JP5283036B2 - サービス提供システム、代理処理履歴収集方法および代理処理履歴収集プログラム - Google Patents

Description

本発明は、サービス提供システム、代理処理履歴収集方法および代理処理履歴収集プログラムに関する。

従来、利用者の個人情報に関するサービスを提供するサービス提供システムにおいては、特許文献１の特開２００２−３０４６１０号公報「埋め込み型権限委譲方式」や特許文献２の特開２００２−１６３２３５号公報「アクセス権限譲渡装置、共有リソース管理システムおよびアクセス権限設定方法」にも記載のように、利用者本人の代わりに、権限を有する代理人が、個人情報のサービスを提供するサービス提供サーバにアクセスする場合、サービス提供サーバや代理人用の電子私書箱サーバに対して、当該代理人に関する代理処理の許可を得た上で、当該代理人の利用者端末（代理人用端末）から、代理人用の電子私書箱サーバを介して、サービス提供者のサービス提供サーバにアクセスするか、もしくは、利用者本人から当該利用者本人の利用者ＩＤとパスワード等の認証情報とを教えてもらい、代理人が利用者本人用の利用者端末（利用者本人用端末）を利用して、利用者本人用の電子私書箱サーバを介して、サービス提供者のサービス提供サーバにアクセスすることが一般的であった。

図６は、従来のサービス提供システムにおける代理人による代理処理の動作を説明するためのシステム構成図であり、図６（Ａ）は、代理人が当該代理人用の利用者端末を用いて代理人用の電子私書箱サーバを介してサービス提供サーバにアクセスする場合の動作を説明するものであり、図６（Ｂ）は、代理人が利用者本人になりすまして利用者本人用の利用者端末を用いて利用者本人用の電子私書箱サーバを介してサービス提供サーバにアクセスする場合の動作を説明するものである。

代理人が代理人用端末Ｔ２を用いて代理人用電子私書箱サーバＰ２を介してサービス提供サーバＳ１にアクセスする場合、図６（Ａ）に示すように、当該代理人側の代理人用電子私書箱サーバＰ２およびサービス提供者のサービス提供サーバ例えばサービス提供サーバＳ１に対して、利用者本人の代理処理を行うことに関する許可をあらかじめ取得しておくことが必要である。

しかる後、代理人用端末Ｔ２から、ネットワークＮ１を介して、代理処理の許可済みの代理人用電子私書箱サーバＰ２に、利用者本人に代わって、代理人が代理処理を行う対象となる当該利用者本人の個人情報に関するサービス提供要求を送信する。該サービス提供要求を受け取った代理人用電子私書箱サーバＰ２は、利用者本人の代理処理に関しては許可済みであるので、該サービス提供要求を、代理処理の許可済みのサービス提供サーバ例えばサービス提供サーバＳ１に対して、ネットワークＮ２を介して転送して、サービスを提供してもらう。

一方、図６（Ｂ）に示すように、代理人が、利用者本人の利用者ＩＤとパスワードとを事前に教示されている場合は、代理人は、当該利用者本人に代わって、当該利用者本人用の利用者端末Ｔ１を使用して、当該利用者本人側の利用者本人用電子私書箱サーバＰ１に、ネットワークＮ１を介して、サービス提供要求を送信することができる。利用者本人用の電子私書箱サーバＰ１は、利用者本人からのサービス提供要求であるものと看做して、該サービス提供要求を、アクセス対象のサービス提供サーバ例えばサービス提供サーバＳ１に対して、ネットワークＮ２を介して転送する。

特開２００２−３０４６１０号公報 特開２００２−１６３２３５号公報

複数のサービス提供者それぞれのサービス提供サーバと接続され、利用者へのワンストップサービス等を行う電子私書箱サーバにおいて、前述の図６（Ａ）のように、代理人用電子私書箱サーバＰ２が、直接、サービス提供サーバ例えばサービス提供サーバＳ１にアクセスして、サービスの提供を受ける仕組みを採用すると、サービス提供サーバに保存されている利用者本人の個人情報について代理人のアクセス権限を細かく設定することができないなどの理由により、代理人が利用者本人から与えられたアクセス権限の範囲内で利用している場合であっても、代理人は、当該利用者本人の個人情報に関して、サービス提供サーバから不必要な情報を取得したり、あるいは、悪意を持って利用者本人に不利益になるような処理を行ったりする事態が発生する場合がある。

かくのごとき事態が発生しても、サービス提供サーバ側には、利用者本人の個人情報に対して代理人がどのような処理を行ったかという履歴を必ずしも保存しているとは限らず、利用者本人は、代理人がどのような処理を行っているかということに関して、必ずしも、確認することができるとは限らなかった。

このため、代理人が利用者本人にとって不利益な処理を行っていることに、利用者本人がたとえ気付いたとしても、後刻、代理人に対して、不利益な処理がなされたことを証明することができず、賠償請求を行うことができないという恐れがあった。

さらに、サービス提供サーバは、利用者本人以外の代理人からの処理要求を受け付けることを可能とするために、事前に、利用者本人の個人情報に関する代理人の代理権（アクセス権限）の範囲を設定することが必要であり、サービス提供サーバ側には管理および処理負担がかかっていた。

また、前述の図６（Ｂ）のように、利用者本人が代理人に自己の利用者ＩＤとパスワード等の認証情報を事前に教示して、代理人が利用者本人用の利用者端末Ｔ１を使用して、利用者本人用の電子私書箱サーバＰ１にサービス提供要求を送信して、利用者本人用の電子私書箱サーバＰ１からサービス提供サーバ例えばサービス提供サーバＳ１にアクセスする場合は、サービス提供サーバには前述したような代理人の代理権の設定処理は不要となるものの、代理人が、利用者本人に、無断で、利用者本人の個人情報に関するサービスを利用することができることとなり、利用者本人にとって、取り返しのつかない損害が発生する恐れがある。

本発明は、以上のような事情に鑑みてなされたものであり、本発明が解決しようとする課題は、利用者本人の代理人による代理処理の履歴を収集して、当該利用者本人に容易に通知することが可能なサービス提供システム、代理処理履歴収集方法および代理処理履歴収集プログラムを提供することにある。

本発明は、前述の課題を解決するために、以下のごとき各技術手段から構成されている。

第１の技術手段は、利用者本人の代理人が使用する代理人用端末から、当該利用者本人の個人情報を保有しているサービス提供サーバに当該利用者本人の個人情報に関する処理を要求する代理処理要求を、当該代理人の電子私書箱として機能する代理人用電子私書箱サーバに送信し、前記代理処理要求を受信した前記代理人用電子私書箱サーバは、前記利用者本人の電子私書箱として機能する利用者本人用電子私書箱サーバに前記代理処理要求を転送し、前記代理処理要求を受信した前記利用者本人用電子私書箱サーバは、受信した前記代理処理要求を、前記利用者本人が当該利用者本人の個人情報に関する処理を要求する処理要求の形式に編集して、前記サービス提供サーバに送信することにより、該処理要求を受信した前記サービス提供サーバが、前記代理処理要求に指定された利用者本人の個人情報に関する処理を、当該利用者本人からの処理要求として受け付けて、要求された処理を実施して、実施した処理結果を前記処理要求の送信元の前記利用者本人用電子私書箱サーバに返送し、前記処理結果を受信した前記利用者本人用電子私書箱サーバは、受信した前記処理結果を、前記代理処理要求を送信してきた前記代理人用電子私書箱サーバを介して、要求元の前記代理人用端末に返送するサービス提供システムであって、前記利用者本人用電子私書箱サーバは、前記サービス提供サーバから受信した前記処理結果を前記代理人用電子私書箱サーバから受信した前記代理処理要求と関連付けて、代理処理履歴として保存することを特徴とする。

第２の技術手段は、前記第１の技術手段に記載のサービス提供システムにおいて、前記利用者本人用電子私書箱サーバは、前記利用者本人が使用する利用者本人用端末から、当該利用者本人の個人情報に関する前記代理人による前記代理処理要求の履歴を取得するための代理処理履歴要求を受信した際に、保存している前記代理処理履歴を、要求元の前記利用者本人用端末に送信することを特徴とする。

第３の技術手段は、前記第１または第２の技術手段に記載のサービス提供システムにおいて、前記代理人用端末から前記代理人用電子私書箱サーバに対して前記代理処理要求を送信する通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式により前記代理人用端末と前記代理人用電子私書箱サーバとの間で相互認証を実施するか、または、ＩＤ、パスワード認証方式により前記代理人用電子私書箱サーバが前記代理人用端末の認証を実施することを特徴とする。

第４の技術手段は、前記第１ないし第３の技術手段のいずれかに記載のサービス提供システムにおいて、前記利用者本人用電子私書箱サーバ、前記代理人用電子私書箱サーバは、代理人の利用者本人の個人情報を代理処理する代理権の範囲を利用者本人が任意に設定することができる代理権範囲設定情報をそれぞれ有し、前記利用者本人用電子私書箱サーバは、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバへの前記処理要求の送信の可否および前記サービス提供サーバから受信した前記処理結果の保存の可否を決定するとともに、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバから受信した前記処理結果を編集し直して、前記代理人用電子私書箱サーバに転送し、一方、前記代理人用電子私書箱サーバは、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果の保存の可否を決定し、かつ、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果を編集し直して、要求元の前記代理人用端末に送信することを特徴とする。

第５の技術手段は、利用者本人の代理人が使用する代理人用端末から、当該利用者本人の個人情報を保有しているサービス提供サーバに当該利用者本人の個人情報に関する処理を要求する代理処理要求を、当該代理人の電子私書箱として機能する代理人用電子私書箱サーバに送信し、前記代理処理要求を受信した前記代理人用電子私書箱サーバは、前記利用者本人の電子私書箱として機能する利用者本人用電子私書箱サーバに前記代理処理要求を転送し、前記代理処理要求を受信した前記利用者本人用電子私書箱サーバは、受信した前記代理処理要求を、前記利用者本人が当該利用者本人の個人情報に関する処理を要求する処理要求の形式に編集して、前記サービス提供サーバに送信することにより、該処理要求を受信した前記サービス提供サーバが、前記代理処理要求に指定された利用者本人の個人情報に関する処理を、当該利用者本人からの処理要求として受け付けて、要求された処理を実施して、実施した処理結果を前記処理要求の送信元の前記利用者本人用電子私書箱サーバに返送し、前記処理結果を受信した前記利用者本人用電子私書箱サーバは、受信した前記処理結果を、前記代理処理要求を送信してきた前記代理人用電子私書箱サーバを介して、要求元の前記代理人用端末に返送するサービス提供システムにおいて前記代理人による前記代理処理要求の履歴を収集する代理処理履歴収集方法であって、前記利用者本人用電子私書箱サーバは、前記サービス提供サーバから受信した前記処理結果を前記代理人用電子私書箱サーバから受信した前記代理処理要求と関連付けて、代理処理履歴として保存することを特徴とする。

第６の技術手段は、前記第５の技術手段に記載の代理処理履歴収集方法において、前記利用者本人用電子私書箱サーバは、前記利用者本人が使用する利用者本人用端末から、当該利用者本人の個人情報に関する前記代理人による前記代理処理要求の履歴を取得するための代理処理履歴要求を受信した際に、保存している前記代理処理履歴を、要求元の前記利用者本人用端末に送信することを特徴とする。

第７の技術手段は、前記第５または第６の技術手段に記載の代理処理履歴収集方法において、前記代理人用端末から前記代理人用電子私書箱サーバに対して前記代理処理要求を送信する通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式により前記代理人用端末と前記代理人用電子私書箱サーバとの間で相互認証を実施するか、または、ＩＤ、パスワード認証方式により前記代理人用電子私書箱サーバが前記代理人用端末の認証を実施することを特徴とする。

第８の技術手段は、前記第５ないし第７の技術手段のいずれかに記載の代理処理履歴収集方法において、前記利用者本人用電子私書箱サーバ、前記代理人用電子私書箱サーバは、代理人の利用者本人の個人情報を代理処理する代理権の範囲を利用者本人が任意に設定することができる代理権範囲設定情報をそれぞれ有し、前記利用者本人用電子私書箱サーバは、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバへの前記処理要求の送信の可否および前記サービス提供サーバから受信した前記処理結果の保存の可否を決定するとともに、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバから受信した前記処理結果を編集し直して、前記代理人用電子私書箱サーバに転送し、一方、前記代理人用電子私書箱サーバは、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバへの前記代理処理要求の送信の可否および前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果の保存の可否を決定し、かつ、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果を編集し直して、要求元の前記代理人用端末に送信することを特徴とする。

第９の技術手段は、前記第５ないし第８の技術手段のいずれかに記載の代理処理履歴収集方法を、コンピュータによって実行可能なプログラムとして実施する代理処理履歴収集プログラムとすることを特徴とする。

本発明のサービス提供システム、代理処理履歴収集方法および代理処理履歴収集プログラムによれば、以下のごとき効果を奏することができる。

第１に、代理人に、利用者Ａ本人の個人情報に関する代理処理を依頼している場合であっても、利用者本人用の電子私書箱サーバに、代理人によって実施された当該利用者本人の個人情報に関する代理処理のすべての履歴を代理処理履歴（つまり、代理人の代理処理要求と該代理処理要求により実施された処理結果）として保存しているので、代理処理要求を実行するサービス提供サーバの如何に関係なく、利用者本人は、代理人による当該利用者本人の個人情報に関する代理処理内容を、漏れなく、取得することができる。而して、利用者本人は、代理人によって当該利用者本人にとって不利益となる処理がされたか否かを容易にチェックすることができる。

第２に、代理人の代理権の設定は、電子私書箱サーバ側で実施し、サービス提供サーバに対する処理要求は、利用者本人のみからなされる形態になるので、サービス提供サーバ側では、代理権の設定を行う必要がなく、サービス提供サーバ側に代理権の設定に関する処理負荷がかかることを防止することができる。

本発明に係るサービス提供システムのシステム構成の一例を示す構成図である。 利用者本人用の電子私書箱サーバにおける利用者本人の個人情報に関する代理人の代理権範囲設定情報の一例を示すテーブルである。 代理人用の電子私書箱サーバにおける利用者本人の個人情報に関する代理人の代理権範囲設定情報の一例を示すテーブルである。 図１に示すサービス提供システムの動作の一例を示すシーケンスチャートである。 図１に示すサービス提供システムの動作の他の例を示すシーケンスチャートである。 従来のサービス提供システムにおける代理人による代理処理の動作を説明するためのシステム構成図である。

以下に、本発明に係るサービス提供システム、代理処理履歴収集方法および代理処理履歴収集プログラムの好適な実施形態について、その一例を、図面を参照しながら詳細に説明する。なお、以下の説明においては、本発明によるサービス提供システムおよび代理処理履歴収集方法について説明するが、かかる代理処理履歴収集方法をコンピュータにより実行可能な代理処理履歴収集プログラムとして実施するようにしても良いし、さらに、かかる代理処理履歴収集プログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。

（本発明の特徴）
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、利用者本人および代理人がそれぞれの電子私書箱サーバを経由してサービス提供サーバにアクセスするシステム構成において、代理人が利用者本人に代わってサービス提供サーバにアクセスして利用者本人に関する個人情報を代理処理する際に、代理人用の電子私書箱サーバと利用者本人用の電子私書箱サーバとを経由して各電子私書箱サーバにあらかじめ設定されている代理権の範囲内でのアクセスを可能とし、かつ、代理人が行った代理処理要求に基づいて実施された利用者本人に関する個人情報の処理結果をサービス提供サーバから受信する際には、利用者本人用の電子私書箱サーバでまず受信し、代理処理した処理結果を代理処理要求と関連付けて代理処理履歴として保存し、利用者本人によるチェックを可能とした上で、処理結果を代理人用の電子私書箱サーバに転送することにより、代理人のサービス提供サーバへの不正なアクセスを防止することを可能としている。

つまり、本発明の特徴は、代理人の代理処理が、すべて、利用者本人の電子私書箱として機能する利用者本人用の電子私書箱サーバを通過することにあり、而して、利用者本人が、当該利用者本人用の電子私書箱サーバにアクセスすることにより、代理人の代理処理に不当なものがあるか否かを容易にチェックすることを可能としている。また、サービス提供サーバから利用者本人に関する個人情報を代理人用端末が受信する際も、利用者本人の電子私書箱サーバをまず通過させることによって、代理人によって操作がなされた利用者本人の個人情報を取得して代理処理履歴として保存し、代理人による不当な操作がなされたか否かを利用者本人がチェックすることを可能としている。

（本発明のシステム構成例）
次に、本発明に係るサービス提供システムの実施形態について説明する。まず、本発明に係るサービス提供システムのシステム構成例について説明する。

図１は、本発明に係るサービス提供システムのシステム構成の一例を示す構成図であり、図１（Ａ）は、サービス提供システムの全体構成の一例を示し、図１（Ｂ）は、サービス提供システムの構成要素の一つである利用者Ａ本人用の電子私書箱サーバＰ１の内部構成の一例を示し、図１（Ｃ）は、サービス提供システムの構成要素の一つである代理人Ｂ用の電子私書箱サーバＰ２の内部構成の一例を示している。

図１（Ａ）に示すように、サービス提供システムは、利用者Ａ本人が使用する利用者端末（利用者本人用端末）である利用者Ａ本人用端末Ｔ１、利用者Ａの代理人Ｂが使用する利用者端末（代理人用端末）である代理人Ｂ用端末Ｔ２、利用者Ａ側のポータルサイト等に設置された利用者Ａ本人用の電子私書箱サーバＰ１、利用者Ａの代理人Ｂ側のポータルサイト等に設置された代理人Ｂ用の電子私書箱サーバＰ２、利用者に関する個人情報を保有し、利用者にサービスを提供するサービス提供者ｓ１用のサービス提供サーバＳ１、サービス提供者ｓ２用のサービス提供サーバＳ２、サービス提供者ｓ３用のサービス提供サーバＳ３が、インターネット等のネットワークＮ１，Ｎ２を介して互いに接続されている。

図１（Ａ）に破線で示すように、本実施形態においては、代理人Ｂが、代理人Ｂ用端末Ｔ２から代理人Ｂ用の電子私書箱サーバＰ２に対して利用者Ａ本人の個人情報に関する代理処理要求を行い、利用者Ａ本人の個人情報に関するサービス提供サーバ例えばサービス提供サーバＳ１における処理結果を、代理人Ｂ用端末Ｔ２にて受信する場合について示している。代理人Ｂ用端末Ｔ２からの代理処理要求を受け取った代理人Ｂ用の電子私書箱サーバＰ２は、直接、サービス提供サーバＳ１にアクセスしないで、必ず、利用者Ａ本人用の電子私書箱サーバＰ１を介して、サービス提供サーバＳ１にアクセスするように構成されている。したがって、サービス提供サーバＳ１等は、利用者本人からの処理要求のみを受け付けることになる。ここで、利用者Ａ本人用の電子私書箱サーバＰ１は、代理人Ｂによる利用者Ａ本人に関する個人情報の代理処理要求の内容とサービス提供サーバＳ１における処理結果とを関連付けて、代理人Ｂによる利用者Ａ本人の個人情報へのアクセス履歴を示す代理処理履歴として記録保存することにしている。

而して、当該利用者Ａ本人が、利用者Ａ本人用端末Ｔ１から、利用者Ａ本人用の電子私書箱サーバＰ１に対して、代理人Ｂによる当該利用者Ａ本人の個人情報に対する処理の履歴を取得するための代理処理履歴要求を送信することにより、代理人Ｂによる代理処理履歴を、利用者Ａ本人用端末Ｔ１に返送させることが可能である。

なお、利用者Ａ本人用端末Ｔ１、代理人Ｂ用端末Ｔ２、利用者Ａ本人用の電子私書箱サーバＰ１、代理人Ｂ用の電子私書箱サーバＰ２、サービス提供サーバＳ１，Ｓ２，Ｓ３のいずれも、それぞれの公開鍵証明書および秘密鍵を有しており、処理要求（代理処理要求）や処理結果を作成する際に、自己の署名を作成して付与したり、相手方との通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式に基づいて、相互に相手方の公開鍵証明書を交換したりする等の動作を行うことにより、相手方の認証や交換する情報の正当性を検証したりする。

（利用者端末）
利用者Ａ本人用端末Ｔ１は、利用者Ａから当該利用者Ａ本人の個人情報に関する代理人Ｂによる代理処理の履歴を取得する要求を受け取った際に、ネットワークＮ１を介して、利用者Ａ本人用の電子私書箱サーバＰ１に対して、代理人Ｂによる利用者Ａ本人に関する個人情報の代理処理履歴（代理人Ｂによる処理内容の履歴）の取得要求を代理処理履歴要求として送信し、電子私書箱サーバＰ１から返送されてくる代理処理履歴を受信して利用者Ａ本人に提示する端末である。なお、利用者Ａ本人用端末Ｔ１は、利用者Ａ本人用の電子私書箱サーバＰ１に対して利用者Ａ本人に関する個人情報の処理要求を送信して、電子私書箱サーバＰ１から返送されてくる処理結果を受信することももちろん可能であるが、以下には、代理人Ｂの代理処理履歴を取得する場合についてのみ説明する。ここで、電子私書箱サーバＰ１との通信に先立って、電子私書箱サーバＰ１との間で相互認証を行う。

なお、利用者端末は、サービス提供システム内に、１台のみではなく、複数の利用者それぞれが使用する端末であり、任意の台数分、設置されている。

（代理人用端末）
代理人Ｂ用端末Ｔ２は、利用者端末すなわち利用者Ａ本人用端末Ｔ１と全く同様の端末であり、利用者Ａ本人の代理人等のアクセス権限を有する第三者から、当該利用者Ａ本人の個人情報に関する指定した代理処理要求を受け取った際に、ネットワークＮ１を介して、代理人Ｂ用の電子私書箱サーバＰ２に対して、利用者Ａ本人に関する個人情報の代理処理要求を送信し、電子私書箱サーバＰ２から返送されてくる処理結果を受信して代理人Ｂに提示する端末である。ここで、電子私書箱サーバＰ２との通信に先立って、電子私書箱サーバＰ２との間で相互認証を行う。

なお、代理人用端末についても、利用者端末と同様、サービス提供システム内に、１台のみではなく、複数の代理人それぞれが使用する端末であり、任意の台数分、設置されている。

また、代理人Ｂ用端末は、利用者Ａ本人の代理人Ｂのみならず利用者Ａ本人に関する個人情報の処理を行う資格を有する警察等の資格保持者を含む第三者が使用する端末であっても良い。なお、当該代理人Ｂ自身の個人情報を取得する場合は、代理人Ｂ用端末Ｔ２は、利用者端末すなわち利用者Ｂ本人用端末Ｔ２として使用されることになる。

（電子私書箱サーバ）
利用者Ａ本人の電子私書箱として機能する利用者Ａ本人用の電子私書箱サーバＰ１は、１ないし複数のサービス提供サーバＳ１，Ｓ２，Ｓ３，…に保有されている利用者Ａ本人の個人情報に関する代理人Ｂからの代理処理要求を、代理人Ｂ用の電子私書箱サーバＰ２から受信した際に、送信元の電子私書箱サーバＰ２の認証を行うとともに、代理処理要求の正当性（代理権の範囲に収まっているか否か）を確認し、正当性があることを確認した場合に、該代理処理要求を利用者Ａ本人が要求する形式の処理要求に編集して、サービス提供サーバに対して、代理人Ｂが要求している当該利用者Ｂ本人の個人情報に関する処理要求を送信し、サービス提供サーバから処理結果が返送されてきた場合、処理結果を代理処理要求と関連付けて代理処理履歴として保存するとともに、当該処理結果を代理人Ｂ用の電子私書箱サーバＰ２に返送する。

また、利用者Ａ本人用の電子私書箱サーバＰ１は、利用者Ａ本人の利用者Ａ本人用端末Ｔ１から代理人Ｂによる代理処理に関する履歴情報の取得を要求する代理処理履歴要求を受信した際に、該代理処理履歴要求の送信元の利用者Ａ本人用端末Ｔ１の認証を行った後、保存している代理人Ｂによる代理処理履歴を要求元の利用者Ａ本人用端末Ｔ１に返送する。

このため、利用者Ａ本人用の電子私書箱サーバＰ１は、図１（Ｂ）に示すように、代理人Ｂ用の電子私書箱サーバＰ２から転送されてくる代理処理要求を受信する代理処理要求受信手段Ｐ１１、代理人Ｂの代理権の範囲を検証する代理権範囲検証手段Ｐ１２、代理権や相互認証に関する利用者情報を格納する利用者情報格納手段Ｐ１３、処理要求をサービス提供サーバ例えばサービス提供サーバＳ１等に送信する処理要求送信手段Ｐ１４、通信相手との通信開始時に通信相手との相互認証を行う相互認証手段Ｐ１５、サービス提供サーバ例えばサービス提供サーバＳ１等からの処理結果を受信する処理結果受信手段Ｐ１６、代理処理要求に対する処理結果を受信している場合、受信した処理結果を代理人Ｂ用の電子私書箱サーバＰ２に送信する処理結果送信手段Ｐ１７、代理処理要求による処理結果として受信した処理結果を該代理処理要求と関連付けて代理処理履歴として保存する処理履歴保存手段Ｐ１８、利用者Ａ本人用端末Ｔ１から送信されてくる代理処理履歴の取得要求を受信する代理処理履歴要求受信手段Ｐ１９ａ、処理履歴保存手段Ｐ１８に保存されている代理人Ｂのアクセス状況を示す代理処理履歴を読み出す処理履歴読出手段Ｐ１９ｂ、処理履歴読出手段Ｐ１９ｂにより読み出した代理処理履歴を利用者Ａ本人用端末Ｔ１に送信する代理処理履歴送信手段Ｐ１９ｃを少なくとも備えている。

ここで、利用者情報格納手段Ｐ１３は、当該電子私書箱サーバＰ１の公開鍵証明書および秘密鍵からなる認証用情報、代理人Ｂの代理権の範囲に関する情報を少なくとも格納している。

また、相互認証手段Ｐ１５は、利用者情報格納手段Ｐ１３に格納している当該電子私書箱サーバＰ１の公開鍵証明書および秘密鍵を参照して、通信相手の利用者Ａ本人用端末Ｔ１、電子私書箱サーバＰ２、サービス提供サーバＳ１，Ｓ２，Ｓ３との間の相互認証を行うために、ＰＫＩ認証方式に基づいて、相互に相手方の公開鍵証明書を交換したりして、相手方の正当性を検証する。

次に、代理人Ｂの電子私書箱として機能する代理人Ｂ用の電子私書箱サーバＰ２は、利用者Ａの代理人Ｂが使用する代理人Ｂ用端末Ｔ２からの利用者Ａ本人の個人情報に関する代理処理要求を受信した際に、該代理処理要求に関する代理権の範囲を確認した後、該代理処理要求を利用者Ａ本人用の電子私書箱サーバＰ１に転送することによって、サービス提供サーバに対して処理要求を行い、サービス提供サーバによる処理結果を、電子私書箱サーバＰ１を介して、受信して、要求元の代理人Ｂ用端末Ｔ２に返送する。

このため、電子私書箱サーバＰ２は、図１（Ｃ）に示すように、代理人Ｂ用端末Ｔ２からの代理処理要求を受信する代理処理要求受信手段Ｐ２１、代理人Ｂの代理権の範囲を検証する代理権範囲検証手段Ｐ２２、代理権や相互認証に関する利用者情報を格納する利用者情報格納手段Ｐ２３、代理処理要求を利用者Ａ本人用の電子私書箱サーバＰ１に送信する代理処理要求送信手段Ｐ２４、通信相手との相互認証を行う相互認証手段Ｐ２５を少なくとも備えている。

ここで、利用者情報格納手段Ｐ２３は、当該電子私書箱サーバＰ２の公開鍵証明書および秘密鍵からなる認証用情報、代理人Ｂの代理権の範囲に関する情報を少なくとも格納している。

また、相互認証手段Ｐ２５は、利用者情報格納手段Ｐ２３に格納している当該電子私書箱サーバＰ２の公開鍵証明書および秘密鍵を参照して、通信相手の代理人Ｂ用端末Ｔ２、電子私書箱サーバＰ１との間の相互認証を行うために、ＰＫＩ認証方式に基づいて、相互に相手方の公開鍵証明書を交換したりして、相手方の正当性を検証する。

（各サービス提供サーバ）
各サービス提供者ｓ１，ｓ２，ｓ３，…それぞれが運営するサービス提供サーバＳ１，Ｓ２，Ｓ３，…等のサービス提供サーバは、各サービス提供者が提供するサービスを利用する利用者に関する個人情報を保有し、利用者Ａ本人用の電子私書箱サーバＰ１から受信した処理要求に応じて利用者に関する個人情報を処理して、処理した結果を、処理要求元の利用者Ａ本人用の電子私書箱サーバＰ１に対して返送する。

なお、利用者Ａ本人用の電子私書箱サーバＰ１からの処理要求を受信時に、電子私書箱サーバＰ１との間でＰＫＩ認証方式による相互認証を行い、相互認証結果として正当な電子私書箱サーバＰ１からの処理要求であるものと判定した場合に、該処理要求に指定されている処理を行う。

（本発明のサービス提供システムの動作例）
次に、図１に示した本発明に係る一実施形態であるサービス提供システムの動作について、利用者Ａ本人の個人情報例えば年金加入記録に関する閲覧を要求する代理人Ｂの代理処理要求を、代理人Ｂ用端末Ｔ２から代理人Ｂ用の電子私書箱サーバＰ２が受け付けて、利用者Ａ本人用の電子私書箱サーバＰ１を経由して、該利用者Ａ本人の年金加入記録に関する情報を保存しているサービス提供サーバＳ１に代理処理要求を行う場合を例にとってその一例を説明する。

まず、利用者Ａ本人に関する個人情報の代理処理要求を行う代理人Ｂの代理権の範囲を、代理権範囲設定情報として、電子私書箱サーバＰ１、Ｐ２それぞれの利用者情報格納手段Ｐ１３，Ｐ２３にあらかじめ設定している設定例について、図２および図３のテーブルを用いて説明する。

図２は、利用者Ａ本人用の電子私書箱サーバＰ１における利用者Ａ本人の個人情報に関する代理人Ｂの代理権範囲設定情報の一例を示すテーブルであり、利用者Ａの個人情報の一例として年金加入記録の処理要求を代理人Ｂが行う場合の代理権の範囲の設定例を示している。また、図３は、代理人Ｂ用の電子私書箱サーバＰ２における利用者Ａ本人の個人情報に関する代理人Ｂの代理権範囲設定情報の一例を示すテーブルであり、利用者Ａの個人情報の一例として年金加入記録の処理要求を代理人Ｂが行う場合の代理権の範囲の設定例を示している。

なお、権限を有する代理人Ｂが、利用者Ａ本人の個人情報の更新や閲覧等の代理処理を行う操作に先立って、当該利用者Ａ本人は、利用者Ａ本人用の電子私書箱サーバＰ１の利用者情報格納手段Ｐ１３および代理人Ｂ用の電子私書箱サーバＰ２の利用者情報格納手段Ｐ２３それぞれに、図２、図３に例示するような代理人ＢのＰ１用代理権範囲設定情報１００およびＰ２用代理権範囲設定情報２００をあらかじめ設定しておくことが必要である。この場合、各電子私書箱サーバＰ１，Ｐ２に対して、手作業で各代理権範囲設定情報を入力して保存するようにしても良いし、ネットワークＮ１を経由して、利用者Ａ本人の本人認証等の処理を実施した上で、当該代理権範囲設定情報を転送して保存するようにしても良いし、手作業と転送とを併用して保存するようにしても良い。

ここで、電子私書箱サーバＰ１，Ｐ２の利用者情報格納手段Ｐ１３，Ｐ２３それぞれに設定されるＰ１用代理権範囲設定情報１００、Ｐ２用代理権範囲設定情報１００は、「アクセス権」、「開示設定」、「合意」の３つの種別の情報によって構成される。

「アクセス権」とは、誰が、誰の、どの情報に対して、どのような目的で、どの認証レベルでアクセスすることができるかを制御するためのものである。

「開示設定」とは、アクセス権が許可された人物に対して、どの内容（項目）の個人情報の開示を許可するかを制御するためのものである。利用者の個人情報は、当該利用者本人のみならず、開示が許可された代理人への開示設定を行うことも可能である。

また、「合意」とは、アクセス権の許可により、取得した個人情報について、電子私書箱サーバにおいて、どのような処置（「保存」、「削除」、「提供」等）を許可するかを制御するためのものである。

ここで、「保存」とは、利用者本人または代理人がサービス提供サーバから取得した個人情報を電子私書箱サーバに保存することが許可されることを意味している。また、「削除」とは、利用者本人または代理人がサービス提供サーバから取得して電子私書箱サーバに保存していた個人情報を削除することが許可されることを意味し、ポリシー情報として「削除」が許可されている場合には、利用者本人または代理人は、電子私書箱サーバに保存している当該利用者本人の個人情報を参照した後等において、当該個人情報が不要な場合には、電子私書箱サーバから削除することが可能である。

また、「提供」とは、利用者本人または代理人がサービス提供サーバから取得して電子私書箱サーバに保存していた利用者本人の個人情報を当該利用者本人または代理人による再配布が許可されることを意味し、ポリシー情報として「提供」が許可されている場合には、利用者本人または代理人は、電子私書箱サーバに保存している個人情報を第三者に再配布することが可能である。

次に、図２の利用者Ａ本人用の電子私書箱サーバＰ１の利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報１００について説明する。Ｐ１用代理権範囲設定情報１００は、前述のように、「アクセス権」、「開示設定」、「合意」の３種類の情報からなっており、図２（Ａ）が、「アクセス権」の代理権範囲設定情報の登録例であり、図２（Ｂ）が、「開示設定」の代理権範囲設定情報の登録例であり、図２（Ｃ）が、「合意」の代理権範囲設定情報の登録例である。

図２（Ａ）の電子私書箱サーバＰ１における代理人Ｂ用の「アクセス権」に関する代理権範囲設定情報は、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ１０１、代理権の種別を示す種別１０２、利用者Ａの個人情報にアクセスする代理人Ｂを示すアクセス主体ＩＤ１０３、代理人Ｂによりアクセスされる個人情報の所有者を示す情報所有者ＩＤ１０４、アクセス対象の個人情報を示すアクセス対象情報１０５、アクセスの目的を示すアクセス目的１０６、アクセスする代理人Ｂを認証する認証条件１０７を少なくとも含んで構成される。

図２（Ａ）の記載例では、サービス提供者名・サービスＩＤ１０１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別１０２には、代理権種別としてアクセス権が登録され、アクセス主体ＩＤ１０３には、例えば代理人Ｂの場合は、電子私書箱サーバ用の私書箱利用者ＩＤとして“ＩＤ−Ｂ”が登録され、情報所有者ＩＤ１０４には、例えば利用者Ａの場合は、電子私書箱サーバ用の私書箱利用者ＩＤとして“ＩＤ−Ａ”が登録され、アクセス対象情報１０５には、例えば利用者Ａの年金加入記録が登録され、アクセス目的１０６には、閲覧が登録され、認証条件１０７には、例えばＰＫＩ認証等が登録されている。

図２（Ｂ）の電子私書箱サーバＰ１における代理人Ｂ用の「開示設定」に関する代理権範囲設定情報は、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ１１１、代理権の種別を示す種別１１２、代理人Ｂに開示する対象となる利用者Ａの個人情報を示す開示対象情報１１３、開示対象情報の代理人Ｂへの開示の可否を示す開示可否１１４を少なくとも含んで構成される。

図２（Ｂ）の記載例では、サービス提供者名・サービスＩＤ１１１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別１１２には、代理権種別として開示設定が登録され、開示対象情報１１３には、例えば利用者Ａの年金加入記録の場合は、利用者Ａに関する「年金加入記録」のカテゴリ（種類）に属するすべての情報である年金加入月数、標準報酬月額、年金見込額等が登録され、開示可否１１４には、年金加入月数は開示可であるが、標準報酬月額、年金見込額については、開示不可として設定されている。

図２（Ｃ）の電子私書箱サーバＰ１における代理人Ｂ用の「合意」に関する代理権範囲設定情報は、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ１２１、代理権の種別を示す種別１２２、代理人Ｂによる個人情報へのアクセスを示すアクセス対象情報１２３、代理人Ｂによる個人情報へのアクセスを行う電子私書箱サーバを示す対象サーバ１２４、許可／禁止する処理１２５を少なくとも含んで構成される。

図２（Ｃ）の記載例では、サービス提供者名・サービスＩＤ１２１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別１２２には、代理権種別として合意が登録され、アクセス対象情報１２３には、例えば代理人Ｂによる閲覧が可能とされた対象情報を示す処理結果が登録され、対象サーバ１２４には、当該電子私書箱サーバＰ１と代理人Ｂのアクセス用に使用される電子私書箱サーバＰ２との情報が登録され、許可／禁止する処理１２５には、当該電子私書箱サーバＰ１には保存可能の旨が、電子私書箱サーバＰ２には保存不可能の旨が登録されている。

次に、図３の代理人Ｂ用の電子私書箱サーバＰ２の利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報２００について説明する。Ｐ２用代理権範囲設定情報２００も、前述のように、「アクセス権」、「開示設定」、「合意」の３種類の情報からなっており、図３（Ａ）が、「アクセス権」の代理権範囲設定情報の登録例であり、図３（Ｂ）が、「開示設定」の代理権範囲設定情報の登録例であり、図３（Ｃ）が、「合意」の代理権範囲設定情報の登録例である。

図３（Ａ）の電子私書箱サーバＰ２における代理人Ｂ用の「アクセス権」に関する代理権範囲設定情報は、図２（Ａ）の電子私書箱サーバＰ１の場合と同様、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ２０１、代理権の種別を示す種別２０２、利用者Ａの個人情報にアクセスする代理人Ｂを示すアクセス主体ＩＤ２０３、代理人Ｂによりアクセスされる個人情報の所有者を示す情報所有者ＩＤ２０４、アクセス対象の個人情報を示すアクセス対象情報２０５、アクセスの目的を示すアクセス目的２０６、アクセスする代理人Ｂを認証する認証条件２０７を少なくとも含んで構成される。

図３（Ａ）の記載例では、サービス提供者名・サービスＩＤ２０１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別２０２には、代理権種別としてアクセス権が登録され、アクセス主体ＩＤ２０３には、例えば代理人Ｂの場合は、電子私書箱サーバ用の私書箱利用者ＩＤとして“ＩＤ−Ｂ”が登録され、情報所有者ＩＤ２０４には、例えば利用者Ａの場合は、電子私書箱サーバ用の私書箱利用者ＩＤとして“ＩＤ−Ａ”が登録され、アクセス対象情報２０５には、例えば利用者Ａの年金加入記録が登録され、アクセス目的２０６には、閲覧が登録され、認証条件２０７には、例えばＰＫＩ認証等が登録されている。

図３（Ｂ）の電子私書箱サーバＰ２における代理人Ｂ用の「開示設定」に関する代理権範囲設定情報は、図２（Ｂ）の電子私書箱サーバＰ１の場合と同様、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ２１１、代理権の種別を示す種別２１２、代理人Ｂに開示する対象となる利用者Ａの個人情報を示す開示対象情報２１３、開示対象情報の代理人Ｂへの開示の可否を示す開示可否２１４を少なくとも含んで構成される。

図３（Ｂ）の記載例では、サービス提供者名・サービスＩＤ２１１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別２１２には、代理権種別として開示設定が登録され、開示対象情報２１３には、例えば利用者Ａの年金加入記録の場合は、利用者Ａに関する年金加入記録のカテゴリ（種類）に属するすべての情報である年金加入月数、標準報酬月額、年金見込額等が登録され、開示可否２１４には、年金加入月数は開示可であるが、標準報酬月額、年金見込額については、開示不可として設定されている。

図３（Ｃ）の電子私書箱サーバＰ２における代理人Ｂ用の「合意」に関する代理権範囲設定情報は、図２（Ｃ）の電子私書箱サーバＰ１の場合と略同様、サービス提供サーバとその利用者Ａの識別用ＩＤとを示すサービス提供者名・サービスＩＤ２２１、代理権の種別を示す種別２２２、代理人Ｂによる個人情報へのアクセスを示すアクセス対象情報２２３、代理人Ｂによる個人情報へのアクセスを行う電子私書箱サーバを示す対象サーバ２２４、保存可否２２５を少なくとも含んで構成される。

図３（Ｃ）の記載例では、サービス提供者名・サービスＩＤ２２１には、サービス提供サーバＳ１（サービス提供者名）、“Ｓ１−００２”（サービスＩＤ）が登録され、種別２２２には、代理権種別として合意が登録され、アクセス対象情報２２３には、例えば代理人Ｂによる閲覧が可能とされた対象情報を示す処理結果が登録され、対象サーバ２２４には、当該電子私書箱サーバＰ１と代理人Ｂのアクセス用に使用される電子私書箱サーバＰ２との情報が登録され、保存可否２２５には、保存不可能の旨が登録されている。

（動作シーケンス例）
次に、図１に示したサービス提供システムの動作の一例について、図２、図３それぞれに示したＰ１用代理権範囲設定情報１００、Ｐ２用代理権範囲設定情報２００を参照しながら、図４のシーケンスチャートを用いて説明する。ここに、図４は、図１に示すサービス提供システムの動作の一例を示すシーケンスチャートであり、本発明に係るサービス提供方法の一例を示すものでもある。図４（Ａ）は、代理人Ｂにより利用者Ａ本人の個人情報を代理処理する場合の動作の一例を示し、図４（Ｂ）は、利用者Ａ本人が、代理人Ｂにより実施された当該利用者Ａ本人の個人情報に関する代理処理の履歴を取得する場合の動作の一例を示している。

なお、以下の動作例の説明においては、利用者Ａ本人の代理人Ｂが、サービス提供サーバＳ１に保存されている利用者Ａ本人の個人情報の一つである年金加入記録を取得して代理閲覧しようとする場合の動作について説明する。

代理人Ｂが、利用者Ａ本人の個人情報を取得して、利用者Ａ本人の個人情報の閲覧等の代理処理を行う場合には、前述したように、利用者Ａ本人は、利用者Ａ本人用の電子私書箱サーバＰ１および代理人Ｂ用の電子私書箱サーバＰ２に、当該利用者Ａ本人の個人情報の開示条件に関する代理人Ｂの代理権範囲をあらかじめ設定しておくことが必要である。

しかる後、図４（Ａ）のシーケンスチャートに示すように、利用者Ａ本人の代理人Ｂは、代理人Ｂ用の利用者端末つまり代理人Ｂ用端末Ｔ２に、利用者Ａ本人に関する個人情報の代理処理を要求する代理処理要求を入力すると、代理人Ｂ用端末Ｔ２は、まず、該代理処理要求の送信先の代理人Ｂ用の電子私書箱サーバＰ２との間で、例えば、互いの公開鍵証明書、秘密鍵を用いて、ＰＫＩ（Public Key Infrastructure）認証方式に基づく相互認証を行う（シーケンスＳｅｑ１）。

代理人Ｂ用の電子私書箱サーバＰ２は、代理処理要求受信手段Ｐ２１を介して、相互認証手段Ｐ２５を起動して、利用者情報格納手段Ｐ２３に格納されている当該電子私書箱サーバＰ２の公開鍵証明書および秘密鍵を利用して、代理人Ｂ用端末Ｔ２との間で相互認証を行う。

相互認証結果として互いが正当な通信相手であることが認証されると、代理人Ｂ用端末Ｔ２は、代理人Ｂが入力した代理人Ｂ用の処理要求を、代理処理要求として、代理人Ｂ用の電子私書箱サーバＰ２に対して送信する（シーケンスＳｅｑ２）。ここで、該代理処理要求は、前述のように、サービス提供サーバＳ１に保存されている利用者Ａ本人の年金加入記録を閲覧する処理要求である。

本実施例の場合、代理人Ｂ用端末Ｔ２から送信される代理処理要求は、図４に示すように、要求者が代理人Ｂ（電子私書箱サーバ用の代理人Ｂの利用者ＩＤである私書箱利用者ＩＤ“ＩＤ−Ｂ”により示す）であり、代理処理対象の個人情報の利用者を示す対象者が利用者Ａ（電子私書箱サーバ用の利用者Ｂの利用者ＩＤである私書箱利用者ＩＤ“ＩＤ−Ａ”により示す）であり、代理処理を要求するサービス提供サーバを示す処理要求先が、サービス提供サーバＳ１であり、要求する処理が、利用者Ａ本人に関する年金加入記録を閲覧することを要求している。

代理人Ｂ用端末Ｔ２から前述のような代理処理要求を代理処理要求受信手段Ｐ２１により受け取った代理人Ｂ用の電子私書箱サーバＰ２は、代理権範囲検証手段Ｐ２２を起動して、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報２００を参照して、受信した代理処理要求が代理人Ｂの代理権の範囲内にあるアクセス要求であるか否かを検証する。

ここで、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報２００は、例えば、図３に示したように、「アクセス権」、「開示設定」、「合意」の３種類の代理権範囲設定情報からなっており、図３（Ａ）の「アクセス権」の代理権範囲設定情報には、代理人Ｂによる利用者Ａの年金加入記録の閲覧が目的であった場合には、代理人Ｂの認証レベルとして、代理人ＢのＰＫＩ認証方式による署名が正当であれば、アクセス権に問題がない旨が設定されている。したがって、代理人Ｂ用の電子私書箱サーバＰ２は、代理人Ｂのアクセス権の確認がなされたものと判定して、受信した代理処理要求をそのまま転送することが可能であるので、代理処理要求送信手段Ｐ２４を起動する。なお、代理人Ｂの認証は、図４のシーケンスＳｅｑ１のようにＰＫＩ認証方式による相互認証を実施する場合以外に、複数の認証レベルを備えることが可能であり、例えば、代理人Ｂの認証レベルとして、ＩＤ、パスワード認証方式により代理人Ｂ用の電子私書箱サーバＰ２が代理人Ｂ用端末Ｔ２の認証を実施するように設定しても良い。

代理処理要求送信手段Ｐ２４は、代理処理要求の送信開始時に、まず、相互認証手段Ｐ２５を起動して、利用者Ａ本人の個人情報に関する代理処理要求の転送先となる利用者Ａ本人用の電子私書箱サーバＰ１との間で、利用者情報格納手段Ｐ２３に格納されている当該電子私書箱サーバＰ２の公開鍵証明書および秘密鍵を用いて、ＰＫＩ認証方式に基づく相互認証を行う（シーケンスＳｅｑ３）。

利用者Ａ本人用の電子私書箱サーバＰ１は、代理処理要求受信手段Ｐ１１を介して、相互認証手段Ｐ１５を起動して、利用者情報格納手段Ｐ１３に格納されている当該電子私書箱サーバＰ１の公開鍵証明書および秘密鍵を利用して、電子私書箱サーバＰ２との間で相互認証を行う。

相互認証結果として互いが正当な通信相手であることが認証されると、代理処理要求送信手段Ｐ２４は、代理人Ｂ用端末Ｔ２からの代理処理要求を、当該代理人Ｂのアクセス権に関する認証レベルを示す認証レベル情報を付して、利用者Ａ本人用の電子私書箱サーバＰ１に対して転送する（シーケンスＳｅｑ４）。

代理人Ｂ用の電子私書箱サーバＰ２から前述のような代理処理要求を代理処理要求受信手段Ｐ１１により受け取った利用者Ａ本人用の電子私書箱サーバＰ１は、代理権範囲検証手段Ｐ１２を起動して、代理処理要求に付されている認証レベル情報、および、利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報１００を参照して、受信した代理処理要求が代理人Ｂの代理権の範囲内にあるアクセス要求であるか否かを検証する。

ここで、利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報１００は、例えば、図２に示したように、「アクセス権」、「開示設定」、「合意」の３種類の代理権範囲設定情報からなっており、図２（Ａ）の「アクセス権」の代理権範囲設定情報には、代理人Ｂによる利用者Ａの年金加入記録の閲覧が目的であった場合には、代理人ＢのＰＫＩ認証方式による署名が正当であれば、アクセス権に問題がない旨が設定されている。したがって、利用者Ａ本人用の電子私書箱サーバＰ１は、代理人Ｂのアクセス権の確認がなされたものと判定して、処理要求送信手段Ｐ１４を起動する。なお、代理処理要求に付されている認証レベル情報が、例えば、ＩＤ、パスワード方式による認証レベルであった場合、要求されている利用者Ａ本人の個人情報例えば年金加入記録が、当該電子私書箱サーバＰ１内に保存されていた場合には、代理人Ｂは、当該利用者Ａ本人の個人情報例えば年金加入記録を参照することが可能であるが、当該電子私書箱サーバＰ１内には保存されていなかった場合には、サービス提供サーバＳ１に保有されている当該利用者Ａ本人の個人情報例えば年金加入記録へのアクセス権はないものと判定し、処理要求送信手段Ｐ１４を起動する動作を行わないようにしても良い。

処理要求送信手段Ｐ１４は、受信した代理処理要求に含まれている処理要求先のサービス提供サーバＳ１に対するアクセスを利用者Ａ本人によるアクセスに限定するように、代理人Ｂではなく利用者Ａ本人による当該利用者Ａ本人の個人情報（年金加入記録）へのアクセス要求とするために、代理処理要求に含まれている要求者を示す代理人Ｂを、対象者と同じ利用者Ａ本人（利用者Ａを示す利用者ＩＤであるサービスＩＤ“Ｓ１−００２”）に書き換えて、代理処理要求ではなく処理要求として編集する。

さらに、処理要求送信手段Ｐ１４は、編集した処理要求の送信開始時に、まず、相互認証手段Ｐ１５を起動して、該処理要求の送信先となるサービス提供サーバＳ１との間で、利用者情報格納手段Ｐ１３に格納されている当該電子私書箱サーバＰ１の公開鍵証明書および秘密鍵を用いて、ＰＫＩ認証方式に基づく相互認証を行う（シーケンスＳｅｑ５）。

相互認証結果として互いが正当な通信相手であることが認証されると、処理要求送信手段Ｐ１４は、編集した処理要求を、処理要求先のサービス提供サーバＳ１に対して送信する（シーケンスＳｅｑ６）。

利用者Ａ本人用の電子私書箱サーバＰ１から処理要求を受け取ったサービス提供サーバＳ１は、該処理要求に要求されている利用者Ａ本人の年金加入記録（本実施例の場合、図２、図３に示すように、「年金加入月数」、「標準報酬月額」、「年金見込額」の３つの情報）を読み出して、処理要求の送信元の利用者Ａ本人用の電子私書箱サーバＰ１に対して、処理要求に対する処理結果として、送信する（シーケンスＳｅｑ７）。

利用者Ａ本人用の電子私書箱サーバＰ１は、サービス提供サーバＳ１から送信されてきた処理結果を処理結果受信手段Ｐ１６により受信すると、代理権範囲検証手段Ｐ１２を起動して、利用者情報格納手段Ｐ１３に設定されている図２に示したようなＰ１用代理権範囲設定情報１００を参照して、処理結果として受信した利用者Ａ本人の年金加入記録（本実施例の場合、「年金加入月数」、「標準報酬月額」、「年金見込額」の３つの情報）について、「開示設定」、「合意」の代理権範囲設定情報を確認する。

ここで、利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報１００は、例えば、図２（Ｃ）の「合意」の代理権範囲設定情報には、許可／禁止する処理１２５に示すように、当該電子私書箱サーバＰ１に、受信した処理結果を保存することが可能である旨が設定されているので、当該処理結果に含まれている当該利用者Ａ本人の年金加入記録の情報を保存する。一方、代理人Ｂ用の電子私書箱サーバＰ２には、保存することが不可能な旨が設定されているので、代理権範囲検証手段Ｐ１２は、処理結果受信手段Ｐ１６に、代理人Ｂ用の電子私書箱サーバＰ２には処理結果を保存することが不可能である旨を通知する。

また、例えば、図２（Ｂ）に示したように、「開示設定」の代理権範囲設定情報には、開示可否１１４に示すように、処理結果として受信した利用者Ａ本人の個人情報「年金加入記録」のうち、「標準報酬月額」、「年金見込額」は代理人Ｂ向けとしては開示不可能であり、「年金加入月数」のみが開示可能である旨が設定されている。

したがって、代理権範囲検証手段Ｐ１２から「年金加入月数」のみが開示可能であり、かつ、代理人Ｂ用の電子私書箱サーバＰ２には処理結果の保存が不可能である旨の通知を受け取った処理結果受信手段Ｐ１６は、サービス提供サーバＳ１から受信した処理結果に電子私書箱サーバＰ２には処理結果の保存が不可能な旨を設定するとともに、処理結果送信手段Ｐ１７は、受信した処理結果に含まれている「年金加入記録」を「年金加入月数」のみに編集し直して、代理人Ｂ用の電子私書箱サーバＰ２から先に受信していた代理処理要求と編集した処理結果とを関連付けて処理履歴保存手段Ｐ１８に処理履歴として保存するとともに、保存不可能の表示付きの「年金加入月数」のみに編集した処理結果を、代理人Ｂ用の電子私書箱サーバＰ２に送信する（シーケンスＳｅｑ８）。

代理人Ｂ用の電子私書箱サーバＰ２は、利用者Ａ本人用の電子私書箱サーバＰから送信されてきた処理結果を受信すると、代理権範囲検証手段Ｐ２２を起動して、利用者情報格納手段Ｐ２３に設定されている図３に示したようなＰ２用代理権範囲設定情報２００を参照して、処理結果として受信した利用者Ａ本人の年金加入記録（本実施例の場合、「年金加入月数」のみの情報）について、「開示設定」、「合意」の代理権範囲設定情報を確認する。

ここで、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報２００は、例えば、図３（Ｃ）の「合意」の代理権範囲設定情報には、保存可否２２５に示すように、処理結果の保存が不可能である旨が設定されており、かつ、利用者Ａ本人用の電子私書箱サーバＰからの処理結果にも、当該代理人Ｂ用の電子私書箱サーバＰ２には保存することができない旨が設定されているので、受信した処理結果の保存は行わない。

また、例えば、図３（Ｂ）に示したように、「開示設定」の代理権範囲設定情報には、開示可否２１４に示すように、代理人Ｂに対して「年金加入月数」の開示が可能である旨が設定されている。

したがって、代理人Ｂ用の電子私書箱サーバＰ２は、代理処理要求として要求された利用者Ａ本人の年金加入記録のうち「年金加入月数」を、処理結果として、要求元の代理人Ｂ用の利用者端末つまり代理人Ｂ用端末Ｔ２に送信する（シーケンスＳｅｑ９）。

代理人Ｂ用端末Ｔ２は、受信した処理結果を、つまり、代理処理要求を行った利用者Ａ本人の年金加入記録のうち、代理人Ｂの代理権が認められている情報である「年金加入月数」に関する情報を、表示することにより、代理人Ｂに提示する。

一方、利用者Ａ本人が、代理人Ｂが実施している代理処理要求を確認しようとする場合、図４（Ｂ）に示すような簡単な動作シーケンスになる。

代理人Ｂが実施している代理処理要求を確認しようとする利用者Ａ本人は、任意の時点で、当該利用者Ａ本人が使用する利用者Ａ本人用端末Ｔ１に、代理人Ｂの代理処理履歴の転送を要求する代理処理履歴要求を入力すると、利用者Ａ本人用端末Ｔ１は、まず、該代理処理履歴要求の送信先の利用者Ａ本人用の電子私書箱サーバＰ１との間で、例えば、互いの公開鍵証明書、秘密鍵を用いて、ＰＫＩ（Public Key Infrastructure）認証方式に基づく相互認証を行う（シーケンスＳｅｑ１１）。

利用者Ａ本人用の電子私書箱サーバＰ１は、代理処理履歴要求受信手段Ｐ１９ａを介して、相互認証手段Ｐ１５を起動して、利用者情報格納手段Ｐ１３に格納されている当該電子私書箱サーバＰ１の公開鍵証明書および秘密鍵を利用して、利用者Ａ本人用端末Ｔ１との間で相互認証を行う。

相互認証結果として互いが正当な通信相手であることが認証されると、利用者Ａ本人用端末Ｔ１は、利用者Ａ本人が入力した代理人Ｂの代理処理履歴の取得要求を代理処理履歴要求として、利用者Ａ本人用の電子私書箱サーバＰ１に対して送信する（シーケンスＳｅｑ１２）。

利用者Ａ本人用端末Ｔ１から代理人Ｂに関する代理処理履歴要求を代理処理履歴要求受信手段Ｐ１９ａにより受け取った利用者Ａ本人用の電子私書箱サーバＰ１は、処理履歴読出手段Ｐ１９ｂを起動して、処理履歴保存手段Ｐ１８に保存されている代理人Ｂによる代理処理要求と該代理処理要求による処理結果の履歴を読み出す。

処理履歴保存手段Ｐ１８から読み出した代理人Ｂによる代理処理要求と該代理処理要求による処理結果の履歴を、代理人Ｂの利用者Ａ本人の個人情報に関する処理内容を示す代理処理履歴として、代理処理履歴送信手段Ｐ１９ｃにより、利用者Ａ本人用端末Ｔ１に送信する（シーケンスＳｅｑ１３）。

利用者Ａ本人用端末Ｔ１は、受信した代理人Ｂの代理処理履歴を表示することにより、利用者Ａ本人に提示する。

（その他の実施形態）
前述した代理権範囲設置情報の設定例や動作シーケンスの説明においては、代理人Ｂからの代理処理要求が、利用者Ａ本人の個人情報を閲覧するという処理内容の場合について説明したが、例えば、利用者Ａ本人の個人情報の追加や削除や更新等、利用者Ａ本人の個人情報に対して、利用者Ａ本人に代わって、代理人Ｂが何らかの編集処理を、代理処理要求として、サービス提供サーバＳ１等に対して要求する場合であっても、全く同様に適用することができる。

また、前述の動作例の説明においては、代理人Ｂからの代理処理要求が、「アクセス権」としては、電子私書箱サーバＰ１，Ｐ２のいずれにおいても代理権の範囲内にあり、「開示設定」「合意」としては代理権が制限されている場合について説明したが、利用者Ａ本人により設定されるＰ１用代理権範囲設定情報１００、Ｐ２用代理権範囲設定情報２００の登録内容如何により、代理人Ｂによる代理権の範囲を任意に変更することができる。

また、前述の図２のＰ１用代理権範囲設定情報１００の代理権設定範囲とＰ２用代理権範囲設定情報２００の代理権設定範囲とは、設定誤りによる情報漏洩を防止するために同一の登録内容としている例を示したが、場合によっては、両者で異なる代理権の設定が行われる場合を認めるようにしても良い。例えば、本人認証の点から、利用者Ａ本人用の電子私書箱サーバＰ１のＰ１用代理権範囲設定情報１００は、利用者Ａ本人が、代理人Ｂに関する代理権範囲を設定登録することになるが、代理人用の電子私書箱サーバＰ２のＰ２用代理権範囲設定情報２００については、利用者Ａ本人の同意を得た代理人Ｂが、代理人Ｂ自身に関する代理権範囲を設定登録するようにしても良い。

ただし、かかる場合には、利用者Ａ本人用の電子私書箱サーバＰ１から、代理人用の電子私書箱サーバＰ２へ処理結果を送信する際に、Ｐ１用代理権範囲設定情報１００に設定されている代理権範囲に関する情報（特に、図２（Ｃ）に示す「合意」の代理権範囲設定情報のように、他の電子私書箱サーバに関する代理権範囲を設定している代理権範囲設定情報）も合わせて、代理人用の電子私書箱サーバＰ２へ送信し、代理人用の電子私書箱サーバＰ２において、代理人Ｂの代理権の範囲を検証する際に、当該電子私書箱サーバＰ２の利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報２００の代理権範囲と、電子私書箱サーバＰ１から送信されてきたＰ１用代理権範囲設定情報１００の代理権範囲と、の双方の設定内容に基づいて、代理権の範囲を検証することが必要である。

また、図２の電子私書箱サーバＰ１における利用者Ａ本人の個人情報に関する代理人Ｂの代理権範囲設定情報は、図２に示す場合に限るものではない。例えば、図２（Ａ１）の「アクセス権」の代理権範囲設定情報、図２（Ｂ）の「開示設定」の代理権範囲設定情報、図２（Ｃ）の「合意」の代理権範囲設定情報それぞれの種別１０２，１１２，１２２欄を、それぞれの登録テーブルに関する合理性チェック用の情報として備えている例を示したが、場合によっては、種別１０２，１１２，１２２欄を削除しても良い。また、図２（Ｃ）の「合意」の代理権範囲設定情報のアクセス対象情報１２３欄についても、該代理権範囲設定情報としてサービスＩＤが設定されているので、場合によっては、削除しても良い。さらに、図２（Ｃ）の「合意」の代理権範囲設定情報は、対象サーバ１２４欄を設けて、電子私書箱サーバ単位に代理権範囲設定情報を設定する例を示したが、対象サーバ１２４欄の代わりに、対象私書箱利用者ＩＤ欄を設けて、利用者ごとにさらにきめ細かな代理権範囲設定情報を設定できるようにしても良い。

同様に、図３の電子私書箱サーバＰ２における利用者Ａ本人の個人情報に関する代理人Ｂの代理権範囲設定情報についても、図３（Ａ）の「アクセス権」の代理権範囲設定情報、図３（Ｂ）の「開示設定」の代理権範囲設定情報、図３（Ｃ）の「合意」の代理権範囲設定情報それぞれの種別２０２，２１２，２２２欄を場合によっては削除しても良い。また、図３（Ｃ）の「合意」の代理権範囲設定情報のアクセス対象情報２２３欄についても場合によっては削除しても良い。さらに、図３（Ｃ）の「合意」の代理権範囲設定情報の対象サーバ２２４欄の代わりに、対象私書箱利用者ＩＤ欄を設けて、利用者ごとにさらにきめ細かなポリシー情報を設定できるようにしても良い。

なお、前述の動作シーケンスにおいては、代理人Ｂ用端末Ｔ２、利用者Ａ本人用端末Ｔ１等の利用者端末からの代理処理要求や代理処理履歴要求に応じて、サービス提供サーバＳ１や利用者Ａ本人用の電子私書箱サーバＰ１等から、要求された処理結果や代理処理履歴を、要求元の利用者端末に返送するという、いわゆる、ＰＵＬＬ型のサービス提供形態について説明した。

しかし、本発明は、かかるＰＵＬＬ型のサービス形態に限るものではなく、サービス提供サーバＳ１等のサービス提供サーバは、あらかじめ定めた何らかの配信条件に基づいて（例えば、あらかじめ定めた一定周期ごとに、および／または、保有している個人情報や処理履歴に変更が発生した場合、等）、サービス提供サーバＳ１等から、利用者Ａ本人の個人情報を処理した結果を、処理結果として、利用者Ａ本人の電子私書箱サーバ（利用者Ａ本人用電子私書箱サーバＰ１）へ能動的に配信して、当該電子私書箱サーバに保存したり、さらには、当該電子私書箱サーバ（利用者Ａ本人用電子私書箱サーバＰ１）においてあらかじめ定めた私書箱用配信条件（例えば、あらかじめ定めた一定周期ごと、および／または、前記サービス提供サーバから前記処理結果を受信した際、等）が成立した際に、代理人Ｂが利用する代理人Ｂ用電子私書箱サーバＰ２に対して、当該利用者本人の個人情報の処理結果を能動的に配信したりするという、いわゆる、ＰＵＳＨ型のサービス提供形態であっても適用することができる。

例えば、本発明におけるＰＵＳＨ型のサービス提供形態について、図５のシーケンスチャートを用いてさらに説明する。図５は、図１に示すサービス提供システムの動作の図４とは異なる他の例を示すシーケンスチャートであり、サービス提供サーバＳ１等は、前述したようなあらかじめ定めた配信条件が成立した際に、利用者Ａ本人の個人情報に関する処理結果を、利用者Ａ本人用電子私書箱サーバＰ１に能動的に配信し、さらに、利用者本人Ａ用電子私書箱サーバＰ１は、前記私書箱用配信条件の一つとして、サービス提供サーバＳ１等から該処理結果を受け取った際に、直ちに、受け取った該処理結果のうち代理人Ｂの代理権の範囲に応じた情報を代理人Ｂ用電子私書箱サーバＰ２に対して能動的に配信するという、ＰＵＳＨ型のシーケンスを示している。ここで、図５（Ａ）は、配信条件が成立した際にサービス提供サーバＳ１による利用者Ａ本人の個人情報に関する処理結果を利用者本人Ａ用電子私書箱サーバＰ１さらには代理人Ｂ用電子私書箱サーバＰ２に対して能動的に配信する場合の動作の一例を示し、図５（Ｂ）は、利用者Ａ本人が、代理人Ｂにより実施された当該利用者Ａ本人の個人情報に関する代理処理の履歴を取得する場合の動作の一例を示している。

なお、以下の動作例の説明においては、図４のシーケンスチャートの場合と同様、サービス提供サーバＳ１に保存されている利用者Ａ本人の個人情報の一つである年金加入記録の処理結果を、配信条件（例えば、あらかじめ定めた一定周期ごとに、および／または、保有している個人情報や処理履歴に変更が発生した場合、等）に応じて配信しようとする場合の動作について説明する。

サービス提供サーバＳ１は、あらかじめ定めた配信条件が成立した場合、保有している利用者Ａ本人の年金加入記録を読み出して、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して、処理結果として、送信する動作を起動する。ここで、サービス提供サーバＳ１は、配信動作の開始時に、まず、該処理結果の送信先となる利用者Ａ本人用の電子私書箱サーバＰ１との間で、例えば、公開鍵証明書および秘密鍵を用いて、ＰＫＩ認証方式に基づく相互認証を行う（シーケンスＳｅｑ２１）。

相互認証結果として互いが正当な通信相手であることが認証されると、サービス提供サーバＳ１は、利用者Ａ本人の年金加入記録情報を、所定の処理結果として、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して送信する（シーケンスＳｅｑ２２）。

利用者Ａ本人用の電子私書箱サーバＰ１は、サービス提供サーバＳ１から送信されてきた処理結果を処理結果受信手段Ｐ１６により受信すると、代理権範囲検証手段Ｐ１２を起動して、利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報を参照して、処理結果として受信した利用者Ａ本人の年金加入記録について、「開示設定」、「合意」の代理権範囲設定情報を確認する。

代理権範囲検証手段Ｐ１２は、利用者情報格納手段Ｐ１３に設定されているＰ１用代理権範囲設定情報のうち、「合意」の代理権範囲設定情報として、当該電子私書箱サーバＰ１に受信した処理結果を保存することが可能である旨が設定されている場合、当該処理結果として受信した利用者Ａ本人の年金加入記録の情報を保存する。

また、代理権範囲検証手段Ｐ１２は、Ｐ１用代理権範囲設定情報のうち、「開示設定」の代理権範囲設定情報を参照して、処理結果として受信した利用者Ａ本人の個人情報「年金加入記録」のうち、代理人Ｂの代理権の範囲として代理人Ｂ向けに開示可能な年金加入記録の情報（図２のＰ１用代理権範囲設定情報１００の例では、「年金加入月数」「標準報酬月額」「年金見込額」のうち「年金加入月数」のみが代理権の範囲として代理人Ｂに開示可能な情報）を確認し、処理結果送信手段Ｐ１７に通知する。

代理権範囲検証手段Ｐ１２から利用者Ａ本人の個人情報「年金加入記録」に関する代理人Ｂの代理権の範囲を受け取った処理結果送信手段Ｐ１７は、サービス提供サーバＳ１から受信した処理結果のうち代理人Ｂの代理権の範囲に属する情報（図２の例では、「年金加入月数」）のみに編集し直すとともに、代理人Ｂ用の電子私書箱サーバＰ２への転送動作の開始時に、該処理結果の転送先となる代理人Ｂ用の電子私書箱サーバＰ２との間で、例えば、公開鍵証明書および秘密鍵を用いて、ＰＫＩ認証方式に基づく相互認証を行う（シーケンスＳｅｑ２３）。

相互認証結果として互いが正当な通信相手であることが認証されると、処理結果送信手段Ｐ１７は、代理権の範囲の情報として編集した処理結果を代理人Ｂ用の電子私書箱サーバＰ２に転送するとともに、処理履歴保存手段Ｐ１８に代理人Ｂ用の電子私書箱サーバＰ２に転送した該処理結果を処理履歴として保存する（シーケンスＳｅｑ２４）。

代理人Ｂ用の電子私書箱サーバＰ２は、利用者Ａ本人用の電子私書箱サーバＰから送信されてきた処理結果を受信すると、代理権範囲検証手段Ｐ２２を起動して、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報を参照して、処理結果として受信した利用者Ａ本人の年金加入記録について、「合意」の代理権範囲設定情報を確認する。

ここで、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報のうち、「合意」の代理権範囲設定情報に、代理人Ｂの代理権の範囲として、処理結果として受信した利用者Ａ本人の年金加入記録について、保存が可能である旨が設定されている場合には保存し、保存が不可能である旨が設定されている場合については、一切保存しない。

しかる後、利用者Ａ本人の代理人Ｂは、代理人Ｂ用の利用者端末つまり代理人Ｂ用端末Ｔ２に、利用者Ａ本人に関する個人情報の代理処理を要求する代理処理要求を入力すると、代理人Ｂ用端末Ｔ２は、まず、該代理処理要求の送信先の代理人Ｂ用の電子私書箱サーバＰ２との間で、例えば、互いの公開鍵証明書、秘密鍵を用いて、ＰＫＩ（Public Key Infrastructure）認証方式に基づく相互認証を行う（シーケンスＳｅｑ２５）。なお、代理人Ｂの認証は、図５のシーケンスＳｅｑ２５のようにＰＫＩ認証方式による相互認証を実施する場合以外に、複数の認証レベルを備えることが可能であり、例えば、代理人Ｂの認証レベルとして、ＩＤ、パスワード認証方式により代理人Ｂ用の電子私書箱サーバＰ２が代理人Ｂ用端末Ｔ２の認証を実施するように設定しても良い。

相互認証結果として互いが正当な通信相手であることが認証されると、代理人Ｂ用端末Ｔ２は、代理人Ｂが入力した代理人Ｂ用の処理要求を、代理処理要求として、代理人Ｂ用の電子私書箱サーバＰ２に対して送信する（シーケンスＳｅｑ２６）。ここで、該代理処理要求は、前述のように、利用者Ａ本人の年金加入記録を閲覧する処理要求である。

代理人Ｂ用端末Ｔ２から前述のような代理処理要求を代理処理要求受信手段Ｐ２１により受け取った代理人Ｂ用の電子私書箱サーバＰ２は、代理権範囲検証手段Ｐ２２を起動して、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報を参照して、受信した代理処理要求が代理人Ｂの代理権の範囲内にあるアクセス要求であるか否かを検証する。

ここで、利用者情報格納手段Ｐ２３に設定されているＰ２用代理権範囲設定情報のうち、「アクセス権」の代理権範囲設定情報に、代理人Ｂによる利用者Ａ本人の年金加入記録の閲覧の場合には、代理人Ｂの認証レベルとして、代理人ＢのＰＫＩ認証方式による署名が正当であれば、アクセス権に問題がない旨が設定されていた場合には、代理人Ｂのアクセス権の確認がなされたものと判定し、次に、利用者Ａ本人の年金加入記録が処理結果として保存されているか否かを確認する。

利用者Ａ本人の年金加入記録が処理結果として保存されている場合、代理権範囲検証手段Ｐ２２は、Ｐ２用代理権範囲設定情報のうち、「開示設定」の代理権範囲設定情報に、代理人Ｂの代理権の範囲として、保存されている利用者Ａ本人の年金加入記録（例えば「年金加入月数」）に関して、代理人Ｂに開示することが可能な情報であるか否かを確認する。

確認結果として、保存されている利用者Ａ本人の年金加入記録のうち、「開示設定」の代理権範囲設定情報に、開示が可能である旨が設定されている情報（例えば、利用者Ａ本人の「年金加入月数」）のみを取り出して、取り出した利用者Ａ本人の年金加入記録の情報（例えば、利用者Ａ本人の「年金加入月数」）を代理処理要求元の代理人用端末Ｔ２に対して送信する（シーケンスＳｅｑ２７）。

代理人Ｂ用端末Ｔ２は、受信した処理結果を、つまり、代理処理要求を行った利用者Ａ本人の年金加入記録のうち、代理人Ｂの代理権が認められている情報（例えば「年金加入月数」に関する情報）を、表示することにより、代理人Ｂに提示する。

一方、利用者Ａ本人が、代理人Ｂが実施している代理処理要求の履歴を確認しようとする場合、図５（Ｂ）に示すような簡単な動作シーケンスになる。つまり、図４（Ｂ）のシーケンスチャートの場合と同様に、利用者Ａ本人用の電子私書箱サーバＰ１の処理履歴保存手段Ｐ１８に保存されている代理処理要求の履歴情報を、要求元の利用者Ａ本人に送信することになるが、図５（Ａ）に示すようなＰＵＳＨ型のサービス提供形態の場合は、利用者Ａ本人用の電子私書箱サーバＰ１から代理人Ｂ用の電子私書箱サーバＰ２に転送した該処理結果の履歴情報が、処理履歴保存手段Ｐ１８に保存されていることになり、図５（Ｂ）のシーケンスチャートにおいては、代理人Ｂ用の電子私書箱サーバＰ２に転送した処理結果の履歴情報を、代理人Ｂの代理処理要求の履歴として、要求元の利用者Ａ本人に送信することになる。

つまり、代理人Ｂが実施している代理処理要求を確認しようとする利用者Ａ本人が、任意の時点で、当該利用者Ａ本人が使用する利用者Ａ本人用端末Ｔ１に、代理人Ｂの代理処理履歴の転送を要求する代理処理履歴要求を入力すると、利用者Ａ本人用端末Ｔ１は、まず、該代理処理履歴要求の送信先の利用者Ａ本人用の電子私書箱サーバＰ１との間で、例えば、互いの公開鍵証明書、秘密鍵を用いて、ＰＫＩ（Public Key Infrastructure）認証方式に基づく相互認証を行う（シーケンスＳｅｑ２８）。

相互認証結果として互いが正当な通信相手であることが認証されると、利用者Ａ本人用端末Ｔ１は、利用者Ａ本人が入力した代理人Ｂの代理処理履歴の取得要求を代理処理履歴要求として、利用者Ａ本人用の電子私書箱サーバＰ１に対して送信する（シーケンスＳｅｑ２９）。

利用者Ａ本人用端末Ｔ１から代理人Ｂに関する代理処理履歴要求を代理処理履歴要求受信手段Ｐ１９ａにより受け取った利用者Ａ本人用の電子私書箱サーバＰ１は、処理履歴読出手段Ｐ１９ｂを起動して、処理履歴保存手段Ｐ１８に保存されている代理人Ｂの代理処理要求に関する処理結果の履歴（つまり代理人Ｂ用の電子私書箱サーバＰ２に転送した利用者Ａ本人用の個人情報「年金加入記録」の処理結果の履歴）を読み出す。

処理履歴保存手段Ｐ１８から読み出した代理人Ｂの代理処理要求に関する処理結果の履歴（つまり代理人Ｂ用の電子私書箱サーバＰ２に転送した利用者Ａ本人用の個人情報「年金加入記録」の処理結果の履歴）を、代理人Ｂの利用者Ａ本人の個人情報に関する処理内容を示す代理処理履歴として、代理処理履歴送信手段Ｐ１９ｃにより、利用者Ａ本人用端末Ｔ１に送信する（シーケンスＳｅｑ３０）。

利用者Ａ本人用端末Ｔ１は、受信した代理人Ｂの代理処理履歴を表示することにより、利用者Ａ本人に提示する。

以上のように、ＰＵＳＨ型のサービス提供形態においては、保有している利用者の個人情報に関するサービスを提供するサービス提供サーバＳ１が、前記利用者の個人情報を処理した結果を、処理結果として、あらかじめ定めた配信条件に基づいて、電子私書箱サーバに能動的に配信し、前記電子私書箱サーバ内に保存する仕組みを有している。

かかる形態のサービス提供システムにおいて、前記電子私書箱サーバは、利用者Ａ本人が利用する利用者Ａ本人用電子私書箱サーバＰ１と代理人Ｂが利用する代理人Ｂ用電子私書箱サーバＰ２とからなり、利用者Ａ本人用電子私書箱サーバＰ１は、サービス提供サーバＳ１から利用者Ａ本人の個人情報に関する処理結果を受信した際に、代理人Ｂの代理権の範囲に応じて代理人Ｂ用電子私書箱サーバＰ２に対して能動的に転送するとともに、利用者Ａ本人に関する個人情報の処理結果を代理人Ｂ用電子私書箱サーバＰ２に転送した旨を、代理処理履歴として、保存する。

一方、代理人Ｂ用電子私書箱サーバＰ２は、利用者Ａ本人用電子私書箱サーバＰ１から転送されてきた利用者Ａ本人の個人情報に関する処理結果を、代理人Ｂの代理権の範囲に応じて保存する。そして、代理人Ｂ用電子私書箱サーバＰ２は、代理人Ｂの代理人Ｂ用端末Ｔ２から利用者Ａ本人に関する個人情報の処理結果を取得するための代理処理要求を受信した際に、該代理処理要求にて指定されている利用者Ａ本人に関する個人情報の処理結果を保存しているか否かを確認し、保存している場合、保存している利用者Ａ本人に関する個人情報の処理結果を、代理人Ｂの代理権の範囲に応じて、前記代理処理要求を送信してきた要求元の代理人Ｂ用端末Ｔ２に返送する。

また、利用者Ａ本人用電子私書箱サーバＰ１は、利用者Ａ本人が使用する利用者Ａ本人用端末Ｔ１から、当該利用者Ａ本人の個人情報に関する代理人Ｂによる代理処理要求の履歴を取得するための代理処理履歴要求を受信した際に、保存している前記代理処理履歴を、要求元の利用者Ａ本人用端末Ｔ１に送信する。

なお、代理人Ｂ用端末Ｔ２から代理人Ｂ用電子私書箱サーバＰ２に対して前記代理処理要求を送信する通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式により代理人Ｂ用端末と代理人Ｂ用電子私書箱サーバＰ２との間で相互認証を実施するか、または、ＩＤ、パスワード認証方式により代理人Ｂ用電子私書箱サーバＰ２が代理人Ｂ用端末の認証を実施する。

さらに、利用者Ａ本人用電子私書箱サーバＰ１、代理人Ｂ用電子私書箱サーバＰ２は、代理人Ｂの利用者Ａ本人の個人情報を代理処理する代理権の範囲を利用者Ａ本人が任意に設定することができる代理権範囲設定情報をそれぞれ有し、利用者Ａ本人用電子私書箱サーバＰ１は、当該利用者Ａ本人用電子私書箱サーバＰ１に設定されている前記代理権範囲設定情報に基づいて、サービス提供サーバＳ１から受信した前記処理結果を保存するか否かを決定するとともに、当該利用者Ａ本人用電子私書箱サーバＰ１に設定されている前記代理権範囲設定情報に基づいて、サービス提供サーバＳ１から受信した前記処理結果を編集し直して、代理人Ｂ用電子私書箱サーバＰ２に転送し、一方、代理人Ｂ用電子私書箱サーバＰ２は、当該代理人Ｂ用電子私書箱サーバＰ２に設定されている前記代理権範囲設定情報に基づいて、利用者Ａ本人用電子私書箱サーバＰ１から転送されてきた前記処理結果を保存するか否かを決定し、かつ、代理人Ｂ用端末Ｔ２から代理処理要求を受け取った際に、当該代理処理要求に指定されている利用者本人の個人情報に関する処理結果が保存されていた場合、当該代理人Ｂ用電子私書箱サーバＰ２に設定されている前記代理権範囲設定情報に基づいて、保存されている前記処理結果を編集し直して、要求元の代理人Ｂ用端末Ｔ２に送信する。

（実施形態の効果の説明）
以上に詳細に説明したように、本実施形態によれば、代理人Ｂが利用者Ａ本人に代わってサービス提供サーバＳ１等にアクセスして利用者Ａに関する個人情報を代理処理する際に、代理人Ｂ用の電子私書箱サーバＰ２と利用者Ａ本人用の電子私書箱サーバＰ１とを経由して各電子私書箱サーバＰ１，Ｐ２の利用者情報格納手段Ｐ１３，Ｐ２３それぞれにあらかじめ設定されている代理人Ｂの代理権の範囲内でのアクセスを可能とし、かつ、代理人Ｂが行った代理処理要求に基づいてサービス提供サーバＳ１等にて実施された利用者Ａ本人に関する個人情報の処理結果をサービス提供サーバＳ１等から受信する際には、利用者Ａ本人用の電子私書箱サーバＰ１でまず受信し、代理処理した処理結果を代理処理要求と関連付けて処理履歴保存手段Ｐ１８に保存し、利用者Ａ本人による読出しを可能とした上で、代理人Ｂ用の電子私書箱サーバＰ２に転送する仕組みとしているので、以下のような作用効果が得られる。

第１に、代理人Ｂに、利用者Ａ本人の個人情報に関する代理処理を依頼している場合であっても、利用者Ａ本人用の電子私書箱サーバＰ１に、代理人Ｂによって実施された当該利用者Ａ本人の個人情報に関する代理処理のすべての履歴を代理処理履歴（つまり、代理人Ｂの代理処理要求と該代理処理要求により実施された処理結果）として保存しているので、代理処理要求を実行するサービス提供サーバの如何に関係なく、利用者Ａ本人は、代理人Ｂによる当該利用者Ａ本人の個人情報に関する代理処理内容を、漏れなく、取得することができる。而して、利用者Ａ本人は、代理人Ｂによって当該利用者Ａ本人にとって不利益となる処理がされたか否かを容易にチェックすることができる。

第２に、代理人Ｂの代理権の設定は、電子私書箱サーバ側で実施し、サービス提供サーバＳ１等のサービス提供サーバに対する処理要求は、利用者Ａ本人のみからなされる形態になるので、サービス提供サーバ側では、代理権の設定を行う必要がなく、サービス提供サーバ側に代理権の設定に関する処理負荷がかかることを防止することができる。

１００…Ｐ１用代理権範囲設定情報、１０１，２０１…サービス提供者名・サービスＩＤ、１０２，２０２…種別、１０３，２０３…アクセス主体ＩＤ、１０４，２０４…情報所有者ＩＤ、１０５，２０５…アクセス対象情報、１０６，２０６…アクセス目的、１０７，２０７…認証条件、１１１，２１１…サービス提供者名・サービスＩＤ、１１２，２１２…種別、１１３，２１３…開示対象情報、１１４，２１４…開示可否、１２１，２２１…サービス提供者名・サービスＩＤ、１２２，２２２…種別、１２３，２２３…アクセス対象情報、１２４，２２４…対象サーバ、１２５…許可／禁止する処理、２００…Ｐ２用代理権範囲設定情報、２２５…保存可否、Ｎ１…ネットワーク、Ｎ２…ネットワーク、Ｐ１…利用者本人用電子私書箱サーバ、Ｐ２…代理人用電子私書箱サーバ、Ｐ１１…代理処理要求受信手段、Ｐ１２…代理権範囲検証手段、Ｐ１３…利用者情報格納手段、Ｐ１４…処理要求送信手段、Ｐ１５…相互認証手段、Ｐ１６…処理結果受信手段、Ｐ１７…処理結果送信手段、Ｐ１８…処理履歴保存手段、Ｐ１９ａ…代理処理履歴要求受信手段、Ｐ１９ｂ…処理履歴読出手段、Ｐ１９ｃ…代理処理履歴送信手段、Ｐ２１…代理処理要求受信手段、Ｐ２２…代理権範囲検証手段、Ｐ２３…利用者情報格納手段、Ｐ２４…代理処理要求送信手段、Ｐ２５…相互認証手段、Ｓ１，Ｓ２，Ｓ３…サービス提供サーバ、Ｔ１…利用者本人用端末、Ｔ２…代理人用端末。

Claims (9)

1. 利用者本人の代理人が使用する代理人用端末から、当該利用者本人の個人情報を保有しているサービス提供サーバに当該利用者本人の個人情報に関する処理を要求する代理処理要求を、当該代理人の電子私書箱として機能する代理人用電子私書箱サーバに送信し、前記代理処理要求を受信した前記代理人用電子私書箱サーバは、前記利用者本人の電子私書箱として機能する利用者本人用電子私書箱サーバに前記代理処理要求を転送し、前記代理処理要求を受信した前記利用者本人用電子私書箱サーバは、受信した前記代理処理要求を、前記利用者本人が当該利用者本人の個人情報に関する処理を要求する処理要求の形式に編集して、前記サービス提供サーバに送信することにより、該処理要求を受信した前記サービス提供サーバが、前記代理処理要求に指定された利用者本人の個人情報に関する処理を、当該利用者本人からの処理要求として受け付けて、要求された処理を実施して、実施した処理結果を前記処理要求の送信元の前記利用者本人用電子私書箱サーバに返送し、前記処理結果を受信した前記利用者本人用電子私書箱サーバは、受信した前記処理結果を、前記代理処理要求を送信してきた前記代理人用電子私書箱サーバを介して、要求元の前記代理人用端末に返送するサービス提供システムであって、前記利用者本人用電子私書箱サーバは、前記サービス提供サーバから受信した前記処理結果を前記代理人用電子私書箱サーバから受信した前記代理処理要求と関連付けて、代理処理履歴として保存することを特徴とするサービス提供システム。
2. 請求項１に記載のサービス提供システムにおいて、前記利用者本人用電子私書箱サーバは、前記利用者本人が使用する利用者本人用端末から、当該利用者本人の個人情報に関する前記代理人による前記代理処理要求の履歴を取得するための代理処理履歴要求を受信した際に、保存している前記代理処理履歴を、要求元の前記利用者本人用端末に送信することを特徴とするサービス提供システム。
3. 請求項１または２に記載のサービス提供システムにおいて、前記代理人用端末から前記代理人用電子私書箱サーバに対して前記代理処理要求を送信する通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式により前記代理人用端末と前記代理人用電子私書箱サーバとの間で相互認証を実施するか、または、ＩＤ、パスワード認証方式により前記代理人用電子私書箱サーバが前記代理人用端末の認証を実施することを特徴とするサービス提供システム。
4. 請求項１ないし３のいずれかに記載のサービス提供システムにおいて、前記利用者本人用電子私書箱サーバ、前記代理人用電子私書箱サーバは、代理人の利用者本人の個人情報を代理処理する代理権の範囲を利用者本人が任意に設定することができる代理権範囲設定情報をそれぞれ有し、前記利用者本人用電子私書箱サーバは、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバへの前記処理要求の送信の可否および前記サービス提供サーバから受信した前記処理結果の保存の可否を決定するとともに、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバから受信した前記処理結果を編集し直して、前記代理人用電子私書箱サーバに転送し、一方、前記代理人用電子私書箱サーバは、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバへの前記代理処理要求の送信の可否および前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果の保存の可否を決定し、かつ、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果を編集し直して、要求元の前記代理人用端末に送信することを特徴とするサービス提供システム。
5. 利用者本人の代理人が使用する代理人用端末から、当該利用者本人の個人情報を保有しているサービス提供サーバに当該利用者本人の個人情報に関する処理を要求する代理処理要求を、当該代理人の電子私書箱として機能する代理人用電子私書箱サーバに送信し、前記代理処理要求を受信した前記代理人用電子私書箱サーバは、前記利用者本人の電子私書箱として機能する利用者本人用電子私書箱サーバに前記代理処理要求を転送し、前記代理処理要求を受信した前記利用者本人用電子私書箱サーバは、受信した前記代理処理要求を、前記利用者本人が当該利用者本人の個人情報に関する処理を要求する処理要求の形式に編集して、前記サービス提供サーバに送信することにより、該処理要求を受信した前記サービス提供サーバが、前記代理処理要求に指定された利用者本人の個人情報に関する処理を、当該利用者本人からの処理要求として受け付けて、要求された処理を実施して、実施した処理結果を前記処理要求の送信元の前記利用者本人用電子私書箱サーバに返送し、前記処理結果を受信した前記利用者本人用電子私書箱サーバは、受信した前記処理結果を、前記代理処理要求を送信してきた前記代理人用電子私書箱サーバを介して、要求元の前記代理人用端末に返送するサービス提供システムにおいて前記代理人による前記代理処理要求の履歴を収集する代理処理履歴収集方法であって、前記利用者本人用電子私書箱サーバは、前記サービス提供サーバから受信した前記処理結果を前記代理人用電子私書箱サーバから受信した前記代理処理要求と関連付けて、代理処理履歴として保存することを特徴とする代理処理履歴収集方法。
6. 請求項５に記載の代理処理履歴収集方法において、前記利用者本人用電子私書箱サーバは、前記利用者本人が使用する利用者本人用端末から、当該利用者本人の個人情報に関する前記代理人による前記代理処理要求の履歴を取得するための代理処理履歴要求を受信した際に、保存している前記代理処理履歴を、要求元の前記利用者本人用端末に送信することを特徴とする代理処理履歴収集方法。
7. 請求項５または６に記載の代理処理履歴収集方法において、前記代理人用端末から前記代理人用電子私書箱サーバに対して前記代理処理要求を送信する通信の開始時に、ＰＫＩ（Public Key Infrastructure）認証方式により前記代理人用端末と前記代理人用電子私書箱サーバとの間で相互認証を実施するか、または、ＩＤ、パスワード認証方式により前記代理人用電子私書箱サーバが前記代理人用端末の認証を実施することを特徴とする代理処理履歴収集方法。
8. 請求項５ないし７のいずれかに記載の代理処理履歴収集方法において、前記利用者本人用電子私書箱サーバ、前記代理人用電子私書箱サーバは、代理人の利用者本人の個人情報を代理処理する代理権の範囲を利用者本人が任意に設定することができる代理権範囲設定情報をそれぞれ有し、前記利用者本人用電子私書箱サーバは、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバへの前記処理要求の送信の可否および前記サービス提供サーバから受信した前記処理結果の保存の可否を決定するとともに、当該利用者本人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記サービス提供サーバから受信した前記処理結果を編集し直して、前記代理人用電子私書箱サーバに転送し、一方、前記代理人用電子私書箱サーバは、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果を保存するか否かを決定し、かつ、当該代理人用電子私書箱サーバに設定されている前記代理権範囲設定情報に基づいて、前記利用者本人用電子私書箱サーバから転送されてきた前記処理結果を編集し直して、要求元の前記代理人用端末に送信することを特徴とする代理処理履歴収集方法。
9. 請求項５ないし８のいずれかに記載の代理処理履歴収集方法を、コンピュータによって実行可能なプログラムとして実施することを特徴とする代理処理履歴収集プログラム。

Images