(57)【特許請求の範囲】
【請求項１】
多数の個人情報からなる情報資源を格納するデータベースを備え、情報利用者に対し情報資源へのアクセス権を制御して個人情報を保護するとともに、必要な情報資源を取り出して利用することを可能にする個人情報保護・利用サーバにおいて、
複数の情報項目のそれぞれに対応させて入力された複数の個人成分情報から構成される個々の個人情報を、その個人情報に一意的に割り当てられたコードに関係付け１つの情報項目もしくは２以上の情報項目を含む群毎に別々に分散させて格納する複数のデータベースユニットと、
個人情報の情報項目および前記コードをキーとして個人情報の個人成分情報を前記複数のデータベースユニットのうちのいずれのデータベースユニットに格納するかを計算する格納場所計算器と、
多数の情報利用者をグループ分けした各グループ毎に、そのグループに属する情報利用者が前記複数のデータベースユニットのうちアクセスすることが許可される１つもしくは２以上のデータベースユニットをそれぞれ定義するアクセス権テーブルと、
前記格納場所計算器によって計算された格納場所であるデータベースユニットに、個人情報の個人成分情報を前記コードに関係付けて格納するように制御し、情報利用者が、その情報利用者を識別するための識別情報をもってログインし個人情報に割り当てられたコードをもってその個人情報を取り出そうとしたときに、その情報利用者が属するグループを識別するための識別情報をキーとして前記アクセス権テーブルから当該情報利用者のアクセス権を取り出し、アクセスが許可された１つもしくは２以上のデータベースユニットから前記コードをキーとして各情報項目に対応した個人成分情報を取り出すように制御するアクセス制御部と、
を備えたことを特徴とする個人情報保護・利用サーバ。
【請求項２】
情報利用者が限時的もしくは単回的に前記複数のデータベースユニットのうちアクセスすることが許可される１つもしくは２以上のデータベースユニットをそれぞれ定義する別のアクセス権テーブルをさらに備え、
情報利用者が、その情報利用者を識別するための識別情報をもってログインし個人情報に割り当てられたコードをもってその個人情報を取り出そうとしたときに、その情報利用者の識別情報および前記コードをキーとして前記別のアクセス権テーブルから当該情報利用者のアクセス権が取り出され、アクセスが許可された１つもしくは２以上のデータベースユニットから前記コードをキーとして各情報項目に対応した個人成分情報が一定時間内にもしくは１回だけ取り出されるように、前記アクセス制御部による制御が行われるようにした請求項１に記載の個人情報保護・利用サーバ。
【請求項３】
前記情報利用者は、個人からその個人情報に割り当てられたコードの提示を受け当該個人に対してサービスを提供する事業者である請求項１または請求項２に記載の個人情報保護・利用サーバ。
【請求項４】
前記情報項目、前記コードおよび前記情報資源の格納場所である個々のデータベースユニットをそれぞれ暗号化し分散させて書き込むための複数のログファイルを有する請求項１ないし請求項３のいずれかに記載の個人情報保護・利用サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、個人情報を統括的に集中管理するサーバと多くの利用者端末との間をネットワークで繋ぐクライアントサーバシステムにおいて、事業者に対し必要な個人情報を開示してその利用を図るとともに、事業者が必要とする以上の個人情報を開示せずに個人情報の保護を図ることができる個人情報保護・利用サーバに関する。
【背景技術】
【０００２】
現代のような情報化社会においては、各種事業所、医療機関、官公庁などにおける様々な業務で膨大な数の個人情報が集積されデータベース化されている。このような個人情報が、本人の知らないところで遣り取りされたり無制限に利用されたりすると、自己の情報が不当に取り扱われて不測の不利益を被ったり、家族構成、勤務先、学歴、通院歴、クレジットカードの利用状況といったような個人の私生活に関わる事柄が他人に知られてしまいプライバシーが侵害されたりする危惧もある。一方、集積されデータベース化された個人情報は、適切に管理された上で、個人に対しサービスを提供する事業者に必要な情報を開示するようにすれば、個人がサービス提供事業者に一々住所や連絡先などを知らせる必要が無くなるので、個人にも便益をもたらすことになる。
【０００３】
事業所等に集積された個人情報の保護と利用を図る技術としては、例えば、広域的に分散した個人情報をインターネット経由で利用させるシステムにおける個人情報の保護を目的として、データベース内の個人情報に対するアクセス権限を設定するためのアクセスポリシーを個人情報の所有者から受け付けてプロキシサーバ上に格納し、インターネットを介してアクセスしてくる外部アクセス者からのアクセスがあったときに、プロキシサーバ内のアクセスポリシーを解析して外部アクセス者のアクセス権限を判別し、解析したアクセス権限に基づいて外部アクセス者に対しデータベース内の個人情報を利用させるようにし、これにより、データベータ管理者による運用の負担や守秘責任に係る負荷を低減できるようにする情報アクセス制御方法が提案されている（例えば、特許文献１参照。）。また、複数の部分情報からなる顧客の個人情報を格納したテーブルおよび個人情報の各部分データ（フィールド）に対する事業者のアクセス権を格納したテーブルを含む個人情報データベースを有する個人情報サーバと、顧客に対しサービスを提供する事業者のサーバおよび顧客の端末とを、それぞれ互いにネットワークを介して接続し、事業者サーバから個人情報サーバに対し個人情報のアクセス要求があったときに、個人情報の顧客ＩＤと事業者名とで個人情報のフィールド別アクセス権テーブルを検索し、検索の結果得られたアクセス権設定レコードに基づき、顧客の個人情報を格納したテーブルを個人情報の顧客ＩＤで検索し、個人情報のフィールド別アクセス権でアクセス可能とされたフィールドのみの個人情報を事業者サーバ側で受信できるようにするアクセス権管理方法が提案されている（例えば、特許文献２参照。）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−０１４８６２号公報（第３−５頁、図１、図８−図１１）
【特許文献２】特開２００２−３２４１９４号公報（第５−６頁、図１−図５）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載された情報アクセス制御システムは、個人情報が広域的に分散して存在し個人情報を含むデータベースにインターネットを介してアクセス可能となっている情況において、データベースへのアクセス権限の制御を行うものである。このシステムでは、インターネット上に分散的に存在する多くのデータベースの管理が個々のデータベース管理者によって行われ、このため、データベースからの個人情報の漏洩・盗難の可能性が高くなる。また、データベース内の個人情報に対する外部アクセス者のアクセス権限を設定するためのアクセスポリシーは、個人情報の所有者が端末からインターネットを介して複数のデータベース管理情報システムにアクセスし個別にそれを登録する。したがって、データベース管理者による運用負荷や守秘責任は低減される一方、個人情報所有者の手間や負担が大きくなる。また、このシステムでは、プロキシサーバにおいて外部アクセス者の属性とアクセスルールの内容とが判別され、外部アクセス者の端末からのアクセス要求に対してアクセス権限が設定され、個人識別情報によって特定される個人情報の検索が行われ、データベースから個人情報の一部または全部の読み取りの可・不可といった外部アクセス者に対するアクセス制御が行われるが、不正アクセス者に対するセキュリティ対策は必ずしも十分であるとは言えず、外部からの不正なアクセスによって個人情報が盗み取られる恐れもある。
【０００６】
特許文献２に記載されたアクセス権管理方法は、複数の事業者サーバに個人情報を蓄える方式ではなく、個人情報サーバで個人情報を一元管理することにより個人情報の入力・変更の作業の負担を軽減するものである。このアクセス権管理方法では、個人情報の利用者である事業者別に個人情報のフィールド毎のアクセス権を設定し、その事業者別のアクセス権情報をデータベースに格納する必要がある。しかも、顧客にサービスを提供するために個人情報を利用しようとする事業者のアクセス権が未設定の場合に、事業者サーバが個人情報サーバに個人情報を要求すると、サービスを受ける顧客の端末に個人情報サーバが問い合わせを行い、顧客によって設定されるフィールド別アクセス権をデータベースに追加し、そのアクセス権に基づき、アクセス許可されたフィールドの個人情報を事業者サーバへ返信するようにする。このようにシステムが煩雑であり、顧客に対してサービスを提供する事業者にとっては、必ずしも利用しやすいシステムであるとは言えない。また、特許文献１に記載のシステムと同様に、不正アクセス者に対するセキュリティ対策が万全であるとは言えず、外部からの不正なアクセスによって個人情報が盗み取られる恐れがある。
【０００７】
この発明は、以上のような事情に鑑みてなされたものであり、個人情報を一元管理するシステムであって、データベースからの個人情報の漏洩・盗難の可能性が低く、個人情報所有者の手間や負担が少なく、顧客に対してサービスを提供する事業者にとっても利用しやすいシステムを実現することができ、不正アクセス者に対するセキュリティ対策も十分で、外部からの不正なアクセスによって個人情報が盗み取られる心配の無い個人情報保護・利用サーバを提供することを目的とする。
【課題を解決するための手段】
【０００８】
この発明は、複数の個人成分情報から構成される個々の個人情報を複数のデータベースに分散させて格納するようにし、多数の情報利用者をグループ分けして、複数のデータベスのうちのアクセス可能なデータベースをグループ単位で定義する、といった着想によりなし得たものである。なお、この明細書では、個人情報を分散させて格納する個々のデータベースをデータベースユニットと呼ぶことにする。
すなわち、請求項１に係る発明は、多数の個人情報からなる情報資源を格納するデータベースを備え、情報利用者に対し情報資源へのアクセス権を制御して個人情報を保護するとともに、必要な情報資源を取り出して利用することを可能にする個人情報保護・利用サーバ（以下、「ＰＣサーバ」という）において、複数の情報項目のそれぞれに対応させて入力された複数の個人成分情報から構成される個々の個人情報を、その個人情報に一意的に割り当てられたコードに関係付け１つの情報項目もしくは２以上の情報項目を含む群毎に別々に分散させて複数のデータベースユニットに格納し、個人情報の情報項目および前記コードをキーとして個人情報の個人成分情報を前記複数のデータベースユニットのうちのいずれのデータベースユニットに格納するかを格納場所計算器で計算し、多数の情報利用者をグループ分けした各グループ毎に、そのグループに属する情報利用者が前記複数のデータベースユニットのうちアクセスすることが許可される１つもしくは２以上のデータベースユニットをアクセス権テーブルでそれぞれ定義し、前記格納場所計算器によって計算された格納場所であるデータベースユニットに、個人情報の個人成分情報を前記コードに関係付けて格納するようにアクセス制御部で制御し、また、情報利用者が、その情報利用者を識別するための識別情報をもってログインし個人情報に割り当てられたコードをもってその個人情報を取り出そうとしたときに、その情報利用者が属するグループを識別するための識別情報をキーとして前記アクセス権テーブルから当該情報利用者のアクセス権を取り出し、アクセスが許可された１つもしくは２以上のデータベースユニットから前記コードをキーとして各情報項目に対応した個人成分情報を取り出すように前記アクセス制御部で制御するようにしたことを特徴とする。
【０００９】
請求項２に係る発明は、請求項１に記載のＰＣサーバにおいて、情報利用者が限時的もしくは単回的に前記複数のデータベースユニットのうちアクセスすることが許可される１つもしくは２以上のデータベースユニットを別のアクセス権テーブルでそれぞれ定義し、情報利用者が、その情報利用者を識別するための識別情報をもってログインし個人情報に割り当てられたコードをもってその個人情報を取り出そうとしたときに、その情報利用者の識別情報および前記コードをキーとして前記別のアクセス権テーブルから当該情報利用者のアクセス権が取り出され、アクセスが許可された１つもしくは２以上のデータベースユニットから前記コードをキーとして各情報項目に対応した個人成分情報が一定時間内にもしくは１回だけ取り出されるように、前記アクセス制御部による制御が行われるようにしたことを特徴とする。
【００１０】
請求項３に係る発明は、請求項１または請求項２に記載のＰＣサーバにおいて、前記情報利用者が、個人からその個人情報に割り当てられたコードの提示を受け当該個人に対してサービスを提供する事業者であることを特徴とする。
【００１１】
請求項４に係る発明は、請求項１ないし請求項３のいずれかに記載のＰＣサーバにおいて、前記情報項目、前記コードおよび前記情報資源の格納場所である個々のデータベースユニットをそれぞれ暗号化し分散させて複数のログファイルに書き込むようにしたことを特徴とする。
【発明の効果】
【００１２】
請求項１に係る発明のＰＣサーバにおいては、個人情報が一元管理される。そして、複数の個人成分情報（個人に固有の氏名、住所、生年月日等）から構成される個々の個人情報が複数のデータベースユニットに分散して、１つの情報項目（氏名、住所、生年月日、家族構成、勤務先、収入等）もしくは２以上の情報項目を含む群（氏名と性別、職業と勤務先、固定電話の番号とＦＡＸ番号、携帯電話の番号とメールアドレス等）毎に別々に格納されるので、仮にデータベースが盗まれたとしても、複数の個人成分情報の集合によって初めて個人を特定することが可能になる個人情報が漏洩し盗難される可能性は低くなる。また、データベースからの情報資源の取り出しにおいて、個々人の個人情報に割り当てられた複数のコードを指定して１つの情報項目に属する複数の個人成分情報を一度に取り出すことができても、１つのコードを指定して複数の個人成分情報を一度に取り出すことを禁止するような構成としたときは、データベースからの個人情報の漏洩・盗難の可能性がより低くなる。そして、このサーバでは、情報利用者別にデータベースへのアクセス権を設定するのではなく、多数の情報利用者をグループ分けして各グループ毎にデータベースへのアクセス権を定義するので、個人情報を登録する個人の手間や負担が低減する。
【００１３】
また、例えば情報利用者が、個人からその個人情報に割り当てられたコードの提示を受け当該個人に対してサービスを提供する事業者である場合において、このサーバを利用する事業者は、その識別情報をもってログインし、顧客から提示されたコードを入力することにより、データベースから個人情報を取り出すことができるので、事業者にとって個人情報を利用しやすくなる。この場合において、各グループが必要とする最小限の個人情報へのアクセス権をアクセス権テーブルにそれぞれ定義しておくようにすれば、事業者が属するグループを識別するための識別情報をキーとしアクセス権テーブルで定義された事業者のアクセス権に基づいて個人情報の取り出しを行ったときに、事業者が必要とする情報項目についての個人成分情報のみが取り出されるので、必要以上の個人情報が流出する恐れが無くなる。さらに、このサーバのデータベースに対し不正にアクセスすることができたとしても、データベースから多くの個人成分情報を一度に取り出すことができないので、短時間での大量の個人情報の流出を防ぐことができる。
【００１４】
したがって、このＰＣサーバを用いると、データベースからの個人情報の漏洩・盗難の可能性が低く、個人情報所有者の手間や負担が少なく、顧客に対してサービスを提供する事業者にとっても利用しやすいシステムを実現することができ、不正アクセス者に対するセキュリティ対策も十分で、外部からの不正なアクセスによって個人情報が盗み取られる心配も少なくなる。
【００１５】
請求項２に係る発明のＰＣサーバでは、事業者（情報利用者）がその識別情報をもってログインしグループの識別情報をキーとしてアクセス権テーブルで定義された情報項目について個人情報を取り出す、といった方法では取り出すことのできない個人成分情報を必要とする場合に、事業者は、その事業者の識別情報をもってログインし、顧客から提示されたコードを入力すると、その事業者の識別情報およびコードをキーとして別のアクセス権テーブルから事業者のアクセス権が取り出され、アクセスが許可されたデータベースユニットから個人情報が取り出される。この場合において、グループが必要とする情報項目とは別の、事業者が一時的に必要とする情報項目へのアクセス権を別のアクセス権テーブルに定義しておくことにより、事業者の識別情報およびコードをキーとし別のアクセス権テーブルで定義されたアクセス権に基づいて必要とする個人情報が一時的に取り出される。したがって、このサーバは、サービス享受者に便宜を供与するとともに、事業者にとっても個人情報をより利用しやすくなる。
【００１６】
請求項４に係る発明のＰＣサーバでは、操作ログ（履歴）から個人成分情報の格納場所が連想しにくく、データベースからの個人情報の漏洩・盗難がより確実に防がれる。
【図面の簡単な説明】
【００１７】
【図１】この発明の実施形態の１例を示し、ＰＣサーバの概略構成ならびにそのＰＣサーバを含めたシステムを説明するための模式図である。
【図２】この発明に係るＰＣサーバと顧客およびサービス提供業者との関係を説明するための概略図である。
【図３】この発明に係るＰＣサーバのデータベースからの情報資源の取り出しの１例について説明するための図であって、情報資源を関係データベースのテーブル形式で示す図である。
【図４】この発明に係るＰＣサーバにおけるＰＣコード（顧客の個人情報に一意的に割り当てられるコード）の生成および個人情報の書き込みの操作時における流れの１例を説明するためのシステム構成図である。
【図５】このＰＣサーバのデータベースへの情報資源の格納方式をテーブル形式で示す図である。
【図６】この発明に係るＰＣサーバにおける個人情報の個人成分情報を更新する操作時における流れの１例を説明するためのシステム構成図である。
【図７】この発明に係るＰＣサーバにおける個人情報の個人成分情報を削除する操作時における流れの１例を説明するためのシステム構成図である。
【図８】この発明に係るＰＣサーバにおける個人情報の個人成分情報を取り出す操作時における流れの１例を説明するためのシステム構成図である。
【図９】図８にシステム構成図を示して説明した一連の操作におけるフローチャートである。
【図１０】この発明に係るＰＣサーバにおける個人情報の個人成分情報を取り出す操作時における流れの別の例を説明するためのシステム構成図である。
【図１１】図８に示したものとは別の実施形態に係るＰＣサーバにおける個人情報の個人成分情報を取り出す操作時における流れの１例を説明するためのシステム構成図である。
【図１２】図１１に示したＰＣサーバにおいて別のアクセス権テーブルにアクセス権定義を設定する操作手順を説明するためのシステム構成図である。
【発明を実施するための形態】
【００１８】
以下、この発明の最良の実施形態について図面を参照しながら説明する。
この発明に係るＰＣサーバは、個人情報を統括的に集中管理するためのサーバであって、図２に示すように、ＰＣサーバ１０は、通信ネットワーク、例えばインターネット１２を介して、個人情報を所有する多くの顧客１４の端末（スマートフォン、タブレット型端末、携帯電話機、パソコン等。以下、単に「端末」という）、および、顧客１４に対して各種のサービスを提供する多くの事業者（サービス提供業者）１６の端末とそれぞれ接続されている。そして、顧客１４は、ＰＣサーバ１０からその顧客の個人情報に一意的に割り当てられるＰＣコードの発行を受け（矢印ａ）、ＰＣサーバ１０に個人情報を登録する（矢印ｂ）。一方、サービス提供業者１６は、顧客１４に対してサービスを提供する際に、例えば顧客がインターネット上のショップや通信販売などで購入して商品を配達する際に、顧客１４からショップ等を通じてＰＣコードの提示を受け（矢印ｃ）、そのＰＣコードをもってＰＣサーバ１０にアクセスし（矢印ｄ）、ＰＣサーバ１０からサービスの提供に必要な最低限の個人情報を取得する（矢印ｅ）。
【００１９】
図１に示すように、ＰＣサーバ１０は、例えばＲＥＳＴ（REpresentational State Transfer）プロトコルで実装された通信インタフェース１８、氏名、住所、電話番号、勤務先等といった情報項目（Ｒ）についての個人に固有の複数の個人成分情報（Ｖ）から構成される多数の個人情報（Ｐ）を、後述するように分散して管理する情報資源データベース２０、および、このデータベース２０に格納された情報資源へのアクセス権を制御するアクセス制御部２２を備えている。ここで、個人情報（Ｐ）は、〔情報項目（Ｒ１）：個人成分情報（Ｖ１）〕、〔情報項目（Ｒ２）：個人成分情報（Ｖ２）〕、……、〔情報項目（Ｒｎ）：個人成分情報（Ｖｎ）〕といった形式で表すことができるような複数の成分情報の集合である。また、ＰＣサーバ１０は、入力された個人情報（Ｐ）に一意的に割り当てられるＰＣコード（Ｃ）を生成するＰＣコード生成器２４、個人情報（Ｐ）の情報項目（Ｒ）ごとに異なるアルゴリズムで暗号化を行うときに用いる暗号鍵（暗号化キー）テーブル２６、個人情報（Ｐ）の情報項目（Ｒ）およびＰＣコード生成器２４で生成されたＰＣコード（Ｃ）を暗号化キーとして個人情報（Ｐ）の個人成分情報（Ｖ）の格納場所を計算する格納場所計算器２８、および、データベース２０に格納された情報資源に対するサービス提供業者１６のアクセス権を定義するアクセス権テーブル３０を備えている。その他、図２には図示していないが、ＰＣサーバ１０の利用状況や捜査状況などを記録する複数のログファイルを備えている。
【００２０】
情報資源データベース２０には、複数の個人成分情報（Ｖ）から構成される個人情報（Ｐ）が、その個人情報（Ｐ）に割り当てられたＰＣコード（Ｃ）に関係付けられて、複数のデータベースユニットに分散して格納される。すなわち、個人情報（Ｐ）を構成する複数の個人成分情報（Ｖ）は、個人情報（Ｐ）の情報項目（Ｒ）およびＰＣコード（Ｃ）を暗号化キーとして格納場所計算器２８で計算された格納場所であるデータベースユニットに別々に分散して格納される。この場合において、一個人の個人情報（Ｐ）について１つのデータベースユニットには１つの個人成分情報（Ｖ）が格納されるが、例えば氏名と性別、固定電話の番号とＦＡＸ番号、携帯電話の番号とメールアドレス、生年月日と年齢、職業と勤務先、勤務先とその住所および電話番号といったような情報項目については、それら２以上の情報項目を含む一群の個人成分情報を１つのデータベースユニットに格納するようにしてもよい。なお、以下では、データベースユニットを、データ構造の１つであるＲＤＢ（関係データベース）のテーブル（表）に対応するコレクションとして説明する。
【００２１】
また、データベース２０からの情報資源の取り出しにおいて、複数のＰＣコード（Ｃ）に対する１つの情報項目（Ｒ）については複数の個人成分情報（Ｖ）を一度に取り出すことができるが、１つのＰＣコード（Ｃ）に対して複数の情報項目（Ｒ）についての複数の個人成分情報（Ｖ）を一度に取り出すことを禁止するようにしてもよい。具体的には、複数のＰＣコード（Ｃ）を指定することができるが、情報項目（Ｒ）については１つしか指定することができないような通信インタフェース１８としておくことができる。これについて、ＲＤＢにおけるテーブル形式で図３に示す。図３に示した例において、一点鎖線Ａで囲んだ複数の電話番号については一度に取り出すことができるが、破線Ｔで囲んだ氏名、電話番号、住所および生年月日については一度に取り出すことができない。１つのＰＣコード（Ｃ）に対する個人成分情報（Ｖ）の集合（テーブルの行方向における氏名、電話番号、住所および生年月日の集合）は、個人を特定することができるが、そのような個人成分情報（Ｖ）の集合については一度に取り出すことができず、一方、複数のＰＣコード（Ｃ）に対応する複数の個人成分情報（Ｖ）の集合（テーブルの列方向における複数の氏名の集合、複数の電話番号の集合等）については一度に取り出すことができるが、そのような複数の個人成分情報（Ｖ）の集合だけでは個人を特定することはできない。したがって、データベース２０からの個人情報の漏洩・盗難の可能性が低くなる。
【００２２】
次に、このＰＣサーバ１０における操作手順の流れ（操作フロー）の１例について、図４、図６〜図８および図１０〜図１２に示すシステム構成図に基づき操作ごとに説明する。これらの図においては、それぞれの操作において関係の無い構成部分については図示を省略している。
【００２３】
まず、ＰＣコードの生成および個人情報の書き込みの操作時における流れを図４に基づいて説明する。
顧客１４の端末からＰＣサーバ１０に個人情報（Ｐ）が入力されると、個人情報（Ｐ）が通信インタフェース１８へ転送され（ＳＴ１）、これによってＰＣコード生成器２４にコード生成のＲＥＳＴリクエストが出される。ここで、個人情報（Ｐ）は、情報項目（Ｒ）：個人成分情報（Ｖ）の集合であって、〔情報項目（Ｒ１）：個人成分情報（Ｖ１）〕、〔情報項目（Ｒ２）：個人成分情報（Ｖ２）〕、……、〔情報項目（Ｒｎ）：個人成分情報（Ｖｎ）〕といった形式で表すことができる。具体的には、情報項目（Ｒ）は、氏名、電話番号、住所、生年月日などといったインデックス（見出し）であり、個人成分情報（Ｖ）は、個人に固有の「山田太郎」といった氏名、「０７５−１２３−４５６７」といった電話番号、「京都市○○区△△町××番地」といった住所、「１９８０年１月１５日」といった生年月日などである。ＰＣコード生成器２４において個人情報（Ｐ）に一意的に割り当てられるＰＣコード（Ｃ）が生成されると、そのＰＣコード（Ｃ）が格納場所計算器２８に渡されるとともに、個人情報（Ｐ）に含まれる情報項目（Ｒ）（（Ｒ１）、（Ｒ２）、……、（Ｒｎ））が格納場所計算器２８に渡される（ＳＴ２）。そして、アクセス制御部２２により、格納場所計算器２８で計算された格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれかのコレクションに、個人情報（Ｐ）から取り出した個人成分情報（Ｖ）が書き込まれる（ＳＴ３）。各コレクション２０−１、２０−２、……、２０−ｎには、複数の個人情報（Ｐ）の個人成分情報（Ｖ）が、図５の（ａ）〜（ｄ）に示すように、それぞれテーブル形式で格納される。また、ＰＣコード生成器２４で生成されたＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、個人情報（Ｐ）の情報項目（Ｒ）などと共にログファイル３２に暗号化して書き込まれる（ＳＴ４）。このとき、ログから個人情報（Ｐ）の個人成分情報（Ｖ）の格納場所が割り出されることがないように、情報項目（Ｒ）、ＰＣコード（Ｃ）および格納場所を複数のログファイルに分散させて書き込むようにするとよい。また、ＰＣコード生成器２４で生成されたＰＣコード（Ｃ）は、通信インタフェース１８に渡されて、ＲＥＳＴのリプライとして返され（ＳＴ５）、顧客１４の端末へ送られる。
【００２４】
次に、個人情報（Ｐ）の個人成分情報（Ｖ）を更新する操作時における流れを図６に基づいて説明する。
顧客１４の端末からＰＣサーバ１０にＰＣコード（Ｃ）と、更新しようとする個人情報（Ｐ）の情報項目（Ｒ）および個人成分情報（Ｖ）とが入力されると、ＰＣコード（Ｃ）、情報項目（Ｒ）および個人成分情報（Ｖ）が通信インタフェース１８へ転送され（ＳＴ１）、個人情報更新のＲＥＳＴリクエストが出される。これにより、ＰＣコード（Ｃ）および情報項目（Ｒ）が格納場所計算器２８に渡され（ＳＴ２）、格納場所計算器２８において、更新する情報項目（Ｒ）の格納場所が計算される。そして、アクセス制御部２２により、格納場所計算器２８で計算された情報項目（Ｒ）の格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれかのコレクションにおける個人成分情報が新たな個人成分情報（Ｖ）で更新される（ＳＴ３）。また、ＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、それらがログファイル３２に暗号化し分散させて書き込まれ（ＳＴ４）、ＰＣコード（Ｃ）が通信インタフェース１８に渡されて、ＲＥＳＴのリプライとして返され（ＳＴ５）、顧客１４の端末へ送られる。
【００２５】
次に、個人情報（Ｐ）の個人成分情報（Ｖ）を削除する操作時における流れを図７に基づいて説明する。
顧客１４の端末からＰＣサーバ１０にＰＣコード（Ｃ）と、削除しようとする個人情報（Ｐ）の情報項目（Ｒ）とが入力されると、ＰＣコード（Ｃ）および情報項目（Ｒ）が通信インタフェース１８へ転送され（ＳＴ１）、個人成分情報削除のＲＥＳＴリクエストが出される。これにより、ＰＣコード（Ｃ）および情報項目（Ｒ）が格納場所計算器２８に渡され（ＳＴ２）、格納場所計算器２８において、削除する情報項目（Ｒ）の格納場所が計算される。そして、アクセス制御部２２により、格納場所計算器２８で計算された情報項目（Ｒ）の格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれかのコレクションにおける個人成分情報（Ｖ）が削除される（ＳＴ３）。また、ＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、それらがログファイル３２に暗号化し分散させて書き込まれ（ＳＴ４）、ＰＣコード（Ｃ）がＲＥＳＴのリプライとして返され（ＳＴ５）、顧客１４の端末へ送られる。
【００２６】
このＰＣサーバ１０のデータベース２０に格納された個人情報（Ｐ）は、以下のようにして利用される。なお、このＰＣサーバ１０を利用するためには、個人および事業者（サービス提供業者）が予め、システムにログインするためのログインＩＤをそれぞれ取得しておくことが必要である。また、ログインＩＤを保有する多数の事業者は、データベースへのアクセス権が共通するサービス業種毎の複数グループに分けられ、その各グループにグループＩＤがそれぞれ設定されており、事業者のログインＩＤに、その事業者が属するグループのグループＩＤが対応付けられている。
【００２７】
例えば、顧客がインターネット上のショップや通信販売などで商品を購入すると、顧客は、ショップや通販業者を通じて宅配業者にＰＣコード（Ｃ）を知らせる。ＰＣコード（Ｃ）の提示を受けた宅配業者は、スマートフォン等の端末からＰＣサーバ１０にアクセスし、ＰＣコード（Ｃ）をもってＰＣサーバ１０から商品の配達に必要な最低限の個人情報（Ｐ）、すなわち氏名、住所および電話番号といった個人成分情報（Ｖ）を取り出し、顧客に対し商品の配達といったサービスを提供する。この個人情報（Ｐ）の個人成分情報（Ｖ）を取り出す操作時における流れの１例を図８に基づいて説明する。
【００２８】
配達業者がその端末からＰＣサーバ１０にログインＩＤ（Ｓ）を入力すると、ログインＩＤ（Ｓ）が通信インタフェース１８へ転送され（ＳＴ１）、これによってＰＣサーバ１０へのログインのＲＥＳＴリクエストが出される。また、ＰＣコード（Ｃ）および個人情報（Ｐ）の情報項目（Ｒ）を入力すると、ＰＣコード（Ｃ）および情報項目（Ｒ）が通信インタフェース１８へ転送され（ＳＴ２）、これによって情報項目（Ｒ）についての個人成分情報（Ｖ）取り出しのＲＥＳＴリクエストが出される。ここで、情報項目（Ｒ）としては、氏名、住所および電話番号の３項目を指定することとする。そして、ログインＩＤ（Ｓ）に対応付けられたグループＩＤ（ＳＧ）がアクセス権テーブル３０に渡され、グループＩＤ（ＳＧ）をキーとしてアクセス権テーブル３０から配達業者のアクセス権定義が取り出され、ＰＣコード（Ｃ）に対する３つの情報項目（Ｒ）へのアクセス権の有無が調べられる（ＳＴ３）。この結果、３つの情報項目（Ｒ）のうち１つでもＰＣコード（Ｃ）に対するアクセス権が無いときには、その結果が通信インタフェース１８に渡され、ログファイル３２にエラーメッセージが書き込まれ（ＳＴ６）、ＲＥＳＴのリプライとして返され（ＳＴ７）、配達業者の端末へエラーメッセージが送られる。一方、ＰＣコード（Ｃ）に対する３つの情報項目（Ｒ）へのアクセス権が有るときには、ＰＣコード（Ｃ）および情報項目（Ｒ）が格納場所計算器２８に渡される（ＳＴ４）。そして、アクセス制御部２２により、格納場所計算器２８で計算された格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれか３つのコレクションから、個人情報（Ｐ）の３つの個人成分情報（Ｖ）が取り出される（ＳＴ５）。また、ＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、ログファイル３２に暗号化し分散させて書き込まれる（ＳＴ６）。そして、取り出された３つの個人成分情報（Ｖ）が通信インタフェース１８に渡されて、ＲＥＳＴのリプライとして返されて（ＳＴ７）、配達業者の端末へ送られる。図９に、以上の一連の操作におけるフローチャートを示す。
【００２９】
上記した例では、個人情報（Ｐ）の情報項目（Ｒ）を３つ一度に指定するようにしているが、情報項目（Ｒ）を１つずつしか指定することができないような通信インタフェース１８とすることができる。このときは、ＳＴ２〜ＳＴ７の操作手順が氏名、住所および電話番号の３つの情報項目（Ｒ）についてそれぞれ行われることとなる。そして、ＳＴ２〜ＳＴ７の操作手順が３回繰り返されることにより、氏名、住所および電話番号の３つの個人成分情報（Ｖ）が順次取り出されて配達業者の端末に返信されることになる。
【００３０】
次に、上記したようにＰＣコード（Ｃ）と共に情報項目（Ｒ）を指定するのではなく、ＰＣコード（Ｃ）のみを指定し、アクセス権テーブル３０から取り出されたアクセス権定義により所定の情報項目（Ｒ）が指定される実施形態について、個人成分情報（Ｖ）を取り出す操作時における流れを図１０に基づき説明する。
配達業者がその端末からＰＣサーバ１０にログインＩＤ（Ｓ）を入力すると、ログインＩＤ（Ｓ）が通信インタフェース１８へ転送され（ＳＴ１）、これによってＰＣサーバ１０へのログインのＲＥＳＴリクエストが出される。また、ＰＣコード（Ｃ）を入力すると、ＰＣコード（Ｃ）が通信インタフェース１８へ転送され（ＳＴ２）、これによって個人成分情報（Ｖ）取り出しのＲＥＳＴリクエストが出される。そして、ログインＩＤ（Ｓ）に対応付けられたグループＩＤ（ＳＧ）がアクセス権テーブル３０に渡され、グループＩＤ（ＳＧ）をキーとしてアクセス権テーブル３０から配達業者のアクセス権定義が取り出され、配達業者に対して個人成分情報（Ｖ）の取り出しが許可される情報項目（Ｒ）、例えば氏名、住所および電話番号の３つの情報項目（Ｒ）が指定される（ＳＴ３）。この情報項目（Ｒ）とＰＣコード（Ｃ）が格納場所計算器２８に渡され（ＳＴ４）、アクセス制御部２２により、格納場所計算器２８で計算された格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれか３つのコレクションから、個人情報（Ｐ）の３つの個人成分情報（Ｖ）が取り出される（ＳＴ５）。また、ＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、ログファイル３２に暗号化し分散させて書き込まれる（ＳＴ６）。そして、取り出された３つの個人成分情報（Ｖ）が通信インタフェース１８に渡されて、ＲＥＳＴのリプライとして返され（ＳＴ７）、配達業者の端末へ送られる。
【００３１】
上記したＰＣサーバ１０のアクセス権テーブル３０は、事業者が属するサービス業種を表すグループを識別するためのグループＩＤ（ＳＧ）に対し事業者（事業者が属するグループ）がアクセスすることができる情報資源（個人情報（Ｐ）の情報項目（Ｒ））を定義するテーブルであり、当該業種のサービスが存在する間は普遍的なものである。このようなアクセス権テーブル３０の他に、図１１に示すように、限時的もしくは単回的に事業者のアクセス権を定義する別のアクセス権テーブル３４を備えた構成とすることができる。この別のアクセス権テーブル３４にアクセス権定義を設定する操作手順を、図１２に基づいて説明する。
【００３２】
顧客がその端末からＰＣサーバ１０に顧客のログインＩＤ（ＣＯ）を入力すると、ログインＩＤ（ＣＯ）が通信インタフェース１８へ転送され（ＳＴ１）、ＰＣサーバ１０にログインする。また、顧客がサービスの提供を受けようとするサービス提供業者のログインＩＤ（Ｓ）、サービス提供業者に対してアクセスを許可しようとする個人情報（Ｐ）の情報項目（Ｒ）およびＰＣコード（Ｃ）を入力すると、ログインＩＤ（Ｓ）、情報項目（Ｒ）およびＰＣコード（Ｃ）が通信インタフェース１８へ転送され（ＳＴ２）、これによって別のアクセス権テーブル３４へのアクセス権設定のＲＥＳＴリクエストが出される。そして、ログインＩＤ（Ｓ）、情報項目（Ｒ）およびＰＣコード（Ｃ）が別のアクセス権テーブル３４に渡され（ＳＴ３）、別のアクセス権テーブル３４にアクセス権定義およびその有効期限が設定される。ここで、有効期限は、例えば時間単位で設定することができるが、有効期限として０時間を設定したときには、当該アクセス権定義が消去されるまでその設定が有効となる。また、顧客がサービス提供業者と対面しているような場面では、有効期限を設定する代わりに１回限りのアクセス権として設定することもできる。別のアクセス権テーブル３４にアクセス権定義が設定されると、その設定の成否（Ｂ）が通信インタフェース１８に渡される（ＳＴ４）。そして、ＰＣコード（Ｃ）および情報項目（Ｒ）の値がログファイル３２に暗号化して書き込まれ（ＳＴ５）、また、アクセス権定義の設定の成否（Ｂ）がＲＥＳＴのリプライとして返され（ＳＴ７）、顧客の端末へ送られる。
【００３３】
上記した別のアクセス権テーブル３４を使用した個人情報（Ｐ）の個人成分情報（Ｖ）の取り出し操作時における流れを、図１１に基づいて説明する。
例えば、顧客が電車内に忘れ物をして、電気鉄道会社の忘れ物センターから顧客にメール等による連絡があり、忘れ物を着払いで配送してもらうために、忘れ物センターに対して通常は開示されない顧客の郵便番号と住所を忘れ物センターに一時的に開示する、といった場合を考える。まず、顧客は、上記したような操作手順によりアクセス権テーブル３４にアクセス定義を設定する。このとき、個人情報（Ｐ）の情報項目（Ｒ）として郵便番号と住所を指定する。そして、顧客は、忘れ物センターにＰＣコード（Ｃ）を知らせる。ＰＣコード（Ｃ）の提示を受けた忘れ物センターが、その端末からＰＣサーバ１０にログインＩＤ（Ｓ）を入力すると、ログインＩＤ（Ｓ）が通信インタフェース１８へ転送され（ＳＴ１）、これによってＰＣサーバ１０へのログインのＲＥＳＴリクエストが出される。また、ＰＣコード（Ｃ）および個人情報（Ｐ）の情報項目（Ｒ）を入力すると、ＰＣコード（Ｃ）および情報項目（Ｒ）が通信インタフェース１８へ転送され（ＳＴ２）、これによって情報項目（Ｒ）についての個人成分情報（Ｖ）取り出しのＲＥＳＴリクエストが出される。ここでは、情報項目（Ｒ）として郵便番号と住所を指定する。そして、ログインＩＤ（Ｓ）およびＰＣコード（Ｃ）が別のアクセス権テーブル３４に渡され、ログインＩＤ（Ｓ）およびＰＣコード（Ｃ）をキーとして別のアクセス権テーブル３４から忘れ物センターのアクセス権定義が取り出され、ＰＣコード（Ｃ）に対する情報項目（Ｒ）へのアクセス権の有無が調べられる（ＳＴ３）。この結果、アクセス権が無いときには、その結果が通信インタフェース１８に渡されて、ログファイル３２にエラーメッセージが書き込まれ（ＳＴ６）、ＲＥＳＴのリプライとして返され（ＳＴ７）、忘れ物センターの端末へエラーメッセージが送られる。一方、アクセス権が有るときには、ＰＣコード（Ｃ）および情報項目（Ｒ）が格納場所計算器２８に渡される（ＳＴ４）。そして、アクセス制御部２２により、格納場所計算器２８で計算された格納場所、すなわち複数のコレクション２０−１、２０−２、……、２０−ｎのうちのいずれかのコレクションから、個人情報（Ｐ）の個人成分情報（Ｖ）が取り出される（ＳＴ５）。また、ＰＣコード（Ｃ）および格納場所計算器２８で計算された格納場所の値が通信インタフェース１８に渡され、ログファイル３２に暗号化し分散させて書き込まれる（ＳＴ６）。そして、取り出された郵便番号と住所の個人成分情報（Ｖ）が通信インタフェース１８に渡され、ＲＥＳＴのリプライとして返されて（ＳＴ７）、その情報が忘れ物センターの端末へ送信される。
【００３４】
このＰＣサーバは、上記したように、インターネット上のショップや通信販売などで商品を購入した顧客に対して配達サービスを提供する宅配業者が、商品の配達に必要な最低限の顧客の個人情報を取得したりする場合などに利用されるが、その他にも種々の活用形態が考えられる。例えば、会社等の受付システムにＰＣサーバを利用することができる。すなわち、来訪者の名刺等の情報を、ＰＣサーバで発行されるＰＣコードと対応付けてＰＣサーバに登録し、その発行されたＰＣコードをＩＣチップに記憶させたＩＣシールを来訪者に渡しておく。次回以降に来訪した際に、受付において、ＩＣシールを名刺等に貼り付けたＩＣタグをリーダで読み取り、ＰＣサーバにアクセスして、ＰＣサーバから来訪者の身分を示す情報を取り出してシステムの画面に表示する。また、訪問日や時刻、用件、担当者等の来訪記録をＰＣサーバに登録しておき、その来訪者の情報をＰＣサーバで管理する、といったような方法で、このＰＣサーバを利用することができる。
【００３５】
また、忘れ物をしやすい身の回り品に、ＰＣコードを記憶させたＩＣタグを貼り付けたり取り付けたりしておくと、忘れ物センターでは、ＰＣコードをもってＰＣサーバにアクセスして落とし主を特定することができる。この場合に、忘れ物センターに対して開示する情報を電話番号やメールアドレスに限定しておけば、落とし主は忘れ物センターからの連絡を受けることができる一方、必要以上の個人情報が開示されることがない。さらに、心臓等に持病のある人が、ＰＣコードを記憶させたＩＣタグを携行しておくようにすると、突然に倒れて救急車で緊急搬送されるような事態が起こったときに、救急隊員が消防署のログインＩＤでＰＣサーバにログインしＰＣコードをもってアクセスすることにより、既往症やかかりつけの病院などの情報を取得してより適切な処置を施すことができることになる。
【産業上の利用可能性】
【００３６】
この発明は、個人情報を統括的に集中管理するサーバと多くの利用者端末との間をネットワークで繋ぐサーバシステムにおいて個人情報の利用と適切な保護を図ることができる個人情報保護・利用サーバに係るものであり、情報技術の分野、商品の配送、企業や組織における情報管理などの分野において広く利用される。
【符号の説明】
【００３７】
１０  ＰＣサーバ
１２  インターネット
１４  顧客
１６  サービス提供業者
１８  通信インタフェース
２０  データベース
２０−１、２０−２、……、２０−ｎ  コレクション（データベースユニット）
２２  アクセス制御部
２４  ＰＣコード生成器
２６  暗号鍵テーブル
２８  格納場所計算器
３０  アクセス権テーブル
３２  ログファイル
３４  別のアクセス権テーブル
Ｃ  ＰＣコード
Ｐ  個人情報
Ｒ  情報項目
Ｖ  個人成分情報
Ｓ  配達業者のログインＩＤ
ＳＧ  グループＩＤ
ＣＯ  顧客のログインＩＤ
【図１】
0006685118.tif 000002
【図２】
0006685118.tif 000003
【図３】
0006685118.tif 000004
【図４】
0006685118.tif 000005
【図５】
0006685118.tif 000006
【図６】
0006685118.tif 000007
【図７】
0006685118.tif 000008
【図８】
0006685118.tif 000009
【図９】
0006685118.tif 000010
【図１０】
0006685118.tif 000011
【図１１】
0006685118.tif 000012
【図１２】
0006685118.tif 000013