【事件の表示】
　特願２０１２−２１１３９１「データ処理プログラム，データ処理装置及びデータ処理システム」拒絶査定不服審判事件〔平成２６年　４月１７日出願公開，特開２０１４−　６６８３１〕について，次のとおり審決する。
【結　論】
　本件審判の請求は，成り立たない。
【理　由】
第１　手続の経緯
　本願は，平成２４年９月２５日の出願であって，
　平成２８年３月２９日付けで審査官により拒絶理由が通知され，これに対して平成２８年６月６日付けで意見書が提出されると共に手続補正がなされたが，平成２８年１１月２９日付けで審査官により拒絶査定がなされ，これに対して平成２９年３月６日付けで審判請求がなされると共に手続補正がなされ，平成２９年５月３１日付けで審査官により特許法第１６４条第３項の規定に基づく報告がなされたものである。
第２　平成２９年３月６日付け手続補正書による補正の却下の決定
［補正の却下の決定の結論］
　平成２９年３月６日付け手続補正を却下する。
［理由］ 
１　本件補正の内容 
　平成２９年３月６日付けの手続補正（以下，これを「本件手続補正」という）により，平成２８年６月６日付けの手続補正により補正された特許請求の範囲，
「　【請求項１】
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出ステップと
　抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラムであって，
　前記抽出ステップにおいて，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する
　データ処理プログラム。
　　【請求項２】
　前記第１の秘匿化データは，前記第１のデータとは無関係に，かつ前記第１の秘匿化データに基づいて前記第１のデータが一意に特定できるように生成されたデータであり，
　前記第２の秘匿化データは，前記第２のデータとは無関係に，かつ前記第２の秘匿化データに基づいて前記第２のデータが一意に特定できるように生成されたデータである
　請求項１に記載のデータ処理プログラム。
　　【請求項３】
　前記第１のデータは，第１のレコードに含まれる第１の項目の値であり，
　前記第２のデータは，第２のレコードに含まれる第２の項目の値であり，
　前記第１の項目又は前記第２の項目を用いて表される条件を含む，前記第１のレコード又は前記第２のレコードを要求する問い合わせを受け付けるステップをさらに実行させる　請求項１又は２に記載のデータ処理プログラム。
　　【請求項４】
　秘匿化前の内容の一部が一致する第１のデータ及び第２のデータにそれぞれ対応付けられた，第１の秘匿化データ及び第２の秘匿化データの組み合わせを受信するステップと，
　前記第１のデータを前記第１の秘匿化データで置き換えた第１の秘匿化レコードと，前記第２のデータを前記第２の秘匿化データで置き換えた第２の秘匿化レコードとを保持する第２のデータ格納部から，受信した前記組み合わせを用いて，前記第１の秘匿化レコード若しくは前記第２の秘匿化レコードを抽出し，又は前記第１の秘匿化レコード及び前記第２の秘匿化レコードを集計するステップと，
　をコンピュータに実行させるためのデータ処理プログラム。
　　【請求項５】
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部と，
　前記データ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを抽出し，抽出された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出部と
　を有し，
　前記抽出部は，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する
　データ処理装置。
　　【請求項６】
　第１のレコードに含まれる第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のレコードに含まれる第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部と，
　前記データ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを抽出し，抽出された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出部と
　を有し，
　前記抽出部は，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する
　第１のデータ処理装置と，
　前記第１のレコードのうち前記第１のデータを前記第１の秘匿化データで置き換えた第１の秘匿化レコードと，前記第２のレコードのうち前記第２のデータを前記第２の秘匿化データで置き換えた第２の秘匿化レコードとを保持する第２のデータ格納部と，
　前記第１のデータ処理装置から前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを受信し，当該組み合わせを用いて前記第１の秘匿化レコードと前記第２の秘匿化レコードとを処理する処理部と
　を有する第２のデータ処理装置と
　を有するデータ処理システム。」（以下，上記引用の請求項各項を，「補正前の請求項」という）は，
「　【請求項１】
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出ステップと
　抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラムであって，
　前記抽出ステップにおいて，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出し，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である
　データ処理プログラム。
　　【請求項２】
　前記第１の秘匿化データは，前記第１のデータとは無関係に，かつ前記第１の秘匿化データに基づいて前記第１のデータが一意に特定できるように生成されたデータであり，
　前記第２の秘匿化データは，前記第２のデータとは無関係に，かつ前記第２の秘匿化データに基づいて前記第２のデータが一意に特定できるように生成されたデータである
　請求項１に記載のデータ処理プログラム。
　　【請求項３】
　前記第１のデータは，第１のレコードに含まれる第１の項目の値であり，
　前記第２のデータは，第２のレコードに含まれる第２の項目の値であり，
　前記第１の項目又は前記第２の項目を用いて表される条件を含む，前記第１のレコード又は前記第２のレコードを要求する問い合わせを受け付けるステップをさらに実行させる　請求項１又は２に記載のデータ処理プログラム。
　　【請求項４】
　秘匿化前の内容の一部が一致する第１のデータ及び第２のデータにそれぞれ対応付けられた，第１の秘匿化データ及び第２の秘匿化データの第１の組み合わせを受信するステップと，
　前記第１のデータを前記第１の秘匿化データで置き換えた第１の秘匿化レコードと，前記第２のデータを前記第２の秘匿化データで置き換えた第２の秘匿化レコードとを保持する第２のデータ格納部から，受信した前記第１の組み合わせを用いて，前記第１の秘匿化レコード若しくは前記第２の秘匿化レコードを抽出し，又は前記第１の秘匿化レコード及び前記第２の秘匿化レコードを集計するステップと，
　をコンピュータに実行させ，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１のデータは，前記第１の秘匿化データと対応付けて格納され，前記第２のデータは，前記第２の秘匿化データと対応付けて格納され，受信した前記第１の組み合わせの前記第１の秘匿化データ及び前記第２の秘匿化データに対応する，前記第１のデータ及び前記第２のデータの第２の組み合わせが抽出可能となる
　データ処理プログラム。
　　【請求項５】
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部と，
　前記データ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを抽出し，抽出された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出部と
　を有し，
　前記抽出部は，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出し，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である
　データ処理装置。
　　【請求項６】
　第１のレコードに含まれる第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のレコードに含まれる第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部と，
　前記データ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを抽出し，抽出された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出部と
　を有し，
　前記抽出部は，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出し，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である
　第１のデータ処理装置と，
　前記第１のレコードのうち前記第１のデータを前記第１の秘匿化データで置き換えた第１の秘匿化レコードと，前記第２のレコードのうち前記第２のデータを前記第２の秘匿化データで置き換えた第２の秘匿化レコードとを保持する第２のデータ格納部と，
　前記第１のデータ処理装置から前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを受信し，当該組み合わせを用いて前記第１の秘匿化レコードと前記第２の秘匿化レコードとを処理する処理部と
　を有する第２のデータ処理装置と
　を有するデータ処理システム。」（以下，上記引用の請求項各項を，「補正後の請求項」という）に補正された。
　
２．補正の適否
（１）新規事項
　本件手続補正が，特許法第１７条の２第３項の規定を満たすものであるか否か，すなわち，本件手続補正が，願書に最初に添付した明細書，特許請求の範囲又は図面（以下，これを「当初明細書等」という。）に記載した事項の範囲内でなされたものであるかについて，以下に検討する。
ア．当審の判断
　本件手続補正における具体的な補正事項は，
（ア）補正前の請求項１，５，６に記載の「前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する」の後に，
「前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である」，
　という内容を付加し，
（イ）補正前の請求項４に記載の「組み合わせ」という表現を，「第１の組み合わせ」という表現に変更し，
（ウ）同じく，補正前の請求項４に記載の「コンピュータに実行させ」と「データ処理プログラム」の間に，
「前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１のデータは，前記第１の秘匿化データと対応付けて格納され，前記第２のデータは，前記第２の秘匿化データと対応付けて格納され，受信した前記第１の組み合わせの前記第１の秘匿化データ及び前記第２の秘匿化データに対応する，前記第１のデータ及び前記第２のデータの第２の組み合わせが抽出可能となる」，
　という内容を付加するものである。
　上記（ア）と（ウ）において指摘した補正事項は，本件の当初明細書の段落００１２，００１７，００１８，００５９に記載された事項である。
　また，上記（イ），（ウ）において指摘した補正事項の「第１の組み合わせ」及び「第２の組み合わせ」という記載は，当初明細書等には記載されていない表現であるが，補正前の「組み合わせ」を，上記（ウ）で指摘した補正事項において言及する際，秘匿化前と秘匿化後のどちらにおけるデータの組み合わせであるかを特定するために「第１の組み合わせ」，「第２の組み合わせ」と表現したものと認められるから，当初明細書に記載された事項の範囲内でなされたものといえる。
イ．新規事項むすび
　したがって，本件手続補正は，特許法第１７条の２第３項の規定を満たす。
（２）目的要件
　上記「（１）新規事項」において指摘したとおり，本件手続補正が，当初明細書等の記載の範囲内でなされたものであるから，次に，本件手続補正が，特許法第１７条の２第５項の規定を満たすものであるか否かについて，以下に検討する。 
ア．当審の判断 
（ア）上記「（１）新規事項」のア．（ア），（ウ）において指摘した補正事項において，第１のデータと第２のデータとが「１以上の装置から受信されたもの」に限定され，このうち，第２のデータは，さらに「第１のデータに対応する項目のデータであ」るものに限定された。
　また，第１の秘匿化データと第２の秘匿化データに関して，「第１の秘匿化データを含むレコード」及び「第２の秘匿化データを含むレコード」を特定するとともに，これらのレコードが，「前記項目のデータが前記外部装置によって特定できないように生成され」るものに限定された。
　加えて，「所定の条件」が，「問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である」ものに限定された。
　そして，当該補正事項によって，補正前後で産業上の利用分野及び解決しようとする課題に変更がないのは明らかである。
（イ）上記「（１）新規事項」のア．（イ）において指摘した補正事項において，秘匿化データ及び第２の秘匿化データの「第１の組み合わせ」が，補正後の請求項４の記載において，「前記第１のデータ及び前記第２のデータの第２の組み合わせ」に対応したものに限定された。
　そして，当該補正事項によって，補正前後で産業上の利用分野及び解決しようとする課題に変更がないのは明らかである。
イ．目的要件むすび
　したがって，本件手続補正は，特許法第１７条の２第５項の規定を満たす。
（３）独立特許要件 
　本件手続補正は，上記「（１）新規事項」，「（２）目的要件」において検討したとおり，当初明細書等の記載の範囲内でなされたものであって，目的要件を満たすものであるので，次に，本件手続補正が，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定を満たすものであるか否か，即ち，補正後の請求項に記載されている事項により特定される発明が特許出願の際独立して特許を受けることができるものであるか否か，以下に検討する。 
ア．補正後の請求項に記載の発明 
　補正後の請求項１に係る発明（以下，これを「本件補正発明」という）は，上記「第２　平成２９年３月６日付けの手続補正の却下の決定」の「１．補正の内容」において，補正後の請求項１として引用した，次の記載のとおりのものである。 
 　 
「　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出ステップと
　抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラムであって，
　前記抽出ステップにおいて，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出し，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である
　データ処理プログラム。」 
 　 
イ．引用刊行物に記載の事項 
（ア）原審が，平成２８年３月２９日付けの拒絶理由（以下，これを「原審拒絶理由」という）において引用した，本願出願前に既に公知である，特開２０００−３２４０９４号公報（公開日：２０００年１１月２４日，以下，これを「引用刊行物１」という）には，関連する図面と共に，次の事項が記載されている（下線は，説明のため当審で付与した。以下，同様。）。 
 　 
Ａ　「【０００１】
【発明の属する技術分野】本発明は，特定の個人と関連付けられたデータの非個人化に関し，特に個人的データを開示することなく，複数のソースからのデータを非個人化する方法に関する。
…（中略）…
【０００６】
【課題を解決するための手段】本発明は，
コンピュータに実装される方法
に関し
データユーザに非個人化された形式でそのデータを配信できるようにする。「非個人化された形式で」とは，すなわちそのデータに関連付けられた個人の身元を明らかにすることなく，ということである。
個人識別情報のみが，信託機関 (ＴＴＰ (Trusted Third Party)) に提供される。ＴＴＰは，名前，住所または社会保障番号といった個人を識別するのに利用可能なデータベース内の全データを置換する識別子を生成する。ＴＴＰはまた，個人識別情報を収集，格納し，それによりＴＴＰは識別情報を処理し，
ＴＴＰによって生成された識別子が同一の個人に関連するか否かの判断を将来得ることができる。データプロバイダはＴＴＰにより提供された識別子を他のデータに関連付け，非個人化データを作成する。
【０００７】
【発明の実施の形態】本発明は，端的にいえば，個人を識別する機密情報を処理する方法および装置であり，これにより匿名でのデータ解析に利用可能となる。以下に説明される本発明の実施の形態では，機密情報を含むデータベースを所有するデータプロバイダは，その情報を２つの部分，すなわち識別情報と他の情報とに分割する。
識別情報を用いて，プロバイダは，自身のために固有識別子を生成する。
固有識別子は信託機関（ＴＴＰ）により生成され，または信託機関に登録されている。
Ｂ　「【０００８】本発明では，
「非個人化」という語は，識別情報がユーザデータレコードから削除され，固有識別子により置換される処理を説明するのに用いられ
「匿名化」や「符号化」という語をも含む。
【０００９】図１は，本発明の原理を利用できる例示的な情報ネットワークのハイレベルデータフロー図１１０である。この例においては，データプロバイダ１１２はデータベース１１４を所有または制御する。データベース１１４は，例えば，複数のデータレコードとして組織されている。各レコードは，１以上のデータフィールドを含む。各人のデータは単一レコードとして保持され，または複数のレコードにわたってリンクされている。各レコードのフィールドまたはフィールドの部分は，
個人を識別するのに利用可能なデータ，すなわち個人識別可能属性を含む。これらの属性は，例えば，「名前」，「住所」および「社会保障番号」を含む。
【００１０】
情報の識別に加えて，データベースは個人についての他の情報も含む。
識別情報はまた，非識別性人口統計データ，例えば，ある人の職業，郵便番号または電話のエリアコードを含むことができる。データベースレコード内の「他の情報」のタイプによって，この人口統計情報のいくつかは識別情報として分類できる。例えば，データレコードが機密性の高い医療情報を含む場合には，全郵便番号が識別情報として考慮され，部分的な郵便番号，例えば，５桁の郵便番号の上位３桁は識別情報とはならない。
【００１１】識別情報であると考えられる情報のタイプはデータベース内に格納されたデータのタイプとともに変化するので，データプロバイダは，個人のレコードにあるどの情報が識別情報であると考えられているのか，およびデータユーザの解析のためにどの情報が渡されるのかを決定できる。
データプロバイダ１１２は，データベースからファイル１１３を作成する。ファイルの各レコードは，データベース内の各レコードからの識別可能属性を有するフィールドを含む。ファイル１１３は，信託機関（ＴＴＰ）１１６に送られる。ＴＴＰ１１６は，識別属性と関連付けられた固有識別子を作成する。
不可逆的に固有の識別子を生成できる。
【００１２】固有の識別子を生成するために，ＴＴＰ１１６はまずファイル内のレコードから内部データベース１１５内のレコードまでの識別データを比較する。
内部データベース１１５は，あらかじめＴＴＰにより処理された識別情報を含む。このデータベースの各レコードはまた，データプロバイダを識別するソース識別子を含む。
ＴＴＰがそのデータベース内のデータに一致を見出さない場合
一意の識別子の各々は，そのデータプロバイダに固有のものである。
【００１３】別個の一意の識別子を割り当てて，別個のデータプロバイダのそれぞれにおいて同一人物を表すことにより，ＴＴＰは，あるデータプロバイダが別のプロバイダによって所有されるデータを識別できないことを確実にする。各データプロバイダはそのデータベース内のすべての人々について識別情報を有するので，仮に複数のプロバイダにおいて同一の一意の識別子が用いられている場合には，あるプロバイダは識別情報をリンクして，別のデータ供給者が所有する非個人化されたデータに関する情報を識別できる。これによりデータの秘密性がなくなることになる。
【００１４】
一意の識別子を取り出しまたは生成すると，ＴＴＰはその識別子をファイル１１３内の適当なレコードフィールドに格納する。
ＴＴＰ１１６はファイル１１３をデータプロバイダ１１２に戻す。データプロバイダは，もとのデータベースのレコードを含む新たなデータベース１２０を生成する。もとのデータベースからは識別可能な属性は除去され，一意の識別子に置換される。
データベース１２０はデータユーザ１１８に送られる。
…（中略）…
【００１６】本発明の例示的な実施の形態においては，個人は，データプロバイダによって所有され，制御されているデータベース内の複数のレコードを有する。加えて上で述べたように，
ＴＴＰ１１６は，複数のデータプロバイダからのある人物に関するデータを有している。
Ｃ　「【００６２】図３に示す
システムが複数のデータプロバイダに用いられる場合には，ＴＴＰ１１６により提供される相関するデータ３１０はまた，複数のデータプロバイダにより提供される一意の識別子またはレコード番号の間の関係を示すテーブルを含む。この情報を用いて，データユーザ１１８は
複数のプロバイダからのデータを関連付けることができる。
データユーザ１１８はそれから相関するデータ４１０をＴＴＰ１１６から直接受け取る。
【００６３】図４に示すシステムでは，
相関するデータ４１０は，データプロバイダ１１２の要求があるとＴＴＰ１１６によりデータユーザ１１８に提供され，またはデータユーザ１１８により要求される。
Ｄ　「【００６７】
非個人化されたデータの複数のソースへのリンクを可能にするため，各データプロバイダ
は，
識別データおよび一意の識別子を含むファイルをＴＴＰ１１６に提供する。ＴＴＰはこれらのファイルを相関させることにより各データプロバイダにより提供される識別情報レコード間の一致を割り出し，何らかの相関がある表示とともに一意の識別子を中央データベースに格納する。
…（中略）…
【００７６】ステップ８１２において，
小売店１１２ａおよび１１２ｂの各々は，個人の人口統計属性および個人の識別子を，各データレコードから抽出する。これらは小売店１１２ａおよび１１２ｂの各々がデータユーザ１１８
に送りたいと考えるデータである。
小売店１１２ａおよび１１２ｂが個人の人口統計属性および個人の識別子を単一の一意の識別子に置換することにより，非個人化されたデータを生成する。
小売店１１２ａおよび１１２ｂは，出荷取次店１１８に非個人化されたデータを送る。
ＴＴＰ１１６は，同一の個人にリンクする小売店１１２ａおよび１１２ｂに対する一意の識別子を相関情報として出荷取次店１１８に送
【００７７】ステップ８２２では，
出荷取次店は相関情報を用いてデータをリンクし，その市場調査を行う。
Ｅ　「【００７８】本発明の本実施の形態では，小売店１１２ａおよび１１２ｂは個人を識別可能などのような小売情報も提供することはないことに留意されたい。
小売店によって出荷取次店に提供される小売情報には，個人を識別可能な属性は存在しない。
【００７９】このプロセスのステップ９１０では，プロバイダＡ，プロバイダＢおよびプロバイダＣは各々個人を識別可能な情報を，内部データベース１１１から抽出し，ファイル１１３に入れる。ステップ９１２では，プロバイダＡ，プロバイダＢおよびプロバイダＣはファイルをＴＴＰ１１６に送る。
【００８０】ステップ９１４では，ＴＴＰ１１６は一致プロセスを用いて各個人を識別し，各レコードに符号化鍵を割り当てる。ステップ９１６では，ＴＴＰ１１６は対応する符号化鍵を有するファイルを，プロバイダＡ，プロバイダＢおよびプロバイダＣに送り返す。続いてステップ９１６では，プロバイダＡ，プロバイダＢおよびプロバイダＣは，製造業者１１８に送信を希望するレコードの各々に対する個人属性を，ＴＴＰ１１６から受け取られた符号化鍵に置き換える。またステップ９１８では，プロバイダＡ，プロバイダＢおよびプロバイダＣは製造業者１１８に符号化されたヘルスケア情報を送る。ステップ９２０では，製造業者は符号化されたヘルスケア情報ファイルを受け取り，ＴＴＰ１１６から相関するデータを得る。最後にステップ９２２では，製造業者はプロバイダＡ，プロバイダＢおよびプロバイダＣからのデータをリンクし，その調査を終了する。この調査は製造業者がどの個人を同定できるかに関係することなく終了する。」
（イ）本願出願前に既に公知である，特開２００６−１７２４３３号公報（公開日：２００６年６月２９日，以下，これを「参考文献１」という）には，関連する図面と共に，次の事項が記載されている。
Ｆ「【００２０】
　匿名サーバ装置３０は，情報提供装置２１，２２，２３，・・・からそれぞれ，半匿名化個人識別子及び個人関連情報を受信し，受信した半匿名化個人識別子に対して，後で述べる方法によって，匿名化処理を施して匿名化個人識別子を生成し，匿名サーバ装置３０内部に，匿名化個人識別子と個人関連情報とを対応付けて構成されるデータベースとして蓄積する。
【００２１】
　情報検索装置４１，４２，・・・は，それぞれ，外部から入力される検索依頼情報を匿名サーバ装置３０に送信して，検索依頼を行う。匿名サーバ装置３０は，情報検索装置４１，４２，・・・から送信された検索依頼情報に基づいて内部に蓄積しているデータベースを検索して，必要な個人関連情報を抽出して情報検索装置４１，４２，・・・へ送信する。」
Ｇ「【００６７】
　（２）情報記憶部３１７
　情報記憶部３１７は，複数の匿名化情報を記憶するための領域を備えている。
　各匿名化情報は，１組の個人特定情報及び個人関連情報に対応しており，匿名化情報識別子，匿名化個人識別子及び個人関連情報を含む。
　匿名化情報識別子は，当該匿名化情報識別子を含む匿名化情報を一意に識別する識別情報である。
【００６８】
　匿名化個人識別子は，当該匿名化個人識別子を含む匿名化情報に対応する個人特定情報に，式４による半匿名化処理及び後述する式６による匿名化処理を施して生成されたものである。
…（中略）…
【００７０】
…（中略）…
　このように，匿名化情報３５１，３６１，３７１にそれぞれ含まれる匿名化情報識別子３５２，３６２，３７２は，「０００００１」，「０００００２」，「０００００３」であって，それぞれ異なり，匿名化情報３５１，３６１，３７１を一意に識別している。
【００７１】
　また，匿名化情報３５１，３７１にそれぞれ含まれる匿名化個人識別子３５３，３７３は，それぞれ，「０１２３４５６・・・」，「０１２３４５６・・・」であって，匿名化個人識別子３５３と３７３とは同一の内容である。つまり，匿名化情報３５１及び３７１は，同一の患者Ａに関するものであることを示している。
…（中略）…
【００８０】
　ここで，検索依頼情報は，情報記憶部３１７に記憶されている複数の匿名化情報のうち，情報検索装置の操作者が取得したいと望む匿名化情報を特定するための条件を含んでいる。
　検索依頼情報の例を以下に示す。
（例１）「｛診療日＝２０００年１月１日以降｝かつ｛診断病名＝虫垂炎｝」
（例２）「匿名化個人識別子＝０１２３４５６・・・」
…（中略）…
【００８６】
　このとき，匿名化個人識別子からは患者の個人情報は分からないため，匿名化個人識別子を操作者に表示してもよいが，より厳重な匿名性を保つために匿名化個人識別子は操作者に表示しないようにしてもよい。
　但し，このとき，
操作者は，検索依頼情報として，
「匿名化情報識別子＝９８７６５の匿名化情報と同じ匿名化個人識別子を持つ匿名化情報」といった間接的に匿名化個人識別子を指定するような検索依頼情報の入力を
 …（中略）…
【０２４８】
 …（中略）…
　（１１）以上説明したように，本発明にかかる匿名情報システムは，提供情報の匿名性を確保しつつ，同一人物に関する情報だけを検索するという高性能の検索機能を実現するだけでなく，…（中略）…」
ウ．引用刊行物に記載の発明 
（ア）上記Ａの「個人識別情報のみが，信託機関 (ＴＴＰ (Trusted Third Party)) に提供される。ＴＴＰは，名前，住所または社会保障番号といった個人を識別するのに利用可能なデータベース内の全データを置換する識別子を生成する。ＴＴＰはまた，個人識別情報を収集，格納し，それによりＴＴＰは識別情報を処理し，データプロバイダまたはＴＴＰによって生成された識別子が同一の個人に関連するか否かの判断を将来得ることができる。」という記載，上記Ｂの「データプロバイダ１１２は，データベースからファイル１１３を作成する。ファイルの各レコードは，データベース内の各レコードからの識別可能属性を有するフィールドを含む。ファイル１１３は，信託機関（ＴＴＰ）１１６に送られる。ＴＴＰ１１６は，識別属性と関連付けられた固有識別子を作成する。」という記載，同じく，上記Ｂの「不可逆的に固有の識別子を生成できる。」という記載，及び，同じく上記Ｂの「内部データベース１１５は，あらかじめＴＴＰにより処理された識別情報を含む。」，「ＴＴＰがそのデータベース内のデータに一致を見出さない場合」という記載から，引用刊行物１は，“個人を識別できる識別可能属性と，当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子とを格納する信託機関の内部データベース”に関するものであることが読み取れる。
（イ）上記Ａの「ＴＴＰは，名前，住所または社会保障番号といった個人を識別するのに利用可能なデータベース内の全データ」という記載，上記Ｂの「個人を識別するのに利用可能なデータ，すなわち個人識別可能属性を含む。これらの属性は，例えば，「名前」，「住所」および「社会保障番号」を含む。」という記載，同じく上記Ｂの「情報の識別に加えて，データベースは個人についての他の情報も含む。」，及び，同じく上記Ｂの「識別情報はまた，非識別性人口統計データ，例えば，ある人の職業，郵便番号または電話のエリアコードを含むことができる。データベースレコード内の「他の情報」のタイプによって，この人口統計情報のいくつかは識別情報として分類できる。例えば，データレコードが機密性の高い医療情報を含む場合には，全郵便番号が識別情報として考慮され，部分的な郵便番号，例えば，５桁の郵便番号の上位３桁は識別情報とはならない。」という記載から，引用刊行物１において“名前，社会保障番号，電話のエリアコードなど”が“個人を識別できる識別可能属性”であることが読み取れる。
（ウ）上記Ｂの「ＴＴＰ１１６は，複数のデータプロバイダからのある人物に関するデータを有している。」という記載から，引用刊行物１において，“個人を識別できる識別可能属性は，信託機関が複数のデータプロバイダから取得したもの”であることが読み取れる。
（エ）上記Ａの「ＴＴＰはまた，個人識別情報を収集，格納し，それによりＴＴＰは識別情報を処理し，」「ＴＴＰによって生成された識別子が同一の個人に関連するか否かの判断を将来得ることができる。」という記載，同じく上記Ａの「データプロバイダはＴＴＰにより提供された識別子を他のデータに関連付け，非個人化データを作成する。非個人化データは，分析のためにデータユーザに送ることができる。」という記載，上記Ｃの「システムが複数のデータプロバイダに用いられる場合には，ＴＴＰ１１６により提供される相関するデータ３１０はまた，複数のデータプロバイダにより提供される一意の識別子またはレコード番号の間の関係を示すテーブルを含む。この情報を用いて，データユーザ１１８は」「複数のプロバイダからのデータを関連付けることができる。」という記載，上記Ｄの「ＴＴＰ１１６は，同一の個人にリンクする小売店１１２ａおよび１１２ｂに対する一意の識別子を相関情報として出荷取次店１１８に送」り，「出荷取次店は相関情報を用いてデータをリンクし，その市場調査を行う。」という記載から，引用刊行物１において，“データユーザが，複数のデータプロバイダからの非個人化データのうち，同一の個人に対応する非個人化データをリンクさせることができるよう，信託機関は，複数のデータプロバイダにより提供される一意の識別子の間の関係を示すテーブルを含む，相関するデータを提供する”ものであることが読み取れる。
　ここで，上記「一意の識別子」に関して，上記Ｂの「一意の識別子の各々は，そのデータプロバイダに固有のものである。」という記載，上記Ａの「識別情報を用いて，プロバイダは，自身のために固有識別子を生成する。」及び「固有識別子は信託機関（ＴＴＰ）により生成され，または信託機関に登録されている。」という記載から，一意の識別子も，固有識別子も，データプロバイダに固有であって，ＴＴＰによって作成される識別子であることから，一意の識別子と固有識別子とは，同一の識別子を表現しているものと解すことができる。
　そうすると，引用刊行物１において，“データユーザが，複数のデータプロバイダからの非個人化データのうち，同一の個人に対応する非個人化データをリンクさせることができるよう，信託機関は，複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータを提供する”ものであることが読み取れる。
（オ）上記（エ）における検討，及び，上記Ｄの「非個人化されたデータの複数のソースへのリンクを可能にするため，各データプロバイダ」「は，」「識別データおよび一意の識別子を含むファイルをＴＴＰ１１６に提供する。ＴＴＰはこれらのファイルを相関させることにより各データプロバイダにより提供される識別情報レコード間の一致を割り出し，何らかの相関がある表示とともに一意の識別子を中央データベースに格納する。」という記載から，引用刊行物１において，“相関するデータ”は，“信託機関の中央データベースに格納されている”ものであることが読み取れ，
　また，上記（エ）における検討，及び，上記Ｃの「データユーザ１１８はそれから相関するデータ４１０をＴＴＰ１１６から直接受け取る。」という記載，及び，同じく上記Ｃの「相関するデータ４１０は，データプロバイダ１１２の要求があるとＴＴＰ１１６によりデータユーザ１１８に提供され，またはデータユーザ１１８により要求される。」という記載から，引用刊行物１において，“相関するデータ”は，“信託機関が，データユーザから要求されて，データユーザに提供する”ものであることが読み取れるから，
引用刊行物１において，“信託機関の中央データベースから，データユーザからの要求に基づき，相関するデータを，データユーザへ提供する”ことが読み取れる。 
（カ）上記Ａの「コンピュータに実装される方法」「に関し」，「データユーザに非個人化された形式でそのデータを配信できるようにする。「非個人化された形式で」とは，すなわちそのデータに関連付けられた個人の身元を明らかにすることなく，ということである。」という記載，同じく上記Ａの「データプロバイダはＴＴＰにより提供された識別子を他のデータに関連付け，非個人化データを作成する。」という記載，上記Ｂの「「非個人化」という語は，識別情報がユーザデータレコードから削除され，固有識別子により置換される処理を説明するのに用いられ」，「「匿名化」や「符号化」という語をも含む。」という記載，上記Ｅの「小売店によって出荷取次店に提供される小売情報には，個人を識別可能な属性は存在しない。」という記載から，引用刊行物１において，“非個人化データは，当該データに関連付けられた個人の身元をデータユーザによって明らかにされないよう，データプロバイダが，識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成したものである，コンピュータに実装される方法”であることが読み取れる。
（キ）以上，（ア）乃至（カ）において検討した事項から，引用刊行物１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。 
　名前，社会保障番号，電話のエリアコードなどの，個人を識別できる識別可能属性と，当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子とを格納する信託機関の内部データベースから，
　データユーザが，複数のデータプロバイダからの非個人化データのうち，同一の個人に対応する非個人化データをリンクさせることができるよう，信託機関は，複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータを，データユーザからの要求に基づき，データユーザへ提供するものであって，
　前記個人を識別できる識別可能属性は，信託機関が複数のデータプロバイダから取得したものであり，非個人化データは，当該データに関連付けられた個人の身元をデータユーザによって明らかにされないよう，データプロバイダが，識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成したものである，コンピュータに実装される方法。
エ．本件補正発明と引用発明との対比 
（ア）引用発明の「名前，社会保障番号，電話のエリアコードなどの，個人を識別できる識別可能属性」は，個人に関するデータである点で，本件補正発明の「データ」に相当する。
　また，引用発明の「当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子」は，「不可逆的」であることから，固有識別子の情報から，これに関連付けられた識別可能属性を知ることができないという意味であるから，個人に関するデータを秘匿化したデータといえる。
　そうすると，引用発明の「当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子」は，本件補正発明の「秘匿化データ」に相当する。
　さらに，引用発明では，「前記個人を識別できる識別可能属性は，複数のデータプロバイダから取得したものであ」るところ，引用発明の，異なるデータプロバイダから取得した「識別可能属性」が，本件補正発明の「第１のデータ」，「第２のデータ」に相当し，引用発明の，異なるデータプロバイダから取得した「当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子」が，本件補正発明の「第１の秘匿化データ」，「第２の秘匿化データ」に相当する。
（イ）引用発明の「個人を識別できる識別可能属性と，当該識別可能属性に関連付けられた，不可逆的に生成された固有識別子とを格納する信託機関の内部データベース」は，上記（ア）における検討から，本件補正発明の「データ格納部」に相当する。
（ウ）引用発明の「複数のデータプロバイダからの非個人化データ」は，「識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成されたものである」ところ，上記識別子は，信託機関から提供される固有識別子であることは明らかであるから，上記（ア）における検討から，異なるデータプロバイダからの非個人化データは，それぞれ，本件補正発明の「秘匿化された第１のデータを含むレコード」，「秘匿化された第２のデータを含むレコード」に相当する。
（エ）引用発明の「複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータ」は，「データユーザが，複数のデータプロバイダからの非個人化データのうち，同一の個人に対応する非個人化データをリンクさせることができるよう」にするためのデータであり，ここで，「非個人化データは，」「識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成されたものであ」って，「個人を識別できる識別可能属性は，信託機関が複数のデータプロバイダから取得したものであ」るところ，上記「相関するデータ」は，同一の個人であるという条件を満たすと，すなわち，異なるデータプロバイダから取得した識別可能属性が一致する，と特定されると，特定した同一の個人に対応する，当該異なるデータプロバイダの固有識別子の組み合わせを抽出したテーブルを含むデータ，と言い換えることができる。
　そうすると，上記（ア）における検討から，引用発明の「複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータ」と，本件補正発明の「所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出」したものとは，“ある条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出”したものである点で共通し，
　引用発明の上記「相関するデータ」と，本件補正発明の「抽出ステップにおいて，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出」することとは，“内容が一致する第１のデータ及び第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，第１の秘匿化データ及び第２の秘匿化データの組み合わせを抽出したもの”である点で共通する。
（オ）引用発明の「データユーザ」は，本件補正発明の「外部装置」に相当し，引用発明の「相関するデータを，データユーザからの要求に基づき，データユーザへ提供する」ことは，本件補正発明の「抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップ」に相当する。
（カ）引用発明の，「前記個人を識別できる識別可能属性は，信託機関が複数のデータプロバイダから取得したものであ」ることは，本件補正発明の「前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであ」ることに相当する。
（キ）引用発明の「複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータ」は，上記（エ）において検討したとおり，同一の個人であるという条件を満たすと，すなわち，異なるデータプロバイダから取得した識別可能属性が一致する，と特定されると，特定した同一の個人に対応する，当該異なるデータプロバイダの固有識別子の組み合わせを抽出したテーブルを含むデータ，と言い換えることができる。
　そして，引用発明において，同一の個人である，すなわち，異なるデータプロバイダから取得した識別可能属性が一致する，ことを識別するためには，比較する対象の識別可能属性は，「名前，社会保障番号，電話のエリアコードなど」といった複数の識別可能属性のうち，同一の項目の識別可能属性（例えば「名前」）であることが必須であることは明らかである。
　そうすると，引用発明の「複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータ」は，本件補正発明の「前記第２のデータは，前記第１のデータに対応する項目のデータであ」ることに相当する。
　さらに，引用発明の上記「相関するデータ」は，本件補正発明の「前記所定の条件は，問い合わせによって要求された，前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという条件である」ことに対応し，両者は，“秘匿化前の前記第１のデータと前記第２のデータとが一致するという条件である”点で共通する。
（ク）引用発明の「非個人化データは，当該データに関連付けられた個人の身元をデータユーザによって明らかにされないよう，データプロバイダが，識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成したものである」ところ，秘匿化データを含む非個人化データは，識別可能属性を含まないため，識別可能属性がデータプロバイダによって特定できないように生成されたものである。
　したがって，引用発明の，「非個人化データは，当該データに関連付けられた個人の身元をデータユーザによって明らかにされないよう，データプロバイダが，識別可能属性を，信託機関により提供された識別子で置換し，これを他のデータに関連付けて作成したものである」ことは，本件補正発明の「前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され」たものであることに相当する。
（ケ）引用発明は「コンピュータに実装される方法」であるところ，方法を，コンピュータに実装するとは，当該方法を実施するためのデータ処理をコンピュータに行わせるプログラムを装備することを意味することは，当該技術分野の当業者にとって自明な事項である。
　したがって，引用発明の「コンピュータに実装される方法」は，後記の点で相違するものの，本件補正発明の「コンピュータに実行させるためのデータ処理プログラム」に相当する。
（コ）以上，（ア）〜（ケ）において検討した事項から，本件補正発明と，引用発明との一致点，及び，相違点は，次のとおりである。 
 　 
＜一致点＞ 
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，ある条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出ステップと
　抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラムであって，
　前記抽出ステップにおいて，前記データ格納部から，内容が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出し，
　前記第１のデータと前記第２のデータとは，１以上の装置から受信されたものであり，前記第２のデータは，前記第１のデータに対応する項目のデータであり，前記第１の秘匿化データを含むレコード及び前記第２の秘匿化データを含むレコードは前記項目のデータが前記外部装置によって特定できないように生成され，
　前記所定の条件は，前記項目の秘匿化前の前記第１のデータと前記第２のデータとが一致するという条件である
　データ処理プログラム。 
＜相違点１＞ 
　第１のデータ及び第２のデータの組み合わせを特定するための「ある条件」に関し，本件補正発明は，「抽出ステップ」を行う主体に対して発する，「問い合わせによ」る「要求」であるのに対して，引用発明では，データユーザが信託機関（のデータベース）に対して，問い合わせによる要求を発することについて言及されていない点。
＜相違点２＞ 
　第１のデータ及び第２のデータの組み合わせを特定するための「ある条件」に関し，本件補正発明は「前記項目の秘匿化前の前記第１のデータと前記第２のデータとの一部が一致するという」「所定の条件」であるのに対して，引用発明では，「同一の個人に対応する非個人化データをリンクさせることができる」，すなわち同一の個人であること，という条件が示されているものの，「同一の個人である」という条件の内容が，第１のデータと第２のデータとの一部が一致することを示すのか否かについて言及されていない点。
＜相違点３＞ 
　「抽出ステップ」に関し，本件補正発明は「内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定」するのに対して，引用発明は，「同一の個人である」ことの判断において，データの内容の一部が一致するかの判断を行っていることについて言及されていない点。
オ．相違点についての当審の判断
　上記相違点について検討する。
＜相違点１について＞
　引用発明では，「データユーザが，複数のデータプロバイダからの非個人化データのうち，同一の個人に対応する非個人化データをリンクさせることができるよう，信託機関は，複数のデータプロバイダにより提供される固有識別子の間の関係を示すテーブルを含む，相関するデータを，データユーザからの要求に基づき，データユーザへ提供する」ところ，データユーザが，信託機関（のデータベース）に相関するデータを要求するということは，異なるデータプロバイダから取得した非個人化データ（の固有識別子）のうち，同一の人物を示す識別可能属性の組み合わせに対応した，固有識別子の組み合わせを，信託機関（のデータベース）に要求していることに他ならない。
　そして，所望のデータを要求する手法として，参考文献１の上記Ｇの「操作者は，検索依頼情報として，」「「匿名化情報識別子＝９８７６５の匿名化情報と同じ匿名化個人識別子を持つ匿名化情報」といった間接的に匿名化個人識別子を指定するような検索依頼情報の入力を」する，という記載にあるとおり，匿名化情報（の情報識別子）のうち，同一の人物を示す匿名化個人識別子の組み合わせに対応した，匿名化情報（の情報識別子）の組み合わせを要求する検索条件を，データベースに要求することは，本願出願前に，当業者には周知の技術事項であったところ，引用発明のように，データベース側で，ある程度想定される条件に合致する情報を作成しておき，当該情報に対する要求に応じて送信するか，あるいは，上記周知技術のように，所定の条件に合致する情報を検索できるようにしておき，検索要求を受信すると，データベース側で検索の条件に合致する情報を作成，送信するかは，所定の条件が想定されるものであるか等に応じて，当業者が適宜なし得る設計的事項である。
　したがって，引用発明において，第１のデータ及び第２のデータの組み合わせを特定するための条件を，「抽出ステップ」を行う主体に対して発する，「問い合わせによ」る「要求」とすることは，参考文献１に示された周知技術に基づいて，当業者が容易に想到し得たことであり，相違点１は格別なものではない。
＜相違点２，３について＞
　相違点２，３は，ともに，２つのデータの内容の一部が一致する場合に，これらを組み合わせとして抽出する処理に関することであるので，まとめて検討する。
　引用発明では，識別可能属性として「電話のエリアコード」を挙げているところ，電話のエリアコードが電話番号の一部であることは明らかである。
　そして，同一の個人を特定するにあたり，データベースに格納されているデータによっては，必ずしも個人を一意に識別する識別子を用いなくとも，例えば，電話のエリアコードだけで特定できる場合も考えられることから，識別可能情報として電話のエリアコードを用い，信託機関が，相関するデータをデータユーザに提供するにあたり，内容の一部である電話のエリアコードが一致する，データプロバイダ毎の個人識別可能属性に基づいて，データプロバイダ毎の識別子の組み合わせを，内部データーベスから抽出して，相関するデータとするように構成することは，当業者が容易に想到し得たことである。
　したがって，相違点２，３は格別なものではない。
　上記で検討したごとく，相違点１乃至３に係る構成は当業者が容易に想到し得たものであり，本件補正発明の奏する作用効果も，引用発明，及び，参考文献１に記載の周知の技術事項から当業者ならば容易に予測することができる程度のものであって，格別顕著なものとはいえない。 
　以上のとおり，本件補正発明は，引用発明，及び，参考文献１に記載の周知の技術事項に基づいて当業者が容易に発明をすることができたものであるので，特許法第２９条第２項の規定により特許出願の際独立して特許を受けることができない。 
３．補正却下むすび 
　以上より，本件手続補正は，特許法第１７条の２第６項において準用する同法第１２６条第７項の規定に違反するので，同法第１５９条第１項の規定において読み替えて準用する同法第５３条第１項の規定により却下すべきものである。
　よって，補正却下の決定の結論のとおり決定する。
第３　本願発明について
　平成２９年３月６日付けの手続補正は，上記のとおり却下されたので，本願の請求項１に係る発明（以下，これを「本願発明」という）は，平成２８年６月６日付けの手続補正により補正された特許請求の範囲の請求項１に記載された，上記「第２　平成２９年３月６日付けの手続補正の却下の決定」の「１．補正の内容」において，補正前の請求項１として引用した，次のとおりのものである。
　
「　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する抽出ステップと
　抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラムであって，
　前記抽出ステップにおいて，前記データ格納部から，内容の一部が一致する前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応して保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する
　データ処理プログラム。」
第４　引用刊行物に記載の発明
（１）引用刊行物に記載の事項
　原審拒絶理由において引用された引用刊行物１には，上記「第２　平成２９年３月６日付け手続補正書による補正の却下の決定」の「２．補正の適否」における「（３）独立特許要件」の「イ．引用刊行物に記載の事項」において示した事項が記載されている。
（２）引用刊行物に記載の発明
（ア）上記Ａの「個人識別情報のみが，信託機関 (ＴＴＰ (Trusted Third Party)) に提供される。ＴＴＰは，名前，住所または社会保障番号といった個人を識別するのに利用可能なデータベース内の全データを置換する識別子を生成する。」という記載，上記Ｂの「データプロバイダ１１２は，データベースからファイル１１３を作成する。ファイルの各レコードは，データベース内の各レコードからの識別可能属性を有するフィールドを含む。ファイル１１３は，信託機関（ＴＴＰ）１１６に送られる。ＴＴＰ１１６は，識別属性と関連付けられた固有識別子を作成する。」という記載，同じく上記Ｂの「一意の識別子を取り出しまたは生成すると，ＴＴＰはその識別子をファイル１１３内の適当なレコードフィールドに格納する。」「ＴＴＰ１１６はファイル１１３をデータプロバイダ１１２に戻す。データプロバイダは，もとのデータベースのレコードを含む新たなデータベース１２０を生成する。もとのデータベースからは識別可能な属性は除去され，一意の識別子に置換される。」「データベース１２０はデータユーザ１１８に送られる。」という記載から，引用刊行物１は，“個人を識別できる識別可能属性を，信託機関により不可逆的に生成され，提供された固有識別子で置換し，これを他のデータに関連付けて作成した非個人化データを格納してなる，データプロバイダのデータベース”に関するものであることが読み取れる。
（イ）上記「第２　平成２９年３月６日付け手続補正書による補正の却下の決定」の「２．補正の適否」における「（３）独立特許要件」の「ウ．引用刊行物に記載の発明」の（イ）において示したように，引用刊行物１において“名前，社会保障番号，電話のエリアコードなど”が“個人を識別できる識別可能属性”であることが読み取れ，
　また，上記Ｂの「個人を識別するのに利用可能なデータ，すなわち個人識別可能属性を含む。これらの属性は，例えば，「名前」，「住所」および「社会保障番号」を含む。」という記載から，識別可能属性は“複数”あって，上記（ア）の検討から，“複数の識別可能属性を，固有識別子でそれぞれ置換する”ことが読み取れる。
（ウ）上記Ｄの「小売店１１２ａおよび１１２ｂの各々は，個人の人口統計属性および個人の識別子を，各データレコードから抽出する。これらは小売店１１２ａおよび１１２ｂの各々がデータユーザ１１８」「に送りたいと考えるデータである。」「小売店１１２ａおよび１１２ｂが個人の人口統計属性および個人の識別子を単一の一意の識別子に置換することにより，非個人化されたデータを生成する。」「小売店１１２ａおよび１１２ｂは，出荷取次店１１８に非個人化されたデータを送る。」という記載から，引用刊行物１において，“データプロバイダが，データユーザに送りたい識別可能属性を抽出し，当該識別可能属性を，当該識別可能属性に関連付けられた固有識別子で置換することにより，非個人化されたデータを生成し，前記非個人化されたデータをデータユーザへ提供するもの”であることが読み取れる。
（エ）上記「第２　平成２９年３月６日付け手続補正書による補正の却下の決定」の「２．補正の適否」における「（３）独立特許要件」の「ウ．引用刊行物に記載の発明」の（カ）において示したように，引用刊行物１は“コンピュータに実装される方法”に関するものであることが読み取れる。
（オ）以上，（ア）乃至（エ）において検討した事項から，引用刊行物１には，次の発明（以下，これを「引用発明」という）が記載されているものと認める。 
　名前，社会保障番号，電話のエリアコードなどの，個人を識別できる複数の識別可能属性を，信託機関により不可逆的に生成され，提供された固有識別子でそれぞれ置換し，これを他のデータに関連付けて作成した非個人化データを格納してなる，データプロバイダのデータベースから，
　データプロバイダが，データユーザに送りたい識別可能属性を抽出し，当該識別可能属性を，当該識別可能属性に関連付けられた固有識別子で置換することにより，非個人化されたデータを生成し，前記非個人化されたデータをデータユーザへ提供するものである，コンピュータに実装される方法。
第５　本願発明と引用発明との対比
 
（ア）引用発明の「名前，社会保障番号，電話のエリアコードなどの，個人を識別できる複数の識別可能属性」は，個人に関するデータである点で，本願発明の「データ」に相当する。
　また，引用発明は，「個人を識別できる複数の識別可能属性を，信託機関により不可逆的に生成され，提供された固有識別子でそれぞれ置換」するところ，「不可逆的」であることは，固有識別子の情報から，置換された識別可能属性を知ることができないという意味であるから，個人に関するデータを秘匿化したデータといえる。
　そうすると，引用発明の「信託機関により不可逆的に生成され，提供された固有識別子」は，本願発明の「秘匿化データ」に相当する。
　さらに，引用発明の「複数の識別可能属性」の各々が，本願発明の「第１のデータ」，「第２のデータ」に相当し，引用発明の「複数の識別可能属性」をそれぞれ置換する，「信託機関により不可逆的に生成され，提供された固有識別子」が，本件補正発明の「第１の秘匿化データ」，「第２の秘匿化データ」に相当する。
（イ）引用発明の「データプロバイダのデータベース」は，上記（ア）における検討から，本願発明の「データ格納部」に相当し，引用発明の「データユーザ」は，本願発明の「外部装置」に相当する。
（ウ）引用発明では，「データプロバイダのデータベースから，データプロバイダが，データユーザに送りたい識別可能属性を抽出し，当該識別可能属性を，当該識別可能属性に関連付けられた固有識別子で置換することにより，非個人化されたデータを生成し，前記非個人化されたデータをデータユーザへ提供する」ところ，データユーザに送りたい，という所定の条件に基づいて識別可能属性を特定し，特定された識別可能属性に関連付けられている固有識別子を抽出し，抽出した固有識別子を，データユーザへ送っているから，引用発明の，上記「データプロバイダのデータベースから，データプロバイダが，データユーザに送りたい識別可能属性を抽出し，当該識別可能属性を，当該識別可能属性に関連付けられた固有識別子で置換することにより，非個人化されたデータを生成し，前記非個人化されたデータをデータユーザへ提供する」ことと，本願発明の「所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出」し，「抽出された，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを外部装置に送信する」こととは，所定の条件に基づき秘匿化前のデータを特定し，特定された前記秘匿化前のデータに対応付けて保持されている，秘匿化データを抽出」し，「抽出された，前記秘匿化データを外部装置に送信する点で共通する。
（エ）引用発明は「コンピュータに実装される方法」であるところ，方法を，コンピュータに実装するとは，当該方法を実施するためのデータ処理をコンピュータに行わせるプログラムを装備することを意味することは，当該技術分野の当業者にとって自明な事項であるから，引用発明の「コンピュータに実装される方法」は，後記の点で相違するものの，本件補正発明の「コンピュータに実行させるためのデータ処理プログラム」に相当する。
（オ）以上，（ア）〜（エ）において検討した事項から，本願発明と，引用発明との一致点，及び，相違点は，次のとおりである。 
＜一致点＞
　第１のデータと，当該第１のデータを秘匿化した第１の秘匿化データとを対応付けて保持し，第２のデータと，当該第２のデータを秘匿化した第２の秘匿化データとを対応付けて保持するデータ格納部から，所定の条件に基づき秘匿化前のデータを特定し，特定された前記秘匿化前のデータに対応付けて保持されている，秘匿化データを抽出する抽出ステップと
　抽出された，秘匿化データを外部装置に送信するステップと
　をコンピュータに実行させるためのデータ処理プログラム。
＜相違点＞
　データ格納部から，秘匿化データを抽出する抽出ステップに関し，本願発明では，「内容の一部が一致する」という「所定の条件に基づき前記第１のデータ及び前記第２のデータの組み合わせを特定し，特定された前記第１のデータ及び前記第２のデータにそれぞれ対応付けて保持されている，前記第１の秘匿化データ及び前記第２の秘匿化データの組み合わせを抽出する」のに対して，引用発明では，“内容の一部が一致する”という所定の条件に基づいているのか不明であり，また，所定の条件に基づきデータの“組み合わせ”を特定することについては言及されていない点。
第６　相違点についての当審の判断
　引用発明において，名前や電話のエリアコードなど，個人を識別できる複数の識別可能属性を，固有識別子でそれぞれ置換し，これを他のデータに関連付けて作成した非個人化データから，所定の秘匿化データを抽出しているところ，例えば，ある集団に属する者（所定の条件に基づく第１，第２のデータの組み合わせ）に関して，各人の秘匿化データを抽出する（第１，第２のデータにそれぞれ対応付けて保持されている，第１，第２の秘匿化データの組み合わせを抽出する）ことによって，当該集団を分析することは，普通に行われていることであり，引用発明においても，分析内容に応じて，当業者が適宜なし得る設計的事項である。
　また，内容の一部が一致する，という条件に関しては，本件補正発明と，引用発明との＜相違点２，３＞と同じものであるから，上記「第２　平成２９年３月６日付け手続補正書による補正の却下の決定」の「２．補正の適否」における「（３）独立特許要件」の「オ．相違点についての当審の判断」において検討したとおりである。
　したがって，引用発明において，内容の一部が一致する第１のデータ及び第２のデータの組み合わせを特定し，これに対応する第１の秘匿化データ及び第２の秘匿化データの組み合わせを抽出することは，引用発明に基づいて，当業者が容易に想到し得たことであり，相違点は格別なものではない。
　そして，本願発明の奏する作用効果も，引用発明から当業者ならば容易に予測することができる程度のものであって，格別顕著なものとはいえない。
第７　むすび
　したがって，本願発明は，本願の特許出願前に日本国又は外国において頒布された刊行物に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明に基づいて当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができないものであり，他の請求項について検討するまでもなく，拒絶すべきものである。 
　よって，結論のとおり審決する。