(57)【要約】      （修正有）【課題】個人の希望に応じたプライバシー保護を実現するパーソナルデータ提供システム、提供方法及び情報処理装置を提供する。【解決手段】本パーソナルデータ提供システムは、複数の情報処理装置を有する。そして、複数の情報処理装置の各々は、個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する第１送信部と、各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける符号化部とを有する。【選択図】図５
2018128884.tif 000002
【特許請求の範囲】
【請求項１】
複数の第１情報処理装置
を有し、
前記複数の第１情報処理装置の各々は、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する第１送信部と、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける符号化部と、
を有するパーソナルデータ提供システム。
【請求項２】
第２情報処理装置
をさらに有し、
前記符号化部は、
前記各個人の符号を前記第２情報処理装置に送信し、
前記第２情報処理装置は、
前記複数の第１情報処理装置の各々から受信した前記各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して第２の識別子を対応付ける第１対応付け部と、
前記第２の識別子と当該第２の識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する第２送信部と、
を有し、
前記複数の第１情報処理装置のうち前記第２の識別子を受信した第１情報処理装置は、
受信した前記第２の識別子に、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータを対応付ける第２対応付け部をさらに有する、
請求項１記載のパーソナルデータ提供システム。
【請求項３】
第３情報処理装置
をさらに有し、
前記第２対応付け部は、
受信した前記第２の識別子、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータとを前記第３情報処理装置に送信し、
前記第３情報処理装置は、
複数の第１情報処理装置から受信したパーソナルデータを、前記第２の識別子に基づき関連付ける、
請求項２記載のパーソナルデータ提供システム。
【請求項４】
前記問い合わせは、パーソナルデータの種別ごとの符号化方式についての問い合わせである、
請求項１乃至３のいずれか１つ記載のパーソナルデータ提供システム。
【請求項５】
前記問い合わせは、パスワードについての問い合わせをさらに含む、
請求項１乃至３のいずれか１つ記載のパーソナルデータ提供システム。
【請求項６】
複数の第１情報処理装置を有するシステムにおいて実行されるパーソナルデータ提供方法であって、
前記複数の第１情報処理装置の各々は、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける、
処理を実行するパーソナルデータ提供方法。
【請求項７】
コンピュータに、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける、
処理を実行させるプログラム。
【請求項８】
コンピュータに、
複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して識別子を対応付け、
前記識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する、
処理を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パーソナルデータの管理技術に関する。
【背景技術】
【０００２】
ビッグデータ関連技術の発展等により、市場分析等のために多人数のパーソナルデータを分析したいと考える者が増えている。また、分析に使用するパーソナルデータを収集するため、パーソナルデータを保有する事業者からパーソナルデータを購入したいという需要が増えている。さらに、その需要に応えるように、パーソナルデータを売りたいと考える個人やパーソナルデータを保有する事業者が増えている。
【０００３】
図１に、事業者が保有するパーソナルデータの一例を示す。この事業者は例えばオンライン食品店を営んでおり、商品の購入者は個人である。図１の例では、個人のメールアドレスと、個人が商品を購入した日の情報と、商品のＩＤ（IDentifier）とがパーソナルデータに含まれる。
【０００４】
図２に、別の事業者が保有するパーソナルデータの一例を示す。この事業者は例えば健康管理のクラウドサービスを営んでおり、サービスは個人に対して提供される。図２（ａ）に示すように、パーソナルデータとしてユーザ番号（各個人に対して割り当てられる一意の番号）と個人のメールアドレスとが管理される。また、図２（ｂ）に示すように、パーソナルデータとしてユーザ番号と体重の計測日と体重とが管理される。図２の例のように、個人のメールアドレスと体重等の情報とが別の表で管理され、各個人に割り当てられたユーザ番号により両者が紐付けられることもある。
【０００５】
パーソナルデータを複数の事業者から入手した者は、個人を特定することが可能な情報がそれぞれのパーソナルデータに含まれていれば、単一の事業者から入手したパーソナルデータだけでは実施できない分析（例えば、購入商品と体重との関係など）を実施できる。上で述べた例では、メールアドレスが個人を特定することが可能な情報に該当する。但し、プライバシー保護の観点から、個人を特定することが可能な情報を第三者に提供することをその個人が希望しないこともある。従来技術によっては、個人の希望に応じたプライバシー保護が十分ではない場合がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００５−１２８６７２号公報
【非特許文献】
【０００７】
【非特許文献１】株式会社富士通研究所、外１社、“世界初、複数組織のデータを異なる鍵で暗号化したまま照合可能な暗号技術を開発”、［online］、平成２８年２月１５日、［平成２８年１２月２１日検索］、インターネット＜URL：http://pr.fujitsu.com/jp/news/2016/02/15.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、１つの側面では、個人の希望に応じたプライバシー保護を実現するための技術を提供することである。
【課題を解決するための手段】
【０００９】
一態様に係るパーソナルデータ提供システムは、複数の第１情報処理装置を有する。そして、複数の第１情報処理装置の各々は、個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する第１送信部と、各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける符号化部とを有する。
【発明の効果】
【００１０】
１つの側面では、個人の希望に応じたプライバシー保護を実現できるようになる。
【図面の簡単な説明】
【００１１】
【図１】図１は、パーソナルデータの一例を示す図である。
【図２】図２は、パーソナルデータの一例を示す図である。
【図３】図３は、本実施の形態の概要を説明するための図である。
【図４】図４は、本実施の形態のシステムの概要を示す図である。
【図５】図５は、事業者装置の機能ブロック図である。
【図６】図６は、仲介業者装置の機能ブロック図である。
【図７】図７は、処理フローを示す図である。
【図８】図８は、符号化設定画面の一例を示す図である。
【図９】図９は、処理フローを示す図である。
【図１０】図１０は、事業者データ格納部に格納されるデータの一例を示す図である。
【図１１】図１１は、事業者データ格納部に格納されるデータの一例を示す図である。
【図１２】図１２は、事業者データ格納部に格納されるデータの一例を示す図である。
【図１３】図１３は、仲介業者データ格納部に格納されるデータの一例を示す図である。
【図１４】図１４は、仲介業者データ格納部に格納されるデータの一例を示す図である。
【図１５】図１５は、仲介業者データ格納部に格納される購入申請データの一例を示す図である。
【図１６】図１６は、仲介業者データ格納部に格納されるデータの一例を示す図である。
【図１７】図１７は、仲介業者データ格納部に格納されるデータの一例を示す図である。
【図１８】図１８は、処理フローを示す図である。
【図１９】図１９は、事業者装置から購入者装置へ送信されるデータの一例を示す図である。
【図２０】図２０は、事業者装置から購入者装置へ送信されるデータの一例を示す図である。
【図２１】図２１は、コンピュータの機能ブロック図である。
【発明を実施するための形態】
【００１２】
図３を用いて、本実施の形態の概要を説明する。
【００１３】
個人に対するサービスの提供等を行う事業者は、個人ＩＤの匿名性が確保されるという条件の元でパーソナルデータを第三者に提供することに同意した個人に対して、符号化方式及びパスワードの少なくともいずれかを指定する機能を提供する。そして、事業者は、その機能により指定された符号化方式及びパスワードの少なくともいずれかに従って符号化した個人ＩＤと、その事業者の事業者ＩＤとを、パーソナルデータの仲介業者に提供する。
【００１４】
ここで、個人ＩＤとは、個人を特定することが可能な情報であるとする。例えば、メールアドレス、氏名と住所の組合せ及び個人番号等は個人ＩＤに該当する。以下ではメールアドレスを個人ＩＤとして使用する例を示すが、各個人は互いに異なるメールアドレスを１つ使用しているものとする。また、パーソナルデータのうち個人ＩＤ以外の部分を核データと呼ぶ。
【００１５】
仲介業者は、符号化された個人ＩＤ（以下、符号と呼ぶ）を複数の事業者から取得し、同一の個人ＩＤから生成され且つ複数の事業者から取得した符号を特定する。そして、仲介業者は、複数の事業者を指定する購入申請を受け付けた場合、その複数の事業者に共通する符号に仮ＩＤを割り当て、その仮ＩＤと購入者ＩＤと符号とをその複数の事業者に送信する。
【００１６】
事業者は、保有するパーソナルデータと仮ＩＤとを紐付け、パーソナルデータのうち個人ＩＤ以外の部分（すなわち核データ）と仮ＩＤとを購入者に送信する。
【００１７】
購入者は、複数の事業者から核データと仮ＩＤとを受信し、同一の仮ＩＤが付与されている核データ同士を紐付ける。
【００１８】
このような方法であれば、個人は第三者である仲介業者および購入者に対して個人ＩＤを提供することが無い。すなわち、個人ＩＤの匿名性が確保される。一方で、購入者は個人を特定することまでは望んでおらず、個人の集合についての性質を分析することを望んでいるので、このようなデータ提供の方式であっても問題が無い。
【００１９】
また、データは複製が容易であるため、提供先で契約違反や漏洩事故等によるデータ流出が発生するとデータの価値が損なわれる。そのため、不必要なデータ提供は可能な限り回避することが好ましいが、図３に示した方法であれば、事業者は購入者以外の者（例えば仲介業者）に対して核データを提供することが無い。
【００２０】
また、単独では匿名性が高い核データであっても、膨大な種類や量のデータと紐付くと匿名性が低下することがある。そのため、データの機微性等に応じて他のデータと紐付けるか否かを指定できることが好ましいが、上で述べた方法であれば、個人に対してそのような指定を行わせることも可能である。
【００２１】
以下では、本実施の形態の詳細を説明する。
【００２２】
図４に、本実施の形態のシステムの概要を示す。ユーザ装置７ａ乃至７ｃは、例えばパーソナルコンピュータ或いはスマートデバイス等であり、インターネットであるネットワーク９に有線又は無線で接続される。ユーザ装置７ａ乃至７ｃは、ネットワーク９を介して、事業者装置３ａ及び３ｂが提供するサービスの提供を受ける。事業者装置３ａ及び３ｂは、ユーザ装置７ａ乃至７ｃを使用する個人のパーソナルデータ（例えば、個人ＩＤ及び核データを含む）を保有している。仲介業者装置１は、事業者装置３ａ及び３ｂがパーソナルデータを購入者装置５ａ及び５ｂに対して販売する処理を仲介する。購入者装置５ａ及び５ｂは、事業者装置３ａ及び３ｂが保有するパーソナルデータを購入する。パーソナルデータを購入した購入者装置５ａ及び５ｂには、個人ＩＤは提供されない。
【００２３】
なお、図４においてはユーザ装置の数は３であり、仲介業者装置の数は１であり、事業者装置の数は２であり、購入者装置の数は２であるが、数に限定は無い。
【００２４】
図５に、事業者装置３ａの機能ブロック図を示す。事業者装置３ａは、問い合わせ部３０１と、符号化部３０３と、符号送信部３０５と、仮ＩＤ受信部３０７と、核データ送信部３０９と、事業者データ格納部３１１とを含む。なお、ここでは事業者装置３ａの機能ブロック図を示したが、事業者装置３ｂの機能ブロック構成も事業者装置３ａの機能ブロック構成と同じである。
【００２５】
問い合わせ部３０１は、ユーザ装置７ａ乃至７ｃに対して、個人ＩＤの符号化方式およびパスワードについての問い合わせを送信する。符号化部３０３は、ユーザ装置７ａ乃至７ｃから受信した問い合わせに対する応答に基づき、個人ＩＤを符号化して符号を生成する。符号送信部３０５は、生成された符号（及び、場合によっては符号化方式についての情報）を仲介業者装置１に送信する。仮ＩＤ受信部３０７は、仲介業者装置１から仮ＩＤを受信する。核データ送信部３０９は、事業者データ格納部３１１に格納されている核データに仮ＩＤを関連付け、仮ＩＤが関連付けられた核データを購入者装置５ａ及び５ｂに送信する。事業者データ格納部３１１には、事業者装置３ａが管理する各種のデータが格納される。
【００２６】
図６に、仲介業者装置１の機能ブロック図を示す。仲介業者装置１は、符号受信部１０１と、判定部１０３と、購入処理部１０５と、仮ＩＤ送信部１０７と、仲介業者データ格納部１０９とを含む。
【００２７】
符号受信部１０１は、事業者装置３ａ及び３ｂから符号（及び、場合によっては符号化方式についての情報）を受信し、仲介業者データ格納部１０９に格納する。判定部１０３は、仲介業者データ格納部１０９に格納されているデータに基づき、同一の個人ＩＤから生成され且つ複数の事業者装置から受信した符号を特定し、特定した符号に対して同一の仮ＩＤを割り当てる。購入処理部１０５は、購入者装置５ａ及び５ｂから受信した購入申請データを処理する。仮ＩＤ送信部１０７は、購入申請データにおいて指定された事業者の事業者装置に対して、その事業者装置において生成された符号に対応する仮ＩＤを送信する。但し、仮ＩＤが割り当てられなかった符号については、仮ＩＤは送信されない。仲介業者データ格納部１０９には、仲介業者装置１が管理する各種のデータが格納される。
【００２８】
次に、図７乃至図２０を用いて、本実施の形態のシステムにおいて実行される処理を、事業者装置３ａ、ユーザ装置７ａ、仲介業者装置１及び購入者装置５ａが実行する処理を例として説明する。
【００２９】
まず、事業者装置３ａの問い合わせ部３０１は、符号化設定画面のデータを事業者データ格納部３１１から読み出し、読み出した符号化設定画面のデータをユーザ装置７ａに送信する（図７：ステップＳ１）。符号化設定画面は、個人ＩＤの符号化方式および符号化に使用されるパスワードの少なくともいずれかについての問い合わせをするための画面である。
【００３０】
ユーザ装置７ａは、事業者装置３ａから符号化設定画面のデータを受信し（ステップＳ３）、符号化設定画面のデータを表示装置に表示させる（ステップＳ５）。
【００３１】
図８に、符号化設定画面の一例を示す。図８の例では、購買履歴を第三者へ提供することについて確認するための表示と、個人ＩＤであるメールアドレスを用いた紐付けについて確認するための表示とが含まれる。紐付けについては、パスワードを用いて生成した符号を用いた紐付けと、パスワードを用いないで生成した符号を用いた紐付けとのいずれかを選択できるようになっている。図８に示したように、核データ及び符号化された個人ＩＤを第三者に提供することについての同意がそれぞれ確認されるので、個人はどの核データの提供を依頼されているか把握しやすくなり、同意に対する心理的な障壁が下がるので、事業者は同意を得やすくなる。さらに、核データの売上の一部が貢献度に応じて還元されることを個人に通知しているので、需要がある核データを第三者に提供することへのインセンティブが働くため、事業者は同意を得やすくなる。
【００３２】
ユーザ装置７ａを操作する個人が、例えばチェックボックス及びラジオボタンの選択を行い、図８における設定ボタン８１をマウスのクリック等によって押下すると、ユーザ装置７ａは、符号化設定データの入力を受け付ける（ステップＳ７）。なお、個人の認証は、ログインなどの任意の方式により別途行われる。
【００３３】
ユーザ装置７ａは、入力された符号化設定データを事業者装置３ａに送信する（ステップＳ９）。符号化設定データには、符号化方式の指定およびパスワードの少なくともいずれか、核データの第三者提供への同意についての情報及びユーザ装置７ａを操作する個人の個人ＩＤ等が含まれる。
【００３４】
これに応じ、事業者装置３ａの符号化部３０３は、符号化設定データをユーザ装置７ａから受信する（ステップＳ１１）。処理は端子Ａを介して図９のステップＳ１３に移行する。
【００３５】
図９の説明に移行し、符号化部３０３は、受信した符号化設定データに従って、符号化設定データに含まれる個人ＩＤを符号化して符号を生成する（図９：ステップＳ１３）。そして、符号化部３０３は、生成した符号を事業者データ格納部３１１に格納する。
【００３６】
パスワードを使用しない場合には、例えば、個人ＩＤをＡＳＣＩＩ（American Standard Code for Information Interchange）としてデコードしたバイト列を暗号学的ハッシュ関数ＳＨＡ−２５６（Secure Hash Algorithm 256-bit）に適用した結果を符号とする。パスワードを使用する場合、例えば、個人ＩＤの末尾に個人ＩＤに含まれないＡＳＣＩＩ文字（個人ＩＤがメールアドレスの場合はコロン等）を付し、その後にＡＳＣＩＩのパスワードが付された文字列をＡＳＣＩＩとしてデコードしたバイト列を暗号学的ハッシュ関数に適用した結果を符号とする。個人ＩＤに含まれないＡＳＣＩＩ文字を使用する理由は、個人ＩＤとパスワードとの組合せが異なるにもかかわらず同じ文字列が生成される可能性を排除するためである。
【００３７】
暗号学的ハッシュ関数を使用すれば、符号から元の個人ＩＤを特定することが難しいので、符号の提供先（本実施の形態では、仲介業者装置１）において個人を特定することが困難になる。また、同一の個人ＩＤ及びパスワードである場合にのみ符号が一致するため、符号の提供先では符号のまま同一性の判定を行うことができるようになる。
【００３８】
但し、符号化方式は暗号学的ハッシュ関数以外の方式であってもよい。また、パスワードについても、個人の秘密の鍵となるものであればその他の情報であってもよい。なお、普通は事業者間で符号化方式が異なる場合には核データの紐付けを行うことはできないため、各事業者が１つの符号方式のみを採用している場合には符号化方式が異なる事業者間での紐付けを行うことができない。そこで、事業者は複数の符号化方式を使用して複数の符号を生成してもよい。たとえば、ＳＨＡ−２５６を使用した場合の符号と、ＳＨＡ−５１２を使用した場合の符号とを生成してもよい。
【００３９】
図１０に、ステップＳ１３の処理によって事業者装置（ここでは、事業者装置３ａとする）の事業者データ格納部３１１に格納されるデータの一例を示す。図１０の例では、個人ＩＤであるメールアドレスと、符号化方式についての情報と、パスワードと、符号とが格納される。例えば１つ目のレコードは、個人ＩＤが「X@example.com」である個人が個人ＩＤの提供に合意したこと及びパスワード「X-secret」を用いて方式「h」の符号化で生成される符号が「1A44」であることを表している。同様に、２つ目のレコードは、個人ＩＤが「Y@example.com」である個人が個人ＩＤの提供に合意したこと及びパスワードを用いずに生成される符号が「2B78」であることを表している。３つ目のレコードは、個人ＩＤが「Z@example.com」である個人が個人ＩＤの提供に合意しなかったことを表している。なお、実際の符号はより多くの文字で構成されるが、説明を簡単にするため、本実施の形態では４文字からなる符号を例として使用している。
【００４０】
図１１に、別の事業者装置（ここでは、事業者装置３ｂとする）の事業者データ格納部３１１に格納されるデータの一例を示す。図１１の例では、個人ＩＤであるメールアドレスと、符号化方式についての情報と、パスワードと、符号とが格納される。１つ目のレコードは、個人ＩＤが「X@example.com」である個人が個人ＩＤの提供に合意したこと及びパスワード「X-secret」を用いて方式「h」の符号化で生成される符号が「1A44」であることを表している。２つ目のレコードは、個人ＩＤが「Y@example.com」である個人が個人ＩＤの提供に合意したこと及びパスワード「Y-secret」を用いて生成される符号が「4DB2」であることを表している。
【００４１】
図１０及び図１１を比較するとわかるように、個人ＩＤが「X@example.com」である個人は両事業者間で同じ設定をしている一方、個人ＩＤが「Y@example.com」である個人は両事業者間で異なる設定をしている。個人ＩＤが「Z@example.com」である個人は、事業者装置３ｂの事業者のサービスを利用していないか、又は、事業者装置３ｂの事業者が保有しているパーソナルデータを第三者に提供することに同意していない。
【００４２】
本実施の形態においては、同等の設定が行われた核データ同士が紐付けられるようにすることで、個人自らがどの事業者の核データ同士が紐付けられることを可能とするかを制御できるようになる。
【００４３】
なお、各事業者において核データの種別ごとに異なる符号化設定データを使用してもよい。例えば、事業者が核データとして体重履歴の他に運動履歴をも管理している場合、それぞれの核データについて上で例示したような符号化設定データを扱ってもよい。この場合、例えば図１２に示すようなデータが事業者データ格納部３１１に格納され、データＩＤと核データとの対応関係を管理するためのデータも別途格納される。
【００４４】
図９の説明に戻り、符号送信部３０５は、事業者ＩＤ及びその事業者において生成された符号を仲介業者装置１に送信する（ステップＳ１５）。例えば図１０に示した符号の場合、事業者装置３ａの符号送信部３０５は、事業者装置３ａであることを示す情報と[1A44,2B78]とを送信する。また、例えば図１１に示した符号の場合、事業者装置３ｂの符号送信部３０５は、事業者装置３ｂであることを示す情報と、[1A44,4DB2]とを送信する。
【００４５】
ステップＳ１５においては、符号化方式の情報をさらに送信してもよい。例えば、パスワード無しの方式を「h」とし、パスワード有りの方式を「hk」とすると、図１０の例の場合、事業者装置３ａの符号送信部３０５は、事業者装置３ａであることを示す情報と、[h:[2B78], hk:[1A44]]とを送信する。また、図１１の例の場合、事業者装置３ｂの符号送信部３０５は、事業者装置３ｂであることを示す情報と、[hk:[1A44,4DB2]]とを送信する。通常、異なる符号化方式によって生成された符号同士を比較しても同一性を判断できないので、異なる符号化方式によって生成された符号同士の同一性を判定することを想定する場合には、このように符号化方式の情報を使用してもよい。但し、異なる符号化方式を使用した場合には符号は同一ではないと取り扱うと予め定めている場合には、符号化方式の情報を送信する必要はない。
【００４６】
なお、たとえ個人ＩＤが同一であり且つ符号化方式が同一であっても、符号化方式によっては異なる符号が生成されることもある。そのような場合であっても、例えば非特許文献１に開示された技術を利用すれば個人ＩＤが同一であるか否かを判定することができる。
【００４７】
図９の説明に戻り、仲介業者装置１の符号受信部１０１は、事業者装置３ａから事業者装置３ａの事業者ＩＤ及び符号を受信する（ステップＳ１７）。符号受信部１０１は、受信した事業者ＩＤ及び符号を仲介業者データ格納部１０９に格納する。
【００４８】
図１３に、ステップＳ１７の処理の後に仲介業者データ格納部１０９に格納されるデータの一例を示す。図１３の例では、事業者ＩＤと、その事業者ＩＤを有する事業者の事業者装置から受信した符号とが格納される。
【００４９】
判定部１０３は、同一の個人ＩＤから生成され且つ複数の事業者装置から受信した符号を、仲介業者データ格納部１０９から特定する（ステップＳ１９）。例えば図１３に示したデータが仲介業者データ格納部１０９に格納されている場合、事業者ＩＤ「3a」に対応付けられている符号「1A44」と事業者ＩＤ「3b」に対応付けられている符号「1A44」とが特定される。また、判定部１０３は、図１４に示すようなデータを仲介業者データ格納部１０９に格納する。図１４の例では、ステップＳ１９において特定された符号を送信した事業者装置の事業者ＩＤと、符号とが対応付けて格納される。
【００５０】
一方、購入処理部１０５は、購入申請データを購入者装置５ａから受信する（ステップＳ２１）。そして、購入処理部１０５は、受信した購入申請データを仲介業者データ格納部１０９に格納する。
【００５１】
図１５に、仲介業者データ格納部１０９に格納される購入申請データの一例を示す。購入申請データには、例えば、図１５（ａ）に示すようなデータと図１５（ｂ）に示すようなデータとが含まれる。図１５（ａ）に示したデータには、購入者ＩＤと申請ＩＤとが含まれる。図１５（ｂ）に示したデータには、申請ＩＤと事業者ＩＤとが含まれる。但し、申請ＩＤを仲介業者装置１が割り当ててもよく、その場合には、購入者ＩＤに事業者ＩＤが対応付けられたデータが購入者装置５ａから送信される。
【００５２】
仮ＩＤ送信部１０７は、仲介業者データ格納部１０９に格納された購入申請データにおいて指定された複数の事業者間で共通する符号を抽出し、抽出した各符号に仮ＩＤを割り当てる（ステップＳ２３）。そして、仮ＩＤ送信部１０７は、購入申請データを送信した購入者装置５ａの購入者ＩＤと、符号と、仮ＩＤとを仲介業者データ格納部１０９に格納する。なお、仮ＩＤとしては、例えば、連番あるいは乱数が用いられる。仮ＩＤの割当が満たすべき条件は、（１）符号と直接無関係な値が割り当てられるという条件、（２）或る購入申請データについて、同一符号に同一値が割り当てられるという条件、（３）異なる購入申請データについて、互いに直接無関係な値が割り当てられるという条件である。
【００５３】
図１６に、ステップＳ２３の後に仲介業者データ格納部１０９に格納されるデータの一例を示す。図１６の例では、購入者ＩＤと、符号と、仮ＩＤとが格納される。なお、核データの種別に対応するデータＩＤが設定されている場合には、例えば図１７に示すようなデータが格納される。
【００５４】
仮ＩＤ送信部１０７は、仲介業者データ格納部１０９に格納した購入者ＩＤ、符号及び仮ＩＤを、購入申請データにおいて指定された事業者の事業者装置（ここでは、事業者装置３ａ及び３ｂとする）に送信する（ステップＳ２５）。
【００５５】
これに応じ、事業者装置３ａの仮ＩＤ受信部３０７は、購入者ＩＤ、符号及び仮ＩＤを仲介業者装置１から受信する（ステップＳ２７）。仮ＩＤ受信部３０７は、購入者ＩＤ、符号及び仮ＩＤを事業者データ格納部３１１に格納する。なお、仲介業者装置１からのデータであることの認証は、電子署名などの任意の方式により別途行われる。そして処理は端子Ｂを介して図１８のステップＳ２９に移行する。
【００５６】
図１８の説明に移行し、事業者装置３ａの核データ送信部３０９は、事業者装置３ａが事業者データ格納部３１１において管理する核データに仮ＩＤを紐付ける（図１８：ステップＳ２９）。より具体的には、核データ送信部３０９は、ステップＳ２７において受信した符号と一致する符号を特定し、特定した符号に対応する個人ＩＤを、ステップＳ２７において受信した対応する仮ＩＤで置換する。
【００５７】
核データ送信部３０９は、仮ＩＤが紐付けられた核データを、ステップＳ２７において受信した購入者ＩＤを有する購入者装置（ここでは、購入者装置５ａ）に、例えば電子メールにより送信する（ステップＳ３１）。
【００５８】
図１９に、ステップＳ３１の処理によって送信されるデータの一例を示す。図１９の例では、仮ＩＤと、核データである購買日の情報および商品ＩＤとが送信される。
【００５９】
また、図２０に、別の事業者装置（ここでは、事業者装置３ｂ）から送信されるデータの一例を示す。図２０の例では、仮ＩＤと、核データである計測日の情報および体重の情報とが送信される。
【００６０】
購入者装置５ａは、仮ＩＤが紐付けられた核データを事業者装置３ａから受信する（ステップＳ３３）。
【００６１】
そして、購入者装置５ａは、複数の事業者から受信した核データを、仮ＩＤに基づき紐付ける（ステップＳ３５）。具体的には、購入者装置５ａは、同一の仮ＩＤが紐付けられた核データ同士を紐付ける。
【００６２】
以上のような本実施の形態の方法であれば、個人及び事業者は、他の核データと紐付けられる核データを安心して販売することができるので、データ売買が活発化する。
【００６３】
個人は、匿名での紐付け（すなわち、個人ＩＤを秘匿した状態での紐付け）が実現されるため、安心して第三者提供に同意することができる。また、個人ＩＤは購入者には（秘匿した状態ですら）提供されず、仲介業者に対しても符号化され且つ他の核データとは紐付いていない状態で提供されるので、匿名性を高めることができる。
【００６４】
また、個人は、核データを紐付けするか否かの決定を自ら行うことができる。また、基本的には、同じ符号化方式（及びパスワード）が設定された事業者の核データ同士が紐付けられるため、符号化方式（及びパスワード）を適切に設定することでどの核データとどの核データとを紐付けるか自ら決定することができる。また、事業者は、多くの核データの第三者提供を許可するほどより多くの還元を受けられることを符号化設定画面で個人に対して通知できるので、個人が核データを第三者に提供することを促すことができるようになる。
【００６５】
また、事業者は自ら核データを保有するので、仲介業者に対して安心してデータ販売の仲介を依頼することができる。また、核データを仲介業者に提供しないので、仲介業者の信頼性に疑いが有る場合にもデータ販売の仲介を依頼することができる。
【００６６】
以上から、個人及び事業者からのデータ供給が増えることを期待できる。また、購入者は今まで実施できなかった分析等を実施できるようになるので、データ需要が増えることも期待できる。
【００６７】
以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した仲介業者装置１並びに事業者装置３ａ及び３ｂの機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。
【００６８】
また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。
【００６９】
なお、上で述べた例では事業者装置３ａ及び３ｂが核データを保有するが、仲介業者装置１が核データを保有してもよい。この場合、仲介業者装置１が購入者装置５ａ及び５ｂに対して仮ＩＤが紐付けられた核データを送信する。
【００７０】
また、符号化設定についての確認は、各個人に対して書面にて行うようにしてもよい。
【００７１】
なお、上で述べた仲介業者装置１、事業者装置３ａ及び３ｂ、購入者装置５ａ及び５ｂ並びにユーザ装置７ａ乃至７ｃは、コンピュータ装置であって、図２１に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【００７２】
以上述べた本発明の実施の形態をまとめると、以下のようになる。
【００７３】
本実施の形態の第１の態様に係るパーソナルデータ提供システムは、（Ａ）複数の第１情報処理装置（例えば、事業者装置３ａ及び３ｂ）を有する。そして、複数の第１情報処理装置の各々は、（ａ１）個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する第１送信部（例えば、問い合わせ部３０１）と、（ａ２）各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける符号化部（例えば、符号化部３０３）とを有する。
【００７４】
個人は符号化方式及びパスワードを自ら指定して識別子を符号化できるので、個人の希望に応じたプライバシー保護を実現できるようになる。
【００７５】
また、本パーソナルデータ提供システムは、第２情報処理装置をさらに有してもよい。そして、符号化部は、（ａ２１）各個人の符号を第２情報処理装置に送信し、第２情報処理装置は、（ｂ１）複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された複数の符号に対して第２の識別子を対応付ける第１対応付け部（例えば、判定部１０３）と、（ｂ２）第２の識別子と当該第２の識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する第２送信部（例えば、仮ＩＤ送信部１０７）とを有してもよい。そして、複数の第１情報処理装置のうち第２の識別子を受信した第１情報処理装置は、（ａ３）受信した第２の識別子に、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータを対応付ける第２対応付け部（例えば、核データ送信部３０９）をさらに有してもよい。
【００７６】
複数の第１情報処理装置の間で共通する第２識別子をパーソナルデータに対応付けることができるようになる。
【００７７】
また、本パーソナルデータ提供システムは、第３情報処理装置をさらに有してもよい。そして、第２対応付け部は、（ａ３１）受信した第２の識別子、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータとを第３情報処理装置に送信してもよい。そして、第３情報処理装置は、（ｃ１）複数の第１情報処理装置から受信したパーソナルデータを、第２の識別子に基づき関連付けてもよい。
【００７８】
第三者が複数の第１情報処理装置間でパーソナルデータを関連付けることができるようになる。
【００７９】
また、問い合わせは、パーソナルデータの種別ごとの符号化方式についての問い合わせであってもよい。
【００８０】
個人の希望に対してより柔軟に応じることができるようになる。
【００８１】
また、問い合わせは、パスワードについての問い合わせをさらに含んでもよい。
【００８２】
さらにパスワードを用いて符号化を実行できるので、より強固なセキュリティを実現できるようになる。
【００８３】
また、符号化方式は、暗号学的ハッシュ関数を使用する方式を含んでもよい。
【００８４】
本実施の形態の第２の態様に係る情報処理装置は、（Ｄ）個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する送信部（例えば、問い合わせ部３０１）と、（Ｅ）各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける符号化部（例えば、符号化部３０３）とを有する。
【００８５】
本実施の形態の第３の態様に係る情報処理装置は、（Ｆ）複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された複数の符号に対して識別子を対応付ける対応付け部（例えば、判定部１０３）と、（Ｇ）識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する送信部（例えば、仮ＩＤ送信部１０７）とを有する。
【００８６】
本実施の形態の第４の態様に係るパーソナルデータ提供方法は、複数の第１情報処理装置を有するシステムにおいて実行される。そして、複数の第１情報処理装置の各々は、（Ｈ）個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、（Ｉ）各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける処理を含む。
【００８７】
本実施の形態の第５の態様に係る情報処理方法は、（Ｊ）個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、（Ｋ）各個人の端末から受信した、問い合わせに対する応答に基づき、各個人の識別子を符号化して各個人の符号を生成し、各個人のパーソナルデータに当該個人の符号を対応付ける処理を含む。
【００８８】
本実施の形態の第６の態様に係る情報処理方法は、（Ｌ）複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された複数の符号に対して識別子を対応付け、（Ｍ）識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する処理を含む。
【００８９】
なお、上記方法による処理をプロセッサに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。
【００９０】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【００９１】
（付記１）
複数の第１情報処理装置
を有し、
前記複数の第１情報処理装置の各々は、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する第１送信部と、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける符号化部と、
を有するパーソナルデータ提供システム。
【００９２】
（付記２）
第２情報処理装置
をさらに有し、
前記符号化部は、
前記各個人の符号を前記第２情報処理装置に送信し、
前記第２情報処理装置は、
前記複数の第１情報処理装置の各々から受信した前記各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して第２の識別子を対応付ける第１対応付け部と、
前記第２の識別子と当該第２の識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する第２送信部と、
を有し、
前記複数の第１情報処理装置のうち前記第２の識別子を受信した第１情報処理装置は、
受信した前記第２の識別子に、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータを対応付ける第２対応付け部をさらに有する、
付記１記載のパーソナルデータ提供システム。
【００９３】
（付記３）
第３情報処理装置
をさらに有し、
前記第２対応付け部は、
受信した前記第２の識別子、当該第２の識別子が対応付けられた符号に対応する識別子を有する個人のパーソナルデータとを前記第３情報処理装置に送信し、
前記第３情報処理装置は、
複数の第１情報処理装置から受信したパーソナルデータを、前記第２の識別子に基づき関連付ける、
付記２記載のパーソナルデータ提供システム。
【００９４】
（付記４）
前記問い合わせは、パーソナルデータの種別ごとの符号化方式についての問い合わせである、
付記１乃至３のいずれか１つ記載のパーソナルデータ提供システム。
【００９５】
（付記５）
前記問い合わせは、パスワードについての問い合わせをさらに含む、
付記１乃至３のいずれか１つ記載のパーソナルデータ提供システム。
【００９６】
（付記６）
前記符号化方式は、暗号学的ハッシュ関数を使用する方式を含む、
付記１乃至５のいずれか１つ記載のパーソナルデータ提供システム。
【００９７】
（付記７）
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信する送信部と、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける符号化部と、
を有する情報処理装置。
【００９８】
（付記８）
複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して識別子を対応付ける対応付け部と、
前記識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する送信部と、
を有する情報処理装置。
【００９９】
（付記９）
複数の第１情報処理装置を有するシステムにおいて実行されるパーソナルデータ提供方法であって、
前記複数の第１情報処理装置の各々は、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける、
処理を実行するパーソナルデータ提供方法。
【０１００】
（付記１０）
コンピュータが、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける、
処理を実行する情報処理方法。
【０１０１】
（付記１１）
コンピュータが、
複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して識別子を対応付け、
前記識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する、
処理を実行する情報処理方法。
【０１０２】
（付記１２）
コンピュータに、
個人の識別子の符号化方式についての問い合わせを、各個人の端末に送信し、
前記各個人の端末から受信した、前記問い合わせに対する応答に基づき、前記各個人の識別子を符号化して前記各個人の符号を生成し、前記各個人のパーソナルデータに当該個人の符号を対応付ける、
処理を実行させるプログラム。
【０１０３】
（付記１３）
コンピュータに、
複数の第１情報処理装置の各々から受信した各個人の符号に基づき、同一の個人の識別子から生成された複数の符号を特定し、特定された前記複数の符号に対して識別子を対応付け、
前記識別子と当該識別子が対応付けられた符号とを、当該符号の送信元の第１情報処理装置であって指定された第１情報処理装置に送信する、
処理を実行させるプログラム。
【符号の説明】
【０１０４】
１  仲介業者装置    ３ａ，３ｂ  事業者装置
５ａ，５ｂ  購入者装置    ７ａ，７ｂ，７ｃ  ユーザ装置
９  ネットワーク
１０１  符号受信部    １０３  判定部
１０５  購入処理部    １０７  仮ＩＤ送信部
１０９  仲介業者データ格納部
３０１  問い合わせ部    ３０３  符号化部
３０５  符号送信部    ３０７  仮ＩＤ受信部
３０９  核データ送信部    ３１１  事業者データ格納部
【図１】
2018128884.tif 000003
【図２】
2018128884.tif 000004
【図３】
2018128884.tif 000005
【図４】
2018128884.tif 000006
【図５】
2018128884.tif 000007
【図６】
2018128884.tif 000008
【図７】
2018128884.tif 000009
【図８】
2018128884.tif 000010
【図９】
2018128884.tif 000011
【図１０】
2018128884.tif 000012
【図１１】
2018128884.tif 000013
【図１２】
2018128884.tif 000014
【図１３】
2018128884.tif 000015
【図１４】
2018128884.tif 000016
【図１５】
2018128884.tif 000017
【図１６】
2018128884.tif 000018
【図１７】
2018128884.tif 000019
【図１８】
2018128884.tif 000020
【図１９】
2018128884.tif 000021
【図２０】
2018128884.tif 000022
【図２１】
2018128884.tif 000023