JP5682939B2

JP5682939B2 - 情報管理システム

Info

Publication number: JP5682939B2
Application number: JP2008252361A
Authority: JP
Inventors: 佐藤　恵一; 恵一佐藤
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2008-03-31
Filing date: 2008-09-30
Publication date: 2015-03-11
Anticipated expiration: 2028-09-30
Also published as: WO2009122928A1; JP2009266194A

Description

本発明は、健康管理や検査などを実施する際に、既に登録されている個人別の検査結果に対し、氏名などの個人情報を分離した状態で新たに個人情報を入力することなく別の検査結果の追加登録を可能とする情報管理システムに関するものである。

身長、体重、血圧、血糖値などの健康管理情報や遺伝子の配列やタイプなどの遺伝情報などの生体情報は、自己の状態を知るうえで非常に価値の高い情報となる。しかしながら、これらが個人を識別できるような氏名、住所、電話番号、電子メールアドレスなどの生体情報以外の個人情報と結びついてしまうと、機微情報として取り扱われることとなる。
個人情報の保護に関する法律では、「この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。」と規定されている。

一方、機微情報については、JIS Q 15001によると、（１）思想、信条及び宗教に関する事項、（２）人種、民族、門地、本籍地（所在都道府県に関する情報を除く。）、身体・精神障害、犯罪歴その他社会的差別の原因となる事項。（３）勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項。（４）集団示威行為への参加、請願権の行使、及びその他の政治的権利の行使に関する事項。（５）保健医療及び性生活といった幾つかの項目が挙げられている。これ以外にも機微情報(センシティブ情報)になり得るものは存在し、遺伝情報や容姿、趣味趣向などについても該当する可能性もあるが、明確な定義が存在しないのが現状である。

しかし、機微情報が漏洩することは、当該情報に基づく本人の社会生活上、重大な損害をもたらす恐れがある。さらに、個人情報が遺伝情報のような一生変化することのない情報と共に取得された場合は、個人にとって甚大なリスクを伴う情報を事業者に提供することにつながりかねず、こういった情報を扱うに当たっては特に気を使う必要がある。

こういった観点から、「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」では、事業に用いる個人遺伝情報と法令に基づく場合を除き、機微情報の取得又は利用を禁じているし、個人情報保護条例を持つ地方自治体の多くが機微情報に関する規定を整備しておいる。また、「個人データの処理に係る個人の保護及びその自由な流通に関する欧州議会及びＥＵ理事会指令（EU指令）」においては、「加盟国は、人種、民族、政治的見解、宗教、思想、心情、労働組合への加盟に関する情報を漏えいする個人データの処理、もしくは健康または性生活に関するデータ処理を禁止するものとする」と規定されている。このように、機微情報の取扱については様々な制約が存在するため、これらに対応することは大きな負担となるばかりでなく、機微情報を活用したサービスの提供が困難な場合もある。

本発明に関する文献としては、下記の特許文献１がある。
特開２００３−２１６７４０

上記のように、機微情報を活用した秘匿性のある安全なサービスを提供するためには、「個人情報」と「個人情報と連結したときに機微情報となる情報（準機微情報）」を分離し、連結しないようにデータを管理することが重要となる。実際の運用に当たっては、個人情報を蓄積する第１のデータベースと準機微情報を蓄積する第２のデータベースを分離することが好ましい。その上で、閲覧者ごとに閲覧できる情報を制御し、個人情報と準機微情報が連結しないようにすることで、個人を特定可能な機微情報の取扱いをすることなく、必要なサービスを提供することができるようにすることが必要である。

しかし、実際に個人情報と準機微情報を分離した場合、サービス提供会社から提供されたサービスが物の流通を伴う場合などには、個人ごとに既に登録してあるサービス結果に対して、同一人に関する別のサービス結果を追加して登録することができないという問題があった。

本発明の目的は、健康管理や検査、健康コンサツティングなどの各種のサービスを提供する際に、既に登録されている個人別のサービス内容に対し、氏名などの個人情報を分離した状態で新たに個人情報を入力することなく別のサービス内容の追加登録を可能とする情報管理システムを提供することにある。

上記目的を達成するために本発明にかかる情報管理システムは、サービスの提供を受ける利用者が使用する第１の装置と、前記利用者からのサービス提供依頼を受付け、利用者識別情報と利用者氏名などの個人情報とを第１のデータベースに登録する第２の装置と、利用者に提供するサービス内容を表すデータをサービス内容識別情報と共に第２のデータベースに登録する第３の装置とから構成された情報管理システムであって、
前記第３の装置が、
利用者に提供するサービス内容のデータを前記第２のデータベースに登録する際に、当該サービス内容のデータに関する利用者識別情報及びサービス内容識別情報を前記第１の装置から受付け、サービス内容のデータをサービス内容識別情報と対応付けて登録すると共に、前記利用者識別情報及びサービス内容識別情報を対応付けて登録し、前記第２のデータベースに既に登録してあるサービス内容のデータに対し、同一利用者の他のサービス内容のデータを登録する際に、当該他のサービス内容のデータをサービス内容識別情報と対応付けて第２のデータベースに登録すると共に、サービス内容識別情報を同一利用者の利用者識別情報に対応するサービス内容識別情報のグループに追加登録する手段とを備えることを特徴とする情報管理システム。

また、前記第３の装置が、
前記第１の装置から受付けた利用者識別情報及びサービス内容識別情報のいずれかまたは組合せで識別されるサービス内容のデータを前記第２のデータベースから検索し、前記第１の装置に返信する手段をさらに備え、
前記第１の装置が、
前記第３の装置から受信したサービス内容のデータを表示する手段を備えることを特徴とする

本発明によれば、氏名などの個人情報と健康診断結果などの準機微情報（サービス内容を表すデータ）とを分離した状態で記憶する場合において、同一利用者の新たな準機微情報を登録する際には、サービス内容データに対してサービス内容識別情報を付加して第２のデータベースに登録し、かつサービス内容識別情報を第１の装置から受付けた利用者識別情報と同一の利用者識別情報に対応するサービス内容識別情報のグループに追加登録するため、最初のサービス内容データが登録されていれば、２回目以降のサービス内容データの登録の際には利用者識別情報を入力する必要がなくなる。
なお、本発明におけるサービスとは、利用者から検体などの物、あるいは健康診断結果などのデータを受付け、この受付けた物あるいはデータについて検査、分析、鑑定、評価などを行い、その結果を利用者に対するサービスとして提供するものである。具体的には、遺伝子や身体計測情報を検査するサービスや、機器等を介し身体計測情報等を取得し、蓄積するサービスなどがあり、アクセスする形態としては、一度のみの場合や、登録時ごとに利用される形態が考えられる。
また、サービス内容識別情報は、システム側でその都度生成する、あるいは予め生成されたものを用いるといった形態が考えられるが、本発明ではいずれであってもよい。

以下、本発明を実施するための最良の形態について図面を用いて詳細に説明する。
図１は、本発明に係る情報管理システムの一実施の形態の全体構成を示すシステム構成図である。
本システムは、身体情報計測などのサービスを受ける被験者（サービスの提供を受ける利用者）１０１が使用するパーソナルコンピュータで構成された被験者端末１０２、サービス依頼（検査依頼）を受付け、検査を実施するサービス提供機関１０３、検査結果のデータを被験者の氏名などの個人情報とは隔離して格納する情報管理機関１０４とから構成されている。
サービス提供機関１０３は、窓口端末１０３１、検査装置１０３２、被験者１０１の個人情報を登録する第１のデータベース１０３３とから構成されている。

情報管理機関１０４は、検査結果であるサービス内容のデータを第２データベース１０４３に登録する情報記録装置１０４１、被験者端末１０２から指定されたサービス内容データを第２データベース１０４３から検索し、被験者端末１０２に返信する情報提供装置１０４２とから構成されている。
被験者端末１０２は、各種のデータを入力する入力装置（図示せず）を備えるほか、情報管理機関１０４から受信したデータを表示する表示装置１０２１を備えている。

ここで、被験者１０１が身体情報計測などのサービスを受けようとする場合、被験者１０１は窓口端末１０３１の係員に検査依頼を申し出る。すると、係員は被験者１０１自身に窓口端末１０３１を操作させ、被験者の住所、氏名などの個人情報を入力させる。窓口端末１０３は、個人情報の入力が終わったならば、固有の識別情報（以下、ユーザＩＤ）を自動生成し、画面に表示して被験者に通知すると共に、ユーザＩＤと個人情報とを対応付けて第１のデータベース１０３３に登録する。
ユーザ登録が終了したならば、窓口端末１０３１の係員は身体情報計測のための検体採取器具１０５を被験者１０１に渡す。この検体採取器具１０５には、サービス内容識別情報（以下、サービスＩＤ）１０５１が予め印字されている。
被験者は、検体採取器具１０５に検体１０５２を収納し、サービス提供機関１０３に提出する。サービス提供機関１０３では、検体１０５２を収納した検体採取器具１０５を検査装置１０３２に転送し、検査を実施する。
なお、被験者端末１０２と情報管理機関１０４とはインターネットなどの通信網を介して接続されている。

以上の構成において、被験者１０１がサービスの提供依頼（検査依頼）を行ってから検査結果を閲覧するまでの過程を図２のシーケンス図を参照しつつ説明する。
まず、被験者１０１は自身の遺伝子などの身体計測情報のサービス提供依頼をサービス提供機関１０３に対して行う（ステップ２０１）。
サービス提供依頼を受けた窓口端末１０３１の係員はユーザ登録処理を行い（ステップ２０２）、被験者１０１自身に窓口端末１０３１を操作させ、被験者の住所、氏名などの個人情報を入力させる。窓口端末１０３は、個人情報の入力が終わったならば、固有の識別情報（ユーザＩＤ）を自動生成し、画面に表示して被験者に通知すると共に、ユーザＩＤと個人情報とを対応付けて第１のデータベース１０３３に登録する。
図３に、ユーザＩＤ＝１０００１、個人情報＝東京都・・区・・の「江戸太朗」の個人情報の登録例を示している。

ユーザ登録が終了したならば、窓口端末１０３１の係員は身体情報計測のための検体採取器具１０５を被験者１０１に渡す（ステップ２０３）。この検体採取器具１０５には、サービス内容を識別するためのサービスＩＤ１０５１が予め印字されている。
被験者は、検体採取器具１０５に検体１０５２を収納し、サービス提供機関１０３に提出する（ステップ２０４）。サービス提供機関１０３では、検体１０５２を収納した検体採取器具１０５を検査装置１０３２に転送し、検査を実施する（ステップ２０５）。
検査装置１０３２は、検査結果のデータにサービスＩＤを付加して情報記録装置１０４１に転送する（ステップ２０６）。

情報記録装置１０４１は、検査結果データ（サービス内容データ）とサービスＩＤを第２データベース１０４３に登録する（ステップ２０７）。この時点における第２データベース１０４３の登録内容は図４（ａ）に示すようなものである。
次に、被験者端末１０１における閲覧操作（結果確認操作）によりユーザＩＤとサービスＩＤが入力され、これが情報記録装置１４１に送信されたならば、入力されたサービスＩＤを入力されたユーザＩＤと同じユーザＩＤのグループに追加登録する（ステップ２０９）。
この場合、入力されたユーザＩＤと同じユーザＩＤのサービスＩＤグループが存在しない場合には、新規グループを作成する。
これにより、例えばユーザＩＤ＝１０００１のサービスＩＤグループが存在しなかった場合には、図４（ｂ）に示すように、ユーザＩＤ＝１０００１のサービスＩＤグループの登録領域を新規に確保し、ここに被験者端末１０１から入力されたサービスＩＤ＝９００００１が登録される。

その後、同じユーザＩＤの他の検査結果データを登録する際には、その検査結果データのサービスＩＤが同じユーザＩＤのサービスＩＤグループに追加登録される。この例を図４（ｃ）に示している。
また、図５には、３名の被験者のユーザＩＤとサービスＩＤの登録例を示している。
情報記録装置１０４１は、サービスＩＤの登録が終了したならば、そのサービスＩＤを情報提供装置１０４２に転送する（ステップ２１０）。
情報提供装置１０４２は、受信したサービスＩＤと同じサービスＩＤに対応付けて第２データベース１０４３に登録されている検査結果のデータを検索し、（ステップ２１１）、被験者端末１０２に送信する（ステップ２１２）。
被験者端末１０２は受信した検査結果データを表示画面に表示する（ステップ２１３）。

以上により、被験者は複数種類の検査結果データを最初に登録した検査結果データに順次追加して登録することができる。
なお、閲覧する場合、ユーザＩＤのみを指定した場合には、そのユーザＩＤに対応付けて登録されている全てのサービスＩＤに対応する検査結果データが検索されて表示される。
サービスＩＤのみを指定した場合、そのサービスＩＤのみに対応する検査結果データが検索されて表示される。

（他の実施形態）
本発明は、上記の実施形態に限定されるものではなく、例えば図６のシステム構成図に示すように、検査装置１０３２をサービス提供機関１０３から独立した検査機関１０６に配置するようにしてもよい。
このようにした場合、検査結果のデータが個人情報を扱う機関と同一機関内で取り扱われることがなくなるため、検査結果データと個人情報とが結びつく機会がなくなり安全性が高まる。
また、本発明は個人情報の登録を必ずしも前提とするものではなく、図７に例示するように、個人情報を登録しない場合であっても、ユーザＩＤとサービスＩＤとによって、複数種類の検査結果データを最初に登録した検査結果データに順次追加して登録することができる。
また、サービスＩＤは検体採取器具１０５に予め印字したものを用いたが、サービス提供機関１０３または情報管理機関１１４でその都度生成したものを使用するように構成することができる。

さらに、検体採取器具は体重計、血圧計、血糖値計、加速度計、脈拍計、温度計などの各種センサーなどの機器でもよい。そして、サービスＩＤは、サービスパスワードと共に利用されてもよい。
図８に前記機器とサービスパスワードを利用した場合の実施例を示す。サービス提供機関１０３は、機器ごとにサービスＩＤとサービスパスワードを生成する。生成された前記サービスＩＤとサービスパスワードは、情報管理機関１０４の情報記録装置１０４１に送付され、第２のデータベース１０４３に登録される。
被験者は、該当するユーザＩＤに対応するサービスＩＤをサービス登録装置１０４４にて第２のデータベース１０４３上で対応付けることで、サービスを登録する。利用者は、機器を用いて計測を行い、結果を生成し、サービスＩＤと共に情報管理機関１０４に送信する。情報管理機関１０４では、情報登録装置１０４５にて該当するサービスＩＤが登録されているかを検索し、登録されていれば計測結果を第２のデータベース１０４３に登録する。登録した結果は、被験者端末１０２の画面１０２１上で閲覧することができる。これにより、被験者は機器を用いた計測結果を第２のデータベースに継続的に蓄積することができる。なお、サービスＩＤは機器固有ＩＤと共に用いてもよい。また、サービスＩＤの代わりに機器固有ＩＤを用いてもよい。

ところで、上記実施形態では、検査結果データをインターネット経由で被験者端末１０２に公開しているが、検査結果データを表形式で印刷し、検査機関の窓口に掲示しておき、各被験者は自分自身のみが知るサービスＩＤに対応する検査結果データを閲覧するように構成することができる。
また、検査結果を閲覧する場合、被験者が予めユーザ登録を正規のユーザであるかといったユーザ認証を必要に応じて実施するように構成することができる。ユーザ認証の技術についてはＩＤやパスワードを用いるものに限定されるものではなく、電子割符、指静脈認証などの技術を用いるものであってもよい。
また、検体を検査する場合の例について説明したが、健康診断の検査結果データを受付け、これに対する医師の健康指導データ、食生活改善データなどのサービスを提供する場合についても適用することができる。

サービスＩＤは、階層化されていてもよい。図９（ａ）に、サービスＩＤを階層化した場合の概念図を示す。サービスによっては、複数のサービスや検査、機器を組み合わせたものも存在する。このような場合に、サービスＩＤを階層化することで、利用者の作業量低減およびサービスＩＤの管理を分かり易くすることができる。

また、サービスＩＤには、図９（ｂ）に示すように、情報を取り扱う権限や課金情報などが結び付けることができる。これにより、サービスＩＤごとに、サービスで取り扱う情報を定義することができるため、権限管理を分かり易くするだけでなく、サービス提供に伴い利用者からインフォームド・コンセントを取る際に、サービスＩＤとインフォームド・コンセントを対にして考えることができ、わかりやすいインフォームド・コンセントの管理が実現できる。さらに、サービスＩＤごとの課金管理ができ、サービス提供機関−利用者への課金だけでなく、サービス提供機関と情報管理機関の課金をも分かり易く管理することができる。

サービスＩＤは、機器固有のＩＤや検体ＩＤやカードＩＤと同義であってもよい。図１０に利用者が携帯する会員カード１００１にサービスＩＤと認証情報を保持させた場合の実施例を示す。これにより、会員カード１００のサービスＩＤを外出先の窓口端末や入力機器のカードリーダに読取らせ、個人情報や準機微情報の登録が可能となるだけでなく、サービス提供機関の会員カード等を用いて情報を登録することも可能となる。

一方、利用者だけでなく、購買履歴や営業情報などの機微情報をサービス提供事業者がサービスＩＤとともに、第２ＤＢに登録できるようにしてもよい。この概念図を図１１に示す。これにより、サービス提供機関１０３は、独自に取得した情報も第２ＤＢ１０４３に登録することができ、情報管理リスクを低減できるだけでなく、前記独自に取得した情報も、その他の第２ＤＢ１０４３に蓄積された情報との結び付けが可能となり、より付加価値の高い情報を得ることができる。

本発明に係る情報管理システムの実施の形態を示すシステム構成図である。図１におけるシステムの各部の動作をシーケンス図である。図１における第１のデータベース格納される情報の一例を示す図である。図１における第２のデータベースに格納される情報の一例を示す図である。図１における第２のデータベースに順次格納された情報の一例を示す図である。本発明に係る情報管理システムの他の実施の形態を示すシステム構成図である。本発明に係る情報管理システムの他の実施の形態を示すシステム構成図である。本発明に係る情報管理システムの他の実施の形態である機器およびサービスパスワードを用いた場合を示すシステム構成図である。サービスＩＤを階層化したり、サービスＩＤに課金情報などを結び付ける例を示す図である。利用者が携帯する会員カードにサービスＩＤと認証情報を保持させる場合の例を示す図である。購買履歴や営業情報などの機微情報をサービス提供事業者がサービスＩＤとともに、第２ＤＢに登録する例を示す図である。

符号の説明

１０１被験者
１０２被験者端末
１０３サービス提供機関
１０４情報管理機関
１０５検体採取器具
１０６検査機関
１０３１窓口端末
１０３２検査端末
１０３３第１データベース
１０４１情報記録装置
１０４２情報提供装置

Claims

利用者からのサービス提供依頼を受付け、利用者識別情報と利用者氏名などの個人情報とを当該サービス提供機関以外の他の機関からのアクセスが不可能に構成された第１のデータベースに登録する第１の手段と、利用者に対するサービス内容識別情報が記録された検体またはデータを利用者から受付け、当該検体の検査結果のデータまたは前記利用者から受付けたデータについて利用者から依頼を受けたサービスの実施結果を利用者に提供するサービス内容を表すデータとして前記検体または前記利用者から受付けたデータに記録されたサービス内容識別情報と共に情報管理機関に送信する第２の手段と、この第２の手段から送信された利用者に提供するサービス内容を表すデータとサービス内容識別情報とを受信し、前記サービス提供機関からのアクセスが不可能に構成された情報管理機関の第２のデータベースに登録する第３の手段とを備える情報管理システムであって、
前記第３の手段が、
利用者識別情報とサービス内容識別情報を受付け、前記第２のデータベースに既に登録してあるサービス内容のデータに対して、同一利用者の他のサービス内容に対応するサービス内容識別情報が入力されたならば当該サービス内容識別情報を同一利用者の利用者識別情報に対応するサービス内容識別情報のグループに追加登録する手段とを備えると共に、
利用者から受付けた利用者識別情報及びサービス内容識別情報のいずれかまたは組合せで識別されるサービス内容のデータを前記第２のデータベースから検索し、前記利用者に返信する手段をさらに備えることを特徴とする情報管理システム。
前記サービス内容識別情報を階層化し、当該サービス内容識別情報で取り扱うサービス内容のデータの課金管理、権限管理を行うことを特徴とする請求項１に記載の情報管理システム。