(57)【要約】【課題】個人情報を含むデータを収集して配信するシステムにおいて、データ提供者のプライバシを保護しつつ、データ利用者にとって活用しやすいように加工したデータを提供する。【解決手段】個人情報を含むデータを収集してユーザ端末に配信する情報提供装置において、個人情報の所有者である個人が利用を許諾したデータに対して、複数のパラメータを用いて個人が特定されないようにデータを変換する匿名化処理を行うことで、個人のプライバシを保護した複数の匿名化データを生成する。それぞれの匿名化データは異なるパラメータで匿名化されているので、各匿名化データの情報量は異なる。そして、ユーザ端末からの要求を受けると、ユーザ端末を利用する利用者の信頼度に基づき、その利用者に提供可能な匿名化データを生成した複数の匿名化データのなかから特定する。【選択図】図１
2014229039.tif 000002
【特許請求の範囲】
【請求項１】
複数の第１のユーザ端末と複数の第２のユーザ端末とに接続された情報提供装置であって、前記複数の第１のユーザ端末から収集した個人情報を含むデータに対して、個人が特定されないようにデータを変換する処理であり、パラメータを指定して実行する匿名化処理を適用し、当該匿名化処理の適用により生成された匿名化データを前記第２のユーザ端末からの要求に応じて当該第２のユーザ端末に配信する前記情報提供装置において、
前記個人情報を含むデータと、
前記個人情報の所有者である個人のデータ毎に、提供を許可する前記匿名化データの前記パラメータを規定した第１の情報と、
前記匿名化処理を適用する対象となる前記個人情報を規定した第２の情報と、
前記第２のユーザ端末を介して前記匿名化データの提供を受ける利用者毎の信頼度のレベルを規定した第３の情報と、
前記信頼度のレベルに応じて、当該信頼度を有する前記利用者が提供を受けることが可能な前記匿名化データの前記パラメータを規定した第４の情報
とを記憶する記憶部と、
前記第１の情報に基づき、複数の所定の前記パラメータの各々について、前記データのなかから提供を許可されているデータを抽出し、前記第２の情報に基づき、抽出した前記データの個人情報のうち、前記匿名化処理の対象となる個人情報を特定し、特定した前記個人情報に対して前記複数の所定のパラメータの各々で匿名化処理を実行することにより、情報量の異なる複数の前記匿名化データを生成し、
前記第２のユーザ端末からの要求に応じて、前記第３の情報に基づき、当該第２のユーザ端末の利用者の信頼度のレベルを特定し、特定した前記信頼度のレベル及び前記第４の情報とに基づいて、前記複数の匿名化データのなかから前記第２のユーザ端末に配信可能な匿名化データを特定する処理部
とを備える情報提供装置。
【請求項２】
請求項１に記載した情報提供装置であって、
前記匿名化処理は、前記データに含まれる１つ以上のデータ項目について、前記パラメータで指定した数以上、同じ値を持つように、前記データを抽象化するk-匿名化処理である、
情報提供装置。
【請求項３】
請求項２に記載した情報提供装置であって、
前記記憶部には、更に、前記匿名化データの提供についての履歴を示すログデータが記憶され、
前記処理部は、前記第２のユーザ端末から前記特定された匿名化データに対する配信要求を受信した場合、前記ログデータを参照し、当該第２のユーザ端末の利用者に対して過去に提供された匿名化データと前記配信要求を受けた匿名化データを比較することで、前記配信要求を受けた匿名化データに含まれる個人情報が特定されるリスクがあるか否かを判定し、リスクがあると判定した場合は、前記配信要求を拒否する、情報提供装置。
【請求項４】
請求項３に記載した情報提供装置であって、
前記第１の情報は、前記第１のユーザ端末からの要求に応じて設定される、情報提供装置。
【請求項５】
請求項４に記載した情報提供装置であって、
前記第４の情報は、信頼度のレベルが高くなると、前記パラメータの値が小さくなるように設定されている、情報提供装置。
【請求項６】
複数の第１のユーザ端末と複数の第２のユーザ端末とに接続された情報提供装置の制御方法であって、前記複数の第１のユーザ端末から収集した個人情報を含むデータに対して、個人が特定されないようにデータを変換する処理であり、パラメータを指定して実行する匿名化処理を適用し、当該匿名化処理の適用により生成された匿名化データを、前記第２のユーザ端末からの要求に応じて当該第２のユーザ端末に配信する前記情報提供装置の制御方法において、
前記個人情報を含むデータと、
前記個人情報の所有者である個人のデータ毎に、提供を許可する前記匿名化データの前記パラメータを規定した第１の情報と、
前記匿名化処理を適用する対象となる前記個人情報を規定した第２の情報と、
前記第２のユーザ端末を介して前記匿名化データの提供を受ける利用者毎の信頼度のレベルを規定した第３の情報と、
前記信頼度のレベルに応じて、当該信頼度を有する前記利用者が提供を受けることが可能な前記匿名化データの前記パラメータを規定した第４の情報
とを記憶し、
前記第１の情報に基づき、複数の所定の前記パラメータの各々について、前記データのなかから提供を許可されているデータを抽出し、前記第２の情報に基づき、抽出した前記データの個人情報のうち、前記匿名化処理の対象となる個人情報を特定し、特定した前記個人情報に対して前記複数の所定のパラメータの各々で匿名化処理を実行することにより、情報量の異なる複数の前記匿名化データを生成し、
前記第２のユーザ端末からの要求に応じて、前記第３の情報に基づき、当該第２のユーザ端末の利用者の信頼度のレベルを特定し、特定した前記信頼度のレベル及び前記第４の情報とに基づいて、前記複数の匿名化データのなかから前記第２のユーザ端末に配信可能な匿名化データを特定する、
情報提供装置の制御方法。
【請求項７】
請求項６に記載した情報提供装置の制御方法であって、
前記匿名化処理は、前記データに含まれる１つ以上のデータ項目について、前記パラメータで指定した数以上、同じ値を持つように、前記データを抽象化するk-匿名化処理である、
情報提供装置の制御方法。
【請求項８】
請求項７に記載した情報提供装置の制御方法であって、
前記記憶部には、更に、前記匿名化データの提供についての履歴を示すログデータが記憶され、
前記処理部は、前記第２のユーザ端末から前記特定された匿名化データに対する配信要求を受信した場合、前記ログデータを参照し、当該第２のユーザ端末の利用者に対して過去に提供された匿名化データと前記配信要求を受けた匿名化データを比較することで、前記配信要求を受けた匿名化データに含まれる個人情報が特定されるリスクがあるか否かを判定し、リスクがあると判定した場合は、前記配信要求を拒否する、情報提供装置の制御方法。
【請求項９】
請求項８に記載した情報提供装置の制御方法であって、
前記第１の情報は、前記第１のユーザ端末からの要求に応じて設定される、情報提供装置の制御方法。
【請求項１０】
請求項９に記載した情報提供装置の制御方法であって、
前記第４の情報は、信頼度のレベルが高くなると、前記パラメータの値が小さくなるように設定されている、情報提供装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データを二次的に利活用するために、プライバシに関する情報を匿名化、あいまい化した上でデータ提供をするためのシステムに関する。
【背景技術】
【０００２】
ストレージの低価格化・大規模化、ネットワークの整備、携帯情報端末の普及など、様々な情報技術の発展により、蓄積される情報量は爆発的に増大してきており、いわゆるビッグデータを利活用しようという動きが増加している。しかしながら、そのビッグデータの中で、個人に関する情報の二次的な利用については、プライバシの保護を施した上で利活用することが必要となる。例えば、特許文献１では、個人情報を開示する場合に、ユーザの開示先に対する信頼度をwebサイトのアクセス数や経営情報により求めることで、開示レベルを制御することで、プライバシを保護する方法が開示されている。
【０００３】
また、個人情報を単に削除したり、個人を特定するIDを別のIDに変換するだけでは、条件を組み合わせることにより、個人が特定されるリスクが存在する。このため、より安全にプライバシ保護をする手法として、指定するデータ項目の組み合わせにおいては、少なくともk以上同じ条件となるデータが存在するように、元のデータをあいまい化するk−匿名化手法が知られている（非特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2012−3323「個人情報開示支援装置、方法及びプログラム」
【非特許文献】
【０００５】
【非特許文献１】K． Harada， Y． Sato and Y． Togashi， “Reducing Amount of Information Loss in k−Anonymization for Secondary Use of Collected Personal Information，” Proc． of SRII Global Conference 2012， pp． 61−69．
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところが、上記のような従来技術では、たとえば、非常にセンシティブな個人情報であるヘルスケア情報を利活用する場合に、以下の問題が存在する。
まず、特許文献１のように自動的に開示範囲を決めてしまう場合、個人が自分の情報を開示したくない場合や、逆に公益に役立てるために積極的に開示したいという場合に、ユーザが開示範囲を決めることができなくなってしまう場合がある。
【０００７】
また、ヘルスケアデータを利活用する場面として、感染症の蔓延を防ぐということや、疾患の治療方法を改善するなどの、広く人の役に立つような、公益性の高い場面が想定した場合には、ある一定のレベルで統一されたデータが開示され、提供される必要がある。そのため、ユーザ毎に開示範囲を決定できるようにしてしまうと、データの利用者に対して十分な情報量が提供されず、結局データを分析しても意味のある結果が得られない可能性がある。
【０００８】
また、非特許文献１のようなk−匿名化技術を適用する場合には、パラメータであるkの値をどのように決めるかについては有用な方法は知られておらず、データを提供する側の安全性と、データを利活用する側の利便性を考慮した仕組みが必要となる。
【課題を解決するための手段】
【０００９】
そこで、本発明では、個人情報を含むデータを収集してユーザ端末に配信する情報提供装置において、個人情報の所有者である個人が利用を許諾したデータに対して、複数のパラメータを用いて個人が特定されないようにデータを変換する匿名化処理を行うことで、個人のプライバシを保護した複数の匿名化データを生成する。それぞれの匿名化データは異なるパラメータで匿名化されているので、各匿名化データの情報量は異なる。そして、ユーザ端末からの要求を受けると、ユーザ端末を利用する利用者の信頼度に基づき、その利用者に提供可能な匿名化データを生成した複数の匿名化データのなかから特定する。
【発明の効果】
【００１０】
本発明によれば、データ提供者である個人のプライバシを保護しつつ、データ利用者に対して利便性の高いデータを提供することが可能になる。
【図面の簡単な説明】
【００１１】
【図１】本発明における複数の情報提供用データセットを用意したプライバシ保護型データ提供システムの概略構成の一実施形態である。
【図２】本発明における匿名化処理部を中心とした詳細システムの一実施形態である。
【図３】本発明におけるプライバシ保護条件情報の一例である。
【図４】本発明における利用条件情報の一例である。
【図５】本発明における利用者信頼度情報の一例である。
【図６】本発明における利用者信頼度、利用条件に対応したk値の決め方の概念を示すグラフの一例である。
【図７】本発明における許諾テーブルの一例である。
【図８】本発明における匿名化処理部の処理フローの一例である。
【図９】本発明におけるデータ提供処理部の処理フローの一例である。
【図１０】本発明におけるシステムを利用したシーケンスの一例である。
【図１１】本発明におけるハードウェア構成の一例である。
【図１２】本発明における表示画面の一例である。
【発明を実施するための形態】
【００１２】
＜概要＞
本発明に係る一実施形態について、まずヘルスケアデータを想定したシステムの全体像を図１、図１１を用いて説明する。
【００１３】
本実施例においては、元データ提供者１として、ヘルスケアデータを管理する病院や薬局、診療所、健康保険組合、バイオバンク、家庭などの組織を想定している。但し、ヘルスケアデータは本来個人のものであるため、元データ提供者１としては個人そのものを想定し、個人からヘルスケアデータを直接収集することを想定してもよい。
【００１４】
病院などのコンピュータ(図１１の５６)に蓄積された個人に関するヘルスケアデータは、ネットワーク１４を介して、データ収集・管理・提供者１６のデータ準備装置（図１１の５５）に集められる。このとき、複数の元データ提供者にまたがって一人のデータが存在しているため、データ準備装置５５のCPUで実行される名寄せ処理部２で名寄せされた上で、匿名化前データ３としてＨＤＤに格納される。元データ提供者１からデータを収集するタイミングは、元データ提供者にてデータが更新されるごとに行っても良いし、一日に一度、夜間に1日分の更新分を収集するようにしてもいい。また、元データは元データ提供者側の端末から送るようにしてもいいし、データ準備装置からデータをとりに行くようにしてもいい。
【００１５】
データ準備装置５５のＨＤＤには匿名化条件データベース４が格納されている。このデータベースにはプライバシ保護要件５と匿名化リスト６が記憶されており、この情報を用いて、データ準備装置５５のCPUにて実行される匿名化処理部７でデータに含まれる個人情報の匿名化を行うことで、データ利用者１３に対して提供するデータを作成し、データ提供装置（図１１の５４)の提供用データベース８に保存する。
【００１６】
データ提供装置５４のＨＤＤの提供用データベース８には、複数の条件によって匿名化処理部７で匿名化されたデータセットが格納されている。データ提供装置５４にて実行されるデータ提供処理部９は、利用条件１０と利用者信頼度１１の情報を元に、データ利用者１３に対して、その総合信頼度に応じて提供可能なデータセットと、その概要（データ項目、データ量、k値、情報損失量）、金額を提示する。
【００１７】
データ利用者１３はデータ利用者の利用者端末（図１１の５１）に接続されたモニタ(図１１の５２)に提示された条件をもとに、それぞれの利用目的に応じて、自分が利用するデータセットを選択した上で、データ処理部９からネットワーク１５を介してデータを受け取る。その際の履歴情報はログデータ１２に記録される。ここで、データ利用者１３としては、病院や保健所、厚生労働省などの行政機関、健康保険組合などの主に公的な役割を持つ機関だけでなく、製薬企業や食品企業、美容企業などの私企業も含むものとする。
【００１８】
＜プライバシ保護条件情報＞ 
図３に、プライバシ保護条件情報５の例を示す。プライバシ保護条件情報５には、データに含まれる個人情報の所有者である個人のプライバシを保護するための条件が設定されている。この条件は、法律やガイドラインに依存するため、国によって定義が変わることがあるほか、時代によっても変化することがある。このような場合には、複数のプライバシ保護条件情報を用意しておいてもよい。例えば、複数の国に存在するデータ利用者１３に対して、データ提供処理部９を介して提供用データベース８のデータを提供する場合には、データ利用者１３がアクセスしている国に対応するプライバシ保護条件情報５を選択して、提供するデータを変更してもよい。但し、本実施例では、プライバシ保護条件情報５が一つの場合の例を説明する。
【００１９】
個人情報範囲には、個人情報として扱うデータ項目が設定されている。削除項目には、個人のプライバシを保護するため、データ利用者には提供しないデータ項目が設定されている。変換項目には、内容を変換してデータ利用者に提供するデータ項目が設定されている。図３の例では変換項目は設定されていないが、例えば、個人を特定するIDを別のIDに変換すればプライバシを保護した状態でデータを提供できる場合は、変換項目としてIDを設定する。保護項目には、個人のプライバシを保護できる状態であれば、データ利用者に提供してもよいデータ項目が設定されている。
【００２０】
プライバシを保護できる状態でデータを提供するための技術としては、例えば、k−匿名化技術がある。k−匿名化技術は、保護項目として設定されたデータ項目の組み合わせ、すなわち、住所、年齢、性別、疾患名、手術名については、それらの組み合わせで同じ値を持つ個人が少なくともk人以上存在するように、住所や年齢などをあいまい化した状態であることを保証するようにすることで、プライバシを保護する技術である。
【００２１】
k値の最小値には、k−匿名化技術を適用する際に指定可能なk値の最小値が設定される。利用許諾には、データ提供時の利用許諾に関する情報として、利用許諾テーブル２４のリンク先情報が記録されている。
なお、個人情報範囲として設定されたデータ項目の各々は、削除項目、変換項目及び保護項目のいずれかに設定される。但し、個人情報範囲として設定されていないデータ項目が、削除項目、変換項目及び保護項目として設定されてもよい。
【００２２】
＜利用許諾テーブル＞
図７に利用許諾テーブル２４の例を示す。このテーブルには、個人ごとにデータをデータ利用者に提供する際の利用許諾条件が設定されている。例えば、図７においては、データ利用者の総合信頼度が、10、9の利用者を信頼度Ａ、8〜6の利用者を信頼度Ｂ、5〜3のデータ利用者を信頼度Ｃ、2〜0のデータ利用者を信頼度Ｄと、信頼できる順にＡからＤの4段階に分類し、各信頼度ランクのデータ利用者に対し、どの程度データをあいまい化すればデータを提供していいかについて、各個人が定義した許諾条件を記録している。例えば、００００１のＩＤの人は信頼度Ａランクのデータ利用者については、k=10のk−匿名化によるあいまい化をしたデータであれば提供してよいと許諾しているということを示している。ここで、k=10のk−匿名化というのは、前述の非特許文献１に示されているように、指定した項目の組み合わせにおいては、同じ値をもつデータが10以上存在することを示している。
【００２３】
図１０のシーケンス図の収集の部分を用いて、利用許諾テーブル２４を更新する手順をしめす。元データ提供者１である個人が、図１１の個人用端末５７より、ネットワーク１４を介して、データ収集・管理・提供者１６の許諾管理処理部１７へログインする。この許諾管理処理部１７は図１１のデータ準備装置５５で実行されるものとする。許諾管理処理部１７は、ログインした個人の利用許諾テーブルを個人用端末５７のモニタ５８へ表示させる。個人は個人用端末５７の入力装置５９を用いて利用許諾テーブルの条件を変更する。許諾管理処理部１７は利用許諾テーブル２４を更新する。最後に、個人は許諾処理部１７からログアウトする。
【００２４】
この許諾条件については、例えば、opt−out方式とすることにより、特に指定がなければ、デフォルトの条件が適用されるようにすることで、元データを提供する個人の人数を確保するとともに、データの質をある程度確保することが可能となる。また、各個人は元データの提供を拒否するだけでなく、許諾条件を変更することもできるため、少しでも自分のデータを役に立ててもらおうというような人も参加しやすいという効果がある。ここで、許諾テーブルを変更するための仕組みとしては、コールセンタやメールでの変更もできるような窓口などを用意しておく。また、一度提供したデータを削除することは困難であるため、過去に利用許諾したデータについては、データ提供を拒否した後でも、削除できないというような規約にすることが望ましい。
【００２５】
なお、利用許諾テーブル２４には、プライバシ保護条件情報５に記録されたk値の最小値よりも小さな値は指定できないようにしてもよい。また、許諾条件には、より詳細な条件として、許諾期間や許諾するデータの範囲などを定義するようにしてもよい。
【００２６】
＜提供用データセット作成処理＞
次に、提供用のデータセットを作成する方法について、図２及び図８を用いて説明する。この処理は図１０のシーケンス図では管理の部分の提供用データセット作成４１に相当する。まず、データ収集・管理・提供者１６は、データ準備装置に対して、提供用データベース８に用意するk−匿名化したデータセットのためのk値を指定する(ステップ100)。例えば、データセットＡはk=10、データセットＢはk=100、データセットＣはk=500とする。
【００２７】
次に、匿名化許諾リスト処理部２１は、指定された各データセット用のk値に対して、利用許諾テーブル２４を参照し、各データセット用のk値であればデータ提供を許諾している個人を抽出し、匿名化リスト６を作成する。すなわち、この例では、データセット用のk値をkdとし、kd=10， 100， 500に対して、各個人の許諾するk値(kpとする)を参照し、kd>kpとなる個人のＩＤを検索し、それぞれのkdの値に対応した匿名化リストが作成される(ステップ102)。また、指定されたｋ値(kd)に図７に示す信頼度ランク(A〜D)を加えた条件で、データ提供を許諾している個人を抽出し、匿名化リストを作成してもよい。この場合、データセットもk値と信頼度ランクの組合せ別に作成される。
【００２８】
次に、k−匿名化処理部２２では、匿名化リスト６を参照し、リストに該当する個人の情報を匿名化前データ３から取得し、一時記憶２３に保存する(ステップ104)。そして、k−匿名化処理部２２は、非特許文献１に記載されたk−匿名化手法を用い、匿名化リスト処理部２１により指定されたk値を用いてk−匿名化を行う。この際、k以上を保証するデータの組み合わせはプライバシ保護条件情報５の保護項目に記録された条件を利用する（ステップ106）。最後に、k−匿名化処理部２２は、k−匿名化されたデータを提供用データベース８に記録する。この際、あいまい化による情報損失量も合わせて保存しておく(ステップ108)。
【００２９】
この処理は、例えば1日に一度夜間に実施し、データを更新しても良いし、1ヶ月単位で更新するようにしても、あるいは数分ごとに実施してもよい。また、ステップ100やステップ102はそれほど頻繁に実施する必要がなく、ステップ104〜108のみを実施するようにしてもいい。
【００３０】
以上の方法を用いることにより、データを提供するたびにk−匿名化を実施する必要がなくなり、データ利用者の条件に合わせて、適切なデータの提供を迅速に行うことが可能となる。
【００３１】
＜利用者信頼度情報＞
図５に、利用者信頼度情報１１の例を示す。利用者信頼度情報１１には、データ利用者の信頼度として定義された値が設定されている。データ提供については、データ利用者と契約を結ぶことが前提となる。図１０のシーケンス図の提供部分を用いてデータ提供の流れを説明する。最初に、データ利用者１３からデータ収集・管理・提供者１６に利用契約の申し込みがなされる。すると、データ収集・管理・提供者１６は、データ利用者についての信頼度を調査して値として定義し、プライバシ保護条件情報５としてその値を登録し、以降、適宜更新していく。
【００３２】
例えば、図５の例では、総合信頼度を公益性、プライバシ保護に関する規格であるJIS Q 15001: 2006の取得の有無、情報漏えい事故の回数、取引実績から求めている。例えば、総合信頼度を１０点満点とし、公益性(80%)+JIS Q対応(10%)−情報漏えい事故(0〜100%)＋取引実績(10%)というような配分を行って値を決定するようにする。なお、その他の信頼度の尺度としては、プライバシマークの取得など、各種の標準的な規格やガイドラインへの準拠の度合いや、経営状態などを利用しても良い。
【００３３】
また、公益性やガイドラインへの準拠などの状況については、専門の機関によって判定してもらうような仕組みを取り入れても構わない。審査の結果、データ提供が問題ないと判断されれば、データ収集・管理・提供者１６は、データ利用者１３に対し、ＩＤとパスワードを提供する。なお、この利用許諾には期限を設けても良い。
【００３４】
さらに、利用者信頼度１１は、大規模災害や、パンデミックの発生などの緊急事態の場合には、臨時で変更することができるようにしてもよい。そのような仕組みを利用することで、多くの命を救うような公益のためにデータを利用することも可能となる。
【００３５】
＜利用条件情報＞
図４に、データ利用者の信頼度に応じて設定される利用条件情報１０の一例を示す。利用条件情報１０には、データ利用者が利用可能なデータの条件が総合信頼度に応じて設定される。ここでは総合信頼度が１０と３の例を示している。図４に示すように、総合信頼度が異なる場合は、データ利用者が利用できるデータも異なるものとなる。
【００３６】
用途別データセットには、使用用途に応じたデータセットの一覧が設定されている。用途別データセットとしては、例えば、糖尿病について分析するような用途を想定したデータ項目の組合せのデータセットや、データ利用者が任意指定したデータ項目の組合せのデータセットがある。データ項目には、用途別データセットに含まれるデータ項目の一覧が設定されている。用途別データセット毎に設定されるデータ取得年数には、データ利用者が取得可能なデータの年数が規定されている。データ取得年数としては、例えば、全年分を利用する場合、５年分を利用する場合、１年分を利用する場合、という選択肢を用意しておく。さらに、データ取得年数別に、データ利用者に提供可能な匿名化データセットの一覧、各匿名化データセットのk値及び利用金額が設定されている。
【００３７】
この設定方法は任意であるが、総合信頼度が低いデータ利用者については、データ提供できるｋ値の値は大きいもののみとすべきであり、また、利用金額も高く設定することが望ましい。そのため、例えば、図６に示すような関数を用い、信頼度が高いほど、ｋ値を低く設定し、また、データ項目数が多いほど、個人特定のリスクが高くなるため、ｋ値を高く設定するようにすると良い。
【００３８】
＜データ提供処理＞
以上のような実施例によって、提供するデータの準備ができたので、続いて、データ提供処理について図９を用いて説明する。ここでは、データ提供処理部９が、利用条件情報１０と利用者信頼度情報１１を参照し、ネットワーク１５を介してデータ利用者１３へデータ提供を行う例を示す。この手順は図１０のシーケンス図の提供の部分の処理に相当する。
【００３９】
データ利用者１３は、利用者端末５１を介してデータ提供装置５４のデータ提供処理部９へログインする (ステップ200) 。データ提供処理部９は、利用者信頼度情報１１を参照し、ログインしたデータ利用者１３の総合信頼度の値を取得し（ステップ202）、その値に合致した利用条件情報１０を取得する（ステップ204）。この際、図１２に示すように提供用データベース８に記録された各データセットの情報損失量も取得し、利用者端末５５のモニタ５２に合わせて表示させることで、データ利用者がどのデータセットを利用するかの判断材料とすることができるようになる（ステップ206）。なお、図１２に示すように、利用者端末５５のモニタ５２には、提供するデータのサンプルをデータ項目一覧として表示してもよい。
【００４０】
データ利用者１３は、モニタ５２に表示された規定のデータセットのなかから利用するデータセットを選択し、利用者端末５１を介して、選択したデータセットの情報をデータ提供装置に送信する。この際、データ利用者の総合信頼度によっては、任意のデータ項目のセットが選択できる場合がある。データ提供処理部９は、利用者端末から選択されたデータセットの情報を受信すると、任意のデータ項目のセットが選択されたかを判定する（ステップ208）。
【００４１】
任意のデータ項目のセットが選択されなかった場合、データ提供処理部９は、ログデータ１２を参照し、過去のデータ提供履歴を確認し、過去に提供されたデータセットと今回提供するデータセットとを比較することで、個人情報が特定されるリスクがあるかどうかを判定する（ステップ210）。
【００４２】
例えば、同じデータ項目で過去にk=10のデータが提供されたことがある場合に、新たにk=11のデータを提供したときに、その差分をとると、一人のデータしか変化がない場合があると、個人特定のリスクが存在すると判定する。その結果リスクがあると判定した場合には、データのダウンロード不可能と表示し(ステップ214)、ステップ222へ進む。個人特定リスクがないと判定した場合には、データのダウンロードを許可する指示を利用者端末に送信する(ステップ212)。なお、個人情報が特定されるリスクがある場合には、ダウンロードを不可とするのではなく、提供するデータ量を減らすようにしてもよい。
【００４３】
そして、データ提供処理部９は、その情報をログデータ１２に記録し(ステップ213)、ステップ222へ進む。このログは、課金情報、及びデータ利用者の信頼度を更新するための基礎情報の一つとして利用される。再びステップ208に戻り、データ利用者１３が任意のデータ項目のセットを選んだ場合について説明する。データ提供処理部９はデータ項目を選択するための画面を利用者端末５１のモニタ５２に表示させる(ステップ216)。データ利用者１３が希望するデータ項目を選択すると、利用者端末５１は選択されたデータ項目をデータ提供装置５５へ送信する。
【００４４】
データ提供処理部９では、受信したデータ項目数に合わせて、提供する金額を表示する(ステップ218)。データ利用者１３はその条件で問題なければ(ステップ220)、データのダウンロード指示を利用者端末５５からデータ提供装置５５に対して送信する（ステップ210）。データ利用者が、ダウンロードしないという指示を利用者端末５１に入力した場合は、処理を終了するか否かの選択を促す画面が利用者端末５１のモニタ５２に表示される（ステップ222）。
【００４５】
利用者端末に対して処理を終了しない旨の指示が入力された場合は、ステップ206の処理に戻る。利用者端末５１に対して処理終了の指示が入力された場合は、その指示を利用端末から受信したデータ提供処理部９は、データ利用者をログアウトさせる（ステップ224）。
【００４６】
以上のような実施形態により、データの管理者が一定の制約をつけた上でプライバシ保護を維持しながら、提供するデータの質も保証することで、データ利用者の利便性を向上することができる。
【００４７】
また、事前に複数の条件で用意されたデータセットを提供することにより、データ利用者の特性に合わせて、提供する情報量をコントロールすることが可能となり、安全性を高めることができる。さらに、データ利用者側にとっても、自分の利活用目的にあわせて十分な情報量を持つデータセットを選択することができ、万が一情報漏えいしてしまった場合のリスクを回避することができる。
【００４８】
なお、以上の例はあくまで一つの実施形態であり、この形態そのものにとらわれるものではなく、要旨を逸脱しない限り、一部を省略したり、組み合わせを変更したりすることは可能である。
【符号の説明】
【００４９】
５…プライバシ保護要件、７…匿名化処理部、８…提供用データベース、９…データ提供処理部、１０…利用条件、１１…利用者信頼度、１２…ログデータ、２２…k−匿名化処理部
【図１】
2014229039.tif 000003
【図２】
2014229039.tif 000004
【図３】
2014229039.tif 000005
【図４】
2014229039.tif 000006
【図５】
2014229039.tif 000007
【図６】
2014229039.tif 000008
【図７】
2014229039.tif 000009
【図８】
2014229039.tif 000010
【図９】
2014229039.tif 000011
【図１０】
2014229039.tif 000012
【図１１】
2014229039.tif 000013
【図１２】
2014229039.tif 000014