(57)【要約】【課題】  個人を特定することが困難な形態で個人情報を取り扱うことのできる個人情報管理システム、個人情報管理方法の提供。【解決手段】  第１の情報処理装置において、個人情報に含まれる当該個人を特定可能な部分を用いて作成した第１のユーザＩＤと、第１のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第１の匿名ＩＤとし、前記個人情報の前記第１のユーザＩＤを前記第１の匿名ＩＤに置き換えた第１の匿名個人情報を生成するステップと、第２の情報処理装置において、前記第１の匿名個人情報に含まれる前記第１の匿名ＩＤと、第２のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第２の匿名ＩＤとし、前記第１の匿名個人情報の前記第１の匿名ＩＤを前記第２の匿名ＩＤに置き換えた第２の匿名個人情報を生成するステップと、を含む。【選択図】  図１
2010237811.tif 000002
【特許請求の範囲】
【請求項１】
個人情報に含まれる当該個人を特定可能な部分と、第１のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第１の匿名ＩＤとし、前記個人情報の前記個人を特定可能な部分を前記第１の匿名ＩＤに置き換えた第１の匿名個人情報を生成する第１の情報処理装置と、
前記第１の情報処理装置にて生成された前記第１の匿名個人情報に含まれる前記第１の匿名ＩＤと、第２のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第２の匿名ＩＤとし、前記第１の匿名個人情報の前記第１の匿名ＩＤを前記第２の匿名ＩＤに置き換えた第２の匿名個人情報を生成する第２の情報処理装置と、を含む個人情報管理システム。
【請求項２】
前記第２の情報処理装置は、所定のタイミングで、前記第２の匿名個人情報に含まれる前記第２の匿名ＩＤと、新たに生成した鍵情報との鍵付きハッシュ値を生成して新しい匿名ＩＤとし、前記第２の匿名個人情報の前記第２の匿名ＩＤを前記新しい匿名ＩＤに置き換えて、第２の匿名個人情報を更新していく機能を備える請求項１の個人情報管理システム。
【請求項３】
前記個人情報に含まれる当該個人を特定可能な部分についての情報と、前記第１のユーザ固有の鍵の生成規則とを共有する複数のユーザが、それぞれ前記第１の情報処理装置を用いて、前記第２の情報処理装置に入力される前記第１の匿名個人情報を生成する請求項１または２の個人情報管理システム。
【請求項４】
前記第２の匿名個人情報を収集して、匿名データベースを生成する請求項１から３いずれか一の個人情報管理システム。
【請求項５】
前記匿名データベースを、予め定めたユーザに利用させる請求項４の個人情報管理システム。
【請求項６】
第１の情報処理装置において、個人情報に含まれる当該個人を特定可能な部分と、第１のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第１の匿名ＩＤとし、前記個人情報の前記個人を特定可能な部分を前記第１の匿名ＩＤに置き換えた第１の匿名個人情報を生成するステップと、
第２の情報処理装置において、前記第１の匿名個人情報に含まれる前記第１の匿名ＩＤと、第２のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第２の匿名ＩＤとし、前記第１の匿名個人情報の前記第１の匿名ＩＤを前記第２の匿名ＩＤに置き換えた第２の匿名個人情報を生成するステップと、を含む個人情報管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報管理システム及び個人情報管理方法に関し、特に、暗号技術を用いて容易に個人を特定できないような形態で個人情報を管理する個人情報管理システム及び個人情報管理方法に関する。
【背景技術】
【０００２】
オンラインショッピングや会員制のＷｅｂサイト等の利用が進み、様々な形態で個人情報を電子的に受け渡しすることが容易になってきている。店舗等のサービス提供者側では、電子メールによる商品紹介や誕生日に特典付きの情報を送付するなど、入手した個人情報を利用したセールスを行うことが可能になっている。また、サービス提供側では、利用者の購買履歴や趣味・趣向等を分析して、商品開発やマーケティングに活用している。
【０００３】
医療分野でも電子カルテの普及等により、病院内や他の医療機関との診療履歴の共有が行われている。このように店舗や医療機関等で個々に管理されている購買履歴や診療履歴といった個人の時系列的な情報は、１店舗だけでなく業界、病院だけでなく診療所、健診機関と収集範囲を広げて蓄積、分析することで更に有効活用できると考えられている。
【０００４】
経済産業省の「情報大航海プロジェクト」では、「次世代検索・解析技術」の普及を目指し、将来のＩＴ化社会のプラットフォームとして次の内容を示している（非特許文献１参照）。
（１）社会インフラのＩＴ化による新たなソーシャルサービス
医療情報の活用による高度な医療サービスの提供など、ＩＴを高度に活用し、より安心・安全な社会を実現する。
（２）プライバシーに配慮した未来型パーソナルサービス
利用者に関する様々な情報（プロファイル情報、行動履歴情報、等）を、プライバシーを保護しつつ安全に収集・蓄積し、様々なサービスとマッチングさせることにより、利用者のＴＰＯに合わせた、商品・サービス・情報を、安心・安全に取得できる社会を実現する。
【０００５】
上記非特許文献１でも示されているように、個人の時系列的な情報を二次的に利用するためには、機微なデータ（センシティブデータ）をも含む個人情報の保護策が必要となる。情報の収集範囲を広げて蓄積・分析する場合、個人情報保護法で義務付けられている個人情報の利用目的、利用範囲についての合意を得ることが困難になると考えられる。この課題を解決するための１つの手段として、個人情報を、個人を特定できないように加工して必要な情報だけを収集・蓄積することが求められている。
【０００６】
例えば特許文献１、２には、個人情報を含む健診結果、診療録などの医療・健康関係の情報を、匿名化して蓄積・管理し、情報提供者個人あるいは各種サービス提供者が利用できるようにした技術が公開されている。
【０００７】
また、特許文献３には、格納される個人データを暗号化せずに購買履歴を匿名ＩＤにより収集し個人情報を保護する技術も公開されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００４−１９２１７３号公報
【特許文献２】特開２００５−３４６２４８号公報
【特許文献３】特開２００５−３０１９７８号公報
【非特許文献】
【０００９】
【非特許文献１】経済産業省商務情報政策局情報処理振興課、“「情報大航海プロジェクト」について”、［online］、［平成21年3月7日検索］、インターネット〈URL：http://www.kantei.go.jp/jp/singi/titeki2/tyousakai/contents_brand/wg/kikaku/dai2/pdf/siryou2_3.pdf〉
【非特許文献２】ＲＦＣ２１０４  “ＨＭＡＣ：Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ”
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上記のような個人情報を匿名化する方法として、個人情報のハッシュ値を匿名ＩＤとして利用する技術が知られている。しかし、ハッシュアルゴリズム（ＳＨＡ−１、ＭＤ５等）は公知であり、個人情報が公開されているような有名・著名人、官公庁職員、弁護士、税理士等であれば、容易に匿名ＩＤを割り出されてしまうという問題点がある。例えば、特許文献３のように、格納される個人データを暗号化せずに収集する構成を採った場合、匿名ＩＤから個人を特定し、収集、蓄積した物品の購買履歴、医療／診断履歴等の「機微なデータ」ともいえる情報が第三者に知られてしまう恐れが生じてしまう。
【００１１】
また、特許文献１、２の構成を採った場合には、ＰＫＩ（Ｐｕｂｌｉｃ  ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）や生体情報を用いた厳密な個人認証のしくみや個人情報の暗号化等が必要となってくるため、システムが複雑かつ高価になることが懸念される。
【００１２】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、個人を特定することが困難な形態で個人情報を取り扱うことのできる個人情報管理システム及び個人情報管理方法を提供することにある。
【課題を解決するための手段】
【００１３】
本発明の第１の視点によれば、個人情報に含まれる当該個人を特定可能な部分を用いて作成した第１のユーザＩＤと、第１のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第１の匿名ＩＤとし、前記個人情報の前記第１のユーザＩＤを前記第１の匿名ＩＤに置き換えた第１の匿名個人情報を生成する第１の情報処理装置と、前記第１の情報処理装置にて生成された前記第１の匿名個人情報に含まれる前記第１の匿名ＩＤと、第２のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第２の匿名ＩＤとし、前記第１の匿名個人情報の前記第１の匿名ＩＤを前記第２の匿名ＩＤに置き換えた第２の匿名個人情報を生成する第２の情報処理装置と、を含む個人情報管理システムが提供される。
【００１４】
本発明の第２の視点によれば、第１の情報処理装置において、個人情報に含まれる当該個人を特定可能な部分を用いて作成した第１のユーザＩＤと、第１のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第１の匿名ＩＤとし、前記個人情報の前記第１のユーザＩＤを前記第１の匿名ＩＤに置き換えた第１の匿名個人情報を生成するステップと、第２の情報処理装置において、前記第１の匿名個人情報に含まれる前記第１の匿名ＩＤと、第２のユーザ固有の鍵情報との鍵付きハッシュ値を生成して第２の匿名ＩＤとし、前記第１の匿名個人情報の前記第１の匿名ＩＤを前記第２の匿名ＩＤに置き換えた第２の匿名個人情報を生成するステップと、を含む個人情報管理方法が提供される。
【発明の効果】
【００１５】
本発明によれば、個人情報を、個人を特定することが困難な形態に変換し管理することが可能となる。その理由は、少なくとも２つのユーザのみが知りうる鍵情報を用いて個人の鍵付きハッシュ値を生成し、これを匿名ＩＤとして用いる構成を採用したことにある。
【図面の簡単な説明】
【００１６】
【図１】本発明の概要を説明するための図である。
【図２】本発明の第１の実施形態に係る個人情報管理システムの構成を表したブロック図である。
【図３】匿名化される前の個人情報の一例（顧客ＤＢ）である。
【図４】本発明の第１の実施形態に係る個人情報管理システムの動作を説明するためのフローチャートである。
【図５】図２の個人情報のうち、個人を特定可能な部分を第１匿名ＩＤに置き換えた状態を示す図である。
【図６】図３の第１の匿名ＩＤを第２の匿名ＩＤに置き換えた状態を示す図である。
【発明を実施するための形態】
【００１７】
続いて、本発明の概要について図面を参照して詳細に説明する。図１は、本発明の概要を説明するための図である。図１の情報処理装置１は、個人情報３のうち当該個人を特定可能な部分と、第１のユーザ固有の鍵情報４との鍵付きハッシュ値（第１の匿名ＩＤ）を生成し、前記個人情報の前記個人を特定可能な部分を前記鍵付きハッシュ値（第１の匿名ＩＤ）に置き換えた第１の匿名個人情報６を生成する匿名ＩＤ生成部５を備える。
【００１８】
一方、図１の情報処理装置２は、第１の匿名個人情報６の前記鍵付きハッシュ値（第１の匿名ＩＤ）と、第２のユーザ固有の鍵情報７との鍵付きハッシュ値（第２の匿名ＩＤ）を生成し、前記第１の匿名個人情報６の前記第１の匿名ＩＤを前記鍵付きハッシュ値（第２の匿名ＩＤ）に置き換えた第２の匿名個人情報９を生成する匿名ＩＤ生成部８を備える。
【００１９】
上記情報処理装置１は、たとえば、個人情報を保持している各個人または各個人から個人情報を取得した事業者側の装置であり、上記情報処理装置２は、個人を特定できないように加工された情報を蓄積し、分析等を行う事業者側の装置である。
【００２０】
以上のように、鍵付きハッシュを用いて個人情報のうちの個人を特定可能な部分を、第１、第２の情報処理装置でそれぞれ暗号化しているため、少なくとも情報処理装置２のユーザ（第２のユーザ）が、第２の匿名ＩＤから個人を特定することは困難である。
【００２１】
情報処理装置２のユーザ（第２のユーザ）が、第１の情報処理装置１のユーザ（第１のユーザ）に対して、第２の匿名個人情報９の分析結果を伝えることで、第１の情報処理装置１のユーザ（第１のユーザ）は、各個人のＴＰＯに合わせた商品・サービス・情報の提供・提案等を受けることが可能になる。
【００２２】
［第１の実施形態］
続いて、本発明をより具体的な事例に適用した第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態に係る個人情報管理システムの構成を表したブロック図である。図２を参照すると、２つの情報提供者が使用する情報提供者端末１０と、情報収集者が使用する情報収集者端末２０とを含む個人情報管理システムが示されている。なお、図２の例では、２つの情報提供者端末１０と、１つの情報収集者端末２０を示しているが、この組み合わせに限らず、それぞれ複数あってもよい。
【００２３】
情報提供者端末１０は、それぞれ、鍵情報管理部１２と、匿名ＩＤ生成部１３と、を備えている。
【００２４】
情報収集者端末２０は、鍵情報管理部２２と、匿名ＩＤ生成部２３と、を備えている。
【００２５】
顧客ＤＢ１１は、例えば、図３に示すように、氏名、生年月日、性別、住所等の個人を特定可能な情報と、各個人の商品購入履歴やサービス利用履歴等とを含んだデータベースである。
【００２６】
情報提供者端末１０の鍵情報管理部１２は、鍵付きハッシュの鍵とする秘密の鍵情報（乱数Ｘ）を生成する。秘密の鍵情報（乱数Ｘ）の生成規則は、情報提供者間で予め決めておくものとする。
【００２７】
情報提供者端末１０の匿名ＩＤ生成部１３は、顧客ＤＢ１１のレコードのうち、予め情報提供者間で決めておいた匿名ＩＤの元とする部分（個人特定情報）と、前記秘密の鍵情報（乱数Ｘ）とを用いて鍵付きハッシュ値ＩＤＸ（第１匿名ＩＤ）を生成する。さらに、匿名ＩＤ生成部１３は、顧客ＤＢ１１の前記匿名ＩＤの元とする部分（個人特定情報）を、前記生成した鍵付きハッシュ値ＩＤＸ（第１匿名ＩＤ）に置き換えて、第１匿名データベース（第１匿名ＤＢ）１４を生成する。本実施形態では、図３に示した顧客ＤＢ１１の氏名、生年月日、性別、住所を、匿名ＩＤの元とする部分（個人特定情報）として用いるものとするが、氏名、生年月日、性別、住所のすべてを用いる必要はなく、例えば、氏名と住所だけを用いてその他は削除してしまってもよい。
【００２８】
鍵付きハッシュ値は、非特許文献２に記載されたＨＭＡＣ＝Ｈ（Ｋ  ＸＯＲ  ｏｐａｄ，Ｈ（Ｋ  ＸＯＲ  ｉｐａｄ，ｔｅｘｔ）にて生成することができる。ここで、Ｈは、繰り返し型ハッシュ関数、Ｋは秘密鍵（上述の乱数Ｘに相当）、ｔｅｘｔは、認証対象メッセージ（上述の匿名ＩＤの元とする部分（個人特定情報）に相当）を表す。また、定数ｉｐａｄ、ｏｐａｄは、２つの異なる固定文字列である。
【００２９】
情報収集者端末２０の第１匿名データベース（第１匿名ＤＢ）２１は、第三者が容易に入手できないような経路で、情報提供者端末１０から提供される。例えば、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を介して、第１匿名データベース（第１匿名ＤＢ）２１を送受信してもよいし、あるいは、第１匿名データベース（第１匿名ＤＢ）２１を適宜記録媒体に保存して情報収集者に送付し、情報収集者端末２０に読み取らせる方法を採用してもよい。
【００３０】
情報収集者端末２０の鍵情報管理部２２は、鍵付きハッシュの鍵とする秘密の鍵情報（乱数Ｙ）を生成・管理する。
【００３１】
情報収集者端末２０の匿名ＩＤ生成部２３は、第１匿名データベース（第１匿名ＤＢ）１４の鍵付きハッシュ値ＩＤＸ（第１匿名ＩＤ）と、前記秘密の鍵情報（乱数Ｙ）とを用いて鍵付きハッシュ値ＩＤＹ（第２匿名ＩＤ）を生成する。さらに、情報収集者端末２０の匿名ＩＤ生成部２３は、第１匿名データベース（第１匿名ＤＢ）１４の鍵付きハッシュ値ＩＤＸ（第１匿名ＩＤ）を、前記生成した鍵付きハッシュ値ＩＤＹ（第２匿名ＩＤ）に置き換えて、第２匿名データベース（第２匿名ＤＢ）２４を生成する。
【００３２】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図４は、本発明の第１の実施形態に係る個人情報管理システムの動作を説明するためのフローチャートである。
【００３３】
図４を参照するとまず、情報提供者端末１０が、顧客ＤＢ１１から匿名ＩＤの元とする個人特定情報を抽出し、匿名ＩＤ生成部１３にセットする（ステップＳ００１）。
【００３４】
また、情報提供者端末１０は、鍵情報管理部１２で秘密の鍵情報（乱数Ｘ）を生成し、匿名ＩＤ生成部１３にセットする（ステップＳ００２）。
【００３５】
次に、匿名ＩＤ生成部１３において、セットした各値を用いて鍵付きハッシュ値（匿名ＩＤＸ）を生成する（ステップＳ００３）。この鍵付きハッシュ値（匿名ＩＤＸ）を第１匿名ＩＤとする。
【００３６】
次に、情報提供者端末１０は、顧客ＤＢ１１の匿名ＩＤの元とする個人特定情報を、第１匿名ＩＤ（匿名ＩＤＸ）で置き換え、第１匿名データベース（第１匿名ＤＢ）１４を生成する（ステップＳ００４）。
【００３７】
図５は、図２の個人情報のうち、個人を特定可能な部分を第１匿名ＩＤに置き換えた状態を示す図である。この状態では、顧客ＤＢ１１の氏名、生年月日、性別、住所が隠蔽された状態となっているが、冒頭に述べたように、個人を特定されてしまう可能性が残っている。
【００３８】
情報提供者端末１０は、上記のように生成された第１匿名データベース（第１匿名ＤＢ）１４を出力する（ステップＳ００６）。出力された第１匿名データベース（第１匿名ＤＢ）１４は、適当な手段を用いて情報収集者側に送付される。
【００３９】
上記のようにして出力・送付された第１匿名データベース（第１匿名ＤＢ）１４を受け取った情報収集者が、情報収集者端末２０に第１匿名データベース（第１匿名ＤＢ）２１を入力し（ステップＳ１０１）、第１匿名データベース（第１匿名ＤＢ）２１から、第１匿名ＩＤ（匿名ＩＤＸ）を抽出し、匿名ＩＤ生成部２３にセットする（ステップＳ１０２）。
【００４０】
また、情報収集者端末２０は、鍵情報管理部２２で秘密の鍵情報（乱数Ｙ）を生成し、匿名ＩＤ生成部２３にセットする（ステップＳ１０３）。
【００４１】
次に、匿名ＩＤ生成部２３において、セットした各値を用いて鍵付きハッシュ値（匿名ＩＤＹ）を生成する（ステップＳ１０４）。この鍵付きハッシュ値（匿名ＩＤＹ）を第２匿名ＩＤとする。
【００４２】
次に、情報収集者端末２０は、第１匿名データベース（第１匿名ＤＢ）２１の第１匿名ＩＤ（匿名ＩＤＸ）を、第２匿名ＩＤ（匿名ＩＤＹ）で置き換え、第２匿名データベース（第２匿名ＤＢ）２４を生成する（ステップＳ１０５）。
【００４３】
図６は、図３の第１匿名ＩＤ（匿名ＩＤＸ）を第２匿名ＩＤ（匿名ＩＤＹ）に置き換えた状態を示す図である。この状態では、情報提供者および情報収集者の２つの鍵情報を入手できなければ、個人を特定することは不可能である。
【００４４】
情報収集者端末２０は、上記のように生成された第２匿名データベース（第２匿名ＤＢ）２４を収集し、分析等を行う（ステップＳ１０６）。
【００４５】
以上のとおり、本実施形態によれば、顧客データベース１１の内容を、個人を特定することが困難な形態に加工して分析等を行うことができる。
【００４６】
また、本実施形態では、情報提供者側と情報収集者側でそれぞれ鍵情報あるいはその生成規則を定めて、それぞれ管理することにより、秘密の鍵情報が漏えいした場合のリスクを軽減できる。
【００４７】
また、本実施形態では、仮に、情報提供者側で秘密の鍵情報が漏えいした場合であっても、情報収集者の鍵情報が漏えいしなければ匿名性を確保可能なため、鍵の交換や情報再登録等が不要となり、鍵管理の負荷とコストを抑えることができる。
【００４８】
また、本実施形態では、個人情報を匿名化してから情報収集・蓄積するため、情報収集者側で、個人情報を保有する必要がなく、個人情報漏洩のリスクがなくなるのはもちろんとして、情報提供者側から情報収集者側に、第１匿名データベース（第１匿名ＤＢ）１４を送受信する際の通信手段についても特別高度なセキュリティ対策は不要となる。
【００４９】
［第２の実施形態］
続いて、上記した第１の実施形態をベースとして、第２匿名ＩＤ（匿名ＩＤＹ）の更新機能を追加した本発明の第２の実施形態について説明する。以下、第２の実施形態は、上記した第１の実施形態と同様の構成にて実施可能であり、動作も共通するので、以下、その相違点（第２匿名ＩＤ（匿名ＩＤＹ）の更新機能）を中心に説明する。
【００５０】
上述した第２匿名データベース（第２匿名ＤＢ）２４の第２匿名ＩＤ（匿名ＩＤＹ）第２匿名ＩＤの生成に用いた秘密の鍵情報（乱数Ｙ）が漏えいした場合、情報収集者端末２０の鍵情報管理部２２で新たな秘密の鍵情報（乱数Ｙａ）を生成する。
【００５１】
そして、情報収集者端末２０は、第２匿名ＩＤ（匿名ＩＤＹ）と乱数Ｙａから鍵付きハッシュ値（匿名ＩＤＹａ）を生成し、第２匿名データベース（第２匿名ＤＢ）２４の第２匿名ＩＤ（匿名ＩＤＹ）を、新たに生成した匿名ＩＤ（匿名ＩＤＹａ）で置き換える処理を行う。
【００５２】
その後、情報提供者から追加の個人情報を入手した場合、情報収集者端末２０は、まず第１匿名ＩＤ（匿名ＩＤＸ）と鍵情報管理部２２で管理している旧鍵（乱数Ｙ）で鍵付きハッシュ値（匿名ＩＤＹ）を生成する。次に、情報収集者端末２０は、生成した第１の匿名ＩＤ（匿名ＩＤＹ）と新しい鍵（乱数Ｙａ）で鍵付きハッシュ値（匿名ＩＤＹａ）を生成し、第２匿名データベース（第２匿名ＤＢ）２４の一致する匿名ＩＤを有するレコードに追加登録する。
【００５３】
このようにして、情報収集者で鍵情報を生成順で管理し、鍵情報順に鍵付きハッシュを繰り返す第２の匿名データベース（第２匿名ＤＢ）２４の更新機能を実現することができる。これにより、情報提供者側の鍵情報を変えたり、個人情報の再提供を必要とすることなく、秘密の鍵情報（乱数Ｙ）の漏えいに対する対策を講じ、以降のデータの蓄積と分析を継続することが可能となる。
【００５４】
以上、本発明の実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。
【００５５】
例えば、上記した実施形態では、顧客ＤＢ１１は、各個人の商品購入履歴やサービス利用履歴等であるものとして説明したが、これらに限定されるものではなく、その他匿名化する必要のある個人情報であればよい。
【００５６】
また、情報収集者が自ら第２匿名データベース（第２匿名ＤＢ）２４の分析を行ってもよいが、予め定めたユーザに提供し、それぞれ異なる立場、異なる目的で分析等の利用を行わせてもよい。
【産業上の利用可能性】
【００５７】
本発明の個人情報管理システム及び個人情報管理方法の適用分野は種々考えられるが、例えば、以下のような用途に適用できる。
（１）個人のＷｅｂの閲覧履歴、購買履歴、あるいは、ＲＦＩＤやＧＰＳを利用した高精度な位置情報等を匿名化して収集、蓄積し、顧客行動と商品購買の関連性を分析し、新たな商品開発やＷｅｂ情報発信を効果的に行う。また、これらの成果を組み合わせて、新しいサービスを提供する（マッシュアップともいう。）。
（２）個人の検診・診療履歴を匿名化して収集、蓄積し、医療行為と疾患の因果関係、相関関係を分析し、新たな疾患の予兆の発見や、薬服用後の経過情報から最適な薬の処方に役立てる。
（３）個人の療法指導と行動（経過）履歴を匿名化して収集、蓄積し、行動／心理を分析し、新たな療法や効果的な指導に役立てる。
【符号の説明】
【００５８】
１、２  情報処理装置
３  個人情報
４  第１のユーザ固有の鍵情報（第１の鍵情報）
５、８  匿名ＩＤ生成部
６  第１の匿名個人情報
７  第２のユーザ固有の鍵情報（第２の鍵情報）
９  第２の匿名個人情報
１０  情報提供者端末
１１  顧客データベース（顧客ＤＢ）
１２、２２  鍵情報管理部
１３、２３  匿名ＩＤ生成部
１４、２１  第１匿名データベース（第１匿名ＤＢ）
２０  情報収集者端末
２２  鍵情報管理部
２４  第２匿名データベース（第２匿名ＤＢ）
【図１】
2010237811.tif 000003
【図２】
2010237811.tif 000004
【図３】
2010237811.tif 000005
【図４】
2010237811.tif 000006
【図５】
2010237811.tif 000007
【図６】
2010237811.tif 000008