WO2012067213A1 - 情報処理システム及び匿名化方法 - Google Patents

Abstract

匿名化処理の適用順序を自在に設定できる情報処理システム。汎化など各種の匿名化処理について、抽象度や正確性のレベル（指標）とそれらに応じた処理とが規定され、また、処理されるべき項目とそれらに対応するレベルとがそれらの優先度とともにいくつか設定される。システムは、それらを匿名化ポリシとして参照し、匿名化されていないパーソナル情報(900)の各項目(402,403,...)について、低い優先度の匿名化（少ない欠落、低い抽象度、又は高い正確性）から高い優先度の匿名化（多い欠落、高い抽象度、又は低い正確性）へと処理を適用していく。利用者が選択した優先度の処理が全て終了するまでの間に匿名性判定で匿名性ありと判定すると、システムは、そこまでの匿名化の結果（そのまま、あるいは最後に選択的処理を経た結果）を、匿名化されたパーソナル情報として出力する。

Description

[規則37.2に基づきISAが決定した発明の名称]　情報処理システム及び匿名化方法

　本発明は、個人のパーソナル情報を匿名化する技術に関する。

　多様化する情報社会の中で、企業などのサービス提供者は、ユーザから提供され蓄積しているユーザの属性情報を広く流通させることができれば、さらなる利益を得ることが可能になる。一方、エンドユーザである情報利用者は、ＧＰＳやＷｉ−Ｆｉ等のセンシングデバイスによって取得されるライフログを、積極的にサービス提供者に提供する代わりに、サービス提供者から有用なサービスを受けることが出来る。ユーザの属性情報のようなプライバシ性が高い情報の流通を促進するために、有効な方法の１つが、匿名化である。匿名化は、プライバシ性が高い情報に対し汎化、切落し、摂動等を行う情報処理である。すなわち、匿名化は、ユーザである情報提供者の個人あるいは情報内のユーザ個人を特定できない情報を生成する。
　このような匿名化の技術分野において、特許文献１に記載されたこの種の技術は、ポリシ設定ルールとして優先度の異なる複数の適合条件を含み、文書が複数の適合条件に適合した場合に優先度の高い適合条件による操作制限を行なう技術が開示されている。この優先度を示すデータとしてスコア値がセットされている（特に、段落［００６２］参照）。
　また、特許文献２に記載された技術は、段落［０００９］の課題の記載から明らかなように、文書に含まれる記述（例えば、医療分野のテキストでの病名）の抽象度を一定することで、記述の標準化を目指している。

特開２００９−０８７２１６号公報 特開２００９−１４６１２１号公報

　しかしながら、上記関連技術は、最適であると判断される匿名化処理を見付けてその処理を実行するのみであり、匿名化処理の適用順序を柔軟に制御することはできなかった。従って、特許文献１に記載された技術においては、次のような問題点があった。すなわち、その問題点とは、匿名化された情報の利用要件が異なる場合であっても、匿名化レベル（匿名性）が等しければ、匿名化の結果が同一になることである。また、特許文献２に記載されたシステムにおいては、匿名化する項目の優先度が暗黙的に決められている。その結果、サービス提供者はユースケース毎に匿名化を実現しなければならないという問題があった。
　本発明の目的は、上述の課題を解決する技術を提供することにある。
　上記目的を達成するため、本発明に係る装置の一実施形態は、個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置である。
　その情報処理装置は、前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための匿名化処理を複数含み、前記複数の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する匿名化処理手段と、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
　を含む。
　上記目的を達成するため、本発明に係る方法の一実施形態は、個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御方法である。
　その制御方法は、前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供し、
　前記優先度が付加された匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択し、
　前記匿名化処理の選択順に前記複数種類の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用し、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する。
　上記目的を達成するため、本発明に係るプログラムの一実施形態は、個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御プログラムであって、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する処理と、
　前記優先度が付加された匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する処理と、
　前記匿名化処理選択ステップにおいて選択された順に前記複数種類の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する処理と、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する処理と、
　をコンピュータに実行させる。
　上記目的を達成するため、本発明に係るシステムの一実施形態は、個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理システムであって、
　前記パーソナル情報を取得するパーソナル情報取得手段と、
　前記取得したパーソナル情報を記憶するパーソナル情報記憶手段と、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、前記パーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理手段と、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力手段と、
　を含む。
　上記目的を達成するため、本発明に係る方法他の実施形態は、
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化するパーソナル情報の匿名化方法であって、
　前記パーソナル情報を取得するパーソナル情報取得ステップと、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供ステップと、
　前記匿名化ポリシ提供ステップにおいて提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択ステップと、
　前記匿名化処理選択ステップにおいて選択された順に前記複数種類の匿名化処理を、前記取得したパーソナル情報を記憶するパーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理ステップと、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価ステップと、
　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力ステップと、
　を含む。
　本発明によれば、パーソナル情報の利用要件を組み合わせて生成された匿名化処理の適用順序を自在に設定することが出来る。

本発明の第１実施形態に係る情報処理装置の構成を示すブロック図である。 本発明の第２実施形態に係る情報処理装置の機能構成を示すブロック図である。 本発明の第２実施形態に係る情報処理装置のハードウェア構成を示すブロック図である。 本発明の第２実施形態に係る情報処理装置のハードウェア構成を示すブロック図である。 本発明の第２実施形態に係るパーソナル情報記憶部の構成を示す図である。 本発明の第２実施形態に係る項目規定の例を示す図である。 本発明の第２実施形態に係る匿名化ポリシの構成を示す図である。 本発明の第２実施形態に係る匿名化情報記憶部の構成を示す図である。 本発明の第２実施形態に係る情報処理装置の動作手順を示すフローチャートである。 本発明の第２実施形態に係るパーソナル情報を抽象度で示す図である。 本発明の第２実施形態に係る匿名化ポリシの一例を抽象度で示す図である。 本発明の第２実施形態に係る処理の流れを説明するための図である。 本発明の第２実施形態に係る処理結果の変化を示す図である。 本発明の第３実施形態に係る情報処理装置の機能構成を示すブロック図である。 本発明の第３実施形態に係る項目限定選択のためのデータを示す図である。 本発明の第３実施形態に係る情報処理装置の動作手順を示すフローチャートである。 本発明の第３実施形態に係る匿名化ポリシと項目限定選択とによる処理の流れを説明するための図である。 本発明の第３実施形態に係る処理結果の変化を示す図である。 本発明の第４実施形態に係る情報処理装置の機能構成を示すブロック図である。 本発明の第４実施形態に係る情報処理装置の動作手順を示すフローチャートである。 本発明の第４実施形態に係る変更した匿名化ポリシの一例を示す図である。 本発明の第４実施形態に係る匿名化ポリシ変更後の処理の流れを説明するための図である。 本発明の第４実施形態に係る処理結果の変化を示す図である。 本発明の第５実施形態に係る情報処理装置の機能構成を示すブロック図である。 本発明の第５実施形態に係る情報処理装置の動作手順を示すフローチャートである。 本発明の第５実施形態に係る匿名性を有しない統合を説明するための図ある。 本発明の第５実施形態に係る匿名性を有しない統合の処理結果の変化を示す図である。 本発明の第５実施形態に係る匿名性を有する統合を説明するための図である。 本発明の第５実施形態に係る匿名性を有する統合の処理結果の変化を示図である。 本発明の第５実施形態に係る匿名性を有しない統合から匿名性を有する統合への処理結果の変化を示す図である。 本発明の第６実施形態に係る情報処理装置を含む情報処理システムの構成を示すブロック図である。

　以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素はあくまで例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。また、以下の各図において、本発明の本質に関わらない部分の構成については省略されており、図示されていない。
　なお、本明細書で使用する“匿名化”は、プライバシ性の高いパーソナル情報に対する、汎化、切落し、分離、置換、摂動等の匿名化処理を含むが、これに限定はされない。ここで、“汎化”とは、パーソナル情報の項目を曖昧化して詳細な値を隠す処理であり、例えば、「住所」という項目に対する汎化であれば、番地や市区町村等を削除する処理である。“切落”しは、パーソナル情報から項目を削除する処理であり、パーソナル情報にその項目が含まれていること自体を隠す処理である。“分離”は、１ユーザのパーソナル情報の複数項目を複数のパーソナル情報に分ける処理であり、項目を組合せることによりユーザ（情報提供者とも言う）の個人特定や属性の推定が可能となるのを防ぐ処理である。“置換”は、項目の一部ないし全部を複数のパーソナル情報間で交換することにより、項目の組合せによるユーザの個人特定や属性推定を防ぐ処理である。“摂動”は、項目の値に対して一定の揺らぎを付加することによって正確な値を隠す処理である。特に、分離、置換、摂動の各処理は、ユーザ個人にパーソナライズされたサービスを提供するのではなく、統計処理の際にユーザのプライバシを保護することを主目的としている。
　［第１実施形態］
　本発明の第１実施形態としての情報処理装置１００について、図１を用いて説明する。情報処理装置１００は、個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する装置である。
　図１に示すように、情報処理装置１００は、匿名化ポリシ提供部１０２と、匿名化処理選択部１０４と、匿名化処理部１０６と、匿名性評価部１０８とを含む。匿名化ポリシ提供部１０２は、パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含む。また、匿名化ポリシ提供部１０２は、複数種類の匿名化処理のそれぞれに優先度が付加された、匿名化ポリシを提供する。優先度は、たとえば、パーソナル情報の利用要件に応じて匿名化ポリシ提供部１０２において決定された値でも良い。匿名化処理選択部１０４は、匿名化ポリシ提供部１０２が提供する匿名化ポリシに含まれる複数種類の匿名化処理を適用する場合に、優先度の低い匿名化処理から優先度の高い匿名化処理を順に選択する。匿名化処理部１０６は、匿名化処理選択部１０４によって選択された順に複数種類の匿名化処理をパーソナル情報に適用する。匿名性評価部１０８は、それぞれ匿名化処理を適用したパーソナル情報が、匿名性を有すると判断した場合に、当該匿名性を有する匿名化処理を適用したパーソナル情報を、情報利用者に提供する。
　本実施形態により、パーソナル情報の利用要件を多様に組み合わせて生成された匿名化処理の適用順序を自在に設定できる。
　［第２実施形態］
　本発明による第２実施形態の情報処理装置は、情報提供者から提供されたパーソナル情報を、情報利用者に提供する場合に、情報利用者に対応して、優先度が付加された複数種類の匿名化処理を含む匿名化ポリシで匿名化を実行する。その場合に、各匿名化処理が、パーソナル情報の複数の項目の匿名化を含むように匿名化ポリシを作成ことが出来る。
　本実施形態によれば、パーソナル情報の利用要件を組み合わせて生成された匿名化処理の適用順序を自在に設定することができる。さらに、匿名化ポリシに記載された優先度に従った順で、パーソナル情報の複数の項目に対しても匿名化処理を適用できる。したがって、第２実施形態の情報処理装置は、情報利用者の用途に合わせて迅速に匿名化されたパーソナル情報を提供することができる。すなわち、本実施形態により、項目に対して１つずつ匿名化処理を適用して匿名性を評価するよりも、パーソナル情報の情報利用者に対応する迅速な匿名化が可能になる。なお、以下の各実施形態では、匿名化処理を必須とする医療分野に本情報処理システムおよび情報処理装置を適用した例を示すが、適用分野は医療分野に限らず人、物、場所などが特定されることが不利益となる場合にあらゆる分野で適用が可能である。
　〈第２実施形態の情報処理装置の構成〉
　図２は、本発明の第２実施形態に係る情報処理装置２００の機能構成を示すブロック図である。段階的匿名化装置である情報処理装置２００は、匿名化処理選択部２０２と、匿名化処理部２０４と、匿名性評価部２０６と、パーソナル情報記憶部２０８と、匿名化ポリシ記憶部２１０と、匿名化情報記憶部２１２とを具備する。
　なお、情報処理装置２００は、コンピュータとして例示される装置である。情報処理装置１００および後述される他の匿名化のための情報処理装置における各要素（機能ブロック）は、図２等の構成要素を実現するプログラム（ソフトウェア）により、コンピュータのハードウェアを用いて実現される。そのような情報処理装置２００は、例えば、ＣＰＵ、メモリ（主記憶装置）、ハードディスク（大容量補助記憶装置）、及び通信装置を備え、キーボードやマウス等の入力装置やディスプレイやプリンタ等の出力装置と接続されたコンピュータで実現できる。そして、情報処理装置２００は、ＣＰＵがハードディスクに記憶されるプログラムをメモリに読みだして実行することにより、上記匿名化処理選択部２０２~匿名化情報記憶部２１２の各機能を実現することができる。その実現方法、装置には色々な変形例があることは、当事者には理解されるところである。以下説明する各図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。この情報処理装置２００のハードウェア構成例は、後述される図３Ａ及び図３Ｂで示される。
　パーソナル情報記憶部２０８は、情報提供者（端末装置であるが、以下では単に情報提供者と称す）から提供されたパーソナル情報あるいはパーソナル情報を含む情報を記憶する。パーソナル情報は、名前や値を含む項目であり、汎化、切落し、分離、置換、摂動等の匿名化処理を１回以上適用できる項目を、１つ以上有する情報である。項目の一例としては、都道府県名、市区町村、番地等から構成される文字列を値として持つ「住所」という項目、または数値を値として持つ「年齢」という項目等が考えられる（具体例は、図４参照）。パーソナル情報記憶部２０８に記憶されるパーソナル情報は、実行できる匿名化処理や適用できるサービスを制限するものではない。
　匿名化ポリシ記憶部２１０は、匿名化ポリシを記憶する。その匿名化ポリシは、０回以上の匿名化処理が施されたパーソナル情報の利用に関する匿名化の要件である。匿名化ポリシの匿名化処理は、パーソナル情報を構成する項目に関して、項目の有無、項目の抽象度、項目の正確性等の指標に対する優先度を含む。例えば、パーソナル情報が、住所と年齢という項目から構成される情報であり、項目別に指標が付与されている場合を仮定する。たとえば、住所については、指標１＝全て、指標２＝番地以外、指標３＝都道府県のみ、年齢については、指標１＝全て、指標２＝無し、をそれぞれ指標として仮定する。この場合に、匿名化ポリシの各匿名化処理は、優先度３（住所：指標１、年齢：指標１）、優先度２（住所：指標２、年齢：指標１）、優先度１（住所：指標２、年齢：指標２）のように、住所と年齢の組で記述される（具体例は、図６や図１３参照）。
　匿名化情報記憶部２１２は、情報利用者を識別する識別子である情報利用者ＩＤが付与されたパーソナル情報、または匿名化されたパーソナル情報を記憶する（具体例は、図７参照）。
　匿名化処理選択部２０２は、匿名化ポリシ記憶部２１０に記憶された匿名化ポリシを参照し、匿名化ポリシに含まれる情報利用者ＩＤを取り出す。そして、匿名化情報記憶部２１２に情報利用者ＩＤが付与された最新のパーソナル情報が存在しない場合、匿名化処理選択部２０２は、パーソナル情報記憶部２０８に記憶される全ての最新のパーソナル情報を匿名化情報記憶部２１２に複製し、情報利用者ＩＤを付与する。次に、匿名化処理選択部２０２は、パーソナル情報を構成する各項目に対して匿名化ポリシに記載された、一つ以上の項目名と指標から構成される優先度が最も低い組を取り出す。そして、匿名化処理選択部２０２は各項目に対して指標を満たすための匿名化処理を特定し、パーソナル情報と、項目名と、匿名化処理の内容を匿名化処理部２０４に渡す。匿名化処理選択部２０２は、匿名化情報記憶部２１２に記憶されている情報利用者ＩＤが付与された全てのパーソナル情報に対して、この処理を実行する。
　匿名化処理部２０４は、匿名化処理選択部２０２からパーソナル情報と、項目名と、匿名化処理の内容を受け取る。次に、匿名化処理部２０４は、受け取ったパーソナル情報の項目に対して指定された匿名化処理を適用し、匿名化されたパーソナル情報を生成する。そして、匿名化処理部２０４は、匿名化情報記憶部２１２に記憶されているパーソナル情報を匿名化されたパーソナル情報によって上書きする。
　匿名性評価部２０６は、匿名化処理部２０４によって匿名化されたパーソナル情報が匿名性を有するか否かを、次のような条件により評価する。例えば、
・匿名化処理部２０４によって匿名化されたパーソナル情報から情報提供者が誰であるか判別できない、
・匿名化処理部２０４によって匿名化されたパーソナル情報が、匿名化情報記憶部２１２に記憶されている他のパーソナル情報と区別できない、
・匿名化処理部２０４によって匿名化されたパーソナル情報から情報提供者の属性が分からない、等である。そして、情報利用者が要求する全てのパーソナル情報が匿名性を有する場合、パーソナル情報を情報利用者に提供する。一方、全部または一部のパーソナル情報が匿名性を有していない場合、匿名化処理選択部２０２に対して、パーソナル情報に対してさらなる匿名化処理を適用することを指示する。
　〈第２実施形態の情報処理装置のハードウェア構成〉
　図３Ａ及び図３Ｂは、本実施形態の情報処理装置２００のハードウェア構成を示す図である。
　図３Ａで、ＣＰＵ３１０は演算制御用のプロセッサであり、プログラムを実行することで図２の各機能構成部を実現する。ＲＯＭ３２０は、初期データ及びプログラムなどの固定データ及びプログラムを記憶する。通信制御部３３０は、ネットワークを介して外部装置と通信する。通信制御部３３０は、外部装置から情報提供者によるパーソナル情報を受信し、外部装置の情報利用者に対してパーソナル情報を提供（送信）する。通信は無線でも有線でもよい。なお、本情報処理装置２００は、ＬＡＮに接続して限られた範囲で処理する場合も考えられる。その場合には、図示しない入力インタフェースと出力インタフェースを介して、図示しない入力装置と出力装置が接続される。
　ＲＡＭ３４０は、ＣＰＵ３１０が一時記憶のワークエリアとして使用するランダムアクセスメモリである。ＲＡＭ３４０には、本実施形態の実現に必要なデータとして、情報提供者からの提供者データ３４１と、情報利用者への利用者データ３４２とを記憶する領域が確保される。さらに詳細には、図３Ｂに示すように、提供者データ３４１として、提供者を識別する提供者ＩＤ３４０１と提供されたパーソナル情報３４０２とが記憶される。また、利用者データ３４２として、利用者を識別する利用者ＩＤ３４０３と利用されるパーソナル情報３４０４とが記憶される。また、利用者データ３４２として、パーソナル情報に匿名化処理を適用した匿名化情報３４０５と、匿名化情報３４０５の匿名性を評価した結果である匿名性評価結果３４０６とが記憶される。なお、匿名化情報３４０５はパーソナル情報３４０４の領域に上書きされてもよい。さらに、利用者データ３４２として、パーソナル情報３４０４を匿名化するための匿名化ポリシ３４０７が記憶される。
　ストレージ３５０は、匿名性評価アルゴリズム３５１、データ記憶部３５２、ＣＰＵ３１０が実行するプログラム３５３を、不揮発に記憶する。さらに詳細には、図３Ｂに示すように、ストレージ３５０は、データ記憶部３５２として、情報提供者から提供されるパーソナル情報を提供者ＩＤに対応させて記憶するパーソナル情報記憶部２０８を含む。また、ストレージ３５０は、データ記憶部３５２として、匿名化され情報利用者へ提供されたパーソナル情報を利用者ＩＤに対応させて記憶する匿名化情報記憶部２１２を含む。また、ストレージ３５０は、データ記憶部３５２として、匿名化ポリシを予め利用者ＩＤに対応させて記憶する匿名化ポリシ記憶部２１０を含む。すなわち、情報利用者のアクセス権などにより異なる匿名化ポリシを設定することが可能となる。匿名化ポリシ記憶部２１０の記憶領域には、予め登録された匿名化ポリシ３５０４が記憶される。また、項目規定記憶部として、匿名化ポリシを構成する各項目の指標を定義する項目規定３５０５が記憶される。また、データ記憶部３５２は、第５実施形態で使用される、匿名化され情報利用者へ提供されたパーソナル情報を利用者ＩＤに対応させて蓄積する提供履歴記憶部２００４を含む。
　ストレージ３５０は、図３Ｂに示すように、プログラム３５３として、本情報処理装置２００の動作手順を示す情報処理プログラム３５０６を格納する。また、ストレージ３５０は、プログラム３５３として、この情報処理プログラム３５０６の一部に含まれる、匿名化ポリシから実行する匿名化処理を選択する匿名化処理選択モジュール３５０７と匿名化処理を実行する匿名化モジュール３５０８とを格納する。
　〈第２実施形態で使用される各データの構成〉
　（パーソナル情報記憶部の構成）
　図４は、本実施形態のパーソナル情報記憶部２０８の構成を示す図である。かかるパーソナル情報は、医療分野におけるパーソナル情報の例である。
　パーソナル情報記憶部２０８は、パーソナル情報の識別子であるパーソナルＩＤ４０１に対応付けて、血縁４０２、住所４０３、年齢４０４、病歴４０５の項目のデータを記憶する。図４では、以下の匿名化の具体的処理の説明を簡略化するため、血縁４０２という属性として、氏名が記憶されている。
　（項目規定の構成）
　図５は、各項目についての、匿名化のレベルを指標として表わす項目規定３５０５の構成を示す図である。指標１が最も匿名性の低い指標で、指標２、３、４の順に匿名性が高くなる。図５は、本実施形態の具体例に対応して規定されている。
　項目の血縁（氏名）の指標としては、図５の血縁規定データ５０１に示すように、全てを表記する指標１と、表記がない、あるいは記号で表わすという指標２とが、規定される。項目の住所の指標としては、図５の住所規定データ５０２に示すように、全てを表記する指標１と、番地以外を表記する指標２と、都道府県のみを表記する指標３と、表記がない指標４とが、規定される。項目の年齢の指標としては、図５の年齢規定データ５０３に示すように、全てを表記する指標１と、年代のみを表記する指標２と、表記がない指標３とが、規定される。項目の病歴の指標としては、図５の病歴規定データ５０４に示すように、全てを表記する指標１と、特殊な病歴は表記しない指標２と、表記がない指標３とが規定される。
　（匿名化ポリシの構成）
　図６は、匿名化ポリシ記憶部２１０内の匿名化ポリシ３５０４の一例を示す図である。ここで、データ６０１と６０２が各匿名化処理を示している。本明細書では、優先度の数値が大きい匿名化処理の方が、優先度が低いとしている。
　図６の匿名化ポリシでは、優先度が最も低い匿名化処理６０１として、血縁（氏名）を指標２に匿名化し、住所を指標２に匿名化し、年齢を指標２に匿名化し、病歴は匿名化せずに指標１のままとする、匿名化処理が定義される。次に、優先度が低い匿名化処理６０２として、血縁（氏名）を指標２のままとし、住所を指標３に匿名化し、年齢を指標２のままとし、病歴を指標２に匿名化する、匿名化処理が定義される。
　（匿名化情報の構成）
　図７は、図６の匿名化ポリシと項目限定による匿名化とを行なった結果の、匿名化情報記憶部２１２の構成を示す図である。
　図７の匿名化情報は、図４のパーソナル情報を匿名化した結果を示している。匿名化情報記憶部２１２は、パーソナル情報の識別子であるパーソナルＩＤ７０１に対応付けて、血縁７０２、住所７０３、年齢７０４、病歴７０５の項目のデータを記憶する。図７では、血縁（氏名）７０２は記号「Ｘ」、「Ｙ」に匿名化されている。住所７０３は、都道府県のみの「東京都」に匿名化されている。年齢７０４は、年代の「５０代」、「３０代」に匿名化されている。病歴７０５は、パーソナルＩＤ００１において「・Ｋ炎」のみに匿名化されている。なお、この匿名化情報は、それぞれ情報利用者の利用者ＩＤに対応付けられて記憶される。
　〈第２実施形態の情報処理装置の動作手順〉
　次に、第２実施形態に係る情報処理装置２００の動作手順（データ処理方法）について説明する。図８は、第２実施形態に係る情報処理装置２００の動作手順の一例を示すフローチャートである。このフローチャートは、図３ＡのＣＰＵ３１０によりＲＡＭ３４０を使用しながら実行されて、図２に示す機能構成部の機能を実現する。
　まず、ステップＳ８０１において、匿名化処理選択部２０２は、情報利用者の利用者ＩＤを取り出す。次に、匿名化処理選択部２０２は、パーソナル情報記憶部２０８から情報利用者が要求するパーソナル情報の最新のパーソナル情報を読み出して、パーソナル情報３４０４に記憶する。ステップＳ８０５において、匿名化処理選択部２０２は、利用者ＩＤに対応する匿名化ポリシの全匿名化処理を行なったかを、未選択の優先度の匿名化処理があるか否かで判定する。未選択の優先度の匿名化処理があれば、処理はステップＳ８０７に進む。匿名化処理選択部２０２は、ステップＳ８０７で、匿名化ポリシから残った匿名化処理の中で最も優先度の低い匿名化処理を選択する。そして、匿名化処理選択部２０２は、選択された匿名化処理に関連するパーソナル情報、項目名および匿名化処理の内容を匿名化処理部２０４に送信する。一方、未選択の優先度の匿名化処理がなければ、処理は、ステップＳ８０９に進む。もう匿名化ポリシには匿名化処理の規定はないので、情報の匿名化が成功しなかった。この場合、ステップＳ８０９において、匿名化処理選択部２０２は、情報利用者に情報の提供が出来ない旨を通知する。
　ステップＳ８１１において、匿名化処理部２０４は、今までの匿名化処理を行なった結果のパーソナル情報に対して、新たな種類の匿名化処理による匿名化を実行して、その結果を匿名化情報３４０５に上書きする。ステップ８１３において、匿名性評価部２０６は、匿名処理結果のパーソナル情報に匿名性があるか否かを判定する。匿名性がないと判定すれば、処理はステップＳ８０５に戻って、ステップＳ８０５~Ｓ８１３が繰り返される。匿名性評価部２０６は、匿名性があると判定すれば、処理はステップＳ８１５に進んで、匿名性評価部２０６は、利用者ＩＤが示す情報利用者に匿名化されたパーソナル情報を提供する。
　〈第２実施形態における具体的な匿名化処理の説明〉
　上記、第２実施形態の情報処理装置２００の構成、および各データを使用して、図８に従った匿名化処理を行なった場合の具体的な処理のイメージを、図９、図１０、図１１Ａを用いて匿名化の１つの指標である抽象化の程度をバーで示しながら、説明する。以下の各項目のバーにおいては、短い方が抽象化されたものとする。また、パーソナル情報は、血縁、住所、年齢、病歴の４つの項目を含むとする。
　（匿名化されていないパーソナル情報）
　図９は、情報提供者から提供された、まだ匿名化されてないパーソナル情報の抽象度を示す図である。まだ匿名化処理は適用されていないので、全項目において、抽象化はない。
　（匿名化ポリシ）
　図１０は、匿名化ポリシを各匿名化処理によって抽象化される状態を示す図である。図において、番号“１”，“２”は、それぞれ図６に示す優先度１，２による抽象化の程度を示す。以下、番号“１”，“２”は、優先度１，２として説明する。下図５及び図６を参照すれば、図１０において優先度２の血縁、住所、年齢の項目は、最初に匿名化を行なう項目である。それぞれの匿名化による抽象度の変化が、円柱のバーの長さで示されている。図１０において優先度１の住所、病歴の項目は、次に匿名化を行なう項目である。
　（匿名化処理）
　図１１Ａは、匿名化処理部２０４による匿名化処理により、順に抽象度が高くなる様子を示す図である。
　匿名化されていないパーソナル情報９００は、優先度２の匿名化処理１０００（２）により、最初の匿名化結果のパーソナル情報１１１０となる。次に、優先度１の匿名化処理１０００（１）により、パーソナル情報９００は、次の匿名化結果のパーソナル情報１１２０となる。ここで、匿名化ポリシに規定されている匿名化は終了する。もし、この間に匿名性評価部２０６による匿名性の判定で匿名性ありと判定されれば、匿名性を有する匿名化結果が匿名化されたパーソナル情報として出力される。
　図１１Ｂは、図１１Ａでは抽象度で示した、具体的な匿名化処理結果の変化を示す図である。図１１Ｂの参照番号は、図１１Ａの匿名化結果のパーソナル情報に対する参照番号に対応している。
　図４の中の２人のパーソナル情報９００は、最初の匿名化処理１０００（２）によって血縁（氏名）が記号（Ｘ、Ｙ）１１１１に置き換わり、住所では番地以降が削除され（１１１２）、年齢では年代１１１３に置き換わっている。次の匿名化処理１０００（１）によって、住所が都道府県のみの東京都以外は削除され（１１２１）、パーソナルＩＤ００１の病歴から特殊なＢ病が削除された（１１２２）。
　［第３実施形態］
　以下、本発明の第３実施形態の情報処理装置について詳細に説明する。なお、以下において、第２実施形態と同様の機能や動作をする構成やステップがある場合、それらについて図中には同じ符号を付し、明細書中の説明を省略する場合がある。他の実施形態についても同様である。
　第２実施形態における情報処理装置２００は、優先度が付加された複数の種類の項目の匿名を含む匿名化処理で匿名化を実行する場合には、１回の匿名化処理で複数種類の項目の匿名化を一気に実行する。従って、複数種類の項目のどれかを次の段階に匿名化を進めれば匿名性が得られる場合にも、情報処理装置２００は、一気に複数項目の匿名化を行なう。したがって、情報処理装置２００は、過剰な匿名化により情報利用者に不十分な情報を提供することが発生する。この問題を解決するため、第３実施形態の情報処理装置１２００（図１２）は、一部の匿名化処理については一気に実行せずに項目を選択して段階的に匿名化を行なう。特に、情報処理装置１２００は、匿名性を得られたと判断した後に最後の匿名化処理を項目に分けて再度行なう。これにより、出来るだけ情報内容を残すことができ、情報利用者へのサービスを向上させることが可能となる。このように、本実施形態によれば、情報利用者の用途に合わせて匿名化されると同時に、情報内容を可能な限り保存したパーソナル情報を提供することができる。
　〈第３実施形態の情報処理装置の構成〉
　図１２は、本発明の第３実施形態に係る情報処理装置１２００の機能構成を示すブロック図である。段階的匿名化装置である情報処理装置１２００は、匿名化処理選択部２０２と、匿名化処理部２０４と、匿名性評価部２０６と、パーソナル情報記憶部２０８と、匿名化ポリシ記憶部２１０と、匿名化情報記憶部２１２と、項目限定選択部１２０２とを具備する。
　第３実施形態の構成での第２実施形態との相違点は、「項目限定選択部１２０２」を具備することであり、他の機能構成部は同様であるので説明は省略する。
　項目限定選択部１２０２は、匿名化処理選択部２０２において選択された、匿名化ポリシの匿名化処理に対して、よりきめ細かな匿名化を行なうため複数種類の項目から、匿名化すべき項目の順序を決めて、項目を選択する。このとき項目限定選択部１２０２は、匿名化処理による変化が最も少ない項目と匿名化処理とを選択してもよいし、匿名性が最も高くなる項目と匿名化処理とを選択してもよいし、両方を満たす項目と匿名化処理とを選択してもよい。この選択は、最終結果の匿名性が十分であり、且つ、パーソナル情報の内容が情報使用者にとって有用となるように選択される。
　本実施形態の情報処理装置１２００のハードウェア構成は、第２実施形態の図３Ａ及び図３Ｂと同様であるので、説明は省略する。ただし、本実施形態では、項目限定選択部１２０２が項目選択するためのデータが、図示されていないが、ＲＡＭ３４０の匿名化ポリシ３４０７に追加され、またはストレージ３５０の匿名化ポリシ３５０４内に追加されてよい。
　〈第３実施形態で使用されるデータの構成〉
　第３実施形態で使用されるデータは、項目限定選択部１２０２が使用するデータを除いて、第２実施形態と同様とするので、説明は省略する。
　（項目限定選択部が使用するデータの構成）
　図１３は、項目限定選択部１２０２が匿名化処理の複数の項目を分けて順に匿名化するために使用するデータ例１３００を示す図である。ここでは、項目限定選択部１２０２は、図６の匿名化処理６０２を匿名化処理６０２−１と６０２−２の２つの分けて実行する。
　図１３の匿名化処理において、まず、匿名化処理６０２−１は、住所のみを指標３に匿名化し、病歴は匿名化せずに指標１のままとする。次に、匿名化処理６０２−２は、病歴を指標２に匿名化する。このような匿名化処理が項目限定選択部１２０２に設定されている。
　〈第３実施形態の情報処理装置の動作手順〉
　次に、第２実施形態に係る情報処理装置１２００の動作手順（データ処理方法）について説明する。図１４は、第３実施形態に係る情報処理装置１２００の動作手順の一例を示すフローチャートである。このフローチャートは、図３ＡのＣＰＵ３１０によりＲＡＭ３４０を使用しながら実行されて、図１２に示す機能構成部の機能を実現する。なお、図１４のフローチャートの図８との相違点は、ステップＳ１４０１とＳ１４０３との追加であり、他の図８と同様のステップ番号は同様の処理であるので、説明は省略する。
　ステップＳ８０７において、匿名化処理選択部２０２は匿名化ポリシから残った匿名化処理の中で最も優先度の低い匿名化処理を選択すると、ステップＳ１４０１において、項目限定選択部１２０２は、選択された匿名化処理において項目限定選択を行なうか否かを判定する。かかる判定は、図１３のようなデータが有る場合、あるいは図１４には煩雑となるため図示しなかったが、項目限定選択部１２０２は、匿名性ありとの判定された最後の匿名化処理などにおいて、項目限定選択を行なうと判定する。項目限定選択を行なわない場合は、処理はステップＳ８１１に進み、匿名化処理部２０４は複数種類の項目の匿名化を一気に行なう。項目限定選択部１２０２は、項目限定選択を行なう場合は、ステップＳ１４０３において、図１３のようなデータに従って部分的な項目を選択し、その後、選択された項目に対し匿名化処理部２０４はステップＳ８１１の匿名化を実行する。なお、ステップＳ１４０３においては、その優先度については未選択を維持するので、ステップＳ８０５とＳ８０７においては、同じ優先度の匿名化処理が選択されて、ステップＳ８１１で残る項目の匿名化が行なわれる。例えば、図１３の例では、最初のループでは匿名化処理６０２−１による匿名化が、次のループでは匿名化処理６０２−２による匿名化がおこなわれることになる。
　〈第３実施形態における具体的な匿名化処理の説明〉
　上記、第３実施形態の情報処理装置１２００の構成、および各データを使用して、図１４に従った匿名化処理を行なった場合の具体的な処理のイメージを、匿名化の１つの指標である抽象化の程度をバーで示しながら、説明する。以下の各項目のバーにおいては、短い方が抽象化されたものとする。また、パーソナル情報は、血縁、住所、年齢、病歴の４つの項目を含むとする。
　（匿名化ポリシ）
　匿名化ポリシは、図１０に示したものと同様である。ただし、本実施形態では、項目限定選択部により、図１０における優先度１で示す匿名化処理の住所と病歴の項目は、２回の匿名化に分離されている。ここでは、優先度１−１と優先度１−２とする。
　（匿名化処理）
　図１５Ａは、匿名化処理により、順に抽象度が高くなる様子を示す図である。
　匿名化されていないパーソナル情報９００は、優先度２の匿名化処理１０００（２）により、最初の匿名化結果のパーソナル情報１１１０となる。次に、最初の項目限定選択において、優先度１−１の匿名化処理１０００（１−１）により、項目「住所」のみの匿名化が実行され、パーソナル情報１１１０は匿名化結果のパーソナル情報１５１０となる。次の項目限定選択では、優先度１−２の匿名化処理１０００（１−２）により、病歴の匿名化が実行され、パーソナル情報１１２０となる。
　図１５Ｂは、図１５Ａでは抽象度で示した、具体的な匿名化処理結果の変化を示す図である。図１５Ｂの参照番号は、図１５Ａの匿名化結果のパーソナル情報に対する参照番号に対応している。
　図４の中の２人のパーソナル情報９００は、最初の匿名化処理１０００（２）によって血縁（氏名）が記号（Ｘ、Ｙ）１１１１に置き換わり、住所では番地以降が削除され（１１１２）、年齢では年代１１１３に置き換わっている。次の匿名化処理１０００（１−１）によって、住所が都道府県のみの東京都以外は削除された（１５１１）。この時点で、匿名性があると判定されないと、さらに、匿名化処理１０００（１−２）によって、パーソナルＩＤ００１の病歴から特殊なＢ病が削除される（１１２２）。
　［第４実施形態］
　以下、本発明の第４実施形態の情報処理装置について詳細に説明する。なお、以下において、第２及び第３実施形態と同様の機能や動作をする構成やステップがある場合、それらについて図中には同じ符号を付し、明細書中の説明を省略する場合がある。
　上記第２及び実施形態に係る情報処理装置は、匿名化ポリシに記述された全ての優先度に対する匿名化処理を適用した後に、匿名性が満たされなければ、情報利用者へのパーソナル情報の提供は行なわれない。しかし、第３実施形態の情報処理装置は、匿名化ポリシに記載された全ての優先度に対する匿名化処理を適用した後に匿名性が満たされなければ、情報利用者が匿名化ポリシを変更する点で、第２及び第３実施形態と相違する。本実施形態によれば、情報利用者は匿名化ポリシを自在に変更してパーソナル情報を匿名化することができる。したがって、匿名性を有し且つ情報利用者にとって有用なパーソナル情報を対話的に取得することができる。
　〈第４実施形態の情報処理装置の構成〉
　まず、第４実施形態に係る情報処理装置の構成について説明する。図１６は、第４実施形態に係る匿名化装置としての情報処理装置１６００の機能構成を示すブロック図である。
　情報処理装置１６００は、図２と同様の機能を果たす、匿名化処理選択部２０２と、匿名化処理部２０４と、匿名性評価部２０６と、パーソナル情報記憶部２０８と、匿名化ポリシ記憶部２１０と、匿名化情報記憶部２１２とを具備する。さらに、情報処理装置は、匿名化情報管理部１６０２と、匿名化ポリシ管理部１６０４とを具備する。以下、第２実施形態と相違する構成について説明する。
　匿名化情報管理部１６０２は、匿名化処理選択部２０２から受け取った情報利用者ＩＤが付与された特定のパーソナル情報を削除する。そのパーソナル情報は、匿名化情報記憶部２１２に記憶されている匿名性が得られなかった情報である。匿名化ポリシ管理部１６０４は、匿名化処理選択部２０２が匿名化ポリシに記述された全ての優先度に対する匿名化処理を選択してもパーソナル情報が匿名性を有しない場合に、情報利用者に対して匿名化ポリシの変更を要求する。さらに、匿名化ポリシ管理部１６０４は、情報利用者から変更された匿名化ポリシを受け付けて、匿名化ポリシ記憶部２１０に記憶されている匿名化ポリシを更新する。図３Ｂのハードウェア構成であれば、ＲＡＭ３４０の匿名化ポリシ３４０７を上書きし、ストレージ３５０の匿名化ポリシ３５０４を書き換え、あるいは追加記憶することになる。
　その他、第４実施形態の情報処理装置１６００のハードウェア構成や使用される各データの構成は、第２実施形態と同様であるので、説明は省略する。
　〈第４実施形態の情報処理装置の動作手順〉
　次に、第４実施形態に係る情報処理装置１６００の動作について説明する。図１７は、第４実施形態に係る情報処理装置１６００の動作の一例を示すフローチャートである。かかるフローチャートは、図３ＡのＣＰＵ３１０によりＲＡＭ３４０を使用しながら実行されて、図１６の各機能構成部の機能を実現する。図１７に示される情報処理装置１６００の動作は、図８に示される第２実施形態の情報処理装置２００の動作と同様のステップＳ８０１~Ｓ８０７、Ｓ８１１~Ｓ８１５を有する。しかし、第２実施形態の情報処理装置２００の動作とは異なる、以下に説明するステップＳ１７０１~Ｓ１７０５を有する。
　ステップＳ８０５において、匿名化ポリシに未選択の優先度の匿名化処理が無くなった場合（Ｓ８０５のＮＯ）、処理はステップＳ１７０１に進む。ステップＳ１７０１において、匿名性評価部２０６は、匿名化ポリシの全匿名化処理を行なっても匿名性が得られなかった旨を、情報利用者に通知する。匿名化ポリシ管理部１６０４は、通知に応答する情報利用者からの匿名化ポリシの入力、あるいは送信を待って、ステップＳ１７０３において、今まで使用してきた匿名化ポリシを情報利用者からの匿名化ポリシに変更する。そして、匿名化情報管理部１６０２は、ステップＳ１７０５において、前の匿名化ポリシで匿名化処理したパーソナル情報を匿名化情報記憶部２１２から削除する。
　かかる処理の後、処理はステップＳ８０３に戻る。そして、匿名化処理選択部２０２は、再度、情報利用者が要求する匿名化すべきパーソナル情報をパーソナル情報記憶部２０８から読み出して、匿名化情報記憶部２１２に記憶する。そして、情報処理装置１６００は、ステップＳ８０５からＳ８１３を繰り返して、変更された匿名化ポリシによる匿名化を実行する。
　〈第４実施形態における具体的な匿名化処理の説明〉
　上記、第４実施形態の情報処理装置１６００の構成、および各データを使用して匿名化処理を行なった場合の具体的な処理のイメージを、匿名化の１つの指標である抽象化の程度をバーで示しながら、説明する。以下の各項目のバーにおいては、短い方が抽象化されたものとする。また、パーソナル情報は、血縁、住所、年齢、病歴の４つの項目を含むとする。
　まず、匿名化されていないパーソナル情報は図９の９００とし、匿名化ポリシを抽象度であらわした図は図１０の１０００であるとする。
　（最初の匿名化ポリシによる匿名化）
　最初の匿名化ポリシは、図１０に示す匿名化ポリシ１０００であり、その匿名化処理の経過は、図１１Ａに示したものと同様である。そして、匿名化ポリシ１０００による全ての匿名化処理を行なっても、匿名性の判定で匿名性なしと判定されたものと仮定する。
　（更新した匿名化ポリシ）
　図１８は、図１７のステップＳ１７０３で情報利用者により変更された匿名化ポリシ１８００を示す図である。かかる変更された匿名化ポリシ１８００は、図３ＢのＲＡＭ３４０の匿名化ポリシ３４０７に上書きされ、ストレージ３５０の匿名化ポリシ３５０４を書き換え、あるいは追加記憶される。
　図１８において、まず、新たな匿名化ポリシの項目規定として、血縁（氏名）の項目と年齢の項目とが、図５に示す項目規定３５０５から図１８の項目規定１８０１及び１８０２のように変更される。図５において、血縁（氏名）の項目は指標１と指標２のみであってが、項目規定１８０１及び１８０２において、新たに“名字のみ”という指標２が追加され、全ての表記が指標１、名字のみが指標２、表記無し（または記号）が指標３とする。また、年齢の項目は指標１から指標３であったが、項目規定１８０１及び１８０２において新たに“未成人／成人／高齢”という指標３が追加され、全ての表記が指標１、年代のみが指標２、未成人／成人／高齢が指標３、表記無しが指標４とする。そして、匿名化ポリシは、この項目規定の変更を使って、優先度３から優先度１の匿名化処理１８０３~１８０５が規定されている。
　図１８の匿名化ポリシ１８１０は、変更された匿名化ポリシを各匿名化処理によって抽象化される状態で示した図である。図１８において優先度３で示す血縁、住所、年齢の項目は、最初に匿名化を行なう項目である。それぞれの匿名化による抽象度の変化が、バーの長さで示されている。図１８において優先度２で示す住所、年齢、病歴の項目は、次に匿名化を行なう項目である。図１８において優先度１で示す血縁の項目は、最後に匿名化を行なう項目である。
　（更新した匿名化ポリシによる匿名化）
　図１９Ａは、更新した匿名化ポリシによる匿名化処理の様子を示す図である。
　匿名化されていないパーソナル情報９００は、優先度３の匿名化処理１８１０（３）により、最初の匿名化結果のパーソナル情報１９１０となる。次に、優先度２の匿名化処理１８１０（２）により、パーソナル情報１９１０は、次の匿名化結果のパーソナル情報１９２０となる。最後に、優先度１の匿名化処理１８１０（１）により、パーソナル情報１９２０は、次の匿名化結果のパーソナル情報１９３０となる。この間の匿名性を有する匿名化結果が匿名化されたパーソナル情報として出力される。
　図１９Ｂは、図１９Ａでは抽象度で示した、具体的な匿名化処理結果の変化を示す図である。図１９Ｂの参照番号は、図１９Ａの匿名化結果のパーソナル情報に対する参照番号に対応している。
　図４の中の２つのパーソナル情報９００は、最初の匿名化処理１８１０（３）によって血縁（氏名）が名字のみ１９１１に置き換わり、住所では番地以降が削除され（１９１２）、年齢では年代１９１３に置き換わっている。次の匿名化処理１８２０（２）によって、住所が都道府県のみの東京都以外は削除され（１９２１）、年齢では未成人／成人／高齢１９２２に置き換わり、パーソナルＩＤ００１の病歴から特殊なＢ病が削除された（１９２３）。最後に、匿名化処理１８１０（１）によって、血縁（氏名）が記号（Ｘ、Ｙ）に置き換わる（１９３１）。
　［第５実施形態］
　以下、本発明の第５実施形態の情報処理装置について詳細に説明する。なお、以下において、図中に第２乃至第４実施形態と同様の機能や動作をする構成やステップがある場合、それらは同じ符号が付され、明細書中の説明は省略される場合がある。上記第２及び第４実施形態に係る情報処理装置は、情報提供者がパーソナル情報を変更し、または情報利用者が匿名化ポリシを変更した場合に、それらのパーソナル情報を組み合わせることにより、個人を特定できる恐れがある。従って、第５実施形態の情報処理装置は、パーソナル情報をこれまでに情報利用者に提供したパーソナル情報と合わせて匿名化を有することを保証する。本実施形態によれば、情報利用者が匿名化ポリシを変更した場合や情報提供者がパーソナル情報を変更した場合であっても、情報利用者が個人を特定することを防ぐことができる。
　〈第５実施形態の情報処理装置の構成〉
　まず、第５実施形態に係る匿名化装置としての情報処理装置の構成について説明する。
図２０は、第５実施形態に係る情報処理装置２０００の機能構成を示すブロック図である。
　情報処理装置２０００は、匿名化処理選択部２０２と、匿名化処理部２０４と、匿名性評価部２０６と、パーソナル情報記憶部２０８と、匿名化ポリシ記憶部２１０と、匿名化情報記憶部２１２と、項目限定選択部１２０２と、を具備する。これらは、第３実施形態と同様の機能を果たす。そして、第５実施形態の情報処理装置２０００は、さらに、結合性評価部２００２と、提供履歴記憶部２００４とを具備する。
　提供履歴記憶部２００４は、匿名性を満たすパーソナル情報であり、情報利用者に提供されたパーソナル情報に情報利用者を表す情報利用者ＩＤを付与して記憶する。結合性評価部２００２は、匿名性評価部２０６から渡されたパーソナル情報と、提供履歴記憶部２００４に記憶された提供履歴を統合して統合パーソナル情報を生成し、さらに統合パーソナル情報が匿名性を有するか否かを確認する。統合パーソナル情報が匿名性を有する場合、結合性評価部２００２は、情報利用者にパーソナル情報を提供し、統合パーソナル情報が匿名性を有しない場合、結合性評価部２００２は、再度、パーソナル情報を構成する項目に対して匿名化処理を適用するよう匿名化処理部２０４を制御する。
　なお、第５実施形態の情報処理装置２０００のハードウェア構成や使用される各データの構成は、第２実施形態と同様であるので、説明は省略する。また、提供履歴記憶部２００４に記憶された、匿名化されたパーソナル情報の構成は、図７の匿名化情報記憶部２１２の構成と同様である。
　〈第５実施形態の情報処理装置の動作手順〉
　次に、第５実施形態に係る情報処理装置２０００の動作について説明する。図２１は、第５実施形態に係る情報処理装置２０００の動作の一例を示すフローチャートである。かかるフローチャートは、図３ＡのＣＰＵ３１０によりＲＡＭ３４０を使用しながら実行されて、図２０の各機能構成部の機能を実現する。図２１に示される情報処理装置２０００の動作は、図８に示される情報処理装置２００の動作と同様のステップＳ８０１~Ｓ８１５と、図１４に示される情報処理装置１２００の動作と同様のステップＳ１４０１、Ｓ１４０３を有する。第５実施形態では、さらに、以下に説明するステップＳ２１０１とＳ２１０３とを有する。
　ステップＳ２１０１において、匿名性評価部２０６は、ステップＳ８１３において匿名性ありと判定した場合、結合性評価部２００２は、既に匿名化が行なわれたパーソナル情報と結合しても匿名性があるかを判定する。匿名性が無いと判定されれば、ステップＳ８０５に戻ってさらに匿名化処理部２０４による匿名化処理が行なわれる。匿名性ありと判定されるとステップＳ２１０３に進んで、結合性評価部２００２は、既に匿名化が行なわれたパーソナル情報と結合したパーソナル情報に情報利用者を表す情報利用者ＩＤを付与して提供履歴記憶部２００４に保存する。
　〈第５実施形態における具体的な匿名化処理の説明〉
　上記、第５実施形態の情報処理装置２０００の構成、および各データを使用して匿名化処理を行なった場合、具体的な処理のイメージを、匿名化の１つの指標である抽象化の程度をバーで示しながら、説明する。以下の各項目のバーにおいては、短い方が抽象化されたものとする。また、パーソナル情報は、血縁、住所、年齢、病歴の４つの項目を含むとする。本例では、図１０の匿名化ポリシによって、項目限定選択部１２０２の処理により匿名性を得られた結果（図１５の１５１０）を使って、図１８の匿名化ポリシにより匿名化を行なう例を説明する。
　（図１８の優先度２の項目「住所」「病歴」までの匿名化ポリシの結合）
　図２２Ａに示すように、結合性評価部２００２は、第１パーソナル情報として図１１Ａの匿名性を得られた結果のパーソナル情報１５１０を得た匿名化ポリシ１０００と、第２パーソナル情報として図１８の匿名化結果のパーソナル情報２２１０までの匿名化処理を結合して、新たな匿名化ポリシを生成する。その結合において、結合性評価部２００２は、各項目の抽象度の低い匿名化を選択する。結合結果の統合パーソナル情報の抽象度は、図２２Ａの統合パーソナル情報２２２０のようになる。すなわち、血縁の項目においては匿名化ポリシ１８００における優先度３の匿名化が、病歴の項目においては匿名化ポリシ１０００における匿名化なしが選ばれる。
　図２２Ｂは、図２２Ａでは抽象度で示した、具体的な匿名化処理結果の変化を示す図である。図２２Ｂの参照番号は、図２２Ａの匿名化結果のパーソナル情報に対する参照番号に対応している。
　結合性評価部２００２は、匿名化ポリシ１０００によって既に匿名化されたパーソナル情報１５１０と、匿名化ポリシ１８００によって優先度“２”の項目「住所」「病歴」まで匿名化されたパーソナル情報２２１０と、を統合し、統合パーソナル情報２２２０を生成する。統合パーソナル情報２２２０では、血縁の項目はパーソナル情報２２１０の内容を維持し、病歴の項目２２２１はパーソナル情報１５１０の内容となる。
　結合性評価部２００２は、この統合パーソナル情報２２２０が、提供履歴記憶部２００４の匿名化されたパーソナル情報１５１０及び現在匿名化中のパーソナル情報２２１０に対して匿名性を有するか否かを評価する。統合パーソナル情報２２２０が匿名性を有すれば、結合性評価部２００２は、統合パーソナル情報２２２０を匿名化されたパーソナル情報として、提供履歴記憶部２００４に記憶し、情報利用者に提供する。匿名性を有しない場合は、結合性評価部２００２は、さらに匿名化処理を行なうよう匿名化処理部２０４に指示する。
　（図１８の優先度２までの匿名化ポリシの結合）
　図２３Ａは、図２２Ａ及び図２２Ｂでは匿名性を有しない場合の匿名化処理の結合を示す図である。図２３Ａでは、匿名化ポリシ１８００の優先度２を最後まで実行し、第３パーソナル情報として図１９Ａの匿名化結果のパーソナル情報１９２０を得る。この時は、統合パーソナル情報２３１０となる。
　図２３Ｂは、図２３Ａでは抽象度で示した、具体的な匿名化処理結果の変化を示す図である。図２３Ｂの参照番号は、図２３Ａの匿名化結果のパーソナル情報に対する参照番号に対応している。匿名化ポリシ１０００で既に匿名化されたパーソナル情報１５１０と、匿名化ポリシ１８００で優先度２まで匿名化されたパーソナル情報１９２０と、が統合されて、統合パーソナル情報２３１０が生成される。統合パーソナル情報２３１０では、年齢項目２３１１が図２２Ｂの年代のみから「未成人／成人／高齢」に匿名化されている。
　結合性評価部２００２は、この統合パーソナル情報２３１０が、提供履歴記憶部２００４の匿名化されたパーソナル情報１５１０及び現在匿名化中のパーソナル情報１９２０に対して匿名性を有するか否かを評価する。本例では匿名性を有するとして、統合パーソナル情報２３１０が匿名化されたパーソナル情報として、提供履歴記憶部２００４に記憶され、情報利用者に提供される。
　図２４は、図２２Ｂの統合パーソナル情報２２２０から図２３Ｂの統合パーソナル情報２３１０への変化を示す図である。本例では、統合パーソナル情報２２２０では匿名性を有しないが、統合パーソナル情報２３１０となれば匿名性を有するものとなる。
　［第６実施形態］
　上記第２乃至第５実施形態では、情報処理装置が集中的に情報提供者からのパーソナル情報の保持、匿名化、情報利用者への匿名化したパーソナル情報の提供を実行する構成を説明した。第６実施形態では、情報提供者からのパーソナル情報の保持、匿名化、情報利用者への匿名化したパーソナル情報の提供、をそれぞれ、あるいはその一部を分散処理する構成を示す。本実施形態によれば、情報提供者からのパーソナル情報の蓄積と、匿名化装置として特化した情報処理装置とを分離することで、匿名化処理を広範囲に適用可能となる。
　図２５は、匿名化装置として特化した情報処理装置２５０１を含む情報処理システム２５００の構成を示す図である。
　情報処理システム２５００は、ネットワーク２５０４を介して接続された、匿名化装置として特化した情報処理装置２５０１と、パーソナル情報を蓄積する情報蓄積装置２５０２と、パーソナル情報の入出力をする通信端末機器類２５０３とを具備する。情報蓄積装置２５０２はＬＡＮを介して入出力端末２５０５からパーソナル情報を受信してもよい。図２５の情報処理システム２５００では、情報提供者及び情報利用者は通信端末機器類２５０３を使用して入出力を行なう。入力されたパーソナル情報は、それぞれの情報蓄積装置２５０２でパーソナル情報取得がされてパーソナル情報記憶部に蓄積される。通信端末機器類２５０３を使用して要求された、いずれかの情報蓄積装置２５０２のパーソナル情報は、情報処理装置２５０１に送られて匿名化された上で、通信端末機器類２５０３から匿名化情報出力により使用している情報利用者に提供される。
　［他の実施形態］
　以上、本発明の実施形態について詳述したが、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステム又は装置も、本発明の範疇に含まれる。
　また、本発明は、複数の機器から構成されるシステムに適用されても良いし、単体の装置に適用されても良い。さらに、本発明は、実施形態の機能を実現する制御プログラムが、システム或いは装置に直接或いは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされる制御プログラム、或いはそのプログラムを格納した媒体、その制御プログラムをダウンロードさせるＷＷＷ（Ｗｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ）サーバも、本発明の範疇に含まれる。
　［実施形態の他の表現］
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置であって、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する匿名化処理手段と、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
　を含む情報処理装置。
（付記２）
　情報提供者から提供されたパーソナル情報を記憶するパーソナル情報記憶手段を備える付記１に記載の情報処理装置。
（付記３）
　前記匿名性評価手段は、前記匿名化処理手段によって匿名化処理が適用されたパーソナル情報が、他の情報提供者から提供されたパーソナル情報と区別できないこと、前記匿名化処理手段によって匿名化されたパーソナル情報から情報提供者が誰であるか判別できないこと、または、匿名化処理手段によって匿名化されたパーソナル情報から情報提供者の属性が分からないことを持って匿名性を有すると判断する付記１または２に記載の情報処理装置。
（付記４）
　前記匿名化処理手段によって匿名化処理を適用したパーソナル情報を記憶する匿名化情報記憶手段を備え、
　前記匿名化処理手段は、前記匿名性評価手段が前記匿名化処理を適用したパーソナル情報が匿名性を有しないと判断した場合に、前記匿名化情報記憶手段に記憶されたパーソナル情報に対して、さらに優先度の高い匿名化処理を適用する付記１乃至３のいずれか１項に記載の情報処理装置。
（付記５）
　前記匿名化ポリシに含まれる各匿名化処理は、前記パーソナル情報に関連付け可能な前記少なくとも１つの項目の有無、該項目の抽象度のレベル、該項目の正確性のレベルのいずれかを表わす指標と、該指標に基づいて設定された前記匿名化処理の優先度とを含む付記１乃至４のいずれか１項に記載の情報処理装置。
（付記６）
　複数の前記項目の各項目の有無、各項目の抽象度のレベル、各項目の正確性のレベルのいずれかを表わす指標を各項目に対応付けて記憶する項目規定記憶手段と、
　複数の項目に対する匿名化を含む匿名化処理から、予め定められた項目の匿名化を選択し、前記匿名化処理手段に提供する項目限定選択手段と、
　を備える付記５に記載の情報処理装置。
（付記７）
　前記匿名化ポリシ提供手段は、前記情報利用者に対応付けられた匿名化ポリシを記憶する匿名化ポリシ記憶手段を有し、前記情報利用者に対応して前記匿名化ポリシ記憶手段から読み出した匿名化ポリシを提供する付記１乃至６のいずれか１項に記載の情報処理装置。
（付記８）
　前記匿名性評価手段は、前記匿名化ポリシに含まれる前記複数の匿名化処理の適用によってもパーソナル情報が匿名性を有しないと判断した場合に、その旨を前記情報利用者に通知する通知手段を有し、
　前記匿名化ポリシ提供手段は、前記通知手段の通知に応答して前記情報利用者から提供された匿名化ポリシを提供する付記１乃至７のいずれか１項に記載の情報処理装置。
（付記９）
　前記匿名性評価手段が匿名性を有すると判断した場合の匿名化処理の組を履歴として記憶する履歴記憶手段と、
　前記匿名性評価手段が前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、現在の匿名化処理の組と前記履歴記憶手段に記憶された匿名化処理の組とを組み合わせて、新たな匿名化処理の組からなる匿名化ポリシを生成する生成手段とを備え、
　前記匿名化処理手段は、前記生成手段が生成した匿名化ポリシの前記新たな匿名化処理の組を前記パーソナル情報に適用する付記１乃至８のいずれか１項に記載の情報処理装置。
（付記１０）
　前記匿名化処理は、前記パーソナル情報に対する汎化、切落し、分離、置換、摂動を含む付記１乃至９のいずれか１項に記載の情報処理装置。
（付記１１）
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御方法であって、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供し、
　前記優先度が付加された匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択し、
　前記匿名化処理の選択順に前記複数の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用し、
　前記匿名化処理が適用されたパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する
　情報処理装置の制御方法。
（付記１２）
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御プログラムであって、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する処理と、
　前記匿名化ポリシの提供によって提供される匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する処理と、
　前記匿名化処理の選択順に前記複数の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する処理と、
　前記匿名化処理が適用されたパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する処理と、
　をコンピュータに実行させる制御プログラム。
（付記１３）
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理システムであって、
　前記パーソナル情報を取得するパーソナル情報取得手段と、
　前記取得したパーソナル情報を記憶するパーソナル情報記憶手段と、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、前記パーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理手段と、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力手段と、
　を含む情報処理システム。
（付記１４）
　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化するパーソナル情報の匿名化方法であって、
　前記パーソナル情報を取得するパーソナル情報取得ステップと、
　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供ステップと、
　前記匿名化ポリシ提供ステップにおいて提供する匿名化ポリシに含まれる前記複数の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択ステップと、
　前記匿名化処理選択ステップにおいて選択された順に前記複数種類の匿名化処理を、前記取得したパーソナル情報を記憶するパーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理ステップと、
　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価ステップと、
　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力ステップと、
　を含むパーソナル情報の匿名化方法。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は以上の実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で同業者が理解し得る様々な変更をすることができる。
　この出願は、２０１０年１１月１６日に出願された日本出願特願２０１０−２５６０４５を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (10)

1. 　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置であって、
   　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
   　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
   　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する匿名化処理手段と、
   　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
   　を含む情報処理装置。
2. 　前記匿名化処理手段によって匿名化処理を適用したパーソナル情報を記憶する匿名化情報記憶手段を備え、
   　前記匿名化処理手段は、前記匿名性評価手段が前記匿名化処理を適用したパーソナル情報が匿名性を有しないと判断した場合に、前記匿名化情報記憶手段に記憶されたパーソナル情報に対して、さらに優先度の高い匿名化処理を適用する、請求項１に記載の情報処理装置。
3. 　前記匿名化ポリシに含まれる各匿名化処理は、前記パーソナル情報に関連付け可能な前記少なくとも１つの項目の有無、該項目の抽象度のレベル、該項目の正確性のレベルのいずれかを表わす指標と、該指標に基づいて設定された前記匿名化処理の優先度とを含む請求項１または２に記載の情報処理装置。
4. 　複数の前記項目の各項目の有無、各項目の抽象度のレベル、各項目の正確性のレベルのいずれかを表わす指標を各項目に対応付けて記憶する項目規定記憶手段と、
   　複数の項目に対する匿名化を含む匿名化処理から、予め定められた項目の匿名化を選択し、前記匿名化処理手段に提供する項目限定選択手段と、
   　を、さらに備える請求項３に記載の情報処理装置。
5. 　前記匿名性評価手段は、前記匿名化ポリシに含まれる前記複数の匿名化処理の適用によってもパーソナル情報が匿名性を有しないと判断した場合に、その旨を前記情報利用者に通知する通知手段を有し、
   　前記匿名化ポリシ提供手段は、前記通知手段の通知に応答して前記情報利用者から提供された匿名化ポリシを提供する請求項１乃至４のいずれか１項に記載の情報処理装置。
6. 　前記匿名性評価手段が匿名性を有すると判断した場合の匿名化処理の組を履歴として記憶する履歴記憶手段と、
   　前記匿名性評価手段が前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、現在の匿名化処理の組と前記履歴記憶手段に記憶された匿名化処理の組とを組み合わせて、新たな匿名化処理の組からなる匿名化ポリシを生成する生成手段とを備え、
   　前記匿名化処理手段は、前記生成手段が生成した匿名化ポリシの前記新たな匿名化処理の組を前記パーソナル情報に適用する請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御方法であって、
   　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供し、
   　前記優先度が付加された匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択し、
   　前記匿名化処理の選択順に前記複数の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用し、
   　前記匿名化処理が適用されたパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する
   　情報処理装置の制御方法。
8. 　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理装置の制御プログラムであって、
   　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する処理と、
   　前記匿名化ポリシの提供によって提供される匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する処理と、
   　前記匿名化処理の選択順に前記複数の匿名化処理を、情報利用者が利用する前記パーソナル情報に適用する処理と、
   　前記匿名化処理が適用されたパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する処理と、
   　をコンピュータに実行させる制御プログラム。
9. 　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化する情報処理システムであって、
   　前記パーソナル情報を取得するパーソナル情報取得手段と、
   　前記取得したパーソナル情報を記憶するパーソナル情報記憶手段と、
   　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供手段と、
   　前記匿名化ポリシ提供手段が提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択手段と、
   　前記匿名化処理選択手段によって選択された順に前記複数種類の匿名化処理を、前記パーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理手段と、
   　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価手段と、
   　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力手段と、
   　を含む情報処理システム。
10. 　個人と連結可能なパーソナル情報を利用する場合に前記パーソナル情報を匿名化するパーソナル情報の匿名化方法であって、
    　前記パーソナル情報を取得するパーソナル情報取得ステップと、
    　前記パーソナル情報に関連付け可能な少なくとも１つの項目に対して匿名性を高めるための複数種類の匿名化処理を含み、前記複数種類の匿名化処理のそれぞれに優先度が付加された匿名化ポリシを提供する匿名化ポリシ提供ステップと、
    　前記匿名化ポリシ提供ステップにおいて提供する匿名化ポリシに含まれる前記複数種類の匿名化処理を適用する場合に、前記優先度の低い匿名化処理から前記優先度の高い匿名化処理を順に選択する匿名化処理選択ステップと、
    　前記匿名化処理選択ステップにおいて選択された順に前記複数種類の匿名化処理を、前記取得したパーソナル情報を記憶するパーソナル情報記憶手段に記憶されたパーソナル情報のうち、情報利用者が利用するパーソナル情報に適用する匿名化処理ステップと、
    　前記匿名化処理を適用したパーソナル情報が匿名性を有すると判断した場合に、当該匿名化処理までの匿名化処理を適用した前記パーソナル情報を前記情報利用者に提供する匿名性評価ステップと、
    　前記情報利用者に提供された前記パーソナル情報を出力する匿名化情報出力ステップと、
    　を含むパーソナル情報の匿名化方法。

Images