JPWO2009101755A1 - 個人情報流通制御システムおよび個人情報流通制御方法 - Google Patents

Abstract

個人情報をセキュリティレベルに応じて管理可能な個人情報流通制御システムを提供する。個人情報流通制御システム１００は、利用確認必要な第１個人情報を有する第１格納手段１０ａと第１個人情報の要求を受けると第１個人情報の提供の可否をその情報の保有者に確認し提供可を受けると第１個人情報をその要求の送信元に提供する第１提供手段１０ｂを含む第１提供装置１０と、利用確認不要な第２個人情報を有する第２格納手段２０ａと第２個人情報の要求を受けると第２個人情報をその要求の送信元に提供する第２提供手段２０ｂを含む第２提供装置２０と、第１提供手段用の第１アクセス情報と第２提供手段用の第２アクセス情報とを格納する管理手段３０ａと個人情報の利用確認が必要の旨の必要情報を受けると第１アクセス情報をその送信元に提供し、個人情報の利用確認が不要の旨の不要情報を受けると第２アクセス情報をその送信元に提供する第３提供手段３０ｂを含む選択装置３０を含む。

Description

本発明は、個人情報流通制御システムおよび個人情報流通制御方法に関する。

個人情報の保護に関する法律が施行されたが、「本人」であるユーザの同意があれば、様々な目的で個人情報を使用することが可能である。

また、リバティアライアンスの仕様においては、ユーザからの同意を得る仕組みについて、インタラクションサービスという名称の技術仕様が公開されている（非特許文献１参照）。

リバティアライアンスのＩＤ−ＷＳＦ（Identity Web Services Framework）という仕様において、Ｗｅｂサービス・コンシューマ（ＷＳＣ）からＷｅｂサービス・プロバイダ（ＷＳＰ）へユーザの個人情報を要求する際の、要求メッセージのフォーマットやインタラクションサービスへのリクエストメッセージのフォーマットおよびメッセージ内容の意味の定義が行われている。

特許文献１には、転送確認識別子を用いて個人情報の転送を管理する個人情報管理端末が記載されている。以下、この個人情報管理端末について簡単に説明する。

個人情報管理端末は、種々の個人情報を記憶する。

個人情報管理端末は、転送を要求された個人情報に、転送確認識別子が付与されている場合、その個人情報を転送してよいか否かを、その個人情報の保有者（本人）に確認する。

一方、転送を要求された個人情報に、転送確認識別子が付与されていない場合、個人情報管理端末は、その個人情報を、転送要求先に送信する。

この個人情報管理端末によれば、転送確認識別子が、個人情報に対するユーザの意思に応じて、個人情報に付加されたり付加されなかったりすることにより、要求元は、流通のための許諾確認を必要としない個人情報を、本人の許諾確認を行わずに入手できる。
特開２００５−２８７７８１号公報 「Liberty Alliance Project」、インターネット、＜URL：http：//www.projectliberty.org/＞

転送許可の確認が必要な個人情報は、転送許可の確認が不要な個人情報より、セキュリティレベルが高いと考えられる。

特許文献１に記載の個人情報管理端末は、転送許可の確認が必要な個人情報と、転送許可の確認が不要な個人情報とを、まとめて記憶している。このため、この個人情報管理端末は、異なるセキュリティレベルでの管理が必要な個人情報を、同じセキュリティレベルで管理することになる。

したがって、この個人情報管理端末は、個人情報を、そのセキュリティレベルに応じて適切に管理することができなかった。

本発明の目的は、上述した課題を解決可能な個人情報流通制御システムおよび個人情報流通制御方法を提供することにある。

本発明の個人情報流通制御システムは、利用確認が必要な第１個人情報を提供する第１提供装置と、利用確認が不要な第２個人情報を提供する第２提供装置と、前記第１提供装置と前記第２提供装置のいずれかにアクセスするためのアクセス情報を提供する選択装置と、を含む個人情報流通制御システムであって、前記第１提供装置は、前記第１個人情報を格納する第１格納手段と、前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１個人情報を、前記第１個人情報の要求の送信元に提供する第１提供手段と、を含み、前記第２提供装置は、前記第２個人情報を格納する第２格納手段と、前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２個人情報を、前記第２個人情報の要求の送信元に提供する第２提供手段と、を含み、前記選択装置は、前記第１提供手段にアクセスするための第１アクセス情報と、前記第２提供手段にアクセスするための第２アクセス情報と、を格納する管理手段と、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記第１アクセス情報を、当該必要情報の送信元に提供し、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記第２アクセス情報を、当該不要情報の送信元に提供する第３提供手段と、を含む。

本発明の個人情報流通制御システムは、利用確認が必要な第１個人情報を提供する第１提供装置と、利用確認が不要な第２個人情報を提供する第２提供装置と、前記第１提供装置および前記第２提供装置と通信可能な選択装置と、を含む個人情報流通制御システムであって、前記第１提供装置は、前記第１個人情報を格納する第１格納手段と、前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１個人情報を、前記第１個人情報の要求の送信元に提供する第１提供手段と、を含み、前記第２提供装置は、前記第２個人情報を格納する第２格納手段と、前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２個人情報を、前記第２個人情報の要求の送信元に提供する第２提供手段と、を含み、前記選択装置は、前記第１提供手段にアクセスするための第１アクセス情報と、前記第２提供手段にアクセスするための第２アクセス情報と、を格納する管理手段と、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記第１アクセス情報を用いて前記第１提供手段に前記第１個人情報の要求を提供し、前記第１提供手段から前記第１個人情報を受け付けると、前記第１個人情報を、前記必要情報の送信元に提供し、また、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記第２アクセス情報を用いて前記第２提供手段に前記第２個人情報の要求を提供し、前記第２提供手段から前記第２個人情報を受け付けると、前記第２個人情報を、前記不要情報の要求元に提供する第３提供手段と、を含む。

本発明の個人情報流通制御方法は、利用確認が必要な第１個人情報を格納する第１格納手段を有する第１提供装置と、利用確認が不要な第２個人情報を格納する第２格納手段を有する第２提供装置と、前記第１提供装置にアクセスするための第１アクセス情報と前記第２提供装置にアクセスするための第２アクセス情報とを格納する管理手段を有する選択装置と、を含む個人情報流通制御システムでの個人情報流通制御方法であって、前記選択装置は、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記管理手段内の第１アクセス情報を、前記必要情報の送信元に提供し、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記管理手段内の第２アクセス情報を、前記不要情報の送信元に提供する選択ステップと、前記第１提供装置は、前記第１アクセス情報を用いてアクセスされて前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１格納手段内の第１個人情報を、前記第１個人情報の要求の送信元に提供する第１提供ステップと、前記第２提供装置は、前記第２アクセス情報を用いてアクセスされて前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２格納手段内の第２個人情報を、前記第２個人情報の要求の送信元に提供する第２提供ステップと、を含む。

本発明の個人情報流通制御方法は、利用確認が必要な第１個人情報を格納する第１格納手段を有する第１提供装置と、利用確認が不要な第２個人情報を格納する第２格納手段を有する第２提供装置と、前記第１提供装置にアクセスするための第１アクセス情報と前記第２提供装置にアクセスするための第２アクセス情報とを格納する管理手段を有する選択装置と、を含む個人情報流通制御システムでの個人情報流通制御方法であって、前記選択装置は、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記管理手段内の第１アクセス情報を用いて前記第１提供装置に前記第１個人情報の要求を提供する第１要求ステップと、前記第１提供装置は、前記選択装置から前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１格納手段内の第１個人情報を、前記選択装置に提供する第１提供ステップと、前記選択装置は、前記第１提供装置から前記第１個人情報を受け付けると、当該第１個人情報を、前記必要情報の送信元に提供する第１個人情報提供ステップと、前記選択装置は、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記管理手段内の第２アクセス情報を用いて前記第２提供装置に前記第２個人情報の要求を提供する第２要求ステップと、前記第２提供装置は、前記選択装置から前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２格納手段内の第２個人情報を、前記選択装置に提供する第２提供ステップと、前記選択装置は、前記第２提供装置から前記第２個人情報を受け付けると、当該第２個人情報を、前記不要情報の要求元に提供する第２個人情報提供ステップと、を含む。

本発明によれば、個人情報を、その個人情報が必要とするセキュリティレベルに応じて適切に管理することが可能になる。

本発明の第１実施形態の構成を示すブロック図である。 第１実施形態の動作を説明するためのシーケンス図である。 本発明の第２実施形態の構成を示すブロック図である。

符号の説明

１００、１００Ａ 個人情報流通制御システム
１０ 第１の個人情報提供装置
１０ａ 格納部
１０ｂ 提供部
１０ｂ１ 許諾確認部
１０ｂ２ 提供制御部
２０ 第２の個人情報提供装置
２０ａ 格納部
２０ｂ 提供部
３０、３０Ａ 個人情報提供装置発見装置
３０ａ 個人情報提供装置管理部
３０ｂ、３０Ａｂ 提供部
３０ｂ１、３０Ａｂ１ 処理管理部
３０ｂ２ 個人情報提供装置選択部
４０ ネットワーク
５０ サービス提供装置
５０ａ 制御部
５０ｂ 許諾取得指示決定部

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

図１は、本発明の第１実施形態である個人情報流通制御システムを示したブロック図である。

図１を参照すると、個人情報流通制御システム（以下、単に「制御システム」と称する。）１００は、第１の個人情報提供装置（以下、単に「提供装置」と称する。）１０と、第２の個人情報提供装置（以下、単に「提供装置」と称する。）２０と、個人情報提供装置発見装置（以下、単に「発見装置」と称する。）３０と、を含む。

提供装置１０は、格納部１０ａと、提供部１０ｂと、を含む。提供部１０ｂは、許諾確認部１０ｂ１と、提供制御部１０ｂ２と、を含む。提供装置２０は、格納部２０ａと、提供部２０ｂと、を含む。発見装置３０は、個人情報提供装置管理部（以下「管理部」と称する。）３０ａと、提供部３０ｂと、を含む。提供部３０ｂは、処理管理部３０ｂ１と、個人情報提供装置選択部（以下、単に「選択部」と称する。）３０ｂ２と、を含む。

制御システム１００は、ネットワーク４０を介して、サービス提供装置５０と接続される。サービス提供装置５０は、制御部５０ａと、許諾取得指示決定部（以下、単に「決定部」と称する。）５０ｂと、を含む。

提供装置１０は、第１提供装置の一例であり、サービス利用者の第１個人情報（利用確認が必要な）を格納する。提供装置１０は、第１個人情報の保有者が、第１個人情報の使用を許諾した場合、第１個人情報を、第１個人情報の要求元（例えば、サービス提供装置５０）に提供する。

第１個人情報は、個人情報提供時にサービス利用者の許諾が必要であると、サービス利用者が決定した、サービス利用者の個人情報（例えば、正確な住所、氏名、電話番号、メールアドレスなど）である。第１個人情報は、サービス利用者によって、提供装置１０に登録される。

格納部１０ａは、一般的に第１格納手段と呼ぶことができる。格納部１０ａは、第１個人情報を格納する。

提供部１０ｂは、一般的に第１提供手段と呼ぶことができる。

提供部１０ｂは、第１個人情報の要求を受け付けると、第１個人情報の提供の可否を、第１個人情報の保有者に確認する。提供部１０ｂは、第１個人情報の保有者から提供可を示す情報を受け付けた場合、第１個人情報を、第１個人情報の要求の送信元に提供する。

許諾確認部１０ｂ１は、一般的に許諾確認手段と呼ぶことができる。

許諾確認部１０ｂ１は、第１個人情報の要求を受け付けると、第１個人情報の提供の可否を、第１個人情報の保有者に確認し、その保有者から、その確認結果を受け付ける。許諾確認部１０ｂ１は、その確認結果を、提供制御部１０ｂ２に提供する。

提供制御部１０ｂ２は、一般的に提供制御手段と呼ぶことができる。

提供制御部１０ｂ２は、許諾確認部１０ｂ１からの確認結果が提供可を示す場合、第１個人情報を、第１個人情報の要求の送信元に提供する。一方、確認結果が提供否を示す場合、第１個人情報を、第１個人情報の要求の送信元に提供しない。

提供装置２０は、第２提供装置の一例であり、サービス利用者の第２個人情報（利用確認が不要な個人情報）を格納する。提供装置２０は、第２個人情報を、第２個人情報の要求元（例えば、サービス提供装置５０）に提供する。

第２個人情報は、個人情報提供時にサービス利用者の許諾が必要であると、サービス利用者が決定した、サービス利用者の個人情報（例えば、住所のうちの都道府県のみなど）である。第２個人情報は、サービス利用者によって、提供装置２０に登録される。

なお、第２個人情報は、個人情報提供時にサービス利用者の許諾を必要としないサービス利用者の個人情報であり、第１個人情報は、個人情報提供時にサービス利用者の許諾を必要とするサービス利用者の個人情報である。

このため、第１個人情報は、第２個人情報より、セキュリティレベルが高いと考えられる。

格納部２０ａは、一般的に第２格納手段と呼ぶことができる。格納部２０ａは、第２個人情報を格納する。

提供部２０ｂは、一般的に第２提供手段と呼ぶことができる。

提供部２０は、第２個人情報の要求を受け付けると、第２個人情報の提供の可否を第２個人情報の保有者に確認せずに、第２個人情報を、第２個人情報の要求の送信元に提供する。

サービス提供装置５０は、特定のサービス（例えば、荷物の配達の手配、または、アンケート）を個人に提供する。サービス提供装置５０は、提供装置１０または提供装置２０から、サービスの対象となる利用者（以下、「サービス利用者」と称する。）の個人情報を取得し、その個人情報を利用してサービスを提供する。

制御部５０ａは、一般的にサービス提供制御手段と呼ぶことができる。制御部５０ａは、サービス提供装置５０を制御する。

決定部５０ｂは、一般的に決定手段と呼ぶことができる。

決定部５０ｂは、制御部５０ａから許諾指示の判定依頼を受け付けると、個人情報提供装置からサービス利用者の個人情報を取得する際に、サービス利用者から個人情報の使用についての許諾を受ける必要があるか否かを、サービス提供装置５０が提供するサービスの内容に応じて判断する。決定部５０ｂは、その判断結果を、制御部５０ａに返答する。

例えば、サービス提供装置５０が提供するサービスが、荷物の配達の手配である場合、サービス利用者の正確な住所、氏名、電話番号などが必要となる。この場合、決定部５０ｂは、サービス利用者から許諾が必要である（利用確認必要）という判断を行う。

また、例えば、サービス提供装置５０が提供するサービスが、あるアンケートであり、サービス利用者の個人情報として、サービス利用者が住んでいる都道府県の情報のみが必要であるような場合、決定部５０ｂは、サービス利用者による許諾は必要でない（利用確認不要）という判断を行う。

なお、決定部５０ｂは、これらの判断を、サービス提供装置５０であらかじめ決められた条件に基づいて行っても構わない。

制御部５０ａは、決定部５０ｂの判断結果を、個人情報の利用確認の要否を表す確認情報として、発見装置３０（具体的には、提供部３０ｂ）に提供する。

発見装置３０は、選択装置の一例であり、サービス提供装置５０からの要求（確認情報）に従い、提供装置１０と提供装置２０のいずれかを選択し、その選択の結果をサービス提供装置５０に返す。

管理部３０ａは、一般的に管理手段と呼ぶことができる。

管理部３０ａは、提供装置１０（具体的には、提供部１０ｂ）にアクセスするための第１アクセス情報と、提供装置２０（具体的には、提供部２０ｂ）にアクセスするための第２アクセス情報と、を格納する。

提供部３０ｂは、一般的に第３提供手段と呼ぶことができる。

提供部３０ｂは、確認情報を含む個人情報の要求を受け付けると、確認情報が表す内容を確認する。

確認情報が利用確認必要を表す場合には、提供部３０ｂは、その確認情報を必要情報として認識し、第１アクセス情報を、個人情報の要求の送信元（例えば、サービス提供装置５０）に提供する。

一方、確認情報が利用確認不要を表す場合には、提供部３０ｂは、その確認情報を不要情報として認識し、第２アクセス情報を、個人情報の要求の送信元（例えば、サービス提供装置５０）に提供する。

処理管理部３０ｂ１は、一般的に処理管理手段と呼ぶことができる。処理管理部３０ｂ１は、例えば、サービス提供装置５０から、確認情報を含む個人情報の要求を受け付けると、その個人情報の要求を選択部３０ｂ２に提供する。

選択部３０ｂ２は、一般的に選択手段と呼ぶことができる。

選択部３０ｂ２は、個人情報の要求内の確認情報が利用確認必要を表す場合には、管理部３０ａから第１アクセス情報を読み出し、その第１アクセス情報を処理管理部３０ｂ１に提供する。また、個人情報の要求内の確認情報が利用確認不要を表す場合には、選択部３０ｂ２は、管理部３０ａから第２アクセス情報を読み出し、その第２アクセス情報を処理管理部３０ｂ１に提供する。

処理管理部３０ｂ１は、選択部３０ｂ２から提供された第１アクセス情報を、個人情報の要求の送信元（例えば、サービス提供装置５０）に提供する。また、処理管理部３０ｂ１は、選択部３０ｂ２から提供された第２アクセス情報を、個人情報の要求の送信元（例えば、サービス提供装置５０）に提供する。

図２は、制御システム１００の動作を説明するためのシーケンス図である。以下、図２を参照して、制御システム１００の動作を説明する。

図２は、決定部５０ｂが、サービス利用者の許諾が必要である（利用確認必要）という判断を行う場合の動作を示す。

サービス提供装置５０で個人情報が必要になった場合に、ステップ１００で、制御部５０ａは、決定部５０ｂに対して、許諾指示の判定依頼を行う。

続いて、ステップ１０１で、決定部５０ｂは、サービス利用者に対して個人情報利用の許諾を得るのがよいか、または、個人情報利用の許諾を得ないのがよいのかを判断する。

例えば、サービス提供装置５０が提供するサービスが、荷物の配達の手配である場合、サービス提供装置５０は、サービス利用者の正確な住所、氏名、電話番号などを必要とし、また、サービス利用者に対して、このサービスではサービス提供装置５０へそれらの情報が渡されることを明確にしたほうがよい。その結果、この場合、決定部５０ｂは、サービス利用者からの許諾が必要であるという判断を行う。

また、例えば、サービス提供装置５０が提供するサービスが、あるアンケートであり、サービス提供装置５０は、サービス利用者が住んでいる都道府県の情報のみ必要であるような場合、サービス利用者の許諾を得る行為のためにサービスの実行を中断すべきでない。 その結果、この場合、決定部５０ｂは、サービス利用者からの許諾は必要でないという判断を行う。

なお、決定部５０ｂは、これらの判断を、サービス提供装置５０であらかじめ決められた条件に基づいて行っても構わない。

以下では、サービス利用者からの許諾が必要であると判断されたとする。

ステップ１０２で、決定部５０ｂは、ステップ１０１で判定した結果を、制御部５０ａに通知する。

続いて、ステップ１０３で、制御部５０ａは、発見装置３０（具体的には、処理管理部３０ｂ１）に対し、個人情報提供装置の情報の要求を行う。この要求は、サービス利用者からの許諾が必要かどうかの情報（確認情報）を含む。

なお、この場合、この要求は、サービス利用者からの許諾が必要であることを表す確認情報を含んでいる。

また、この要求は、サービス提供装置５０で必要とする個人情報の属性名を含む種別を表す種別情報を含んでもよい。

処理管理部３０ｂ１は、制御部５０ａからの要求を受け付けると、ステップ１０４で、選択部３０ｂ２に対して、その要求を提供して、個人情報提供装置の選択依頼を行う。

続いて、ステップ１０５で、選択部３０ｂ２は、処理管理部３０ｂ１からの要求に含まれる、サービスの利用者からの許諾が必要かどうかの情報（確認情報）に基づいて、提供装置１０および提供装置２０のうちの、どちらかを選択する。

この場合、選択部３０ｂ２は、提供装置１０の選択を行う。

また、ステップ１０５で、選択部３０ｂ２は、ステップ１０３でサービス提供装置５０から送られた、サービス提供装置５０で必要とする個人情報の属性名を含む種別情報を使用して、提供装置１０または提供装置２０を選択してもよい。

続いて、ステップ１０６で、選択部３０ｂ２は、ステップ１０５の選択に従い、管理部３０ａから、提供装置１０または提供装置２０にアクセスするためのアクセス情報を取得する。

この場合、選択部３０ｂ２は、提供装置１０にアクセスするためのアクセス情報を取得する。

なお、提供装置にアクセスするためのアクセス情報は、提供装置のＵＲＬやＩＰアドレスなどを含むネットワーク上の位置の情報と、提供装置にプロトコル名を含む個人情報の要求を行う方法と、提供装置で提供される個人情報の属性名を含む種別情報などを含んでよい。

また、提供装置にアクセスするためのアクセス情報は、必ずしも１つとは限らず、複数の提供装置の情報を含んでもよい。

続いて、ステップ１０７で、選択部３０ｂ２は、管理部３０ａから取得した情報を、処理管理部３０ｂ１へ返答する。

続いて、ステップ１０８で、処理管理部３０ｂ１は、選択部３０ｂ２から取得した情報を、サービス提供装置５０（具体的には、制御部５０ａ）へ返答する。

続いて、ステップ１０９で、サービス提供装置５０（具体的には、制御部５０ａ）は、ステップ１０８で送られた提供装置へのアクセス情報を利用して、提供装置に対して個人情報の要求を行う。

この場合、制御部５０ａは、提供装置１０に対して個人情報の要求を行う。

なお、ステップ１０８で送られた提供装置へのアクセス情報に、提供装置に個人情報の要求を行う方法が含まれている場合、制御部５０ａは、この方法を用いて、提供装置に個人情報の要求を行ってもよい。

この個人情報の要求は、サービス提供装置５０で必要とする個人情報の属性名を含む種別を表す種別情報を含んでもよいし、サービス提供装置５０で必要とする個人情報の利用目的を表す利用目的情報を含んでもよい。

提供装置１０（具体的には、提供制御部１０ｂ２）は、個人情報の要求を受け付けると、ステップ１１０で、許諾確認部１０ｂ１に対して、個人情報に要求を提供して、許諾確認指示を行う。

続いて、ステップ１１１で、許諾確認部１０ｂ１は、サービス利用者に対して許諾確認を行う。

ここで、許諾確認は、一般的な方法でよく、例えば、Ｗｅｂブラウザを使用して許諾意思の確認を得たり、サービス利用者宛のメールを送信して通知を行い、そのメールの返信として許諾を得るような場合などが考えられる。

また、許諾確認とともに、個人情報の送付元である提供装置１０から個人情報の送付先であるサービス提供装置５０に対して個人情報が送られることを示す情報が、サービス利用者に通知されてもよい。

また、制御部５０ａからの個人情報の要求が、要求されている個人情報の属性名を含む種別情報、および、個人情報の利用目的を表す利用目的情報を含む場合、許諾確認とともに、種別情報および利用目的情報が、サービス利用者に通知されてもよい。

続いて、ステップ１１２で、許諾確認部１０ｂ１は、サービス利用者からの許諾確認の結果を受け付け、その許諾確認の結果を、提供制御部１０ｂ２に返答する。

続いて、ステップ１１３で、提供制御部１０ｂ２は、サービス利用者からの許諾確認の結果が許諾を表す場合は、格納部１０ａから第１個人情報を読み出し、その第１個人情報を含む要求結果を、サービス提供装置５０に返答する。一方、サービス利用者からの許諾確認の結果が許諾を表さない場合は、提供制御部１０ｂ２は、第１個人情報を含まない要求結果を、サービス提供装置５０に返答する。

なお、図２を用いた説明は、決定部５０ｂが許諾ありを選択する場合であるが、決定部５０ｂが、許諾なしを選択する場合は、ステップ１０５で、提供装置２０の選択が行われることと、ステップ１０６で、提供装置２０の情報（アクセス情報）が取得されることと、ステップ１０９で、提供装置２０に対して個人情報の要求が行われることと、ステップ１１１でユーザに対して許諾確認が行われないことが、決定部５０ｂが許諾ありを選択する場合と異なる。

本実施形態によれば、第１個人情報と第２個人情報とが、別々の提供装置に格納される。このため、各提供装置のセキュリティレベルを変えることで、個人情報を、その個人情報が必要とするセキュリティレベルに応じて適切に管理することが可能になる。

よって、例えば、第２個人情報を、第２個人情報に必要とされるセキュリティレベル以上のセキュリティレベル（例えば、第１個人情報に必要とされるセキュリティレベル）で管理することを防止できる。

したがって、セキュリティ管理に要するコストを抑えつつ、個人情報を、その個人情報が必要とするセキュリティレベルに応じて適切に管理することが可能になる。

また、本実施形態では、提供部１０ｂは、提供部１０ｂ（つまり、提供装置１０）を表す提供元情報、および、第１個人情報の要求の送信元（本実施形態では、サービス提供装置５０）を表す提供先情報のうちの、少なくとも１つ以上を、第１個人情報の保有者に提供して、第１個人情報の提供の可否を、第１個人情報の保有者に確認する。

この場合、第１個人情報の保有者は、第１個人情報の流通経路を考慮した上で、第１個人情報の提供の可否を判断することが可能になる。

また、本実施形態では、提供部１０ｂは、第１個人情報の要求の送信元（本実施形態では、サービス提供装置５０）から、第１個人情報の要求と共に、第１個人情報の利用目的を表す利用目的情報を受け付け、その利用目的情報を、第１個人情報の保有者に提供して、第１個人情報の提供の可否を、第１個人情報の保有者に確認する。

この場合、第１個人情報の保有者は、第１個人情報の利用目的を考慮した上で、第１個人情報の提供の可否を判断することが可能になる。

また、本実施形態では、提供部１０ｂは、第１個人情報の要求の送信元（本実施形態では、サービス提供装置５０）から、第１個人情報の要求と共に、第１個人情報の種別を表す種別情報を受け付け、その種別情報を、第１個人情報の保有者に提供して、第１個人情報の提供の可否を、第１個人情報の保有者に確認する。

この場合、第１個人情報の保有者は、第１個人情報の種別を考慮した上で、第１個人情報の提供の可否を判断することが可能になる。

次に、本発明の第２実施形態を説明する。

図３は、本発明の第２実施形態である個人情報流通制御システムを示したブロック図である。なお、図３において、図１に示したものと同一のものには同一符号を付してある。

第２実施形態は、発見装置３０の代わりに発見装置３０Ａが使用される点で、第１実施形態と異なる。以下、第２実施形態について、第１実施形態と異なる点を中心に説明する。

発見装置３０Ａは、選択装置の一例であり、提供装置の情報（アクセス情報）ではなく、直接、個人情報をサービス提供装置５０に提供する。

発見装置３０Ａは、管理部３０ａと、提供部３０Ａｂと、を含む。提供部３０Ａｂは、処理管理部３０Ａｂ１と、選択部３０ｂ２と、を含む。

提供部３０Ａｂは、一般的に第３提供手段と呼ぶことができる。

提供部３０Ａｂは、個人情報の利用確認が必要の旨の必要情報（確認情報）を受け付けると、管理部３０ａ内の第１アクセス情報を用いて、提供部１０ｂに第１個人情報の要求を提供する。提供部３０Ａｂは、提供部１０ｂから第１個人情報を受け付けると、その第１個人情報を、必要情報（確認情報）の送信元（本実施形態では、サービス提供装置５０）に提供する。

また、提供部３０Ａｂは、個人情報の利用確認が不要の旨の不要情報（確認情報）を受け付けると、管理部３０ａ内の第２アクセス情報を用いて、提供部２０ｂに第２個人情報の要求を提供する。提供部３０Ａｂは、提供部２０ｂから第２個人情報を受け付けると、その第２個人情報を、不要情報の要求元（本実施形態では、サービス提供装置５０）に提供する。

処理管理部３０Ａｂ１は、一般的に処理管理手段と呼ぶことができる。処理管理部３０Ａｂ１は、サービス提供装置５０から確認情報（確認情報）を受け付けると、その確認情報を選択部３０ｂ２に提供する。

処理管理部３０Ａｂ１は、選択部３０ｂ２から提供された第１アクセス情報を用いて、提供部１０ｂに、第１個人情報の要求を提供する。処理管理部３０Ａｂ１は、提供部１０ｂから第１個人情報を受け付けると、その第１個人情報を、必要情報（確認情報）の送信元（本実施形態では、サービス提供装置５０）に提供する。

また、処理管理部３０Ａｂ１は、選択部３０ｂ２から提供された第２アクセス情報を用いて、提供部２０ｂに第２個人情報の要求を提供する。処理管理部３０Ａｂ１は、提供部２０ｂから第２個人情報を受け付けると、その第２個人情報を、不要情報（確認情報）の送信元（本実施形態では、サービス提供装置５０）に提供する。

第２実施形態の動作としては、処理管理部３０Ａｂ１は、図２のステップ１０８を行わず、図２のステップ１０９を実行し、ステップ１１３で提供装置１０から返答された個人情報を、サービス提供装置５０に返答する。

本実施形態によれば、提供部３０Ａｂは、個人情報の利用確認が必要の旨の必要情報（確認情報）を受け付けると、管理部３０ａ内の第１アクセス情報を用いて、提供部１０ｂに第１個人情報の要求を提供する。提供部３０Ａｂは、提供部１０ｂから第１個人情報を受け付けると、その第１個人情報を、必要情報（確認情報）の送信元に提供する。

また、提供部３０Ａｂは、個人情報の利用確認が不要の旨の不要情報（確認情報）を受け付けると、管理部３０ａ内の第２アクセス情報を用いて、提供部２０ｂに第２個人情報の要求を提供する。提供部３０Ａｂは、提供部２０ｂから第２個人情報を受け付けると、その第２個人情報を、不要情報の要求元に提供する。

この場合、第１実施形態に比べて、サービス提供装置５０の作業負荷を減らすことが可能になる。

なお、上記各実施形態において、提供装置１０と許諾確認部１０ｂ１が異なる装置と成ってもよい。

この場合、提供装置１０に対してステップ１０９で行われる要求は、サービス提供装置５０からのもので、必ずしもユーザからの要求ではないため、提供装置１０は、ユーザの位置が分からない場合がある。

このような場合、標準仕様であるSAML（Security Assertion Markup Language）やLiberty ID-FFの仕様を使用して、ユーザの認証を行う認証サーバから、ユーザの場所を得たり、ユーザからの許可を得たりということが可能となる。

また、上記各実施形態において、サービス提供装置５０の信頼度を考慮してもよい。

個人情報はサービス提供装置５０に送られるため、サービス利用者は、サービス提供装置５０が信頼できる装置であることの確認を要求する場合が考えられる。

この場合、例えば、ステップ１０４または、ステップ１０５または、ステップ１１０において、サービス提供装置５０の信頼度が測定され、その測定結果が、サービス利用者に提供される。

信頼度の測定方法は一般的な方法で構わないが、サービス提供装置５０のＩＰアドレスが、あらかじめ登録されたＩＰアドレスであるという確認や、要求にPKI（Public Key Infrastructure）を使用した署名などを含めることで実現が可能である。

これにより、サービス利用者は、サービス提供装置５０が信頼できる場合に、個人情報の送付を許可することが可能となる。

上記各実施形態によれば、サービス利用者の許諾が必要ない個人情報については、サービス利用者の許諾を受けずに個人情報を使用することが可能となる。このため、サービスの実行が、ユーザの許諾を受ける動作により中断されることなしに行うことが可能となる。

上記各実施形態によれば、サービス利用者の許諾が必要な情報については、明示的に、サービス利用者は、個人情報が提供されていることを知ることが可能となる。

また、上記各実施形態によれば、サービス利用者は、自身の意思で許諾が必要な個人情報と許諾が必要ない個人情報を使い分けることが可能となる。これにより、サービス利用者の意思を反映させながら、個人情報の正確さと許諾を行わない利便性とを両立させることが可能となる。

なお、上記各実施形態において、提供装置１０と、提供装置２０と、発見装置３０および３０Ａと、サービス提供装置５０のそれぞれは、ハードディスク等のコンピュータ読み取り可能な記録媒体に記録されたプログラムに従って動作するコンピュータによって実現されてもよい。この場合、各コンピュータは、そのプログラムを記録媒体から読み取り実行することによって、各装置の各構成要素（各手段）として機能する。

また、上記各実施形態は、個人情報流通制御、個人情報保護または属性管理技術の分野に適用可能である。

以上、各実施形態を参照して本願発明を説明したが、本願発明は上記各実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２００８年２月１３日に出願された日本出願特願２００８−３１６２０を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (10)

1. 利用確認が必要な第１個人情報を提供する第１提供装置と、利用確認が不要な第２個人情報を提供する第２提供装置と、前記第１提供装置と前記第２提供装置のいずれかにアクセスするためのアクセス情報を提供する選択装置と、を含む個人情報流通制御システムであって、
   前記第１提供装置は、
   前記第１個人情報を格納する第１格納手段と、
   前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１個人情報を、前記第１個人情報の要求の送信元に提供する第１提供手段と、を含み、
   前記第２提供装置は、
   前記第２個人情報を格納する第２格納手段と、
   前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２個人情報を、前記第２個人情報の要求の送信元に提供する第２提供手段と、を含み、
   前記選択装置は、
   前記第１提供手段にアクセスするための第１アクセス情報と、前記第２提供手段にアクセスするための第２アクセス情報と、を格納する管理手段と、
   個人情報の利用確認が必要の旨の必要情報を受け付けると、前記第１アクセス情報を、当該必要情報の送信元に提供し、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記第２アクセス情報を、当該不要情報の送信元に提供する第３提供手段と、を含む、個人情報流通制御システム。
2. 利用確認が必要な第１個人情報を提供する第１提供装置と、利用確認が不要な第２個人情報を提供する第２提供装置と、前記第１提供装置および前記第２提供装置と通信可能な選択装置と、を含む個人情報流通制御システムであって、
   前記第１提供装置は、
   前記第１個人情報を格納する第１格納手段と、
   前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１個人情報を、前記第１個人情報の要求の送信元に提供する第１提供手段と、を含み、
   前記第２提供装置は、
   前記第２個人情報を格納する第２格納手段と、
   前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２個人情報を、前記第２個人情報の要求の送信元に提供する第２提供手段と、を含み、
   前記選択装置は、
   前記第１提供手段にアクセスするための第１アクセス情報と、前記第２提供手段にアクセスするための第２アクセス情報と、を格納する管理手段と、
   個人情報の利用確認が必要の旨の必要情報を受け付けると、前記第１アクセス情報を用いて前記第１提供手段に前記第１個人情報の要求を提供し、前記第１提供手段から前記第１個人情報を受け付けると、前記第１個人情報を、前記必要情報の送信元に提供し、また、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記第２アクセス情報を用いて前記第２提供手段に前記第２個人情報の要求を提供し、前記第２提供手段から前記第２個人情報を受け付けると、前記第２個人情報を、前記不要情報の要求元に提供する第３提供手段と、を含む個人情報流通制御システム。
3. 前記第１提供手段は、前記第１提供手段を表す提供元情報、および、前記第１個人情報の要求の送信元を表す提供先情報のうちの、少なくとも１つ以上を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認する、請求の範囲第１項または第２項に記載の個人情報流通制御システム。
4. 前記第１提供手段は、前記第１個人情報の要求の送信元から、前記第１個人情報の要求と共に、前記第１個人情報の利用目的を表す利用目的情報を受け付け、当該利用目的情報を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認する、請求の範囲第１項から第３項のいずれか１項に記載の個人情報流通制御システム。
5. 前記第１提供手段は、前記第１個人情報の要求の送信元から、前記第１個人情報の要求と共に、前記第１個人情報の種別を表す種別情報を受け付け、当該種別情報を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認する、請求の範囲第１項から第４項のいずれか１項に記載の個人情報流通制御システム。
6. 利用確認が必要な第１個人情報を格納する第１格納手段を有する第１提供装置と、利用確認が不要な第２個人情報を格納する第２格納手段を有する第２提供装置と、前記第１提供装置にアクセスするための第１アクセス情報と前記第２提供装置にアクセスするための第２アクセス情報とを格納する管理手段を有する選択装置と、を含む個人情報流通制御システムでの個人情報流通制御方法であって、
   前記選択装置が、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記管理手段内の第１アクセス情報を、前記必要情報の送信元に提供し、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記管理手段内の第２アクセス情報を、前記不要情報の送信元に提供し、
   前記第１提供装置が、前記第１アクセス情報を用いてアクセスされて前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１格納手段内の第１個人情報を、前記第１個人情報の要求の送信元に提供し、
   前記第２提供装置が、前記第２アクセス情報を用いてアクセスされて前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２格納手段内の第２個人情報を、前記第２個人情報の要求の送信元に提供する、個人情報流通制御方法。
7. 利用確認が必要な第１個人情報を格納する第１格納手段を有する第１提供装置と、利用確認が不要な第２個人情報を格納する第２格納手段を有する第２提供装置と、前記第１提供装置にアクセスするための第１アクセス情報と前記第２提供装置にアクセスするための第２アクセス情報とを格納する管理手段を有する選択装置と、を含む個人情報流通制御システムでの個人情報流通制御方法であって、
   前記選択装置が、個人情報の利用確認が必要の旨の必要情報を受け付けると、前記管理手段内の第１アクセス情報を用いて前記第１提供装置に前記第１個人情報の要求を提供し、
   前記第１提供装置が、前記選択装置から前記第１個人情報の要求を受け付けると、前記第１個人情報の提供の可否を前記第１個人情報の保有者に確認し、当該保有者から提供可を示す情報を受け付けた場合、前記第１格納手段内の第１個人情報を、前記選択装置に提供し、
   前記選択装置が、前記第１提供装置から前記第１個人情報を受け付けると、当該第１個人情報を、前記必要情報の送信元に提供し、
   前記選択装置が、個人情報の利用確認が不要の旨の不要情報を受け付けると、前記管理手段内の第２アクセス情報を用いて前記第２提供装置に前記第２個人情報の要求を提供し、
   前記第２提供装置が、前記選択装置から前記第２個人情報の要求を受け付けると、前記第２個人情報の提供の可否を前記第２個人情報の保有者に確認せずに、前記第２格納手段内の第２個人情報を、前記選択装置に提供し、
   前記選択装置が、前記第２提供装置から前記第２個人情報を受け付けると、当該第２個人情報を、前記不要情報の要求元に提供する、個人情報流通制御方法。
8. 前記第１提供装置が、当該第１提供装置を表す提供元情報、および、前記第１個人情報の要求の送信元を表す提供先情報のうちの、少なくとも１つ以上を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認することを含む、請求の範囲第６項または第７項に記載の個人情報流通制御方法。
9. 前記第１提供装置が、前記第１個人情報の要求の送信元から、前記第１個人情報の要求と共に、前記第１個人情報の利用目的を表す利用目的情報を受け付け、当該利用目的情報を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認することを含む、請求の範囲第６項から第８項のいずれか１項に記載の個人情報流通制御方法。
10. 前記第１提供装置が、前記第１個人情報の要求の送信元から、前記第１個人情報の要求と共に、前記第１個人情報の種別を表す種別情報を受け付け、当該種別情報を、前記第１個人情報の保有者に提供して、前記第１個人情報の提供の可否を、前記第１個人情報の保有者に確認することを含む、請求の範囲第６項から第９項のいずれか１項に記載の個人情報流通制御方法。

Images