JP6418964B2 - 情報処理装置およびその制御方法、並びにプログラム - Google Patents

Description

本発明は、情報処理装置およびその制御方法、並びにプログラムに関する。

従来、企業が行政機関などへ社員に関する帳票（法定調書など）を提出する際には、各社員の情報を記入して帳票を作成する。帳票の作成においては、帳票のフォームデータとフォームデータに入力する可変データを関連付けてデータベースに管理し、帳票作成要求に応じて合成する技術が実現されている（特許文献１参照）。

行政機関などへ提出する各社員の帳票には、個人番号の記入が義務付けられる。帳票に対して埋め込まれる個人番号は、機密性が高く、不正利用を防ぐためにその漏洩を防止する必要があり、厳密な管理が求められている。そのため、企業においてはこれを利用（帳票の作成等）するユーザー（企業の経理部門や人事部門の担当者等）に対して可能な限り目に触れさせないことが望ましい。また、個人番号の利用にあたっては、収集対象の社員に対して、個人番号の利用目的を開示し、開示した利用目的外に使用することが禁止されている。

特許文献１では、データの利用制限として、マルチメディアコンテンツの利用の制限を行うものが開示されている。

特開２０１３−１４０６６８号公報

企業内では個人番号は社員からそれぞれ承認を受けた複数の利用目的で使用されている。しかし、従来のデータベース管理装置では、社員の退職、死亡といった事象が発生した場合に、個人番号の適切な利用目的および利用目的の有効期間の制限を変更することができなかった。また、不要な情報は持たないというセキュリティの観点から、利用不可な個人番号は速やかに消去することが望ましい。その一方で、行政機関からの問い合わせに対応するため利用不可な個人番号を一定期間保持しつつも、一定期間後、確実に消去するという管理が必要となる。

上記課題を解決するために本願発明は以下の構成を有する。すなわち、情報処理装置であって、個人番号と、当該個人番号を利用するための利用条件とを対応付けて記憶する記憶手段と、個人番号に対応するユーザーに関して発生した事象に応じて前記記憶手段にて記憶されている個人番号の利用条件を変更する内容が定義された規則情報を保持する保持手段と、発生した事象に関する情報を受け付ける受付手段と、前記受付手段にて受け付けた事象に対応する前記保持手段にて保持する規則情報に従って、前記記憶手段にて記憶されている個人番号の利用条件を更新する更新手段とを有する。

個人番号の使用において、利用目的および利用目的の有効期間を正しく管理することができ、正当でない個人番号の取得を防止できる。

本実施形態に係るシステム構成例を示す図。 本実施形態に係る情報処理装置のハードウェア構成例を示す図。 本実施形態に係る画像形成装置のハードウェア構成例を示す図。 本実施形態に係るシステムにおける機能ブロック図。 本実施形態に係る個人番号管理テーブルの構成例を示す図。 本実施形態に係る個人番号要求受信部の構成例を示す図。 本実施形態に係る個人番号要求処理のフローチャート。 本実施形態に係る利用目的管理部の構成例を示す図。 本実施形態に係る変更処理テーブルの構成例を示す図。 本実施形態に係る利用目的管理処理のフローチャート。 本実施形態に係る利用目的削除処理のフローチャート。 利用目的管理処理の具体的な例を説明するための図。 利用目的削除処理の具体的な例を説明するための図。

＜第一の実施形態＞
図１は、本実施形態に係るシステムの構成例を示す図である。本システムでは、画像形成装置１０１、企業システム１０２、クライアント１０３が、イントラネット１０４内に存在し、互いに通信可能に接続される。さらに、各装置は、インターネット１０５を介して、個人番号管理サーバ１０６と通信を行う。イントラネット１０４内の各装置と、個人番号管理サーバ１０６は、ブラウザや専用のアプリケーション（不図示）を介して通信を行う。個人番号管理サーバ１０６は、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）等のプロトコルに準拠したＷｅｂサービスがホストされている。このＷｅｂサービスでは、画像形成装置１０１の画像読取部３０６を使用して個人番号の仮登録、個人番号の取得を行う。さらにこのＷｅｂサービスでは、企業システム１０２からの社員情報の登録や、個人番号の取得、また、クライアント１０３からの個人番号登録内容の取得のためのリクエストを受け付ける。図示はしていないが、個人番号管理サーバ１０６には、各種データを保存しておくためのデータベースシステムやファイルシステムが存在する。

図２は、本実施形態に係る情報処理装置である、企業システム１０２、クライアント１０３、および個人番号管理サーバ１０６のハードウェア構成例を示す図である。企業システム１０２、クライアント１０３、および個人番号管理サーバ１０６は、一般的な情報処理装置のハードウェアで構成することができる。図２において、ＣＰＵ２０１は、ＲＯＭ２０３内のプログラム用ＲＯＭに記憶されたプログラムや、外部メモリ２１０からＲＡＭ２０２にロードされたＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やアプリケーション等のプログラムを実行する。すなわち、ＣＰＵ２０１が、読み取り可能な記憶媒体に格納されたプログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。ＲＡＭ２０２は、ＣＰＵ２０１のメインメモリであり、ワークエリア等として機能する。

キーボードコントローラ２０４は、キーボード２０８や図示しないポインティングデバイス（マウス、タッチパッド、タッチパネル、トラックボールなど）からの操作入力を制御する。ディスプレイコントローラ２０５は、ディスプレイ２０９の表示を制御する。ディスクコントローラ２０６は、各種データを記憶するハードディスク（ＨＤ）やフレキシブルディスク（ＦＤ）等の外部メモリ２１０へのデータアクセスを制御する。ネットワークコントローラ（ＮＣ）２０７はネットワークに接続されて、ネットワークに接続された他の機器との通信制御処理を実行する。

図３は、本実施形態に係る画像形成装置１０１のハードウェア構成例を示す図である。画像形成装置１０１は、操作部３０４、ＮＩＣ３０５、ＣＰＵ３０８、ＲＡＭ３０９、ＲＯＭ３１０、記憶部３１１、画像読取部３０６、および印刷部３０７を備える。各部位は、制御部３０１を介して接続される。制御部３０１は、画像形成装置１０１全体を制御する装置制御部３０２と、画像データを処理する画像処理部３０３とを有する。操作部３０４は、例えばソフトウェアキーボード、タッチパネル、その他入出力装置によって構成され、各種の設定値の入力、および表示をすることが可能である。

ＣＰＵ３０８は、ＲＯＭ３１０内に記憶されたプログラムや、記憶部３１１からＲＡＭ３０９にロードされたアプリケーション等のプログラムを実行する。ＲＡＭ３０９は、ＣＰＵ３０８のメインメモリであり、ワークエリア等として機能する。画像読取部３０６は、例えばスキャナーによって構成され、紙文書等の原稿を読取ることにより画像データ形式の文書画像を取得する。制御部３０１は、記憶部３１１に記憶された文書画像を操作部３０４に提供し、操作部３０４上に文書画像を出力する処理を実行する。また、制御部３０１は、記憶部３１１に記憶された文章画像を、印刷部３０７に提供する。印刷部３０７は、種々の形式で文書画像を出力する処理を実行する。例えば、印刷部３０７は、文書画像に係る画像データを、記憶媒体に出力する処理を実行することができる。また、印刷部３０７は、印刷機能を備え、紙媒体等の出力媒体に文書画像を出力する処理を実行してもよい。また、画像形成装置１０１は、ＮＩＣ３０５を介して、ネットワークと接続し、外部装置へのデータの送受信を可能とする。ＮＩＣ３０５を介して得られたデータは、操作部３０４上に表示することも可能である。

［ソフトウェア構成］
図４は、本実施形態に係るシステムの各機能を示す機能ブロック図である。

まず、画像形成装置１０１の各処理部の機能について述べる。画面表示部４１０２は、通信部４１０１を介して、個人番号管理サーバ１０６から取得したマークアップランゲージ（ＭＬ）や、入力受付部４１０３によって入力された情報を、画像形成装置１０１の画面上に表示する。通信部４１０１は、入力受付部４１０３でユーザーにより指示された内容に従って、個人番号管理サーバ１０６と通信し、個人番号管理サーバ１０６へのログインや、個人番号の仮登録処理を実施する。また、通信部４１０１は、企業システム１０２から印刷ジョブを受信する。

書類スキャン部４１０４は、紙媒体等のスキャンを行い、画像データを生成する。書類スキャン部４１０４によって読み取られた画像データは、個人番号抽出部４１０５に渡される。個人番号抽出部４１０５は、書類スキャン部４１０４によって得られたデータ上に、個人番号が記載されているか否かを判定し、個人番号が記載されている場合には、ＯＣＲ等の技術を用いて、個人番号を抽出する。また、個人番号抽出部４１０５は、企業システム１０２から受信した印刷用の帳票データである印刷ジョブに含まれる画像データなどから個人番号などの文字列を抽出する。個人番号抽出部４１０５によって抽出された個人番号は、画面表示部４１０２に表示される。印刷判定部４１０６は、企業システム１０２から受信した印刷用の帳票データにおける個人番号および帳票データの種類が個人番号の利用目的に適合しているか否かを、個人番号管理サーバ１０６を介して判定する。利用目的に適合している場合は、印刷判定部４１０６は、印刷部４１０７に帳票データを送信する。なお、本実施形態では画面情報や入力受付部４１０３によって受け付けた情報を画面表示部４０１２に表示する例を説明するが、同様の情報を画像形成装置１０１に接続されたクライアント１０３や他のＰＣの表示部に表示してもよい。その場合、ユーザーからの操作は、ＰＣのマウスやキーボードなどの操作部から受け付ければよい。

次に、クライアント１０３の各処理部の機能について述べる。クライアント１０３は、個人番号登録の承認作業を行う。承認作業は、例えば、画像形成装置のユーザーが所属する企業の番号管理責任者が行う。この番号管理責任者として、例えば、そのユーザーの上司、または、そのユーザーが所属する企業の番号管理資格保持者、または人事部の部員が挙げられる。

通信部４２０１は、個人番号管理サーバ１０６から、承認リクエストを取得し、その応答として承認結果を個人番号管理サーバ１０６に送信する。画面表示部４２０２は、通信部４２０１が取得した承認リクエストの一覧や、各承認リクエストの内容を表示し、承認者が登録内容を確認するための画面を表示する。また、入力受付部４２０３は、承認者からの入力を受け付ける。

次に、企業システム１０２の各処理部の機能について述べる。企業システム１０２は、個人番号管理サーバ１０６から個人番号を受信して、帳票の作成作業を行う。通信部４３０１は、個人番号管理サーバ１０６へ個人番号を取得するリクエストを送信したり、画像形成装置１０１へ印刷ジョブを送信したりする。画面表示部４３０２は、個人番号管理サーバ１０６から取得した個人番号取得用のＭＬの表示や、帳票を入力部４３０３から編集、印刷指示するための画面を表示する。帳票作成部４３０４は、帳票格納部４３０６に格納されている帳票テンプレートに対して、画面表示部４３０２において社員管理テーブル４３０５のデータおよび個人番号管理サーバ１０６から受信した個人番号を入力して帳票を作成する。

個人番号管理サーバ１０６の各処理部の機能について述べる。画面生成部４４０１は、画像形成装置１０１、企業システム１０２、およびクライアント１０３等からのリクエストに応じて、画面上に表示するためのデータ（例えばＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等）を生成する。ログイン要求受信部４４０２は、画像形成装置１０１、企業システム１０２、クライアント１０３からのログイン要求を受け付け、ユーザー管理テーブル４４０３にて管理されるデータを元に、認証／認可処理を実施する。個人番号登録処理部４４０４は、画像形成装置１０１からの個人番号仮登録リクエストや、クライアント１０３からの承認リクエストを受信し、リクエストに応じて、個人番号管理テーブル４４０５にデータを登録したり更新したりする。個人番号要求受信部４４０６は、企業システム１０２等からのリクエストに応じて、個人番号管理テーブル４４０５に登録された個人番号を通知する。利用目的管理部４４０７はクライアント１０３からの事象発生リクエストを受信し、事象発生リクエストの内容に応じて、個人番号管理テーブル４４０５に保存されているレコードの利用目的情報を更新する。事象発生リクエストの詳細については後述する。

図５は、本実施形態に係る個人番号管理テーブル４４０５の構成例を示す図である。ユニークなレコード識別子（識別情報）を示すＩＤフィールド５０１、個人番号フィールド５０２、および、利用目的・期間フィールド５０３を含んで構成されている。利用目的・期間フィールド５０３は、個人番号の利用目的フィールド５０４と利用期間・保存期間フィールド５０５のセットを含んで構成される。ＩＤフィールド５０１には、例えば、企業システム１０２が管理する社員を、システム内にて一意に示すための社員番号等の識別情報が格納される。また、個人番号フィールド５０２には、社員を示す個人番号が格納される。利用目的フィールド５０４にはクライアント１０３からの承認リクエストによって承認された、個人番号に対する利用目的が保存される。クライアント１０３からの承認リクエストによって承認された時点では利用期間・保存期間フィールド５０５には利用期間として「無期限」が保存される。この場合、対応する利用目的に対して、個人番号を無期限で使用することが可能であることを示す。利用目的・期間フィールド５０３により、個人番号を利用する際の利用条件が定義されていることとなる。ここで示した利用目的、機関以外においては、個人番号の利用が制限される。

なお、本実施形態では一つのテーブルとして記述している。しかし、この構成に限定するものではない。例えば、ＩＤフィールド５０１と個人番号フィールド５０２を含むテーブルと、ＩＤフィールド５０１、利用目的フィールド５０４、および利用期間・保存期間フィールド５０５を含むテーブルとが、ＩＤフィールド５０１で対応付けられたリレーショナルデータベーステーブルであってもよい。また、利用可能な社員を制限するための情報をさらに対応付けるような構成であってもよい。

図６は、本実施形態に係る個人番号要求受信部４４０６の構成例を示す図である。個人番号要求受信部４４０６は、検索リクエスト受信部６０１、検索条件変更部６０２、検索部６０３を含んで構成される。検索リクエスト受信部６０１は、企業システム１０２からの個人番号検索リクエスト６０４を受信する。個人番号検索リクエスト６０４は、取得したい個人番号の検索クエリ（例えば「社員を識別するＩＤ」や「すべての社員」）と、利用目的情報（例えば「税務」）を含む。利用目的情報は、検索クエリに予め含まれていてもよい。もしくは、利用目的情報は、「年末調整システム」といった企業システム１０２のシステム識別情報として受信され、検索条件変更部６０２がシステム識別情報から利用目的を決定してもよい。

検索条件変更部６０２は、検索リクエスト受信部６０１から検索リクエストを受け取ると検索リクエストに含まれる利用目的情報、および現在の日時情報を検索クエリに追加、指定する。利用目的情報のみが含まれている検索リクエストを受信した場合は、現在の日時情報を検索クエリに追加する。

検索部６０３は、検索条件変更部６０２で変更された検索クエリで個人番号管理テーブル４４０５の検索を行い、企業システム１０２に対して検索結果６０５として個人番号または個人番号のリストを返す。

［処理フロー］
図７は、本実施形態に係る個人番号要求処理のフローチャートである。本処理フローは、個人番号管理サーバ１０６のＣＰＵがＲＯＭ等に格納されたプログラムを読みだして実行することで実現される。

Ｓ７０１にて、検索リクエスト受信部６０１は、企業システム１０２から個人番号検索リクエスト６０４を受信すると、そのリクエストを検索条件変更部６０２に渡す。

Ｓ７０２にて、検索条件変更部６０２は、受け取った検索リクエストから検索クエリを取得する。Ｓ７０３にて、検索条件変更部６０２は、検索リクエストから利用目的を取得する。

Ｓ７０４にて、検索条件変更部６０２は、Ｓ７０３で利用目的が取得できたか否かを判定する。取得できた場合（Ｓ７０４にてＹＥＳ）Ｓ７０５に遷移し、できていない場合（Ｓ７０４にてＮＯ）、検索条件変更部６０２は、不正な個人番号検索リクエストとして判定し、Ｓ７１０に遷移する。

Ｓ７０５にて、検索条件変更部６０２は、現在の日時情報を取得する。Ｓ７０６にて、検索条件変更部６０２は、Ｓ７０３で取得した利用目的を含み、かつ、利用目的の利用期間がＳ７０５で取得した現在日時を含む個人番号を検索するためのクエリを、Ｓ７０２で取得した検索クエリに追加する。そして、検索条件変更部６０２は、検索部６０３に検索クエリを渡す。

Ｓ７０７にて、検索部６０３は、Ｓ７０６で検索条件変更部６０２から渡された検索クエリを使って個人番号管理テーブル４４０５の検索を行う。Ｓ７０８にて、検索部６０３は、企業システム１０２に対してＳ７０７の検索結果を検索レスポンスとして送信する。その後、本処理フローを終了する。

Ｓ７０９にて、検索条件変更部６０２は、エラーレスポンスを生成し、企業システム１０２に対して送信する。その後、本処理フローを終了する。

図８は、本実施形態に係る利用目的管理部４４０７の構成例を示す図である。利用目的管理部４４０７は、事象受信部８０１、期間変更部８０２、変更処理テーブル８０３、および利用目的削除部８０６を含んで構成される。事象受信部８０１は、企業システム１０２から利用期間変更リクエスト８０４を受信し、企業システム１０２に対して利用期間変更結果レスポンス８０５を返す。

事象受信部８０１は、利用期間変更リクエスト８０４から事象が発生した個人番号を特定するためのＩＤ（識別情報）と発生した事象情報を取得し、期間変更部８０２に渡す。期間変更部８０２は、事象受信部８０１から受け取った事象情報に対応する変更処理を変更処理テーブル８０３から取得し、個人番号管理テーブル４４０５に保存されているＩＤで識別されるレコードの利用期間を変更する。

利用期間変更リクエスト８０４は、利用期間の変更対象とする個人番号に対応する社員等のＩＤと、変更理由である事象の情報とを含む。利用期間変更結果レスポンス８０５は、利用期間の変更が完了したことを示す情報を含む。利用目的削除部８０６は、個人番号管理テーブル４４０５において、個人番号レコードから保存期間の終了した利用目的を削除し、さらに利用目的が削除された個人番号レコードを削除する。利用目的削除部８０６は、タイマー８０７を備え、タイマー８０７が示す時間に応じて定期的に利用目的削除、レコード削除を行う。

図９は、変更処理テーブル８０３の構成例を示す図である。変更処理テーブル８０３は、は、個人番号に対応する社員等に所定の事象が発生した場合に、その事象に応じて、個人番号管理テーブル４４０５に記憶された当該社員等の個人番号の情報を更新する内容が定義された規則情報である。変更処理テーブル８０３は、事象９０１、利用目的のリスト９０２、および変更処理内容のリスト９０３を含んで構成される。利用目的のリスト９０２は、各事象が発生した場合に利用期間が変更される少なくとも一つの利用目的を含む。変更処理内容のリスト９０３は、各事象が発生した時に利用目的毎に行う少なくとも一つの利用期間、保存期間から構成される。

図９に示す例の場合、事象「退職」が発生した場合、利用目的「税務」の利用期間は、「削除」される。つまり、事象「退職」が発生した旨の利用期間変更リクエスト８０４を受信した時点で個人番号の利用は不可となる。また、保存期間は、「利用期間終了から５年」に設定される。つまり、利用期間が「削除」された時から５年間、個人番号が保存され、その後、個人番号は削除される。また、利用目的「年金」の利用期間は、「現在日時から１０年」に設定される。つまり、事象「退職」が発生した時点から１０年間、個人番号は利用可能となり、その後、利用不可となる。さらに、保存期間は、「利用期間終了から５年」に設定される。つまり、利用不可となってから５年間、個人番号が保存され、その後、個人番号は削除される。なお、事象、利用目的、処理内容は図９に示したものに限定するものではなく、他の値が設定されてもよい。さらには、発生した事象に応じて、利用が制限される利用者（企業の経理部門や人事部門の担当者等）の情報などが規定されていてもよい。

図１０は、利用目的管理部４４０７が企業システム１０２から利用期間変更リクエスト８０４を受信した場合の利用目的管理処理のフローチャートである。本処理フローは、個人番号管理サーバ１０６のＣＰＵがＲＯＭ等に格納されたプログラムを読みだして実行することで実現される。

Ｓ１００１にて、事象受信部８０１は、企業システム１０２から利用期間変更リクエスト８０４を受信する。Ｓ１００２にて、事象受信部８０１は、利用期間変更リクエスト８０４から事象が発生した個人番号レコードを特定するためのＩＤを取得する。Ｓ１００３にて、事象受信部８０１は、利用期間変更リクエスト８０４から利用期間の変更の原因となる事象を取得し、期間変更部８０２にＩＤと事象を通知する。

Ｓ１００４にて、期間変更部８０２は、Ｓ１００３で受け取ったＩＤで特定される個人番号レコードを取得する。Ｓ１００５は、期間変更部８０２は、Ｓ１００３で受け取った事象に対応する処理内容のリストを変更処理テーブル８０３から取得する。例えば、図９の例の場合、事象が「退職」の場合、利用目的「税務」は「利用期間：削除」、「保存期間：利用期間終了後５年」、利用目的「年金」は「利用期間：現在日時から１０年」、「保存期間：利用期間終了後５年」という処理内容のリストとなる。

Ｓ１００６にて、期間変更部８０２は、処理内容のリストから利用目的を一つ取得する。Ｓ１００７にて、期間変更部８０２は、Ｓ１００６で取得した利用目的の利用期間の処理内容を取得する。Ｓ１００８にて、期間変更部８０２は、利用期間の処理内容が取得できたか否かを判定する。取得できた場合（Ｓ１００８にてＹＥＳ）Ｓ１００９に遷移し、取得できない場合（Ｓ１００８にてＮＯ）Ｓ１０１２に遷移する。

Ｓ１００９にて、期間変更部８０２は、利用期間の処理内容をチェックし、処理内容が利用期間削除処理か否かを判定する。利用期間削除である場合（Ｓ１００９にてＹＥＳ）Ｓ１０１０に遷移し、利用期間変更であれば（Ｓ１００９にてＮＯ）Ｓ１０１１に遷移する。Ｓ１０１０にて、期間変更部８０２は、Ｓ１００４で特定した個人番号レコードのＳ１００６で取得した利用目的の利用期間情報を削除する。Ｓ１０１１にて、期間変更部８０２は、Ｓ１００４で特定した個人番号レコードのＳ１００６で取得した利用目的の利用期間情報をＳ１００７で取得した変更内容に従って変更する。

Ｓ１０１２にて、期間変更部８０２は、Ｓ１００６で取得した利用目的の保存期間の処理内容を取得する。Ｓ１０１３にて、期間変更部８０２は、Ｓ１０１２で保存期間の処理内容を取得できたか否かを判定する。保存期間の処理内容を取得できた場合（Ｓ１０１３にてＹＥＳ）Ｓ１０１４に遷移し、できた場合（Ｓ０１３にてＮＯ）Ｓ１０１５に遷移する。

Ｓ１０１４にて、期間変更部８０２は、Ｓ１００４で特定した個人番号レコードのＳ１００６で取得した利用目的の保存期間情報をＳ１０１２で取得した変更内容に従い変更する。Ｓ１０１５にて、期間変更部８０２は、Ｓ１００５で取得した事象に対応する処理内容のリストのすべての事象に対応する処理を行ったか否かを判定する。すべての事象に対応する処理を行った場合（Ｓ１０１５にてＹＥＳ）Ｓ１０１６に遷移し、そうでなければ（Ｓ１０１５にてＮＯ）Ｓ１００６に遷移し、残りの処理を繰り返す。

Ｓ１０１６にて、事象受信部８０１は、企業システム１０２に対して利用期間変更結果レスポンス８０５を返す。その後、本処理フローを終了する。

図１２は、利用目的管理処理の具体例を示す図である。事象受信部８０１が「２０１４年１０月２９日」に、利用期間変更リクエスト８０４として「ＩＤ：００００１、変更理由事象：退職」を受信したとする。つまり、現在日時は「２０１４年１０月２９日」であるとする。事象受信部８０１は、利用期間変更リクエスト８０４を解析し変更対象レコード「００００１」、変更理由事象「退職」を取得し、期間変更部８０２に渡す。

期間変更部８０２は、ＩＤ「００００１」のレコードを個人番号管理テーブル４４０５から取得する。取得された個人番号のレコード１２０７は、ＩＤ「００００１」、個人番号「１１１１１１１１」、利用目的「税務」の利用期間「無期限」１２０１、利用目的「年金」の利用期間「無期限」、利用目的「保険」の利用期間「無期限」の情報を有する。

期間変更部８０２は、変更処理テーブル８０３を事象「退職」で検索し、目的別変更処理リスト１２０８を取得する。

目的別変更処理リスト１２０８は、利用目的「税務」に対しては「利用期間：削除」９０４、「保存期間：利用期間終了から５年」９０５の処理を保持している。さらに、利用目的「年金」に対しては「利用期間：現在から１０年」９０６、「保存期間：利用期間終了から５年」９０７の処理を保持する処理リストである。

期間変更部８０２は、目的別変更処理リスト１２０８から利用目的「税務」の処理のセットを取得する。さらに期間変更部８０２は、利用目的「税務」の処理のセットから利用期間の処理「利用期間：削除」９０４を取得し、処理内容に従い個人番号のレコード１２０７の利用目的「税務」から利用期間の情報を削除する。

次に期間変更部８０２は、利用目的「税務」の処理のセットから保存期間の処理「保存期間：利用期間終了から５年」９０５を取得する。この時点では、利用期間の削除直後であるため現在日時２０１４年１０月２９日の５年後である「２０１９年１０月２８日」を保存期間として設定する。

利用目的「税務」の処理が終了後、期間変更部８０２は、目的別変更処理リスト１２０８から次の利用目的「年金」の処理のセットを取得する。期間変更部８０２は、利用目的「年金」の処理のセットから利用期間の処理「利用期間：現在から１０年」９０６を取得する。そして、期間変更部８０２は、取得した処理内容に従い個人番号のレコード１２０７の利用目的「税務」の利用期間の値を現在日時から１０年後の「２０２４年１０月２８日」に設定する。

次に期間変更部８０２は、利用目的「年金」の処理のセットから保存期間の処理「保存期間：利用期間終了から５年」９０７を取得し、利用期間の期限である２０２４年１０月２８日の５年後である「２０２９年１０月２７日」を保存期間として設定する。

目的別変更処理リスト１２０８のすべての利用目的の処理後、利用目的管理処理が終了する。

以上の処理により個人番号のレコード１２０７は、利用目的「税務」の保存期間「２０１９年１０月２８日」１２０４に変更される。さらに利用目的「年金」の利用期間「２０２４年１０月２８日」保存期間「２０２９年１０月２７日」１２０５、利用目的「保険」の利用期間「無期限」に更新される。利用目的「保険」については変更理由事象「退職」の場合変更されないため利用期間「無期限」は変更されない。なお、本例では、期限の管理を日にて行ったが、さらに細かく制御して、時、分、秒、もしくは年度などの単位で行ってもよい。

図１１は、本実施形態に係る利用目的削除処理のフローチャートである。本処理フローは、個人番号管理サーバ１０６のＣＰＵがＲＯＭ等に格納されたプログラムを読みだして実行することで実現される。

タイマー８０７が、定期的に利用目的削除部８０６に対して利用目的更新処理の開始を通知することにより利用目的削除処理が開始される。タイマー８０７が発動するのは定期的であってもよいし、データベース管理者によって予約された日時に発動してもよい。

Ｓ１１０１にて、利用目的削除部８０６は、個人番号管理テーブル４４０５からレコードリストを取得する。Ｓ１１０２にて、利用目的削除部８０６は、Ｓ１１０１で取得したリストから個人番号レコードを一つ取得する。Ｓ１１０３にて、利用目的削除部８０６は、Ｓ１１０２で取得した個人番号レコードから利用目的およびその利用目的の利用期間、保存期間のリストを取得する。Ｓ１１０４にて、利用目的削除部８０６は、Ｓ１１０４で取得した利用目的リストから利用目的を一つ取得する。Ｓ１１０５にて、利用目的削除部８０６は、Ｓ１１０４で取得した利用目的の利用期間を取得する。Ｓ１１０６にて、利用目的削除部８０６は、利用期間が取得できたか否かを判定する。取得できた場合（Ｓ１１０６にてＹＥＳ）Ｓ１１０７に遷移し、取得できない場合（Ｓ１１０６にてＮＯ）Ｓ１１０９に遷移する。

Ｓ１１０７にて、利用目的削除部８０６は、現在日時が利用期間内であるか否かを判定する。利用期間内であれば（Ｓ１１０７にてＹＥＳ）Ｓ１１１３に遷移し、利用期間を過ぎていれば（Ｓ１１０７にてＮＯ）Ｓ１１０８に遷移する。

Ｓ１１０８にて、利用目的削除部８０６は、利用期間を削除する。Ｓ１１０９にて、利用目的削除部８０６は、保存期間を取得する。Ｓ１１１０にて、利用目的削除部８０６は、保存期間を取得できたか否かを判定する。保存期間が取得できた場合（Ｓ１１１０にてＹＥＳ）Ｓ１１１１に遷移し、取得できなければ（Ｓ１１１０にてＮＯ）Ｓ１１１２に遷移する。

Ｓ１１１１にて、利用目的削除部８０６は、現在日時がＳ１１０９で取得した保存期間内であるか否かを判定する。期間内であれば（Ｓ１１１１にてＹＥＳ）Ｓ１１１３に遷移し、保存期間を過ぎていれば（Ｓ１１１１にてＮＯ）Ｓ１１１２に遷移する。

Ｓ１１１２にて、利用目的削除部８０６は、Ｓ１１０３で取得した利用目的リストからＳ１１０４で取得した利用目的を削除する。Ｓ１１１３にて、利用目的削除部８０６は、Ｓ１１０３で取得した利用目的リストの末尾まで利用期間、保存期間のチェックが終了したか否かを判定する。終了していれば（Ｓ１１１３にてＹＥＳ）Ｓ１１１４に遷移し、終了していなければ（Ｓ１１１３にてＮＯ）Ｓ１１０４に遷移し、利用目的削除部８０６は、次の利用目的の利用期間、保存期間のチェックを行う。

Ｓ１１１４にて、利用目的削除部８０６は、利用目的リストが空であるか否かを判定する。空であれば（Ｓ１１１４にてＹＥＳ）Ｓ１１１５に遷移し、空でなければ（Ｓ１１１４にてＮＯ）Ｓ１１１６に遷移する。Ｓ１１１５にて、利用目的削除部８０６は、Ｓ１１０２で取得した個人番号レコードを個人番号管理テーブル４４０５から削除する。Ｓ１１１６にて、利用目的削除部８０６は、Ｓ１１０１で取得したレコードリストの末尾まで利用期間、保存期間の判定が終了したか否かを判定する。終了していれば（Ｓ１１１６にてＹＥＳ）本処理フローを終了する。すべてのレコードの判定が終了していなければ（Ｓ１１１６にてＮＯ）Ｓ１１０２に遷移し、次の個人番号レコードの利用期間、保存期間の判定を行う。

図１３は、利用目的削除処理の具体例を示す図である。２０１５年１月２日にタイマー８０７の指示により利用目的削除処理が開始されたとする。つまり、現在日時が「２０１５年１月２日」であるとする。利用目的削除部８０６は、個人番号管理テーブル４４０５からレコードリスト１３０１を取得する。

まず、利用目的削除部８０６は、ＩＤ「００００１」のレコードを取得し、さらにＩＤ「００００１」のレコードから利用目的「税務」の利用期間を取得し、期間のチェックを行う。利用期間は「無期限」１３０２であるため、削除処理は行われない。利用目的削除部８０６は、「税務」、「年金」の利用期間１３０３、１３０４を取得し、チェックを行う。図１３の例の場合、いずれも「税務」の利用期間と同様に「無期限」であるため削除処理は行われない。

次に利用目的削除部８０６は、ＩＤ「００００２」のレコードを取得し、さらにＩＤ「００００２」のレコードから利用目的「税務」の利用期間の取得を試みる。このとき、利用目的「税務」には利用期間がないため、利用目的削除部８０６は、保存期間を取得し、チェックを行う。保存期間は「２０１５／１／１」１３０５が設定されており、２０１５年１月２日以前であるため既に保存期間が経過したとして、利用目的削除部８０６は、ＩＤ「００００２」のレコードから利用目的「税務」を削除する。

次に、利用目的削除部８０６は、利用目的「年金」の利用期間を取得し、チェックを行う。このとき、利用期間は「２０２０／１／１」１３０６でまだ期限が来ていないため、削除処理は行われない。保存期間についても「２０２４／１２／３１」１３０７であり、まだ期限が来ていないため、削除処理は行われない。利用目的削除部８０６は、利用目的「保険」の利用期間を取得し、期間のチェックを行う。このとき、利用期間は「無期限」１３０８であるため、削除処理は行われない。

次に、利用目的削除部８０６は、ＩＤ「００００３」のレコードを取得し、さらにＩＤ「００００３」のレコードから利用目的「保険」の利用期間の取得を試みる。このとき、利用目的「保険」には利用期間がないため、利用目的削除部８０６は、保存期間を取得し、チェックを行う。保存期間は「２０１５／１／１」１３０９が設定されており、２０１５年１月２日以前であるため既に保存期間が過ぎたとして、利用目的削除部８０６は、ＩＤ「００００３」のレコードから利用目的「保険」を削除する。

利用目的「保険」が削除されるとＩＤ「００００３」のレコードは利用目的を持たなくなるため、利用目的削除部８０６は、個人番号管理テーブル４４０５からＩＤ「００００３」のレコードを削除する。

以上の処理により個人番号管理テーブル４４０５に保存されている個人番号はレコードリスト１３１０のように更新される。

以上、退職・死亡などの事象が発生した場合に、個人番号に紐づけられている複数の利用目的の利用可能期間、保存期間の変更を利用目的毎に確実、安全に行うことができる。さらに利用可能期間、保存期間の過ぎた利用目的の削除、および紐づけられた利用目的が無くなった個人番号の削除を確実、安全に行うことができる。

＜その他の実施形態＞
本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施例の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

１０２…企業システム、１０６…個人番号管理サーバ、８０１…事象受信部、８０２…期間変更部、８０３…変更処理テーブル、８０６…利用目的削除部、８０７…タイマー、４４０５…個人番号管理テーブル、４４０７…利用目的管理部

Claims (11)

1. 個人番号と、当該個人番号を利用するための利用条件とを対応付けて記憶する記憶手段と、
   個人番号に対応するユーザーに関して発生した事象に応じて前記記憶手段にて記憶されている個人番号の利用条件を変更する内容が定義された規則情報を保持する保持手段と、
   発生した事象に関する情報を受け付ける受付手段と、
   前記受付手段にて受け付けた事象に対応する前記保持手段にて保持する規則情報に従って、前記記憶手段にて記憶されている個人番号の利用条件を更新する更新手段と
   を有することを特徴とする情報処理装置。
2. 前記利用条件は、個人番号を利用可能な利用目的および利用期間を含むことを特徴とする請求項１に記載の情報処理装置。
3. 前記規則情報は、発生した事象に応じて、利用目的ごとの利用期間の変更内容を定義していることを特徴とする請求項２に記載の情報処理装置。
4. 前記利用条件は、個人番号を利用可能な利用者の変更内容を含むことを特徴とする請求項１乃至３のいずれか一項に記載の情報処理装置。
5. 前記規則情報は、発生した事象に応じて、利用目的ごとの利用者の変更内容を定義していることを特徴とする請求項４に記載の情報処理装置。
6. 前記記憶手段は、個人番号を記憶しておく期間をさらに対応付けて記憶することを特徴とする請求項１乃至５のいずれか一項に記載の情報処理装置。
7. 前記規則情報は、発生した事象に応じて、個人番号を前記記憶手段に記憶しておく期間の変更内容を定義していることを特徴とする請求項６に記載の情報処理装置。
8. 前記更新手段は、個人番号を前記記憶手段に記憶しておく期間が経過した際に、当該個人番号を前記記憶手段から削除することを特徴とする請求項６または７に記載の情報処理装置。
9. 前記個人番号の利用目的は、税務、年金、保険の少なくともいずれかに関する帳票の作成であることを特徴とする請求項２または３記載の情報処理装置。
10. 個人番号と、当該個人番号を利用するための利用条件とを対応付けて記憶する記憶手段と、
    個人番号に対応するユーザーに関して発生した事象に応じて前記記憶手段にて記憶されている個人番号の利用条件を変更する内容が定義された規則情報を保持する保持手段と、
    を備える情報処理装置の制御方法であって、
    発生した事象に関する情報を受け付ける受付工程と、
    前記受付工程にて受け付けた事象に対応する前記保持手段にて保持する規則情報に従って、前記記憶手段にて記憶されている個人番号の利用条件を更新する更新工程と
    を有することを特徴とする情報処理装置の制御方法。
11. コンピュータを、
    個人番号と、当該個人番号を利用するための利用条件とを対応付けて記憶する記憶手段、
    個人番号に対応するユーザーに関して発生した事象に応じて前記記憶手段にて記憶されている個人番号の利用条件を変更する内容が定義された規則情報を保持する保持手段、
    発生した事象に関する情報を受け付ける受付手段、
    前記受付手段にて受け付けた事象に対応する前記保持手段にて保持する規則情報に従って、前記記憶手段にて記憶されている個人番号の利用条件を更新する更新手段
    として機能させるためのプログラム。

Images