JP6715816B2 - Anonymized data evaluation system and method, and anonymity level determination server - Google Patents

Anonymized data evaluation system and method, and anonymity level determination server Download PDF

Info

Publication number
JP6715816B2
JP6715816B2 JP2017222539A JP2017222539A JP6715816B2 JP 6715816 B2 JP6715816 B2 JP 6715816B2 JP 2017222539 A JP2017222539 A JP 2017222539A JP 2017222539 A JP2017222539 A JP 2017222539A JP 6715816 B2 JP6715816 B2 JP 6715816B2
Authority
JP
Japan
Prior art keywords
anonymous
anonymity
level
data
identification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017222539A
Other languages
Japanese (ja)
Other versions
JP2019095885A (en
JP2019095885A5 (en
Inventor
安細　康介
康介 安細
尚宜 佐藤
尚宜 佐藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2017222539A priority Critical patent/JP6715816B2/en
Priority to PCT/JP2018/041687 priority patent/WO2019098136A1/en
Publication of JP2019095885A publication Critical patent/JP2019095885A/en
Publication of JP2019095885A5 publication Critical patent/JP2019095885A5/ja
Application granted granted Critical
Publication of JP6715816B2 publication Critical patent/JP6715816B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F40/00—Handling natural language data
    • G06F40/10—Text processing
    • G06F40/12—Use of codes for handling textual entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • Computational Linguistics (AREA)
  • Audiology, Speech & Language Pathology (AREA)
  • Artificial Intelligence (AREA)
  • Bioethics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Document Processing Apparatus (AREA)
  • Storage Device Security (AREA)

Description

本発明は、元データ（個人情報やパーソナル情報など）を匿名化したデータの匿名性（匿名レベル）を評価する匿名化データ評価システム及び方法、並びに匿名レベル判定サーバに関する。 The present invention relates to an anonymized data evaluation system and method for evaluating anonymity (anonymity level) of data obtained by anonymizing original data (personal information, personal information, etc.), and an anonymity level determination server.

インターネットの発展に伴い、企業の業種や業務内容を切り口にして、それぞれに有効なサービスを提供する各種サービス事業者、例えば、飲食業界に対して人気メニューなどの商品情報を提供するサービス事業者や当該サービス事業者に食材などを提供したりする卸サービス事業者や小売サービス事業者、食材などの精算事業者などが増加傾向にある。
このような各種サービス事業者は、個人情報やパーソナル情報（従来の個人情報保護法で定義された個人情報に、法令化はされていないがプライバシの考えも含んだデータである）、例えば、氏名、ユーザＩＤ、会員番号、免許証番号や、住所、電話番号、メールアドレス、といった、個人に対して一意に付与された情報や単独で個人を特定できる情報、などを利用する場合、それらの情報の取り扱いに注意が必要である。例えば、個人に関連付けて収集した各種の属性情報や、サービスの利用に伴って蓄積される個人に関する属性情報は、個人の日常生活や行動、生活習慣に関する情報が多く含まれている。このような情報を事業やサービスで利用する場合には、以下のリスクについて注意する必要がある。
情報から個人情報が特定され、個人に関する様々な属性情報や履歴情報が第３者に知られる（個人識別リスク）。
特定の個人に関するプライベート、或いはセンシティブな情報が推定され、個人のプライバシーが侵害される（属性推定リスク）。 With the development of the Internet, various service providers that provide effective services for each type of business and business content, for example, service providers that provide product information such as popular menus to the restaurant industry, The number of wholesale service providers, retail service providers, and food settlement companies that provide foodstuffs to the service providers is increasing.
Such various service providers use personal information and personal information (personal information defined by the conventional Personal Information Protection Law is data that is not legalized but also includes privacy ideas), for example, name. , User ID, membership number, license number, address, telephone number, email address, etc., information that is uniquely assigned to an individual or information that can individually identify an individual, if such information is used Be careful when handling. For example, various kinds of attribute information collected in association with an individual and attribute information about an individual accumulated as a service is used include much information about an individual's daily life, behavior, and lifestyle. When using such information in businesses and services, it is necessary to pay attention to the following risks.
Personal information is specified from the information, and various attribute information and history information about the individual are known to a third party (personal identification risk).
Private or sensitive information about a specific individual is estimated, and the privacy of the individual is violated (attribute estimation risk).

こうしたパーソナル情報の利活用におけるリスクを低減し、安全な二次利用を可能にする手段の一つとして、パーソナル情報の匿名化がある。
この匿名化は、改正個人情報保護法の制定により、個人情報を適切な匿名化処理により「匿名加工情報」、つまり、個人の特定が可能な情報を含まないように加工し、個人識別を防止する処理することで、第３者への提供・活用が法的に可能となった。例えば、「年齢」を「年代」、「完全な住所」を「地域」に変換するなど、「準識別子」の値の抽象化を行うことで、それらの組み合わせに属する対象者（例えば、「年代」と「地域」）を「ｋ」人以下に識別できなくすることで「ｋ−匿名性」を実現する処理である。 Anonymization of personal information is one of the means for reducing the risk in utilizing and utilizing such personal information and enabling safe secondary use.
This anonymization is based on the enactment of the revised Personal Information Protection Law, which processes personal information by appropriate anonymization processing so that it does not include "anonymous processed information", that is, information that can identify an individual, and prevents personal identification. By doing so, it became legally possible to provide and utilize it to third parties. For example, by converting "age" to "age" and "complete address" to "region", the value of the "quasi-identifier" is abstracted, so that the target persons (for example, "age") , And “region”) are not distinguishable to “k” persons or less, and thereby “k-anonymity” is realized.

しかし、「匿名加工情報」を作成する上での、具体的な指標や評価ルールなどは定まっておらず、各業界団体等によるガイドラインの作成が待たれるところである。
また、「匿名加工情報」の指標を定めて匿名化を行っても、個人情報がどのレベル（どの水準）まで匿名化されているか、例えば、単純匿名化手段において、「切り落とし」、「仮名化」、「あいまい化」、などの匿名化が適切になされているか、つまり、匿名化情報（匿名化データ）の安全性や有用性（データの粒度）を、正しく評価・提示することができなければ、安心して匿名加工情報の提供・受領を行うことでできない。 However, specific indicators and evaluation rules for creating "anonymous processing information" have not been set, and the creation of guidelines by various industry groups is awaited.
In addition, even if anonymization is performed by setting the index of "anonymous processed information", to what level (level) the personal information is anonymized, for example, in the simple anonymization means, "cut off", "pseudonymization" , "Ambiguity", etc. must be properly anonymized, that is, the safety and usefulness (data granularity) of anonymized information (anonymized data) must be correctly evaluated and presented. For example, it is not possible to provide/receive anonymously processed information with peace of mind.

匿名化ができているか否かを判定する従来技術として、特開２０１０−８６１７９号公報（特許文献１）がある。特許文献１では、匿名化区分を項目毎にグループ化し、項目毎に該グループ化後の最小のデータ数を算出することにより匿名化処理を実行しており、匿名化処理の結果に対して、所定の閾値を下回る項目が存在しているか否かを判定する技術が開示されている。 Japanese Patent Laid-Open No. 2010-86179 (Patent Document 1) is a conventional technique for determining whether anonymization has been completed. In Patent Document 1, the anonymization classification is grouped for each item, and the anonymization process is executed by calculating the minimum number of data after the grouping for each item. A technique for determining whether or not there is an item below a predetermined threshold value is disclosed.

特開２０１０−８６１７９号公報JP, 2010-86179, A

しかし、特許文献１では、匿名性指標として、安全性指標の一つであるｋ−匿名性のみの評価であり、その他の安全性指標を含む総合的な匿名性の評価となっておらず、匿名化処理後のデータ（匿名化データ）のみを対象とした評価であり、元データである個人情報を合わせた評価は行っていない。また、所定の閾値を下回る項目が存在しているか否かの一意な評価のみであり、再識別リスクに応じた匿名レベル分けの評価とはなっていない。再識別リスクの再識別とは、一旦匿名化したパーソナル情報から、外部のデータを用いて個人が再度識別できてしまうことである。このため、「匿名加工情報」の総合的な匿名レベルの判定をすることができない。つまり、「匿名加工情報」の総合的な匿名レベルの判定については考慮されていない。匿名化した情報（データ）がどれだけ安全であるか、どの程度匿名化されるかを示すことは、利活用を考える事業者にとっては重要である。 However, in Patent Document 1, as the anonymity index, only k-anonymity, which is one of the safety indexes, is evaluated, and comprehensive anonymity evaluation including other security indexes is not performed. Only the data after the anonymization process (anonymized data) are evaluated, and the evaluation is not performed together with the personal information that is the original data. In addition, only the unique evaluation of whether or not there is an item below a predetermined threshold is not an evaluation of anonymous level classification according to the re-identification risk. Re-identification of re-identification risk means that an individual can be re-identified by using external data from personal information that has been made anonymous. Therefore, it is not possible to determine the comprehensive anonymous level of the "anonymous processed information". That is, the determination of the comprehensive anonymous level of the "anonymous processed information" is not considered. It is important for business operators who are considering utilization to show how secure anonymized information (data) is and how much it is anonymized.

本発明は、係る点に鑑み、個人情報（元データ）を匿名化処理した匿名化情報（匿名化データ）の安全性や有用性を、正しく評価・提示することができる技術を提供することを目的とする。 In view of the above point, the present invention provides a technique that can correctly evaluate and present the safety and usefulness of anonymized information (anonymized data) obtained by anonymizing personal information (original data). To aim.

上記課題を解決するために、本発明は、１つ以上の識別匿名性評価サーバにより、個人情報（元データ）と匿名化情報（匿名化データ）の比較から算出した識別匿名レベルと、１つ以上の非識別匿名性評価サーバにより、匿名化情報（匿名化データ）のみから算出した非識別匿名レベルとを合算して匿名化データを評価する匿名化データ評価システムを設け、当該匿名化データ評価システムにより、匿名化データの総合的な匿名レベルを算出可能とするものである。 In order to solve the above problems, the present invention provides an identification anonymity level calculated from a comparison of personal information (original data) and anonymization information (anonymization data) by one or more identification anonymity evaluation servers, and one. The non-identification anonymity evaluation server described above provides an anonymization data evaluation system that evaluates anonymization data by adding the non-identification anonymity level calculated only from the anonymization information (anonymization data), and the anonymization data evaluation The system makes it possible to calculate the overall anonymity level of anonymized data.

例えば、代表的な本発明の匿名化データ評価システム及び方法、匿名レベル判定サーバ 、並びに符号化データ流通システムの一つは、個人情報を匿名化したデータの匿名性を評価する匿名化データ評価システムにおいて、
匿名データ利用者端末と、匿名レベル判定サーバと、匿名性を評価する１つ以上の識別匿名性評価サーバと、匿名性を評価する１つ以上の非識別匿名性評価サーバと、を備え、
前記匿名データ利用者端末は、
前記個人情報と当該個人情報を匿名化したデータ、および匿名性評価申請情報を前記匿名レベル判定サーバに送信する通信装置、を含み、
前記１つ以上の識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された個人情報および匿名化したデータを、前記匿名レベル判定サーバを介して受信し、また、匿名化したデータの識別匿名レベルを前記匿名レベル判定サーバに送信する通信装置と、
前記個人情報および匿名化したデータから前記匿名化したデータの識別匿名レベルを、匿名レベルの判定指標を元に判定し、当該判定した識別匿名レベルを匿名レベル個別判定結果として出力する識別匿名レベル個別判定部、を含み、
前記１つ以上の非識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された匿名化したデータを、前記匿名レベル判定サーバを介して受信し、また、前記匿名化したデータの非識別匿名レベルを前記匿名レベル判定サーバに送信する通信装置と、
前記匿名化したデータから前記匿名化したデータの非識別匿名レベルを、匿名レベルの判定指標を元に判定し、当該判定した非識別匿名レベルを匿名レベル個別判定結果として出力する非識別匿名レベル個別判定部、を含み、
前記匿名レベル判定サーバは、
前記匿名性評価申請情報に基づき、前記匿名データ利用者端末から送信された個人情報と匿名化したデータを前記１つ以上の識別匿名性評価サーバに、および、前記匿名化したデータを前記１つ以上の非識別匿名性評価サーバに送信し、かつ、前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルを受信する通信装置と、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルから前記匿名化したデータの匿名レベルを、匿名レベルの判定指標を元に総合判定する匿名レベル総合判定部、を含む
ことを特徴とする。 For example, one of typical anonymized data evaluation system and method of the present invention, anonymity level determination server, and encoded data distribution system is an anonymized data evaluation system for evaluating anonymity of data in which personal information is anonymized. At
Anonymous data user terminal, an anonymity level determination server, one or more identification anonymity evaluation servers that evaluate anonymity, and one or more non-identification anonymity evaluation servers that evaluate anonymity,
The anonymous data user terminal,
The personal information and data anonymizing the personal information, and a communication device for transmitting anonymity evaluation application information to the anonymous level determination server,
The one or more identification anonymity evaluation servers,
Communication for receiving personal information and anonymized data transmitted from the anonymous data user terminal via the anonymity level determination server, and transmitting the identification anonymity level of the anonymized data to the anonymity level determination server. Device,
Identification anonymous level of the data the anonymous from the personal information and anonymous data, determines based on the determination indicator anonymous level identification anonymous level to output the identification anonymous levels the determination as anonymous level individual determination result Including an individual determination unit,
The one or more non-identification anonymity assessment servers,
A communication device that receives anonymized data transmitted from the anonymous data user terminal via the anonymity level determination server, and also transmits a non-identification anonymous level of the anonymized data to the anonymity level determination server. When,
The indiscriminate anonymous level of the data the anonymous from the anonymous data, determines based on the determination indicator anonymous level, non-identity anonymous level at which the non-discrimination anonymous levels the determination as anonymous level individual determination result Including an individual determination unit,
The anonymous level determination server,
Based on the anonymity evaluation application information, the personal information transmitted from the anonymous data user terminal and the anonymized data are transmitted to the one or more identification anonymity evaluation servers, and the anonymized data is the one. The identification transmitted to the above non-identification anonymity evaluation server and is an anonymous level individual determination result determined by the one or more identification anonymity evaluation servers and the one or more non-identification anonymity evaluation servers A communication device for receiving anonymity levels and non-identifying anonymity levels;
Data the anonymous from the one or more identification anonymity evaluation server and the one or more anonymous level is determined by indiscriminate anonymity evaluation server is an individual determination that said identification anonymous level and non-discriminating anonymous level Anonymity level comprehensive determination unit for comprehensively determining the anonymous level of the above based on the determination index of the anonymous level.

本願発明によれば、個人情報（元データ）の「匿名加工情報」がどのレベル（どの水準）まで匿名化されているかを、総合的に正しく評価・提示することができ、その結果として、例えば、個人情報を取り扱うサービス事業者（匿名加工情報取扱者）は、安心して匿名加工情報の提供・受領を行うことでできる。
上記した以外の課題、構成、効果は、以下の実施形態の説明により明らかにされる。 According to the present invention, it is possible to comprehensively correctly evaluate and present to what level (which level) the "anonymous processed information" of personal information (original data) is anonymized, and as a result, for example, A service provider (person who handles anonymous processing information) that handles personal information can provide and receive anonymous processing information with peace of mind.
Problems, configurations, and effects other than those described above will be clarified by the following description of the embodiments.

本発明の匿名性評価システムの構成例を例示する図。The figure which illustrates the structural example of the anonymity evaluation system of this invention. 本発明の匿名性評価システムにおける匿名レベル判定サーバと匿名データ利用者端末間の各情報（データ）の送受信、匿名レベル判定申請を説明するためのシーケンスを示す図。The figure which shows the sequence for transmitting/receiving each information (data) between the anonymous level determination server and the anonymous data user terminal in the anonymity evaluation system of this invention, and an anonymous level determination application. 本発明の匿名性評価システムにおける匿名レベル判定サーバと識別匿名性評価サーバ、非識別匿名性評価サーバで協調して匿名レベルの総合を判定する処理を説明するためのシーケンスを示す図。The figure which shows the sequence for demonstrating the process which determines the total of anonymity levels in cooperation with the anonymity level determination server, the identification anonymity evaluation server, and the non-identification anonymity evaluation server in the anonymity evaluation system of this invention.

以下に、本発明の一実施形態について、図１〜図３を用いて説明する。
まず、本発明の実施例において、使用する用語について説明する。 One embodiment of the present invention will be described below with reference to FIGS. 1 to 3.
First, terms used in the embodiments of the present invention will be described.

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述、などにより特定の個人を識別することができる「元データ」をいう。他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。 "Personal information" is information about a living individual, and is "original data" that can identify a specific individual by the name, date of birth, and other description included in the information. Including those that can be easily matched to other information, which will allow identification of a particular individual.

「個人情報（元データ）」には、識別情報（識別子）、準識別子（準識別子）、その他情報を含む。識別情報（識別子）は、それ自体では個人を特定し得る情報であり、例えば、氏名、ＩＤ、などである。準識別子（準識別子）は、識別情報を除く、複数の情報の組合せで個人を特定し得る情報であり、例えば、電話番号や年齢、住所、などである。その他情報は、個人を特定できる可能性が低く、基本的には匿名化処理の対象としない情報である。 The "personal information (original data)" includes identification information (identifier), quasi-identifier (quasi-identifier), and other information. The identification information (identifier) is information that can identify an individual by itself, and is, for example, a name, an ID, or the like. A quasi-identifier (quasi-identifier) is information that can identify an individual with a combination of a plurality of information excluding identification information, and is, for example, a telephone number, an age, an address, or the like. The other information is information that is unlikely to identify an individual and is basically not targeted for anonymization processing.

「パーソナル情報（パーソナルデータ）」とは、単独で個人情報か否かに関わらず、個人と連結可能な情報の総称である。 “Personal information (personal data)” is a generic term for information that can be linked to an individual regardless of whether or not it is personal information alone.

「匿名化情報（匿名化データ）」とは、個人情報（元データ）において、識別情報（識別子）の仮名化や切り落とし、準識別情報や指定情報の切り落としやあいまい化の処理を適用して、個人の識別を困難にした情報である。 "Anonymized information (anonymized data)" means that the personal information (original data) is processed by pseudonymization or cutoff of identification information (identifier), cutoff or ambiguous processing of quasi-identification information or designated information, This information makes it difficult to identify individuals.

「個人情報の仮名化」とは、個人に対して、符号や番号等を付与し、個人を特定できない状態にすることである。 “Personal information pseudonymization” is to give a code or number to an individual so that the individual cannot be identified.

「個人情報の切り落とし」とは、個人を特定、あるいは識別する情報を削除することで、匿名化をすることである。 “Cut-off of personal information” is to anonymize by deleting information that identifies or identifies an individual.

「個人情報のあいまい化」とは、個人情報（元データ）に対して、情報量を落としたり、ノイズを乗せたりして、個人を識別できない状態にすることである。 “Ambiguity of personal information” is to make the individual information indistinguishable by reducing the amount of information or adding noise to the personal information (original data).

「ｋ−匿名化」とは、属性情報の一般化や抑制などにより、ｋ−匿名性を充たすように共通の属性情報の組合せを持つ複数のレコード集合を構成することである。即ち、同じような属性の人がk人以上いる状態を、「k-匿名性」を満たすといい、そのようにデータを加工することを「k-匿名化」と呼ばれている。 “K-anonymization” is to configure a plurality of record sets having a common combination of attribute information so as to satisfy k-anonymity by generalizing or suppressing attribute information. That is, a state in which there are k or more people with similar attributes is said to satisfy "k-anonymity", and processing data in such a manner is called "k-anonymization".

「ｋ−匿名性：k-anonymity」（個人識別）とは、匿名化指標の代表的な一つで、レコード毎の個人識別リスクに関する指標であり、同じ準識別情報の組合せを持つレコードが、匿名化データ中に少なくともｋ個存在していることを評価する。 “K-anonymity: k-anonymity” (personal identification) is one of the representative anonymization indexes, and is an index related to individual identification risk for each record, and records having the same combination of quasi-identification information are It is evaluated that at least k pieces exist in the anonymized data.

「l−多様性：l-diversity」（属性推定）とは、属性にl（エル）種類以上の多様性があるかの指標であり、ある属性がl−多様性を満たすようにデータを加工することである。 "L-Diversity: l-diversity" (attribute estimation) is an index of whether an attribute has more than l (el) types of diversity, and data is processed so that an attribute satisfies l-diversity. It is to be.

「階層情報」とは、匿名化情報（匿名化データ）の持つそれぞれの値に対して、一般化することでどのような値に置き換えるかを階層的に定義したものであり、何段階まで一般化できるかは階層の数で決まる。 "Hierarchical information" is a hierarchical definition of what value each value of anonymized information (anonymized data) has and is replaced by generalizing it. Whether it can be realized depends on the number of layers.

「匿名化指標（匿名性指標）」とは、匿名化情報（匿名化データ）の安全性や有用性を評価する指標であり、安全性と有用性の評価指標間には、定性的に互いにトレードオフの関係にあり、安全性が高ければ有用性は下がり、有用性を保つとリスクが残り安全性が下がる。 "Anonymization index (anonymity index)" is an index that evaluates the safety and usefulness of anonymized information (anonymized data). There is a trade-off relationship, and if the safety is high, the usefulness decreases, and if the usefulness is maintained, risks remain and the safety decreases.

「情報損失」とは、匿名化指標の一つで、データ全体の有用性に関する指標（有用性指標）であり、匿名化前（元データ）のレコードに対して、匿名化後（匿名化データ）のレコードがどのくらい情報を失っているかを評価する。この「情報損失」は、匿名化前（元データ）と匿名化後（匿名化データ）との差により求めることができる。 "Information loss" is one of the anonymization indexes, and is an index related to the usefulness of the entire data (usability index). For records before anonymization (source data), after anonymization (anonymization data) ) Evaluates how much information the record has lost. This "information loss" can be calculated by the difference between before anonymization (original data) and after anonymization (anonymized data).

「識別匿名」および「非識別匿名」とは、匿名化されたデータが識別可能であるか否かの違いであって、例えば、匿名化データが「Ａさん」からのデータであると識別できる場合は、識別匿名となり、誰からのデータか全く識別できない場合は、非識別匿名化となる。 "Identified anonymous" and "non-identified anonymous" are differences in whether anonymized data can be identified, and for example, the anonymized data can be identified as data from "Mr. A". In this case, identification is anonymous, and if the data cannot be identified at all, it is non-identification anonymization.

図１は、本発明の匿名性評価システムの構成例を例示する図である。
匿名性評価システムは、匿名データ利用者が利用する１つ以上の匿名データ利用者端末１（１−Ａ、１−Ｂ）と、１つ以上の匿名化データの利用者が利用する１つ以上の匿名レベル判定サーバ２（２−Ａ）と、１つ以上の識別匿名性評価サーバ３（３−１、３−２）と、１つ以上の非識別匿名性評価サーバ４（４−Ａ、４−Ｂ）と、を備えている。本例では、匿名データ利用者端末１、識別匿名性評価サーバ３、非識別匿名性評価サーバ４は、それぞれ２つの場合の例を示し、匿名レベル判定サーバ２は、１つの場合の例を示している。 FIG. 1 is a diagram illustrating a configuration example of an anonymity evaluation system of the present invention.
The anonymity evaluation system includes one or more anonymous data user terminals 1 (1-A, 1-B) used by anonymous data users and one or more anonymous user users using anonymized data. Anonymity level determination server 2 (2-A), one or more identification anonymity evaluation servers 3 (3-1, 3-2), and one or more non-identification anonymity evaluation servers 4 (4-A, 4-B). In this example, the anonymous data user terminal 1, the identification anonymity evaluation server 3, and the non-identification anonymity evaluation server 4 each show an example of two cases, and the anonymous level determination server 2 shows an example of one case. ing.

匿名データ利用者端末１と匿名レベル判定サーバ２は、ネットワーク５１を介して相互に各種の情報（データ）を送受信できるように接続されている。
また、匿名レベル判定サーバ２と１つ以上の識別匿名性評価サーバ３および１つ以上の非識別匿名性評価サーバ４は、ネットワーク５２を介して相互に各種の情報（データ）を送受信できるように接続されている。
ここで、個人情報保護法の定義では、匿名データ利用者端末１を扱う匿名化データの利用者とは「匿名加工情報取扱事業者」と呼ばれる。 The anonymous data user terminal 1 and the anonymous level determination server 2 are connected to each other via the network 51 so that various types of information (data) can be transmitted and received.
In addition, the anonymous level determination server 2, the one or more identification anonymity evaluation servers 3, and the one or more non-identification anonymity evaluation servers 4 are configured to be able to mutually transmit and receive various information (data) via the network 52. It is connected.
Here, in the definition of the Personal Information Protection Law, a user of anonymized data that handles the anonymous data user terminal 1 is called an “anonymous processed information handling business operator”.

次に、図１の匿名性評価システムを構成する各装置の機能概略について説明する。
匿名データ利用者端末１は、例えば、匿名データ利用者端末１自身で、又は他のサーバで匿名化処理した匿名化情報（以下、匿名化データと称する）を匿名レベル判定サーバ２（２−１）へ送信する機能、匿名化データの匿名レベルの判定、つまり、匿名レベル判定申請を匿名レベル判定サーバ２に対して行う機能を有する。 Next, the functional outline of each device that constitutes the anonymity evaluation system of FIG. 1 will be described.
The anonymous data user terminal 1 uses the anonymous level determination server 2 (2-1) for anonymized information (hereinafter referred to as anonymized data) that has been anonymized by the anonymous data user terminal 1 itself or by another server, for example. ) To the anonymous level determination server 2, that is, a function of determining the anonymous level of the anonymized data, that is, a function of making an anonymous level determination application to the anonymous level determination server 2.

そして、匿名データ利用者端末１は、上述した機能を実現する、例えば、計算機１１を備え、計算機１１は、演算装置１１１、記憶装置１１２、入出力装置１１３、通信装置１１４、読取装置１１５、などを有する。 The anonymous data user terminal 1 realizes the functions described above, for example, includes a computer 11, and the computer 11 includes a computing device 111, a storage device 112, an input/output device 113, a communication device 114, a reading device 115, and the like. Have.

演算装置１１１は、匿名化処理部１１１１、制御部１１１２、を備えている。 The arithmetic device 111 includes an anonymization processing unit 1111 and a control unit 1112.

匿名化処理部１１１１は、記憶装置１１２の個人情報記憶部１１２１に記憶されている個人情報（元データ）を所望の匿名化の手法により匿名化、例えば、識別情報、準識別情報、などを含む情報を所定のｋ値で匿名化処理、つまり、ｋ−匿名化処理して匿名化データを生成し、当該匿名化データを匿名データ記憶部１１２２に記憶するなどの匿名化処理全般に関する機能を有する。 The anonymization processing unit 1111 anonymizes the personal information (original data) stored in the personal information storage unit 1121 of the storage device 112 by a desired anonymization method, for example, includes identification information, semi-identification information, and the like. Anonymization processing of information with a predetermined k value, that is, k-anonymization processing to generate anonymized data, and stores the anonymized data in the anonymous data storage unit 1122. ..

制御部１１１２は、匿名データ利用者端末１に備わる各装置や各部の全体処理を制御する機能を有する。
例えば、個人情報記憶部１１２１から個人情報（元データ）を読込み、当該読込んだ個人情報（元データ）を匿名化処理部１１１１に入力し、匿名化処理部１１１１により、上述した匿名化処理を行うことで匿名化データを生成し、当該匿名化データを記憶装置１１２の匿名データ記憶部１１２２に記憶し、通信装置１１４により個人情報（元データ）および生成された匿名化データを、ネットワーク５１を介して、匿名レベル判定サーバ２に送信するなどの全体処理を制御する。 The control unit 1112 has a function of controlling the overall processing of each device and each unit included in the anonymous data user terminal 1.
For example, the personal information (original data) is read from the personal information storage unit 1121, the read personal information (original data) is input to the anonymization processing unit 1111, and the anonymization processing unit 1111 performs the above-described anonymization processing. By doing so, anonymized data is generated, the anonymized data is stored in the anonymous data storage unit 1122 of the storage device 112, and the personal information (original data) and the anonymized data generated by the communication device 114 are transferred to the network 51. Through this, overall processing such as transmission to the anonymous level determination server 2 is controlled.

通信装置１１４は、匿名レベル判定サーバ２との間において、ネットワーク５１を介して、各種情報、例えば、個人情報、匿名化データ、匿名レベル、などを送受信する通信部を有する。 The communication device 114 has a communication unit that transmits and receives various information, such as personal information, anonymized data, and anonymity level, to and from the anonymous level determination server 2 via the network 51.

入出力装置１１３は、利用者からの入力、例えば、匿名レベル判定申請（匿名レベル判定依頼）、などを受け付けたり、また、利用者に対し、その判定結果などの情報を表示したりする機能を含む入出力部を有する。 The input/output device 113 has a function of receiving an input from the user, for example, an anonymous level determination application (anonymous level determination request), and displaying information such as the determination result to the user. It has an input/output unit including.

読取装置１１５は、可搬性を有する記憶媒体から情報を読み取る機能を含む読取部を有する。 The reading device 115 has a reading unit having a function of reading information from a portable storage medium.

記憶装置１１２は、個人情報記憶部１１２１、匿名データ記憶部１１２２、を有する。
個人情報記憶部１１２１には、匿名化データの元データとなる個人情報（識別子、準識別子、その他の情報を含む元データ）が記憶されており、個人情報記憶部１１２１には、個人情報（元データ）を匿名化した匿名化データが記憶される。 The storage device 112 has a personal information storage unit 1121 and an anonymous data storage unit 1122.
The personal information storage unit 1121 stores personal information (original data including identifiers, quasi-identifiers, and other information) that is the original data of the anonymized data. The personal information storage unit 1121 stores personal information (original data Data) is anonymized data is stored.

匿名レベル判定サーバ２は、匿名データ利用者端末１から送信される個人情報（元データ）や匿名化データ、などの情報を受信し、記憶装置１１２に記憶する機能、
匿名データ利用者端末１から匿名レベル判定申請又は匿名レベル判定依頼を受けたとき、個人情報（元データ）および匿名化データ、を含む情報を識別匿名性評価サーバ３に送信し、また、匿名化データ、を含む情報を非識別匿名性評価サーバ４に送信すると共に識別匿名性評価サーバ３および非識別匿名性評価サーバ４に対して匿名レベル個別判定要求する機能、
識別匿名性評価サーバ３および非識別匿名性評価サーバ４にて判定された結果（識別匿名レベル結果および非識別匿名レベル結果）を受信する機能、
識別匿名性評価サーバ３および非識別匿名性評価サーバ４にて判定された結果（識別匿名レベル結果および非識別匿名レベル結果）により、匿名レベルを総合的に判定し、その匿名レベル総合判定結果を出力する機能、
総合的に判定した匿名レベル総合判定結果を匿名データ利用者端末１へ送信する機能、
を有する。 The anonymous level determination server 2 receives information such as personal information (original data) and anonymized data transmitted from the anonymous data user terminal 1, and stores the information in the storage device 112.
When an anonymous level determination application or an anonymous level determination request is received from the anonymous data user terminal 1, information including personal information (original data) and anonymized data is transmitted to the identification anonymity evaluation server 3 and is also anonymized. A function of transmitting information including data to the non-identification anonymity evaluation server 4 and requesting the anonymous level individual determination to the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4,
A function of receiving the results (identification anonymous level result and non-identification anonymous level result) determined by the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4.
Anonymity level is comprehensively determined by the results determined by the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4 (identification anonymous level result and non-identification anonymous level result). Output function,
A function that sends the comprehensive determination result of the anonymous level comprehensive determination result to the anonymous data user terminal 1,
Have.

また、匿名レベル判定サーバ２は、識別匿名性評価サーバ３および非識別匿名性評価サーバ４が、それぞれ複数存在する場合には、匿名データ利用者端末１から匿名レベル判定申請又は匿名レベル判定依頼を受けたとき、個人情報（元データ）、匿名化データ、などの情報を、識別匿名性評価サーバ３および非識別匿名性評価サーバ４の何れに送信するか、その送信先を決定し、当該決定した送信先である１つ以上の識別匿名性評価サーバ３および１つ以上の非識別匿名性評価サーバ４へ個人情報（元データ）、匿名化情報（匿名化データ）、などの情報を振分けて送信する機能、
また、匿名データ利用者端末１から受信した個人情報（元データ）と匿名化データとの差分を元に、有用性を示す指標である情報の損失量（情報エントロピー値等）を算出し、情報価値レベルを判定する機能、
を有する。 In addition, the anonymous level determination server 2 requests an anonymous level determination application or an anonymous level determination request from the anonymous data user terminal 1 when there are a plurality of identified anonymousness evaluation servers 3 and a plurality of non-identified anonymousness evaluation servers 4. When receiving the information, such as personal information (original data) and anonymized data is determined to which of the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4 is to be transmitted, and the determination is made. Information such as personal information (original data) and anonymized information (anonymized data) is distributed to the one or more identification anonymity evaluation servers 3 and the one or more non-identification anonymity evaluation servers 4 that are the transmission destinations. Ability to send,
In addition, based on the difference between the personal information (original data) received from the anonymous data user terminal 1 and the anonymized data, the loss amount of information (information entropy value or the like), which is an index indicating usefulness, is calculated, Ability to determine value level,
Have.

そして、匿名レベル判定サーバ２は、上述した機能を実現する、例えば、計算機２１を備え、計算機２１は、演算装置２１１、記憶装置２１２、通信装置２１４、を有する。 Then, the anonymous level determination server 2 includes, for example, a calculator 21 that realizes the above-described functions, and the calculator 21 includes a calculation device 211, a storage device 212, and a communication device 214.

演算装置２１１は、匿名レベル総合判定部２１１１、情報価値レベル判定部２１１３、制御部２１１２、振分処理部２１１４、を備える。 The arithmetic device 211 includes an anonymous level comprehensive determination unit 2111, an information value level determination unit 2113, a control unit 2112, and a distribution processing unit 2114.

振分処理部２１１４は、匿名データ利用者端末１からの匿名レベルの匿名レベル判定申請情報を含む匿名レベル判定依頼を受けたとき、当該匿名レベル判定申請情報（匿名性評価申請情報）に含まれる利用分野、利用用途、などに基づく組織信頼度を元に、匿名化データに対する匿名レベル個別判定を行う１つ以上の識別匿名性評価サーバ３および１つ以上の非識別匿名性評価サーバ４の振り分け先を決定する機能を有する。
例えば、個人情報（元データ）および匿名化データ、を含む情報を送信先である組織信頼度の高い識別匿名性評価サーバ３―Ａ、３−Ｂ、の何れかに振分け、また、匿名化データ、を含む情報を、送信先である組織信頼度の高い非識別匿名性評価サーバ４―Ａ、４−Ｂ、の何れかに振分ける。 When receiving the anonymous level determination request including the anonymous level determination application information of the anonymous level from the anonymous data user terminal 1, the distribution processing unit 2114 is included in the anonymous level determination application information (anonymity evaluation application information). Distribution of one or more identification anonymity evaluation servers 3 and one or more non-identification anonymity evaluation servers 4 that perform anonymous level individual determinations on anonymized data based on organizational reliability based on fields of use, applications, etc. It has the function of determining the destination.
For example, information including personal information (original data) and anonymized data is distributed to one of the identification anonymity evaluation servers 3 -A and 3-B having a high organizational reliability, which is the destination, and the anonymized data. The information including, is distributed to any of the non-identification anonymity evaluation servers 4-A and 4-B having a high organizational reliability, which is a transmission destination.

匿名レベル総合判定部２１１１は、識別匿名性評価サーバ３および非識別匿名性評価サーバ４により評価された識別匿名性評価結果および非識別匿名性評価結果を受信し、当該匿名レベル個別判定結果により、匿名化データに対する匿名レベルを総合的に判定し、その判定結果を生成するなどの匿名レベル判定処理全般に関する機能を有する。匿名レベルを総合的に判定する際には、記憶装置２１２の匿名レベル判定指標記憶部２１２３に予め格納された匿名レベル判定指標を参照する。 The anonymity level comprehensive determination unit 2111 receives the identification anonymity evaluation result and the non-identification anonymity evaluation result evaluated by the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4, and according to the anonymity level individual determination result, It has a function related to overall anonymous level determination processing such as comprehensively determining anonymity level for anonymized data and generating the determination result. When comprehensively determining the anonymous level, the anonymous level determination index stored in advance in the anonymous level determination index storage unit 2123 of the storage device 212 is referred to.

情報価値レベル判定部２１１３は、匿名データ利用者端末１から受信した個人情報（元データ）と匿名化データとの差分を元に、有用性を示す指標である情報の損失量（情報エントロピー値等）を算出し、情報価値レベルを判定する機能を有する。 The information value level determination unit 2113, based on the difference between the personal information (original data) received from the anonymous data user terminal 1 and the anonymized data, the amount of information loss (information entropy value etc.) which is an index indicating the usefulness. ) Is calculated and the information value level is determined.

制御部２１１２は、匿名レベル判定サーバ２に備わる各部の全体処理を制御する機能を有する。
例えば、記憶装置２１２の個人情報記憶部２１２１から個人情報（元データ）を読込み、匿名データ記憶部２１２２から匿名化データを読込み、これらの読込んだ各情報を振分処理部２１１４で決定された匿名レベル個別判定の振り分け先である、識別匿名性評価サーバ３の１以上、および非識別匿名性評価サーバ４の１以上に対して、ネットワーク５２を介して送信すると共に、識別匿名性評価依頼および非識別匿名性評価依頼、つまり、匿名化データの匿名レベル個別判定依頼をするなどの全体処理を制御する。 The control unit 2112 has a function of controlling the overall processing of each unit included in the anonymous level determination server 2.
For example, the personal information (original data) is read from the personal information storage unit 2121 of the storage device 212, the anonymized data is read from the anonymous data storage unit 2122, and each of the read information is determined by the distribution processing unit 2114. While transmitting via the network 52 to one or more of the identification anonymity evaluation server 3 and one or more of the non-identification anonymity evaluation server 4, which are allocation destinations of the anonymous level individual determination, an identification anonymity evaluation request and Controls the entire process such as a non-identification anonymity evaluation request, that is, an anonymity level individual determination request of anonymized data.

通信装置２１４は、匿名データ利用者端末１および識別匿名性評価サーバ３と非識別匿名性評価サーバ４との間において、ネットワーク５１およびネットワーク５２を介して各種の情報、例えば、個人情報、匿名化データ、匿名レベル、などを送受信する機能を含む通信部を有する。 The communication device 214, between the anonymous data user terminal 1 and the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4, via the network 51 and the network 52, various information, for example, personal information and anonymization. It has a communication unit including a function of transmitting and receiving data, anonymity level, and the like.

記憶装置２１２の個人情報記憶部２１２１には、匿名データ利用者端末１から受信した個人情報（元データ）が記憶され、匿名データ記憶部２１２２には、匿名データ利用者端末１から受信した匿名化データが記憶される。 The personal information storage unit 2121 of the storage device 212 stores the personal information (original data) received from the anonymous data user terminal 1, and the anonymous data storage unit 2122 stores the anonymization received from the anonymous data user terminal 1. The data is stored.

匿名レベル判定指標記憶部２１２３には、識別匿名性評価サーバ３および非識別匿名性評価サーバ４から受信した匿名レベル個別判定結果（含識別匿名レベルおよび非識別匿名レベル）などから匿名レベル総合判定結果を算出するための匿名レベル判定指標、つまり、匿名化指標に関する情報が記憶される。例えば、以下のような匿名レベル判定指標を有する。

Figure 0006715816
The anonymous level determination index storage unit 2123 stores anonymous level comprehensive determination results from the anonymous level individual determination results (including identified anonymous level and non-identified anonymous level) received from the identified anonymity evaluation server 3 and the non-identified anonymity evaluation server 4. Anonymity level determination index for calculating, that is, information about the anonymization index is stored. For example, it has the following anonymous level determination indexes.
Figure 0006715816

識別匿名性評価サーバ３は、匿名化されたデータに対して安全性の判断基準である匿名性評価指標（匿名化データの安全性を示す匿名レベル判定指標）を算出する機能、例えば、匿名レベル判定サーバ２から受信した個人情報（元データ）および匿名化データから、匿名化データの安全性を示す評価指標である識別匿名レベル個別判定結果を算出する機能、
匿名レベル判定サーバ２から受信した個人情報（元データ）と匿名化データとの差分を元に、有用性を示す指標である情報の損失量（情報エントロピー値等）を算出し、情報価値レベルを判定する機能、
を有する。 The identification anonymity evaluation server 3 has a function of calculating an anonymity evaluation index (anonymity level determination index indicating the security of anonymized data), which is a security determination standard for anonymized data, for example, anonymity level A function of calculating an identification anonymity level individual determination result, which is an evaluation index indicating the safety of anonymized data, from personal information (original data) and anonymized data received from the determination server 2,
Based on the difference between the personal information (original data) received from the anonymity level determination server 2 and the anonymized data, the amount of information loss (information entropy value, etc.), which is an index indicating usefulness, is calculated, and the information value level is calculated. Judgment function,
Have.

そして、識別匿名性評価サーバ３は、上述した機能を実現する、例えば、計算機３１を備え、計算機３１は、演算装置３１１、記憶装置３１２、通信装置３１４、を有する。 Then, the identification anonymity evaluation server 3 includes, for example, a computer 31 that realizes the above-described functions, and the computer 31 includes a calculation device 311, a storage device 312, and a communication device 314.

演算装置３１１は、識別匿名レベル個別判定部３１１１と、制御部３１１２と、情報価値レベル判定部３１１３と、を備える。 The arithmetic device 311 includes an identification anonymous level individual determination unit 3111, a control unit 3112, and an information value level determination unit 3113.

識別匿名レベル個別判定部３１１１は、匿名レベル判定サーバ２から受信した個人情報（元データ）および匿名化データから、識別匿名レベル個別判定結果を算出するなどの匿名レベル判定処理全般に関する機能を有する。識別匿名レベルを個別に判定する際には、記憶装置３１２の匿名レベル判定指標記憶部３１２３に予め格納された匿名レベル判定指標を参照する。 The identification anonymity level individual determination unit 3111 has a function related to anonymity level determination processing in general, such as calculating an identification anonymous level individual determination result from personal information (original data) and anonymization data received from the anonymity level determination server 2. When individually determining the identification anonymous level, the anonymous level determination index stored in advance in the anonymous level determination index storage unit 3123 of the storage device 312 is referred to.

通信装置３１４は、匿名レベル判定サーバ２との間において、ネットワーク５２を介して各種情報（個人情報、匿名化データ、匿名レベル等）を送受信する処理に関する機能を有する。 The communication device 314 has a function related to a process of transmitting and receiving various information (personal information, anonymized data, anonymity level, etc.) to and from the anonymous level determination server 2 via the network 52.

制御部３１１２は、識別匿名性評価サーバ３に備わる各装置や各部全体処理を制御する機能を有する。
例えば、個人情報記憶部３１２１から個人情報（元データ）を読込み、匿名データ記憶部３１２２から匿名化データを読込み、匿名レベル判定指標記憶部３１２３から読み込んだ匿名レベル個別判定結果を算出するための匿名レベル判定指標（匿名化指標）に基づき識別匿名レベル判定結果を生成する等の全体処理を制御する。 The control unit 3112 has a function of controlling each device included in the identification and anonymity evaluation server 3 and the entire process of each unit.
For example, anonymity for reading personal information (original data) from the personal information storage unit 3121, anonymized data from the anonymous data storage unit 3122, and calculating the anonymous level individual determination result read from the anonymous level determination index storage unit 3123. It controls the entire process such as generating the identification anonymous level determination result based on the level determination index (anonymization index).

記憶装置３１２の個人情報記憶部３１２１には、匿名レベル判定サーバ２から受信した個人情報（元データ）が記憶され、匿名データ記憶部３１２２には、匿名レベル判定サーバ２から受信した匿名化データが記憶される。
匿名レベル判定指標記憶部３１２３には、匿名レベル判定サーバ２から受信した個人情報および匿名化データから、匿名レベル個別判定結果を算出するための匿名レベル判定指標（匿名化指標）に関する情報が記憶される。 The personal information storage unit 3121 of the storage device 312 stores the personal information (original data) received from the anonymous level determination server 2, and the anonymous data storage unit 3122 stores the anonymized data received from the anonymous level determination server 2. Remembered.
The anonymous level determination index storage unit 3123 stores information about an anonymous level determination index (anonymization index) for calculating an anonymous level individual determination result from personal information and anonymization data received from the anonymous level determination server 2. It

非識別匿名性評価サーバ４は、匿名化されたデータに対して安全性の判断基準である匿名性評価指標（匿名化データの安全性を示す匿名レベル判定指標）を算出する機能、例えば、匿名レベル判定サーバ２から受信した匿名化データから、匿名化データの安全性を示す評価指標である非識別匿名レベル個別判定結果を算出する機能、
を有する。 The non-identification anonymity evaluation server 4 has a function of calculating an anonymity evaluation index (anonymity level determination index indicating the security of anonymized data), which is a security determination standard for anonymized data, for example, anonymous A function of calculating a non-identification anonymous level individual determination result, which is an evaluation index indicating the security of the anonymized data, from the anonymized data received from the level determination server 2.
Have.

そして、非識別匿名性評価サーバ４は、上述した機能を実現する、例えば、計算機４１を備え、計算機４１は、演算装置４１１、記憶装置４１２、通信装置４１４、を有する。
演算装置４１１は、非識別匿名レベル個別判定部４１１１と、制御部４１１２と、備える。 Then, the non-identification anonymity evaluation server 4 includes, for example, a calculator 41 that realizes the above-described functions, and the calculator 41 includes an arithmetic device 411, a storage device 412, and a communication device 414.
The arithmetic device 411 includes a non-identification anonymous level individual determination unit 4111 and a control unit 4112.

非識別匿名レベル個別判定部４１１１は、匿名レベル判定サーバ２から受信した匿名化データから、非識別匿名レベル個別判定結果を算出するなどの匿名レベル判定処理全般に関する機能を有する。非識別匿名レベルを個別に判定する際には、記憶装置４１２の匿名レベル判定指標記憶部４１２３に予め格納された匿名レベル判定指標を参照する。 The non-identification anonymous level individual determination unit 4111 has a function relating to overall anonymous level determination processing such as calculating a non-identification anonymous level individual determination result from the anonymized data received from the anonymous level determination server 2. When individually determining the non-identification anonymous level, the anonymous level determination index stored in advance in the anonymous level determination index storage unit 4123 of the storage device 412 is referred to.

制御部４１１２は、非識別匿名性評価サーバ４に備わる各装置や各部の全体処理を制御する機能を有する。
例えば、匿名データ記憶部４１２２から匿名データを読込み、匿名レベル判定指標記憶部４１２３から読み込んだ匿名レベル個別判定結果を算出するための匿名レベル判定指標に基づき非識別匿名レベル判定結果を生成する等の全体処理を制御する。 The control unit 4112 has a function of controlling overall processing of each device and each unit included in the non-identification anonymity evaluation server 4.
For example, the anonymous data is read from the anonymous data storage unit 4122, and the non-identification anonymous level determination result is generated based on the anonymous level determination index for calculating the anonymous level individual determination result read from the anonymous level determination index storage unit 4123. Control the whole process.

通信装置４１４は、匿名レベル判定サーバ２との間において、ネットワーク５２を介して情報、例えば、匿名データ、匿名レベル、などを送受信する処理に関する機能を有する。 The communication device 414 has a function related to a process of transmitting and receiving information, for example, anonymous data, anonymity level, and the like, to and from the anonymous level determination server 2 via the network 52.

記憶装置４１２の匿名データ記憶部４１２２には、匿名レベル判定サーバ２から受信した匿名化データが記憶される。
匿名レベル判定指標記憶部４１２３には、匿名レベル判定サーバ２から受信した匿名化データから、非識別匿名レベル個別判定結果を算出するための匿名レベル判定指標（匿名化指標）に関する情報が記憶される。 The anonymized data storage unit 4122 of the storage device 412 stores anonymized data received from the anonymity level determination server 2.
The anonymity level determination index storage unit 4123 stores information about anonymity level determination index (anonymization index) for calculating the non-identification anonymous level individual determination result from the anonymization data received from the anonymous level determination server 2. ..

なお、上述した実施例では、匿名データ利用者端末１、匿名レベル判定サーバ２、識別匿名性評価サーバ３、非識別匿名性評価サーバ４は、ＣＰＵ、メモリ、ハードディスク、などの外部記憶装置、ネットワークを介して他装置と通信を行なうための通信装置、キーボードやマウスなどの入力装置、表示装置やプリンタなどの出力装置、可搬性を有する記憶媒体から情報を読み取る読取装置、などを備えた一般的な電子計算機により構成しており、上述の端末や各サーバの処理は、ＣＰＵの内部に格納された各種プログラムを読み込むことで実現される。なお、各機能をＣＰＵで実現する方法のみならず、それぞれをモジュールで実現、すなわち個別のハードウエアとして実現しても良い。 In the above-described embodiment, the anonymous data user terminal 1, the anonymous level determination server 2, the identification anonymity evaluation server 3, and the non-identification anonymity evaluation server 4 are external storage devices such as a CPU, a memory, a hard disk, and a network. A general device including a communication device for communicating with another device via a device, an input device such as a keyboard and a mouse, an output device such as a display device and a printer, a reading device for reading information from a portable storage medium, and the like. The processing of the above-mentioned terminal and each server is realized by reading various programs stored in the CPU. It should be noted that not only the method for realizing each function by the CPU but also each function may be realized by a module, that is, as individual hardware.

図２は、本発明の匿名性評価システムにおける匿名レベル判定サーバ２と匿名データ利用者端末１間における各情報（データ）の送受信、匿名レベル判定申請を説明するためのシーケンスを示す図である。 FIG. 2 is a diagram showing a sequence for explaining transmission/reception of each information (data) between the anonymous level determination server 2 and the anonymous data user terminal 1 and an anonymous level determination application in the anonymity evaluation system of the present invention.

図２のシーケンスに基づく動作は以下のとおりである。
ステップＳ１１：まず、匿名データ利用者端末１は、個人情報記憶部１１２１に記憶されている個人情報（元データ）を元に、匿名化処理部１１１１によって匿名化データを生成し、当該匿名化データを匿名データ記憶部１１２２に記憶する。
ここで、匿名化データの生成にあたっては、匿名データ利用者端末１自身で生成するのではなく、他のサーバに委託して匿名化データを生成しても良い。 The operation based on the sequence of FIG. 2 is as follows.
Step S11: First, the anonymization data user terminal 1 generates anonymization data by the anonymization processing unit 1111 based on the personal information (original data) stored in the personal information storage unit 1121. Is stored in the anonymous data storage unit 1122.
Here, in generating the anonymized data, the anonymized data may not be generated by the anonymous data user terminal 1 itself, but may be entrusted to another server to generate the anonymized data.

ステップＳ１２：匿名データ利用者端末１は、通信装置１１４にて、個人情報記憶部１１２１に記憶される個人情報（元データ）と匿名データ記憶部１１２２に記憶される匿名化データと共に、匿名化データの利用分野、利用用途、などを明示して匿名レベル判定申請を匿名レベル判定サーバ２に送信する。
ここで、送信する個人情報（元データ）は、匿名性評価に支障がない範囲で個人を識別可能な情報をマスキングしたり、ランダムな符号化（トーカナイズ）を行っても良い。 Step S12: The anonymous data user terminal 1 uses the anonymized data in the communication device 114 together with the personal information (original data) stored in the personal information storage unit 1121 and the anonymized data stored in the anonymous data storage unit 1122. The anonymous level determination application is transmitted to the anonymous level determination server 2 by clearly indicating the usage field, the usage purpose, and the like.
Here, the personal information to be transmitted (original data) may be masked with information that can identify an individual within a range that does not hinder the anonymity evaluation, or may be randomly encoded (talkize).

ステップＳ２１：次に、匿名レベル判定サーバ２は、振分処理部２１１４にて匿名レベル個別判定要求の振り分け先を判定する。この振り分け先の判定は、匿名データ利用者端末１から受信した匿名レベル判定申請に含まれる匿名化データの利用分野、利用用途など、および匿名レベル判定指標記憶部２１２３に記憶されている1つ以上の識別匿名性評価サーバ３および1つ以上の非識別匿名性評価サーバ４の各々の組織信頼度を元に行う。 Step S21: Next, the anonymity level determination server 2 determines the distribution destination of the anonymous level individual determination request by the distribution processing unit 2114. The determination of the distribution destination is one or more stored in the anonymous level determination index storage unit 2123, such as the usage field and usage of the anonymized data included in the anonymous level determination application received from the anonymous data user terminal 1. The identification anonymity evaluation server 3 and one or more non-identification anonymity evaluation servers 4 of FIG.

ステップＳ２２：続いて、匿名レベル判定サーバ２は、ステップＳ２１にて判定した振り分け先に従い、当該振り分け先の1つ以上の識別匿名性評価サーバ３および当該振り分け先の1つ以上の非識別匿名性評価サーバ４に対し、匿名レベル個別判定を要求する。また、当該要求に対する各々の識別匿名性評価サーバ３および非識別匿名性評価サーバ４から送信される匿名レベル個別判定結果を受信する。 Step S22: Subsequently, the anonymous level determination server 2 follows the distribution destination determined in step S21, and one or more identification anonymity evaluation servers 3 of the distribution destination and one or more non-identification anonymities of the distribution destination. Request the anonymous level individual determination to the evaluation server 4. Further, the anonymous level individual determination result transmitted from each of the identification anonymity evaluation server 3 and the non-identification anonymity evaluation server 4 for the request is received.

ステップＳ２３：また、匿名レベル判定サーバ２は、匿名レベル総合判定部２１１１にて、当該各々の識別匿名性評価サーバ３および非識別匿名性評価サーバ４から受信した当該匿名レベル個別判定結果、および匿名レベル判定指標記憶部２１２３に記憶されている匿名レベルの判定指標を元に、匿名レベルの総合判定結果を出力する。 Step S23: Further, the anonymous level determination server 2 causes the anonymous level comprehensive determination unit 2111 to receive the anonymous level individual determination results received from the respective identified anonymous anonymity evaluation server 3 and the non-identified anonymousness evaluation server 4, and anonymous. Based on the anonymous level determination index stored in the level determination index storage unit 2123, the anonymous level comprehensive determination result is output.

ステップＳ２４：匿名レベル判定サーバ２は、通信装置２１４にて、当該匿名レベルの総合判定結果を匿名データ利用者端末１に送信する。個人情報の匿名化に際しては、各産業によって所定の匿名化レベルが設定されている。故に、このとき、個人情報が指標通りに匿名化されているか否かも併せて評価し、その結果も併せて匿名データ利用者端末１に送信するとよい。 Step S24: The anonymous level determination server 2 transmits the comprehensive determination result of the anonymous level to the anonymous data user terminal 1 by the communication device 214. When anonymizing personal information, a predetermined anonymization level is set by each industry. Therefore, at this time, it may be evaluated whether or not the personal information is anonymized according to the index, and the result may also be transmitted to the anonymous data user terminal 1.

ステップＳ１３：最後に、匿名データ利用者端末１は、前記匿名レベルの総合判定結果を受信する。そして、匿名データ利用者端末１と匿名レベル判定サーバ２間の素情報の送受信処理を終了する。 Step S13: Finally, the anonymous data user terminal 1 receives the comprehensive determination result of the anonymous level. Then, the process of transmitting and receiving the raw information between the anonymous data user terminal 1 and the anonymous level determination server 2 is completed.

図３は、本発明の匿名性評価システムにおける匿名レベル判定サーバ２と識別匿名性評価サーバ３、非識別匿名性評価サーバ４で協調して匿名レベルの総合を判定する処理を説明するためのシーケンスを示す図である。 FIG. 3 is a sequence for explaining a process of cooperatively determining anonymity level by the anonymity level determination server 2, the identification anonymity evaluation server 3, and the non-identification anonymity evaluation server 4 in the anonymity evaluation system of the present invention. FIG.

図３のシーケンスに基づく動作は以下のとおりである。
ステップＳ２５：まず、匿名レベル判定サーバ２は、上述したステップＳ２１にて判定した振り分け先に従い、当該振り分け先の1つ以上の識別匿名性評価サーバ３に対して、記憶装置２１２の個人情報記憶部２１２１に記憶されている個人情報（元データ）と匿名データ記憶部２１２２に記憶されている匿名化データを送信すると共に、識別匿名性評価依頼をする。 The operation based on the sequence of FIG. 3 is as follows.
Step S25: First, according to the distribution destination determined in step S21 described above, the anonymous level determination server 2 instructs the personal information storage unit of the storage device 212 to one or more identification anonymity evaluation servers 3 of the distribution destination. The personal information (original data) stored in 2121 and the anonymization data stored in the anonymous data storage unit 2122 are transmitted, and an identification anonymity evaluation request is made.

ステップＳ２６：続いて、匿名レベル判定サーバ２は、ステップＳ２１にて判定した振り分け先に従い、当該振り分け先の1つ以上の非識別匿名性評価サーバ４に対して、記憶装置２１２の匿名データ記憶部２１２２に記憶されている匿名データを送信すると共に、非識別匿名性評価依頼をする。 Step S26: Subsequently, the anonymous level determination server 2 follows the distribution destination determined in step S21 to the one or more non-identification anonymity evaluation servers 4 of the distribution destination, and stores the anonymous data storage unit of the storage device 212. The anonymous data stored in 2122 is transmitted, and a non-identification anonymity evaluation request is made.

ステップＳ３１：識別匿名性評価サーバ３は、匿名レベル判定サーバ２から送信された個人情報（元データ）と匿名化データを受信し、当該個人情報（元データ）と匿名化データを元に、質的属性間の距離等の評価値を算出し、識別匿名レベルを判定する。この距離は、質的属性間の差の絶対値から求める。
また、匿名レベル判定サーバ２から受信した個人情報（元データ）と匿名化データを元に、質的属性間の距離等の評価値を算出し、識別匿名レベルを判定する。 Step S31: The identification anonymity evaluation server 3 receives the personal information (original data) and the anonymized data transmitted from the anonymity level determination server 2, and based on the personal information (original data) and the anonymized data, the quality is determined. The evaluation value such as the distance between the physical attributes is calculated, and the identification anonymous level is determined. This distance is obtained from the absolute value of the difference between qualitative attributes.
Further, based on the personal information (original data) and the anonymized data received from the anonymous level determination server 2, an evaluation value such as a distance between qualitative attributes is calculated, and the identification anonymous level is determined.

ステップＳ３２：次に、識別匿名性評価サーバ３は、判定した識別匿名レベル（識別匿名性判定結果）を匿名レベル判定サーバ２に送信する。 Step S32: Next, the identification anonymity evaluation server 3 transmits the determined identification anonymous level (identification anonymous determination result) to the anonymous level determination server 2.

ここで、ステップＳ３１において、識別匿名性評価サーバ３の情報価値レベル判定部３１１３にて、受信した個人情報（元データ）と匿名化データとの差分を元に、有用性を示す指標である情報の損失量（情報エントロピー値等）を算出し、情報価値レベルを判定しても良い。
また、ステップＳ３１において、識別匿名レベル結果と共に、情報価値レベル結果を送信しても良い。
この場合、ステップＳ２３において、匿名レベル判定サーバ２の情報価値レベル判定部２１１３にて、1つ以上の識別匿名性評価サーバ３から受信した1つ以上の情報価値レベルを元に、情報価値総合判定結果を出力し、ステップＳ２４において、当該匿名レベルの総合判定結果と併せて情報価値総合判定結果を匿名データ利用者端末１に送信しても良い。 Here, in step S31, the information value level determination unit 3113 of the identification anonymity evaluation server 3 is an index indicating the usefulness based on the difference between the received personal information (original data) and the anonymized data. The information value level may be determined by calculating the amount of loss (information entropy value, etc.).
Further, in step S31, the information value level result may be transmitted together with the identification anonymous level result.
In this case, in step S23, the information value level determination unit 2113 of the anonymous level determination server 2 makes an information value comprehensive determination based on the one or more information value levels received from the one or more identification anonymity evaluation servers 3. The result may be output, and in step S24, the information value comprehensive determination result may be transmitted to the anonymous data user terminal 1 together with the anonymous level comprehensive determination result.

ステップＳ４１：また、非識別匿名性評価サーバ４は、匿名レベル判定サーバ２から送信された匿名化データを受信し、当該匿名化データを元に、ｋ匿名性やｌ多様性、などの評価値、つまり、匿名化データの安全性を示す評価指標（匿名レベル判定指標）を算出し、当該指標から非識別匿名レベルを判定する。 Step S41: Further, the non-identification anonymity evaluation server 4 receives the anonymization data transmitted from the anonymity level determination server 2, and based on the anonymization data, evaluation values such as k anonymity and l diversity. That is, an evaluation index (anonymity level determination index) indicating the security of the anonymized data is calculated, and the non-identification anonymous level is determined from the index.

ステップＳ４２：非識別匿名性評価サーバ４は、判定した非識別匿名レベルを匿名レベル判定サーバ２に送信する。 Step S42: The non-identification anonymity evaluation server 4 transmits the determined non-identification anonymous level to the anonymous level determination server 2.

以上述べた実施例によれば、匿名化処理した匿名化データの安全性や有用性の評価が行え、また、評価結果として表示される指標の値を確認することができる。また、１つ以上の識別匿名性評価サーバにより、個人情報（元データ）と匿名化データの比較から算出した識別匿名レベルと、１つ以上の非識別匿名性評価サーバにより、匿名化データのみから算出した非識別匿名レベルとを合算して匿名化データを評価する匿名化データ評価システムを設けた匿名化データ評価システムにより、匿名化データの総合的な匿名レベルを算出可能である。また、匿名化の算出結果や安全性の評価指標を定量的に示すことができる。 According to the embodiment described above, the safety and usefulness of the anonymized data that has been anonymized can be evaluated, and the value of the index displayed as the evaluation result can be confirmed. In addition, the identification anonymity level calculated from comparison of personal information (original data) and anonymized data by one or more identification anonymity evaluation servers, and the anonymization data only by one or more non-identification anonymity evaluation servers. Anonymized data evaluation system provided with an anonymized data evaluation system that evaluates anonymized data by summing the calculated non-identification anonymity level can calculate a comprehensive anonymity level of anonymized data. In addition, it is possible to quantitatively show the anonymization calculation result and the safety evaluation index.

なお、本発明は上述した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。 It should be noted that the present invention is not limited to the above-described embodiments, but includes various modifications. For example, the above-described embodiments have been described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the configurations described. Further, a part of the configuration of a certain embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of a certain embodiment. Further, it is possible to add/delete/replace other configurations with respect to a part of the configurations of the respective embodiments. Further, the above-described respective configurations, functions and the like may be realized by software by the processor interpreting and executing a program for realizing each function. Information such as a program, a table, and a file that realizes each function can be placed in a memory, a hard disk, a recording device such as an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, and a DVD.

１・・・匿名データ利用者端末
２・・・匿名レベル判定サーバ
３・・・識別匿名性評価サーバ
４・・・非識別匿名性評価サーバ
５１、５２：ネットワーク
１１１、２１１、３１１、４１１・・・演算装置
１１３・・・入出力装置
１１４、２１４、３１４、４１４・・・通信装置
１１１１・・・匿名化処理部
１１１２、２１１２、３１１２、４１１２・・・制御部
２１１１・・・匿名レベル総合判定部
１１２１、２１２１、３１２１・・・個人情報記憶部
１１２２、２１２２、３１２２、４１２２・・・匿名データ記憶部
２１２３、３１２３、４１２３・・・匿名レベル判定指標記憶部
３１１１・・・識別匿名レベル個別判定部
２１１３、３１１３・・・情報価値レベル判定部
４１１１・・・非識別匿名レベル個別判定部 1... Anonymous data user terminal 2... Anonymity level determination server 3... Identification anonymity evaluation server 4... Non-identification anonymity evaluation server 51, 52: Networks 111, 211, 311, 411... Calculation device 113... Input/output device 114, 214, 314, 414... Communication device 1111... Anonymization processing unit 1112, 2112, 3112, 4112... Control unit 2111... Anonymous level comprehensive determination Part 1121, 2121, 3121... Personal information storage unit 1122, 2122, 3122, 4122... Anonymous data storage unit 2123, 3123, 4123... Anonymous level determination index storage unit 3111... Identification anonymous level individual determination Part 2113, 3113... Information value level determination unit 4111... Non-identification anonymous level individual determination unit

Claims (12)

個人情報を匿名化したデータの匿名性を評価する匿名化データ評価システムにおいて、
匿名データ利用者端末と、匿名レベル判定サーバと、匿名性を評価する１つ以上の識別匿名性評価サーバと、匿名性を評価する１つ以上の非識別匿名性評価サーバと、を備え、
前記匿名データ利用者端末は、
前記個人情報と当該個人情報を匿名化したデータ、および匿名性評価申請情報を前記匿名レベル判定サーバに送信する通信装置、を含み、
前記１つ以上の識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された個人情報および匿名化したデータを、前記匿名レベル判定サーバを介して受信し、また、匿名化したデータの識別匿名レベルを前記匿名レベル判定サーバに送信する通信装置と、
前記個人情報および匿名化したデータから前記匿名化したデータの識別匿名レベルを、匿名レベルの判定指標を元に判定し、当該判定した識別匿名レベルを匿名レベル個別判定結果として出力する識別匿名レベル個別判定部、を含み、
前記１つ以上の非識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された匿名化したデータを、前記匿名レベル判定サーバを介して受信し、また、前記匿名化したデータの非識別匿名レベルを前記匿名レベル判定サーバに送信する通信装置と、
前記匿名化したデータから前記匿名化したデータの非識別匿名レベルを、匿名レベルの判定指標を元に判定し、当該判定した非識別匿名レベルを匿名レベル個別判定結果として出力する非識別匿名レベル個別判定部、を含み、
前記匿名レベル判定サーバは、
前記匿名性評価申請情報に基づき、前記匿名データ利用者端末から送信された個人情報と匿名化したデータを前記１つ以上の識別匿名性評価サーバに、および、前記匿名化したデータを前記１つ以上の非識別匿名性評価サーバに送信し、かつ、前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルを受信する通信装置と、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルから前記匿名化したデータの匿名レベルを、匿名レベルの判定指標を元に総合判定する匿名レベル総合判定部、を含む
ことを特徴とする匿名化データ評価システム。 In the anonymized data evaluation system that evaluates the anonymity of the data obtained by anonymizing personal information,
Anonymous data user terminal, an anonymity level determination server, one or more identification anonymity evaluation servers that evaluate anonymity, and one or more non-identification anonymity evaluation servers that evaluate anonymity,
The anonymous data user terminal,
The personal information and data anonymizing the personal information, and a communication device for transmitting anonymity evaluation application information to the anonymous level determination server,
The one or more identification anonymity evaluation servers,
Communication for receiving personal information and anonymized data transmitted from the anonymous data user terminal via the anonymity level determination server, and transmitting the identification anonymity level of the anonymized data to the anonymity level determination server. Device,
Identification anonymous level of the data the anonymous from the personal information and anonymous data, determines based on the determination indicator anonymous level identification anonymous level to output the identification anonymous levels the determination as anonymous level individual determination result Including an individual determination unit,
The one or more non-identification anonymity assessment servers,
A communication device that receives anonymized data transmitted from the anonymous data user terminal via the anonymity level determination server, and also transmits a non-identification anonymous level of the anonymized data to the anonymity level determination server. When,
The indiscriminate anonymous level of the data the anonymous from the anonymous data, determines based on the determination indicator anonymous level, non-identity anonymous level at which the non-discrimination anonymous levels the determination as anonymous level individual determination result Including an individual determination unit,
The anonymous level determination server,
Based on the anonymity evaluation application information, the personal information transmitted from the anonymous data user terminal and the anonymized data are transmitted to the one or more identification anonymity evaluation servers, and the anonymized data is the one. The identification transmitted to the above non-identification anonymity evaluation server and is an anonymous level individual determination result determined by the one or more identification anonymity evaluation servers and the one or more non-identification anonymity evaluation servers A communication device for receiving anonymity levels and non-identifying anonymity levels;
Data the anonymous from the one or more identification anonymity evaluation server and the one or more anonymous level is determined by indiscriminate anonymity evaluation server is an individual determination that said identification anonymous level and non-discriminating anonymous level An anonymized data evaluation system comprising: an anonymity level comprehensive determination unit that comprehensively determines the anonymous level of the above based on the determination index of the anonymous level. 請求項１に記載された匿名化データ評価システムにおいて、
前記識別匿名レベル個別判定部は、
前記個人情報および前記匿名化したデータを元に、質的属性間の距離の評価値を算出し、前記識別匿名レベルを判定し、
前記非識別匿名レベル個別判定部は、
前記匿名化したデータを元に、ｋ−匿名性、又はｌ（エル）多様性の評価値を算出し、前記非識別匿名レベルを判定する、
ことを特徴とする匿名化データ評価システム。 In the anonymized data evaluation system according to claim 1,
The identification anonymous level individual determination unit,
Based on the personal information and the anonymized data, calculate an evaluation value of the distance between qualitative attributes, to determine the identification anonymous level,
The non-identification anonymous level individual determination unit,
Based on the anonymized data, an evaluation value of k-anonymity or l (el) diversity is calculated to determine the non-discrimination anonymous level.
Anonymized data evaluation system. 請求項１に記載された匿名化データ評価システムにおいて、
前記匿名レベル判定サーバは、さらに、振分処理部を含み、
前記振分処理部は、
前記匿名データ利用者端末から送信され、前記匿名性評価申請情報を受けたとき、当該匿名性評価申請情報に含まれる利用分野又は利用用途、に基づく組織信頼度を元に、前記個人情報および匿名化したデータの、前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバへの振分け先を判定する、
ことを特徴とする匿名化データ評価システム。 In the anonymized data evaluation system according to claim 1,
The anonymous level determination server further includes a distribution processing unit,
The distribution processing unit,
When sent from the anonymous data user terminal and received the anonymity evaluation application information, the personal information and the anonymity are based on the organizational reliability based on the field of use or the purpose of use included in the anonymity evaluation application information. Determining the distribution destination of the converted data to the one or more identification anonymity evaluation servers and the one or more non-identification anonymity evaluation servers,
Anonymized data evaluation system. 請求項１に記載された匿名化データ評価システムにおいて、
前記１つ以上の識別匿名性評価サーバは、さらに、情報価値レベル判定部を含み、
前記情報価値レベル判定部は、
前記匿名レベル判定サーバから送信された個人情報および匿名化したデータから、情報価値レベルを個別判定し、
前記匿名レベル判定サーバは、さらに、情報価値レベル判定部、を含み、
前記情報価値レベル判定部は、
前記１つ以上の識別匿名性評価サーバにて判定された情報価値レベル判定結果である個別の情報価値レベルから情報価値レベルを総合判定する
ことを特徴とする匿名化データ評価システム。 In the anonymized data evaluation system according to claim 1,
The one or more identification anonymity evaluation servers further include an information value level determination unit,
The information value level determination unit,
From the personal information and anonymized data transmitted from the anonymous level determination server, the information value level is individually determined,
The anonymous level determination server further includes an information value level determination unit,
The information value level determination unit,
An anonymized data evaluation system, wherein an information value level is comprehensively determined from individual information value levels which are information value level determination results determined by the one or more identification anonymity evaluation servers. 請求項４に記載された匿名化データ評価システムにおいて、
前記匿名レベル判定サーバにおける前記情報価値レベル判定部は、
前記匿名データ利用者端末から受信した個人情報と前記匿名化したデータとの差分を元に、情報の損失量を算出し、情報価値レベルを判定する
ことを特徴とする匿名化データ評価システム。 In the anonymized data evaluation system according to claim 4,
The information value level determination unit in the anonymous level determination server ,
The anonymous data user the personal information received from the terminal based on the difference between the anonymous data, to calculate the loss of information, anonymous data evaluation system, characterized in that determining the information value level. 個人情報を匿名化したデータの匿名性を評価する匿名化データ評価システムにおける匿名レベル判定サーバにおいて、
演算装置、通信装置、を備え、
前記通信装置は、
匿名データ利用者端末から送信された個人情報と匿名化したデータ、および匿名性評価申請情報を受けた場合、当該個人情報と匿名化したデータを１つ以上の識別匿名性評価サーバに送信し、前記匿名化したデータを１つ以上の非識別匿名性評価サーバに送信し、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて、前記匿名化したデータに対する匿名レベル個別判定結果である識別匿名レベルおよび非識別匿名レベルを受信する通信部を含み、
前記演算装置は、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルから前記匿名化したデータの匿名レベルを、匿名レベル判定指標を参照して総合判定する匿名レベル総合判定部、を含む
ことを特徴とする匿名レベル判定サーバ。 In the anonymity level determination server in the anonymized data evaluation system that evaluates the anonymity of the data obtained by anonymizing personal information,
Computation device, communication device,
The communication device is
Anonymous data When personal information and anonymized data sent from a user terminal and anonymity evaluation application information are received, the personal information and anonymized data are sent to one or more identification anonymity evaluation servers, Sending the anonymized data to one or more non-identifying anonymity assessment servers,
Wherein at least one identification anonymity evaluation server and the one or more non-identity anonymity evaluation server receives the identification anonymous level and indiscriminate anonymous level is anonymous level individual judgment result for said anonymized data Including the communication unit,
The arithmetic unit is
Data the anonymous from the one or more identification anonymity evaluation server and the one or more anonymous level is determined by indiscriminate anonymity evaluation server is an individual determination that said identification anonymous level and non-discriminating anonymous level Anonymity level determination server, comprising: anonymity level comprehensive determination unit that comprehensively determines the anonymous level of the anonymous level determination index. 請求項６に記載された匿名レベル判定サーバにおいて、
前記演算装置は、さらに、
前記匿名データ利用者端末から送信され、前記匿名性評価申請情報を受けたとき、当該匿名性評価申請情報に含まれる利用分野又は利用用途に基づく組織信頼度を元に、前記個人情報および匿名化したデータの、前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバへの振分け先を判定する振分処理部、を含む
ことを特徴とする匿名レベル判定サーバ。 In the anonymous level determination server according to claim 6,
The arithmetic unit further comprises
When the anonymity evaluation application information is transmitted from the anonymous data user terminal and the anonymity evaluation application information is received, the personal information and anonymization are performed based on the organizational reliability based on the field of use or the intended use included in the anonymity evaluation application information. An anonymity level determination server, comprising: a distribution processing unit that determines a distribution destination of the obtained data to the one or more identification anonymity evaluation servers and the one or more non-identification anonymity evaluation servers. 請求項６に記載された匿名レベル判定サーバにおいて、
前記演算装置は、さらに、
前記匿名データ利用者端末から受信した個人情報と匿名化データとの差分を元に、情報の損失量を算出し、情報価値レベルを判定する情報価値レベル判定部、を含む
ことを特徴とする匿名レベル判定サーバ。 In the anonymous level determination server according to claim 6,
The arithmetic unit further comprises
Anonymity characterized by including an information value level determination unit that calculates the amount of information loss and determines the information value level based on the difference between the personal information received from the anonymous data user terminal and the anonymized data. Level judgment server. 個人情報を匿名化したデータの匿名性を評価する匿名レベル判定サーバを備えた匿名化データ評価システムにおける匿名レベル判定方法において、
前記匿名レベル判定サーバは、
匿名データ利用者端末から送信された個人情報および匿名化したデータを１つ以上の識別匿名性評価サーバに送信するステップ、
前記匿名化したデータを１つ以上の非識別匿名性評価サーバに送信するステップ、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名化したデータに対する識別匿名レベルおよび非識別匿名レベルを受信するステップを含み、
前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび非識別匿名レベルから前記匿名化したデータの匿名レベルを総合判定するステップ、を含む
ことを特徴とする匿名レベル判定方法。 In the anonymity level determination method in the anonymized data evaluation system provided with an anonymity level determination server that evaluates the anonymity of the data obtained by anonymizing personal information,
The anonymous level determination server ,
Anonymous data: a step of transmitting personal information and anonymized data transmitted from the user terminal to one or more identification anonymity evaluation servers,
Sending the anonymized data to one or more non-identifying anonymity assessment servers,
Comprising the step of receiving identification anonymous level and indiscriminate anonymous level for anonymized data determined by said one or more identification anonymity evaluation server and the one or more non-identity anonymity evaluation server,
Data the anonymous from the one or more identification anonymity evaluation server and the one or more anonymous level is determined by indiscriminate anonymity evaluation server is an individual determination that said identification anonymous level and non-discriminating anonymous level Anonymity level determination method comprising: comprehensively determining anonymity level of. 請求項９に記載された匿名レベル判定方法において、
前記匿名レベル判定サーバは、さらに、
匿名データ利用者端末から送信され、匿名性評価申請情報を受けたとき、当該匿名性評価申請情報に含まれる利用分野又は利用用途に基づく組織信頼度を元に、前記個人情報と前記匿名化したデータの振分け先である、前記１つ以上の識別匿名性評価サーバおよび前記１つ以上の非識別匿名性評価サーバを判定するステップ、を含むことを特徴とする匿名レベル判定方法。 The anonymous level determination method according to claim 9,
The anonymous level determination server ,
Anonymous data When sent from a user terminal and received anonymity evaluation application information, based on the organizational reliability based on the field of use or intended use included in the anonymity evaluation application information, the anonymization was performed with the personal information. An anonymity level determination method, comprising: determining the one or more identification anonymity evaluation servers and the one or more non-identification anonymity evaluation servers that are data distribution destinations. 請求項９に記載された匿名レベル判定方法において、
前記匿名レベル判定サーバは、さらに、
前記個人情報および匿名化したデータから、情報価値レベルを個別判定するステップ、を含む
ことを特徴とする匿名レベル判定方法。 The anonymous level determination method according to claim 9,
The anonymous level determination server ,
A method of individually determining an information value level from the personal information and anonymized data. 請求項１に記載された匿名化データ評価システムにおける匿名レベル判定方法であって、
前記匿名データ利用者端末は、
個人情報および当該個人情報を匿名化したデータを前記匿名レベル判定サーバに送信するステップ、を含み、
前記識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された前記個人情報および前記匿名化したデータを受信するステップ、
前記個人情報および前記匿名化したデータから識別匿名レベルを判定するステップ、を含み、
前記非識別匿名性評価サーバは、
前記匿名データ利用者端末から送信された前記匿名化したデータを受信するステップ、
前記匿名化したデータから非識別匿名レベルを判定するステップ、を含み、
前記匿名レベル判定サーバは、
前記匿名データ利用者端末から送信された前記個人情報および前記匿名化したデータを受信するステップ、
前記匿名データ利用者端末から受信した前記個人情報および前記匿名化したデータを前記１つ以上の識別匿名性評価サーバに送信するステップ、
前記匿名データ利用者端末から受信した前記匿名化したデータを前記１つ以上の非識別匿名性評価サーバに送信するステップ、
前記識別匿名レベルを判定するステップおよび前記非識別匿名レベルを判定するステップにて判定された匿名レベル個別判定結果である前記識別匿名レベルおよび前記非識別匿名レベルを受信するステップ、
前記匿名レベル個別判定結果である前記識別匿名レベルおよび前記非識別匿名レベルから前記匿名化したデータの匿名レベルを総合判定するステップ、を含む
ことを特徴とする匿名レベル判定方法。 A method of determining anonymity level in the anonymized data evaluation system according to claim 1, comprising:
The anonymous data user terminal,
Transmitting personal information and data obtained by anonymizing the personal information to the anonymous level determination server,
The identification anonymity evaluation server,
Receiving the personal information and the anonymized data transmitted from the anonymous data user terminal,
Determining an identification anonymity level from the personal information and the anonymized data,
The non-identification anonymity evaluation server,
Receiving the anonymized data transmitted from the anonymous data user terminal,
Determining a non-identification anonymity level from the anonymized data,
The anonymous level determination server,
Receiving the personal information and the anonymized data transmitted from the anonymous data user terminal,
Transmitting the personal information and the anonymized data received from the anonymous data user terminal to the one or more identification anonymity evaluation servers;
Transmitting the anonymized data received from the anonymous data user terminal to the one or more non-identification anonymity evaluation servers,
Receiving the identification anonymous level and the non-identification anonymous level, which are the anonymous level individual determination results determined in the step of determining the identification anonymous level and the step of determining the non-identification anonymous level,
Anonymous level determination method characterized by comprising the comprehensive determining, anonymous level of the data the anonymous from the anonymous level is individually determined that said identification anonymous level and the non-identification anonymous level.
JP2017222539A 2017-11-20 2017-11-20 Anonymized data evaluation system and method, and anonymity level determination server Active JP6715816B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2017222539A JP6715816B2 (en) 2017-11-20 2017-11-20 Anonymized data evaluation system and method, and anonymity level determination server
PCT/JP2018/041687 WO2019098136A1 (en) 2017-11-20 2018-11-09 Evaluation system and method of anonymized data, and anonymity level determination server

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017222539A JP6715816B2 (en) 2017-11-20 2017-11-20 Anonymized data evaluation system and method, and anonymity level determination server

Publications (3)

Publication Number Publication Date
JP2019095885A JP2019095885A (en) 2019-06-20
JP2019095885A5 JP2019095885A5 (en) 2020-04-30
JP6715816B2 true JP6715816B2 (en) 2020-07-01

Family

ID=66539089

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017222539A Active JP6715816B2 (en) 2017-11-20 2017-11-20 Anonymized data evaluation system and method, and anonymity level determination server

Country Status (2)

Country Link
JP (1) JP6715816B2 (en)
WO (1) WO2019098136A1 (en)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021065004A1 (en) * 2019-10-04 2021-04-08 日本電信電話株式会社 Identification estimation risk evaluating device, identification estimation risk evaluating method, and program
JP7031084B2 (en) * 2020-01-14 2022-03-07 三菱電機株式会社 Anonymous processing evaluation system, anonymous processing evaluation method and anonymous processing evaluation program

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013121738A1 (en) * 2012-02-17 2013-08-22 日本電気株式会社 Distributed anonymization device, and distributed anonymization method
JP6223853B2 (en) * 2014-02-13 2017-11-01 株式会社東芝 Anonymization index calculation system
JP2016184213A (en) * 2015-03-25 2016-10-20 株式会社日立ソリューションズ Method for anonymizing numeric data, and numeric data anonymization server

Also Published As

Publication number Publication date
JP2019095885A (en) 2019-06-20
WO2019098136A1 (en) 2019-05-23

Similar Documents

Publication Publication Date Title
US10574540B2 (en) Method and system for facilitating management of service agreements for consumer clarity over multiple channels
Daubert et al. A view on privacy & trust in IoT
Narayanan et al. A precautionary approach to big data privacy
Brandtzaeg et al. Losing control to data-hungry apps: A mixed-methods approach to mobile app privacy
Huckvale et al. Unaddressed privacy risks in accredited health and wellness apps: a cross-sectional systematic assessment
CA2929269C (en) Dynamic de-identification and anonymity
Malin et al. Never too old for anonymity: a statistical standard for demographic data sharing via the HIPAA Privacy Rule
EP3063691B1 (en) Dynamic de-identification and anonymity
Hintze Viewing the GDPR through a de-identification lens: a tool for compliance, clarification, and consistency
Jabeen et al. Trust and reputation management in healthcare systems: taxonomy, requirements and open issues
US20140287723A1 (en) Mobile Applications For Dynamic De-Identification And Anonymity
US8522358B2 (en) Universal identity service avatar ecosystem
US20170262653A1 (en) Abstracted Graphs from Social Relationship Graph
US10069842B1 (en) Secure resource access based on psychometrics
US20200151351A1 (en) Verification of Privacy in a Shared Resource Environment
JP6715816B2 (en) Anonymized data evaluation system and method, and anonymity level determination server
Saksena et al. Rebooting consent in the digital age: a governance framework for health data exchange
US9882911B2 (en) Autonomous trust evaluation engine to grant access to user private data
JP5520330B2 (en) Information trading system
JP6523581B2 (en) INFORMATION PROVIDING DEVICE, INFORMATION PROVIDING SYSTEM, INFORMATION PROVIDING METHOD, AND INFORMATION PROVIDING PROGRAM
US20150244779A1 (en) Distributed personal analytics, broker and processing systems and methods
JP2023543716A (en) Data analytics privacy platform with quantified re-identification risk
JP2015141642A (en) Use agreement management device
Obiria et al. A location-based privacy-preserving m-learning model to enhance distance education in Kenya
JP5602782B2 (en) Information provider terminal and information transaction method

Legal Events

Date Code Title Description
A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200317

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200317

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200421

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200525

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200602

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200609

R150 Certificate of patent or registration of utility model

Ref document number: 6715816

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150