(57)【要約】【課題】サービス提供者が利用する利用者情報の具体的な情報を含むプライバシーポリシーを生成することができる技術を提供する。【解決手段】情報識別部１０は、サービスの利用者に関する不変の情報である第１の利用者情報または利用者に関する可変の情報である第２の利用者情報と、サービスによる第１の利用者情報または第２の利用者情報の扱い方とが記述された第１のプライバシーポリシー１００に記述された第１の利用者情報または第２の利用者情報を識別する。情報取得部２０は、情報識別部１０によって識別された第１の利用者情報および第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する。生成部３０は、情報取得部２０によって取得された具体的な情報を含む第２のプライバシーポリシー２００を生成する。【選択図】図１
2015228158.tif 000002
【特許請求の範囲】
【請求項１】
サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別部と、
前記情報識別部によって識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得部と、
前記情報取得部によって取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成部と、
を有することを特徴とするプライバシーポリシー生成装置。
【請求項２】
前記情報取得部はさらに、前記情報識別部が前記第２の利用者情報を識別した場合、前記利用者端末にインストールされているアプリケーションが前記第２の利用者情報の前記具体的な情報を前記利用者端末から取得する頻度を検出し、
前記生成部は、前記情報取得部によって取得された前記具体的な情報と、前記頻度を示す頻度情報とを含む前記第２のプライバシーポリシーを生成する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項３】
前記第１の利用者情報または前記第２の利用者情報と、前記第１の利用者情報または前記第２の利用者情報の利用によるリスクを示すリスク情報とを関連付けたリストから、前記第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報に対応する前記リスク情報を取得するリスク解析部をさらに有し、
前記生成部は、前記リスク解析部によって取得された前記リスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項４】
前記情報取得部はさらに、前記情報識別部が前記第２の利用者情報を識別した場合、前記利用者端末にインストールされているアプリケーションが前記第２の利用者情報の前記具体的な情報を前記利用者端末から取得する頻度を検出し、
前記第２の利用者情報と、前記第２の利用者情報の利用による前記頻度に応じたリスクを示すリスク情報とを関連付けたリストから、前記第１のプライバシーポリシーに記述された前記第２の利用者情報と、前記情報取得部によって検出された前記頻度とに対応する前記リスク情報を取得するリスク解析部をさらに有し、
前記生成部は、前記リスク解析部によって取得された前記リスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項５】
前記第１のプライバシーポリシーに記述された、前記第１の利用者情報を利用するサービス提供者の情報に基づいて、複数のサービス提供者が同一の前記第１の利用者情報を利用するか否かを解析するリスク解析部をさらに有し、
前記生成部は、複数のサービス提供者が同一の前記第１の利用者情報を利用することが判明した場合、複数のサービス提供者が同一の前記第１の利用者情報を利用することを示すリスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項６】
前記第１のプライバシーポリシーに記述された、前記第１の利用者情報を利用するサービス提供者の情報に基づいて、同一のサービス提供者が複数の前記第１の利用者情報を利用するか否かを解析するリスク解析部をさらに有し、
前記生成部は、同一のサービス提供者が複数の前記第１の利用者情報を利用することが判明した場合、同一のサービス提供者が複数の前記第１の利用者情報を利用することを示すリスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項７】
前記第２のプライバシーポリシーを表示する表示部をさらに有し、
前記表示部は、前記情報識別部が前記第２の利用者情報を識別し、前記第２の利用者情報が位置情報である場合、前記第２のプライバシーポリシーに含まれる前記位置情報の前記具体的な情報を地図上で表示する
ことを特徴とする請求項１に記載のプライバシーポリシー生成装置。
【請求項８】
サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別ステップと、
前記情報識別ステップで識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得ステップと、
前記情報取得ステップで取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成ステップと、
を有することを特徴とするプライバシーポリシー生成方法。
【請求項９】
サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別ステップと、
前記情報識別ステップで識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得ステップと、
前記情報取得ステップで取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成ステップと、
をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サービスの利用者に関する利用者情報の扱い方が記述されたプライバシーポリシーを扱う技術に関する。
【背景技術】
【０００２】
Webサービス等のサービスを提供するサービス提供者は、サービスの利用者に関する利用者情報を利用者端末から取得し、利用者情報を利用してサービスを提供する。サービス提供者は、利用者情報の扱い方を示すプライバシーポリシーを制定している。プライバシーポリシーは、利用者情報の種類と、利用の目的と、利用者情報を利用する主体（サービス提供者）との３つの基本的要素を含む必要がある。サービスの利用者は、このプライバシーポリシーを確認することで、自身の情報がどのように取り扱われるのかを把握することができ、サービスを利用するか否かを判断することができる。非特許文献１に開示された従来技術では、利用者に分かりやすいプライバシーポリシーを作成するため、プライバシーポリシーを簡略化し、直感的なデザインに変更することが提案されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Patrick Gage Kelley, ‘Designing Privacy Notices’, [online], May 2013, CMU-ISR-13-106, [平成２６年５月１３日検索], インターネット<URL : http://reports-archive.adm.cs.cmu.edu/anon/isr2013/CMU-ISR-13-106.pdf>
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来技術では、サービス提供者が利用する利用者情報の具体的な情報が利用者に分かりにくいため、利用者がサービスを利用するか否かを適切に判断することができないという問題がある。
【０００５】
本発明は、サービス提供者が利用する利用者情報の具体的な情報を含むプライバシーポリシーを生成することができる技術を提供する。
【課題を解決するための手段】
【０００６】
本発明は、サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別部と、前記情報識別部によって識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得部と、前記情報取得部によって取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成部と、を有することを特徴とするプライバシーポリシー生成装置である。
【０００７】
また、本発明のプライバシーポリシー生成装置において、前記情報取得部はさらに、前記情報識別部が前記第２の利用者情報を識別した場合、前記利用者端末にインストールされているアプリケーションが前記第２の利用者情報の前記具体的な情報を前記利用者端末から取得する頻度を検出し、前記生成部は、前記情報取得部によって取得された前記具体的な情報と、前記頻度を示す頻度情報とを含む前記第２のプライバシーポリシーを生成することを特徴とする。
【０００８】
また、本発明のプライバシーポリシー生成装置は、前記第１の利用者情報または前記第２の利用者情報と、前記第１の利用者情報または前記第２の利用者情報の利用によるリスクを示すリスク情報とを関連付けたリストから、前記第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報に対応する前記リスク情報を取得するリスク解析部をさらに有し、前記生成部は、前記リスク解析部によって取得された前記リスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成することを特徴とする。
【０００９】
また、本発明のプライバシーポリシー生成装置において、前記情報取得部はさらに、前記情報識別部が前記第２の利用者情報を識別した場合、前記利用者端末にインストールされているアプリケーションが前記第２の利用者情報の前記具体的な情報を前記利用者端末から取得する頻度を検出し、前記第２の利用者情報と、前記第２の利用者情報の利用による前記頻度に応じたリスクを示すリスク情報とを関連付けたリストから、前記第１のプライバシーポリシーに記述された前記第２の利用者情報と、前記情報取得部によって検出された前記頻度とに対応する前記リスク情報を取得するリスク解析部をさらに有し、前記生成部は、前記リスク解析部によって取得された前記リスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成することを特徴とする。
【００１０】
また、本発明のプライバシーポリシー生成装置は、前記第１のプライバシーポリシーに記述された、前記第１の利用者情報を利用するサービス提供者の情報に基づいて、複数のサービス提供者が同一の前記第１の利用者情報を利用するか否かを解析するリスク解析部をさらに有し、前記生成部は、複数のサービス提供者が同一の前記第１の利用者情報を利用することが判明した場合、複数のサービス提供者が同一の前記第１の利用者情報を利用することを示すリスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成することを特徴とする。
【００１１】
また、本発明のプライバシーポリシー生成装置は、前記第１のプライバシーポリシーに記述された、前記第１の利用者情報を利用するサービス提供者の情報に基づいて、同一のサービス提供者が複数の前記第１の利用者情報を利用するか否かを解析するリスク解析部をさらに有し、前記生成部は、同一のサービス提供者が複数の前記第１の利用者情報を利用することが判明した場合、同一のサービス提供者が複数の前記第１の利用者情報を利用することを示すリスク情報と、前記情報取得部によって取得された前記具体的な情報とを含む前記第２のプライバシーポリシーを生成することを特徴とする。
【００１２】
また、本発明のプライバシーポリシー生成装置は、前記第２のプライバシーポリシーを表示する表示部をさらに有し、前記表示部は、前記情報識別部が前記第２の利用者情報を識別し、前記第２の利用者情報が位置情報である場合、前記第２のプライバシーポリシーに含まれる前記位置情報の前記具体的な情報を地図上で表示することを特徴とする。
【００１３】
また、本発明は、サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別ステップと、前記情報識別ステップで識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得ステップと、前記情報取得ステップで取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成ステップと、を有することを特徴とするプライバシーポリシー生成方法である。
【００１４】
また、本発明は、サービスの利用者に関する不変の情報である第１の利用者情報または前記利用者に関する可変の情報である第２の利用者情報と、前記サービスによる前記第１の利用者情報または前記第２の利用者情報の扱い方とが記述された第１のプライバシーポリシーに記述された前記第１の利用者情報または前記第２の利用者情報を識別する情報識別ステップと、前記情報識別ステップで識別された前記第１の利用者情報または前記第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得する情報取得ステップと、前記情報取得ステップで取得された前記具体的な情報を含む第２のプライバシーポリシーを生成する生成ステップと、をコンピュータに実行させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、第１のプライバシーポリシーに記述された第１の利用者情報または第２の利用者情報を識別し、識別された第１の利用者情報または第２の利用者情報に関して、利用者端末が処理する具体的な情報を取得し、取得された具体的な情報を含む第２のプライバシーポリシーを生成することによって、サービス提供者が利用する利用者情報の具体的な情報を含むプライバシーポリシーを生成することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の第１の実施形態によるプライバシーポリシー生成装置の構成を示すブロック図である。
【図２】本発明の第１の実施形態における第１のプライバシーポリシーの内容を示す参考図である。
【図３】本発明の第１の実施形態における第１のプライバシーポリシーの内容を示す参考図である。
【図４】本発明の第１の実施形態における第２のプライバシーポリシーの内容を示す参考図である。
【図５】本発明の第１の実施形態における第２のプライバシーポリシーの内容を示す参考図である。
【図６】本発明の第１の実施形態における第２のプライバシーポリシーの内容を示す参考図である。
【図７】本発明の第１の実施形態によるプライバシーポリシー生成装置の動作の手順を示すフローチャートである。
【図８】本発明の第１の実施形態の変形例によるプライバシーポリシー生成装置の構成を示すブロック図である。
【図９】本発明の第１の実施形態の変形例によるプライバシーポリシー生成装置の動作の手順を示すフローチャートである。
【図１０】本発明の第２の実施形態によるプライバシーポリシー生成装置の構成を示すブロック図である。
【図１１】本発明の第２の実施形態によるプライバシーポリシー生成装置の動作の手順を示すフローチャートである。
【図１２】本発明の第２の実施形態におけるリスク解析部が使用するリストの内容を示す参考図である。
【図１３】本発明の第２の実施形態におけるリスク解析部が使用する情報の内容を示す参考図である。
【図１４】本発明の第２の実施形態におけるリスク解析部が使用する情報の内容を示す参考図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照し、本発明の実施形態を説明する。以下では、Android（登録商標）OSが実装された端末向けのアプリケーションのプライバシーポリシーの例を示す。利用者は、サービスの利用に必要なAndroid（登録商標）用のアプリケーションをマーケットプレイスからダウンロードし、自身の端末にインストールすることができる。利用者は、マーケットプレイスからアプリケーションをダウンロードする前などにアプリケーションのプライバシーポリシーを確認することができる。
【００１８】
（第１の実施形態）
まず、本発明の第１の実施形態を説明する。図１は、本実施形態によるプライバシーポリシー生成装置１ａの構成を示している。例えば、プライバシーポリシー生成装置１ａは、利用者が所持する利用者端末（スマートフォン等の携帯端末）の一部である。図１に示すように、プライバシーポリシー生成装置１ａは、情報識別部１０と、情報取得部２０と、生成部３０とを有する。
【００１９】
情報識別部１０は、サービスの利用者に関する利用者情報と、サービスによる利用者情報の扱い方とが記述された第１のプライバシーポリシー１００に記述された利用者情報を識別する。例えば、第１のプライバシーポリシー１００は、サービス提供者が提供するアプリケーションの開発者によって作成されたプライバシーポリシーである。利用者情報は、不変情報（第１の利用者情報）と可変情報（第２の利用者情報）とのいずれかである。不変情報は、内容が一意に定まり、変化しない情報である。可変情報は、サービスの利用中に内容が変化しうる情報である。情報識別部１０は、第１のプライバシーポリシー１００に記述された不変情報と可変情報とのそれぞれを識別する。
【００２０】
情報取得部２０は、情報識別部１０によって識別された不変情報および可変情報に関して、利用者端末が処理する具体的な情報を取得する。情報取得部２０は、不変情報取得部２１と、可変情報取得部２２とを有する。不変情報取得部２１は、情報識別部１０によって識別された不変情報の具体的な情報を取得する。可変情報取得部２２は、情報識別部１０によって識別された可変情報の具体的な情報を取得する。また、可変情報取得部２２は、情報識別部１０が可変情報を識別した場合、利用者端末にインストールされているアプリケーションが可変情報の具体的な情報を利用者端末から取得する頻度を検出する。
【００２１】
生成部３０は、情報取得部２０によって取得された具体的な情報を含む第２のプライバシーポリシー２００を生成する。あるいは、生成部３０は、情報取得部２０によって取得された具体的な情報と、アプリケーションが可変情報の具体的な情報を利用者端末から取得する頻度を示す頻度情報とを含む第２のプライバシーポリシー２００を生成する。
【００２２】
プライバシーポリシー生成装置１ａは、第１のプライバシーポリシー１００と第２のプライバシーポリシー２００とを記憶する記憶部を有していてもよい。
【００２３】
情報識別部１０と、情報取得部２０と、生成部３０との機能は、例えば各部の動作を規定する命令を含むプログラムをコンピュータが読み込んで実行することにより、ソフトウェアの機能として実現可能である。また、このプログラムは、例えばフラッシュメモリのような「コンピュータ読み取り可能な記録媒体」により提供されてもよい。また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波によりプライバシーポリシー生成装置１ａに伝送されることでプライバシーポリシー生成装置１ａに入力されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体である。また、上述したプログラムは、前述した機能の一部を実現してもよい。さらに、上述したプログラムは、前述した機能をコンピュータに既に記録されているプログラムとの組合せで実現できる、いわゆる差分ファイル（差分プログラム）であってもよい。
【００２４】
次に、本実施形態における不変情報と可変情報との詳細を説明する。Android（登録商標）用のアプリケーションによって利用される不変情報は、Android（登録商標）ID、IMEI（International Mobile Equipment Identity）、IMSI（International Mobile Subscriber Identity）、ICCID（Integrated Circuit Card ID）、電話番号、Google（登録商標）アカウント、AuthToken、cookie、MAC（Media Access Control）アドレスなどである。
【００２５】
Android（登録商標）IDは、OSが発行する一意なIDである。IMEIは、利用者端末を識別する一意なIDである。IMSIは、利用者に割り当てられる一意なIDである。ICCIDは、利用者端末に内蔵されるICカードを識別する一意なIDである。電話番号は、電話機能において利用者端末を識別する一意な番号である。Google（登録商標）アカウントは、特定のサービスの利用者に割り当てられる一意なIDである。AuthTokenは、一意な認証チケットである。cookieは、ランダムに生成される一意なIDである。cookieは、アプリケーションが独自に使用する一意なIDであってもよい。MACアドレスは、利用者端末が備えるLAN（Local Area Network）カード等の通信機器を識別する一意なIDである。
【００２６】
Android（登録商標）用のアプリケーションによって利用される可変情報は、電話帳情報、位置情報、アプリケーション情報、カレンダー情報、コンテンツ情報、システムログ情報、入力情報などである。
【００２７】
電話帳情報は、電話帳アプリケーションによって利用される電話帳の情報である。位置情報は、利用者端末が存在する位置の情報である。アプリケーション情報は、利用者端末にインストールされているアプリケーションの名前である。カレンダー情報は、カレンダーアプリケーションが扱う利用者の予定情報などである。コンテンツ情報は、利用者端末に保存されている画像、音声、動画などのコンテンツの情報である。システムログ情報は、利用者端末に保存されているシステムログの情報である。入力情報は、サービスの登録時などに利用者端末に入力される氏名、住所などの情報である。
【００２８】
次に、第１のプライバシーポリシー１００の詳細を説明する。図２は、第１のプライバシーポリシー１００の第１の例である第１のプライバシーポリシー１００ａの内容を示している。第１のプライバシーポリシー１００ａは、簡略なプライバシーポリシーの例である。
【００２９】
図２に示すように、利用者情報の種類１１０と、利用の目的１２０と、利用者情報を利用する主体１３０とが第１のプライバシーポリシー１００ａに含まれる。利用者情報の種類１１０は、Android（登録商標）ID１１１と、IMSI１１２と、AuthToken１１３と、位置情報１１４とを含む。利用者情報を利用する主体１３０は、利用者情報の送信先を示している。
【００３０】
図３は、第１のプライバシーポリシー１００の第２の例である第１のプライバシーポリシー１００ｂの内容を示している。第１のプライバシーポリシー１００ｂは、詳細なプライバシーポリシーの例である。
【００３１】
図３に示すように、利用者情報の種類１４０，１４１，１４２，１４３と、利用の目的１５０，１５１，１５２，１５３と、利用者情報を利用する主体１６０，１６１，１６２，１６３とが第１のプライバシーポリシー１００ｂに含まれる。それぞれの情報は、利用者情報毎に関連付けられている。
【００３２】
利用者情報の種類１４０はAndroid（登録商標）IDを示している。この利用者情報の種類１４０に対して利用の目的１５０と、利用者情報を利用する主体１６０とが関連付けられている。利用者情報の種類１４１はIMSIを示している。この利用者情報の種類１４１に対して、利用の目的１５１と、利用者情報を利用する主体１６１とが関連付けられている。利用者情報の種類１４２は位置情報を示している。この利用者情報の種類１４２に対して、利用の目的１５２と、利用者情報を利用する主体１６２とが関連付けられている。利用者情報の種類１４３はAuthTokenを示している。この利用者情報の種類１４３に対して、利用の目的１５３と、利用者情報を利用する主体１６３とが関連付けられている。利用者情報を利用する主体１６０，１６１，１６２，１６３は、利用者情報の送信先を示している。
【００３３】
次に、第２のプライバシーポリシー２００の詳細を説明する。図４は、第２のプライバシーポリシー２００の第１の例である第２のプライバシーポリシー２００ａの内容を示している。第２のプライバシーポリシー２００ａは、簡略なプライバシーポリシーの例である。
【００３４】
図４に示すように、利用者情報の種類２１０と、利用者情報の具体的な情報２２０と、利用者情報の利用の目的２３０と、利用者情報を利用する主体２４０とが第２のプライバシーポリシー２００ａに含まれる。利用者情報の種類２１０は、Android（登録商標）ID２１１と、IMSI２１２と、AuthToken２１３と、位置情報２１４とを含む。利用者情報の具体的な情報２２０は、Android（登録商標）ID２１１の具体的な情報２２１と、IMSI２１２の具体的な情報２２２と、AuthToken２１３の具体的な情報２２３と、位置情報２１４の具体的な情報２２４とを含む。利用者情報を利用する主体２４０は、利用者情報の送信先を示している。
【００３５】
したがって、サービス提供者が利用する利用者情報の具体的な情報を含む第２のプライバシーポリシー２００ａを生成することができる。特に、不変情報の具体的な情報と、可変情報の具体的な情報とを含む第２のプライバシーポリシー２００ａを生成することができる。利用者は、どのような利用者情報が利用されるのかを把握しやすくなり、サービスを利用するか否かを判断しやすくなる。
【００３６】
図５と図６とは、第２のプライバシーポリシー２００の第２の例である第２のプライバシーポリシー２００ｂの内容を示している。図のスペースの関係上、第２のプライバシーポリシー２００ｂは、図５と図６とに分割されて示されている。第２のプライバシーポリシー２００ｂは、詳細なプライバシーポリシーの例である。
【００３７】
図５と図６とに示すように、利用者情報の種類２５０，２５１，２５２，２５３と、利用者情報の具体的な情報２６０，２６１，２６２，２６３と、利用の目的２７０，２７１，２７２，２７３と、利用者情報を利用する主体２８０，２８１，２８２，２８３と、頻度情報２９０とが第２のプライバシーポリシー２００ｂに含まれる。それぞれの情報は、利用者情報毎に関連付けられている。
【００３８】
利用者情報の種類２５０はAndroid（登録商標）IDを示している。この利用者情報の種類２５０に対して、利用者情報の具体的な情報２６０と、利用の目的２７０と、利用者情報を利用する主体２８０とが関連付けられている。利用者情報の種類２５１はIMSIを示している。この利用者情報の種類２５１に対して、利用者情報の具体的な情報２６１と、利用の目的２７１と、利用者情報を利用する主体２８１とが関連付けられている。
【００３９】
利用者情報の種類２５２は位置情報を示している。この利用者情報の種類２５２に対して、利用者情報の具体的な情報２６２と、利用の目的２７２と、利用者情報を利用する主体２８２と、頻度情報２９０とが関連付けられている。利用者情報の具体的な情報２６２は、５個の情報を含む。サービスの利用中に利用者が移動したことによって、利用者情報の具体的な情報２６２が徐々に変化していることが分かる。頻度情報２９０は、アプリケーションが位置情報の具体的な情報を利用者端末から取得した頻度を示している。より詳細には、頻度情報２９０は、アプリケーションが位置情報の具体的な情報を１時間当たり５回取得したことを示している。
【００４０】
利用者情報の種類２５３はAuthTokenを示している。この利用者情報の種類２５３に対して、利用者情報の具体的な情報２６３と、利用の目的２７３と、利用者情報を利用する主体２８３とが関連付けられている。利用者情報を利用する主体２８０，２８１，２８２，２８３は、利用者情報の送信先を示している。
【００４１】
したがって、サービス提供者が利用する利用者情報の具体的な情報を含む第２のプライバシーポリシー２００ｂを生成することができる。特に、不変情報の具体的な情報と、可変情報の具体的な情報とを含む第２のプライバシーポリシー２００ｂを生成することができる。利用者は、どのような利用者情報が利用されるのかを把握することができる。また、頻度情報２９０が第２のプライバシーポリシー２００ｂに含まれているので、利用者は、利用者情報が取得される頻度を把握することができる。
【００４２】
次に、プライバシーポリシー生成装置１ａの動作を説明する。図７は、プライバシーポリシー生成装置１ａの動作の手順を示している。
【００４３】
例えば、利用者は利用者端末によってマーケットプレイスにアクセスし、マーケットプレイスからサービスの利用に必要なアプリケーションをダウンロードする。アプリケーションがダウンロードされる前など、サービスの利用前にプライバシーポリシー生成装置１ａは、図７に示す処理を行う。あるいは、アプリケーションが利用者端末にインストールされた後、アプリケーションが起動してサービスの利用に係る処理を行っているとき、つまり、サービスの利用中にプライバシーポリシー生成装置１ａは、図７に示す処理を行う。
【００４４】
処理が開始されると、プライバシーポリシー生成装置１ａは、第１のプライバシーポリシー１００を取得する（ステップＳ１００）。例えば、利用者端末がマーケットプレイスからアプリケーションをダウンロードする場合、利用者端末は、第１のプライバシーポリシー１００へのリンクが含まれるWebページを読み込む。情報識別部１０は、そのリンクが示すWebサーバなどに接続し、第１のプライバシーポリシー１００をダウンロードする。取得された第１のプライバシーポリシー１００はプライバシーポリシー生成装置１ａ内に保持される。また、２回目以降の処理では、情報識別部１０は、プライバシーポリシー生成装置１ａ内に保持されている第１のプライバシーポリシー１００を取得する。
【００４５】
第１のプライバシーポリシー１００が取得された後、情報識別部１０は、第１のプライバシーポリシー１００に記述された利用者情報を識別する（ステップＳ１０５）。例えば、情報識別部１０は、利用者情報（例えば、利用者情報の文字列）と、不変情報および可変情報のいずれかを示す識別情報とを関連付けたリストに基づいて利用者情報を識別する。つまり、情報識別部１０は、第１のプライバシーポリシー１００と、リスト中の利用者情報とを比較し、一致した利用者情報を保持する。上記のリストはプライバシーポリシー生成装置１ａ内に予め保持されている。
【００４６】
第１のプライバシーポリシー１００が一定の書式で記述されている場合、利用者情報の識別は容易である。第１のプライバシーポリシー１００が自由な書式で記述されている場合、形態素解析などの自然言語処理の技術を用いて利用者情報を識別してもよい。
【００４７】
利用者情報が識別された後、情報取得部２０は、情報識別部１０によって識別された不変情報および可変情報に関して、利用者端末が処理する具体的な情報を取得する（ステップＳ１１０）。このとき、ステップＳ１０５で保持された識別情報に対応する不変情報取得部２１または可変情報取得部２２が利用者情報の具体的な情報を取得する。
【００４８】
識別された利用者情報が不変情報である場合、不変情報取得部２１は不変情報の具体的な情報を取得する。Android（登録商標）では、不変情報を取得するAPI（Application Programming Interface）がOSによって提供されている。例えば、IMEIを取得するAPIは、TelephonyManagerクラスのgetDeviceIdメソッドである。不変情報取得部２１は、不変情報を取得するAPIを実行し、不変情報の具体的な情報を取得する。不変情報取得部２１は、不変情報毎に、サービスの利用前またはサービスの利用中に１回だけ不変情報の具体的な情報を取得すればよい。
【００４９】
識別された利用者情報が可変情報である場合、可変情報取得部２２は可変情報の具体的な情報を取得する。例えば、不変情報を取得する方法と同様の方法により可変情報を取得することが可能である。つまり、可変情報取得部２２は、可変情報を取得するAPIを実行し、可変情報の具体的な情報を取得する。可変情報取得部２２はサービスの利用前またはサービスの利用中に１回以上、可変情報の具体的な情報を取得すればよい。
【００５０】
また、サービスの利用中であれば、以下の方法により可変情報を取得することも可能である。例えば、APIが実行されたときに、APIが取得した具体的な情報をログに出力するように変更されたAPIが定義されたOSを利用者端末に実装してもよい。可変情報取得部２２は、サービスの利用中、そのログを定期的に読み込み、ログから可変情報の具体的な情報を取得する。可変情報取得部２２は、サービスの利用中の任意の期間、可変情報の具体的な情報を取得すればよい。
【００５１】
アプリケーションが、APIを介して取得した情報をログに出力するように、アプリケーションのプログラムコードを修正してもよい。例えば、アプリケーションの実行ファイルが逆アセンブルされ、得られたソースファイルにおいてアプリケーションがAPIを実行する箇所が特定される。特定された箇所に、情報をログに出力するコードが追加される。コードが追加されたソースファイルがアセンブルされ、修正されたアプリケーションの実行ファイルが得られる。可変情報取得部２２は、サービスの利用中、そのログを定期的に読み込み、ログから可変情報の具体的な情報を取得する。可変情報取得部２２は、サービスの利用中の任意の期間、可変情報の具体的な情報を取得すればよい。
【００５２】
上記のいずれの場合においても、利用者端末が処理する可変情報の具体的な情報を取得することが可能である。また、ログを利用する方法では、アプリケーションが、可変情報を取得するAPIを実行する毎に可変情報の具体的な情報がログに記録されるので、可変情報取得部２２は、アプリケーションが取得した具体的な情報の数と同じ数の具体的な情報を取得することが可能である。例えば、アプリケーションが、可変情報を取得するAPIを５回実行した場合、可変情報取得部２２は５個の具体的な情報を取得する。
【００５３】
可変情報取得部２２は、ログに記録されている具体的な情報の数を算出することにより、利用者端末にインストールされているアプリケーションが可変情報の具体的な情報を利用者端末から取得する頻度を検出する。例えば、アプリケーションが、可変情報を取得するAPIを５回実行した場合、５個の具体的な情報がログに記録されている。このため、可変情報取得部２２は、頻度が５であることを検出する。アプリケーションが利用者情報の具体的な情報を取得した時刻または時間間隔をログに記録してもよい。可変情報取得部２２は、ログから時刻または時間間隔を取得し、単位時間当たりの頻度を算出してもよい。
【００５４】
利用者情報の具体的な情報が取得された後、生成部３０は、情報取得部２０によって取得された不変情報の具体的な情報と可変情報の具体的な情報とを含む第２のプライバシーポリシー２００を生成する（ステップＳ１１５）。このとき、生成部３０は、情報取得部２０によって取得された具体的な情報と、アプリケーションが可変情報の具体的な情報を利用者端末から取得する頻度を示す頻度情報とを含む第２のプライバシーポリシー２００を生成してもよい。また、生成部３０は、第１のプライバシーポリシー１００に含まれる、利用者情報の利用の目的を示す情報、利用者情報を利用する主体を示す情報などを含むように第２のプライバシーポリシー２００を生成する。
【００５５】
次に、本実施形態の変形例を説明する。図８は、本変形例によるプライバシーポリシー生成装置１ｂの構成を示している。図８に示すように、プライバシーポリシー生成装置１ｂは、情報識別部１０と、情報取得部２０と、生成部３０と、表示部４０とを有する。プライバシーポリシー生成装置１ｂでは、プライバシーポリシー生成装置１ａの構成に対して表示部４０が追加されている。
【００５６】
表示部４０は、生成部３０によって生成された第２のプライバシーポリシー２００を表示する。表示部４０以外の構成については既に説明した通りである。
【００５７】
アプリケーションが、可変情報である位置情報の具体的な情報を取得する頻度が高いため、位置情報の具体的な情報の数が多くなりやすい。また、緯度、経度、住所などの情報は直観的に分かりにくい。このため、表示部４０は、情報識別部１０が可変情報を識別し、可変情報が位置情報である場合、第２のプライバシーポリシー２００に含まれる位置情報の具体的な情報を地図上で表示してもよい。これによって、位置情報の具体的な情報を分かりやすく表示することができる。第２のプライバシーポリシー２００と地図とを同時に表示してもよいし、第２のプライバシーポリシー２００と地図とを切り替え可能に表示してもよい。
【００５８】
図９は、プライバシーポリシー生成装置１ｂの動作の手順を示している。図９では、図７に示す処理に対してステップＳ１２０の処理が追加されている。
【００５９】
ステップＳ１１５で第２のプライバシーポリシー２００が生成された後、表示部４０は、第２のプライバシーポリシー２００を表示する（ステップＳ１２０）。例えば、表示部４０は、アプリケーションがダウンロードされる前など、サービスの利用前に第２のプライバシーポリシー２００を表示する。あるいは、表示部４０は、サービスの利用中に第２のプライバシーポリシー２００を表示する。ステップＳ１２０の処理以外の処理については既に説明した通りである。
【００６０】
不変情報と可変情報との一方のみが第１のプライバシーポリシー１００に記述されていてもよい。したがって、情報識別部１０は、第１のプライバシーポリシー１００に記述された可変情報または不変情報のみを識別してもよい。また、情報取得部２０は、情報識別部１０によって識別された不変情報または可変情報のみに関して、具体的な情報を取得してもよい。
【００６１】
上述したように、本実施形態によれば、サービス提供者が利用する利用者情報の具体的な情報を含むプライバシーポリシーを生成することができる。
【００６２】
また、第２のプライバシーポリシー２００を表示することによって、サービス提供者が利用する利用者情報の具体的な情報を利用者に通知することができる。頻度情報が第２のプライバシーポリシー２００に含まれている場合、利用者情報が取得される頻度を利用者に通知することができる。利用者は、通知された内容に基づいて、サービスを利用するか否かをより適切に判断することができる。
【００６３】
（第２の実施形態）
次に、本発明の第２の実施形態を説明する。図１０は、本実施形態によるプライバシーポリシー生成装置１ｃの構成を示している。図１０に示すように、プライバシーポリシー生成装置１ｃは、情報識別部１０と、情報取得部２０と、生成部３０と、リスク解析部５０と、記憶部６０とを有する。プライバシーポリシー生成装置１ｃでは、プライバシーポリシー生成装置１ａの構成に対してリスク解析部５０と記憶部６０とが追加されている。
【００６４】
リスク解析部５０は、利用者情報の利用によるリスクを解析し、そのリスクを示すリスク情報を取得する。記憶部６０は、リスク解析部５０が解析を行うのに必要な情報を記憶する。生成部３０は、リスク解析部５０によって取得されたリスク情報と、情報取得部２０によって取得された具体的な情報とを含む第２のプライバシーポリシー２００を生成する。リスク解析部５０、記憶部６０、生成部３０以外の構成については既に説明した通りである。
【００６５】
図１１は、プライバシーポリシー生成装置１ｃの動作の手順を示している。図１１では、図７に示す処理に対してステップＳ２００の処理が追加され、図７に示す処理におけるステップＳ１１５の処理がステップＳ２０５の処理に変更されている。以下では、ステップＳ２００，Ｓ２０５の処理について、３つの動作例を説明する。
【００６６】
（第１の動作例）
第１の動作例では、記憶部６０は、不変情報または可変情報と、不変情報または可変情報の利用によるリスクを示すリスク情報とを関連付けたリストを予め記憶する。図１２は、記憶部６０が記憶するリストの例であるリスト３００の内容を示している。
【００６７】
図１２に示すように、リスト３００は、利用者情報と、頻度判定情報と、頻度範囲と、リスク情報とを含む。リスト３００では、これらの情報が互いに関連付けられている。
【００６８】
利用者情報は可変情報または不変情報である。図１２では、不変情報であるIMEIおよび電話番号と、可変情報である位置情報とがリスト３００に含まれる。頻度判定情報は、利用者情報が取得される頻度に基づく判定を行うか否かと、判定を行う場合の閾値とを示している。図１２では、不変情報に対する頻度判定情報は、頻度に基づく判定を行わないことを示している。また、可変情報に対する頻度判定情報は、頻度に基づく判定を行うことと、判定の閾値（ｋ１とｋ２）とを示している。頻度範囲は、異なるリスクに対応する頻度の範囲を示している。図１２では、位置情報の３つの頻度範囲が示されている。リスク情報は、利用者情報の利用による具体的なリスクを示している。
【００６９】
可変情報については、可変情報が取得される頻度に応じて脅威の度合いが異なることが考えられる。このため、図１２では、位置情報については、頻度に応じて異なるリスク情報が用意されている。つまり、リスト３００において、可変情報と、可変情報の利用による頻度に応じたリスクを示すリスク情報とが関連付けられている。リスク情報は、リスクを示す文字列で構成されている。
【００７０】
ステップＳ１１０で利用者情報の具体的な情報が取得された後、リスク解析部５０は、記憶部６０からリストを読み込み、リストから、第１のプライバシーポリシー１００に記述された不変情報と可変情報とのそれぞれに対応するリスク情報を取得する（ステップＳ２００）。このとき、リスク解析部５０は、可変情報については、リストから、第１のプライバシーポリシー１００に記述された可変情報と、可変情報取得部２２によって検出された頻度とに対応するリスク情報を取得する。
【００７１】
例えば、リスク解析部５０は、リスト３００における不変情報であるIMEIと電話番号とについては、それぞれに対応するリスク情報をリスト３００から取得する。また、リスク解析部５０は、リスト３００における可変情報である位置情報については、アプリケーションが位置情報を取得する頻度Ｌに応じたリスク情報をリスト３００から取得する。
【００７２】
第１の実施形態で説明したように、可変情報取得部２２は、利用者端末にインストールされているアプリケーションが可変情報の具体的な情報を利用者端末から取得する頻度を検出する。例えば、可変情報取得部２２は、アプリケーションが位置情報の具体的な情報を利用者端末から取得する頻度Ｌを検出する。可変情報取得部２２は、検出した頻度Ｌをリスク解析部５０に通知する。
【００７３】
リスク解析部５０は、リスト３００における頻度判定情報が示す閾値（ｋ１とｋ２）と頻度範囲とに基づいて、頻度Ｌが属する頻度範囲を判定する。リスク解析部５０は、頻度Ｌが属する頻度範囲に対応するリスク情報をリスト３００から取得する。
【００７４】
可変情報に関するリスク情報は、可変情報が取得される頻度によらず同一であってもよい。したがって、リスト３００に頻度判定情報と頻度範囲とが含まれていなくてもよい。また、リスト３００は、不変情報に関する情報のみ、または可変情報に関する情報のみを含んでいてもよい。つまり、リスク解析部５０は、可変情報または不変情報に対応するリスク情報を取得してもよい。
【００７５】
リスク情報が取得された後、生成部３０は、リスク解析部５０によって取得されたリスク情報と、情報取得部２０によって取得された具体的な情報とを含む第２のプライバシーポリシー２００を生成する（ステップＳ２０５）。第１の実施形態と同様に、第２のプライバシーポリシー２００は頻度情報を含んでいてもよい。
【００７６】
ステップＳ２００，Ｓ２０５の処理以外の処理については既に説明した通りである。上記の処理により、利用者情報毎のリスク情報を含む第２のプライバシーポリシー２００を生成することができる。利用者は、どのようなリスクがあるのかを把握しやすくなり、サービスを利用するか否かを判断しやすくなる。
【００７７】
（第２の動作例）
第２の動作例では、リスク解析部５０は、複数のサービス提供者が同一の不変情報を利用するリスクがあるか否かを解析する。不変情報を利用することにより、利用者を一意に識別することが可能である。特に、広告事業者が利益率の高い広告を利用者端末に表示させる手法の１つとして、利用者の興味または位置情報に応じた広告表示の手法（ターゲティング広告）がある。ターゲティング広告において不変情報が利用されている。このため、悪意のある複数のサービス提供者が、利用者に気付かれずに不変情報を用いて利用者を特定する、いわゆる名寄せを行うことが可能である。リスク解析部５０は、そのリスクがあるか否かを解析する。
【００７８】
ステップＳ１１０で利用者情報の具体的な情報が取得された後、リスク解析部５０は、第１のプライバシーポリシー１００に記述された、不変情報を利用するサービス提供者の情報に基づいて、複数のサービス提供者が同一の不変情報を利用するか否かを解析する（ステップＳ２００）。不変情報を利用するサービス提供者は、図２に示す第１のプライバシーポリシー１００ａにおける利用者情報を利用する主体１３０によって示される。また、不変情報を利用するサービス提供者は、図３に示す第１のプライバシーポリシー１００ｂにおける利用者情報を利用する主体１６０，１６１，１６２，１６３によって示される。リスク解析部５０は、第１のプライバシーポリシー１００から利用者情報とサービス提供者の情報とを取得する。リスク解析部５０は、過去に取得された複数の第１のプライバシーポリシー１００から利用者情報とサービス提供者の情報を取得してもよい。
【００７９】
リスク解析部５０は、不変情報と、不変情報を利用するサービス提供者の情報とを関連付ける。図１３は、リスク解析部５０によって関連付けられた情報の例である情報４００の内容を示している。情報４００では、不変情報とサービス提供者の名前とが関連付けられている。リスク解析部５０は、不変情報とサービス提供者の名前との組合せのうち、同一の不変情報を含む組合せに注目する。例えば、図１３では、リスク解析部５０は、IMEIを含む組合せに注目する。さらに、リスク解析部５０は、注目したそれぞれの組合せに含まれるサービス提供者の名前が同一であるか否かを確認する。例えば、図１３では、リスク解析部５０は、IMEIと関連付けられたサービス提供者の名前が同一であるか否かを確認する。図１３では、IMEIと関連付けられたサービス提供者の名前（Ａ社、Ｃ社、Ｅ社）が異なる。このため、リスク解析部５０は、複数のサービス提供者が同一の不変情報を利用すると判断する。
【００８０】
リスク解析部５０による解析が行われた後、生成部３０は、情報取得部２０によって取得された不変情報の具体的な情報と可変情報の具体的な情報とを含む第２のプライバシーポリシー２００を生成する（ステップＳ２０５）。このとき、生成部３０は、複数のサービス提供者が同一の不変情報を利用することが判明した場合、複数のサービス提供者が同一の不変情報を利用することを示すリスク情報と、情報取得部２０によって取得された具体的な情報とを含む第２のプライバシーポリシー２００を生成する。例えば、リスク情報は、複数のサービス提供者が同一の不変情報を利用する旨の文字列で構成されている。第１の実施形態と同様に、第２のプライバシーポリシー２００は頻度情報を含んでいてもよい。
【００８１】
ステップＳ２００，Ｓ２０５の処理以外の処理については既に説明した通りである。上記の処理により、複数のサービス提供者が同一の不変情報を利用するリスクを示すリスク情報を含む第２のプライバシーポリシー２００を生成することができる。利用者は、複数のサービス提供者が同一の不変情報を利用するリスクがあるか否かを把握しやすくなり、サービスを利用するか否かを判断しやすくなる。
【００８２】
（第３の動作例）
第３の動作例では、リスク解析部５０は、同一のサービス提供者が複数の不変情報を利用するリスクがあるか否かを解析する。同一のサービス提供者が複数のサービスを提供することが考えられる。例えば、同一のサービス提供者が、メールサービス、ファイルバックアップサービス、地図検索サービス、コンテンツ配信サービス、音楽提供サービス、動画共有サービスなど複数のサービスを提供することがある。個々のサービスでは取得される利用者情報は少ないが、サービス提供者が提供する複数のサービスの観点では、多くの利用者情報が取得されている可能性がある。このため、同一のサービス提供者が、複数のサービスに関する多くの利用者情報を利用するリスクがある。リスク解析部５０は、そのリスクがあるか否かを解析する。
【００８３】
ステップＳ１１０で利用者情報の具体的な情報が取得された後、リスク解析部５０は、第１のプライバシーポリシー１００に記述された、不変情報を利用するサービス提供者の情報に基づいて、同一のサービス提供者が複数の不変情報を利用するか否かを解析する（ステップＳ２００）。不変情報を利用するサービス提供者は、図２に示す第１のプライバシーポリシー１００ａにおける利用者情報を利用する主体１３０によって示される。また、不変情報を利用するサービス提供者は、図３に示す第１のプライバシーポリシー１００ｂにおける利用者情報を利用する主体１６０，１６１，１６２，１６３によって示される。リスク解析部５０は、第１のプライバシーポリシー１００から利用者情報とサービス提供者の情報とを取得する。リスク解析部５０は、過去に取得された複数の第１のプライバシーポリシー１００から利用者情報とサービス提供者の情報を取得してもよい。
【００８４】
リスク解析部５０は、不変情報と、不変情報を利用するサービス提供者の情報とを関連付ける。図１４は、リスク解析部５０によって関連付けられた情報の例である情報５００の内容を示している。情報５００では、不変情報とサービス提供者の名前とが関連付けられている。リスク解析部５０は、不変情報とサービス提供者の名前との組合せのうち、同一のサービス提供の名前を含む組合せに注目する。例えば、図１４では、リスク解析部５０は、Ａ社を含む組合せに注目する。さらに、リスク解析部５０は、注目したそれぞれの組合せに含まれる不変情報が同一であるか否かを確認する。例えば、図１４では、リスク解析部５０は、Ａ社と関連付けられた不変情報が同一であるか否かを確認する。図１４では、Ａ社と関連付けられた不変情報（IMEI、AuthToken、MACアドレス）が異なる。このため、リスク解析部５０は、同一のサービス提供者が複数の不変情報を利用すると判断する。
【００８５】
リスク解析部５０による解析が行われた後、生成部３０は、情報取得部２０によって取得された不変情報の具体的な情報と可変情報の具体的な情報とを含む第２のプライバシーポリシー２００を生成する（ステップＳ２０５）。このとき、生成部３０は、同一のサービス提供者が複数の不変情報を利用することが判明した場合、同一のサービス提供者が複数の不変情報を利用することを示すリスク情報と、情報取得部２０によって取得された具体的な情報とを含む第２のプライバシーポリシー２００を生成する。例えば、リスク情報は、同一のサービス提供者が複数の不変情報を利用する旨の文字列で構成されている。第１の実施形態と同様に、第２のプライバシーポリシー２００は頻度情報を含んでいてもよい。
【００８６】
ステップＳ２００，Ｓ２０５の処理以外の処理については既に説明した通りである。上記の処理により、同一のサービス提供者が複数の不変情報を利用するリスクを示すリスク情報を含む第２のプライバシーポリシー２００を生成することができる。利用者は、同一のサービス提供者が複数の不変情報を利用するリスクがあるか否かを把握しやすくなり、サービスを利用するか否かを判断しやすくなる。
【００８７】
本実施形態では、第１の実施形態と同様に、第２のプライバシーポリシー２００を表示してもよい。
【００８８】
上述したように、本実施形態によれば、サービス提供者が利用する利用者情報の具体的な情報と、利用者情報の利用によるリスクを示すリスク情報とを含むプライバシーポリシーを生成することができる。
【００８９】
また、第２のプライバシーポリシー２００を表示することによって、サービス提供者が利用する利用者情報の具体的な情報と、利用者情報の利用によるリスクとを利用者に通知することができる。利用者は、通知された内容に基づいて、サービスを利用するか否かをより適切に判断することができる。
【００９０】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【符号の説明】
【００９１】
１ａ，１ｂ，１ｃ  プライバシーポリシー生成装置、１０  情報識別部、２０  情報取得部、２１  不変情報取得部、２２  可変情報取得部、３０  生成部、４０  表示部、５０  リスク解析部、６０  記憶部
【図１】
2015228158.tif 000003
【図２】
2015228158.tif 000004
【図３】
2015228158.tif 000005
【図４】
2015228158.tif 000006
【図５】
2015228158.tif 000007
【図６】
2015228158.tif 000008
【図７】
2015228158.tif 000009
【図８】
2015228158.tif 000010
【図９】
2015228158.tif 000011
【図１０】
2015228158.tif 000012
【図１１】
2015228158.tif 000013
【図１２】
2015228158.tif 000014
【図１３】
2015228158.tif 000015
【図１４】
2015228158.tif 000016