JP7171504B2 - 個人情報管理サーバ、個人情報管理方法及び個人情報管理システム - Google Patents

Description

本発明は、個人情報の管理に関する。

背景技術として、特開２０１９－２８９４０（特許文献１）、特開２０１０－９２１１０（特許文献２）がある。特許文献１では、生体認証に基づいたアクセス制御を用いて、秘密分散によってセキュアに管理された個人情報にアクセスするデータ管理プログラムおよびデータ管理方法が公表されている。特許文献２では、利用者の同意に基づく個人情報の提供を行う個人情報システムが公表されている。

特開２０１９－２８９４０号公報 特開２０１０－９２１１０号公報

欧州のＧＤＰＲに代表されるように、様々なサービスの利用によって蓄積された個人情報を個人に還元し、個人を起点として個人情報を流通、利活用する取り組みが広がっている。しかしながら、個人情報を蓄積している種々のサービスは、各々の本人確認手段を用いてユーザの認証を行っており、本人確認のレベルがまちまちである。オンラインサービスにおいては、実名の登録が不要であることも多く、膨大に蓄積された個人情報が実在する誰に対応する情報であるかを特定することは困難である。

この課題に対して、本発明は、厳正な本人確認を行う個人情報システムがハブとなり、蓄積された膨大な個人情報を実在の個人に対応づけて利活用できるシステムを提供する。

上記課題の少なくとも一つを解決するため、本発明の個人情報管理サーバは、プロセッサと、前記プロセッサに接続される記憶装置と、を有し、前記記憶装置は、利用者の認証に使用する電子証明書を保持し、前記プロセッサは、前記利用者からのログイン要求を受信すると、前記電子証明書を使用して前記利用者の認証に成功したか否かを判定し、前記利用者の認証に成功し、かつ、前記利用者によって入力された、第１の事業者が保持する前記利用者の個人情報を第２の事業者に提供することを許諾する利用許諾登録要求を受信した場合、前記利用者と、前記第１の事業者と、前記第２の事業者と、を対応付ける利用許諾情報を前記記憶装置に格納し、前記利用者の認証に成功し、かつ、前記利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、前記利用許諾情報に基づいて、前記第１の事業者に対する前記利用者の個人情報の提供要求を送信し、前記第１の事業者から前記利用者の個人情報を受信すると、受信した前記利用者の個人情報を含む、前記利用者にサービスを提供することを前記第２の事業者に要求するためのサービス提供要求を送信することを特徴とする。

本発明によれば、厳正な本人確認がなされた個人が自らの意思において、蓄積されたサービスの個人情報を集約し、利活用できる。サービス提供者は、本人性が保証された個人情報を利活用することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明によって明らかにされる。

本実施形態における個人情報管理サーバと、利用者クライアント端末と、事業者サーバとを含むネットワーク構成を示すブロック図である。 本実施形態における個人情報管理サーバへのユーザ登録処理を示すフローチャートである。 本実施形態におけるユーザログイン処理を示すフローチャートである。 本実施形態における事業者登録処理を示すフローチャートである。 本実施形態におけるユーザアカウント連携処理を示すフローチャートである。 本実施形態における利用許諾登録処理を示すフローチャートである。 本実施形態における個人情報利用処理を示すフローチャートである。 本実施形態における本人基本情報ＤＢの一例を示す説明図である。 本実施形態における事業者ＤＢ内の事業者基本情報テーブルおよび事業者個人情報テーブルの一例を示す説明図である。 本実施形態におけるアカウント連携ＤＢの一例を示す説明図である。 本実施形態における利用許諾ＤＢの一例を示す説明図である。 本実施形態における利用実績ＤＢの一例を示す説明図である。 本実施形態の利用者クライアント端末によって表示されるアカウント連携登録画面の一例を示す説明図である。 本実施形態の利用者クライアント端末によって表示される利用許諾登録画面の一例を示す説明図である。 別の実施形態におけるユーザアカウント連携処理を示すフローチャートである。 別の実施形態におけるサービスレコメンド処理を示すフローチャートである。

以下に本発明の実施形態について図面を用いて詳細に説明する。本発明は、個人情報の管理を対象とする。

図１は、本実施形態における個人情報管理サーバ１００と、利用者クライアント端末１２０と、事業者システム１３０とを含むネットワーク構成を示すブロック図である。なお、上記の全体を個人情報管理システム１５０とも記載する。

個人情報管理サーバ１００は、個人情報を管理するコンピュータシステムである。個人情報管理サーバ１００は、ネットワーク１４０を介して、利用者クライアント端末１２０および事業者システム１３０と通信可能となっている。利用者クライアント端末１２０は、個人情報管理サーバ１００に接続し、利用者が個人情報を管理および利活用する際に用いるコンピュータシステムである。事業者システム１３０は、個人情報管理サーバ１００に接続し、事業者が事業者情報を管理、あるいは、個人情報の提供および要求を行う際に利用するコンピュータシステムである。

図１には例として一つの利用者クライアント端末１２０を示すが、一般には、それぞれ別の利用者が使用する複数の利用者クライアント端末１２０がネットワーク１４０に接続される。同様に、図１には例として一つの事業者システム１３０を示すが、一般には、それぞれ別の事業者が使用する複数の事業者システム１３０がネットワーク１４０に接続される。

個人情報管理サーバ１００、利用者クライアント端末１２０、事業者システム１３０のハードウェア構成は以下の通りである。個人情報管理サーバ１００、利用者クライアント端末１２０、事業者システム１３０は、ハードディスクドライブまたは組み込み用マルチメディアカードなどの不揮発性記憶装置で構成される記憶装置１０５、１２５、１３５と、ＲＡＭ（Random Access Memory）などの揮発性記憶装置で構成されるメモリ１０２、１２２、１３２と、記憶装置１０５、１２５、１３５に保持されるプログラムをメモリ１０２、１２２、１３２に呼び出してシステム自体の統括制御を行うと共に各種判定、演算および制御処理を行うＣＰＵ（Central Processing Unit）１０４、１２４、１３４と、入力装置および出力装置と接続するためのＩ／Ｏインタフェース１０１、１２１、１３１と、ネットワーク１４０と接続し他装置との通信を行う通信装置１０３、１２３、１３３とを備える。

個人情報管理サーバ１００の記憶装置１０５に実装される機能として、ユーザ登録機能１０６と、ユーザ認証機能１０７と、事業者管理機能１０８と、アカウント連携機能１０９と、利用許諾管理機能１１０と、個人情報流通機能１１１とがある。上記のように、これらの機能は、記憶装置１０５に保持されたプログラムをメモリ１０２に呼び出してＣＰＵ１０４が実行することで実現される。したがって、以下に説明される上記の機能の処理は、実際にはＣＰＵ１０４によって実行される。

また、記憶装置１０５が保持するデータとして、本人基本情報ＤＢ（データベース）１１２と、電子証明書リポジトリ１１３と、事業者ＤＢ１１４と、アカウント連携ＤＢ１１５と、利用許諾ＤＢ１１６と、利用実績ＤＢ１１７とがある。

利用者クライアント端末１２０の記憶装置１２５に実装される機能として、個人情報管理サーバ１００との入出力を管理する個人情報管理アプリ１２６と、利用者の本人認証を行う認証機能１２７とがある。上記のように、これらの機能は、記憶装置１２５に保持されたプログラムをメモリ１２２に呼び出してＣＰＵ１２４が実行することで実現される。したがって、以下に説明される上記の機能の処理は、実際にはＣＰＵ１２４によって実行される。また、記憶装置１２５が保持するデータとして、個人情報管理サーバ１００にログインするために用いる秘密鍵と電子証明書がある。

事業者システム１３０の記憶装置１３５に実装される機能として、個人情報管理サーバ１００との入出力を管理する個人情報管理ＡＰＩ１３６がある。上記のように、この機能は、記憶装置１３５に保持されたプログラムをメモリ１３２に呼び出してＣＰＵ１３４が実行することで実現される。したがって、以下に説明される上記の機能の処理は、実際にはＣＰＵ１３４によって実行される。また、記憶装置１３５は当該事業者システム１３０を所有する事業者が管理する個人情報１３７を保持する。

図２は、本実施形態における個人情報管理サーバ１００へのユーザ登録処理を示すフローチャートである。

本実施形態のユーザ登録フローは、利用者が保有する利用者クライアント端末１２０の個人情報管理アプリ１２６（処理Ｓ２０１、Ｓ２０３、Ｓ２０８、Ｓ２１１）および認証機能１２７（処理Ｓ２０４）と、個人情報管理サーバ１００のユーザ登録機能１０６（処理Ｓ２０２、Ｓ２０５～Ｓ２０７、Ｓ２０９、Ｓ２１０）とによって処理される。

処理Ｓ２０１では、利用者クライアント端末１２０は、ネットワーク１４０を介して、個人情報管理サーバ１００にユーザ登録要求を送信する。

処理Ｓ２０２では、個人情報管理サーバ１００は、利用者クライアント端末１２０にユーザ登録に必要な登録情報の要求を送信する。

処理Ｓ２０３では、利用者クライアント端末１２０は、利用者からの本人基本情報の入力を受け付ける。本人基本情報は、例えば、氏名、氏名のふりがな、生年月日、性別、住所、などである。

処理Ｓ２０４では、利用者クライアント端末１２０は、利用者が保有する本人識別情報を読み取り、前記処理Ｓ２０３で取得した本人基本情報と合わせて個人情報管理サーバ１００に送信する。本人識別情報は、例えば、公的機関が発行した運転免許証などの顔写真が付いた身分証明書、および、身分証明書の券面に印刷された顔などの本人生体情報である。

処理Ｓ２０５では、個人情報管理サーバ１００は、受信した本人識別情報の真贋を確認する。身分証明書の真贋確認は、例えば、身分証明書の厚みなどを検知して偽造されたものでないことを確認することによって行われる。本人生体情報の真贋判定は、例えば、顔を右に向ける、などの指示に応えられているかどうかによって、あらかじめ撮影された動画または静止画などではないことを確認する。真贋確認によって、有効な身分証明書、本人生体情報であると確認された場合、処理Ｓ２０６を実行する。

処理Ｓ２０６では、個人情報管理サーバ１００は、受信した本人基本情報が正しいことを確認する。本人基本情報の確認は、例えば、身分証明書の券面に印字された氏名、住所、生年月日などと、入力された本人基本情報とを比較して行う。本人確認によって、入力された本人基本情報が正しいと確認された場合、処理Ｓ２０７を実行する。

処理Ｓ２０７では、個人情報管理サーバ１００は、ユーザ登録を要求してきた利用者に対してユーザＩＤを発行する。

処理Ｓ２０８では、利用者クライアント端末１２０は、ユーザＩＤを受信したことを受けて個人情報管理サーバ１００に対して電子証明書の発行要求を送信する。電子証明書の発行に必要な鍵ペア生成は、利用者クライアント端末１２０が行う場合と、個人情報管理サーバ１００が行う場合とがある。

利用者クライアント端末１２０が鍵ペアの生成を行う場合、例えば、以下のような処理を行う。まず、利用者クライアント端末１２０は、個人情報管理サーバ１００にログインするための鍵ペアを生成する。次に、利用者クライアント端末１２０は、生成した鍵ペアのうち秘密鍵を、クライアント端末１２０の保有者の生体認証によってのみアクセス可能なセキュアなエリアに格納する。次に、利用者クライアント端末１２０は、生成した鍵ペアのうち公開鍵を、個人情報管理サーバ１００に送信し、電子証明書の発行要求を行う。利用者は、自身の利用者クライアント端末１２０と、自身の生体情報を用いて、秘密鍵を利用することができる。

一方、個人情報管理サーバ１００が鍵ペアの生成を行う場合、個人情報管理サーバ１００によって生成された秘密鍵は、例えば、ハードウェアトークンなどの形で利用者に提供される。本実施例においては、以降、利用者クライアント端末１２０の認証機能１２７が鍵ペア生成を行う場合について説明する。

処理Ｓ２０９では、個人情報管理サーバ１００は、処理Ｓ２０３で入力され、処理Ｓ２０６で確認された本人基本情報を、処理Ｓ２０７で発行されたユーザＩＤと対応づけて本人基本情報ＤＢ１１２に格納する。

図８は、本実施形態における本人基本情報ＤＢ１１２の一例を示す説明図である。

本人基本情報ＤＢ１１２は、利用者に関する情報を含む複数のレコードを有する。各レコードは、一人の利用者に関する情報を含む。図８には例として一つのレコードを示している。各レコードは、ユーザＩＤ８０１、氏名８０２、ふりがな８０３、生年月日８０４、性別８０５、住所８０６及び登録日時８０７を含む。ユーザＩＤ８０１は、処理Ｓ２０７で発行された利用者の識別情報である。氏名８０２～住所８０６は、処理Ｓ２０３で入力され、処理Ｓ２０６で確認された、利用者に関する情報である。登録日時８０７は、各レコードが本人基本情報ＤＢ１１２に登録された日時を示す。

再び図２を参照する。処理Ｓ２１０では、個人情報管理サーバ１００は、処理Ｓ２０８で受け取った公開鍵情報および処理Ｓ２０７で発行されたユーザＩＤに基づき電子証明書を発行する。電子証明書は、例えば、Ｘ．５０９規格に準拠した書式を用いる。個人情報管理サーバ１００は、発行した電子証明書を電子証明書リポジトリ１１３に保管し、利用者クライアント端末１２０にコピーを送信する。

処理Ｓ２１１では、利用者クライアント端末１２０は、受信した電子証明書を利用者クライアント端末１２０内に保存し、登録完了画面を表示する。

以上の処理によって、個人情報管理サーバ１００に本人確認済みの利用者の本人基本情報および電子証明書が、利用者クライアント端末１２０に個人情報管理サーバ１００のログインに必要な秘密鍵および電子証明書がそれぞれ格納される。

図３は、本実施形態におけるユーザログイン処理を示すフローチャートである。

本実施形態のユーザログインフローは、利用者クライアント端末１２０の個人情報管理アプリ１２６（処理Ｓ３０１、Ｓ３０４）および認証機能１２７（処理Ｓ３０３）と、個人情報管理サーバ１００のユーザ認証機能１０７（処理Ｓ３０２、Ｓ３０５）とによって処理される。利用者は利用者クライアント端末１２０からネットワーク１４０を介して個人情報管理サーバ１００にログインする。

処理Ｓ３０１では、利用者クライアント端末１２０は、個人情報管理サーバ１００に登録済みの利用者からのログイン要求を受け付け、利用者のユーザＩＤと共にログイン要求を個人情報管理サーバ１００に送信する。利用者のユーザＩＤは処理Ｓ２１１で保存した電子証明書に含まれている。

処理Ｓ３０２では、個人情報管理サーバ１００は、利用者のユーザＩＤを用いてログイン要求を行った利用者の電子証明書を電子証明書リポジトリ１１３から呼び出し、公開鍵を抽出する。個人情報管理サーバ１００は、乱数を生成し、それを利用者の公開鍵で暗号化した後、利用者クライアント端末１２０に認証要求として送信する。

処理Ｓ３０３では、利用者クライアント端末１２０は、利用者の認証を行う。本実施形態では、利用者クライアント端末１２０が有する生体認証機能を用いて、利用者の生体認証を行い、正しく認証された場合に、処理Ｓ２０８で格納した秘密鍵を有効化する。

処理Ｓ３０４では、利用者クライアント端末１２０は、処理Ｓ３０３で有効化した秘密鍵を用いて、処理Ｓ３０２で暗号化された乱数を復号し、認証結果として個人情報管理サーバ１００に送信する。

処理Ｓ３０５では、個人情報管理サーバ１００は、処理Ｓ３０２で生成した乱数と、処理Ｓ３０４で復号された乱数とを比較し、両者が同値であった場合に認証成功と判定する。

これらの処理によって、利用者は利用者クライアント端末１２０でセキュアに管理された秘密鍵と、個人情報管理サーバ１００に登録された電子証明書を用いて、個人情報管理サーバ１００にログインできる。

図４は、本実施形態における事業者登録処理を示すフローチャートである。

本実施形態の事業者登録フローは、事業者が所有する事業者システム１３０の個人情報管理ＡＰＩ１３６（処理Ｓ４０１、Ｓ４０３、Ｓ４０６）と、個人情報管理サーバ１００の事業者管理機能１０８（処理Ｓ４０４、Ｓ４０５）とによって処理される。個人情報管理サーバ１００に登録した事業者は、個人情報管理サーバ１００に対して自身が管理する個人情報を提供する場合、および、個人情報管理サーバ１００を介して自身が希望する個人情報を要求する場合に、個人情報管理サーバ１００を利用する。事業者登録フローは、事前に事業者と個人情報管理サーバ１００の運営者との間で、事業者登録について合意がなされていることを前提として処理される。

処理Ｓ４０１では、事業者システム１３０は、ネットワーク１４０を介して、個人情報管理サーバ１００に事業者登録要求を送信する。

処理Ｓ４０２では、個人情報管理サーバ１００は、事業者システム１３０に、事業者登録に必要な登録情報の要求を送信する。

処理Ｓ４０３では、事業者システム１３０は、事業者からの事業者情報の入力を受け付ける。事業者情報は、例えば、事業者名、事業者所在地などの事業者基本情報と、提供可能なデータ項目名、提供を希望するデータ項目名などの個人情報に関する情報と、を含む。

処理Ｓ４０４では、個人情報管理サーバ１００は、受信した登録要求が、事前に合意された事業者からの登録要求であることを確認したうえで、事業者ＩＤを発行する。

処理Ｓ４０５では、個人情報管理サーバ１００は、事業者基本情報を事業者ＤＢ１１４内の事業者基本情報テーブル９０１に、個人情報に関する情報を事業者ＤＢ１１４内の事業者個人情報テーブル９０２に格納する。

図９は、本実施形態における事業者ＤＢ１１４内の事業者基本情報テーブル９０１および事業者個人情報テーブル９０２の一例を示す説明図である。

事業者基本情報テーブル９０１（図９（ａ））は、事業者に関する情報を含む複数のレコードを有する。各レコードは、一つの事業者に関する情報を含む。図９（ａ）には例として二つの事業者に関する二つのレコードを示している。各レコードは、事業者ＩＤ９１１、事業者名９１２、ふりがな９１３、所在地９１４、業種９１５及び登録日時９１６を含む。事業者ＩＤ９１１は、処理Ｓ４０４で発行された事業者の識別情報である。事業者名９１２～業種９１５は、処理Ｓ４０３で入力された、事業者に関する情報である。登録日時９１６は、各レコードが事業者ＤＢ１１４に登録された日時を示す。

事業者個人情報テーブル９０２（図９（ｂ））は、事業者が管理する個人情報に関する情報を含む複数のレコードを有する。各レコードは、一つの事業者が管理する一つの個人情報の項目に関する情報を含む。図９（ｂ）には例として一つの事業者が管理する二つの個人情報の項目に関する二つのレコードを示している。各レコードは、事業者ＩＤ９２１、個人情報ＩＤ９２２、個人情報データ名称９２３及び区分９２４を含む。

事業者ＩＤ９２１は、処理Ｓ４０４で発行された事業者の識別情報であり、図９（ａ）の事業者ＩＤ９１１に対応する。個人情報ＩＤは、各個人情報の項目の識別情報であり、個人情報管理サーバ１００によって発行されたものであってもよい。個人情報データ名称９２３は、各個人情報の項目の名称であり、処理Ｓ４０３で入力されたものであってもよい。区分９２４は、各個人情報の項目の区分（例えば、その項目の個人情報を他の事業者に提供するか、または、その項目の個人情報の提供を他の事業者に要求するか）を示す情報であり、処理Ｓ４０３で入力されたものであってもよい。

図９（ｂ）の例は、事業者ＩＤ「ＣＯＭＰＡＮＹ＿Ａ」で識別される事業者が、利用者の趣味に関する個人情報を保持しており、それを他の事業者に提供することが可能であること、及び、当該事業者が他の事業者に利用者のオンラインショッピング取引履歴に関する個人情報の提供を要求していることを示している。

再び図４を参照する。処理Ｓ４０６では、事業者システム１３０は、個人情報管理サーバ１００に登録が完了した旨を表示する。

以上の処理によって、個人情報管理サーバ１００に事業者に関する情報が格納される。以降、事業者は事業者ＩＤを用いて適宜個人情報管理サーバ１００にアクセスすることができる。個人情報管理サーバ１００へのアクセス認証には、例えば、個人情報管理サーバ１００が仮パスワードを発行した後に事業者が本パスワードに変更して利用してもよいし、事業者が鍵ペアを生成し個人情報管理サーバ１００に電子証明書の発行を要求してもよい。

図５は、本実施形態におけるユーザアカウント連携処理を示すフローチャートである。

本実施形態のユーザアカウント連携フローは、利用者クライアント端末１２０の個人情報管理アプリ１２６（処理Ｓ５０２、Ｓ５０５、Ｓ５０７、Ｓ５１０）および認証機能１２７（処理Ｓ５０１）と、個人情報管理サーバ１００のアカウント連携機能１０９（処理Ｓ５０３、Ｓ５０９）と、事業者システム１３０の個人情報管理ＡＰＩ１３６（処理Ｓ５０４、Ｓ５０６、Ｓ５０８）とによって処理される。この処理は、個人情報管理サーバ１００に登録された利用者が、個人情報管理サーバ１００に登録された事業者のサービスを利用しており、その事業者が保有する個人情報を個人情報管理サーバ１００で管理したい場合に行う。このような処理の標準として、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔなどの規格が提案されている。以降、ユーザアカウント連携フローの詳細を説明する。

処理Ｓ５０１では、利用者クライアント端末１２０および個人情報管理サーバ１００は、ユーザログインフローＳ３００（図３）を実行し、利用者のログイン処理を行う。厳正な本人確認を経て個人情報管理サーバ１００に登録された利用者が、信頼できる認証方法によってログインすることで、以降の手続きは全て本人確認済みの真正な利用者からの要求であることが保証される。

処理Ｓ５０２では、利用者クライアント端末１２０は、利用者に対して、図１３に示すアカウント連携登録画面１３００（後述）を表示する。利用者は、アカウント連携メニューから連携を希望する事業者を選択し、利用者クライアント端末１２０は、アカウント連携要求を個人情報管理サーバ１００に送信する。

図１３は、本実施形態の利用者クライアント端末１２０によって表示されるアカウント連携登録画面１３００の一例を示す説明図である。

図１３に示すアカウント連携登録画面１３００は、事業者選択欄１３０１、提供個人情報表示欄１３０２、要求個人情報表示欄１３０３及び連携要求ボタン１３０４を含む。この画面は、例えば、Ｉ／Ｏ１２１に接続された出力装置によって表示される。

事業者選択欄１３０１には、利用者がアカウント連携を要求する対象として選択した事業者が入力される。例えば、利用者の操作に応じて、個人情報管理サーバ１００に登録された事業者のリストが表示され、利用者がそれらのいずれかを選択してもよい。

提供個人情報表示欄１３０２及び要求個人情報表示欄１３０３には、利用者が選択した事業者が提供する個人情報および要求する個人情報が表示される。これらは、当該事業者に対応する事業者個人情報テーブル９０２の区分９２４に対応する。

利用者が連携要求ボタン１３０４を操作（例えばタッチスクリーンへのタッチ、またはマウスクリック等）すると、選択された事業者に関するアカウント連携要求が個人情報管理サーバ１００に送信される（処理Ｓ５０２）。

再び図５を参照する。処理Ｓ５０３では、個人情報管理サーバ１００は、利用者がアカウント連携を希望する事業者が保有する事業者システム１３０に対して、利用者クライアント端末１２０を介してリダイレクトさせることで認証要求を送信する。

処理Ｓ５０４では、認証要求を受け付けた事業者システム１３０は、利用者クライアント端末１２０に対してログイン要求を送信する。

処理Ｓ５０５では、利用者クライアント端末１２０は、利用者から事業者システム１３０へのログインに必要なログイン情報の入力を受け付ける。必要なログイン情報は、事業者システム１３０に依存するが、例えば、ＩＤとパスワードなどである。

処理Ｓ５０６では、ログイン情報を受け取った事業者システム１３０は、ログイン情報を検証することで、利用者のログイン認証を行う。認証に成功した場合、事業者システム１３０は、利用者に対してアカウント連携を認可するか確認するための要求を利用者クライアント端末１２０に送信する。

処理Ｓ５０７では、利用者クライアント端末１２０は、利用者のアカウント連携認可の入力を受け付け、その結果を事業者システム１３０に送信する。

処理Ｓ５０８では、事業者システム１３０は、個人情報管理サーバ１００に対して、利用者クライアント端末１２０を介してリダイレクトさせることで、利用者のログイン認証結果およびアカウント連携認可結果を送信する。

処理Ｓ５０９では、個人情報管理サーバ１００は、利用者の個人情報管理サーバ１００におけるユーザＩＤと、事業者システム１３０におけるユーザＩＤとをアカウント連携ＤＢ１１５に格納する。

図１０は、本実施形態におけるアカウント連携ＤＢ１１５の一例を示す説明図である。

アカウント連携ＤＢ１１５は、利用者が要求したアカウント連携に関する情報を含む。アカウント連携ＤＢ１１５の各レコードは、利用者と、当該利用者がアカウント連携を要求した事業者との組み合わせに対応し、その組み合わせに関する情報を含む。図１０には例として一つのレコードを示している。各レコードは、個人情報システムユーザＩＤ１００１、事業者ＩＤ１００２、事業者システムユーザＩＤ１００３及び登録日時１００４を含む。

個人情報システムユーザＩＤ１００１は、アカウント連携を要求した利用者の識別情報であり、個人情報管理サーバ１００によって発行されたものである。すなわち、個人情報システムユーザＩＤ１００１は、本人基本情報ＤＢ１１２のユーザＩＤ９０１に対応する。事業者ＩＤ１００２は、利用者がアカウント連携を要求した事業者の識別情報であり、個人情報管理サーバ１００によって発行されたものである。すなわち、事業者ＩＤ１００２は、事業者ＤＢ１１４の事業者ＩＤ９１１及び９２１に対応する。事業者システムユーザＩＤ１００３は、アカウント連携を要求した利用者の識別情報であり、事業者システム１３０によって使用されているものである。登録日時１００４は、各レコードがアカウント連携ＤＢ１１５に登録された日時を示す。

図１０の例は、個人情報管理サーバ１００が発行したユーザＩＤ「ＵＳＥＲ００１」によって識別される利用者が、事業者ＩＤ「ＣＯＭＰＡＮＹ＿Ａ」によって識別される事業者のアカウント連携を要求した場合に登録される情報を示す。ここで、事業者システムユーザＩＤ１００３に登録された「Ａ＿ＵＳＥＲ＿０１」は、当該利用者を識別するために当該事業者が使用している識別情報である。

図１０には一つの事業者に関する情報のみを例として示しているが、実際には、例えば後述する事業者Ａ及び事業者Ｂなど、複数の事業者について、それぞれ、利用者と、事業者と、当該事業者が当該利用者を識別するために使用する識別情報とが対応付けてアカウント連携ＤＢ１１５に登録される。

再び図５を参照する。処理Ｓ５１０では、利用者クライアント端末１２０は、アカウント連携が完了した旨を表示する。

これらの処理によって、個人情報管理サーバ１００における利用者のユーザＩＤと、事業者システム１３０における利用者のユーザＩＤとが連携される。個人情報管理サーバ１００では、利用者は厳正な本人確認を経て登録されているため、この一連の処理によって連携された事業者システム１３０が管理する個人情報も個人情報管理サーバ１００が確認した本人の情報であることが推認される。

図６は、本実施形態における利用許諾登録処理を示すフローチャートである。

本実施形態の利用許諾登録携フローは、利用者クライアント端末１２０の個人情報管理アプリ１２６（処理Ｓ６０２、Ｓ６０４、Ｓ６０６）および認証機能１２７（処理Ｓ６０１）と、個人情報管理サーバ１００の利用許諾管理機能１１０（処理Ｓ６０３、Ｓ６０５）によって処理される。

処理Ｓ６０１では、利用者クライアント端末１２０および個人情報管理サーバ１００は、ユーザログインフローＳ３００（図３）を実行し、ユーザのログイン処理を行う。厳正な本人確認を経て個人情報管理サーバ１００に登録されたユーザが、信頼できる認証方法によってログインすることで、以降の手続きは全て本人確認済みの真正なユーザからの要求であることが保証される。

処理Ｓ６０２では、利用者クライアント端末１２０は、利用者からの利用許諾登録要求を受け付け、個人情報管理サーバ１００に利用許諾登録要求を送信する。

処理Ｓ６０３では、個人情報管理サーバ１００は、利用者クライアント端末１２０に対して、図１４に示す利用許諾登録画面１４００（後述）を送信する。

図１４は、本実施形態の利用者クライアント端末１２０によって表示される利用許諾登録画面１４００の一例を示す説明図である。

図１４に示す利用許諾登録画面１４００は、事業者選択欄１４０１、個人情報選択欄１４０２、事業者選択欄１４０３、目的選択欄１４０４、提供期間入力欄１４０５及び登録ボタン１４０６を含む。この画面は、例えば、Ｉ／Ｏ１２１に接続された出力装置によって表示される。

事業者選択欄１４０１には、利用者が利用許諾をする対象の個人情報の提供元の事業者が入力される。例えば、利用者の操作に応じて、個人情報管理サーバ１００に登録された事業者のリストが表示され、利用者がそれらのいずれかを選択してもよい。

個人情報選択欄１４０２には、利用者が利用許諾をする対象の個人情報の項目が入力される。例えば、事業者選択欄１４０１で選択された事業者が提供する個人情報の項目のリストと、それぞれの項目に対応するチェックボックスが表示され、利用者が利用許諾をする項目のチェックボックスにチェックを入力してもよい。

事業者選択欄１４０３には、利用者が利用許諾をする個人情報の提供先の事業者が入力される。例えば、当該利用者がアカウント連携を要求した事業者のうち、上記の提供元の事業者以外の事業者のリストと、それぞれの事業者に対応するチェックボックスが表示され、利用者が提供先の事業者のチェックボックスにチェックを入力してもよい。

目的選択欄１４０４には、利用者が利用許諾をする個人情報の提供の目的が入力される。例えば、一次利用、二次利用などの目的のリストが表示され、ユーザがそれらのいずれかを選択してもよい。

提供期間入力欄１４０５には、個人情報の利用を許諾する期間を示す情報（例えば、開始日及び終了日）が入力される。

利用者が登録ボタン１４０６を操作すると、上記の入力欄の入力内容に応じた利用許諾情報が個人情報管理サーバ１００に送信される（処理Ｓ６０４）。

再び図６を参照する。処理Ｓ６０４では、利用者クライアント端末１２０は、利用許諾登録画面１４００を表示し、利用者からの利用許諾情報の入力を受け付ける。利用許諾情報は、個人情報を保有している事業者名、個人情報のデータ名、提供先の事業者名、提供の目的、提供を開始する日時と提供を終了する日時などで構成される。提供の目的には、個人情報が紐づく利用者本人へのサービスに活用する一次利用と、適宜匿名加工などを行いマーケティングなどの分析に活用する二次利用とがある。なお、利用可能な個人情報には、後述する個人情報管理サーバ１００が管理する利用実績ＤＢ１１７の情報も含まれる。利用者クライアント端末１２０は、これらの利用許諾情報を個人情報管理サーバ１００に送信する。

処理Ｓ６０５では、個人情報管理サーバ１００は、利用許諾登録を要求した利用者のユーザＩＤと前記利用許諾情報とを対応づけて利用許諾ＤＢ１１６に格納し、利用許諾登録が完了した旨を利用者クライアント端末１２０に送信する。

図１１は、本実施形態における利用許諾ＤＢ１１６の一例を示す説明図である。

利用許諾ＤＢ１１６は、ユーザＩＤ１１０１、提供元事業者ＩＤ１１０２、個人情報ＩＤ１１０３、提供先事業者ＩＤ１１０４、提供の目的１１０５、提供開始日１１０６及び提供終了日１１０７を含む。

ユーザＩＤ１１０１は、利用を許諾した利用者の識別情報であり、本人基本情報ＤＢ１１２のユーザＩＤ８０１に対応する。提供元事業者ＩＤ１１０２は、利用者が利用を許諾した個人情報の提供元の事業者の識別情報であり、事業者ＤＢ１１４の事業者ＩＤ９１１及び９２１に対応する。個人情報ＩＤ１１０３は、利用者が利用許諾をした個人情報の項目の識別情報であり、事業者ＤＢ１１４の個人情報ＩＤ９２２に対応する。提供先事業者ＩＤ１１０４は、利用者が利用を許諾した個人情報の提供先の事業者の識別情報であり、事業者ＤＢ１１４の事業者ＩＤ９１１及び９２１に対応する。提供の目的１１０５は、利用者が利用許諾をした個人情報の提供の目的を示す。提供開始日１１０６及び提供終了日１１０７は、利用者が個人情報の利用を許諾した期間の開始日及び終了日を示す。

処理Ｓ６０６では、利用者クライアント端末１２０は、利用者に対して利用許諾登録が完了した旨を表示する。

これら一連の処理によって、利用者は個人情報管理サーバ１００に登録された事業者に対して自身の個人情報を提供することが可能となる。

図７は、本実施形態における個人情報利用処理を示すフローチャートである。

本実施形態の個人情報利用フローは、利用者クライアント端末１２０の個人情報管理アプリ１２６（処理Ｓ７０２、Ｓ７０８）および認証機能１２７（処理Ｓ７０１）と、個人情報管理サーバ１００の個人情報流通機能１１１（処理Ｓ７０３、Ｓ７０４、Ｓ７０６、Ｓ７０９）と、事業者Ａが所有する事業者システム１３０（以下、これを事業者システムＡ１３０Ａと記載する）の個人情報管理ＡＰＩ１３６（処理Ｓ７０５）と、事業者Ｂが所有する事業者システム１３０（以下、これを事業者システムＢ１３０Ｂと記載する）の個人情報管理ＡＰＩ１３６（処理Ｓ７０７）とによって処理される。ここでは、利用者が事業者Ｂの提供するサービスを利用する際に、事業者Ａが保有する利用者個人情報を事業者Ｂに提供し、事業者Ｂがその個人情報を利用してサービスを提供する場合について説明する。

処理Ｓ７０１では、利用者クライアント端末１２０と個人情報管理サーバ１００は、ユーザログインフローＳ３００（図３）を実行し、ユーザのログイン処理を行う。厳正な本人確認を経て個人情報管理サーバ１００に登録されたユーザが、信頼できる認証方法によってログインすることで、以降の手続きは全て本人確認済みの真正なユーザからの要求であることが保証される。

処理Ｓ７０２では、利用者クライアント端末１２０は、個人情報管理サーバ１００に登録されている事業者のサービスメニューを表示し、利用者からのサービス利用要求を受け付ける。ここでは、事業者Ｂのサービスを利用する旨の入力を受け付け、個人情報管理サーバ１００に送信する。

処理Ｓ７０３では、個人情報管理サーバ１００は、利用者クライアント端末１２０からのサービス利用要求に基づいて、利用許諾ＤＢ１１６を参照する。利用許諾ＤＢ１１６を参照するために必要な情報は、利用者のユーザＩＤと、サービス提供者である事業者Ｂの事業者ＩＤである。個人情報管理サーバ１００は、これらの情報を基に、事業者Ｂに対して提供可能な個人情報を特定する。

処理Ｓ７０４では、個人情報管理サーバ１００は、処理Ｓ７０３で参照した利用許諾情報に基づいて、当該利用者の個人情報を保有する事業者システムＡ１３０Ａに対して個人情報の提供要求を送信する。個人情報提供要求には、誰の、どんな個人情報の提供を求めるかを示す情報が含まれる。

具体的には、誰の個人情報であるかは、アカウント連携ＤＢ１１５に格納された、事業者システムＡ１３０Ａで管理される当該利用者のユーザＩＤ（例えば「Ａ＿ＵＳＥＲ＿０１」など）によって指定される。また、どんな個人情報の提供を求めるかは、事業者個人情報テーブル９０２に登録された、事業者システムＡ１３０Ａで管理されるデータ項目名（例えば「Ａ００１」または「趣味」など）によって指定される。

処理Ｓ７０５では、事業者システムＡ１３０Ａは、個人情報提供要求に基づき、自身が管理する個人情報の中から求められた個人情報を抽出し、個人情報管理サーバ１００に送信する。

処理Ｓ７０６では、個人情報管理サーバ１００は、処理Ｓ７０２で利用者から受け付けたサービス利用要求と、処理Ｓ７０５で事業者システムＡ１３０Ａから受信した利用者個人情報とを、利用者クライアント端末１２０を介して、事業者システムＢ１３０Ｂに送信する。このとき、個人情報管理サーバ１００は、アカウント連携ＤＢ１１５（図１０）を参照して、事業者Ｂが当該利用者を識別するための識別情報を、サービス利用要求とともに送信してもよい。

処理Ｓ７０７では、事業者システムＢ１３０Ｂは、サービス利用要求および利用者個人情報に基づき、事業者Ｂのサービスを提供する。事業者Ｂに対して提供される個人情報は、例えば、利用者の趣味、嗜好、または今までの他事業者サービス利用実績などである。なお、提供するサービスによっては、利用者からの検索または条件指定を受け付けるなど、利用者クライアント端末１２０と事業者システムＢ１３０Ｂとの間で情報のやり取りが行われてもよい。

処理Ｓ７０８では、利用者クライアント端末１２０は事業者Ｂのサービスを利用した結果を個人情報管理サーバ１００に送信する。結果には、利用者のユーザＩＤ、事業者Ｂの事業者ＩＤ、利用したサービス名およびサービス内容、サービス利用日時などのほか、サービスの評価が含まれてもよい。

処理Ｓ７０９では、個人情報管理サーバ１００は、サービス利用結果を利用者のユーザＩＤとサービス提供者である事業者Ｂの事業者ＩＤと対応づけて利用実績ＤＢ１１７に格納する。

図１２は、本実施形態における利用実績ＤＢ１１７の一例を示す説明図である。

利用実績ＤＢ１１７は、ユーザＩＤ１２０１、サービス提供事業者ＩＤ１２０２、サービス名１２０３、サービス内容１２０４、提供した個人情報１２０５、評価１２０６及び利用日時１２０７を含む。

ユーザＩＤ１２０１は、事業者によるサービスの提供を受けた利用者の識別情報である。サービス提供事業者ＩＤ１２０２は、利用者にサービスを提供した事業者の識別情報である。サービス名１２０３及びサービス内容１２０４は、事業者が利用者に提供したサービスの種類及びその内容の識別情報（名称）である。例えば、サービス名１２０３が「オンラインショッピング」の場合、対応するサービス内容１２０４は購入品の名称及び購入金額等であってもよい。

提供した個人情報１２０５は、当該事業者に他の事業者から提供された個人情報を示すであり、例えば他の事業者から趣味に関する個人情報が提供された場合にはそのことを示す情報が登録される。評価１２０６は、利用者が提供されたサービスに対して与えた評価であり、例えばそのサービスに対する利用者の満足度等を示す。この情報は、例えば後述するレコメンドに利用される。利用日時１２０７は、利用者が事業者によるサービスの提供を受けた日時を示す。

以上の本実施形態の一連の処理によって、利用者は、事業者Ａのサービス利用によって蓄積された利用者の個人情報を、事業者Ｂのサービスを利用する際にも活用できる。また、事業者Ｂは、事業者システムＢ１３０Ｂに存在しない、利用者の個人情報をサービス提供に活用することができる。また、個人情報管理サーバ１００は、厳正な本人確認済みの利用者のサービス利用結果を蓄積することができ、これ以後、利用者および事業者に対してサービス利用結果の提供が可能となる。

図１５は、別の実施形態におけるユーザアカウント連携処理を示すフローチャートである。

図１５に示す別の実施形態のユーザアカウント連携フローＳ１５００は、図５に示したユーザアカウント連携フローＳ５００に、本人基本情報検証処理Ｓ１５０９と、本人基本情報確認処理Ｓ１５１０とを加えたものである。ユーザアカウント連携フローＳ１５００の処理Ｓ１５０１～Ｓ１５０８はユーザアカウント連携フローＳ５００の処理Ｓ５０１～Ｓ５０８と同一であり、処理Ｓ１５１１～Ｓ１５１２は処理Ｓ５０９～Ｓ５１０と同一であることから、それらの説明は省略する。

ユーザアカウント連携フローＳ１５００によれば、処理Ｓ１５０８の次に処理Ｓ１５０９が実行される。処理Ｓ１５０９では、個人情報管理サーバ１００は、事業者システム１３０から利用者の本人基本情報を更に受信し、それを本人基本情報登録処理Ｓ２０９にて登録された本人基本情報と比較し、両者が一致しない場合、その旨を利用者クライアント端末１２０に送信する。

処理Ｓ１５１０では、利用者クライアント端末１２０は、事業者システム１３０から受信した本人基本情報と、前記本人基本情報登録処理Ｓ２０９で登録された本人基本情報との比較の結果を表示し、利用者に本人基本情報の確認を求める。両者の値が異なる場合に、利用者が行う操作として、以下の３通りがある。

１つは個人情報管理サーバ１００の情報を正とする場合で、利用者は利用者クライアント端末１２０及び個人情報管理サーバ１００を介して、事業者システム１３０に本人基本情報の変更要求を送信し、これを受信した事業者システム１３０は、事業者が管理する個人情報を更新する。別の１つは事業者システム１３０の情報を正とする場合で、利用者は利用者クライアント端末１２０を介して、個人情報管理サーバ１００に本人基本情報の変更を要求し、個人情報管理サーバ１００は本人基本情報を更新する。これら２つの場合では、必要に応じて本人確認書類の提供を求めてもよい。さらに別の１つでは利用者は本人基本情報の変更を行わない。

上記の別の実施形態の個人情報管理サーバ１００は、これらの追加の処理によって、異なるシステム間での本人基本情報の整合性確保を支援する。例えば利用者がいずれかの事業者システム１３０又は個人情報管理サーバ１００に誤った個人情報を登録してしまった場合、または、転居によって個人情報が変更された場合など、システム間で登録された個人情報の不整合が生じた場合に、上記の処理によってそれらを整合させることができる。

図１６は、別の実施形態におけるサービスレコメンド処理を示すフローチャートである。

これは、本発明の個人情報流通機能１１１の別の実施形態を示す。当該別の実施形態の個人情報流通機能１１１は、個人情報利用フローＳ７００に加えて、サービスレコメンドフローＳ１６００を更に実行する。

処理Ｓ１６０１では、個人情報管理サーバ１００は、利用実績ＤＢ１１７に含まれる、利用者が利用したサービス名およびサービス内容、利用者の個人情報、利用者のサービスに対する評価を参照し、事業者のサービスに対する評価と利用者の趣味などの個人情報の関係性を分析する。この際、個人情報管理サーバ１００が利用可能な利用実績情報は、利用者が利用許諾ＤＢ１１６に、提供の目的としてマーケティングなどの二次利用を許可した情報に限られる。

処理Ｓ１６０２では、個人情報管理サーバ１００は、処理Ｓ１６０１の分析結果を用いて、事業者が提供するサービスと、利用者の個人情報のマッチングを行う。

処理Ｓ１６０３では、処理Ｓ１６０２のマッチングの結果を利用者クライアント端末１２０に表示する。

処理Ｓ１６０４では、処理Ｓ１６０２のマッチングの結果を事業者システム１３０に表示する。

別の実施形態の個人情報管理サーバ１００は、これらの追加の処理によって、年齢および性別など、本人確認済みの真正な情報を用いたサービスの分析およびレコメンドが可能である。

例えば、事業者Ｂが利用者の趣味に関する情報を保持していない場合、事業者Ｂのサービスに対する評価と利用者の趣味とを対応付けることができない。しかし、アカウント連携処理の結果、事業者Ａから事業者Ｂに提供された利用者の趣味に関する情報を二次利用できることになれば、利用者によって与えられた当該事業者Ｂのサービスに対する評価と、当該利用者の趣味とが対応付けられる（図１２参照）。そのようにして対応付けられた情報を蓄積し、サービスの内容と、趣味等の個人情報の内容と、サービスに対する評価との関係を分析することによって、例えば当該利用者と同一の趣味を持つ利用者に評価の高いサービスをレコメンドするなど、提供された個人情報に関連したより精度の高いレコメンドが可能になる。

以上に説明した本発明の態様の代表的な例をまとめると次の通りとなる。すなわち、プロセッサ（例えばＣＰＵ１０４）と、プロセッサに接続される記憶装置（例えば記憶装置１０５）と、を有する個人情報管理サーバであって、記憶装置は、利用者の認証に使用する電子証明書（例えば電子証明書リポジトリ１１３）を保持し、プロセッサは、利用者からのログイン要求（例えばＳ３０１）を受信すると、電子証明書を使用して利用者の認証に成功したか否かを判定し（例えばＳ３０５）、利用者の認証に成功し、かつ、利用者から、第１の事業者が保持する利用者の個人情報を第２の事業者に提供することを許諾する利用許諾登録要求（例えばＳ６０２）を受信した場合、利用者と、第１の事業者と、第２の事業者と、を対応付ける利用許諾情報（例えば利用許諾ＤＢ１１６）を記憶装置に格納し、利用者の認証に成功し、かつ、利用者によって入力された第２の事業者のサービスの利用要求（例えばＳ７０２）を受信した場合、利用許諾情報に基づいて、第１の事業者に対する利用者の個人情報の提供要求を送信し（例えばＳ７０４）、第１の事業者から利用者の個人情報を受信すると（例えばＳ７０５）、受信した利用者の個人情報を含む、利用者にサービスを提供することを前記第２の事業者に要求するためのサービス提供要求を送信する（例えばＳ７０６）ことを特徴とする。

これによって、厳正な本人確認がなされた個人が自らの意思において、蓄積されたサービスの個人情報を集約し、利活用できる。サービス提供者（例えば上記の事業者）は、本人性が保証された個人情報を利活用することができる。

ここで、利用許諾登録要求は、提供を許諾する個人情報の項目を示す情報を含み、プロセッサは、受信した前記利用許諾登録要求に基づいて、提供を許諾する個人情報の項目を示す情報（例えば個人情報ＩＤ１１０３）を利用許諾情報に含めて記憶装置に格納し、利用者の認証に成功し、かつ、利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、第１の事業者に対する前記利用者の個人情報のうち、前記提供を許諾された項目の個人情報の提供要求を送信してもよい。

これによって、個人の意思で、項目ごとに個人情報を提供するか否かを決定することができる。

また、記憶装置は、電子証明書として、利用者に対応する公開暗号鍵（例えばＳ２０８で送信された公開鍵情報）を保持し、プロセッサは、利用者からのログイン要求に基づいて、公開暗号鍵によって暗号化された情報を利用者に送信し（例えばＳ３０２）、利用者から受信した情報（例えばＳ３０４で送信された情報）と、利用者に対応する公開暗号鍵によって暗号化される前の情報とを照合した結果に基づいて、前記利用者の認証に成功したか否かを判定（例えばＳ３０５）してもよい。

これによって、個人情報の利用許諾を行うとき、及び、利用許諾に基づいて個人情報を利用するときのそれぞれにおいて、厳正な本人確認が可能になる。

また、プロセッサは、利用者の認証に成功した場合、各事業者に向けた前記利用者の認証要求を送信し（例えばＳ５０３）、各事業者による利用者の認証が成功したことを示す認証応答を受信すると、利用者と、各事業者と、各事業者が利用者を識別するための識別情報と、を対応付ける情報（例えばアカウント連携ＤＢ１１５）を記憶装置に格納し（例えばＳ５０９）、第１の事業者が利用者を識別するための識別情報を使用して、第１の事業者に対する利用者の個人情報の提供要求を送信し（例えばＳ７０４）、第２の事業者が利用者を識別するための識別情報を使用して、第２の事業者に対するサービス提供要求を送信（例えばＳ７０６）してもよい。

これによって、利用者は第２の事業者へのサービス提供要求をすれば、第１の事業者からの個人情報の取得等は個人情報管理サーバによって行われるため、利用者の利便性が向上する。

また、記憶装置は、利用者の基本的な個人情報を保持し、各事業者による利用者の認証が成功したことを示す認証応答（例えばＳ１５０８）は、各事業者が保持する利用者の基本的な個人情報（例えば本人基本情報ＤＢ１１２に含まれる情報）を含み、プロセッサは、記憶装置が保持する利用者の基本的な個人情報と、いずれかの事業者が保持する利用者の基本的な個人情報とが異なる場合に、利用者に対する基本的な個人情報の確認要求を送信（例えばＳ１５０９）してもよい。

ここで、利用者の基本的な個人情報は、利用者の氏名、性別、住所及び生年月日の少なくとも一つを含んでもよい。

これによって、過去に登録した個人情報の誤り等を修正する機会が与えられる。

また、プロセッサは、利用者から、利用者がサービスを利用した結果を示す情報（例えばＳ７０８）を受信すると、受信した情報を、サービスを提供した事業者以外の事業者から提供された個人情報と対応付けて、利用実績情報（例えば利用実績ＤＢ１１７）として保持し（例えばＳ７０９）、利用実績情報を分析することによって生成した推奨情報を出力（例えばＳ１６０２）してもよい。

ここで、利用者が前記サービスを利用した結果を示す情報は、利用者によるサービスに対する評価（例えば評価１２０６）を含み、プロセッサは、サービスの内容と、利用者の個人情報の内容と、サービスに対する評価との関係を分析することによって推奨情報を生成（例えばＳ１６０２）してもよい。

これによって、他の事業者から提供された個人情報に関連した、より精度の高い推奨情報の生成が可能になる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したのであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることが可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

１００ 個人情報管理サーバ
１０１、１２１、１３１ Ｉ／Ｏインタフェース
１０２、１２２、１３２ メモリ
１０３、１２３、１３３ 通信装置
１０４、１２４、１３４ ＣＰＵ（演算装置）
１０５、１２５、１３５ 記憶装置
１０６ ユーザ登録機能
１０７ ユーザ認証機能
１０８ 事業者管理機能
１０９ アカウント連携機能
１１０ 利用許諾管理機能
１１１ 個人情報流通機能
１１２ 本人基本情報ＤＢ
１１３ 電子証明書リポジトリ
１１４ 事業者ＤＢ
１１５ アカウント連携ＤＢ
１１６ 利用許諾ＤＢ
１１７ 利用実績ＤＢ
１２６ 個人情報管理アプリ
１２７ 認証機能
１２８ 秘密鍵、電子証明書
１３６ 個人情報管理ＡＰＩ

Claims (10)

1. プロセッサと、前記プロセッサに接続される記憶装置と、を有する個人情報管理サーバであって、
   前記記憶装置は、利用者の認証に使用する電子証明書を保持し、
   前記プロセッサは、
   前記利用者からのログイン要求を受信すると、前記電子証明書を使用して前記利用者の認証に成功したか否かを判定し、
   前記利用者の認証に成功し、かつ、前記利用者によって入力された、第１の事業者が保持する前記利用者の個人情報を第２の事業者に提供することを許諾する利用許諾登録要求を受信した場合、前記利用者と、前記第１の事業者と、前記第２の事業者と、を対応付ける利用許諾情報を前記記憶装置に格納し、
   前記利用者の認証に成功し、かつ、前記利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、前記利用許諾情報に基づいて、前記第１の事業者に対する前記利用者の個人情報の提供要求を送信し、
   前記第１の事業者から前記利用者の個人情報を受信すると、受信した前記利用者の個人情報を含む、前記利用者にサービスを提供することを前記第２の事業者に要求するためのサービス提供要求を送信することを特徴とする個人情報管理サーバ。
2. 請求項１に記載の個人情報管理サーバであって、
   前記利用許諾登録要求は、提供を許諾する個人情報の項目を示す情報を含み、
   前記プロセッサは、
   受信した前記利用許諾登録要求に基づいて、提供を許諾する個人情報の項目を示す情報を利用許諾情報に含めて前記記憶装置に格納し、
   前記利用者の認証に成功し、かつ、前記利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、前記第１の事業者に対する前記利用者の個人情報のうち、前記提供を許諾された項目の個人情報の提供要求を送信することを特徴とする個人情報管理サーバ。
3. 請求項１に記載の個人情報管理サーバであって、
   前記記憶装置は、前記電子証明書として、前記利用者に対応する公開暗号鍵を保持し、
   前記プロセッサは、
   前記利用者からのログイン要求に基づいて、前記公開暗号鍵によって暗号化された情報を前記利用者に送信し、
   前記利用者から受信した情報と、前記利用者に対応する公開暗号鍵によって暗号化される前の情報とを照合した結果に基づいて、前記利用者の認証に成功したか否かを判定することを特徴とする個人情報管理サーバ。
4. 請求項１に記載の個人情報管理サーバであって、
   前記プロセッサは、
   前記利用者の認証に成功した場合、各事業者に向けた前記利用者の認証要求を送信し、
   前記各事業者による前記利用者の認証が成功したことを示す認証応答を受信すると、前記利用者と、前記各事業者と、前記各事業者が前記利用者を識別するための識別情報と、を対応付ける情報を前記記憶装置に格納し、
   前記第１の事業者が前記利用者を識別するための識別情報を使用して、前記第１の事業者に対する前記利用者の個人情報の提供要求を送信し、
   前記第２の事業者が前記利用者を識別するための識別情報を使用して、前記第２の事業者に対する前記サービス提供要求を送信することを特徴とする個人情報管理サーバ。
5. 請求項４に記載の個人情報管理サーバであって、
   前記記憶装置は、前記利用者の基本的な個人情報を保持し、
   前記各事業者による前記利用者の認証が成功したことを示す認証応答は、前記各事業者が保持する前記利用者の基本的な個人情報を含み、
   前記プロセッサは、前記記憶装置が保持する前記利用者の基本的な個人情報と、いずれかの前記事業者が保持する前記利用者の基本的な個人情報とが異なる場合に、前記利用者に対する前記基本的な個人情報の確認要求を送信することを特徴とする個人情報管理サーバ。
6. 請求項５に記載の個人情報管理サーバであって、
   前記利用者の基本的な個人情報は、前記利用者の氏名、性別、住所及び生年月日の少なくとも一つを含むことを特徴とする個人情報管理サーバ。
7. 請求項１に記載の個人情報管理サーバであって、
   前記プロセッサは、
   前記利用者から、前記利用者が前記サービスを利用した結果を示す情報を受信すると、受信した情報を、前記サービスを提供した事業者以外の事業者から提供された個人情報と対応付けて、利用実績情報として保持し、
   前記利用実績情報を分析することによって生成した推奨情報を出力することを特徴とする個人情報管理サーバ。
8. 請求項７に記載の個人情報管理サーバであって、
   前記利用者が前記サービスを利用した結果を示す情報は、前記利用者による前記サービスに対する評価を含み、
   前記プロセッサは、前記サービスの内容と、前記利用者の個人情報の内容と、前記サービスに対する評価との関係を分析することによって前記推奨情報を生成することを特徴とする個人情報管理サーバ。
9. プロセッサと、前記プロセッサに接続される記憶装置と、を有する計算機システムが実行する個人情報管理方法であって、
   前記記憶装置は、利用者の認証に使用する電子証明書を保持し、
   前記個人情報管理方法は、
   前記プロセッサが、前記利用者からのログイン要求を受信すると、前記電子証明書を使用して前記利用者の認証に成功したか否かを判定する手順と、
   前記プロセッサが、前記利用者の認証に成功し、かつ、前記利用者によって入力された、第１の事業者が保持する前記利用者の個人情報を第２の事業者に提供することを許諾する利用許諾登録要求を受信した場合、前記利用者と、前記第１の事業者と、前記第２の事業者と、を対応付ける利用許諾情報を前記記憶装置に格納する手順と、
   前記プロセッサが、前記利用者の認証に成功し、かつ、前記利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、前記利用許諾情報に基づいて、前記第１の事業者に対する前記利用者の個人情報の提供要求を送信する手順と、
   前記プロセッサが、前記第１の事業者から前記利用者の個人情報を受信すると、受信した前記利用者の個人情報を含む、前記利用者にサービスを提供することを前記第２の事業者に要求するためのサービス提供要求を送信する手順と、を含むことを特徴とする個人情報管理方法。
10. 個人情報管理サーバと、第１の事業者が使用する第１の事業者システムと、第２の事業者が使用する第２の事業者システムと、前記第１の事業者が提供するサービス及び前記第２の事業者が提供するサービスの利用者が使用するクライアント端末と、を有する個人情報管理システムであって、
    前記個人情報管理サーバは、前記利用者の認証に使用する電子証明書を保持し、
    前記クライアント端末は、前記利用者からのログイン要求を前記個人情報管理サーバに送信し、
    個人情報管理サーバは、前記ログイン要求を受信すると、前記電子証明書を使用して前記利用者の認証に成功したか否かを判定し、
    個人情報管理サーバは、前記利用者の認証に成功し、かつ、前記利用者によって入力された、前記第１の事業者システムが保持する前記利用者の個人情報を第２の事業者システムに提供することを許諾する利用許諾登録要求を受信した場合、前記利用者と、前記第１の事業者と、前記第２の事業者と、を対応付ける利用許諾情報を格納し、
    個人情報管理サーバは、前記利用者の認証に成功し、かつ、前記利用者によって入力された前記第２の事業者のサービスの利用要求を受信した場合、前記利用許諾情報に基づいて、前記第１の事業者システムに対する前記利用者の個人情報の提供要求を送信し、
    前記第１の事業者システムは、前記個人情報の提供要求に基づいて、前記利用者の個人情報を前記個人情報管理サーバに送信し、
    個人情報管理サーバは、前記第１の事業者システムから前記利用者の個人情報を受信すると、受信した前記利用者の個人情報を含む、前記利用者にサービスを提供することを前記第２の事業者システムに要求するためのサービス提供要求を送信し、
    前記第２の事業者システムは、前記サービス提供要求に基づいて、前記第１の事業者システムから提供された前記利用者の個人情報を使用して、前記利用者に対するサービスを提供することを特徴とする個人情報管理システム。

Images