(57)【要約】【課題】  個人情報を匿名化した上で各種サービス提供者が利用可能にする。【解決手段】  個人を特定するための個人特定情報と当該個人の診断結果情報とを格納する第1データ格納部と、個人特定情報から氏名を含む所定の情報を除外し、残余の個人特定情報と診断結果情報のうち少なくとも一部とを匿名化個人情報として第2データ格納部に格納する匿名化手段と、第1データ格納部に格納された情報を利用して、第2データ格納部に格納された匿名化個人情報における情報種別に基づき規定される複数の分類の各々につき、所属する個人を識別し、複数の分類の各々につき所属する個人の識別情報を第3データ格納部に格納する手段と、第3データ格納部に含まれる複数の分類の各々につき、登録事業者からの広告メールを受け付け、所属する個人の識別情報を用いて広告メールを転送する手段とを有する。【選択図】  図１
2005346248.tif 000002
【特許請求の範囲】
【請求項１】
メールアドレスを含み且つ個人を特定するための個人特定情報と当該個人の診断結果情報とを格納する第１データ格納部と、
前記第１データ格納部を参照して、前記個人特定情報から氏名を含む所定の情報を除外し、残余の個人特定情報と前記診断結果情報のうち少なくとも一部とを匿名化個人情報として第２データ格納部に格納する匿名化手段と、
前記第２データ格納部に格納された前記匿名化個人情報に対する、登録事業者の端末からのアクセスを可能にする手段と、
前記第２データ格納部に格納された匿名化個人情報における情報種別に基づき規定される複数の分類の各々につき、前記第１データ格納部に格納された情報を利用して、所属する個人を識別し、前記複数の分類の各々につき所属する個人の識別情報を第３データ格納部に格納する手段と、
前記第３データ格納部に含まれる前記複数の分類の各々につき、前記登録事業者からの広告メールを受け付け、前記第３データ格納部に格納された前記所属する個人の識別情報を用いて前記第１データ格納部に格納されたメールアドレス宛に前記広告メールを転送する手段と、
を有する情報仲介装置。
【請求項２】
前記登録事業者の端末に情報を送信する際に、当該情報に前記所定の情報を含むか判断し、含まれると判断された場合には当該送信を阻止する手段
をさらに含む請求項１記載の情報仲介装置。
【請求項３】
前記第１データ格納部が、測定値情報と問診情報とのうち少なくともいずれかをさらに格納しており、
前記測定値情報と前記問診情報とのうち少なくともいずれかを用いて前記診断結果情報を生成し、前記第１データ格納部に格納する手段
をさらに含む請求項１又は２記載の情報仲介装置。
【請求項４】
前記第１データ格納部に格納される情報へのアクセス権限を規定するデータを格納する第４データ格納部と、
前記第４データ格納部に従って前記第１データ格納部へのアクセス可否を判断する手段と、
をさらに有する請求項１乃至３のいずれか１つ記載の情報仲介装置。
【請求項５】
前記診断結果情報には介入推奨情報を含み、
前記診断結果情報のうち少なくとも一部に、前記介入推奨情報が含まれる
ことを特徴とする請求項１乃至４のいずれか１つ記載の情報仲介装置。
【請求項６】
メールアドレスを含み且つ個人を特定するための個人特定情報と当該個人の診断結果情報とを格納する第１データ格納部を参照して、前記個人特定情報から氏名を含む所定の情報を除外し、残余の個人特定情報と前記診断結果情報のうち少なくとも一部とを匿名化個人情報として第２データ格納部に格納するステップと、
登録事業者の端末から前記第２データ格納部に格納された前記匿名化個人情報に対する検索要求を受信した場合には、前記第２データ格納部を検索して、検索結果を前記登録事業者の端末に返信する検索ステップと、
前記第１データ格納部に格納された情報を利用して、前記第２データ格納部に格納された匿名化個人情報における情報種別に基づき規定される複数の分類の各々につき、所属する個人を識別し、前記複数の分類の各々につき所属する個人の識別情報を第３データ格納部に格納するステップと、
前記第３データ格納部に含まれる前記複数の分類の各々につき、前記登録事業者からの広告メールを受け付け、前記第３データ格納部に格納された前記所属する個人の識別情報を用いて前記第１データ格納部に格納されたメールアドレス宛に前記広告メールを転送するステップと、
を含み、コンピュータに実行される情報仲介方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報仲介技術に関し、より詳しくは個人情報の利用管理技術に関する。
【背景技術】
【０００２】
保健医療機関においては、その業務の性格上、個々人から機微な個人情報を収集する必要がある。ここで「機微な個人情報」とは、個人情報保護に関して、氏名・性別・住所などの単なる個人情報よりもさらに、他人に知られたくない情報である。JIS Q 15001によれば、以下のように規定されている。
ａ．思想、信条及び宗教に関する事項
ｂ．人権、民族、門地、本籍地（所在都道府県に関する情報を除く。）、身体・精神障害、犯罪歴、その他社会的差別の原因となる事項
ｃ．勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項
ｄ．集団示威行為への参加、請願権の行使、及びその他の政治的権利の行使に関する事項
ｅ．保健医療及び性生活
【０００３】
また、個人情報保護法（２００３年５月成立、２００５年４月施行予定）では、本人の許可無く個人情報を収集することが一般（この場合サービス提供者）には禁じられている。この個人情報保護法が施行されると、レストランや八百屋などのサービス提供者は、これまでのように、自らの店のために会員を募り、繰り返し来店してもらうようなビジネスモデルは、リスクを伴うことになる。保健医療情報のような機微な個人情報ならそのリスクはなおさら大である。その一方で、人口の高齢化に伴い、高血圧や糖尿病等の潜在的な罹病者・予備軍は拡大し、そのニーズに対応した、保健医療情報をキーとした商品が数多く開発され、機微な個人情報によるマーケテイングのニーズが拡大している。
【０００４】
なお、保健医療分野の情報は、従来は、個人を特定することにより、その目的を達している。ただし、医薬品に関する治験のような研究目的の場合、本人に同意を得て、機微な個人情報を収集し、特定の研究責任者が、個人を特定する情報を隠して（「匿名化」という）機微な個人情報を基に、研究のために、統計的な処理を行っている。
【０００５】
また、保健医療情報は単に収集しただけのナマの数値・画像データ・問診結果だけでは、サービス提供者が必要とする情報にはならない。一般には、これらの情報を基に、医師は診断を行い、その結果、病名を確定するための検査指示、確定した病名、投薬や手術等の処置内容、患者・受診者への指導内容（深夜勤務の禁止や運動の指示等）、その他の情報を受診者・患者等に伝える（これらを「診断情報結果情報」と称する。）。
【０００６】
なお、診断は、医師でなくとも、コンピュータにより自動診断を行う場合もある。例えば、特開平７−９５９６１号公報には、健診分野における以下のような技術が開示されている。すなわち、医用診断システムは、(a) 医療又は健診における問診、診断及び検査のデータを入力する手段と、(b) 入力した各データが判定レンジのいずれに該当するかを判定する手段と、(c) 各疾患に関連する１つ又は２つ以上の検査項目に関する判定レンジの条件グループを満たすか否かを判定する条件グループ判定手段と、(d) 判定結果リストを作成するとともに、同一の疾患について異なる判定結果が得られた場合に症状の重い方の判定結果を記入する判定エンジン手段と、(e) 出力手段とを有する。また、医療分野については、財団法人医療情報システム開発センターにおいて研究されているクリティカルパスのような事例がある。
【０００７】
また、個人情報保護法では、自己の個人情報は本人による「自己コントロール権」が認められているにも拘らず、企業や医療機関・健診機関等で、処理の煩雑さを避けるために一律に処理されている。例えば、特開２００２−１６９８９８号公報では、個人情報の扱いは一律であり、個人毎にコントロールすることは考えられていない。すなわち、個人情報のコントロールを（１）項目毎、（２）提示する相手先毎、（３）タイマ等により開示への時期の設定を可能にし、ＰＫＩ（Public Key Infrastructure）等の本人認証により、本人以外が改変できない仕掛けを持つものは無かった。
【０００８】
さらに、インターネット上の情報アクセス者に、情報登録者に関する機微な個人情報の匿名化を完全に行った情報のみを発信する装置、すなわち匿名化するために、「個人特定情報」タグに関して、通過させないファイァウオールは無い。なお、保健医療分野においては、ＨＬ７・ＤＩＣＯＭなどの保健医療情報を交換するためのプロトコルが標準化されているが、これらは、「個人特定情報」「問診情報」「測定値情報の値」「診断結果情報」ごとにタグ情報により、グループ化されている。
【特許文献１】特開平７−９５９６１号公報
【特許文献２】特開２００２−１６９８９８号公報
【非特許文献１】http://epath.medis.jp/index2.html
【発明の開示】
【発明が解決しようとする課題】
【０００９】
このように、従来技術には、健康医療情報のような機微な個人情報を匿名化した上で各種サービス提供者が利用可能にするようなシステムは存在していない。
【００１０】
従って、本発明の目的は、個人情報を匿名化した上で各種サービス提供者が利用可能にするための新規な技術を提供することである。
【課題を解決するための手段】
【００１１】
本発明の情報仲介装置は、メールアドレスを含み且つ個人を特定するための個人特定情報と当該個人の診断結果情報とを格納する第１データ格納部と、第１データ格納部を参照して、個人特定情報から氏名を含む所定の情報を除外し、残余の個人特定情報と診断結果情報のうち少なくとも一部とを匿名化個人情報として第２データ格納部に格納する匿名化手段と、第２データ格納部に格納された匿名化個人情報に対する、登録事業者の端末からのアクセスを可能にする手段と、第２データ格納部に格納された匿名化個人情報における情報種別に基づき規定される複数の分類の各々につき、第１データ格納部に格納された情報を利用して、所属する個人を識別し、複数の分類の各々につき所属する個人の識別情報を第３データ格納部に格納する手段と、第３データ格納部に含まれる複数の分類の各々につき、登録事業者からの広告メールを受け付け、第３データ格納部に格納された所属する個人の識別情報を用いて第１データ格納部に格納されたメールアドレス宛に広告メールを転送する手段とを有する。
【００１２】
このようにすることにより、登録事業者は、個人特定情報を直接取り扱うことなく匿名化個人情報を利用することができ、さらに興味のある分類に属する個人に広告メールを送信することができるようになる。
【００１３】
また、登録事業者の端末に情報を送信する際に、当該情報に上記所定の情報を含むか判断し、含まれると判断された場合には当該送信を阻止する手段をさらに含むようにしてもよい。個人情報の漏洩を防止するためである。
【００１４】
さらに、第１データ格納部が、測定値情報と問診情報とのうち少なくともいずれかをさらに格納しており、測定値情報と問診情報とのうち少なくともいずれかを用いて診断結果情報を生成し、第１データ格納部に格納する手段をさらに含むようにしてもよい。
【００１５】
また、第１データ格納部に格納される情報へのアクセス権限を規定するデータを格納する第４データ格納部と、第４データ格納部に従って第１データ格納部へのアクセス可否を判断する手段とをさらに有するようにしてもよい。個人情報の漏洩を防止するためである。
【００１６】
また、診断結果情報には介入推奨情報を含み、診断結果情報のうち少なくとも一部に、介入推奨情報が含まれるようにしてもよい。介入推奨情報は、登録事業者側で例えばサービスの提供上有効な判断材料となるためである。
【００１７】
本発明の情報仲介装置は、上で述べた機能を実現するためのプログラムとコンピュータとの組み合わせにて実現される場合もあり、その場合プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークなどを介してデジタル信号として配信される場合もある。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。
【発明の効果】
【００１８】
本発明によれば、個人情報を匿名化した上で各種サービス提供者が利用可能にすることができる。
【発明を実施するための最良の形態】
【００１９】
本発明の一実施の形態に係るシステムの概要図を図１に示す。図１に示すように、インターネット上には、「情報登録会員」、「匿名化ＡＳＰ（Application Service Provider）事業者」、「情報アクセス者（サービス提供者）」が存在する。レストランやフイットネスクラブなどの「サービス提供者」は、ＡＳＰに登録している「情報登録会員」に、糖尿病対応や高血圧症対応の食事メニューや運動メニューをＰＲする際に、保健医療等の機微な個人情報に応じて、適切な個人に対して、ダイレクトメールを発行したいと願っている。しかし、個人情報を保有すると漏洩のリスクがあり、２００５年４月の個人情報保護法施行以降は、刑罰を受ける恐れがある。本実施の形態によれば、サービス提供企業側は個人情報を保有するリスクを犯す事無く、適切な対象者にダイレクトメールを発行可能となる。
【００２０】
１．ポリシーボックス装置
情報登録会員は、一般の会員であり、自らのプライバシーポリシーをポリシーボックス装置に登録する。そのポリシーに従って、自ら、もしくは健診機関・医療機関等の代理人が、個人情報仲介装置内にあるデータベース（ＤＢ）に、個人情報（特に機微な個人情報）を登録する。ポリシーボックス装置は、個人毎に設定する場合（図１：ポリシーボックス(1)(2)）も、子供や老人のように、複数の人に対して１つ設定することも可能にする（図１：ポリシーボックス(3)）。
【００２１】
ポリシーボックス装置には、個々人が、個人情報のうち、公開するもの、非公開にするものを個人のポリシーに応じて設定する。設定する項目は、「姓」、「名」、「年齢」・・・のように個々に設定することも可能だが、操作性や効率性の観点からグループ単位で設定する場合もある。
【００２２】
例えば、保健医療分野においては、財団法人医療情報システム開発センターで定めている「データ項目セットの大分類」に保健医療分野で扱う情報が分類されており、この項目セット毎に、公開・非公開を個人が選択してポリシーボックス装置上に設定する方法が考えられる。但し、より下位の分類毎（例えば、傷病名情報等）に設定することも可能である。図２にデータ項目セットの大分類、図３に大分類名・細分類レベルの項目のテーブルを示す。なお、財団法人医療情報システム開発センターによる平成１１年度「電子保存された診療録情報の交換のためのデータ項目セットの作成報告書」を基にしている。
【００２３】
図２の例では、ポリシーフラグに「Ｙ」のついている、患者基本情報、診療録管理情報、生活背景情報、医学的背景情報、診察記録情報については、公開可能と設定している。但し、氏名の情報はこのシステムでは常に非公開である。また、表中、「−」は、「該当せず」を示す。
【００２４】
このポリシーボックス装置の機能としては、（１）個人を特定して認証し、他の人が勝手に改変することを不可能とすること、（２）証拠性保存の観点から、ポリシーを改変した際にその履歴が残る仕掛けが出来ると、さらに望ましい。
【００２５】
ポリシーボックス装置を実現する方法・媒体に関しては、本実施の形態では、家庭のパーソナルコンピュータ（ＰＣ）に格納することを前提とするが、家庭に設置のＰＣ等に格納する方法以外に、ＩＣカード、ＵＳＢメモリ等、本人が保有するものに書き込む方法、ＡＳＰサーバ内の特定のエリアに格納する方法等が可能である。
【００２６】
２．個人ポリシーの匿名化ＡＳＰセンターへの登録（図４：個人ポリシーのＡＳＰセンターへの登録）
ポリシーボックス装置を家庭で設定後、個人情報仲介装置に伝送し、個人情報仲介装置が個人毎のエリアに設定する。個人情報仲介装置はポリシーボックスと同様に、本人以外の改変を許さない仕掛けを持っている。本人以外の改変を許さない処理の実現方式としては、ＩＣカードによるほか、指紋等のバイオ認証で操作する本人を特定し、ＰＫＩでその本人が実際に存在・登録されていることを確認の上、改変処理を行うなどの方策を採用可能である。
【００２７】
３．個人毎のポリシーに応じた機微な個人情報の登録（図５：機微な個人情報の登録）
インターネット回線経由で、個人情報仲介装置内に登録する個人情報は、以下の３種類である。
(1)服薬情報のような介入情報や、問診のように、情報登録者自身が入力画面に設定するもの（なお、介入とは、個人の健康維持・増進に対して何らかの手段を施すことである。例えば、薬を飲む、手術をする、軽く運動する、休養するなど、主治医や産業医が指示する又は自らが意識的に実施することを含む。）
(2)血圧等の計測データのように、機器が計測すると、有線・無線の回線を介して家庭内等のサーバから、自動的に登録されるもの
(3)医療機関での検査結果や医師の診断情報や、フイットネスクラブでの運動情報等、医療機関・フイットネスクラブ等が本人に成り代わって、入力画面から登録するもの
【００２８】
これらの情報の登録に際しても、前項同様、本人もしくは本人が定めた機関以外の登録・参照を許可しない機密保護の仕掛けが必要である。特に、(3)は一般に、広義の電子カルテと称されるものであり、この場合は、その機関での診療前後の一定の期間や、フイットネスクラブ等の会員に加入期間中のみ、追加・参照が可能となる。その場合、連携して医療を行うことがあるため、必要に応じ、本人の情報に関して、他の機関が登録した情報も参照を可能とする。
【００２９】
４．個人情報の蓄積（図６乃至図８：機微な個人情報の蓄積と提供、及び図３：大分類名・細分類レベルの項目）
個人情報は「データ項目セット」等の規約に従って、個人情報仲介装置内のデータベースに蓄積する。蓄積される情報は、以下のような情報である。
（１）「個人特定情報」としては、図３における「患者基本情報」、「健康保険・福祉情報」
（２）テキストデータ、イメージデータ、波形情報等。なお、保健医療に必要な客観的な「測定値情報の値」としては、図３における「診察記録情報」である。
（３）「問診情報」に分類されるものは、「生活背景情報」、「医学的背景情報」
これらは、ＨＬ７等のヘッダーによる分類で、データベース内の規定のエリアに自動的に格納される。
【００３０】
なお図６乃至図９は、糖尿病の教育入院の場合のクリティカルパスの一例を示すものである。
【００３１】
５．蓄積された情報登録者の情報の「診断結果情報」への変換（図９：診断結果情報の導出フロー）
前項の個人特定情報、問診情報・測定値情報の値を元に、「診断結果情報」を自動的にもしくは、医師の診断により導出する。これについては、従来技術の欄で述べた既存の技術（例えばクリティカルパスもしくは、従来の医師の診断）を活用する。クリティカルパスは、図１０のクリティカルパスの作成フローに従って作成する。
【００３２】
その結果、「ステップ２：実行」のステップで、個人特定情報や問診情報、測定値情報の値を基に、診断所見や介入推奨情報がクリティカルパス等により自動的に入力するか、もしくは医師の診断・介入推奨情報をインターネット経由で画面から入力する。
【００３３】
図９中の「データ項目セット」において、「診断結果情報」に分類されるものとしては、病歴等の「診療管理用情報」、現在の疾患等の「診療要約情報」、退院時にまとめる「入院要約情報」があり、さらに、診断結果から導出される、運動指導や栄養指導や服薬指導の実施等の介入情報として「指示実施記録情報」がある（図３：大分類名・細分類レベルの項目を参照のこと）。
【００３４】
図１０にも示すこの仕掛けにより、個人情報仲介装置内で、クリティカルパスによりワークフローに従って、医療チームが一人一人の患者（もしくは一般国民）をケアできる体制を確立できる。
【００３５】
一般にクリテイカルパスによる介入情報は、
（１）医療機関の保有する医師の能力や医療機器の性能等によって、異なることが通常である。
（２）サービス提供者の供給能力により（従って、選択された地域ごとに）、導出される結果も異なることがある。
（３）確定した診断を下せないような不十分な問診情報と測定値情報の値の場合、「指示実施記録情報」のような「診断結果情報」については、確率的な診断（例えば、「糖尿病である確率が６０％」）というような情報も、「診断結果情報」として自動的にセットされる。それは、情報登録者本人には不必要でも、サービス提供機関には全体としての数値・傾向をつかむためにも必要、もしくはある方が好ましい。
（４）また、クリティカルパスは、本来は、複数の患者の教育入院を実施した結果、対応策を確立するための手法であるが、より一般的に用いることにより、例えば、介入推奨情報がなされたにもかかわらず、十分な介入をしない（例えば「医者にかかりなさい」と言われたにもかかわらず、医師に行かなかった）結果、病気が治癒しなかったこと等への対策を政府若しくは自治体等の政策に反映することも、このクリティカルパス的手法を集団に対して繰り返し用いることにより、対応が可能になる。
【００３６】
６．情報登録者情報の匿名化（図１１：機微な個人情報の蓄積と提供）
匿名化ＡＳＰ事業者では、情報アクセス者（サービス提供者）に、情報登録者の情報を提供することで、サービス提供者から対価を得る。
【００３７】
そこで、個人情報仲介装置は、個人情報を持ちたくないサービス提供者に、適切な階層の罹病者やその予備軍を、匿名で自動的に報せる。そして、サービス提供者は、ある階層の人々で、ある地域に居住している人々等の情報を検索できる。
【００３８】
７．匿名化介入情報テーブルの作成（図１２：匿名化介入情報テーブル）
個人情報仲介装置において、匿名化介入情報テーブルを作成するには個人特定情報から、氏名・識別情報（氏名・住民登録番号等）を削除し、住所・年齢等、サービス提供者に必要な情報と共に「指示実施記録情報」を、リレーショナルデータベース（ＲＤＢ）からなる匿名化介入情報テーブルに移動する（図１２：個人を特定する情報）。
【００３９】
これにより、運動指導や栄養指導や服薬指導の実施等の介入情報が地区別・年齢別等にセットされ、サービス提供者がマーケテイングのためにアクセスすることを可能にする。
【００４０】
但し、「匿名化介入情報テーブルに移行する情報」であっても、例えば、ある区域内に住むということで、その機微な情報から本人を特定できる場合がある。そのようなことを避けるため、規程の人数に達しない場合は特定される恐れがあるため（例えば、「機微な情報あたり、最小の区域内に５人以上」とする等）、個人情報仲介装置は、その地域を個人を特定される恐れが無いレベルにまで、自動的に拡大する処理を行う。
【００４１】
８．匿名化介入情報テーブルのアクセス（図１３：匿名化介入情報テーブル）
個人情報仲介装置内にある匿名化介入情報テーブルにおいて、例えば図１３では、「糖尿病食第一レベル、運動必要、福岡市東区在住、５５歳、男性」の情報がセットされる。例えば、レストランから、「糖尿病食」のニーズがある男性が福岡市東区に住んでいることが、サービス提供機関から、インターネット経由でアクセス可能になる。また、フイットネスクラブも、運動が必要な福岡市早良区の女性の存在をアクセスできる。
【００４２】
９．個人特定情報ファイアウォール（図１１：機微な個人情報の蓄積と提供）
個人情報仲介装置内にある匿名化介入情報テーブルは、ＨＴＴＰ（Hyper Text Transfer Protocol）やＨＬ７（医療情報を共通利用できる通信プロトコル）等の標準的なプロトコルでアクセスを可能にするため、Ｗｅｂサーバ等により、サービス提供者に解放される。氏名・住民基本コード・健康保険の被保険者記号番号等、個人を特定できる情報の漏出を防ぐために、個人特定情報ファイアウォールを設ける。このファイアウォールは、図１２の「匿名化のために削除する情報」が一切、外部に漏れないように監視する。
【００４３】
１０．ダイレクトメール用e-mail等の受信（図１４：ダイレクトメール用e-mailの受信）
個人情報仲介装置内にある連結匿名化介入情報テーブルは、匿名化介入情報格納装置の最小単位のグループに診断結果情報格納装置との連結用のコードと、メールボックスを持つ、いわば団体用の私書箱である。サービス提供者は追記のみ可で、情報登録者は本人情報のみ参照可である。
【００４４】
図１２の場合、サービス提供者はインターネットを介して、個人情報仲介装置内にある連結匿名化介入情報テーブルの、Ａ:「福岡市東区」と、(1)「男：糖尿病」の交差するアドレス、（すなわち「Ａ(1)」）に、ダイレクトメールを送信する。受信した個人情報仲介装置では、そのメールを一旦該当アドレスへ格納し、その後に、情報登録会員の持つ個人アドレスに、自動転送する。なお、セル内の数字は、該当する情報登録者の管理ＩＤである。個人情報仲介装置では、本管理ＩＤから個人のメールアドレスに自動変換して利用する。
【００４５】
また、サービス提供者は、その群にe-mailによるダイレクトメールを送信することと同様に、特定の見込み顧客向けに分類した紙媒体の広告ビラ等を、匿名化ＡＳＰ事業者に配布委託することもできる。
【００４６】
その結果、情報登録会員は、自分の必要な情報に限って広告メールを受け取ることが出来、サービス提供者は、少ないメール（少ない広告費用）で適切な見込み顧客にダイレクトメールを届けることが出来る。
【００４７】
なお、本実施の形態に係る効果をまとめると図１５に示すようになる。
【００４８】
また、本実施の形態における主要な構成要素をまとめると以下のようになる。
【００４９】
【表１】
2005346248.tif 000003
【００５０】
本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、安全衛生法で決められた１００項目程度の必須の健診項目は、企業で管理し、必要に応じて労働基準監督署等に届け出る義務があるが、その他の人間ドック等で行なわれる追加的な健診項目は、企業が知る必要が無い、もしくは知ることに漏洩防止の義務を負うことになり、企業にとって、リスクの追加となる。社員が情報内容に応じて、勤務している企業に報告すべき項目をコントロールする。
【００５１】
また、遺言等の目的で、「今から１００年後」のような設定で、機微な自身の個人情報の開示が可能になる。
【００５２】
なお、上で述べた個人情報仲介装置は、図１６に示すように、メモリ２５０１とＣＰＵ２５０３とハードディスク・ドライブ（ＨＤＤ）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び上記実施の形態における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。必要に応じてＣＰＵ２５０３は、表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２５０１に格納され、必要があればＨＤＤ２５０５に格納される。本発明の実施の形態では、上記機能を実現するためのアプリケーション・プログラムはリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータは、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【図面の簡単な説明】
【００５３】
【図１】本発明の実施の形態におけるシステム概要図である。
【図２】データ項目セットの大分類のテーブルである。
【図３】、大分類名・細分類レベルの項目のテーブルである。
【図４】個人ポリシーのＡＳＰセンターへの登録フローを示す図である。
【図５】機微な個人情報の登録フローを示す図である。
【図６】クリティカルパスの事例（その１）を示す図である。
【図７】クリティカルパスの事例（その２）を示す図である。
【図８】クリティカルパスの事例（その３）を示す図である。
【図９】クリティカルパスの作成フローを示す図である。
【図１０】機微な個人情報の蓄積と適用を示す模式図である。
【図１１】匿名化介入情報テーブルを示す図である。
【図１２】個人を特定する情報の削除（匿名化）を説明するための図である。
【図１３】匿名化介入情報テーブルへのアクセスを示す模式図である。
【図１４】ダイレクトメール用e-mailの受信を示す模式図である。
【図１５】本実施の形態における効果を表す図である。
【図１６】コンピュータの機能ブロック図である。
【図１】
2005346248.tif 000004
【図２】
2005346248.tif 000005
【図３】
2005346248.tif 000006
【図４】
2005346248.tif 000007
【図５】
2005346248.tif 000008
【図６】
2005346248.tif 000009
【図７】
2005346248.tif 000010
【図８】
2005346248.tif 000011
【図９】
2005346248.tif 000012
【図１０】
2005346248.tif 000013
【図１１】
2005346248.tif 000014
【図１２】
2005346248.tif 000015
【図１３】
2005346248.tif 000016
【図１４】
2005346248.tif 000017
【図１５】
2005346248.tif 000018
【図１６】
2005346248.tif 000019