(57)【要約】【課題】  企業や自治体などのデータベースで個人情報が管理されているが、個人情報がどのように使用されているかはデータベースを運営している団体に任せるしかなく、個人情報の当事者がその利用状況を知るすべがなかった。【解決手段】  格納しているデータが個人情報かどうかを判別できるデータベース表１０２を定義する。任意のクライアント１０１から個人情報に該当するデータへのアクセス要求があった場合、データベースサーバ１０５は、アクセス日時、アクセスしてきたユーザのＩＤ、アクセスされたデータの種類などの状況を、個人情報アクセス記録１０４として記録する。同時に、個人情報が利用された旨を個人情報の当事者１０６に通知する。または、個人情報の当事者１０６が自身の個人情報へのアクセス記録を好きなときに調べられるようにする。【選択図】  図１
2005258495.tif 000002
【特許請求の範囲】
【請求項１】
格納している個々のデータが個人情報かどうかを識別する手段を有し、個人情報の当事者への連絡先を保持し、かつ、個人情報に該当するデータにアクセスがあった場合に個人情報の当事者にその旨を通知または開示する機能を備えたことを特徴とするデータベースシステム。
【請求項２】
請求項１のデータベースシステムにおいて、個人情報に該当するデータにアクセスがあった場合に、アクセス日時・アクセス者・アクセスされた情報の種類などのアクセス状況を記録する手段を備えたデータベースシステム。
【請求項３】
請求項１のデータベースシステムにおいて、個人情報に該当するデータにアクセスがあった場合に、データが要求されたのか、検索の絞込条件として利用されただけなのかを判断し、当事者への通知または開示条件として利用する手段を備えたデータベースシステム。
【請求項４】
請求項１のデータベースシステムにおいて、個人情報へのアクセス状況を、Ｅメールその他の方法で当事者に通知する手段を備えたデータベースシステム。
【請求項５】
請求項１のデータベースシステムにおいて、個人情報へのアクセス状況を、ホームページその他の方法で当事者に開示する手段を備えたデータベースシステム。
【請求項６】
請求項１、請求項２、請求項３、請求項４、または請求項５のいずれかに記載の各処理手順をプログラムに変換し、変換された該処理プログラムを格納したことを特徴とする記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報の適正利用を目的としたデータベースに関する。
【背景技術】
【０００２】
データベースを使用した従来の情報システムでは、格納しているデータへのアクセスを、パスワードやアクセス方法などで制限して、不正に使用されることがないように防いでいた。
【０００３】
データベースにはさまざまな情報が格納されるが、その中に個人情報がある。例えば、銀行、証券会社、電力会社、ガス会社などの企業では、顧客の住所、氏名、電話番号、取引履歴をデータベースで管理している。このほか、カード発行会社が会員情報を管理する場合や、自治体での住民台帳などがある。個人情報の流出は企業・団体にとって大きな信用問題であり、個人情報を預かる団体には、それを適切に管理することが求められる。
【０００４】
データベースへのアクセスを制限する場合、データを利用できる人および許される操作を、主にデータベースを運営する組織内で決定する。一般に個人情報にアクセスするのは、問い合わせ対応者、郵便物を発送する人、行政の窓口担当者など企業・団体の中で特定の業務を担当する人たちである。そうした利用者には、個人を特定するためのユーザＩＤとパスワードが付与される。一般的にデータベースシステムは、ユーザＩＤとパスワードで利用者を識別する。データベースシステムは、その利用者に許可された範囲内でデータの参照・更新を許す、という仕組みをとっている。これに加えて、利用可能なアプリケーションや利用できる時間帯を限定し、データを参照・更新できる状況をさらに制限する場合がある。また、データへの参照・更新記録を保持し、不審なアクセスがないか調べられるようにする方法もとられている。
【０００５】
これらは、データベースシステムを管理する企業・団体が、自身が保持する情報へのアクセスを、自身が決定したポリシーに基づいて行われるように強制するための仕組みである。
【０００６】
一方、特開２００２−１４８６２号公報に記載のように、個人情報に対するアクセス権限を、個人情報の当事者が自身の意志に基づいてコントロールできるようにしているものもある。しかし、データベースシステムの管理者および正当な理由を持つ利用者には、個人情報に対するアクセス権限を与えざるを得ない。
【０００７】
【特許文献１】特開２００２−１４８６２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
上記従来技術は、主にデータベースを運営する組織内部での管理手段を示したものであり、個人情報の当事者には適切な管理が行われているかどうかを判断できないという問題があった。特開２００２−１４８６２号公報に記載のように、当事者自身がアクセス権限をコントロールできる場合でも、権限を与えた組織が適切に利用しているかどうかについては、やはり判断できない。
【０００９】
個人情報の当事者が顧客の場合、顧客はデータベースの運用に携われないのが普通である。つまり、自身の情報がどのように管理され、利用されているのかは、データベースを運営する団体に一任するしかなかった。その団体から個人情報保護ポリシーが明示されていたとしても、それに従って適切に運用されているかどうかを当事者が確認する方法がない。一方で、情報を不正に利用されて直接的に被害を受けるのは、データを管理する団体ではなく、不正利用された個人情報の当事者である。
【００１０】
本発明では、データベース内の個人情報が利用された状況を、個人情報の当事者が調査できるようにすることを目的とする。また、個人情報のアクセス記録を当事者に開示することで、企業・団体内での個人情報不正利用に対する抑止力が期待できる。
【課題を解決するための手段】
【００１１】
上記目的を達成するために、格納しているデータが個人情報かどうかをデータベースシステムが判断できるようにし、個人情報へのアクセス状況を記録し、それを当事者へ通知または開示するようにしたものである。
【００１２】
個人情報にアクセスされるごと、または任意の間隔で、個人情報へのアクセス状況をＥメールその他の方法で当事者に連絡できるようにする。
【００１３】
さらに、個人情報へのアクセス状況を、ホームページその他の方法で当事者に開示する手段を備えたものである。
【発明の効果】
【００１４】
本発明によれば、格納されているデータが個人情報かどうかをデータベースシステムで管理し、そのデータへのアクセス状況を記録および当事者へ通知することで、個人情報の適切な利用を実現できる。
【００１５】
当事者の観点から見ると、自身の個人情報の使われ方が明確になることで、個人情報を他者に教えた場合でも比較的安心できる。当事者自身によるチェックが可能であることから、データベース運営団体に対する不正の抑止力が働く。個人情報の不正利用により不利益を被った場合でも、個人情報の管理状況および利用状況を自身で調査でき、運営団体の責任を追及できる。
【００１６】
データベース運営団体にとっては、個人情報管理の適切さをアピールすることで、他者の商品と差別化できる。個人情報管理の適切さで付加価値をつけることで、同種のサービスを提供する競合他社よりも有利になる。また、行政などでの業務の効率化のためにデータベースによる個人情報の管理が必要な場合でも、本発明を利用することで、住民の理解を得やすくなる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施例を図に基づいて詳細に説明する。図１は、本発明の一実施例であるデータベースシステムの構成である。本実施例では、ネットワークで接続されたクライアント１０１、データベースサーバ１０５、そして個人情報の当事者が利用する端末１０６で構成される。クライアント１０１は、データベースサーバ１０５にアクセスし、データを利用して特定の業務を行うプログラムおよび装置である。クライアント１０１は、データベースサーバ１０５と同じ装置上にあることもある。データベースサーバ１０５は、データベース１０３を管理し、クライアント１０１からの要求に応じてデータを返信するプログラムおよび装置である。データベースサーバ１０５は、格納しているデータが個人情報かどうかを判断する手段を有し、個人情報にアクセスがあった場合に、当事者に通知または開示する機能を持つ。端末１０６は個人情報へのアクセス記録を当事者が受け取るもので、Ｅメールを送受信可能なメールソフト、Ｗｅｂブラウザ、その他の手段をもつ装置である。携帯電話、ポケベルも端末１０６として使用できる。
【００１８】
データベース表１０２は、個人情報およびその他のデータを格納する表の一例である。このデータベース表は、個人を識別する個人コード、当事者への連絡用のメールアドレス、個人情報に該当する住所や口座番号、個人情報には該当しない分類コードの各カラムで構成される。データベース表を定義するときに、それぞれのカラムが個人情報に該当するかどうかを決定する。
【００１９】
個人情報アクセス記録１０４は、個人情報に該当するデータにアクセスがあった場合に、そのアクセス状況を記録したものである。この実施例では、個人コード、アクセス日時、アクセスされたデータの種類、実際に送信したかどうか、アクセスしてきたユーザのＩＤ、アクセスしてきたアプリケーションなどを記録している。
【００２０】
図２および図３は、図１で示した実施例をさらに詳細化したものである。
【００２１】
クライアント１０１は、アプリケーションプログラム２０１とデータベースクライアントプログラム２０２で構成される。アプリケーションプログラム２０１は、特定の業務を行うためのプログラムである。データベースクライアントプログラム２０２は、データベースサーバ１０５にアクセスして情報を取得するためのプログラムで、アプリケーションプログラム２０１から呼び出される。
【００２２】
データベースサーバ１０５は、通信部２０３、ＳＱＬ解析部２０４、辞書情報管理部２０５、データベース処理部２０６、個人情報アクセス記録部２０７、個人情報アクセス通知部２０８、ファイル改ざん防止部２０９で構成される。また、データベースサーバ１０５は、辞書ファイル２１０、データベースファイル２１１、個人情報アクセス記録ファイル２１２を、外部記憶装置およびメモリを使用して管理する。通信部２０３では、データベースクライアントプログラム２０２との通信機能を処理する。ＳＱＬ解析部２０４では、アプリケーションプログラム２０１およびデータベースクライアントプログラム２０２から発行されたＳＱＬを解析する。辞書情報管理部２０５は、データベースに格納している情報の種類や属性などを管理する。この情報は、辞書ファイル２１０に記録される。データベースに格納している個々のデータが個人情報に該当するかどうかも、この辞書情報管理部２０５および辞書ファイル２１０で管理する。データベース処理部２０６は、ＳＱＬの解析結果に従って、データベースファイル２１１からデータを入出力する。個人情報アクセス記録部２０７は、個人情報に該当するデータにアクセス要求があった場合、その状況を個人情報アクセス記録ファイル２１２に記録するものである。個人情報アクセス通知部２０８は、個人情報に該当するデータにアクセス要求があった場合に、Ｅメールその他の手段で当事者にその旨を通知するものである。ファイル改ざん防止部２０９は、個人情報アクセス記録ファイル２１２の内容をデータベースサーバ以外のアプリケーションから変更されないように、暗号などを用いて制御するものである。個人情報アクセス記録ファイルの改ざんを防止することで、当事者へ開示するデータの信頼性を高める。
【００２３】
当事者が利用する端末１０６は、メール送受信プログラム２１３を持つ。これによって、自身の個人情報にアクセスがあった旨の通知をＥメールその他の方法で受ける。
【００２４】
図３は、実施例のデータベース表の構造を詳細化したものである。これらの情報は、辞書情報管理部２０５および辞書ファイル２１０で管理される。
【００２５】
図３のデータベース表は、３０２から３１０に示すカラムで構成される。
【００２６】
３０１は、データベース表を構成するカラム「個人コード」の管理情報を示したものである。カラムの管理情報として「個人情報区分」という属性を持たせることで、そこに格納されるデータが個人情報かどうか判断する。カラム「個人コード」の個人情報区分はＮＯであり、このカラムに格納される情報は個人情報ではないと判断する。一方、カラム「メールアドレス」の個人情報区分はＹＥＳのため、このカラムに格納される情報は個人情報と判断する。また、カラム「メールアドレス」の情報は、個人情報アクセス状況を当事者に通知する際の連絡先としても使用する。
【００２７】
３０２から３１０のそれぞれのカラムごとに、管理情報に従って、個人情報であるかないかが判別される。個人情報かどうかの指定は、データベース表の作成時に行う。
【００２８】
以降に、クライアント１０１よりデータが要求されてから、個人情報アクセスの旨が当事者に連絡されるまでの一実施例を示す。図４のフローチャートを用いて、データベースサーバ内での制御を説明する。なお、ユーザＩＤとパスワードによるユーザ認証は、すでに行われているものとする。
【００２９】
ステップ４０１では、ネットワークなどを経由してクライアントからのＳＱＬ処理要求を受け付ける。
【００３０】
ステップ４０２では、ＳＱＬの構文を解析し、結果を得るためにどの情報が必要か、その情報がどのデータベースファイルに格納されているかなどを求める。
【００３１】
ステップ４０３では、ＳＱＬの実行で、個人情報が必要かどうかを判定する。図３に示すデータベース表に対し、ＳＱＬで「住所」の検索または更新が要求された場合、「住所」の個人情報区分はＹＥＳであるため、個人情報へのアクセス要求があったと判定する。一方、「個人コード」が要求された場合、「個人コード」の個人情報区分はＮＯであるため、個人情報へのアクセス要求ではなかったと判定する。ＳＱＬで個人コードの総数、つまり総顧客数が要求された場合は、「個人コード」は個人情報ではないため、個人情報へのアクセス要求ではなかったと判定する。年齢が２０歳以上の顧客の数を要求された場合は、「生年月日」が条件として利用されることになり、「生年月日」の個人情報区分に従うこととなる。
【００３２】
ステップ４０４では、個人情報へのアクセス要求の状況を、個人情報アクセス記録ファイル２１２に記録する。例えば、個人コード、アクセス日時、アクセスされたデータの種類などである。さらに、ステップ４０３での判定過程の情報も記録する。例えば、データそのものが要求されたのか、絞込みの条件として指定されたのか、を記録する。
【００３３】
ステップ４０５では、ＳＱＬを実行する適切な権限があるかどうかを判断する。
【００３４】
ステップ４０６では、解析された結果を基にデータベースファイルにアクセスして、ＳＱＬを処理する。
【００３５】
ステップ４０７では、ＳＱＬの実行を要求したユーザに適切な権限がなかった場合のエラーの処理を行う。
【００３６】
ステップ４０８では、ＳＱＬの実行結果を、ネットワークなどを介してクライアントに送信する。
【００３７】
ステップ４０９では、ステップ４０５と同じ判定を行う。
【００３８】
ステップ４１０では、個人情報へのアクセス要求がどのように処理されたかを、個人情報アクセス記録ファイル２１２に記録する。適切な権限を持つユーザからの要求で適切に処理されたのか、権限を持たないユーザからの要求であり処理されなかったのか、ハードウェア障害などにより要求が処理されなかったか、などを記録する。
【００３９】
ステップ４１１では、利用された個人情報の当事者に、その旨をＥメールその他の方法で通知する。個人情報アクセス通知部では、Ｅメールなどで通知する際、当事者にわかりやすい表現に加工する。
【００４０】
当事者に通知されるＥメールの例を図５に示す。５０１は、メンテナンスのため個人情報にアクセスしたことを通知した例である。５０２は、ダイレクトメールの発送作業のためにアクセスしたことを通知するものである。個人情報へのアクセスの都度Ｅメールで通知すると、回数が多くなり迷惑になるおそれがある場合は、月１回とするなど定期的にまとめてＥメールを送付する。または、メンテナンスによるアクセスの場合はＥメールで通知しないなど、通知条件を選択できるようにする。個人情報のデータが直接クライアントに送信された場合は通知が必要だが、レコード数のカウントのためだけに利用された場合は不要など、当事者の要望に応じて通知条件を変えることも可能である。
【００４１】
ここで、ダイレクトメールの発送作業を例にして、データベース運営の適切さを判断する方法を説明する。個人情報アクセス記録ファイル２１２内の識別番号（アクセス番号）をＥメールに含め、また、ダイレクトメールにも同じ番号を記載する運用にする。当事者は、Ｅメールで通知されたアクセス番号とダイレクトメールに記載されたアクセス番号を比較することで、適切な運用がされているかどうかを判断できる。例えば、Ｅメールとダイレクトメールのアクセス番号が一致しない場合やダイレクトメールが送られてこなかった場合、目的外の個人情報アクセスが疑われる。また、同じアクセス番号で複数のダイレクトメールが配信された場合は、個人情報が二重に管理されている可能性がある。
【００４２】
さらに、個人情報の一部（覚え書き）をホームページなどから当事者が自由に変更できる仕組みにしておくことで、より確実性を高めることができる。例えば、ダイレクトメールに覚え書きを記載する運用にすると、ダイレクトメールの覚え書きと最新の覚え書きが一致しない場合、データベースの運営団体で個人情報が二重に管理されている、または過去にアクセスされた個人情報が流用されている、と判断できる。
【００４３】
図６は、個人情報アクセスを当事者に開示する方法の一実施例である。Ｗｅｂブラウザを利用して、当事者が自分の都合のよいときにアクセス記録を調べる方法である。
【００４４】
６０１はＷｅｂブラウザであり、当事者が自身の個人情報へのアクセス記録を調べるためのものである。６０２はＷｅｂサーバであり、Ｗｅｂブラウザ６０１からのホームページ閲覧要求を処理する。６０３はアプリケーションサーバであり、当事者からの要求に従って、個人情報へのアクセス記録を開示するページを生成する。アプリケーションサーバ６０３は、Ｗｅｂサーバ６０２から呼び出される。また、アプリケーションサーバ６０３は個人情報のアクセス記録を、データベースサーバ６０４を呼び出して検索する。データベースサーバ６０４は、個人情報アクセス記録を格納するデータベース表６０６を保持する。個人情報アクセス記録６０５をデータベース表６０６に格納することで、個人情報アクセス記録をＳＱＬで検索できるようになる。当事者は、Ｗｅｂブラウザ６０１でホームページを参照することにより、自身の個人情報へのアクセス記録を調べることができる。
【００４５】
Ｅメールによる通知では、個人情報へのアクセス頻度が高くなると、すべてのアクセス記録を当事者に送信することは難しく、一部を省略する運用になる。図６の実施例と組み合わせると、省略されたアクセス記録を補うことができる。また、過去に遡ってアクセス記録を調べることができるようになる。
【図面の簡単な説明】
【００４６】
【図１】本発明の一実施例の、データベースシステムの構成である。
【図２】データベースシステムを構成するクライアント、データベースサーバ、端末内のプログラム処理部の構成である。
【図３】本発明の一実施例のデータベースサーバで管理する、データベース表のデータ構造である。
【図４】ＳＱＬの受付から、当事者への個人情報アクセス状況通知までのフローチャートである。
【図５】個人情報アクセスの通知例である。
【図６】当事者がホームページ上で個人情報アクセス記録を閲覧する場合のシステム構成である。
【符号の説明】
【００４７】
１０１…クライアント、１０２…データベース表、１０３…データベース、１０４…個人情報アクセス記録、１０５…データベースサーバ、１０６…端末。
【図１】
2005258495.tif 000003
【図２】
2005258495.tif 000004
【図３】
2005258495.tif 000005
【図４】
2005258495.tif 000006
【図５】
2005258495.tif 000007
【図６】
2005258495.tif 000008