JP5267027B2 - 個人情報システム - Google Patents

Description

本発明は、利用者の同意に基づく個人情報の提供を行う個人情報管理技術に関する。

携帯電話や個人使用パソコンを用いて、各種サービスを利用する場合には、氏名から始まり、住所、電話番号、メールアドレス、年齢など様々な個人情報を入力する場面がある。しかし、それらの情報を各種サービスに与えた場合、それらの情報を誰がどのような目的に対して利用するか、また、利用して良いのか、本人が制御することは難しい。

例えば、インターネットショッピングにおいて、本を購入するとする。利用者は、書店Aのオンラインサイトにおいて、自分の個人情報を入力する。しかし、それらの情報は配送業者Bや、決済業者Cに対しても送付され、利用者はどの情報がどの業者にわたるのか、制御することができない。また、利用者が書店Aのダイレクトメールを嫌って、連絡先の情報を入力しなかった場合、配送業者Bは、利用者の在宅確認をしたかっただけであっても、利用者の連絡先を知ることができない。また、書店Aにない本を書店Bに頼もうとした時に、入力する個人情報や、個人情報の開示ポリシーは、書店Aの場合とまったく同じであった場合であっても、利用者は、同様の情報を書店Bに対しても入力しなければならない。

個人情報を一元的に管理し、ユーザの個人情報公開に関するポリシーに従い、複数のサービスに対して秘匿性を維持したシングルサインオンを可能にする技術が、下記特許文献1において開示されている。

特許文献1は、個人情報を、個人情報の提供先であるサービスの公開鍵で暗号化して送付することによって、個人情報の通信路における秘匿性を維持する。当該特許では、利用者がサービスに対して公開する情報を割り当てることで、個人情報提示のポリシーを定め、ポリシーにそった個人情報の提示が可能である。
特開２００４−２６０７１６号公報

しかし、個人情報管理の上記従来技術は、個人情報の配布先を本人が確認・制御することができないという問題点を有していた。
また、上記従来技術は、複数サービスが連携している場合に、途中のサービスにおいて不足した個人情報があっても、個別にサービス提供業者の方から利用者への個人情報の問い合わせができないという問題点を有していた。

更に、上記従来技術は、同様の個人情報を同じ端末から提供する場合であっても、別のサービスである場合には、利用者は毎回同じ情報を自分で指定しなければならないという問題点を有していた。

本発明の課題は、利用者の携帯電話や、個人使用のパソコンなどにおいて、個人情報の提供をいかにスムーズに、また、いかに本人の同意の上で行うか、という課題を解決することにある。

第１の態様は、個人情報を入力又は保存して個人情報取扱装置（１０３）に発行する個
人情報管理装置（１０２）を前提とする。
使用許可ポリシー管理手段（１１２、１１３）は、個人情報の使用許可又は使用不許可の範囲を定義する使用許可ポリシー（１１４、１１５）を管理する。

個人情報要求受付手段（１０７）は、個人情報取扱装置から個人情報の要求を受け付ける。
使用許可発行手段（１０９、１１０、１１６）は、その受け付けた要求に対応する使用許可ポリシーを使用許可ポリシー管理手段を介して取得し、その使用許可ポリシーに対応する使用許可証と要求された個人情報を、個人情報取扱装置に対して発行する。

使用許可発行履歴管理手段（１１６、１１７）は、発行した使用許可証及び個人情報に関する使用許可発行履歴を管理する。
信頼確立手段（１０８）は、使用許可証及び個人情報の発行に関して、個人情報取扱装置との間で情報交換の信頼を確立する。

上述の第１の態様の構成において、使用許可ポリシー管理手段は、少なくとも使用許可発行履歴に基づいて、使用許可ポリシーを予測して使用許可ポリシーの一部として管理するように構成することができる。

第２の態様は、個人情報管理装置（１０２）に対して個人情報を要求し取得して使用する個人情報取扱装置（１０３）を前提とする。
個人情報要求手段（１０５）は、必要な個人情報を個人情報管理装置に対して要求する。

個人情報取得手段（１０５）は、個人情報管理装置から個人情報の使用許可又は使用不許可の範囲を定義する使用許可ポリシーを定めた使用許可証と要求した個人情報を受け取る。

信頼確立手段（１０４）は、個人情報及び使用許可証の要求又は受け取りに関して、個人情報管理装置との間で情報交換の信頼を確立する。
個人情報処理手段（１０５）は、受け取った使用許可証が定める使用許可ポリシーを解釈し、その結果に基づいて個人情報を使用する。

上述第２の態様の構成において、個人情報管理装置から受け取った使用許可証を、その使用許可証が定める個人情報の参照先に関する情報と共に、自装置以外の個人情報取扱装置に移譲する個人情報移譲発行手段（１０６）を更に含むように構成することができる。

また、ここまでの第２の態様の構成において、他の個人情報取扱装置から使用許可証と、その使用許可証が定める個人情報の参照先に関する情報の移譲を受ける個人情報移譲受取手段（１０６）を更に含み、個人情報要求手段は、移譲を受けた使用許可証に基づいて、個人情報の参照先に関する情報によって特定される個人情報管理装置に対して、必要な個人情報を要求し、個人情報取得手段は、その個人情報管理装置から、その要求に対応する新たな使用許可証と個人情報を受け取るように構成することができる。

上記移譲の処理に関して、前述の第１の態様の構成において、個人情報要求受付手段は、個人情報取扱装置からその個人情報取扱装置以外の個人情報取扱装置から移譲を受けた使用許可証に基づく個人情報の要求を受け付け、使用許可発行手段は、使用許可発行履歴管理手段を介して、受け付けた使用許可証に対応する使用許可発行履歴が存在するか否かを検索し、存在する場合に、個人情報の要求に対応する使用許可ポリシーを使用許可ポリシー管理手段を介して取得し、その使用許可ポリシーに対応する新たな使用許可証と要求された個人情報を、要求を行った個人情報取扱装置に対して発行するように構成することができる。

本発明によれば、利用者が個人情報を提供する際に、使用許可ポリシーを付加することで、個人情報が他のサービスに移譲された場合であっても、移譲先から利用者の個人情報管理装置が実装される端末等に問い合わせを行って初めて、個人情報の利用ができ、サービスが複数連携している場合であっても、利用者が個人情報の提供を制御することが可能となる。

本発明によれば、個人情報の移譲を受けたサービスは、個人情報の参照先の情報を持つことにより、必要な他の個人情報に対しても、独自に利用者に提供を求めることが可能となる。

本発明によれば、個人情報の使用許可ポリシーの発行履歴を蓄積することにより、半自動的に、別のサービスに対しても、個人情報使用許可ポリシーを予測することが可能となる。

以下、図面を参照しながら、本発明を実施するための最良の形態を詳細に説明する。
以下に説明する各実施形態は、複数のサービスが連携して、サービスを提供している場合には、各サービスに個人情報と個人情報の使用許可ポリシーを配布することによって、当該個人情報の受け取り手であるサービスや、そのサービスから業務委託を受けて個人情報の提供を受けるサービスに対して、利用者本人が個人情報の使用条件を指定し、どのサービスにどの情報を提供しているのか、利用者が直接把握できるようにするものである。

また、以下に説明する各実施形態は、同時に、別のサービスへの同様の個人情報の提供時においては、過去の履歴により個人情報の使用許可ポリシーの予測を行うことにより、利用者は、同じようなサービスに対して、何度も同じような個人情報を入力することがなく、利用者の利便性を向上させるものである。

第１の実施形態
第１の実施例では、個人情報管理システムと個人情報取扱システムが利用者の利用する端末中にある場合について述べる。

図1は、第１の実施形態のシステム構成例を示した図、図２は、図１の個人情報管理システム１０２が実行する個人情報発行処理を示す動作フローチャート、図３は、図１の個人情報取扱システム１０３が実行する個人情報解読処理を示す動作フローチャートである。

図１において、利用者は、個人情報管理システム１０２と同じ個人情報管理端末１０１上で、個人情報取扱システム１０３の利用を行う。
個人情報取扱システム１０３内の個人情報処理部１０５が利用者に個人情報の入力を求めて個人情報の要求を行う。

個人情報管理システム１０２は、個人情報要求受付部１０７によって、個人情報要求を受け付ける。
そして、個人情報受け渡しに先立ち、個人情報管理システム１０２の信頼確立部１０８が、個人情報取扱システム１０３内の信頼確立部１０４との間で、信頼確立を行う。具体的には、相互に公開鍵暗号化方式による暗号化通信を行うための、公開鍵の交換を行う（
図２のＳ２０１、図３のＳ３０１）。即ち、個人情報取扱システム１０３から個人情報管理システム１０２へは、公開鍵Ｐｄ（これに対応する秘密鍵（暗号鍵）はＳｄ）が発行され、逆に個人情報管理システム１０２から個人情報取扱システム１０３へは、公開鍵Ｐｓ（これに対応する秘密鍵はＳｓ）が発行される。

個人情報管理システム１０２内の使用許可確認部１０９は、必要に応じて利用者へ確認を行う。具体的には、ポリシー管理部１１１において、以下の処理が実行される。
まず、ポリシー問合せ部１１２が使用許可ポリシー１１４及び使用不許可ポリシー１１５に問い合わせることにより、当該個人情報取扱システム１０３への個人情報の発行の許可・不許可を判断する。

次に、ポリシー問合せ部１１２による問合せ結果に基づいて、使用許可発行部１１６は、使用許可ポリシー１１４を参照しながら必要に応じて利用者へ図１２に示されるような形態で確認を行い、当該個人情報取扱サービスに対して当該個人情報の取り扱いを許可し、その証明書として配布する使用許可証を発行する（図２のＳ２０２）。使用許可ポリシー１１４とは、どの発行先にどの情報の使用を許可するか、という情報で、例えば図１３に示されるように、ポリシー分類、使用許可ポリシー名、ポリシー発行先、発行する個人情報内容等の登録内容を有する。なお、使用不許可ポリシー１１５も、図１４に示されるように、図１３に示される使用許可ポリシー１１４と同様の登録形式を有する。使用許可証は、使用許可ポリシー１１４を配布用の形にしたものである。

個人情報管理システム１０２内の個人情報発行部１１０は、使用許可発行部１１６が発行を許可したＮ個（Ｎは１以上の自然数）の個人情報の集合Ｍ＝｛ｍｉ｜１≦ｉ≦Ｎ｝についてそれぞれ、個人情報取扱システム１０３から発行されている公開鍵Ｐｄで暗号化してＰｄ（ｍｉ）（１≦ｉ≦Ｎ）を得て、それらを個人情報管理システム１０２自身の秘密鍵Ｓｓで暗号化してＳｓ（Ｐｄ（ｍｉ））（１≦ｉ≦Ｎ）を得た上で、それらを個人情報の使用許可証と共に、個人情報取扱システム１０３へ送付する（図２のＳ２０３）。なお、使用許可証も個人情報と共に暗号化されてもよい。

使用許可発行部１１６は、使用許可証の発行時に、使用許可発行履歴１１７に、使用許可発行の履歴を残す（図２のＳ２０４）。使用許可発行履歴１１７は、例えば図１５に示されるように、日時、発行先、発行先に渡した公開鍵、発行した個人情報内容、発行個人情報、許可有効期限等の登録内容を有する。

上記個人情報管理システム１０２側の制御処理に対応して、個人情報を受け取る側の個人情報取扱システム１０３内の個人情報処理部１０５は、個人情報管理システム１０２から発行された使用許可証と、Ｎ個の暗号化された個人情報ｒｉの集合Ｒ＝｛ｒｉ｜１≦ｉ≦Ｎ｝を受け取る（図３のＳ３０２）。

そして、個人情報処理部１０５は、その暗号化された各データｒｉ（１≦ｉ≦Ｎ）についてそれぞれ、個人情報管理システム１０２から送付されている公開鍵Ｐｓによって復号してＰｓ（ｒｉ）（１≦ｉ≦Ｎ）を得て、それらを個人情報取扱システム１０３自身の秘密鍵Ｓｄによって復号してＳｄ（Ｐｓ（ｒｉ））（１≦ｉ≦Ｎ）を得ることにより、個人情報管理システム１０２から発行されたＮ個の個人情報ｍｉ（１≦ｉ≦Ｎ）を取り出す（図３のＳ３０３）。即ち、
Ｓｄ（Ｐｓ（ｒｉ））＝Ｓｄ（Ｐｓ（Ｓｓ（Ｐｄ（ｍｉ））））
＝Ｓｄ（Ｐｄ（ｍｉ））
＝ｍｉ
である。

ここで、個人情報や、個人情報の使用許可ポリシー１１４、使用不許可ポリシー１１５は、ポリシー生成部１１３によって、事前に利用者が作成しても良い。また、個人情報については、他システムで既に管理している場合もあり、それら他のシステムで管理している個人情報と連携しても良い。

図４は、図１の個人情報管理端末を実現する個人利用パソコンのシステム構成例を示す図である。
図４の個人利用パソコン４０１において、入力部４０２は、ユーザからの個人情報や利用可否の入力を受け付ける、例えばキーボードとマウスである。

出力部４０３は、ユーザに個人情報や利用可否の問合せ情報等の表示を行う、例えばディスプレイである。
通信部４０４は、インターネット等への接続機能を提供する。

処理部４０５は、ハードディスク装置等によって構成される格納用記憶部４０８に記憶されているプログラム４０９を半導体メモリ等によって構成される処理用記憶部４０６に読み出して実行する、例えば中央演算処理装置であり、図１の個人情報管理システム１０２及び個人情報取扱システム１０３等の機能を実現する。

時間管理部４０７は、前述の使用許可発行履歴１１７等における記録時間を管理する。
データベース４１０は、図１の使用許可ポリシー１１４、使用不許可ポリシー１１５、使用許可発行履歴１１７等を記憶する。

個人利用パソコンでは、特にソフトウェアインストール時の利用者登録などで、個人情報の入力を多く求められる。利用者の手間を省くために、図１の個人情報取扱システム１０３を組み込んだソフトウェアでは、利用者に直接個人情報の問合せを行うのではなく、図１の個人情報管理システム１０２へ問合せを行う。

上記両システム間で行う信頼確立については、例え１つのパソコン内部で閉じた通信しか行わない場合であっても行われることが望ましい。そのときに用いられる暗号化手法は、後の個人情報発行の際に用いることを考え、個人情報を読むことができるシステムを限定することができる、公開鍵暗号方式のようなものが望ましい。

上記第１の実施形態において、初めて使用許可が与えられる個人情報取扱システム１０３では、使用許可発行履歴１１７が残る。この履歴は、使用許可予測ポリシーの生成に用いられる。

ソフトウェアの利用者登録時に許可される個人情報の使用許可ポリシー１１４は、人によっては、全く同じである。当該システムでは、個人情報の利用許可が毎回利用者に確認され、新たな使用許可ポリシー１１４が生成されるのではなく、使用許可発行履歴１１７において、規則性のある使用許可は、使用許可予測ポリシーとして、別途データベース４１０等に保存され、個人情報取扱システム１０３から同様の個人情報の要求があった場合には、その予測ポリシーが用いられるように構成することができる。図１６は、そのような使用許可予測ポリシーの登録データ例を示す図である。

また、上記第１の実施形態において、ある個人情報取扱システム１０３（図１）に対して個人情報の使用が許可された場合には、使用許可証が発行されるため、個人情報取扱システム１０３は、2回目以降に個人情報処理を行う場合には、その使用許可証を個人情報管理システム１０２に提示して個人情報の要求を行うように構成することもできる。
個人情報移譲部１０６の機能については、第３の実施形態の説明において後述する。

第２の実施形態
図５は、第２の実施形態のシステム構成例を示す図である。
図５の構成が、図１に示される第１の実施形態の構成と異なる点は、個人情報取扱システム１０３が、個人情報管理システム１０２が搭載される個人情報管理端末１０１とは異なる場所、例えばサーバ装置上等に設置され、個人情報取扱システム１０３と個人情報管理システム１０２は、インターネット等の通信路を経由して通信を行う点である。その他の構成は、図１及び図５で全て同じである。

個人情報管理端末１０１が例えば携帯電話である場合、携帯電話上で個人情報を入力する場面には、ウェブブラウザ上で個人情報を埋めるフォームを表示するサイトなどがある。個人情報取扱システム１０３が組み込まれたウェブサーバでは、第１の実施例の場合と同様にして、信頼確立が行われ、問題がない場合には個人情報の受渡しが行われる。

個人情報管理端末１０１側では、第１の実施例の場合と同様、使用許可ポリシー１１４や使用許可予測ポリシーを使用できるかどうかが判断され、既存のポリシーが使用できない場合には新たなポリシーを作るために、利用者に個人情報の提供の可否が確認される。個人情報の使用が許可された場合には、使用許可発行履歴１１７が残され、個人情報が発行される。

サーバ側の個人情報取扱システム１０３は、第１の実施例の場合と同様、使用許可証を通じて、当該個人情報の正しい使用者であることを証明することができる。ただし、使用許可証には有効期限がある場合があり、一度使用許可を得た個人情報であっても、有効期限が切れた場合には、改めて個人情報要求を行う必要がある。

第３の実施形態
次に、第３の実施形態について説明する。第３の実施形態では、個人情報を受け取った個人情報取扱システム１０３が、当該個人情報を他の個人情報取扱システム１０３に移譲することができる。

第３の実施形態では、図６に示されるように、移譲元の個人情報取扱システム１０３から移譲先の個人情報取扱システム１０３へ個人情報の移譲を行うことができる。この場合、移譲元の個人情報取扱システム１０３は、第１の実施形態の場合（図１）と同様に、個人情報管理システム１０２と同じ個人情報管理端末１０１上にあってもよいし、第２の実施形態の場合（図５）と同様に、個人情報管理端末１０１とは別のサーバ上等にあってもよい。また、移譲先の個人情報取扱システム１０３は、個人情報管理端末１０１とは別のサーバ上等に構成される。

例えば、オンラインブックストアのサーバ上に構成される移譲元の個人情報取扱システム１０３は、利用者から受け取った個人情報のうち、住所、氏名、連絡先等を、配送業者のサーバ上に構成される移譲先の個人情報取扱システム１０３へ移譲する。

図７は、移譲元の個人情報取扱システム１０３が実行する個人情報の移譲発行処理の制御を示す動作フローチャートである。以下の説明では、図７と図６を随時参照するものとする。

まず、個人情報の移譲発行に先立ち、移譲元の個人情報取扱システム１０３の信頼確立部１０４が、移譲先の個人情報取扱システム１０３内の信頼確立部１０４との間で、信頼確立のための公開鍵の交換を行う（図７のＳ７０１）。即ち、移譲元から移譲先へは、公
開鍵Ｐｄ（これに対応する秘密鍵はＳｄ）が発行され、逆に移譲先から移譲元へは、公開鍵Ｐｆ（これに対応する秘密鍵はＳｆ）が発行される。

次に、移譲元の個人情報取扱システム１０３内の個人情報移譲部１０６は、個人情報管理端末１０１から受け取っている、移譲する使用許可証と、個人情報管理端末１０１を特定するための個人情報の参照先を用意する（図７のＳ７０２）。個人情報の参照先としては、例えば個人情報管理端末１０１に直接アクセス可能な電話番号、ＩＰ（インターネットプロトコル）アドレス、メールアドレス等である。

続いて、移譲元の個人情報移譲部１０６は、ステップＳ７０２にて用意した使用許可証と個人情報の参照先を、まず、移譲先から発行されている公開鍵Ｐｆで暗号化して、
Ｐｆ（移譲する使用許可証と個人情報の参照先）
を得て、それを更に移譲元の個人情報取扱システム１０３自身の秘密鍵Ｓｄで暗号化して、
Ｓｄ（Ｐｆ（移譲する使用許可証と個人情報の参照先））
を得る（以上、図７のＳ７０３）。

そして、移譲元の個人情報移譲部１０６は、上記暗号化された情報を、移譲先の個人情報取扱システム１０３に送付する（図７のＳ７０４）。
図８は、移譲先の個人情報取扱システム１０３が実行する個人情報の移譲受取り処理の制御を示す動作フローチャートである。以下の説明では、図８と図６を随時参照するものとする。

まず、個人情報の移譲受取りに先立ち、移譲元の信頼確立部１０４の場合（図７のＳ７０１）と同様に、移譲先の個人情報取扱システム１０３の信頼確立部１０４が、移譲元の個人情報取扱システム１０３内の信頼確立部１０４との間で、信頼確立のための公開鍵の交換を行う（図８のＳ８０１）。

次に、移譲先の個人情報取扱システム１０３内の個人情報移譲部１０６は、移譲元の個人情報取扱システム１０３から送付されてきた暗号化された移譲情報を受け取る（図８のＳ８０２）。

そして、移譲先の個人情報移譲部１０６は、上記暗号化された移譲情報をまず、移譲元の個人情報取扱システム１０３から発行されている公開鍵Ｐｄによって復号し、更にその結果を、移譲先の個人情報取扱システム１０３自身の秘密鍵Ｓｆによって復号することにより、移譲元の個人情報取扱システム１０３が発行した、移譲された使用許可証と個人情報の参照先を復号する（図８のＳ８０３）。

上記のようにして、移譲先の個人情報取扱システム１０３は、移譲元の個人情報取扱システム１０３が個人情報管理端末１０１から受け取った使用許可証の移譲を受けることができる。移譲先の個人情報取扱システム１０３は、この移譲された使用許可証を使って、自身が必要な個人情報の内容を、個人情報管理端末１０１に要求することができる。

図９は、移譲先の個人情報取扱システム１０３が実行する個人情報の内容の要求処理の制御を示す動作フローチャートである。以下の説明では、図９と図６を随時参照するものとする。

まず、個人情報の内容の要求に先立ち、個人情報取扱システム１０３内の信頼確立部１０４が、個人情報管理システム１０２の信頼確立部１０８との間で、信頼確立のための公開鍵の交換を行う（図９のＳ９０１）。即ち、個人情報取扱システム１０３から個人情報管理システム１０２へは、公開鍵Ｐｆ（これに対応する秘密鍵はＳｆ）が発行され、逆に個人情報管理システム１０２から個人情報取扱システム１０３へは、公開鍵Ｐｓ（これに対応する秘密鍵はＳｓ）が発行される。

次に、個人情報取扱システム１０３内の個人情報処理部１０５は、移譲元から受け取った使用許可証を使って、同じく移譲元から受け取った個人情報の宛先が示す個人情報管理端末１０１に対して、必要な個人情報の内容を要求し、同時に移譲元の個人情報取扱システム１０３から発行されている公開鍵Ｐｄを送付する（図９のＳ９０２）。

その後、個人情報管理端末１０１から発行された新たな使用許可証と、Ｌ個（Ｌは１以上の自然数）の暗号化された個人情報ｆｉの集合Ｆ＝｛ｆｉ｜１≦ｉ≦Ｌ｝を受け取る（図９のＳ９０３）。

そして、個人情報処理部１０５は、その暗号化された各データｆｉ（１≦ｉ≦Ｌ）についてそれぞれ、個人情報管理システム１０２から送付されている公開鍵Ｐｓによって復号してＰｓ（ｆｉ）（１≦ｉ≦Ｌ）を得て、それらを個人情報取扱システム１０３自身の秘密鍵Ｓｆによって復号してＳｆ（Ｐｓ（ｆｉ））（１≦ｉ≦Ｌ）を得ることにより、個人情報管理システム１０２から発行されたＬ個の個人情報ｍｉ（１≦ｉ≦Ｌ）を取り出す（図９のＳ９０４）。即ち、
Ｓｆ（Ｐｓ（ｆｉ））＝Ｓｆ（Ｐｓ（Ｓｓ（Ｐｆ（ｍｉ））））
＝Ｓｆ（Ｐｆ（ｍｉ））
＝ｍｉ
である。

図１０は、移譲先の個人情報取扱システム１０３が実行する上記個人情報の内容の要求処理に対応して、個人情報管理端末１０１内の個人情報管理システム１０２が実行する個人情報の移譲確認と発行処理の制御を示す動作フローチャートである。以下の説明では、図１０と図６を随時参照するものとする。

まず、移譲元の個人情報取扱システム１０３の信頼確立部１０４の場合（図９のＳ９０１）と同様に、個人情報管理システム１０２の信頼確立部１０８が、移譲元の個人情報取扱システム１０３内の信頼確立部１０４との間で、信頼確立のための公開鍵の交換を行う（図１０のＳ１００１）。

次に、個人情報管理システム１０２内の個人情報要求受付部１０７が、移譲先の個人情報取扱システム１０３から、必要な個人情報の内容の要求と、移譲元の個人情報取扱システム１０３から移譲された使用許可証、及び移譲元の個人情報取扱システム１０３から発行されている公開鍵Ｐｄと共に受け取る（図１０のＳ１００２）。

次に、個人情報管理システム１０２内の使用許可確認部１０９は、ポリシー管理部１１１の使用許可発行履歴１１７（図１５参照）において、受け取った公開鍵Ｐｄが示すシステムに対して上記移譲された使用許可証が示す個人情報を発行した履歴のエントリが存在するか否かを検索する（図１０のＳ１００３）。

もし、上記エントリが存在しなければ、上記個人情報の要求は不当な要求であるため、そのまま処理を終了する。
上記エントリが存在すれば、個人情報管理システム１０２内の使用許可確認部１０９は、必要に応じて利用者へ確認を行う。具体的には、ポリシー管理部１１１において、以下の処理が実行される。

まず、ポリシー問合せ部１１２が使用許可ポリシー１１４及び使用不許可ポリシー１１５に問い合わせることにより、移譲先の個人情報取扱システム１０３への必要な個人情報の発行の許可・不許可を判断する。

次に、ポリシー問合せ部１１２による問合せ結果に基づいて、使用許可発行部１１６は、使用許可ポリシー１１４を参照しながら必要に応じて利用者へ確認を行い、移譲先の個人情報取扱サービスに対して必要な個人情報の取り扱いを許可し、その証明書として配布する新たな使用許可証を発行する（図１０のＳ１００４）。

個人情報管理システム１０２内の個人情報発行部１１０は、使用許可発行部１１６が発行を許可したＬ個の個人情報の集合Ｍ＝｛ｍｉ｜１≦ｉ≦Ｌ｝についてそれぞれ、移譲先の個人情報取扱システム１０３から発行されている公開鍵Ｐｆで暗号化してＰｆ（ｍｉ）（１≦ｉ≦Ｌ）を得て、それらを個人情報管理システム１０２自身の秘密鍵Ｓｓで暗号化してＳｓ（Ｐｆ（ｍｉ））（１≦ｉ≦Ｌ）を得た上で、それらを個人情報の新たな使用許可証と共に、移譲先の個人情報取扱システム１０３へ送付する（図１０のＳ１００５）。なお、使用許可証も個人情報と共に暗号化されてもよい。

使用許可発行部１１６は、使用許可証の発行時に、使用許可発行履歴１１７に、新たな使用許可発行の履歴を残す（図１０のＳ１００６）。
以上のようにして第３の実施形態では、個人情報を受け取った個人情報取扱システム１０３が、受け取った全ての個人情報、若しくは、一部の個人情報を、他の個人情報取扱システム１０３に移譲を行うことができ、その際には、個人情報取扱システム１０３間で交換される情報は、個人情報そのものではなく、個人情報の移譲情報（使用許可証と個人情報の宛先）のみであり、個人情報の移譲を受けた個人情報取扱システム１０３は、個人情報管理端末１０１に対して、移譲元から移譲された使用許可証によって移譲を受けた旨を通知し、必要な個人情報の内容を要求を行うことができる。このため、個人情報管理端末１０１は、個人情報が、移譲元の個人情報取扱システム１０３から移譲先の個人情報取扱システム１０３に勝手に移譲されてしまうことを抑制することができ、同時に、移譲に関する個人情報の情報も使用許可発行履歴１１７として残すことができるため、移譲元及び移譲先の双方の個人情報取扱システム１０３に対して、常に個人情報管理端末１０１主導で個人情報を発行することができる。

第４の実施形態
続いて、第４の実施形態について説明する。第４の実施形態では、第３の実施形態（図６〜図１０）をベースとして、個人情報の移譲先の個人情報取扱システム１０３において、不足している個人情報をあらためて、個人情報管理端末１０１へ直接問い合わせることができる。

図１１は、移譲先の個人情報取扱システム１０３が実行する新規個人情報の問合せ処理の制御を示す動作フローチャートである。以下の説明では、図１１と図６を随時参照するものとする。

まず、図９のステップＳ９０１の場合と同様に、新規個人情報の要求に先立ち、個人情報取扱システム１０３内の信頼確立部１０４が、個人情報管理システム１０２の信頼確立部１０８との間で、信頼確立のための公開鍵の交換を行う（図１１のＳ１１０１）。

次に、個人情報取扱システム１０３内の個人情報処理部１０５は、移譲に基づく個人情報の要求とは別に、新たな個人情報の集合Ｇの発行を依頼する（図１１のＳ１１０２）。
その後、個人情報処理部１０５は、個人情報管理システム１０２から発行された使用許可証と、Ｑ個（Ｑは１以上の自然数）の暗号化された個人情報ｇｉの集合Ｇ＝｛ｇｉ｜１
≦ｉ≦Ｑ｝を受け取る（図１１のＳ１１０３）。

そして、個人情報処理部１０５は、その暗号化された各データｇｉ（１≦ｉ≦Ｑ）についてそれぞれ、個人情報管理システム１０２から送付されている公開鍵Ｐｓによって復号してＰｓ（ｇｉ）（１≦ｉ≦Ｑ）を得て、それらを個人情報取扱システム１０３自身の秘密鍵Ｓｆによって復号してＳｆ（Ｐｓ（ｇｉ））（１≦ｉ≦Ｑ）を得ることにより、個人情報管理システム１０２から発行されたＱ個の個人情報ｍｉ（１≦ｉ≦Ｑ）を取り出す（図１１のＳ１１０４）。即ち、
Ｓｆ（Ｐｓ（ｇｉ））＝Ｓｆ（Ｐｓ（Ｓｓ（Ｐｆ（ｍｉ））））
＝Ｓｄ（Ｐｆ（ｍｉ））
＝ｍｉ
である。

以上のように、一度個人情報の移譲を受け、個人情報管理端末１０１の使用許可発行履歴１１７に許可対象として記載されている場合であっても、必要とする個人情報が異なる場合には、通常の個人情報要求として扱われる。

第２〜第４の実施形態の実現態様
最後に、上記第２〜第４の実施形態が具体的な通信システムとして実現される場合の実現態様について、図１７〜図２０を使って説明する。

図５、図６等において、個人情報管理端末１０１内に、個人情報に対する情報要求を待ち受ける機能を実装することが難しい場合には、図１７に示されるように、図５、図６の個人情報管理システム１０２内の個人情報要求受付部１０７及び信頼確立部１０８に相当する情報要求の待ちうけ部１７０１がメール受信サーバ１７０３等の外部のサーバに置かれ、個人情報管理端末１０１は、図５、図６の使用許可確認部１０９、個人情報発行部１１０、及びポリシー管理部１１１に相当する情報要求の処理部１７０２のみを有するように構成することができる。

この場合には、個人情報取扱システム１０３からの個人情報の要求は、電子メールを使って、メール送信サーバ１７０４からメール受信サーバ１７０１内の情報要求の待ちうけ部１７０１に送られ、そこから更に電子メールを使って個人情報管理端末１０１内の情報要求の処理部１７０２に送られる。形態電話のメール受信時のように、メールサーバが確認される時間間隔を短くすれば、電子メールのような非同期媒体でも十分な即時性を得ることができる。

或いは、個人情報の授受に使われる通信プロトコルは、電子メールではなく、ＨＴＴＰ（ハイパーテキストトランスファプロトコル）等のＷｅｂのプロトコルであってもよい。
また、情報要求の待ちうけ部１７０１は、上記のような既存のサーバではなく、図１８に示されるように、個人情報管理端末１０１及び個人情報取扱システム１０３とそれぞれ直接通信を行うことができる専用サーバ１８０１上に設置されてもよい。

一方、個人情報管理端末１０１が、パソコン並みの高機能オペレーティングシステムを実装している場合には、図１７のメール受信サーバ１７０３に相当する機能、又は図１８の専用サーバ１８０１に相当する機能を、図１９の１９０１又は図２０の２００１として示されるように、個人情報管理端末１０１内に実装することも可能である。

なお、個人情報取扱システム１０３側でも、情報要求の待ちの機能を、外部のサーバに持たせるバリエーション、内部に持たせるバリエーション等が可能である。
以上のように、個人情報が頻繁に入力される端末において、個人情報を利用者の制御の
もとで各システムに与えることを可能にすることで、別システム対応時の予測提供や、当該個人情報の移譲、また、個人情報不足時の直接問い合わせを可能にしたサービスを実現することができる。

第１の実施形態のシステム構成例を示した図である。 図１の個人情報管理システム１０２が実行する個人情報発行処理を示す動作フローチャートである。 図１の個人情報取扱システム１０３が実行する個人情報解読処理を示す動作フローチャートである。 図１の個人情報管理端末を実現する個人利用パソコンのシステム構成例を示す図である。 第２の実施形態のシステム構成例を示した図である。 第３の実施形態のシステム構成例を示した図である。 移譲元の個人情報取扱システム１０３が実行する個人情報の移譲発行処理の制御を示す動作フローチャートである。 移譲先の個人情報取扱システム１０３が実行する個人情報の移譲受取り処理の制御を示す動作フローチャートである。 移譲先の個人情報取扱システム１０３が実行する個人情報の内容の要求処理の制御を示す動作フローチャートである。 個人情報管理端末１０１内の個人情報管理システム１０２が実行する個人情報の移譲確認と発行処理の制御を示す動作フローチャートである。 移譲先の個人情報取扱システム１０３が実行する新規個人情報の問合せ処理の制御を示す動作フローチャートである。 個人情報の登録データ例を示す図である。 使用許可ポリシー１１４の登録データ例を示す図である。 使用不許可ポリシー１１５の登録データ例を示す図である。 使用許可発行履歴１１７の登録データ例を示す図である。 使用許可予測ポリシーの登録データ例を示す図である。 情報要求の待ちうけ機能が個人情報管理端末以外の外部の既存サーバに実装されるシステム実現例を示す図である。 情報要求の待ちうけ機能が個人情報管理端末以外の外部の専用サーバに実装されるシステム実現例を示す図である。 情報要求の待ちうけ機能が個人情報管理端末内の既存サーバに実装されるシステム実現例を示す図である。 情報要求の待ちうけ機能が個人情報管理端末内の専用サーバに実装されるシステム実現例を示す図である。

符号の説明

１０１ 個人情報管理端末
１０２ 個人情報管理システム
１０３ 個人情報取扱システム
１０４、１０８ 信頼確立部
１０５ 個人情報処理部
１０６ 個人情報移譲部
１０７ 個人情報要求受付部
１０９ 使用許可確認部
１１０ 個人情報発行部
１１１ ポリシー管理部
１１２ ポリシー問合せ部
１１３ ポリシー生成部
１１４ 使用許可ポリシー
１１５ 使用不許可ポリシー
１１６ 使用許可発行部
１１７ 使用許可発行履歴
４０１ 個人利用パソコン
４０２ 入力部
４０３ 出力部
４０４ 通信部
４０５ 処理部
４０６ 処理用記憶部
４０７ 時間管理部
４０８ 格納用記憶部
４０９ プログラム
４１０ データベース
１７０１ 情報要求の待ちうけ部
１７０２ 情報要求の処理部
１７０３、１９０１ メール受信サーバ
１７０４ メール送信サーバ
１８０１、２００１ 専用サーバ

Claims (2)

1. 個人情報を入力又は保存して個人情報取扱装置に発行する個人情報管理装置であって、
   前記個人情報の使用許可又は使用不許可の範囲を定義する使用許可ポリシーを管理する使用許可ポリシー管理手段と、
   前記個人情報取扱装置から前記個人情報の要求を受け付ける個人情報要求受付手段と、
   該受け付けた要求に対応する使用許可ポリシーを前記使用許可ポリシー管理手段を介して取得し、該使用許可ポリシーに対応する使用許可証と前記要求された個人情報を、前記個人情報取扱装置に対して発行する使用許可発行手段と、
   前記発行した使用許可証及び個人情報に関する使用許可発行履歴を管理する使用許可発行履歴管理手段と
   前記使用許可証及び個人情報の発行に関して、前記個人情報取扱装置との間で情報交換の信頼を確立する信頼確立手段と、
   を含み、
   前記使用許可ポリシー管理手段は、少なくとも前記使用許可発行履歴に基づいて、前記使用許可ポリシーを予測して前記使用許可ポリシーの一部として管理する、
   ことを特徴とする個人情報管理装置。
2. 前記個人情報要求受付手段は、前記個人情報取扱装置から該個人情報取扱装置以外の個人情報取扱装置から移譲を受けた使用許可証に基づく個人情報の要求を受け付け、
   前記使用許可発行手段は、前記使用許可発行履歴管理手段を介して、前記受け付けた使用許可証に対応する使用許可発行履歴が存在するか否かを検索し、存在する場合に、前記個人情報の要求に対応する使用許可ポリシーを前記使用許可ポリシー管理手段を介して取得し、該使用許可ポリシーに対応する新たな使用許可証と前記要求された個人情報を、前記要求を行った個人情報取扱装置に対して発行する、
   ことを特徴とする請求項１に記載の個人情報管理装置。