(57)【要約】【課題】個人情報を提供した本人が特定されるリスクを回避することが可能な個人情報管理装置、個人情報管理システム、個人情報管理方法及びプログラムを提供する。【解決手段】  管理部１０４は、個人情報を含むデータと、個人情報を含むデータの利用を許諾するか否かを示す可否情報とを対応付けて管理する。要求受信部１０５は、個人情報を含むデータに関する統計データを取得するための要求を受信する。処理部１０６は、要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す可否情報が対応付けられた個人情報を含むデータを、管理部１０４から取得し、取得した個人情報を含むデータに対し統計処理を施して統計データを求める。応答送信部１０７は、統計データを要求に対する応答として送信する。処理部１０６は、統計データにおいて、度数が閾値以下の階級を、階級に含まれる度数が閾値を超えるように、修正する。【選択図】図３
2020091634.tif 000002
【特許請求の範囲】
【請求項１】
個人情報を含むデータと、当該個人情報を含むデータの利用を許諾するか否かを示す可否情報とを対応付けて管理する管理手段と、
前記個人情報を含むデータに関する統計データを取得するための要求を受信する要求受信手段と、
前記要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す前記可否情報が対応付けられた個人情報を含むデータを、前記管理手段から取得し、前記取得した個人情報を含むデータに対し統計処理を施して前記統計データを求める処理手段と、
前記求められた統計データを、前記要求に対する応答として送信する応答送信手段と、を備え、
前記処理手段は、前記求められた統計データにおいて、度数が閾値以下の階級が存在する場合、階級に含まれる度数が前記閾値を超えるように、前記度数が閾値以下の階級を修正する、
個人情報管理装置。
【請求項２】
前記個人情報を含むデータの登録を受け付ける登録手段と、
前記個人情報を含むデータを登録した本人に対し、前記個人情報を含むデータの利用を許諾するか否かを問い合わせる第１の問合せを送信する問合せ送信手段と、
前記第１の問合せが送信された本人から、前記個人情報を含むデータの利用を許諾するか否かを示す前記可否情報を回答として受信する回答受信手段と、
を備え、
前記管理手段は、前記登録手段が登録を受け付けた前記個人情報を含むデータと、前記回答として受信された前記可否情報とを対応付けて管理する、
請求項１に記載の個人情報管理装置。
【請求項３】
前記要求に係る統計データを求める対象となる個人情報を含むデータのうち、前記可否情報が対応付けられていない個人情報を含むデータが存在する場合、前記管理手段は、前記問合せ送信手段に、前記要求に係る統計データを求める対象となる個人情報を含むデータを登録した本人に対し、利用を許諾するか否かを問い合わせる第２の問合せを送信させ、
前記回答受信手段が、前記第２の問合せが送信された本人から、前記可否情報を回答として受信すると、前記管理手段は、前記第２の問合せが送信された本人の前記個人情報を含むデータと、受信した前記可否情報とを対応付けて管理する、
請求項２に記載の個人情報管理装置。
【請求項４】
前記要求受信手段は、前記受信した要求が、前記個人情報を提供した本人を特定することが容易なデータを取得するための要求であるか否かを、予め定められた基準と比較して判断し、前記受信した要求が、前記個人情報を提供した本人を特定することが容易なデータを取得するための要求と判断すると、当該要求を棄却する、
請求項１から３のいずれか１項に記載の個人情報管理装置。
【請求項５】
前記個人情報を含むデータを登録した本人の所在及び前記個人情報管理装置の所在と、前記統計データを取得するための要求を送信した要求者の所在とは、地理的に異なる地域に属する、
請求項１から４のいずれか１項に記載の個人情報管理装置。
【請求項６】
登録受付装置と、管理装置と、要求受付装置と、処理装置とがネットワークを介して通信可能に接続された個人情報管理システムであって、
前記登録受付装置は、
個人情報を含むデータの登録を受け付ける登録手段と、
前記個人情報を含むデータを登録した本人に対し、前記個人情報を含むデータの利用を許諾するか否かを問い合わせる第１の問合せを送信する問合せ送信手段と、
前記第１の問合せが送信された本人から、前記個人情報を含むデータの利用を許諾するか否かを示す可否情報を回答として受信する回答受信手段と、を備え、
前記管理装置は、
前記個人情報を含むデータと、前記可否情報とを対応付けて管理する管理手段を備え、
前記要求受付装置は、
前記個人情報を含むデータに関する統計データを取得するための要求を受信する要求受信手段と、
求められた統計データを、前記要求に対する応答として送信する応答送信手段とを備え、
前記処理装置は、
前記要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す前記可否情報が対応付けられた個人情報を含むデータを、前記管理手段から取得し、前記取得した個人情報を含むデータに対し統計処理を施して前記統計データを求める処理手段を備え、
前記処理手段は、前記求められた統計データにおいて、度数が閾値以下の階級が存在する場合、階級に含まれる度数が前記閾値を超えるように、前記度数が閾値以下の階級を修正する、
個人情報管理システム。
【請求項７】
要求受信手段が、個人情報を含むデータに関する統計データを取得するための要求を受信し、
処理手段が、前記個人情報を含むデータと、当該個人情報を含むデータの利用を許諾するか否かを示す可否情報とを対応付けて管理する管理手段から、前記要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す前記可否情報が対応付けられた個人情報を含むデータを取得し、前記取得した個人情報を含むデータに対し統計処理を施して前記統計データを求め、
応答送信手段が、前記求められた統計データを、前記要求に対する応答として送信し、
前記処理手段は、前記求められた統計データにおいて、度数が閾値以下の階級が存在する場合、階級に含まれる度数が前記閾値を超えるように、前記度数が閾値以下の階級を修正する、
個人情報管理方法。
【請求項８】
コンピュータを、
個人情報を含むデータに関する統計データを取得するための要求を受信する要求受信手段、
前記個人情報を含むデータと、当該個人情報を含むデータの利用を許諾するか否かを示す可否情報とを対応付けて管理する管理手段から、前記要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す前記可否情報が対応付けられた個人情報を含むデータを取得し、前記取得した個人情報を含むデータに対し統計処理を施して前記統計データを求める処理手段、
前記求められた統計データを、前記要求に対する応答として送信する応答送信手段、として機能させ、
前記処理手段を、前記求められた統計データにおいて、度数が閾値以下の階級が存在する場合、階級に含まれる度数が前記閾値を超えるように、前記度数が閾値以下の階級を修正する、
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報管理装置、個人情報管理システム、個人情報管理方法及びプログラムに関する。
【背景技術】
【０００２】
各国の個人情報保護法は、個人情報は、その利用目的について個人情報を提供する本人の同意があれば、利用できることが規定されている。また、同意を得た個人情報について統計処理のような加工処理を行って、個人情報を提供した本人を特定することができないようにしたデータは、国内又は国外へ流通させることができる。
【０００３】
個人情報を提供した本人を特定することができないように、個人情報に関するデータについて統計データを求める技術が種々提案されている。例えば、特許文献１には、個人情報が含まれるアンケート結果について、年齢及び性別等の個人情報に関する部分は秘匿にして統計データを求める技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特願２０１６−０１４９６３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のような技術では、個人情報を含むデータについて統計処理を行ったデータに極めて少数の階級が存在した場合、その階級に含まれるデータを提供した者が、何らかの公知情報から特定されてしまうリスクが生じる。
【０００６】
本発明は、上記課題に鑑みてなされたものであり、個人情報を含むデータについて統計処理を行ったデータにおいて、個人情報を提供した本人が特定されるリスクを回避することが可能な個人情報管理装置、個人情報管理システム、個人情報管理方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明に係る個人情報管理装置は、
個人情報を含むデータと、当該個人情報を含むデータの利用を許諾するか否かを示す可否情報とを対応付けて管理する管理手段と、
前記個人情報を含むデータに関する統計データを取得するための要求を受信する要求受信手段と、
前記要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す前記可否情報が対応付けられた個人情報を含むデータを、前記管理手段から取得し、前記取得した個人情報を含むデータに対し統計処理を施して前記統計データを求める処理手段と、
前記求められた統計データを、前記要求に対する応答として送信する応答送信手段と、を備え、
前記処理手段は、前記求められた統計データにおいて、度数が閾値以下の階級が存在する場合、階級に含まれる度数が前記閾値を超えるように、前記度数が閾値以下の階級を修正する。
【発明の効果】
【０００８】
本発明によれば、個人情報を提供した本人が特定されるリスクがある統計データが得られたとしても、階級を修正することにより、統計処理後データから個人特定されるリスクを無くすとともに、統計データから得られる情報は欠落しないようにすることができる。
【図面の簡単な説明】
【０００９】
【図１】実施形態１に係る個人情報管理装置と、本人端末と、要求者端末との関係を示す図
【図２】実施形態１に係る個人情報管理装置のブロック図
【図３】実施形態１に係る個人情報管理装置の機能構成を示すブロック図
【図４】実施形態１に係る個人情報管理装置が個人情報を所有する本人に送信するメッセージの例を示す図
【図５】実施形態１に係る個人情報データの例を示す図
【図６Ａ】実施形態１に係る個人情報管理装置が求めた度数分布を示す図
【図６Ｂ】図６Ａの度数分布の階級を修正した度数分布を示す図
【図７Ａ】実施形態１に係る個人情報管理装置が求めた度数分布を示す図
【図７Ｂ】図７Ａの度数分布の階級を修正した度数分布を示す図
【図８Ａ】実施形態１に係る個人情報管理装置が実行する個人情報管理処理を示すフローチャート
【図８Ｂ】実施形態１に係る個人情報管理装置が実行する個人情報管理処理を示すフローチャート
【図９】実施形態２に係る個人情報管理システムの機能構成を示すブロック図
【図１０Ａ】実施形態２に係る個人情報管理システムにおける、登録受付装置と、管理装置と、要求受付装置と、処理装置との間で実行される処理の流れを示すシーケンス図
【図１０Ｂ】実施形態２に係る個人情報管理システムにおける、登録受付装置と、管理装置と、要求受付装置と、処理装置との間で実行される処理の流れを示すシーケンス図
【発明を実施するための形態】
【００１０】
（実施形態１）
実施形態１に係る個人情報管理装置１００は、個人情報を提供した本人が特定されないように提供された個人情報を含むデータを加工する装置である。図１を参照して、個人情報管理装置１００と、個人情報を含むデータを提供する本人が使用する本人端末２００と、個人情報を含むデータに関して統計データを要求する要求者が使用する要求者端末３００との関係について説明する。
【００１１】
個人情報管理装置１００は、ネットワーク４００−１を介して複数の本人端末２００と通信し、ネットワーク４００−２を介して複数の要求者端末３００と通信する。個人情報管理装置１００は、本人端末２００から個人情報を含むデータを受信し、受信したデータを管理する。また、個人情報管理装置１００は、要求者端末３００から、個人情報を含むデータについて統計データを求める要求を受信し、要求された統計データを求める処理を行い、得られた統計データを要求者端末３００に送信する。
【００１２】
ここで、個人情報とは、単独又は組み合わせにより個人を特定することが可能な情報であり、例えば、氏名、住所、メールアドレス、電話番号、性別、年齢等である。また、個人情報を含むデータとは、個人情報と、その個人情報を所有する本人により提供される種々のデータとが含まれたデータである。なお、個人情報を含むデータには、個人情報の代わりに、或いは、個人情報と共にセンシティブデータが含まれてもよい。センシティブデータとは、プライバシーの観点から、慎重に扱われるべき情報であり、例えば、思想に関する事項の情報、障害又は犯罪歴のような社会的差別の原因となる事項の情報、医療に関する事項の情報等である。また、個人情報を提供した本人とは、提供した個人情報により特定される人物のことである。
【００１３】
本人端末２００は、個人情報の所有者である本人が使用する端末装置である。
【００１４】
要求者端末３００は、個人情報管理装置１００に対し、個人情報を含むデータに関してデータの提供を要求する者が使用する端末装置である。以下、データの提供を要求する者を、「要求者」という。
【００１５】
ネットワーク４００−１，４００−２は、無線又は有線による通信ネットワークであり、例えば、インターネット、イントラネット、エクストラネット、ＬＡＮ（Local Area Network）、ＶＰＮ（Virtual Private Network）、電話回線網等である。
【００１６】
本実施形態において、個人情報管理装置１００は、空気調和機を操作したユーザの個人情報と、ユーザの操作履歴とを管理するものとする。また、本人端末２００は、空気調和機を操作するユーザが使用する端末であり、本人端末２００には、空気調和機を操作するためのアプリケーションがインストールされているものとする。ユーザは、アプリケーションを介して、個人情報管理装置１００に対し、個人情報の登録及び操作履歴の提供を行う。また、要求者端末３００は、空気調和機の操作について統計データを要求する、個人、企業、公共団体等の要求者が使用する端末であるものとする。
【００１７】
例えば、個人情報管理装置１００は、サーバコンピュータであり、本人端末２００及び要求者端末３００は、パーソナルコンピュータ、スマートフォン、タブレット端末等である。
【００１８】
また、個人情報を含むデータを登録した本人の所在及び個人情報管理装置の所在と、統計データを取得するための要求を送信した要求者の所在とは、地理的に異なる地域に属するものとする。地理的に異なる地域とは、例えば、市区町村、州、国等の異なる地域を指す。本実施形態では、空気調和機を操作するユーザと個人情報管理装置１００は地域Ａに存在し、統計データを要求する企業Ｘは地域Ｂに存在するものとする。そして、地域Ｂを所在地とする企業Ｘは、地域Ａにおける空気調和機の操作状況を知るために、個人情報管理装置１００に、地域Ａ在住のユーザの操作状況に関する統計データを要求する。
【００１９】
次に、図２を参照して、個人情報管理装置１００の物理的な構成について説明する。
【００２０】
図２に示すように、個人情報管理装置１００は、個人情報を管理するための処理を行うＣＰＵ（Central Processing Unit）１１と、プログラムを記憶するＲＯＭ（Read Only Memory）１２と、作業領域であるＲＡＭ（Random Access Memory）１３と、データを読み書き可能なメモリ１４と、ネットワークに接続するためのネットワークインタフェース１５とを備える。個人情報管理装置１００が備える各構成要素は、バスを介して相互に接続される。
【００２１】
ＣＰＵ１１は、個人情報管理装置１００の全体の動作を制御する。ＣＰＵ１１は、ＲＯＭ１２に格納されているプログラムに従って動作し、ＲＡＭ１３をワークエリアとして使用する。
【００２２】
ＲＯＭ１２は、個人情報管理装置１００の全体の動作を制御するためのプログラム及びデータを記憶する。
【００２３】
ＲＡＭ１３は、ＣＰＵ１１のワークエリアとして機能する。つまり、ＣＰＵ１１は、ＲＡＭ１３にプログラム及びデータを一時的に書き込み、これらのプログラム及びデータを適宜参照する。
【００２４】
メモリ１４は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、フラッシュメモリ等の読み書き可能な不揮発性メモリである。メモリ１４には、個人情報データ１４ａが格納される。個人情報データ１４ａは、本人端末２００のユーザから提供された個人情報が含まれるデータである。
【００２５】
ネットワークインタフェース１５は、個人情報管理装置１００を、ネットワーク４００−１，４００−２に接続するためのインタフェースである。ネットワークインタフェース１５は、ＮＩＣ（Network Interface Card）のようなＬＡＮ（Local Area Network）インタフェースを備える。
【００２６】
次に、図３を参照して、個人情報管理装置１００の機能について説明する。個人情報管理装置１００は、機能的には、個人情報を含むデータの登録を受け付ける登録部１０１と、個人情報を含むデータの利用の可否を問い合わせる問合せ送信部１０２と、問合せに対する回答を受信する回答受信部１０３と、個人情報を含むデータを管理する管理部１０４と、個人情報を含むデータに関する要求を受信する要求受信部１０５と、要求に基づいて統計データを求める処理部１０６と、統計データを要求に対する応答として送信する応答送信部１０７とを備える。
【００２７】
登録部１０１は、個人情報を含むデータの登録を受け付ける。登録部１０１は、ＣＰＵ１１とネットワークインタフェース１５とが協働することにより実現される。なお、登録部１０１は、登録手段の一例である。
【００２８】
本実施形態では、個人情報を含むデータとは、空気調和機を操作するユーザの個人情報と、ユーザによる空気調和機の操作履歴である。
【００２９】
ユーザは、アプリケーションを介して初めて空気調和機を操作するときに、個人情報の登録を求められるものとする。登録部１０１は、初回操作時に個人情報の登録を受け付ける。また、アプリケーションを介して空気調和機を操作すると、その都度、操作履歴が本人端末２００から送信され、登録部１０１は、送信された操作履歴を受信する。
【００３０】
問合せ送信部１０２は、個人情報を含むデータを登録した本人に対し、個人情報を含むデータの利用の可否を問い合わせる第１の問合せを送信する。問合せ送信部１０２は、ＣＰＵ１１とネットワークインタフェース１５とが協働することにより実現される。なお、問合せ送信部１０２は、問合せ送信手段の一例である。
【００３１】
第１の問合せとは、個人情報を含むデータを登録したユーザに対し、本人が特定されないように個人情報を含むデータを加工することを条件に、加工されたデータを第三者が利用することを許諾するか否かを問い合わせるものであって、個人情報の登録時に送信されるものである。
【００３２】
例えば、問合せ送信部１０２は、登録操作が行われた本人端末２００に、図４に示すメッセージ２０を送信する。メッセージ２０には、個人情報を提供したユーザが特定されないように加工することを条件に、個人情報及び操作履歴のデータの利用について承認を求めるテキスト２１と、利用の可否を回答するためのボタン画像２２、２３とが含まれる。
【００３３】
図３の回答受信部１０３は、第１の問合せが送信された本人から、個人情報を含むデータの利用を許諾するか否かを示す可否情報を回答として受信する。回答受信部１０３は、ＣＰＵ１１とネットワークインタフェース１５とが協働することにより実現される。なお、回答受信部１０３は、回答受信手段の一例である。
【００３４】
可否情報とは、個人情報を含むデータの利用を許諾するか否かを問い合わせた結果を示すものである。具体的には、可否情報は、ボタン画像２２、２３に対応付けられた情報が示すものであり、ボタン画像２２には利用を許諾することを示す情報、ボタン画像２３には利用を許諾しないことを示す情報が対応付けられている。
【００３５】
本人端末２００において、問合せ送信部１０２が送信したメッセージ２０が画面に表示され、ユーザによりボタン画像２２、２３のいずれかが選択されると、本人端末２００から選択されたボタン画像２２、２３に対応付けられた情報が送信される。回答受信部１０３は、本人端末２００から、選択されたボタン画像２２、２３に対応付けられた情報、すなわち、可否情報を受信する。
【００３６】
回答受信部１０３が回答を受信すると、管理部１０４は、個人情報を含むデータと、回答として受信された可否情報とを対応付けて管理する。管理部１０４は、ＣＰＵ１１により実現される。なお、管理部１０４は、管理手段の一例である。
【００３７】
以下、個人情報と空気調和機の操作履歴と可否情報とが対応付けられたデータを「個人情報データ」という。図５に、管理部１０４が管理する個人情報データの例を示す。図５に示す個人情報データは、メモリ１４に格納される。管理部１０４は、回答受信部１０３が回答を受信するたびに、あるいは、登録部１０１が操作履歴の登録を受け付けるたびに、管理部１０４がメモリ１４に書き込みを行う。
【００３８】
図５のテーブルは、個人情報の所有者であるユーザに割り当てられたＩＤと、ユーザの氏名、住所、メールアドレス、性別及び年齢と、可否情報と、空気調和機の操作履歴とを含む。可否情報の「可」は、本人が特定されないように個人情報データを加工することを条件に、個人情報データの利用が許諾されたことを示し、可否情報の「不可」は、個人情報データの利用の許諾が得られなかったことを示すものとする。また、操作履歴は、ユーザが空気調和機を操作した操作時刻と、設定した温度とを含む。操作履歴は、登録部１０１が操作履歴の登録を受け付けるたびに、図５の個人情報データに追加される。
【００３９】
図５のテーブルの一行目のレコードは、ＩＤ“１”が割り当てられたユーザの個人情報は、氏名“○○  ×子”、住所“Ａ市ａ地区”、メールアドレス“ａａａ＠ａａａ．ｃｏｍ”、性別“女性”及び年齢“２９”であり、このユーザは、個人情報を含むデータの利用を許可し、２０１８年１２月１日の６時に空気調和機に対し設定温度を２５度とする操作を行ったことを示す。
【００４０】
図３の要求受信部１０５は、個人情報を含むデータに関する統計データを取得するための要求を受信する。要求受信部１０５は、ＣＰＵ１１とネットワークインタフェース１５とが協働することにより実現される。なお、要求受信部１０５は、要求受信手段の一例である。
【００４１】
個人情報を含むデータに関する統計データとは、管理部１０４が管理する個人情報データについて、統計処理が施されたデータである。要求受信部１０５が受信する要求には、取得を希望する統計データの条件が指定されている。
【００４２】
例えば、要求受信部１０５は、ある企業が使用する要求者端末３００から、“Ａ市ｂ地区に在住の女性のユーザであって、午前５時〜午前８時の時間帯に、空気調和機を操作した人の数”を求める要求を受信する。
【００４３】
また、個人情報管理装置１００は、要求者端末３００から、個人情報を提供した本人を特定することが容易なデータを取得するための要求を受信する場合がある。個人情報を提供した本人を特定することが容易なデータとは、例えば、氏名、住所、メールアドレス、電話番号及びそれらの組み合わせのデータである。一方、個人情報の本人を特定することが容易でないデータとは、個人情報を含むデータについて統計処理が施された統計データである。要求受信部１０５は、受信した要求が、個人情報を提供した本人を特定することが容易なデータを取得するための要求であるか否かを、予め定められた基準と比較して判断する。例えば、予め定められた基準が、「氏名、住所、メールアドレス又は電話番号の取得」の場合、住所の取得が要求されると、要求受信部１０５は、本人を特定することが容易なデータを取得するための要求と判断する。
【００４４】
要求受信部１０５は、個人情報の本人を特定することが容易なデータを取得するための要求を受信した場合、当該要求を棄却する。そして、要求受信部１０５は、要求者端末３００に、要求が棄却された旨のメッセージを送信する。
【００４５】
処理部１０６は、要求に係る統計データを求める対象となる個人情報を含むデータであって、利用が許諾されたことを示す可否情報が対応付けられた個人情報を含むデータを、管理部１０４から取得する。そして、処理部１０６は、取得した個人情報を含むデータに対し統計処理を施して統計データを求める。処理部１０６は、ＣＰＵ１１により実現される。なお、処理部１０６は、処理手段の一例である。
【００４６】
例えば、“Ａ市ｂ地区に在住の女性のユーザであって、午前５時〜午前８時の時間帯に空気調和機を操作した人の数”を求める要求が受信された場合、処理部１０６は、管理部１０４に、住所が“Ａ市ｂ地区”で性別が“女性”に該当する個人情報を有し、午前５時〜午前８時の時間帯の操作履歴を有するデータの抽出を求める。管理部１０４は、図５の個人情報データから、処理部１０６より求められた条件に該当する個人情報データを検索する。
【００４７】
条件に該当する個人情報データのうち、可否情報が対応付けられていない個人情報データが存在する場合、管理部１０４は、問合せ送信部１０２に、要求に係る統計データを求める対象となる個人情報を提供した本人に対し、利用の可否を問い合わせる第２の問合せを送信させる。
【００４８】
第２の問合せとは、個人情報を含むデータを登録したユーザに対し、本人が特定されないように個人情報を含むデータを加工することを条件に、加工されたデータを第三者が利用することを許諾するか否かを問い合わせるものであって、統計データの要求を受信した後に送信されるものである。第２の問合せの内容は、第１の問合せとして送信される図４のメッセージと同じものとする。
【００４９】
例えば、管理部１０４が、図５のＩＤ“４”のユーザは、要求された条件に該当する個人情報データを有するが、可否情報が登録されていないと判断すると、問合せ送信部１０２は、ＩＤ“４”のユーザ宛てに、図４に示すメッセージを送信する。
【００５０】
そして、回答受信部１０３が、第２の問合せが送信された本人から、可否情報を回答として受信すると、管理部１０４は、第２の問合せが送信された本人の個人情報を含むデータと、受信した可否情報とを対応付けて管理する。
【００５１】
具体的には、ＩＤ“４”のユーザが、利用を許諾したことを示す回答を送信したとすると、回答受信部１０３は、この回答を受信し、管理部１０４は、図５の個人情報データにおいて、ＩＤ“４”の可否情報の値を“可”と書き込む。そして、管理部１０４は、処理部１０６より求められた条件に該当する個人情報データであって、可否情報が“可”と登録されている個人情報データを抽出する。
【００５２】
処理部１０６は、管理部１０４が抽出した個人情報データに基づいて、図６Ａに示すように、年齢を階級とする度数分布を求める。
【００５３】
一般的に、統計データからは個人情報を含むデータを提供した本人を特定することはできない。しかしながら、図６Ａの年齢“２９”の階級のように該当者が１人の階級の場合、なんらかの公知情報により、個人情報データを提供した本人が特定されてしまうリスクがある。例えば、統計データの要求者が、Ａ市ｂ地区に在住する２９歳の女性で、空気調和機を所持する人物を知っていた場合、要求者が知っている人物と特定されるリスクがある。
【００５４】
そこで、処理部１０６は、求められた統計データにおいて、度数が閾値以下の階級が存在する場合、当該階級に含まれる度数が閾値を超えるように当該階級を修正する。閾値は、閾値以下の度数を有する階級にデータが含まれると、データを提供した本人が特定されるリスクのある値である。この閾値は、個人情報管理装置１００の管理者が適宜設定することができる。本実施形態では、閾値は“１”とする。
【００５５】
具体的には、処理部１０６は、図６Ｂに示すように、度数が“１”の年齢“２９”の階級を隣接する年齢“２８”の階級と統合し、他の階級についても同様に隣接する階級と統合する。年齢“２９”のデータは、階級“２８〜２９”に含まれ、階級“２８〜２９”の度数は“４”となる。このように階級を修正することにより、度数が“１”の階級はなくなり、要求者に提供される統計データから個人情報を提供した本人が特定されるリスクを回避することができる。
【００５６】
なお、処理部１０６が求める度数分布の階級は連続量に限らない。例えば、“Ａ市に在住の３０歳の女性ユーザであって、午前５時〜午前８時の時間帯に空気調和機を操作した人の数”を求める要求を受信した場合、処理部１０６は、図７Ａに示すように、Ａ市に含まれる地区を階級とする度数分布を求める。そして、処理部１０６は、階級“ｊ地区”の度数が“１”となるので、隣接する階級“ｉ地区”と統合し、他の階級についても同様に隣接する階級と統合し、図７Ｂの度数分布を求める。
【００５７】
応答送信部１０７は、求められた統計データを、要求に対する応答として送信する。応答送信部１０７は、ＣＰＵ１１とネットワークインタフェース１５とが協働することにより実現される。なお、応答送信部１０７は、応答送信手段の一例である。
【００５８】
具体的には、受信した要求が“Ａ市ｂ地区に在住の女性のユーザであって、午前５時〜午前８時の時間帯に空気調和機を操作した人の数”を求める要求であった場合、応答送信部１０７は、図６Ｂに示す度数分布のデータを、応答として要求者端末３００に送信する。
【００５９】
次に、本実施形態に係る個人情報管理装置１００が実行する個人情報管理処理を、図８Ａ及び図８Ｂのフローチャートを用いて説明する。個人情報管理装置１００の電源が投入されると、図８Ａ及び図８Ｂに示す個人情報管理処理が開始される。
【００６０】
登録部１０１は、個人情報を含むデータの登録を受け付けたか否かを判断する（ステップＳ１０１）。具体的には、ユーザがアプリケーションを介して空気調和機を操作すると、アプリケーションが動作する本人端末２００から、操作履歴が個人情報管理装置１００に送信される。この場合、登録部１０１は、個人情報を含むデータの登録を受け付けたと判断する。
【００６１】
登録部１０１が個人情報を含むデータの登録を受け付けたと判断すると（ステップＳ１０１；ＹＥＳ）、次に、登録部１０１は、個人情報を含むデータの初回の登録であるか否かを判断する（ステップＳ１０２）。登録部１０１が初回の登録と判断すると（ステップＳ１０２；ＹＥＳ）、問合せ送信部１０２は、個人情報を含むデータを登録した本人の本人端末２００に対し、個人情報を含むデータの利用の可否を問い合わせる第１の問合せを送信する（ステップＳ１０３）。一方、登録部１０１が初回の登録でないと判断すると（ステップＳ１０２；ＮＯ）、管理部１０４は、受け付けた個人情報を含むデータをメモリ１４に格納する（ステップＳ１０６）。
【００６２】
ステップＳ１０３において、問合せ送信部１０２から第１の問合せが送信されると、回答受信部１０３は、第１の問合せが送信された本人から、可否を示す可否情報を含む回答を受信したか否かを判断する（ステップＳ１０４）。回答受信部１０３は、定められた期間だけ、回答を受信するまで待機する。回答受信部１０３が待機する期間は、個人情報管理装置１００の管理者が予め設定することができる。回答受信部１０３が回答を受信したと判断すると（ステップＳ１０４；ＹＥＳ）、管理部１０４は、登録部１０１が受け付けた個人情報を含むデータと、回答受信部１０３が受信した可否情報とを対応付けて、メモリ１４に格納する（ステップＳ１０５）。一方、回答受信部１０３が定められた期間待機しても回答を受信しないと判断すると（ステップＳ１０４；ＮＯ）、処理部１０６は、受け付けた個人情報を含むデータのみをメモリ１４に格納する（ステップＳ１０６）。
【００６３】
ステップＳ１０１において、登録部１０１が個人情報を含むデータの登録を受け付けていないと判断すると（ステップＳ１０１；ＮＯ）、要求受信部１０５は、個人情報を含むデータについての要求を受信したか否かを判断する（ステップＳ１０７）。要求受信部１０５が個人情報を含むデータについての要求を受信したと判断すると（ステップＳ１０７；ＹＥＳ）、要求受信部１０５は、受信した要求が、個人情報の本人を特定することが容易なデータを取得するための要求か否かを判断する（ステップＳ１０８）。一方、要求受信部１０５が個人情報を含むデータについての要求を受信していないと判断すると（ステップＳ１０７；ＮＯ）、ステップＳ１０１に戻る。
【００６４】
ステップＳ１０８において、要求受信部１０５が、受信した要求を個人情報の本人を特定することが容易なデータを取得するための要求と判断すると（ステップＳ１０８；ＹＥＳ）、要求受信部１０５は、当該要求を棄却し、要求が棄却された旨のメッセージを、要求を送信した要求者端末３００に送信する（ステップＳ１０９）。一方、要求受信部１０５が、受信した要求を個人情報の本人を特定することが容易なデータを取得するための要求でない、すなわち個人情報を含むデータに関する統計データの要求と判断すると（ステップＳ１０８；ＮＯ）、処理部１０６は、要求された統計データを求める対象となる個人情報が含まれるデータの抽出を管理部１０４に要求する（ステップＳ１１０）。
【００６５】
処理部１０６から要求を受け付けた管理部１０４は、メモリ１４に格納された図５の個人情報データを参照して、要求者により指定された条件に該当する該当者を検索する（ステップＳ１１１）。
【００６６】
管理部１０４は、変数ｉを初期化し（ステップＳ１１２）、変数ｉをインクリメントする（ステップＳ１１３）。そして、管理部１０４は、該当者ｉについて可否情報が登録されているか否か、図５の個人情報データの可否情報の列を参照して判断する（ステップＳ１１４）。管理部１０４は、図５の個人情報データにおいて、該当者の可否情報に“可”又は“不可”のフラグが登録されている場合（ステップＳ１１４；ＹＥＳ）、次に、変数ｉが該当者数と等しいか否かを判断する（ステップＳ１１８）。一方、管理部１０４が、図５の個人情報データにおいて、該当者の可否情報に“可”又は“不可”のいずれのフラグも登録されていないと判断した場合（ステップＳ１１４；ＮＯ）、問合せ送信部１０２は、該当者に利用の可否を問い合わせる第２の問合せを送信する（ステップＳ１１５）。
【００６７】
回答受信部１０３は、第２の問合せが送信された本人から、可否情報を回答として受信したか否かを判断する（ステップＳ１１６）。回答受信部１０３は、定められた期間だけ、回答を受信するまで待機する。回答受信部１０３が待機する期間は、個人情報管理装置１００の管理者が予め設定することができる。回答受信部１０３が、可否情報が指定された回答を受信したと判断すると（ステップＳ１１６；ＹＥＳ）、管理部１０４は、受信した回答に指定された可否情報をメモリ１４に書き込む（ステップＳ１１７）。一方、回答受信部１０３が定められた期間待機しても可否情報が指定された回答を受信しないと判断すると（ステップＳ１１６；ＮＯ）、ステップＳ１１８に進む。
【００６８】
ステップＳ１１８において、管理部１０４が変数ｉと該当者数とが等しいと判断すると（ステップＳ１１８；ＹＥＳ）、管理部１０４は、可否情報が更新された個人情報データを参照して、該当者の個人情報データのうち利用許諾された個人情報データを抽出する（ステップＳ１１９）。一方、管理部１０４が変数ｉと該当者数と等しくないと判断すると（ステップＳ１１８；ＮＯ）、ステップＳ１１３からステップＳ１１７までの処理を繰り返す。
【００６９】
ステップＳ１１９において、利用許諾された個人情報データが抽出されると、処理部１０６は、抽出された個人情報データについて、要求者により要求された統計データを求める（ステップＳ１２０）。そして、処理部１０６は、求めた統計データにおいて、度数が閾値以下の階級があるか否かを判断する（ステップＳ１２１）。処理部１０６が、度数が閾値以下の階級があると判断すると（ステップＳ１２１；ＹＥＳ）、処理部１０６は、階級に含まれる度数が閾値を超えるように階級を修正し（ステップＳ１２２）、応答送信部１０７は、階級を修正した統計データを応答として、要求を送信した要求者端末３００に送信する（ステップＳ１２３）。一方、処理部１０６が、度数が閾値以下の階級がないと判断すると（ステップＳ１２１；ＮＯ）、応答送信部１０７は、求めた統計データを応答として、要求を送信した要求者端末３００に送信する（ステップＳ１２３）。
【００７０】
本実施形態によれば、個人情報を含むデータから得られた統計データに、データを提供した本人が特定される恐れがある程、度数の少ない階級が含まれる場合、度数を増加させるように階級を修正することにより、個人情報を提供した本人が特定されるリスクを回避することができる。また、階級を修正するが、データの値そのものには修正を加えないので、統計データから得られる情報は欠落しないようにすることができる。
【００７１】
また、本実施形態において、個人情報を提供した本人の特定が容易であるデータの取得が求められた場合は、要求を棄却することにより、個人情報を適切に保護することができる。
【００７２】
また、本実施形態によれば、個人情報を含むデータについて統計データを求める場合は、個人情報の所有者である本人の利用許諾を得たデータのみ扱うことにより、本人及び個人情報管理装置と要求者との所在が異なる場合であっても地域を跨いで統計データを流通させることができる。
【００７３】
また、本実施形態において、統計データを取得するための要求を受け付けてから、個人情報を含むデータの利用許諾が得られていないユーザに対して再度利用の可否を問い合わせるので、統計データのサンプル数を増やすことができる。
【００７４】
（実施形態２）
実施形態２に係る個人情報管理システムは、実施形態１に係る個人情報管理装置の機能を、複数の装置により実現するシステムである。
【００７５】
図９に示すように、実施形態２に係る個人情報管理システム１は、個人情報含むデータの登録を受け付ける登録受付装置５００と、個人情報を含むデータを管理する管理装置６００と、個人情報を含むデータに関する要求を受け付ける要求受付装置７００と、要求に応じて個人情報を含むデータについて統計処理を行う処理装置８００と、を含む。
【００７６】
本実施形態において、本人端末２００及び個人情報管理システム１は地域Ａに存在し、要求者端末３００は地域Ｂに存在する。
【００７７】
登録受付装置５００は、機能的には、実施形態１の登録部１０１、問合せ送信部１０２及び回答受信部１０３を含む。
【００７８】
管理装置６００は、機能的には、実施形態１の管理部１０４を含む。また、管理装置６００のメモリ１４に、図５の個人情報データが格納される。
【００７９】
要求受付装置７００は、機能的には、実施形態１の要求受信部１０５及び応答送信部１０７を含む。
【００８０】
処理装置８００は、機能的には、実施形態１の処理部１０６を含む。
【００８１】
なお、実施形態１の登録部１０１は個人情報を含むデータを管理部１０４に渡し、実施形態１の回答受信部１０３は第１の問合せに対する回答に指定された可否情報を管理部１０４に渡していたが、実施形態２においては、登録部１０１は個人情報を含むデータを処理装置８００に、回答受信部１０３は第１の問合せに対する回答に指定された可否情報を処理装置８００に送信する。そして、実施形態２において、管理装置６００の管理部１０４は、処理装置８００から個人情報を含むデータ及び第１の問合せに対する回答に指定された可否情報を受信し、処理装置８００からの要求に従って個人情報データを管理する。
【００８２】
図１０Ａ及び図１０Ｂを参照して、本実施形態に係る個人情報管理システム１の動作について説明する。図１０Ａ及び図１０Ｂは、登録受付装置５００、管理装置６００、要求受付装置７００及び処理装置８００の間で実行される処理の流れを示すシーケンス図である。図１０Ａに示す処理は、本人端末２００からの登録又は操作履歴の送信を契機として開始され、図１０Ｂに示す処理は、要求者端末３００が要求を送信することを契機として開始される。
【００８３】
まず、図１０Ａに示す処理について説明する。登録受付装置５００は、本人端末２００から個人情報を含む登録要求を受信すると（ステップＳ２０１）、登録受付装置５００は、処理装置８００に個人情報を送信する（ステップＳ２０２）。処理装置８００は、可否情報の確認を求める指示を登録受付装置５００に送信する（ステップＳ２０３）。登録受付装置５００は、指示を受信すると、可否情報の問合せメッセージを送信する（ステップＳ２０４）。問合せメッセージを受信したユーザは本人端末２００において可否を入力し（ステップＳ２０５）、本人端末２００から可否情報が指定された回答が送信される。登録受付装置５００は、可否情報が指定された回答を受信すると（ステップＳ２０６）、処理装置８００に可否情報を送信する（ステップＳ２０７）。処理装置８００は、個人情報と可否情報と対応付けて登録する指示を管理装置６００に送信し（ステップＳ２０８）、管理装置６００は、メモリ１４に個人情報と可否情報と書き込む（ステップＳ２０９）。
【００８４】
また、本人端末２００において、アプリケーションを介して空気調和機が操作されると、登録受付装置５００は、本人端末２００から操作履歴を受信し（ステップＳ２１０）、受信した操作履歴を処理装置８００に送信する（ステップＳ２１１）。処理装置８００は、個人情報及び可否情報に対応付けて操作履歴を登録する指示を管理装置６００に送信し（ステップＳ２１２）、管理装置６００は、メモリ１４に個人情報及び可否情報に対応付けて操作履歴を書き込む（ステップＳ２１３）。
【００８５】
次に、図１０Ｂに示す処理について説明する。要求受付装置７００が、要求者端末３００から、個人情報データについて要求事項が指定された要求を受信すると（ステップＳ２１４）、要求受付装置７００は、要求事項が、個人情報を提供した本人の特定が容易なデータを要求するものであるか否かをチェックする（ステップＳ２１５）。要求受付装置７００は、要求事項が個人情報を提供した本人の特定が容易なデータを要求するものでない、すなわち、統計データを要求するものと判断すると（ステップＳ２１６）、要求受付装置７００は、処理装置８００に要求事項に基づいて統計データを求める要求を送信する（ステップＳ２１７）。一方、要求受付装置７００が、要求事項が個人情報を提供した本人の特定が容易なデータを要求するものと判断すると（ステップＳ２３４）、要求受付装置７００は、受信した要求を棄却し（ステップＳ２３５）、要求者端末３００に棄却した旨のメッセージを応答として送信する（ステップＳ２３６）。
【００８６】
要求受付装置７００から要求が送信されると（ステップＳ２１７）、処理装置８００は、要求事項に該当するデータの送信を求める要求を管理装置６００に送信する（ステップＳ２１８）。管理装置６００は、メモリ１４に格納された図５の個人情報データにおいて、要求事項に該当する者のレコードで可否情報の登録が無いレコードが存在すると判断すると（ステップＳ２１９）、可否情報の登録が無い該当者を抽出し（ステップＳ２２０）、抽出された該当者宛てに可否情報を問い合わせるメッセージを送信する（ステップＳ２２１）。問合せメッセージを受信した該当者は本人端末２００において利用の可否を入力し（ステップＳ２２２）、本人端末２００から可否情報が指定した回答が送信される。登録受付装置５００は、可否情報が指定された回答を受信すると（ステップＳ２２３）、管理装置６００に可否情報を送信する（ステップＳ２２４）。可否情報を受信した管理装置６００は、可否情報を送信した本人の個人情報に対応付けてメモリ１４に可否情報を書き込む（ステップＳ２２５）。
【００８７】
管理装置６００は、ステップＳ２２５の書き込みが終了し、又は、要求事項に該当する者のレコードの全てに可否情報が登録されていると判断すると（ステップＳ２２６）、要求事項に該当するデータのうち図５の個人情報データにおいて可否情報に“可”のフラグが登録されている該当データを抽出し、処理装置８００に送信する（ステップＳ２２７）。処理装置８００は、管理装置６００から受信したデータに対し統計処理を施す（ステップＳ２２８）。処理装置８００は、統計処理を施して得られた統計データにおいて、度数が閾値以下の階級が存在すると判断すると（ステップＳ２２９）、階級の度数が閾値を超えるように当該階級を修正する（ステップＳ２３０）。
【００８８】
処理装置８００は、ステップＳ２３０の階級の修正が終了し、又は、統計データにおいて閾値以下の階級が存在しない判断すると（ステップＳ２３１）、要求受付装置７００に統計データを送信する（ステップＳ２３２）。要求受付装置７００は、受信した統計データを、要求事項を指定した要求者端末３００に送信する（ステップＳ２３３）。
【００８９】
本実施形態に係る個人情報管理システム１は、上記のような構成及び動作により、実施形態１に係る個人情報管理装置１００と同様の効果を奏することができる。
【００９０】
（変形例）
以上、本発明の実施形態を説明したが、本発明を実施するにあたっては、種々の形態による変形及び応用が可能である。
【００９１】
実施形態１において、図１の個人情報管理装置１００及び本人端末２００はネットワーク４００−１に接続し、個人情報管理装置１００及び要求者端末３００はネットワーク４００−２に接続しているがこれに限らない。個人情報管理装置１００と本人端末２００と要求者端末３００とは同じネットワークに接続されていてもよい。
【００９２】
また、上記実施形態において、問合せ送信部１０２は、要求された条件に該当する個人情報データのうち、可否情報が対応付けられていない個人情報データが存在する場合に、利用の可否を問い合わせる第２の問合せを送信するとしたが、この処理を省略してもよい。これにより、第２の問合せに対する回答の受信を待機する時間が無くなるので、統計データを提供するタイミングを早めることができる。
【００９３】
また、上記実施形態において、第２の問合せにおいて、統計データを求めるために必要なデータを指定して、必要なデータのみの利用の可否を問い合わせるようにしてもよい。例えば、要求者から住所、性別及び操作履歴に関する統計データが要求されている場合、問合せ送信部１０２は、要求されている統計データを求める対象となる対象者であって、可否情報が登録されていない対象者宛てに、住所、性別及び操作履歴のみに関するデータの利用の可否を問い合わせるメッセージを送信する。これにより、個人情報を含むデータの特定の項目について第三者に利用されることに抵抗がないユーザから、利用許諾を受けやすくすることができる。
【００９４】
また、上記実施形態において、登録部１０１、問合せ送信部１０２、回答受信部１０３、管理部１０４、要求受信部１０５、処理部１０６及び応答送信部１０７の一部又は全部は、クラウドサーバ上に設けてもよい。
【００９５】
また、実施形態１に係る個人情報管理装置１００の動作を規定する動作プログラムを既存のパーソナルコンピュータ又は情報端末装置に適用することで、当該パーソナルコンピュータ又は情報端末装置を実施形態１に係る個人情報管理装置１００として機能させることも可能である。
【００９６】
また、このようなプログラムの配布方法は任意であり、例えば、ＣＤ−ＲＯＭ（Compact Disk Read-Only Memory）、ＤＶＤ（Digital Versatile Disk）、メモリカード等のコンピュータ読み取り可能な記録媒体に格納して配布してもよいし、インターネットのような通信ネットワークを介して配布してもよい。
【００９７】
本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施形態及び変形が可能とされるものである。また、上述した実施形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。つまり、本発明の範囲は、実施形態ではなく、請求の範囲によって示される。そして、請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、本発明の範囲内とみなされる。
【産業上の利用可能性】
【００９８】
本発明は、個人情報を提供した本人が特定されるリスクを回避することが可能な個人情報管理装置、個人情報管理システム、個人情報管理方法及びプログラムを提供することができる。
【符号の説明】
【００９９】
１  個人情報管理システム、１１  ＣＰＵ、１２  ＲＯＭ、１３  ＲＡＭ、１４  メモリ、１５  ネットワークインタフェース、２０  メッセージ、２１  テキスト、２２，２３  ボタン画像、１００  個人情報管理装置、１０１  登録部、１０２  問合せ送信部、１０３  回答受信部、１０４  管理部、１０５  要求受信部、１０６  処理部、１０７  応答送信部、２００  本人端末、３００  要求者端末、４００−１，４００−２  ネットワーク、５００  登録受付装置、６００  管理装置、７００  要求受付装置、８００  処理装置
【図１】
2020091634.tif 000003
【図２】
2020091634.tif 000004
【図３】
2020091634.tif 000005
【図４】
2020091634.tif 000006
【図５】
2020091634.tif 000007
【図６Ａ】
2020091634.tif 000008
【図６Ｂ】
2020091634.tif 000009
【図７Ａ】
2020091634.tif 000010
【図７Ｂ】
2020091634.tif 000011
【図８Ａ】
2020091634.tif 000012
【図８Ｂ】
2020091634.tif 000013
【図９】
2020091634.tif 000014
【図１０Ａ】
2020091634.tif 000015
【図１０Ｂ】
2020091634.tif 000016