(57)【要約】【課題】  作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させる。【解決手段】  匿名加工装置は、第１属性情報と第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得し、第１属性情報と同じセマンティック領域に属する第２属性情報が存在するか否かを判定し、第１属性情報と同じセマンティック領域に属する第２属性情報が存在する場合、セマンティック領域に属する第２属性情報についての個別加工ルール情報に基づいて、当該第１属性情報についての個別個人情報を加工して匿名加工情報を作成する匿名加工処理手段を備える。【選択図】  図１
2020042723.tif 000002
【特許請求の範囲】
【請求項１】
第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得し、前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する匿名加工処理手段
を備えることを特徴とする匿名加工装置。
【請求項２】
前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在しないと判定された場合、前記匿名加工処理手段は、当該第１属性情報の前記個別個人情報を加工しないことを特徴とする請求項１記載の匿名加工装置。
【請求項３】
前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在するか否かを判定する場合、前記匿名加工処理手段は、セマンティック辞書を参照することを特徴とする請求項１または２記載の匿名加工装置。
【請求項４】
前記セマンティック辞書は、少なくとも１つの前記セマンティック領域を含み、前記セマンティック領域は、概念的に同一と見なすことが可能な、少なくとも２つの文言を要素として含むことを特徴とする請求項３記載の匿名加工装置。
【請求項５】
請求項１乃至４のいずれか１項に記載の匿名加工装置と、
ユーザの情報処理装置と、
を備え、
前記匿名加工装置は、ネットワークを介して、前記情報処理装置と通信可能に接続され、
前記匿名加工装置は、前記情報処理装置の依頼に基づいて前記個人情報に対して匿名加工処理を実施することを特徴とする匿名加工システム。
【請求項６】
第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得し、
前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する
ことを特徴とする匿名加工方法。
【請求項７】
匿名加工装置のコンピュータに、
第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得する処理と、
前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する処理と
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報、特に、個人情報を匿名加工するための匿名加工装置、情報匿名化方法、およびプログラムに関する。
【背景技術】
【０００２】
個人情報の取得および流通（第三者への提供）を実現する場合には、本人の同意を得る必要がある。個人情報は、たとえば、生存する個人に関する情報であって、氏名、生年月日、住所等により特定の個人を識別できる情報である。
【０００３】
これに対して、匿名加工情報は、本人の同意を得る必要はない。匿名加工情報は、個人情報を加工した情報であり、個人を特定することができず、かつ、加工する前の個人情報へと戻すことができない状態にした情報のことである。従って、匿名加工情報は、個人情報とは異なり、比較的自由に利活用することができる。
【０００４】
上記に関連して、たとえば、特許文献１には、出現率および残存率に基づいて匿名化する属性を選択する技術が記載されている。特許文献２には、匿名化のための所定の匿名加工ルールに基づいて匿名化を行う技術が記載されている。なお、データに含まれる個人情報の所有者である個人のプライバシーを保護するための条件は、国によって定義が変わることがあるほか、時代によっても変化することがある。その変化に対応するため、特許文献３には、複数のプライバシー保護条件情報を用意しておく技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−２００６５９号公報
【特許文献２】特開２０１７−１６８１３０号公報
【特許文献３】特開２０１４−２２９０３９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
平成２８年（２０１６年）１１月に、日本の内閣府の外局である個人情報保護委員会から、「個人情報の保護に関する法律についてのガイドライン」が発行されるまで、匿名加工情報を加工するための匿名加工ルールの実施例となるガイドラインは存在しなかった。
【０００７】
また、匿名加工情報を作成する場合であっても、業者は、所定の匿名加工ルールを遵守しなければならない。上記において、業者とは、たとえば、匿名加工情報を保有する保有業者や、匿名加工情報を利活用する利活用業者のことである。また、上記において、所定の匿名加工ルールとは、個人を特定することができず、かつ、加工する前の個人情報へと戻すことができない状態を維持するためのルールのことである。この匿名加工ルールに従わなかった場合、法違反と判断される可能性がある。そこで、たとえば、保有業者は、法違反とならないように、個人を特定可能なデータ項目を、丸ごと削除する等して対応していた。
【０００８】
ここで、匿名加工ルール上の属性情報名と、個人情報の属性情報名とは必ずしも一致しない。たとえば、属性情報名が「氏名」であり、属性情報名が「名前」の場合である。従って、単に「属性情報名」同士の文言一致判定のみに基づいて匿名加工を行うか否かを判断する装置の場合、その属性情報が匿名加工の対象ではないと判断される場合がある。この場合、文言こそ一致しないが概念的には同一の意味を持つ属性情報名の個人情報が、匿名加工されずにそのまま流出してしまう虞がある。匿名化すべき情報をそのまま流出させた場合、その個人のプライバシーが侵されるだけでなく、流出させた業者については法違反と見なされる可能性もある。
【０００９】
そのような事態を回避するために、作業者が属性名同士を目視で比較するなどの対策が考えられる。しかしながら、全ての情報を目視で判断することは極めて困難であり、作業者の負担が増大するだけでなく、予期せぬ作業ミス（場合によっては情報流出に繋がるミス）が発生する可能性がある。
【００１０】
特許文献１−３の技術では、上記課題を解決することはほぼ不可能である。
【００１１】
本発明は、上記課題を解決するためになされたものであり、作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させることが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明の匿名加工装置は、第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得し、前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する匿名加工処理手段を備える。
【００１３】
本発明の匿名加工方法は、第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得し、前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成することを特徴とする。
【００１４】
本発明のプログラムは、匿名加工装置のコンピュータに、第１属性情報と前記第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報と前記第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得する処理と、前記第１属性情報と同じセマンティック領域に属する前記第２属性情報が存在するか否かを判定し、前記第１属性情報と同じ前記セマンティック領域に属する前記第２属性情報が存在する場合、前記セマンティック領域に属する前記第２属性情報についての前記個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する処理と、を実行させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】本発明の第１の実施形態に係る匿名加工装置の構成例を示すブロック図である。
【図２】図１に示される匿名加工装置の動作例（匿名加工方法）を説明するフローチャートである。
【図３】本発明の第２の実施形態に係る匿名加工装置の構成例を示すブロック図である。
【図４】個人情報のデータ構成例を示す。
【図５】匿名加工ルール情報のデータ構成例を示す。
【図６】公開用個人情報のデータ構成例を示す。
【図７】セマンティック領域のデータ構成例を示す。
【図８】図３に示される匿名加工装置の動作例（匿名加工方法）を説明するためのフローチャートである。
【図９】本発明の第３の実施形態に係る匿名加工装置の構成例を示すブロック図である。
【図１０】本発明の第４の実施形態に係る匿名加工システムの構成例を示すブロック図である。
【発明を実施するための形態】
【００１７】
［第１の実施形態］
図１は、本発明の第１の実施形態に係る匿名加工装置１０の構成例を示すブロック図である。匿名加工装置１０は、個人情報に対して匿名加工処理を実施して匿名加工情報を作成する装置である。
【００１８】
個人情報とは、生存する個人に関する情報であって、氏名、生年月日、住所等により特定の個人を識別できる情報のことである。一方、「個人情報の保護に関する法律についてのガイドライン」によれば、匿名加工情報とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報である。「個人情報の保護に関する法律についてのガイドライン」は、平成２８年（２０１６年）１１月に、日本の内閣府の外局である個人情報保護委員会から発行されたものである。以下、本書では、「個人情報の保護に関する法律についてのガイドライン」は、略して、「個人情報保護法ガイドライン」と呼ばれる。
【００１９】
匿名加工装置１０は、匿名加工処理部１４（匿名加工処理手段の一例）を備える。匿名加工処理部１４は、第１属性情報とその第１属性情報についての個別個人情報とを含む個人情報と、第２属性情報とその第２属性情報についての個別加工ルール情報とを含む匿名加工ルール情報とを取得する。
【００２０】
匿名加工処理部１４は、第１属性情報と同じセマンティック領域に属する第２属性情報が存在するか否かを判定する。
【００２１】
ここで、セマンティック領域とは、概念的に同一と見なすことが可能な、あるいは見なしても支障がない、複数の文言をグループ化したときのその一群の概念を指す。ここで、文言とは、具体的には、単語や品詞（たとえば、名詞）の総称した意味で使用する。セマンティック領域は、他に、たとえば、単に「セマンティック」、「セマンティックドメイン」、あるいは「意味領域」と呼ばれることもある。
【００２２】
第１属性情報と同じセマンティック領域に属する第２属性情報が存在する場合、匿名加工処理部１４は、同じセマンティック領域に属する第２属性情報についての個別加工ルール情報に基づいて、当該第１属性情報についての個別個人情報を加工して匿名加工情報を作成する。
【００２３】
匿名加工ルール情報は、法律に則ったガイドライン、たとえば、個人情報保護法ガイドラインに記載される加工についてのルールを電子データ化した情報である。匿名加工ルール情報は、たとえば、ルール情報データベースに格納される。そして、ルール情報データベースは、匿名加工装置１０の内部に存在してもよいし、匿名加工装置１０の外部に存在してもよい。ルール情報データベースが匿名加工装置１０の外部に存在する場合、ルール情報データベースは、所定の通信インタフェースを介して、匿名加工装置１０と通信可能に接続される。
【００２４】
図２は、図１に示される匿名加工装置１０の動作例（匿名加工方法）を説明するフローチャートである。なお、匿名加工処理の実施に先だって、ルール情報データベースには、上述した匿名加工ルール情報が予め格納されているものとする。また、以下の説明では、法律に則ったガイドラインが、たとえば、個人情報保護法ガイドラインである場合を例に挙げる。
【００２５】
まず、匿名加工処理部１４は、個人情報を取得する（ステップＳ１）。個人情報の取得方法は任意である。たとえば、個人情報は、匿名加工装置１０の内部に設けられる個人情報データベース（図１において不図示）から読み出されるか、あるいは、匿名加工装置１０の外部の装置から供給される。その後、匿名加工処理部１４は、匿名加工ルール情報を取得する。なお、匿名加工ルール情報の取得は、個人情報２００を取得する以前に完了していてもよい。
【００２６】
匿名加工処理部１４は、第１属性情報と同じセマンティック領域に属する第２属性情報が存在するか否かを判定する。
【００２７】
第１属性情報と同じセマンティック領域に属する第２属性情報が存在する場合、匿名加工処理部１４は、セマンティック領域に属する第２属性情報についての個別加工ルール情報に基づいて、当該第１属性情報についての前記個別個人情報を加工して匿名加工情報を作成する（ステップＳ２）。
【００２８】
なお、個人情報や匿名加工ルール情報の各内容、および匿名加工処理部１４における匿名加工処理については、以下の第２の実施形態にて説明するものが採用されてもよい。
【００２９】
以上説明した第１の実施形態において、匿名加工処理部１４は、第１属性情報と同じセマンティック領域に属する第２属性情報が存在する場合、同じセマンティック領域に属する第２属性情報についての個別加工ルール情報に基づいて、当該第１属性情報についての個別個人情報を加工する。上述したように、セマンティック領域とは、概念的に同一と見なすことが可能な、あるいは見なしても支障がない、複数の文言をグループ化したときのその一群の概念を指す。従って、文言一致はしないが、概念的には同一の属性情報名の個人情報が匿名加工されずにそのまま流出してしまう可能性は低くなる。さらに、同じセマンティック領域に属する第２属性情報が存在するか否かの判定自体は、人手（すなわち、作業者の目視確認等）ではなく、匿名加工装置１０により自動的に実行される。
【００３０】
従って、第１の実施形態によれば、作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させることが可能となる。
［第２の実施形態］
（構成の説明）
図３は、本発明の第２の実施形態に係る匿名加工装置１００の構成例を示すブロック図である。匿名加工装置１００は、図１に示す匿名加工装置１０を基本とする構成を含み、匿名加工装置１０と同様に、個人情報に対して匿名加工処理および匿名加工検索を実施して匿名加工情報を作成する。
【００３１】
匿名加工装置１００は、匿名加工処理部１０２（匿名加工処理手段の一例）と、個人情報データベース１０４と、ルール情報データベース１０６と、公開用個人情報データベース１０８と、セマンティック辞書１０９と、を備える。
【００３２】
個人情報データベース１０４は、個人情報２００を格納する。図４は、個人情報２００のデータ構成例を示す。個人情報２００は、属性を示す情報である第１属性情報２０２と、第１属性情報２０２の属性値を示す情報である個別個人情報２０４とで構成される。
【００３３】
図４では、個人情報２００が１つであり、第１属性情報２０２が４つの属性（たとえば、「名前」、「年齢」、「住所」、および「職業」）のそれぞれである場合が例示される。この場合、第１属性情報２０２の属性値である個別個人情報２０４は、４つの属性値（たとえば、「日電太郎」、「３９」、「神奈川県川崎市中原区」、および「会社員」）のそれぞれである。もちろん、個人情報２００の数は、２以上であってもよい。また、第１属性情報２０２の数は、３以下であってもよく、５以上であってもよい。
【００３４】
ルール情報データベース１０６は、法律に則ったガイドラインに記載される加工についてのルールを電子化した匿名加工ルール情報２１０を格納する。
【００３５】
本実施形態では、匿名加工ルール情報２１０が個人情報保護法ガイドラインに記載される匿名加工ルール情報である場合を例に挙げる。図５は、匿名加工ルール情報２１０のデータ構成例を示す。匿名加工ルール情報２１０は、図５に示されるように、第２属性情報２１２（たとえば、「氏名」、「年齢」、「住所」、および「職業」のそれぞれ）と、第２属性情報２１２の各々の加工ルールを表す個別加工ルール情報２１４（たとえば、「削除」、「一桁目を切り捨て」、「都道府県と市のみを残す」、および「残す」のそれぞれ）と、で構成される。もちろん、第２属性情報２１２の数は、３以下であってもよく、５以上であってもよい。
【００３６】
公開用個人情報データベース１０８は、少なくとも１つの個別個人情報２０４が匿名加工された個人情報であり、第三者に公開可能な公開用個人情報２２０を格納する。図６は、公開用個人情報２２０のデータ構成例を示す。公開用個人情報２２０は、加工済個別個人情報２２２（たとえば、「３０代」、「神奈川県川崎市」、および「会社員」のそれぞれ）で構成される。
【００３７】
セマンティック辞書１０９は、少なくとも１つのセマンティック領域２３０を含む。セマンティック領域とは、概念的に同一と見なすことが可能な、あるいは見なしても支障がない、複数の文言をグループ化したときのその一群の概念を指す。セマンティック領域は、他に、たとえば、単に「セマンティック」、「セマンティックドメイン」、あるいは「意味領域」などと呼ばれることもある。
【００３８】
図７は、セマンティック領域２３０のデータ構成例を示す。この場合、セマンティック領域２３０は、一例として、「ある人を識別する」概念を表しており、たとえば、「氏名」、「名前」、「人名」、「名」、「姓名」を、同一概念の要素として含む。
【００３９】
セマンティック辞書１０９は、匿名加工装置１００の提供者自らが作成したものであってもよいし、クラウドサービスとして無償で利用できるものを採用してもよい。
【００４０】
匿名加工処理部１０２は、基本的には、図１に示す匿名加工処理部１４と同様に、取得した個人情報２００に対して、匿名加工ルール情報２１０に基づいて匿名加工処理を実施する。
【００４１】
詳細には、匿名加工処理部１０２は、個人情報データベース１０４から個人情報２００を取得する。匿名加工処理部１０２は、第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在するか否かを判定する。換言すれば、匿名加工処理部１０２は、第１属性情報２０２と概念が共通する第２属性情報２１２が存在するか否かを判定する。
【００４２】
この判定において、セマンティック辞書１０９が用いられる。匿名加工処理部１０２は、セマンティック辞書１０９を参照し、第２属性情報２１２（たとえば、「氏名」）が属するセマンティック領域２３０を特定する。匿名加工処理部１０２は、特定したセマンティック領域２３０内の全要素（たとえば、図７の「氏名」、「名前」、「人名」、「名」、「姓名」）と、取得した個人情報２００内の全ての第１属性情報２０２とを比較する。
【００４３】
第１属性情報２０２が第２属性情報２１２と同一の「氏名」であった場合、当然のことながら第１属性情報２０２と第２属性情報２１２の概念は共通する。さらに、第１属性情報２０２が「名前」であった場合、文言自体は同一ではないが、「名前」はセマンティック領域２３０に含まれた要素の一つであるから、第１属性情報２０２と第２属性情報２１２の概念は共通すると判断できる。
【００４４】
第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在する場合、匿名加工処理部１０２は、当該第１属性情報２０２についての個別個人情報２０４を、同じセマンティック領域に属する第２属性情報２１２についての個別加工ルール情報２１４に基づいて匿名加工する。
【００４５】
匿名加工処理部１０２は、少なくとも１つの個別個人情報２０４が匿名加工された個人情報である公開用個人情報２２０を、公開用個人情報データベース１０８に格納する。
【００４６】
なお、個人情報２００には、匿名加工の対象とならない情報が含まれる場合がある。すなわち、個人情報２００には、匿名加工ルール情報２１０内の全ての第２属性情報２１２とセマンティックが一致しない第１属性情報２０２を有する情報が含まれる場合がある。このような情報は、本実施形態では、属性不一致情報と呼ばれる。属性不一致情報に対して匿名加工は実施されない。また、属性不一致情報の扱いは任意である。たとえば、属性不一致情報は、匿名加工処理されずにそのままの状態で公開用個人情報データベース１０８に格納されてもよい。
【００４７】
匿名加工処理部１０２は、たとえば、ＩＣ（Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の電子回路で構成されてもよい。あるいは、匿名加工処理部１０２は、コンピュータ（たとえば、ＣＰＵ（Central Processing Unit））がメモリに記憶されたプログラムを実行する構成であってもよい。もちろん、匿名加工処理部１０２は、電子回路とコンピュータの組み合わせにて構成されてもよい。
（動作の説明）
図８は、図３に示す匿名加工装置１００の動作例（匿名加工方法）を説明するためのフローチャートである。なお、具体的には、図８で説明するステップＳ１０〜Ｓ１４は、匿名加工処理部１０２で実行される処理を説明するものである。これらの処理の実施に先だって、ルール情報データベース１０６には、匿名加工ルール情報２１０が予め格納されているものとする。
【００４８】
匿名加工処理部１０２は、たとえば、個人情報データベース１０４から、個人情報２００を取得する（ステップＳ１０）。個人情報２００の取得を契機として、匿名加工処理部１０２は、ルール情報データベース１０６から匿名加工ルール情報２１０を取得する。なお、匿名加工ルール情報２１０の取得は、個人情報２００を取得する以前に完了していてもよい。
【００４９】
匿名加工処理部１０２は、第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在するか否かを判定する（ステップＳ１１）。たとえば、上述したように、匿名加工処理部１０２は、セマンティック辞書１０９を参照し、第２属性情報２１２（たとえば、「氏名」）が属するセマンティック領域２３０を特定する。匿名加工処理部１０２は、特定したセマンティック領域２３０内の全要素（たとえば、図７の「氏名」、「名前」、「人名」、「名」、「姓名」）と、取得した個人情報２００の全ての第１属性情報２０２とを比較する。第２属性情報２１２が存在しない情報は、上述したとおり、属性不一致情報と呼ばれる。
【００５０】
第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在する場合（ステップＳ１１においてＹｅｓ）、匿名加工処理部１０２は、当該第１属性情報２０２についての個別個人情報２０４を、同じセマンティック領域に属する第２属性情報２１２についての個別加工ルール情報２１４に基づいて匿名加工する（ステップＳ１２）。
【００５１】
たとえば、ある１つの第１属性情報２０２が「名前」で、匿名加工処理部１０２は、第１属性情報２０２が「氏名」の場合、属性情報名は一致しないがセマンティックが一致するため、個別個人情報２０４の「日電太郎」を、「氏名」の個別加工ルール情報２１４が「削除」であることから、これに従い削除する。
【００５２】
一方、第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在しない場合（ステップＳ１１においてＮｏ）、匿名加工処理部１０２は、当該第１属性情報２０２の個別個人情報２０４に対して匿名加工処理を実施しない（ステップＳ１３）。
【００５３】
なお、図８では示されてはいないが、ある１つの個人情報２００の全ての第１属性情報２０２についての総当たり比較が終了されるまで、ステップＳ１１〜Ｓ１３の処理が繰り返し実行される。さらに、個人情報データベース１０４に複数の個人情報２００が格納されている場合には、全ての個人情報２００についての処理が終了するまで、ステップＳ１０〜Ｓ１３の処理が繰り返し実行される。
【００５４】
匿名加工処理部１０２は、個別個人情報２０４が匿名加工された個人情報である公開用個人情報２２０を、公開用個人情報データベース１０８に格納する（ステップＳ１４）。匿名加工処理部１０２は、たとえば図６に示される公開用個人情報２２０を、公開用個人情報データベース１０８に格納する。図６は、図４に示される個人情報２００が、図５に示される匿名加工ルール情報２１０に基づいて匿名加工した公開用個人情報２２０を示している。
（効果の説明）
以上説明した第２の実施形態において、匿名加工処理部１０２は、第１属性情報２０２と同じセマンティック領域に属する第２属性情報２１２が存在する場合、同じセマンティック領域に属する第２属性情報２１２についての個別加工ルール情報２１４に基づいて、当該第１属性情報２０２についての個別個人情報を加工する。上述したように、セマンティック領域とは、概念的に同一と見なすことが可能な、あるいは見なしても支障がない、複数の文言をグループ化したときのその一群の概念を指す。従って、文言一致はしないが、概念的には同一の属性情報名の個人情報が匿名加工されずにそのまま流出してしまう可能性は低くなる。さらに、同じセマンティック領域に属する第２属性情報２１２が存在するか否かの判定自体は、人手（すなわち、作業者の目視確認等）ではなく、匿名加工装置１００により自動的に実施される。
【００５５】
従って、第２の実施形態によれば、作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させることが可能となる。
【００５６】
なお、以上説明した第２の実施形態では、個人情報２００を格納する個人情報データベース１０４が匿名加工装置１００に内蔵されている例が示されているが、個人情報データベース１０４は、匿名加工装置１００の外部にあってもよい。ただし、その場合、個人情報データベース１０４と匿名加工装置１００との間のネットワークには、個人情報が漏洩しないような対策が施されている。
【００５７】
また、第２実施形態では、セマンティック辞書１０９が匿名加工装置１００に内蔵されている例が示されているが、セマンティック辞書１０９は、匿名加工装置１００の外部にあってもよい。
［第３の実施形態］
図９は、本発明の第３の実施形態に係る匿名加工装置３００の構成例を示すブロック図であり、詳細には、図１に示す匿名加工装置１０、または図３に示す匿名加工装置１００を、コンピュータによって実現した匿名加工装置３００のブロック図である。匿名加工装置３００は、記憶装置３０２と、プロセッサ等を含む演算装置３０４（コンピュータ）と、を備える。記憶装置３０２は、コンピュータ読み取り可能な記録媒体であり、コンピュータプログラム３５０を記憶する。コンピュータプログラム３５０は、たとえば、第１の実施形態で説明した動作や第２の実施形態で説明した動作を演算装置３０４に実行させるためのプログラムである。たとえば、コンピュータプログラム３５０は、法律に則ったガイドラインに記載される加工についてのルールを電子データ化した匿名加工ルール情報を格納するルール情報データベースから、匿名加工ルール情報を取得し、取得した匿名加工ルール情報に基づいて個人情報を加工して匿名加工情報を作成する処理である。
【００５８】
なお、演算装置３０４の例としては、たとえば、プログラムを読み取り実行する、１つまたはそれ以上のＣＰＵと、ＣＰＵが実行する命令を記憶するメモリを挙げることができる。また、コンピュータ読み取り可能な記録媒体は、たとえば、非一時的な記憶装置である。非一時的な記憶装置の例としては、たとえば、光ディスク、磁気ディスク、ＲＯＭ（Read Only Memory）、不揮発性半導体メモリ等の可搬媒体、コンピュータシステムに内蔵されるハードディスクを挙げることができる。また、コンピュータ読み取り可能な記録媒体は、一時的な記憶装置であってもよい。一時的な記憶装置の例としては、たとえば、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の信号線、あるいは、コンピュータシステム内部の揮発性メモリを挙げることができる。
【００５９】
以上説明した第３の実施形態によれば、第１および第２の実施形態と同様に、第３の実施形態によれば、作業者の作業負担を増大させることなく、プライバシー侵害や法違反のリスクを低減させることが可能となる。
［第４の実施形態］
図１０は、本発明の第４の実施形態に係る匿名加工システム４００の構成例を示すブロック図である。匿名加工システム４００は、匿名加工装置４０２と、情報処理装置４０４と、を備える。
【００６０】
匿名加工装置４０２は、インターネット等のネットワーク４０６を介して、情報処理装置４０４と通信可能に接続される。
【００６１】
情報処理装置４０４は、個人情報についての匿名加工処理を所望するユーザの装置である。匿名加工装置４０２は、たとえば、第１〜３の実施形態のいずれかの匿名加工装置である。匿名加工装置４０２は、情報処理装置４０４の依頼に基づいて個人情報に対して匿名加工処理を実施する。匿名加工処理は、上述したとおりである。
【００６２】
以上説明した第４の実施形態によれば、たとえば、匿名加工装置４０２をクラウド上に設けることが可能となる。すなわち、本実施形態によれば、ネットワーク越しに匿名加工サービスを提供することが可能となる。その場合、第１〜第３の実施形態による効果が達成されることは説明するまでもない。
【００６３】
以上、各実施形態を用いて本発明を説明したが、本発明の技術的範囲は、上記各実施形態の記載に限定されない。上記各実施形態に多様な変更又は改良を加えることが可能であることは当業者にとって自明である。従って、そのような変更又は改良を加えた形態もまた本発明の技術的範囲に含まれることは説明するまでもない。また、以上説明した各実施形態において使用される、数値や各構成の名称等は例示的なものであり適宜変更可能である。
【符号の説明】
【００６４】
１０  匿名加工装置
１４  匿名加工処理部
１００  匿名加工装置
１０２  匿名加工処理部
１０４  個人情報データベース
１０６  ルール情報データベース
１０８  公開用個人情報データベース
１０９  セマンティック辞書
２００  個人情報
２０２  第１属性情報
２０４  個別個人情報
２１０  匿名加工ルール情報
２１２  第２属性情報
２１４  個別加工ルール情報
２２０  公開用個人情報
２３０  セマンティック領域
３００  匿名加工装置
３０２  記憶装置
３０４  演算装置
３５０  コンピュータプログラム
４００  匿名加工システム
４０２  匿名加工装置
４０４  情報処理装置
４０６  ネットワーク
【図１】
2020042723.tif 000003
【図２】
2020042723.tif 000004
【図３】
2020042723.tif 000005
【図４】
2020042723.tif 000006
【図５】
2020042723.tif 000007
【図６】
2020042723.tif 000008
【図７】
2020042723.tif 000009
【図８】
2020042723.tif 000010
【図９】
2020042723.tif 000011
【図１０】
2020042723.tif 000012