JP7413231B2 - 情報処理方法、情報処理システムおよび情報処理装置 - Google Patents

Description

本発明の実施形態は、情報処理方法、情報処理システムおよび情報処理装置に関する。

個人情報の保護に関する法律（以下、個人情報保護法）により、個人情報取扱事業者が個人データを第三者に提供するには、本人、つまり、個人データの所有者の同意を、あらかじめ得ることが求められる。個人情報取扱事業者は、当該同意に関する記録を作成し、第三者に個人データを提供する際に、当該同意の有無を確認する。

また、個人データの提供の流れをトレース可能にするために、第三者へ個人データを提供する際には、当該提供に関する記録を作成して一定期間保存することが求められる。例えば、個人情報取扱事業者は、個人データを提供したことを、所有者の名称、所有者の同意、個人データの項目、提供先の第三者の名称などとともに記録する。また、例えば、個人データが提供された第三者、言い換えれば、個人データの利用者装置は、データ提供元の個人情報取扱事業者の名称と、提供されたデータを個人情報取扱事業者が取得した経緯と、を確認し、それらとともに個人データを受領したことを記録するといったことが行われている。

一方、このようなデータおよび記録の一部を匿名化することも求められている。匿名化の手法の一つとして仮名化がある。仮名化とは、個人を識別可能な記述の全部または一部を取り除き、代わりに符号などの仮名情報を付す方法である。情報漏洩が起きたとしても、仮名化によって個人の識別を防ぐことができる。しかし、仮名情報に基づいて、情報漏洩したデータを他のデータと突き合わせることを防ぐことができない。

特開２０２０－７１８１０号公報 特開２０１８－１９６０９７号公報 特表２０１９－５３２５５６号公報 特許第６７１９４１０号公報

本発明の一実施形態は、データが複数の第三者へ提供される場合に、データの漏洩による不利益を低減しつつ、第三者への提供に対する同意および提供履歴を確認できるようにするための方法などを提供する。

本発明の一実施形態である情報処理方法は、データの取り扱いに対する同意と、前記同意または前記データに関係する関係者と、を示す同意記録をブロックチェーンに書き込むステップを備える。前記同意記録の取り扱いが、実行されると前記取り扱いの実行者でも前記関係者ではない第三者が前記データを利用可能となるものである場合、前記同意記録は、前記識別子が前記第三者と一意に対応する別の識別子に変更された上で、書き込まれる。

本発明の一実施形態における情報処理システムの一例を示すブロック図。 ブロックチェーンの一例を示す図。 改良されたブロックチェーンの一例を示す図。 本発明の一実施形態における全体処理の概略フローチャート。 他の記録の一例を示す図。 本発明の一実施形態におけるハードウェア構成の一例を示すブロック図。

以下、図面を参照しながら、本発明の実施形態について説明する。

（本発明の一実施形態）
図１は、本発明の一実施形態に関する情報処理システムの一例を示すブロック図である。本実施形態に関する情報処理システムは、データ関係者の情報処理装置１０１と、データ取扱者の情報処理装置１０２と、データ関係者でもデータ取扱者でもない第三者であるデータ利用者の情報処理装置１０３と、ブロックチェーンシステム１０４と、を備える。なお、説明の便宜上、以降、データ関係者の情報処理装置１０１、データ取扱者の情報処理装置１０２、および第三者の情報処理装置１０３は、それぞれ、関係者装置１０１、取扱者装置１０２、および利用者装置１０３と記載する。なお、関係者装置１０１、取扱者装置１０２、および利用者装置１０３は、１台とは限らず、複数台であってもよい。

本実施形態の情報処理システムは、取扱者装置１０２がデータ関係者のデータを取り扱う。様々な取り扱いが想定されるが、この取り扱いの一つとして、取扱者装置１０２は、当該データを利用者装置１０３に送信し得る。言い換えれば、データ取扱者が、データ関係者のデータを、第三者であるデータ利用者に提供し得る。例えば、個人データを保管するＰＤＳ（Ｐｅｒｓｏｎａｌ Ｄａｔａ Ｓｔｏｒｅ）を運営する個人情報取扱事業者（ＰＤＳ事業者）がデータ取扱者であり、個人データを、本人または代理人の同意を取得した上で、第三者に提供することが考えられる。なお、データ取扱者が自らデータを収集するのではなく、データ取扱者がデータ関係者からデータを受領してデータ利用者に提供する場合、データ取扱者はデータの一次受領者であり、データ利用者がデータの二次受領者とも言える。

なお、データ関係者、データ取扱者、およびデータ利用者は、特に限られるものではなく、個人でも法人でもよい。また、データ関係者は、単に、データに対応づけられるものを意味し、特に限定されるものではない。例えば、データ取扱者に対してデータの取り扱いについて同意した同意者、データの保有者、当該保有者の代理人などでもよい。また、データ関係者は、データによって特定される人でもよい。例えば、当該データが、住所、性別、年齢などを示すものであり、それらによって特定される人をデータ関係者としてもよい。このように、データに対する同意、または、データ自体に関係する者がデータ関係者として想定される。

また、本実施形態において扱うデータの種類、また、データの送受信方法などは、特に限られるものではない。例えば、対象とするデータは、個人データでもよいし、産業データでもよい。

また、本実施形態では、データに対する記録が、ブロックチェーンシステム１０４が提供するブロックチェーンに書き込まれる。データの取り扱い対する同意が成されたこと、当該取り扱いが実行されたこと、当該取り扱いが実行されたことによってデータが利用可能となったことなどが、ブロックチェーンに記録される。例えば、データを第三者に提供したこと、または、データの解析、編集、もしくは消去などが行われことが、ブロックチェーンに記録されてもよい。

このようなデータに対する記録を残すことにより、データのトレーサビリティを担保する。例えば、データが第三者に提供された場合に、データ関係者が、どの利用者に提供されたかと、提供の根拠となった同意と、を確認できるようにする。また、当該記録がブロックチェーンによって管理されることにより、当該記録に対する改ざんへの耐性を向上させることができる。

ブロックチェーンは、ブロックチェーンに係るＰ２Ｐネットワークに所属する情報処理装置に分散されて管理される。当該Ｐ２Ｐネットワークは、ブロックチェーンのブロックに書き込む内容を合意形成するためのネットワークとも言える。関係者装置１０１、取扱者装置１０２、および利用者装置１０３は、直接または間接的に、前述の記録をブロックチェーンに記録できればよい。すなわち、関係者装置１０１、取扱者装置１０２、および利用者装置１０３が、ブロックチェーンシステム１０４、言い換えればブロックチェーンに係るＰ２Ｐネットワークに属していて、ブロックチェーンのブロックに、直接、書き込みを行ってもよい。あるいは、関係者装置１０１、取扱者装置１０２、および利用者装置１０３は、ブロックチェーンシステム１０４に属しておらず、ブロックチェーンシステム１０４に属する情報処理装置に対して、ブロックチェーンへの記録を依頼してもよい。言い換えれば、書き込みたい記録をブロックチェーンに属する情報処理装置に送付することにより、間接的に、ブロックチェーンへの書き込みを実現してもよい。

また、関係者装置１０１、取扱者装置１０２、および利用者装置１０３が、個別に、ブロックチェーンのブロックに書き込みを行ってもよいし、それらのいずれかが、代表して書き込みを行ってもよい。例えば、関係者装置１０１がブロックチェーンのブロックに同意に関する記録を書き込み、取扱者装置１０２は、ブロックチェーンを監視しておくことにより、当該同意を認識してもよい。あるいは、取扱者装置１０２が、関係者装置１０１からの同意を示す情報を、ブロックチェーン以外の媒体、例えば、メール、Ｗｅｂページなどを介して取得して、当該情報に基づいてブロックチェーンのブロックに同意に関する記録を書き込んでもよい。

なお、ブロックチェーンへの書き込み方法は、公知の技術を用いればよく、本実施形態においては、問われるものではない。例えば、安全性を示すために、書き込まれる記録にデジタル署名が添付され得るが、当該デジタル署名は、関係者装置１０１の秘密鍵から生成されたものでもよいし、取扱者装置１０２の秘密鍵から生成されたものでもよい。また、データ関係者が秘密鍵を安全に管理するのは比較的困難であるため、秘密鍵の管理をデータ取扱者に任せる場合もあり得る。そのため、取扱者装置１０２が、関係者装置１０１の代わりに関係者装置１０１の秘密鍵からデジタル署名を生成して関係者装置１０１に送信してもよい。

なお、情報処理システムは、図１の例に限られるわけではなく、その他の主体が存在してもよい。例えば、関係者のデータは、データ取扱者とは別のデータ管理者によって保管されることも想定される。そのような想定下では、データ管理者の情報処理装置が、関係者装置１０１からデータを取得し、取扱者装置１０２からの指示を受けて利用者装置１０３にデータを送信すればよい。すなわち、データ管理者の情報処理装置が、取扱者装置１０２の一部として機能すればよい。

図２は、ブロックチェーンの一例を示す図である。図２には、ブロック２０１から２０７を含むブロックチェーン２が示されており、前述のデータ取り扱いなどの記録が書き込まれている。ブロック２０１から２０７に示されたトランザクションＩＤは、各記録が示す処理（トランザクション）の識別子である。ブロック２０１から２０７に示されたＢＣユーザＩＤは、ブロックチェーンにおけるユーザＩＤを意味し、各記録が示す処理の主体を示す。

例えば、ブロック２０１は、ＢＣユーザＩＤが「ｈａｎａｋｏ」というデータ関係者が、データの保管という取り扱いに同意したという記録を示す。本説明では、このようなデータの取り扱いに対する同意の記録を、取扱同意記録と記載する。

ブロック２０２も取扱同意記録を示しているが、ブロック２０２は、データ利用者が「ｃｏｍｐａｎｙ１」であればデータを提供してもよいという提供に関する同意を「ｈａｎａｋｏ」が行ったことが示されている。同様に、ブロック２０３は、データ利用者が「ｃｏｍｐａｎｙ２」であればデータを提供してもよいという同意を「ｈａｎａｋｏ」が行ったことを示している。

また、ブロック２０４は、ＢＣユーザＩＤが「ｄｅａｌｅｒ１」である取扱者が、「提供同意ＩＤ＝０１」という記録に基づき、データの提供を実行したという記録を示す。「提供同意ＩＤ＝０１」は、ブロック２０２に示された「トランザクシンＩＤ＝０１」の取扱同意記録を表す。ゆえに、ブロック２０４の記録は、「ｈａｎａｋｏ」による同意に基づき、「ｃｏｍｐａｎｙ１」にデータを提供したことを示す。本説明では、このようなデータの取り扱いの実行の記録を、取扱実行記録と記載する。

ブロック２０４に示された提供によって、ｃｏｍｐａｎｙ１はデータを受領するが、この受領に対する記録がブロック２０５に示されている。ブロック２０５では、ＢＣユーザＩＤが「ｃｏｍｐａｎｙ１」と表記されており、データの受領者がデータ利用者のｃｏｍｐａｎｙ１ということが分かる。このように、データ利用者がデータを利用可能となったこと、または、データを利用したことを示す記録がブロックチェーンに書き込まれる。このような記録を、以降、利用記録と記載する。

ブロック２０５の利用記録に示されている「提供同意ＩＤ＝０１」は、受領したデータが、トランザクションＩＤが「０１」である提供同意、つまり、ブロック２０２に示された提供同意、に基づいて提供されたことを示す。また、ブロック２０５の利用記録に示されている「保管同意ＩＤ＝００」は、受領したデータが、トランザクションＩＤが「００」である保管同意、つまり、ブロック２０１に示された保管同意、に基づいて、データ取り扱者が保管していたことを示す。このように、取扱同意記録を示す情報を利用記録に含めることにより、データ利用者が利用するデータがデータ関係者の同意を得ていたものであることが明らかとなり、第三者のデータ利用の正当性を認識することができる。なお、利用記録に示される取扱同意記録は、データ関係者のＢＣユーザＩＤ、図２の例では「ｈａｎａｋｏ」、をキーとして検出される。

また、ブロック２０６も、データ提供に関する取扱実行記録であり、トランザクションＩＤが「０２」である記録に基づいてｄｅａｌｅｒ１が当該データを第三者に提供したことを示している。そして、トランザクションＩＤが「０２」である記録を参照すれば、データの提供先がｃｏｍｐａｎｙ２であることが分かる。そして、ブロック２０７に、ｃｏｍｐａｎｙ２がデータを受領したことを示す利用記録が示されている。

なお、記録には様々な情報が記載され得る。例えば、保管に関する取扱同意記録に、取扱者がデータをどこから取得したか、言い換えればデータの送信元、が示されていてもよい。また、例えば、提供に関する取扱同意記録においては、データの全部を提供してよいことを示す記号、データのどの部分を提供してよいかを示すデータ項目などが含まれている場合もあり得る。また、データの提供先は、明示されてもよいし、上記のように、他の記録を参照することによって判明するのであれば省略されてもよい。

また、図２の例では、一つの記録が一つのブロックに書き込まれているが、必ずしも１対１である必要はなく、複数の記録が一つのブロックに書き込まれていてもよい。例えば、保管に関する取扱同意記録と、提供に関する取扱同意記録と、が、一つのブロックに書き込まれていてもよい。また、一つの記録内に複数の内容が記載されていてもよい。例えば、保管、提供などの複数の同意が、一つの取扱同意記録に含まれていてもよい。あるいは、一つの保管取扱同意記録に、複数の関係者それぞれの保管に関する同意が含まれていてもよい。また、複数の同意に基づいて、複数のデータを一度に提供した場合に、データ提供に関する取扱実行記録には、データ提供に関する複数の取扱同意記録が示され得る。

また、ブロックから必要な情報が読み取ることができれば、記録がどのようにブロックに書き込まれてもよい。例えば、記録の一部または全部が、メタ情報として、ブロックに含まれていてもよい。

このように、ブロックチェーンに記録を書き込むことにより、トレーサビリティを担保することができる。なお、ブロックチェーンのブロックは、ブロックチェーンに係るＰ２Ｐネットワークに所属する情報処理装置であれば利用可能であるため、秘匿性が問題となるが、その対策も行われている。例えば、図２では、ＢＣユーザＩＤが「ｈａｎａｋｏ」という識別子により示されているが、当該識別子が実際の個人名とは関係なければ、個人を特定することは難しい。また、所定ルールに基づいて個人名を、他の文字列、数字などに置き換えるという仮名化といった手法も行われている。

しかし、データを受領したｃｏｍｐａｎｙ２がデータを漏らした場合、ｃｏｍｐａｎｙ１が、「ｈａｎａｋｏ」をキーとしてデータの紐づけをすることにより、漏れたデータを利用することができてしまう。これは、データ取扱者にとって不利益になる。例えば、ｃｏｍｐａｎｙ１が「ｈａｎａｋｏ」の収入に関するデータを受領し、ｃｏｍｐａｎｙ２が「ｈａｎａｋｏ」の学歴に関するデータを受領していた場合において、ｃｏｍｐａｎｙ１が「ｈａｎａｋｏ」の収入に関するデータを漏らしたときは、ｃｏｍｐａｎｙ２が「ｈａｎａｋｏ」の収入に関するデータとおよび学歴に関するデータを取得できてしまう。すなわち、ｃｏｍｐａｎｙ２は「ｈａｎａｋｏ」の収入に関するデータを、取扱者装置１０２から購入する必要がなくなる。

本実施形態では、このような事態を避けるため、トレーサビリティを担保しつつ、ブロックに対する記録を改良する。

図３は、改良されたブロックチェーンの一例を示す図である。図３のブロックチェーンのブロック３０１は、データの保管に同意した取扱同意記録を示すものであり、図２のブロックチェーンのブロック２０１と同じである。また、ブロック３０２および３０３も、データを提供してもよいという取扱同意記録を示すものであり、図２のブロック２０２および２０３と同じである。

一方、ブロック３０４および３０５は、図２のブロックチェーンに完全に対応するブロックはなく、新たに追加されたものである。ブロック３０４および３０５はそれぞれ、ＢＣユーザＩＤが異なる以外は、ブロック３０２および３０３と同じ取扱同意記録を示すものである。ブロック３０４および３０５に示されたＢＣユーザＩＤは、利用者に応じて変更されており、言い換えれば、利用者ごとに仮名化されており、利用者と一意に対応する識別子となっている。

ブロック３０６および３０７も、図２のブロックチェーンに完全に対応するブロックはなく、新たに追加されたものである。ブロック３０６および３０７は、ＢＣユーザＩＤが異なる以外は、ブロック３０１と同じ取扱同意記録を示すものである。

ブロック３０８はデータ提供に関する取扱実行記録であり、ブロック３０９は、当該データ提供に対応するデータ受領に関する利用記録である。ブロック３０８および３０９は、それぞれ、ブロック２０４および２０５に対応するが、ブロック２０４および２０５に比べて提供同意ＩＤなどが異なる。

同様に、ブロック３１０はデータ提供に関する取扱実行記録であり、ブロック３１１は、データ受領に関する利用記録であり、ブロック３０８および３０９は、それぞれ、ブロック２０４および２０５に対応するが、ブロック２０５および２０６に比べて提供同意ＩＤなどが異なる。

なお、記録には、様々な情報を付与してよい。例えば、記録の種類を示す情報が含まれていてもよい。例えば、提供するデータの詳細が付与されていてもよい。関係者装置１０１から渡されたデータの一部を利用者装置１０３に提供する場合は、当該一部を認識することができる情報、例えば、項目名、データ内の位置など、が記録されていてもよい。また、取扱者装置１０２が複数いる場合もあり得る。そのため、記録に、取扱者装置１０２のＢＣユーザＩＤが含まれていてもよい。

図３に示したブロック３０１から３０７が生成される流れを説明する。図４は、本実施形態における全体処理の概略フローチャートである。

なお、前述の通り、ブロックチェーンの書き込みの主体は変わり得るため、本フローでは、書き込まれる記録を主語として記載する。また、本フローでは、説明の便宜上、データの流れを、ブロックチェーンの書き込みよりも先に記載するが、順番が入れ替わってもよいし、同時でもよい。例えば、保管取扱同意記録が書き込まれてからデータを受信することもあり得るし、保管同意とともにデータを受信した後に保管取扱同意記録が書き込まれることもあり得る。また、複数のデータを並行して取り扱う場合、複数の本フローが並行して処理される。

取扱者装置１０２がデータ関係者のデータを受信する（Ｓ１０１）。データの送信元は、関係者装置１０１でもよいし、その他の情報処理装置からでもよい。そして、当該データをデータ取扱者が保管してもよいという同意が成され、当該同意に係る取扱同意記録がブロックチェーンに書き込まれる（Ｓ１０２）。これにより、図３のブロック３０１が生成される。

さらに、当該データを第１利用者にデータを提供してもよいという同意が成され、第１利用者（図３の例では「ｃｏｍｐａｎｙ１」）にデータを提供してもよいという取扱同意記録が、利用者と一意に対応しない通常の識別子（図３の例では「ｈａｎａｋｏ」）をデータ関係者のＢＣユーザＩＤとして用いて、ブロックチェーンに書き込まれる（Ｓ１０３）。また、当該データを第２利用者にデータを提供してもよいという同意が成され、データを第２利用者に提供してもよいという取扱同意記録が、利用者と一意に対応しない通常の識別子をデータ関係者のＢＣユーザＩＤとして用いて、ブロックチェーンに書き込まれる（Ｓ１０４）。これらにより、図３のブロック３０２およびブロック３０３が生成される。

さらに、ブロック３０２の取扱同意記録が、データ関係者の表記が第１利用者向けの一意の識別子（図３の例では「ｇ７ｈ８ｉ９」）に変更された上で、ブロックチェーンに再度書き込まれる（Ｓ１０５）。また、ブロック３０３の取扱同意記録が、データ関係者の表記が第２利用者向けの一意の識別子（図３の例では「ｊ１ｋ２ｍ３」）に変更された上で、ブロックチェーンに再度書き込まれる（Ｓ１０６）。これらにより、図３のブロック３０４およびブロック３０５が生成される。

データの提供によって、データ利用者がデータを利用可能となる。データ提供のように、実行されると利用者がデータを利用可能となる取り扱いに関するものである場合には、取扱同意記録は、データ関係者の表記が利用者と一意に対応する識別子に変更された上で、再度、書き込まれる。なお、当該記録も、取扱同意記録であるが、通常のＢＣユーザＩＤで書き込まれた取扱同意記録と区別する場合には、取扱同意再記録と記載する。

なお、利用者と一意に対応する識別子は、適宜に定めてよい。通常のＢＣユーザＩＤの一部または全部を、所定のルールに応じて変換してもよいし、一意の識別子を新たに割り当ててもよい。例えば、第三者がそれぞれ有する個別の鍵に基づき、通常のＢＣユーザＩＤを変換してもよい。また、第三者がそれぞれ有する個別の鍵と、データ関係者が有する個別の鍵と、の組み合わせに基づき、通常のＢＣユーザＩＤを変換してもよい。また、通常のＢＣユーザＩＤを暗号化してもよい。

次に、利用者ごとの識別子でも、当該識別子が表すデータ関係者に対する記録をトレースできるようにする。例えば、「ｇ７ｈ８ｉ９」が「ｈａｎａｋｏ」に対応することを知らなければ、ブロック３０１から３０５だけでは、「ｇ７ｈ８ｉ９」に対応するデータ関係者がデータの保管に関する同意を行ったのかを認識することができない。ゆえに、変更前後の識別子の対応関係を認識している情報処理装置、例えば取扱者装置１０２が、ブロックチェーンから、データ関係者が通常のＢＣユーザＩＤ（図３の例では「ｈａｎａｋｏ」）で表されている取扱同意記録を検出し、検出された取扱同意記録のデータ関係者の表記を第１利用者向けの識別子（図３の例では「ｇ７ｈ８ｉ９」）に変更してブロックチェーンに再記録する（Ｓ１０７）。これにより、ブロック３０６が生成される。このブロック３０６により、「ｇ７ｈ８ｉ９」というＢＣユーザＩＤしか知らない利用者でも、「ｇ７ｈ８ｉ９」に対応するデータ関係者が保管に同意していることを認識することができる。

また、同様にして、検出された取扱同意記録のデータ関係者の表記を第２利用者向けの識別子（図３の例では「ｊ１ｋ２ｍ３」）に変更してブロックチェーンに再記録する（Ｓ１０８）。これにより、ブロック３０５の取扱同意記録に対する取扱同意再記録を示すブロック３０７が生成される。

その後、取扱者装置１０２が第１利用者にデータを提供しようとする。その場合、取扱者装置１０２は、第１利用者にデータを提供してもよいことをブロックチェーンに基づいて確認してから、第１利用者の利用者装置１０３にデータを送信する（Ｓ１０９）。一方、データ提供を受ける第１利用者の利用者装置１０３は、データを受領してもよいことをブロックチェーンに基づいて確認してから、データを受信する（Ｓ１１０）。なお、取扱者装置１０２および利用者装置１０３がブロックチェーンを参照して、直接、提供可否および受領可否を確認してもよいし、ブロックチェーンシステム１０４に属する他の情報処理装置に提供可否および受領可否の判定を行ってもらってもよい。なお、ブロックチェーンシステム１０４に属する多数の情報処理装置が、提供可否および受領可否の判定を行うと、判定における透明性を確保できるといったメリットがある。

提供可否および受領可否の確認は、提供先の利用者装置１０３に応じたＢＣユーザＩＤを用いて確認してもよい。図３の例では、「ｈａｎａｋｏ」のデータを「ｃｏｍｐａｎｙ１」に提供しようとした場合、「ｈａｎａｋｏ」の「ｃｏｍｐａｎｙ１」向けのＢＣユーザＩＤ「ｇ７ｈ８ｉ９」が取扱同意記録の検出のキーとして用いられる。これにより、「ｇ７ｈ８ｉ９」の取扱同意記録が書き込まれたブロック３０４および３０６が検出されて、提供と保管に関する同意が成されていることが判明する。

その後、第１利用者へのデータ提供に関する取扱実行記録が、第１利用者向けの識別子を含む取扱同意記録を示す情報を含めて、ブロックチェーンに書き込まれる（Ｓ１１１）。また、第１利用者のデータ受領に関する利用記録が、第１利用者向けの識別子を含む取扱同意記録を示す情報を含めて、ブロックチェーンに書き込まれる（Ｓ１１２）。なお、これらの取扱実行記録および利用記録には、通常の識別子、第２利用者向けの識別子など、第１利用者向けの識別子以外の識別子は、前述のデータの突き合わせを防ぐために、当該取扱実行記録に含まれないように除外される。これにより、ブロック３０８および３０９が生成される。ブロック３０８には、第１利用者向けの識別子「ｇ７ｈ８ｉ９」を含む提供に関する取扱同意記録のトランザクションＩＤ０３が含まれる。一方、ブロック３０９には、第１利用者向けの識別子「ｇ７ｈ８ｉ９」を含む提供および保管に関する取扱同意記録のトランザクションＩＤ０３および０５が含まれる。

取扱者装置１０２が第２利用者にデータを提供しようとする場合も、第１利用者にデータを提供しようとしたときの同様の処理が行われる。取扱者装置１０２は、第２利用者にデータを提供してもよいことをブロックチェーンに基づいて確認してから、第２利用者の利用者装置１０３にデータを送信する（Ｓ１１３）。一方、データ提供を受ける第２利用者の利用者装置１０３は、データを受領してもよいことをブロックチェーンに基づいて確認してから、データを受信する（Ｓ１１４）。そして、第２利用者へのデータ提供に関する取扱実行記録が、第２利用者向けの識別子を含む取扱同意記録を示す情報を含めて、ブロックチェーンに書き込まれる（Ｓ１１５）。また、第２利用者のデータ受領に関する利用記録が、第２利用者向けの識別子を含む取扱同意記録を示す情報を含めて、ブロックチェーンに書き込まれる（Ｓ１１６）。これにより、ブロック３１０および３１１が生成され、ブロック３１０および３１１に含まれる取扱同意記録を示すＩＤは、全て、第２利用者向けの識別子「ｊ１ｋ２ｍ３」に関する取扱同意記録を示すものとなる。これにより、ブロック３０８とブロック３１０は、両方とも提供に関する取扱実行記録であるが、提供先の利用者が異なるため、それぞれに含まれる提供同意ＩＤは異なる。また、ブロック３０９とブロック３１１は、両方とも受領に関する利用記録であるが、受領した利用者が異なるため、それぞれに含まれる提供同意ＩＤおよび保管同意ＩＤが異なる。

このようにして、ブロックチェーンへの記録の書き込みが行われると、突合わせなどのデータの漏洩による不利益を低減しつつ、第三者への提供に対する同意および提供の履歴を確認できる。例えば、データ関係者は、通常のＢＣユーザＩＤをキーとして、ブロックチェーン上のブロックに書き込まれた取扱同意記録を読み出すことにより、意図した同意になっていることを確認できる。図３の例では、関係者装置１０１は、「ｈａｎａｋｏ」をキーとして、ブロック３０１、３０２、および３０３を検出でき、保管同意と、ｃｏｍｐａｎｙ１という第１利用者への提供同意と、ｃｏｍｐａｎｙ２という第２利用者への提供同意と、が有効であることを確認することができる。また、第１利用者の利用者装置１０３は、第１利用者向けの識別子「ｇ７ｈ８ｉ９」をキーとして、ブロック３０４および３０６を検出でき、受領したデータが、提供同意されたものであること、取得経緯がはっきりしているものであること、を確認することができる。また、第２利用者の利用者装置１０３も、第２利用者向けの識別子「ｊ１ｋ２ｍ３」をキーとして、ブロック３０５および３０７を検出して、同様に確認することができる。したがって、トレーサビリティが担保される。

また、第１利用者は、第２利用者向けの識別子「ｊ１ｋ２ｍ３」が第１利用者向けの識別子「ｇ７ｈ８ｉ９」と同一のデータ関係者を表すことを認識しない。同じく、第２利用者は、第１利用者向けの識別子「ｇ７ｈ８ｉ９」が第２利用者向けの識別子「ｊ１ｋ２ｍ３」と同一のデータ関係者を表すことを認識しない。そのため、第１利用者および第２利用者の一方がデータを漏洩したとしても、他方は、データを突合わせすることができない。したがって、データの漏洩による不利益を低減することができる。

なお、データ関係者がデータ利用者向けのＩＤを知っており、データ利用者向けのＩＤでもトレーサビリティを担保できる場合など、仕様に応じて、ブロック３０２および３０３の生成は省略されてもよい。また、ブロック３０２および３０３などの生成を省略した場合には、通常の識別子と、利用者ごとの一意の識別子と、の対応関係を認識している情報処理装置に問い合わせることにより、保管、提供などの同意がなされていることを確認すればよい。

なお、関係者装置１０１がデータ提供に同意した後に、提供同意を撤回することもあり得る。そのため、データ提供に際して、提供同意が撤回されていないことを確認できることが好ましい。すなわち、関係者装置１０１がデータの提供同意を撤回した場合には、ブロックチェーンに提供同意を撤回する記録が書き込まれ、取扱者装置１０２は、データ提供の際に、関係者装置１０１のＢＣユーザＩＤをキーとしてブロックチェーンを検索して、提供同意が撤回されていないかを判定することが好ましい。なお、提供同意に有効期限が示されている場合は、提供同意に示された有効期限が切れていないかを確認することが好ましい。このように、データ提供に際して、提供同意の有効性を確認することが好ましい。

なお、上記では、ｄｅａｌｅｒ１というデータ取扱者だけが説明されたが、複数の取扱者が存在する場合もあり得る。その場合、複数のデータ取扱者ごとに、データ関係者のＢＣユーザＩＤを変更してもよい。また、データ取扱者およびデータ利用者の組み合わせごとに、データ関係者のＢＣユーザＩＤを変更してもよい。例えば、ｄｅａｌｅｒ１というデータ取扱者からｃｏｍｐａｎｙ１というデータ利用者へのデータ提供の取扱同意記録には、「ｇ７ｈ８ｉ９」が用いられたが、ｄｅａｌｅｒ２という別のデータ取扱者からｃｏｍｐａｎｙ１というデータ利用者へのデータ提供の取扱同意記録には、「ｇ７ｈ８ｉ９」とは別の識別子を用いる方が、データの漏洩による不利益を低減することができる。

なお、図３のブロックチェーンは例示であり、前述の通り、ブロックチェーンには、様々な記録が書き込まれてよい。例えば、データ取扱者が、データの保管同意に応じて、データ関係者のデータを受領した記録など、データ提供以外の取扱実行記録が書き込まれてもよい。また、例えば、データ利用者が、データの解析、編集、または消去などを実行したと記録など、データ受領以外の利用記録が書き込まれてもよい。また、データの突合わせに寄与してしまう情報でなければ、様々な情報が記録内に含まれてよい。例えば、受領に関する利用記録に、受領したデータの項目、データを提供した取扱者装置１０２のＢＣユーザＩＤなども記録されてよい。

図５は、他の記録の一例を示す図である。図５には、取扱者装置１０２がデータを受領したことを示す取扱実行記録を示すブロック３１２が示されている。ブロック３１２には、「保管同意ＩＤ＝００」という記載が、データ受領の根拠として、示されている。また、「提供元＝ｃｏｍｐａｎｙ３」という記載は、データを実際に送信してきたのが、データ関係者の「ｈａｎａｋｏ」ではなく、ｃｏｍｐａｎｙ３であることが示されている。前述のように、データは、関係者装置１０１から受領するのではなく、データ管理者などの別の情報処理装置から受領することもあり得る。そのような場合に、データ提供元が記録に含められてもよい。

なお、ブロック３１２に示されたトランザクションＩＤは、説明の便宜上、図３のブロック３１１の次の番号から振られているが、ブロック３１２が、ブロック３１１の後に生成されることを意味するものではない。

以上のように、本実施形態によれば、提供取扱同意記録などといった第三者がデータを利用可能となる取り扱いに関する取扱同意記録は、関係者の識別子を変えてブロックチェーンに記録される。さらに、当該記録よりも前の、関係者の識別子が変更されていない取扱同意記録を検出し、検出された取扱同意記録の関係者の識別子を変更した上で再記録を行う。これにより、第三者からデータが漏洩したとしても、第三者間でのデータの突き合わせを防ぎつつ、変更前後の一方の識別子しか認識していない者でも、当該識別子を用いてデータ提供の経緯、履歴を漏れなく確認することができる。

なお、上記の実施形態の情報処理装置の少なくとも一部は、プロセッサ、メモリなどを実装しているＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ：集積回路）などの専用の電子回路（すなわちハードウェア）により実現されてもよい。また、上記の実施形態の少なくとも一部は、ソフトウェア（プログラム）を実行することにより、実現されてもよい。例えば、汎用のコンピュータ装置を基本ハードウェアとして用い、コンピュータ装置に搭載されたＣＰＵなどのプロセッサにプログラムを実行させることにより、上記の実施形態の処理を実現することが可能である。

例えば、コンピュータが読み取り可能な記憶媒体に記憶された専用のソフトウェアをコンピュータが読み出すことにより、コンピュータを上記の実施形態の装置とすることができる。記憶媒体の種類は特に限定されるものではない。また、通信ネットワークを介してダウンロードされた専用のソフトウェアをコンピュータがインストールすることにより、コンピュータを上記の実施形態の装置とすることができる。こうして、ソフトウェアによる情報処理が、ハードウェア資源を用いて、具体的に実装される。

図６は、本発明の一実施形態におけるハードウェア構成の一例を示すブロック図である。本実施形態に係る情報処理装置は、プロセッサ４１と、主記憶装置４２と、補助記憶装置４３と、ネットワークインタフェース４４と、デバイスインタフェース４５と、を備え、これらがバス２６を介して接続されたコンピュータ装置４として実現できる。

プロセッサ４１は、コンピュータの制御装置および演算装置を含む電子回路である。プロセッサ４１は、コンピュータ装置４の内部構成の各装置などから入力されたデータやプログラムに基づいて演算処理を行い、演算結果や制御信号を各装置などに出力する。具体的には、プロセッサ４１は、コンピュータ装置４のＯＳ（オペレーティングシステム）や、アプリケーションなどを実行し、コンピュータ装置４を構成する各装置を制御する。プロセッサ４１は、上記の処理を行うことができれば特に限られるものではない。

主記憶装置４２は、プロセッサ４１が実行する命令および各種データなどを記憶する記憶装置であり、主記憶装置４２に記憶された情報がプロセッサ４１により直接読み出される。補助記憶装置４３は、主記憶装置４２以外の記憶装置である。なお、これらの記憶装置は、電子情報を格納可能な任意の電子部品を意味するものとし、メモリでもストレージでもよい。また、メモリには、揮発性メモリと、不揮発性メモリがあるが、いずれでもよい。

ネットワークインタフェース４４は、無線または有線により、通信ネットワーク５に接続するためのインタフェースである。ネットワークインタフェース４４は、既存の通信規格に適合したものを用いればよい。ネットワークインタフェース４４により、通信ネットワーク５を介して通信接続された外部装置６Ａと情報のやり取りが行われてもよい。

デバイスインタフェース４５は、外部装置６Ｂと直接接続するＵＳＢなどのインタフェースである。外部装置６Ｂは、外部記憶媒体でもよいし、データベースなどのストレージ装置でもよい。

外部装置６Ａおよび６Ｂは出力装置でもよい。出力装置は、例えば、画像を表示するための表示装置でもよいし、音声などを出力する装置などでもよい。例えば、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）、ＰＤＰ（Ｐｌａｓｍａ Ｄｉｓｐｌａｙ Ｐａｎｅｌ）、スピーカなどがあるが、これらに限られるものではない。

なお、外部装置６Ａおよび６Ｂは入力装置でもよい。入力装置は、キーボード、マウス、タッチパネルなどのデバイスを備え、これらのデバイスにより入力された情報をコンピュータ装置４に与える。入力装置からの信号はプロセッサ４１に出力される。

上記に、本発明の一実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、移行を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 情報処理システム
１０１ データ関係者の情報処理装置（関係者装置）
１０２ データ取扱者の情報処理装置（取扱者装置）
１０３ 第三者の情報処理装置（利用者装置）
１０４ ブロックチェーンシステム（ブロックチェーンのＰ２Ｐネットワーク）
２ ブロックチェーン
２０１、２０２、２０３、２０４、２０５、２０６、２０７ ブロックチェーンのブロックの例
３ 改良されたブロックチェーン
３０１、３０２、３０３、３０４、３０５、３０６、３０７、３０８、３０９、３１０、３１１ 改良されたブロックチェーンのブロックの例
３１２ 他のブロックの例
４ コンピュータ装置
４１ プロセッサ
４２ 主記憶装置
４３ 補助記憶装置
４４ ネットワークインタフェース
４５ デバイスインタフェース
４６ バス
５ 通信ネットワーク
６Ａおよび６Ｂ 外部装置

Claims (11)

1. 情報処理装置が、データの取り扱いに対する同意と、前記同意または前記データに関係する関係者を表す識別子と、を示す同意記録をブロックチェーンに書き込むステップ、
   を備え、
   前記同意記録の取り扱いが、実行されると前記取り扱いの実行者でも前記関係者でもない第三者が前記データを利用可能となるものである場合、前記同意記録は、前記識別子が前記第三者と一意に対応する別の識別子に変更された上で、書き込まれる
   情報処理方法。
2. 前記情報処理装置が、前記関係者の表記が前記第三者と一意に対応する識別子である同意記録を書き込んだ場合に、前記ブロックチェーンから、前記関係者を前記第三者と一意に対応しない識別子で表している同意記録を検出するステップと、
   前記情報処理装置が、検出された同意記録を、前記関係者の表記を前記第三者と一意に対応する識別子に変更した上で、再度、ブロックチェーンに書き込むステップと、
   をさらに備える請求項１に記載の情報処理方法。
3. 前記情報処理装置が、前記同意記録に示された取り扱いが実行されたことを示す取扱実行記録を前記ブロックチェーンに書き込むステップ、
   をさらに備える請求項１または２に記載の情報処理方法。
4. 前記情報処理装置が、前記第三者が前記データを利用可能となったこと、または、前記第三者が前記データを利用したこと、を示す利用記録をブロックチェーンに書き込むステップ、
   をさらに備える請求項１ないし３のいずれか一項に記載の情報処理方法。
5. 前記利用記録を書き込むステップにおいて、前記関係者の表記が前記第三者と一意に対応する識別子である同意記録を少なくとも一つ前記ブロックチェーンから検出し、検出された同意記録の識別子を前記利用記録に含ませる、
   請求項４に記載の情報処理方法。
6. 前記情報処理装置が、前記関係者の表記が前記第三者と一意に対応する識別子である同意記録に示された取り扱いが実行されたことを示す取扱実行記録を前記ブロックチェーンに書き込むステップ、
   をさらに備え、
   前記取扱実行記録を書き込むステップにおいて、前記取扱実行記録の取り扱いに対する同意記録であって前記関係者の表記が前記第三者と一意に対応する識別子で設定されている同意記録を検出可能な情報を前記取扱実行記録に含ませる、
   請求項２、または、請求項２に従属する請求項３ないし５のいずれか一項に記載の情報処理方法。
7. 前記取扱実行記録を書き込むステップにおいて、前記関係者の表記が前記第三者と一意に対応する識別子以外の識別子である同意記録を検出可能な情報を、前記取扱実行記録から除外する、
   請求項６に記載の情報処理方法。
8. 前記第三者が前記データを利用可能となる取り扱いが、前記第三者に前記データを提供することであり、
   前記第三者それぞれに対し前記データを提供することに同意した各前記同意記録に示された前記関係者の識別子が全て異なる
   請求項１ないし７のいずれか一項に記載の情報処理方法。
9. 前記情報処理装置が、前記識別子が前記第三者と一意に対応する別の識別子に変更された同意記録とともに、前記識別子が前記第三者と一意に対応しない識別子を含む同意記録も前記ブロックチェーンに書き込む、
   請求項１ないし８のいずれか一項に記載の情報処理方法。
10. 第１情報処理装置と、前記第１情報処理装置からのデータを取り扱う第２情報処理装置と、前記第２情報処理装置から前記データを利用する複数の第３情報処理装置と、を備えた情報処理システムであって、
    前記第１情報処理装置および前記第２情報処理装置の少なくともいずれかは、直接または間接的に、前記データの取り扱いに対する同意と、前記同意または前記データに関係する関係者と、を示す同意記録をブロックチェーンに書き込み、
    前記第１情報処理装置および前記第２情報処理装置の少なくともいずれかは、前記同意記録をブロックチェーンに書き込む際において、前記同意記録が、前記第３情報処理装置が前記データを利用可能となる取り扱いに関するものである場合には、前記関係者の表記を前記第３情報処理装置ごとに異なるように定められた識別子に設定する、
    情報処理システム。
11. データの取り扱いに対する同意と、前記同意または前記データに関係する関係者と、を示す同意記録をブロックチェーンに書き込む情報処理装置であって、
    前記同意記録を前記ブロックチェーンに書き込む際において、前記同意記録が、実行されると前記取り扱いの実行者でも前記関係者でもない第三者が前記データを利用可能となる取り扱いに関するものである場合には、前記関係者の表記を前記第三者と一意に対応する識別子に設定する、
    情報処理装置。

Images