JP7057969B2 - 管理システム及び管理方法 - Google Patents

Description

本発明は、利用者の個人情報を管理する管理システムに関する。

従来から特許文献１に提案されているように、利用者の位置情報と利用者の個人情報（医療情報）とを管理する管理システム（以下、「従来システム」と称呼する。）が知られている。より詳細には、特許文献１では、利用者の携帯端末（利用者端末）が、位置情報及び時刻情報を含む時空タグと端末ＩＤとを所定時間が経過する毎に送信し、地域医療データバンクシステムが端末ＩＤ毎に時空タグを記憶しておく。一方、医療機関には医療情報（個人情報）を取得する端末装置（個人情報取得装置）が設置されており、この端末装置は、ＮＦＣ（Near Field Communication）機能を用いて携帯端末から直近の時空タグを取得し、医療情報に時空タグを付加して地域医療データバンクシステムに送信する。地域医療データバンクシステムは、携帯端末から送信された時空タグと端末装置から送信された時空タグとの突き合わせ（照合）を行うことによって、利用者毎の医療情報を集約することができる。

特開２０１５－９９５５８号公報（段落００３３、００４５及び０１７２等を参照。）

従来から利用者毎に個人情報を集約して管理したいという要望がある。個人情報に含まれる利用者特定情報（「氏名及び生年月日」又はマイナンバー等）をキーとして、利用者毎に個人情報を集約することが考えられる。しかし、氏名及び生年月日が同一の異なる利用者が存在する可能性もある。更に、マイナンバーは、同一のマイナンバーが重複して複数の人に付与されていた事案等も知られている。従って、個人情報に含まれる利用者特定情報は、「必ずしも一意に利用者を特定できない」という問題点がある。

そこで、上述した従来システムは、利用者の位置情報及び時刻情報（時空タグ）の履歴をキーにして個人情報の利用者を特定する。しかしながら、従来システムでは、携帯端末が時空タグを送信するので、携帯端末の位置情報取得機能を常に有効に設定していなければならず、更に、携帯端末側で位置情報が改ざんされるおそれがある。

更に、従来システムの個人情報取得装置が時空タグを付加して個人情報を送信するため、既存の個人情報取得装置に何らかの変更が必要となり、これが、医療機関等が従来システムを導入することの足かせとなる可能性がある。

本発明は上述した課題に対処するためになされたものである。即ち、本発明の目的の一つは、既存の個人情報取得装置に変更を加えず且つ利用者端末に位置情報を取得させずに、正確に同一人の個人情報と位置情報とを紐付ける管理システムを提供することにある。

本発明の管理システム（以下、「本システム」とも呼称する。）は、
前記利用者の個人情報を取得し、前記個人情報が取得された時刻を示す取得時刻及び前記個人情報が取得された場所を特定可能な場所特定情報を含めて個人情報を送信する個人情報取得装置（３０）と、
前記利用者の個人情報が取得される場合に前記個人情報取得装置と対応する場所に少なくとも位置し、自身の位置を示す位置情報を送信する位置情報送信装置（１０）と、
前記個人情報を受信し、前記受信した個人情報を記憶する個人情報記憶部（７１）と、
前記位置情報を受信し、前記受信した位置情報を記憶する位置情報記憶部（７２）と、
前記個人情報と前記位置情報とを紐付けて管理する管理部（８０）と、を備え、
前記位置情報送信装置は、
前記個人情報取得装置によって前記利用者の前記個人情報が取得される場合、前記利用者が利用する利用者端末（２０）の一意な識別子を示す端末識別子（端末ＩＤ）を取得し（６３５及び６６０）、前記取得した端末識別子を前記位置情報とともに送信し（６４０及び６６５）、
前記管理部は、
前記個人情報に含まれる場所特定情報及び前記取得時刻と前記位置情報及び前記位置情報の送信時刻とが所定の一致条件を満たす場合、前記個人情報と前記位置情報とを紐付ける（６９５）。

本システムは、「個人情報に含まれる場所特定情報及び取得時刻」と「位置情報及び位置情報の送信時刻」とが一致条件を満たす場合、個人情報が取得された利用者と、位置情報が示す位置に位置していた利用者とは、個人情報が取得された場所に同じ時刻に存在しているため、同一人であると判断し、一致条件を満たす個人情報と位置情報とを紐付ける。従って、場所と時刻とをキーにして個人情報と位置情報とを紐付けることができる。これによれば、個人情報に含まれる利用者特定情報（「氏名及び生年月日」並びにマイナンバー等）によらずに、個人情報と位置情報とを紐付けることができ、より正確に同一人毎に個人情報を集約することができる。

更に、本システムでは、既存の個人情報に含まれる場所特定情報及び取得時刻を用いて個人情報と位置情報とを紐付けるので、既存の個人情報取得装置をそのまま用いることができ、既存の個人情報取得装置に変更を加える必要はない。

更に、本システムでは、利用者が利用する利用者端末は位置情報を送信せずに位置情報送信装置が位置情報を送信するため、利用者端末の位置情報取得機能を無効に設定しておいてもよいし、利用者端末側で位置情報が改ざんされるおそれもない。

本発明の一態様において、
前記位置情報送信装置は、
前記個人情報取得装置によって前記利用者の前記個人情報が取得される前に（６５０及び６７５）、前記端末識別子を取得し（６３５及び６６０）、前記取得した端末識別子を前記位置情報とともに送信し（６４０及び６６５）、
前記管理部は、
前記個人情報に含まれる場所特定情報によって特定される場所と前記位置情報が示す位置とが対応し（条件Ａ）、且つ、前記個人情報の取得時刻が前記位置情報の送信時刻の後で当該送信時刻に最も近い場合（条件Ｂ）、前記個人情報と前記位置情報とが前記一致条件を満たすと判定する。

これによって、個人情報が取得された場所に個人情報が取得された時刻に位置していた利用者の位置情報と当該個人情報とをより正確に紐付けることができる。

本発明の一態様において、
前記位置情報送信装置は、
前記個人情報取得装置によって前記利用者の前記個人情報が取得された後に（６５０及び６７５）、前記端末識別子を取得し（６３５及び６６０）、前記取得した端末識別子を前記位置情報とともに送信し（６４０及び６６５）、
前記管理部は、
前記個人情報に含まれる場所特定情報によって特定される場所と前記位置情報が示す位置とが対応し（条件Ａ）、且つ、前記個人情報の取得時刻が前記位置情報の送信時刻の前で当該送信時刻に最も近い場合（条件Ｂ）、前記個人情報と前記位置情報とが前記一致条件を満たすと判定する。

これによって、個人情報が取得された場所に個人情報が取得された時刻に位置していた利用者の位置情報と当該個人情報とをより正確に紐付けることができる。

本発明の一態様において、
前記位置情報送信装置は、前記利用者端末と前記位置情報送信装置との間の距離が所定距離以内となったとき、前記端末識別子を取得し（６３５及び６６０）、前記取得した端末識別子と前記位置情報とを送信する（６４０及び６６５）。

これにより、位置情報送信装置が位置情報を送信するためには、利用者端末と位置情報送信装置との間の距離が所定距離以内となる必要があるので、利用者は、位置情報装置から所定距離以内に位置することになる。これによって、位置情報が、利用者の位置をより正確に示すことができる。

本発明の一態様において、
前記位置情報送信装置が前記位置情報の送信時刻を前記位置情報に含めて送信し、前記位置情報に含まれる送信時刻を前記位置情報の送信時刻として用いるか、又は、前記位置情報送信装置が前記位置情報の送信時刻を送信せずに前記位置情報記憶部が前記位置情報を受信した時刻を前記位置情報の送信時刻として用いる。

これによって、位置情報送信装置が正確な時刻情報を管理していない場合、即ち、複数の位置情報送信装置間で時刻情報が同期されていない可能性がある場合、位置情報記憶部が位置情報を受信した時刻を位置情報の送信時刻として用いることができるので、時刻情報が同期されていない複数の位置情報送信装置から送信された位置情報の送信時刻を同期することができる。

本発明の一態様において、
前記個人情報に含まれる項目のデータ位置は、前記個人情報の種別によって異なり、
前記位置情報送信装置は、自身と対応する場所に位置する個人情報取得装置が取得する前記個人情報の種別を特定可能な種別特定情報（装置ＩＤ又は種別情報）を前記位置情報に含めて送信する。

これによって、種別によって項目のデータ位置が異なる個人情報全体を検索せずに、位置情報に含まれる種別特定情報を参照するだけで、個人情報の所望の項目のデータ位置を特定することができる。そして、個人情報のそのデータ位置からデータを取得することによって所望の項目を取得できるので、個人情報の所望の項目を取得する際の処理負荷を軽減することができる。

本発明の一態様において、
前記管理部は、
前記位置情報に含まれる前記種別特定情報を参照し、前記個人情報に含まれる場所特定情報及び前記取得時刻のデータ位置を特定し、
前記特定したデータ位置から読み出したデータをそれぞれ前記場所特定情報及び前記取得時刻として用いて、前記個人情報と前記位置情報とが前記一致条件を満たすか否かを判定する（６９５）。

これによって、種別によって項目のデータ位置が異なる個人情報全体を検索せずに、位置情報に含まれる種別特定情報を参照するだけで、個人情報の場所特定情報及び取得時刻のデータ位置を特定できるので、管理部による紐付け処理の処理負荷を軽減できる。

なお、上記説明においては、発明の理解を助けるために、後述する実施形態に対応する発明の構成に対し、その実施形態で用いた名称及び／又は符号を括弧書きで添えている。しかしながら、発明の各構成要素は、前記名称及び／又は符号によって規定される実施形態に限定されるものではない。本発明の他の目的、他の特徴及び付随する利点は、以下の図面を参照しつつ記述される本発明の実施形態についての説明から容易に理解されるであろう。

図１は、本発明の実施形態に係る管理システム（本システム）の概略システム構成図である。 図２は、図１に示した個人情報データベース（ＤＢ）の説明図である。 図３は、図１に示した対応関係情報データベース（ＤＢ）の説明図である。 図４は、図１に示した位置情報データベース（ＤＢ）の説明図である。 図５は、図１に示した管理サーバのハードウェア構成図である。 図６は、図１に示す管理システムのシーケンス図である。 図７は、本システムの第１変形例の種別情報データベース（ＤＢ）の説明図である。 図８は、本システムの第１変形例の位置情報ＤＢの説明図である。 図９は、本システムの第２変形例の概略システム構成図である。

以下、本発明の実施形態に係る管理システム（以下、「本システム」と称呼する場合がある。）について図面を用いて説明する。

＜システム構成＞
本システムは、位置情報送信装置１０Ａ乃至１０Ｃ、利用者端末２０、個人情報取得装置３０Ｂ及び３０Ｃ、履歴記憶サーバ４０、個人情報記憶サーバ５０、認証サーバ６０、位置情報記憶サーバ７０並びに管理サーバ８０を備える。位置情報送信装置１０Ａ乃至１０Ｃを区別する必要がない場合、「位置情報送信装置１０」と総称する。個人情報取得装置３０Ｂ及び３０Ｃを区別する必要がない場合、「個人情報取得装置３０」と総称する。

位置情報送信装置１０、個人情報取得装置３０及び履歴記憶サーバ４０は、病院及び薬局等の医療機関に設置されている。図１に示す例では、これらがＡ病院に設置された例について説明する。図１に示すように、Ａ病院では、受付に位置情報送信装置１０Ａが設置され、診察室に位置情報送信装置１０Ｂ及び個人情報取得装置３０Ｂが設置され、検査室（例えば、レントゲン室等）に位置情報送信装置１０Ｃ及び個人情報取得装置３０Ｃが設置されている。

位置情報送信装置１０はネットワークＮＷを介して認証サーバ６０及び位置情報記憶サーバ７０に接続されている。更に、個人情報取得装置３０はＬＡＮ（Local Area Network）を介して履歴記憶サーバ４０に接続されている。履歴記憶サーバ４０は、専用回線ＥＵＬを介して個人情報記憶サーバ５０に接続されている。

まず、位置情報送信装置１０について説明する。
位置情報送信装置１０は、所定時間が経過する毎に自身の位置を取得し、取得した自身の位置を設定する。位置情報送信装置１０による位置の取得方法の例としては、位置情報送信装置１０が図示しないＧＰＳ衛星からの測位信号を受信し、受信した測位信号に基づいて自身の位置を取得する方法と、位置情報送信装置１０が図示しないＩＭＥＳ（Indoor Messaging System）送信機からの測位信号を受信し、受信した測位信号に基づいて自身の位置を取得する方法とがある。しかし、位置情報送信装置１０による位置の取得方法はこれらに限定されない。位置情報送信装置１０は、所定時間が経過する毎に位置を取得せずとも、予め設定された位置を保持し続けてもよい。

位置情報送信装置１０は、利用者が利用する利用者端末２０が接近させられ、利用者端末２０との距離が所定距離以内となったとき、利用者端末２０に予め記憶されている当該利用者端末２０の一意な識別子を示す端末ＩＤ（以下、「端末識別子」と称呼する場合もある。）を取得する。更に、位置情報送信装置１０は、端末ＩＤの取得後、取得した端末ＩＤと自身に設定されている位置を示す位置情報とを含む認証要求を認証サーバ６０に送信する。

ここで、利用者端末２０について説明する。利用者端末２０は利用者が携帯する端末であり、ＮＦＣ（Near Field Communication）機能を有する。ＮＦＣ機能は、「ＮＦＣ機能を有する他の端末」との間の距離が所定距離以内に接近したときに、データを送受信する機能である。図１では、利用者端末２０としてスマートフォンを例示しているが、端末ＩＤを記憶し且つＮＦＣ機能を有する装置であればよく、例えば、ＩＣ（Integrated Circuit）カード等であってもよい。

認証サーバ６０は、認証要求を受信した場合、後述する認証処理を実行する。そして、認証サーバ６０は、認証が成功したか否かを示す認証応答を位置情報送信装置１０に送信する。

位置情報送信装置１０は、認証応答を受信し、受信した認証応答が「認証が成功したことを示す」場合、取得した端末ＩＤと自身に設定された位置情報とを含む利用者位置情報を位置情報記憶サーバ７０に送信する。なお、受信した認証応答が「認証が失敗したことを示す」場合の位置情報送信装置１０の処理については後述する。

以上のように、位置情報送信装置１０は、利用者端末２０と自身との間の距離が所定距離以内となったときに、利用者端末２０から端末ＩＤを取得し、認証要求を認証サーバ６０に送信する。そして、位置情報送信装置１０は、認証が成功したことを示す認証応答を受信した場合、取得した端末ＩＤと自身に設定された位置情報と含む利用者位置情報を送信する。

次に、個人情報取得装置３０について説明する。
個人情報取得装置３０は、利用者の個人情報を取得し、取得した個人情報を履歴記憶サーバ４０に送信する装置である。図１に示すように、診察室に設置された個人情報取得装置３０Ｂは、利用者（患者）に施された医療行為を示す明細データの入力を医師から受け付けることによって、利用者の個人情報（明細データ）を取得する。更に、検査室に設置された個人情報取得装置３０Ｃは、利用者（患者）の検査データを取得する。検査データの例としては、Ｘ線を用いて利用者の身体を撮影したレントゲン画像データ及びＭＲＩ装置によって取得されたＭＲＩデータ等がある。しかし、検査データはこれらに限定されない。

個人情報取得装置３０が取得する個人情報は、少なくとも、当該個人情報が取得された時刻を示す取得時刻及び当該個人情報を取得した場所を特定可能な場所特定情報を含む。場所特定情報は、例えば、個人情報に含まれる医療機関の一意な識別子及び個人情報を取得した個人情報取得装置３０の一意な識別子である。個人情報取得装置３０の一意な識別子の代わりに個人情報の種別を用いてもよい。図１においては、個人情報の種別が明細データであれば、当該個人情報が取得された場所は診察室であると特定され、個人情報の種別が検査データであれば、当該個人情報が取得された場所は検査室であると特定される。

更に、個人情報は、利用者個人を特定可能な利用者特定情報を含む。利用者特定情報は、「利用者の氏名及び生年月日」、利用者の診察券番号、及び／又は利用者のマイナンバー等であればよい。

なお、個人情報においては、個人情報の種別毎にデータフォーマットが異なる傾向があり、個人情報に含まれる各項目のデータ位置が異なる傾向がある。例えば、図１に示す明細データと検査データとでは、利用者特定情報、場所特定情報、取得時刻及びその他のデータ位置がそれぞれ異なる。

次に、履歴記憶サーバ４０について説明する。
履歴記憶サーバ４０は、個人情報取得装置３０から個人情報を受信した場合、受信した個人情報に含まれる利用者特定情報を参照し、受信した個人情報を利用者毎に記憶する。このように記憶された利用者毎の個人情報を「利用者履歴データ４１」と称呼する。

履歴記憶サーバ４０は、前回利用者履歴データ４１が送信されてから現時点までに記憶された総ての利用者履歴データ４１を暗号化した月次データを、月に一度、専用回線ＥＵＬを介して個人情報記憶サーバ５０に送信する。

次に、個人情報記憶サーバ５０を説明する。
個人情報記憶サーバ５０は、履歴記憶サーバ４０から送信された月次データを受信した場合、受信した月次データを個人情報データベース（以下、「個人情報ＤＢ」と称呼する。）５１に記憶する。より詳細には、個人情報記憶サーバ５０は、月次データに含まれる一つの個人情報を個人情報ＤＢ５１の一つのレコードに記憶する。個人情報ＤＢ２１は、図２に示すように、レコードＩＤ２１１、個人情報２１２及びリンクＩＤ２１３を含む。レコードＩＤ２１１には、個人情報ＤＢ２１の各レコードの一意な識別子が登録される。個人情報２１２には、個人情報記憶サーバ５０が受信した個人情報が暗号化されたまま登録される。リンクＩＤ２１３には、後述する位置情報データベース（以下、「位置情報ＤＢ」と称呼する。）７１の「個人情報と紐付けられた位置情報が登録されたレコード」の一意な識別子が登録される。

次に、認証サーバ６０を説明する。
認証サーバ６０は、図３に示す対応関係情報データベース（ＤＢ）６１を記憶している。対応関係情報ＤＢ６１には、端末ＩＤと「当該端末ＩＤによって識別される利用者端末２０を利用する利用者の利用者特定情報」との対応関係が登録されている。より詳細には、対応関係情報ＤＢ６１には、図３に示すように、端末ＩＤ６１１及び利用者特定情報６１２を含む。端末ＩＤ６１１には利用者端末２０の端末ＩＤが登録され、利用者特定情報６１２には利用者特定情報が登録される。

認証サーバ６０は、位置情報送信装置１０から送信された認証要求を受信した場合、受信した認証要求に含まれる端末ＩＤが対応関係情報ＤＢ６１に登録されているか否かを判定する。受信した認証要求に含まれる端末ＩＤが対応関係情報ＤＢ６１に登録されている場合、受信した認証要求に含まれる端末ＩＤと当該端末ＩＤによって識別される利用者端末２０の利用者の利用者特定情報との対応関係が対応関係情報ＤＢ６１に登録されていることを意味する。この場合、認証サーバ６０は、認証が成功したことを示す認証応答を位置情報送信装置１０に送信する。

一方、受信した認証要求に含まれる端末ＩＤが対応関係情報ＤＢ６１に登録されていない場合、受信した認証要求に含まれる端末ＩＤと当該端末ＩＤによって識別される利用者端末２０の利用者の利用者特定情報との対応関係が対応関係情報ＤＢ６１に登録されていないことを意味する。この場合、認証サーバ６０は、認証が失敗したことを示す認証応答を位置情報送信装置１０に送信する。

位置情報送信装置１０は、認証が成功したことを示す認証応答を受信した場合、上述したとおり、位置情報と端末ＩＤとを含む利用者位置情報を位置情報記憶サーバ７０に送信する。一方、位置情報送信装置１０は、認証が失敗したことを示す認証応答を受信した場合、利用者特定情報の入力を受け付ける。そして、位置情報送信装置１０は、利用者特定情報の入力を受け付けた場合、入力を受け付けた利用者特定情報と端末ＩＤとを含む更新要求を、認証サーバ６０に送信する。

認証サーバ６０は、更新要求を受信した場合、受信した更新要求に含まれる利用者特定情報と端末ＩＤとの対応関係を対応関係情報ＤＢ６１に登録し、更新応答を位置情報送信装置１０に送信する。位置情報送信装置１０は、更新応答を受信した場合、再度認証要求を認証サーバ６０に送信する。この場合、認証が成功するので、認証サーバ６０は、認証が成功したことを示す認証応答を位置情報送信装置１０に送信する。この結果、位置情報送信装置１０は、位置情報と端末ＩＤとを含む利用者位置情報を位置情報記憶サーバ７０に送信する。

次に、位置情報記憶サーバ７０を説明する。
位置情報記憶サーバ７０は、位置情報送信装置１０から利用者位置情報を受信した場合、図４に示す位置情報ＤＢ７１にレコードを追加し、追加したレコードに受信した利用者位置情報を登録する。

より詳細には、位置情報ＤＢ７１は、図４に示すように、レコードＩＤ７１１、端末ＩＤ７１２、送信時刻７１３、位置７１４及びリンクＩＤ７１５を含む。レコードＩＤ７１１には、位置情報ＤＢ７１のレコードの一意な識別子が登録される。端末ＩＤ７１２には、受信した利用者位置情報に含まれる端末ＩＤが登録される。送信時刻７１３には、位置情報送信装置１０が利用者位置情報を送信した時刻が登録される。位置情報送信装置１０がＧＰＳ衛星からの測位信号に基づいて位置情報を取得している場合、当該位置情報を取得したタイミングで位置情報送信装置１０が管理している時刻が正確な時刻に修正される。このため、位置情報送信装置１０は、利用者位置情報に現在の時刻（送信時刻）を含めて位置情報記憶サーバ７０に送信する。

一方、位置情報送信装置１０がＩＭＥＳ送信機からの測位信号に基づいて位置情報を取得している場合、位置情報送信装置１０が管理している時刻は正確な時刻に修正されない。このため、このような位置情報送信装置１０間で時刻情報は同期されていない。位置情報送信装置１０は、現在の時刻（送信時刻）を含めないで利用者位置情報を位置情報記憶サーバ７０に送信する。即ち、位置情報送信装置１０は、ＩＭＥＳ送信機からの測位信号に基づいて位置情報を取得している場合、送信時刻を送信しない。この場合、位置情報記憶サーバ７０は、利用者位置情報を受信した時刻を送信時刻として位置情報ＤＢ７１の送信時刻７１３に登録する。これによって、位置情報送信装置１０間で時刻情報が同期されていなくても、利用者位置情報の送信時刻として位置情報記憶サーバ７０が当該利用者位置情報を受信した時刻を用いるため、位置情報記憶サーバ７０が受信した利用者位置情報の送信時刻を同期させることができる。

位置情報ＤＢ７１の位置７１４には、利用者位置情報に含まれる位置情報が示す位置が登録される。リンクＩＤ７１５には、個人情報ＤＢ５１の「利用者位置情報と紐付けられた個人情報が登録されたレコード」の一意な識別子が登録される。

次に、管理サーバ８０を説明する。
管理サーバ８０は、個人情報記憶サーバ５０及び位置情報記憶サーバ７０に接続され、個人情報ＤＢ５１に記憶された個人情報と位置情報ＤＢ７１に記憶された利用者位置情報とが後述する所定の一致条件を満たす場合、当該個人情報と当該利用者位置情報とを紐付ける。より詳細には、管理サーバ８０は、個人情報ＤＢ５１の個人情報のレコードのリンクＩＤ２１３に「当該個人情報と紐付けられた利用者位置情報のレコードの識別子」を登録し、位置情報ＤＢ７１の当該利用者位置情報のレコードのリンクＩＤ７１５に「当該利用者位置情報と紐付けられた個人情報のレコードの識別子」を登録する。

次に、図５を用いて本システムの主要な処理である個人情報と位置情報との紐付け処理を実行する管理サーバ８０のハードウェア構成を例に、本システムに備わる装置のハードウェア構成を説明する。

管理サーバ８０は、ＣＰＵ８０１、ＲＡＭ（Random Access Memory）８０２、ＲＯＭ（Read Only Memory）８０３、ネットワークインタフェース（Ｉ／Ｆ）８０４、専用回線インタフェース（Ｉ／Ｆ）８０５及び入出力インタフェース（Ｉ／Ｆ）８０６を有する。これらは、バス８１０を介して互いに通信可能に接続されている。

ＣＰＵ８０１は、ＲＯＭ８０３に記憶された図示しない各種プログラムをＲＡＭ８０２にロードし、ＲＡＭ８０２にロードされたプログラムを実行することによって、各種機能を実現する。ＲＡＭ８０２には、上述したようにＣＰＵ８０１が実行する各種プログラムがロードされ、ＣＰＵ８０１が各種プログラムを実行する際に使用するデータが一時的に記憶される。ＲＯＭ８０３は、不揮発性の記憶媒体であり、各種プログラムが記憶されている。

ネットワークＩ／Ｆ８０４は、管理サーバ８０がネットワークＮＷに接続されるためのインタフェースである。専用回線Ｉ／Ｆ８０５は、管理サーバ８０が専用回線ＥＵＦに接続されるためのインタフェースである。入出力Ｉ／Ｆ８０６は、キーボード及びディスプレイに接続されるためのインタフェースである。

なお、位置情報送信装置１０、個人情報取得装置３０、履歴記憶サーバ４０、個人情報記憶サーバ５０、認証サーバ６０及び位置情報記憶サーバ７０は、一般的な計算機であり、上述したＣＰＵ８０１、ＲＡＭ８０２、ＲＯＭ８０３、及び入出力Ｉ／Ｆ８０６を有する。

位置情報送信装置１０は、測位信号を受信するための図示しないアンテナ、ＮＦＣ機能を用いてデータを通信するためのＮＦＣインタフェース（Ｉ／Ｆ）及びネットワークＮＷに接続されるためのネットワークＩ／Ｆを更に有する。位置情報送信装置１０は、ＬＡＮに接続されるためのＬＡＮインタフェース（Ｉ／Ｆ）を更に有する。履歴記憶サーバ４０は、専用回線Ｉ／Ｆ及びＬＡＮＩ／Ｆを更に有する。個人情報記憶サーバ５０は、専用回線Ｉ／Ｆを更に有する。認証サーバ６０及び位置情報記憶サーバ７０は、それぞれネットワークＩ／Ｆを更に有する。

＜作動の概要＞
本システムは、個人情報が取得された場所と対応する位置に個人情報が取得された時刻と同じ時刻に位置していた利用者は、その個人情報が取得された同一人であるという点に着目し、「個人情報に含まれる場所特定情報及び取得時刻」と「利用者位置情報に含まれる位置情報及び利用者位置情報の送信時刻」とが所定の一致条件を満たす場合、この個人情報と利用者位置情報とを紐付けて管理する。利用者位置情報に含まれる端末ＩＤをキーにして、利用者位置情報に紐付けられた個人情報を集約することによって、利用者毎に個人情報を集約することができる。

上述したように、従来から利用者毎に個人情報を集約して管理したいという要望があり、個人情報に含まれる利用者特定情報（「氏名及び生年月日」並びにマイナンバー等）をキーとして、利用者毎に個人情報を集約した場合、「利用者特定情報を用いて必ずしも一意に利用者を特定できない」という問題点がある。

そこで、上述した従来システムは、利用者の位置情報及び時刻情報の履歴をキーにして個人情報の利用者を特定する。しかしながら、従来システムでは、二つの問題点がある。一つ目の問題点は、携帯端末が時空タグを送信するので、携帯端末の位置情報取得機能を常に有効に設定していなければならない点及び携帯端末側で位置情報が改ざんされるおそれがある点である。二つ目の問題点は、個人情報取得装置が時空タグを付加して個人情報を送信するため、既存の個人情報取得装置に何らかの変更が必要となる点である。

そこで、本システムでは、個人情報取得装置３０と対応する場所に位置情報送信装置１０を設置しておく。そして、当該位置情報送信装置１０は、個人情報取得装置３０が利用者の個人情報を取得する際に、当該利用者の利用者端末２０から端末ＩＤを取得し、取得した端末ＩＤと自身に設定されている位置を示す位置情報とを含む利用者位置情報を位置情報記憶サーバ７０に送信する。これによって、上記一つ目の問題点を解決することができる。即ち、利用者端末２０は位置情報を送信しないため、位置情報取得機能を無効に設定しておいてもよいし、利用者端末２０側で位置情報が改ざんされるおそれもない。

更に、本システムでは、既存の個人情報に含まれる場所特定情報及び取得時刻を用いて利用者位置情報との紐付けが行われるので、上記二つ目の問題点を解決することができる。即ち、既存の個人情報取得装置を用いて、個人情報と利用者位置情報との紐付けを行うことができる。

＜作動の詳細＞
次に、図６を用いて本システムの作動の詳細を説明する。
ある利用者（以下、「利用者Ａ」と称呼する。）は、図１に示すＡ病院に到着し、Ａ病院の受付に設置された位置情報送信装置１０Ａに利用者端末２０を接近させる（６０５）。位置情報送信装置１０Ａは、利用者端末２０との距離が所定距離以内になると、利用者端末２０の端末ＩＤ（ＩＤ１）を取得し、取得した端末ＩＤを含む認証要求を認証サーバ６０に送信する（６１０）。

認証サーバ６０は、認証要求を受信した場合、上述した認証を行う（６１５）。図６に示す例では、この認証が成功したと仮定する。このため、認証サーバ６０は、認証が成功したことを示す認証応答を位置情報送信装置１０Ａに送信する（６２０）。位置情報送信装置１０Ａは、認証応答を受信すると、受信した認証応答は認証が成功したことを示すため、自身に設定されている位置（ａ１）を示す位置情報と端末ＩＤ（ＩＤ１）とを含む利用者位置情報を位置情報記憶サーバ７０に送信する（６２５）。この利用者位置情報を送信した時刻は、「２０１７年１１月１日１０時１０分」であり、位置情報記憶サーバ７０が当該利用者位置情報を受信した時刻も同時刻であると仮定する。なお、以下、図６においては、位置情報送信装置１０は、利用者位置情報に送信時刻を含めないで送信すると仮定する。このため、位置情報記憶サーバ７０は、利用者位置情報を受信した時刻を当該利用者位置情報の送信時刻とみなす。

位置情報記憶サーバ７０は、位置情報送信装置１０Ａから送信された利用者位置情報を受信した場合、受信した利用者位置情報を位置情報ＤＢ７１に記憶する（６３０）。より詳細には、位置情報記憶サーバ７０は、位置情報ＤＢ７１に新たなレコードを追加するとともに、当該レコードに一意な識別子（レコードＩＤ）を新たに付与する。そして、位置情報記憶サーバ７０は、追加したレコードのレコードＩＤ７１１に新たに付与したレコードＩＤを登録し、端末ＩＤ７１２に受信した利用者位置情報に含まれる端末ＩＤを登録する。更に、位置情報記憶サーバ７０は、上述した仮定により、追加したレコードの送信時刻７１３に利用者位置情報の受信時刻（２０１７年１１月１日１０時１０分）を登録し、位置７１４に受信した利用者位置情報に含まれる位置情報が示す位置（ａ１）を登録する。この結果、位置情報ＤＢ７１には、図４に示すレコードＩＤ「Ｌ１」によって識別されるレコードが登録される。ただし、この時点では、当該レコードの利用者位置情報は何れの個人情報とも紐付けられていないので、リンクＩＤ７１５には何も登録されていない。

なお、図１に示すように、受付には位置情報送信装置１０Ａが設置されているものの、個人情報取得装置３０は設置されていない。これは、認証が失敗したとしても、利用者が一番先に到着する受付に設置された位置情報送信装置１０Ａで利用者特定情報が入力されれば、この後に認証が失敗することはなく、診察室及び検査室での作業に支障を来すことを防止するためである。

次に、利用者は、Ａ病院の診察室へと移動し、診察室にて医師から検査室にて検査を受けて来るように指示されたと仮定する。この場合、利用者は、Ａ病院の検査室へと移動し、検査室に設置された個人情報取得装置３０Ｃによって検査データ（個人情報）が取得される前に、検査室に設置された位置情報送信装置１０Ｃに利用者端末２０を接近させる（６３５）。

この場合、位置情報送信装置１０Ｃは、利用者端末２０から端末ＩＤ（ＩＤ１）を取得し、取得した端末ＩＤを含む認証要求を認証サーバ６０に送信し、認証サーバ６０は、認証が成功したことを示す認証応答を位置情報送信装置１０Ｃに送信する。図６では、この認証要求及び認証応答の図示を省略している。位置情報送信装置１０Ｃは、認証応答を受信した場合、自身に設定されている位置（ａ３）を示す位置情報と端末ＩＤ（ＩＤ１）とを含む利用者位置情報を位置情報記憶サーバ７０に送信する（６４０）。位置情報記憶サーバ７０がこの利用者位置情報を受信した時刻は、「２０１７年１１月１日１０時２０分」であると仮定する。

位置情報記憶サーバ７０は、位置情報送信装置１０Ｃから送信された利用者位置情報を受信した場合、受信した利用者位置情報を位置情報ＤＢ７１に記憶する（６４５）。この結果、位置情報ＤＢ７１には、図４に示すレコードＩＤ「Ｌ２」によって識別されるレコードが登録される。ただし、この時点では、当該レコードの利用者位置情報は何れの個人情報とも紐付けられていないので、リンクＩＤ７１５には何も登録されていない。

検査室にて、利用者が位置情報送信装置１０Ｃに利用者端末２０を接近させた後、個人情報取得装置３０Ｃは、この利用者の検査データ（個人情報）を取得する（６５０）。例えば、個人情報取得装置３０Ｃがレントゲン撮影装置である場合、利用者の身体をＸ線で撮影することによって、検査データを取得する。この個人情報取得装置３０Ｃの検査データの取得時刻は、「２０１７年１１月１日１０時２５分」であると仮定する。なお、検査データは、Ａ病院の検査室を特定可能な場所特定情報を含む。

個人情報取得装置３０Ｃは、検査データを取得した場合、取得した検査データを履歴記憶サーバ４０に送信する。履歴記憶サーバ４０は、検査データを取得した場合、利用者Ａの利用者履歴データ４１に書き込む（記憶する）（６５５）。

検査室にて検査データが取得された後、利用者Ａは、診察室へと移動する。診察室にて、利用者Ａに実施された医療行為の履歴を示す明細データが個人情報取得装置３０Ｂに医師により入力される前に、位置情報送信装置１０Ｂに接近させる（６６０）。

この場合、位置情報送信装置１０Ｂは、利用者端末２０から端末ＩＤ（ＩＤ２）を取得し、取得した端末ＩＤを含む認証要求を認証サーバ６０に送信し、認証サーバ６０は、認証が成功したことを示す認証応答を位置情報送信装置１０Ｂに送信する。図６では、この認証要求及び認証応答の図示を省略している。位置情報送信装置１０Ｂは、認証応答を受信した場合、自身に設定されている位置（ａ２）を示す位置情報と端末ＩＤ（ＩＤ１）とを含む利用者位置情報を位置情報記憶サーバ７０に送信する（６６５）。位置情報記憶サーバ７０がこの利用者位置情報を受信した時刻は「２０１７年１１月１日１０時３０分」であると仮定する。

位置情報記憶サーバ７０は、位置情報送信装置１０Ｂから送信された利用者位置情報を受信した場合、受信した利用者位置情報を位置情報ＤＢ７１に記憶する（６７０）。この結果、位置情報ＤＢ７１には、図４に示すレコードＩＤ「Ｌ３」によって識別されるレコードが登録される。ただし、この時点では、当該レコードの利用者位置情報は何れの個人情報とも紐付けられていないので、リンクＩＤ７１５には何も登録されていない。

検査室にて、利用者が位置情報送信装置１０Ｂに利用者端末２０を接近させた後、個人情報取得装置３０Ｂは、医師による明細データ（個人情報）の入力を受け付けることによって、明細データを取得する（６７５）。この個人情報取得装置３０Ｂの明細データの取得時刻は、「２０１７年１１月１日１０時３５分」であると仮定する。なお、明細データは、Ａ病院の診察室を特定可能な場所特定情報を含む。

個人情報取得装置３０Ｂは、明細データを取得した場合、取得した明細データを履歴記憶サーバ４０に送信する。履歴記憶サーバ４０は、検査データを取得した場合、利用者Ａの利用者履歴データ４１に書き込む（記憶する）（６８０）。

以上説明したように、位置情報送信装置１０は、利用者端末２０が接近させる毎に当該利用者端末２０の端末ＩＤを取得し、自身に設定されている位置を示す位置情報と取得した端末ＩＤとを含む利用者位置情報を位置情報記憶サーバ７０に送信している。一方、個人情報取得装置３０は、利用者が利用者端末２０を位置情報送信装置１０に接近させた後に当該利用者の個人情報を取得している。

そして、所定のタイミング（月の末日のＡ病院の業務終了後の所定時刻、例えば、２０１７年１１月３０日２３時００分）になると、履歴記憶サーバ４０は、前回の月次データの送信時点から当該所定のタイミングとなるまでに記憶された利用者履歴データ４１を月次データとして個人情報記憶サーバ５０に送信する（６８５）。

個人情報記憶サーバ５０は、月次データを受信した場合、受信した月次データに含まれる個人情報を個人情報ＤＢ５１に記憶する（６９０）。より詳細には、個人情報記憶サーバ５０は、受信した月次データに含まれる個人情報の数だけ、個人情報ＤＢ５１に新たなレコードを追加し、追加したレコードのそれぞれに一意な識別子（レコードＩＤ）を付与する。そして、個人情報記憶サーバ５０は、個人情報ＤＢの追加したレコードのレコードＩＤ５１１には付与したレコードＩＤを登録し、追加したレコードの個人情報５１２には、受信した月次データに含まれる各個人情報を登録する。この処理で、個人情報ＤＢ５１に追加されたレコードには、図２に示すレコードＩＤ「Ｉ１」及び「Ｉ２」によって識別されるレコードが含まれる。ただし、この時点では、当該レコードの個人情報は何れの位置情報とも紐付けられていないので、リンクＩＤ５１３には何も登録されていない。

個人情報記憶サーバ５０は、月次データに含まれる個人情報を個人情報ＤＢ５１に記憶した場合、個人情報の記憶が完了した旨を示す完了通知を管理サーバ８０に送信する。

管理サーバ８０は、完了通知を受信した場合、個人情報ＤＢ５１に記憶され「未だ紐付けられていない個人情報」に含まれる場所特定情報及び取得時刻と位置情報ＤＢ７１に記憶され「未だ紐付けられていない利用者位置情報」に含まれる位置情報及び送信時刻とが以下の一致条件の条件（Ａ）及び条件（Ｂ）の両方を満たす場合、個人情報が取得された利用者及び利用者位置情報が取得された利用者が、個人情報が取得された場所に同じ時刻に存在しており、同一人であるので、当該個人情報と当該利用者位置情報とを紐付ける（６９５）。

（一致条件）
条件Ａ：個人情報に含まれる場所特定情報によって特定される場所と利用者位置情報に含まれる位置情報が示す位置とが対応すること
条件Ｂ：個人情報の取得時刻が利用者位置情報の送信時刻よりも後であって且つ当該送信時刻に最も近いこと

条件Ａを説明する。
管理サーバ８０は、各個人情報に含まれる場所特定情報によって特定される場所（即ち、個人情報取得装置３０が設置されている場所）と当該場所の位置範囲との対応関係が登録された場所対応関係情報（不図示）を参照可能である。場所対応関係情報は、管理サーバ８０に記憶されていてもよいし、他の装置（例えば、個人情報記憶サーバ５０又は位置情報記憶サーバ７０）に記憶されていてもよい。管理サーバ８０は、この場所対応関係情報を参照し、個人情報に含まれる場所特定情報によって特定される場所に対応する位置範囲を取得する。そして、管理サーバ８０は、利用者位置情報に含まれる位置情報が示す位置が取得した位置範囲に含まれる場合、個人情報と利用者位置情報とが条件Ａを満たすと判定する。

更に、条件Ｂを説明する。
個人情報取得装置３０が個人情報を取得する場合、利用者が利用者端末２０を位置情報送信装置１０に接近されてから個人情報取得装置３０が個人情報を取得するまでの間に、個人情報取得装置３０の操作者は、個人情報取得装置３０が他の利用者の個人情報を取得しないようにする。この前提下で、個人情報と位置情報とが条件Ｂを満たすとき、個人情報が取得された利用者と位置情報が取得された利用者とが同一人であると判定することができる。

図２に示す個人情報ＤＢ５１のレコードＩＤ「Ｉ１」によって識別されるレコードの個人情報に含まれる場所特定情報によって特定される場所は「Ａ病院検査室」である。上述した場所対応関係情報では、図４に示す位置情報ＤＢ７１に記憶されている位置「ａ１」、「ａ２」及び「ａ３」のうち、「Ａ病院検査室」に対応する位置範囲には位置「ａ３」のみが含まれると仮定する。このため、レコードＩＤ「Ｉ１」の個人情報及び図４に示す位置情報ＤＢ７１のレコードＩＤ「Ｌ２」によって識別されるレコードの利用者位置情報は、一致条件の条件Ａを満たす。

更に、レコードＩＤ「Ｉ１」の個人情報の取得時刻「２０１７年１１月１日１０時２５分」がレコードＩＤ「Ｌ２」の利用者位置情報の送信時刻「２０１７年１１月１日１０時２０分」に最も近い。このため、レコードＩＤ「Ｉ１」の個人情報及びレコードＩＤ「Ｌ２」の位置情報は、一致条件の条件Ｂを満たす。

従って、管理サーバ８０は、レコードＩＤ「Ｉ１」の個人情報とレコードＩＤ「Ｌ２」の利用者位置情報とを紐付ける。より詳細には、管理サーバ８０は、図２に示す個人情報ＤＢ５１のレコードＩＤ「Ｉ１」のレコードのリンクＩＤ５１３に「Ｌ２」を登録し、図５に示す位置情報ＤＢ７１のレコードＩＤ「Ｌ２」のレコードのリンクＩＤ７１５に「Ｉ１」を登録する。

同様に、図２に示すレコードＩＤ「Ｉ２」の個人情報と図４に示すレコードＩＤ「Ｌ３」の位置情報とが一致条件を満たす。管理サーバ８０は、個人情報ＤＢ５１のレコードＩＤ「Ｉ２」のレコードのリンクＩＤ５１３に「Ｌ３」を登録し、位置情報ＤＢ７１のレコードＩＤ「Ｌ３」のレコードのリンクＩＤ７１５に「Ｉ２」を登録することによって、これらの個人情報と位置情報とを紐付ける。

以上によって、本システムは、「個人情報に含まれる場所特定情報及び取得時刻」と「利用者位置情報に含まれる位置情報及び送信時刻」とが一致条件を満たす場合、利用者位置情報がその位置を示す利用者は、個人情報が取得された場所と対応する位置に個人情報が取得された時刻と同じ時刻に位置していたので、利用者位置情報がその位置を示す利用者と個人情報取得装置３０が個人情報を取得した利用者とは同一人であると判断する。このため、一致条件を満たす個人情報と利用者位置情報とを紐付ける。これによって、個人情報に含まれる利用者特定情報をキーにせずとも、個人情報及び位置情報に含まれる位置及び時刻をキーにして、個人情報及び位置情報を紐付けることができるので、より正確に個人情報を同一人の位置情報と紐付けることができ、ひいては個人情報を正確に利用者毎に集約することが可能となる。

更に、個人情報取得装置３０が設置された場所に位置する位置情報送信装置１０が、自身に設定されている位置情報を送信するため、利用者端末２０が位置情報を取得する必要もなく、利用者端末２０側で位置情報が改ざんされることも防止することができる。

更に、個人情報に時空ＩＤのような新規な情報を付加する必要はなく、既存の個人情報に含まれる場所特定情報及び取得時刻を用いて一致条件が成立するか否かが判定される。このため、既存の個人情報取得装置３０に変更を加えることなく、本システムを導入することができる。

＜第１変形例＞
本変形例では、位置情報送信装置１０は、自身と対応する場所に設置された個人情報取得装置３０が取得する個人情報の種別を特定可能な種別特定情報を利用者位置情報に含めて位置情報記憶サーバ７０に送信する。位置情報記憶サーバ７０は、種別特定情報を含む利用者位置情報を位置情報ＤＢ７１に記憶する。

これによって、個人情報の所望の項目の取得を所望するとき、利用者位置情報の種別特定情報によって個人情報の種別が特定でき、当該種別に応じて当該所望の項目のデータ位置が特定されるので、種別毎にデータ位置が異なる個人情報のデータ全体を検索しなくても、所望の項目が個人情報から取得できる。このため、計算機にかかる処理負荷を軽減できる。例えば、管理サーバ８０は、利用者位置情報の種別特定情報に基づいて、個人情報における場所特定情報及び取得項目のデータ位置を特定し、特定したデータ位置から読み出したデータを場所特定情報及び取得項目として用いて、個人情報と利用者位置情報とが一致条件を満たすか否かを判定すればよい。これによって、管理サーバ８０にかかる処理負荷を軽減できる。

図７及び図８を用いて、本変形例を説明する。
位置情報送信装置１０は、利用者位置情報を送信する場合、自身の一意な識別子である装置ＩＤを種別特定情報として利用者位置情報に含め、当該利用者位置情報を位置情報記憶サーバ７０に送信する。

位置情報記憶サーバ７０は、図７に示す種別情報ＤＢ７２を予め記憶している。種別情報ＤＢ７２は、装置ＩＤ７２１及び種別情報７２２を含む。装置ＩＤ７２１には、位置情報送信装置１０の装置ＩＤが登録され、種別情報７２２には、装置ＩＤによって識別される位置情報送信装置１０と対応する場所に設置された個人情報取得装置３０が取得する個人情報の種別を特定するための種別情報が登録される。

図７に示す種別情報ＤＢ７２では、Ａ病院の検査室に設置される位置情報送信装置１０Ｂの装置ＩＤ「Ａ２」と、Ａ病院の検査室に設置される個人情報取得装置３０Ｂが取得する個人情報の種別（検査データ）を特定するための種別情報とが対応付けて登録されている。更に、Ａ病院の診察室に設置される位置情報送信装置１０Ｃの装置ＩＤ「Ａ３」と、Ａ病院の診察室に設置される個人情報取得装置３０Ｃが取得する個人情報の種別（明細データ）を特定するための種別情報とが対応付けて登録されている。なお、Ａ病院の受付に設置される位置情報送信装置１０Ａは、同じ場所に個人情報取得装置３０が設置されていないので、種別情報ＤＢ７２には、位置情報送信装置１０Ａの装置ＩＤは登録されていない。

位置情報記憶サーバ７０は、利用者位置情報を受信した場合、受信した利用者位置情報を図８に示す位置情報ＤＢ７１記憶する。位置情報ＤＢ７１、図８に示すように、図４に示す位置情報ＤＢ７１に含まれる項目７１１乃至７１５の他に、装置ＩＤ７３１及び種別情報７３２を含む。装置ＩＤ７３１には、受信した利用者位置情報に含まれる装置ＩＤが登録される。種別情報７３２には、受信した利用者位置情報に含まれる装置ＩＤに対応する種別情報が登録される。

より詳細には、位置情報記憶サーバ７０は、利用者位置情報を受信した場合、種別情報ＤＢ７２を参照し、受信した利用者位置情報に含まれる装置ＩＤに対応する種別情報を取得する。そして、位置情報記憶サーバ７０は、位置情報ＤＢ７１の装置ＩＤ７３１に受信した利用者位置情報に含まれる装置ＩＤを登録し、種別情報７３２に装置ＩＤに対応する種別情報を登録する。

管理サーバ８０は、個人情報と利用者位置情報とを紐付ける場合、位置情報ＤＢ７１の種別情報７３２に登録された種別情報を参照し、当該利用者位置情報と紐付けられるべき個人情報の種別を特定し、当該種別に応じて個人情報における場所特定情報及び取得時刻のデータ位置を特定する。そして、管理サーバ８０は、個人情報の「特定したデータ位置」からデータを読み出し、読み出したデータをそれぞれ場所特定情報及び取得時刻として用いて、個人情報と利用者位置情報とが一致条件を満たすか否かを判定する。

これによって、管理サーバ８０は、個人情報全体を参照して場所特定情報及び取得時刻を読み出さなくてもよくなるので、管理サーバ８０の処理負荷を軽減することができる。

なお、位置情報送信装置１０に、対応する場所に設置された個人情報取得装置３０が取得する個人情報の種別を特定する種別情報が予め設定されており、位置情報送信装置１０は、自身の装置ＩＤの代わりに種別情報を含む利用者位置情報を送信してもよい。この場合、位置情報記憶サーバ７０は、図７に示す種別情報ＤＢ７２を有さなくてもよい。更に、図８に示す位置情報ＤＢ７１の装置ＩＤ７３１も不要となる。

＜第２変形例＞
本システムは、病院及び薬局等の医療機関だけでなく、訪問看護にも適用可能である。以下、本システムを訪問看護に適用した例について図９を用いて説明する。
訪問看護では、訪問看護の利用者宅に、位置情報送信装置１０Ｄが設置されている。個人情報取得装置３０Ｄは、利用者宅を訪問して利用者を看護（介護）する看護師（介護者）が携帯する。例えば、個人情報取得装置３０Ｄは、看護師が携帯するノートパソコン又はスマートフォン等である。

利用者宅を訪問した看護師は、事前に計画された訪問看護計画に従って、利用者に処置を実施する。例えば、訪問看護で実施する処置には、体温計測、血圧計測及び床ずれ介助等がある。利用者は、一つ処置が実施される前に、位置情報送信装置１０Ｄに利用者端末２０を接近させる。その後、看護師は一つの処置を実施する。看護師は、一つの処置を実施した後、当該処置の実施時刻を個人情報取得装置３０Ｄに入力することによって、個人情報取得装置３０Ｄは、明細データを取得する。

例えば、利用者Ｂは、２０１７年１１月１０日１０時０分に利用者端末２０を位置情報送信装置１０Ｄに接近させると、位置情報送信装置１０Ｄは、利用者Ｂの利用者端末２０から端末ＩＤ（ＩＤ２）を取得し、自身に設定された位置（ｂ１）を示す位置情報及び取得した端末ＩＤ（ＩＤ２）を含む利用者位置情報を位置情報記憶サーバ７０に送信する。この結果、図９に示す位置情報ＤＢ７１にレコードＩＤ「Ｌ４」によって識別されるレコードが登録される。この後、２０１７年１１月１０日１０時５分に、看護師は、利用者Ｂの体温の測定を実施し、実施時刻及び測定結果を入力する。この結果、図９に示す明細データに１行目のレコードが登録される。

更に、利用者Ｂは、２０１７年１１月１０日１０時１０分に利用者端末２０を位置情報送信装置１０Ｄに接近させる。この結果、図９に示す位置情報ＤＢ７１にレコードＩＤ「Ｌ５」によって識別されるレコードが登録される。この後、２０１７年１１月１０日１０時１５分に、看護師は、利用者Ｂの血圧の測定を実施し、実施時刻及び測定結果を入力する。これによって、図９に示す明細データに２行目のレコードが登録される。

更に、利用者Ｂは、２０１７年１１月１０日１１時０分に利用者端末２０を位置情報送信装置１０Ｄに接近させる。この結果、図９に示す位置情報ＤＢ７１にレコードＩＤ「Ｌ６」によって識別されるレコードが登録される。この後、２０１７年１１月１０日１１時５分に、看護師は、利用者Ｂの床ずれの介助を実施し、実施時刻を入力する。この結果、図９に示す明細データに３行目のレコードが登録される。

なお、体温及び血圧のような利用者の身体的な数値を測定する場合、図示しない測定装置と個人情報取得装置３０とがデータ通信可能であれば（例えば、ＮＦＣ機能を用いて通信可能であれば）、個人情報取得装置３０は、測定装置から実施時刻及び測定結果（計測値）を受信することによって、実施時刻及び測定結果（計測値）を取得できる。

看護師が利用者Ｂ宅での訪問看護を終えて事業所に到着した場合、個人情報取得装置３０は、履歴記憶サーバ４０に接続され、取得した明細データを履歴記憶サーバ４０に送信する。履歴記憶サーバ４０は利用者Ｂに対応する利用者履歴データ４１に当該明細データを書き込む。本変形例の履歴記憶サーバ４０も、上述した実施形態と同様に、所定のタイミングになると、利用者履歴データ４１を月次データとして個人情報記憶サーバ５０に送信し、個人情報記憶サーバ５０は月次データに含まれる個人情報を個人情報ＤＢ５１に記憶する。

本変形例における管理サーバ８０による個人情報と利用者端末情報との紐付けは、上述した実施例と同じである。図９に示す明細データの「体温」と位置情報ＤＢのレコードＩＤ「Ｌ４」の利用者位置情報とが紐付けられ、明細データの「血圧」と位置情報ＤＢのレコードＩＤ「Ｌ５」の利用者位置情報とが紐付けられ、明細データの「床ずれ介助」と位置情報ＤＢのレコードＩＤ「Ｌ５」の利用者位置情報とが紐付けられる。

なお、位置情報送信装置１０Ｄは、利用者宅に設置されるとして説明したが、看護者が携帯し、当該利用者の訪問時に当該利用者宅に位置していればよい。

本発明は上述した実施形態に限定されることはなく、本発明の種々の変形例を採用することができる。

上述した実施形態では、利用者が位置情報送信装置１０に利用者端末２０を接近させた後に、個人情報取得装置３０が当該利用者の個人情報を取得するが、個人情報取得装置３０が当該利用者の個人情報を取得した後に、当該利用者が位置情報送信装置１０に利用者端末２０を接近させてもよい。この場合の上述した一致条件の条件Ｂは、「個人情報の取得時刻が利用者位置情報の送信時刻よりも前であって且つ当該送信時刻に最も近いこと」となる。

上述した一致条件は他の条件（以下の条件Ｃ及び条件Ｄの少なくとも一方）を含んでもよい。
条件Ｃ：個人情報に含まれる利用者特定情報と利用者位置情報に含まれる端末ＩＤに対応する利用者特定情報とが一致すること
条件Ｄ：利用者位置情報の送信時刻と「当該送信時刻に最も近い個人情報の取得時刻」との差の大きさが所定値以下であること

なお、条件Ｃでは、管理サーバ８０は、対応関係情報ＤＢ６１を参照することによって、端末ＩＤに対応する利用者特定情報を特定することができる。

上述した実施形態では、管理サーバ８０が、個人情報と利用者位置情報との紐付け処理を実行するが、管理サーバ８０以外の計算機が当該処理を実行してもよい。例えば、個人情報記憶サーバ５０、認証サーバ６０及び位置情報記憶サーバ７０のいずれかが当該処理を実行してもよい。

位置情報送信装置１０が、認証が失敗したことを示す認証応答を受信し、利用者特定情報の入力を受け付けた場合、入力を受け付けた利用者特定情報と端末ＩＤとを含む更新要求を、認証サーバ６０以外の計算機に送信してもよい。この計算機は、対応関係情報ＤＢ６１を更新可能な計算機であり、更新要求を受信した場合、受信した更新要求に含まれる利用者特定情報と端末ＩＤとの対応関係を対応関係情報ＤＢ６１に登録する。

更に、位置情報送信装置１０は、ＧＰＳ衛星又はＩＭＥＳ送信機から位置情報を取得するが、これに限定されず、他の手段を用いて自身の位置情報を取得してもよい。

１０Ａ乃至１０Ｄ…位置情報送信装置、２０…利用者端末、３０Ｂ乃至３０Ｄ…個人情報取得装置、４０…履歴記憶サーバ、５０…個人情報記憶サーバ５０、５１…個人情報ＤＢ、６０…認証サーバ、６１…対応関係情報ＤＢ６１、７０…位置情報記憶サーバ、７１…位置情報ＤＢ、８０…管理サーバ。

Claims (8)

1. 利用者から取得された個人情報を管理する管理システムであって、
   前記管理システムは、
   前記利用者の個人情報を取得し、前記個人情報が取得された時刻を示す取得時刻及び前記個人情報が取得された場所を特定可能な場所特定情報を含めて個人情報を送信する個人情報取得装置と、
   前記利用者の個人情報が取得される場合に前記個人情報取得装置と対応する場所に少なくとも位置し、自身の位置を示す位置情報を送信する位置情報送信装置と、
   前記個人情報を受信し、前記受信した個人情報を記憶する個人情報記憶部と、
   前記位置情報を受信し、前記受信した位置情報を記憶する位置情報記憶部と、
   前記個人情報と前記位置情報とを紐付けて管理する管理部と、を備え、
   前記位置情報送信装置は、
   前記個人情報取得装置によって前記利用者の前記個人情報が取得される場合、前記利用者が利用する利用者端末の一意な識別子を示す端末識別子を取得し、前記取得した端末識別子を前記位置情報とともに送信し、
   前記管理部は、
   前記個人情報に含まれる場所特定情報及び前記取得時刻と前記位置情報及び前記位置情報の送信時刻とが所定の一致条件を満たす場合、前記個人情報と前記位置情報とを紐付ける、
   ように構成された管理システム。
2. 請求項１に記載の管理システムであって、
   前記位置情報送信装置は、
   前記個人情報取得装置によって前記利用者の前記個人情報が取得される前に、前記端末識別子を取得し、前記取得した端末識別子を前記位置情報とともに送信し、
   前記管理部は、
   前記個人情報に含まれる場所特定情報によって特定される場所と前記位置情報が示す位置とが対応し、且つ、前記個人情報の取得時刻が前記位置情報の送信時刻の後で当該送信時刻に最も近い場合、前記個人情報と前記位置情報とが前記一致条件を満たすと判定する、
   ように構成された管理システム。
3. 請求項１に記載の管理システムであって、
   前記位置情報送信装置は、
   前記個人情報取得装置によって前記利用者の前記個人情報が取得された後に、前記端末識別子を取得し、前記取得した端末識別子を前記位置情報とともに送信し、
   前記管理部は、
   前記個人情報に含まれる場所特定情報によって特定される場所と前記位置情報が示す位置とが対応し、且つ、前記個人情報の取得時刻が前記位置情報の送信時刻の前で当該送信時刻に最も近い場合、前記個人情報と前記位置情報とが前記一致条件を満たすと判定する、
   ように構成された管理システム。
4. 請求項１に記載の管理システムにおいて、
   前記位置情報送信装置は、前記利用者端末と前記位置情報送信装置との間の距離が所定距離以内となったとき、前記端末識別子を取得し、前記取得した端末識別子と前記位置情報とを送信する、
   ように構成された管理システム。
5. 請求項１に記載の管理システムにおいて、
   前記位置情報送信装置が前記位置情報の送信時刻を前記位置情報に含めて送信し、前記位置情報に含まれる送信時刻を前記位置情報の送信時刻として用いるか、又は、前記位置情報送信装置が前記位置情報の送信時刻を送信せずに前記位置情報記憶部が前記位置情報を受信した時刻を前記位置情報の送信時刻として用いる、
   ように構成された管理システム。
6. 請求項１に記載の管理システムにおいて、
   前記個人情報に含まれる項目のデータ位置は、前記個人情報の種別によって異なり、
   前記位置情報送信装置は、自身と対応する場所に位置する個人情報取得装置が取得する前記個人情報の種別を特定可能な種別特定情報を前記位置情報に含めて送信する、
   ように構成された管理システム。
7. 請求項６に記載の管理システムであって、
   前記管理部は、
   前記位置情報に含まれる前記種別特定情報を参照し、前記個人情報に含まれる場所特定情報及び前記取得時刻のデータ位置を特定し、
   前記特定したデータ位置から読み出したデータをそれぞれ前記場所特定情報及び前記取得時刻として用いて、前記個人情報と前記位置情報とが前記一致条件を満たすか否かを判定する、
   ように構成された管理システム。
8. 利用者から取得された個人情報を管理する管理方法であって、
   前記管理方法は、
   個人情報取得装置が、前記利用者の個人情報を取得し、前記個人情報が取得された時刻を示す取得時刻及び前記個人情報が取得された場所を特定可能な場所特定情報を含めて個人情報を送信する第１ステップと、
   前記利用者の個人情報が取得される場合に前記個人情報取得装置と対応する場所に少なくとも位置する位置情報送信装置が、自身の位置を示す位置情報を送信する第２ステップと、
   前記個人情報を受信し、前記受信した個人情報を記憶する第３ステップと、
   前記位置情報を受信し、前記受信した位置情報を記憶する第４ステップと、
   前記個人情報と前記位置情報とを紐付けて管理する第５ステップと、を含み、
   前記第２ステップでは、前記位置情報送信装置が、前記個人情報取得装置によって前記利用者の前記個人情報が取得される場合、前記利用者が利用する利用者端末の一意な識別子を示す端末識別子を取得し、前記取得した端末識別子を前記位置情報とともに送信し、
   前記第５ステップでは、前記個人情報に含まれる場所特定情報及び前記取得時刻と前記位置情報及び前記位置情報の送信時刻とが所定の一致条件を満たす場合、前記個人情報と前記位置情報とを紐付ける、
   ように構成された管理方法。

Images