(57)【要約】【課題】キャンペーンへの応募を所望する利用者に対して個人情報の入力の手間を低減するとともに、個人情報の管理を利用者自身で行うことが可能であり、より安全性が高く、より多くの利用者が安心してキャンペーンに応募することを期待できる個人情報管理システムを提供する。【解決手段】利用者端末装置とキャンペーンサーバとキャンペーン端末装置とがネットワークを介して接続され、複数種類の個人情報を利用者端末装置に記憶して利用者が自ら管理する個人情報管理システムである。利用者端末装置に各個人情報と開示許可レベルが記憶されている場合、利用者端末装置は、受信した開示要求レベルと、記憶している開示許可レベルとを照合し、開示許可レベルが開示要求レベルを満足すると判断した場合、記憶している個人情報を受信した第２暗号化キーで暗号化した情報と、キャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信する。【選択図】        図４
2006072629.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末装置と、キャンペーンサーバと、キャンペーン端末装置とがネットワークを介して接続され、利用者を特定可能な複数種類の個人情報が入力されたプロフィール情報を利用者端末装置に記憶し、当該プロフィール情報を利用者が利用者端末装置にて管理する個人情報管理システムであって、
利用者端末装置にプロフィール情報が記憶されていない場合、
キャンペーンサーバは、
複数種類の個人情報と各個人情報に対応させてどのレベルまで開示可能かを設定可能な開示許可レベルとを入力可能なプロフィール情報と第１暗号化キーとを利用者端末装置に送信し、
利用者端末装置は、
各個人情報と開示許可レベルとが入力されたプロフィール情報を記憶するとともに、各個人情報を第１暗号化キーで暗号化して記憶し、
利用者端末装置にプロフィール情報が記憶されている場合、
キャンペーンサーバは、
キャンペーン端末装置から登録された、キャンペーン情報と、キャンペーン情報に対応させた第２暗号化キーと、各個人情報の開示をどのレベルまで要求するか設定された開示要求レベルとを含む提供情報を利用者端末装置に送信し、利用者端末装置から受信した応募情報をキャンペーン情報に対応させて記憶し、
利用者端末装置は、
受信した提供情報に含まれている開示要求レベルと、記憶しているプロフィール情報に含まれている開示許可レベルとを照合し、
開示許可レベルが開示要求レベルを満足すると判断した場合、
プロフィール情報に含まれている個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信する、
または、プロフィール情報に含まれている個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する、
ことを特徴とする個人情報管理システム。
【請求項２】
請求項１に記載の個人情報管理システムであって、
利用者端末装置は、
記憶している開示許可レベルが受信した開示要求レベルを満足しないと判断した場合、個人情報の送信を行うか否か選択する選択画面を表示し、
個人情報の送信を行う選択がされた場合、
プロフィール情報に含まれている個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信する、
または、プロフィール情報に含まれている個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する、
ことを特徴とする個人情報管理システム。
【請求項３】
請求項１または２に記載の個人情報管理システムであって、
利用者端末装置は、
記憶している開示許可レベルと受信した開示要求レベルとに基づいて開示すべき個人情報の種類を判定し、プロフィール情報に含まれている複数種類の個人情報の中から対象となる個人情報を抽出し、抽出した個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信する、
または、抽出した個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する、
ことを特徴とする個人情報管理システム。
【請求項４】
請求項１〜３のいずれかに記載の個人情報管理システムであって、
キャンペーン端末装置は、
キャンペーンサーバに登録したキャンペーン情報に対応する応募情報をキャンペーンサーバから受信することが可能であり、
前記キャンペーン情報に対応する第２暗号化キーに対応する第２復号化キーを用いて応募情報を複合化することが可能であり、
更に第１暗号化キーに対応する第１復号化キーを用いて、応募情報を復号化して得られた個人情報を復号化することが可能である、
ことを特徴とする個人情報管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続されたサーバと端末装置において、端末装置を利用してキャンペーンに応募する利用者（消費者）の個人情報を管理する個人情報管理システムに関する。
【背景技術】
【０００２】
従来より、インターネットを利用して、商品の認知や商品の購入の促進を目的とした様々なキャンペーンが、様々な事業者（キャンペーン提供者）にて行われている。インターネットを利用した通常のキャンペーンでは、利用者（消費者）がキャンペーンに応募する場合、アンケートやクイズ等の回答と利用者自身の個人情報とを指定されたフォームに入力して送信している。ここで個人情報とは、利用者の住所、氏名、年齢、性別、電話番号、メールアドレス等、利用者を特定可能な情報である。
しかし、インターネットを利用した従来のキャンペーンを利用者が利用する場合、以下の２点が、利用者が安心して応募することを阻害しており、より多くの利用者を確保することが困難である。
（１）キャンペーンに応募する毎に、利用者は毎回個人情報を入力しなければならず、手間がかかる。特に携帯端末装置（携帯電話等）を用いる場合、非常に手間がかかる。
（２）利用者は、送信した自己の個人情報が漏洩して悪用されないか不安がある。特にメールアドレス、電話番号等が悪用されると多大な迷惑を被る可能性があり、不安が大きい。
【０００３】
そこで、特許文献１に記載の従来技術では、利用者は個人情報をＩＤやパスワードとともに管理サーバに登録し、ＩＤ等を事業者に送信するだけで個人情報を提供することが可能な、個人情報の入力の手間を低減できる個人情報入力支援方法及びプログラムが提案されている。
また、特許文献２に記載の従来技術では、利用者は個人情報と利用者のポリシー（文献中のプライバシーポリシーに相当し、利用者自らがどこまで開示可能か設定した情報）とをサーバに登録し、事業者はサーバに対して事業者のポリシー（文献中の利用ポリシーに相当し、どこまでの個人情報を要求するかを設定した情報）を提示し、相互のポリシーを比較する個人情報開示制御システムが提案されている。なお、利用者のポリシーと事業者のポリシーの比較結果、開示不可となっても利用者の意思で個人情報の送信を可能とする手段が用意されている。
また、特許文献３に記載の従来技術では、利用者は個人情報と利用者のポリシー（文献中のプリファレンスに相当）とをサーバに登録し、事業者はサーバに対して事業者のポリシー（文献中のプライバシーポリシーに相当）を提示し、相互のポリシーを比較する個人情報管理システムが提案されている。なお、利用者のポリシーと事業者のポリシーの比較結果、開示不可となっても利用者の意思で個人情報の送信を可能とする手段が用意されている。
また、特許文献４に記載の従来技術では、利用者は個人情報と利用者のポリシーとをサーバに登録し、事業者はサーバに対して事業者のポリシーを提示し、相互のポリシーを比較する個人情報管理システムが提案されている。なお、特許文献１と同様に、利用者は個人情報をＩＤやパスワードととともにサーバに登録し、ＩＤ等を事業者に送信するだけで個人情報を提供できる方法も提案されている。
【特許文献１】特開２００４−１０２８９２号公報
【特許文献２】特開２００４−１９２３５３号公報
【特許文献３】特開２００３−１３２１６０号公報
【特許文献４】特開２００２−２８８４０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１〜特許文献４に記載の従来技術では、いずれも個人情報が管理サーバ（公開サーバ）に定常的に記憶されているため、利用者が知らない間に（不正に）読み出される（漏洩する）可能性がある。利用者が自身で管理できない管理サーバに個人情報を記憶している以上、管理サーバの管理者に管理を委ねるしか管理方法がないためである。
また、個人情報が定常的に記憶された管理サーバ（公開サーバ）には、個人情報の漏洩を防止するための堅牢なセキュリティシステムと信頼できる人員とを導入する必要があり、管理サーバを提供する事業者（例えば、キャンペーンを実施する事業者と利用者との仲介を行う事業者）の負担が非常に大きい。
【０００５】
本発明は、このような点に鑑みて創案されたものであり、キャンペーンへの応募を所望する利用者に対して個人情報の入力の手間を低減するとともに、個人情報の管理を利用者自身で行うことが可能であり、より安全性が高く、より多くの利用者が安心してキャンペーンに応募することを期待できる個人情報管理システムを提供することを課題とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するための手段として、本発明の第１発明は、請求項１に記載されたとおりの個人情報管理システムである。
請求項１に記載の個人情報管理システムは、利用者端末装置と、キャンペーンサーバと、キャンペーン端末装置とがネットワークを介して接続され、利用者を特定可能な複数種類の個人情報が入力されたプロフィール情報を利用者端末装置に記憶し、当該プロフィール情報を利用者が利用者端末装置にて管理する個人情報管理システムである。
利用者端末装置にプロフィール情報が記憶されていない場合、キャンペーンサーバから利用者端末装置に、複数種類の個人情報と各個人情報に対応させてどのレベルまで開示可能かを設定可能な開示許可レベルとを入力可能なプロフィール情報と第１暗号化キーとを送信し、利用者端末装置は、各個人情報と開示許可レベルとが入力されたプロフィール情報を記憶するとともに、各個人情報を第１暗号化キーで暗号化して記憶する。
利用者端末装置にプロフィール情報が記憶されている場合、キャンペーンサーバは、キャンペーン端末装置から登録された、キャンペーン情報と、キャンペーン情報に対応させた第２暗号化キーと、各個人情報の開示をどのレベルまで要求するか設定された開示要求レベルとを含む提供情報を、利用者端末装置に送信し、利用者端末装置から受信した応募情報をキャンペーン情報に対応させて記憶する。
そして利用者端末装置は、受信した提供情報に含まれている開示要求レベルと、記憶しているプロフィール情報に含まれている開示許可レベルとを照合し、開示許可レベルが開示要求レベルを満足すると判断した場合、プロフィール情報に含まれている個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信、または、プロフィール情報に含まれている個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する。
【０００７】
また、本発明の第２発明は、請求項２に記載されたとおりの個人情報管理システムである。
請求項２に記載の個人情報管理システムは、請求項１に記載の個人情報管理システムであって、利用者端末装置は、記憶している開示許可レベルが受信した開示要求レベルを満足しないと判断した場合、個人情報の送信を行うか否か選択する選択画面を表示する。
そして個人情報の送信を行う選択がされた場合、利用者端末装置は、プロフィール情報に含まれている個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信、または、プロフィール情報に含まれている個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する。
【０００８】
また、本発明の第３発明は、請求項３に記載されたとおりの個人情報管理システムである。
請求項３に記載の個人情報管理システムは、請求項１または２に記載の個人情報管理システムであって、利用者端末装置は、記憶している開示許可レベルと受信した開示要求レベルとに基づいて開示すべき個人情報の種類を判定し、プロフィール情報に含まれている複数種類の個人情報の中から対象となる個人情報を抽出し、抽出した個人情報を提供情報に含まれている第２暗号化キーで暗号化した情報と、提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを含む応募情報をキャンペーンサーバに送信、または、抽出した個人情報と提供情報に含まれているキャンペーン情報に対して入力されたキャンペーン応答情報とを、提供情報に含まれている第２暗号化キーで暗号化した応募情報をキャンペーンサーバに送信する。
【０００９】
また、本発明の第４発明は、請求項４に記載されたとおりの個人情報管理システムである。
請求項４に記載の個人情報管理システムは、請求項１〜３のいずれかに記載の個人情報管理システムであって、キャンペーン端末装置は、キャンペーンサーバに登録したキャンペーン情報に対応する応募情報をキャンペーンサーバから受信することが可能であり、前記キャンペーン情報に対応する第２暗号化キーに対応する第２復号化キーを用いて応募情報を複合化することが可能であり、更に第１暗号化キーに対応する第１復号化キーを用いて、応募情報を復号化して得られた個人情報を復号化することが可能である。
【発明の効果】
【００１０】
請求項１に記載の個人情報管理システムを用いれば、利用者の個人情報の定常的な記憶を利用者端末装置にて行い、個人情報の保管及び送信（外部への出力）を利用者自身が管理することができるため、利用者はより安心してキャンペーンに応募することができる。また、利用者は利用者端末装置にプロフィール情報を記憶させておけば、個人情報を毎回入力する手間を省くことができる。
また、個人情報を定常的に記憶する利用者端末装置では第１暗号化キーで暗号化して各個人情報を記憶し、キャンペーンサーバに記憶される個人情報は、第１暗号化キーで暗号化された後、第２暗号化キーで暗号化されている。このため、より安全に個人情報を管理することができる。また、利用者が設定した開示許可レベルに基づいて個人情報を送信するとともに、送信操作そのものは利用者自身しか行うことができないため、利用者自身の責任において、より安全に個人情報を管理することができる。
また、キャンペーンサーバに記憶される個人情報は第１及び第２暗号化が施されているため、キャンペーンサーバのセキュリティシステムを必要以上に堅牢とする必要がなく、キャンペーンサーバを提供する事業者の負担を低減することができる。
【００１１】
また、請求項２に記載の個人情報管理システムによれば、開示許可レベルが開示要求レベルを満足しない場合であっても、利用者が個人情報の送信を行う選択をすることで、その場合に限って、開示要求レベルを満足する個人情報を開示可能とし、キャンペーンに応募することができる。
【００１２】
また、請求項３に記載の個人情報管理システムによれば、開示許可レベルと開示要求レベルとに基づいて、開示すべき個人情報を抽出して送信する。従って、開示する必要がない個人情報は送信しないので、より安全性が高く、より多くの利用者が安心してキャンペーンに応募することを期待できる。
【００１３】
また、請求項４に記載の個人情報管理システムによれば、例えば、第１暗号化キー及び第１復号化キーをキャンペーンサーバの事業者が管理し、第２暗号化キー及び第２復号化キーを各キャンペーン端末装置の事業者で管理する。これにより、個人情報が仮にキャンペーンサーバから不正に読み出された場合であっても、また仮に各キャンペーン端末装置から不正に読み出された場合であっても、暗号化された個人情報を解読可能な状態まで復号化することは非常に困難であり、より安全である。
第１復号化キーはキャンペーンサーバの事業者からキャンペーン端末装置の事業者に提供される（第１復号化キーはキャンペーンサーバに記憶する必要はなく、提供方法には種々の方法がある）。更に第２復号化キーはキャンペーン端末装置のみが保有するようにすれば、個人情報を利用可能な状態まで復号化できるのはキャンペーン端末装置のみという構成となる。例えばキャンペーンサーバはネットワーク上で公開されたサーバであり、キャンペーン端末装置はネットワーク上で非公開の端末装置である。ここでキャンペーン端末装置は個人情報の定常的な記憶を行わず、個人情報を開示する機能も持たない端末装置として構成すれば、キャンペーン端末装置からの個人情報の漏洩を防止することができ、より安全性が高い個人情報管理システムを構成することができる。
【発明を実施するための最良の形態】
【００１４】
以下に本発明を実施するための最良の形態を図面を用いて説明する。図１（Ａ）及び（Ｂ）は本発明の個人情報管理システムの概略構成図を示している。
本発明の個人情報管理システムは、利用者がキャンペーン毎、あるいはキャンペーンの実施の事業者毎等に、毎回多くの個人情報を入力する手間を省略するとともに、個人情報を利用者が用いる利用者端末装置に暗号化して記憶し、個人情報の管理（保管）を利用者の責任で行う点が大きな特徴である。また、利用者が承諾しないにもかかわらず個人情報が勝手に流出することを防止するために、利用者が個人情報毎（氏名、住所、メールアドレス等）に開示許可レベルを設定可能としている。
【００１５】
●［全体構成（図１）］
図１（Ａ）に示すように、本発明の個人情報管理システム１は、通信回線５０（インターネット等）を介して接続された、利用者端末装置３０ａ〜３０ｎ、３０ｍと、キャンペーンサーバ１０と、キャンペーン端末装置２０ａ〜２０ｎにて構成されている。
利用者端末装置３０ａ〜３０ｎ、３０ｍは利用者（消費者）が使用する端末装置（通常、非公開の端末装置）である。利用者端末装置３０ａ〜３０ｎは、例えばパーソナルコンピュータ（以下、ＰＣと記載する）である。また利用者端末装置３０ｍは、例えば携帯電話であり、中継手段３０ｚを介して通信回線５０に接続されている。利用者端末装置３０ａ〜３０ｎ、３０ｍは、複数の利用者により、複数の端末装置が用いられる。
キャンペーン端末装置２０ａ〜２０ｎはキャンペーンを実施する事業者が使用する端末装置（通常、非公開の端末装置）であり、例えばＰＣ（パーソナルコンピュータ）である。キャンペーン端末装置２０ａ〜２０ｎは、複数または単数の事業者により、複数または単数の端末装置が用いられる。
キャンペーンサーバ１０は、キャンペーンを実施する事業者（以下、実施事業者と記載する）、または当該事業者（実施事業者）と利用者との仲介を行う事業者（以下、仲介事業者と記載する）により設置される公開サーバであり、本実施の形態では、実施事業者が提供するキャンペーンを利用者に公開する。なお、本実施の形態の説明では、仲介事業者がキャンペーンサーバ１０を設置した例で説明する。
【００１６】
実施事業者は、自身でキャンペーンサーバ１０を設けてもよいが、限られた期間のみで実施するキャンペーンのために公開サーバを設置するのは手間及びコストの面から好ましくない。また、キャンペーンは通常、利用者の個人情報を扱い、公開サーバで個人情報を収集する場合、堅牢なセキュリティシステムが必要になり、更にコストがかかる可能性がある。このため、キャンペーンサーバ１０には仲介事業者のサーバを利用することが一般的である。
なお、図１（Ｂ）に示すように、専用回線５０ａ、５０ｎ（ＶＰＮ（Virtual Private Network ）等の既存の技術にて実現可能）を用いてキャンペーン端末装置２０ａ〜２０ｎをキャンペーンサーバ１０に接続すると、通信データの機密性が向上された（盗聴、侵入等がされにくい）より好ましい接続形態となる。
【００１７】
●［利用者端末装置への個人情報の記憶の手順及び処理（図２）］
次に、図２（Ａ）を用いて、利用者端末装置とキャンペーンサーバ１０との間のメッセージ及び処理により、利用者Ｍが利用者端末装置３０ｍを用いて個人情報を利用者端末装置３０ｍに記憶する手順及び処理について説明する。
利用者Ｍが利用者端末装置３０ｍからキャンペーンサーバ１０のＵＲＬ（Uniform Resource Locator）等を入力すると、利用者端末装置３０ｍはメッセージＭ０１０にて、キャンペーンサーバ１０のホームページにアクセスする。なお、この場合、利用者端末装置３０ｍには個人情報が記憶されていないものとする。また、キャンペーンサーバ１０は公開サーバであり、各実施事業者のキャンペーンをホームページにて提供（公開）している。
次にキャンペーンサーバ１０は、メッセージＭ０１２にて、ホームページ情報を利用者端末装置３０ｍに送信する。
【００１８】
次に利用者端末装置３０ｍは、受信したホームページ情報を表示し、利用者Ｍから指示された入力に基づいてプロフィール情報の要求信号（メッセージＭ０１４）をキャンペーンサーバ１０に送信する。なお、表示されたホームページには、キャンペーンに応募するためには、まずプロフィール情報に個人情報を入力して利用者端末装置３０ｍに記憶させなければならない旨が記載されている。
次にキャンペーンサーバ１０は、メッセージＭ０１６にて、プロフィール情報と第１暗号化キーとを利用者端末装置３０ｍ（プロフィール情報の要求信号を送信してきた利用者端末装置３０ｍ）に送信する。なお、プロフィール情報には、複数種類の個人情報（氏名、住所、メールアドレス等）と、各個人情報に対応させてどのレベルまで開示可能かを設定可能な開示許可レベルとが含まれており、利用者Ｍは各個人情報と開示許可レベルとに入力して利用者端末装置３０ｍに記憶させることが可能である。
なお、第１暗号化キーは、仲介事業者が任意に設定可能である。また仲介事業者は、第１暗号化キーを設定すると、当該第１暗号化キーに対応する第１復号化キーも設定する。
【００１９】
そして利用者端末装置３０ｍがプロフィール情報と第１暗号化キーとを受信した後、利用者Ｍはプロフィール情報に含まれている個人情報（入力用）と開示許可レベル（入力用）とに入力する。入力された各個人情報と開示許可レベルは、利用者端末装置３０ｍに記憶される。なお、利用者端末装置３０ｍに記憶される各個人情報は、個人情報毎に第１暗号化キーにて暗号化されて記憶される。また、暗号化された個人情報を復号化するには、第１暗号化キーに対応した第１復号化キーが必要であるが、暗号化された個人情報の機密性を確保するために、利用者端末装置３０ｍには第１復号化キーを記憶させないことが好ましい（もちろん公開もしない）。これにより、利用者端末装置３０ｍが第三者の手に渡っても、その利用者端末装置３０ｍで復号化できないので個人情報の漏洩を防止できる。
また、図２（Ｂ）に示すように、プロフィール情報の利用者端末装置３０ｍへの記憶先は、利用者端末装置３０ｍの内部の記憶手段（メモリチップ等）であってもよいし、着脱可能な記憶手段３２（メモリカード等）であってもよい。
【００２０】
●［個人情報と開示許可レベルの入力の例（図３）］
次に図３（Ａ）〜（Ｅ）にて、利用者端末装置３０ｍから複数種類の個人情報と開示許可レベルとを入力する画面の例を示し、図３（Ｆ）に実施事業者による開示要求レベルの例を示す。
図３（Ａ）は、利用者端末装置３０ｍの表示画面にプロフィール情報を表示した例を示している。この画面から「新規入力／修正」を選択すると、図３（Ｂ）に示す画面が表示される。なお、図３（Ａ）〜（Ｅ）に示す例は、新規入力の例（利用者端末装置３０ｍにプロフィール情報がまだ記憶されていない状態）を示している。
図３（Ｂ）は個人情報の入力用の設定（１）画面であり、利用者Ｍが必要な入力をした後、「次へ」を選択すると、図３（Ｃ）に示す個人情報の入力用の設定（２）画面が表示される。
【００２１】
更に利用者Ｍが図３（Ｃ）に示す画面にて必要な入力をした後、「次へ」を選択すると、図３（Ｄ）に示すように、各個人情報に対応させてどのレベルまで開示可能かを設定する開示許可レベル設定画面が表示される。
更に利用者Ｍは図３（Ｄ）に示す開示許可レベル設定画面にて必要な入力を行う。なお、開示許可レベルの「非」「高」「中」「低」についての詳細は後述する。そして利用者が図３（Ｄ）に示す開示許可レベル設定画面にて必要な入力をした後、「次へ」を選択すると、図３（Ｅ）に示すように、利用者Ｍが図３（Ｂ）〜図３（Ｄ）に示す画面から入力した個人情報及び開示許可レベルが表示される。この例では各項目が、個人情報の名称（氏名等）、当該名称に対応する個人情報（山田××等）、当該名称に対応する開示許可レベル（（中）等）の順に表示され、了解した場合に「確定」を選択すると、当該内容が利用者端末装置３０ｍに記憶される。なお、上述したように、複数種類の個人情報は個人情報毎に第１暗号化キーで暗号化されて記憶される。
図３（Ｆ）は、キャンペーンを実施する実施事業者が、キャンペーンに応募する利用者に各個人情報の開示をどのレベルまで要求するかを示す開示要求レベルの例を示している。なお、開示要求レベルの「高」「中」「低」についての詳細は後述する。
【００２２】
●［キャンペーンへの応募と個人情報の提供の手順及び処理（開示許可レベルが開示要求レベルを満足する場合）（図４）］
次に図４を用いて、利用者端末装置とキャンペーンサーバ１０とキャンペーン端末装置との間のメッセージ及び処理により、利用者Ｍが利用者端末装置３０ｍを用いてキャンペーンに応募し、キャンペーン端末装置２０ａが利用者Ｍからの応募情報を入手する手順及び処理を説明する（開示許可レベルが開示要求レベルを満足する場合の手順）。
キャンペーン端末装置２０ａは、キャンペーンサーバ１０にて公開するためのキャンペーン情報等を登録するために、キャンペーンサーバ１０にアクセスする（メッセージＭ１１０）。なお、キャンペーン端末装置２０ａとキャンペーンサーバ１０とはＶＰＮ等の専用回線にて接続（図１（Ｂ）参照）することが好ましい。
そしてキャンペーン端末装置２０ａは、キャンペーン情報を登録するための登録用情報をキャンペーンサーバ１０から受信する（メッセージＭ１１２）。
【００２３】
そしてキャンペーン端末装置２０ａは、キャンペーン情報と、キャンペーン情報に対応させた第２暗号化キーと、各個人情報の開示をどのレベルまで要求するか設定された開示要求レベルとを含む提供情報をキャンペーンサーバ１０に送信する（メッセージＭ１１４）。なお、第２暗号化キーは、各実施事業者が、実施事業者毎あるいはキャンペーン情報毎等で任意に設定可能である。また実施事業者は、第２暗号化キーを設定すると、当該第２暗号化キーに対応する第２復号化キーも設定する。
そしてキャンペーンサーバ１０は、受信したキャンペーン情報と第２暗号化キーと開示要求レベルとを蓄積し、キャンペーン情報を公開し、利用者端末装置からのアクセスを待つ。ここでキャンペーン情報は、例えば新商品の認知を目的として、新商品の名称を回答させる簡単なクイズとアンケート等である。
【００２４】
利用者Ｍが利用者端末装置３０ｍからキャンペーンサーバ１０のＵＲＬ等を入力すると、利用者端末装置３０ｍはメッセージＭ１２０にて、キャンペーンサーバ１０のホームページにアクセスする。
次にキャンペーンサーバ１０は、メッセージＭ１２２にて、ホームページ情報を利用者端末装置３０ｍに送信する。
次に利用者端末装置３０ｍは受信したホームページ情報を表示し、利用者Ｍから指示された入力に基づいてキャンペーン情報の要求信号（メッセージＭ１２４）をキャンペーンサーバ１０に送信する（利用者Ｍが利用者端末装置３０ｍを用いて、応募を所望するキャンペーンを選択し、キャンペーン情報をダウンロード指示する）。
そしてキャンペーンサーバ１０は、メッセージＭ１２６にて、キャンペーン情報と第２暗号化キーと開示要求レベルとを利用者端末装置３０ｍ（キャンペーン情報の要求信号を送信してきた利用者端末装置３０ｍ）に送信する。
【００２５】
次に利用者端末装置３０ｍはステップＳ１２０にて、自身の記憶手段に記憶されている開示許可レベルと、受信した開示要求レベルとを照合する。利用者端末装置３０ｍは、開示許可レベルが開示要求レベルを満足すると判断した場合は、キャンペーン情報のアンケート等に回答が入力されたキャンペーン応答情報と、開示許可レベルと開示要求レベルとに基づいた個人情報とを含む応募情報をキャンペーンサーバ１０に送信する。なお、開示許可レベルが開示要求レベルを満足しない場合についての動作は後述する。
【００２６】
次に、利用者が設定する開示許可レベルの「非」「高」「中」「低」（図３（Ｄ）参照）に対して、実施事業者が設定する開示要求レベルの「高」「中」「低」（図３（Ｆ）参照）がどのような場合に「開示許可レベルが開示要求レベルを満足する」と判断とするか、以下に各組み合わせにおける判断の例を示す。なお、判断の内容は、下記の例に限定されるものではない。
【００２７】
例えば開示許可レベルに「非」が設定されている個人情報は、利用者が一切開示したくない、という意思を表している。
また例えば開示許可レベルに「高」が設定されている個人情報は、利用者が開示したくない（場合によっては開示可能）、という意思を表している。
また例えば開示許可レベルに「中」が設定されている個人情報は、開示してもしなくてもよい、という意思を表している。
また例えば開示許可レベルに「低」が設定されている個人情報は、開示してもよい、という意思を表している。
これに対して、例えば実施事業者による開示要求レベルに「高」が設定されている個人情報は、キャンペーンの応募には開示が必須である、という意思を表している。
また例えば開示要求レベルに「中」が設定されている個人情報は、キャンペーンの応募の際に開示してもしなくてもよい、という意思を表している。
また例えば開示要求レベルに「低」が設定されている個人情報は、キャンペーンの応募の際に開示不要である、という意思を表している。
【００２８】
以下、開示許可レベルの「非」「高」「中」「低」の各々について、開示要求レベルが「高」「中」「低」の各場合（１２通り）について、満足するか否かの判断の例について説明する。
［開示許可レベルが「非」の場合］
開示許可レベルに「非」が設定されており、開示要求レベルに「高」が設定されている場合、一切開示したくない利用者の意思に対して開示が必須であるという実施事業者の意思であり、個人情報の保護を優先し、「満足しない（開示しない）」と判定する。
開示許可レベルに「非」が設定されており、開示要求レベルに「中」が設定されている場合、一切開示したくない利用者の意思に対して開示してもしなくてもよいという実施事業者の意思であるため、「満足する（開示しない）」と判定する。個人情報は、図２（Ｂ）に示すように個人情報毎に暗号化されており、必要な個人情報のみを選択して開示（キャンペーンサーバ１０に送信）することが可能である。
開示許可レベルに「非」が設定されており、開示要求レベルに「低」が設定されている場合、一切開示したくない利用者の意思に対して開示不要という実施事業者の意思であるため、「満足する（開示しない）」と判定する。
【００２９】
［開示許可レベルが「高」の場合］
開示許可レベルに「高」が設定されており、開示要求レベルに「高」が設定されている場合、開示したくない利用者の意思に対して開示が必須であるという実施事業者の意思であり、個人情報の保護を優先し、「満足しない（開示しない）」と判定する。
開示許可レベルに「高」が設定されており、開示要求レベルに「中」が設定されている場合、開示したくない利用者の意思に対して開示してもしなくてもよいという実施事業者の意思であるため、「満足する（開示しない）」と判定する。
開示許可レベルに「高」が設定されており、開示要求レベルに「低」が設定されている場合、開示したくない利用者の意思に対して開示不要という実施事業者の意思であるため、「満足する（開示しない）」と判定する。
【００３０】
［開示許可レベルが「中」の場合］
開示許可レベルに「中」が設定されており、開示要求レベルに「高」が設定されている場合、開示してもしなくてもよいという利用者の意思に対して開示が必須であるという実施事業者の意思であるため、「満足する（開示する）」と判定する。
開示許可レベルに「中」が設定されており、開示要求レベルに「中」が設定されている場合、開示してもしなくてもよいという利用者の意思に対して開示してもしなくてもよいという実施事業者の意思であるため、「満足する（開示してもしなくてもよいが、本実施の形態では個人情報の保護を優先し、開示しないこととする）」と判定する。
開示許可レベルに「中」が設定されており、開示要求レベルに「低」が設定されている場合、開示してもしなくてもよいという利用者の意思に対して開示不要という実施事業者の意思であるため、「満足する（開示要求レベルが開示不要であるため、開示しない）」と判定する。
【００３１】
［開示許可レベルが「低」の場合］
開示許可レベルに「低」が設定されており、開示要求レベルに「高」が設定されている場合、開示してもよいという利用者の意思に対して開示が必須であるという実施事業者の意思であるため、「満足する（開示する）」と判定する。
開示許可レベルに「低」が設定されており、開示要求レベルに「中」が設定されている場合、開示してもよいという利用者の意思に対して開示してもしなくてもよいという実施事業者の意思であるため、「満足する（開示してもしなくてもよいが、本実施の形態では個人情報の保護を優先し、開示しないこととする）」と判定する。
開示許可レベルに「低」が設定されており、開示要求レベルに「低」が設定されている場合、開示してもよいという利用者の意思に対して開示不要という実施事業者の意思であるため、「満足する（開示要求レベルが開示不要であるため、開示しない）」と判定する。
【００３２】
図４のステップＳ１２０の照合（上記の説明）にて、各個人情報について開示許可レベルが開示要求レベルを満足するか否か、及び各個人情報を開示するか否か、個人情報毎に照合を行う。満足しない個人情報が１つもない場合、図４のステップＳ１２２に示すように、利用者端末装置３０ｍは、キャンペーン情報に対して利用者Ｍから入力されたキャンペーン応答情報（アンケートの回答等）と、上記の説明において「満足する（開示する）」と判定された個人情報（第１暗号化キーで暗号化されている各個人情報）を抽出し、受信した第２暗号化キーを用いて暗号化してキャンペーンサーバ１０に送信する。なお、「満足する（開示しない）」と判定された個人情報は抽出しない（送信しない）。
そして利用者端末装置３０ｍは、抽出した個人情報（第１暗号化）を、受信した第２暗号化キーを用いて暗号化した個人情報（第２暗号化）に変換し、応募情報（キャンペーン情報に対して入力されたキャンペーン応答情報と個人情報（第２暗号化）を含む）をキャンペーンサーバ１０に送信する（メッセージＭ１２８）。
【００３３】
なお、応募情報に含まれているキャンペーン応答情報は、第２暗号化キーで暗号化してもよいし、暗号化しなくてもよい。
利用者Ｍは、利用者端末装置３０ｍを用いてキャンペーン情報に対するキャンペーン応答情報を入力（例えばアンケートに入力）するだけでよく、利用者端末装置３０ｍがステップＳ１２０及びＳ１２２を実行する。従って、利用者Ｍは個人情報をいちいち入力する必要がなく、且つ予め設定した開示許可レベルに基づいて利用者端末装置３０ｍが開示の可否を自動的に判定して適切な処理を行うため、容易に且つ安全にキャンペーンに応募することができる。
なお、満足しない個人情報が１つ以上ある場合、後述する『キャンペーンへの応募と個人情報の提供の手順及び処理（開示許可レベルが開示要求レベルを満足しない場合）』にて説明する手順及び処理を実行する。
【００３４】
キャンペーンサーバ１０はステップＳ１２４にて、受信した応募情報をキャンペーン情報に対応させて蓄積（記憶）する。キャンペーンサーバ１０に蓄積されている個人情報（応募情報に含まれている）は、第１暗号化キーで暗号化された後、更に第２暗号化キーで暗号化されている。従って、キャンペーンサーバ１０から第三者が不正に個人情報を読み出したとしても、第２暗号化キーに対応する第２復号化キー、及び第１暗号化キーに対応する第１復号化キーの双方を入手できなければ個人情報の内容を知ることができない。
例えば第１復号化キーは、第１暗号化キーを発行したキャンペーンサーバ１０を管理する仲介事業者が管理し、キャンペーンサーバ１０に記憶させずに郵便またはＦＡＸ等にてキャンペーン端末装置２０ａを管理する実施事業者にのみ連絡する。また例えば第２復号化キーは、第２暗号化キーを発行したキャンペーン端末装置２０ａを管理する実施事業者のみが管理する。これにより、第三者が第１復号化キーと第２復号化キーの双方を入手することが非常に困難となり、個人情報をより安全に管理することができる。
【００３５】
次にキャンペーン端末装置２０ａは、メッセージＭ１３０にて、キャンペーンサーバ１０に、自身が登録したキャンペーン情報に対応する応募情報の要求信号を送信する。
次にキャンペーンサーバ１０は、メッセージＭ１３２にて、前記要求信号に対応する応募情報を読み出してキャンペーン端末装置２０ａに送信する。そしてキャンペーンサーバ１０はステップＳ１３０にて、送信した応募情報を削除する。キャンペーンサーバ１０は、応募情報をキャンペーン端末装置２０ａに送信した後に削除することで、応募情報に含まれている個人情報を定常的に記憶せず、一時的にのみ記憶する。これにより、（公開サーバである）キャンペーンサーバ１０から個人情報が不正に読み出される機会を低減することができる。
そして応募情報を受信したキャンペーン端末装置２０ａは、ステップＳ１３２にて、受信した応募情報を第２暗号化キーに対応する第２復号化キーで複合化し、更に第１暗号化キーに対応する第１復号化キーで複合化する。第１復号化キー及び第２復号化キーの双方を有し、個人情報の内容を知ることができるのは、非公開のキャンペーン端末装置２０ａのみとする。
【００３６】
●［キャンペーンへの応募と個人情報の提供の手順及び処理（開示許可レベルが開示要求レベルを満足しない場合）（図５）］
次に図５を用いて、図４（開示許可レベルが開示要求レベルを満足する場合の手順）に対して、開示許可レベルが開示要求レベルを満足しない場合の手順及び処理について説明する。
開示許可レベルが開示要求レベルを満足しない場合の手順は、図４における「処理Ａ」の部分の手順が異なる。以下、図４に示す手順と同じ部分の説明は省略し、相違点である「処理Ａ」について説明する。
【００３７】
「処理Ａ」において利用者端末装置３０ｍがステップＳ１２０（自身の記憶手段に記憶されている開示許可レベルと、受信した開示要求レベルとを照合する処理）は同じである。この照合の結果、利用者端末装置３０ｍが少なくとも１つの個人情報において「開示許可レベルが開示要求レベルを満足しない」と判断してステップＳ１２１の処理が行われる点が図４と異なる。開示許可レベルと開示要求レベルは種々の組み合わせが有り得るため、その組み合わせに応じて「満足する」と判定される場合（図４の場合）と、「満足しない」と判定される場合（図５の場合）とが発生する。
利用者端末装置３０ｍは、ステップＳ１２０の照合の結果、「満足しない」と判定すると、ステップＳ１２１にて選択画面を表示する。選択画面は、図５の例に示すように、利用者Ｍが開示許可レベルで「高（開示したくない）」と設定した個人情報であるにもかかわらず、開示しなければキャンペーンに応募できない（開示要求レベルにて「高（開示が必須）」と設定）ことを利用者Ｍに通知し、利用者Ｍの判断を待つものである。
【００３８】
なお、図５に示す選択画面において『○（開示）』が記されている個人情報（氏名等）は、開示許可レベルが開示要求レベルを満足しており且つ開示することを示している。また『×（開示しない）』が記されている個人情報（電話番号等）は、開示許可レベルが開示要求レベルを満足しており且つ開示しないことを示している。また『◎（開示許可レベルに反して開示）』が記されている個人情報（住所等）は、開示許可レベルが開示要求レベルを満足していないが、開示しなければキャンペーンに応募できない個人情報であることを示している。
なお、開示許可レベルに「非（一切開示したくない）」が設定されている場合、例えば選択画面の代わりに『「郵便番号」「住所」「携帯電話番号」「ｅ−ｍａｉｌ（携帯）」が開示許可レベルの設定にて「非（一切開示したくない）」に設定されているため応募できません。』等のメッセージを表示させる。この場合、利用者Ｍは、上記の個人情報を開示許可レベルの設定にて「高」に設定し、選択画面にて「了解する」を選択すれば、要求された個人情報を開示するとともに、キャンペーンに応募することができる。
【００３９】
例えば図５に示す例では、利用者Ｍは「郵便番号」「住所」「携帯電話番号」「ｅ−ｍａｉｌ（携帯）」を開示許可レベルにて「高（開示したくない）」と設定したが、実施事業者による開示要求レベルは「高（開示が必須）」と設定されていた場合を示す。
利用者Ｍは、選択画面の内容を確認し、要求された個人情報を開示してキャンペーンに応募することを所望する場合は「了解する」を選択すればよい。「了解する」が選択された場合、利用者端末装置３０ｍはステップＳ１２２にて、図４の説明と同様の「満足する（開示する）」と判定された個人情報と、選択画面（図５）にて『◎』が付与された個人情報（つまり開示要求レベルにて「高（開示必須）」と設定されている個人情報）とを抽出する、受信した第２暗号化キーを用いて暗号化してキャンペーンサーバ１０に送信する。
【００４０】
●［ポイントの付与］
また、利用者が利用者端末装置を用いてキャンペーンに応募する毎に、キャンペーンサーバ１０から所定のポイントを付与し、利用者端末装置にポイントを累積して記憶するようにしてもよい。利用者は利用者端末装置に累積されたポイントに応じたサービス（景品との交換等）を利用できる。なお累積されたポイントは、キャンペーンサーバ１０で公開している複数の実施事業者が提供しているキャンペーンの中のいずれかのキャンペーンに応募する毎に、個人情報と同様に暗号化されて利用者端末装置に記憶されることが好ましい。ただし、ポイントを累積する際、及び利用者が累積されたポイントを確認する際等にて、暗号化されたポイントを復号化する必要があるため、利用者端末装置に第３暗号化キーと、第３暗号化キーに対応する第３復号化キーとを記憶させる必要がある。
【００４１】
上記ポイントに関するサービスを提供する場合、図４に示すメッセージＭ１２６にて、キャンペーンサーバ１０は、キャンペーン情報と第２暗号化キーと開示要求レベルと第３暗号化キー及び第３復号化キーとを利用者端末装置３０ｍ（キャンペーン情報の要求信号を送信してきた利用者端末装置３０ｍ）に送信する。そして図４に示すメッセージＭ１２８にて、利用者端末装置がキャンペーンサーバ１０に応募情報を送信すると、キャンペーン情報に含ませておいたポイント付与情報が自動的に起動する。そしてポイント付与情報は、利用者端末装置に現在記憶されているポイントを読み出して第３復号化キーを用いて複合化し、所定のポイントを追加（累積）して第３暗号化キーで暗号化して記憶する。
【００４２】
以上に説明した本実施の形態における個人情報管理システムでは、個人情報は利用者自身が、自身が利用する利用者端末装置に記憶して、利用者が自らの責任にて管理することができるため、公開サーバに定常的に個人情報を記憶させておく従来システムに対して、利用者はより安心することができる。また、一旦個人情報及び開示許可レベルを利用者端末装置に記憶させれば、キャンペーンへの応募毎にいちいち個人情報を入力する手間を省略することができるとともに、自身が設定した開示許可レベルを満足する範囲での個人情報しか送信することがないため、手軽に且つ安全にキャンペーンに応募することができる。なお、開示許可レベルを満足しない場合は、利用者に開示を要求する個人情報を表示して、要求された個人情報を開示してキャンペーンに応募するか否か、利用者に選択（判断）させる選択画面を表示させる。このため、より多くの利用者がキャンペーンに応募することを期待できる。
また、キャンペーンの実施事業者は、キャンペーンサーバ（公開サーバ）を用意する必要がなく、個人情報を永続的に管理する必要もないため（キャンペーン期間中のみ管理、且つ非公開のキャンペーン端末装置で管理）、キャンペーンの事業運営費を抑えることができる。
また、キャンペーンの仲介事業者は、キャンペーンサーバ（公開サーバ）を用いて複数または単数の実施事業者のキャンペーンを公開して複数の利用者からの個人情報を受信するが、受信した個人情報は第１暗号化キー及び第２暗号化キーにて２重に暗号化されており且つ永続的に管理する必要がない。
【００４３】
本発明の個人情報管理システム１は、本実施の形態で説明した構成、接続、動作、処理手順、処理方法等に限定されず、本発明の要旨を変更しない範囲で種々の変更、追加、削除が可能である。
本実施の形態における、利用者端末装置への個人情報の記憶の手順及び処理は、図２（Ａ）に示す手順及び処理に限定されるものではない。また、キャンペーンへの応募と個人情報の提供の手順及び処理は、図４及び図５に示す手順及び処理に限定されるものではない。
また、表示画面は、本実施の形態に示した表示画面の例に限定されるものではない。
本実施の形態の説明では、仲介事業者がキャンペーンサーバを設けた例を説明したが、実施事業者がキャンペーンサーバを設けるようにしてもよい（この場合、実施事業者がキャンペーンサーバとキャンペーン端末装置とを設ける）。
なお本実施の形態では、開示許可レベルは、図３（Ｅ）に示すように、「非」「高」「中」「低」の４種類を設定し、開示要求レベルでは、図３（Ｆ）に示すように、「高」「中」「低」の３種類を設定している。しかし、これに限定されず、開示許可レベルには「開示許可」「開示禁止」のいずれかを選択させ、開示要求レベルを「開示必須」「開示不要」のいずれかを選択させることも可能である。
【産業上の利用可能性】
【００４４】
本発明の個人情報管理システムは、キャンペーンのみならず、ネットワークを用いて利用者を集める種々のイベントに適用できる。
【図面の簡単な説明】
【００４５】
【図１】本発明の個人情報管理システム１の一実施の形態の全体構成を示す図である。
【図２】利用者端末装置への個人情報の記憶の手順及び処理を説明する図である。
【図３】個人情報と開示許可レベルを入力する画面の例を説明する図である。
【図４】キャンペーンへの応募と個人情報の提供の手順及び処理（開示許可レベルが開示要求レベルを満足する場合）の例を説明する図である。
【図５】キャンペーンへの応募と個人情報の提供の手順及び処理（開示許可レベルが開示要求レベルを満足しない場合）の例を説明する図である。
【符号の説明】
【００４６】
１      個人情報管理システム
１０    キャンペーンサーバ
２０ａ〜２０ｎ    キャンペーン端末装置
３０ａ〜３０ｎ、３０ｍ    利用者端末装置
３２    記憶手段
３０ｚ  中継手段
５０    通信回線
５０ａ、５０ｎ    専用回線
【図１】
2006072629.tif 000003
【図２】
2006072629.tif 000004
【図３】
2006072629.tif 000005
【図４】
2006072629.tif 000006
【図５】
2006072629.tif 000007