WO2004053759A1

WO2004053759A1 - 個人情報管理システム、仲介システム、および端末装置

Info

Publication number: WO2004053759A1
Application number: PCT/JP2002/012988
Authority: WO
Inventors: Tsunao Houtani
Original assignee: Fujitsu Limited
Priority date: 2002-12-11
Filing date: 2002-12-11
Publication date: 2004-06-24
Also published as: EP1574978A1; JP4033865B2; AU2002354202A1; EP1574978A4; JPWO2004053759A1; CN1698055A; US20050228687A1

Description

明細書個人情報管理システム、仲介システム、および端末装置技術分野

この発明は、ユーザの個人情報を管理するシステムに関する。背景技術

従来より、インタ一ネットなどのネットワークを介してユーザに対してオンラインショッビングなどのサービスを提供する技術が提案されている。ユーザは、サービスを利用する前に、サービスを行うサービス事業者に対して自分の氏名、住所、連絡先、およびクレジットカードの番号などの個人情報を教えておかなければならない。

しかし、サービスに関係のない個人情報までをも、サービス事業者から求められることがある。また、一旦、個人情報がユーザの元から離れてしまうと、その後、その個人情報が漏洩したり散乱したりする可能性がある。

このような状況において、最近では、多くのユーザが、自分の個人情報はできるだけ自分自身で管理を行い、必要最小限の情報だけをサ一ビス事業者に与えたい、という意識を持つようになつている。

一方、サービス事業者は、従来より、サービスを受けようとするユーザが正規のユーザであるか否かを判別する際に、ユーザ I Dおよびパスヮ一ドの入力を求め、これらの入力が正しければ正規のユーザであると認証している。

個人情報を管理するために、次のような技術が提案されている。特開 2 0 0 2 - 9 9 8 2 9号公報に記載の発明は、ネットワークに接続されたユーザの端末とサービス提供のためにユーザの個人情報を要求するサ —ビス提供サーバとの間に、個人情報を管理するサーバを設けている。また、特開 2 0 0 2— 7 8 9 4号公報に記載の発明は、顧客情報（個人情報）を顧客管理システムのデータベースに一元的に蓄積する。

特開 2 0 0 1— 3 5 0 7 2 1号公報に記載の発明によると、ユーザは、提供しょうとする情報のタイトルを情報仲介端末で公開する。その情報を取得したい者（サービス事業者）は、端末の W e bブラウザ上にそのタイトルを表示させ、これを指定する。すると、ユーザの端末は、指定があった旨の通知があつたときにその情報を情報仲介端末に送信する。そして、情報仲介端末は、サービス事業者の端末がその情報を取得できるように保持する。

ところが、特開 2 0 0 2— 9 9 8 2 9号公報および特開 2 0 0 2— 7 8 9 4号公報に記載の各発明によると、個人情報がユーザの管理から離れてネッ卜ワーク上で公開されているシステムに置かれるので、個人情報が漏洩するおそれがあり、ユーザにとって不安である。また、特開 2 0 0 1 - 3 5 0 7 2 1号公報に記載の発明によると、個人情報がネットワーク上のシステムに置かれる時間は短いものの、やはり、ユーザにとつて不安である。

一方、サ一ビス事業者は、ユーザ I Dおよびパスワードの入力が正しい場合は全て正規のユーザであると認証してしまうと、サービスの不正利用を許してしまい、ユーザからの信頼を失うおそれがある。不正利用されたユーザも、損害を被ることになる。

本発明は、このような問題点に鑑み、ユーザの個人情報をユーザ自身で管理しつつ、サービスの提供を受けるのに必要な個人情報を安全にサ一ビス事業者に与え、信頼性の高いサービスが行われるようにすることを目的とする。発明の開示

本発明に係る個人情報管理システムは、サービス事業者のサービス事業者システムと、前記サービス事業者が提供するサービスを受けようとするユーザの端末装置と、前記ユーザの個人情報を前記サービス事業者に与えるための仲介を行う仲介システムと、を有してなる。

前記ユーザの端末装置には、当該ユーザの 1つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、当該ユーザが当該端末. 装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、前記仲介システムからの指令に従って当該ユーザの個人情報を送信する個人情報送信手段と、を設ける。

前記サービス事業者のサービス事業者システムには、当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を前記仲介システムに対して要求する個人情報要求手段と、要求した前記ユーザの個人情報を当該ユーザの端末装置から受信する個人情報受信手段と、を設ける。

前記仲介システムには、前記ユーザの端末装置が前記サービスの提供を受けるための使用に適しているか否かを判別する端末適否判別手段と、前記サービス事業者のサービス事業者システムの前記個人情報要求手段から要求された、前記必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置の前記個人認証手段によって当該ユーザが前記権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者システムに送信するように、当該端末装置に対して指令を行う送信指令手段と、を設ける。

好ましくは、前記仲介システムには、前記サービス事業者が前記サ一ビスを提供するために必要な個人情報の項目を示す項目情報を、当該サ —ビスの受付を始める前に予め記憶しておく項目記憶手段を設ける。そして、前記送信指令手段は、前記項目情報に示される項目についての前記ユーザの個人情報を送信するように指令を行う。

または、前記項目記憶手段は、前記項目情報として、前記サービス事業者にとって直接必要な個人情報の項目を示す第一の項目情報と、前記サービス事業者を代行する二次事業者にとって必要な個人情報の項目を示す第二の項目情報と、を記憶し、前記送信指令手段は、前記第一の項目情報に示される項目についての前記ユーザの個人情報を前記サービス事業者に宛てて送信し前記第二の項目情報が示す項目についての前記ュ —ザの個人情報を前記二次事業者に宛てて送信するように、指令を行うまたは、前記個人情報送信手段は、前記ユーザの個人情報を、宛先ごとにそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する。または、前記個人情報記憶手段は、前記ユーザの個人情報として、当該ユーザ以外の者によって内容が正しいと認められた個人情報を記憶する。

または、前記ユーザの端末装置には、前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、前記ユーザの身体的特徴を入力する特徴入力手段と、を設ける。そして、前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う。

または、前記端末装置に、前記ユーザが前記権限を有する者であると認証された場合に、前記サービスを当該ユーザに提供するように前記サ —ビス事業者に対して要求を行うサービス要求手段を設ける。図面の簡単な説明

図 1は、本発明に係る個人情報管理システムの全体の構成の例を示す図である。

図 2は、仲介システムのハ一ドウエア構成の例を示す図である。図 3は、仲介システムの機能的構成の例を示す図である。

図 4は、サービス提供システムの機能的構成の例を示す図である。図 5は、端末装置の機能的構成の例を示す図である。

図 6は、個人情報の例を示す図である。

図 7は、個人情報の例を示す図である。

図 8は、サービス事業者に必要な準備の処理の流れの例を説明するフローチヤ一トである。

図 9は、ユーザに必要な準備の処理の流れの例を説明するフローチヤートである。

図 1 0は、個人情報管理システムにおけるサービスの提供の処理の流れの例を説明するフローチャートである。

図 1 1は、認証処理の流れの例を説明するフローチャートである。図 1 2は、利用可否の判定処理の流れの例を説明するフローチャートである。

図 1 3は、二次事業者の選定処理の流れの例を説明するフローチヤ一トである。

図 1 4は、必要情報の収集処理の流れの例を説明するフローチャートである。発明を実施するための最良の形態

添付の図面に従って、本発明をより詳細に説明する。図 1は本発明に係る個人情報管理システム 1の全体の構成の例を示す図である。図 1に示すように、本発明に係る個人情報管理システム 1は、仲介システム 1 0、サービス提供システム 2、端末装置 3、およびネットヮーク 4などによって構成される。仲介システム 1 0、サービス提供システム 2、および端末装置 3は、ネットワーク 4を介して互いに接続可能である。ネットワーク 4として、インターネット、公衆回線、または専用線などが用いられる。

端末装置 3として、 W e bブラウザおよび電子メールプログラムがィンストールされたワークステーション、パーソナルコンピュータ、 P D A (Pers ona l Di g i t a l Ass i s t an t ) 、または携帯電話装置などが用いられる。

サービス提供システム 2は、端末装置 3のユーザに対してオンラインショッピング、チケット予約、オークション、またはオンラインバンキングなどのサービスを提供するサービス事業者（例えば、インターネットサービスプロバイダまたは金融機関など）ごとに設けられており、主にこれらのサービスを提供するための処理を行う。

サ一ビス事業者は、サービスをユーザに提供するために、そのユーザの個人情報を必要とする場合がある。例えば、オンラインショッピングのサービスを行うサービス事業者は、商品の発送先の住所、トラブルがあった場合などに連絡を取るための電話番号または電子メールァドレス、または代金の支払いに用いられるクレジットカードのカード番号などの項目についての個人情報を必要とする。本実施形態では、ユーザの個人情報は、そのユーザ自身の端末装置 3によって管理されている。サ一ビス事業者は、必要が生じた時点で、必要最小限の項目についての個人情報をそのユーザの端末装置 3から取得することができる。

ただし、この際に、サービス事業者は、必要な個人情報を、直接ユーザの端末装置 3に対して要求するのではなく、仲介システム 1 0に対して要求する。仲介システム 1 0は、要求に係る個人情報をそのサービス事業者のサービス提供システム 2に送信するように端末装置 3に対して指令する。つまり、仲介システム 1 0は、サービス提供システム 2の要求を端末装置 3に伝える仲介の処理を行う。この仲介システム 1 0は、政府または役所などの公的機関、または公的機関が認めた機関など、個人情報を不正に用いない、信頼のある団体によって運営される。以下、仲介システム 1 0を運営する団体を「仲介局」と記載する。

その他、仲介局は、ユーザの個人情報の内容が正しいか否かを審査し、審査に合格した個人情報に電子署名を行う。ユーザは、審査に合格して電子署名がなされた個人情報によらなければ、サービス事業者からサ一ビスを受けることができない。

また、ユーザは、サービス事業者が提供するサービスを受ける際に、自分が本人であること（つまり、そのユーザになりすました他人でないこと）を、そのユーザが使用する端末装置 3に認証してもらわなければならない。さらに、その端末装置 3が、サービスを受ける際に使用してもよい端末装置であるか否かを、仲介システム 1 0に認証してもらわなければならない。ユーザは、ユーザの認証および端末装置の認証の両方が得られた場合に、サービスの提供を受けることができる。

仲介システム 1 0およびサービス提供システム 2として、例えば、電子メールサーバ、 C G I (Common Ga t eway I n t er f ace) 、および W e b サーバなどの機能を有するサーバ機が用いられる。図 1に示すように、仲介システム 1 0を、 1台のサーバ機によって構成してもよいし、複数台のサーバ機および種々の装置を組み合わせて構成してもよい。

図 2は仲介システム 1 0のハ一ドウエア構成の例を示す図、図 3は仲介システム 1 0の機能的構成の例を示す図、図 4はサービス提供システム 2の機能的構成の例を示す図、図 5は端末装置 3の機能的構成の例を示す図、図 6は個人情報 7 00の例を示す図、図 7は個人情報 77の例を示す図である。

図 2に示すように、仲介システム 1 0は、 CPU 1 0 a、 RAM 1 0 b、 ROM 10 c、磁気記憶装置 1 0 d、ディスプレイ装置 1 0 e、マウスまたはキーボードなどの入力装置 1 0 f 、フロッピディスクドライブまたは CD— Rドライブなどのリムーバブルディスクドライブ 1 0 g 、および各種インタフェースなどによって構成される。磁気記憶装置 1 0 dには、オペレーティングシステム（OS) 、上記の各機能を実現するためのプログラム、および図 3に示す各機能を実現するためのプログラムおよびデータなどがインストールされている。これらのプログラムおよびデータは、必要に応じて RAM 1 0 bにロードされ、 C PU 1 0 aによってプログラムが実行される。

サービス提供システム 2および端末装置 3のハードウエア構成も、図 2に示す仲介システム 1 0の構成とほぼ同様である。サービス提供システム 2および端末装置 3のそれぞれの磁気記憶装置には、図 4および図 5に示す各機能を実現するためのプログラムおよびデータなどがィンストールされている。端末装置 3には、指紋入力装置、マイクロホン、またはディジ夕ルカメラなどが必要に応じて接続される。

ただし、端末装置 3として、 PDAまたは携帯端末装置が用いられる場合は、必要なプログラムなどは、 ROM 1 0 cに書き込まれる。フロツビディスクなどのリムーバブルディスクドライブ 1 0 gは、必要に応じて外付けされる。

次に、図 3、図 4、および図 5に示す各機能を、個人情報の信頼性を得るための機能、セキュリティおよび取引の信頼性を得るための機能、およびサービスの享受および提供のための機能に大別して説明する。〔個人情報の信頼性を得るための機能〕前に述べたように、仲介局は、ユーザの個人情報の内容が正しいか否かの審査を行う。ユーザは、例えば図 6に示すような所定の項目に関する自分の個人情報 7 0 0を仲介局に提出し、審査の申請を行う。個人情報 7 0 0の提出は、これらの項目を記入した用紙、または記録したフロツビディスクまたは C D—R O Mなどのリム一バブルディスクを、仲介局に郵送することによって行う。この際に、ユーザの身分証明書のコピ一を同封する。なお、仲介局は、ユーザが本人であるか否かをより確実に審査したい場合は、申請を仲介局の窓口でのみ受け付け、免許証またはパスポートなど写真付きの身分証明書の提示を求めるようにしてもよい。ユーザが本人であることを確認できるのであれば、これ以外の方法によって申請を受け付けてもよい。

個人情報 7 0 0の内容の審査は、基本的に、仲介局に勤める局員に行わせる。ただし、銀行口座またはクレジットカードに関する項目の個人情報の審査については、仲介局は、銀行またはカード会社に依頼してもよい。または、ユーザは、これらの項目の審査については、仲介局を介さずに銀行または力一ド会社に直接審査の申請を行うようにしてもよい。この場合は、銀行またはカード会社が、「仲介局」の 1つとなる。その他、項目に応じて種々の団体が審査を行うようにしてもよい。

仲介システム 1 0において、図 3に示す署名個人情報出力部 1 0 1は、ユーザが提出した個人情報 7 0 0のうち、審査に合格した個人情報 7 0 0に電子署名を行って署名個人情報 7 0 sを生成する。そして、その署名個人情報 7 0 sを、提出元であるユーザの端末装置 3に対して出力する。審査に合格しなかった場合は、その旨をその理由とともにユーザに通知する。

署名個人情報 7 0 sの出力は、その署名個人情報 7 0 sを添付した電子メールを提出元であるユーザの電子メールァドレスに送信することによって行えばよい。または、その署名個人情報 7 0 sをリムーバブルデイスクに書き込むことによって行ってもよい。この場合は、そのリム一バブルディスクは、書留郵便などによってユーザの住所へ送られる。端末装置 3において、図 5に示す個人情報入力部 3 0 1は、仲介システム 1 0から出力された、電子署名がなされた個人情報すなわち署名個人情報 7 0 sを、端末装置 3に入力するための処理を行う。入力された署名個人情報 7 0 sは、個人情報記憶部 3 0 2に記憶され管理される。仲介システム 1 0から端末装置 3に送信される、あらゆる情報およびプログラムに関しては、個人情報にアクセスするものである以上、改ざんがないことを保証する意味で署名処理がなされていることが望ましい

〔セキュリティおよび取引の信頼性を得るための機能〕

特徴情報記憶部 3 0 3は、その端末装置 3を使用する権限を有するュ一ザごとにバイオ情報 7 1を記憶する。バイオ情報 7 1は、人間の身体的特徴を示す情報である。バイオ情報 7 1として、例えば、指紋、声紋

、瞳の虹彩、または筆跡など、人間一人ずつそれぞれ異なった特徴が表れるものが用いられる。

個人認証部 3 0 4は、入力されたユーザの身体的特徴（例えば、指紋入力装置によって入力されたユーザの指紋）と特徴情報記憶部 3 0 3に記憶されているバイオ情報 7 1とを照合することによって、そのユーザが端末装置 3を使用する権限を有しているか否かを判別する。つまり、バイオ認証（バイオメトリックスまたは生体識別とも言う。）の手法によってユーザ認証の処理を行う。

個人認証部 3 0 4によって使用の権限があると認証されたユーザは、サービス事業者が提供するサービスの提供を受けることができる。また、端末装置 3は、そのユーザの端末装置として機能する。例えば、指紋を入力したユーザがユーザ Aであると認証された場合は、その端末装置 3は、ユーザ Aの端末装置として機能する。なお、ユーザ認証は、端末装置 3を起動する際に行ってもよいし、サービスの提供を受ける直前に行ってもよい。

図 3に示す個体情報記憶部 1 0 2は、端末装置 3ごとに、その端末装置 3の特徴を示す個体情報 7 2を端末識別コード 7 3と対応付けて記憶する。本実施形態において、「個体」とは、サービス事業者のサービスを受けるために使用される端末装置を意味する。個体情報 7 2として、例えば、端末装置 3のハードウェア構成に関する情報、端末装置 3に与えられた I Pアドレスまたは M A Cアドレス、端末装置 3の機種に関する情報、または端末装置 3が携帯電話装置である場合はその携帯電話装置に与えられたシリアル番号、製造番号、または携帯電話番号などが用いられる。

サービス提供システム 2において、図 4に示す個体適否判別要求部 2 0 1は、ユーザが今使用している端末装置 3がサービス事業者のサービスを受ける際の使用に適しているか否かを判別するように、仲介システム 1 0に対して要求する処理を行う。この際に、個体適否判別要求部 2 0 1は、その端末装置 3から取得した端末識別コード 7 3を仲介システム 1 0に対して送信する。

図 3に示す個体適否判別部 1 0 3は、サービス提供システム 2から送信されてきた端末識別コード 7 3に示される端末装置 3力サービス事業者のサービスの提供を受けるのに適しているか否かの判別を行う。係る判別は、例えば、ユーザが今使用している端末装置 3の状態と、端末識別コード 7 3に対応する、個体情報記憶部 1 0 2に記憶されている個体情報 7 2とを、比較することによって行われる。両者が一致すれば、ユーザが今使用している端末装置 3は、サービスの提供を受けるための使用に適していると判別される。一致しなければ、他人が他の端末装置 3を用いてそのユーザになりすましてサービスを受けようとしている可能性があるので、不適と判別される。判別の結果は、「適」または「不適」を示す個体適否情報 74として、要求元のサービス提供システム 2 に送信される。

または、端末装置 3が TC PA (Trusted Co即 u ting P 1 at f orm Al 1 i a nce) に定められる仕様すなわち T C P S (Trus ted Comput ing Plat for m Specifications) に準拠する場合は、 T C P Aが提唱する方法によつて判別を行ってもよい。例えば、端末装置 3が、 TC P A仕様のセキュリティ回路（セキュリティチップ）を有している場合は、このセキユリティ回路を用いて判別を行ってもよい。

〔サービスの享受および提供のための機能〕

端末装置 3において、ユーザは、 We bブラウザに URLを指定するなどして、所望するサービスを提供するサービス事業者の We bサイトにアクセスする。以下、ユーザ Aがオンラインショッピングを行うサ一ビス事業者 Xの We bサイトにアクセスした場合を例に説明する。ユーザ Aは、その We bサイ卜の中に記載される説明または画像などを参考にして購入しょうとする商品（提供を受けたいサービス）を選び、その商品の商品名または画像をクリックするなどして指定する。これにより、その商品の販売、という 1つのサービスが選ばれたことになる。

すると、図 5に示すサービス発注部 3 0 7は、サービス事業者 Xのサ —ビス提供システム 2に対してその商品の注文（サービスの要求）を行う。サービス提供システム 2において、その注文が注文受付部 2 0 7によって受け付けられると、サービス提供可否判別部 2 0 2は、その商品をユーザ Aに販売してもよいか否かを判別する。例えば、商品が酒類である場合は、ユーザ Aが 2 0歳以上であれば、販売してもよいと判別する。商品が販売地域限定品である場合は、ユーザ Aの住所がその地域内にあれば、販売してもよいと判別する。判別の処理は、次のような手順によって行われる。

サービス提供可否判別部 2 0 2は、判別を行うために必要な個人情報を送信するように仲介システム 1 0に対して要求する。ただし、サ一ビス事業者 Xは、どのような項目に関する個人情報を必要とするのかを、その商品の販売（サービスの提供）を開始する前に予め仲介局に通知し、仲介システム 1 0に登録しておかなければならない。例えば、酒類を販売してもよいか否かを判別したい場合は 2 0歳以上であるか否かを示す項目を登録し、販売地域限定品を販売してもよいか否かを判別したい場合はユーザの住所がその地域内にあるか否かを示す項目を登録しておかなければならない。これらの項目は、仲介局によって審査され、サービスを提供する際に必要であると認められたときに登録される。したがつて、サービスの提供に無関係な項目が含まれている場合は、登録を断られることになる。なお、これらの項目は、項目指定情報 7 5として仲介システム 1 0の項目指定情報記憶部 1 0 4に記憶（登録）される。図 3に示す回答情報送信指令部 1 0 5は、サービス提供可否判別部 2 0 2から要求された項目の個人情報をサービス事業者 Xのサービス提供システム 2に送信するように、ユーザ Aの端末装置 3に対して指令を行う。係る指令は、項目指定情報記憶部 1 0 4に予め登録されている項目指定情報 7 5に基づいて行われる。なお、要求された項目の個人情報を抽出するためのプログラムを端末装置 3に送信することによって指令を行ってもよい。この場合のプログラムは、例えば、 J a v aァプレットまたは J a v a S c r i p tなどの言語によって記述される。

図 5に示す回答情報送信部 3 0 5は、回答情報送信指令部 1 0 5からの指令に従って、または送信されてきたプログラムを実行することによつて、個人情報記憶部 3 0 2に記憶されているユーザ Aの個人情報 7 0 0の中から必要な個人情報を抽出し、これに基づいて回答情報 7 6を生成してサービス事業者 Xのサービス提供システム 2に送信する。例えば、ユーザ Aが 2 0歳以上であるか否かを示す個人情報が求められた場合は、ユーザ Aの個人情報 7 0 0の中から年齢の情報を抽出する。そして、 2 0歳以上であった場合は「Y e s」を示す回答情報 7 6を生成して送信し、 2 0歳未満であった場合は「N o」を示す回答情報 7 6を生成して送信する。ただし、この回答情報 7 6は、情報の漏洩を防止するために、喑号化されて送信される。

そして、図 4のサービス提供可否判別部 2 0 2は、要求した個人情報として回答情報 7 6を受信し、これに基づいて商品をユーザ Aに販売してもよいか否かを判別する。販売できないと判別された場合は、ユーザ Aの端末装置 3に対してその旨を通知する。

なお、回答情報 7 6の暗号化は、 P K I (Pub l i c Key I n f ras t rue tur e :公開鍵基盤）の下で行われる。すなわち、公開鍵暗号方式によって行われる。サービス事業者 Xは、公開鍵 K xをすベてのユーザに公開し、この公開鍵 Κ χに対応する秘密鍵 F Xを誰にも知られないように管理する。図 5において、端末装置 3は、この公開鍵 Κ χを用いて回答情報 7 6を暗号化する。そして、サービス事業者 Xのサービス提供システム 2は、暗号化された回答情報 7 6を、秘密鍵 F Xを用いて復号する。以下、端末装置 3からサービス提供システム 2への個人情報などのデ一夕の送信は、このような公開鍵暗号方式によって行われる。

図 4に示す二次事業者選定部 2 0 3は、サービス事業者の代わりに商品を配達しまたは商品の代金の徴収などを行う二次事業者を選ぶための処理を行う。係る処理は、次のような手順で行われる。

例えば、サービス事業者 Xは、二次事業者として、東日本の家庭に配達を行う運送業者 U l、西日本の家庭に配達を行う運送業者 U 2、およびクレジットカード会社 T 1、 T 2と業務提携を結んでいるとする。この場合に、二次事業者選定部 2 0 3は、商品の配達を代行する運送業者および代金の徴収を代行するクレジットカード会社をそれぞれ 1つずつ選ぶために、ユーザ Aの住所が東日本にあるか西日本にあるか、およびユーザ Aはクレジットカード会社 T 1、 T 2のうちのいずれのクレジットカード会社に加入しているか、という 2つの項目についての個人情報を仲介システム 1 0に対して要求する。なお、前に述べたように、サ一ビス事業者 Xは、これらの要求を行うために、これらの項目を示す項目指定情報 7 5を仲介システム 1 0に予め登録しておかなければならないこのとき、図 3に示す回答情報送信指令部 1 0 5および図 5に示す回答情報送信部 3 0 5は、前に述べた処理と同様の処理を行う。すなわち、回答情報送信指令部 1 0 5は、二次事業者選定部 2 0 3からの要求に係る項目についての個人情報をサービス事業者 Xのサービス提供システム 2に送信するように、ユーザ Aの端末装置 3に対して指令を行う。また、回答情報送信部 3 0 5は、係る指令に従ってユーザ Aの個人情報 7 0 0の中から、要求された個人情報を抽出し、回答情報 7 6を生成してサービス事業者 Xのサービス提供システム 2に送信する。例えば、ユーザ Aの個人情報 7 0 0が図 6に示すような内容である場合は、「住所 = 西日本」および「クレジットカード会社 = T 1」という内容を示す回答情報 7 6をサービス提供システム 2に送信する。

そして、図 4に示す二次事業者選定部 2 0 3は、この回答情報 7 6に基づいて、二次事業者として例えば運送業者 U 2およびクレジットカ一ド会社 Τ 1をそれぞれ選定する。

個人情報要求部 2 0 4は、最終的にユーザ Αに商品を販売するために必要な項目についてのユーザ Aの個人情報を、サービス事業者 Xおよび各二次事業者に送信するように、仲介システム 1 0に対して要求する。例えば、トラブルなどがあった場合にユーザ Aと連絡を取るための電子メールに関する個人情報をサービス事業者 Xに送信するように要求し、商品の配達先を示す氏名、住所、および電話に関する個人情報を運送業者 U 2に送信するように要求し、代金を徴収するためのクレジットカードに関する個人情報をクレジットカード会社 T 1に送信するように要求する。ただし、前に述べた通り、これらの必要な項目を示す項目指定情報 7 5を、仲介システム 1 0に予め登録しておかなければならない。この項目指定情報 7 5には、請求項 3に記載する第一の項目情報および第二の項目情報が含まれている。

図 3に示す個人情報送信指令部 1 0 6は、個人情報要求部 2 0 4から要求された各個人情報をサービス事業者 Xおよび各二次事業者のところへ送信するように、ユーザ Aの端末装置 3に対して指令を行う。この際に、回答情報送信指令部 1 0 5の場合と同様に、要求に係る情報を抽出するためのプログラムを端末装置 3に送信してもよい。

図 5に示す個人情報送信部 3 0 6は、個人情報送信指令部 1 0 6からの指令に基づいて、ユーザ Aの個人情報 7 0 0の中から、要求された個人情報を抽出し、これらを暗号化して所定のサービス事業者および二次事業者に送信する。例えば、図 6に示す個人情報 7 0 0の中から、図 7 ( a ) 〜（c ) に示すような個人情報 7 7 ( 7 7 a〜 7 7 c ) が抽出される。そして、個人情報 7 7 aをサービス事業者 Xに送信し、個人情報 7 7 bを運送業者 U 2に送信し、個人情報 7 7 cをクレジットカ一ド会社 T 1に送信する。二次事業者ごとに個人情報 7 7を抽出してそれぞれに送信するので、後述する暗号化方式が脆弱化していた場合でも、転送中の不当な復号による個人情報の漏洩が逃れる。なお、これらの個人情報 7 7 a〜7 7 cを互いに関連付けるために、同じ注文識別コードを付しておく。一旦、個人情報 7 7 a〜7 7 cをまとめてサービス事業者 X のサービス提供システム 2に送信するようにしてもよい。

なお、個人情報 7 7 a〜7 7 cの暗号化は、それぞれ異なった公開鍵を用いて行われる。例えば、個人情報 7 7 aは、その送信先であるサービス事業者 Xの公開鍵 K xを用いて暗号化される。同様に、個人情報 7 7 b、 7 7 cは、それぞれ、運送業者 U 2の公開鍵 K u 2およびクレジットカード会社 T 1の公開鍵 K t 1を用いて喑号化される。これらの公開鍵 K x、 K u 2、および K t 1に対応する秘密鍵 F x、 F u 2、および F t 1は、それぞれ、サービス事業者 X、運送業者 U 2、およびクレジットカード会社 T 1のみが所有している。したがって、これら三者は、自分以外に宛てた個人情報 7 7の内容を見ることができない。つまり、各サービス事業者は、自己のサービスのためには知る必要のない個人情報を閲覧することができない。

個人情報 7 7は、図 4に示す個人情報受信部 2 0 5によってサービス提供システム 2に受信される。個人情報 7 7 b、 7 7 cが受信された場合は、個人情報分配部 2 0 6によってそれぞれ運送業者 U 2およびクレジットカード会社 T 1に転送される。そして、サービス事業者 Xおよび各二次事業者は、それぞれ取得したユーザ Aの個人情報 7 7に基づいて、商品の発送または代金の徴収などサービスの提供のための処理を行う図 8はサービス事業者に必要な準備の処理の流れの例を説明するフロ一チャート、図 9はユーザに必要な準備の処理の流れの例を説明するフローチャート、図 1 0は個人情報管理システム 1におけるサービスの提供の処理の流れの例を説明するフローチャート、図 1 1は認証処理の流れの例を説明するフローチャート、図 1 2は利用可否の判定処理の流れの例を説明するフローチャート、図 1 3は二次事業者の選定処理の流れの例を説明するフローチャート、図 1 4は必要情報の収集処理の流れの例を説明するフローチヤ一トである。

次に、個人情報管理システム 1における処理の流れを、フローチヤ一トを参照して説明する。

サービス事業者は、ユーザにサービスを提供する前に、図 8に示すような準備をしておかなければならない。すなわち、サービス事業者は、仲介システム 1 0の使用を許可するように仲介局に対して依頼し、そのサービス事業者に関する情報（例えば、事業者名、代表者の氏名、住所、連絡先、担当者の氏名および電子メールアドレス、および W e bサイ卜の U R Lなど）を仲介システム 1 0に登録してもらう（# 8 1 ) 。なお、仲介局は、サービス事業者を審査し、その結果、例えば個人情報の守秘義務を果たさないような信頼性のないサービス事業者であると認められた場合は、登録を拒否する。

そして、サービスの提供の際にどのような項目についての個人情報が必要であるかを示す項目指定情報 7 5を仲介システム 1 0に登録しておく（# 8 2 ) 。なお、新製品の販売を開始するなど、新たなサービスの提供を開始したいときは、それに合わせて項目指定情報 7 5を新たに登録しておかなければならない場合がある。

一方、ユーザは、サービス事業者からサービスの提供を受ける前に、図 9に示すような準備をしておかなければならない。すなわち、サービスの提供を受ける際に使用する端末装置 3 (個体）に関する情報を仲介システム 1 0に登録しておく（# 9 1 ) 。ユーザ自身の個人情報を仲介局に提示し、その内容が正しいか否かを審査してもらう（# 9 2 ) 。審査に合格した場合は、その個人情報をその端末装置 3に記憶させておく ( # 9 3 ) 。そして、その端末装置 3に、ユーザの指紋または声紋などをバイオ情報 7 1として登録しておく（# 94) 。なお、ステップ # 9 1、 # 9 2〜# 9 3、および # 94の各処理は並行して行ってもよいし、順序を入れ替えて行ってもよい。

これらの準備が完了した後、例えば図 1 0に示す手順により、サービス事業者からユーザにサービスが提供される。まず、サービスの提供を受けるユーザおよびそのユーザの端末装置 3についての認証の処理を行う（# 1) 。具体的には、図 1 1に示すように、端末装置 3において、そのユーザ自身の指紋などを入力し、予め登録されているバイオ情報 7 1 と照合して、そのユーザが正しいユーザであるか否かを認証する（# 1 1) 。すなわち、バイオ認証を行う。

正しいユーザであると認証されなかった場合は（# 1 1で N o) 、そのユーザはサービスの提供を受けることができないものとして取り扱われる（# 1 5) 。正しいユーザであると認証された場合は（# 1 1で Y e s ) 、そのユーザの端末装置 3がサービスの提供を受けるための使用に適しているか否かについて判別（認証）を行うように、サービス提供システム 2を介して仲介システム 1 0に対して依頼する（# 1 2、 # 1 3) 。

端末装置 3が使用に適していると認証された場合は（# 1 4で Y e s ) 、ユーザは今使用している端末装置 3によってサービス事業者からのサービスを受けることができると判別される。そして、図 1 0のステツプ # 2以降の処理を行う。そうでない場合は、ユーザはその端末装置 3 によってはサービスの提供を受けることができないと判別され、サービスのための処理を終了する（# 1 5) 。

図 1 0に戻って、サービス提供システム 2において、必要に応じて、ユーザにサービスを提供してもよいか否かの判別を行う（# 2) 。具体的には、まず、図 1 2に示すように、係る判別のために必要な個人情報をサービス提供システム 2に送信するように、仲介システム 1 0に対して要求する（# 2 1 ) 。例えば、酒類の販売を行いたい場合は、そのュ一ザが 2 0歳以上であるか否かを示す項目についての個人情報を要求する。

仲介システム 1 0は、そのユーザの端末装置 3に対して、要求に係る個人情報を抽出してサービス提供システム 2に送信するように指令を行う（# 2 2 ) 。すると、端末装置 3は、そのユーザの個人情報 7 0 0に基づいて回答情報 7 6を生成して要求元のサービス提供システム 2に送信する（# 2 3 ) 。例えば、個人情報 7 0 0が図 6に示すような内容である場合は、生年月日および現在の日付に基づいて「2 0歳以上 = Y e s J という内容の回答情報 7 6が得られる。つまり、そのユーザは 2 0 歳以上であると判別できる。なお、仲介システム 1 0による指令は、要求に係る個人情報を抽出するためのプログラム（判別プログラム）を送信することによって行ってもよい。

回答情報 7 6を送信した旨の履歴情報をログファイルに書き込んで記録しておいてもよい（# 2 4 ) 。これにより、サービス事業者が不正にユーザの個人情報を取得しょうとしているか否かを調査するための資料を得ることができる。ログファイルの保存場所は、仲介システム 1 0であっても端末装置 3であってもよい。なお、提供する相手を問わないサ一ビスの場合は、ステップ # 2 1〜# 2 4の処理すなわち図 1 0のステップ # 2の処理は不要である。

図 1 0に戻って、サービス提供システム 2において、二次事業者の選定を必要に応じて行う（# 3 ) 。選定のために必要な項目についてのュ一ザの個人情報を、そのユーザの端末装置 3から取得し、これに基づいて選定を行う。係る個人情報の取得の処理は、図 1 3に示す手順で行われる。まず、仲介システム 1 0に対して、必要な個人情報を要求する（ # 3 1) 。例えば、運送業者を選定したい場合は、ユーザの住んでいる地域に関する個人情報を要求する。

仲介システム 1 0は、図 1 2のステップ # 22の場合と同様に、そのユーザの端末装置 3に対して、要求に係る個人情報を抽出してサービス提供システム 2に送信するように指令を行う（# 3 2) 。端末装置 3は、ステップ # 23の場合と同様に、抽出した個人情報に基づいて回答情報 76を生成し、要求元のサービス提供システム 2に送信する（# 33 ) 。このとき、送信の履歴情報をログファイルに記録しておく（# 34

) o

図 1 0に戻って、ユーザがサービスの提供を受けるのに適していることの確認（# 1、 # 2) 、および二次事業者の選定ができれば（# 3) 、最終的にユーザにサービスを提供するために必要な個人情報（例えば商品の送り先の住所および代金の徴収のためのクレジットカ一ド番号など）を端末装置 3からサービス提供システム 2に与えるための処理を行う (#4) 。

すなわち、図 14に示すように、サービス提供システム 2は、必要な個人情報を送信するように仲介システム 1 0に対して要求する（# 41 ) 。仲介システム 1 0は、要求された個人情報をサービス提供システム 2に送信するように、そのユーザの端末装置 3に対して指令を行う（# 42 ) 。係る指令は、情報を抽出するためのプログラムを送信することによって行ってもよい。

端末装置 3は、要求された個人情報をそのユーザの個人情報 700の中から収集（抽出）し、要求元のサービス提供システム 2に送信する（ # 43) 。このとき、図 12のステップ # 24の場合と同様に、送信の履歴情報をログファイルに記録しておく（# 44) 。サービス提供システム 2は、受信した個人情報を、必要に応じて二次事業者に転送する（ # 4 5 ) 。

そして、図 1 0に戻って、サービス事業者および各二次事業者は、それぞれ受信した個人情報に基づいてユーザにサービスを提供するための処理を行う（# 5 ) 。

本実施形態によると、ユーザの個人情報をユーザ自身で管理しつつ、サービスの提供を受けるために最小限必要な個人情報だけをサービス事業者に与えることができる。これにより、個人情報の漏洩および散乱を防止することができる。

また、個人認証および個体認証を行うことによって、不正な第三者によるサービスの利用を防止することができる。個人情報などは、その送信先ごとにそれぞれ異なる公開鍵を用いて暗号化するので、情報の漏洩および散乱をさらに効果的に防止することができる。個人情報に電子署名を行うことにより、個人情報の不正な書換えを防止することができるよって、ュ一ザは安心してサービス事業者のサービスを受けることができる。一方、サービス事業者は、個人情報の内容を信頼し、安心して注文を受けることができる。

本実施形態においては、個人情報などの暗号化は、公開鍵暗号方式によって行ったが、共通鍵暗号方式であってもよいし、両者の組合せであつてもよい。

端末装置 3は、ユーザの個人情報をサービス提供システム 2に送信する前に、その個人情報の内容が正しいか否かを確認するようにしてもよレ例えば、クレジットカードについての個人情報を送信する前に、クレジットカード会社に対して与信チェックを要求し、そのクレジットカ一ドの有効期限が切れていないかどうか、または利用限度額を超えていないかどう力、、などを確認するようにしてもよい。同様に、市役所などに対して、引越しなどに伴ってユーザの住所などに変更がないかどうかを確認するようにしてもよい。これらのチェックを要求するためのプログラムは、仲介システム 1 0から端末装置 3に配信するようにしてもよい。

端末装置 3は、個人情報などをサービス提供システム 2に送信する前に、具体的にどのような項目についてサービス提供システム 2に送信しようとしているのかを、ユーザに対して知らせるようにしてもよい。そして、 W e bブラウザに表示されたボタンをクリックするなどの操作があった場合に、送信を行うようにしてもよい。または、送信を行った後に、その旨を知らせるようにしてもよい。

その他、個人情報管理システム 1、仲介システム 1 0、サービス提供システム 2、端末装置 3の全体または各部の構成、個人情報の内容、処理内容、処理順序などは、本発明の趣旨に沿って適宜変更することがでさる。産業上の利用可能性

以上のように、本発明に係る個人情報管理システム、仲介システム、および端末装置は、ユーザの個人情報をユーザ自身で管理しつつ、サ一ビスの提供を受けるのに必要な個人情報を安全にサービス事業者に与え、信頼性の高いサービスが行われるようにすることができる点で有用なものである。

Claims

請求の範囲 1 . サービス事業者のサービス事業者システムと、前記サービス事業者が提供するサービスを受けようとするユーザの端末装置と、前記ユーザの個人情報を前記サービス事業者に与えるための仲介を行う仲介システムと、を有してなる個人情報管理システムであって、

前記ユーザの端末装置には、

当該ユーザの 1つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、

当該ユーザが当該端末装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、

前記仲介システムからの指令に従って当該ユーザの個人情報を送信する個人情報送信手段と、が設けられ、

前記サービス事業者のサービス事業者システムには、

当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を前記仲介システムに対して要求する個人情報要求手段と、

要求した前記ユーザの個人情報を当該ユーザの端末装置から受信する個人情報受信手段と、が設けられ、

前記仲介システムには、

前記ユーザの端末装置が前記サービスの提供を受けるための使用に適しているか否かを判別する端末適否判別手段と、

前記サービス事業者のサービス事業者システムの前記個人情報要求手段から要求された、前記必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置の前記個人認証手段によって当該ユーザが前記権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者システムに送信するように、当該端末装置に対して指令を行う送信指令手段と、が設けられてなる、ことを特徴とする個人情報管理システム。

2 . 前記仲介システムには、前記サービス事業者が前記サービスを提供するために必要な個人情報の項目を示す項目情報を、当該サービスの受付を始める前に予め記憶しておく項目記憶手段が設けられ、

前記送信指令手段は、前記項目情報に示される項目についての前記ュ一ザの個人情報を送信するように指令を行う、

請求項 1記載の個人情報管理システム。

3 . 前記項目記憶手段は、前記項目情報として、前記サービス事業者にとって直接必要な個人情報の項目を示す第一の項目情報と、前記サービス事業者を代行する二次事業者にとって必要な個人情報の項目を示す第二の項目情報と、を記憶し、

前記送信指令手段は、前記第一の項目情報に示される項目についての前記ユーザの個人情報を前記サービス事業者に宛てて送信し前記第二の項目情報が示す項目についての前記ユーザの個人情報を前記二次事業者に宛てて送信するように、指令を行う、

請求項 2記載の個人情報管理システム。

4 . 前記個人情報送信手段は、前記ユーザの個人情報を、宛先ごとにそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する、

請求項 3記載の個人情報管理システム。

5 . 前記個人情報記憶手段は、前記ユーザの個人情報として、当該ユーザ以外の者によって内容が正しいと認められた個人情報を記憶する、請求項 1ないし請求項 4のいずれかに記載の個人情報管理：

6 . 前記ユーザの端末装置には、

前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、

前記ユーザの身体的特徴を入力する特徴入力手段と、が設けられ、前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う、

請求項 1ないし請求項 5のいずれかに記載の個人情報管理システム。

7 . サービス事業者の提供するサービスを受けようとするユーザの個人情報を、当該ユーザから当該サービス事業者に与えるための仲介を行う仲介システムであって、

前記サービス事業者から要求された、当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置において当該ユーザが当該端末装置を使用する権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者に送信するように、当該端末装置に対して指令を行う送信指令手段と、

を有してなることを特徴とする仲介システム。

8 . 前記サービス事業者が前記サービスを提供するために必要な個人情報の項目を示す項目情報を、当該サービスの受付を始める前に予め記憶しておく項目記憶手段を有し、

前記送信指令手段は、前記項目情報に示される項目についての前記ュ一ザの個人情報を送信するように指令を行う、請求項 7記載の仲介システム。

9 . サービス事業者が提供するサービスを受けるために用いられる端末装置であって、

前記サービスを受けようとするユーザの 1つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、

前記ユーザが当該端末装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、

前記ユーザが前記権限を有する者であると認証された場合に、前記サ一ビスを当該ユーザに提供するように前記サービス事業者に対して要求を行うサービス要求手段と、

前記要求に係る前記サービスを提供するために前記サービス事業者にとって必要な項目についての前記ユーザの個人情報を、当該サービス事業者に送信する個人情報送信手段と、

を有してなることを特徴とする端末装置。

1 0 . 前記個人情報送信手段は、前記必要な項目についての前記ユーザの個人情報のうち、前記サービス事業者を代行する二次事業者にとってのみ必要な個人情報は、当該サービス事業者の代わりに当該二次事業者に送信する、

請求項 9記載の端末装置。

1 1 . 前記個人情報送信手段は、前記サービス事業者に送信する個人情報および前記二次事業者に送信する個人情報をそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する、

請求項 1 0記載の端末装置。

1 2 . 前記個人情報記憶手段は、前記ユーザの個人情報として、当該ュ一ザ以外の者によって内容が正しいと認められた個人情報を記憶する、請求項 9ないし請求項 1 1のいずれかに記載の端末装置。

1 3 . 前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、

前記ユーザの身体的特徴を入力する特徴入力手段と、を有し、前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う、

請求項 9ないし請求項 1 2のいずれかに記載の端末装置。