０…ユーザ情報データベース、４１１…ハッシュ値データベース、４１２…業者秘密鍵、４１３…業者公開鍵、５０４…ユーザ情報ファイル、５０５…ユーザ署名、６０１…開示許可要求データ（Ａ）、６０２…開示許可データ（Ａ）、６０３…ユーザ情報データ（Ａ）、６０４…開示許可要求データ（Ｂ）、６０５…開示許可データ（Ｂ）、６０６…ユーザ情報データ（Ｂ）、６０７…検証結果通知ファイル、８０１…開示情報特徴量、８０２…開示許可要求データ、８０３…開示先情報、８０４…開示元情報、８０５…業者Ａ署名、９０１…開示許可情報（Ｄ）、９０２…許可ＩＤ、９０３…開示許可データ、９０４…開示許可署名、１００１…開示許可ログ、１１０１…開示情報、１１０２…ユーザ情報、１２０１…ユーザ情報データ、１２０２…開示経路データ、１２０３…開示経路レコード、１２０４…レコード番号、１２０５…開示経路情報（Ｍ）、１２０６…開示情報のハッシュ値、１２０７…配信業者Ａ署名、１２０８…開示許可署名、１４０７…データ（Ｃ）、１４０８…データ（Ｂ）、１４０９…データ（Ａ）、１６０１…流通しているユーザ情報、１６０２…開示許可データ１、１６０３…開示許可データ２。

Claims (6)

1. 利用者より個人情報を収集し、収集した個人情報を利用範囲に基づき開示し、また、利用者に対して、収集した個人情報に基づいたサービスを行う業者側装置と、自らの個人情報を前記業者側装置に送信し、また、前記業者側装置より提供されるサービスを利用するユーザ側装置と、個人情報の開示を管理し、開示制御や開示経路の管理、検証を行う開示経路管理サーバとを有する個人情報の開示経路閲覧システムであって、
   前記業者側装置は、収集した個人情報を他事業者に開示する際には、前記開示経路管理サーバに開示許可要求を行う手段を有し、
   前記開示経路管理サーバは、開示許可要求対象の個人情報について、その流通経路、開示範囲の判定を行った後、前記開示許可要求の要求元である開示元業者側装置に対して、許可ＩＤ、開示元業者側装置に関する情報、開示先業者側装置に関する情報および自身の電子署名を含む開示許可データを送信する手段を有し、
   前記開示元業者側装置は、前記開示許可データおよび自身の電子署名からなる開示経路レコードを作成して前記個人情報の持つ開示経路データに追加し、その開示経路データを開示対象の個人情報に添付して開示する手段を有し、
   前記開示経路データ付き個人情報を受け取った前記開示先業者側装置は、前記開示経路データに追加された最新の開示経路レコードに含まれる前記開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証し、検証失敗である場合は、前記開示経路データの１つ前に追加された開示経路レコードについて、前記開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証していくことを繰り返し、どの開示経路レコードまでが正当であるかを検証して開示経路レコードが不連続である部分を検出する手段を有することを特徴とする個人情報の開示経路閲覧システム。
2. 利用者より個人情報を収集し、収集した個人情報を利用範囲に基づき開示し、また、利用者に対して、収集した個人情報に基づいたサービスを行う業者側装置と、自らの個人情報を事業者に送信し、また、業者側装置より提供されるサービスを利用するユーザ側装置と、個人情報の開示を管理し、開示制御や開示経路の管理、検証を行う開示経路管理サーバとを有する個人情報の開示経路閲覧システムであって、
   前記業者側装置は、収集した個人情報を他事業者に開示する際には、前記開示経路管理サーバに開示許可要求を行い、
   前記開示経路管理サーバは、開示許可要求対象の個人情報について、その個人情報のハッシュ値からなる特徴量、および許可ＩＤ、開示元業者側装置に関する情報、開示先業者側装置に関する情報および自身の電子署名からなる開示許可データを、自身のデータベースに記録し、また、前記ユーザ側装置または前記業者側装置によって流通、管理されている個人情報について、前記ユーザ側装置または前記業者側装置の検証要請に基づき、その検証対象の個人情報に添付されている開示経路データに含まれる開示経路レコードについて、前記開示経路レコードに含まれる許可ＩＤより自身のデータベースを検索して、前記開示経路レコードと前記データベースより検出した開示許可データとの整合性を検証する第１段階の検証を行い、その後、前記開示経路データに追加された最新の開示経路レコードに含まれる開示元業者側装置の電子署名、および前記開示経路管理サーバの電子署名を検証し、検証失敗である場合は、前記開示経路データの所定数前に追加された開示経路レコードについて、前記開示元業者側装置の電子署名、および前記開示経路管理サーバの電子署名を検証していくことを繰り返し、どの開示経路レコードまでが正当であるかを検証する第２段階の検証を行い、開示経路レコードが不連続である部分を検出し、また、検証対象の個人情報と前記データベースに含まれる個人情報のハッシュ値からなる特徴量とを比較して、前記データベースより前記検証対象の個人情報に関連する開示許可データを検出し、前記第１段階の検証で検証された開示許可データ以外の開示許可データが検出された場合は、その開示許可データに含まれる開示元事業者に関する情報、開示先事業者に関する情報および自身の電子署名からなる開示許可データについて、開示元事業者および開示先事業者に開示内容の問い合わせを行う第３の検証を行い、第１段階から第３段階の検証までの検証結果を、検証要請元のユーザ側装置または業者側装置に通知することを特徴とする個人情報の開示経路閲覧システム。
3. 利用者の個人情報を開示するユーザ情報開示部と、開示された個人情報を閲覧、検証するユーザ情報取得部と、収集した個人情報を利用してサービスを行うサービス提供部と、視聴者から収集した個人情報を記録、管理するユーザ情報データベースとを有する業者側装置と、業者側装置に対して自身の個人情報を送信するユーザ情報送信部と、個人情報およびその開示経路の検証を行い、また開示経路管理サーバに個人情報の検証要請を行う開示経路要求部と、業者側装置の提供するサービスを利用するサービス利用部と、自身の個人情報を登録する個人情報データベースとを有するユーザ側装置と、開示許可要求に対して許可ＩＤを発行し、開示許可データを作成する許可ＩＤ発行部と、個人情報について、開示経路の検証、不正者の検出を行う開示経路検証部と、前記作成した開示許可データを記録する開示許可データベースとを有する開示経路管理サーバとを備えた個人情報の開示経路閲覧システムの開示経路検証方法であって、
   前記開示経路管理サーバの前記許可ＩＤ発行部により、
   業者側装置より開示許可要求のあった個人情報について、前記開示許可データベースに記録された開示許可データ、および個人情報の利用範囲を参照して、開示可否の判定を行う開示許可判定ステップと、
   前記開示許可要求に対する許可ＩＤを作成する許可ＩＤ作成ステップと、
   前記開示許可要求に対する自身の電子署名を作成する開示許可署名作成ステップと、
   前記許可ＩＤ、開示元事業者に関する情報、開示先事業者に関する情報および自身の電子署名を含む開示許可データ作成し、開示許可要求の要求元に送信する開示許可データ送信ステップとを実行し、
   前記開示経路管理サーバの前記開示経路検証部により、
   前記開示経路データに含まれる開示経路レコードの開示元業者側装置の電子署名、および開示経路管理サーバの電子署名を検証し、前記開示経路データに含まれる開示経路レコードについて、その前後の繋がりから開示経路を検証する開示経路検証ステップと、
   検証対象の個人情報のハッシュ値による特徴量から前記開示許可データベースを検索し、検証対象の個人情報に関係する開示許可データを検出する開示許可データベース検索ステップと、
   前記検出した開示許可データに含まれる開示元に関する情報および開示先に関する情報より、業者側装置に対して、前記検証対象の個人情報に関する開示内容の提出を要請する開示経路情報要求ステップとを実行することを特徴とする個人情報の開示経路閲覧システムの開示経路検証方法。
4. 請求項３記載の個人情報の開示経路閲覧システムの開示経路検証方法において、
   前記業者側装置の前記ユーザ情報開示部により、
   開示経路管理サーバに開示許可要求を行う開示許可要求データ作成ステップと、
   開示経路管理サーバより受け取った開示許可データを基に開示経路データを作成する開示経路データ作成ステップと、
   前記作成した開示経路データを添付したユーザ情報を開示先装置に送信するユーザ情報送信ステップとを実行し、
   前記業者側装置の前記ユーザ情報取得部により、
   前記開示経路データに含まれる開示経路レコードの開示元業者側装置の電子署名を検証する開示元検証ステップと、
   前記開示経路データに含まれる開示経路レコードの開示経路管理サーバの電子署名を検証する開示許可ＩＤ検証ステップと、
   ユーザ情報に付与されているユーザ側装置の電子署名を検証するユーザ情報検証ステップと、
   前記開示経路データに含まれる開示経路レコードについて、その前後の繋がりから開示経路を検証する開示経路検証ステップと、
   受信したユーザ情報を自身のデータベースに記録するユーザ情報記録ステップとを実行することを特徴とする個人情報の開示経路閲覧システムの開示経路検証方法。
5. 請求項３または４記載の個人情報の開示経路閲覧システムの開示経路検証方法において、
   前記ユーザ側装置の前記ユーザ情報送信部により、
   前記業者側装置に提供するユーザ情報を自身の個人情報データベースから取得するユーザ情報ファイル作成ステップと、
   前記取得したユーザ情報に対して、電子署名を作成する署名作成ステップと、
   前記取得したユーザ情報および電子署名からなるユーザ情報ファイルを業者側装置に送信するユーザ情報送信ステップとを実行し、
   前記ユーザ側装置の前記開示経路要求部により、
   前記開示経路管理サーバに対して、検証依頼するユーザ情報ファイルを送信して、検証要請を行う検証要求送信ステップを実行することを特徴とする個人情報の開示経路閲覧システムの開示経路検証方法。
6. 個人情報の開示を管理し、開示制御や開示経路の管理、検証を行う開示経路管理サーバであって、
   利用者より個人情報を収集し、収集した個人情報を利用範囲に基づき開示し、また、利用者に対して、収集した個人情報に基づいたサービスを行う業者側装置から、収集した個人情報を他事業者に開示する際に送信された開示許可要求を受信し、
   開示許可要求対象の個人情報について、その個人情報のハッシュ値からなる特徴量、および許可ＩＤ、開示元業者側装置に関する情報、開示先業者側装置に関する情報および自身の電子署名からなる開示許可データを、自身のデータベースに記録し、また、ユーザ側装置または前記業者側装置によって流通、管理されている個人情報について、前記ユーザ側装置または前記業者側装置の検証要請に基づき、その検証対象の個人情報に添付されている開示経路データに含まれる開示経路レコードについて、前記開示経路レコードに含まれる許可ＩＤより自身のデータベースを検索して、前記開示経路レコードと前記データベースより検出した開示許可データとの整合性を検証する第１段階の検証を行い、その後、前記開示経路データに追加された最新の開示経路レコードに含まれる開示元業者側装置の電子署名、および前記開示経路管理サーバの電子署名を検証し、検証失敗である場合は、前記開示経路データの所定数前に追加された開示経路レコードについて、前記開示元業者側装置の電子署名、および前記開示経路管理サーバの電子署名を検証していくことを繰り返し、どの開示経路レコードまでが正当であるかを検証する第２段階の検証を行い、開示経路レコードが不連続である部分を検出し、また、検証対象の個人情報と前記データベースに含まれる個人情報のハッシュ値からなる特徴量とを比較して、前記データベースより前記検証対象の個人情報に関連する開示許可データを検出し、前記第１段階の検証で検証された開示許可データ以外の開示許可データが検出された場合は、その開示許可データに含まれる開示元事業者に関する情報、開示先事業者に関する情報および自身の電子署名からなる開示許可データについて、開示元事業者および開示先事業者に開示内容の問い合わせを行う第３の検証を行い、第１段階から第３段階の検証までの検証結果を、検証要請元のユーザ側装置または業者側装置に通知することを特徴とする開示経路管理サーバ。

Images