JPWO2008096783A1 - 個人情報の改ざん防止と個人情報流通否認防止のための個人情報管理装置 - Google Patents

Abstract

課題 信頼できる第三者が存在しない状況では、個人情報の流通に関して送受信する情報の改ざんの防止や、否認の防止をできない。解決手段 個人情報管理装置が、個人情報と１対１に対応する個人情報登録証明書を発行し、発行した個人情報登録証明書をユーザ端末を介してサービス提供装置に送付する。個人情報を送受信するときには、個人情報登録証明書と個人情報の関係をユーザ端末とサービス提供装置が確認することで、ユーザ端末と個人情報受信装置は、個人情報が改ざんされたか否かを確認できる。また、個人情報を送受信する際には、必ず個人情報を暗号化し、暗号化個人情報の送受信が終わった後で、復号鍵の送受信を行うようにする。個人情報管理装置とサービス提供装置間において、復号鍵の送受信を、個人情報の受信確認メッセージとして利用することにより、個人情報送受信の否認を防止することができる。

Description

本発明は、個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システムに関し、特に、信頼できる第三者がいない場合でも、個人情報の改ざんを防止し、個人情報の送受信の否認を防止できる個人情報管理装置、サービス提供装置、プログラム、個人情報管理方法、照合方法、および個人情報照合システムに関する。

関連技術の情報流通保証システムの一例が、特許文献１（特開２００２−１８３４９１号公報）に記載されている。図２７に示すように、この特許文献１に記載の情報流通保証システムは、ユーザ端末、電子文書仲介装置と、サービス提供者装置とから構成されている。電子文書仲介装置は、暗号／復号部と、認証部と、通信内容保管ＤＢと、アクセス記録ＤＢから構成されており、サービス提供者装置は、暗号／復号部と認証部から構成される。

このような構成を有する情報流通保証システムはつぎのように動作する。

すなわち、電子文書仲介装置を介してユーザ端末とサービス提供者を暗号化された通信路で繋ぎ、サービス提供者がユーザ端末に電子文書を送付する際には、必ず電子文書仲介装置が中継する。電子文書仲介装置は、サービス提供者から受け取った電子文書をユーザ端末に転送するのではなく、一度通信内容保管ＤＢに保管し、ユーザ端末に電子文書受信通知を送付する。ユーザ端末は、電子文書受信通知を受け取った後で、電子文書にアクセスする。そのときに、電子文書仲介装置は、アクセス記録ＤＢにユーザがアクセスしたことを記録する。電子文書仲介装置は、通信内容保管ＤＢに保管されている通信内容と、ユーザ端末とサービス提供者が管理している情報を照合することで、ユーザ端末とサービス提供者のどちらが情報を改ざんしたか判断することができる。また、電子文書仲介装置は、ユーザアクセスをアクセス記録ＤＢに登録することで、ユーザが情報を取得したことを否認することを防ぐ。
特開２００２−１８３４９１号公報 日本電子公証機構：http://www.jnotary.com/service_new/service_new.html ベリサイン：http://www.verisign.co.jp/mpki/benefits/option/notarization.html ＸＭＬ暗号：W3C Recommendation,"XML Encryption Syntax and Processing", 10 December 2002 http://www.w3.org/TR/xmlenc-core/ ＸＭＬ署名：W3C Recommendation,"XML-Signature Syntax and Processing", 12 February 2002 http://www.w3.org/TR/xmldsig-core/

しかしながら、上述した情報流通保証システムは、以下に示す問題点を有する。

第１の問題点は、個人情報を流通させる際に第三者が個人情報の流通を監視していない状況では、サービス提供装置が個人情報の受信を否認することを防止できないということである。

その理由は、サービス提供装置が個人情報を受信したことを確認するための手段を個人情報管理装置が持たないためである。特許文献１にあるような第三者が個人情報の流通を監視している状況では、第三者はサービス提供装置と個人情報管理装置を特定しているため、否認を防止することができる。しかし、第三者が存在すると個人情報の流通を全て監視できるが、第三者に個人情報の送受信の情報を渡すため、多くの通信が発生して通信負荷が高くなる。また、第三者の流通監視サービスを利用すると、サービス利用のためのコストが発生してしまう。そこで、負荷やコストを削減するために、個人情報を送受信する装置が流通を監視することが求められる。

しかし、個人情報管理装置とサービス提供装置しか存在しない場合には、サービス提供装置が個人情報を受信したことを個人情報管理装置は確認できない。サービス提供装置が個人情報を受信したことを個人情報管理装置に伝える確認メッセージの送受信があれば、個人情報管理装置はサービス提供装置が受信したことを確認できる。しかし、このような確認メッセージをサービス提供装置が送信しない場合でもサービス提供装置は個人情報を取得し、利用できる。そのため、サービス提供装置が個人情報の送受信を否認した場合、個人情報管理装置はこれを防ぐことができない。

ここで、個人情報の流通を監視する第三者として、例えば、電子公証サービスを提供する日本電子公証機構（http://www.jnotary.com/service_new/service_new.html、非特許文献１）や、ベリサイン（http://www.verisign.co.jp/mpki/benefits/option/notarization.html、非特許文献２）等がある。これら電子公証サービスを提供する第三者が、電子公証サービス利用者から個人情報等を受け取り、その個人情報等の内容を保証する証明書を発行することによって、当該利用者や当該利用者にコンテンツ等を提供するプロバイダ等が、この証明書によって個人情報等が正しいことを確認する。

第２の問題点は、個人情報を流通させるときに第三者が個人情報の流通を監視していない状況では、流通させる個人情報が改ざんされていないことを個人情報管理装置とサービス提供装置は確認できないということである。

その理由は、個人情報管理装置とサービス提供装置は自身が送受信するメッセージのみを確認しても、通信相手が不正に情報を改ざんしていないことを確認できないためである。特許文献１に挙げた電子文書仲介装置のような第三者が個人情報の流通を全て監視している状況ならば、どちらが個人情報を不正に改ざんしているか判断できる。

しかし、第三者が存在しない場合には、個人情報管理装置とサービス提供装置はそれぞれが送受信したメッセージを確認し、改ざんしていないことを確認することになる。この状況では、サービス提供装置が個人情報管理装置からユーザの個人情報を取得したときに、ユーザが登録した個人情報と、個人情報管理装置が送付した個人情報が同じであるか判断することができない。サービス提供装置は、個人情報を所持していないため、改ざんを確認するための情報が無いからである。もし、個人情報管理装置が個人情報を改ざんしても、サービス提供装置は確認するための情報がないため、個人情報が改ざんされたことを検出することができない。

第３の問題点は、個人情報を管理するために高い管理コストが発生するということ、また、当該管理コストが発生することを防ぐためにすでに個人情報の送受信が終了した後で再び同じ情報を取得するときに、個人情報の送受信に多くの通信が発生するということである。

その理由は、一度正常に個人情報の送受信が終了しても、正常に終了したという状態を個人情報管理装置とサービス提供装置とで共有しないためである。例えば、図２８にあげるように、個人情報を個人情報管理装置において一箇所で集中的に管理し、サービス提供装置が自身で個人情報を管理しない場合には、サービス提供装置は、個人情報を利用するたびに個人情報管理装置に対して個人情報を要求する。この例では、サービス提供装置は自身で個人情報を保有、管理していない。個人情報を管理するためには、情報漏洩対策をしたり、個人情報保護法に対応するといった、個人情報を管理するための特別な処理が必要になり、そのための管理コストが発生する。そこで、これらのコストを無くすために、サービス提供装置は、一度情報取得した個人情報をそのまま保持するのではなく、同じ個人情報を何度も個人情報管理装置に要求する。

これらの装置は、同じ通信を何度も繰り返すことになるため、簡略化した通信が必要になるが、サービス提供装置は、個人情報を要求する際に、すでに個人情報の送受信が正常に終了していることを確認していない。そのため、個人情報を再度送受信する際に、情報改ざんが行われていないことや、改ざん防止されていないことを確認するための処理を再度行うことになり、個人情報の流通に関する確認のために同じ通信が何度も発生する。

第４の問題点は、個人情報を流通させるときに第三者が個人情報の流通を監視していない状況では、個人情報の流通が正しく行われていることを任意のタイミングで確認できないということである。

その理由は、通信相手が送受信したメッセージを確認して、個人情報が改ざんされていたり、送受信が否認されることなく正しく流通されたことを確認できないためである。第三者が個人情報の流通を監視している状況では、全ての情報を第三者が保持しているため、その情報を参照すれば情報流通が正しく行われたことをいつでも確認できる。また、個人情報を送受信するときには、自身が何の情報を送受信したかを確認できる。しかし、個人情報の送受信が終了すると、自身の通信ログのみが残る。自身のログだけでは、第１の問題点と同様に、通信相手が処理した内容を確認できないため、情報の送受信が正しく行われていたことを示す通信相手の情報が無い。そのため、相手が送付した情報を確認できない。

（発明の目的）
本発明の目的は、公正な第三者が個人情報の送受信に関する公証を行っていない状況において、個人情報管理装置が送信した情報をサービス提供装置が受信する際に、サービス提供装置が個人情報を受信したことを否認できないようにする個人情報照合システムを提供することにある。

本発明の他の目的は、公正な第三者が個人情報流通に関する公証を行っていない状況でも、個人情報管理装置とサービス提供装置が個人情報を送受信するときに、送受信する個人情報が改ざんされた場合にその改ざんを検出することを可能にする個人情報照合システムを提供することにある。

本発明のさらに他の目的は、同じ個人情報を何度も送受信される状況で、個人情報管理装置とサービス提供装置が、個人情報の改ざんがないことと送受信の事実が否認されないことを確認する処理を簡略化できる個人情報照合システムを提供することにある。

本発明のさらに他の目的は、個人情報管理装置とサービス提供装置が、個人情報が改ざんされずに送受信され、また、個人情報の送受信に関する否認が無いことを任意のタイミングで確認できる個人情報照合システムを提供することにある。

本発明による個人情報管理装置は、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する手段と、登録した個人情報を含む不可逆なメッセージ情報を生成する手段と、メッセージ情報を暗号化する手段と、暗号化したメッセージ情報を復号するための復号鍵を生成する手段と、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付する手段と、サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付する手段とを含む。

本発明によるサービス提供装置は、通信回線を介して利用者に対してサービスを提供するサービス提供装置において、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付する手段と、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する手段と、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付する手段と、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得する手段とを含む。

本発明による第１のプログラムは、コンピュータで実現される、個人情報の管理を行う個人情報管理装置上で実行されるプログラムであって、コンピュータに、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する処理と、登録した個人情報を含む不可逆なメッセージ情報を生成する処理と、メッセージ情報を暗号化する処理と、暗号化したメッセージ情報を復号するための復号鍵を生成する処理と、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付する処理と、サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付する処理とを実行させる。

本発明による第２のプログラムは、コンピュータで実現される、通信回線を介して利用者に対してサービスを提供するサービス提供装置上で実行されるプログラムであって、コンピュータに、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付する処理と、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する処理と、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付する処理と、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得する処理とを実行させる。

本発明による個人情報管理方法は、個人情報管理装置上で個人情報の管理を行う個人情報管理方法であって、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録するステップと、登録した個人情報を含む不可逆なメッセージ情報を生成するステップと、メッセージ情報を暗号化するステップと、暗号化したメッセージ情報を復号するための復号鍵を生成するステップと、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付するステップと、サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付するステップとを含む。

本発明による第１の照合方法は、通信回線を介して利用者に対してサービスを提供するサービス提供装置上で実行する利用者の個人情報の照合方法であって、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付するステップと、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得するステップと、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付するステップと、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得するステップとを含む。

本発明による第２の照合方法は、個人情報の管理を行う個人情報管理装置において、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録するステップと、登録した個人情報を含む不可逆なメッセージ情報を生成するステップと、メッセージ情報を暗号化するステップと、暗号化したメッセージ情報を復号するための復号鍵を生成するステップと、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付するステップと、サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付するステップとを含み、通信回線を介して利用者に対してサービスを提供するサービス提供装置において、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付するステップと、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得するステップと、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付するステップと、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得するステップとを含む。

本発明による個人情報照合システムは、個人情報の管理を行う個人情報管理装置において、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する手段と、登録した個人情報を含む不可逆なメッセージ情報を生成する手段と、メッセージ情報を暗号化する手段と、暗号化したメッセージ情報を復号するための復号鍵を生成する手段と、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付する手段と、
サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付する手段とを含み、通信回線を介して利用者に対してサービスを提供するサービス提供装置において、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付する手段と、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する手段と、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付する手段と、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得する手段とを含む。

本発明によれば、以下に示す効果を達成することができる。

第１の効果は、サービス提供装置が個人情報の受信を否認することを、個人情報管理装置が通信負荷を抑えて低コストで防止できることである。

第２の効果は、個人情報管理装置がユーザ端末から取得した個人情報を改ざんしているか否かをサービス提供装置が低コストで検証できることである。

第３の効果は、個人情報管理装置とサービス提供装置がすでに個人情報を送受信していた場合に、個人情報の送受信の処理を簡略化できることである。

第４の効果は、個人情報管理装置とサービス提供装置は、個人情報が改ざんされずに送受信されたこと、また、否認されずに送受信されたことを任意のタイミングに低コストで確認できることである。

第５の効果は、適切な個人情報のみを送受信していることを主張できることである。

第６の効果は、個人情報を利用したサービスを低コストで容易に提供できることである。

本発明の第１の実施の形態の構成の概略を示す図である。 第１の実施の形態の構成を示すブロック図である。 第１の実施の形態の個人情報保管手段において記録される個人情報の例を示す図である。 第１の実施の形態の復号鍵保管手段において登録される情報（テーブル）の例を示す図である。 第１の実施の形態による個人情報管理装置及びサービス提供装置のハードウェア構成例を示すブロック図である。 第１の実施の形態の動作を示す概略図である。 第１の実施の形態の動作を示すフローチャートである。 本発明の第２の実施の形態の構成の概略を示す図である。 第２の実施の形態の構成を示すプロック図である。 第２の実施の形態の個人情報登録証明書発行手段において発行され、個人情報登録証明書保管手段において保管される個人情報登録証明書の例を示す図である。 第２の実施の形態の動作において、個人情報登録に関する動作を示す概略図である。 第２の実施の形態の動作において、個人情報登録に関する動作を示すフローチャートである。 第２の実施の形態の動作において、個人情報の送受信に関する動作を示す概略図である。 第２の実施の形態の動作において、個人情報の送受信に関する動作を示すフローチャートである。 本発明の第３の実施の形態の構成を示すブロック図である。 第３の実施の形態の動作を示す概略図である。 第３の実施の形態の動作を示すフローチャートである。 本発明の第４の実施の形態の構成を示すブロック図である。 第４の実施の形態の通信記録保管手段において保管される通信履歴の例を示す図である。 第４の実施の形態の動作において、個人情報管理装置の動作を示すフローチャートである。 第４の実施の形態の動作において、サービス提供装置の動作を示すフローチャートである。 本発明の第５の実施の形態の構成を示すブロック図である。 本発明の実施例１を示す図である。 実施例１の構成を示すブロック図である。 実施例２の構成を示すブロック図である。 実施例２の構成を示すブロック図である。 特許文献１に記載の情報の改ざんや否認を防止する電子文書配信システムを示すブロック図である。 本発明が想定する個人情報を送受信する状況を示す図である。

（第１の実施の形態）
次に、本発明の第１の実施の形態について図面を参照して詳細に説明する。

（第１の実施の形態の構成）
図１は本実施の形態の構成の概略を示す図、図２は本実施の形態の構成を示すブロック図であり、図１を参照すると、本実施の形態は、ネットワーク２０００を介して個人情報管理装置１及びサービス提供装置２が接続されている。

図２を参照すると、本実施の形態は、個人情報管理装置１とサービス提供装置２とネットワーク２０００とから構成されている。

個人情報管理装置１は、個人情報保管手段１１と、個人情報要求確認手段１２と、送信情報生成部１３と、通信手段１４とを含む。さらに、送信情報生成部１３は、送信メッセージ生成手段１３１と個人情報暗号化手段１３２と復号鍵保管手段１３３と復号鍵送付手段１３４とを含む。

一方、サービス提供装置２は、個人情報要求部２１と、個人情報確認部２２と、通信手段２３とを含む。さらに、個人情報要求部２１は要求メッセージ生成手段２１１と応答確認手段２１２とを含み、個人情報確認部２２は復号鍵要求手段２２１と個人情報復号手段２２２とを含む。

これらの手段はそれぞれ概略つぎのように動作する。

個人情報保管手段１１は、個人情報管理装置１が保持する個人情報を記録する。

ここで、個人情報保管手段１１において記録される個人情報の例を図３に示す。

図３を参照すると、この個人情報は、記録する各個人情報を識別するユーザＩＤ毎に、ユーザの氏名、住所、電話番号、メールアドレスを対応付けて記録される。また、個人情報は、ユーザの購入履歴等のマーケティング情報等を含んでいてもよい。

個人情報要求確認手段１２は、他の装置が個人情報管理装置１に送付した要求メッセージを解析する処理を行う。すなわち、個人情報要求確認手段１２は、送付された要求が、個人情報の要求であるか、暗号化された個人情報を復号するための復号鍵の要求であるかを解析する。

送信メッセージ生成手段１３１は、個人情報保管手段１１から個人情報を取得し、取得した個人情報に基づいて、他の装置に送付する応答メッセージ（個人情報応答メッセージ）を生成する。

個人情報暗号化手段１３２は、送付する個人情報の暗号鍵、復号鍵を生成し、個人情報を暗号化する。ここでは、通信手段１４が通信路を暗号化（例えばＳＳＬなどを利用した暗号化）しているか否かにかかわらず必ず個人情報を暗号化する。生成した鍵は、復号鍵保管手段１３３に保管する。さらに、暗号化した情報に個人情報管理装置１自身の署名をつける。この処理によって、サービス提供装置２が個人情報を不正に改ざんした場合に、個人情報管理装置１はその改ざんに関与していないことを証明できる。なぜならば、情報を改ざんすると、個人情報管理装置１が付与した署名の検証に失敗するので、個人情報管理装置１とは別の装置が改ざんしていることを証明できからである。

復号鍵保管手段１３３は、復号鍵とそれに関連する情報を登録しておく。関連する情報とは、例えば、暗号鍵や暗号化した個人情報に関するユーザ名、個人情報の送信先である受信装置名である。すなわち、復号鍵保管手段１３３は、個人情報の主体であるユーザごとに復号鍵を管理する。

ここで、復号鍵保管手段１３３において登録される情報（テーブル）の例を図４に示す。

図４を参照すると、当該情報（テーブル）は、取得したユーザの個人情報の各属性（氏名・住所・電話番号・メールアドレス等）毎に、取得した個人情報の各属性を識別するユーザＩＤと、取得日時と、暗号化したそれらの情報を復号する復号鍵とを対応付けて登録される。なお、当該情報（テーブル）の例において、復号鍵の形式として、ＸＭＬ暗号（W3C Recommendation, "XML Encryption Syntax and Processing", 10
December 2002 http://www.w3.org/TR/xmlenc-core/、非特許文献３）及びＸＭＬ署名（W3C Recommendation, "XML-Signature Syntax and Processing", 12
February 2002 http://www.w3.org/TR/xmldsig-core/、非特許文献４）で定義された形式を用いているが、勿論、他の形式を用いてもよく、用いる形式として特に制限はない。

復号鍵送付手段１３４は、個人情報管理装置１が個人情報を暗号化して送った装置が、復号鍵を要求してきた場合に、復号鍵保管手段１３３に保管してある復号鍵を送信する。すなわち、復号鍵送付手段１３４は、メッセージＩＤ等を比較することによって、復号鍵要求メッセージと、個人情報応答メッセージとの対応関係を調べる。

通信手段１４は、個人情報暗号化手段１３２が生成した情報や、復号鍵送付手段１３４による情報を他の装置に送信したり、他の装置が個人情報管理装置１向けに送付したメッセージを受信したりする。

要求メッセージ生成手段２１１は、必要な個人情報を他の装置に要求するために要求メッセージ（個人情報要求メッセージ）を生成する。

応答確認手段２１２は、応答メッセージを確認する。確認する内容は、例えば、通信手段２３が受信した個人情報要求に対する応答メッセージ（個人情報応答メッセージ）に個人情報管理装置１の署名がついているか否か、その署名は正しいか否か、ということである。個人情報管理装置１の署名が正しくついていることを確認することによって、サービス提供装置２は、個人情報管理装置１が個人情報の送信について否認することを防ぐことができる。

復号鍵要求手段２２１は、暗号化された個人情報を受信した場合に、暗号を解くための復号鍵を要求するメッセージ（復号鍵要求メッセージ）を生成する。すなわち、復号鍵要求手段２２１は、暗号化された特定の個人情報を復号するために、当該暗号化された特定の個人情報に対応する特定の復号鍵を要求する。

個人情報復号手段２２２は、通信手段２３が受信した暗号化された個人情報を、復号鍵を用いて復号し、個人情報を取得する。

通信手段２３は、個人情報要求メッセージや復号鍵要求メッセージ等を送信する。また、暗号化された個人情報や復号鍵を受信する。

ここで、個人情報管理装置１及びサービス提供装置２のハードウェア構成例の説明をする。

図５は、本実施の形態による個人情報管理装置１及びサービス提供装置２のハードウェア構成例を示すブロック図である。

図５を参照すると、本発明による個人情報管理装置１及びサービス提供装置２は、一般的なコンピュータ装置と同様のハードウェア構成によって実現することができ、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１００１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメインメモリであり、データの作業領域やデータの一時退避領域に用いられる主記憶部１００２、ネットワーク２０００を介してデータの送受信を行う通信制御部１００３、液晶ディスプレイ、プリンタやスピーカ等の提示部１００４、キーボードやマウス等の入力部１００５、周辺機器と接続してデータの送受信を行うインタフェース部１００６、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、磁気ディスク、半導体メモリ等の不揮発性メモリから構成されるハードディスク装置である補助記憶部１００７、本情報処理装置の上記各構成要素を相互に接続するシステムバス１００８等を備えている。

本発明による個人情報管理装置１及びサービス提供装置２は、その動作を、個人情報管理装置１及びサービス提供装置２内部にそのような機能を実現するプログラムを組み込んだ、ＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）等のハードウェア部品からなる回路部品を実装してハードウェア的に実現することは勿論として、上記した各構成要素の各機能を提供するプログラムを、コンピュータ処理装置上のＣＰＵ１００１で実行することにより、ソフトウェア的に実現することができる。

すなわち、ＣＰＵ１００１は、補助記憶部１００７に格納されているプログラムを、主記憶部１００２にロードして実行し、個人情報管理装置１又はサービス提供装置２の動作を制御することにより、上述した各機能をソフトウェア的に実現する。

なお、後述する個人情報管理装置４、６、８、サービス提供装置５、７、９が上述のような構成を有し、上述した各機能をハードウェア的又はソフトウェア的に実現してもよい。

（第１の実施の形態の動作）
次に、図２〜図７を参照して本実施の形態の全体の動作について詳細に説明する。

前提として、ユーザは個人情報を個人情報保管手段１１に登録しているものとする。この状況で、サービス提供装置２が個人情報管理装置１に個人情報を要求して、個人情報を取得する。

まず、図６を用い、サービス提供装置２が個人情報管理装置１に個人情報を要求して個人情報を取得する動作の概略を説明する。

（１）サービス提供装置２が、サービス提供装置２の電子署名付きの個人情報要求メッセージを個人情報管理装置１に対して送信する。

（２）個人情報管理装置１が、電子署名を認証すると、要求された個人情報を暗号化する。

（３）個人情報管理装置１が、暗号化された個人情報に電子署名をつけてサービス提供装置２に対して送信する。

（４）サービス提供装置２が、暗号化された個人情報を受信し、電子署名を認証すると、サービス提供装置２の電子署名付きの復号鍵要求メッセージを個人情報管理装置１に対して送信する。

（５）個人情報管理装置１が、電子署名を認証すると、復号鍵をサービス提供装置２に対して送信する。

（６）サービス提供装置２が、暗号化された個人情報を復号して個人情報を取得する。

次いで、図２及び図７のフローチャートを用い、サービス提供装置２が個人情報管理装置１に個人情報を要求して個人情報を取得する動作を詳細に説明する。

まず、要求メッセージ生成手段２１１が個人情報要求メッセージを生成する（ステップＳ１）。この処理は、例えば、個人情報を利用する装置が、個人情報を取得する際に、要求メッセージ生成手段２１１に個人情報要求を伝えることによって開始される。

この処理によって生成する個人情報要求メッセージには、サービス提供装置２の電子署名をつける。この電子署名によって、サービス提供装置２は、個人情報を要求したことを否認することができなくなる。

次に、サービス提供装置２の通信手段２３が、個人情報管理装置１の通信手段１４に個人情報要求メッセージを送付する（ステップＳ２）。

個人情報管理装置１が個人情報要求メッセージを受信すると、個人情報要求確認手段１２が要求メッセージを確認する（ステップＳ３）。ここで、確認処理には、例えば、個人情報管理装置１で管理している個人情報であるか否かの確認、メッセージに付加されている電子署名の検証といった処理が含まれる。

確認処理が終了すると、送信メッセージ生成手段１３１が、個人情報保管手段１１から個人情報を取得し、取得した個人情報に基づいて応答メッセージを生成する（ステップＳ４）。

次に、個人情報暗号化手段１３２が前記応答メッセージを暗号化し、電子署名をつける（ステップＳ５）。このときに、暗号鍵と復号鍵を生成して、復号鍵を復号鍵保管手段１３３に登録しておく。電子署名をつけることで、サービス提供装置２での個人情報の改ざんを防止し、個人情報管理装置１は、個人情報を送付したことを否認することができなくなる。

次に、個人情報管理装置１の通信手段１４が、サービス提供装置２の通信手段２３に前記応答メッセージを送付する（ステップＳ６）。

サービス提供装置２が応答メッセージを受け取ると、応答確認手段２１２が応答メッセージを確認する（ステップＳ７）。この確認作業は、例えば、応答メッセージの電子署名の検証である。

次に、復号鍵要求手段２２１が、ステップＳ６で取得した情報を復号するための復号鍵を要求するメッセージを生成する（ステップＳ８）。

次に、サービス提供装置２の通信装置２３が、個人情報管理装置１の通信手段１４に復号鍵要求メッセージを送付する（ステップＳ９）。このメッセージには、サービス提供装置２の電子署名をつける。個人情報管理装置１とサービス提供装置２間における復号鍵要求メッセージの送受信によってａｃｋに相当する処理を行うことで、ａｃｋと同等の効果が生まれ、ａｃｋが不要になるので（復号鍵の要求を個人情報取得の確認メッセージとみなすことができるので）、署名つき復号鍵要求メッセージを受け取った個人情報管理装置１は、個人情報要求装置２が暗号化済み個人情報をすでに取得していることを否認することを防止できる。

個人情報管理装置１が復号鍵要求メッセージを受信すると、復号鍵送付手段１３４が復号鍵保管手段１３３を検索して復号鍵を取得する（ステップＳ１０）。

次に、個人情報管理装置１の通信手段１４が、サービス提供装置２の通信手段２３に復号鍵を送付する（ステップＳ１１）。

サービス提供装置２が復号鍵を取得すると、個人情報復号手段２２２が、すでに取得していた暗号化済み個人情報を復号する（ステップＳ１２）。

以上の動作によって、個人情報管理装置１は、サービス提供装置２から個人情報の受信確認のメッセージを取得できるので、個人情報の送受信の否認を防止できる。

（第１の実施の形態の効果）
次に、本実施の形態の効果について説明する。本実施の形態によれば、以下の効果を達成する。

第１に、サービス提供装置２は個人情報を自身で管理するのではなく必要に応じて個人情報を個人情報管理装置１より取得する、というように構成されているため、サービス提供装置２は個人情報を管理する必要がなくなり、個人情報を管理するコストを削減できる。

第２に、サービス提供装置２が、サービス提供装置２の電子署名付きの個人情報要求メッセージを個人情報管理装置１に対して送信するため、この電子署名によって、サービス提供装置２が個人情報を要求したことを否認することを個人情報管理装置１が防止できる。

第３に、個人情報管理装置１が、暗号化された個人情報に電子署名をつけてサービス提供装置２に対して送信するため、この電子署名によって、サービス提供装置２での個人情報の改ざんを防止でき、また、個人情報管理装置１は、個人情報を送付したことを否認することができなくなる。

第４に、暗号化されている応答メッセージに対する復号鍵要求メッセージの送受信によってａｃｋに相当する処理を行うことで、ａｃｋと同等の効果が生まれるため、署名つき復号鍵要求メッセージを受け取った個人情報管理装置１は、ａｃｋによる処理を行うことなく、また、個人情報の流通を監視する第三者を必要とすることなく、個人情報要求装置２が暗号化済み個人情報をすでに取得していることを否認することを防止できる。すなわち、暗号化されている応答メッセージを受信したサービス提供装置２が必ず個人情報管理装置１へ個人情報の受信確認のメッセージ（復号鍵要求メッセージ）を送付するため、サービス提供装置２が個人情報の受信を否認することを、個人情報管理装置１は、個人情報の流通を監視する第三者を必要とすることなく通信負荷を抑えて低コストで防止できる。

（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。

（第２の実施の形態の構成）
図８は本実施の形態の構成の概略を示す図、図９は本実施の形態の構成を示すブロック図であり、図８を参照すると、本実施の形態は、ネットワーク２０００を介してユーザ端末３、個人情報管理装置４及びサービス提供装置５が接続されている。

図９を参照すると、本発明の第２の実施の形態は、ユーザ端末３と個人情報管理装置４とサービス提供装置５とネットワーク２０００とから構成される。

個人情報管理装置４は、図２に示した第１の実施の形態における個人情報管理装置１の構成要素に加え、個人情報登録部４１と、個人情報登録証明書保管手段４２と、個人情報登録証明書確認手段４３とを有する。

また、サービス提供装置５は、図２に示した第１の実施の形態におけるサービス提供装置２の構成に加え、個人情報登録証明書取得手段５１と、個人情報登録証明書保管手段５２と、個人情報検証手段５３とを有する。個人情報登録部４１は、個人情報受付手段４１１と、個人情報登録証明書発行手段４１２とを含む。

これらの手段はそれぞれ次のように動作する。

個人情報受付手段４１１は、ユーザ端末３が登録要求した個人情報を個人情報保管手段１５に格納する。

個人情報登録証明書発行手段４１２は、個人情報に対応した個人情報登録証明書を発行する。この個人情報登録証明書は、他の装置が個人情報管理装置４に対して個人情報を要求するときに必要となる情報である。もし、この個人情報登録証明書を他の装置が提示しない場合には個人情報管理装置４は個人情報を送信しない。個人情報登録証明書には、個人情報に関連する情報と、個人情報と個人情報登録証明書を１対１に結びつける情報が含まれている。例えば、個人情報登録証明書には、個人情報の種類、個人情報を登録したユーザ、登録時刻、個人情報等から生成した一方向性ハッシュ値、個人情報処理装置４の電子署名を含める。

ここで、個人情報登録証明書は、ユーザによって登録された個人情報を個人情報管理装置４が改ざんせずに管理していることを他の装置に主張するためのデータである。この証明書は、ユーザ名、登録時間、登録した個人情報名だけでなく、個人情報から生成される一方向性ハッシュ値等、登録した個人情報から一意に決まる情報を含む。

この情報を利用することで、ユーザ端末３、そのユーザ及びサービス提供装置５は、ユーザの個人情報が改ざんされていないことを確認できる。例えば、ユーザ端末３は、登録した個人情報から生成されるハッシュ値と個人情報登録証明書に含まれているハッシュ値との比較をすることによって、個人情報管理装置４が正しい情報を登録しているか否かを確認できる。また、サービス提供装置５は、個人情報管理装置４から取得した個人情報に基づいて生成されるハッシュ値と、ユーザ端末３から取得した証明書に含まれるハッシュ値を比較することで、個人情報管理装置４がユーザ端末３から取得した個人情報を改ざんせずに管理しているか否かを確認できる。

個人情報登録証明書保管手段４２は、個人情報登録証明書発行手段４１２が発行した個人情報登録証明書を保管する。

図１０は、個人情報登録証明書発行手段４１２において発行され、個人情報登録証明書保管手段４２において保管される個人情報登録証明書の例を示す図である。

図１０を参照すると、当該個人情報登録証明書は、個人情報受付手段４１１において格納されたユーザの個人情報の各属性（氏名・住所・電話番号・メールアドレス等）毎に、取得した個人情報の各属性を識別するユーザＩＤと、取得日時と、個人情報証明データとを対応付けて発行される。なお、個人情報証明データは、個人情報の各属性に基づいて生成されたハッシュ値であり、例えば、“1b9fb2f257720d7bcfdc8f74f002a12c”は、“山田
太郎”に基づいて生成された値である。

個人情報登録証明書確認手段４３は、他の装置が個人情報管理装置４に送付した個人情報登録証明書を確認する。この確認は、個人情報登録証明書の署名を検証して個人情報登録証明書が改ざんされていないことを確認し、個人情報が個人情報保管手段１５に保管されていることを確認する処理である。

個人情報登録証明書取得手段５１は、個人情報を取得する際に必要となる個人情報登録証明書をユーザ端末３から取得する。

個人情報登録証明書保管手段５２は、個人情報登録証明書取得手段５１が取得した個人情報登録証明書を保管する。

個人情報検証手段５３は、ユーザ端末３から取得した個人情報登録証明書に含まれる情報と、個人情報管理装置４から取得した個人情報を比較する。ここで比較する内容は、例えば、個人情報管理装置から取得した個人情報から生成したハッシュ値と個人情報登録証明書に含まれているハッシュ値の比較であり、同じであるならば個人情報は改ざんされていないと判断する。

（第２の実施の形態の動作）
次に、図９〜図１４を参照して本実施の形態の動作について説明する。この動作は、ユーザ端末３が個人情報管理装置４に個人情報を登録する動作と、サービス提供装置５が個人情報管理装置４から個人情報を取得する動作に分けられる。

まず、図９、図１１の概略図及び図１２のフローチャートを用いて、ユーザ端末３が個人情報を登録するときの動作について説明する。

ユーザ端末３は、サービスの提供を要求したサービス提供装置５から個人情報の登録要求を通知されること等によって、個人情報管理装置４に対して個人情報を送信し（図１１の（１））、個人情報受付手段４１１を介して個人情報管理装置４の個人情報保管手段１１に個人情報を登録する（図１２のステップＡ１、図１１の（２））。

次に、個人情報登録証明書発行手段４１２が、ステップＡ１で取得した個人情報に対応する個人情報登録証明書を発行する（ステップＡ２）。

さらに、個人情報登録証明書保管手段４２において、ステップＡ１で取得した個人情報とステップＡ２で発行した個人情報登録証明書を対応付けて登録する（ステップＡ３、図１１の（３））。

次に、個人情報登録証明書発行手段４１２は、ユーザ端末３に対して個人情報登録証明書を送付する（ステップＡ４、図１１の（４））。

ユーザ端末３は、個人情報登録証明書を取得すると、個人情報登録証明書と個人情報の関係が正しいか否かの確認処理をする（ステップＡ５、図１１の（５））。この処理は、例えば、ユーザ端末３がステップＡ１で個人情報管理装置４に対して送信した個人情報に対するハッシュ値と、個人情報管理装置４が発行した個人情報登録証明書に書かれているハッシュ値を比較し、登録した個人情報が正しいものであるか否かを確認する。ユーザ端末３のユーザによって、取得した個人情報登録証明書と個人情報の関係が正しいか否かの確認入力がなされてもよい。もし、ハッシュ値が異なっている場合には、個人情報管理装置４はユーザ端末３が登録要求した個人情報と異なる情報を登録していることになるので、個人情報登録処理を途中で終了する。一方、ハッシュ値が同じ場合は、個人情報管理装置４はユーザ端末３が登録要求した情報をそのまま登録したことになる。

ハッシュ値が同じ場合は次に、ユーザ端末３が、個人情報登録証明書保管手段５２に対して個人情報登録証明書を送信し（図１１の（６））、サービス提供装置５の個人情報登録証明書取得手段５１を介し、個人情報登録証明書を個人情報登録証明書保管手段５２に登録する（ステップＡ６、図１１の（７））。ユーザ端末３が個人情報を登録した際に個人情報管理装置４から取得した個人情報登録証明書をあらかじめサービス提供装置５に登録しておくことで、サービス提供装置５は、任意のタイミングで個人情報管理装置４より個人情報を取得することができる。

次に、図９、図１３の概略図及び図１４のフローチャートを用いて、サービス提供装置５が、個人情報管理装置４に個人情報を要求し、個人情報を取得する動作について説明する。

まず、図１３を用い、サービス提供装置５が、個人情報管理装置４に個人情報を要求して個人情報を取得する動作の概略を説明する。

（１）サービス提供装置５が、サービス提供装置５の電子署名付きの個人情報要求メッセージ及び個人情報登録証明書を個人情報管理装置４に対して送信する。

（２）個人情報管理装置４が、電子署名及び個人情報登録証明書を認証すると、要求された個人情報を暗号化する。

（３）個人情報管理装置４が、暗号化された個人情報に電子署名をつけてサービス提供装置５に対して送信する。

（４）サービス提供装置５が、暗号化された個人情報を受信し、電子署名を認証すると、サービス提供装置５の電子署名付きの復号鍵要求メッセージを個人情報管理装置４に対して送信する。

（５）個人情報管理装置４が、電子署名を認証すると、復号鍵をサービス提供装置５に対して送信する。

（６）サービス提供装置５が、暗号化された個人情報を復号して取得した個人情報を検証する。

次いで、図９及び図１４を用い、サービス提供装置５が個人情報管理装置４に個人情報を要求して個人情報を取得する動作を詳細に説明する。

サービス提供装置５が個人情報を利用するために他の装置からの取得を開始する状況とは、要求メッセージ生成手段２１１が個人情報の要求に関する依頼を受けたときである。このときに要求メッセージ生成手段２１１は、要求する個人情報に関する個人情報登録証明書があるか確認するために、個人情報登録証明書保管手段５２を検索する（図１４のステップＢ１）。個人情報登録証明書がない場合には、個人情報管理装置４とサービス提供装置５との間で個人情報の送受信を行わない。

個人情報登録証明書がある場合には、要求メッセージ生成手段２１１が、個人情報登録証明書を取得して個人情報要求メッセージを生成する（ステップＢ２）。ここで、個人情報要求メッセージには、サービス提供装置５の電子署名をつける。電子署名によって、サービス提供装置５が個人情報を要求することを否認することができなくなる。

次に、サービス提供装置５の通信手段２３が、サービス提供装置４の通信手段１４に個人情報要求メッセージと、個人情報登録証明書をまとめて送付する（ステップＢ３）。

サービス提供装置４が個人情報要求メッセージを受信すると、個人情報要求確認手段１２が要求メッセージを確認する（ステップＢ４）。ここで確認する処理は、例えば、個人情報を管理しているか確認したり、メッセージについている電子署名を検証したりする処理である。

確認処理が終了すると、個人情報登録証明書確認手段４３が、次にサービス提供装置５から取得した個人情報登録証明書を確認する（ステップＢ５）。この確認処理は、例えば、個人情報登録証明書の電子署名を確認したり、個人情報登録証明書に対応する個人情報が個人情報保管手段１１に登録されているか確認したりする。確認作業に失敗した場合は、個人情報管理装置４は、個人情報要求確認手段１２においてエラーメッセージを生成し、通信手段１４を介してサービス提供装置５にエラーメッセージを送付し、個人情報の送受信を中止する（ステップＢ６）。

確認作業が正常終了すると、送信メッセージ生成手段１３１が個人情報保管手段１１から個人情報を送付し、応答メッセージを生成する（ステップＢ７）。

次に、個人情報暗号化手段１３２が、前記応答メッセージを暗号化し、電子署名をつける（ステップＢ８）。このときに、暗号鍵と復号鍵を生成して、復号鍵を復号鍵保管手段に１３３に登録する。電子署名をつけることで、サービス提供装置５での個人情報の改ざんを防止し、個人情報管理装置４が個人情報を送付したことの否認を防止することができる。

次に、個人情報管理装置４の通信手段１４が、サービス提供装置５の通信手段２３に前記応答メッセージを送付する（ステップＢ９）。

サービス提供装置５が応答メッセージを受け取ると、応答確認手段２１２が応答メッセージを確認する（ステップＢ１０）。この確認作業は、例えば、応答メッセージの電子署名の検証である。

次に、復号鍵要求手段２２１が、ステップＢ９で取得した情報に対応する復号鍵を要求するためのメッセージを生成する（ステップＢ１１）。

次に、サービス提供装置５の通信装置２３が、個人情報管理装置４の通信手段１４に復号鍵要求メッセージを送付する（ステップＢ１２）。このメッセージには、サービス提供装置５の電子署名をつける。これによって、署名つき復号鍵要求メッセージを受け取った個人情報管理装置４は、個人情報要求装置５が暗号化ずみ個人情報をすでに取得していることを否認できなくなる。

個人情報管理装置４が復号鍵要求メッセージを受信すると、復号鍵送付手段１３４が、復号鍵保管手段１３３を検索して復号鍵を取得する（ステップＢ１３）。

次に、個人情報管理装置４の通信手段１４が、サービス提供装置５の通信手段２３に復号鍵を送付する（ステップＢ１４）。

サービス提供装置５が復号鍵を取得すると、個人情報復号手段２２２が、すでに取得していた暗号化個人情報を復号する（ステップＢ１５）。

次に、復号した個人情報を個人情報検証手段５３が検証する（ステップＢ１６）。ここで検証する処理は、例えば、個人情報から生成したハッシュ値と個人情報登録証明書に含まれているハッシュ値を比較する。同じであれば、サービス提供装置５は、個人情報管理装置４によって個人情報が改ざんされていないことを確認できる。もし、個人情報の確認に失敗した場合は、個人情報が改ざんされていると判断し、個人情報の送受信の処理を終了する。

（第２の実施の形態の効果）
次に、本実施の形態の効果について説明する。

本実施の形態では、個人情報管理装置４とサービス提供装置５は、それぞれが否認防止するための手段を持っており、送受信したメッセージを確認する、というように構成されているため、個人情報管理装置４とサービス提供装置５は個人情報を独立して管理でき、適切な個人情報のみを送受信していることを証明できる。

（第３の実施の形態）
次に本発明の第３の実施の形態について図面を参照して詳細に説明する。

（第３の実施の形態の構成）
図１５を参照すると、本発明の第３の実施の形態は、個人情報管理装置６が、図９に示した第２の実施の形態における個人情報管理装置４の構成要素に加え、生成済み復号検索手段６１を備える点で異なる。また、サービス提供装置７が、図９に示した第２の実施の形態におけるサービス提供装置５の構成要素に加え、取得済み復号鍵検索手段７１と、復号鍵保管手段７２とを備える点で異なる。

これらの手段はそれぞれ次のように動作する。

生成済み復号鍵検索手段６１は、復号鍵保管手段１３３を検索し、個人情報管理装置６がすでに復号鍵を生成しているか否かを判別する。

取得済み復号鍵検索手段７１は、復号鍵保管手段７２を検索し、復号鍵をすでにサービス提供装置７が取得していたか否かを判断する。取得していた場合は復号鍵を利用して個人情報を復号する処理に移り、取得していなかった場合は復号鍵を要求する処理に移る。

復号鍵保管手段７２は、復号鍵とそれに関連する情報を保管する。関連する情報とは、例えば、復号鍵を発行した個人情報管理装置に割り振られたＩＤ、ユーザ名などである。

（第３の実施の形態の動作）
次に、図１５、図１６の概略図及び図１７のフローチャートを用いて本実施の形態の全体の動作について説明する。

まず、図１６を用い、サービス提供装置７が、個人情報管理装置６に個人情報を要求して個人情報を取得する動作の概略を説明する。

（１）サービス提供装置７が、サービス提供装置７の電子署名付きの個人情報要求メッセージ及び個人情報登録証明書を個人情報管理装置６に対して送信する。

（２）個人情報管理装置６が、電子署名及び個人情報登録証明書を認証し、復号鍵保管手段１３３を検索して取得した復号鍵によって、要求された個人情報を暗号化する。

（３）個人情報管理装置６が、暗号化された個人情報に電子署名をつけてサービス提供装置７に対して送信する。

（４）サービス提供装置７が、暗号化された個人情報を受信し、電子署名を認証すると、取得済みの復号鍵によって、暗号化された個人情報を復号して個人情報を取得する。

次いで、図１５及び図１７を用い、サービス提供装置７が個人情報管理装置６に個人情報を要求して個人情報を取得する動作を詳細に説明する。

サービス提供装置７が、個人情報管理装置６に個人情報を要求して個人情報登録証明書を送付する動作は、本発明の第２の実施の形態のステップＢ１からステップＢ７までと同じ動作である（図１７のステップＢ１からステップＢ７）。

個人情報管理装置６が送付する応答メッセージの生成が終了すると、生成済み復号鍵検索手段６１が復号鍵保管手段１３３を検索し、個人情報管理装置６が復号鍵をすでに生成してあるか否かを確認する（ステップＣ１）。

すでに生成している場合には、個人情報暗号化手段１３２が、復号鍵保管手段１３３より復号鍵を取得して応答メッセージを暗号化する（ステップＣ２）。

しかし、ステップＣ１で復号鍵がない場合には、個人情報暗号化手段１３２が、暗号鍵と復号鍵を生成して復号鍵保管手段１３３に登録し、応答メッセージを暗号化する（ステップＣ３）。個人情報暗号化手段１３２は、応答メッセージを暗号化したときには、当該応答メッセージに個人情報管理装置６の署名をつけておく。

次に、応答メッセージを通信手段１４が通信手段２３に送付する（ステップＢ９）。

サービス提供装置７が応答メッセージを受け取ると、応答確認手段２１２が応答メッセージを確認する（ステップＢ１０）。

次に、取得済み復号鍵検索手段７１が、復号鍵保管手段７２を検索し、すでに復号鍵を取得していたか否かを判断する（ステップＣ４）。

もし、復号鍵が復号鍵保管手段７２に存在する場合は、取得済み復号鍵検索手段７１が復号鍵を取得する（ステップＣ５）。

次に、本発明の第２の実施の形態のステップＢ１５以降の処理と同じ動作をする。

一方、ステップＣ４で復号鍵がない場合は、本発明の第２の実施の形態のステップＢ１１からステップＢ１４と同じ処理をする。

サービス提供装置７が復号鍵を取得すると、復号鍵を復号鍵保管手段７２に登録する（ステップＣ６）。

次に、個人情報を前記取得した復号鍵を用いて復号する（ステップＢ１５）。

復号された個人情報は、本発明の第２の実施の形態のステップＢ１６と同様に個人情報検証手段５３が検証する（ステップＢ１６）。

（第３の実施の形態の効果）
次に、本発明の実施の形態の効果について説明する。

本発明の実施の形態では、サービス提供装置７が同じ情報を何度も要求する場合には、通信を簡略化できる。

その理由は、復号鍵をすでに取得している場合は復号鍵を再利用するというように構成されているためである。サービス提供装置７が同じ情報を何度も要求する場合は、サービス提供装置７自身が個人情報を管理しない場合である。サービス提供装置７が個人情報を管理しないことでプライバシ管理のコストを減らすことができる。サービス提供装置７は、自身で個人情報を管理しない場合でも、復号鍵を管理することによって、復号鍵の要求・応答メッセージの交換をなくすことができ、個人情報交換の通信を簡略化できる。

（第４の実施の形態）
次に、本発明の第４の実施の形態について図面を参照して詳細に説明する。

（第４の実施の形態の構成）
図１８を参照すると、本発明の第４の実施の形態は、個人情報管理装置８が、図１５に示した第３の実施の形態における個人情報管理装置６の構成要素に加え、通信記録保管手段８１と送信情報確認手段８２を有する点で異なる。また、サービス提供装置９が図１５に示した第３の実施の形態におけるサービス提供装置７の構成要素に加え、通信記録保管手段９１と送信情報確認手段９２を有する点で異なる。

通信記録保管手段８１は、通信履歴（通信記録）を保管する手段であって、個人情報管理装置８が送信または、受信したメッセージを保管する。

ここで、通信記録保管手段８１において保管される通信履歴の例を図１９に示す。

図１９を参照すると、当該通信履歴は、通信日時毎に、Receive、Send等のactionと、通信相手と、通信した際のメッセージ本文とを対応付けて保管される。なお、メッセージ本文の形式に特に制限はない。

送信情報確認手段８２は、個人情報管理装置８が送付した暗号化個人情報が正しい情報であったか確認する。

通信記録保管手段９１は、サービス提供装置９が送信または、受信したメッセージを保管する。

送信情報確認手段９２は、サービス提供装置９が送付した個人情報要求メッセージや個人情報登録証明書が正しい情報であったか確認する。

（第４の実施の形態の動作）
次に、図１８、図２０及び図２１のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。

個人情報管理装置８は、個人情報にかかわるメッセージの送受信をするときに、全てのメッセージを通信記録保管手段８１に管理する。同様に、サービス提供装置９は、個人情報にかかわるメッセージの送受信をするときに、全てのメッセージを通信記録保管手段９１に管理する。

そして、個人情報管理装置８は、任意のタイミングで個人情報の流通が正しく行われていたか確認するための処理を開始する。そのための最初の処理として、個人情報管理装置８は、通信記録保管手段８１に保管されている個人情報要求メッセージを取得し、個人情報要求確認手段１２を用いて個人情報要求メッセージを確認する（ステップＤ１）。ここでの確認処理は、例えば、個人情報要求メッセージについている電子署名の検証や要求している個人情報を管理しているか否かを確認する処理である。

次に、個人情報管理装置８は、個人情報登録証明書確認手段４３を用い、通信記録保管手段８１が管理している受信した個人情報登録証明書を確認する（ステップＤ２）。この確認処理は、例えば、個人情報登録証明書の署名を検証するといった個人情報登録証明書の有効性を確認する処理である。

次に、個人情報管理装置８は、送信情報確認手段８２を用い、通信記録保管手段８１が管理している送信情報を確認する（ステップＤ３）。この処理は、例えば、送信情報が暗号化されていたか、電子署名がついていたか、などを確認する処理である。

次に、個人情報管理装置８は、送信情報確認手段８２を用い、通信記録保管手段８１が管理している復号鍵要求メッセージを確認する（ステップＤ４）。これは、例えば、復号鍵要求メッセージについている電子署名の検証や、実際に個人情報管理装置８が復号鍵を送付していたか否かを確認する処理である。

一方、サービス提供装置９での確認処理は、まず、送信情報確認手段９２を用い、送信した個人情報要求メッセージを確認する（ステップＥ１）。この要求メッセージは、通信記録保管手段９１で管理されている。ステップＥ１では、例えば、要求メッセージについている署名の検証等である。

次に、サービス提供装置９は、送信情報確認手段９２を用い、個人情報管理装置８に送信した個人情報登録証明書を確認する（ステップＥ２）。ここで確認する個人情報登録証明書は、通信記録保管手段９１に登録されている個人情報登録証明書である。ここでは、例えば、署名や個人情報登録証明書有効期限等の個人情報登録証明書の有効であるか否かを確認する。

次に、サービス提供装置９は、個人情報復号手段２２２を利用し、受信した個人情報を確認する（ステップＥ３）。ここでは、例えば、受信したメッセージの署名検証や、個人情報登録証明書と個人情報の対応を確認する処理を行う。

（第４の実施の形態の効果）
次に、本実施の形態の効果について説明する。

本発明の実施の形態では、個人情報を扱う個人情報管理装置８及びサービス提供装置９は、個人情報を正しく送受信した証拠をいつでも提出することができる。その理由は、個人情報を扱う個人情報管理装置８及びサービス提供装置９は、全ての通信ログを管理しており、任意のタイミングで通信ログを用いてどの個人情報を送受信したか確認できるためである。

（第５の実施の形態）
次に、本発明の第５の実施の形態について図面を参照して詳細に説明する。

図２２を参照すると、本発明の第５の実施の形態は、第１、第２、第３及び第４の実施の形態と同様に、個人情報管理装置Ａと、サービス提供装置Ｃとを備える。

個人情報管理用プログラムＢは、個人情報管理装置Ａの動作を制御し、サービス提供装置Ｃからの要求に従って、個人情報や復号鍵をサービス提供装置Ｃに送付したり、個人情報を取得するための個人情報登録証明書を発行したりする。個人情報管理装置Ａは、個人情報管理用プログラムＢの制御により第１、第２、第３及び第４の実施の形態における個人情報管理装置１、４、６、８による処理と同一の処理を実行する。

個人情報受信用プログラムＤは、サービス提供装置Ｃの動作を制御し、個人情報要求メッセージを個人情報管理装置Ａへ送付し、個人情報を受信する。

サービス提供装置Ｃは、個人情報受信用プログラムＤの制御により第１、第２、第３および第４の実施の形態におけるサービス提供装置２、５、７、９による処理と同一の処理を実行する。

次に、具体的な実施例を用いて本発明の実施例１の動作を説明する。

図２３に示す例では、モバイルキャリア（個人情報管理装置）は携帯電話（ユーザ端末）のユーザの個人情報を管理している。コンテンツプロバイダ（サービス提供装置）は、モバイルキャリアより個人情報を取得して、ユーザの携帯電話にコンテンツを提供している。このコンテンツプロバイダが必要とする個人情報は、ユーザの連絡先（電話番号と住所）と課金情報（クレジットカード番号や銀行口座番号）であり、ユーザの全ての情報がモバイルキャリアに登録されているわけではないものとする。なお、説明の便宜を図るため、図２３及び図２４（後述）においてネットワーク２０００を省略する。

この状況で、まず、（１）ユーザの要求により携帯電話がコンテンツプロバイダにコンテンツの購入を要求する。

ここで、コンテンツプロバイダは、個人情報を取得するための個人情報登録証明書が無いために、（２）携帯電話のユーザに対して、モバイルキャリアでの個人情報登録を要求する。

そこで、（３）ユーザの個人情報を入力された携帯電話が、モバイルキャリアで個人情報を登録する。

登録が終了すると、（４）携帯電話は、モバイルキャリアより個人情報取得のための個人情報登録証明書を取得する。

次に、（５）携帯電話からコンテンツプロバイダに個人情報登録証明書が送付される。

コンテンツプロバイダが個人情報登録証明書を取得すると、（６）個人情報登録証明書と個人情報要求メッセージを送付する。

モバイルキャリアはこの要求を受け取ると、（７）暗号化した個人情報をコンテンツプロバイダに送付する。

コンテンツプロバイダは、暗号化情報を復号する復号鍵を保持していないため、（８）復号鍵要求メッセージをモバイルキャリアに送付する。

そこでモバイルキャリアは、復号鍵要求を検証し、（９）復号鍵を送付する。

次に、コンテンツプロバイダは、個人情報を復号化し、（１０）個人情報を利用してコンテンツを携帯電話に送付する。

このモバイルキャリアとコンテンツプロバイダの構成は、例えば図２４のようになる。

モバイルキャリアＥは、個人情報管理装置８とアクセス制御装置Ｇを備える。

アクセス制御装置Ｇは、モバイルキャリアＥがコンテンツプロバイダＦに個人情報を送付してよいか否かを判断する装置である。もしアクセス制御装置Ｇが個人情報の送受信を認めない場合は、送信メッセージ生成手段１３１は個人情報保管手段１１より個人情報を取得せず、送信メッセージを生成しない。

また、コンテンツプロバイダＦは、サービス提供装置９とコンテンツ配信装置Ｈを備える。

コンテンツ配信装置Ｈは、ユーザの個人情報に基づいて、ユーザにコンテンツを販売する装置である。ユーザがコンテンツの購入を要求する場合は、最初にユーザ端末３はコンテンツ配信装置Ｈにアクセスする。コンテンツ配信装置Ｈは、要求メッセージ生成手段２１１に個人情報を要求し、個人情報確認手段５３から個人情報を取得する。個人情報を取得したコンテンツ配信装置Ｈはユーザにコンテンツを配信する。

次に、具体的な実施例を用いて本発明の実施例２を説明する。

図２５に示す例では、図２４に示す実施例１と異なり、コンテンツプロバイダＩが通信手段Ｊ及びコンテンツ配信装置Ｈを備え、サービス提供装置９及びプロキシ装置Ｋを備え、コンテンツプロバイダＩ、モバイルキャリアＥ及び携帯電話（ユーザ端末３）と接続するプロキシサーバＬが、モバイルキャリアＥより個人情報を取得して、コンテンツプロバイダＩから配信されたコンテンツをユーザの携帯電話に提供している。なお、図２６に示すように、プロキシサーバＬが個人情報を取得した後において、個人情報に基づいて提供されるコンテンツが、プロキシサーバＭを経由されずに、コンテンツプロバイダＩによって直接ユーザの携帯電話に提供されてもよい。なお、説明の便宜を図るため、図２５及び図２６においてネットワーク２０００を省略する。

上述した各実施の形態による無線通信システムの構成の概要を以下に述べる。

第１の個人情報照合システムは、個人情報をユーザ端末から取得し必要に応じて他の装置へ開示する個人情報管理装置（図２の１）と、個人情報を他の装置から取得するサービス提供装置（図２の２）からなり、個人情報の管理を行う個人情報管理装置において、通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する手段と、登録した個人情報を含む不可逆なメッセージ情報を生成する手段と、メッセージ情報を暗号化する手段と、暗号化したメッセージ情報を復号するための復号鍵を生成する手段と、サービス提供装置からの個人情報の要求に応じて、暗号化したメッセージ情報をサービス提供装置に送付する手段と、サービス提供装置から受信したメッセージ情報の復号鍵の要求に応じて、当該復号鍵をサービス提供装置に送付する手段とを含み、通信回線を介して利用者に対してサービスを提供するサービス提供装置において、利用者の個人情報を管理する個人情報管理装置に対して利用者の個人情報の要求を送付する手段と、個人情報管理装置で生成され、かつ暗号化された個人情報を含む不可逆なメッセージ情報を個人情報管理装置から取得する手段と、取得した暗号化された個人情報を復号するための復号鍵の要求を個人情報管理装置に送付する手段と、個人情報管理装置から受信した復号鍵に基づいて、暗号化されたメッセージ情報を復号することにより、サービスを利用する利用者の照合のための個人情報を取得する手段とを含むことを特徴とする。

個人情報管理装置は、入力された個人情報を管理する個人情報保管手段（図２の１１）と、他の装置が送信した個人情報の要求や復号鍵の要求を解析する個人情報要求確認手段（図２の１２）と、他の装置に送付する個人情報を含むメッセージを生成する送信情報生成部（図２の１３）と、他の装置と通信をする通信手段（図２の１４）とを備え、送信情報生成部は、送付する個人情報を確認する送信メッセージ生成手段（図２の１３１）と、個人情報を暗号化する暗号鍵と復号鍵を生成してから個人情報を暗号化する個人情報暗号化手段（図２の１３２）と、個人情報暗号化手段で暗号化した鍵に対応する復号鍵を登録する復号鍵保管手段（図２の１３３）と、復号鍵を他の装置へ送付する復号鍵送付手段（図２の１３４）とを備える。

サービス提供装置は、個人情報を要求する個人情報要求部（図２の２１）と、受信した個人情報を確認する個人情報確認部（図２の２２）と、他の装置と通信をする通信手段（図７の２３）とを備える。個人情報要求部は、個人情報を個人情報管理装置に要求するためのメッセージを生成する要求メッセージ生成手段（図２の２１１）と、要求メッセージに対応する応答メッセージを確認する応答確認手段（図２の２１２）とを備え、個人情報確認部は、受信した個人情報が暗号化されているときに復号鍵を要求する復号鍵要求手段（図２の２２１）と、暗号化された個人情報を復号化する個人情報復号手段（図２の２２２）とを備える。

このような構成を採用し、サービス提供装置が個人情報を個人情報管理装置に要求し、個人情報管理装置が要求を受け入れて個人情報を送付する場合は、個人情報管理装置が個人情報を暗号化してサービス提供装置に送付する。暗号化された個人情報を受信したサービス提供装置は、復号鍵を個人情報管理装置に要求する。復号鍵要求を受け取った個人情報管理装置は、復号鍵を個人情報要求装置に送付する。個人情報要求装置は、復号鍵と暗号化された個人情報がそろうと、個人情報を復号し、個人情報を利用できる状態にする。ここで、個人情報管理装置とサービス提供装置は、復号鍵を要求するメッセージを個人情報の取得確認のメッセージとしてみなすと、個人情報の送受信の否認ができなくなる。以上の動作によって、本発明の第１の目的を達成することができる。

また、第２の個人情報照合システムは、第１の個人情報照合システムの構成に加えて、個人情報管理装置（図９の４）が、ユーザ端末（図９の３）から入力された個人情報を登録する個人情報登録部（図９の４１）と、個人情報とともに管理する個人情報登録証明書を登録する個人情報登録証明書保管手段（図９の４２）と、他の装置から取得した個人情報登録証明書を検証する個人情報登録証明書確認手段（図９の４３）とを備える。個人情報登録部は、個人情報の登録を受け付ける個人情報受付手段（図９の４１１）と、個人情報を管理するための個人情報登録証明書を発行する個人情報登録証明書発行手段（図９の４１２）とを備える。個人情報登録証明書には、個人情報を取得するための情報が記述されており、個人情報に関連した情報だけでなく当該個人情報から生成される一方向性ハッシュ値のような個人情報から一意に生成される情報が含まれているものとする。つまり、個人情報登録証明書と個人情報は１対１に対応しており、個人情報管理装置は、これら２つの情報を保持していれば、個人情報登録証明書に対応する個人情報を確認することができる。個人情報管理装置は、この個人情報登録証明書を開示した装置に対してのみ個人情報を開示する。

また、サービス提供装置（図９の５）が、第１の個人情報照合システムの構成のサービス提供装置に加え、個人情報を取得するための個人情報登録証明書を受け取る個人情報登録証明書取得手段（図９の５１）と、個人情報登録証明書を保管する個人情報登録証明書保管手段（図９の５２）と、個人情報登録証明書の内容と個人情報を比較して個人情報が改ざんされていないことを確認する個人情報検証手段（図９の５３）とを備える。

このような構成を採用し、ユーザ端末が個人情報を個人情報管理装置に登録する際には、ユーザ端末が個人情報を個人情報管理装置に入力し、個人情報管理装置は、個人情報に関する個人情報登録証明書をユーザ端末に対して発行し、ユーザ端末に送付する。ユーザ端末は、個人情報登録証明書を取得すると、個人情報登録証明書の内容を検証する。さらに、ユーザ端末は個人情報登録証明書をあらかじめサービス提供装置に登録しておく。一方、サービス提供装置は、個人情報を取得する際には個人情報登録証明書を利用し、個人情報の要求メッセージを生成し、個人情報登録証明書とともに個人情報の要求メッセージを個人情報管理装置に送付する。個人情報管理装置は、要求メッセージを受信すると個人情報登録証明書の内容を確認し、個人情報登録証明書の検証に成功した場合には暗号化した個人情報をサービス提供装置に送付する。サービス提供装置は、暗号化された個人情報を受信すると個人情報管理装置に復号鍵を要求して復号鍵を取得する。サービス提供装置は、復号鍵と暗号化した個人情報がそろうと、復号鍵を用いて暗号化された個人情報復号し、個人情報の内容を検証して、個人情報を利用する。ここで、個人情報管理装置とサービス提供装置間で交換されるメッセージは全てメッセージ生成装置の電子署名をつける。ユーザ端末が個人情報登録証明書の内容を検証することで、個人情報管理装置での個人情報の改ざんを検証し、個人情報管理装置の電子署名を個人情報につけることによってサービス提供装置での個人情報の改ざんを検証できる。また、個人情報管理装置が、復号鍵の要求メッセージを個人情報取得の確認メッセージとして利用することにより、サービス提供装置が個人情報を受信したことを否認することが防止できる。以上の動作によって、本発明の第１および第２の目的を達成することができる。

また、本発明の第３の個人情報照合システムは、第２の個人情報照合システムの構成に加えて、個人情報管理装置（図１５の６）が、復号鍵を送付していたか検索する生成済み復号鍵検索手段（図１５の６１）を備え、サービス提供装置（図１５の７）が、復号鍵を受信していたか検索する取得済み復号鍵検索手段（図１５の７１）と、受信した復号鍵を保管する復号鍵保管装置（図１５の７２）とを備える。このような構成を採用し、個人情報管理装置６は、個人情報を暗号化する際に、以前に利用した暗号鍵を検索して再度利用し、サービス提供装置７は、復号鍵保管装置に保管する復号鍵を利用して暗号化個人情報を復号する。復号鍵を要求して、取得するのではなく、以前に取得した復号鍵を再利用することより本発明の第３の目的を達成することができる。

また、本発明の第４の個人情報照合システムは、第１、第２及び第３の個人情報照合システムの構成に加え、個人情報管理装置（図１８の８）が、通信ログを管理する通信記録保管手段（図１８の８１）と、以前に個人情報管理装置が送付したメッセージを検証する送信情報確認手段（図１８の８２）とを備え、サービス提供装置（図１８の９）が、通信ログを管理する通信記録保管手段（図１８の９１）と、以前にサービス提供装置が送付したメッセージを検証する送信情報確認手段（図１８の９２）とを備える。このような構成を採用し、個人情報管理装置８とサービス提供装置９が、それぞれ通信ログを管理し、送信情報確認手段や個人情報登録証明書確認手段、個人情報要求確認手段、応答確認手段を用いてログを確認することで、個人情報の流通の正しさを任意のタイミングで確認できるようにすることにより本発明の第４の目的を達成することができる。

上述した各実施の形態により以下のす効果を達成することができる。

第１の効果は、サービス提供装置が個人情報の受信を否認することを、個人情報管理装置が通信負荷を抑えて低コストで防止できることである。

その理由は、個人情報の流通を監視する第三者を必要とすることなく、サービス提供装置が必ず個人情報管理装置へ個人情報の受信確認のメッセージを送付するからである。装置間で送受信される個人情報は暗号化されているので、サービス提供装置は個人情報を受信した後に復号鍵の要求を送信する。この復号鍵の要求は、個人情報の受信確認とみなされるので個人情報の送受信が行われたことを確認することができ、サービス提供装置の否認を防止できる。

第２の効果は、個人情報管理装置がユーザ端末から取得した個人情報を改ざんしているか否かをサービス提供装置が低コストで検証できることである。

その理由は、個人情報の流通を監視する第三者を必要とすることなく、サービス提供装置はユーザ端末から取得した個人情報に関連する情報が含まれている個人情報登録証明書と、個人情報管理装置から取得した個人情報を比較できるからである。サービス提供装置は個人情報を取得するための個人情報登録証明書をユーザ端末から取得するため、個人情報登録証明書にはユーザ端末が登録した正しい個人情報に関連する情報が記述されている。一方、個人情報管理装置から取得した個人情報は、改ざんされている可能性がある。正しい個人情報に関連する情報と、個人情報管理装置から取得した個人情報を比較することで、個人情報が改ざんされていないか確認できる。

第３の効果は、個人情報管理装置とサービス提供装置がすでに個人情報を送受信していた場合に、個人情報の送受信の処理を簡略化できることである。

その理由は、個人情報管理装置とサービス提供装置は過去に送受信した内容を保存するからである。サービス提供装置が個人情報そのものを保存すると、個人情報管理のコストがかかるため、個人情報ではなく、個人情報を復号するための復号鍵のみを保管する。また、個人情報管理装置も個人情報を暗号化する際に、同じ暗号鍵を使う。このようにすることで、復号鍵の送受信に関する通信を削減することができる。

第４の効果は、個人情報管理装置とサービス提供装置は、個人情報が改ざんされずに送受信されたこと、また、否認されずに送受信されたことを任意のタイミングに低コストで確認できることである。

その理由は、個人情報の流通を監視して個人情報を保持する第三者を必要とすることなく、それぞれの装置が個人情報の送受信に関する通信のログを全て保存し、いつでも送受信した内容を検証するための手段を持っているからである。送受信した個人情報や個人情報登録証明書、復号鍵の送受信に関するメッセージを個人情報管理装置とサービス提供装置は全て保存する。これにより、個人情報の送受信が終わっても、いつでも個人情報の改ざんや否認に関する検証ができる。

第５の効果は、適切な個人情報のみを送受信していることを主張できることである。

その理由は、個人情報の流通を監視する第三者を必要とすることなく、個人情報を送受信するときに、何の情報を誰が誰に送受信したかを確認できるためである。個人情報を送受信するときに改ざんと否認を防止できるため、何の情報を誰が誰に送付したかを個人情報管理装置とサービス提供装置は確認することができる。そのため、不要な個人情報を取得していない場合には、それを証明できる。

第６の効果は、個人情報を利用したサービスを低コストで容易に提供できることである。

その理由は、個人情報の流通を監視して個人情報を保持する第三者を必要とすることなく、また、個人情報を自身で管理しなくても、個人情報を安全に取得できるからである。個人情報を自身で管理すると、管理コストがかかり、プライバシ漏洩のリスクに対応する必要がある。また、個人情報保護法等に対応する必要もある。しかし、個人情報の流通の際、個人情報管理装置と受信装置は正しい情報を送受信したことを確認できるため、安全に個人情報を取得できる。そのため、他の装置が個人情報を管理していれば、自身が直接管理していなくても、個人情報を送受信することで、個人情報を利用したサービスを提供することができる。

以上好ましい実施の形態をあげて本発明を説明したが、本発明は必ずしも、上記実施の形態に限定されるものでなく、その技術的思想の範囲内において様々に変形して実施することができる。

この出願は、２００７年２月６日に出願された日本出願特願２００７−０２６６６３号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明によれば、第三者がいない状況でも個人情報の委託業務を請け負うことが可能な個人情報管理のためのプログラムといった用途に適用できる。また、モバイルキャリアやＩＳＰなどの個人情報を管理している業者が、個人情報を管理していない業者に対して、第三者を経由せずに個人情報の管理代行サービスを提供するといった用途にも適用可能である。また、テレフォンセンタなどの業務を外部事業者へ委託する場合、個人情報を委託元が一括管理し、必要に応じて委託先事業者が個人情報を取得、利用するといった用途にも適用可能である。

Claims (41)

1. 通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する手段と、
   登録した前記個人情報を含む不可逆なメッセージ情報を生成する手段と、
   前記メッセージ情報を暗号化する手段と、
   暗号化した前記メッセージ情報を復号するための復号鍵を生成する手段と、
   前記サービス提供装置からの個人情報の要求に応じて、暗号化した前記メッセージ情報を前記サービス提供装置に送付する手段と、
   前記サービス提供装置から受信した前記メッセージ情報の復号鍵の要求に応じて、当該復号鍵を前記サービス提供装置に送付する手段と
   を備えることを特徴とする個人情報管理装置。
2. 登録した前記個人情報と一意に対応し、当該個人情報が登録されたことを示す個人情報登録証明情報を発行する個人情報登録証明情報発行手段を備え、
   前記サービス提供装置からの前記個人情報要求と共に、要求された個人情報に一意に対応する前記個人情報登録証明情報を確認できた場合に、前記登録情報に対応する個人情報を暗号化して前記サービス提供装置に送信すること
   を特徴とする請求項１に記載の個人情報管理装置。
3. 前記個人情報管理装置自身がすでに生成して保管した復号鍵を検索する生成済み復号鍵検索手段を含むことを特徴とする請求項１又は請求項２に記載の個人情報管理装置。
4. 前記送受信に関する通信ログを記録する通信記録保管手段と
   前記サービス提供装置から受信した要求及び情報の内容を検証する受信情報確認手段と
   を含むことを特徴とする請求項１から請求項３のいずれか１項に記載の個人情報管理装置。
5. 前記サービス提供装置及び前記利用者装置に送信する前記個人情報登録証明情報と前記暗号化された個人情報に、前記個人情報管理装置自身の電子署名を付与することを特徴とする請求項１から請求項４のいずれか１項に記載の個人情報管理装置。
6. 通信回線を介して利用者に対してサービスを提供するサービス提供装置において、
   前記利用者の個人情報を管理する個人情報管理装置に対して前記利用者の個人情報の要求を送付する手段と、
   前記個人情報管理装置で生成され、かつ暗号化された前記個人情報を含む不可逆なメッセージ情報を前記個人情報管理装置から取得する手段と、
   取得した前記暗号化された前記個人情報を復号するための復号鍵の要求を前記個人情報管理装置に送付する手段と、
   前記個人情報管理装置から受信した復号鍵に基づいて、暗号化された前記メッセージ情報を復号することにより、サービスを利用する前記利用者の照合のための前記個人情報を取得する手段と
   を備えることを特徴とするサービス提供装置。
7. 前記個人情報要求と共に、各個人情報と一意に対応し、当該個人情報が前記個人情報管理装置に登録されたことを示す前記個人情報登録証明情報を前記個人情報管理装置に送信すること
   を特徴とする請求項６に記載のサービス提供装置。
8. 取得した復号鍵を管理する復号鍵保管手段と、
   前記復号鍵保管手段を検索して復号鍵を取得する取得済み復号鍵検索手段と
   を含むことを特徴とする請求項６又は請求項７記載のサービス提供装置。
9. 前記送受信に関する通信ログを記録する通信記録保管手段と
   前記個人情報管理装置から受信した情報の内容を検証する受信情報確認手段と
   を含むことを特徴とする請求項６から請求項８のいずれか１項に記載のサービス提供装置。
10. 前記個人情報管理装置に送信する前記個人情報登録証明情報に、前記サービス提供装置自身の電子署名を付与することを特徴とする請求項７から請求項９のいずれか１項に記載のサービス提供装置。
11. 前記個人情報管理装置に送信する前記個人情報要求に、前記サービス提供装置自身の電子署名を付与することを特徴とする請求項６から請求項１０のいずれか１項に記載のサービス提供装置。
12. コンピュータで実現される、個人情報の管理を行う個人情報管理装置上で実行されるプログラムであって、
    前記コンピュータに、
    通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する処理と、
    登録した前記個人情報を含む不可逆なメッセージ情報を生成する処理と、
    前記メッセージ情報を暗号化する処理と、
    暗号化した前記メッセージ情報を復号するための復号鍵を生成する処理と、
    前記サービス提供装置からの個人情報の要求に応じて、暗号化した前記メッセージ情報を前記サービス提供装置に送付する処理と、
    前記サービス提供装置から受信した前記メッセージ情報の復号鍵の要求に応じて、当該復号鍵を前記サービス提供装置に送付する処理と
    を実行させることを特徴とするプログラム。
13. 前記コンピュータに、
    登録した前記個人情報と一意に対応し、当該個人情報が登録されたことを示す個人情報登録証明情報を発行する個人情報登録証明情報発行処理と、
    前記サービス提供装置からの前記個人情報要求と共に、要求された個人情報に一意に対応する前記個人情報登録証明情報を確認できた場合に、前記登録情報に対応する個人情報を暗号化して前記サービス提供装置に送信する処理と
    を実行させることを特徴とする請求項１２に記載のプログラム。
14. 前記コンピュータに、
    前記個人情報管理装置自身がすでに生成して保管した復号鍵を検索する生成済み復号鍵検索処理を実行させることを特徴とする請求項１２又は請求項１３に記載のプログラム。
15. 前記コンピュータに、
    前記送受信に関する通信ログを記録する通信記録保管処理と
    前記サービス提供装置から受信した要求及び情報の内容を検証する受信情報確認処理と
    を実行させることを特徴とする請求項１２から請求項１４のいずれか１項に記載のプログラム。
16. 前記コンピュータに、
    前記サービス提供装置及び前記利用者装置に送信する前記個人情報登録証明情報と前記暗号化された個人情報に、前記個人情報管理装置自身の電子署名を付与する処理を実行させることを特徴とする請求項１２から請求項１５のいずれか１項に記載のプログラム。
17. コンピュータで実現される、通信回線を介して利用者に対してサービスを提供するサービス提供装置上で実行されるプログラムであって、
    前記コンピュータに、
    前記利用者の個人情報を管理する個人情報管理装置に対して前記利用者の個人情報の要求を送付する処理と、
    前記個人情報管理装置で生成され、かつ暗号化された前記個人情報を含む不可逆なメッセージ情報を前記個人情報管理装置から取得する処理と、
    取得した前記暗号化された前記個人情報を復号するための復号鍵の要求を前記個人情報管理装置に送付する処理と、
    前記個人情報管理装置から受信した復号鍵に基づいて、暗号化された前記メッセージ情報を復号することにより、サービスを利用する前記利用者の照合のための前記個人情報を取得する処理と
    を実行させることを特徴とするプログラム。
18. 前記コンピュータに、
    前記個人情報要求と共に、各個人情報と一意に対応し、当該個人情報が前記個人情報管理装置に登録されたことを示す前記個人情報登録証明情報を前記個人情報管理装置に送信する処理を実行させることを特徴とする請求項１７に記載のプログラム。
19. 前記コンピュータに、
    取得した復号鍵を復号鍵保管手段に保管する復号鍵保管処理と、
    前記復号鍵保管手段を検索して復号鍵を取得する取得済み復号鍵検索処理と
    を実行させることを特徴とする請求項１７又は請求項１８記載のプログラム。
20. 前記コンピュータに、
    前記送受信に関する通信ログを記録する通信記録保管処理と
    前記個人情報管理装置から受信した情報の内容を検証する受信情報確認処理と
    を実行させることを特徴とする請求項１７から請求項１９のいずれか１項に記載のプログラム。
21. 前記コンピュータに、
    前記個人情報管理装置に送信する前記個人情報登録証明情報に、前記サービス提供装置自身の電子署名を付与する処理を実行させることを特徴とする請求項１８から請求項２０のいずれか１項に記載のプログラム。
22. 前記コンピュータに、
    前記個人情報管理装置に送信する前記個人情報要求に、前記サービス提供装置自身の電子署名を付与する処理を実行させることを特徴とする請求項１７から請求項２１のいずれか１項に記載のプログラム。
23. 個人情報管理装置上で個人情報の管理を行う個人情報管理方法であって、
    通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録するステップと、
    登録した前記個人情報を含む不可逆なメッセージ情報を生成するステップと、
    前記メッセージ情報を暗号化するステップと、
    暗号化した前記メッセージ情報を復号するための復号鍵を生成するステップと、
    前記サービス提供装置からの個人情報の要求に応じて、暗号化した前記メッセージ情報を前記サービス提供装置に送付するステップと、
    前記サービス提供装置から受信した前記メッセージ情報の復号鍵の要求に応じて、当該復号鍵を前記サービス提供装置に送付するステップと
    を含むことを特徴とする個人情報管理方法。
24. 登録した前記個人情報と一意に対応し、当該個人情報が登録されたことを示す個人情報登録証明情報を発行する個人情報登録証明情報発行ステップと、
    前記サービス提供装置からの前記個人情報要求と共に、要求された個人情報に一意に対応する前記個人情報登録証明情報を確認できた場合に、前記登録情報に対応する個人情報を暗号化して前記サービス提供装置に送信するステップと
    を含むことを特徴とする請求項２３に記載の個人情報管理方法。
25. 前記個人情報管理装置自身がすでに生成して保管した復号鍵を検索する生成済み復号鍵検索ステップを含むことを特徴とする請求項２３又は請求項２４に記載の個人情報管理方法。
26. 前記送受信に関する通信ログを記録する通信記録保管ステップと
    前記サービス提供装置から受信した要求及び情報の内容を検証する受信情報確認ステップと
    を含むことを特徴とする請求項２３から請求項２５のいずれか１項に記載の個人情報管理方法。
27. 前記サービス提供装置及び前記利用者装置に送信する前記個人情報登録証明情報と前記暗号化された個人情報に、前記個人情報管理装置自身の電子署名を付与するステップを含むことを特徴とする請求項２３から請求項２６のいずれか１項に記載の個人情報管理方法。
28. 通信回線を介して利用者に対してサービスを提供するサービス提供装置上で実行する前記利用者の個人情報の照合方法であって、
    前記利用者の個人情報を管理する個人情報管理装置に対して前記利用者の個人情報の要求を送付するステップと、
    前記個人情報管理装置で生成され、かつ暗号化された前記個人情報を含む不可逆なメッセージ情報を前記個人情報管理装置から取得するステップと、
    取得した前記暗号化された前記個人情報を復号するための復号鍵の要求を前記個人情報管理装置に送付するステップと、
    前記個人情報管理装置から受信した復号鍵に基づいて、暗号化された前記メッセージ情報を復号することにより、サービスを利用する前記利用者の照合のための前記個人情報を取得するステップと
    を含むことを特徴とする照合方法。
29. 前記個人情報要求と共に、各個人情報と一意に対応し、当該個人情報が前記個人情報管理装置に登録されたことを示す前記個人情報登録証明情報を前記個人情報管理装置に送信するステップを含むことを特徴とする請求項２８に記載の照合方法。
30. 取得した復号鍵を復号鍵保管手段に保管する復号鍵保管ステップと、
    前記復号鍵保管手段を検索して復号鍵を取得する取得済み復号鍵検索ステップと
    を含むことを特徴とする請求項２８又は請求項２９記載の照合方法。
31. 前記送受信に関する通信ログを記録する通信記録保管ステップと
    前記個人情報管理装置から受信した情報の内容を検証する受信情報確認ステップと
    を含むことを特徴とする請求項２８から請求項３０のいずれか１項に記載の照合方法。
32. 前記個人情報管理装置に送信する前記個人情報登録証明情報に、前記サービス提供装置自身の電子署名を付与するステップを含むことを特徴とする請求項２９から請求項３１のいずれか１項に記載の照合方法。
33. 前記個人情報管理装置に送信する前記個人情報要求に、前記サービス提供装置自身の電子署名を付与するステップを含むことを特徴とする請求項２８から請求項３２のいずれか１項に記載の照合方法。
34. 個人情報の管理を行う個人情報管理装置において、
    通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録するステップと、
    登録した前記個人情報を含む不可逆なメッセージ情報を生成するステップと、
    前記メッセージ情報を暗号化するステップと、
    暗号化した前記メッセージ情報を復号するための復号鍵を生成するステップと、
    前記サービス提供装置からの個人情報の要求に応じて、暗号化した前記メッセージ情報を前記サービス提供装置に送付するステップと、
    前記サービス提供装置から受信した前記メッセージ情報の復号鍵の要求に応じて、当該復号鍵を前記サービス提供装置に送付するステップと
    を含み、
    通信回線を介して利用者に対してサービスを提供するサービス提供装置において、
    前記利用者の個人情報を管理する個人情報管理装置に対して前記利用者の個人情報の要求を送付するステップと、
    前記個人情報管理装置で生成され、かつ暗号化された前記個人情報を含む不可逆なメッセージ情報を前記個人情報管理装置から取得するステップと、
    取得した前記暗号化された前記個人情報を復号するための復号鍵の要求を前記個人情報管理装置に送付するステップと、
    前記個人情報管理装置から受信した復号鍵に基づいて、暗号化された前記メッセージ情報を復号することにより、サービスを利用する前記利用者の照合のための前記個人情報を取得するステップと
    を含むことを特徴とする照合方法。
35. 前記個人情報管理装置において、
    登録した前記個人情報と一意に対応し、当該個人情報が登録されたことを示す個人情報登録証明情報を発行する個人情報登録証明情報発行ステップと、
    前記サービス提供装置からの前記個人情報要求と共に、要求された個人情報に一意に対応する前記個人情報登録証明情報を確認できた場合に、前記登録情報に対応する個人情報を暗号化して前記サービス提供装置に送信するステップと
    を含み、
    前記サービス提供装置において、
    前記個人情報要求と共に、当該個人情報が前記個人情報管理装置に登録されたことを示す前記個人情報登録証明情報を前記個人情報管理装置に送信するステップを含むことを特徴とする請求項３４に記載の照合方法。
36. 前記個人情報管理装置において、
    前記送受信に関する通信ログを記録する通信記録保管ステップと
    前記サービス提供装置から受信した要求及び情報の内容を検証する受信情報確認ステップと
    を含み、
    前記サービス提供装置において、
    前記送受信に関する通信ログを記録する通信記録保管ステップと
    前記個人情報管理装置から受信した情報の内容を検証する受信情報確認ステップと
    を含むことを特徴とする請求項３４又は請求項３５に記載の照合方法。
37. 前記個人情報管理装置において、
    前記サービス提供装置及び前記利用者装置に送信する前記個人情報登録証明情報と前記暗号化された個人情報に、前記個人情報管理装置自身の電子署名を付与するステップを含み、
    前記サービス提供装置において、
    前記個人情報管理装置に送信する前記個人情報要求又は前記個人情報登録証明情報に、前記サービス提供装置自身の電子署名を付与するステップを含むことを特徴とする請求項３５又は請求項３６に記載の照合方法。
38. 個人情報の管理を行う個人情報管理装置において、
    通信回線を介してサービス提供装置が提供するサービスを利用する利用者の利用者装置から取得した個人情報を登録する手段と、
    登録した前記個人情報を含む不可逆なメッセージ情報を生成する手段と、
    前記メッセージ情報を暗号化する手段と、
    暗号化した前記メッセージ情報を復号するための復号鍵を生成する手段と、
    前記サービス提供装置からの個人情報の要求に応じて、暗号化した前記メッセージ情報を前記サービス提供装置に送付する手段と、
    前記サービス提供装置から受信した前記メッセージ情報の復号鍵の要求に応じて、当該復号鍵を前記サービス提供装置に送付する手段と
    を含み、
    通信回線を介して利用者に対してサービスを提供するサービス提供装置において、
    前記利用者の個人情報を管理する個人情報管理装置に対して前記利用者の個人情報の要求を送付する手段と、
    前記個人情報管理装置で生成され、かつ暗号化された前記個人情報を含む不可逆なメッセージ情報を前記個人情報管理装置から取得する手段と、
    取得した前記暗号化された前記個人情報を復号するための復号鍵の要求を前記個人情報管理装置に送付する手段と、
    前記個人情報管理装置から受信した復号鍵に基づいて、暗号化された前記メッセージ情報を復号することにより、サービスを利用する前記利用者の照合のための前記個人情報を取得する手段と
    を含むことを特徴とする個人情報照合システム。
39. 前記個人情報管理装置において、
    登録した前記個人情報と一意に対応し、当該個人情報が登録されたことを示す個人情報登録証明情報を発行する個人情報登録証明情報発行手段と、
    前記サービス提供装置からの前記個人情報要求と共に、要求された個人情報に一意に対応する前記個人情報登録証明情報を確認できた場合に、前記登録情報に対応する個人情報を暗号化して前記サービス提供装置に送信する手段と
    を含み、
    前記サービス提供装置において、
    前記個人情報要求と共に、当該個人情報が前記個人情報管理装置に登録されたことを示す前記個人情報登録証明情報を前記個人情報管理装置に送信する手段を含むことを特徴とする請求項３８に記載の個人情報照合システム。
40. 前記個人情報管理装置において、
    前記送受信に関する通信ログを記録する通信記録保管手段と
    前記サービス提供装置から受信した要求及び情報の内容を検証する受信情報確認手段と
    を含み、
    前記サービス提供装置において、
    前記送受信に関する通信ログを記録する通信記録保管手段と
    前記個人情報管理装置から受信した情報の内容を検証する受信情報確認手段と
    を含むことを特徴とする請求項３８又は請求項３９に記載の個人情報照合システム。
41. 前記個人情報管理装置において、
    前記サービス提供装置及び前記利用者装置に送信する前記個人情報登録証明情報と前記暗号化された個人情報に、前記個人情報管理装置自身の電子署名を付与する手段を含み、
    前記サービス提供装置において、
    前記個人情報管理装置に送信する前記個人情報要求又は前記個人情報登録証明情報に、前記サービス提供装置自身の電子署名を付与する手段を含むことを特徴とする請求項３９又は請求項４０に記載の個人情報照合システム。

Images