JP6996313B2 - 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム - Google Patents

情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム Download PDF

Info

Publication number
JP6996313B2
JP6996313B2 JP2018008423A JP2018008423A JP6996313B2 JP 6996313 B2 JP6996313 B2 JP 6996313B2 JP 2018008423 A JP2018008423 A JP 2018008423A JP 2018008423 A JP2018008423 A JP 2018008423A JP 6996313 B2 JP6996313 B2 JP 6996313B2
Authority
JP
Japan
Prior art keywords
data
identifier
personal data
holder
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018008423A
Other languages
English (en)
Other versions
JP2019128681A (ja
Inventor
若菜 前田
裕司 山岡
尚 兒島
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2018008423A priority Critical patent/JP6996313B2/ja
Priority to US16/252,171 priority patent/US20190228180A1/en
Publication of JP2019128681A publication Critical patent/JP2019128681A/ja
Application granted granted Critical
Publication of JP6996313B2 publication Critical patent/JP6996313B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/953—Querying, e.g. by the use of web search engines
    • G06F16/9535—Search customisation based on user profiles and personalisation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/28—Databases characterised by their database models, e.g. relational or object models
    • G06F16/284—Relational databases

Landscapes

  • Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

本発明は、情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システムに関する。
近年、市場分析のために多人数のパーソナルデータの需要が高まっている。その一方で、パーソナルデータの不正使用、なりすまし等を防止する技術が必要となっている。
一例として、金融機関等における申請者書類受付時に、読み取られた第１のＩＤと第２のＩＤとの組と、読み取りタイミングで監視カメラにより撮像された申請者画像とを関連付けて管理する技術等が知られている。
特開２００８－００９９４７号公報 特開２０１５－１０３０３４号公報
しかしながら、異なる業種間でパーソナルデータを関連付けた場合、１人の人物に対して多くの情報を得ることができる。その結果、関連付けたパーソナルデータ内に個人を明確に特定する情報が存在しなくても、人物の特定が可能となる問題がある。
したがって、１つの側面では、パーソナルデータの関連付け数を制限することを目的とする。
一態様によれば、データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて、前記組み合せに含まれる前記提供依頼が含む保有者の識別子の数が閾値以下である場合に、取引ＩＤを生成するＩＤ生成部と、前記パーソナルデータを保有する記憶部と、前記記憶部が保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する送信部と、を有することを特徴とする情報提供装置が提供される。
パーソナルデータの関連付け数を制限することができる。
履歴データの関連付け例を説明するための図である。 対応付けＩＤで関連付けたデータ例を示す図である。 本実施例におけるシステム構成例を示す図である。 ハードウェア構成を示す図である。 識別子を説明するための図である。 本実施例における識別子３の生成方法を説明するための図である。 パーソナルデータの購入依頼に係る処理を説明するための図である。 データホルダー装置における識別子２を用いたチェック処理を説明するための図である。 パーソナルデータの提供を説明するための図である。 不正依頼防止（効果１）を説明するための図である。 不正利用防止（効果２）を説明するための図である。 不正利用防止（効果２）を説明するための図である。 データホルダー集合（ｒＡ、ｒＢ）で作成される識別子３の例を説明するための図である。 データホルダー集合（ｒＢ、ｒＣ）で作成される識別子３の例を説明するための図である。 仮名データの関連付けの結果例を示す図である。 パーソナルデータ販売画面の例を示す図である。 データホルダー装置の第１の機能構成例を説明するための図である。 仲介サーバ装置におけるデータ間の関連性を説明するための図である。 仲介サーバ装置の第１の機能構成例を示す図である。 データホルダー装置の識別子提供部による識別子提供処理を説明するためのフローチャート図である。 仲介サーバ装置の対応表作成部による対応表作成処理を説明するためのフローチャート図である。 仲介サーバ装置の購入依頼処理部による購入依頼処理を説明するためのフローチャート図である。 データホルダー装置の販売処理部による販売処理を説明するためのフローチャート図である。 仮ＩＤ生成部による仮ＩＤ生成処理を説明するためのフローチャート図である。 仮名データ送信部による仮名データ送信処理を説明するためのフローチャート図である。 データホルダー装置の第２の機能構成例を説明するための図である。 仲介サーバ装置の第２の機能構成例を示す図である。 検索部による検索処理について説明するためのフローチャート図である。 検索結果の画面例を示す図である。
以下、本発明の実施の形態を図面に基づいて説明する。本実施例において、パーソナルデータとは、個人を識別するような情報（個人識別性）を有する個人情報に限定されない、広い概念での「個人に関する情報」である。複数の事業において生成されたパーソナルデータを関連付けて分析することで、新たな価値を創世することが期待されている。しかし、パーソナルデータを利用したい者が、利用したいパーソナルデータを所持しているとは限らない。
そこで、利用したいパーソナルデータを所持しているデータホルダーからパーソナルデータを購入することが考えられるが、どのデータホルダーがどのようなパーソナルデータを販売しているのかを調べるのは容易ではない。そのため、パーソナルデータを売買する市場が求められる。
このパーソナルデータ売買市場の一形態として、パーソナルデータの購入者とパーソナルデータを販売するデータホルダーとの二者を仲介する市場モデルが存在する。このような市場モデルでは、仲介者が販売可能なデータについてデータカタログを用意しておき、データ購入者はデータカタログから欲しいデータを探して購入する。
データカタログには、購買履歴データであれば、性別、店舗名、購入時間、購入商品等の項目、提供するパーソナルデータの個人数、パーソナルデータ提供の料金等が示されている。データ購入者は、パーソナルデータの購入後、パーソナルデータを関連付けて分析に用いる。
例えば、購入した個人の購買に関する履歴データ（過去のパーソナルデータ）と、Ｗｅｂ閲覧に関する履歴データ（過去のパーソナルデータ）に、それぞれのデータの由来者を識別する値である識別子としてメールアドレスが含まれるとする。この場合、メールアドレスを用いれば、同じメールアドレスを持つデータを同じデータ由来者（以下、単に、由来者という）のデータであるとして関連付けることが可能である。
図１は、履歴データの関連付け例を説明するための図である。図１において、履歴データ１ｈ－１及び履歴データ１ｈ－２共に、識別子としてメールアドレスを示す。履歴データ１ｈ－１は、メールアドレスの他に、購入履歴を示す。履歴データ１ｈ－２は、メールアドレスの他に、閲覧サイトを示す。
図１の例において、メールアドレス「alice@mail.com」が履歴データ１ｈ－１と履歴データ１ｈ－２の両方に存在する。また、メールアドレス「bob@mail.com」が、履歴データ１ｈ－１と履歴データ１ｈ－２の両方に存在する。
関連付け結果１ｒは、メールアドレスが一致するデータを関連付けた結果を示す。メールアドレス「alice@mail.com」により、購入履歴「リンゴ」と閲覧サイト「オーガニック系」とが同一個人のデータとして示される。同様に、メールアドレス「bob@mail.com」により、購入履歴「パン」と閲覧サイト「海外通販系」とが同一個人のデータとして示される。
このように、履歴データ１ｈ－１と履歴データ１ｈ－２の両方に同一識別子が存在する場合には、異なる履歴データであっても２つのパーソナルデータの関連付けが可能となる。しかしながら、履歴データ１ｈ－１と履歴データ１ｈ－２の両方に同一識別子が存在しない場合、パーソナルデータの由来者を識別しながら関連付けすることができない。
一方、パーソナルデータの売買市場において、データホルダーは自身が保有しているパーソナルデータを第三者へ販売して良いかをパーソナルデータの由来者である個人に承諾を得る必要がある。パーソナルデータの販売に対する承諾時には、多くのパーソナルデータの由来者は、関連付けされたパーソナルデータから自分自身が特定されないかと、本人特定のプライバシーに不安を感じている。
図１のように、パーソナルデータの由来者が実際に使用しているメールアドレスのような実ＩＤを用いるのであれば、実ＩＤから本人を特定できる可能性が高い。このような問題から、パーソナルデータの売買市場では、パーソナルデータの由来者が安心できるプライバシー保護の仕組みが必要である。
関連付けに使用される識別子にプライバシー保護を施すことが考えられる。パーソナルデータを関連付けるときには共通の識別子が必要であり、名前、メールアドレスの利用が想定される。しかし、これら実ＩＤはデータを紐づけた際に本人特定につながりやすい。
パーソナルデータによっては実ＩＤが提供されることがなければ販売してもよいと考える由来者はいる。そこで、仲介者が、由来者の希望に合わせて、対応付けＩＤをデータ販売者へ発行し、データホルダーは、パーソナルデータの識別子を対応付けＩＤに置換して、データ購入者に販売することが考えられる。対応付けＩＤを実ＩＤが推測できないように作ることで、データ購入者は対応付けＩＤから実ＩＤを取得することができない。
しかしながら、たとえ実ＩＤを取得できないとしても、種々のデータホルダーから異なるパーソナルデータを取得し、関連付けた場合、本人が特定されやすくなる場合がある。図２は、対応付けＩＤで関連付けたデータ例を示す図である。図２に示す対応付けＩＤで関連付けたデータの例では、対応付けＩＤ「Ｐ１」に関して、血糖値、年齢、体重、身長、性別職業、最寄駅、居住、ペット、既往歴等の値が得られている。このようなデータを用いれば、本人の特定は可能である。
一例として、米国の人口の８７％（２億１，６００万人／２億４，８００万人）を５桁のＺＩＰ(Zone Improvement Plan)コード、性別、生年月日の組み合わせによって一意に識別できる可能性が高いと報告されている。ＺＩＰコードとは，アメリカ合衆国で使用される郵便番号である。（Latanya Sweeney. Uniqueness of simple demographics in the US populationTechnical report, Technical report, Carnegie Mellon University, 2000.）
また，実際にデータを紐づけることで個人が特定された例として，氏名が除去された医療保険情報と選挙人名簿からマサチューセッツ州知事のデータが特定されたという事例がある。この事例では、二つの提供データに共通して含まれていたＺＩＰコード、性別、生年月日を結びつけることで、医療保険情報中の知事のデータを一意に絞り込むことができた。（Sweeney Latanya. k-anonymity: A model for protecting privacy,International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems,Vol. 10, No. 05, pp. 557 570, 2002）
このように、プライバシー問題に対応するためには、パーソナルデータの関連付け数も考慮することが必要である。
対策の一例として、関連付け数の上限数を設定することが考えられる。例えば、データ購入者の購入依頼をうけて仲介者がデータホルダーへ対応付けＩＤを送信するときに、関連付け数も共に送信する。関連付け数が上限を超えている場合、データホルダーは依頼を拒否すればよい。しかし、仲介者とデータ購入者の間で結託し、関連付け数を偽ることで上限を上回る関連付けが可能である。このように、仲介者とデータ購入者の結託を想定した場合、単純な対策では不正な関連付けを防ぐことができない。
本実施例は、仲介者とデータ購入者が結託した時でも上限を超えるような不正な関連付けを防止する仮ＩＤを発行する。各データホルダーは、データホルダーＩＤを持ち、各由来者は、一度に関連付け可能な関連付け数の条件を設定する。データホルダーＩＤは、本実施例において、関連付け数のチェック、関連付け用の仮ＩＤの生成に用いられる。仮ＩＤは、後述される識別子３に相当する。
なお、一度に関連付けるパーソナルデータの上限数をデータホルダーがそれぞれ設定したり、その他の方法で上限数を設定したりしてもよい。また、パーソナルデータの由来者が設定した上限数をチェックした後にデータホルダーが設定した上限数をチェックすることも可能である。逆に、一度データホルダーで上限数をチェックしたのち、パーソナルデータの由来者が設定した上限数をチェックするという二重チェックも可能である。
これにより、パーソナルデータの由来者の希望に沿った関連付け数の制限だけでなく、データホルダーにとってもパーソナルデータの由来者の本人特定を防止するために主体的に関連付け数を制限することができる。
図３は、本実施例におけるシステム構成例を示す図である。図３において、システム１０００は、複数のユーザ端末３ｔと、複数のデータホルダー装置４ｔと、仲介サーバ装置５ｔと、関連付け装置６ｔと、事業システム９ｓとを有する。構成例を示す図である。図１において、システム１０００は、複数のユーザ端末３ｔと、複数のデータホルダー装置４ｔと、仲介サーバ装置５ｔと、関連付け装置６ｔと、事業システム９ｓとは、ネットワーク２を介して接続される。
各ユーザ端末３ｔは、事業９ｓを利用するユーザである由来者３ｕにより使用される端末であり、事業システム９ｓに、インターネット等を介して接続される。
各データホルダー装置４ｔは、情報提供装置の一例として、データホルダー４ｕによって管理される装置である。各データホルダー装置４ｔには、データホルダーＩＤが設定されている。各データホルダー装置４ｔは、由来者３ｕが、それぞれの事業システム９ｓを利用することにより生成されたパーソナルデータを保管し管理する。
また、各データホルダー装置４ｔは、仲介サーバ装置５ｔからのパーソナルデータの購入依頼５ｒに応じて、保管しているパーソナルデータのうち、販売を承諾している由来者３ｕのパーソナルデータを仲介サーバ装置５ｔへ提供する。パーソナルデータは、データ購入者６ｕの関連付け装置６ｔへ直接に提供されてもよい。その場合には、購入依頼５ｒには、関連付け装置６ｔのアドレス情報が含まれる。
事業Ａシステム、事業Ｂシステム等を含む事業システム９ｓにそれぞれ対応して、データホルダー装置４ｔが設けられている。事業Ａシステムがネットショッピングのシステムであれば、由来者３ｕの購買データがパーソナルデータに相当し、事業ＢシステムがＷｅｂの情報検索を可能とする検索エンジンを提供するシステムであれば、由来者３ｕによるＷｅｂ検索に関する検索データがパーソナルデータに相当する。その他、医療システム等を含む様々な事業システムがシステム１０００と連携していてもよい。
各事業システム９ｓは、生成されたパーソナルデータを、由来者３ｕにより販売が承諾されたデータであるか否かを識別可能にして、履歴データとしてデータホルダー装置４ｔに蓄積する。各事業システム９ｓによって生成されるパーソナルデータは、ユーザ端末３ｔのアクセスによる利用の他、由来者３ｕの店舗、医療機関等への訪問による利用により生成されたデータを含む。
仲介サーバ装置５ｔは、仲介者５ｕによって管理される装置である。仲介サーバ装置５ｔは、関連付け装置６ｔからの購入依頼６ｒに応じて、購入依頼６ｒで指定される事業システム９ｓのデータホルダー装置４ｔへパーソナルデータの購入依頼５ｒを行う。購入依頼６ｒでデータ購入者６ｕへの提供方法の情報を指定しておくことで、購入依頼５ｒに基づくパーソナルデータは関連付け装置６ｔへ直接提供されてもよい。仲介サーバ装置５ｔが仲介して、データホルダー装置４ｔから受信したパーソナルデータを関連付け装置６ｔへ提供してもよい。
関連付け装置６ｔは、データ購入者６ｕが使用する装置であり、データ購入者６ｕの操作によって、事業システム９ｓを指定した指示を受けると、仲介サーバ装置５ｔへ事業システム９ｓを指定した購入依頼６ｒを行う。関連付け装置６ｔは、仲介サーバ装置５ｔから、事業システム９ｓがデータホルダー装置４ｔに保持しているパーソナルデータを取得して、由来者３ｕごとに事業間のパーソナルデータのマッチング（関連付け）を行う。
本実施例では、上述したシステム１０００において、各データホルダー装置４ｔが、仲介者５ｕとデータ購入者６ｕが結託した時でも上限を超えるような不正な関連付けを防止する仮ＩＤを発行する。
図４は、ハードウェア構成を示す図である。図４において、端末３ｔは、コンピュータによって制御されるタブレット型、携帯電話等の情報処理端末であって、ＣＰＵ（Central Processing Unit）３１１ｂと、主記憶装置３１２ｂと、ユーザＩ／Ｆ（インターフェース）３１６ｂと、通信Ｉ／Ｆ３１７ｂと、ドライブ装置３１８ｂとを有し、バスＢ３に接続される。
ＣＰＵ３１１ｂは、主記憶装置３１２ｂに格納されたプログラムに従って端末３ｔを制御するプロセッサに相当する。主記憶装置３１２ｂには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ３１１ｂにて実行されるプログラム、ＣＰＵ３１１ｂでの処理に必要なデータ、ＣＰＵ３１１ｂでの処理にて得られたデータ等を記憶又は一時保存する。主記憶装置３１２ｂに格納されているプログラムが、ＣＰＵ３１１ｂに実行されることによって、各種処理が実現される。
ユーザＩ／Ｆ３１６ｂは、ＣＰＵ３１１ｂの制御のもとに必要な各種情報を表示し、また、ユーザによる操作入力を可能とするタッチパネル等である。通信Ｉ／Ｆ３１７ｂによる通信は無線又は有線に限定されるものではない。
端末３ｔによって行われる処理を実現するプログラムは、ネットワーク２を介して外部装置からダウンロードされる。或いは、予め端末３の主記憶装置３１２ｂ又は記憶媒体３１９ｂに記憶されていても良い。主記憶装置３１２ｂと記憶媒体１９ｂとを、総称して、記憶部３３０ｂという。
ドライブ装置３１８ｂは、ドライブ装置３１８ｂにセットされた記憶媒体３１９ｂ（例えば、ＳＤ（Secure Digital）メモリカード等）と端末３とのインターフェースを行う。尚、記憶媒体１９ｂは、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。
端末３ｔは、デスクトップ型、ノートブック型、ラップトップ型等の情報処理端末であっても良く、そのハードウェア構成は、以下に説明するデータホルダー装置４ｔ等のハードウェア構成と同様である。
データホルダー装置４ｔは、コンピュータによって制御される情報処理装置であって、ＣＰＵ４１１と、主記憶装置４１２と、補助記憶装置４１３と、入力装置４１４と、表示装置４１５と、通信Ｉ／Ｆ（インターフェース）４１７と、ドライブ装置４１８とを有し、バスＢ４に接続される。
ＣＰＵ４１１は、主記憶装置４１２に格納されたプログラムに従ってデータホルダー装置４ｔを制御するプロセッサに相当する。主記憶装置４１２には、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ４１１にて実行されるプログラム、ＣＰＵ４１１での処理に必要なデータ、ＣＰＵ４１１での処理にて得られたデータ等を記憶又は一時保存する。
補助記憶装置４１３には、ＨＤＤ（Hard Disk Drive）等が用いられ、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３に格納されているプログラムの一部が主記憶装置４１２にロードされ、ＣＰＵ４１１に実行されることによって、各種処理が実現される。主記憶装置４１２と、補助記憶装置４１３と、その他アクセス可能な外部記憶装置を総称して、記憶部４３０という。
入力装置４１４は、マウス、キーボード等を有し、ユーザがデータホルダー装置４ｔによる処理に必要な各種情報を入力するために用いられる。表示装置４１５は、ＣＰＵ１１の制御のもとに必要な各種情報を表示する。入力装置４１４と表示装置４１５とは、一体化したタッチパネル等によるユーザインタフェースであってもよい。通信Ｉ／Ｆ４１７は、有線又は無線などのネットワークを通じて通信を行う。通信Ｉ／Ｆ４１７による通信は無線又は有線に限定されるものではない。
ドライブ装置４１８は、ドライブ装置４１８にセットされた記憶媒体１９（例えば、ＣＤ－ＲＯＭ（Compact Disc Read-Only Memory）等）とデータホルダー装置４ｔとのインターフェースを行う。
データホルダー装置４ｔによって行われる処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ等の記憶媒体４１９によってデータホルダー装置４ｔに提供される。記憶媒体４１９に、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体４１９に格納されたプログラムは、ドライブ装置４１８を介してデータホルダー装置４ｔにインストールされる。インストールされたプログラムは、データホルダー装置４ｔにより実行可能となる。
尚、プログラムを格納する記憶媒体４１９はＣＤ－ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ－ＲＯＭの他に、ＤＶＤ（Digital Versatile Disk）ディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。
仲介サーバ装置５ｔは、コンピュータによって制御される情報処理装置であって、ＣＰＵ５１１と、主記憶装置５１２と、補助記憶装置５１３と、入力装置５１４と、表示装置５１５と、通信Ｉ／Ｆ（インターフェース）５１７と、ドライブ装置５１８とを有し、バスＢ５に接続される。仲介サーバ装置５ｔを構成する装置５１１～５１８は、データホルダー装置４ｔと同様であるため、詳細な説明を省略する。主記憶装置５１２と、補助記憶装置５１３と、その他アクセス可能な外部記憶装置を総称して、記憶部５３０という。
関連付け装置６ｔと、コンピュータによって制御される情報処理装置であって、ＣＰＵ６１１と、主記憶装置６１２と、補助記憶装置６１３と、入力装置６１４と、表示装置６１５と、通信Ｉ／Ｆ（インターフェース）６１７と、ドライブ装置６１８とを有し、バスＢ６に接続される。仲介サーバ装置５ｔを構成する装置６１１～６１８は、データホルダー装置４ｔと同様であるため、詳細な説明を省略する。主記憶装置６１２と、補助記憶装置６１３と、その他アクセス可能な外部記憶装置を総称して、記憶部６３０という。
事業システム９ｓは、事業に対応した種々のＣＰＵ、メモリ等を有する情報機器端末を備え、由来者３ｕの利用によりパーソナルデータを生成し、データホルダー装置４ｔに記録保管する。情報機器端末は、データホルダー装置４ｔのハードウェア構成と略同様であるため、その説明を省略する。
先ず、本実施例で利用可能な由来者３ｕ識別子について説明する。図５は、識別子を説明するための図である。図５において、由来者３ｕに対応付けられる識別子０、１、２が示されている。
識別子０は、パーソナルデータの由来者３ｕを識別する識別情報であり、由来者３ｕの個名、メールアドレス等の由来者３ｕへの連絡手段等である。識別子１は、識別子０を暗号化した識別情報である。識別子１は、由来者３ｕが設定した鍵ｋを用いて、識別子０を暗号化することで得られる。識別子１の役割は、識別子０を読み取られないようにすることである。
識別子２は、データ購入者６ｕからの一つの購入依頼において、識別子１と１対１対応する識別情報である。識別子２の役割は、パーソナルデータの時系列的に蓄積されることの防止と、関連付け転用を防止するためである。パーソナルデータの時系列的な蓄積を防止することで、本人特定を防止できる。運用例として、一か月おきにデータホルダーＡとデータホルダーＢのパーソナルデータを関連付けたデータを取得し、１年分のデータを連結することで本人を特定できる可能性がある。
識別子３は、発明者等によって考案された識別情報であり、上述した対応付け用仮ＩＤに相当する。識別子３は、ハッシュ関数によって、識別子０、１、又は２のいずれかと、データホルダーＩＤの組合せとから生成された識別情報である。SHA-256などのハッシュ関数を用いればよい。由来者３ｕが設定した鍵を用いて、鍵付きハッシュ関数により識別子３を生成することが好ましい。
図５の例では、識別子０が「alice@jp.f.com」とのき、識別子１は「hR6SiBMCt7jeWH」となり、識別子１に対応付けられる識別子２は「0000000001」を示し、「C5AF1B0964」が識別子３として生成されている。
図６で、識別子３の生成方法について説明する。図６は、本実施例における識別子３の生成方法を説明するための図である。図６において、由来者ｉは、データホルダー装置Ａ及びＢに、識別子０を提供し、由来者設定鍵Ｋｉを設定する。そして、データホルダー装置Ａ及びＢは識別子０を由来者設定鍵Ｋｉで暗号化して識別子１を得る。この例では、
識別子０：「Alice…」
識別子１：「F65D4…」
由来者設定鍵：Ｋｉ
の情報を、データホルダー装置Ａ及びＢで保持する。
データホルダー装置ＡのデータホルダーＩＤは「ａ」であり、関連付け上限数は「２」であり、データホルダー装置ＢのデータホルダーＩＤは「ｂ」であり、関連付け上限数は「２」であるとする。
データ購入者６ｕは、識別子２を用いて所望するパーソナルデータを指定して、関連付け装置６ｔから仲介サーバ装置５ｔへ購入依頼６ｒを行う。関連付け装置６ｔからの購入依頼６ｒの受信に応じて、仲介サーバ装置５ｔは、保持している識別子１と識別子２の対応表に基づいて、データホルダー装置Ａのパーソナルデータと、データホルダー装置Ｂのパーソナルデータとをデータ購入者６ｕに販売するため、データホルダー装置Ａに購入依頼５ｒａを行い、同様に、データホルダー装置Ｂにも購入依頼５ｒｂを行う。
データホルダー装置Ａ及びＢのそれぞれに送信された購入依頼５ｒａ及び購入依頼５ｒｂは、同一のデータホルダー集合（ａ、ｂ）を含む。購入依頼５ｒａには、データホルダー装置Ａが管理するパーソナルデータの由来者ｉの識別子１と識別子２とが対応付けられた対応表５ｃａが含まれ、購入依頼５ｒｂには、データホルダー装置Ｂが管理するパーソナルデータの由来者ｉの識別子１と識別子２とが対応付けられた対応表５ｃｂが含まれるようにしてもよい。
対応表５ｃａと対応表５ｃｂとは、仲介サーバ装置５ｔが保持する全ての識別子１に対して、識別子１と識別子２とが対応付けられていてもよい。対応表５ｃａと対応表５ｃｂとを総称して対応表５ｃという場合がある。
データホルダー装置Ａは、購入依頼５ｒａを受信すると、データホルダー装置Ａで保持している識別子管理表５ｍａを参照して、購入依頼５ｒａの対応表５ｃａで指定される識別子１に対応付けられている鍵Ｋｉを取得する。識別子管理表５ｍａは、識別子０、識別子１、鍵等の項目を有する。データホルダー装置Ａでは、識別子管理表５ｍａの識別子０又は識別子１が、パーソナルデータを履歴データとして蓄積保管しているデータベースと関連付けられている。
データホルダー装置Ａは、購入依頼５ｒａで指定されているデータホルダー集合（ａ、ｂ）と、取得した鍵Ｋｉとを用いて、鍵付きハッシュ関数により、ハッシュ値を得る。（ａ、ｂ）と、識別子２の「00001」とを鍵付きハッシュ関数に代入することで、由来者ｉの識別子３としてハッシュ値「C5AF1B0964」を得る。
購入依頼毎に識別子２を変更することで本人特定を防止できる。つまり、別途販売した関連付けを目的としたパーソナルデータ同士を関連付けられないように識別子２を転用した関連付け転用を防止できる。
具体的には、データ購入者６ｕはデータホルダーＡ及びＢのパーソナルデータを関連付けたデータとは別に購入したデータホルダーＢ及びＣが保持するパーソナルデータを関連付けたデータを関連付けたいとする。本来ならば、データホルダーＡ、Ｂ、及びＣのパーソナルデータを関連付けるために同時に購入する。しかし、以前購入し関連付けてあるデータを使いまわして利用するおそれがある。したがって、関連付けのデータホルダーの組合せごとに異なる識別子２を割り振ることで、以前販売した関連付けデータの転用を防止できる。
由来者ｉの識別子０が識別子３に置き換えられたパーソナルデータが、データ購入者６ｕに提供される。
データホルダー装置Ｂでは、データホルダー装置Ａとは異なる識別子管理表５ｍｂを保持しているが、購入依頼５ｒｂの受信に応じて、データホルダー装置Ａと同様の処理が行われる。データホルダー集合（ａ、ｂ）は同一であり、鍵Ｋｉも同一である。データホルダー装置Ｂにおいても識別子３は、「C5AF1B0964」となる。このデータホルダー集合に限り、由来者ｉの識別子３は、データホルダー装置Ａ及びＢで一致する。なお、由来者ｉの識別子３は、データホルダー集合により異なる値となる。
図６に示す識別子管理表５ｍａ及び識別子管理表５ｍｂ等は、総称して識別子管理表５ｍという。上述した、関連付け上限数は、データホルダー装置４ｔで設定されてもよいし、由来者ｉが設定してもよい。以下の説明においても同様であるが、説明の便宜のため、単に、関連付け上限数「２」として説明する。
由来者ｉの識別子０が識別子３に置き換えられたパーソナルデータが、データ購入者６ｕに提供される。
次に、図７～図９で、パーソナルデータの購入依頼６ｒからパーソナルデータの提供までの処理の概要について説明する。以下の説明では、上述したような識別子３に置き換えられたパーソナルデータを「仮名データ」という。本実施例は、識別子０、識別子１のいずれであっても適応可能であるが、由来者３ｕから不安なくパーソナルデータを提供してもらうためには、識別子２を用いるのがより好ましい。従って、識別子２を用いてパーソナルデータの購入が行われる場合で説明する。
図７は、パーソナルデータの購入依頼に係る処理を説明するための図である。図７において、データホルダー装置Ａは、由来者３ｕごとに、パーソナルデータを履歴データとして蓄積し管理する履歴データデータベース（ＤＢ）４ｈａを有する。データホルダー装置Ｂは、由来者３ｕごとに、パーソナルデータを履歴データとして蓄積し管理する履歴データＤＢ４ｈｂを有する。履歴データＤＢ４ｈａ、履歴データＤＢ４ｈｂ等は、総称して、履歴データＤＢ４ｈという。
仲介サーバ装置５ｔが関連付け装置６ｔから購入依頼６ｒでは、２以上のデータホルダーＩＤが指定されている。この例では、データホルダーＩＤ「ｒＡ」と「ｒＢ」とが指定される。
仲介サーバ装置５ｔは、購入依頼６ｒで特定されるデータホルダー装置４ｔごとに、購入依頼５ｒを作成し、データホルダー装置４ｔへ送信する。この例では、データホルダー装置Ａに対しては、仲介サーバ装置５ｔは、データホルダーＩＤの組合せ（ｒＡ、ｒＢ）と、データホルダー装置Ａが管理するパーソナルデータの由来者３ｕの識別子１と識別子２の対応表５ｃａとを指定した購入依頼５ｒａを作成して送信する。
同様に、データホルダー装置Ｂに対しては、仲介サーバ装置５ｔは、データホルダーＩＤの組合せ（ｒＡ、ｒＢ）と、データホルダー装置Ｂが管理するパーソナルデータの由来者３ｕの識別子１と識別子２の対応表５ｃｂとを指定した購入依頼５ｒｂを作成して送信する。データホルダーＩＤの組合せを、以下、「データホルダー集合」という。
より簡潔な構成として、仲介サーバ装置５ｔは、購入依頼５ｒａ及び購入依頼５ｒｂのようにデータホルダー装置Ａ及びＢのそれぞれを区別することなく、全ての由来者３ｕの識別子１と識別子２との対応表を、購入依頼５ｒａと購入依頼５ｒｂとに提供してもよい。その場合、購入依頼５ｒａと購入依頼５ｒｂとは同一のデータホルダー集合と、同一の対応表５ｃとを指定する。
購入依頼５ｒを受信した各データホルダー装置４ｔでは、識別子２を用いて、不正使用及び上限を超えた関連付けを防止するチェック処理が行われる。
図８は、データホルダー装置における識別子２を用いたチェック処理を説明するための図である。図８の例では、データホルダー装置Ａの関連付け上限数ＭＡは「２」であり、データホルダー装置Ｂの関連付け上限数ＭＡの「２」であるが、この例に制限されない。由来者３ｕは、各データホルダー装置４ｔで同一の関連付け上限数Ｍを設定してもよいし、異なる関連付け上限数Ｍを設定してもよい。
データホルダー装置Ａは、購入依頼５ｒａで指定される、データホルダー集合（ｒＡ、ｒＢ）と識別子２とを用いてチェック処理を行う。チェック処理では、不正使用防止のための依頼先をチェックする依頼先チェックと、上限を超えた関連付けを防止するための上限チェックとが行われる。
依頼先チェックでは、データホルダー集合（ｒＡ、ｒＢ）にデータホルダー装置ＡのデータホルダーＩＤ「ｒＡ」が含まれているか否かが判定される。データホルダーＩＤ「ｒＡ」が含まれているため、この購入依頼５ｒａは、不正使用を目的とした依頼ではないと判断される。
上限チェックでは、データホルダー集合（ｒＡ、ｒＢ）の要素個数ｎ「２」が、関連付け上限数ＭＡ「２」以下であるか否かが判定される。要素個数ｎは関連付け上限数ＭＡ以下であるため、上限を超えてパーソナルデータを関連付ける依頼ではないと判断される。
したがって、データホルダー装置Ａでは、チェック処理結果４ｋａに示すように、依頼先チェック及び上限チェックで肯定的判定結果であるため、パーソナルデータの提供が行われる。
同様に、データホルダー装置Ｂにおいてもチェック処理が行われ、チェック処理結果４ｋｂに示すように、依頼先チェック及び上限チェックで肯定的判定結果を得る。否定的判定結果、即ち、依頼先チェックと上限チェックの少なくとも１つの条件が成立しない場合、データホルダー装置Ａは、仲介サーバ装置５ｔにエラーを通知して、パーソナルデータの提供を行わない。次に、本実施例に係る識別子３を用いたパーソナルデータの提供について説明する。
図９は、パーソナルデータの提供を説明するための図である。図９において、各データホルダー装置４ｔは、データホルダー集合と、識別子２とを用いて、ハッシュ値を求めることにより識別子３を生成する。そして、各データホルダー装置４ｔは、履歴データに対応付ける識別子を識別子３に置き換えた仮名データを作成して、作成した仮名データを、関連付け装置６ｔに提供する。
データホルダー装置Ａは、それぞれ識別子３を生成し、仮名データＡを作成して、関連付け装置６ｔに送信する。同様に、データホルダー装置Ｂも、それぞれ識別子３を生成し、仮名データＢを作成して、関連付け装置６ｔに送信する。データホルダー装置Ａとデータホルダー装置Ｂとで作成された識別子３の値は同一Ｐ１’で示される。
関連付け装置６ｔは、受信した仮名データＡと仮名データＢとを仮ＩＤでる識別子３で関連付けて、関連付けデータ６ｒｄを得る。関連付けデータ６ｒｄの各レコードには、仮ＩＤとして識別子３の値Ｐ１’が示されている。
仮名データＡは、仮ＩＤ「Ｐ１’」、購入履歴「水」等の項目値を含み、仮名データＢは、仮ＩＤ「Ｐ１’」、血糖値「１４０」等の項目値を含む場合、関連付け装置６ｔは、仮ＩＤで関連付けて、仮ＩＤ「Ｐ１’」について、購入履歴＝「水」、血糖値＝「１４０」等を得る。
本実施例では、識別子２と識別子３とを用いることで、以下の効果を得ることができる。
・効果１：不正依頼防止
関連付け上限を超える不正に関連付けを行うための不正依頼を防止することができる。
・効果２：不正利用防止
識別子３を用いた仮名データを提供することで、対応付けＩＤの不正利用を防止することができる。
図１０は、不正依頼防止（効果１）を説明するための図である。図１０において、データホルダー装置Ａ及びＢに加えて、データホルダー装置Ｃを示している。データホルダー装置Ａ、Ｂ、及びＣには、関連付け上限数ＭＡ、ＭＢ、及びＭＣは、同一の値「２」である。
仲介者５ｕとデータ購入者６ｒとが結託し、関連付け上限を超えて不正にパーソナルデータを３つのデータホルダー装置Ａ、Ｂ、及びＣから取得することを試みる。図１０の例では、先ず、正当な依頼を行ってパーソナルデータを取得し、次に、パーソナルデータを正当に取得した際の購入依頼のデータホルダー集合を用いて、不正な依頼を行う。
先ず、データ購入者６ｕは、関連付け装置６ｔからデータホルダー装置Ａとデータホルダー装置Ｂのパーソナルデータを関連付ける購入依頼６ｒ－１を行う。仲介サーバ装置５ｔは、関連付け装置６ｔからの購入依頼６ｒに応じて、データホルダー集合（ｒＡ、ｒＢ）と、識別子２の対応表とを含む購入依頼５ｒａ及び購入依頼５ｒｂを送信し、データホルダー装置Ａ及びＢからパーソナルデータを取得する。データホルダー装置Ａとデータホルダー装置Ｂのパーソナルデータは、仮名データＡ及びＢ（図９）として関連付け装置６ｔに提供される。
次に、データ購入者６ｕは、関連付け装置６ｔからデータホルダー装置Ｂとデータホルダー装置Ｃのパーソナルデータを関連付ける購入依頼６ｒ－２を行う。仲介サーバ装置５ｔは、関連付け装置６ｔからの購入依頼６ｒ-２に応じて、データ購入者６ｕと結託した仲介者５ｕは、パーソナルデータを取得できた購入依頼５ｒａ又は購入依頼５ｒｂのデータホルダー集合（ｒＡ、ｒＢ）を用いて、データホルダー装置Ｃからパーソナルデータを取得することを試みる。仲介サーバ装置５ｔは、データホルダー集合（ｒＡ、ｒＢ）と、識別子２の対応表とを含む購入依頼５ｒｃをデータホルダー装置Ｃへ送信する。
データホルダー装置Ｃは、図８で説明したように、データホルダー装置Ａ及びＢ同様に、チェック処理を行う。先ず、依頼先チェックが行われる。依頼先チェックにおいて、データホルダー装置Ｃは、購入依頼５ｒｃのデータホルダー集合（ｒＡ、ｒＢ）にデータホルダー装置ＣのデータホルダーＩＤ「ｒＣ」が含まれているか否かをチェックする。
この場合、データホルダー集合（ｒＡ、ｒＢ）にｒＣが含まれていないため、不正依頼であると判定する。従って、チェック処理結果４ｋｃを得る。データホルダー装置Ｃは、仲介サーバ装置５ｔにエラーを送信し、パーソナルデータの提供を行わない。
本実施例におけるチェック処理により、対象外のデータホルダー装置Ｃへ不正な購入依頼５ｒｃを送信しても、データホルダー装置Ｃでは、データホルダー集合（ｒＡ、ｒＢ）にデータホルダーＩＤ「ｒＣ」が存在しないため、不正な購入依頼５ｒｃを却下できる。仲介者６ｕとデータ購入者５ｕとの結託による、関連付け上限を超えた不正なパーソナルデータの関連付けを防止できる。
図１１及び図１２は、不正利用防止（効果２）を説明するための図である。図１１及び図１２において、データホルダー装置Ａ及びＢに加えて、データホルダー装置Ｃを示している。データホルダー装置Ａ、Ｂ、及びＣには、関連付け上限数ＭＡ、ＭＢ、及びＭＣは、同一の値「２」である。
仲介者５ｕとデータ購入者６ｒとが結託し、関連付け上限を超えて不正にパーソナルデータを３つのデータホルダー装置Ａ、Ｂ、及びＣから取得することを試みる。図１１の例では、先ず、正当な依頼を行ってパーソナルデータを取得し、次に、異なるデータホルダー集合による正当な依頼を行って、全てのデータホルダー集合でパーソナルデータを関連付ける。
先ず、データ購入者６ｕは、関連付け装置６ｔからデータホルダー装置Ａとデータホルダー装置Ｂのパーソナルデータを関連付ける購入依頼６ｒ－１を行う。仲介サーバ装置５ｔは、関連付け装置６ｔからの購入依頼６ｒに応じて、データホルダー集合（ｒＡ、ｒＢ）と、識別子２の対応表とを含む購入依頼５ｒａ及び購入依頼５ｒｂを送信し、データホルダー装置Ａ及びＢからパーソナルデータを取得する。
データホルダー装置Ａとデータホルダー装置Ｂのパーソナルデータは、仮名データＡ及びＢとして関連付け装置６ｔに提供される。パーソナルデータの識別子は、仮ＩＤ１に識別子３の値Ｐ１’に置き換えられている。関連付け装置６ｔは、データホルダー装置Ａ及びＢから取得したパーソナルデータを仮ＩＤ１を用いて関連付けし、Ａ－Ｂ関連付けデータ６ｒｄ－１を得る。
次に、図１２において、データ購入者６ｕは、関連付け装置６ｔからデータホルダー装置Ｂとデータホルダー装置Ｃのパーソナルデータを関連付ける購入依頼６ｒ－３を行う。仲介サーバ装置５ｔは、関連付け装置６ｔからの購入依頼６ｒ-３に応じて、データ購入者６ｕと結託した仲介者５ｕは、タホルダー集合（ｒＢ、ｒＣ）を用いて、データホルダー装置Ｂ及びＣからパーソナルデータを取得することを試みる。仲介サーバ装置５ｔは、データホルダー集合（ｒＢ、ｒＣ）と、識別子２の対応表とを含む購入依頼５ｒｂ’及び購入依頼５ｒｃをそれぞれデータホルダー装置Ｂ及びＣへ送信する。
データホルダー装置Ｂ及びＣは、それぞれチェック処理を行う。この場合、データホルダー装置Ｂ及びＣの両方において、依頼先チェック及び上限チェック共に正常に終了する。
データホルダー装置Ｂは、依頼先チェック及び上限チェック共に正常終了を示すチェック処理結果４ｋｂ’を得るため、データホルダー集合（ｒＢ、ｒＣ）と、識別子２とを用いて、識別子３の値「Ｐ１’’」を得る。そして、データホルダー装置Ｂは、パーソナルデータの識別子を得られた識別子３の値「Ｐ１’’」に置き換えて仮ＩＤ２とした仮名データＢ’を関連付け装置６ｔに送信する。データホルダー装置Ｃも同様にして、識別子３の値「Ｐ１’’」を得て、パーソナルデータの識別子を識別子３の値「Ｐ１’’」に置き換えて仮ＩＤ２とした仮名データＣを関連付け装置６ｔに送信する。
関連付け装置６ｔは、データホルダー装置Ｂとデータホルダー装置Ｃから仮名データＢ’と仮名データＣとを用いて、Ｂ’－Ｃ関連付けデータ６ｒｄ－２を得る。関連付け装置６ｔは、Ａ－Ｂ関連付けデータ６ｒｄ－１とＢ’－Ｃ関連付けデータ６ｒｄ－２とを更に、関連付けようと試みる。しかしながら、Ａ－Ｂ関連付けデータ６ｒｄ－１の仮ＩＤ１とＢ’－Ｃ関連付けデータ６ｒｄ－２の仮ＩＤ２とは一致しない。従って、Ａ－Ｂ関連付けデータ６ｒｄ－１とＢ’－Ｃ関連付けデータ６ｒｄ－２との関連付けは行えない。
図１３～図１５では、複数の由来者３ｕに対して生成された識別子３の例を示し、本実施例において実現される不正利用防止（効果２）の例について説明する。図１３～図１５中、上述したように、データホルダー装置Ａ、Ｂ、及びＣの場合で説明する。また、識別子０はメールアドレスとし、５人の由来者３ｕのパーソナルデータがデータホルダー装置Ａ、Ｂ、及びＣのそれぞれで管理されているとする。また、チェック処理では肯定的結果を得たとする。
図１３は、データホルダー集合（ｒＡ、ｒＢ）で作成される識別子３の例を説明するための図である。図１３において、データホルダー装置Ａは、由来者３ｕごとに、由来者３ｕが設定したパーソナルデータの販売に係る販売設定情報を販売設定テーブル４ｆ－Ａに保持している。データホルダー装置Ｂも同様に、由来者３ｕごとに、由来者３ｕが設定したパーソナルデータの販売に係る販売設定情報を販売設定テーブル４ｆ－Ｂに保持している。
データホルダー装置Ａは、由来者３ｕごとに、販売設定テーブル４ｆ－Ａから鍵ｋを取得する。データホルダー装置Ａは、購入依頼５ｒａで指定されるデータホルダー集合（ｒＡ、ｒＢ）と識別子２とに対して、取得した鍵ｋを用いた鍵付きハッシュ関数により、識別子３の値を得る。
「Alice@xy.com」の識別子０に対して鍵ｋ１、
「Bob@xy.com」の識別子０に対して鍵ｋ２、
「Carol@xy.com」の識別子０に対して鍵ｋ３、
「Dave@xy.com」の識別子０に対して鍵ｋ４、
「Ellen@xy.com」の識別子０に対して鍵ｋ５
が用いられる。
この例では、識別子０が「Alice@xy.com」の由来者３ｕに対して、鍵ｋ１を用いた鍵付きハッシュ関数により、値「10589B9CAD」の識別子３を得る。識別子０が「Bob@xy.com」の由来者３ｕに対して、鍵ｋ２を用いた鍵付きハッシュ関数により、値「F8C2AA9F54」の識別子３を得る。同様に、識別子０が「Carol@xy.com」の由来者３ｕに対して、値「F8C2AA9F54」の識別子３を得て、識別子０が「Dave@xy.com」の由来者３ｕに対して、値「85357DDECB」の識別子３を得て、識別子０が「Ellen@xy.com」の由来者３ｕに対して、値「B7C250B2B7」の識別子３を得る。
このようにして得られた識別子３は、識別子３リスト４ｇ－Ａに示される。販売設定テーブル４ｆ－Ａと識別子３リスト４ｇ－Ａとで同一Ｎｏ．は同一由来者３ｕを表す。データホルダー装置Ａは、このようにして得られた識別子３を用いて、パーソナルデータの由来者３ｕを特定する識別子を置き換える。パーソナルデータの由来者３ｕを個人特定する識別子は、識別子０と識別子１に相当する。パーソナルデータには識別子０も識別子１も対応付けられていないが、識別子３が与えられた仮名データＡが、関連付け装置６ｔに送信される。
データホルダー装置Ｂにおいても、データホルダー集合（ｒＡ、ｒＢ）と識別子２とに対して、取得した鍵ｋを用いた鍵付きハッシュ関数により、識別子３の値を得る。用いる鍵ｋはデータホルダー装置Ａと同様である。
この例では、
「Alice@xy.com」の識別子０に対して、値「10589B9CAD」の識別子３、
「Bob@xy.com」の識別子０に対して、値「F8C2AA9F54」の識別子３、
「Carol@xy.com」の識別子０に対して、値「F8C2AA9F54」の識別子３、
「Dave@xy.com」の識別子０に対して、値「85357DDECB」の識別子３、
「Ellen@xy.com」の識別子０に対して、値「B7C250B2B7」の識別子３
を得る。このようにして得られた識別子３は、識別子３リスト４ｇ－Ｂに示される。
データホルダー装置Ｂも、このようにして得られた識別子３を用いて、パーソナルデータの由来者３ｕを特定する識別子を置き換える。パーソナルデータには識別子０も識別子１も対応付けられていないが、識別子３が与えられた仮名データＢが、関連付け装置６ｔに送信される。
データホルダー装置Ａとデータホルダー装置Ｂとでは、同じメールアドレスに対して同一の識別子３の値を得るため、関連付け装置６ｔは、仮名データＡと仮名データＢとの関連付けが可能である。
図１４は、データホルダー集合（ｒＢ、ｒＣ）で作成される識別子３の例を説明するための図である。図１４において、データホルダー装置Ｃは、由来者３ｕごとに、由来者３ｕが設定したパーソナルデータの販売に係る販売設定情報を販売設定テーブル４ｆ－Ｃに保持している。データホルダー装置Ｂは、図１３で説明したように販売設定テーブル４ｆ－Ｂに保持している。
データホルダー装置Ｂは、由来者３ｕごとに、販売設定テーブル４ｆ－Ｂから鍵ｋを取得する。データホルダー装置Ｂは、購入依頼５ｒｂで指定されるデータホルダー集合（ｒＢ、ｒＣ）と識別子２とに対して、取得した鍵ｋを用いた鍵付きハッシュ関数により、識別子３の値を得る。鍵ｋは、図１３と同様である。データホルダー集合（ｒＢ、ｒＣ）が、図１３の場合と異なっている。
この例では、
「Alice@xy.com」の識別子０に対して、値「57BE14DDAA」の識別子３、
「Bob@xy.com」の識別子０に対して、値「9C1DDA99BC」の識別子３、
「Carol@xy.com」の識別子０に対して、値「FE3BFFF463」の識別子３、
「Dave@xy.com」の識別子０に対して、値「C6E3039CA5」の識別子３、
「Ellen@xy.com」の識別子０に対して、値「81523785B7」の識別子３
を得る。このようにして得られた識別子３は、識別子３リスト４ｇ－Ｂ’に示される。
そして、パーソナルデータに対して個人を特定する識別子は識別子３のみを対応付けた仮名データＢ’が、関連付け装置６ｔに送信される。
データホルダー装置Ｃも同様に由来者３ｕごとに、販売設定テーブル４ｆ－Ｃから鍵ｋを取得する。データホルダー装置Ｃは、購入依頼５ｒｂで指定されるデータホルダー集合（ｒＢ、ｒＣ）と識別子２とに対して、取得した鍵ｋを用いた鍵付きハッシュ関数により、識別子３の値を得る。得られた識別子３は、識別子３リスト４ｇ－Ｂ’に示される。
各識別子０に対して得られた識別子３の値は、データホルダー装置Ｂと同様である。パーソナルデータに対して個人を特定する識別子は識別子３のみを対応付けた仮名データＣが、関連付け装置６ｔに送信される。
図１５は、仮名データの関連付けの結果例を示す図である。図１５では、図１３及び図１４で示した識別子３リスト４ｇ－Ａ、４ｇ－Ｂ、４ｇ－Ｂ’、及び４ｇ－Ｃ（以下、総称して、識別子３リスト４ｇという場合がある）を示す。図１３で説明したように同じ識別子３の値が、識別子３リスト４ｇ－Ａと識別子３リスト４ｇ－Ｂとに示されている。また、図１４で説明したように同じ識別子３の値が、識別子３リスト４ｇ－Ｂ’と識別子３リスト４ｇ－Ｂとに示されている。
説明の便宜上、同一のＮｏ．は同一由来者３ｕを示している。４つの識別子３リスト４ｇから明らかなように、仮名データＡと仮名データＢとでは、同一由来者３ｕに対して生成した識別子３の値は一致している。また、仮名データＢと仮名データＢ’とでは、同一由来者３ｕに対して生成した識別子３の値は一致している。これらのことから、仮名データＡと仮名データＢとは関連付けが可能であり、また、仮名データＢ’と仮名データＣとは関連付けが可能である。
しかしながら、同一のデータホルダー装置Ｂで、同一由来者３ｕに対して生成した識別子３であっても、データホルダー集合が異なる場合は、識別子３の値は異なっている。従って、同一由来者３ｕに対して、データホルダー集合（ｒＡ、ｒＢ）を用いて生成された識別子３の値と、データホルダー集合（ｒＢ、ｒＣ）を用いて生成された識別子３の値とは、一致しない。そのため、仮名データＢと仮名データＢ’との関連付けは不可能である。
更に、データホルダー装置Ａとデータホルダー装置Ｃとにおいて、異なるデータホルダー集合で生成された識別子３の値は、同一由来者３ｕであっても、異なっている。従って、仮名データＡと仮名データＣとの関連付けは不可能である。
次に、図１６を参照して、各由来者３ｕがパーソナルデータの販売に係る画面例について説明する。図１６は、パーソナルデータ販売画面の例を示す図である。図１６において、パーソナルデータ販売画面Ｇ８０は、由来者３ｕが様々な事業システム９ｓを利用する際の登録時等にユーザ端末３ｔに表示され、由来者３ｕに情報を入力させる画面である。パーソナルデータ販売画面Ｇ８０は、表示領域８０ａ、選択領域８０ｂ、設定領域８０ｄ、終了ボタン８０ｆ等を有する。
表示領域８０ａは、パーソナルデータの関連付けについて回答するよう促すメッセージを表示する領域である。一例として、「メールアドレスを用いたパーソナルデータの関連付けについて、ご回答ください。」等が表示される。
選択領域８０ｂは、由来者３ｕに選択的に回答させる領域である。選択肢として、「
１．メールアドレスは提供しない。
２．パーソナルデータ販売の仲介者にのみ暗号化されたメールアドレスを提供し、関連付けを許可する。
３．パーソナルデータ販売の仲介者のみにハッシュ化されたメールアドレスを提供し、関連付けを許可する。」
が表示され、上記１～３のいずれか１つを由来者３ｕは選択する。
上記２を選択した場合には、「暗号化するためのパスワードを設定してください。」等のメッセージにより、由来者３ｕにより任意のパスワードが、パスワード入力領域８０ｃに入力される。
設定領域８０ｄは、関連付け上限を設定する領域である。設定領域８０ｄでは、「上記２．又は３．の場合、関連付けるパーソナルデータの上限数を設定してください。」のメッセージが表示され、由来者３ｕは、入力領域８０ｅに上限数を設定する。
必要な設定を行った由来者３ｕは、終了ボタン８０ｆを押下する。終了ボタン８０ｆの押下に応じて、由来者３ｕが設定した情報がデータホルダー装置４ｔに送信され、データホルダー装置４ｔは、受信した情報を記憶部４３０に記憶する。パスワード入力領域８０ｃに入力されたパスワードは、識別子３を生成するときに用いられる。メールアドレスは、別途個人情報として登録されたメールアドレスであり、識別子０として扱われる。
上述したデータホルダー装置４ｔは、それぞれ以下に説明するような機能構成を有する。図１７は、データホルダー装置の第１の機能構成例を説明するための図である。図１７において、データホルダー装置４ｔは、ＩＤ設定部４０と、設定情報取得部４１と、識別子提供部４２と、チェック処理部４３と、仮ＩＤ生成部４４と、仮名データ送信部４５とを処理部として有する。処理部４１～４５は、データホルダー装置４ｔにインストールされたプログラムが、データホルダー装置４ｔのＣＰＵ４１１に実行させる処理により実現される。
また、記憶部４３０は、データホルダーＩＤ、購入依頼５ｒ、販売設定情報テーブル４ｆ、識別子３リスト４ｇ、関連付け設定情報ＤＢ４ｋ、履歴データＤＢ４ｈ、作業履歴データ４ｈｗ、仮名データ４ｐｄｔ等を記憶する。
ＩＤ設定部４０は、データホルダー装置４ｔの識別情報であるデータホルダーＩＤを記憶部４３０に設定し、仲介サーバ装置５ｔに送信する。データホルダーＩＤは任意に設定可能であり、定期的に変更してよいが、以下の事項に留意して設定されることが好ましい。購入依頼５ｒには、データホルダー集合が含まれている。従って、購入依頼５ｒのデータホルダー集合に含まるデータホルダーＩＤから、由来者３ｕのパーソナルデータが他のデータホルダー装置４ｔにも存在すること、由来者３ｕが他の事業システム９ｓを利用していること等が知られる恐れがある。
一例として、由来者３ｕは、フィットネスクラブの利用を他のデータホルダー装置４ｔに知られたくないとする。しかし、パーソナルデータを関連付け可能に販売した場合、仮ＩＤの生成時に、購入依頼５ｒから、関連付け対象の他のデータホルダー装置４ｔのデータホルダーＩＤを取得する。データホルダー集合の中のデータホルダーＩＤのうち、フィットネスクラブのデータホルダー装置４ｔであることが明らかになった場合、対応表５ｃで特定される由来者３ｕの全てがフィットネスクラブを利用していることが知られてしまう問題がある。
したがって、データホルダーＩＤは、他のデータホルダー装置４ｔによって予測されない、かつ、他のデータホルダーＩＤと重複しない識別情報としておくことが好ましい。一例として、乱数によりデータホルダーＩＤを設定し、定期的にデータホルダーＩＤを変更し、変更するごとにデータホルダーＩＤを仲介サーバ装置５ｔに送信する。このようなデータホルダーＩＤの設定によって、データホルダーＩＤは由来者３ｕのプライバシーを保護できる。
設定情報取得部４１は、図１６に示すようなパーソナルデータ販売画面Ｇ８０を由来者３ｕが使用するユーザ端末３ｔに表示させ、由来者３ｕからパーソナルデータ設定情報を取得し、記憶部４３０内の関連付け設定情報ＤＢ４ｋに保持する。設定情報取得部４１は、由来者３ｕの鍵を用いて識別子０（一例として、メールアドレス）を暗号化して識別子２を取得する。識別子１は、識別子０に対応付けて関連付け設定情報ＤＢ４ｋに保持される。
識別子提供部４２は、仲介サーバ装置５ｔに関連付け設定情報ＤＢ４ｋで管理される識別子１を提供する。
チェック処理部４３は、仲介サーバ装置５ｔからの購入依頼５ｒの受信に応じて、データホルダーＩＤとデータホルダー集合とを用いてチェック処理を行う。チェック処理が正常終了した場合、チェック処理部４３は、仮ＩＤ生成部４４に通知する。一方、チェック処理が正常終了しなかった場合、チェック処理部４３は、エラーを仲介サーバ装置５ｔへ通知する。
仮ＩＤ生成部４４は、ＩＤ生成部の一例として、対応表５ｃに基づいて、関連付け設定情報ＤＢ４ｋから、由来者３ｕごとの鍵と上限数とを取得して、データホルダー集合と、取得した鍵及び上限数とを用いて、仮ＩＤとなる識別子３を生成する。
仮名データ送信部４５は、送信部の一例として、履歴データＤＢ４ｈのうち、提供可能な由来者３ｕのパーソナルデータに対応付ける識別子を識別子３に置き換えて、仮名データ４ｐｄｔを作成し、仲介サーバ装置５ｔへ送信する。作業履歴データ４ｈｗは、履歴データＤＢ４ｈから抽出された提供可能な由来者３ｕのパーソナルデータのテーブルである。作業履歴データ４ｈｗの識別子０及び１を識別子３に置き換えて、仮名データ４ｐｄｔが作成される。識別子３にパーソナルデータが対応付けられた仮名データ４ｐｄｔが仲介サーバ装置５ｔに提供される。
上述した、チェック処理部４３と、仮ＩＤ生成部４４と、仮名データ送信部４５とが、本実施例に係る販売処理部４９を構成する処理部の一例に相当する。
図１８を参照して、仲介サーバ装置５ｔで管理される種々のデータ間の関連性について説明する。図１８は、仲介サーバ装置におけるデータ間の関連性を説明するための図である。本実施例では、仲介サーバ装置５ｔから提供される対応表５ｃに基づいて、販売するパーソナルデータが特定され、仮名データ４ｐｄｔが作成される。図１８で説明するデータ間の関連性は、実施例を理解するための一例であり、これに限定されるものではない。
図１８より、関連付け設定情報ＤＢ４ｋは、由来者３ｕごとに、識別子０、識別子１、鍵、上限数、提供可否等の項目を有する。履歴データＤＢ４ｈのうち、識別子０、識別子１、及び鍵の項目が、識別子管理表５ｍに相当する。
識別子０は、メールアドレス等の由来者３ｕを特定する情報である。識別子１は、由来者３ｕが設定した鍵で識別子０を暗号化して得たデータである。鍵は、パーソナルデータ販売画面Ｇ８０で由来者３０ｕが設定したパスワードである。由来者３ｕによって暗号化不要が指定される場合には、鍵は設定されない。
上限数は、関連付けしてもよいパーソナルデータの購入先（データホルダー装置４ｔ）の数の上限を示す。上限数は、データホルダー４ｔが設定してもよい。提供可否は、由来者３ｕがパーソナルデータの販売を許可したか否かを示す。「ＹＥＳ」は、由来者３ｕが許可したことを示し、「ＮＯ」は、由来者３ｕが許可していないことを示す。提供可否は、後述されるパーソナルデータ販売画面Ｇ８０の項目２又は３が選択された場合に「ＹＥＳ」を示し、項目１が選択された場合に「ＮＯ」を示す。
対応表５ｃは、識別子１と識別子２とが対応付けられたテーブルである。対応表５ｃの識別子１は、データホルダー装置４ｔが仲介サーバ装置５ｔに提供した識別子１を含む、即ち、関連付け設定情報ＤＢ４ｋに存在する識別子１を含んでいる。
履歴データＤＢ４ｈは、識別子１ごとに、由来者３ｕのパーソナルデータを蓄積して管理するデータベースである。識別子１は重複して存在してもよい。履歴データＤＢ４ｈの識別子１は、関連付け設定情報ＤＢ４ｋに存在する識別子１を示す。識別子１を用いることで、履歴データＤＢ４ｈ内のパーソナルデータに対応付けられる識別子０を得ることができる。
販売設定情報テーブル４ｆは、対応表５ｃに基づいて、関連付け設定情報ＤＢ４ｋから抽出されたレコードを含み、Ｎｏ．、識別子０、鍵、上限数等の項目を有する。この例では、上限数「２」の場合を示すが、他の例として、データホルダー集合に３つのデータホルダーＩＤが含まれている場合、関連付け設定情報ＤＢ４ｋのレコードのうち上限数が３以上を示すレコードが抽出され、販売設定情報テーブル４ｆが作成される。販売設定情報テーブル４ｆの識別子０は、履歴データＤＢ４ｈに含まれる識別子０である。
識別子３リスト４ｇは、販売設定情報テーブル４ｆの各レコードを対象として、購入依頼５ｒのホルダーデータ集合と、識別子２とを用いてハッシュ値を算出して、仮ＩＤとなる識別子３を得る。ハッシュ値は、レコードに鍵が設定されている場合には、鍵付きハッシュ関数により計算されることが好ましい。識別子３リスト４ｇの各レコードは、Ｎｏ．により販売設定情報テーブル４ｆのレコードを特定する。
作業履歴データ４ｈｗは、履歴データＤＢの各レコードの識別子１を用いて、関連付け設定情報ＤＢ４ｋから識別子０を取得して、取得した識別子０を履歴データＤＢのレコードに付加して作成されたテーブルである。
仮名データ３ｐｄｔは、作業履歴データ４ｈｗの識別子０と識別子１とを識別子３に置き換えて作成したデータであり、識別子３と履歴データの項目を有する。作業履歴データ４ｈｗの識別子０を用いて、販売設定情報テーブル４ｆのレコードＮｏ．を取得すれば、識別子３リスト４ｇから識別子３を得ることができる。作業履歴データ４ｈｗの識別子０と識別子１とを、得られた識別子３で置き換えればよい。
図１９は、仲介サーバ装置の第１の機能構成例を示す図である。図１９において、仲介サーバ装置５ｔは、対応表作成部５２と、購入依頼処理部５６とを処理部として有する。処理部５２及び５６は、仲介サーバ装置５ｔにインストールされたプログラムが、仲介サーバ装置５ｔのＣＰＵ５１１に実行させる処理により実現される。
記憶部５３０には、対応表５ｃ、データホルダー情報テーブル５ｉｄ、購入依頼５ｒ等が記憶される。
対応表作成部５２は、関連付け装置６ｔから購入依頼６ｒを受信すると、全てのデータホルダー装置４ｔの各識別子１と１対１対応する識別子２を生成し、対応表５ｃを作成する。対応表５ｃは、全てのデータホルダー装置４ｔに対して１つの対応表５ｃであってもよいが、データホルダー装置４ｔ間で異なる識別子１がある場合を考慮して、データホルダー装置４ｔごとに作成されることが好ましい。
購入依頼処理部５６は、関連付け装置６ｔからの購入依頼６ｒに応じて、２以上のデータホルダー装置４ｔに対して、購入依頼５ｒを作成し、データホルダー装置４ｔそれぞれに送信する。購入依頼６ｒには、データホルダー集合と、対応表５ｃとが含まれる。
データホルダー情報テーブル５ｈｉｄは、データホルダー装置４ｔの登録情報を記憶し管理するテーブルであり、データホルダーＩＤ、アドレス情報、識別子１集合等の項目を有する。データホルダーＩＤは、データホルダー装置４ｔから指定された識別情報である。アドレス情報は、データホルダー装置４ｔのＩＰアドレス等の情報であり、データホルダー装置４ｔとの通信時に参照される。識別子１集合は、データホルダー装置４ｔが提供できる各データ由来者の識別子１であり、対応表作成部５２で対応表５ｃを作成する際に参照される。
次に、本実施例に係る様々な処理についてフローチャートで説明する。図２０は、データホルダー装置の識別子提供部による識別子提供処理を説明するためのフローチャート図である。データホルダー装置４ｔにおいて、識別子提供部４２は、関連付け設定情報ＤＢ４ｋからレコードを１つ選択し、ステップＳ４１０１～ステップＳ４１０４を行う。
図２０より、識別子提供部４２は、由来者３ｕの識別子０は暗号化要であるか否かを判断する（ステップＳ４１０１）。関連付け設定情報ＤＢ４ｋから選択したレコードに鍵が設定されているかいないかで判断すればよい。
暗号化要の場合（ステップＳ４１０１のＹＥＳ）、識別子提供部４２は、由来者３ｕが設定した鍵で識別子０を暗号化して、識別子１を得る（ステップＳ１４０２）。そして、識別子提供部４２は、識別子１を仲介サーバ装置５ｔへ送信し（ステップＳ１４０３）、この識別子提供処理を終了する。
一方、暗号化不要の場合（ステップＳ４１０１のＮＯ）、識別子提供部４２は、識別子０を仲介サーバ装置５ｔへ送信して（ステップＳ１４０４）、この識別子提供処理を終了する。
識別子提供部４２は、上述した識別子提供処理を、関連付け設定情報ＤＢ４ｋの全レコードに対して行う。上述では、選択したレコードごとに、仲介サーバ装置５ｔへ識別子１又は識別子０を送信したが、全てのレコードに対して識別子１又は識別子０を決定した後、まとめて仲介サーバ装置５ｔへ送信してもよい。
図２１は、仲介サーバ装置の対応表作成部による対応表作成処理を説明するためのフローチャート図である。図２１において、対応表作成部５２は、データホルダー情報テーブル５ｈｉｄから識別子（識別子１又は識別子０）を取得する（ステップＳ５２０１）。
対応表作成部５２は、取得した識別子に対して１対１対応する識別子２を生成して、対応表５ｃを作成し（ステップＳ５２０２）、作成した対応表５ｃを記憶部５３０に記憶する（ステップＳ５２０３）。そして、対応表作成部５２は、この対応表作成処理を終了する。
図２２は、仲介サーバ装置の購入依頼処理部による購入依頼処理を説明するためのフローチャート図である。図２２において、購入依頼処理部５６は、関連付け装置６ｔから購入依頼６ｒを受信する（ステップＳ５６０１）。
購入依頼処理部５６は、受信した購入依頼に基づく、データホルダー集合と対応表５ｒとを含む購入依頼５ｒを、データホルダー集合で特定されるデータホルダー装置４ｔのそれぞれに対して作成する（ステップＳ５６０２）。
そして、購入依頼処理部５６は、データホルダー集合に含まれるデータホルダーＩＤに基づいて、それぞれのデータホルダー装置４ｔへ作成した購入依頼５ｒを送信する（ステップＳ５６０３）。購入依頼処理部５６は、データホルダーＩＤを用いてデータホルダー情報テーブル５ｈｉｄを参照することで、各データホルダー装置４ｔのアドレス情報を取得し、購入依頼５ｒを送信する。その後、購入依頼処理部５６は、この購入依頼処理を終了する。
図２３は、データホルダー装置の販売処理部による販売処理を説明するためのフローチャート図である。図２３において、販売処理部４９は、ネットワーク２を介して、仲介サーバ装置５ｔから購入依頼５ｒを受信する（ステップＳ４９０１）。
販売処理部４９において、チェック処理部４３は、受信した購入依頼５ｒからデータホルダー集合を取得して（ステップＳ４９０２）、取得したデータホルダー集合に自身のデータホルダーＩＤが含まれているか否かを判断する（ステップＳ４９０３）。
自身のデータホルダーＩＤが含まれている場合（ステップＳ４９０３のＹＥＳ）、チェック処理部４３による依頼先チェックは正常終了し、チェック処理部４３は、更に、データホルダー集合の要素数をカウントする（ステップＳ４９０４）。
そして、チェック処理部４３は、データホルダー集合の要素数が関連付け上限数以下であるか否かを判定する（ステップＳ４９０５）。チェック処理部４３は、関連付け設定情報ＤＢ４ｋを参照し、対応表５ｃが指定する全ての識別子１で、上限数がデータホルダー集合の要素数未満を指定するか否かを判定する。対応表５ｃが指定する全ての識別子１で、データホルダー集合の要素数が関連付け上限数以下を指定する場合は、否定的判定となる。
データホルダー集合の要素数が関連付け上限数以下である場合（ステップＳ４９０５のＹＥＳ）、チェック処理部４３による上限チェックが正常終了する。即ち、関連付け設定情報ＤＢ４ｋにおいて、対応表５ｃが指定する識別子１のうち１つでも、データホルダー集合の要素数が関連付け上限数以下である場合に、上限チェックが正常終了する。
チェック処理部４３よるチェック処理が正常終了すると、仮ＩＤ生成部４４による仮ＩＤ生成処理が行われる（ステップＳ４９０６）。仮ＩＤ生成処理は、図２４で詳述される。仮ＩＤ生成処理によって、作業履歴データ４ｈｗ、販売設定情報テーブル４ｆ、識別子３リスト等が記憶部４３０に作成される。
仮ＩＤ生成処理の終了に応じて、仮名データ送信部４５は、仮名データ４ｐｄｔを作成して、仲介サーバ装置５ｔに送信する（ステップＳ４９０７）。仮名データ送信部４５は、作業履歴データ４ｈｗの識別子０及び識別子１を、販売設定情報テーブル４ｆと、識別子３リスト４ｇとを参照して、識別子３に置き換えて、仮名データ４ｐｄｔを記憶部４３０に作成する。仮名データ送信部４５は、作成した仮名データ４ｐｄｔを関連付け装置６ｔへ送信する。
一方、データホルダー集合に自身のデータホルダーＩＤが含まれていない場合（ステップＳ４９０３のＮＯ）、販売処理部４９は、購入依頼５ｒの却下を示すエラーを仲介サーバ装置５ｔへ送信し（ステップＳ４９０８）、この購入依頼処理を終了する。
また、データホルダー集合の要素数が関連付け上限数より大きい場合（ステップＳ４９０５のＮＯ）においても、同様に、販売処理部４９は、購入依頼５ｒの却下を示すエラーを仲介サーバ装置５ｔへ送信し（ステップＳ４９０８）、この購入依頼処理を終了する。
図２４は、仮ＩＤ生成部による仮ＩＤ生成処理を説明するためのフローチャート図である。図２４において、仮ＩＤ生成部４４は、上限チェックが肯定的判定（ステップＳ４９０５のＹＥＳ）であった識別子１を用いて、関連付け設定情報ＤＢ４ｋから、識別子０、鍵、上限数を取得して、販売設定情報テーブル４ｆを作成する（ステップＳ４４０１）。
仮ＩＤ生成部４４は、販売設定情報テーブル４ｆの全レコードに対して、識別子３を生成するステップＳ４４０２～Ｓ４４０４を行う。仮ＩＤ生成部４４は、販売設定情報テーブル４ｆから順にレコードを１つ選択する。
仮ＩＤ生成部４４は、選択したレコードに鍵が設定されているか否かを判定する（ステップＳ４４０２）。選択したレコードに鍵が設定されている場合（ステップＳ４４０２のＹＥＳ）、仮ＩＤ生成部４４は、レコードから鍵を取得し、取得した鍵と、購入依頼５ｒのデータホルダー集合と、識別子２とを用いて、鍵付きハッシュ関数によって識別子３を生成する（ステップＳ４４０３）。
一方、選択したレコードに鍵が設定されていない場合（ステップＳ４４０２のＮＯ）、仮ＩＤ生成部４４は、購入依頼５ｒのデータホルダー集合と、識別子２とを用いて、ハッシュ関数によって識別子３を生成する（ステップＳ４４０４）。
識別子３の生成に用いる識別子２は、選択したレコードの識別子０に対応する識別子１を関連付け設定情報ＤＢ４ｋから取得し、取得した識別子１に対応する識別子２を対応表５ｃから取得すればよい。
販売設定情報テーブル４ｆの全レコードに対して識別子２を生成すると、仮ＩＤ生成部４４は、識別子３リスト４ｇを記憶部４３０に出力し（ステップＳ４４０５）、この仮ＩＤ生成処理を終了する。
図２５は、仮名データ送信部による仮名データ送信処理を説明するためのフローチャート図である。図２５において、仮名データ送信部４５は、対応表５ｃで指定される識別子１のパーソナルデータを取得する（ステップＳ４５０１）。仮名データ送信部４５は、関連付け設定情報ＤＢ４ｋにおいて、対応表５ｃで指定される識別子１のレコードうち、パーソナルデータの提供を許可することを示すレコードの識別子０を抽出し、履歴データＤＢ４ｈから、抽出した識別子０に対応付けられる識別子１のレコードを抽出すればよい。
仮名データ送信部４５は、取得したパーソナルデータに識別子０と識別子１とを対応付けた作業履歴データ４ｈｗを作成する（ステップＳ４５０２）。
そして、仮名データ送信部４５は、作成した作業履歴データ４ｈｗの各レコードの識別子０と識別子１とを識別子３に置き換えて仮名データ４ｐｄｔを作成する（ステップＳ４５０３）。仮名データ送信部４５は、作業履歴データ４ｈｗの識別子０を用いて、販売設定情報テーブル４ｆのレコードＮｏ．を取得することで、識別子３リスト４ｇから識別子３の値を取得できる。仮名データ送信部４５は、作業履歴データ４ｈｗの識別子０と識別子１とを、取得した識別子３の値を仮ＩＤとして置き換える。
仮名データ送信部４５は、作成した仮名データ４ｐｄｔを関連付け装置６ｔへ送信する（ステップＳ５４０４）。仮名データ送信部４５は、購入依頼５ｒで指定される関連付け装置６ｔのアドレス情報を用いて、仮名データ４ｐｄｔを送信し、この仮名データ送信処理を終了する。
上述では、データホルダー装置４ｔのチェック処理部４３において、依頼先チェックと上限チェックとを行う機能構成で説明したが、チェック処理のうち上限チェックを仲介サーバ装置５ｔで行うようにしてもよい。
図２６は、データホルダー装置の第２の機能構成例を説明するための図である。図２６において、データホルダー装置４ｔ－２は、設定情報取得部４１と、識別子提供部４２と、依頼先チェック部４３－２と、仮ＩＤ生成部４４と、仮名データ送信部４５とを処理部として有する。処理部４１～４５は、データホルダー装置４ｔにインストールされたプログラムが、データホルダー装置４ｔのＣＰＵ４１１に実行させる処理により実現される。
第２の機能構成例におけるデータホルダー装置４ｔ－２は、第１の機能構成例における依頼先チェックと上限チェックとを行うチェック処理部４９と異なり、依頼先チェックのみを行う依頼先チェック部４９－２を有する。他の処理部については第１の機能構成例と同様である。
データホルダー装置４ｔ－２には、仲介サーバ装置５ｔによって、関連付け上限数以下のデータホルダー集合が作成されて、購入依頼５ｒが送信される。そのため、上限チェックは、データホルダー装置４ｔ－２では行われない。上限チェックが行われないこと以外は、第１の機能構成例と同様であるため、詳細な説明は省略する。
図２７は、仲介サーバ装置の第２の機能構成例を示す図である。図２７において、仲介サーバ装置５ｔは、対応表作成部５２と、検索部５５と、購入依頼処理部５６とを処理部として有する。処理部５２及び５６は、仲介サーバ装置５ｔにインストールされたプログラムが、仲介サーバ装置５ｔのＣＰＵ５１１に実行させる処理により実現される。
記憶部５３０には、対応表５ｃ、検索条件６ｃｎ、検索結果６ｃｒ、データホルダー情報テーブル５ｉｄ－２、購入依頼５ｒ等が記憶される。
仲介サーバ装置５ｔの第１の機能構成と異なる部分のみ説明し、同様の内容の説明は省略する。仲介サーバ装置５ｔは、第１の機能構成と異なり、検索部５５を有する。
検索部５５は、関連付け装置６ｔから検索条件６ｃｎを受信すると、検索条件を満たすデータホルダー集合を全て取得し、検索結果６ｃｒを作成して関連付け装置６ｔに表示する。検索部５５による検索処理の詳細は、図２８で説明する。検索結果６ｃｒに基づいてなされたデータ購入者６ｕの選択に基づいて、購入依頼処理部５６は、購入依頼６ｒを作成し、データホルダー装置４ｔに送信する。
第２の機能構成では、データホルダー情報テーブル５ｉｄ－２が第２の機能構成とは異なっている。
データホルダー情報テーブル５ｉｄ－２には、第１の機能構成における項目に加えて項目リストを含んでいる。項目リストは、各データホルダー装置４ｔが管理するパーソナルデータの項目名の一覧を示す。項目リストは、データホルダー装置４ｔの登録時に取得すればよい。
図２８は、検索部による検索処理について説明するためのフローチャート図である。図２８において、検索部５５は、関連付け装置６ｔから検索条件６ｃｎを受信すると（ステップＳ５５０１）、検索条件６ｃｎを満たすデータホルダー数をＮとする（ステップＳ５５０２）。検索部５５は、上限値ｍを２に初期設定し、（ステップＳ５５０３）、ステップＳ５５０４～Ｓ５５０６までの組み合せ検索を、データホルダー数Ｎより大きくなるまで繰り返して行う。
検索部５５は、データホルダー情報テーブル５ｈｉｄ－２を参照して、検索条件６ｃｎを満たすデータホルダーＩＤからｍ個取り出す組み合せを作成する（ステップＳ５５０４）。検索部５５は、データホルダー情報テーブル５ｈｉｄ－２の項目リストを参照して、検索条件６ｃｎを満たすデータホルダーＩＤを特定し、特定したデータホルダーＩＤを用いて、ｍ個取り出す組み合せを全て作成する。
検索部５５は、組み合せごとに、組み合せられた全てのデータホルダー装置４ｔでパーソナルデータを有し、かつ、関連付け上限数が上限値ｍ以上である、由来者３ｕの数を求める（ステップＳ５５０５）。検索部５５は、データホルダー装置４ｔごとの対応表５ｃのレコード数から由来者３ｕの数を得て、データホルダーＩＤの組み合せと、得られる項目名と、由来者３ｕの数（レコード数）とを記憶部５３０に記憶する。
全ての組み合せに対して、由来者３ｕの数を求めると、検索部５５は、上限値ｍを１インクリメントして（ステップＳ５５０６）、検索部５５は、１インクリメントした上限値ｍがデータホルダー数Ｎを超えるまで、ステップＳ５５０４から、上述した処理を繰り返す。
１インクリメントした上限値ｍがデータホルダー数Ｎを超えると、検索部５５は、上述した組み合せ検索を終了する。そして、検索部５５は、記憶部５３０を参照して、上述の処理により得られた、組み合せごとの、データホルダーＩＤの組み合せと、得られる項目名と、由来者３ｕの数（レコード数）とから、検索結果を作成し、関連付け装置６ｔに表示し（ステップＳ５５０７）、この検索処理を終了する。
図２９は、検索結果の画面例を示す図である。図２９では、関連付け装置６ｔのデータ購入者６ｕは、「病名 AND 不整脈」で検索した検索結果の画面Ｇ９０を示している。画面Ｇ９０は、表示領域９０ａと、第１選択領域９０ｂと、第２選択領域９０ｃと、購入ボタン９０ｄとを有する。
表示領域９０ａは、データ購入者６ｕが設定した検索条件を表示する領域である。第１選択領域９０ｂは、単一組織からパーソナルデータを購入するための選択領域である。第２選択領域９０ｃは、２以上の組織のパーソナルデータを購入するための選択領域である。
第１選択領域９０ｂでは、チェックボックス、事業者、属性、レコード数、レコード単価、総額等の項目を有するテーブルが表示される。データ購入者６ｕは、事業者、属性、レコード数、レコード単価、総額等の情報を参考にして、パーソナルデータを購入する事業者をチェックボックスにチェックして選択する。
第２選択領域９０ｃでも、同様に、チェックボックス、事業者、属性、レコード数、レコード単価、総額等の項目を有するテーブルが表示される。第１選択領域９０ｂとは異なり、事業者では、２以上の組織名が示される。データ購入者６ｕは、事業者、属性、レコード数、レコード単価、総額等の情報を参考にして、パーソナルデータを購入する事業者をチェックボックスにチェックして選択する。
購入ボタン９０ｄは、データ購入者６ｕの押下に応じて、購入依頼処理部５６に、データ購入者６ｕの選択情報に基づいて、購入依頼６ｒを仲介サーバ装置５ｔに送信させるボタンである。
上述したように、本実施例では、２以上のデータホルダー装置４ｔから同一個人（由来者３ｕ）のパーソナルデータのレコードを関連付ける場合に、パーソナルデータの購入先のデータホルダー装置４ｔの数を制限することができる。
本実施例において、仮ＩＤ（識別子３）は取引ＩＤの一例に相当し、購入依頼６ｒ及び購入依頼５ｒは、パーソナルデータの提供を依頼する提供依頼の一例に相当する。
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、主々の変形や変更が可能である。
以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて取引ＩＤを生成するＩＤ生成部と、
前記パーソナルデータを保有する記憶部と、
前記記憶部が保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する送信部と、
を有することを特徴とする情報提供装置。
（付記２）
前記提供依頼に含まれる保有者の識別子の前記組み合せに、自身の識別子が含まれているか否かを判断し、前記組み合せに前記自身の識別子が含まれている場合、前記取引ＩＤを生成し、前記組み合せに前記自身の識別子が含まれていない場合、エラーを送信するチェック処理部
を有することを特徴とする付記１記載の情報提供装置。
（付記３）
前記組み合せに含まれる前記保有者の識別子の数が閾値以下であるか否かを判断し、前記数が前記閾値以下である場合、前記取引ＩＤを生成し、前記数が前記閾値より大きい場合、エラーを送信するチェック処理部を有することを特徴とする付記１記載の情報提供装置。
（付記４）
前記保有者の識別子の数が閾値以下であるか否かの判断は、前記提供依頼に含まれる保有者の識別子の前記組み合せに自身の識別子が含まれている場合に行われる
ことを特徴とする付記３記載の情報提供装置。
（付記５）
データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて取引ＩＤを生成し、
記憶部に保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
処理をコンピュータに行わせる情報提供プログラム。
（付記６）
データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて取引ＩＤを生成し、
記憶部に保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
処理をコンピュータが行う情報提供方法。
（付記７）
検索条件の受信に応じて、記憶部に記憶された複数のデータホルダー装置のそれぞれが保持するパーソナルデータの項目名を参照して、前記検索条件を満たすデータホルダー装置を特定し、
特定したデータホルダー装置から閾値以下で選択した組み合せの１つを指定したパーソナルデータの提供依頼を作成し、作成した提供依頼を組み合わせたそれぞれの依頼先装置へ送信する
処理をコンピュータが行う情報提供方法。
（付記８）
パーソナルデータの依頼元装置及びパーソナルデータを保有する依頼先装置を有する情報提供システムにおいて、
パーソナルデータの依頼元装置は、
検索条件の受信に応じて、記憶部に記憶された複数のデータホルダー装置のそれぞれが保持するパーソナルデータの項目名を参照して、前記検索条件を満たすデータホルダー装置を特定し、
特定したデータホルダー装置から閾値以下で選択した組み合せの１つを指定したパーソナルデータの提供依頼を作成し、作成した提供依頼を組み合わせたそれぞれの依頼先装置へ送信し、
パーソナルデータを保有する依頼先装置は、
データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先装置の識別子の組み合せとに基づいて取引ＩＤを生成し、
前記パーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
情報提供システム。
３ｔ ユーザ端末
３ｕ 由来者
４ｔ データホルダー装置
４ｕ データホルダー
５ｔ 仲介サーバ装置
５ｕ 仲介者
６ｔ 関連付け装置
６ｕ データ購入者
６ｓ 事業システム
４１ 設定情報取得部
４２ 識別子提供部
４３ チェック処理部
４３－２ 依頼先チェック部
４４ 仮ＩＤ生成部
４５ 仮データ送信部
４９、４９－２ 販売処理部
５２ 対応表作成部
５５ 検索部
５６ 購入依頼部

Claims (8)

  1. データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて、前記組み合せに含まれる前記提供依頼が含む保有者の識別子の数が閾値以下である場合に、取引ＩＤを生成するＩＤ生成部と、
    前記パーソナルデータを保有する記憶部と、
    前記記憶部が保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する送信部と、
    を有することを特徴とする情報提供装置。
  2. 前記提供依頼に含まれる保有者の識別子の前記組み合せに、自身の識別子が含まれているか否かを判断し、前記組み合せに前記自身の識別子が含まれている場合、前記取引ＩＤを生成し、前記組み合せに前記自身の識別子が含まれていない場合、エラーを送信するチェック処理部を有することを特徴とする請求項１記載の情報提供装置。
  3. 前記組み合せに含まれる前記保有者の識別子の数が閾値以下であるか否かを判断し、前記数が前記閾値より大きい場合、エラーを送信するチェック処理部を有することを特徴とする請求項１記載の情報提供装置。
  4. 前記保有者の識別子の数が閾値以下であるか否かの判断は、前記提供依頼に含まれる保有者の識別子の前記組み合せに自身の識別子が含まれている場合に行われる
    ことを特徴とする請求項３記載の情報提供装置。
  5. データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて、前記組み合せに含まれる前記提供依頼が含む保有者の識別子の数が閾値以下である場合に、取引ＩＤを生成し、
    記憶部に保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
    処理をコンピュータに行わせる情報提供プログラム。
  6. データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先の各パーソナルデータの保有者の識別子の組み合せとに基づいて、前記組み合せに含まれる前記提供依頼が含む保有者の識別子の数が閾値以下である場合に、取引ＩＤを生成し、
    記憶部に保有するパーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
    処理をコンピュータが行う情報提供方法。
  7. 検索条件の受信に応じて、記憶部に記憶された複数のデータホルダー装置のそれぞれが保持するパーソナルデータの項目名を参照して、前記検索条件を満たすデータホルダー装置を特定し、
    特定したデータホルダー装置から、関連付けるパーソナルデータの上限数以下で選択した組み合せの１つを指定したパーソナルデータの提供依頼を作成し、作成した提供依頼を組み合わせたそれぞれの依頼先装置へ送信する
    処理をコンピュータが行う情報提供方法。
  8. パーソナルデータの依頼元装置及びパーソナルデータを保有する依頼先装置を有する情報提供システムにおいて、
    パーソナルデータの依頼元装置は、
    検索条件の受信に応じて、記憶部に記憶された複数のデータホルダー装置のそれぞれが保持するパーソナルデータの項目名を参照して、前記検索条件を満たすデータホルダー装置を特定し、
    特定したデータホルダー装置から、関連付けるパーソナルデータの上限数以下で選択した組み合せの１つを指定したパーソナルデータの提供依頼を作成し、作成した提供依頼を組み合わせたそれぞれの依頼先装置へ送信し、
    パーソナルデータを保有する依頼先装置は、
    データ由来者に関するパーソナルデータの提供依頼の受信に応答して、前記提供依頼に含まれる、前記データ由来者の識別子と、２以上の依頼先装置の識別子の組み合せとに基づいて、前記組み合せに含まれる前記提供依頼が含む保有者の識別子の数が閾値以下である場合に、取引ＩＤを生成し、
    前記パーソナルデータを取引ＩＤに対応付けて、前記取引ＩＤが対応付けられたパーソナルデータを利用する装置に提供する
    情報提供システム。
JP2018008423A 2018-01-22 2018-01-22 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム Active JP6996313B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2018008423A JP6996313B2 (ja) 2018-01-22 2018-01-22 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム
US16/252,171 US20190228180A1 (en) 2018-01-22 2019-01-18 Apparatus, method, and system for providing informati0n and storage medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018008423A JP6996313B2 (ja) 2018-01-22 2018-01-22 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム

Publications (2)

Publication Number Publication Date
JP2019128681A JP2019128681A (ja) 2019-08-01
JP6996313B2 true JP6996313B2 (ja) 2022-02-04

Family

ID=67300125

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018008423A Active JP6996313B2 (ja) 2018-01-22 2018-01-22 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム

Country Status (2)

Country Link
US (1) US20190228180A1 (ja)
JP (1) JP6996313B2 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113544726A (zh) * 2019-03-11 2021-10-22 株式会社博报堂Dy控股集团 中介装置、系统以及计算机程序
JP6944070B2 (ja) * 2019-10-15 2021-10-06 株式会社博報堂Ｄｙホールディングス 仲介装置、システム及びコンピュータプログラム
EP4053780A4 (en) * 2019-10-31 2023-01-11 Osaka University PERSONAL DATA DISTRIBUTION MANAGEMENT SYSTEM AND CORRESPONDING METHOD
RU2736166C1 (ru) * 2020-04-17 2020-11-12 Общество с ограниченной ответственностью "МКС" Способ идентификации онлайн-пользователя и его устройства в приложении

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001290956A (ja) 2000-03-31 2001-10-19 Hewlett Packard Co <Hp> 個人情報を販売するための方法
JP2004318391A (ja) 2003-04-15 2004-11-11 Mitsubishi Electric Corp 情報提供装置及び情報提供システム及び分散データベースシステム
JP2005025663A (ja) 2003-07-02 2005-01-27 Nec Corp 個人情報提供仲介システム
US20100169980A1 (en) 2008-12-29 2010-07-01 Samsung Electronics Co., Ltd. Personal information providing apparatus and method
WO2012046670A1 (ja) 2010-10-05 2012-04-12 日本電気株式会社 個人情報送受信システム、個人情報送受信方法、個人情報提供装置、プリファレンス管理装置、およびコンピュータ・プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7357312B2 (en) * 1998-05-29 2008-04-15 Gangi Frank J System for associating identification and personal data for multiple magnetic stripe cards or other sources to facilitate a transaction and related methods
US7539644B2 (en) * 2007-03-08 2009-05-26 Softroute Corporation Method of processing online payments with fraud analysis and management system

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001290956A (ja) 2000-03-31 2001-10-19 Hewlett Packard Co <Hp> 個人情報を販売するための方法
JP2004318391A (ja) 2003-04-15 2004-11-11 Mitsubishi Electric Corp 情報提供装置及び情報提供システム及び分散データベースシステム
JP2005025663A (ja) 2003-07-02 2005-01-27 Nec Corp 個人情報提供仲介システム
US20100169980A1 (en) 2008-12-29 2010-07-01 Samsung Electronics Co., Ltd. Personal information providing apparatus and method
WO2012046670A1 (ja) 2010-10-05 2012-04-12 日本電気株式会社 個人情報送受信システム、個人情報送受信方法、個人情報提供装置、プリファレンス管理装置、およびコンピュータ・プログラム

Also Published As

Publication number Publication date
US20190228180A1 (en) 2019-07-25
JP2019128681A (ja) 2019-08-01

Similar Documents

Publication Publication Date Title
JP6996313B2 (ja) 情報提供装置、情報提供プログラム、情報提供方法、及び情報提供システム
US11356430B1 (en) Storage and maintenance of personal data
US11074639B2 (en) Cloud-based item storage system
US8874909B2 (en) System and method of storing data
EP3195106B1 (en) Secure storage and access to sensitive data
US20170249592A1 (en) System and method for automatically filling out forms
US8522358B2 (en) Universal identity service avatar ecosystem
US20140068706A1 (en) Protecting Assets on a Device
US12120238B2 (en) Secure digital information infrastructure
WO2017154620A1 (ja) 個人情報提供システム及びプログラム
EP3295388A1 (en) Computer-implemented tracking mechanism and data management
US20130152155A1 (en) Providing user attributes to complete an online transaction
US12074979B2 (en) Secure digital information infrastructure
US20210409216A1 (en) System and method for providing controlled access to personal information
AU2019293106A1 (en) Personal information analysis system and personal information analysis method
US20210398143A1 (en) Systems and methods for public-facing accreditation using financial instituion data
CN112632004A (zh) 基于行为数据采集的用户身份识别方法及装置
US20210133760A1 (en) Multi-factor authentication for business to consumer transactions
JP2023022437A (ja) サーバ、情報処理方法、及びプログラム
JP6685118B2 (ja) 個人情報保護・利用サーバ
Alwabel Privacy issues in big data from collection to use
US20240242166A1 (en) Address Identification System
JP2015225446A (ja) 個人情報処理装置、受託サービス提供装置、個人情報処理方法、および個人情報処理プログラム
JP7093487B1 (ja) 製品管理システム
US11995210B2 (en) Identity vault system using distributed ledgers for event processing

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20201008

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210827

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210907

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20211029

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211116

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211129

R150 Certificate of patent or registration of utility model

Ref document number: 6996313

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150