(57)【要約】【課題】ネットワークを介してサービスの提供や提供の仲介を受けるユーザの情報の保護・プライバシの保護を達成する。【解決手段】ネットワークを介して接続された、サービスの提供を受ける社員Ｕの社員端末ＵＴと、この社員Ｕが属する企業１のクライアント企業サーバ１００と、前記社員Ｕにサービスの提供を行うカウンセリング業者２のカウンセリング業者サーバ２００と、を含んで行われるオンラインサービスにおける前記社員Ｕの情報を、企業１の個人情報を匿名化する初期ＩＤと、カウンセリングに関する個人情報を匿名化するログインＩＤと、ＩＤ管理業者３のＩＤ管理業者サーバ３００とで匿名化することとした。【選択図】      図１
2004334433.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、を含んで行われるオンラインサービスにおける前記ユーザの情報を、
前記第１の団体及び第２の団体とは独立した第３の団体の第３のコンピュータと、
前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、
前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子と、
を用いて匿名化する方法であって、
前記ユーザが、前記第２の識別子を用いて、前記ユーザ端末から前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるように、
前記第３のコンピュータが、
前記第１の団体から得た、前記第１の識別子がリストしてある第１の識別子リストを記憶するステップ、
前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末からの当該第１の識別子を明示したアクセスを、前記第１の識別子リストに基づいて認証するステップ、
前記認証が成功すると、前記第２の識別子を発行して前記ユーザに通知するステップ、
を備えること、
を特徴とするオンラインサービスにおける匿名化方法。
【請求項２】
ネットワークにより接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、前記ユーザの情報の匿名化を行う第３の団体の第３のコンピュータと、を含んで行われるオンラインサービスにおけるユーザの情報を、
前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、
前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該前記第２のコンピュータにログインする際に必要になる第２の識別子と、
を用いて匿名化する方法であって、
前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末に、
前記第１の団体から通知された前記第１の識別子を入力して前記第３のコンピュータにログインする画面を表示するステップ、
前記第３の団体から通知された前記第２の識別子を入力して前記第２のコンピュータにログインする画面を表示するステップ、
をこの順で行うこと、
を特徴とするオンラインサービスにおける匿名化方法。
【請求項３】
前記第３の団体が、前記第１の識別子と前記第２の識別子との対応関係を保存することで、
前記第１の団体において前記第１の識別子に対応付けられて記憶されている前記ユーザの情報と前記第２の団体において前記第２の識別子に対応付けられて記憶されている前記ユーザの前記サービスに関する情報とを連結可能にしたこと、を特徴とする請求項１又は請求項２に記載のオンラインサービスにおける匿名化方法。
【請求項４】
前記第２のコンピュータにログインすることで、前記ユーザは、前記第２のコンピュータにログインする際に必要になるパスワードを通知され又は前記パスワードの設定が可能になり、前記サービスの提供又は提供の仲介を受ける際に、この通知され又は設定したパスワードと前記第２の識別子とを明示することで前記第２のコンピュータに認証されること、を特徴とする請求項１ないし請求項３のいずれか１項に記載のオンラインサービスにおける匿名化方法。
【請求項５】
前記第１のコンピュータにおいて、前記第１の識別子を生成して前記ユーザに通知する第１の期間が設定されていること、を特徴とする請求項１ないし請求項４のいずれか１項に記載のオンラインサービスにおける匿名化方法。
【請求項６】
前記第３のコンピュータにおいて、前記第２の識別子を生成して前記ユーザに通知する第２の期間が設定されていること、を特徴とする請求項１ないし請求項５のいずれか１項に記載のオンラインサービスにおける匿名化方法。
【請求項７】
クライアント企業サーバと、１つ以上のユーザ端末と、前記クライアント企業サーバ又は前記ユーザ端末へサービスの提供又は提供の仲介をするサービス提供サーバと、前記ユーザ端末を操作するユーザの識別子を管理するＩＤ管理業者サーバと、を接続するネットワークにおいて、前記ユーザのプライバシを確保することを目的としたユーザの識別子の管理方法であって、
前記クライアント企業サーバは、
設定された第１の期間中にユーザ端末へ前記ユーザの識別子としての第１の識別子を発行する手段と、
前記第１の期間の終了後、前記第１の識別子のリストを前記ＩＤ管理業者サーバへ送信する手段と、
前記第１の識別子を管理する手段と、
を備え、
前記ＩＤ管理業者サーバは、
前記第１の識別子のリストを受信後、ログイン可能通知を前記クライアント企業サーバへ送信する手段と、
設定された第２の期間中に前記第１の識別子によって前記ユーザを認証する手段と、
前記ユーザ端末へ前記第２の識別子を発行する手段と、
前記第２の期間の終了後、前記第２の識別子のリストを前記サービス提供サーバへ送信する手段と、
前記第１の識別子及び前記第２の識別子を対応付けて管理する手段と、
を備え、
前記サービス提供サーバは、
前記第２の識別子のリストを受信後、ログイン可能通知をクライアント企業サーバへ送信する手段と、
前記第２の識別子によって前記ユーザを認証する手段と、
前記第２の識別子を管理する手段と、
前記サービスの提供又は提供の仲介をする手段と、
を備え、
この構成のもと、前記ユーザに、前記ユーザ端末を介して、前記第１の期間中に前記クライアント企業サーバにログインして前記第１の識別子を取得させ、次に、前記第２の期間中に前記ＩＤ管理業者サーバにログインして前記第２の識別子を取得させ、
このように取得させた前記第２の識別子により、前記ユーザが、前記サービス提供サーバにログインして前記サービスの提供又は提供の仲介を受けることができるようにしたこと、
を特徴とするオンラインサービスにおけるユーザの識別子の管理方法。
【請求項８】
サービスの提供を受けるユーザと、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、とにより行われるオンラインサービスにおけるユーザの情報を、
前記ユーザの情報の匿名化を行う第３の団体の匿名化装置と、
前記ユーザが前記匿名化装置にログインして第２の識別子の通知を受けるために必要となる第１の識別子と、
前記ユーザが前記第２のコンピュータにログインして前記サービスの提供又は提供の仲介を受けるために必要となる前記第２の識別子と、
を用いて匿名化し、
前記第２の識別子の通知を受けた前記ユーザが、この第２の識別子を用いて前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにしたシステムにおける匿名化装置であって、
前記匿名化装置は、
前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段と、
前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段と、
を備えたこと、
を特徴とするオンラインサービスにおける匿名化装置。
【請求項９】
前記匿名化装置が、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段を備えたこと、を特徴とする請求項８に記載のオンラインサービスにおける匿名化装置。
【請求項１０】
コンピュータを請求項８に記載のオンラインサービスにおける匿名化装置とするため、
前記コンピュータを、
前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段、
前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段、
として機能させること、
を特徴とするオンラインサービスにおける匿名化プログラム。
【請求項１１】
前記コンピュータを、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段として機能させること、を特徴とする請求項１０に記載のオンラインサービスにおける匿名化プログラム。
【請求項１２】
請求項１０又は請求項１１に記載のオンラインサービスにおける匿名化プログラムを記憶したことを特徴とするプログラム記憶媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ある団体に属するユーザにオンラインサービスを提供する情報システムへログインしてサービスの提供を受けるユーザの個人情報やプライバシを、識別子により保護する識別子管理技術を用いた、オンラインサービスにおける匿名化方法、ユーザの識別子の管理方法、匿名化装置、匿名化プログラム及びプログラム記憶媒体に関する。
【０００２】
【従来の技術】
情報システムのサービスの提供を受けるユーザ（サービスを利用するユーザ）は、ユーザに一意な識別子によって管理・識別されることが一般的である。前記のサービスとは、ｔｅｌｎｅｔ、ＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）接続やＷｅｂページの取得、ＣＧＩ（Ｃｏｍｍｏｎ  Ｇａｔｅｗａｙ  Ｉｎｔｅｒｆａｃｅ）の利用、チャットの利用、電子メールの送受信といった、ユーザが完全に匿名で利用できるサービスや、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）との契約によるサービスのようにあらかじめユーザの個人情報を登録して利用するものがあげられる。後者のサービスの中には、ユーザの個人情報やプライバシを尊重する観点から、サービスの利用状況を情報システムの管理者に対して秘匿すべきものがある。すなわち、あらかじめユーザの個人情報を情報システムに登録しておいたとしても（又は情報システムの管理者・管理主体へ登録しておいたとしても）、サービスの利用時には、情報システムの管理者に対して匿名でサービスを利用できることが望まれるサービスが存在する。
【０００３】
このようなサービスの一例として、企業（第１の団体）が外部のカウンセリング業者（第２の団体）と提携し、福利厚生の一環として自社社員（ユーザ）へカウンセリングやメンタルヘルスケア等をオンラインにて提供する場合（特許文献１、非特許文献１）について説明する。この場合、企業は、提携先のカウンセリング業者から取得した識別子（以下「ＩＤ」という）やパスワードを自社社員へ通知するとともに、社員はこのＩＤやパスワードによってカウンセリング業者のシステムへログインし、サービスを利用するといったサービス利用形態が一般的である。
【０００４】
この際、（１）社員が個別のＩＤとパスワードを取得してカウンセリング業者のシステムへログインする場合と、（２）複数の社員が共通のＩＤとパスワードを取得してカウンセリング業者のシステムへログインする場合がある。また、サービスの内容としては、電子メールやチャットによるカウンセラとの対話を通じて、社員のキャリアビジョンの相談や職場におけるストレス度の検査、メンタル面での健康状態のカウンセリング等が実施されている。
【０００５】
このようなカウンセリング結果は、社員の個人情報やプライバシに深くかかわる情報であるため、オンラインでカウンセリングを実現する従来のシステムは、カウンセリング結果の閲覧者を限定したり、カウンセリング結果に関する情報を暗号化したりするといった対処がなされる場合がある（特許文献２）。また、運用面においても、カウンセリング業者は、通常どの社員がどのようなカウンセリングを実施したか、どんなカウンセリング結果であったかといった情報を、企業に対して守秘する場合が多い（非特許文献２）。現状では、こうした守秘義務の遵守は企業とカウンセリング業者の自主的な倫理規定に委ねられており、サービスを利用する社員は、このような倫理規定が遵守されていることを一方的に信用することを強いられている。
【０００６】
以上述べたように、従来、あらかじめ個人情報を登録し、ＩＤ（識別子）によってユーザを管理するサービスにおいて、サービスの利用状況とユーザの個人情報との対応付けを秘匿するような簡便なＩＤの管理方法は提案されておらず、情報システムの管理者の自主的な規制や、運用ルール等の制度によって管理するしかなかった。
【０００７】
【特許文献１】
特開２００２−３２６０２号公報（［０００６］、［００３６］〜）
【特許文献２】
特開２００２−１９７１９６号公報（［００２４］、［００５８］等）
【非特許文献１】
荻原国啓「オンラインカウンセリングのＷＥＢ運営」、『現代のエスプリ』２００２年５月号，ＰＰ．１３７・ＰＰ．１４９
【非特許文献２】
「ＥＡＰはメンタルヘルスの特効薬か」週刊東洋経済２００２．７．２７、ＰＰ．３８・ＰＰ．３９
【０００８】
【発明が解決しようとする課題】
ところが、情報システムの管理者の自主的な規制や、運用ルールの制定のみでは、悪意やミスによってこれまでに述べたようなユーザの個人情報やプライバシが侵害される可能性が高い。例えば、［従来の技術］で例示したような社員が個別のＩＤとパスワードにてカウンセリング業者のシステムへログインするような既存のサービス利用形態においては、企業とカウンセリング業者が結託し、どの社員がどんなカウンセリング結果であったかという情報が容易に企業に把握される可能性が高い。
【０００９】
解決すべきもうひとつの課題は、完全にユーザのサービス利用時の匿名性を確保してしまうと、緊急時にユーザを特定する手段がなくなることになり、自殺や犯罪といった社会的な混乱を招くようなユーザの行動を防止できない可能性がある。例えば、複数の社員が共通のＩＤとパスワードにてカウンセリング業者のシステムへログインするような既存のサービス利用形態では、例えば社員がカウンセリングの中で自殺や犯罪をほのめかす等の緊急時に、その社員を特定することができない。
【００１０】
本発明は、このような課題を解決するためになされたもので、その目的とするところは、情報システムの管理者（例えばオペレータ）に対し、オンラインサービスを提供する情報システムの利用者（ユーザ）のログイン状況とサービスの利用状況の対応付けを困難にすることで、ユーザの個人情報やプライバシを確保できるようなオンラインサービスにおける匿名化方法やユーザの識別子の管理方法等を提供することにある。また、本発明のもうひとつの目的は、前記のオンラインサービスにおける匿名化方法やユーザの識別子の管理方法等において、緊急時にユーザを追跡して特定できる技術を提供することにある。
【００１１】
【課題を解決するための手段】
（オンラインサービスにおける匿名化方法）
前記課題を解決した請求項１に記載の発明は、ネットワークを介して接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、を含んで行われるオンラインサービスにおける前記ユーザの情報を、（１）前記第１の団体及び第２の団体とは独立した第３の団体の第３のコンピュータと、（２）前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、（３）前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子とを用いて匿名化するオンラインサービスにおける匿名化方法である。
そして、この匿名化方法は、前記第３のコンピュータが、（１）前記第１の団体から得た、前記第１の識別子がリストしてある第１の識別子リストを記憶するステップ、（２）前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末からの当該第１の識別子を明示したアクセスを、前記第１の識別子リストに基づいて認証するステップ、（３）前記認証が成功すると、前記第２の識別子を発行して前記ユーザに通知するステップを備える。
この結果、前記ユーザが、このように通知された前記第２の識別子を用いて、前記ユーザ端末から前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにした。
【００１２】
一般的に識別子は、情報を匿名化して個人の情報を保護する役割を有するが、本発明においては、第１の識別子（初期ＩＤ）は第１の団体におけるユーザの情報を第３者（例えば第２の団体）に対して匿名化する役割を有し、第２の識別子（ログインＩＤ）は第２の団体におけるユーザの情報（サービスに関連したユーザの情報）を第３者（例えば第１の団体）に対して匿名化する役割を有する。この２つの識別子は、第３の団体により分断される。
従って、（１）第１の識別子を知得してはいるが、第２の識別子を知得していない第３者（例えば第１の団体）や、（２）第２の識別子を知得してはいるが、第１の識別子を知得していない第３者（例えば第２の団体）は、第１の識別子により匿名化されている情報（第１の団体におけるユーザの情報）と第２の識別子により匿名化されている情報（第２の団体におけるユーザの情報）を結びつけることができない。後記する実施形態を例にすれば、企業は企業における社員の情報を知得してはいても、カウンセリングにおける社員の情報を知得することはできない。一方、カウンセリング業者は、カウンセリングにおける社員の情報を知得してはいても、企業における社員の情報を知得することはできない。また、この構成によれば、第１の団体は、自己の団体に属するユーザが何時、第２の団体のコンピュータにアクセス・ログインしたかを知ることはできない。これにより、ユーザの情報（個人情報）やプライバシの保護が強固に行われる。
【００１３】
また、前記課題を解決した請求項２に記載の発明は、ネットワークにより接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、前記ユーザの情報の匿名化を行う第３の団体の第３のコンピュータと、を含んで行われるオンラインサービスにおけるユーザの情報を、（１）前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、（２）前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子とを用いて匿名化するオンラインサービスにおける匿名化方法である。
そして、この匿名化方法では、前記第１の識別子を通知されたユーザのユーザ端末に、（１）前記第１の団体から通知された前記第１の識別子を入力して前記第３のコンピュータにログインする画面を表示するステップ、（２）前記第３の団体から通知された前記第２の識別子を入力して前記第２のコンピュータにログインする画面を表示するステップをこの順で行う。
【００１４】
この構成においても、第１の識別子（初期ＩＤ）は第１の団体におけるユーザの情報を第３者（例えば第２の団体）に対して匿名化する役割を有し、第２の識別子（ログインＩＤ）は第２の団体におけるユーザの情報（サービスに関連したユーザの情報）を第３者（例えば第１の団体）に対して匿名化する役割を有する。この２つの識別子の対応関係は、第３の団体（ＩＤ管理業者）により分断される。ユーザは、ユーザ端末に表示される画面を介してユーザ端末を操作する（ユーザ端末の操作が促される）。
【００１５】
また、前記課題を解決した請求項３に記載の発明は、請求項１又は請求項２に記載のオンラインサービスにおける匿名化方法において、前記第３の団体が、前記第１の識別子と前記第２の識別子との対応関係を保存することで、前記第１の団体において前記第１の識別子に対応付けられて記憶されている前記ユーザの情報と前記第２の団体において前記第２の識別子に対応付けられて記憶されている前記ユーザの前記サービスに関する情報とを連結可能にしたことを特徴とする。
【００１６】
このように第１の識別子と第２の識別子との対応関係を保存（記憶）することで、連結可能匿名化によるユーザの情報の匿名化がなされる。従って、何かあったときに、第１の団体におけるユーザの情報と第２の団体におけるユーザの情報を対応付けることができ、例えばユーザの自殺防止等を図ることができる。
ちなみに、第３の団体が、第１の識別子と第２の識別子の対応関係を保存しないこととすれば、連結不可能匿名化がなされ、より強固にユーザの情報やプライバシの保護がなされる。
【００１７】
また、前記課題を解決した請求項４に記載の発明は、請求項１ないし請求項３のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第２のコンピュータにログインすることで、前記ユーザは、前記第２のコンピュータにログインする際に必要になるパスワードを通知され又は前記パスワードの設定が可能になり、前記サービスの提供又は提供の仲介を受ける際に、この通知され又は設定したパスワードと前記第２の識別子とを明示することで前記第２のコンピュータに認証されること（ログインできること）を特徴とする。
【００１８】
また、請求項５に記載の発明は、請求項１ないし請求項４のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第１のコンピュータに、前記第１の識別子を生成して前記ユーザに通知する第１の期間が設定されていることを特徴とする。
また、請求項６に記載の発明は、請求項１ないし請求項５のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第３のコンピュータに、前記第２の識別子を生成して前記ユーザに通知する第２の期間が設定されていることを特徴とする。
【００１９】
（オンラインサービスにおけるユーザの識別子の管理方法）
また、前記課題を解決した請求項７に記載の発明は、クライアント企業サーバと、１つ以上のユーザ端末と、前記クライアント企業サーバ又は前記ユーザ端末へサービスの提供又は提供の仲介をするサービス提供サーバと、前記ユーザ端末を操作するユーザの識別子を管理するＩＤ管理業者サーバと、を接続するネットワークにおいて、前記ユーザのプライバシを確保することを目的としたオンラインサービスにおけるユーザの識別子の管理方法である。
そして、このオンラインサービスにおけるユーザの識別子の管理方法では、（１）前記クライアント企業サーバは、設定された第１の期間中にユーザ端末へ前記ユーザの識別子としての第１の識別子を発行する手段と、前記第１の期間の終了後、前記第１の識別子のリストを前記ＩＤ管理業者サーバへ送信する手段と、前記第１の識別子を管理する手段とを備える。
（２）また、前記ＩＤ管理業者サーバは、前記第１の識別子のリストを受信後、ログイン可能通知を前記クライアント企業サーバへ送信する手段と、設定された第２の期間中に前記第１の識別子によって前記ユーザを認証する手段と、前記ユーザ端末へ前記第２の識別子を発行する手段と、前記第２の期間の終了後、前記第２の識別子のリストを前記サービス提供サーバへ送信する手段と、前記第１の識別子及び前記第２の識別子を対応付けて管理する手段とを備える。
（３）また、前記サービス提供サーバは、前記第２の識別子のリストを受信後、ログイン可能通知をクライアント企業サーバへ送信する手段と、前記第２の識別子によって前記ユーザを認証する手段と、前記第２の識別子を管理する手段と、前記サービスの提供又は提供の仲介をする手段とを備える。
（４）この構成のもと、前記ユーザに、前記ユーザ端末を介して、前記第１の期間中に前記クライアント企業サーバにログインして前記第１の識別子を取得させ、次に、前記第２の期間中に前記ＩＤ管理業者サーバにログインして前記第２の識別子を取得させ、このように取得させた前記第２の識別子により、前記ユーザが、前記サービス提供サーバにログインして前記サービスの提供又は提供の仲介を受けることができるようにしたことを特徴とする。
【００２０】
この構成においては、ユーザに対して第１の識別子を取得させる（ユーザの行為としては第１の識別子を取得する）。次に、ユーザに対して第２の識別子を取得させる（ユーザの行為としては第２の識別子を取得する）。そして、第２の識別子によりサービスの提供等を受けられるようにした（ユーザの行為としてはサービスの提供を受ける・サービスを利用する）。
なお、サービス提供サーバは、ユーザ端末を操作するユーザに対して各種のサービスの提供又は提供の仲介をする。また、ここで述べた「ユーザのプライバシの確保」とは、例えばサービス提供サーバを管理する管理者（ＵＮＩＸ（Ｒ）におけるスーパユーザ又はオペレータ）に対し、ユーザのログイン状況とサービス利用状況との対応付けを秘匿する状態を意味する。また、クライアント企業サーバは、ユーザの氏名、年齢、住所といったユーザの情報（個人情報）を一意な識別子と対応付けて直接的に管理するサーバ、もしくはユーザの情報を取得可能な情報や手段を具備するサーバである。例えば、ユーザが属する企業組織が管理するサーバであったり、ユーザの居住地区の市役所や区役所等の自治体が管理するサーバであったり、ユーザが会員として契約しているＩＳＰが管理するサーバであったりすることを想定する。つまり、企業とは、民間企業ばかりでなく、自治体等を含むものである。また、企業は、ＮＰＯ（Ｎｏｎ  Ｐｒｏｆｉｔ  Ｏｒｇａｎｉｚａｔｉｏｎｓ）等も含むものである。
この構成によれば、ユーザの情報やプライバシが強固に保護される。
【００２１】
（オンラインサービスにおける匿名化装置）
また、前記課題を解決した請求項８に記載の発明は、サービスの提供を受けるユーザと、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、とにより行われるオンラインサービスにおけるユーザの情報を、前記ユーザの情報の匿名化を行う第３の団体の匿名化装置と、前記ユーザが前記匿名化装置にログインして第２の識別子の通知を受けるために必要となる第１の識別子と、前記ユーザが前記第２のコンピュータにログインして前記サービスの提供又は提供の仲介を受けるために必要となる前記第２の識別子と、を用いて匿名化し、前記第２の識別子の通知を受けた前記ユーザが、この第２の識別子を用いて前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにしたオンラインサービスにおける匿名化装置である。
そして、この匿名化装置は、前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段と、前記ユーザと前記第２の団体に通知する第２の識別子を生成する手段とを備えたことを特徴とする。
【００２２】
この構成によれば、請求項１に記載の発明と同様に、第１の団体におけるユーザの情報と第２の団体におけるユーザの情報を匿名化することができる。また、この構成によれば、第１の団体は、自己の団体に属するユーザがいつ、第２の団体のコンピュータにアクセス・ログインしたかを知ることができない。
これにより、ユーザの情報やプライバシの保護が強固に行われる。
【００２３】
また、前記課題を解決した請求項９に記載の発明は、請求項８のオンラインサービスにおける匿名化装置において、この匿名化装置が、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段を備えたことを特徴とする。
この構成によれば、連結可能匿名化を行うことができる。
【００２４】
（オンラインサービスにおける匿名化プログラム）
また、前記課題を解決した請求項１０に記載の発明は、コンピュータを請求項７に記載のオンラインサービスにおける匿名化装置とするため、前記コンピュータを、前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段、前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段、として機能させることを特徴とするオンラインサービスにおける匿名化プログラムとした。
【００２５】
また、請求項１１に記載の発明は、請求項１０の構成において、前記コンピュータを、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段として機能させることを特徴とする。
【００２６】
（プログラム記憶媒体）
また、前記課題を解決した請求項１２に記載の発明は、請求項１０又は請求項１１に記載のオンラインサービスにおける匿名化プログラムを記憶したことを特徴とするプログラム記憶媒体である。
【００２７】
【発明の実施の形態】
以下、本発明の実施形態を、図面を参照して詳細に説明する。なお、以下説明するのは、オンラインサービスにおける匿名化方法、オンラインサービスにおける匿名化装置、オンラインサービスにおける匿名化プログラム及びプロラム記憶媒体を、オンラインサービスシステムに適用した実施形態である。図１は、本実施形態のオンラインサービスシステムの全体構成を示すブロック図である。
【００２８】
図１に示すオンラインサービスシステムは、クライアント企業（以下「企業」という）１、この企業１に属する社員（企業１と雇用契約を締結する者を指す。以下「社員」という）Ｕ、この社員Ｕにオンラインのカウンセリングサービスを提供するカウンセリング業者２、企業１及びカウンセリング業者２からは独立して、社員Ｕがサービスを利用するためのＩＤを管理する外部のＩＤ管理業者（以下「ＩＤ管理業者」という）３の、計４主体を想定する。そして、各主体の行為について、社員Ｕがカウンセリング業者２から受けたサービスの内容等が企業１等に知得されないように秘匿すると共に、企業１が知得している社員Ｕの個人情報がカウンセリング業者２等に知得されないようにする。つまり、４つの主体により行われるオンラインサービスにおける社員Ｕの情報（個人情報）の匿名化を行い、社員Ｕの個人情報（「第１の団体におけるユーザの情報」、「第２の団体におけるユーザの情報」）の保護や個人のプライバシの保護を図る。
【００２９】
ここで、社員Ｕは請求項の「ユーザ」に、企業１は請求項の「第１の団体」に、カウンセリング業者２は同「第２の団体」に、ＩＤ管理業者３は同「第３の団体」に、それぞれ相当する。また、以下に登場する、初期ＩＤは請求項の「第１の識別子」に、ログインＩＤは同「第２の識別子」に相当する。同様に、クライアント企業サーバ１００は請求項の「第１の団体のコンピュータ」に、カウンセリング業者サーバ２００は同「第２の団体のコンピュータ」及び「サービス提供サーバ」に、ＩＤ管理業者サーバ３００は同「第３の団体のコンピュータ」及び「匿名化装置」に相当する。
【００３０】
なお、「匿名化」とは、例えば、ある人（ある社員Ｕ）の個人情報が、ある法令やあるルール（明示のルール・黙示のルール）に反して外部に漏洩しないように、その個人情報から個人を識別する情報の全部又は一部を取り除き、代わりにその人と関連のない符号又は番号（つまり識別子）を付すことをいう。本実施形態での匿名化は、主として初期ＩＤ（第１の識別子）とログインＩＤ（第２の識別子）とにより達成される。また、「個人情報」とは、例えば、個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）をいう。また、「プライバシ」とは、例えば個人的な日常生活や社会行動を他人に興味本位に見られたり干渉されたりすることなく、安心して過ごすことが出来る自由をいう。
【００３１】
［システムの全体構成］
以下、図１を参照してオンラインサービスシステムの全体構成を説明する。
図１に示すように、本実施形態で説明するオンラインサービスシステムの全体構成は、クライアント企業サーバ１００、カウンセリング業者サーバ２００、ＩＤ管理業者サーバ３００を接続するネットワークを前提としている。また、本実施形態では、クライアント企業サーバ１００はカウンセリング業者２のクライアントとなる企業１が、カウンセリング業者サーバ２００はカウンセリング業者２が、ＩＤ管理業者サーバ３００はＩＤ管理業者３が、それぞれ運用するものとする。また、本実施形態では、企業１やカウンセリング業者２は複数存在することを想定している。一方で、本実施形態では、ＩＤ管理業者３は、省庁や公社、あるいは業務に公共性が付帯するような、企業１やカウンセリング業者２からは独立した団体、企業等を想定している。
以下、各構成を説明する。
【００３２】
［企業・クライアント企業サーバ］
企業１は、自社の社員Ｕの福利厚生のため、カウンセリング業者２と契約して、自社の社員ＵがカウンセラＣによるカウンセリングを受けられるようにしている。また、企業１は、社員Ｕの個人情報の漏洩を防止するため（個人情報やプライバシの保護のため）、ＩＤ管理業者３とも契約を行っているものとする。
【００３３】
図１の左下に示される企業１のクライアント企業サーバ１００は、社員Ｕの社員端末ＵＴ等を用いたクライアント企業サーバ１００へのアクセスに対して、社員Ｕを認証する機能を有する。また、社員ＵがＩＤ管理業者３のコンピュータであるＩＤ管理業者サーバ３００へログインするための初期ＩＤを生成して社員Ｕ（社員端末ＵＴ）へ発行（通知）する機能を有する。また、社員番号のように、企業内で社員Ｕを一意に識別するためのＩＤ（社員ＩＤ）と初期ＩＤとを対応付けて管理する機能を有する。また、クライアント企業サーバ１００は、社員Ｕに払出した（通知した）初期ＩＤのリスト（第１の識別子リスト）を、ＩＤ管理業者３（ＩＤ管理業者サーバ３００）へ通知する機能を有する。さらに、初期ＩＤを社員Ｕに発行する第１の期間（初期ＩＤ発行期間）を設定して、この期間に初期ＩＤを社員Ｕに発行（通知）する機能を有する。また、クライアント企業サーバ１００は、カウンセリング業者２から通知された各企業１に一意な企業ＩＤを、社員Ｕに発行（通知）する機能を有する。
【００３４】
このため、クライアント企業サーバ１００は、社員ＩＤとパスワード（図示外）とによってログインする社員Ｕを一意に認証するための認証部１１０を有する。また、クライアント企業サーバ１００は、初期ＩＤ発行期間に、認証された社員Ｕへ初期ＩＤを発行（通知）すると共に、少なくとも「社員ＩＤ」と「初期ＩＤ」とを対応付けて管理（記憶・検索・読出し…）するＩＤ管理部１２０を有する。なお、このＩＤ管理部１２０は、初期ＩＤ発行期間の前に、企業ＩＤを社員Ｕに通知するものとする。また、クライアント企業サーバ１００は、少なくとも「社員ＩＤ」と「初期ＩＤ」とを対応付けた企業用管理テーブル１３０を記憶する図示しない記憶装置（ハードディスク等（以下同じ））を有する。なお、パスワードは、あらかじめ企業１がその社員Ｕへ配布したものであってもよく、また、社員Ｕが配布されたパスワードを元に変更したものであってもよい。
ちなみに、企業１（クライアント企業サーバ１００）は、初期ＩＤから社員Ｕの個人情報（氏名、部署、職位等）を参照できるものとする（初期ＩＤ→社員ＩＤ→ユーザの個人情報）。
【００３５】
［カウンセリング業者・カウンセリング業者サーバ（サービス提供サーバ）］
カウンセリング業者２は、企業１及びＩＤ管理業者３と契約している。そして、企業１の社員Ｕに対して通信ネットワークを介してカウンセリング業者２と契約したカウンセラ（産業医を含む）がカウンセリングを行い、企業１の社員Ｕのメンタルヘルスケアを図る。
【００３６】
図１の中央に示されるカウンセリング業者２のカウンセリング業者サーバ２００は、カウンセリング業者２が企業１を一意に識別するためのＩＤ（企業ＩＤ）を、企業１及びＩＤ管理業者３へ発行（通知）する機能を有する。また、企業ＩＤと社員Ｕを識別するためのＩＤ（ログインＩＤ）とによって、例えば社員端末ＵＴからアクセスする利用者たる社員Ｕを認証する機能（ログインさせる機能）を有する。また、「企業ＩＤ」と「ログインＩＤ」とを対応付けて管理する機能を有する。また、社員Ｕに、カウンセリング業者サーバ２００にログインする際に必要になるパスワード（請求項の「パスワード」）を発行する機能を有する。
【００３７】
このため、図１に示すように、カウンセリング業者サーバ２００は、ログインＩＤと企業ＩＤとによって社員Ｕを認証すると共に、後記するパスワード発行後は、ログインＩＤとパスワードとによって社員Ｕを認証する認証部２１０を有する。また、カウンセリング業者サーバ２００は、企業１及びＩＤ管理業者３へ企業ＩＤを、社員Ｕへパスワードを発行し、少なくとも「企業ＩＤ」、「ログインＩＤ」、「パスワード」及び「カウンセリング結果へのポインタ」の４つの要素を対応付けて管理するためのＩＤ管理部２２０を有する。また、カウンセリング業者サーバ２００は、少なくとも「企業ＩＤ」、「ログインＩＤ」、「パスワード」及び「カウンセリング結果へのポインタ」の４つの要素を対応付けたカウンセリング業者用ＩＤ用管理テーブル２３０を記憶する図示しない記憶装置を有する。なお、このカウンセリング業者サーバ２００は、クライアント企業サーバ１００又は社員端末ＵＴへサービスを提供するサービス提供サーバに相当する。
【００３８】
ちなみに、カウンセリング業者２（カウンセリング業者サーバ２００）は、ログインＩＤに対応した社員Ｕがどんなカウンセリングを実施したか（カウンセリングの内容）を、カウンセリング業者用ＩＤ用管理テーブル２３０の「カウンセリング結果へのポインタ」に基づいて参照できるものとする。ここで、社員ＵがログインＩＤと企業ＩＤとによって行うログインは、パスワードを発行してもらうための仮ログインとしての位置付けのものである。
【００３９】
なお、カウンセリング業者２００は、複数のカウンセラＣと契約し、カウンセラＣへ電子メールやビデオチャット等、オンラインで利用者たる社員Ｕに対するカウンセリングを実施するための環境やツールを提供する。このビデオチャット機能等は、カウンセリング業者サーバ２００以外のコンピュータが備えるようにしてもよい。また、カウンセリング業者はさらに複数の別なカウンセリング業者２（カウンセラＣ）と提携し、企業１に対し、カウンセラ２の仲介業務を実施してもよい。企業１はカウンセリング業者２と契約し、社員Ｕへ福利厚生の一環としてオンラインのカウンセリングやメンタルヘルスケアを提供する。なお、このカウンセリング等が、請求項の「サービスの提供」に相当する。また、請求項の「提供の仲介」とは、例えばカウンセリング業者サーバ２００がカウンセラＣの紹介を行うこと等に相当する。
【００４０】
［ＩＤ管理業者・ＩＤ管理業者サーバ（匿名化装置）］
ＩＤ管理業者３は、企業１及びカウンセリング業者２と契約し、社員Ｕに関連するＩＤを管理する。このＩＤ管理業者３（ＩＤ管理業者サーバ３００）は、本実施形態に特徴的なものである。
【００４１】
図１の中央に示されるＩＤ管理業者サーバ３００は、初期ＩＤと企業ＩＤとによって社員Ｕを認証した後、社員Ｕがカウンセリング業者２のコンピュータ（カウンセリング業者サーバ２００）へログインする際に必要になる識別子（ログインＩＤ）を生成して社員Ｕへ発行（通知）する機能を有する。また、「企業ＩＤ」、「初期ＩＤ」、「ログインＩＤ」を対応付けて管理する機能を有する。また、社員Ｕへ発行したログインＩＤのリストを、カウンセリング業者２（カウンセリング業者サーバ２００）へ通知する機能を有する。さらに、ログインＩＤを社員Ｕに発行する期間（ログインＩＤ発行期間）を設定して、この期間にログインＩＤを社員Ｕに発行（通知）する機能を有する。
【００４２】
このため、ＩＤ管理業者サーバ３００は、初期ＩＤ及び企業ＩＤによって社員を一意に認証するための認証部３１０を有する。また、ＩＤ管理業者サーバ３００は、ログインＩＤ発行期間に、認証された社員ＵへログインＩＤを発行すると共に、企業ＩＤ、初期ＩＤ及びログインＩＤの３つの要素を対応付けて管理するためのＩＤ管理部３２０を有する。また、ＩＤ管理業者サーバ３００は、企業ＩＤ、初期ＩＤ及びログインＩＤの３つを対応付けて記憶するＩＤ管理業者用テーブル３３０を記憶する図示しない記憶装置を有する。
【００４３】
［動作説明］
次に、以上説明したオンラインサービスシステムにより、社員Ｕがカウンセリングサービスを提供されるまでの動作を、図２から図４を参照して説明する（適宜図１参照）。図２は、サービスの提供開始までの動作を説明するために引用したシーケンス図である。図３は、社員端末になされる通知を示す図であり、（ａ）は企業ＩＤの通知ほかを示し、（ｂ）はＩＤ管理業者サーバへのログイン可能通知を示し、（ｃ）はカウンセリング業者サーバへのログイン可能通知を示す。図４は、社員端末になされるパスワード通知を示す図である。
【００４４】
企業１及びＩＤ管理業者３と契約したカウンセリング業者２は、企業１に一意な企業ＩＤを生成して（Ｓ１１）、これを企業１及びＩＤ管理業者３に通知する（Ｓ１２，Ｓ１３）。この企業ＩＤは、電子メールで通知されることを想定しているが、例えばカウンセリング業者サーバ２００にＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）サーバ機能を持たせることで企業ＩＤをＷｅｂ上に公開して、企業１やＩＤ管理業者３の担当者に、パーソナルコンピュータ等を使って閲覧させることで通知するようにしてもよい。また、この企業ＩＤは、郵送等により通知してもよいし、ファクシミリ等で通知してもよい。なお、企業ＩＤは、社員ＵがＩＤ管理業者サーバ３００にログインする際に初期ＩＤと共に必要となり、また、社員Ｕがカウンセリング業者サーバ２００にログイン（仮ログイン）する際にログインＩＤと共に必要になる。
【００４５】
ちなみに、社員Ｕには、（１）企業１がカウンセリング業者２と契約をして、社員ＵがカウンセラＣのカウンセリングを受けることができるようになっていること、（２）社員Ｕの情報の匿名化及び社員Ｕのプライバシ保護のため、企業１はＩＤ管理業者３と契約しており、社員Ｕがカウンセリングを受ける前には、ＩＤ管理業者３からカウンセリング業者サーバ２００へログインするためのログインＩＤの通知（発行）を受けることが必要であること等が事前に知らせてあるものとする。
【００４６】
企業１は、通知された（取得した）企業ＩＤを電子メール等によって社員Ｕへ通知（周知）するが（Ｓ１４）、例えばクライアント企業サーバ１００にＷＷＷサーバ機能を持たせてＷｅｂ上に公開して、社員Ｕに閲覧させることで企業ＩＤを通知するようにしてもよい。
【００４７】
企業ＩＤを社員Ｕに通知した企業１は、社員Ｕが初期ＩＤを取得するための所定の期間（第１の期＝初期ＩＤ発行期間）Ｔ１を定め、これをクライアント企業サーバ１００に設定する（第１の期間の設定、Ｓ１５）。
なお、この初期ＩＤ発行期間Ｔ１やクライアント企業サーバ１００のＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｅｒ）は、前記したステップＳ１４の企業ＩＤの通知の際に、企業ＩＤと併せて企業１から社員Ｕに通知されているものとする（図３（ａ）参照）。この図３（ａ）の企業ＩＤの通知は、社員端末ＵＴの画面に表示され、これによりクライアント企業サーバ１００へアクセスすること（ログインすること）が促される。ちなみに、図３（ａ）に記載されたＵＲＬをクリックするとクライアント企業サーバ１００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする。
【００４８】
企業ＩＤを通知された社員Ｕは、初期ＩＤ発行期間Ｔ１内に社員端末ＵＴからクライアント企業サーバ１００へアクセスし、認証部１１０による認証完了（社員ＩＤで認証）の後、ＩＤ管理部１２０によって生成された初期ＩＤを取得する（Ｓ１６，Ｓ１７）。
ここで、図１に示すように、初期ＩＤはカウンセリング業者２へは通知されない。したがって、企業１とカウンセリング業者２とが結託しても、サービスを利用する（カウンセリングを受ける）社員Ｕが誰であるかを特定することはできない。つまり、カウンセリング業者２は、企業１における社員Ｕの情報とカウンセリングにおける社員Ｕの情報を対応付けることができない。なお、初期ＩＤ発行期間Ｔ１を設定するのは、期間を設けないと申込みが分散するので、相対的に個人を特定し易すくなるが、期間を設けると申込みが集中するので、相対的に個人を特定し難くなるという理由による。
【００４９】
初期ＩＤ発行期間Ｔ１の終了後、企業１（クライアント企業サーバ１００）は、ＩＤ管理業者サーバ３００（ＩＤ管理業者３）に初期ＩＤがリストされた初期ＩＤリストを一括で送信する（Ｓ１８）。なお、社員Ｕの情報の匿名化をより確実に行うため、初期ＩＤに対応する社員ＩＤの情報は送信しない。この初期ＩＤリストの送信は、電子メールによって行ってもよいし、郵送等によって行ってもよい。また、ファクシミリ等によって行ってもよい。なお、初期ＩＤリストは、ＩＤ管理業者サーバ３００の図示しない記憶部に記憶する（「第１の識別子を記憶するステップ」に相当）。
【００５０】
次に、ＩＤ管理業者３は、社員がログインＩＤを取得するための所定の期間（第２の期間＝ログインＩＤ発行期間）Ｔ２を定め、これをＩＤ管理業者サーバ３００に設定する（第２の期間の設定、Ｓ１９）。ＩＤ管理業者３（ＩＤ管理業者サーバ３００）は、ＩＤ管理業者サーバ３００に対するログインが可能である旨の通知（ログイン可能通知）を企業１（クライアント企業サーバ１００）に対して行う（Ｓ２０）。なお、ログインＩＤ発行期間Ｔ２を設定するのは、初期ＩＤ発行期間Ｔ１を設定した理由と同様、例えば個人を特定し難くするためである。
【００５１】
ステップＳ２０により、ログイン可能通知を受けた企業１（クライアント企業サーバ１００）は、ＩＤ管理業者サーバ３００にログインが可能である旨のログイン可能通知（図４（ｂ）参照）を、社員Ｕに対して行う（Ｓ２１）。このＩＤ管理業者サーバ３００へのログイン可能通知は、企業ＩＤを通知したのと同様に電子メール等により行うことができる。なお、図３（ｂ）のＩＤ管理業者サーバ３００へのログイン可能通知は、社員端末ＵＴの画面に表示され、これにより社員ＵがＩＤ管理業者サーバ３００へアクセスすること（ログインすること）が促される。ちなみに、図３（ｂ）に記載されたＵＲＬをクリックすると、初期ＩＤと企業ＩＤとを入力してＩＤ管理サーバ３００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする（「第１の識別子を入力して第３のコンピュータにログインする画面を表示するステップ」に相当）。
【００５２】
ログイン可能通知を受けた社員Ｕは、ログインＩＤ発行期間Ｔ２内に社員端末ＵＴからＩＤ管理業者サーバ３００へログインし、認証部３１０による認証完了の後、ＩＤ管理部３２０によって生成（Ｓ２２）されたログインＩＤを取得する（Ｓ２３）。なお、本実施形態では、社員ＵがログインＩＤを取得するために使用する社員端末ＵＴには、専用のアプリケーションを搭載する必要がない。したがって、社員端末ＵＴは、業務用の端末でなくてもよく、自宅のＰＣやインターネットカフェに設置されるようなＰＣ、あるいはモバイル機器であってもよい。ログインＩＤ取得可能期間Ｔ２の経過後、ログインＩＤを生成して発行したＩＤ管理業者サーバ３００は、カウンセリング業者サーバ２００（カウンセリング業者２）へログインＩＤリスト（企業ＩＤ単位ごとに纏められたもの）を一括で送信する（Ｓ２４）。
【００５３】
なお、図１に示すように、ログインＩＤは、企業１へは通知されない。また、前記したように、初期ＩＤは、カウンセリング業者２には通知されない。したがって、企業１とカウンセリング業者２とが結託しても、企業１はどの社員Ｕがどんなカウンセリングを受けたかを知ることもできない。さらには、企業１は、どの社員Ｕがカウンセリング業者サーバ２００にログインしたのかも知ることができない。
【００５４】
ＩＤ管理業者３（ＩＤ管理業者サーバ３００）からログインＩＤリストを受信したカウンセリング業者２（カウンセリング業者サーバ２００）は、これをカウンセリング業者サーバ２００の図示しない記憶部に記憶すると共に、ログイン可能通知（図４（ｃ））を企業１（クライアント企業サーバ１００）に対して行う（Ｓ２５）。企業１（クライアント企業サーバ１００）は、カウンセリング業者サーバ２００へログインが可能である旨の通知であるログイン可能通知を社員Ｕに対して行う（Ｓ２６）。このカウンセリング業者サーバ２００へのログイン可能通知は、電子メール等により行うことができる。なお、図４（ｃ）のカウンセリング業者サーバ２００へのログイン可能通知は、社員端末ＵＴの画面に表示され、これにより社員Ｕがカウンセリング業者サーバ２００へアクセスすること（ログインすること）が促される。ちなみに、図３（ｃ）に記載されたＵＲＬをクリックすると、ログインＩＤと企業ＩＤとを入力して、又はログインＩＤとパスワードとを入力して、カウンセリング業者サーバ２００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする（「第２の識別子を入力して第２のコンピュータにログインする画面を表示するステップ」に相当）。
【００５５】
ステップＳ２６でカウンセリング業者サーバ２００へのログイン可能通知を受けた社員Ｕは、例えばパソコン等の社員端末ＵＴを操作し、ステップＳ２３で通知された（取得した）ログインＩＤとステップＳ１４で通知された企業ＩＤとによりカウンセリング業者サーバ２００にログインする（Ｓ２７）。なお、このログインは、パスワードを発行されるための仮ログインとしての位置付けである。カウンセリング業者サーバ２００では、認証部２１０による認証完了の後（ログイン後）、ＩＤ管理部２２０によってパスワードを生成する（Ｓ２８）。そして、カウンセリング業者サーバ２００から社員端末ＵＴにパスワードを通知する（Ｓ２９）。図４は、社員端末ＵＴに表示されるパスワード通知の一例である。この図４に示すように、社員Ｕに対してパスワードが通知される。なお、社員Ｕが自分の好きなパスワードを設定できるようにしてもよい。
【００５６】
パスワードを通知された社員Ｕは、カウンセリングを受けたい場合は、ログインＩＤとパスワードとによりカウンセリング業者サーバ２００にログインすることで、カウンセラＣのカウンセリング（オンラインサービス）を受けることができる（サービス開始，Ｓ３０）。以降、社員Ｕは、図１及び図２に括弧書きで示したように、ログインＩＤとパスワードとによってカウンセリング業者サーバ２００へログインし、オンラインのサービスを受けることができる。
【００５７】
この構成においては、企業１における社員Ｕの情報（個人情報）は初期ＩＤ（及び社員ＩＤ）により匿名化され、カウンセリングにおける社員Ｕの情報（個人情報）はログインＩＤにより匿名化される（図１のカウンセリング業者用管理テーブル２３０参照）。そして、初期ＩＤとログインＩＤの対応関係は、企業１及びカウンセリング業者２とは独立したＩＤ管理業者３によって管理されている。このため、企業１（及び第３者）は、企業１における社員Ｕの個人情報とカウンセリングにおける社員Ｕの個人情報とを結びつけることができない。この点は、カウンセリング業者２についても、同じである。
【００５８】
即ち、企業１は、社員Ｕがカウンセリングを受けたとしても、カウンセリング業者サーバ２００へログインするログインＩＤを知らないため、どの社員Ｕがどのようなカウンセリングを受けたかを知ることはできない。一方、カウンセリング業者２は、カウンセリングを受けた社員Ｕの社員ＩＤを知らないため、カウンセリングを受けた社員Ｕを特定することはできない。また、本実施形態のＩＤ管理業者３は、企業１及びカウンセリング業者２とは独立した、純粋にＩＤ（企業ＩＤ、初期ＩＤ、ログインＩＤ）を管理するのみの主体であるため、社員Ｕの個人情報もカウンセリングの内容も知ることはできない。つまり、本実施形態のオンラインサービスシステムによれば、社員Ｕの情報（個人情報）やプライバシの保護が強固に行われる。
【００５９】
さらに、社員Ｕは識別子によって管理されるため、社員端末ＵＴには専用のアプリケーションを特に搭載する必要がない。このため、電子的な証明書を利用する技術とは異なり、社員Ｕはどの端末からでもサービスを利用することができる。もちろん、電子的な署名や暗号化技術を併用することも可能である。
【００６０】
なお、企業１、カウンセリング業者２及びＩＤ管理業者３のうち、どの２主体が結託したとしても、残りの１主体が情報を漏洩しない限り、カウンセリングを受けた社員Ｕを特定することはできない。ちなみに、本実施形態では、企業ＩＤを用いることとしているが、この企業ＩＤは、カウンセリング業者２が企業１ごとに生成している。このため、カウンセリング業者２は、どのログインＩＤの社員Ｕがどの企業１に属しているかが判る（このことが次に説明する連結可能匿名化に利用される）。
【００６１】
［連結可能匿名化］
ところで、緊急時等において、法律的、社会的な観点からカウンセリングを受けた社員Ｕを特定する必要がある場合は、企業１、カウンセリング業者２及びＩＤ管理業者３の全てが協力することで、「カウンセリングの内容とログインＩＤの関連（ログインＩＤと企業ＩＤとの関連）」→「ログインＩＤと初期ＩＤとの関連」→「初期ＩＤと社員ＩＤとの関連」→「社員ＩＤと社員Ｕの個人情報との関連」を順次追跡することにより、社員Ｕの特定が可能となる。
【００６２】
連結可能匿名化により社員Ｕを割り出す流れの一例を、図５のシーケンス図を参照して説明する（適宜図１等参照）。この際には、各サーバ１００，２００，３００に記憶されている各テーブル１３０，２３０，３３０の情報が活用される。
【００６３】
まず、カウンセリングを行ったカウンセリング業者２（カウンセラＣ）が、社員Ｕのカウンセリングの内容が人命等にかかわるものであるか否かを判断する（Ｓ４１）。人命等にかかわらないと判断した場合は（Ｎｏ）、社員Ｕを特定する処理を止める（Ｓ４２）。カウンセリングの内容が人命等にかかわると判断した場合は（Ｙｅｓ）、次のように処理する。即ち、ログインＩＤとカウンセリングの結果と企業ＩＤは、カウンセリング業者用管理テーブル２３０により対応付けられているので、カウンセリングの内容（データ）に基づいてログインＩＤを特定し、さらにログインＩＤに基づいて企業ＩＤを特定する。そして、企業ＩＤに基づいて企業１の連絡先を割り出す（Ｓ４３）。前記したように、企業ＩＤは、カウンセリング業者２が企業１ごとに生成しているので、カウンセリング業者２は、企業１と企業ＩＤとの対応関係からどの企業１に連絡をとればよいかは直ぐに判る。
【００６４】
カウンセリング業者２は、企業１の連絡先を割り出すと、ＩＤ管理業者３（ＩＤ管理業者サーバ３００）へその旨を通知する（Ｓ４４）。この通知の際には、人命等にかかかわると判断した社員ＵのログインＩＤとカウンセリングの内容を併せて通知するものとする。一方、企業１にもその旨を通知し（Ｓ４５）、匿名化された情報同士を連結することの同意を企業１に求める。この通知の際には、人命等にかかわると判断した社員Ｕのカウンセリングの内容を併せて通知するものとする。
【００６５】
企業１は、カウンセリングの内容を検討して人命等にかかわるか否かを判断し（Ｓ４６）、人命等にはかかわらないと判断した場合は（Ｎｏ）、処理を止める（Ｓ４７）。この際、カウンセリング業者２及びＩＤ管理業者３にその旨を通知（連絡）して、社員Ｕを特定する処理を止めさせるものとする。一方、人命等にかかわると判断した場合は（Ｙｅｓ）、ＩＤ管理業者３に同意した旨を通知する（Ｓ４８）。
【００６６】
ステップＳ４８で通知を受けたＩＤ管理業者３は、ステップＳ４４でカウンセリング業者２から通知されたログインＩＤに基づいてＩＤ管理業者用管理テーブル３３０を検索してログインＩＤに対応する初期ＩＤを特定する（Ｓ４９）。そして、初期ＩＤを企業１へ通知する（Ｓ５０）。
【００６７】
企業１において、初期ＩＤと社員ＩＤとは、クライアント企業サーバ１００の企業用管理テーブル１３０により対応付けられているので、初期ＩＤに基づいて社員ＩＤを特定し、さらに社員ＩＤに基づいて社員Ｕの連絡先を割り出す。なお、企業１は、社員ＩＤと対応付けられた社員Ｕの連絡先名簿を持っているものとする。
【００６８】
このように社員Ｕの連絡先を割り出すと、例えば企業１は、カウンセリングの内容に応じて、警察、消防、保健所、行政等、適切な箇所に連絡をすることができる。もちろん、社員Ｕに連絡することもできる。よって、企業１は、例えば社員Ｕの自殺等を防止する措置を図ることができる。
【００６９】
［契約関係］
図６は、本実施形態での各主体の契約関係の一例を示した図である。
社員Ｕは企業１と雇用契約を結び、カウンセラＣはカウンセリング業者２と雇用契約を結んでいる。企業１は、カウンセリング業者２とサービスの利用契約を締結し、カウンセリング業者２へサービス料を支払う。また、企業１は、ＩＤ管理業者３とサービスの利用契約を終結し、ＩＤ管理業者３へサービス料を支払う。これにより、ＩＤ管理業者３は収益をあげることができる。なお、図６に示すように、カウンセリング業者２が、他のカウンセリング業者２Ａ，２Ｂ，２Ｃの元受け（窓口）の立場として、企業１と契約することも可能である。
【００７０】
以上説明した本発明は、前記した実施形態に限定されず、本発明の趣旨を逸脱しない範囲で幅広く変形実施することができる。
例えば、社員ＩＤが初期ＩＤを兼ねるようにしてもよい。また、前記した実施形態では、連結可能匿名化を行うために、特に初期ＩＤとログインＩＤの対応関係を記憶したＩＤ管理業者用テーブルを用いることとしたが、このＩＤ管理業者用テーブルを用いないこととして（初期ＩＤとログインＩＤの対応関係を記憶しないこととして）、連結不可能匿名化を行ってもよい。また、企業ＩＤを用いないで社員の情報を匿名化することも可能である。ちなみに、サービス料の計算の際には、企業ＩＤが役立つ。また、緊急時等における社員の連絡先の最終的な割り出しを、結果として企業が行うこととしたが、情報をＩＤ管理業者に集めて、ＩＤ管理業者が最終的に割り出すこととしてもよい。
【００７１】
また、カウンセリングを例に説明したが、その他のサービス、殊にオンラインで提供可能なサービスやオンラインで提供の仲介を行うことのできるサービス、例えば電子コンテンツの販売・販売の仲介、物品や金融商品の販売・販売の仲介、役務の提供・提供の仲介、不動産の販売・販売の仲介等にも本発明を適用することができる。
【００７２】
また、各サーバや社員端末は、コンピュータ及びプログラムによって実現することができる。また、そのプログラムをコンピュータによる読み取り可能な記憶媒体に記憶することが可能である。また、そのプログラムを、ネットワークを通して提供することも可能である。また、各コンピュータ（サーバ）は、単一のコンピュータから構成されるのではなく、複数のコンピュータや周辺機器から構成されるものでもよい。また、社員端末Ｕが直接カウンセリング業者サーバにアクセス・ログインして、直接カウンセリング業者サーバからサービスの提供を受けることとしたが、クライアント企業サーバを介してサービスの提供を受けることとしてもよい。また、第１の期間や第２の期間を設定しないようにしてもよい。また、ＩＤの送信もリストの形で一括で行うのではなく、例えばＩＤを発行（生成）する都度行うようにしてもよい。
【００７３】
【発明の効果】
以上説明した本発明によれば、以下のような優れた効果を奏する。
請求項１、請求項２、請求項７及び請求項８の発明によれば、識別子によりユーザの情報を匿名化するので、オンラインのサービス提供時に、ユーザの行動を追跡困難とすることができ、これにより、ユーザの情報やプライバシの保護が強固に行われる。また、一般的な端末をユーザ端末とすることができる。また、請求項３及び請求項９の発明によれば、連結可能匿名化を確実に行うことができる。請求項４の発明によれば、パスワードにより強固にユーザの情報の保護等が行われる。また、請求項５ないし請求項７の発明によれば、ユーザの集中により、ユーザの匿名性を高めることができる。また、請求項１０ないし請求項１２の発明によれば、コンピュータにより、ユーザの情報を匿名化して、ユーザの情報の保護やプライバシの保護を強固に行うことができる。
【図面の簡単な説明】
【図１】本実施形態のオンラインサービスシステムの全体構成を示すブロック図である。
【図２】図１のシステムにおけるサービスの提供開始までの動作を説明するために引用したシーケンス図である。
【図３】社員端末になされる通知を示す図であり、（ａ）は企業ＩＤの通知ほかを示し、（ｂ）はＩＤ管理業者サーバへのログイン可能通知を示し、（ｃ）はカウンセリング業者サーバへのログイン可能通知を示す。
【図４】社員端末になされるパスワード通知を示す図である。
【図５】連結可能匿名化により、社員を割り出す流れの一例を示すシーケンス図である。
【図６】本実施形態での各主体の契約関係の一例を示した図である。
【符号の説明】
Ｕ    …  社員（ユーザ）
ＵＴ  …  社員端末（ユーザ端末）
１    …  クライアント企業、企業（第１の団体）
１００…  クライアント企業サーバ（第１のコンピュータ）
１１０…  認証部
１２０…  ＩＤ管理部
１３０…  企業用管理テーブル
２    …  カウンセリング業者（第２の団体）
２００…  カウンセリング業者サーバ（第２のコンピュータ、サービス提供サーバ）
２１０…  認証部
２２０…  ＩＤ管理部
２３０…  カウンセリング業者用管理テーブル
３    …  ＩＤ管理業者（第３の団体）
３００…  ＩＤ管理業者サーバ（第３のコンピュータ、匿名化装置）
３１０…  認証部
３２０…  ＩＤ管理部
３３０…  ＩＤ管理業者用管理テーブル
【図１】
2004334433.tif 000003
【図２】
2004334433.tif 000004
【図３】
2004334433.tif 000005
【図４】
2004334433.tif 000006
【図５】
2004334433.tif 000007
【図６】
2004334433.tif 000008