JP6769368B2 - 情報処理装置、プログラム、及び情報処理方法 - Google Patents

Description

本発明は、情報処理装置、プログラム、及び情報処理方法に関する。

近年、ビッグデータ分析に対するニーズがますます高まっている。ビッグデータ分析において、より正確で有用な分析結果を得るためには、可能な限り多くのデータサンプルの収集を行うことが望ましい。

政府は、国内の医療分野におけるビッグデータ分析を促進する施策を将来的に実施する計画を持っている。この施策によれば、病院の電子カルテのデータが収集され、収集されたデータが匿名データに加工され、匿名データがビッグデータ分析に利用可能なデータとして、データの利活用を希望する団体へ提供される予定である。

患者のカルテ情報等を利用するための技術も知られている（例えば、特許文献１乃至特許文献６を参照）。

特開２０１６−２１８６４４号公報 特開２００２−１１７１４２号公報 特開２００１−３１８９９２号公報 特開２００７−１８８２９０号公報 特開２００２−２８８３４１号公報 特開２０１２−２１２１９９号公報

病院等の医療機関において、上述した政府の施策に基づいて収集された電子カルテから、患者の過去の診察情報等を再利用する際、患者の本人確認が困難な場合がある。

なお、かかる問題は、医療機関において電子カルテの診察情報を再利用する場合に限らず、他の情報利用機関において他の個人情報を利用する場合においても生ずるものである。

１つの側面において、本発明は、個人の本人確認が困難な場合であっても、その個人の個人情報を利用できるようにすることを目的とする。

１つの案では、情報処理装置は、取得部及び出力部を含む。取得部は、個人を示す個人識別情報と個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、個人識別情報と個人の個人情報とを対応付けて記憶する記憶部から、代理人が提示した代理人識別情報に基づいて個人識別情報を取得する。そして、取得部は、取得した個人識別情報に基づいて記憶部から個人情報を取得する。出力部は、取得部が取得した個人情報を出力する。

実施形態によれば、個人の本人確認が困難な場合であっても、その個人の個人情報を利用できるようになる。

情報処理装置の機能的構成図である。 情報処理のフローチャートである。 情報処理システムの構成図である。 患者情報及び代理人情報を示す図である。 患者基本情報を格納するテーブルを示す図である。 医療基本情報を格納するテーブルを示す図である。 受診した医療機関の情報を格納するテーブルを示す図である。 代理人及び被代理人の情報を格納するテーブルを示す図である。 本人認証の情報を格納するテーブルを示す図である。 医療機関情報を示す図（その１）である。 医療機関情報を示す図（その２）である。 医療機関固有情報を格納するテーブルを示す図である。 所属医師等の情報を格納するテーブルを示す図である。 所属事務職員等の情報を格納するテーブルを示す図である。 患者の情報を格納するテーブルを示す図である。 機関認証の情報を格納するテーブルを示す図である。 ＩＤ取得シーケンスを示す図（その１）である。 ＩＤ取得シーケンスを示す図（その２）である。 診察シーケンスを示す図（その１）である。 診察シーケンスを示す図（その２）である。 診察シーケンスを示す図（その３）である。 診察シーケンスを示す図（その４）である。 診察シーケンスを示す図（その５）である。 診察シーケンスを示す図（その６）である。 代理人を登録するＩＤ取得シーケンスを示す図（その１）である。 代理人を登録するＩＤ取得シーケンスを示す図（その２）である。 代理人登録処理を示す図（その１）である。 代理人登録処理を示す図（その２）である。 代理人チェック処理を示す図（その１）である。 代理人チェック処理を示す図（その２）である。 代理人チェック処理を示す図（その３）である。 代理人の本人確認に基づく診察シーケンスを示す図（その１）である。 代理人の本人確認に基づく診察シーケンスを示す図（その２）である。 代理人の本人確認に基づく診察シーケンスを示す図（その３）である。 代理人の本人確認に基づく診察シーケンスを示す図（その４）である。 代理人の本人確認に基づく診察シーケンスを示す図（その５）である。 代理人の本人確認に基づく診察シーケンスを示す図（その６）である。 代理人の本人確認に基づく診察シーケンスを示す図（その７）である。 代理人の本人確認に基づく診察シーケンスを示す図（その８）である。 情報処理装置のハードウェア構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。
電子カルテは、患者のプライバシーに関わる個人情報を多く含むデータであるが、病院等の医療機関にとっては、患者の診察時に大きく役立つ情報でもある。そこで、医療機関において、患者による許諾を前提として、収集された電子カルテから患者の過去の診察情報を再利用できることが望ましい。過去の診察情報としては、例えば、患者が別の医療機関を受診した際の診察情報が挙げられる。

しかし、交通事故等によって患者が意識不明の重体に陥った場合、患者自身の意識がないため、医療機関では患者の身元が不明である。また、患者が高齢であるため問診に対して的確な応答がない場合も、やはり、患者の身元が不明なままである。このように、患者の本人確認が困難な場合、過去の診察情報を取得することが難しくなる。

さらに、何らかの方法で患者の身元が分かった場合であっても、患者の意識がないか又は意思が不明なため、患者による診察結果の確認が困難になり、患者が診察情報の再利用を許諾するか否かを確認することが難しくなることがある。

図１は、実施形態の情報処理装置（コンピュータ）の機能的構成例を示している。図１の情報処理装置１０１は、取得部１１１及び出力部１１２を含む。記憶部１０２は、個人を示す個人識別情報（個人ＩＤ）１２１と、個人を代理する代理人を示す代理人識別情報（代理人ＩＤ）１２２とを対応付けて記憶するとともに、個人ＩＤ１２１と個人の個人情報１２３とを対応付けて記憶する。情報処理装置１０１は、記憶部１０２を含んでいてもよい。

図２は、図１の情報処理装置１０１が行う情報処理の例を示すフローチャートである。まず、取得部１１１は、記憶部１０２から、代理人が提示した代理人ＩＤに基づいて個人ＩＤ１２１を取得し（ステップ２０１）、取得した個人ＩＤ１２１に基づいて記憶部１０２から個人情報１２３を取得する（ステップ２０２）。そして、出力部１１２は、取得部１１１が取得した個人情報１２３を出力する（ステップ２０３）。

このような情報処理装置１０１によれば、個人の本人確認が困難な場合であっても、その個人の個人情報を利用できるようになる。

図３は、図１の情報処理装置１０１を含む情報処理システムの構成例を示している。図３の情報処理システムは、電子カルテを収集する電子カルテシステムであり、患者の端末装置３０１、患者を代理する代理人の端末装置３０２、病院Ａの病院システム３０３−１、病院Ｂの病院システム３０３−２、及びデータセンター３０４を含む。データセンター３０４は、電子カルテを収集して管理する情報収集機関によって使用される。

病院Ａ及び病院Ｂは、情報収集機関に対して電子カルテのデータを提供する情報提供機関であると同時に、収集された電子カルテのデータを利用する情報利用機関でもある。病院システムの数は２つに限られず、病院の数が３つ以上である場合、病院システムの数も３つ以上になる。これらの病院は、例えば、全国に分布する病院であってもよく、特定の地方に存在する病院であってもよい。

病院システム３０３−ｉ（ｉ＝１，２）は、医師の端末装置３１１−ｉ、事務職員の端末装置３１２−ｉ、及びストレージ装置３１３−ｉを含む。ストレージ装置３１３−ｉは、患者の診察情報を含む電子カルテを記憶するローカルストレージである。

データセンター３０４は、サーバ３２１−１、サーバ３２１−２、サーバ３２２、サーバ３２３、及びストレージ装置３２４を含む。サーバ３２１−１内では、病院Ａの仮想マシン（ＶＭ）３３１−１が動作し、サーバ３２１−２内では、病院ＢのＶＭ３３１−２が動作する。サーバ３２２は、ＩＤ管理部３４１及び記憶部３４２を含み、記憶部３４２は、開示許諾情報３４３を記憶する。サーバ３２３は、チェック部３４４を含む。

ストレージ装置３２４は、患者情報３５１、代理人情報３５２、病院Ａの医療機関情報３５３−１、及び病院Ｂの医療機関情報３５３−２を記憶する。患者情報３５１は、患者に関する情報であり、代理人情報３５２は、代理人に関する情報である。医療機関情報３５３−１は、病院Ａに関する情報であり、医療機関情報３５３−２は、病院Ｂに関する情報である。

サーバ３２１−ｉは、通信ネットワークを介して、病院システム３０３−ｉの端末装置３１１−ｉ、端末装置３１２−ｉ、及びストレージ装置３１３−ｉと通信することができる。サーバ３２２は、通信ネットワークを介して、端末装置３０１、端末装置３１１−ｉ、及び端末装置３１２−ｉと通信することができる。また、サーバ３２１−ｉ、サーバ３２２、サーバ３２３、及びストレージ装置３２４は、データセンター３０４内の通信ネットワークを介して互いに通信することができる。

ＶＭ３３１−ｉは、病院システム３０３−ｉから送信される電子カルテの情報を受信して、ＩＤ管理部３４１へ転送する。ＩＤ管理部３４１は、電子カルテの情報を患者情報３５１及び医療機関情報３５３−ｉに記録する。このとき、電子カルテに含まれる患者の診察情報は、医療機関情報３５３−ｉに記録される。また、ＩＤ管理部３４１は、病院システム３０３−ｉとは異なる別の病院システム３０３−ｊに対する、医療機関情報３５３−ｉの開示を許諾するか否かを、開示許諾情報３４３に設定する。

医療機関情報３５３−ｉの開示を許諾するか否かは、患者が決定することができる。しかし、患者の意思を確認することが困難な場合は、代理人が患者に代わって、情報開示を許諾することもできる。チェック部３４４は、代理人の適格性をチェックし、非適格な代理人の登録を排除するとともに、非適格な代理人による情報開示の許諾も排除する。

患者の記録媒体３０５及び代理人の記録媒体３０６は、コンピュータ読み取り可能な記録媒体である。記録媒体３０５は、患者に対して付与された医療ＩＤを記憶し、記録媒体３０６は、代理人に対して付与された医療ＩＤを記憶する。

サーバ３２２は、図１の情報処理装置１０１に対応し、ＩＤ管理部３４１は、取得部１１１に対応し、ストレージ装置３２４は、記憶部１０２に対応する。この場合、サーバ３２２が有する不図示の通信インタフェースは、出力部１１２に対応する。記録媒体３０５が記憶する患者の医療ＩＤは、個人ＩＤ１２１に対応し、記録媒体３０６が記憶する代理人の医療ＩＤは、代理人ＩＤ１２２に対応する。患者情報３５１と、医療機関情報３５３−ｉに記録された診察情報は、個人情報１２３に対応する。

患者情報３５１、代理人情報３５２、及び医療機関情報３５３−ｉに記録された情報が更新された場合、ＩＤ管理部３４１は、更新前の情報を削除することなく、その情報の使用を停止して、更新後の情報を追記する。これにより、更新前の情報が履歴として記録される。

図４は、患者情報３５１及び代理人情報３５２の例を示している。図４の情報は、医療ＩＤ“ＡＢ０１２３”が示す患者の情報と、医療ＩＤ“ＣＤ４５６７”が示す患者の情報とを含む。各患者の情報は、患者基本情報、医療基本情報、受診した医療機関、代理人、被代理人、及び本人認証の項目を含む。

患者基本情報は、患者の基本情報であり、氏名、住所、性別、生年月日、及びＩＤ情報の項目を含む。ＩＤ情報は、患者の医療ＩＤが有効であるか否かを示す。医療基本情報は、保険証情報、直近の身長、直近の体重、血液型、及び生死の項目を含む。直近の身長に記録された数値のうち、取り消し線で取り消された数値は過去の測定値を表し、取り消し線で取り消されていない数値が直近の測定値を表す。直近の体重に記録された数値についても同様である。

受診した医療機関は、医療機関ＩＤ毎に受診日の項目を含む。この例では、医療機関ＩＤ“ＨＯＳ１２３４５６”が示す病院Ａの受信日と、医療機関ＩＤ“ＨＯＳ６５４３２１”が示す病院Ｂの受診日とが記録されている。

代理人の項目には、患者を代理する代理人の医療ＩＤが記録され、被代理人の項目には、患者自身が代理する他の患者の医療ＩＤが記録される。このように、図４の情報では、被代理人である患者の医療ＩＤと、その患者を代理する代理人の医療ＩＤとが対応付けて記録される。代理人の項目に記録された医療ＩＤのうち、取り消し線で取り消された医療ＩＤは過去の代理人を示し、取り消し線で取り消されていない医療ＩＤは現在の代理人を示す。被代理人の項目に記録された医療ＩＤについても同様である。

この例では、医療ＩＤ“ＡＢ０１２３”が示す患者の代理人として、“ＣＤ４５６７”及び“ＡＢ００００”の２つの医療ＩＤが記録されており、同じ患者の被代理人として、“ＣＤ４５６７”及び“ＡＢ１１１１”の２つの医療ＩＤが記録されている。したがって、医療ＩＤ“ＣＤ４５６７”が示す患者は、医療ＩＤ“ＡＢ０１２３”が示す患者の代理人であると同時に被代理人でもある。医療ＩＤ“ＡＢ０１２３”が示す患者の情報を患者情報３５１とみなした場合、医療ＩＤ“ＣＤ４５６７”が示す患者の情報は代理人情報３５２に対応する。

同様に、医療ＩＤ“ＣＤ４５６７”が示す患者の代理人として、“ＡＢ０１２３”及び“ＡＢ００００”の２つの医療ＩＤが記録されており、同じ患者の被代理人として、“ＡＢ０１２３”及び“ＡＢ１１１１”の２つの医療ＩＤが記録されている。したがって、医療ＩＤ“ＡＢ０１２３”が示す患者は、医療ＩＤ“ＣＤ４５６７”が示す患者の代理人であると同時に被代理人でもある。医療ＩＤ“ＣＤ４５６７”が示す患者の情報を患者情報３５１とみなした場合、医療ＩＤ“ＡＢ０１２３”が示す患者の情報は代理人情報３５２に対応する。

このような代理関係は、例えば、図４に示す２人の患者が夫婦又は親子である場合に生じることがある。代理人及び被代理人の双方の情報に代理関係を記録しておき、それらの情報間の整合性を保つことで、特定の代理人が代理している患者の人数を把握することが可能になる。

本人認証の項目には、患者の認証方法及び認証情報が記録される。例えば、認証方法が生体認証である場合、指紋、掌紋、静脈パターン、顔画像、声紋等の生体特徴を示す特徴データが、認証情報として記録される。

図５は、図４の医療ＩＤ“ＡＢ０１２３”が示す患者の患者基本情報を格納するテーブルの例を示している。図５のテーブルは、患者の医療ＩＤ、氏名、住所、性別、生年月日、及びＩＤ情報の項目を含む。

各項目の右側に設けられた使用の項目は、その情報が使用されているか否かを示す。記号“○”は、情報が使用されていることを示し、記号“×”は、情報が使用されていないこと（不使用）を示す。例えば、情報が更新された場合、更新前の情報には“×”が設定され、更新後の情報には“○”が設定される。また、情報が削除された場合、削除された情報には“×”が設定される。

図６は、図４の医療ＩＤ“ＡＢ０１２３”が示す患者の医療基本情報を格納するテーブルの例を示している。図６のテーブルは、患者の医療ＩＤ、保険証情報、身長、体重、血液型、及び生死の項目を含む。使用の項目が示す情報については、図５と同様である。

図７は、図４の医療ＩＤ“ＡＢ０１２３”が示す患者の受診した医療機関の情報を格納するテーブルの例を示している。図７のテーブルは、患者の医療ＩＤ、医療機関ＩＤ、及び受診日の項目を含む。使用の項目が示す情報については、図５と同様である。

図８は、図４の医療ＩＤ“ＡＢ０１２３”が示す患者の代理人及び被代理人の情報を格納するテーブルの例を示している。図８のテーブルは、患者の医療ＩＤ、代理人、及び被代理人の項目を含む。使用の項目が示す情報については、図５と同様である。

図９は、図４の医療ＩＤ“ＡＢ０１２３”が示す患者の本人認証の情報を格納するテーブルの例を示している。図９のテーブルは、患者の医療ＩＤ、認証方法、及び認証情報の項目を含む。使用の項目が示す情報については、図５と同様である。

なお、代理人が患者ではない場合、その代理人についての代理人情報３５２は、図５、図８、及び図９のテーブルと同様の形式のテーブルを用いて記録することができる。

図１０Ａ及び図１０Ｂは、医療機関情報３５３−ｉの例を示している。図１０Ａ及び図１０Ｂの情報は、医療機関ＩＤ“ＨＯＳ１２３４５６”が示す病院Ａの情報と、医療機関ＩＤ“ＨＯＳ６５４３２１”が示す病院Ｂの情報とを含む。病院Ａの情報は、医療機関情報３５３−１に対応し、病院Ｂの情報は、医療機関情報３５３−２に対応する。各病院の情報は、医療機関固有情報、所属医師等の情報、所属事務職員等の情報、患者の情報、及び機関認証の項目を含む。

医療機関固有情報は、医療機関の名称、住所、許認可情報、診療科、その他、及びＩＤ情報の項目を含む。ＩＤ情報は、医療機関の医療機関ＩＤが有効であるか否かを示す。病院Ａの診療科のうち、取り消し線で取り消された情報は過去の診療科を表し、取り消し線で取り消されていない情報が現在の診療科を表す。

所属医師等の情報は、医療機関に所属する医師の医療ＩＤ、認証方法、及び認証情報の項目を含む。病院Ａの所属医師等の情報のうち、取り消し線で取り消された情報は過去に所属していた医師の情報を表し、取り消し線で取り消されていない情報が現在所属している医師の情報を表す。

所属事務職員等の情報は、医療機関に所属する事務職員の医療ＩＤ、認証方法、及び認証情報の項目を含む。

患者の情報は、患者の医療ＩＤ毎に、受診日、診療科、担当医、及び診察情報の項目を含む。担当医は、患者を担当した医師の医療ＩＤを表し、診察情報は、担当医による診察の結果を表す。このように、図１０Ａ及び図１０Ｂの医療機関情報３５３−ｉでは、患者の医療ＩＤとその患者の診察情報とが対応付けて記録される。

機関認証の項目には、医療機関の認証方法及び認証情報が記録される。例えば、認証方法が集積回路（ＩＣ）カードである場合、医療機関のＩＣカードに記録された認証データが、認証情報として記録される。

図１１は、図１０Ａの医療機関ＩＤ“ＨＯＳ１２３４５６”が示す病院Ａの医療機関固有情報を格納するテーブルの例を示している。図１１のテーブルは、病院Ａの医療機関ＩＤ、名称、住所、許認可情報、診療科、その他、及びＩＤ情報の項目を含む。使用の項目が示す情報については、図５と同様である。

図１２は、図１０Ａの病院Ａの所属医師等の情報を格納するテーブルの例を示している。図１２のテーブルは、病院Ａの医療機関ＩＤ、医師の医療ＩＤ、認証方法、及び認証情報の項目を含む。使用の項目が示す情報については、図５と同様である。

図１３は、図１０Ａの病院Ａの所属事務職員等の情報を格納するテーブルの例を示している。図１３のテーブルは、病院Ａの医療機関ＩＤ、事務職員の医療ＩＤ、認証方法、及び認証情報の項目を含む。使用の項目が示す情報については、図５と同様である。

図１４は、図１０Ａの病院Ａの患者の情報を格納するテーブルの例を示している。図１４のテーブルは、病院Ａの医療機関ＩＤ、患者の医療ＩＤ、受診日、診療科、担当医、及び診察情報の項目を含む。使用の項目が示す情報については、図５と同様である。

図１５は、図１０Ａの病院Ａの機関認証の情報を格納するテーブルの例を示している。図１５のテーブルは、病院Ａの医療機関ＩＤ、認証方法、及び認証情報の項目を含む。使用の項目が示す情報については、図５と同様である。

サーバ３２２が記憶する開示許諾情報３４３には、医療機関情報３５３−ｉに含まれる項目毎に、情報開示を許諾するか否かが設定される。例えば、同じ患者の複数の診察情報それぞれについて、情報開示を許諾するか否かを設定することができる。

図３の情報処理システムにおいて、患者の診察時に患者の本人確認が可能な場合、例えば、以下の手順で患者に関する情報が取得される。
（Ｐ１）患者は、情報処理システムを利用するために、端末装置３０１を用いてデータセンター３０４のサーバ３２２にアクセスし、ＩＤ管理部３４１から医療ＩＤを取得する。
（Ｐ２）患者は、取得した医療ＩＤを記録媒体３０５に記録し、ＩＤ管理部３４１は、同じ医療ＩＤをストレージ装置３２４の患者情報３５１に記録する。
（Ｐ３）患者は、病院Ａの受診時に記録媒体３０５を提示し、事務職員は、記録媒体３０５に記録された医療ＩＤを、事務職員の端末装置３１２−１に入力する。
（Ｐ４）端末装置３１２−１は、患者の本人認証を行う。
（Ｐ５）端末装置３１２−１は、患者の医療ＩＤを用いて、ストレージ装置３２４から患者に関する情報を取得する。これにより、患者情報３５１、病院Ａの医療機関情報３５３−１に含まれる患者の情報、及び病院Ｂの医療機関情報３５３−２に含まれる患者の情報が取得される。
（Ｐ６）ＩＤ管理部３４１は、患者の医療ＩＤと病院Ａの医療機関ＩＤとを紐付ける。
（Ｐ７）ＩＤ管理部３４１は、患者情報３５１に含まれる受診した医療機関に、病院Ａの医療機関ＩＤを記録する。
（Ｐ８）医師は、患者を診察し、ＩＤ管理部３４１は、病院Ａの医療機関情報３５３−１に含まれる患者の情報に、患者の医療ＩＤと対応付けて診察情報等を記録する。このとき、医師は、診察情報の開示を許諾するか否かを患者に確認し、ＩＤ管理部３４１は、患者の回答に応じて情報開示の可否を開示許諾情報３４３に設定する。

このような情報処理によれば、患者による情報開示の許諾を前提として、医療機関が過去の診察情報を参照することが可能になる。患者は、医療機関情報３５３−ｉに含まれる項目毎に、情報開示を許諾するか否かを決定することができる。また、患者の医療ＩＤと医療機関ＩＤとを紐付けることで、個々の医療機関の医療機関情報３５３−ｉを統合することなく、患者の情報を取得することが可能になる。

一方、図３の情報処理システムにおいて、患者の診察時に患者の本人確認が困難な場合、例えば、以下の手順で患者に関する情報が取得される。
（Ｐ１１）患者は、情報処理システムを利用するために、端末装置３０１を用いてデータセンター３０４のサーバ３２２にアクセスし、ＩＤ管理部３４１から医療ＩＤを取得する。
（Ｐ１２）患者は、取得した医療ＩＤを記録媒体３０５に記録し、ＩＤ管理部３４１は、同じ医療ＩＤをストレージ装置３２４の患者情報３５１に記録する。
（Ｐ１３）患者は、端末装置３０１を用いて、代理人の記録媒体３０６に記録された代理人の医療ＩＤをＩＤ管理部３４１へ送信し、代理人の登録を申請する。
（Ｐ１４）サーバ３２３のチェック部３４４は、代理人の適格性をチェックする。
（Ｐ１５）代理人が適格である場合、ＩＤ管理部３４１は、ストレージ装置３２４の患者情報３５１に代理人の医療ＩＤを記録する。
（Ｐ１６）ＩＤ管理部３４１は、代理人情報３５２に患者の医療ＩＤを記録する。
（Ｐ１７）意識不明の患者が病院Ａを受診する際、代理人が記録媒体３０６を提示し、事務職員は、記録媒体３０６に記録された医療ＩＤを、事務職員の端末装置３１２−１に入力する。
（Ｐ１８）端末装置３１２−１は、代理人の本人認証を行う。
（Ｐ１９）端末装置３１２−１は、代理人の医療ＩＤを用いて、ストレージ装置３２４の代理人情報３５２から被代理人の情報を取得する。
（Ｐ２０）事務職員は、被代理人の中から患者を特定し、端末装置３１２−１は、特定された患者の医療ＩＤを用いて、ストレージ装置３２４から患者に関する情報を取得する。これにより、患者情報３５１、病院Ａの医療機関情報３５３−１に含まれる患者の情報、及び病院Ｂの医療機関情報３５３−２に含まれる患者の情報が取得される。
（Ｐ２１）ＩＤ管理部３４１は、患者の医療ＩＤと病院Ａの医療機関ＩＤとを紐付ける。
（Ｐ２２）ＩＤ管理部３４１は、患者情報３５１に含まれる受診した医療機関に、病院Ａの医療機関ＩＤを記録する。
（Ｐ２３）医師は、患者を診察し、ＩＤ管理部３４１は、病院Ａの医療機関情報３５３−１に含まれる患者の情報に、患者の医療ＩＤと対応付けて診察情報等を記録する。このとき、医師は、診察情報の開示を許諾するか否かを代理人に確認し、ＩＤ管理部３４１は、代理人の回答に応じて情報開示の可否を開示許諾情報３４３に設定する。

このような情報処理によれば、患者の本人確認が困難な場合であっても、医療機関が過去の診察情報を参照することが可能になる。このとき、チェック部３４４が代理人の適格性をチェックすることで、医療機関が複雑な操作を行わなくても、適正な方法で患者の診察情報を取得することができる。

また、患者の代わりに代理人が診察結果を確認して、診察情報の再利用を許諾するか否かを決定することも可能になる。例えば、意識不明又は高齢の患者の受診時に、家族等が本人に代わって問診に応答したり、診察結果の説明を受けたりして、診察情報の再利用を許諾することができる。

次に、図１６Ａ〜図２１Ｈを参照しながら、図３の情報処理システムの動作についてより詳細に説明する。

図１６Ａ及び図１６Ｂは、患者が医療ＩＤを取得するＩＤ取得シーケンスの例を示している。まず、患者は、氏名等の患者情報とマイナンバー等の個人ＩＤを端末装置３０１に入力し、端末装置３０１は、入力された情報を用いて記録媒体３０５にアクセスする（ステップ１６１１）。そして、端末装置３０１は、記録媒体３０５に既存の医療ＩＤが記録されているか否かをチェックする（ステップ１６１２）。

既存の医療ＩＤが記録されている場合（ステップ１６１２，ＹＥＳ）、端末装置３０１は、その医療ＩＤを読み込む（ステップ１６１３）。一方、既存の医療ＩＤが記録されていない場合（ステップ１６１２，ＮＯ）、端末装置３０１は、ステップ１６１４以降の処理を行う。

次に、端末装置３０１は、記録媒体３０５から既存の医療ＩＤを読み込んだか否かをチェックする（ステップ１６１４）。既存の医療ＩＤを読み込んだ場合（ステップ１６１４，ＹＥＳ）、端末装置３０１は、患者に対して、その医療ＩＤを継続使用するか否かを問い合わせる（ステップ１６１５）。

患者が既存の医療ＩＤを継続使用しないことを示す回答を入力した場合（ステップ１６１５，ＮＯ）、端末装置３０１は、既存の医療ＩＤを無効化するＩＤ無効化申請を生成する（ステップ１６１６）。そして、端末装置３０１は、新規の医療ＩＤを取得するＩＤ取得申請を生成し、患者が入力した患者情報とともに、ＩＤ無効化申請及びＩＤ取得申請をサーバ３２２のＩＤ管理部３４１へ送信する（ステップ１６１７）。

一方、既存の医療ＩＤを読み込んでいない場合（ステップ１６１４，ＮＯ）、端末装置３０１は、新規の医療ＩＤを取得するＩＤ取得申請を生成し、ＩＤ取得申請のみをＩＤ管理部３４１へ送信する（ステップ１６１７）。

ＩＤ管理部３４１は、ＩＤ無効化申請を受信したか否かをチェックする（ステップ１６１８）。ＩＤ無効化申請を受信した場合（ステップ１６１８，ＹＥＳ）、ＩＤ管理部３４１は、ストレージ装置３２４の患者情報３５１に含まれる既存の医療ＩＤに関連付けられたすべての情報を無効化する（ステップ１６１９）。このとき、ＩＤ管理部３４１は、それらの情報の使用の項目に“×”を設定することで、それらの情報を不使用に設定する。

一方、ＩＤ無効化申請を受信していない場合（ステップ１６１８，ＮＯ）、端末装置３０１は、ステップ１６２０以降の処理を行う。

次に、ＩＤ管理部３４１は、受信したＩＤ取得申請に基づいて、患者に対して新規の医療ＩＤを付与し（ステップ１６２０）、受信した患者情報を新規の医療ＩＤに関連付けて患者情報３５１に追記する（ステップ１６２１）。そして、ＩＤ管理部３４１は、端末装置３０１に対して、医療機関情報３５３−１に対する情報開示の設定を依頼する。

患者は、端末装置３０１を用いて、医療機関情報３５３−１に含まれる項目毎に、情報開示を許諾するか否かを入力し、端末装置３０１は、入力された情報をＩＤ管理部３４１へ送信する（ステップ１６２３）。ＩＤ管理部３４１は、受信した情報を開示許諾情報３４３に設定し、新規の医療ＩＤを端末装置３０１へ送信する（ステップ１６２４）。そして、端末装置３０１は、新規の医療ＩＤを受信し（ステップ１６２５）、受信した医療ＩＤを記録媒体３０５に記録する（ステップ１６２６）。

患者が既存の医療ＩＤを継続使用することを示す回答を入力した場合（ステップ１６１５，ＹＥＳ）、端末装置３０１は、患者に対して、医療機関情報３５３−１に対する情報開示の設定を変更するか否かを問い合わせる（ステップ１６２２）。患者が情報開示の設定を変更することを示す回答を入力した場合（ステップ１６２２，ＹＥＳ）、端末装置３０１は、ステップ１６２３以降の処理を行う。この場合、ステップ１６２５及びステップ１６２６の処理はスキップされる。

一方、患者が情報開示の設定を変更しないことを示す回答を入力した場合（ステップ１６２２，ＮＯ）、端末装置３０１は、処理を終了する。

図１７Ａ〜図１７Ｆは、患者が病院Ａを受診する診察シーケンスの例を示している。この例では、病院Ａの端末装置３１１−１及び端末装置３１２−１は、病院Ａの医療機関ＩＤ及び認証情報を記憶している。また、病院Ａのストレージ装置３１３−１は、病院Ａにおける患者の診察情報を含む電子カルテと、病院Ａの医療機関情報とを記憶している。

まず、患者の受付を行う前に、病院Ａの医師は、医師の医療ＩＤ及び認証情報を端末装置３１１−１に入力する（ステップ１７１１）。そして、端末装置３１１−１は、記憶している病院Ａの医療機関ＩＤ及び認証情報を取得し（ステップ１７１２）、医師の医療ＩＤ及び認証情報と、病院Ａの医療機関ＩＤ及び認証情報とを含む認証依頼を、ＩＤ管理部３４１へ送信する。

同様に、病院Ａの事務職員は、事務職員の医療ＩＤ及び認証情報を端末装置３１２−１に入力する（ステップ１７１１）。そして、端末装置３１２−１は、記憶している病院Ａの医療機関ＩＤ及び認証情報を取得し（ステップ１７１２）、事務職員の医療ＩＤ及び認証情報と、病院Ａの医療機関ＩＤ及び認証情報とを含む認証依頼を、ＩＤ管理部３４１へ送信する。

ＩＤ管理部３４１は、端末装置３１１−１から受信した認証依頼に含まれる医師の医療ＩＤ及び病院Ａの医療機関ＩＤの認証を行い（ステップ１７１３）、認証が成功したか否かをチェックする（ステップ１７１４）。

このとき、ＩＤ管理部３４１は、ストレージ装置３２４の医療機関情報３５３−１から、医師の医療ＩＤに対応する認証情報及び病院Ａの医療機関ＩＤに対応する認証情報を取得する（ステップ１７１５）。そして、ＩＤ管理部３４１は、医療ＩＤ及び医療機関ＩＤそれぞれについて、端末装置３１１−１から受信した認証情報と、医療機関情報３５３−１から取得した認証情報とが一致すれば、認証が成功したと判定する。

認証が成功した場合（ステップ１７１４，ＹＥＳ）、ＩＤ管理部３４１は、医療機関情報３５３−１に含まれる病院Ａの情報を更新可能状態に設定する（ステップ１７１６）。例えば、医療機関情報３５３−１に各医療機関の更新フラグが設けられている場合、ＩＤ管理部３４１は、病院Ａの更新フラグを有効に設定することで、病院Ａの情報を更新可能状態に設定する。そして、ＩＤ管理部３４１は、認証成功を端末装置３１１−１に通知する。

端末装置３１１−１は、サーバ３２１−１のＶＭ３３１−１に接続し（ステップ１７１８）、端末装置３１１−１とＶＭ３３１−１とが通信可能な状態になる（ステップ１７１９）。これ以降、端末装置３１１−１は、ＶＭ３３１−１を介してＩＤ管理部３４１と通信する。

一方、認証が失敗した場合（ステップ１７１４，ＮＯ）、ＩＤ管理部３４１は、認証失敗を端末装置３１１−１に通知し、端末装置３１１−１は、エラー処理を行う（ステップ１７１７）。エラー処理において、端末装置３１１−１は、ステップ１７１１以降の処理を再度行うか、又は処理を終了する。

同様に、ＩＤ管理部３４１は、端末装置３１２−１から受信した認証依頼に含まれる事務職員の医療ＩＤ及び病院Ａの医療機関ＩＤの認証を行い（ステップ１７１３）、認証が成功したか否かをチェックする（ステップ１７１４）。

このとき、ＩＤ管理部３４１は、ストレージ装置３２４の医療機関情報３５３−１から、事務職員の医療ＩＤに対応する認証情報及び病院Ａの医療機関ＩＤに対応する認証情報を取得する（ステップ１７１５）。そして、ＩＤ管理部３４１は、医療ＩＤ及び医療機関ＩＤそれぞれについて、端末装置３１２−１から受信した認証情報と、医療機関情報３５３−１から取得した認証情報とが一致すれば、認証が成功したと判定する。

認証が成功した場合（ステップ１７１４，ＹＥＳ）、ＩＤ管理部３４１は、医療機関情報３５３−１に含まれる病院Ａの情報を更新可能状態に設定し（ステップ１７１６）、認証成功を端末装置３１２−１に通知する。そして、端末装置３１２−１は、サーバ３２１−１のＶＭ３３１−１に接続し（ステップ１７１８）、端末装置３１２−１とＶＭ３３１−１とが通信可能な状態になる（ステップ１７１９）。これ以降、端末装置３１２−１は、ＶＭ３３１−１を介してＩＤ管理部３４１と通信する。

一方、認証が失敗した場合（ステップ１７１４，ＮＯ）、ＩＤ管理部３４１は、認証失敗を端末装置３１２−１に通知し、端末装置３１２−１は、エラー処理を行う（ステップ１７１７）。エラー処理において、端末装置３１２−１は、ステップ１７１１以降の処理を再度行うか、又は処理を終了する。

患者は、病院Ａを受診する際に受付で記録媒体３０５を提示するか、又は診察の予約を行う際に電話等で患者の医療ＩＤを通知する（ステップ１７２１）。事務職員は、記録媒体３０５に記録された医療ＩＤ、又は患者から通知された医療ＩＤを、端末装置３１２−１に入力する（ステップ１７２２）。そして、端末装置３１２−１は、患者の医療ＩＤを含む認証依頼をＩＤ管理部３４１へ送信する（ステップ１７２３）。

次に、ＩＤ管理部３４１は、患者の本人認証で用いる認証情報を端末装置３１２−１に要求する（ステップ１７２４）。そして、患者は、認証情報を端末装置３１２−１に入力し（ステップ１７２５）、端末装置３１２−１は、入力された認証情報をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、ストレージ装置３２４の患者情報３５１から、患者の医療ＩＤに対応する認証情報を取得し（ステップ１７２６）、認証が成功したか否かをチェックする（ステップ１７２７）。例えば、ＩＤ管理部３４１は、端末装置３１２−１から受信した認証情報と、患者情報３５１から取得した認証情報とが一致すれば、認証が成功したと判定する。

認証が失敗した場合（ステップ１７２７，ＮＯ）、ＩＤ管理部３４１は、認証失敗を端末装置３１２−１に通知し、事務職員は、患者の身元の再確認を行う（ステップ１７２８）。

一方、認証が成功した場合（ステップ１７２７，ＹＥＳ）、ＩＤ管理部３４１は、認証成功を端末装置３１２−１に通知する。そして、端末装置３１２−１は、今回の受診が再診であるか否かをチェックする（ステップ１７２９）。

今回の受診が再診である場合（ステップ１７２９，ＹＥＳ）、端末装置３１２−１は、ストレージ装置３１３−１の電子カルテから患者の過去の診察情報を取得する（ステップ１７３０）。そして、端末装置３１２−１は、患者の医療ＩＤ及び病院Ａの医療機関ＩＤを含む情報取得依頼を、ＩＤ管理部３４１へ送信し、他の病院における過去の診察情報を要求する（ステップ１７３１）。

一方、今回の受診が初診である場合（ステップ１７２９，ＮＯ）、端末装置３１２−１は、ステップ１７３１以降の処理を行う。

次に、ＩＤ管理部３４１は、患者の医療ＩＤに対応する診察情報をストレージ装置３２４から検索する（ステップ１７３２）。まず、ＩＤ管理部３４１は、開示許諾情報３４３から、患者の医療ＩＤに対応する情報を取得し、情報開示が許諾されている項目を確認する（ステップ１７３３）。

次に、ＩＤ管理部３４１は、患者情報３５１の患者の医療ＩＤに対応する、受診した医療機関の項目に、病院Ａの医療機関ＩＤを記録する（ステップ１７３４）。そして、ＩＤ管理部３４１は、患者情報３５１から、患者の医療ＩＤに対応する患者基本情報及び医療基本情報を取得する（ステップ１７３５）。

次に、ＩＤ管理部３４１は、認証依頼の契機が診察の受付であるか否かをチェックする（ステップ１７３６）。診察の受付である場合（ステップ１７３６，ＹＥＳ）、ＩＤ管理部３４１は、患者情報３５１に含まれる患者の情報を更新可能状態に設定する（ステップ１７３７）。例えば、患者情報３５１に各患者の更新フラグが設けられている場合、ＩＤ管理部３４１は、診察を受ける患者の更新フラグを有効に設定することで、その患者の情報を更新可能状態に設定する。

一方、診察の予約である場合（ステップ１７３６，ＮＯ）、ＩＤ管理部３４１は、ステップ１７３８以降の処理を行う。

次に、ＩＤ管理部３４１は、医療機関情報３５３−ｉから、患者の医療ＩＤに対応する過去の診察情報を取得する（ステップ１７３８）。これにより、病院Ａの医療機関情報３５３−１及び病院Ｂの医療機関情報３５３−２に含まれる複数の診察情報のうち、情報開示が許諾されている診察情報が取得される。そして、ＩＤ管理部３４１は、患者情報３５１及び医療機関情報３５３−ｉから取得した情報を、端末装置３１２−１へ送信する。

次に、事務職員は、患者に対して担当医を割り当て（ステップ１７３９）、端末装置３１２−１は、患者の電子カルテを生成又は更新する（ステップ１７４０）。これにより、ＩＤ管理部３４１から受信した情報と、割り当てられた担当医の医療ＩＤとが、電子カルテに追記される（ステップ１７４１）。そして、端末装置３１２−１は、患者の受付又は予約を完了し（ステップ１７４２）、次の患者についてステップ１７２２以降の処理を繰り返す。

診察室において、患者は、医師に対して記録媒体３０５を提示し（ステップ１７５１）、医師は、記録媒体３０５に記録された医療ＩＤと医師の医療ＩＤとを、端末装置３１１−１に入力する（ステップ１７５２）。そして、端末装置３１１−１は、患者の医療ＩＤを含む認証依頼をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、患者の本人認証で用いる認証情報を端末装置３１１−１に要求する（ステップ１７５３）。そして、患者は、認証情報を端末装置３１１−１に入力し（ステップ１７５４）、端末装置３１１−１は、入力された認証情報をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、ストレージ装置３２４の患者情報３５１から、患者の医療ＩＤに対応する認証情報を取得し（ステップ１７５５）、取得した認証情報と端末装置３１１−１から受信した認証情報とを用いて、患者の本人認証を行う。

次に、端末装置３１１−１は、ストレージ装置３１３−１から、患者の医療ＩＤに対応する電子カルテを検索し（ステップ１７５６）、その電子カルテを取得する（ステップ１７５７）。そして、端末装置３１１−１は、取得した電子カルテに医師の医療ＩＤが記録されているか否かをチェックする（ステップ１７５８）。

電子カルテに医師の医療ＩＤが記録されていない場合（ステップ１７５８，ＮＯ）、端末装置３１１−１は、端末装置３１２−１に対して、受診状況の確認を依頼する。医師は、患者を確認し（ステップ１７５９）、事務職員は、受診状況を確認する（ステップ１７６０）。そして、事務職員は、電子カルテに記録された担当医の情報が正しいか否かをチェックする（ステップ１７６１）。

担当医の情報が正しい場合（ステップ１７６１，ＹＥＳ）、患者が診察室を間違えた可能性がある。そこで、医師は、患者に状況を説明し（ステップ１７６２）、事務職員は、患者を正しい担当医の診察室へ案内し（ステップ１７６３）、患者は、案内された診察室で待機する（ステップ１７６４）。

一方、担当医の情報が正しくない場合（ステップ１７６１，ＮＯ）、事務職員は、担当医を変更し（ステップ１７６５）、端末装置３１２−１は、電子カルテに記録された担当医の情報を修正する（ステップ１７６６）。これにより、修正された担当医の医療ＩＤが電子カルテに追記される（ステップ１７６７）。

次に、端末装置３１２−１は、修正完了を端末装置３１１−１に通知し（ステップ１７６８）、医師は、患者の診察を再開し（ステップ１７６９）、端末装置３１１−１は、ステップ１７５２以降の処理を繰り返す。

電子カルテに医師の医療ＩＤが記録されている場合（ステップ１７５８，ＹＥＳ）、医師は、患者を診察して、診察結果を示す診察情報を端末装置３１１−１に入力する（ステップ１７７０）。診察情報には、処方箋等が含まれていてもよい。そして、端末装置３１１−１は、診察情報をストレージ装置３１３−１の電子カルテに記録する（ステップ１７７１）。

次に、医師は、患者に対して、診察情報の開示を許諾するか否かを確認し（ステップ１７７２）、患者の回答に基づいて、情報開示の可否を端末装置３１１−１に入力する（ステップ１７７３）。そして、端末装置３１１−１は、患者の医療ＩＤ、医師の医療ＩＤ、診察情報、及び情報開示の可否を示す情報を、ＩＤ管理部３４１へ送信する（ステップ１７７４）。

ＩＤ管理部３４１は、端末装置３１１−１から受信した情報に基づいて、情報開示の可否を開示許諾情報３４３に設定する（ステップ１７７５）。次に、ＩＤ管理部３４１は、患者情報３５１の患者の医療ＩＤに対応する、受診した医療機関の項目に、受診日を追記する（ステップ１７７６）。そして、ＩＤ管理部３４１は、医療機関情報３５３−１の患者の医療ＩＤに対応する、患者の情報に、受診日、診療科、担当医、及び診察情報を追記する（ステップ１７７７）。

医師は、診察を終了し（ステップ１７７８）、患者は、受付で記録媒体３０５を提示し（ステップ１７７９）、事務職員は、記録媒体３０５に記録された医療ＩＤを端末装置３１２−１に入力して、精算を行う（ステップ１７８０）。そして、端末装置３１２−１は、診察終了をＩＤ管理部３４１に通知する。

次に、ＩＤ管理部３４１は、患者情報３５１に含まれる患者の情報を更新禁止状態に設定する（ステップ１７８１）。例えば、ＩＤ管理部３４１は、診察を受けた患者の更新フラグを無効に設定することで、その患者の情報を更新禁止状態に設定する。そして、ＩＤ管理部３４１は、医療機関情報３５３−１に含まれる病院Ａの情報を更新禁止状態に設定する（ステップ１７８２）。例えば、ＩＤ管理部３４１は、病院Ａの更新フラグを無効に設定することで、病院Ａの情報を更新禁止状態に設定する。

図１８Ａ及び図１８Ｂは、患者が医療ＩＤを取得して代理人を登録するＩＤ取得シーケンスの例を示している。ステップ１８１１〜ステップ１８２６の処理は、図１６Ａのステップ１６１１〜図１６Ｂのステップ１６２６の処理と同様である。

次に、端末装置３０１は、患者に対して、代理人を登録するか否かを問い合わせる（ステップ１８２７）。患者が代理人を登録することを示す回答を入力した場合（ステップ１８２７，ＹＥＳ）、端末装置３０１は、代理人登録処理を行う（ステップ１８２８）。一方、患者が代理人を登録しないことを示す回答を入力した場合（ステップ１８２７，ＮＯ）、端末装置３０１は、処理を終了する。

図１９Ａ及び図１９Ｂは、図１８Ｂのステップ１８２８における代理人登録処理の例を示している。まず、患者は、患者の氏名等の患者情報とマイナンバー等の個人ＩＤを端末装置３０１に入力し、端末装置３０１は、入力された情報を用いて患者の記録媒体３０５にアクセスする（ステップ１９１１）。そして、端末装置３０１は、記録媒体３０５から患者の医療ＩＤを読み込む（ステップ１９１２）。

次に、患者は、代理人の氏名等の代理人情報とマイナンバー等の個人ＩＤを端末装置３０１に入力し、端末装置３０１は、入力された情報を用いて代理人の記録媒体３０６にアクセスする。そして、端末装置３０１は、記録媒体３０６から代理人の医療ＩＤを読み込む（ステップ１９１３）。

次に、端末装置３０１は、患者の医療ＩＤ、代理人の医療ＩＤ、及び強制登録フラグを含む代理人登録申請を、ＩＤ管理部３４１へ送信する（ステップ１９１４）。

ＩＤ管理部３４１は、受信した代理人登録申請に基づいて、代理人チェック処理を行う（ステップ１９１５）。そして、ＩＤ管理部３４１は、代理人チェック処理の結果に基づいて、申請された代理人が適格であるか否かを判定する（ステップ１９１６）。

代理人が適格である場合（ステップ１９１６，ＹＥＳ）、ＩＤ管理部３４１は、患者情報３５１において、代理人登録申請に含まれる患者の医療ＩＤに対応する患者の情報に、代理人の医療ＩＤを登録する（ステップ１９１９）。そして、ＩＤ管理部３４１は、登録完了を端末装置３０１に通知する。

次に、端末装置３０１は、患者に対して、別の代理人を登録するか否かを問い合わせる（ステップ１９２２）。患者が別の代理人を登録することを示す回答を入力した場合（ステップ１９２２，ＹＥＳ）、端末装置３０１は、別の代理人について、ステップ１９１１以降の処理を繰り返す。一方、患者が別の代理人を登録しないことを示す回答を入力した場合（ステップ１９２２，ＮＯ）、端末装置３０１は、処理を終了する。

代理人が適格ではない場合（ステップ１９１６，ＮＯ）、ＩＤ管理部３４１は、代理人チェック処理の結果に基づいて、申請された代理人が拒絶されたか否かを判定する（ステップ１９１７）。代理人が拒絶された場合（ステップ１９１７，ＹＥＳ）、ＩＤ管理部３４１は、登録拒絶を端末装置３０１に通知する。そして、端末装置３０１は、ステップ１９２２以降の処理を行う。

一方、代理人が拒絶されなかった場合（ステップ１９１７，ＮＯ）、ＩＤ管理部３４１は、代理人登録申請に含まれる強制登録フラグが有効であるか否かをチェックする（ステップ１９１８）。強制登録フラグが無効である場合（ステップ１９１８，ＮＯ）、ＩＤ管理部３４１は、登録保留を端末装置３０１に通知する。

次に、端末装置３０１は、患者に対して、代理人を強制的に登録するか否かを問い合わせる（ステップ１９２０）。患者が代理人を強制的に登録することを示す回答を入力した場合（ステップ１９２０，ＹＥＳ）、端末装置３０１は、強制登録フラグを有効に設定して（ステップ１９２１）、ステップ１９１４以降の処理を繰り返す。この場合、同じ代理人について、再度、ステップ１９１５〜ステップ１９１８の処理が行われる。

強制登録フラグが有効である場合（ステップ１９１８，ＹＥＳ）、ＩＤ管理部３４１は、患者の医療ＩＤに対応する患者の情報に、代理人の医療ＩＤを登録する（ステップ１９１９）。そして、ＩＤ管理部３４１は、登録完了を端末装置３０１に通知する。

図２０Ａ〜図２０Ｃは、図１９Ａのステップ１９１５における代理人チェック処理の例を示している。まず、ＩＤ管理部３４１は、代理人登録申請から患者の医療ＩＤ及び代理人の医療ＩＤを取得し、それらのＩＤを含むチェック依頼を、サーバ３２３のチェック部３４４へ送信する（ステップ２００１）。

チェック部３４４は、受信したチェック依頼から患者の医療ＩＤ及び代理人の医療ＩＤを取得する（ステップ２００２）。そして、チェック部３４４は、ストレージ装置３２４の患者情報３５１から、患者の医療ＩＤに対応する情報を取得し、代理人情報３５２から、代理人の医療ＩＤに対応する情報を取得する（ステップ２００３）。

次に、チェック部３４４は、代理人の医療ＩＤに対応する情報を取得したか否かをチェックする（ステップ２００４）。代理人の医療ＩＤに対応する情報が存在しない場合（ステップ２００４，ＮＯ）、チェック部３４４は、代理人を拒絶することを示すチェック結果を生成する（ステップ２０１２）。そして、チェック部３４４は、生成したチェック結果をＩＤ管理部３４１へ送信する（ステップ２０１７）。

一方、代理人の医療ＩＤに対応する情報を取得した場合（ステップ２００４，ＹＥＳ）、チェック部３４４は、代理人の医療基本情報の生死の項目を参照して、その代理人が死去しているか否かをチェックする（ステップ２００５）。代理人が死去している場合（ステップ２００４，ＹＥＳ）、チェック部３４４は、ステップ２０１２以降の処理を行う。

一方、代理人が死去していない場合（ステップ２００４，ＮＯ）、チェック部３４４は、ブラックリストに代理人が登録されているか否かをチェックする（ステップ２００６）。ブラックリストは、患者の代理人として好ましくない人物のリストであり、例えば、情報収集機関によって作成されてサーバ３２３に格納されている。ブラックリストに代理人が登録されている場合（ステップ２００６，ＹＥＳ）、チェック部３４４は、ステップ２０１２以降の処理を行う。

一方、ブラックリストに代理人が登録されていない場合（ステップ２００６，ＮＯ）、チェック部３４４は、ホワイトリストに代理人が登録されているか否かをチェックする（ステップ２００７）。ホワイトリストは、患者の代理人として好ましい人物のリストであり、例えば、情報収集機関によって作成されてサーバ３２３に格納されている。

ホワイトリストに代理人が登録されている場合（ステップ２００７，ＹＥＳ）、チェック部３４４は、代理人が適格であることを示すチェック結果を生成する（ステップ２０１３）。そして、チェック部３４４は、生成したチェック結果をＩＤ管理部３４１へ送信する（ステップ２０１７）。

一方、ホワイトリストに代理人が登録されていない場合（ステップ２００７，ＮＯ）、チェック部３４４は、患者の情報の代理人の項目を参照して、代理人の医療ＩＤが既に登録されているか否かをチェックする（ステップ２００８）。代理人の医療ＩＤが既に登録されている場合（ステップ２００８，ＹＥＳ）、チェック部３４４は、ステップ２０１３以降の処理を行う。

一方、代理人の医療ＩＤが登録されていない場合（ステップ２００８，ＮＯ）、チェック部３４４は、患者と代理人が所定の親族関係であるか否かをチェックする（ステップ２０９）。所定の親族関係は、民法で規定される親族であってもよく、それよりも狭い範囲又は広い範囲であってもよい。例えば、所定の親族関係は、所定数の親等内の血縁関係と配偶者のみに限定されていてもよい。

チェック部３４４は、患者及び代理人の戸籍情報を管理している不図示のサーバに対して、患者と代理人の戸籍関係を問い合わせることで、患者と代理人が所定の親族関係であるか否かを示す情報を取得することができる。

患者と代理人が所定の親族関係ではない場合（ステップ２００９，ＮＯ）、チェック部３４４は、代理人が代理している被代理人の人数が所定数よりも多いか否かをチェックする（ステップ２０１０）。このとき、チェック部３４４は、代理人の情報の被代理人の項目を参照して、現在使用されている被代理人の医療ＩＤの個数をカウントし、カウントした医療ＩＤの個数を被代理人の人数として用いる。被代理人の人数が所定数よりも多い場合（ステップ２０１０，ＹＥＳ）、チェック部３４４は、ステップ２０１２以降の処理を行う。

一方、被代理人の人数が所定数以下である場合（ステップ２０１０，ＮＯ）、チェック部３４４は、代理人の住所が患者の住所を基準とする所定範囲内にあるか否かをチェックする（ステップ２０１１）。例えば、所定範囲は、同じ都道府県又は同じ地方区分の範囲であってもよい。

代理人の住所が所定範囲内にある場合（ステップ２０１１，ＹＥＳ）、チェック部３４４は、ステップ２０１３以降の処理を行う。一方、代理人の住所が所定範囲内にない場合（ステップ２０１１，ＮＯ）、チェック部３４４は、ステップ２０１２以降の処理を行う。

患者と代理人が所定の親族関係である場合（ステップ２００９，ＹＥＳ）、チェック部３４４は、ステップ２０１０と同様にして、代理人が代理している被代理人の人数が所定数よりも多いか否かをチェックする（ステップ２０１４）。被代理人の人数が所定数よりも多い場合（ステップ２０１４，ＹＥＳ）、チェック部３４４は、代理人が要注意人物であることを示すチェック結果を生成する（ステップ２０１６）。そして、チェック部３４４は、生成したチェック結果をＩＤ管理部３４１へ送信する（ステップ２０１７）。

この場合、図１９Ｂのステップ１９１６の判定結果がＮＯになり、ステップ１９１７の判定結果もＮＯになるため、ステップ１９１８において、強制登録フラグが有効であるか否かがチェックされる。

一方、被代理人の人数が所定数以下である場合（ステップ２０１４，ＮＯ）、チェック部３４４は、ステップ２０１１と同様にして、代理人の住所が所定範囲内にあるか否かをチェックする（ステップ２０１５）。代理人の住所が所定範囲内にない場合（ステップ２０１５，ＮＯ）、チェック部３４４は、ステップ２０１６以降の処理を行う。一方、代理人の住所が所定範囲内にある場合（ステップ２０１５，ＹＥＳ）、チェック部３４４は、ステップ２０１３以降の処理を行う。

このように、患者情報３５１及び代理人情報３５２に基づいて代理人の適格性をチェックすることで、非適格な代理人の登録を防止することが可能になる。例えば、１人の代理人が多数の患者を代理している場合、その代理人は普通の人物ではなく、代理人として非適格と考えられる。また、被代理人の人数が少なくても、それらの被代理人の住所が全国各地に散在している場合、その代理人はやはり非適格と考えられる。

さらに、ブラックリスト又はホワイトリストを利用することで、それらのリストに基づくチェックを、被代理人の人数及び住所に基づくチェックよりも優先的に行うことができる。

図２１Ａ〜図２１Ｈは、患者の本人確認が困難な場合に、代理人の本人確認に基づいて患者が病院Ａを受診する診察シーケンスの例を示している。ステップ２１１１〜ステップ２１１９の処理は、図１７Ａのステップ１７１１〜ステップ１７１９の処理と同様である。

次に、代理人は、患者に病院Ａを受診させる際に受付で記録媒体３０６を提示するか、又は診察の予約を行う際に電話等で代理人の医療ＩＤを通知する（ステップ２１２１）。事務職員は、記録媒体３０６に記録された医療ＩＤ、又は代理人から通知された医療ＩＤを、端末装置３１２−１に入力する（ステップ２１２２）。

次に、事務職員は、代理人に対して、患者の記録媒体３０５を所持しているか否かを問い合わせる（ステップ２１２３）。代理人が記録媒体３０５を所持している場合（ステップ２１２３，ＹＥＳ）、代理人は、記録媒体３０５を提示し（ステップ２１２４）、事務職員は、記録媒体３０５に記録された患者の医療ＩＤを、端末装置３１２−１に入力する（ステップ２１２５）。そして、端末装置３１２−１は、患者の医療ＩＤ、代理人の医療ＩＤ、及び病院Ａの医療機関ＩＤを含む認証依頼を、ＩＤ管理部３４１へ送信する（ステップ２１２６）。

一方、代理人が記録媒体３０５を所持していない場合（ステップ２１２３，ＮＯ）、端末装置３１２−１は、代理人の医療ＩＤ及び病院Ａの医療機関ＩＤを含む認証依頼を、ＩＤ管理部３４１へ送信する（ステップ２１２６）。

次に、ＩＤ管理部３４１は、図１９Ａのステップ１９１５と同様にして、代理人チェック処理を行う（ステップ２１２７）。受信した認証依頼に患者の医療ＩＤが含まれている場合、図２０Ａ〜図２０Ｃと同様の代理人チェック処理が行われる。

一方、受信した認証依頼に患者の医療ＩＤが含まれていない場合、図２０Ａのステップ２００１において、ＩＤ管理部３４１は、代理人の医療ＩＤのみを含むチェック依頼を、チェック部３４４へ送信する。そして、ステップ２００３において、チェック部３４４は、代理人情報３５２から代理人の医療ＩＤに対応する情報を取得する。この場合、チェック部３４４は、患者情報３５１から患者の医療ＩＤに対応する情報を取得していないため、ステップ２００８、ステップ２０１１、及びステップ２０１５の処理をスキップする。

このように、診察の受付又は予約の際に代理人の適格性をチェックすることで、非適格な代理人による受付又は予約の代行を防止することが可能になる。

ＩＤ管理部３４１は、代理人チェック処理の結果に基づいて、代理人が拒絶されたか否かを判定する（ステップ２１２８）。代理人が拒絶された場合（ステップ２１２８，ＹＥＳ）、ＩＤ管理部３４１は、認証拒絶を端末装置３１２−１に通知し、事務職員は、代理人の身元の再確認を行う（ステップ２１３３）。

一方、代理人が拒絶されなかった場合（ステップ２１２８，ＮＯ）、代理人の本人認証で用いる認証情報を端末装置３１２−１に要求する（ステップ２１２９）。そして、代理人は、認証情報を端末装置３１２−１に入力し（ステップ２１３０）、端末装置３１２−１は、入力された認証情報をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、ストレージ装置３２４の代理人情報３５２から、代理人の医療ＩＤに対応する認証情報を取得し（ステップ２１３１）、認証が成功したか否かをチェックする（ステップ２１３２）。例えば、ＩＤ管理部３４１は、端末装置３１２−１から受信した認証情報と、代理人情報３５２から取得した認証情報とが一致すれば、認証が成功したと判定する。

認証が失敗した場合（ステップ２１３２，ＮＯ）、ＩＤ管理部３４１は、認証失敗を端末装置３１２−１に通知し、事務職員は、代理人の身元の再確認を行う（ステップ２１３３）。

一方、認証が成功した場合（ステップ２１３２，ＹＥＳ）、ＩＤ管理部３４１は、代理人情報３５２から、代理人の医療ＩＤに対応する被代理人の医療ＩＤを取得する（ステップ２１３４）。そして、ＩＤ管理部３４１は、ストレージ装置３２４の患者情報３５１から、取得した被代理人の医療ＩＤに対応する患者基本情報を取得する（ステップ２１３５）。

次に、ＩＤ管理部３４１は、受信した認証依頼に患者の医療ＩＤが含まれているか否かをチェックする（ステップ２１３６）。認証依頼に患者の医療ＩＤが含まれている場合（ステップ２１３６，ＹＥＳ）、ＩＤ管理部３４１は、患者の医療ＩＤがステップ２１３４で取得した被代理人の医療ＩＤと一致するか否かをチェックする（ステップ２１４２）。患者の医療ＩＤが被代理人の医療ＩＤと一致しない場合（ステップ２１４２，ＮＯ）、ＩＤ管理部３４１は、認証失敗を端末装置３１２−１に通知し、事務職員は、代理人の身元の再確認を行う（ステップ２１３３）。

一方、認証依頼に患者の医療ＩＤが含まれていない場合（ステップ２１３６，ＮＯ）、ＩＤ管理部３４１は、ステップ２１３５で取得した被代理人の患者基本情報を、端末装置３１２−１へ送信する（ステップ２１３７）。

事務職員は、代理人に対して、患者の氏名、住所、性別、生年月日等の基本情報を問い合わせ（ステップ２１３８）、代理人が回答した基本情報と、ＩＤ管理部３４１から受信した患者基本情報とを比較する（ステップ２１３９）。代理人が回答した基本情報と受信した患者基本情報とが一致しないと事務職員が判断した場合（ステップ２１３９，ＮＯ）、事務職員は、患者の身元が不明であるとみなす（ステップ２１４０）。

一方、代理人が回答した基本情報と受信した患者基本情報とが一致すると事務職員が判断した場合（ステップ２１３９，ＹＥＳ）、事務職員は、その判断を端末装置３１２−１に入力する（ステップ２１４１）。そして、端末装置３１２−１は、入力された判断を示す情報をＩＤ管理部３４１へ送信する。次に、ＩＤ管理部３４１は、端末装置３１２−１から受信した情報に基づいて、ステップ２１４２のチェックを行い、患者の医療ＩＤが被代理人の医療ＩＤと一致すると判定する。

患者の医療ＩＤが被代理人の医療ＩＤと一致する場合（ステップ２１４２，ＹＥＳ）、ＩＤ管理部３４１は、患者の医療ＩＤに対応する診察情報をストレージ装置３２４から検索する（ステップ２１４３）。まず、ＩＤ管理部３４１は、開示許諾情報３４３から、患者の医療ＩＤに対応する情報を取得し、情報開示が許諾されている項目を確認する（ステップ２１４４）。

次に、ＩＤ管理部３４１は、患者情報３５１の患者の医療ＩＤに対応する、受診した医療機関の項目に、病院Ａの医療機関ＩＤを記録するとともに（ステップ２１４５）、代理人の医療ＩＤを記録する（ステップ２１４６）。これにより、患者情報３５１に、代理人が受付又は予約を代行したことが記録される。そして、ＩＤ管理部３４１は、患者情報３５１から、患者の医療ＩＤに対応する患者基本情報及び医療基本情報を取得する（ステップ２１４７）。

次に、ＩＤ管理部３４１は、認証依頼の契機が診察の受付であるか否かをチェックする（ステップ２１４８）。診察の受付である場合（ステップ２１４８，ＹＥＳ）、ＩＤ管理部３４１は、患者情報３５１に含まれる患者の情報を更新可能状態に設定する（ステップ２１４９）。一方、診察の予約である場合（ステップ２１４８，ＮＯ）、ＩＤ管理部３４１は、ステップ２１５０以降の処理を行う。

次に、ＩＤ管理部３４１は、医療機関情報３５３−ｉから、患者の医療ＩＤに対応する過去の診察情報を取得する（ステップ２１５０）。これにより、病院Ａの医療機関情報３５３−１及び病院Ｂの医療機関情報３５３−２に含まれる複数の診察情報のうち、情報開示が許諾されている診察情報が取得される。そして、ＩＤ管理部３４１は、認証成功を端末装置３１２−１に通知するとともに、患者情報３５１及び医療機関情報３５３−ｉから取得した情報を、端末装置３１２−１へ送信する。

次に、端末装置３１２−１は、今回の受診が再診であるか否かをチェックする（ステップ２１５１）。今回の受診が再診である場合（ステップ２１５１，ＹＥＳ）、端末装置３１２−１は、ストレージ装置３１３−１の電子カルテから患者の過去の診察情報を取得する（ステップ２１５２）。一方、今回の受診が初診である場合（ステップ２１５１，ＮＯ）、端末装置３１２−１は、ステップ２１５３以降の処理を行う。

次に、事務職員は、患者に対して担当医を割り当て（ステップ２１５３）、端末装置３１２−１は、患者の電子カルテを生成又は更新する（ステップ２１５４）。これにより、ＩＤ管理部３４１から受信した情報と、代理人の医療ＩＤと、割り当てられた担当医の医療ＩＤとが、電子カルテに追記される（ステップ２１５５）。そして、端末装置３１２−１は、患者の受付又は予約を完了し（ステップ２１５６）、次の患者についてステップ２１２２以降の処理を繰り返す。

診察室において、代理人は、医師に対して記録媒体３０６を提示し（ステップ２１６１）、医師は、記録媒体３０６に記録された医療ＩＤと医師の医療ＩＤとを、端末装置３１１−１に入力する（ステップ２１６２）。そして、端末装置３１１−１は、代理人の医療ＩＤを含む認証依頼をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、代理人の本人認証で用いる認証情報を端末装置３１１−１に要求する（ステップ２１６３）。そして、代理人は、認証情報を端末装置３１１−１に入力し（ステップ２１６４）、端末装置３１１−１は、入力された認証情報をＩＤ管理部３４１へ送信する。

次に、ＩＤ管理部３４１は、ストレージ装置３２４の代理人情報３５２から、代理人の医療ＩＤに対応する認証情報を取得し（ステップ２１６５）、取得した認証情報と端末装置３１１−１から受信した認証情報とを用いて、代理人の本人認証を行う。

次に、端末装置３１１−１は、ストレージ装置３１３−１から、代理人の医療ＩＤが記録された患者の電子カルテを検索し（ステップ２１６６）、その電子カルテを取得する（ステップ２１６７）。そして、端末装置３１１−１は、取得した電子カルテに医師の医療ＩＤが記録されているか否かをチェックする（ステップ２１６８）。

電子カルテに医師の医療ＩＤが記録されていない場合（ステップ２１６８，ＮＯ）、端末装置３１１−１は、端末装置３１２−１に対して、受診状況の確認を依頼する。医師は、患者を確認し（ステップ２１６９）、事務職員は、受診状況を確認する（ステップ２１７０）。そして、事務職員は、電子カルテに記録された担当医の情報が正しいか否かをチェックする（ステップ２１７１）。

担当医の情報が正しい場合（ステップ２１７１，ＹＥＳ）、代理人が診察室を間違えた可能性がある。そこで、医師は、代理人に状況を説明し（ステップ２１７２）、事務職員は、患者及び代理人を正しい担当医の診察室へ案内し（ステップ２１７３）、患者及び代理人は、案内された診察室で待機する（ステップ２１７４）。

一方、担当医の情報が正しくない場合（ステップ２１７１，ＮＯ）、事務職員は、担当医を変更し（ステップ２１７５）、端末装置３１２−１は、電子カルテに記録された担当医の情報を修正する（ステップ２１７６）。これにより、修正された担当医の医療ＩＤが電子カルテに追記される（ステップ２１７７）。

次に、端末装置３１２−１は、修正完了を端末装置３１１−１に通知し（ステップ２１７８）、医師は、患者の診察を再開し（ステップ２１７９）、端末装置３１１−１は、ステップ２１６２以降の処理を繰り返す。

電子カルテに医師の医療ＩＤが記録されている場合（ステップ２１６８，ＹＥＳ）、医師は、患者を診察して、診察結果を示す診察情報を端末装置３１１−１に入力する（ステップ２１８０）。そして、端末装置３１１−１は、診察情報をストレージ装置３１３−１の電子カルテに記録する（ステップ２１８１）。

次に、医師は、代理人に対して、患者の診察情報の開示を許諾するか否かを確認し（ステップ２１８２）、代理人の回答に基づいて、情報開示の可否を端末装置３１１−１に入力する（ステップ２１８３）。そして、端末装置３１１−１は、患者の医療ＩＤ、医師の医療ＩＤ、診察情報、及び情報開示の可否を示す情報を、ＩＤ管理部３４１へ送信する（ステップ２１８４）。

ＩＤ管理部３４１は、端末装置３１１−１から受信した情報に基づいて、情報開示の可否を開示許諾情報３４３に設定する（ステップ２１８５）。次に、ＩＤ管理部３４１は、患者情報３５１の患者の医療ＩＤに対応する、受診した医療機関の項目に、受診日を追記する（ステップ２１８６）。そして、ＩＤ管理部３４１は、医療機関情報３５３−１の患者の医療ＩＤに対応する、患者の情報に、受診日、診療科、担当医、及び診察情報を追記する（ステップ２１８７）。

医師は、診察を終了し（ステップ２１８８）、代理人は、受付で記録媒体３０６を提示し（ステップ２１８９）、事務職員は、記録媒体３０６に記録された医療ＩＤを端末装置３１２−１に入力して、精算を行う（ステップ２１９０）。そして、端末装置３１２−１は、診察終了をＩＤ管理部３４１に通知する。

次に、ＩＤ管理部３４１は、患者情報３５１に含まれる患者の情報を更新禁止状態に設定し（ステップ２１９１）、医療機関情報３５３−１に含まれる病院Ａの情報を更新禁止状態に設定する（ステップ２１９２）。

図３の情報処理システムにおいて、情報提供機関及び情報利用機関は、患者の診察情報を提供して利用する病院以外の機関であってもよい。例えば、顧客の購買情報を提供して利用する店舗、生徒の成績情報を提供して利用する学校、予備校等の教育機関、又は顧客の預金残高、取引実績等を提供して利用する銀行等の金融機関を、情報提供機関及び情報利用機関の例として挙げることができる。

情報提供機関及び情報利用機関が店舗である場合、顧客の購買情報が個人情報として収集され、顧客又は代理人による許諾を前提として、別の店舗に対して提供される。情報提供機関及び情報利用機関が教育機関である場合、生徒の成績情報が個人情報として収集され、生徒又は代理人による許諾を前提として、別の教育機関に対して提供される。情報提供機関が金融機関である場合、顧客の預金残高、取引実績等が個人情報として収集され、顧客又は代理人による許諾を前提として、別の金融機関に対して提供される。

図１の情報処理装置１０１の構成は一例に過ぎず、情報処理装置１０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。例えば、情報処理装置１０１内に記憶部１０２を設けることもできる。

図３の情報処理システムの構成は一例に過ぎず、情報処理システムの用途又は条件に応じて一部の構成要素を省略又は変更してもよい。例えば、サーバ３２１−１内でＶＭ３３１−１が動作できる場合は、サーバ３２１−２を省略することができる。サーバ３２２内にチェック部３４４を設ける場合は、サーバ３２３を省略することができる。

図２のフローチャート及び図１６Ａ〜図２１Ｈの動作シーケンスは一例に過ぎず、情報処理システムの構成又は条件に応じて一部の処理を省略又は変更してもよい。例えば、図２０Ａ〜図２０Ｃの代理人チェック処理において、チェック部３４４は、ステップ２００４〜ステップ２０１１、ステップ２０１４、及びステップ２０１５のすべてのチェックを行う必要はなく、一部のチェックのみを行うこともできる。情報処理システムが３つ以上の病院システムを含む場合の動作シーケンスも、図１６Ａ〜図２１Ｈの動作シーケンスと同様である。

図４〜図９の患者情報３５１及び代理人情報３５２と、図１０Ａ〜図１５の医療機関情報３５３−ｉは一例に過ぎず、情報処理システムの用途又は条件に応じて、一部又は全部の項目を省略又は変更してもよい。

図２２は、図１の情報処理装置１０１及び図３のサーバ３２２として用いられる情報処理装置のハードウェア構成例を示している。図２２の情報処理装置は、Central Processing Unit（ＣＰＵ）２２０１、メモリ２２０２、入力装置２２０３、出力装置２２０４、補助記憶装置２２０５、媒体駆動装置２２０６、及びネットワーク接続装置２２０７を含む。これらの構成要素はバス２２０８により互いに接続されている。

メモリ２２０２は、例えば、Read Only Memory（ＲＯＭ）、Random Access Memory（ＲＡＭ）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを格納する。メモリ２２０２は、図３の記憶部３４２として用いることができる。

ＣＰＵ２２０１（プロセッサ）は、例えば、メモリ２２０２を利用してプログラムを実行することにより、図２の取得部１１１及び図３のＩＤ管理部３４１として動作する。

入力装置２２０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータ又はユーザからの指示又は情報の入力に用いられる。出力装置２２０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータ又はユーザに対する問い合わせ又は処理結果の出力に用いられる。

補助記憶装置２２０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置２２０５は、ハードディスクドライブであってもよい。情報処理装置は、補助記憶装置２２０５にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。補助記憶装置２２０５は、図３の記憶部３４２として用いることができる。

媒体駆動装置２２０６は、可搬型記録媒体２２０９を駆動し、その記録内容にアクセスする。可搬型記録媒体２２０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体２２０９は、ＤＶＤ、Compact Disk Read Only Memory（ＣＤ−ＲＯＭ）、Universal Serial Bus（ＵＳＢ）メモリ等であってもよい。オペレータ又はユーザは、この可搬型記録媒体２２０９にプログラム及びデータを格納しておき、それらをメモリ２２０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ２２０２、補助記憶装置２２０５、又は可搬型記録媒体２２０９のような、物理的な（非一時的な）記録媒体である。

ネットワーク接続装置２２０７は、Local Area Network（ＬＡＮ）、Wide Area Network（ＷＡＮ）等の通信ネットワークに接続され、通信に伴うデータ変換を行う通信インタフェースである。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置２２０７を介して受信し、それらをメモリ２２０２にロードして使用することができる。

ネットワーク接続装置２２０７は、図１の出力部１１２として用いることができる。情報処理装置が図３のサーバ３２２である場合、ネットワーク接続装置２２０７は、出力部１１２として動作し、ＩＤ管理部３４１がストレージ装置３２４から取得した患者の診察情報等を、病院システム３０３−ｉへ送信する。

なお、情報処理装置が図２２のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、オペレータ又はユーザからの指示又は情報を入力する必要がない場合は、入力装置２２０３を省略してもよく、オペレータ又はユーザに対する問い合わせ又は処理結果を出力する必要がない場合は、出力装置２２０４を省略してもよい。可搬型記録媒体２２０９を利用しない場合は、媒体駆動装置２２０６を省略してもよい。

図３の端末装置３０１、端末装置３０２、端末装置３１１−ｉ、端末装置３１２−ｉ、ストレージ装置３１３−ｉ、サーバ３２１−ｉ、サーバ３２３、及びストレージ装置３２４としては、図２２と同様の情報処理装置を用いることができる。この場合、ＣＰＵ２２０１は、メモリ２２０２を利用してプログラムを実行することにより、チェック部３４４として動作する。また、ＣＰＵ２２０１は、メモリ２２０２を利用してプログラムを実行することにより、ＶＭ３３１−ｉを動作させる。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図１乃至図２２を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得する取得部と、
前記取得部が取得した前記個人情報を出力する出力部と、
を備えることを特徴とする情報処理装置。
（付記２）
前記個人情報は、前記個人情報を利用する情報利用機関とは異なる情報提供機関から提供された前記個人に関する情報を含み、
前記取得部は、前記情報利用機関に対して前記代理人が提示した前記代理人識別情報を前記情報利用機関から受信し、受信した前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、
前記出力部は、前記個人情報を前記情報利用機関へ送信することを特徴とする付記１記載の情報処理装置。
（付記３）
前記取得部は、前記代理人識別情報を含む代理人チェック依頼をチェック部へ送信し、前記代理人が適格であることを示すチェック結果を前記チェック部から受信した場合、前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記代理人を拒絶することを示すチェック結果を前記チェック部から受信した場合、前記記憶部から前記個人識別情報を取得しないことを特徴とする付記１又は２記載の情報処理装置。
（付記４）
前記代理人識別情報が示す前記代理人が死去している場合、代理人として好ましくない人物のリストに前記代理人識別情報が示す前記代理人が登録されている場合、前記代理人識別情報が示す前記代理人が代理している個人の人数が所定数よりも多い場合、又は前記代理人識別情報が示す前記代理人の住所が前記個人の住所を基準とする所定範囲内にない場合、前記チェック結果は前記代理人を拒絶することを示すことを特徴とする付記３記載の情報処理装置。
（付記５）
個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、
取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得し、
取得した前記個人情報を出力する、
処理をコンピュータに実行させるためのプログラム。
（付記６）
前記個人情報は、前記個人情報を利用する情報利用機関とは異なる情報提供機関から提供された前記個人に関する情報を含み、
前記コンピュータは、前記情報利用機関に対して前記代理人が提示した前記代理人識別情報を前記情報利用機関から受信し、受信した前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記個人情報を前記情報利用機関へ送信することを特徴とする付記５記載のプログラム。
（付記７）
前記コンピュータは、前記代理人識別情報を含む代理人チェック依頼をチェック部へ送信し、前記代理人が適格であることを示すチェック結果を前記チェック部から受信した場合、前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記代理人を拒絶することを示すチェック結果を前記チェック部から受信した場合、前記記憶部から前記個人識別情報を取得しないことを特徴とする付記５又は６記載のプログラム。
（付記８）
前記代理人識別情報が示す前記代理人が死去している場合、代理人として好ましくない人物のリストに前記代理人識別情報が示す前記代理人が登録されている場合、前記代理人識別情報が示す前記代理人が代理している個人の人数が所定数よりも多い場合、又は前記代理人識別情報が示す前記代理人の住所が前記個人の住所を基準とする所定範囲内にない場合、前記チェック結果は前記代理人を拒絶することを示すことを特徴とする付記７記載のプログラム。
（付記９）
コンピュータが、
個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、
取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得し、
取得した前記個人情報を出力する、
ことを特徴とする情報処理方法。
（付記１０）
前記個人情報は、前記個人情報を利用する情報利用機関とは異なる情報提供機関から提供された前記個人に関する情報を含み、
前記コンピュータは、前記情報利用機関に対して前記代理人が提示した前記代理人識別情報を前記情報利用機関から受信し、受信した前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記個人情報を前記情報利用機関へ送信することを特徴とする付記９記載の情報処理方法。
（付記１１）
前記コンピュータは、前記代理人識別情報を含む代理人チェック依頼をチェック部へ送信し、前記代理人が適格であることを示すチェック結果を前記チェック部から受信した場合、前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記代理人を拒絶することを示すチェック結果を前記チェック部から受信した場合、前記記憶部から前記個人識別情報を取得しないことを特徴とする付記９又は１０記載の情報処理方法。
（付記１２）
前記代理人識別情報が示す前記代理人が死去している場合、代理人として好ましくない人物のリストに前記代理人識別情報が示す前記代理人が登録されている場合、前記代理人識別情報が示す前記代理人が代理している個人の人数が所定数よりも多い場合、又は前記代理人識別情報が示す前記代理人の住所が前記個人の住所を基準とする所定範囲内にない場合、前記チェック結果は前記代理人を拒絶することを示すことを特徴とする付記１１記載の情報処理方法。

１０１ 情報処理装置
１０２、３４２ 記憶部
１１１ 取得部
１１２ 出力部
１２１ 個人ＩＤ
１２２ 代理人ＩＤ
１２３ 個人情報
３０１ 端末装置
３０２ 端末装置
３０３ 病院システム
３０４ データセンター
３０５、３０６ 記録媒体
３１１、３１２、３１１−１、３１１−２、３１２−１、３１２−２ 端末装置
３１３−１、３１３−２、３２４ ストレージ装置
３２１−１、３２１−２、３２２、３２３ サーバ
３３１−１、３３１−２ ＶＭ
３４１ ＩＤ管理部
３４３ 開示許諾情報
３４４ チェック部
３５１ 患者情報
３５２ 代理人情報
３５３−１、３５３−２ 医療機関情報
２２０１ ＣＰＵ
２２０２ メモリ
２２０３ 入力装置
２２０４ 出力装置
２２０５ 補助記憶装置
２２０６ 媒体駆動装置
２２０７ ネットワーク接続装置
２２０８ バス
２２０９ 可搬型記録媒体

Claims (6)

1. 個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得する取得部と、
   前記取得部が取得した前記個人情報を出力する出力部と、
   を備えることを特徴とする情報処理装置。
2. 前記個人情報は、前記個人情報を利用する情報利用機関とは異なる情報提供機関から提供された前記個人に関する情報を含み、
   前記取得部は、前記情報利用機関に対して前記代理人が提示した前記代理人識別情報を前記情報利用機関から受信し、受信した前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、
   前記出力部は、前記個人情報を前記情報利用機関へ送信することを特徴とする請求項１記載の情報処理装置。
3. 前記取得部は、前記代理人識別情報を含む代理人チェック依頼をチェック部へ送信し、前記代理人が適格であることを示すチェック結果を前記チェック部から受信した場合、前記代理人識別情報に基づいて、前記記憶部から前記個人識別情報を取得し、前記代理人を拒絶することを示すチェック結果を前記チェック部から受信した場合、前記記憶部から前記個人識別情報を取得しないことを特徴とする請求項１又は２記載の情報処理装置。
4. 前記代理人識別情報が示す前記代理人が死去している場合、代理人として好ましくない人物のリストに前記代理人識別情報が示す前記代理人が登録されている場合、前記代理人識別情報が示す前記代理人が代理している個人の人数が所定数よりも多い場合、又は前記代理人識別情報が示す前記代理人の住所が前記個人の住所を基準とする所定範囲内にない場合、前記チェック結果は前記代理人を拒絶することを示すことを特徴とする請求項３記載の情報処理装置。
5. 個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、
   取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得し、
   取得した前記個人情報を出力する、
   処理をコンピュータに実行させるためのプログラム。
6. コンピュータが、
   個人を示す個人識別情報と前記個人を代理する代理人を示す代理人識別情報とを対応付けて記憶するとともに、前記個人識別情報と前記個人の個人情報とを対応付けて記憶する記憶部から、前記代理人が提示した前記代理人識別情報に基づいて、前記個人識別情報を取得し、
   取得した前記個人識別情報に基づいて、前記記憶部から前記個人情報を取得し、
   取得した前記個人情報を出力する、
   ことを特徴とする情報処理方法。

Images