JP6177898B2 - 匿名化方法 - Google Patents

Description

本発明は匿名化方法を目的とする。本発明は、また、このような匿名化方法を実施するシステムを目的とする。

今日、インターネットや無線ネットワーク等の新しい技術によって提案されたアプリケーションやサービスの増加に伴って、ユーザに個別的なサービスを提供するとともにその効率を高めるため、ますます多量のユーザ情報が保存されるようになっている。たとえば、ユーザの注意を惹きつけることが可能な製品を提案するためにユーザプロファイル情報を利用するターゲット広告がそれにあたる。ユーザに関するこれらの情報は、たとえば、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ 全地球測位網）により供給される地理的定位（ｇｅｏ−ｌｏｃａｌｉｓａｔｉｏｎ）技術を用いた位置特定情報や、スマートグリッド（ＳｍａｒｔＧｒｉｄ）とも呼ばれる新しいインテリジェント配電網によって電気使用量の情報を収集することで得られるライフスタイル情報とすることができ、また、視聴率調査アプリケーションが提案するような、視聴したＴＶ番組あるいは閲覧したウェブサイト情報のトレースおよび収集で得られる、ユーザの好み、余暇活動、および政治的、宗教的な嗜好まで含むことができる。ユーザを識別可能な多彩な識別子（たとえばインターネットのＩＰアドレスまたはＨｏｔＳｐｏｔ Ｗｉｆｉにおける情報、ＭＡＣアドレス、携帯電話で使用されるＳＩＭカードの識別子）にこれらの情報を結合することによって、ユーザのプロファイルを絞り込んで、たとえばインターネット広告のターゲッティングを改善することができる。このターゲティングは、特に、
− プライバシー侵害を増長する高いリスク
− 個人のプライバシーあるいは興味の中心や買い物等に関するデータが流用されるリスク
− 場合によっては、全体主義国家、マフィア、セクト、敵対する競争者等により監視され、または誘導されうる組織化または集団化のリスク
といった課題を提起する。

このような個人情報の集中とその保存は、プライバシー保護機関を懸念させている。昨今では、多数の国でユーザのプライバシー保護が法律で義務化されている。こうした法律の目的は、ユーザのプライバシーを保護可能なシステムを配備して、個人情報の開示が招くリスクに関してユーザの問題意識を高めることにある。このようなシステムは、特に、
− 個人データのあらゆる使用の前にユーザの同意を求め、
− これらのデータの利用を管理するとともに第３者機関に送信し、
− サーバに保存されているデータを保護し、
− 個人データをできるだけ早く匿名化する
ことを含む。

一方で、個人データをめぐるこのような権限は、たとえば（ターゲット広告のように）製品の販売を促進したり、あるいは（スマートグリッドのように）エネルギー消費量を均一化したり最適化したりするのに非常に有効であることが判明しているアプリケーションの展開を阻止する。

しかし、これらの法律は、技術的なサポートがないために適用できないことも多々ある。さらに、これらの法律により導入されるプライバシー尊重の保証は、法律が適用される国内領土の外に各種サーバが配置されたこれらのデータのデータ収集者には特に適用できないことが多い。

個人データ保護を保証するための解決方法の１つは、操作されるデータに匿名化プロセスを適用することからなる。データの匿名化は、個人データの集合から一人のユーザの身元を切り離すことからなる方法である。このプロセスは、収集されたデータを介して一人すなわち個人が特定されることを回避することをめざしている。現時点では、データ収集者が、情報システムに保存されている個人の秘密データの集合を識別し、適切な安全検査機構を装備することによってデータを匿名化するように、法律で義務付けられている国もある。

この方向に沿って、こうした個人情報の保存と閲覧を安全化するために匿名化ツールが形成されている。匿名化ツールは、暗号化手段、コンテンツにトランスレーションテーブルを適用することからなるトランスレーション手段、データベースのフィールドの一部分を隠すことが可能な「マスク（Ｍａｓｋ）」アプリケーション、個人データの代替手段、あるいは、リーダの監視追跡を免れるために任意に仮想データを組み込む手段がある。

今日、このような情報の収集者は、プライバシーに関する法律を遵守するために、提供されている個人データのセンシティビティに応じて安全措置とツールとを適合させなければならない。しかし、このような措置やツールを配備することは、収集者の裁量にゆだねられている。

そのため、現実的には、収集者に対しても個人データを保護し、したがって個人データを匿名化するように、既知の匿名化プロセスを改善する必要性があると思われる。

本発明の目的は、まさに、この必要性を満たすことにある。そのため、本発明は、匿名化実行システムの一般的なアーキテクチャによって個人データ保護を保証する匿名化方法を提案する。

ネットワークアーキテクチャおよび、さまざまな作用者間の交換プロトコルは、操作されるデータの「パーソナル」基準が、本発明の匿名化方法によってそのソースで除去されるように構成される。このため、本発明によれば、ユーザの識別データの匿名化の保証は、もはやターゲットデータ収集者の裁量にゆだねられることはなく、この収集の前に実施される。

本発明の方法は、個人データの収集機関が、ユーザについてもこのユーザの識別データについても知ることなく、ユーザプロファイルに応じて特定ユーザの情報（視聴率調査、世論調査、位置特定など）を収集し、また、ユーザについてもこのユーザの識別データについても知ることなく、ユーザプロファイルに応じてターゲットメッセージ（広告、アラート…）を送信することができるように実施される。

そのため、本発明は、ユーザとターゲットメッセージの配信機関との間に、収集されたユーザの個人データの匿名化プロセスに貢献する第３者機関のサーバ（以下、匿名化サーバという）を介在させることを提案する。

匿名化サーバは、配信機関にユーザプロファイルデータを送る前に、ユーザの識別に貢献可能であっても配信機関に対してユーザを識別できないようにすることが潜在的に可能なあらゆるデータを、匿名化キーを用いて暗号化する。

本発明による方法は、ユーザ自身を除けば、どの作用者も、ユーザの個人データと、個人データをユーザに割り当て可能にする識別子の１つとに同時にアクセスしないようにすることをめざしている。

このため、本発明は、ユーザの個人データを保護するために完全かつ不可逆的な匿名化を可能にする方法を提案する。

本発明は、特に、データ収集サーバによるユーザプロファイルの収集に際して、ユーザの識別に貢献可能なデータを匿名化する方法であって、
収集すべきプロファイルデータを、端末とデータ収集サーバとの間で共有される秘密キーを用いて暗号化するステップと、
暗号化された収集プロファイルデータとユーザの識別に貢献可能なデータとを、端末と収集サーバとの間に配置された匿名化サーバに送信するステップと、
収集されたデータと暗号化された識別データとを前記収集サーバに送る前に、ユーザの識別に貢献可能なデータを前記匿名化サーバの匿名化キーを用いて暗号化するステップとを有する方法を目的とする。

本発明は、また、このような方法の実施システムを目的とする。

本発明は、添付図面を参照しながら以下の説明を読めば、いっそう理解されるであろう。添付図面は、例としてのみ挙げられており、本発明を少しも限定するものではない。

本発明の１つの実施形態によるユーザ識別データの匿名化システムの１つのアーキテクチャを概略的に示す図である。 本発明による方法の動作モードに対応する各ステップを示す図である。 本発明による１つの実施形態によるユーザ識別データの匿名化システムの１つのアーキテクチャを概略的に示す図である。

以下、添付図面に示されているような幾つかの好ましい実施形態を参照しながら、本発明について詳しく説明する。以下の説明では、本発明の理解を深めるために、多数の特定の細部について言及する。しかし、当業者にとって、これらの特定の細部の全部または一部がなくても本発明を実施可能であることはいうまでもない。

本発明の説明をむやみに分かりにくくしないようにするため、公知の構造、各種の装置またはアルゴリズムについては、詳しい説明を省く。

この説明では、プログラムまたはマイクロプロセッサを含むデバイスに１つのアクションが割り当てられた場合、このアクションは、このデバイスのメモリに記録された指示コードにより命令されるマイクロプロセッサによって実行されることに留意されたい。

図１は、本発明による１つの実施形態のアーキテクチャを概略的に示す図である。図１は、第１のネットワーク１１に接続されたユーザ端末１０を示している。図１の例では、ユーザ端末１０が携帯電話である。端末１０は、またパソコン、携帯情報端末、または他のあらゆる同等装置とすることができる。

初期化段階の間、行動に関するターゲットデータの収集サーバ１２は、図２に示された予備ステップ２０でユーザ端末１０のアドレスを収集する。

ユーザ端末１０のアドレスは、前記端末に対して通信設定とメッセージ受信とを可能にする識別子である。この識別アドレスは、移動通信網におけるＩＭＳＩまたはＩＭＥＩなど、ユーザに結合されるどのような識別子としてもよく、一方でまた、加入者ユーザ端末１０のＩＣＣＩＤタイプのスマートカード識別子、あるいはスマートカードの「ブート」時に電話機が取得するＴＡＲフレームとすることができる。この識別子は、また、ＩＰアドレス、イーサネット（登録商標）アドレス、さらにはメールアドレスといった、接続オペレータのもとでユーザを識別するあらゆる手段に基づいたものとすることもできるし、ＳＩＰまたはＶｏＩＰタイプの識別子、ＥＮＵＭタイプの識別子、あるいは、他のあらゆる電子式識別子も考慮に入れることができる。

端末１０のこの識別アドレスは、包含リストへの掲載と前記収集サーバからのターゲットメッセージ受信とを行う意図を明確に表明した人の識別アドレスを含む包含リストを用いて、収集サーバ１２によって得られる。この識別アドレスは、データ入力の最中あるいは、第１のネットワーク１１を介した端末１０と収集サーバ１２との対話の最中に、同様に収集サーバ１２によって得られる。

データ収集サーバ１２は、ユーザ端末１０の行動データに適合する広告、編集コンテンツ、あるいは製品もしくはオンライン販売サービスの商標ラベルを確実に配信可能な広告主サーバとすることができる。収集サーバ１２は、また、世論調査または視聴率調査会社のサーバとすることも可能である。一般に、収集サーバ１２は、ユーザの行動、意見、興味の中心の識別および／または位置特定に関するデータを収集するあらゆるタイプのエンティティとすることができる。収集サーバ１２は、また、配電網の使用量を最適化して、そこから負荷を予測可能な、配電網加入者の電気使用量の読み取り収集装置としてもよい。

本発明によれば、収集すべきデータを含む、ユーザ端末１０と収集サーバ１２との間のあらゆる通信は、匿名化プロセスを実施する第３者の匿名化サーバ１３を介して行われる。このため、端末１０と匿名化サーバ１３は、第３のネットワーク１５により接続される。匿名化サーバ１３とデータ収集サーバ１２は、第２のネットワーク１４により接続される。

匿名化サーバ１３は、ユーザにネットワークへのアクセスを提供し、前記ネットワークに接続するための識別子をユーザに割り当てるエンティティとすることができる。匿名化サーバ１３は、たとえば移動通信網のオペレータ、仮想移動通信網のオペレータ、または、ユーザが加入しているインターネットサービスプロバイダ（ＩＳＰ）とすることができる。匿名化サーバ１３は、また、承認された専門の民間機関のサーバとすることも可能である。

ネットワーク用語は、たとえば、３ＧＰＰ規格および３ＧＰＰ２規格により規定されたＧＳＭ（登録商標）、ＧＰＲＳ、ＥＤＧＥ、ＵＭＴＳ、ＨＳＤＰＡ、ＬＴＥ、ＩＭＳ、ＣＤＭＡ、ＣＤＭＡ２０００等の技術、あるいは、イーサネット、インターネット、ＷＩ−ＦＩ（ｗｉｒｅｌｅｓｓ ｆｉｄｅｌｉｔｙの略語）および／またはＷｉｍａｘ、ＲＦＩＤ（無線識別を意味するＲａｄｉｏ Ｆｒｅｑｕｅｎｃｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎの略語）、ＮＦＣ（数センチメートルの距離で行われるデータ交換技術に含まれる近距離無線通信を意味するＮｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎの略語）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＩｒＤＡ（赤外線ファイル転送を可能にするＩｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎの略語）などに関連するあらゆる通信手段を指す。

１つの実施形態では、第１のネットワーク１１がインターネットネットワークであり、第２のネットワーク１４がインターネットネットワークであり、第３のネットワーク１５が携帯電話ネットワークである。

図２は、本発明の方法による動作モードの各ステップを示している。ステップ２１では、収集サーバ１２が、当業者が公知の生成アルゴリズムにしたがって、基準キーＳＫ、プロファイルキーＰＫ、およびメッセージキーＭＫの３つのキーからなるセットを生成する。この３つのキーセットは、初期化段階の間に生成される。その後、この３つのキーセットは、端末１０に送られて記憶される。好ましくは、これらのキーが、端末１０のメモリまたは前記端末の安全化要素に安全に記憶され、この安全化要素は、スマートカードとすることができる。

この３つのキーセットは、端末１０とデータ収集サーバ１２との間の通信に匿名化サーバ１３が容易にアクセスすることを回避する目的で生成される。キーの生成プロトコルおよび交換プロトコルは、当業者にとって比較的よく知られているので、詳しい説明を省く。

別の実施形態では、３つのキーセットがキー生成装置により生成され、その後、収集サーバ１２と端末１０とに送られる。

初期化段階の間、収集サーバ１２は、ユーザプロファイルの作成のために基準リストを生成する。このリストでは、たとえばユーザの性別（男性または女性）、年齢、国籍、音楽の好み、余暇の過ごし方などを見つけることができる。

この基準リストは、また、視聴率調査の場合は視聴された番組リストとすることができ、インテリジェント配電網（英語のスマートグリッド）に関連するアプリケーションの場合は電気使用量の記録であり、あるいは位置特定に関連するサービスアプリケーション用もしくは位置特定に応じたターゲットアラート用のＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ：米語の位置特定システム）またはＧａｌｉｌｅｏ（欧州版ＧＰＳ）とすることができる。

この基準リストは、たとえばターゲットデータ入力フォームの形式を取ることができる。これらのターゲットデータが、ユーザプロファイルを構成可能である。このフォームは、特に興味の中心、趣味、意見および／または身体的な特徴（体重、身長、年齢、性別など）に関してユーザにより記入されるフィールドを含む。

その後、ステップ２２で、収集サーバ１２は、基準キーＳＫを用いてターゲットデータ入力フォームあるいは基準リストを暗号化する。暗号化されたフォームは収集サーバ１２から端末１０に送られる。このフォームは、初期化段階の間に収集サーバ１２から第１のネットワーク１１を介して端末１０に直接送られるか、あるいは、匿名化サーバ１３とすることが可能な中間手段を介して送ることができる。

ステップ２３で、端末１０は、予め記録された基準キーＳＫを用いて、暗号化されたフォームまたは基準リストを復号する。端末１０の暗号化操作と復号操作は、前記端末の安全化要素の内部で（端末が安全化要素を含んでいる場合）、あるいは専用のアプリケーションによって実施できるようにされている。

復号された入力フォームまたは基準リストは、グラフィックインターフェースを介して表示され、プロファイルデータの入力の際にユーザをガイドできるように端末１０の画面に並べられた、各種の記述項目を含んでいる。この入力内容がユーザにより確定されると、端末１０は、データベースから取り出されたプロファイルキーＰＫを用いて、確定されたフォームまたは基準リストをステップ２４で暗号化する。

ユーザのプロファイルデータについても同様に、端末１０にダウンロードされたアプリケーションから取り出し可能であり、学習期間の経過後、たとえばＴＶ番組の視聴、閲覧サイト、あるいはオンラインで行った買い物の履歴を用いることによってユーザの嗜好が導き出される。アプリケーションは、以前に受信したリストから取り出された基準から、収集サーバ１２に送るべきユーザプロファイルを構成するプロファイデータの種別を選択することができる。

ステップ２５において、端末１０は、ユーザ識別データと、ステップ２４で暗号化されたプロファイルデータとを含むプロファイルメッセージを生成する。その後、このプロファイルメッセージは、匿名化サーバ１３に送られる。

識別データは、ここでは、プロファイルデータの伝送プロトコル、一般にはＨＴＴＰインターネットプロトコルで使用されるソースである、インターネットアドレス等の端末１０の識別アドレスとすることができる。

ステップ２６で、匿名化サーバ１３は、匿名化すべき識別データをプロファイルメッセージから取り出す。ステップ２７で、匿名化サーバ１３は、暗号化された識別子を得るために予め生成された匿名化キーＡＫを用いて、識別データを暗号化する。ステップ２８で、匿名化サーバ１３は、プロファイルメッセージから受信した、匿名化された識別データと暗号化プロファイルデータとを含む匿名化メッセージを生成する。その後、この匿名化メッセージは、匿名化サーバ１３によって収集サーバ１２に送られる。ユーザの識別データは、前記収集サーバにアクセスできないキーを用いて暗号化されているので、収集サーバ１２は、いかなる場合もユーザの識別データにアクセスすることができない。

ステップ２９で、収集サーバ１２は、データベースから取り出されたプロファイルキーＰＫを用いて暗号化されたプロファイルデータを復号する。

ステップ３０で、収集サーバ１２は、ユーザのプロファイルデータに特徴が最も対応する視覚または聴覚メッセージに見合ったターゲット広告を、そのデータベース内で探す。この視覚または聴覚メッセージは、製品、サービス、イベント、企業のプロモーションを行うためのコンテンツを含むことができる。このメッセージは、また、ターゲットアラートとすることもできるが、もちろん、これがすべてというわけではない。

別の１つの実施形態では、収集サーバ１２が、復号されたプロファイルデータを起点として、たとえば意見の集計、視聴率調査、または電気使用量の記録のための統計を取る。

ステップ３１で、収集サーバ１２は、データベースから取り出されたメッセージキーＭＫを用いて、このターゲット広告を暗号化する。ステップ３２で、収集サーバ１２は、暗号化された識別データと暗号化されたターゲット広告とを含むターゲットメッセージを生成する。その後、このターゲットメッセージは、匿名化サーバ１３に送られる。ステップ３３で、匿名化サーバ１３は、データベースから取り出された匿名化キーＡＫを用いて、暗号化された識別データを復号する。その後、匿名化サーバ１３は、識別データにより識別された宛先端末１０に、暗号化されたターゲット広告を送る。ステップ３４で、端末１０は、データベースから取り出されたメッセージキーＭＫを用いて、暗号化されたターゲット広告を復号する。

本発明が、例として図示されている実施形態に制限されるものではないことは自明である。反対に、本発明は、この方法のあらゆる変形実施形態を含んでいる。

１つの実施形態では、匿名化サーバ１３は、匿名化キーＡＫを用いてユーザ識別データを暗号化するために、決定的な暗号化アルゴリズムを使用する。この決定的な暗号化アルゴリズムは、同一データに対していつも同じ暗号化テキストを生成する暗号化システムである。このため、収集サーバ１２は、経時的に匿名化サーバ１３から受信したこの暗号化識別子の挙動を観察することができる。この暗号化識別子に対して受信したプロファイルデータを介して、収集サーバ１２は、受信した暗号化識別子の統計分析により、ユーザの身元を知ることなくユーザプロファイルを絞り込むことができる。

図３に示された別の実施形態では、収集サーバ１２とユーザ端末１０との間に第３者サーバ１６が介在している。このため、端末１０と第３者サーバ１６は、第４のネットワーク１７によって接続されている。第３者サーバ１６とデータ収集サーバ１２は、第５のネットワーク１８によって接続されている。第３者サーバ１６は、匿名化キーＡＫを匿名化サーバ１３と共有している。この匿名化キーＡＫは、匿名化サーバ１３によって生成可能であり、その後、匿名化サーバは、記憶のために第３者サーバ１６に匿名化キーを送り、あるいはその反対に行われる。変形実施形態では、この匿名化キーは、キー生成器により生成可能であり、その後、キーは、匿名化サーバ１３と第３者サーバ１６とに送られる。

好ましくは、第３者サーバ１６は、承認された専門の民間機関の信頼サーバである。変形実施形態では、第３者サーバ１６は、ユーザにネットワークへのアクセスを提供し、前記ネットワークで通信を行うための識別子をユーザに割り当てるエンティティとすることができる。

この実施形態では、図２に示されたステップ２０からステップ３１は、上記のように実行される。ステップ３２から、収集サーバ１２は、第３者サーバ１６に、暗号化されたターゲット広告と暗号化された識別子とを含むターゲットメッセージを送る。第３者サーバ１６は、ステップ３３を実行し、宛先端末１０に暗号化されたターゲット広告を送る。

この実施形態は、ユーザ情報を分散することによって作用者を増やしているために、それらの相関関係を難しくすることができる。

別の１つの実施形態では、収集サーバ１２は、ターゲット広告の配信を担当するコンテンツプロバイダに、復号されたプロファイルデータを送る。収集サーバ１２から受信したデータに応じて、コンテンツプロバイダは、適切なターゲット広告を選択し、図２のステップ３１とステップ３２を実行するために、これを前記収集サーバに送る。

別の１つの実施形態では、プロファイルデータの基準リストが、端末１０と収集サーバ１２との間でネットワーク１１を介して平文でやり取りされる。基準の暗号化は、実際には任意であるが、匿名化サーバと第３者サーバとによる匿名化の可逆性を一段と困難にするためには暗号化することが好ましい。

１つの実施形態では、収集サーバ１２の内部で秘密キーの管理と記憶を最適化するために、収集サーバ１２が、この３つのキーセットをユーザ端末の集合と共有する。

別の１つの実施形態では、この３つのキーセットを単一の秘密キーに減らすことができる。この秘密キーは、収集サーバ１２と端末１０との間のあらゆるやり取りを暗号化するために使用可能である。

本発明による匿名化方法の間に生成されるキーは、たとえば、１つの単語、一連の単語、疑似乱数、あるいは長さ１２８ビットの数であるが、これがすべてというわけではない。

他の複数の実施形態では、他のさまざまな暗号アーキテクチャ、すなわち、
− 図２の実施形態により示されたような、対称な暗号アルゴリズムだけを使用するアーキテクチャ
− 非対称な暗号アルゴリズムだけを使用するアーキテクチャ。この実施形態では、生成される各キーが、秘密鍵／公開鍵の対である。この場合、データは、公開鍵を用いて暗号化され、秘密鍵を用いて復号される
− 上記の２つのアルゴリズムの組み合わせからなるアーキテクチャ
を検討可能である。

署名や完全性計算等によって暗号化アーキテクチャの複雑化を検討することも可能である。

本発明を実施するために選択されたネットワークアーキテクチャ、暗号化アーキテクチャおよび作用者が、いかなるものであろうとも、ユーザを識別可能なデータが匿名化キーを用いて暗号化されるように、また、ユーザと各作用者との間のやり取りの選定が次のようになされるようにすることを保証しなければならない。すなわち
− ターゲットデータの収集サーバが、ユーザの識別情報にアクセスできないようにする
− 端末と収集サーバとの間の中間サーバが、このユーザのプロファイルにアクセスしないようにする。

本発明の少なからぬ長所は、ユーザ識別データの匿名化がソースで実行されるので、入力されたフォームに含まれるデータは法律に照らしても問題とはならないことから、これらのデータ処理のためにユーザの同意を求める必要がもはやないことにある。

Claims (15)

1. データ収集サーバ（１２）によるユーザプロファイルの収集に際してユーザの識別に貢献可能なデータを匿名化する方法であって、
   前記ユーザの端末（１０）により収集されたプロファイルデータを、前記端末とデータ収集サーバとの間で共有される秘密キーを用いて、前記端末によって、暗号化するステップと、
   暗号化されたプロファイルデータとユーザの識別に貢献可能なデータとを、端末と収集サーバとの間に配置された匿名化サーバ（１３）に、前記端末によって、送信するステップと、
   暗号化された収集データと匿名化された識別データとを前記収集サーバに送る前に、ユーザの識別に貢献可能なデータを前記匿名化サーバの匿名化キーを用いて、前記匿名化サーバによって、暗号化するステップと、
   匿名化された識別データと、ターゲット広告とを含むターゲットメッセージを、端末と収集サーバとの間に配置された第３者サーバ（１６）に、前記収集サーバによって、送信するステップと、
   前記端末にターゲット広告を送信する前に、匿名化サーバと共有する匿名化キーを用いて匿名化された識別データを、前記第３者サーバによって、復号するステップと
   を含む、方法。
2. 識別データは、決定論的な暗号化アルゴリズムにしたがって暗号化される、請求項１に記載の匿名化方法。
3. 収集サーバは、収集されて暗号化されたプロファイルデータの受信時に、復号されたプロファイルデータに応じてターゲット広告を選択する、請求項１から２のいずれか一項に記載の匿名化方法。
4. 前記ターゲット広告は、端末と共有されるキーを用いて暗号化される、請求項１から３のいずれか一項に記載の匿名化方法。
5. ターゲット広告は、製品、サービス、イベント、企業、またはターゲットアラートのプロモーションを行うためのコンテンツを有する視覚または聴覚メッセージである、請求項３から４のいずれか一項に記載の匿名化方法。
6. プロファイルデータの収集は、
   ユーザプロファイルを作成するために収集サーバによってターゲット基準リストを作成するステップと、
   基準リストを端末に、収集サーバによって、送信するステップと、
   前記基準リストに応じてプロファイルデータを、端末によって、生成するステップとを含む、請求項１から５のいずれか一項に記載の匿名化方法。
7. プロファイルデータの生成は、ユーザの入力か、または、学習期間を経てユーザの嗜好を導き出すことが可能な端末のアプリケーションに由来する、請求項６に記載の匿名化方法。
8. 基準リストは、ユーザの性別（男性または女性）、年齢、国籍、音楽の好み、余暇の過ごし方、視聴された番組リスト、電気使用量の記録および／またはユーザの位置特定の申請を含む、請求項６から７のいずれか一項に記載の匿名化方法。
9. 収集サーバとユーザ端末は、前記収集サーバと前記ユーザ端末との間でプロファイルデータを含むやり取りを暗号化するために使用される少なくとも１つの秘密キーを共有している、請求項１から８のいずれか一項に記載の匿名化方法。
10. 収集サーバは、３つのキーセットをユーザ端末と共有し、前記３つのキーセットは、
    収集サーバから前記ユーザ端末に送信する前にユーザプロファイルに関する基準リストを暗号化するための基準キーと、
    ユーザ端末から前記収集サーバに送信する前にプロファイルデータを暗号化するためのプロファイルキーと、
    収集サーバから前記ユーザ端末に送信する前にユーザプロファイルに応じて選択された、ターゲット広告を暗号化するためのメッセージキーと、
    から構成される、請求項１から９のいずれか一項に記載の匿名化方法。
11. 収集サーバは、ユーザ端末の集合と同じキーまたは同じ３つのキーセットを共有する、請求項９または１０のいずれか一項に記載の匿名化方法。
12. ユーザ端末は、携帯電話または携帯情報端末、またはコンピュータである、請求項１から１１のいずれか一項に記載の匿名化方法。
13. データ収集サーバは、広告配信、視聴率調査または世論調査サーバである、請求項１から１２のいずれか一項に記載の匿名化方法。
14. 匿名化サーバと第３者サーバは、前記端末のユーザにネットワークへのアクセスを提供するオペレータまたは承認された専門の民間機関のサーバである、請求項１から１３のいずれか一項に記載の匿名化方法。
15. ユーザ端末とユーザプロファイルデータの収集サーバとの間に配置される匿名化サーバおよび第３者サーバを含む匿名化システムであって、収集サーバによる前記ユーザプロファイルの収集に際して、前記ユーザの識別に貢献可能なデータを匿名化する請求項１から１４のいずれか一項に記載の匿名化方法を実行可能な手段を含む、システム。

Images