JP4832934B2 - 個人情報解析装置及びハードウエアキー装置 - Google Patents

Description

本発明は、個人情報を含むデータを解析する技術に関する。

遺伝子を用いたオーダーメイド医療は、患者の遺伝子型に応じて有効な薬剤投与・治療を行うものである。そのため、多くの患者の薬剤応答性等のデータを蓄積し、当該データについて、遺伝子型毎の薬剤有効性等を解析する必要がある。患者のデータを登録する際は、必ず本人の同意を取ることになっている(インフオームドコンセント)。

そして、登録された患者のデータ（即ち、個人情報）は複数の研究機関に配布され、複数のコンピュータのデータベース（ＤＢ）に格納され、適宜解析される。

一方、一旦同意した患者は、随時、同意の撤回が可能である。この場合、該患者の同意が撤回されたことを、各研究機関の各コンピュータに通知し、各ＤＢから該患者の個人情報を削除・更新し、全ＤＢのデータを同期する必要がある。

仮に、解析用の各コンピュータがネットワークに接続されている場合には、例えば、特許文献１に開示されているような手法で、容易に各ＤＢを更新させることが可能である。

しかしながら、個人情報はきわめて秘密性の高いものであり、セキュリティ保護策として、個人情報の配布も更新もネットワークを介さない方法を取ることが望ましい。そこで、患者の個人情報に関しては、ネットワークを介さずに、記録媒体に記録して配布している。

また、個人情報の漏洩等を防ぐ為には、配布方法の制限だけでなく、ＤＢへのアクセスを制限する必要がある。このために、アクセス許可用の担体(IDカード等)を用いる方法が考えられるが、IDカード紛失による個人情報漏洩のリスクがある。また、配布先において個人情報の複製やその流用等が行われると、同意している患者の個人情報保護の観点からも、同意を撤回した患者の個人情報の削除という観点からも好ましくない。従って、何らかの制限を行う必要がある。
特開２００１−２１６１８６号公報

本発明は、上記実情に鑑みてなされたものであり、個人情報が漏洩する危険が少なく、安全に個人情報を含むデータを解析できる個人情報解析装置を提供することを目的とする。
また、本発明は、同意を撤回した患者の個人情報へのアクセスを適切に防止できるハードウェアキー装置を提供することを他の目的とする。

上記目的を達成するため、本発明の第１の観点に係る個人情報解析装置は、
個人を特定可能な個人識別情報を含み、解析することに同意がなされた個人の個人情報を記憶する個人情報記憶手段と前記個人情報は複数の項目を含み、前記個人情報の項目のうち特定の項目を記憶する項目記憶手段とを備え、提供された解析対象情報を解析するスタンドアロン型の解析手段と、
前記解析手段に着脱可能に接続され、前記個人情報記憶手段に記憶された個人情報に基づいて前記解析対象情報を生成して前記解析手段に提供するハードウエアキー手段と、
を備え、
前記ハードウエアキー手段は、
前記解析することの同意が撤回された個人の前記個人識別情報を、所定の端末から取得する個人識別情報取得手段と、
前記解析手段に接続されたことに応答して、前記個人識別情報取得手段で取得した個人識別情報により特定される前記個人情報を前記個人情報記憶手段から削除する個人情報削除手段と、
前記個人情報削除手段による削除後に前記個人情報記憶手段に記憶されている前記個人情報を取得する個人情報取得手段と、
前記個人情報取得手段で取得した前記個人情報から、前記項目記憶手段に記憶されている項目に基づいて前記特定の項目の情報を削除することにより前記解析対象情報を生成する解析対象情報生成手段と、
前記解析対象情報生成手段で生成した前記解析対象情報を前記解析手段に解析のために提供する情報提供手段と、
を備えることを特徴とする。

また、前記個人情報記憶手段は、前記個人情報を、所定の暗号化方式で暗号化して記憶しており、
前記ハードウエアキー手段は、前記個人情報を復号化するための情報を格納する、
ことを特徴としてもよい。
また、前記個人識別情報取得手段は、
前記解析することの同意が撤回された個人の前記個人識別情報を取得した日付を記憶する個人識別情報日付記憶手段を備え、
前記個人情報削除手段は、
前記個人情報を前記個人情報記憶手段から削除した日付を記憶する削除日付記憶手段を備え、
前記個人識別情報日付記憶手段で記憶した日付が前記削除日付記憶手段で記憶した日付よりも後であった場合に、前記個人識別情報取得手段で記憶した個人識別情報により特定される前記個人情報を前記個人情報記憶手段から削除する、
ことを特徴としてもよい。

さらに、前記個人情報削除手段は、
前記個人識別情報日付記憶手段で記憶した日付が前記削除日付記憶手段で記憶した日付よりも前であった場合に、前記個人識別情報日付記憶手段で記憶した日付が予め定められた有効期限内であるか否かを判定する有効期限判定手段を備え、
前記有効期限判定手段で有効期限内でないと判定された場合、前記個人識別情報記憶手段へのアクセスを行わない、
ことを特徴としてもよい。

さらに、前記個人識別情報取得手段は、前記個人情報記憶手段に個人情報が記憶されている個人であって、前記解析することの同意を撤回した個人の個人識別情報をダウンロードするためのダウンロード用端末に着脱可能に装着され、該ダウンロード用端末に装着されることにより、前記同意を撤回した個人の個人識別情報を取得する、
ことを特徴としてもよい。

上記目的を達成するため、本発明の第２の観点に係るハードウェアキー装置は、
個人を特定可能な個人識別情報を含み、解析することに同意がなされた個人の個人情報を記憶する個人情報記憶手段と前記個人情報は複数の項目を含み、前記個人情報の項目のうち特定の項目を記憶する項目記憶手段とを含む解析手段または前記解析することの同意が撤回された個人の前記個人識別情報が登録されるダウンロード端末に着脱可能に装着されるコネクタと、
前記ダウンロード端末に前記コネクタを介して接続されたことに応答して前記解析することの同意が撤回された個人の前記個人識別情報を取得する個人識別情報取得手段と、
前記個人識別情報取得手段で取得した前記個人識別情報で特定される個人情報を、前記個人情報記憶手段から削除する個人情報削除手段と、
前記個人情報削除手段による削除後に前記個人情報記憶手段に記憶されている前記個人情報を取得する個人情報取得手段と、
前記個人情報取得手段で取得した前記個人情報から、前記項目記憶手段に記憶されている項目に基づいて前記特定の項目の情報を削除することにより解析対象情報を生成する解析対象情報生成手段と、
前記解析対象情報生成手段で生成した前記解析対象情報を前記解析手段に解析のために提供する情報提供手段と、
を備えることを特徴とする。

本発明によれば、個人情報を含むデータを解析する場合の個人情報が漏洩する危険性を小さくすることができる。また、個人情報を含むデータの個人情報を不当に複製され、または流用等される危険性を小さくすることができる。さらに、個人情報を含むデータへのアクセスを適切に防止できる。

以下、この発明の実施の形態に係るハードウエアキー装置の処理概要を説明する。

本実施の形態に係るハードウエアキー装置は、図１に示すように、病院等の医療機関Ｈに設置される入力端末１と、医師会等の医療研究機関Ａに設置されるダウンロード端末２と、解析端末３と、解析端末３に格納される個人情報ファイル４と、サーバ装置５と、ドングル６と、通信ネットワークＮ１と、から構成される。尚、本実施形態ではハードウェアキー装置として、ドングルを例に記載しているが、同じ機能をもつ装置であれば、ドングルでなくても構わない。

入力端末１は、ネットワーク通信機能を有するパーソナルコンピュータ等の情報処理装置である。この入力端末１は、図１に示す医療機関Ｈに設置され、個人情報を含むデータの登録に同意した後、その撤回の意思表示がされた患者の患者ＩＤを入力するための装置である。この入力端末１は、物理的には、図２に示すとおり通信装置１１と、制御装置１２と、入力装置１３と、記憶装置１４とから構成される。

ダウンロード端末２は、ネットワーク通信機能を有するパーソナルコンピュータ等の情報処理装置から構成され、図１に示す医療研究機関Ａに設置される。このダウンロード端末２は、後述するサーバ装置５に記憶された患者ＩＤを取得し、ドングル６にその患者ＩＤを記憶させるための装置である。このダウンロード端末２は、物理的には、図３に示すとおりコネクタ２０と、通信装置２１と、制御装置２２と、記憶装置２３とから構成される。

図１に示す解析端末３は、スタンドアロン環境にあるパーソナルコンピュータ等の情報処理装置である。この解析端末３は、図１に示す医療研究機関Ａの関係者が、後述する個人情報ファイル４に記憶されたプライバシー情報を用いて、薬剤応答性等オーダーメイド医療に必要なデータの解析をするための装置である。この解析端末３は、物理的には、図４に示すとおりコネクタ３０と、通信装置３１と、制御装置３２と、記憶装置３３と、入力装置３４と、表示装置３５とから構成される。さらに記憶装置３３は、データ登録に同意した患者についての個人情報を格納する個人情報ファイル４を記憶する。

図１に示す個人情報ファイル４は、データベース等から構成される個人情報を蓄積するためのファイルである。この個人情報ファイル４には、図９に示すように、データ登録に同意した患者に関する個人レコード９が格納される。この個人レコード９は、例えばＲＳＡ等の公開鍵を用いた暗号化技術により暗号化されている。そして、図１に示す医療研究機関Ａの関係者は、前述の解析端末３を用いて、この個人情報ファイル４にアクセスする。なお個人情報とは、患者の氏名、生年月日、住所、職業、電話番号、メールアドレス等の個人に関する情報（以下、個人特定情報とする）だけでなく、既往歴、遺伝子情報、薬剤応答性、血圧等の情報（以下、プライバシー情報とする）を含む情報である。

図１に示すサーバ装置５は、ネットワーク通信機能を有するサーバコンピュータ等の情報処理装置である。このサーバ装置５は、図１に示す医療機関Ｈの入力端末１から送信された患者ＩＤを記憶し、その患者ＩＤを受信した日付（以下、登録日付とする）を、患者ＩＤに紐付けして記憶する装置である。このサーバ装置５は、物理的には図５に示すとおり、通信装置５１と、制御装置５２と、記憶装置５３とから構成される。

図１に示すドングル６は、データの不正コピー等を防止するためのハードウェアキー装置でり、物理的には図６に示すようにコネクタ６０と、制御装置６１と、記憶装置６２とから構成される。このドングル６は、ダウンロード端末２を介してサーバ装置５からダウンロードした患者ＩＤを格納して、その患者ＩＤと同じ患者ＩＤをもつ個人レコード９を個人情報ファイル４から削除する。さらに、個人レコード９に含まれる個人特定情報を削除して解析用のデータを生成する。

図６に示すコネクタ６０は、ドングル６の取り付け口であり、例えば、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）などのポートから構成される。

制御装置６１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：中央演算処理装置）やワークエリアとなるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などから構成され、後述する各ステップの動作を実行する。

記憶装置６２は、内蔵ハードディスク装置等から構成され、制御装置６１の処理プログラムやサーバ装置５からダウンロードした患者ＩＤ、登録日付、さらにこれらをダウンロードした日付（以下、ダウンロード日付とする）、その患者ＩＤをもつ個人レコード９を個人情報ファイル４から削除した日付（以下、削除日付とする）、個人情報ファイル４の個人レコード９が解析可能な期限（以下、有効期限とする）等、各種データを保管する。

通信ネットワークＮ１は、例えば、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）などといった所定の通信プログラムに基づいてデータ伝送をおこなうネットワークであり、例えばＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の広域通信網である。通信ネットワークＮ１は、入力端末１と、ダウンロード端末２と、サーバ装置５との間のデータ通信を媒介する。

図６に示す構成のドングル６は、機能的には、図７に示すように撤回レコード削除部６０１と、解析レコード加工部６０２とから構成される。

撤回レコード削除部６０１は、ドングル６がダウンロード端末２にセットされると、図８（ａ）に示すようにサーバ装置５に登録された患者ＩＤと、登録日付とをダウンロードする。その後、撤回レコード削除部６０１は、その患者ＩＤと登録日付と、これらのダウンロード日付を記憶装置６２に記憶する。このダウンロード日付は、患者ＩＤや登録日付と紐付けして記憶するのではなく、図８（ｂ）に示すように、ダウンロードした複数の患者ＩＤ、登録日付に対して１つの日付が記憶される。

また、撤回レコード削除部６０１は、ドングル６が解析端末３にセットされると、まず記憶装置６２に記憶された削除日付とダウンロード日付とを比べ、ダウンロード日付が後であれば個人情報ファイル４を全件取得する。そして、個人情報ファイル４の個人レコード９を復号化した後、サーバ装置５からダウンロードした患者ＩＤと同じ患者ＩＤをもつ個人レコード９を削除して、削除後の個人情報ファイル４を、後述する解析レコード加工部６０２に引き渡す。
一方、ダウンロード日付が前であれば、その旨後述する解析レコード加工部６０２に通知する。

解析レコード加工部６０２は、ダウンロード日付の方が前である通知を受けた場合、さらにその日付が有効期限内か否かを判断する。この有効期限は、ダウンロード日付から一定の期間のみ個人情報ファイル４の個人レコード９の解析を可能とする日付である。

そして解析レコード加工部６０２は、ダウンロード日付が有効期限内にあるときは、個人情報ファイル４を解析装置３から全件取得し、個人レコード９を復号化して記憶装置６２に記憶する。

一方、解析レコード加工部６０２は、ダウンロード日付が有効期限外であるときは、解析装置３の表示装置３５に、あらためて最新の患者ＩＤをダウンロードすることを促す旨の表示をする。

そして、解析レコード加工部６０２は、これら処理で復号化された個人情報ファイル４の個人レコード９に含まれる個人特定情報を削除した後、解析用データを生成して解析装置３に送る。

これらの処理を行うことにより、登録の同意を撤回した患者以外の個人レコード９であって、その個人レコード９のプライバシー情報のみが、解析装置３に提供される。このプライバシー情報に該当するデータ（項目）は、あらかじめ図１０に示すように解析装置３の記憶装置３３に記憶されており、解析レコード加工部６０２は、この項目を参照して、図９に示す個人レコード９から、図１１に示す解析用データを生成する。

続いて、ドングル６の処理の動作について、図１２〜図１６を参照して説明する。ドングル６の処理は、図１２に示す患者ＩＤ入力処理と、図１３に示す患者ＩＤ登録処理と、図１４に示すダウンロード処理と、図１５に示すレコード削除処理と、図１６に示す解析データ生成処理と、から構成される。

前提として、医療機関Ｈの関係者は、患者ＩＤ「００１」の患者から「０６／０２／１５」に、患者ＩＤ「００５」の患者から「０６／０２／１４」に、個人情報を個人情報ファイル４へ登録することの同意を撤回する意思表示を受け、図１に示す入力端末１に、その患者の患者ＩＤ「００１」、「００５」を入力したとする。
さらに、ドングル６の記憶装置６２には、個人レコード９の解析は患者ＩＤをダウンロードしてから「３０日以内」という有効期限が設定されているとする。
このような前提のもと、入力端末１の制御装置１２は、入力装置１３に患者ＩＤが入力されたことを検知し、図１２に示す患者ＩＤ入力処理を開始する。

制御装置１２は、入力装置１３に入力された患者ＩＤを読み取って、記憶装置１４に記憶する（ステップＳ１０）。次に、あらかじめ記憶装置１４に記憶されたサーバ装置５のＩＰアドレス等の位置情報を読み取り、そのＩＰアドレスのサーバ装置５に、その患者ＩＤを、通信装置１１を介して送信する（ステップＳ１１）。このステップが終了すると、入力装置１で行う処理は終了し、図１３に示すサーバ装置５が行う患者ＩＤ登録処理に進む。この処理が行われることにより、患者ＩＤ「００１」が「０６／０２／１５」に、「００５」については「０６／０２／１４」に、後述するサーバ装置５に送信される。

サーバ装置５の制御装置５２は、入力端末１から送信された患者ＩＤを、通信装置５１を介して記憶装置５３に記憶する（ステップＳ２０）。このステップＳ２０の処理は、タイマー起動等の方法で制御装置５２に格納されるプログラムを定期的に起動させることにより開始する。
その後、制御装置５２は、患者ＩＤを受信した日付（すなわち登録日付）を患者ＩＤと紐付けして記憶する（ステップＳ２１）。例えば、患者ＩＤ「００１」を受信し、その受信日が「０６／０２／１５」であったとすると、図８（ａ）に示すように患者ＩＤと、登録日付とが記憶される。これと同様に、「０６／０２／１４」に受信した患者ＩＤ「００５」についても図８（ａ）に示すように、患者ＩＤと、登録日付とが１つのファイルに記憶される。
このような処理が行われることにより、複数の患者ＩＤがサーバ装置５に蓄積される。そして、これらの処理が終了すると、患者ＩＤ登録処理は終了し、ドングル６の全体の処理も一旦終了する。

一方、図１に示す医療研究機関Ａの研究者は、同意を撤回した患者のＩＤをサーバ装置５から取得するために、ダウンロード端末２のコネクタ２０にドングル６をセットする。そしてドングル６がダウンロード端末２にセットされると、ダウンロード端末２は図１４に示すダウンロード処理を開始する。このダウンロード処理が開始されることで、ドングル６の全体の処理も再開する。

ダウンロード端末２の制御装置２２は、ドングル６がコネクタ２０にセットされたことを検知すると、あらかじめ記憶装置２３に記憶されたサーバ装置５のＩＰアドレス等の位置情報を参照し、その位置情報をもつサーバ装置５にアクセスする（ステップＳ３０）。そして、サーバ装置５へのアクセスが完了すると、サーバ装置５の記憶装置５３の患者ＩＤを記憶したファイルをダウンロードして、ドングル６の記憶装置６２に記憶する（ステップＳ３１）。

次に制御装置２２は、患者ＩＤをダウンロードした日付「０６／０２／２８」を、図８（ｂ）に示すように、ダウンロードした患者ＩＤとは別に記憶する（ステップＳ３２）。そして、これらの処理が終了すると、ダウンロード処理は終了し、ドングル６の全体の処理も一旦終了する。

図１に示す医療研究機関Ａの研究者は、ダウンロード端末２のコネクタ２０からドングル６を取り外し、解析端末３のコネクタ３０にドングル６をセットする。そして、この操作をした日付が「０６／０３／０３」であったとする。
ドングル６は、解析端末３のコネクタ３０にセットされると、図１５に示すレコード削除処理を開始する。この処理が開始されることにより、ドングル６の全体の処理が再開する。

ドングル６の制御装置６１は、解析端末３のコネクタ３０に、ドングル６のコネクタ６０がセットされたことを検知すると、記憶装置６２に記憶される削除日付と、ステップＳ３１で記憶したダウンロード日付とを比べ、ダウンロード日付の方が後か否かを判断する（ステップＳ４０）。この削除日付は、個人情報ファイル４の中の個人レコード９のうち、同意を撤回した患者の患者ＩＤをもつ個人レコード９を過去に削除した日付であり、初めてこのステップの処理を行うときは初期値「００００００」が設定されている。従って、ステップＳ３１で記憶したダウンロード日付が「０６０２１８」であるとすると、制御装置６１は、削除日付よりダウンロード日付が後であると判断する。

そして制御装置６１は、ステップＳ４０でダウンロード日付が後であると判断すると（ステップＳ４０；Ｙｅｓ）、コネクタ６０およびコネクタ３０を介して、個人情報ファイル４に格納される個人レコード９を全件取得して記憶装置６２に記憶する（ステップＳ４１）。その後、制御装置６１は、ステップＳ３１で記憶した個人レコード９を、ＲＳＡ等の公知の暗号化技術により復号化する（ステップＳ４２）。

さらに制御装置６１は、ドングル６の記憶装置６２に記憶された患者ＩＤを読み取り、その患者ＩＤと同じ患者ＩＤを持つ個人レコード９を特定して削除すると共に、削除した日付を記憶する（ステップＳ４３）。例えば、ステップＳ３１で記憶した患者ＩＤが「００１」「００５」であるとすると、図９に示す個人情報ファイル４の中の患者ＩＤ「００１」及び「００５」の個人レコード９を削除する。

一方制御装置６１は、ステップＳ４０でダウンロード日付が削除日付より前であると判断したときは（ステップＳ４０；Ｎｏ）、さらにその日付が有効期限内か否かを判断する（ステップＳ４４）。本実施例ではダウンロード日付が「０６０２２８」であり、有効期限が「３０（日）」である。従って制御装置６１は、ダウンロード日付「０６０２２８」が「３０（日）」以内であり、有効期限内であると判断する。

続いて制御装置６２は、ステップＳ４４でダウンロード日付が有効期限内と判断したときは（ステップＳ４４；Ｙｅｓ）、個人情報ファイル４に格納される個人レコード９を、コネクタ３０およびコネクタ６０を介して全件取得して、記憶装置６２に記憶する（ステップＳ４５）。そして、制御装置６１は、ＲＳＡ等の公知の暗号化技術により、個人レコード９を復号化する（ステップＳ４６）。

一方、制御装置６２は、ステップＳ４４でダウンロード日付が有効期限外と判断したときは（ステップＳ４４；Ｎｏ）、解析装置３の表示装置３５に対して、ドングル６をダウンロード端末２にセットし、新たに患者ＩＤをダウンロードすることを促すメッセージを表示する（ステップＳ４７）。この場合、個人情報ファイル４に格納される個人レコード９は取得せずに処理が終了する。そして、医療研究機関Ａの関係者は、あらためてドングル６をダウンロード端末２にセットして患者ＩＤを取得した後、ステップＳ４０の処理を行う。
そしてステップＳ４３、またはステップＳ４６、またはステップＳ４７のうちいずれか１つの処理が終了すると、レコード削除処理全体の処理が終了し、続いて解析データ生成処理に進む。

図１６に示す解析データ生成処理では、制御装置６２は、ステップＳ４３、またはステップＳ４６で復号化された個人レコード９の中から個人特定情報を削除して、解析用データを生成する（ステップＳ５０）。このプライバシー情報に該当するデータ（項目）は、あらかじめ図１０に示すように記憶装置３３に登録されており、その項目名を参照することにより、個人レコード９の同じ項目名を持つ項目を削除する。そして、図１１に示す解析データを生成する。

その後制御装置６１は、ステップＳ５０で生成した解析用データを、コネクタ６０、およびコネクタ３０を介して、解析装置３の記憶装置３３に送る（ステップＳ５１）。このステップＳ５１の処理が終了すると、解析データ生成処理が終了する。そして、解析データ生成処理が終了すると、ドングル６についての全ての処理が終了する。

以上に説明したように、図１に示す医療機関Ｈで同意撤回の意思表示がされてから、その患者の個人レコード９を削除するまでの間、ドングル６に記憶した患者ＩＤのみを媒介にして各処理が行われる。従って、例えばドングル６が盗難にあった場合等でも患者の個人情報が漏洩することがない。また、ドングル６を解析端末３にセットすると、自動的に登録の同意を撤回した患者の個人情報は、個人情報ファイル４から削除され、ドングル６を用いてのみ復号化される。従って、個人情報ファイル４へのアクセスが適切に制限されるとともに、同意撤回した患者のプライバシー情報が漏洩し、その情報が悪用されることもない。

尚、上記実施の形態は一例であり、本発明の適用範囲はこれに限られない。すなわち、種々の応用が可能であり、あらゆる実施の形態が本発明の範囲に含まれる。

例えば、上記実施例では、図１に示すように、入力端末１と、ダウンロード端末２と、サーバ装置５とが通信ネットワークＮ１を介して接続されているが、例えば、入力端末１と、解析端末３のみを用いて、これら端末にドングル６をセットすることにより、同意を撤回した患者の患者ＩＤの受け渡しを行ってもよい。具体例として、医療研究機関Ａの関係者が、ドングル６を受け取って解析装置３にセットしたときの状態を図１７に示す。

図１７に示す入力端末１は、図２に示す各装置の他、さらにコネクタ１０を備える。そして入力端末１は、コネクタ１０を介してドングル６に同意を撤回した患者の患者ＩＤを記憶する。
その後、図１７に示す医療機関Ｈの関係者は、患者ＩＤを記憶したドングル６を、例えば郵便等の配送ルートＲ１を介して、ドングル６を医療研究機関Ａに送る。

ドングル６を受け取った医療研究機関Ａの関係者は、そのドングル６を解析端末３にセットし、同意を撤回した患者の患者ＩＤを含む個人レコード９を個人情報ファイル４から削除する等の処理を行う。

具体的には、図１７に示す医療機関Ｈの関係者は、患者から同意を撤回する意思表示を受け付けると、ドングル６を入力端末１のコネクタ１０にセットする。そして関係者は、その患者の患者ＩＤを、入力装置１３に入力する。この入力された患者ＩＤを制御装置１２が検知すると、図１８に示す患者ＩＤ取得処理を開始する。

ドングル６の制御装置６２は、入力装置１３に入力された患者ＩＤを読み取って、記憶装置６２に記憶する（ステップＳ１００）。そして、患者ＩＤを記憶した日付（登録日付）を記憶する（ステップＳ１０１）。ここまでの処理が終了すると、図１の医療機関Ｈの関係者が行う処理が終了する。そして、医療機関Ｈの関係者は、ドングル６をコネクタ１０から取り外し、配送ルートＲ１を介して医療研究機関Ａに送る。

そして、医療研究機関Ａの関係者は、配送されたドングル６を受取り、解析装置３のコネクタ３０にセットする。ドングル６の制御装置６１は、コネクタ３０にセットされたことを検知すると、図１９に示す削除準備処理を開始する。

制御装置６１は、コネクタ６０が、コネクタ３０にセットされると、その日付を記憶装置６２に記憶する（ステップＳ２００）。具体的には、あらかじめドングル６が備えるクロックから日付情報（以下、装着日付とする）を取得して、記憶装置６２に記憶する。この装着日付は、ダウンロード日付と同様に、複数の患者ＩＤ、登録日付について１つ付与される日付である。

このステップＳ２００を行った後は、図１５に示すレコード削除処理を「ダウンロード日付」を「装着日付」に読み替えて実行し、さらに図１６に示す解析レコード生成処理を行う。これらの処理を行うことにより、ネットワークＮ１を用いて行った処理と同じ内容の解析用データを生成することができる。

また、これまで説明した実施例では、プライバシー情報となる項目をあらかじめ解析装置３に記憶させることとしているが、患者ＩＤと同様にサーバ装置３を用いてその項目を共有し、患者ＩＤ等と共に、その項目をダウンロードして処理を行うこととしてもよい。この場合、解析装置３から、プライバシー情報となる項目を読み取る必要が無くなるため、解析装置３が行う解析用データを生成するまでの処理時間を減らすことができる。

さらに上記実施例では、プライバシー情報として解析装置３に記憶されている項目を、個人レコード９から一律削除することとしているが、例えば個人情報に該当する箇所を「●」等の記号で塗りつぶす等のマスキング処理を施して解析用データを生成する等しても良い。

尚、入力端末１、ダウンロード端末２、解析端末３、サーバ装置５、個人情報ファイル４、ドングル６の物理的構成等は、同様の機能構成が得られるならば任意に変更可能である。

本発明の実施の形態に係るドングルを用いるシステム構成を模式的に示す図である。 図１に示す入力端末の構成を示すブロック図である。 図１に示すダウンロード端末の構成を示すブロック図である。 図１に示す解析端末の構成を示すブロック図である。 図１に示すサーバ装置の構成を示すブロック図である。 図１に示すドングルの構成を示すブロック図である。 図６に示すドングルの機能の構成を示すブロック図である。 図１に示すサーバ装置に記憶される患者ＩＤのイメージ図（ａ）、及びその患者ＩＤをダウンロードしたときのドングルの状態を示すイメージ図（ｂ）である。 図１に示す個人情報ファイルに格納される個人レコードのイメージ図である。 解析装置に記憶されるプライバシー情報（項目）のイメージ図である。 生成された解析用データを示すイメージ図である。 本発明の実施の形態に係る患者ＩＤ入力処理の処理動作を説明するためのフローチャートである。 本発明の実施の形態に係る患者ＩＤ登録処理の処理動作を説明するためのフローチャートである。 本発明の実施の形態に係るダウンロード処理の処理動作を説明するためのフローチャートである。 本発明の実施の形態に係るレコード削除処理の処理動作を説明するためのフローチャートである。 本発明の実施の形態に係る解析データ生成処理の処理動作を説明するためのフローチャートである。 本発明の実施の形態に係るドングルを用いる他の実施形態に係るシステム構成を模式的に示す図である。 図１７に示す他の実施の形態に係るシステム構成で処理する患者ＩＤ取得処理の処理動作を説明するためのフローチャートである。 図１７に示す他の実施の形態に係るシステム構成で処理する削除準備処理の処理動作を説明するためのフローチャートである。

符号の説明

１ 入力端末
１１ 入力端末の通信装置
１２ 入力端末の制御装置
１３ 入力端末の入力装置
１４ 入力端末の記憶装置
２ ダウンロード端末
２０ ダウンロード端末のコネクタ
２１ ダウンロード端末の通信装置
２２ ダウンロード端末の制御装置
２３ ダウンロード端末の記憶装置
３ 解析端末
３０ 解析端末のコネクタ
３１ 解析端末の通信装置
３２ 解析端末の制御装置
３３ 解析端末の記憶装置
３４ 解析端末の入力装置
３５ 解析端末の表示装置
４ 個人情報ファイル
５ サーバ装置
５１ サーバ装置の通信装置
５２ サーバ装置の制御装置
５３ サーバ装置の記憶装置
６ ドングル
６０ ドングルのコネクタ
６１ ドングルの制御装置
６２ ドングルの記憶装置
９ 個人レコード
Ｎ１ 通信ネットワーク
Ｈ 医療機関
Ａ 医療研究機関

Claims (6)

1. 個人を特定可能な個人識別情報を含み、解析することに同意がなされた個人の個人情報を記憶する個人情報記憶手段と前記個人情報は複数の項目を含み、前記個人情報の項目のうち特定の項目を記憶する項目記憶手段とを備え、提供された解析対象情報を解析するスタンドアロン型の解析手段と、
   前記解析手段に着脱可能に接続され、前記個人情報記憶手段に記憶された個人情報に基づいて前記解析対象情報を生成して前記解析手段に提供するハードウエアキー手段と、
   を備え、
   前記ハードウエアキー手段は、
   前記解析することの同意が撤回された個人の前記個人識別情報を、所定の端末から取得する個人識別情報取得手段と、
   前記解析手段に接続されたことに応答して、前記個人識別情報取得手段で取得した個人識別情報により特定される前記個人情報を前記個人情報記憶手段から削除する個人情報削除手段と、
   前記個人情報削除手段による削除後に前記個人情報記憶手段に記憶されている前記個人情報を取得する個人情報取得手段と、
   前記個人情報取得手段で取得した前記個人情報から、前記項目記憶手段に記憶されている項目に基づいて前記特定の項目の情報を削除することにより前記解析対象情報を生成する解析対象情報生成手段と、
   前記解析対象情報生成手段で生成した前記解析対象情報を前記解析手段に解析のために提供する情報提供手段と、
   を備えることを特徴とする個人情報解析装置。
2. 前記個人情報記憶手段は、前記個人情報を、所定の暗号化方式で暗号化して記憶しており、
   前記ハードウエアキー手段は、前記個人情報を復合化するための情報を格納する、
   ことを特徴とする請求項１に記載の個人情報解析装置。
3. 前記個人識別情報取得手段は、
   前記解析することの同意が撤回された個人の前記個人識別情報を取得した日付を記憶する個人識別情報日付記憶手段を備え、
   前記個人情報削除手段は、
   前記個人情報を前記個人情報記憶手段から削除した日付を記憶する削除日付記憶手段を備え、
   前記個人識別情報日付記憶手段で記憶した日付が前記削除日付記憶手段で記憶した日付よりも後であった場合に、前記個人識別情報取得手段で記憶した個人識別情報により特定される前記個人情報を前記個人情報記憶手段から削除する、
   ことを特徴とする請求項１または２に記載の個人情報解析装置。
4. 前記個人情報削除手段は、
   前記個人識別情報日付記憶手段で記憶した日付が前記削除日付記憶手段で記憶した日付よりも前であった場合に、前記個人識別情報日付記憶手段で記憶した日付が予め定められた有効期限内であるか否かを判定する有効期限判定手段を備え、
   前記有効期限判定手段で有効期限内でないと判定された場合、前記個人識別情報記憶手段へのアクセスを行わない、
   ことを特徴とする請求項３に記載の個人情報解析装置。
5. 前記個人識別情報取得手段は、前記個人情報記憶手段に個人情報が記憶されている個人であって、前記解析することの同意を撤回した個人の個人識別情報をダウンロードするためのダウンロード用端末に着脱可能に装着され、該ダウンロード用端末に装着されることにより、前記同意を撤回した個人の個人識別情報を取得する、
   ことを特徴とする請求項４に記載の個人情報解析装置。
6. 個人を特定可能な個人識別情報を含み、解析することに同意がなされた個人の個人情報を記憶する個人情報記憶手段と前記個人情報は複数の項目を含み、前記個人情報の項目のうち特定の項目を記憶する項目記憶手段とを含む解析手段または前記解析することの同意が撤回された個人の前記個人識別情報が登録されるダウンロード端末に着脱可能に装着されるコネクタと、
   前記ダウンロード端末に前記コネクタを介して接続されたことに応答して前記解析することの同意が撤回された個人の前記個人識別情報を取得する個人識別情報取得手段と、
   前記個人識別情報取得手段で取得した前記個人識別情報で特定される個人情報を、前記個人情報記憶手段から削除する個人情報削除手段と、
   前記個人情報削除手段による削除後に前記個人情報記憶手段に記憶されている前記個人情報を取得する個人情報取得手段と、
   前記個人情報取得手段で取得した前記個人情報から、前記項目記憶手段に記憶されている項目に基づいて前記特定の項目の情報を削除することにより解析対象情報を生成する解析対象情報生成手段と、
   前記解析対象情報生成手段で生成した前記解析対象情報を前記解析手段に解析のために提供する情報提供手段と、
   を備えることを特徴とするハードウエアキー装置。

Images