(57)【要約】【課題】  個人情報の有用性と個人の権利利益の保護を図るアクセス制御を実現する個人情報管理システムを提供する。【解決手段】  各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた個人用アクセス制御リストと、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用アクセス制御リストとを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部１を備えているので、アクセスコントロール部１が個人用アクセス制御リスト及び所有者用アクセス制御リストを参照して各個人情報への各種アクセスの許可又は禁止を決定し、個人情報の各種アクセスが個人の意思及び所有者の意思を前提として行われており、個人の権利利益の保護を図るアクセス制御を実現し、逆に、個人の意思及び所有者の意思範囲内で個人情報を安全に活用することができる。【選択図】  図１
2005196699.tif 000002
【特許請求の範囲】
【請求項１】
各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた一以上の個人用アクセス制御リストと、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用アクセス制御リストとを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部を備えることを
特徴とする個人情報管理システム。
【請求項２】
前記請求項１に記載の個人情報管理システムにおいて、
アクセスコントロール部が、個人用アクセス制御リストと所有者用アクセス制御リストとを論理演算した論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定することを
特徴とする個人情報管理システム。
【請求項３】
前記請求項１または２に記載の個人情報管理システムにおいて、
個人用アクセス制御リスト及び所有者用アクセス制御リストでアクセスするユーザ毎の各種アクセス権を設定することを
特徴とする個人情報管理システム。
【請求項４】
前記請求項３に記載の個人情報管理システムにおいて、
個人用アクセス制御リスト及び所有者用アクセス制御リストで前記一以上のユーザ毎の各種アクセス権をまとめてを設定することを
特徴とする個人情報管理システム。
【請求項５】
前記請求項１ないし４のいずれかに記載の個人情報管理システムにおいて、
前記アクセスコントロール部が生成するアクセス制御の履歴となるアクセスログに基づき個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作するアクセスログコントロール部を備えることを
特徴とする個人情報管理システム。
【請求項６】
前記請求項５に記載の個人情報管理システムにおいて、
前記アクセスログコントロール部が現在処理対象となっているアクセスログに対応する個人情報にも基づいて個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作することを
特徴とする個人情報管理システム。
【請求項７】
前記請求項１ないし６のいずれかに記載の個人情報管理システムにおいて、
個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで一度のみに利用の許否に関する一度利用のアクセス権についても設定できることを
特徴とする個人情報管理システム。
【請求項８】
前記請求項１ないし７のいずれかに記載の個人情報管理システムにおいて、
個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで個人用アクセス制御リストに二次情報の元となる一次情報のアクセス制御リストを承継するか否かに関する公私のアクセス権についても設定できることを
特徴とする個人情報管理システム。
【請求項９】
前記請求項１ないし８のいずれかに記載の個人情報管理システムにおいて、
前記個人用アクセス制御リスト及び／又は所有者用アクセス制御リスト自体をアクセスするユーザが参照可能にすることを
特徴とする個人情報管理システム。
【請求項１０】
前記請求項９に記載の個人情報管理システムにおいて、
前記アクセスするユーザが参照した個人用アクセス制御リストの個人及び／又は所有者用アクセス制御リストの所有者と直接的に又は間接的に連絡可能にすることを
特徴とする個人情報管理システム。
【請求項１１】
前記請求項１ないし１０のいずれかに記載の個人情報管理システムにおいて、
前記個人用アクセス制御リストが変更された場合に、変更したアクセス権に係るユーザに変更された旨のアクセス権変更を通知することを
特徴とする個人情報管理システム。
【請求項１２】
前記請求項１１に記載の個人情報管理システムにおいて、
前記アクセス権変更がユーザに対して通知がなされた場合に、アクセス権が許可又は禁止となったときに個人及び／又は所有者に通知することを
特徴とする個人情報管理システム。
【発明の詳細な説明】
【背景技術】
【０００１】
UNIXをはじめとする多くのオペレーティングシステムでは、アクセス制御リスト（Access Control List、以下ACLとする）によるアクセス制御を採用している。UNIXにおける個々のファイルは３つの要素からなるACLを持っている。第１はファイル所有者（Owner）のアクセス権、第２は所有者のグループのすべてのユーザ（Group）に対するアクセス権、第３はその他のすべてのユーザ(Other)に対するアクセス権を記述している。アクセス権には読み取り（r）、書き込み（w）、実行（x）が含まれる。模式的に前記アクセス制御を説明した模式ブロック及びアクセス制御リストを示した図９に基づき説明する。アクセスするユーザは予め認証されて特定されており、ユーザが任意のファイルにアクセスしようとすると、アクセスコントロール部１０１がユーザがアクセスしようとするファイルに対応したACLを参照し、特定されたユーザのアクセス権を確認しかかるユーザがアクセスできるか否かを判別し、アクセスできると判別した場合にはアクセスを許可し、アクセスできないと判別した場合にはアクセスを拒否する。具体的には、特定されたユーザがOwnerである場合には読み取り（r）、書き込み（w）及び実行（x）のアクセスが許可となり、特定されたユーザがGroupである場合には読み取り（r）及び実行（x）のアクセスが許可で書き込み（w）のアクセスが禁止となり、特定されたユーザがOtherである場合には実行（x）のアクセスが許可で読み取り（r）及び書き込み（w）のアクセスが禁止となっている。
【０００２】
以上、オペレーティングシステムで採用されているファイルに対するアクセス制御について説明したが、データベース内のデータに対するアクセスも略同様なアクセス制御が行われている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
前記背景技術は以上のように構成されており、アクセス制御によりファイルシステム内のファイルやデータベース内のデータをアクセスするユーザを特定し保護することはできる。ところで、アクセスコントロール部１０１が参照するACLの設定はデータベース内のデータの所有者が行っていた。データベース内のデータの所有者は、ファイルシステム内のファイルやデータベース内のデータの所有権を有しているため、原則としてかかるデータのアクセス権をいかように設定するかの権限をも有している。しかしながら、かかるデータベース内のデータが個人情報に関するものである場合には事情は異なり、高度情報処理社会の進展に伴い個人情報の利用が著しく拡大したため、個人情報の有用性に配慮しつつ、個人の権利利益を保護するという趣旨で設けられた個人情報の保護に関する法律（平成十五年五月三十日法律第五十七号）が示すように、個人情報の管理は有用性に配慮しながら保護しなければならない。すなわち、データが個人情報の場合には、今までの作成者のみによるアクセス権が設定されたACLを用いたアクセス制御による管理では、データの対象となっている個人の権利利益が十分に確保され得ないという課題を有する。逆に、アクセス権をデータの所有者からデータの対象となる個人により設定されたACLによるアクセス制御による管理が容易に想到されるのであるが、これでは個人情報の有用性にまったく配慮しない結果となるという課題を未必的に備える。
【０００４】
そこで、本発明は前記課題を解決するためになされたものであり、個人情報の有用性と個人の権利利益の保護を図るアクセス制御を実現する個人情報管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明に係る個人情報管理システムは、各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた一以上の個人用アクセス制御リストと、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用アクセス制御リストとを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部を備えるものである。このように本発明においては、各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた個人用アクセス制御リストと、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用アクセス制御リストとを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部を備えているので、アクセスコントロール部が個人用アクセス制御リスト及び所有者用アクセス制御リストを参照して各個人情報への各種アクセスの許可又は禁止を決定し、個人情報の各種アクセスが個人の意思及び所有者の意思を前提として行われており、個人の権利利益の保護を図るアクセス制御を実現し、逆に、個人の意思及び所有者の意思範囲内で個人情報を安全に活用することができる。
【０００６】
また、本発明に係る個人情報管理システムは必要に応じて、アクセスコントロール部が、個人用アクセス制御リストと所有者用アクセス制御リストとを論理演算した論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定するものである。このように本発明においては、アクセスコントロール部が、個人用アクセス制御リストと所有者用アクセス制御リストとを論理演算した論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定するので、個人と所有者との関係を考慮して論理演算を構成することで、かかる個人と所有者との関係を考慮した各個人情報への各種アクセスの許可又は禁止を決定することができる。
【０００７】
また、本発明に係る個人情報管理システムは必要に応じて、個人用アクセス制御リスト及び所有者用アクセス制御リストでアクセスするユーザ毎の各種アクセス権を設定するものである。このように本発明においては、個人用アクセス制御リスト及び所有者用アクセス制御リストがアクセスするユーザ毎の各種アクセス権を定めているので、アクセスコントロール部により個人情報毎にユーザ単位でアクセス制御を切り分けることができ、個人の意思を完全に反映したアクセス制御が可能となる。
【０００８】
また、本発明に係る個人情報管理システムは必要に応じて、個人用アクセス制御リスト及び所有者用アクセス制御リストで前記一以上のユーザ毎の各種アクセス権をまとめてを設定するものである。このように本発明においては、個人用アクセス制御リスト及び所有者用アクセス制御リストが前記一以上のユーザ毎の各種アクセス権をまとめて定めることもでき、グループ内で共通の条件で使用することができるメリットがあり、逆に、個人及び所有者側からすると同じグループに属しているユーザに対しては同じ条件で一括してアクセス権を設定することである程度の信頼性を得た状態で設定をすることで設定の煩わしさを低減することができる。
【０００９】
また、本発明に係る個人情報管理システムは必要に応じて、前記アクセスコントロール部が生成するアクセス制御の履歴となるアクセスログに基づき個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作するアクセスログコントロール部を備えるものである。このように本発明においては、前記アクセスコントロール部が生成するアクセス制御の履歴となるアクセスログに基づき個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作するアクセスログコントロール部を備えるので、アクセスログコントロール部がアクセスログに基づき個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作して個人又は所有者が自ら操作することなく、個人又は所有者が意図した各種アクセス権の設定を行うことができ、個人又は所有者の利便性を向上させることができる。
【００１０】
また、本発明に係る個人情報管理システムは必要に応じて、前記アクセスログコントロール部が現在処理対象となっているアクセスログに対応する個人情報にも基づいて個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作するものである。このように本発明においては、前記アクセスログコントロール部がアクセスログだけでなく現在処理対象となっているアクセスログに対応する個人情報にも基づいて個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作することもでき、個人情報の内容をも判断して個人用アクセス制御リスト及び／又は所有者用アクセス制御リストを操作することでより適切な処理を行うことができる。
【００１１】
また、本発明に係る個人情報管理システムは必要に応じて、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで一度のみに利用の許否に関する一度利用のアクセス権についても設定できるものである。このように本発明においては、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで一度のみに利用の許否に関する一度利用のアクセス権についても設定できるので、１回のみ情報処理に利用されることが許され、複数回の情報処理に利用されることが防止されるため、個人が各種アクセス権を適切に設定することができるレベルを保持し、想定不可能な属性又は値となった個人情報となることを抑制することができる。
【００１２】
また、本発明に係る個人情報管理システムは必要に応じて、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで個人用アクセス制御リストに二次情報の元となる一次情報のアクセス制御リストを承継するか否かに関する公私のアクセス権についても設定できるものである。このように本発明においては、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用アクセス制御リスト及び／又は所有者用アクセス制御リストで個人用アクセス制御リストに二次情報の元となる一次情報のアクセス制御リストを承継するか否かに関する公私のアクセス権についても設定できるので、公開とした場合には一次情報に係る個人用アクセス制御リストを承継せず、非公開とした場合には一次情報に係る個人用アクセス制御リストを承継するため、公開してもよい個人情報であれば一次情報に係る個人用アクセス制御リストに依存することなく公開され、非公開の場合には個人の意思が表体する一次情報に係る個人用アクセス制御リストを承継して二次情報に係る個人用アクセス制御リストとすることで、二次情報に密接な関係を有する一次情報と同様に個人がアクセス権を設定することが想定され、結果的に個人の意思に沿ったアクセス権の設定となる可能性が高い。
【００１３】
また、本発明に係る個人情報管理システムは必要に応じて、前記個人用アクセス制御リスト及び／又は所有者用アクセス制御リスト自体をアクセスするユーザが参照可能にするものである。このように本発明においては、前記個人用アクセス制御リスト自体をアクセスするユーザが参照可能としているので、アクセスできない個人情報の理由を個人用アクセス制御リストを参照して確認することができ、各種対応を考えることができる。
【００１４】
また、本発明に係る個人情報管理システムは必要に応じて、前記アクセスするユーザが参照した個人用アクセス制御リストの個人及び／又は所有者用アクセス制御リストの所有者と直接的に又は間接的に連絡可能にするものである。このように本発明においては、前記参照した個人用アクセス制御リストに係る個人と間接的に連絡可能としているので、アクセスできない個人情報が対象とする個人に対して連絡をとってアクセス権の設定の変更を促すこともでき、特に、個人とユーザとが直接連絡を取らないことにより個人も快く対応することができる。
【００１５】
また、本発明に係る個人情報管理システムは必要に応じて、前記個人用アクセス制御リストが変更された場合に、変更したアクセス権に係るユーザに変更された旨のアクセス権変更を通知するものである。このように本発明においては、個人用アクセス制御リストが変更された場合に、変更したアクセス権に係るユーザに変更された旨のアクセス権変更を通知することもでき、常時アクセス権の設定の変更を監視することなく、アクセス権の設定の変更が生じた場合のみに対応すればよく、膨大な個人情報に対して適切且つ現実的な対応をすることができる。
【００１６】
また、本発明に係る個人情報管理システムは必要に応じて、前記アクセス権変更がユーザに対して通知がなされた場合に、アクセス権が許可又は禁止となったときに個人及び／又は所有者に通知するものである。このように本発明においては、前記アクセス権変更がユーザに対して通知がなされた場合に、アクセス権が許可となったときに個人又は所有者に通知することもでき、アクセス権を許可とした個人又は所有者に対してインセンティブを与えることができる。このようにインセンティブを与える仕組みが用意されれば、個人又は所有者も最大限個人情報にアクセスできるような各種アクセスの設定とし、煩わしい設定をも進んで行い、本個人情報管理システムを介した個人情報の有効活用が推進される。
【発明を実施するための最良の形態】
【００１７】
（本発明の第１の実施形態）
本発明の第１の実施形態に係る個人情報管理システムについて図１ないし図６に基づき説明する。図１は本実施形態に係る個人情報管理システムの簡易ブロック構成図、図２は本実施形態に係る個人情報管理システムで用いる個人用アクセス制御リスト、所有者用アクセス制御リスト及び論理結果の具体例、図３は本実施形態に係る個人情報管理システムに関連する統合型電子マネーのシステム構成図、図４は本実施形態に係る個人情報管理システムの全体システム構成図、図５又は図６は本実施形態に係る各種データベース内のデータサンプル例を示す。
【００１８】
前記図１において本実施形態に係る個人情報管理システムは、各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた個人用アクセス制御リスト（個人用ACLとする）と、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用アクセス制御リスト（所有者用ACLとする）とを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部を備え、このアクセスコントロール部が、個人用ACLと所有者用ACLとの論理積をとった論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定する構成である。
【００１９】
個人情報は、個人情報の保護に関する法律（平成十五年五月三十日法律第五十七号）２条１項では「この法律において『個人情報』とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。」と定義されているが（これを狭義の個人情報とする）、この狭義の個人情報と対応付けられた各種情報をも含めた個人情報を広義の個人情報であるとする。具体的には、狭義の個人情報に該当するものとしては、名前、住所、生年月日、年齢、配偶者名、扶養者名、クレジットカード番号、銀行口座番号、米国の社会保障番号（Social Security Number (SSN)）、運転免許証番号、住民基本台帳ネットワークシステム上の住民票コード及びパスポート番号、指紋等があり、広義の個人情報に該当するものとしては、前記狭義の個人情報の他に、出身地、国籍、身長、体重、血液型、学歴、資格、購入情報、嗜好品、趣味、収入、資産、各種パスワード等が該当する。
【００２０】
個人用ACLは、各個人情報の対象となる個人が設定した各個人情報のアクセス権を定めたものである。各個人情報は、名前、住所、生年月日、年齢等の各属性を意味する場合、一以上の属性をまとめて一分類としたときの各分類を意味する場合、さらに、データベースとして構築した場合の各データベースを意味する場合等がある。したがって、各属性を各個人情報と捉えた場合には名前、住所、生年月日、年齢のそれぞれにアクセス権を定めることとなり、名前を一分類（第１の分類とする）、住所、生年月日及び年齢を一分類（第２の分類とする）としたときに各分類を各個人情報と捉えた場合には第１の分類、第２の分類のそれぞれにアクセス権を定めることとなり、各データベースを各個人情報と捉えた場合にはデータベース単位にアクセス権を定めることとなる。各種アクセス権としては、具体的には、読み取り、書き込み、削除等がある。
【００２１】
所有者用ACLは、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めたものである。各個人情報の所有者とは、主に、自己又は第三者に頼んで個人情報を作成又は収集した者及びこの者以外にも承継した者を想定しているが、適法に個人情報を用いることができる者も想定内に入る。
【００２２】
個人用ACL及び所有者用ACLのどちらも各個人情報の各アクセスするユーザに対する各種アクセス権を定めている。このユーザは本個人情報管理システムを介して個人情報にアクセスする者が対象となり、個人もユーザとなることができ、所有者もユーザとなることができる。したがって、個人用ACL及び所有者用ACLのどちらにも個人をユーザとしたときの各種アクセス権の設定もあり、所有者をユーザとしたときの各種アクセス権の設定もある。個人用ACLで所有者をユーザとしたときの各種アクセス権を設定する意義としては、個人が許可しない情報を所有者が取得、変更することを禁止するためのものである。単に、所有者が取得、変更しないことによるメリットの他に、個人用ACLでアクセス権の設定を禁止すると、実質所有者が自己のため以外にはシステム内においては個人情報を生成する必要が少なくなり、特定の個人情報の生成の抑制の効果を得ることができる。一方、所有者用ACLで個人をユーザとしたときの各種アクセス権を設定するのは、所有者が許可しない個人情報を個人が取得、変更することを禁止するためのものである。個人にとって利益となって所有者及びアクセスするユーザにとっては不利益となるように個人情報を変更することを防止することができる。
【００２３】
アクセスコントロール部は、個人用ACLと所有者用ACLとの論理積をとった論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定するものである。具体例としては、例えば、アクセスコントロール部は、図２（a）に示す個人用ACLと図２（ｂ）に示す所有者用ACLとの論理積の論理演算を行って図２（ｃ）の論理結果とし、この論理結果に基づきこの個人用ACL及び所有者用ACLに係る個人情報への各種アクセスの許否を決定している。個人用ACLと所有者用ACLとの論理積をとった論理結果に基づくことにより、個人と所有者の最大公約数的に各種アクセスの許否を決定することができる。
【００２４】
次に、本実施形態に係る個人情報管理システムの動作について、消費者と各種事業者の間で決済・売上情報を流通させるためのシステムである統合型電子マネーに組み入れて説明する。ただし、このような本発明が統合型電子マネーのみに対応するものと限定されるものではなく、単なる電子マネーシステム、デビットカードシステム、クレジットカードシステム等の個人情報を取り扱うシステムに対しても対応することができる。まず、統合型電子マネーの説明を行う。ICカード技術の高度化や標準化に伴って、電子マネーサービスが本格的に導入され始めている。日本国内における代表的な例は、JR東日本のICプリペイドカードSuica、コンビニチェーンam/pmが発行しているICカードに搭載されている電子マネーEdy、交通系と流通系のカードを一体化してクレジット機能も付加したスルットKANSAIなどである。これらのカードは、主としてビジネス側のニーズ（顧客との信頼関係構築、仕入・製造・販売・流通の管理、マーケティング戦略立案、レジ高速化など）に対応するために作られた。しかし、カードを使って収集したデータを複数企業間で共有することは、現在の厳しい企業間競争環境のもとでは考えられていない。また、主要な顧客サービスはキャッシュレス化であり、収集した情報を積極的に当該顧客に提供することは考えられていない。しかし、上記のような考え方は、産業活性化の面から見ても、ビジネスと顧客間の信頼関係構築の面から見ても限界がある。
【００２５】
カードを使って情報を収集するシステムを構築するためには莫大な投資が必要なので、大企業または大規模な企業連合体でなければ情報システムを導入できない。しかし、世界のほとんどの国において、産業基盤は中小企業が担っている。中小企業でも容易に導入できる情報収集インフラの構築および個別企業が収集した情報を共同利用する体制の構築は、産業活性化の面から重要である。また、現状では、消費者はカードを使った決済時にどのようなデータが収集されており、そのデータがどの程度の範囲に流通しているかを容易に知ることはできない。そのため、多くの消費者は企業に対して漠然とした不信感を抱いている。しかし、これでは企業と消費者の間の信頼関係を構築することは難しい。より良い信頼関係を構築するためには、企業が個別消費者に関して保有する情報を公開するとともに、信頼性の高い情報管理を行う必要がある。上述した問題点を解決するために、統合型電子マネーを提案している。統合型電子マネーは、(1) ICカードを活用した統合型の決済サービス、(2) カード番号を活用した匿名性の高い情報サービス、(3) 分散・オフライン型の情報収集システムを相互接続することで、個別システム間の相乗効果を得る、ことを主要な特徴としている。
【００２６】
統合型電子マネーは、消費者と各種事業者の間で決済・売上情報を流通させるためのシステムである。各種事業者としては、金融機関（銀行、クレジット会社、カード発行体）、メーカー（製造業、サービス業、流通業）、小売業者（商社、商店街、小売店）、情報分析業者（コンサルタント、監査・調査、投資・融資判断）、官公庁、地方公共団体等のものが考えられる。消費者は一枚のICカードを持ち、カード発行体と契約することで、その発行体が提供するサービス（ポイントサービス、プリペイド機能、クレジット機能等）をICカードに追加できる。また、ICカード自体に共通サービスを持たせることもできる。一方、加盟店は1台以上のPOS端末（レジスタ）を持ち、1つ以上のカード発行体と契約している。
【００２７】
消費者が共通ICカードを使って決済する際には、当該消費者と加盟店の双方が契約しているカード発行体のサービスを使わなければならない。各カード発行体は複数のサービスを提供できるため、消費者はこれらのカード発行体とサービスを自由に組み合わせて決済できる。
【００２８】
統合型電子マネーのシステム構成を図３に示す。POS端末は個別商品に関する売上情報および個別の決済情報を収集する。このとき、消費者のカード番号、決済情報、売上情報がシステムに入力される。このうち、売上情報は売上情報センターに集積される。また、決済情報は対応するカード発行体に集められる。また、カードの不正使用を防ぐためにネガ情報が収集され、システム内で配信される。情報を分散して格納することにより、利用者のプライバシー保護を徹底すると同時に、システム全体での負荷分散を図っている。
【００２９】
ビジネスにおいては、経営資源（人、物、資金）を最大限に活用することが成功のために不可欠である。そのため、顧客の消費行動を分析することを通じて顧客のニーズやウォンツを知るとともに、商品を販売する顧客ターゲットを明確にすることが重要である。コンビニエンスストアは、POS システムを活用した情報収集・分析をビジネス上の重要ツールにしている。これにより、店舗別・時間帯別の商品売上状況を正確に把握できるため、製造、流通、仕入業務の効率化が図れる。また、POSは、店舗側が行った各種の工夫がどの程度の効果をもたらしたかを定量的に検証するためのツールでもある。しかし、コンビニエンスストアのPOSでは、同一顧客の購買行動を追跡調査することはできない。そのため、顧客のリピート率を知ることはできない。また、同一顧客が過去に来店した際に購入した商品を知ることもできない。
【００３０】
一般に、顧客の購買行動はプライバシー情報に属する。しかし、統合型電子マネーでは、決済情報や売上情報はカード番号と対応付けて管理している。顧客の住所・氏名等の個人識別情報とカード番号の対応は金融機関のみが保持することを前提にしている。そのため、メーカー、小売業者、情報分析業者は、同一カードを使用した商取引において、具体的な消費者を特定することなく、同一消費者による購入か否かをほぼ特定できる。この性質を活用すると、データベース・マーケティングの技術を活用した以下のような活動が可能になる。自社にとっての優良顧客を識別し、当該顧客が購入している商品、返品、問い合わせ、クレーム等を調べることにより、優良顧客のニーズやウォンツを分析する。競合他社の顧客を識別し、それを自社顧客として獲得するために分析する。自社の顧客を、購買状況に応じて分類（セグメンテーション）できる。この情報は、商品を販売する際のターゲット顧客を絞り込む際には非常に重要な情報である。特定の顧客セグメントがその商品を購入する理由を理解することにより、顧客を説得し購入意思を強化できる。顧客を理解することは、顧客ニーズに応えるための第一歩である。顧客に対して、同一カテゴリー内の関連商品や補完品等を販売するためのヒントを得る。顧客セグメントに応じた個別のコミュニケーションを適用する。たとえば、営業マンの配置、販促品、広告手段、広告頻度などがある。マーケティングプロセスが意図どおりに機能していることを確認する。そうでない場合には対策を講じてその効果を検証する。顧客、製品、販売方法等に関する調査を行う。顧客サービスを個別化することにより、顧客満足度を高めたり、顧客の不満に迅速に対応したり、定期的コミュニケーションを行う。広告部門、製造開発部門、流通部門、顧客サービス部門等が個別に収集したデータを統合利用することで、経営インフラを構築する。現代のビジネスでは、商品の製造、流通、販売、顧客サービスに至る個別業務が複雑化・高度化しているため、個別企業は個別業務のいずれかに特化することが多い。そのため、サプライチェーン（製造から顧客サービスに至る業務全体）を構成する企業間での情報共有が重要になっている。統合型電子マネーはこのようなビジネス形態にも柔軟に対応できる。
【００３１】
従来のビジネスでは、POS等を用いて収集した情報を消費者向けに提供するサービスはほとんど考えられてこなかった。これは、情報システムが主としてビジネス側のニーズに基づいて構築されてきたことに原因がある。その根底には、「ビジネスが成立するための基本条件は、商品を提供する側と提供される側の間の情報格差である」との考えがある。
【００３２】
しかし、消費者から得た情報については、少なくとも当該消費者は知る権利があると考えられる。通常の消費者は、現代のビジネスが大量の個人情報を収集・蓄積していることを知っている。しかし、自分に関する情報がどの程度把握されているかを知る機会は与えられていないため、情報武装した企業に対して必要以上に警戒心を持つ。その状態で企業が消費者に対してコミュニケーションを図ろうとしても、成功する可能性は低い。その前に、消費者について保持している情報やその使用目的等を開示することで消費者の誤解を解き、信頼関係を構築するための基盤を築けると思われる。
【００３３】
また、以下に列挙するような利用者向け情報サービスを提供することもできる。共通カードを使った決済履歴、購入履歴を消費者に提供する。消費行動の多くが共通カードを使って行われている場合には、家計簿作成サービスや家計診断サービスを、匿名消費者に対して提供できる。当該消費者の決済情報・売上情報に対して行われた企業のアクセス履歴を提供し、必要に応じてアクセス管理を行える。企業側が商品情報や売上情報を提供した場合、特定商品に関する詳細情報を消費者に提供できる。企業側が商品の価格情報や在庫情報を提供した場合、消費者は特定商品を購入できる店舗や価格等に関する情報を得ることができる。共通カードを提示することにより、当該顧客に対する過去の売上情報（購買履歴）を参照できる。これを活用して、消費者がレシートを提示しなくても返品を受け付けられる。配達やクレジット決済が必要な消費行動を行った場合、配送状況や銀行口座からの引き落とし予定を確認できる。共通カードを紛失した場合でも、消費者がカード番号やカード発行証明を保存しておけば、カードの利用停止や再発行が可能になる。
【００３４】
以上説明した統合型電子マネーを活用して、匿名顧客情報のビジネス利用及び消費者向け情報サービスの提供を実現することができる。ここで、統合型電子マネー・システム内を流通している情報はカード番号が付加された決済情報や売上情報などである。カード番号は個人と対応してはいるが、カード番号と個人の対応関係は、クレジット決済を行う金融機関のみが保持しているため、その他の企業から見ると、決済情報等の匿名性は保たれている。しかし、何らかの原因で金融機関の情報が流出すると匿名性は破られる。また、情報の流出がなかった場合でも、ICカードを使って買い物をしたときに、過去の購買履歴をレジ係に知られてしまうこともある。さらに、匿名とはいえ個別消費者の行動を、企業側が捕捉することをどの程度認めるべきかという問題は、社会的な合意形成が必要な事項である。一方、カード番号付の決済情報や売上情報の流通範囲が広いほど、消費者向け情報サービスの利便性は向上する。したがって、個人情報の有用性と個人の権利利益の保護を図るアクセス制御を実現する本個人情報管理システムが必要となる。
【００３５】
この統合型電子マネーを実装した場合のデータベースの構成は、例えば、個人情報データベース、売上情報データベース、決済情報データベース及びネガ情報データベースとなる。この場合に、本個人情報管理システムがアクセス制御の管理対象とするデータベースを例えば個人情報データベース及び決済情報データベースとして説明していく。個人情報管理システムは、この個人情報データベース及び決済情報データベース以外にも、システムの実装上、所有者情報データベース及びユーザ情報データベースが必要となる。また、個人用ACLの集合である個人用ACLデータベース及び所有者用ACLの集合である所有者用ACLデータベースも必要である。各データベースの属性は、それぞれ、個人情報データベースが個人ID、名前、住所、電話番号、生年月日、年齢、カード番号、出身地、身長、体重、血液型、収入及び資産とし、決算情報データベースがカード番号、商品識別番号、決算額及び決算日とし、所有者情報データベースが所有者ID、名称、住所、電話番号、設立年月日、資本金、株式、売上高、経常利益、従業員数、決算日及び事業内容とし、ユーザ情報データベースがユーザID、パスワード、名前又は名称、住所、個人ID及び所有者IDとした構成である。個人用ACLデータベースは、個人ID、所有者ID、ユーザID、DB識別子、DB名、DB内識子、属性名、Read、Write及びDeleteの属性を有し、所有者用ACLデータベースは、所有者ID、個人ID、ユーザID、DB識別子、DB名、DB内識子、属性名、Read、Write及びDeleteの属性を有する。このように個人用ACLデータベース及び所有者用ACLデータベースを設計することで、各レコードの各属性についてアクセス権を各個人毎に設定することができる。ただし、本発明はこれらのデータベースの構成及び属性に限定されるものではない。図４はこれらのデータベースを示したシステム構成図である。これらのデータベースのデータサンプルを図５及び図６に示す。
【００３６】
個人情報管理システムの動作する前に必要な設定について説明する。図４に示すように、本システム上で登場するのは、個人情報の対象となる個人、個人情報を所有する所有者、個人情報にアクセスするユーザ、本個人管理システムを管理するシステム管理者である。まず、所有者は保持する個人情報データベース及び決算情報データベース（他のデータベースを伴ってもよいし、データベースの特定の属性を指定してもよい）をシステム管理者に個人情報管理システムの対象とするように申請を行う。（申請をする前に個人、所有者、管理者との中での契約が通常必要となる。）システム管理者が申請がなされた個人情報データベース及び決算情報データベースをシステム管理者用インタフェース２３を用いて管理対象とすることで、予めユーザ登録を行って登録されている各ユーザ毎に個人用ACLデータベース１４及び所有者用ACLデータベース１５内にレコードが自動的に追加される。データが追加された個人用ACLデータベース１４及び所有者用ACLデータベース１５内のデータはデフォルトとして全てのアクセス権について禁止の設定となっている（図５の個人用ACL及び図６の所有者用ACLを参照）。ここで、デフォルトでアクセス権をどのように設定するかも任意に行うこともでき、例えば、所有者は申請時にデフォルトを決定してシステム管理者に申請を行うこともできる。
【００３７】
ユーザが個人情報にアクセスした場合について具体的に説明する。ユーザがユーザ用インタフェース２０を用いて本個人情報管理システムが管理対象とする個人情報にアクセスしようとすると、まず、本個人情報管理システムはユーザ用インタフェース２０を介して認証を要求する。ユーザはユーザ用インタフェース２０を介してユーザID及びパスワードを入力してユーザ用インタフェース２０を用いて本個人情報管理システムの認証部（図示しない）に送信する。認証部はユーザ情報データベース１３にアクセスし、ユーザが入力したユーザIDを確認し、さらに続けてパスワードを確認する。認証部は認証成功した場合には本個人情報管理システムにユーザIDを返し、ユーザに対してはユーザ用インタフェースを介して認証が成功したことを伝える。認証が失敗した場合には失敗した旨を伝える。認証に成功したユーザは、データベース操作用言語の一つであるSQL（Structured Query Language）等を用いてデータベースにアクセスを開始する。あるデータベースのある属性に対して問い合わせを行うとSQL解析部を介してアクセスコントロール部１がかかる問い合わせのデータのアクセス権を確認する。まず、アクセスコントロール部１は、問い合わせ対象となっているデータに対応する全ての個人用ACLデータベース１４及び所有者用ACLデータベース１５内のデータを読み出し、個人用ACLとこの個人用ACLに係る個人情報に係る所有者用ACLとの論理積をとった論理結果に基づきアクセス権の確認を行い、全てのアクセス権が禁止となっていることを判別し認証に成功したユーザにアクセス権がない旨を伝える。
【００３８】
次に、個人が個人用インタフェース２１を介して個人用ACLを操作して自己の判断に基づき個人情報のユーザ毎のアクセス権の設定を行うべく個人用インタフェース２１を用いて個人用ACLデータベース１４にアクセスすると前記認証部は個人用インタフェース２１を介して認証を要求する。個人は個人用インタフェース２１を介して個人ID及びパスワードを入力して個人用インタフェース２１を用いて認証部に送信する。認証部はユーザ情報データベース１３にアクセスし、個人が入力した個人IDを確認し、さらに続けてパスワードを確認する。認証部は認証成功した場合には本個人情報管理システムに個人IDを返し、個人に対しては個人用インタフェース２１を介して認証が成功したことを伝える。認証が失敗した場合には失敗した旨を伝える。認証に成功したユーザは、個人用インタフェース２１を用いて個人情報の各ユーザに対するアクセス権の設定を行う。同様に、所有者が所有者用インタフェース２２を介して認証を経て所有者用ACLを操作して自己の判断に基づき個人情報のユーザ毎のアクセス権の設定を行う。このように個人情報のユーザ毎のアクセス権が変更されれば、前記認証に成功したユーザは、SQLを用いて問い合わせようとしてデータの内許可となっているアクセス権限下で所望のデータを操作することができる。
【００３９】
このように本実施形態に係る個人情報管理システムによれば、各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた個人用ACLと、各個人情報の所有者が設定した各個人情報の各種アクセス権を定めた所有者用ACLとを参照して各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロール部１を備えているので、アクセスコントロール部１が個人用ACL及び所有者用ACLを参照して各個人情報への各種アクセスの許可又は禁止を決定し、個人情報の各種アクセスが個人の意思及び所有者の意思を前提として行われており、個人の権利利益の保護を図るアクセス制御を実現し、逆に、個人の意思及び所有者の意思範囲内で個人情報を安全に活用することができる。また、アクセスコントロール部１が、個人用ACLと所有者用ACLとを論理演算した論理結果に基づき各個人情報への各種アクセスの許可又は禁止を決定するので、個人と所有者との関係を考慮して論理演算を構成することで、かかる個人と所有者との関係を考慮した各個人情報への各種アクセスの許可又は禁止を決定することができる。
【００４０】
なお、本実施形態においては、アクセスコントロール部１がSQL解析部から直接問い合わせを受けているが、あるデータベースのある属性に対して問い合わせを行うとSQL解析部を介して実際のデータベース内の中心的な処理を担うデータベースのエンジン部がかかる問い合わせのデータのアクセス権の確認をアクセスコントロール部１に要求し、アクセスコントロール部１は問い合わせ対象となっているデータに対応する全ての個人用ACLデータベース１４及び所有者用ACLデータベース１５内のデータを読み出し、対応する個人用ACLと所有者用ACLの論理積をとった論理結果をに基づきアクセス権の確認を行いアクセス権確認結果をエンジン部に出力し、エンジン部はアクセス権確認結果を参照し問い合わせに対する処理を行ったり行わなかったりすることができる。
【００４１】
また、個人用ACL及び所有者用ACLが前記一以上のユーザ毎の各種アクセス権をまとめて定めることもでき、例えば、複数のユーザをグループにしてグループに対してアクセス権の設定を行うこともでき、グループの単位をグループ会社、サプライチェーン等とすることで、アクセスするユーザ側からするとある事業でデータベースを利用する場合にグループ会社の各会社、サプライチェーンの各会社が共通の条件で使用することができるメリットがあり、逆に、個人及び所有者側からすると同じグループ会社等の関連している者に対しては同じ条件で一括してアクセス権を設定することである程度の信頼性を得た状態で設定をすることで設定の煩わしさを低減することができる。
【００４２】
また、本実施形態においては、個人用ACLが1つのみであったが、複数の個人用ACLを用いることもでき、複数の個人の意見を反映させてある個人の個人情報についてのアクセス権を設定することができ、ある個人の個人情報を特に慎重に取り扱うことができ、また、個人情報の個人がアクセス権の設定を他の者に委任している場合にも対応することができる。具体的には、未成年の個人情報がある場合に、未成年たる個人だけでなく親たる個人の意見を尊重させるべく未成年たる個人の個人用ACL、親たる個人の個人用ACL及び所有者用ACLの論理積により個人情報の各種アクセスを制御することができる。同様な場合として、被後見人と後見人、被保佐人と保佐人、後見監督人と法定代理人といった法律上の関係に基づいたアクセス制御を実現できる。
【００４３】
また、本実施形態においては、論理演算としては論理積のみを用いたが、子の個人用ACLをA、父親の個人用ACLをB、母親の個人用ACLをC、所有者の所有者用ACLをDとすると、論理演算をA and (B or C) and Dとし子の個人情報に係るアクセス制御をすることで、子本人が許可した場合であっても、父親又は母親の許可がなければ許可とならないようにすることもでき、結果的に子を親の判断により保護することができる。同様に、社員の個人用ACLをA、社員が所属する部門の個人用ACLをB、かかる部門が実施するプロジェクトでかかる社員が参加する複数のプロジェクトの個人用ACLをそれぞれC、D、Eとし、所有者の所有者用ACLをFとすると、A and B and (C or D or E) and Fとすることで、社員の個人情報が、社員の許可の他に部門長の許可及び参加するいずれかのプロジェクトのプロジェクトリーダの許可がなければ許可とならないようにすることもでき、従業員としての社員の個人情報を会社が組織的に保護することにより、本人はもとより会社の営業秘密を保護することもできる。
【００４４】
また、本実施形態の動作説明においては、個人情報管理システムに管理対象となるデータベースをシステム構築後に組み入れるという形態であったが、当然に、始めから個人情報管理システムの設計段階から管理対象となるデータベースも共に設計構築することもできる。
【００４５】
また、本実施形態においては、個人用ACL及び所有者用ACLのデフォルトを各種アクセス権をすべて禁止としたが、個人はそれぞれデフォルトを設定することもでき、さらには複数のデフォルトを用意しておき、個人情報の属性に合わせて自動的にデフォルトを変更するような設定にしておくこともできる。この場合には、例えば、属性の種類でデフォルトを切り分けたりするようなルールを個人が設定するようにすることが望ましい。
【００４６】
また、本実施形態においては、個人情報の対象とする個人以外の者がかかる個人の個人用ACLを操作するようにすることもでき、例えば、幼年者や高齢者の代わりに親や子供が変わりに個人用ACLを操作するようにすることもでき、判断能力が低い者の代わりに正常な判断能力を有する者が適切に個人用ACLを操作することで、幼年者や高齢者の個人情報の保護を図ることができる。不用意に他人の個人用ACLを操作できることは望ましくないので、個人以外の操作できる者は厳しく制限されることが望ましい。他に、個人用ACLを業として代行して操作するサービス提供者に対しても操作可能にすることもできる。
【００４７】
また、本実施形態においては、各個人情報に対する個人用ACLそれぞれについてレベルのみを付与し、各種アクセス権について設定することなく、レベル毎にまとめて各種アクセス権を設定することもで、各種アクセス権毎に一々設定する手間を省くことができる。
【００４８】
（本発明の第２の実施形態）
本発明の第２の実施形態に係る個人情報管理システムについて図７又は図８に基づき説明する。図７は本実施形態に係る個人情報管理システムの簡易ブロック構成図、図８は本実施形態に係る個人情報管理システムの全体システム構成図である。
【００４９】
前記図７において本実施形態に係る個人情報管理システムは、前記第１の実施形態に係る個人情報管理システムと同様に構成され、さらに、前記アクセスコントロール部１が生成するアクセス制御の履歴となるアクセスログに基づき個人用ACL及び所有者用ACLを操作するアクセスログコントロール部２を備えた構成である。
【００５０】
前記アクセスログコントロール部２は、アクセスコントロール部１が生成するアクセスログを受けて個人用ACL又は所有者用ACLを操作して各個人情報への各種アクセスの許可又は禁止の設定をするものである。アクセスログコントロール部２はログコントロールルールを参照しており、このログコントロールルールにはどのようなログの状態があった場合にはどのような操作を個人用ACL及び所有者用ACLに対して行うかが記述されているものであり、アクセスログコントロール部２はこの記述に従って操作する。このログコントロールルールは、前記システム管理者が個人又は所有者の意見を受けてシステム管理者用インタフェース２３を用いて設定することもできるが、個人が個人用インタフェース２１を、所有者が所有者用インタフェース２２を用いてそれぞれ設定することもできる。ログコントロールルールは現在データベースに格納されている個人情報だけでなく、将来格納される個人情報をも対象とすることができる。この場合にはかかる格納される個人情報を特定する条件を設定する必要がある。また、アクセスログコントロール部２は使用したログを廃棄することもできるが、図７に示すように、アクセスログデータベース１６に格納することもできる。このようにアクセスログをアクセスログデータベース１６に格納することで、過去のアクセスログを用いてログコントロールルールを記述することもでき、結果的にアクセスログコントロール部２が過去のアクセスログを用いて個人用ACL及び所有者用ACLを操作することができる。前記第１の実施形態に係る個人情報管理システムの全体システム構成図を示す図４に対応する本実施形態に係る個人情報管理システムの全体システム構成図が図８である。
【００５１】
具体的にどのようなログコントロールルールを設定するかというと、例えば、新たに決算情報に自己の個人情報が追加された場合には、その追加された個人情報に係る個人用ACLの読み込み権限は全て許可にするといった設定を行うことができ、個人を設定の煩わしさを低減することができる。他には、個人が商品を購入したという情報が対象となるデータベースに追加された時に、かかる情報の所有者、その商品を販売した商店、製造メーカー等に係る読み込み権限を許可にするといった設定を行うことができる。逆に、個人が所定期間商品を購入しなかった商店、製造メーカ等に係る読み込み権限を禁止にすることもできる。
【００５２】
このように本実施形態に係る個人情報管理システムによれば、前記アクセスコントロール部１が生成するアクセス制御の履歴となるアクセスログに基づき個人用ACL又は所有者用ACLを操作するアクセスログコントロール部２を備えるので、アクセスログコントロール部２がアクセスログに基づき個人用ACL又は所有者用ACLを操作して個人又は所有者が自ら操作することなく、個人又は所有者が意図した各種アクセス権の設定を行うことができ、個人又は所有者の利便性を向上させることができる。ここで、所有者が会社である場合には従業員が前記各種アクセス権を設定する仕事を担っている場合もあり、情報のリアルタイム的な活用等を考えると所有者にとっての利便性向上と言うよりも、個人にとっては特段業として各種アクセス権の設定を行っているわけではないので特に有用であるということが言える。
【００５３】
なお、本実施形態においてはログコントロールルールを用いてアクセスログコントロール部２を動作させたが、予め想定されるログコントロールルールを実装し、システム管理者、個人及び所有者が選択又は組み合わせて使用することもでき、ログコントロールルールの記述形式を知らなくとも操作性の高いGUIを用いて各種設定を行うことができる。すなわち、実装方法を変えれば、ログコントロールルールを用いることなく実現できる。
【００５４】
また、本実施形態においては、前記アクセスログコントロール部２がアクセスログだけでなく現在処理対象となっているアクセスログに対応する個人情報にも基づいて個人用ACL又は所有者用ACLを操作することもでき、個人情報の内容をも判断して個人用ACL又は所有者用ACLを操作することでより適切な処理を行うことができる。例えば、アクセスできなかったアクセスログがあった場合に、個人情報の内容を判断して各種アクセス権を許可するといった操作を行うことができる。個人情報の内容を判断する方法としては、前もって基準を個人又は所有者がアクセスコントロール部が理解できる形式で設定する方法もあるが、既に、設定している個人情報の各種アクセス権を参照して類似性の観点からもある程度判断することができる。スラックスを購入した場合に股下、年齢及び購入価格に対する各種アクセス権を許可している場合に、スラックスと同様にズボンに包含されるジーパンを購入した場合にも同様な各種アクセス権を設定することができ、これは個人又は所有者の意思に特別の事情を除いて沿う可能性が高い。
【００５５】
（本発明の第３の実施形態）
本発明の第３の実施形態に係る個人情報管理システムについて説明する。
【００５６】
本実施形態に係る個人情報管理システムは、前記第１の実施形態に係る個人情報管理システムと同様に構成され、さらに、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用ACLで一度のみに利用の許否に関する一度利用のアクセス権についても設定でき、また、同様に二次情報をも個人情報とする場合に、個人用ACLで個人用ACLに二次情報の元となる一次情報のACLを承継するか否かに関する公私のアクセス権についても設定できる構成である。
【００５７】
前記二次情報は、元となる個人情報である一次情報を利用して作成されるものであるが、二次情報を一次情報としてかかる二次情報の二次情報をも作成することもできる。同様に繰り返して二次情報を作成することもできる。このような二次情報に対してもこの二次情報に係る個人用ACL及び所有者用ACLによりアクセス制御されるのであるが、情報処理の方法によっては個人又は所有者が認識、判別できない形となって利用されることも想定され、この場合に適切に各種アクセス権の設定を行うことが困難となる。主にこれに対応すべく設けられたのが、一度利用のアクセス権及び公私のアクセス権である。なお、単純なデータベースの属性の結合等はビューを利用して実現できるのであるが、システム外から別の属性を加えて情報処理等したり、複雑なアルゴリズムを利用して新たな属性とした場合には専用のデータベースを作成した方がデータに対するアクセス等のレスポンスを考慮すると望ましい状態が生じ、ビューとしてではなくこのように二次情報として存在させた方がよい場合も存在する。
【００５８】
前記一度利用のアクセス権は有効か無効か何もなしかに設定され、一次情報に係る個人用ACLで有効に設定している場合に、二次情報にした場合には、二次情報に係る個人用ACLの一度利用のアクセス権が無効となり、二次情報を一次情報として利用することができなくなるというアクセス制御をアクセスコントロール部１が行うというものである。一度利用のアクセス権を設定すると、１回のみ情報処理に利用されることが許され、複数回の情報処理に利用されることが防止されるものである。何もなしと設定されている場合には特にアクセスコントロール部１は何もしない。無効と設定されている場合にはアクセスコントロール部１は利用を禁止するアクセス制御を行う。
【００５９】
前記公私のアクセス権は、公開（public）又は非公開（private）が設定され、一次情報に係る個人用ACLで公開に設定していると二次情報に係る個人用ACLに一次情報に係る個人用ACLは承継されず、一次情報に係る個人用ACLで非公開に設定していると二次情報に係る個人用ACLに一次情報に係る個人用ACLは承継されるというアクセス制御をアクセスコントロール部１が行うというものである。公開（public）又は非公開（private）に設定する場合の基準としては、公開（public）は個人情報の個人の特定可能性が低いものに対して設定され、非公開（private）は個人情報の個人の特定可能性が高いものに対して設定されればよい。すなわち、個人の特定可能性の低い個人情報は個人の意思に沿わない各種アクセス権の設定であっても個人に対する影響は少なく、逆に個人の特定可能性の高い個人情報は個人の意思を反映した各種アクセス権の設定でなければ個人の個人情報の保護の実効に乏しくなってしまう。実装方法はいくつか考えられるが、公私のアクセス権の属性及び二次情報であることを示す属性を個人用ACLに追加することで、アクセスコントロール部１は個人用ACLを参照した場合に二次情報であるか否か及び公開又は非公開であることを判別することができ、二次情報で且つ非公開の場合に一次情報に係る個人用ACLを参照するようにすることができる。他には、二次情報に係る個人用ACL自体を一次情報から作成するときに、二次情報で且つ非公開であるか否かを確認し、二次情報で且つ非公開である場合には一次情報を承継して二次情報に係る個人用ACLを直接的に作成することで実装することもできる。ここで、二次情報に対してアクセス制御をアクセスコントロール部１が行う場合には一次情報に係る個人用ACLを参照するので、二次情報に係る個人用ACLの属性として一次情報の特定情報を有していることが好ましい。
【００６０】
このように本実施形態に係る個人情報管理システムによれば、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用ACL又は所有者用ACLで一度のみに利用の許否に関する一度利用のアクセス権についても設定できるので、１回のみ情報処理に利用されることが許され、複数回の情報処理に利用されることが防止されるため、個人が各種アクセス権を適切に設定することができるレベルを保持し、想定不可能な属性又は値となった個人情報となることを抑制することができる。また、個人情報を情報処理することにより生成される二次情報をも個人情報とする場合に、個人用ACLで個人用ACLに二次情報の元となる一次情報のACLを承継するか否かに関する公私のアクセス権についても設定できるので、公開とした場合には一次情報に係る個人用ACLを承継せず、非公開とした場合には一次情報に係る個人用ACLを承継するため、公開してもよい個人情報であれば一次情報に係る個人用ACLに依存することなく公開され、非公開の場合には個人の意思が表体する一次情報に係る個人用ACLを承継して二次情報に係る個人用ACLとすることで、二次情報に密接な関係を有する一次情報と同様に個人がアクセス権を設定することが想定され、結果的に個人が設定をすることなく個人の意思に沿ったアクセス権の設定となる可能性が高い。
【００６１】
（本発明の第４の実施形態）
本発明の第４の実施形態に係る個人情報管理システムについて説明する。
本実施形態に係る個人情報管理システムは、前記第１の実施形態に係る個人情報管理システムと同様に構成され、さらに、前記個人用ACL自体をアクセスするユーザが参照可能とし、この参照した個人用ACLに係る個人と間接的に連絡可能とする構成である。
【００６２】
すなわち、アクセスするユーザはユーザ用インタフェース２０を用いて個人情報に対してアクセスしたのであるが、本システム上必要となる個人用ACLデータベースに対してアクセスをすることができるようにした。これは始めから個人用ACLデータベースにアクセスすることもできるのであるが、実際には、問い合わせを行い各種アクセス権が禁止に設定されているために、アクセスすることができなかった個人情報に係る個人用ACLを参照すべく個人用ACLデータベースにアクセスすることが通常である。そして、該当する個人用ACLを参照して各種アクセス権の設定を確認してアクセスできなかったことを検証する。検証してアクセスすることができなかった個人情報に対してアクセス可能となるように、個人情報に係る個人に間接的に連絡をする。ここで、ユーザが直接電子メール、電話等の通信手段を用いて個人に対して連絡することもできるが、かかる連絡を嫌がる個人も少なくないので、間接的に例えば、ユーザのアドレスを隠蔽した形でサーバが介在して電子メールのやり取りを行うこともできる。
【００６３】
このように本実施形態に係る個人情報管理システムによれば、前記個人用ACL自体をアクセスするユーザが参照可能としているので、アクセスできない個人情報の理由を個人用ACLを参照して確認することができ、各種対応を考えることができる。また、この参照した個人用ACLに係る個人と間接的に連絡可能としているので、アクセスできない個人情報が対象とする個人に対して連絡をとってアクセス権の設定の変更を促すこともでき、特に、個人とユーザとが直接連絡を取らないことにより個人も快く対応することができる。
【００６４】
なお、本実施形態においては、個人用ACLが変更された場合に、変更したアクセス権に係るユーザに変更された旨のアクセス権変更を通知することもでき、常時アクセス権の設定の変更を監視することなく、アクセス権の設定の変更が生じた場合のみに対応すればよく、膨大な個人情報に対して適切且つ現実的な対応をすることができる。
【００６５】
また、本実施形態においては、前記アクセス権変更がユーザに対して通知がなされた場合に、アクセス権が許可となったときに個人又は所有者に通知することもでき、アクセス権を許可とした個人又は所有者に対してインセンティブを与えることができる。このようにインセンティブを与える仕組みが用意されれば、個人又は所有者も最大限個人情報にアクセスできるような各種アクセスの設定とし、煩わしい設定をも進んで行い、本個人情報管理システムを介した個人情報の有効活用面が推進される。
【００６６】
（本発明のその他の実施形態）
前記各実施形態に係る個人情報管理システムにおいては、図５及び図６が表形式で示されているように、データベースのデータモデルの内リレーショナルモデルを用いて各データベースを実装することができるが、このリレーショナルモデル以外のデータモデルを用いてデータベースを実装した場合についても本個人情報管理システムで用いることができる。以下、リレーショナルモデルとそれ以外のデータモデルについて集中型データベース及び分散型データベースにも触れながら簡単に説明する。データベースは1台のコンピュータで集中管理されている集中型データベースと、インターネットやLAN等のコンピュータネットワークで接続された複数台のコンピュータで分散管理されている分散型データベースに大別できる。このうち、分散型データベースでは、各コンピュータは個別に集中型データベースを管理しており、ユーザはいずれのコンピュータからでも任意のデータベースを利用することができる。一方、データベースを表現するためのデータモデルには、二次元の表(テーブル または リレーションと呼ぶ)を用いて情報を表現するリレーショナルモデル、データとデータに対する操作をクラスを用いて統合的に表現するオブジェクト指向モデル、データとデータ構造を混在させて表現する半構造モデル(例：html, XML)などがある。また、データモデル毎にデータベース言語は異なります(例：リレーショナルモデルではSQL、オブジェクト指向モデルではC++やOQL、半構造モデルではXML-QLやXQL)。最近は複雑な構造を持つデータを柔軟に表現できるため、半構造モデルが注目されているが、既存のデータベースの多くはリレーショナルモデルで表現されている。分散データベースにおいては、各コンピュータが管理するデータベースはそれぞれ異なるデータモデルを用いてデータを表現することができる。これによって、既存の集中型データベースを統合して分散データベースを構成できる。この場合、ユーザは統一されたデータモデルを用いてデータベースを操作できなければデータベースを十分に活用できません。したがって、分散型データベースにおいては、ユーザが望むデータモデルでデータを提供するために、データモデル間の変換機能を持っている。統合型電子マネーのように分散管理されたデータベースを統合して一元管理するためには、柔軟なスキーマ統合が必要になるので、半構造モデルを活用する必要がある。半構造モデルでは、データの中でデータ構造(スキーマ)が定義されているので、データベースにデータを追加すると同時にスキーマが変更される可能性が生まれる。したがって、一般ユーザでもスキーマ変更を行う権限を持つ必要が生じる。従来のリレーショナルDBやオブジェクト指向DBの世界では、スキーマ変更は管理者だけが実行できる特権であった。しかし、一般ユーザでもスキーマ変更が行えるようにするために、ACLにはスキーマ変更権限をも設定できる必要がある。そこで、前記各実施形態においても、ACLにスキーマ変更権限をも設定できるような構成とすることもできる。具体的にスキーマ変更権限としては、エンティティの追加（ここでエンティティとはテーブル、リレーション、クラスなど論理的に見て一まとまりとみなされるデータ定義である）、エンティティの削除、フィールドの追加、フィールドの削除、フィールドの定義変更(例：データ型、一貫性制約：データの誤りを検出するための条件式)が該当する。また、半構造モデルだけでなくとも、従来のリレーショナルDBやオブジェクト指向DBであっても、システムの安全性等を十分に確保することができれば、スキーマ変更できるようにシステムを構成することもでき、同様に、ACLにスキーマ変更権限をも設定できるような構成とすることができる。
【図面の簡単な説明】
【００６７】
【図１】本発明の第１の実施形態に係る個人情報管理システムの簡易ブロック構成図である。
【図２】本発明の第１の実施形態に係る個人情報管理システムで用いる個人用アクセス制御リスト、所有者用アクセス制御リスト及び論理結果の具体例である。
【図３】本発明の第１の実施形態に係る個人情報管理システムに関連する統合型電子マネーのシステム構成図である。
【図４】本発明の第１の実施形態に係る個人情報管理システムの全体システム構成図である。
【図５】本発明の第１の実施形態に係る各種データベース内のデータサンプル例である。
【図６】本発明の第１の実施形態に係る各種データベース内のデータサンプル例である。
【図７】本発明の第２の実施形態に係る個人情報管理システムの簡易ブロック構成図である。
【図８】本発明の第１の実施形態に係る個人情報管理システムの全体システム構成図である。
【図９】従来のアクセス制御の簡易ブロック構成図である。
【符号の説明】
【００６８】
１  アクセスコントロール部
２  アクセスログコントロール部
１０  個人情報データベース
１１  決算情報データベース
１２  所有者情報データベース
１３  ユーザ情報データベース
１４  個人用ACLデータベース
１５  所有者用ACLデータベース
１６  アクセスログデータベース
２０  ユーザ用インタフェース
２１  個人用インタフェース
２２  所有者用インタフェース
２３  システム管理者用インタフェース
１０１  アクセスコントロール部
【図１】
2005196699.tif 000003
【図２】
2005196699.tif 000004
【図３】
2005196699.tif 000005
【図４】
2005196699.tif 000006
【図５】
2005196699.tif 000007
【図６】
2005196699.tif 000008
【図７】
2005196699.tif 000009
【図８】
2005196699.tif 000010
【図９】
2005196699.tif 000011