(57)【要約】      （修正有）【課題】データ管理者が保持する個人情報を含むデータの管理において、ＧＤＰＲなどの法令に基づいた管理を行う上で、個人情報の定義変更又は更新などが発生しても管理コストを低減させる個人情報管理システムを提供する。【解決手段】個人情報管理システムは、所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報と、個人情報としての管理対象の変更を示す変更管理情報と、データの移転元及び移転先を示す移転管理情報と、を保持し、取得対象の個人情報を指定した取得要求を受信すると、データリスト管理情報及び変更管理情報に基づいて、指定された取得対象の個人情報を含む可能性があるデータを特定し、移転管理情報に基づいて、指定された取得対象の個人情報を含む可能性があるデータを保持する全ての移転元及び移転先を特定する。【選択図】図１
2020021133.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサと、前記プロセッサがアクセス可能なメモリと、を有する個人情報管理システムであって、
前記メモリは、
所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報と、
前記個人情報としての管理対象の変更を示す変更管理情報と、
前記データの移転元及び移転先を示す移転管理情報と、を保持し、
前記プロセッサは、
取得対象の個人情報を指定した取得要求を受信すると、前記データリスト管理情報及び前記変更管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを特定し、
前記移転管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを保持する全ての前記移転元及び前記移転先を特定することを特徴とする個人情報管理システム。
【請求項２】
請求項１に記載の個人情報管理システムであって、
前記変更管理情報は、前記個人情報としての管理対象の変更の適用範囲を示す情報を含み、
前記プロセッサは、前記適用範囲に含まれる前記データに関して、前記個人情報としての管理対象の変更を適用した場合の、前記指定された取得対象の個人情報を含む可能性があるデータを特定することを特徴とする個人情報管理システム。
【請求項３】
請求項２に記載の個人情報管理システムであって、
前記データリスト管理情報は、前記データの履歴を管理する情報を含み、
前記適用範囲を示す情報は、前記変更の適用対象の時間範囲を指定する情報を含み、
前記プロセッサは、前記変更の適用対象の時間範囲に含まれる前記データに関して、前記個人情報としての管理対象の変更を適用した場合の、前記指定された取得対象の個人情報を含む可能性があるデータを特定することを特徴とする個人情報管理システム。
【請求項４】
請求項１に記載の個人情報管理システムであって、
前記メモリは、前記データと、前記データに含まれる人物のリストを識別する情報と、前記データに含まれる前記個人情報の項目のリストを識別する情報と、を対応付ける個人情報管理情報をさらに保持し、
前記取得要求は、前記人物のリストを識別する情報及び前記個人情報の項目を取得対象として指定する情報を含み、
前記変更管理情報によって管理される前記個人情報としての管理対象の変更は、管理対象の個人情報の項目の追加又は削除の少なくともいずれかを含み、
前記プロセッサは、前記取得要求に含まれる前記人物のリストを識別する情報に対応する前記データに関して、前記変更管理情報に基づく前記個人情報の項目の追加又は削除が行われた前記個人情報の項目のリストと前記取得要求とを参照することによって、前記指定された取得対象の個人情報を含む可能性がある前記データを特定することを特徴とする個人情報管理システム。
【請求項５】
請求項１に記載の個人情報管理システムであって、
前記移転管理情報は、前記移転先で行われた前記データの変更を示す情報を含み、
前記プロセッサは、前記移転先で行われた前記データの変更を示す情報に基づいて、前記指定された取得対象の個人情報を含む可能性があるデータを保持する前記移転先を特定することを特徴とする個人情報管理システム。
【請求項６】
プロセッサと、前記プロセッサがアクセス可能なメモリと、を有する計算機システムが実行する個人情報管理方法であって、
前記メモリは、
所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報と、
前記個人情報としての管理対象の変更を示す変更管理情報と、
前記データの移転元及び移転先を示す移転管理情報と、を保持し、
前記個人情報管理方法は、
前記プロセッサが、取得対象の個人情報を指定した取得要求を受信すると、前記データリスト管理情報及び前記変更管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを特定する第１手順と、
前記プロセッサが、前記移転管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを保持する全ての前記移転元及び前記移転先を特定する第２手順と、を含むことを特徴とする個人情報管理方法。
【請求項７】
請求項６に記載の個人情報管理方法であって、
前記変更管理情報は、前記個人情報としての管理対象の変更の適用範囲を示す情報を含み、
前記第１手順において、前記プロセッサは、前記適用範囲に含まれる前記データに関して、前記個人情報としての管理対象の変更を適用した場合の、前記指定された取得対象の個人情報を含む可能性があるデータを特定することを特徴とする個人情報管理方法。
【請求項８】
請求項７に記載の個人情報管理方法であって、
前記データリスト管理情報は、前記データの履歴を管理する情報を含み、
前記適用範囲を示す情報は、前記変更の適用対象の時間範囲を指定する情報を含み、
前記第１手順において、前記プロセッサは、前記変更の適用対象の時間範囲に含まれる前記データに関して、前記個人情報としての管理対象の変更を適用した場合の、前記指定された取得対象の個人情報を含む可能性があるデータを特定することを特徴とする個人情報管理方法。
【請求項９】
請求項６に記載の個人情報管理方法であって、
前記メモリは、前記データと、前記データに含まれる人物のリストを識別する情報と、前記データに含まれる前記個人情報の項目のリストを識別する情報と、を対応付ける個人情報管理情報をさらに保持し、
前記取得要求は、前記人物のリストを識別する情報及び前記個人情報の項目を取得対象として指定する情報を含み、
前記変更管理情報によって管理される前記個人情報としての管理対象の変更は、管理対象の個人情報の項目の追加又は削除の少なくともいずれかを含み、
前記第１手順において、前記プロセッサは、前記取得要求に含まれる前記人物のリストを識別する情報に対応する前記データに関して、前記変更管理情報に基づく前記個人情報の項目の追加又は削除が行われた前記個人情報の項目のリストと前記取得要求とを参照することによって、前記指定された取得対象の個人情報を含む可能性がある前記データを特定することを特徴とする個人情報管理方法。
【請求項１０】
請求項６に記載の個人情報管理方法であって、
前記移転管理情報は、前記移転先で行われた前記データの変更を示す情報を含み、
前記第２手順において、前記プロセッサは、前記移転先で行われた前記データの変更を示す情報に基づいて、前記指定された取得対象の個人情報を含む可能性があるデータを保持する前記移転先を特定することを特徴とする個人情報管理方法。
【請求項１１】
プロセッサと、前記プロセッサがアクセス可能なメモリと、を有する計算機システムを制御するためのプログラムであって、
前記メモリは、
所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報と、
前記個人情報としての管理対象の変更を示す変更管理情報と、
前記データの移転元及び移転先を示す移転管理情報と、を保持し、
前記プログラムは、
取得対象の個人情報を指定した取得要求を受信すると、前記データリスト管理情報及び前記変更管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを特定する第１手順と、
前記移転管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを保持する全ての前記移転元及び前記移転先を特定する第２手順と、を前記プロセッサに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば各国の法規制等によって義務化される個人情報の管理など、種々の情報の管理に関する。
【背景技術】
【０００２】
構造化文書を管理する技術として、例えば特開２００８−９０５２８号公報（特許文献１）に記載の技術がある。この公報には、「バイナリデータ格納部は、バイナリデータ登録要求に従い、要求されたＸＭＬ文書に付随されるべきバイナリデータをＸＭＬ文書データベースに格納する。関連付け部は、データベースに格納されているＸＭＬ文書に付随する全バイナリデータを、当該ＸＭＬ文書に対応させてデータベースに格納される管理情報によって、当該ＸＭＬ文書と関連付けて管理する。バイナリデータ取得部は、バイナリデータ取得要求に従い、要求されたＸＭＬ文書に対応させてデータベースに格納されている管理情報に基づき、当該ＸＭＬ文書と関連付けられているバイナリデータを特定し、当該特定されたバイナリデータをデータベースから取得する。」と記載されている（要約参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−９０５２８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ＩｏＴの普及に伴って多種多量のデータが流通し、これらを利用して多くの企業がサービスを行いつつある。例えば、車には多数のセンサが搭載されている。そのセンサは、逐次データを生成し、車メーカー等にデータを送信している。センサのデータには、どの車が、いつ、どこで、どのようなアクションを行ったかといった情報が含まれる。例えば、位置情報を取得するセンサの場合、どの車が、いつ、どこで、どれだけのスピードで移動したか、といった情報が得られる。この情報を元にして、例えばカーナビ事業者が渋滞情報を提供するといったサービスが展開されている。これらのサービスで用いられるセンサのデータは、ある特定の車の情報、及び、その車を契約している個人の情報などが含まれる可能性がある。また昨今スマートフォンの普及で、テキストデータ及び写真データといった情報が、インターネット上に送信されている。これらの情報も、車の例と同じく、個人に対応付けられた情報が含まれている。
【０００５】
このような個人に関する様々な情報が流通する上で、国又はある地域の統合体といった単位で規制をする動きが活発である。例えば、ＥＵでは一般データ保護規則（ＧＤＰＲ）が施行されている。この規則では、処理記録の保持及びデータポータビリティ提供などが、個人情報を扱う事業者に義務化される。違反事業者には巨額の制裁金適用リスクがあるため、欧州に展開する企業も対応を迫られている。
【０００６】
図２１は、個人情報の移転の説明図である。
【０００７】
以下、図２１を用いて、個人に対応付けられたデータ（個人データ又は個人情報と記載する）を収集した事業者が、そのデータを別の事業者や、他拠点へデータを送付等によってデータを移動させることを説明する。例えば、ＧＤＰＲにおいては他拠点に対するデータの移動（移転）には法規制に則った管理が必要である。拠点は、１つの建物、ある地区若しくはある地域に存在する複数の建物の総称、又は、事業体としての事業場所、などの解釈があり、どのような解釈の基で管理を行っていくべきなのかは十分な検討が必要である。
【０００８】
ここで移転とは、データの移動だけを意味するものではない。データは電子情報であり、電子情報は遠隔地から当該情報を閲覧する場合にも、画面上に表示するためだけでも、当該情報が閲覧側に送信されることになる。当該情報が移転先で保存されるか否かに関わりなく、遠隔地から当該情報が保存されているサーバ等にアクセスして閲覧するだけでも移転とみなされる可能性がある。
【０００９】
図１には、個人からある目的に沿ってデータを収集し、個人情報を含むデータとして管理するデータ管理者（移転元データ管理者）と、移転元データ管理者が保持する個人情報を含むデータを利用して、あるサービスを行うデータ管理者（移転先データ管理者）と、が存在する例を示している。ＧＤＰＲでは、これら２者に対して個人データを含むデータの管理が義務化されている。
【００１０】
ここでの管理とは、データに対する処理記録の保持、及びデータポータビリティなどの義務化された管理である。具体な例を挙げると、データにアクセス出来る人を制限すること、並びに、誰がどのようなデータに対してどのようなアクセスを行ったのか、移転元、移転先を含めて個人情報が含まれるデータがどこに存在するのか、及び移転元の誰が管理するどのデータを誰に移転したのかといった情報を記録し、例えば監査などの必要に応じて開示すること、などである。
【００１１】
移転先データ管理者は、自分自身が持つデータのみを対象に管理を行えばよい。しかし、移転元データ管理者は、自分自身が保持する個人情報を含むデータの管理義務に加え、移転先のデータの管理義務も負う。ＧＤＰＲでは、個人情報を含むデータに対して、十分な管理を事業者に課している。
【００１２】
移転元のデータ管理者は、法令でデータの管理義務が定められたことによって、移転先に対するデータの管理も担うことになる。ここで課題として、多数の個人データが存在、発生する中で、個人情報管理の高コスト化が大きな問題となっている。また、個人情報は、定義自体が変化するという特殊性も併せ持つ。例えば、死亡者に関する情報は個人情報から除くといった定義変更、及び、裁判等の判決によってそれまで個人情報として扱われなかった情報が新たに個人情報と認定されるといった変更がある。これらの変更を踏まえた上で、個人情報の管理コストが高くなっている。このような状況を踏まえ、管理容易化の仕組みを構築することが課題である。
【００１３】
特許文献１では、構造化文書と文書に付随されるバイナリデータを管理情報によって関連づけて管理する手法が公開されている。特許文献１の技術によって、検索の効率化が可能であると記載されている。
【００１４】
特許文献１の技術を上記課題に当てはめた場合、データ自体とそのデータに含まれる個人情報を関連づけて管理することによって、データの検索効率化が望める。
【００１５】
しかし、特許文献１ではデータ自体の更新又は変更といった記載はない。データ自体に留まらず、データと関連づけて管理するバイナリデータ自体の更新又は変更といったことにも言及がない。そのため、上記に述べたようにデータ自体の変更又は更新といった状況が発生する環境下では、特許文献１の技術は不適である。
【００１６】
本発明の目的は、データ管理者が保持する個人情報を含むデータの管理において、ＧＤＰＲなどの法令に基づいた管理を行う上で、個人情報の定義変更又は更新などが発生しても管理コストを低減させるための個人情報管理システムを提供することにある。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明の好ましい実施形態に係る個人情報管理システムは、プロセッサと、前記プロセッサがアクセス可能なメモリと、を有し、前記メモリは、所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報と、前記個人情報としての管理対象の変更を示す変更管理情報と、前記データの移転元及び移転先を示す移転管理情報と、を保持し、前記プロセッサは、取得対象の個人情報を指定した取得要求を受信すると、前記データリスト管理情報及び前記変更管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを特定し、前記移転管理情報に基づいて、前記指定された取得対象の個人情報を含む可能性がある前記データを保持する全ての前記移転元及び前記移転先を特定する。
【発明の効果】
【００１８】
本発明の一態様によれば、多量の個人情報を含むデータを管理する管理者は、個人情報の定義変更及び更新等が反映された、法令監査等による個人情報の状況把握（検索）を容易に行うことができる個人情報管理システムを提供することができる。
【００１９】
上記した以外の課題、構成及び効果は、以下の実施形態の説明によって明らかにされる。
【図面の簡単な説明】
【００２０】
【図１】本発明の実施例の管理システムを用いた個人情報管理の概要の説明図である。
【図２】本発明の実施例の管理システムを含むシステム全体の構成例を示すブロック図である。
【図３】本発明の実施例の管理システムのシステム構成例を示すブロック図である。
【図４】本発明の実施例の移転元サーバのシステム構成例を示すブロック図である。
【図５】本発明の実施例の移転先サーバのシステム構成例を示すブロック図である。
【図６】本発明の実施例の移転元サーバが保持する個人情報リスト管理テーブルの構成例を示す説明図である。
【図７】本発明の実施例の移転元サーバ及び管理システムが保持する個人情報項目管理テーブルの構成例を示す説明図である。
【図８】本発明の実施例の管理システムが保持する個人情報管理テーブルの構成例を示す説明図である。
【図９】本発明の実施例の管理システムが保持するユーザ毎の個人情報管理テーブルの構成例を示す説明図である。
【図１０】本発明の実施例の管理システムが保持する移転管理テーブルの構成例を示す説明図である。
【図１１】本発明の実施例の管理システムが保持する個人情報リスト変更管理テーブルの構成例を示す説明図である。
【図１２】本発明の実施例の管理システムが保持する個人情報を含むデータリスト管理テーブルの構成例を示す説明図である。
【図１３】本発明の実施例の移転元サーバが管理対象の個人情報を含むデータに基づいて管理システムへ管理情報を送信する処理を示すフローチャートである。
【図１４】本発明の実施例の管理システムが個人情報の管理情報を移転元サーバから受信する処理を示すフローチャートである。
【図１５】本発明の実施例の管理システムが移転元サーバから移転許可要求を受信する処理を示すフローチャートである。
【図１６】本発明の実施例の移転先サーバが許可状態にある個人情報を含むデータの取得要求（移転要求）をする処理を示すフローチャートである。
【図１７】本発明の実施例の管理システムが移転元サーバから個人リスト変更要求を受信する処理を示すフローチャートである。
【図１８】本発明の実施例の移転元サーバが管理システムから特定の個人が含まれる個人情報リスト番号に対する個人情報取得要求を取得する処理を示すフローチャートである。
【図１９Ａ】本発明の実施例の管理システムが移転元サーバから特定の個人が含まれる個人情報リスト番号と、特定の項目名に対する個人情報取得要求とを受信する処理を示すフローチャートである。
【図１９Ｂ】本発明の実施例の管理システムが移転元サーバから特定の個人が含まれる個人情報リスト番号と、特定の項目名に対する個人情報取得要求とを受信する処理を示すフローチャートである。
【図２０】本発明の実施例の管理システムへ移転元サーバ又は移転先サーバなどからアクセスした場合に表示される画面例の説明図である。
【図２１】個人情報の移転の説明図である。
【発明を実施するための形態】
【００２１】
以下、本発明にかかる実施例を図１から図２０を用いて説明する。
【００２２】
図１は、本発明の実施例の管理システムを用いた個人情報管理の概要の説明図である。
【００２３】
図２１に示したように、ＧＤＰＲ等の法令では、個人情報を法令に沿った管理を義務付けている。図１には、その法令で義務付けられた管理を容易化する目的で、管理システム１を含めた個人情報管理の形態例を示している。
【００２４】
移転元のデータ管理者５は、管理システム１に自分自身が管理したい個人情報を含むデータを登録する。そして、管理システム１上の管理データに対して、登録データを特定ユーザに対して移転する許可及びダウンロード方法などの登録を行う。移転先のデータ管理者６は、管理システム１に登録された自分自身への移転を許可されたデータのダウンロード方法の取得、及び、移転許可後にダウンロードしたデータに関する変更等の管理システム１への登録を行う。管理システム１は、これらの仲介を行い、登録データに対するアクセス制限、アクセス者の履歴取得、並びに、現在の登録状況及び移転状況などの通知を行う。
【００２５】
管理システム１がこれらの処理を提供することによって、移転元の管理者５及び移転先の管理者６は、自分自身で法令に則ったデータ管理を行う必要なしに、データの管理を行うことが可能である。次の図以降で、管理システムの詳細及び其々のデータ管理者の処理フローについて述べていく。
【００２６】
図２は、本発明の実施例の管理システム１を含むシステム全体の構成例を示すブロック図である。
【００２７】
このシステムは、ネットワーク４によって接続された管理システム１、移転元の管理者が操作する移転元サーバ２及び移転先の管理者が操作する移転先サーバ３からなる。管理システム１、移転元サーバ２及び移転先サーバ３は、一般的なサーバ又はＰＣ等で構成される。
【００２８】
移転元とは、個人情報を個人から収集して、そのデータを保持して管理する義務を負っている側を指している。移転先とは、移転元が保持して管理していたデータを移転元の許可の上で例えばネットワーク４経由で取得した側を指している。本実施例においては、移転元から移転先への移転（一次移転）のみを指して説明している。移転とは、データを移転元から移転先へコピー又はダウンロードすることによって複製されたデータが移ることを指している。データは複製又は変更なども容易である。一次移転によって、移転元から移転先へデータが移転した後に、一次移転の移転先が、二次移転の移転元として動作することもあり得る。
【００２９】
なお、本実施例における個人情報は、管理対象の情報の一例である。本発明は、個人情報に限らず、例えば法律等の所定の取り決めに従って管理される情報であれば、任意の情報の管理に適用することができる。
【００３０】
図３は、本発明の実施例の管理システム１のシステム構成例を示すブロック図である。
【００３１】
管理システム１には、プログラム実行及び通信処理などを行うＣＰＵ１８１、移転元サーバ２及び移転先サーバ３と通信するためのネットワークインターフェイス（ＮＷ  Ｉ／Ｆ）１８２、管理システム１の管理者が操作するための入出力装置１８３、各種プログラム及びデータが格納されるメモリ１８５が、内部バス１８４を介して相互に接続される。メモリ１８５は半導体装置などによる揮発性又は不揮発性のメモリであってもよいし、ディスク装置などの二次記憶装置であってもよいし、それらを組み合わせたものであってもよい。
【００３２】
メモリ１８５には、ユーザ毎の個人情報管理テーブル６０、個人情報管理テーブル５０、移転管理テーブル７０、個人情報リスト変更管理テーブル８０、個人情報項目管理テーブル１６０、個人情報を含むオリジナルデータリスト管理テーブル２１０、個人情報受信プログラムＳ１００、移転許可受信プログラムＳ１７０、移転要求受信プログラムＳ１１０、及び個人リスト取得要求受信プログラムＳ１４０が格納される。
【００３３】
またこの他に、メモリ１８５には、管理システム１の管理者向けのプログラム、並びに、移転元サーバ２及び移転先サーバ３に対してＷｅｂアクセスを提供するためのプログラムが格納されてもよい。以下の説明において管理システム１が実行する処理は、実際には、ＣＰＵ１８１がメモリ１８５に格納されたプログラムに従って実行する。
【００３４】
図４は、本発明の実施例の移転元サーバ２のシステム構成例を示すブロック図である。
【００３５】
図３の構成と同様に、移転元サーバ２では、ＣＰＵ１９１、ＮＷ  Ｉ／Ｆ１９２、入出力装置１９３及びメモリ１９５が内部バス１９４によって相互に接続される。図３のメモリ１８５と同様に、メモリ１９５は、ディスク装置などの二次記憶装置であってもよい。メモリ１９５には、個人情報リスト管理テーブル４０、個人情報項目管理テーブル１６０、管理対象（オリジナル）データ１９６、管理情報送信プログラムＳ９０、及び特定個人リスト取得要求送信プログラムＳ１３０が格納される。また、メモリ１９５には、移転元サーバ２の管理者（移転元データ管理者）向けのプログラム、並びに、管理システム１及び移転先サーバ３との間でＷｅｂアクセスを提供するためのプログラムが格納されてもよい。以下の説明において移転元サーバ２が実行する処理は、実際には、ＣＰＵ１９１がメモリ１９５に格納されたプログラムに従って実行する。
【００３６】
図５は、本発明の実施例の移転先サーバ３のシステム構成例を示すブロック図である。
【００３７】
図３の構成と同様に、移転先サーバ３では、ＣＰＵ２０１、ＮＷ  Ｉ／Ｆ２０２、入出力装置２０３及びメモリ２０５が内部バス２０４によって相互に接続される。図３のメモリ１８５と同様に、メモリ２０５は、ディスク装置などの二次記憶装置であってもよい。メモリ２０５には、管理システム１及び移転元サーバ２にアクセスするためのプログラムであるブラウザ２０６が格納される。以下の説明において移転先サーバ３が実行する処理は、実際には、ＣＰＵ２０１がメモリ２０５に格納されたプログラムに従って実行する。
【００３８】
本実施例では、管理対象（オリジナル）データ１９６を移転元サーバ２が持ち、その管理対象（オリジナル）データ１９６に含まれる項目のうち、管理すべき項目のみを管理情報として移転元サーバ２が抽出し、管理システム１へ送信する。このようにして抽出された管理情報は、個人情報項目管理テーブル１６０として保持される。この管理情報は、管理対象の個人情報の項目を識別する情報であり、個人情報そのものは含んでいない。
【００３９】
管理システム１は、個人情報が含まれていない管理情報のみを管理することで、移転等が発生しても、移転元サーバ２及び移転先サーバ３がそれぞれ保持するデータを管理する。データ移転においても、管理システム１は、移転元データ管理者５の要求に沿って第三者（例えば移転先サーバ３）への移転許可、その後の移転に伴って必要な情報の提供を行う。
【００４０】
本実施例では、管理システム１が管理対象の個人情報を含まないデータ（管理情報）のみを用いて、移転などの管理を行う形態を述べる。管理システム１は管理対象のオリジナルデータを持たないため、当該データを保持する移転元サーバ２がデータ提供機能を持つ。移転先サーバ３は、管理システム１からアクセス方法を取得した後に、移転元サーバ２へ直接アクセスして、管理対象のオリジナルデータを取得する。この形態以外に、移転元サーバ２の保持する管理対象（オリジナル）データ１９６を管理システム１が保持する形態もあり得る。その場合、管理システム１が保持するデータが個人情報を含むことになるため、当該データの個人情報を匿名化等の手段によって、個人情報レス化することによって実現することもあり得る。
【００４１】
図６は、本発明の実施例の移転元サーバ２が保持する個人情報リスト管理テーブル４０の構成例を示す説明図である。
【００４２】
個人情報リスト管理テーブル４０には、個人情報リスト欄４１に、管理システム１へ送信するための個人情報リスト識別子が登録される。リストに含まれる個人の集合欄４２には、個人情報リスト欄４１の個人情報リスト識別子に対応する個人情報が登録される。ここで、欄４２に登録される個人情報の例として、個人を識別するための識別子、例えば、個人の氏名又は事業体内の社員ＩＤなどが挙げられる。
【００４３】
移転元サーバ２には、オリジナルの個人情報が保持されている。その個人情報そのものを管理システム１へ登録してしまうと、上記で述べた法令による個人情報の管理義務が発生し、このための管理が必要になってしまう。そこで本実施例では、その管理義務が発生しないように、個人情報そのものではなく、その個人情報の集合体に対して付与した識別子（個人情報リスト）を利用する。移転元サーバ２では、個人情報リストに対して、どのような個人情報が対応付けられるのかを管理する。
【００４４】
なお、図６の例では、個人情報リスト管理テーブル４０が各人物を識別するＡ、Ｂといった個人情報を含んでいるため、管理システム１は個人情報リスト管理テーブル４０を保持しない。しかし、これらの情報を匿名化することで、個人情報を含まない個人情報リスト管理テーブル４０が作成された場合には、管理システム１が個人情報リスト管理テーブル４０を保持してもよい。
【００４５】
図７は、本発明の実施例の移転元サーバ２及び管理システム１が保持する個人情報項目管理テーブル１６０の構成例を示す説明図である。
【００４６】
個人情報項目とは、個人情報を含むデータの中で、個人情報として管理すべき情報の項目である。例えば、氏名ＩＤ、氏名、ＩＰアドレス等である。個人情報項目管理テーブル１６０は、個人情報を含むデータにどのような個人情報が含まれるかを識別する為に用いられる。本実施例では、管理システム１及び移転元サーバ２の両方が個人情報項目管理テーブル１６０を保持する形態を述べる。本テーブルの内容は、匿名化等によって、別の言葉又は単語に置き換えて管理されてもよい。
【００４７】
個人情報項目リスト番号欄１６１には、個人情報項目管理テーブル１６０の各レコードの項目名に対するリスト識別番号が登録される。項目名欄１６２には、当該レコードの個人情報項目リスト番号１６１に対する項目名の情報が登録される。移転元サーバ２は、個人情報項目管理テーブル１６０の情報と、個人情報リスト管理テーブル４０の情報とを利用して、これらの情報を、管理対象のデータの属性情報と共に、個人情報の管理情報として管理システム１へ送信する。
【００４８】
図８は、本発明の実施例の管理システム１が保持する個人情報管理テーブル５０の構成例を示す説明図である。
【００４９】
個人情報管理テーブル５０には、移転元サーバ２に保存されている個人情報を含むデータ（ファイル）単位の管理情報が登録される。本実施例では、移転元サーバ２はデータをファイルという単位で扱うが、ファイル以外の単位で扱ってもよい。例えば複数のファイルが格納されているフォルダ単位でデータを扱う場合もあり得る。また、１つのファイル内である特定の単位（シート又は所定の数の行）といった単位で扱う場合も考えられる。
【００５０】
個人情報管理番号欄５１には、当該テーブルの行単位の識別を行うための識別子が登録される。上記の通り、本実施例では個人情報を含むデータがファイル単位で管理されるため、当該テーブルの各行（すなわち各レコード）が一つのファイルに対応する。以下、個人情報管理番号欄５１に登録された識別子によって、個人情報を含むデータを移転元サーバ２内で一意に識別可能である場合について説明する。例えばこの識別子としては、移転元サーバ２内のファイルパス（フォルダパスとファイル名を含む）といった識別子が挙げられる。
【００５１】
所在地欄５２には、当該行の個人情報が収集された個人の所在地情報が登録される。カテゴリ欄５３には、当該行の個人情報のカテゴリ情報が登録される。カテゴリ情報は、例えば、当該行の個人情報がＰｒｏｘｙログである場合には、そのことを示す情報である。サイズ欄５４には、当該行の個人情報のデータサイズが登録される。
【００５２】
子供上限年齢欄５５には、当該行の所在地欄５２に登録された所在地情報が示す地域における成人年齢情報が登録される。成人年齢とは、成人と子供とを区別する年齢であり、国ごとに定められているため、上記の所在地情報が示す地域を含む国における成人年齢が子供上限年齢欄５５に登録される。個人情報リスト番号欄５６には、当該行の個人情報に含まれる可能性のある個人の集合を示す識別子が登録される。図６で示した個人情報リスト４１の識別子が当欄５６に登録される。
【００５３】
個人情報項目リスト番号欄５７には、当該行の個人情報に含まれる個人情報の項目リストの識別子が登録される。当欄５７には、図２０に示す個人情報項目管理テーブル１５０の個人情報項目リスト番号欄１５０７に表示される識別子が登録される。この識別子の意味については、図２０説明時に述べる。保管期限欄５８には、当該行の個人情報を管理する上で指定する期限情報が登録される。
【００５４】
管理システム１には、個人情報管理テーブル５０に移転元サーバ２から管理対象となるデータ毎に管理情報としてデータが登録される。移転元のデータ管理者５及び移転先のデータ管理者６が管理システム１へアクセスして、この登録データを基に、現状の確認、移転の許可、及び、コピー又はダウンロードなどの移転手順を取得する。
【００５５】
図９は、本発明の実施例の管理システム１が保持するユーザ毎の個人情報管理テーブル６０の構成例を示す説明図である。
【００５６】
ユーザ毎の個人情報管理テーブル６０は、管理システム１へログインするユーザ（移転元データ管理者５または移転先データ管理者６に割り当てたユーザ）毎に、管理システム１内の個人情報の管理情報を対応付けている。この対応付けによって、ユーザは、自分自身の管理下にどんな個人情報があるのか把握することができる。
【００５７】
ユーザＩＤ欄６１には、管理システム１にログインしたユーザの識別子が登録される。個人情報管理番号欄６２には、管理システム１に移転元サーバ２から登録された個人情報を管理システム１内で一意に識別するための識別子が登録される。
【００５８】
図１０は、本発明の実施例の管理システム１が保持する移転管理テーブル７０の構成例を示す説明図である。
【００５９】
移転管理テーブル７０は、移転元データ管理者５が自身の管理下にある個人情報を含むデータを、指定する移転先サーバ３へ移転するにあたって、これらの状況管理を行うために管理システム１内で保持するテーブルである。管理システム１は、移転管理テーブル７０を利用して、登録済の個人情報を含むデータを対象にして、移転元データ管理者５と移転先データ管理者６との間でデータ移転の仲介を行う。
【００６０】
個人情報管理番号欄７１は、管理システム１に移転元サーバ２から登録された個人情報を管理システム１内で一意に識別するための識別子が登録される。この識別子は、個人情報管理テーブル（図８）の個人情報管理番号欄５１に登録された識別子及びユーザ毎の個人情報管理テーブル（図９）の個人情報管理番号欄６２に登録された識別子に対応する。
【００６１】
移転対象欄７９には、移転対象であるデータを識別するための情報が登録される。この情報は、移転対象であるデータの詳細情報を管理するデータリスト管理テーブル２１０（図１２）の登録番号２１１として登録された識別子に対応する。移転元欄７２には、当該行に登録される個人情報を含むデータの管理情報の移転元ユーザ（すなわち移転元データ管理者５）の識別子が登録される。移転先欄７３には、同じく個人情報を含むデータの管理情報の移転先ユーザ（すなわち移転先データ管理者６）の識別子が登録される。
【００６２】
変更欄７４には、移転に伴って個人情報を含むデータの変更等が行われた場合にその履歴を管理システム１が把握するために利用される領域であり、後述する変更前データ管理番号欄７５、変更後データ管理番号欄７６及び変更処理欄７７を含む。上述したように、本実施例で扱う個人情報を含むデータは、電子データである。その複製及び変更は、容易に行うことが可能である。移転先ユーザが独自に変更した場合、その変更処理及び変更前後の管理番号を記録することで、後々、移転だけではなく、変更処理まで含めたトレースが可能である。本実施例では、移転先ユーザが移転先サーバ３において移転されたデータを元に変更処理を行った場合の例を述べる。
【００６３】
なお、ここでの変更処理とは、移転先ユーザが移転されたデータに対して必要に応じて行うものであり、例えば、移転されたデータから不要な部分を削除する処理等である。すなわち、ここでの変更処理は、これまで個人情報として管理する必要がなかった情報を新たに個人情報として扱う、あるいは、これまで個人情報として管理されていた情報を個人情報としての管理の対象から除外する、と言った、個人情報としての管理対象の変更を意味しない。
【００６４】
変更前データ管理番号欄７５には、移転先サーバ３において変更処理される前の移転元から提供を受けた個人情報を含むデータの管理情報の識別子が登録される。変更後データ管理番号欄７６には、移転先サーバ３において変更処理された後の個人情報を含むデータの管理情報の識別子が登録される。これらは、個人情報管理テーブル（図８）の個人情報管理番号欄５１に登録された識別子、ユーザ毎の個人情報管理テーブル（図９）の個人情報管理番号欄６２に登録された識別子、及び、移転管理テーブル７０（図１０）の個人情報管理番号欄７１に登録された識別子に対応する。
【００６５】
変更処理欄７７は、欄７５に登録された変更前データに対して、変更処理を行った際の変更処理識別子を登録する。欄７５に登録されたデータに対して、欄７７に登録された変更処理を適用することで生成された変更後データが、欄７６に登録される。
【００６６】
アクセス方法欄７８には、当該レコードの個人情報管理番号欄７１に登録されるデータの移転元サーバ２上に存在するオリジナルのデータへのアクセス方法が登録される。例えば、移転元サーバ２にＷｅｂサーバ機能がある場合、アクセス方法欄７８には、そのＷｅｂサーバの当該オリジナルデータへのアクセスＵＲＩなどが登録される。
【００６７】
本実施例では、変更欄７４内で、「なし」「−」などの表記がある。「なし」表記は、データの移転処理は行われたが、データの変更処理は行われなかったことを示している。一方、「−」表記は、移転先ユーザが移転元から移転許可を受けているが、未だダウンロード等の移転処理を行っていない状態を表している。このように、管理システム１では、移転管理テーブル７０を移転許可及び移転といったアクション毎に更新していくことによって、個人情報を含むデータの管理情報を元にして、オリジナルのデータの移転状況について管理することができる。
【００６８】
図１１は、本発明の実施例の管理システム１が保持する個人情報リスト変更管理テーブル８０の構成例を示す説明図である。
【００６９】
管理システム１では、個人情報に関する法的規制を受けずに、個人情報を含むデータの管理を行うため、実際の個人情報を利用せず、個人情報の管理情報を利用する。その個人情報の管理情報は、図８で示される。その中には、どのような個人が含まれる可能性があるのか、ということを認識するため、欄５６に登録された個人情報リスト番号の識別子が含まれる。図１１では欄５６の識別子に対して、どのような変更が行われたかを管理する。
【００７０】
ここでの変更とは、個人情報として管理する対象の変更である。例えば、これまで対象外であった特定の人物に関する情報が新たに個人情報としての管理対象として追加された場合、これまで個人情報としての管理対象であった特定の人物に関する情報が管理対象から除外された場合、又は、これまで対象外であった各人物に関する情報の項目が新たに個人情報としての管理対象として追加された場合が、ここでの変更に該当する。
【００７１】
例えば、個人情報として「Ａさん」及び「Ｂさん」という人物に関する情報が含まれるデータを「ＬＩＳＴ＿Ｘ」という識別子であらわしたとする。そこに「Ｃさん」という人物に関する情報が追加された場合、その追加を示す変更処理ＺとＬＩＳＴ＿Ｘとを利用して、「Ａさん」「Ｂさん」「Ｃさん」を表現する。このような表現をするために必要な情報を一元的に管理するため、図１１に示す個人情報リスト変更管理テーブル８０を用いる。
【００７２】
個人情報リスト変更管理テーブル８０の各行の変更管理番号欄８１には、当該行における変更状態を一意に識別するための識別子が登録される。個人情報リスト番号欄８２には、当該行における個人情報リスト番号の識別子が登録される。これは個人情報管理テーブル５０（図８）の欄５６に示された識別子である。
【００７３】
変更受付日時欄８３には、当該行で示される変更処理を管理システム１が受け付けた日時情報が登録される。変更処理欄８４には、当該行で示される変更処理の内容を識別するための識別子が登録される。変更前管理番号欄８５には、変更履歴を管理するため、変更前の変更管理番号の識別子が登録される。
【００７４】
適用範囲欄８６には、当該行で示される変更処理における変更範囲の適用領域情報が登録される。適用先欄８７には、変更処理欄８４の処理内容を適用する対象のデータファイルを識別する情報が登録される。この情報は、具体的には、図１２の個人情報を含むデータリスト管理テーブル２１０のデータファイル名２１３（後述）として登録されている識別子である。
【００７５】
図１１の例では、変更管理番号欄８１の「ＣＨ＿Ｐ１」に対応する変更前管理番号欄８５に「なし」と登録されている。これは「ＣＨ＿Ｐ１」が過去に変更処理を受けていない、最初の変更処理であることを示している。一方、変更管理番号欄８１の「ＣＨ＿Ｐ２」に対応する変更前管理番号欄８５には「ＣＨ＿Ｐ１」と登録されている。これは、「ＣＨ＿Ｐ２」の過去の（すなわちその一つ前に行われた）変更処理が「ＣＨ＿Ｐ１」であることを示している。
【００７６】
また、「ＣＨ＿Ｐ１」に対応する適用範囲８６には「全て」と登録されている。これは、個人情報リスト番号８２の識別子で示されるリストに対して、当該変更処理が過去と未来の両方（全て）に対して適用される、ということを意味する。「ＣＨ＿Ｐ２」に対応する適用範囲８６の「未来のみ」は、変更受付日時８３に登録される日時以降の変更処理のみが適用されることを示している。また、図１１の例では記載されていないが、適用範囲８６には「過去のみ」が登録されてもよい。これは、変更受付日時８３に登録される日時以前の変更処理のみが適用されることを示している。
【００７７】
例えば、企業などの事業体においては、人事異動等によって、個人の所属部署が変更する。この例では、その所属部署単位で個人情報を含むデータを管理するときに、人事異動のタイミング以降で変更処理を適用する、といったことが考えられる。そのような変更処理は、図１１の適用範囲８６に「未来のみ」を登録することによって管理することが可能である。
【００７８】
また、例えば、管理対象のオリジナルデータ内に含まれる項目が、判決などによって新たに個人情報として定義されたり、個人情報としての認定が取り消されたり、といった場合があり得る。このような場合に、個人情報リスト番号８２に登録されるＩＴＥＭ１などのリストの内容（図７の項目名１６２の登録内容）に対して、追加、削除又は変更といった変更処理８４を個人情報リスト変更管理テーブル８０に登録することによって、個人情報としての管理対象の変更を管理することが可能である。
【００７９】
図１２は、本発明の実施例の管理システム１が保持する個人情報を含むデータリスト管理テーブル２１０の構成例を示す説明図である。
【００８０】
個人情報を含むデータリスト管理テーブル２１０は、移転元サーバ２が持つ管理対象のオリジナルデータのデータファイルの管理情報を管理するためのテーブルである。具体的には、個人情報を含むデータリスト管理テーブル２１０は、移転管理テーブル７０及び個人情報リスト変更管理テーブル８０で移転対象として扱われるデータファイル、及び、変更処理の適用先となるデータファイルを管理する。
【００８１】
登録番号２１１欄には、当該テーブルのレコードを識別するための識別子が登録される。図１２の例では、登録番号２１１の識別子は、登録の順に与えられる。データファイル名欄２１３及び個人情報管理番号欄２１２には、それぞれ、移転元サーバ２が保持する管理対象オリジナルデータのデータファイル名、及び、そのデータを管理するための管理情報（図８の個人情報管理番号５１に対応する情報）が登録される。
【００８２】
管理システム登録時刻欄２１４には、当該レコードが登録された時刻情報が登録される。アクセス方法欄２１５には、当該レコードのデータファイルに対するアクセス方法（例えばＵＲＩなど）が登録される。
【００８３】
本テーブルは、移転元サーバ２において、管理対象のオリジナルデータが生成される度に更新される。例えば、個人情報を含むＰｒｏｘｙログが管理対象である場合について説明する。同じ個人情報の管理情報を持つＰｒｏｘｙログが１時間に一度出力されるとすると、本テーブルには、１時間ごとに１レコードが追加され、そこに出力されたＰｒｏｘｙログに関する情報が登録される。このようにして１時間ごとに登録された各レコードは、個人情報管理番号２１２として同じ値を持ち、データファイル名２１３、管理システム登録時刻２１４及びアクセス方法２１５として互いに異なる値を持つ。
【００８４】
図１２の例では、同一の個人情報管理番号２１２の値で識別されるデータファイル（例えばＤａｔａＦｉｌｅ１〜ＤａｔａＦｉｌｅ３）は、同一の対象に関する異なるバージョンのデータ、例えば、同一の対象から異なる時期に取得された個人情報を含むデータである。例えば上記のように１時間ごとに出力されたＰｒｏｘｙログなどがこれに相当する。本実施例では登録番号２１１に基づいて登録の順序を特定することができ、管理システム登録時刻２１４に基づいて登録時刻を特定することができるため、これらによってデータの履歴が管理される。
【００８５】
例えば、図１１の個人情報リスト変更管理テーブル８０の変更管理番号８１「ＣＨ＿Ｉ１」については、適用先８７「ＳＵＢ４」が示すデータファイル２１３「ＤａｔａＦｉｌｅＸ１」を初期適用先として「ＩＴＥＭ１」に対して変更処理「ｙ１」が実行される。「ＣＨ＿Ｉ１」の適用範囲８６は「全て」であるため、図１２の個人情報を含むデータリスト管理テーブル２１０の個人情報管理番号２１２が、「ＳＵＢ４」に対応するものと同一の「ＩＤ２」であるレコードのデータファイルのうち、管理システム登録時刻２１４によって示される登録順に従い、「全て」のデータファイル名２１３のデータファイル（この例ではＤａｔａＦｉｌｅＸ１及びＤａｔａＦｉｌｅＸ２）を対象として「ＩＴＥＭ１」への変更処理「ｙ１」が実行される。
【００８６】
一方、「ＣＨ＿Ｉ２」に対応する適用先８７は「ＳＵＢ５」と指定されているため、変更処理「ｙ２」は「ＳＵＢ５」が示すデータファイル名２１３「ＤａｔａＦｉｌｅＸ２」から「全て」（ＤａｔａＦｉｌｅＸ２以降に登録された全てのデータファイル）を対象として変更処理を実行することになる。
【００８７】
次に、図１３から図１９Ｂを用いて、移転元サーバ２と管理システム１が連携して動作することによって個人情報の法規制を満足する個人情報管理方法を説明する。
【００８８】
それぞれの図では、異なる処理のフローを説明するが、本実施例の管理システム１は、それぞれ異なる処理毎にＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を定義しておき、アクセス側（移転元サーバ２又は移転先サーバ３）がそのＡＰＩを認識の上で実行したい処理のＡＰＩを利用して管理システム１へアクセスする。
【００８９】
図１３は、本発明の実施例の移転元サーバ２が管理対象の個人情報を含むデータに基づいて管理システム１へ管理情報を送信する処理を示すフローチャートである。
【００９０】
前述したように、移転元サーバ２には、個人情報を含むデータが存在する。そのデータを直接管理システム１が管理する手法を採用した場合、個人情報に関する法規制によって、管理システム１上でその個人情報の管理が必要になってしまう。そこで、本実施例では管理システム１がオリジナルのデータを直接管理せず、オリジナルのデータを模擬した管理情報を利用する。
【００９１】
ここで、オリジナルのデータとは、例えばデータファイル名２１３によって識別されるデータファイルそのもの、及び、そのデータファイルに含まれている個人を識別する、リストに含まれる個人の集合４２等の情報である。一方、オリジナルのデータを模擬した管理情報とは、それ自体は個人情報を含んでいないが個人情報と対応付けられた情報であり、例えばデータファイル名２１３及び個人情報リスト４１のような情報である。オリジナルのデータと管理情報とを対応付ける情報は移転元サーバ２が保持している（例えば個人情報リスト管理テーブル４０）。
【００９２】
図１３の処理フローは、移転元サーバ２がその管理情報を管理システム１へ送信する手順を示している。
【００９３】
まず、移転元サーバ２は、移転元データ管理者５の指示（例えば画面操作などによって入力される）に従って、管理対象の個人情報を含むデータを選択する（ステップＳ９１）。次に、移転元サーバ２は、ステップＳ９１で選択した管理対象のデータから、個人情報として管理すべき項目を抽出する（ステップＳ９２）。
【００９４】
データ内に個人情報が含まれるか、何が個人情報に当たるのか、といった判断は移転元データ管理者５のみが行うことができる作業である。移転元データ管理者５以外の者であっても、データに一般的なＩＤ又は氏名等が含まれるか、といった判定は可能だが、それらが本当に個人情報として認識すべき情報であるのか、それ以外に個人情報として管理すべき情報を見落としていないか、といった判定まで行うことはできない。また最終責任を担う移転元データ管理者５として、どの範囲まで、どの値及び文字列が、個人情報として管理すべきである、といった認識も必要である。
【００９５】
次に、移転元サーバ２は、ステップＳ９２において抽出した管理すべき項目の中で、移転元が管理している個人情報のリストと、個人情報項目のリストとを採番する（ステップＳ９３）。
【００９６】
ここでは、管理対象のデータ内に含まれる個人（すなわち当該データ内に誰が含まれる可能性があるのか）と、個人情報の項目とについて、抽出する。ここで含まれる可能性がある個人を抽出する理由は次の通りである。例えばＰｒｏｘｙログ等を管理対象データとした場合、Ｐｒｏｘｙログには多数の個人の情報が含まれることになる。仮にある事業部門毎にＰｒｏｘｙが設置され、その事業部門所属の人はＷｅｂアクセス時に、当該事業部門のＰｒｏｘｙを使用する場合、そのＰｒｏｘｙログには、当該事業部門所属の人のアクセスログが出力されることになる。このようなログは、非常に多量になるため、一般に定期的（例えば一日単位）にＰｒｏｘｙログを出力して、保存するといった管理が行われる。
【００９７】
また、Ｐｒｏｘｙログが出力され続ける状況下で、当該事業部門の人の異動といった理由によって、当該事業部門所属のメンバが変更される可能性もある。そうすると、変更の前後で、Ｐｒｏｘｙログに含まれる個人が異なることになる。Ｐｒｏｘｙログ出力の都度、Ｐｒｏｘｙログを捜査して、当該Ｐｒｏｘｙログ内に含まれる個人を特定してもよいが、その処理をその都度実行して、きちんと管理することは管理側（移転元データ管理者５）にとって大きな負担である。そこで本実施例では、移転元データ管理者５の負担軽減のため、個々のログ毎にどのような個人が含まれるか捜査せず、そのかわりにＰｒｏｘｙログに含まれる可能性がある個人の集合（個人リスト）を管理する（図６参照）。
【００９８】
また同様に、個人情報の項目についてもリスト化して管理される（図７参照）。個人情報の項目とは、Ｐｒｏｘｙログに含まれる個人情報として管理すべき項目である。例えば上記例（Ｐｒｏｘｙログ）においては、Ｐｒｏｘｙログに含まれるアクセスＩＤ、アクセス先のＣｏｏｋｉｅ情報などが該当する。
【００９９】
移転元サーバ２は、オリジナルのデータ（管理すべき対象のデータ）に対して、個人情報リスト（図６）、個人情報項目リスト（図７）、及びその属性情報（図８の欄５２から欄５５及び欄５８）をステップＳ９３で抽出する。
【０１００】
例えば、ステップＳ９１において、管理対象の個人情報を含むデータとして、ある事業部門で取得されたＰｒｏｘｙログが選択され、当該Ｐｒｏｘｙログに含まれる個人がＡ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆ、Ｇ及びＨの各人物である場合、ステップＳ９３において、個人情報リストとして、上記の各人物に対応する「ＬＩＳＴ１」が抽出される（図６）。
【０１０１】
また、ステップＳ９２において、当該Ｐｒｏｘｙログに含まれる社員ＩＤ、アクセス先Ｃｏｏｋｉｅ、ＩＰアドレス及びＭＡＣアドレスが管理対象の個人情報として選択された場合、ステップＳ９３において、個人情報項目リストとして、上記の項目に対応する「ＩＴＥＭ１」が抽出される（図７）。
【０１０２】
さらに、当該事業部門の所在地を示す情報、当該個人情報のカテゴリがＰｒｏｘｙログであることを示す情報、当該個人情報のサイズ、当該事業部門の所在地における成人年齢を示す情報、及び当該個人情報の保管期限といった属性情報が抽出される。この属性情報は、例えば移転元サーバ２が自動的に取得してもよいし、移転元データ管理者５が入力してもよい。
【０１０３】
そして、移転元サーバ２は、ステップＳ９３において抽出した情報（個人情報の管理情報）を管理システム１へ送信する（ステップＳ９４）。
【０１０４】
本実施例では、移転元サーバ２は、個人情報リストのみではなく個人情報項目リストも同様に送信するが、個人情報項目リストについては、リスト内容を管理システム１へ送信するような運用形態であってもよい。これによって、移転元データ管理者５の負担を軽減することが可能である。本実施例では、移転元サーバ２が個人情報リストを管理する想定で図１３などの処理フローを説明する。これらの個人情報リストを移転元サーバ２が管理せず、運用の利便性を考慮して、管理システム１側で直接管理する手法を選択することも考えられる。
【０１０５】
図１４は、本発明の実施例の管理システム１が図１３で示した個人情報の管理情報を移転元サーバ２から受信する処理を示すフローチャートである。
【０１０６】
管理システム１は、個人情報の管理情報を移転元サーバ２から受信する（ステップＳ１０１）。そして、受信したデータを元にして、図８に示した個人情報管理テーブル５０のレコード単位にデータを登録する（ステップＳ１０２）。
【０１０７】
なおステップＳ１０２では、管理システム１は、図８に登録した当該レコードの個人情報管理番号欄５１を発行する。さらに、管理システム１は、この個人情報管理番号欄５１の情報を、図９ユーザ毎の個人情報管理テーブル６０に、ログインユーザ（移転元ユーザ）の情報に対応付けて登録する。
【０１０８】
図１５は、本発明の実施例の管理システム１が移転元サーバ２から移転許可要求を受信する処理を示すフローチャートである。
【０１０９】
移転許可とは、移転元サーバ２に存在するオリジナルデータと対応付けられた管理システム１上の管理情報を用いて、移転元管理者が指定した個人情報を含むデータ（管理システム１上の管理情報）を、第三者（移転先）に対して移転することの許可を与える処理である。
【０１１０】
まず、管理システム１は、移転元サーバ２から、個人情報の移転許可を受信する（ステップＳ１７１）。次に、管理システム１は、受信した移転許可に沿って、図１０の移転管理テーブル７０に移転状況を登録する（ステップＳ１７２）。ここでは例えば、図１０に示した個人情報管理番号７１欄「ＩＤ３」のような情報が登録される。これは、どの管理情報を、誰から誰へ移転することを許可するのか、という情報である。つまり、図１０の「ＩＤ３」の例は、移転元「ＵＩＤ１」が管理する管理情報「ＩＤ３」の個人情報を含むデータを、移転先「ＵＩＤ３」へ移転することを許可することを示している。この許可を行えるのは、移転元「ＵＩＤ１」である。
【０１１１】
図１６は、本発明の実施例の移転先サーバ３が許可状態にある個人情報を含むデータの取得要求（移転要求）をする処理を示すフローチャートである。
【０１１２】
管理システム１は、個人情報の移転要求を受信する（ステップＳ１１１）。そして、管理システム１は、受信した移転要求に基づいて、ログインユーザを確認し、図１０の移転管理テーブル７０内で、移転先欄７３に登録されているログインユーザを検索する。ログインユーザを検索できた場合、管理システム１は、当該レコードに対して、アクセス方法を登録する（ステップＳ１１２）。
【０１１３】
なお、本実施例では明示しないが、管理システム１は各サーバに対するアクセス方法（例えばアクセスＵＲＩ）を事前に保持しておくものとする。これは、移転先サーバ３が移転元サーバ２へ直接アクセスして、所望のデータを取得するケースを想定したものである。移転元サーバ２のデータ毎のＵＲＩがセキュリティの懸念等により管理システム１上で管理できないような場合、移転元サーバ２側と管理システム１間で、ワンタイムＵＲＩなどを発行するような仕組みを提供するといった実施形態もありうる。
【０１１４】
図１７は、本発明の実施例の管理システム１が移転元サーバ２から個人リスト変更要求を受信する処理を示すフローチャートである。
【０１１５】
管理システム１は、個人情報の管理情報と、その個人情報に含まれる可能性がある個人情報リストを対応付けて（図８の個人情報管理テーブル５０で）管理している。例えば、個人の死亡といった事象によって、そのリスト内で管理すべき個人情報の定義が変わる場合がある。そのような場合、図８の個人情報管理テーブル５０内の個人情報リスト番号５６を全て再定義して、登録しなおすことは負荷が高い。そのため、本実施例では、図１１で示した個人情報リスト変更管理テーブル８０を定義し、そこで個人情報リストの変更管理を行う。変更された個人情報リストを抽出する際には、個人情報リスト変更管理テーブル８０の変更履歴を参照して、変更された個人情報リストが取得される。図１７では、この個人情報リスト変更管理テーブル８０への登録を行う処理フローについて説明する。また図１９Ａ及び図１９Ｂでは、変更された個人情報リストの変更履歴を参照した上で、変更個人情報リストの取得を行う処理フローについて説明する。
【０１１６】
まず、管理システム１は、個人情報リストに対する変更要求を移転元サーバ２から受信する（ステップＳ１２１）。この変更要求の中には、当該個人情報リストに対する変更処理内容と、適用範囲が含まれる。次に、管理システム１は、ステップＳ１２１で取得した変更処理内容に基づいて、管理システム１が実行すべき処理を定義する（ステップＳ１２２）。そして、管理システム１は、個人情報リスト変更管理テーブル８０の当該行に対して、ステップＳ１２１の受信情報と、ステップＳ１２２で定義した処理とを登録する（ステップＳ１２３）。
【０１１７】
図１８は、本発明の実施例の移転元サーバ２が管理システム１から特定の個人が含まれる個人情報リスト番号に対する個人情報取得要求を取得する処理を示すフローチャートである。
【０１１８】
本処理フローは、例えば個人情報管理に関する監査など、規制当局からの要求などを念頭においたものであり、移転元サーバ２以外から管理システム１へのアクセスがあった場合に適用されてもよい。なお、図１８の処理フローはある特定の個人に対する規制当局からの監査に対応するという例で記載しているため、検索を行うキーの初期値が特定の個人である。
【０１１９】
移転元データ管理者５は、特定の個人が、どの個人情報管理リストに含まれるのかを特定するために、移転元サーバ２を利用して、図６の個人情報リスト管理テーブル４０を検索して、個人情報リスト欄４１に登録された識別子を取得する。ここで移転元データ管理者５は、例えば、特定の個人に対して個人情報の項目（例えば社員ＩＤ）を含むデータファイルを検索する。具体的には、移転元データ管理者５が検索の指示を移転元サーバ２に入力し、移転元サーバ２は、その指示に従って処理を実行する。以下の説明においても同様である。
【０１２０】
移転元データ管理者５は、移転元サーバ２を利用して、特定の個人が含まれる個人情報リスト番号に対する個人情報の取得要求を管理システム１へ送信する（ステップＳ１３１）。この取得要求は、例えば、個人情報リスト番号「ＬＩＳＴ１」、かつ、個人情報項目リスト番号「ＩＴＥＭ１」の、「社員ＩＤ」を含むデータファイル名を要求する、といった内容になる。移転元データ管理者５の意図は、例えば上記の特定の個人が人物Ａである場合に、人物Ａの社員ＩＤを含むデータファイル名を取得したいということである。このステップに対応する管理システム１側の処理は図１９Ａ及び図１９Ｂに示す。その内容については、図１９Ａ及び図１９Ｂ説明時に述べる。
【０１２１】
次に、移転元サーバ２は、管理システム１からの応答を受信する（ステップＳ１３２）。この応答は、管理システム１に登録されている個人情報の管理情報と、個人情報リスト番号とを含む。
【０１２２】
そして、移転元サーバ２は、管理システム１からの受信結果（個人情報の管理情報及び個人情報リスト番号）を元に、移転元データ管理者５が意図する個人が含まれる、個人情報を含むデータの検索を行う（ステップＳ１３３）。
【０１２３】
図１９Ａ及び図１９Ｂは、本発明の実施例の管理システム１が移転元サーバ２から特定の個人が含まれる個人情報リスト番号と、特定の項目名に対する個人情報取得要求とを受信する処理を示すフローチャートである。
【０１２４】
図１８のステップＳ１３１で述べたように、管理システム１は、移転元サーバ２から個人情報取得要求を受信する（ステップＳ１４０１）。この取得要求は、例えば、どの人物の、どのような項目の個人情報の取得を要求しているかを示す情報を含む。例えば、移転元サーバ２が、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスに関する情報の取得を要求した場合、取得要求は、人物Ａを含む個人情報リストを識別するＬＩＳＴ１及びＬＩＳＴ２（図６参照）と、ＰｒｏｘｙログのＭＡＣアドレスを含む個人情報項目リストを識別するＩＴＥＭ１（図７参照）と、を含んでもよい。
【０１２５】
管理システム１は、個人情報管理テーブル５０で、個人情報リスト番号５６及び個人情報項目リスト番号５７が、ステップＳ１４０１で取得した要求に含まれるものと一致する行を検索する（ステップＳ１４０２）。以下、本ステップにおいて検索結果が存在する場合の処理を説明する。検索結果が存在しない場合のエラー処理の図示を省略しているが、検索結果が存在しない場合、処理を終了する。
【０１２６】
そして、管理システム１は、個人情報リスト変更管理テーブル８０で、個人情報リスト番号８２が、ステップＳ１４０１で取得した要求に含まれるものと一致する行を検索する（ステップＳ１４０３）。そして管理システム１は、ステップＳ１４０３の検索結果が存在するか否か判定する（ステップＳ１４０４）。ステップＳ１４０４で検索結果が存在しないと判定された場合、ステップＳ１４１５へ移る。ステップＳ１４０４で検索結果が存在すると判定された場合、ステップＳ１４０５に移る。
【０１２７】
管理システム１は、ステップＳ１４０３の検索結果として得られたレコードの中で、変更前管理番号８５の登録内容が「なし」のレコードから順に、レコードを選択し、選択したレコードの個人情報リスト番号８２の登録番号が示す内容（例えば個人情報リスト番号８２が「ＩＴＥＭ１」ならば、個人情報項目管理テーブル１６０の個人情報項目リスト番号１６１が「ＩＴＥＭ１」のレコードの項目名１６２に登録されている内容）に対して、変更処理８４を実行する（ステップＳ１４０５）。
【０１２８】
次に、管理システム１は、後述するステップＳ１４０９からステップＳ１４１１の処理によって変更処理の適用範囲設定がなされているか否かを判定する（ステップＳ１４０６）。この判定結果の初期値（すなわち後述するステップＳ１４０８からステップＳ１４１１がまだ実行されていない時点で実行されたステップＳ１４０６の判定結果）は、「適用範囲設定はなされていない」である。適用範囲設定がなされていない場合、ステップＳ１４０８に移る。適用範囲設定がなされている場合、ステップＳ１４０７に移る。
【０１２９】
適用範囲設定がなされている場合、管理システム１は、その設定内容に従って、変更処理を追加実行する（ステップＳ１４０７）。この追加実行の例については後述する。
【０１３０】
次に、管理システム１は、ステップＳ１４０８からステップＳ１４１１において、ステップＳ１４０６で判定された変更処理の適用範囲設定を設定する。すなわち、管理システム１は、ステップＳ１４０５で選択したレコードの個人情報リスト番号８２に対する変更管理番号８１の登録内容と、別のレコードのうち個人情報リスト番号８２がステップＳ１４０５で選択したレコードのものと同一であるレコードの変更前管理番号８５の登録内容と、が一致する場合、ステップＳ１４０５で選択したレコードの適用範囲８６の登録内容によって、処理を分岐する。
【０１３１】
適用範囲８６の登録内容が「全て」の場合、ステップＳ１４０９へ移る。適用範囲８６の登録内容が「未来のみ」の場合、ステップＳ１４１０へ移る。適用範囲８６の登録内容が「過去のみ」の場合、ステップＳ１４１１に移る（ステップＳ１４０８）。
【０１３２】
ステップＳ１４０９において、管理システム１は、ステップＳ１４０５で選択したレコードの変更処理を、ステップＳ１４０９の処理以降全てに適用する処理として設定する。ステップ１４１０において、管理システム１は、ステップＳ１４０５で選択したレコードの変更処理を、ステップＳ１４１０の処理以降未来のみに適用する処理として設定する。ステップＳ１４１１において、管理システム１は、ステップＳ１４０５で選択したレコードの変更処理を、ステップＳ１４１１の処理以降過去のみに適用する処理として設定する。
【０１３３】
ここで、上記のステップＳ１４０９からステップＳ１４１１に至る変更処理の適用範囲設定に基づく処理について、図示した例に基づいて説明する。例えば、ステップＳ１４０５において、図１１の個人情報リスト変更管理テーブル８０の１番目のレコードが選択された場合、ステップＳ１４０８において、当該１番目のレコードの変更管理番号８１「ＣＨ＿Ｐ１」は、２番目のレコードの変更管理番号８１「ＣＨ＿Ｐ２」に対応する変更前管理番号８５の「ＣＨ＿Ｐ１」という登録内容と同一である。また、１番目のレコードの適用範囲８６は「全て」である。この場合、次回のステップＳ１４０５において２番目のレコードが選択され、その変更処理８４に登録された「ｘ２」が実行されたときに、その後のステップＳ１４０７において、１番目のレコードの変更処理８４に登録された「ｘ１」が追加実行されることになる。
【０１３４】
上記の例では、適用先８７の値が示すように、変更処理「ｘ１」は、図１２の登録番号２１１「ＳＵＢ１」に対応するデータファイル名２１３「ＤａｔａＦｉｌｅ１」のデータファイルの個人情報について適用される。一方、変更処理「ｘ２」は、登録番号２１１「ＳＵＢ３」に対応するデータファイル名２１３「ＤａｔａＦｉｌｅ３」のデータファイルの個人情報について適用される。そして、データファイル名２１３「ＤａｔａＦｉｌｅ３」のデータファイルは、データファイル名２１３「ＤａｔａＦｉｌｅ１」のデータファイルより後（すなわち未来）に登録されたものである。
【０１３５】
このため、仮に、１番目のレコードの適用範囲８６が「未来のみ」であったとすると、変更処理「ｘ２」が実行されたときに、変更処理「ｘ１」も追加実行される。一方、仮に、１番目のレコードの適用範囲８６が「過去のみ」であったとすると、変更処理「ｘ２」が実行されたときに、変更処理「ｘ１」は追加実行されない。
【０１３６】
なお、これらの変更処理「ｘ１」「ｘ２」の適用範囲の設定としてステップＳ１４０８では「全て」「未来のみ」及び「過去のみ」の３種を定義しているが、これ以外の範囲定義を行うことがあってもよい。
【０１３７】
ここで、管理システム１は、ステップＳ１４０１において受信した個人情報の取得要求の内容と、これまでに抽出した情報とが一致するかを確認する（ステップＳ１４１２）。一致する場合は、ステップＳ１４１３に移る。一致しない場合は、ステップＳ１４１４に移る。
【０１３８】
管理システム１は、ステップＳ１４１２において一致すると判定された場合、個人情報リスト変更管理テーブル８０の当該レコード（すなわちステップＳ１４０５で選択されたレコード）の適用先８７と一致する登録番号２１１を有する個人情報を含むデータリスト管理テーブル２１０のレコードのデータファイル名２１３の登録内容を取得する（ステップＳ１４１３）。本ステップで一致する適用先８７と登録番号２１１が無い場合、本ステップをスキップする。
【０１３９】
次に、管理システム１は、受信した個人情報取得要求に含まれるリスト番号と、個人情報リスト番号８２の登録内容とが一致する他のレコードを検索し、他のレコードがある場合、ステップＳ１４０５へ移る。他のレコードが無い場合、ステップＳ１４１５に移る（ステップＳ１４１４）。
【０１４０】
例えば、前回のステップＳ１４０５において、個人情報リスト変更管理テーブル８０の１番目のレコードが選択された場合、その後のステップＳ１４１４では、他のレコード（すなわち２番目のレコード）があると判定され、ステップＳ１４０５に戻る。そして、２回目のステップＳ１４０５において２番目のレコードが選択され、上記のステップＳ１４０６からステップＳ１４１４が実行される。そして、２回目のステップＳ１４１４において、他のレコードがないと判定される。
【０１４１】
以上のステップによって、図１１に示した個人情報リストに対する変更処理における個人情報取得要求に対する検索が行われることになる。
【０１４２】
以上のステップでは、図１１を中心とした個人情報リスト番号８２に対する処理（変更処理８４）を実行し、要求に対する応答用の結果として、データファイル名の一覧を取得できる。図１１に示したように、「ＣＨ＿Ｉ１」及び「ＣＨ＿Ｉ２」のように、複数の変更処理が実行された「ＩＴＥＭ１」は、リスト番号８２と変更処理８４の数式で示すことができる。
【０１４３】
例えば、ＣＨ＿Ｉ２時点のＩＴＥＭ１の内容は、ＩＴＥＭ１×ｙ２×ｙ１という数式で示すことができる。このように変更された内容を把握するにあたって、数式を組み立て、算出することによって、さまざまな範囲に対する処理を容易に定義でき、容易に計算によって現状のデータがどのような状態なのか（どのような過程を経て現在に至っているのか）などを把握が容易できる。このため、移転元データ管理者５などは、管理システム１を利用することで、管理を容易化することができる。
【０１４４】
以降のステップでは、図１０に示したデータの移転によって、個人情報を含むデータが他のサーバへ移転された場合の個人情報取得要求に対する検索を行う。
【０１４５】
管理システム１は、図１０移転管理テーブル７０のレコードから、個人情報管理番号７１または移転対象７９の登録内容と、図８個人情報管理テーブル５０の個人情報管理番号５１またはステップＳ１４１４までに検索した図１１個人情報リスト変更管理テーブル８０の適用先８７の登録内容とが一致する、レコードを検索する（ステップＳ１４１５）。
【０１４６】
次に、管理システム１は、ステップＳ１４１５の検索結果が存在するか否か判定する（ステップＳ１４１６）。結果が存在すると判定した場合、ステップＳ１４１７に移る。結果が存在しないと判定した場合、処理を終了する。
【０１４７】
ステップＳ１４１６において検索結果が存在すると判定した場合、管理システム１は、図１０の移転管理テーブル７０の変更７４の登録内容を確認する（ステップＳ１４１７）。登録内容が「なし」の場合、ステップＳ１４１９へ移る。登録内容が「なし」以外の場合、ステップＳ１４１８に移る。
【０１４８】
ステップＳ１４１７において変更７４の登録内容が「なし」以外の場合、管理システム１は、変更処理７７の登録内容を実行した結果である変更後データ管理番号７６に登録される管理番号が指し示す個人情報管理番号７１の登録内容が、ステップＳ１４０１で受信した要求に一致するか判定する（ステップＳ１４１８）。ステップＳ１４１８において、個人情報管理番号７１の登録内容が要求に一致すると判定された場合、ステップＳ１４１９に移る。ステップＳ１４１８において、要求に一致しないと判定された場合、ステップＳ１４２０に移る。
【０１４９】
ステップＳ１４１７で変更７４の登録内容が「なし」と判定されたか、または、ステップＳ１４１８で要求に一致すると判定された場合、管理システム１は、図１２の個人情報を含むデータリスト管理テーブル２１０のレコードのうち、登録番号２１１が移転管理テーブル７０の移転対象７９に登録された識別子と一致するレコードのデータファイル名２１３と、移転元７２及び移転先７３の登録内容とを取得する（ステップＳ１４１９）。
【０１５０】
次に、管理システム１は、ステップＳ１４１５の検索によって得られたすべてのレコードに対する処理を実行したか判定する（ステップＳ１４２０）。すべてのレコードに対する処理を実行したと判定した場合、管理システム１は、処理を終了する。未実行のレコードがある場合、ステップＳ１４１５に戻り、管理システム１は、未実行のレコードに対する処理を実行する。
【０１５１】
管理システム１上で、個人情報そのもの（オリジナルデータ）を管理する形態の場合は、図１９Ａ及び図１９Ｂに示した処理、及び図１８の処理を管理システム１が実行する形態となりうる。
【０１５２】
ここで、図１９Ａ及び図１９Ｂの処理の具体例を説明する。例えば、移転元サーバ２が、監査等を目的として、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含むデータを保持しているサーバを特定する必要が生じたと仮定する。この場合、ステップＳ１４０１において、管理システム１は、人物Ａを含む個人情報リストを識別する「ＬＩＳＴ１」、「ＬＩＳＴ２」、及び、ＰｒｏｘｙログのＭＡＣアドレスを指定した取得要求を移転元サーバ２から受信する。なお、図７の例では、ＰｒｏｘｙログのＭＡＣアドレスは、「ＩＴＥＭ１」に対応する。この場合、ステップＳ１４０２において図８の先頭の行が検索され、個人情報管理番号５１の値「ＩＤ１」が得られる。
【０１５３】
図１２のテーブル２１０に示すように、個人情報管理番号２１２の値「ＩＤ１」に対応する登録番号２１１の値が「ＳＵＢ１」から「ＳＵＢ３」であるとする。これは、「ＳＵＢ１」から「ＳＵＢ３」に対応するデータファイル名「ＤａｔａＦｉｌｅ１」から「ＤａｔａＦｉｌｅ３」が、「ＬＩＳＴ１」に含まれる人物に関するＰｒｏｘｙログを含み、そのＰｒｏｘｙログがＭＡＣアドレスを含んでいることを意味する。
【０１５４】
この場合、図１１のテーブル８０に、適用先８７が「ＳＵＢ１」から「ＳＵＢ３」のいずれかであり、かつ、個人情報リスト番号８２が「ＩＴＥＭ１」であるレコードが登録されていなければ、ステップＳ１４１２において、受信した個人情報の取得要求の内容とこれまでに抽出した情報とが一致すると判定される。そして、ステップＳ１４１３において、「ＳＵＢ１」から「ＳＵＢ３」に対応するデータファイル名「ＤａｔａＦｉｌｅ１」から「ＤａｔａＦｉｌｅ３」によって識別される三つのデータファイルが、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含む可能性があるデータとして検索される。
【０１５５】
ここで、例えば、図１１のテーブル８０に、適用先８７が「ＳＵＢ２」であり、個人情報リスト番号８２が「ＩＴＥＭ１」であり、適用範囲８６が「全て」であり、変更処理８４が個人情報としての管理対象からＭＡＣアドレスを削除することを示す値であるレコードが登録されていたと仮定する。この場合、データファイル名「ＤａｔａＦｉｌｅ１」から「ＤａｔａＦｉｌｅ３」によって識別される三つのデータファイルは、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含む可能性があるが、いずれにおいてもＭＡＣアドレスは個人情報としての管理の対象から除外される。このため、ステップＳ１４１２では受信した個人情報の取得要求の内容とこれまでに抽出した情報とが一致しないと判定され、ステップＳ１４１３は実行されない。
【０１５６】
また、上記の例において、適用範囲８６が「未来のみ」であったと仮定する。この場合、データファイル名「ＤａｔａＦｉｌｅ１」から「ＤａｔａＦｉｌｅ３」によって識別される三つのデータファイルは、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含む可能性があるが、これらのうち「ＳＵＢ２」以降に登録された「ＤａｔａＦｉｌｅ２」及び「ＤａｔａＦｉｌｅ３」のデータファイルにおいては、ＭＡＣアドレスが個人情報としての管理の対象から除外される。このため、ステップＳ１４１２では受信した個人情報の取得要求の内容とこれまでに抽出した情報とが一致すると判定され、ステップＳ１４１３では、データファイル名「ＤａｔａＦｉｌｅ１」によって識別されるデータファイルが、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含む可能性があるデータとして検索される。
【０１５７】
そして、例えば上記のようにステップＳ１４１３においてデータファイル名「ＤａｔａＦｉｌｅ１」によって識別されるデータファイルが、Ｐｒｏｘｙログに含まれる人物ＡのＭＡＣアドレスを含む可能性があるデータとして検索された場合、その後のステップＳ１４１５では、図１０の例の先頭の行が検索される。この行の登録内容から、データファイル名「ＤａｔａＦｉｌｅ１」によって識別されるデータファイルが、移転元「ＵＩＤ１」（例えば移転元サーバ２）から、移転先「ＵＩＤ２」（例えば移転先サーバ３）に移転したことが分かる。この例では、変更７４の登録内容が「なし」であるため（ステップＳ１４１７：Ｙｅｓ）、移転先では当該データファイルが変更されていない。この場合、ステップＳ１４１９では、上記の移転元「ＵＩＤ１」及び移転先「ＵＩＤ２」が取得される。
【０１５８】
仮に、変更７４に、Ｐｒｏｘｙログに含まれるＭＡＣアドレス以外の部分が変更されたことを示す情報が登録されていたとすると、ステップＳ１４１７では変更７４の登録内容が「なし」でないと判定されるが、ステップＳ１４１８では変更後の個人情報を識別する個人情報管理番号７１の登録内容が要求に一致すると判定される。そして、上記と同様にステップＳ１４１９が実行される。
【０１５９】
一方、変更７４に、Ｐｒｏｘｙログに含まれるＭＡＣアドレスが削除されたことを示す情報が登録されていたとすると、ステップＳ１４１７では変更７４の登録内容が「なし」でないと判定され、ステップＳ１４１８では変更後の個人情報を識別する個人情報管理番号７１の登録内容が要求に一致しないと判定される。この場合、ステップＳ１４１９は実行されない。
【０１６０】
移転先での変更を考慮しなくても、取得要求の対象の個人情報を保持している可能性がある移転先を特定することができる。しかし、上記のように移転先での変更を考慮することによって、既に対象の個人情報を保持していないことが明らかな移転先が検索から除外され、検索の精度が向上する。
【０１６１】
図２０は、本発明の実施例の管理システム１へ移転元サーバ２又は移転先サーバ３などからアクセスした場合に表示される画面例の説明図である。
【０１６２】
本実施例の管理システム１は、移転元サーバ２及び移転先サーバ３からアクセスされることを想定している。そのため、管理システム１にユーザ（例えば移転元データ管理者５及び移転先データ管理者６）を事前定義しておき、移転元サーバ２又は移転先サーバ３が管理システム１にアクセスしたときに、ユーザのログインによって、管理システム１は当該ユーザが移転元データ管理者５なのか移転先データ管理者６なのかといった識別を行う。その識別によって、管理システム１はログインユーザに対して画面上にログインユーザの管理下にある個人情報の管理情報を提示する。また、この画面を通じて、移転元サーバ２や移転先サーバ３を操作する管理者は、管理下にあるいずれかの管理情報を選択することで、移転許可、移転要求、リスト変更要求、及び個人情報取得要求などを実行できる。
【０１６３】
図２０には、移転元サーバ２の入出力装置１９３又は移転先サーバ３の入出力装置３０２によって表示される個人情報項目管理テーブル１５０の例を示す。個人情報項目管理テーブル１５０は、管理対象情報１５１及び移転許可済情報１５２を含む。管理対象情報１５１は、移転元サーバ２が保持している個人情報を管理するための情報であり、例えば、図８に示した個人情報管理テーブル５０と同一である。一方、移転許可済情報１５２は、移転元サーバ２が保持している個人情報のうち、移転先サーバ３への移転が許可されている個人情報を管理するための情報である。
【０１６４】
管理対象情報１５１及び移転許可済情報１５２の個人情報管理番号欄１５０１、所在地欄１５０２、カテゴリ欄１５０３、サイズ欄１５０４、子供上限年齢欄１５０５、個人情報リスト番号欄１５０６、個人情報項目リスト番号欄１５０７及び保管期限欄１５０８は、それぞれ、図８に示した個人情報管理テーブル５０の欄５１〜５８に対応する。
【０１６５】
本実施例では、個人情報を含むデータ（オリジナルデータ）は移転元サーバ２が保持し、管理システム１が個人情報を含まない属性データなどで構成される管理情報を管理する方式を述べた。しかし、移転先サーバ３が移転要求発行時に、オリジナルデータを管理システム１が保持しておき、移転先サーバ３から管理システム１へダウンロード等の要求を発行する形態もありえる。
【０１６６】
また、本実施例では、移転元サーバ２と移転先サーバ３とが別々の役割を持つ（すなわち、移転元サーバ２は常に個人情報の移転元であり、移転先サーバ３は常に個人情報の移転先である）と仮定して説明を行ってきた。しかし、デジタルデータを扱う性質上、データの変更や二次利用といったことに対応するには、固定的に移転元サーバ２と移転先サーバ３を扱うことなく、両サーバが柔軟に立場を変えて実行していく場合もあり得る。例えば、ネットワーク４に多数のサーバが接続され、それらのうちあるサーバが、ある個人情報を含むデータに関しては移転元サーバ２として動作し、別の個人情報を含むデータに関しては移転先サーバ３として動作してもよい。上記のような場合にも、上記の実施例を適用することができる。
【０１６７】
以上のように、本発明の実施例の個人情報管理システム（例えば管理システム１）は、プロセッサ（例えばＣＰＵ１８１）と、前記プロセッサがアクセス可能なメモリ（例えばメモリ１８５）と、を有する。メモリは、所定の規則に基づく管理の対象となる個人情報を含むデータを識別するデータリスト管理情報（例えば個人情報を含むデータリスト管理テーブル２１０）と、個人情報としての管理対象の変更を示す変更管理情報（例えば個人情報リスト変更管理テーブル８０）と、データの移転元及び移転先を示す移転管理情報（例えば移転管理テーブル７０）と、を保持する。プロセッサは、取得対象の個人情報を指定した取得要求を受信すると（例えばステップＳ１４０１）、データリスト管理情報及び変更管理情報に基づいて、指定された取得対象の個人情報を含む可能性があるデータを特定し（例えばステップＳ１４０２からステップＳ１４１３）、移転管理情報に基づいて、指定された取得対象の個人情報を含む可能性があるデータを保持する全ての移転元及び移転先を特定する（例えばステップＳ１４１５からステップＳ１４１９）。
【０１６８】
これによって、多量の個人情報を含むデータを管理する管理者は、個人情報の定義変更及び更新等が反映された個人情報の状況把握を容易に行うことができる。
【０１６９】
ここで、変更管理情報は、個人情報としての管理対象の変更の適用範囲を示す情報（例えば適用範囲８６）を含んでもよい。その場合、プロセッサは、適用範囲に含まれるデータに関して、個人情報としての管理対象の変更を適用した場合の（例えばステップＳ１４０６及びステップＳ１４０７）、指定された取得対象の個人情報を含む可能性があるデータを特定してもよい。
【０１７０】
より詳細には、データリスト管理情報は、データの履歴を管理する情報（例えば、登録番号２１１によって特定される登録順序、又は、管理システム登録時刻２１４等）を含んでもよく、適用範囲を示す情報は、変更の適用対象の時間範囲を指定する情報（例えば、全て、過去のみ又は未来のみ等）を含んでもよい。その場合、プロセッサは、変更の適用対象の時間範囲に含まれるデータに関して、個人情報としての管理対象の変更を適用した場合の（例えばステップＳ１４０６及びステップＳ１４０７）、指定された取得対象の個人情報を含む可能性があるデータを特定してもよい。
【０１７１】
これによって、個人情報の定義変更及び更新等が正確に反映された個人情報の状況把握を行うことができる。
【０１７２】
また、メモリは、データと、データに含まれる人物のリストを識別する情報（例えば個人情報リスト番号５６）と、データに含まれる個人情報の項目のリストを識別する情報（例えば個人情報項目リスト番号５７）と、を対応付ける個人情報管理情報（例えば個人情報管理テーブル５０）をさらに保持してもよい。その場合、取得要求は、人物のリストを識別する情報及び個人情報の項目を取得対象として指定する情報を含んでもよい。また、変更管理情報によって管理される個人情報としての管理対象の変更は、管理対象の個人情報の項目の追加又は削除の少なくともいずれかを含んでもよい。その場合、プロセッサは、取得要求に含まれる前記人物のリストを識別する情報に対応するデータに関して、変更管理情報に基づく個人情報の項目の追加又は削除が行われた個人情報の項目のリストと取得要求とを参照することによって、指定された取得対象の個人情報を含む可能性があるデータを特定してもよい（例えばステップＳ１４１２及びステップＳ１４１３）。
【０１７３】
これによって、個人情報の定義変更及び更新等が反映された個人情報の状況把握を容易に行うことができる。
【０１７４】
また、移転管理情報は、移転先で行われたデータの変更を示す情報（例えば変更７４）を含んでもよい。その場合、プロセッサは、移転先で行われたデータの変更を示す情報に基づいて、指定された取得対象の個人情報を含む可能性があるデータを保持する移転先を特定してもよい（例えばステップＳ１４１８及びステップＳ１４１９）。
【０１７５】
これによって、移転先で行われた個人情報の削除等を反映した精度の高い個人情報の状況把握が可能になる。
【０１７６】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したのであり、必ずしも説明の全ての構成を備えるものに限定されものではない。
【０１７７】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。
【０１７８】
また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１７９】
１…管理システム、２…移転元サーバ、３…移転先サーバ、４…ネットワーク
【図１】
2020021133.tif 000003
【図２】
2020021133.tif 000004
【図３】
2020021133.tif 000005
【図４】
2020021133.tif 000006
【図５】
2020021133.tif 000007
【図６】
2020021133.tif 000008
【図７】
2020021133.tif 000009
【図８】
2020021133.tif 000010
【図９】
2020021133.tif 000011
【図１０】
2020021133.tif 000012
【図１１】
2020021133.tif 000013
【図１２】
2020021133.tif 000014
【図１３】
2020021133.tif 000015
【図１４】
2020021133.tif 000016
【図１５】
2020021133.tif 000017
【図１６】
2020021133.tif 000018
【図１７】
2020021133.tif 000019
【図１８】
2020021133.tif 000020
【図１９Ａ】
2020021133.tif 000021
【図１９Ｂ】
2020021133.tif 000022
【図２０】
2020021133.tif 000023
【図２１】
2020021133.tif 000024