(57)【要約】ユーザの１つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、個人認証手段と、仲介システムからの指令に従ってユーザの個人情報を送信する個人情報送信手段とを設ける端末装置と、サービス事業者がサービスを提供するために必要な項目についてのユーザの個人情報を仲介システムに対して要求する個人情報要求手段と、個人情報受信手段とを設けるサービス事業者システムと、端末適否判別手段と、サービス事業者システムから要求された必要な項目についてのユーザの個人情報をサービス事業者システムに送信するように端末装置に対して指令を行う送信指令手段とを設ける仲介システム、とを有する個人情報管理システム。
2004053759.tif 000002
【特許請求の範囲】
【請求項１】
サービス事業者のサービス事業者システムと、前記サービス事業者が提供するサービスを受けようとするユーザの端末装置と、前記ユーザの個人情報を前記サービス事業者に与えるための仲介を行う仲介システムと、を有してなる個人情報管理システムであって、
前記ユーザの端末装置には、
当該ユーザの１つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、
当該ユーザが当該端末装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、
前記仲介システムからの指令に従って当該ユーザの個人情報を送信する個人情報送信手段と、が設けられ、
前記サービス事業者のサービス事業者システムには、
当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を前記仲介システムに対して要求する個人情報要求手段と、
要求した前記ユーザの個人情報を当該ユーザの端末装置から受信する個人情報受信手段と、が設けられ、
前記仲介システムには、
前記ユーザの端末装置が前記サービスの提供を受けるための使用に適しているか否かを判別する端末適否判別手段と、
前記サービス事業者のサービス事業者システムの前記個人情報要求手段から要求された、前記必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置の前記個人認証手段によって当該ユーザが前記権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者システムに送信するように、当該端末装置に対して指令を行う送信指令手段と、が設けられてなる、
ことを特徴とする個人情報管理システム。
【請求項２】
前記仲介システムには、前記サービス事業者が前記サービスを提供するために必要な個人情報の項目を示す項目情報を、当該サービスの受付を始める前に予め記憶しておく項目記憶手段が設けられ、
前記送信指令手段は、前記項目情報に示される項目についての前記ユーザの個人情報を送信するように指令を行う、
請求項１記載の個人情報管理システム。
【請求項３】
前記項目記憶手段は、前記項目情報として、前記サービス事業者にとって直接必要な個人情報の項目を示す第一の項目情報と、前記サービス事業者を代行する二次事業者にとって必要な個人情報の項目を示す第二の項目情報と、を記憶し、
前記送信指令手段は、前記第一の項目情報に示される項目についての前記ユーザの個人情報を前記サービス事業者に宛てて送信し前記第二の項目情報が示す項目についての前記ユーザの個人情報を前記二次事業者に宛てて送信するように、指令を行う、
請求項２記載の個人情報管理システム。
【請求項４】
前記個人情報送信手段は、前記ユーザの個人情報を、宛先ごとにそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する、
請求項３記載の個人情報管理システム。
【請求項５】
前記個人情報記憶手段は、前記ユーザの個人情報として、当該ユーザ以外の者によって内容が正しいと認められた個人情報を記憶する、
請求項１ないし請求項４のいずれかに記載の個人情報管理システム。
【請求項６】
前記ユーザの端末装置には、
前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、
前記ユーザの身体的特徴を入力する特徴入力手段と、が設けられ、
前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う、
請求項１ないし請求項５のいずれかに記載の個人情報管理システム。
【請求項７】
サービス事業者の提供するサービスを受けようとするユーザの個人情報を、当該ユーザから当該サービス事業者に与えるための仲介を行う仲介システムであって、
前記ユーザの端末装置が前記サービスの提供を受けるための使用に適しているか否かを判別する端末適否判別手段と、
前記サービス事業者から要求された、当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置において当該ユーザが当該端末装置を使用する権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者に送信するように、当該端末装置に対して指令を行う送信指令手段と、
を有してなることを特徴とする仲介システム。
【請求項８】
前記サービス事業者が前記サービスを提供するために必要な個人情報の項目を示す項目情報を、当該サービスの受付を始める前に予め記憶しておく項目記憶手段を有し、
前記送信指令手段は、前記項目情報に示される項目についての前記ユーザの個人情報を送信するように指令を行う、
請求項７記載の仲介システム。
【請求項９】
サービス事業者が提供するサービスを受けるために用いられる端末装置であって、
前記サービスを受けようとするユーザの１つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、
前記ユーザが当該端末装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、
前記ユーザが前記権限を有する者であると認証された場合に、前記サービスを当該ユーザに提供するように前記サービス事業者に対して要求を行うサービス要求手段と、
前記要求に係る前記サービスを提供するために前記サービス事業者にとって必要な項目についての前記ユーザの個人情報を、当該サービス事業者に送信する個人情報送信手段と、
を有してなることを特徴とする端末装置。
【請求項１０】
前記個人情報送信手段は、前記必要な項目についての前記ユーザの個人情報のうち、前記サービス事業者を代行する二次事業者にとってのみ必要な個人情報は、当該サービス事業者の代わりに当該二次事業者に送信する、
請求項９記載の端末装置。
【請求項１１】
前記個人情報送信手段は、前記サービス事業者に送信する個人情報および前記二次事業者に送信する個人情報をそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する、
請求項１０記載の端末装置。
【請求項１２】
前記個人情報記憶手段は、前記ユーザの個人情報として、当該ユーザ以外の者によって内容が正しいと認められた個人情報を記憶する、
請求項９ないし請求項１１のいずれかに記載の端末装置。
【請求項１３】
前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、
前記ユーザの身体的特徴を入力する特徴入力手段と、を有し、
前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う、
請求項９ないし請求項１２のいずれかに記載の端末装置。
【発明の詳細な説明】
【技術分野】  この発明は、ユーザの個人情報を管理するシステムに関する。
【背景技術】  従来より、インターネットなどのネットワークを介してユーザに対してオンラインショッピングなどのサービスを提供する技術が提案されている。ユーザは、サービスを利用する前に、サービスを行うサービス事業者に対して自分の氏名、住所、連絡先、およびクレジットカードの番号などの個人情報を教えておかなければならない。
しかし、サービスに関係のない個人情報までをも、サービス事業者から求められることがある。また、一旦、個人情報がユーザの元から離れてしまうと、その後、その個人情報が漏洩したり散乱したりする可能性がある。
このような状況において、最近では、多くのユーザが、自分の個人情報はできるだけ自分自身で管理を行い、必要最小限の情報だけをサービス事業者に与えたい、という意識を持つようになっている。
一方、サービス事業者は、従来より、サービスを受けようとするユーザが正規のユーザであるか否かを判別する際に、ユーザＩＤおよびパスワードの入力を求め、これらの入力が正しければ正規のユーザであると認証している。
個人情報を管理するために、次のような技術が提案されている。特開２００２−９９８２９号公報に記載の発明は、ネットワークに接続されたユーザの端末とサービス提供のためにユーザの個人情報を要求するサービス提供サーバとの間に、個人情報を管理するサーバを設けている。また、特開２００２−７８９４号公報に記載の発明は、顧客情報（個人情報）を顧客管理システムのデータベースに一元的に蓄積する。
特開２００１−３５０７２１号公報に記載の発明によると、ユーザは、提供しようとする情報のタイトルを情報仲介端末で公開する。その情報を取得したい者（サービス事業者）は、端末のＷｅｂブラウザ上にそのタイトルを表示させ、これを指定する。すると、ユーザの端末は、指定があった旨の通知があったときにその情報を情報仲介端末に送信する。そして、情報仲介端末は、サービス事業者の端末がその情報を取得できるように保持する。
ところが、特開２００２−９９８２９号公報および特開２００２−７８９４号公報に記載の各発明によると、個人情報がユーザの管理から離れてネットワーク上で公開されているシステムに置かれるので、個人情報が漏洩するおそれがあり、ユーザにとって不安である。また、特開２００１−３５０７２１号公報に記載の発明によると、個人情報がネットワーク上のシステムに置かれる時間は短いものの、やはり、ユーザにとって不安である。
一方、サービス事業者は、ユーザＩＤおよびパスワードの入力が正しい場合は全て正規のユーザであると認証してしまうと、サービスの不正利用を許してしまい、ユーザからの信頼を失うおそれがある。不正利用されたユーザも、損害を被ることになる。
本発明は、このような問題点に鑑み、ユーザの個人情報をユーザ自身で管理しつつ、サービスの提供を受けるのに必要な個人情報を安全にサービス事業者に与え、信頼性の高いサービスが行われるようにすることを目的とする。
【発明の開示】
本発明に係る個人情報管理システムは、サービス事業者のサービス事業者システムと、前記サービス事業者が提供するサービスを受けようとするユーザの端末装置と、前記ユーザの個人情報を前記サービス事業者に与えるための仲介を行う仲介システムと、を有してなる。
前記ユーザの端末装置には、当該ユーザの１つまたは複数の項目についての個人情報を記憶する個人情報記憶手段と、当該ユーザが当該端末装置を使用する権限を有する者であるか否かの認証を行う個人認証手段と、前記仲介システムからの指令に従って当該ユーザの個人情報を送信する個人情報送信手段と、を設ける。
前記サービス事業者のサービス事業者システムには、当該サービス事業者が前記サービスを提供するために必要な項目についての前記ユーザの個人情報を前記仲介システムに対して要求する個人情報要求手段と、要求した前記ユーザの個人情報を当該ユーザの端末装置から受信する個人情報受信手段と、を設ける。
前記仲介システムには、前記ユーザの端末装置が前記サービスの提供を受けるための使用に適しているか否かを判別する端末適否判別手段と、前記サービス事業者のサービス事業者システムの前記個人情報要求手段から要求された、前記必要な項目についての前記ユーザの個人情報を、当該ユーザの端末装置の前記個人認証手段によって当該ユーザが前記権限を有する者であると認証されかつ前記端末適否判別手段によって当該端末装置が前記サービスの提供を受けるための使用に適していると判別された場合に、当該サービス事業者システムに送信するように、当該端末装置に対して指令を行う送信指令手段と、を設ける。
好ましくは、前記仲介システムには、前記サービス事業者が前記サービスを提供するために必要な個人情報の項目を示す項目情報を、当該サービスの受付を始める前に予め記憶しておく項目記憶手段を設ける。そして、前記送信指令手段は、前記項目情報に示される項目についての前記ユーザの個人情報を送信するように指令を行う。
または、前記項目記憶手段は、前記項目情報として、前記サービス事業者にとって直接必要な個人情報の項目を示す第一の項目情報と、前記サービス事業者を代行する二次事業者にとって必要な個人情報の項目を示す第二の項目情報と、を記憶し、前記送信指令手段は、前記第一の項目情報に示される項目についての前記ユーザの個人情報を前記サービス事業者に宛てて送信し前記第二の項目情報が示す項目についての前記ユーザの個人情報を前記二次事業者に宛てて送信するように、指令を行う。
または、前記個人情報送信手段は、前記ユーザの個人情報を、宛先ごとにそれぞれ異なる公開鍵を用いて公開鍵暗号方式によって暗号化して送信する。または、前記個人情報記憶手段は、前記ユーザの個人情報として、当該ユーザ以外の者によって内容が正しいと認められた個人情報を記憶する。
または、前記ユーザの端末装置には、前記ユーザの身体的特徴を示す特徴情報を記憶する特徴情報記憶手段と、前記ユーザの身体的特徴を入力する特徴入力手段と、を設ける。そして、前記個人認証手段は、前記ユーザの入力された身体的特徴および前記特徴情報記憶手段に記憶されている前記特徴情報に基づいて前記認証を行う。
または、前記端末装置に、前記ユーザが前記権限を有する者であると認証された場合に、前記サービスを当該ユーザに提供するように前記サービス事業者に対して要求を行うサービス要求手段を設ける。
【図面の簡単な説明】  図１は、本発明に係る個人情報管理システムの全体の構成の例を示す図である。
図２は、仲介システムのハードウェア構成の例を示す図である。
図３は、仲介システムの機能的構成の例を示す図である。
図４は、サービス提供システムの機能的構成の例を示す図である。
図５は、端末装置の機能的構成の例を示す図である。
図６は、個人情報の例を示す図である。
図７は、個人情報の例を示す図である。
図８は、サービス事業者に必要な準備の処理の流れの例を説明するフローチャートである。
図９は、ユーザに必要な準備の処理の流れの例を説明するフローチャートである。
図１０は、個人情報管理システムにおけるサービスの提供の処理の流れの例を説明するフローチャートである。
図１１は、認証処理の流れの例を説明するフローチャートである。
図１２は、利用可否の判定処理の流れの例を説明するフローチャートである。
図１３は、二次事業者の選定処理の流れの例を説明するフローチャートである。
図１４は、必要情報の収集処理の流れの例を説明するフローチャートである。
【発明を実施するための最良の形態】  添付の図面に従って、本発明をより詳細に説明する。図１は本発明に係る個人情報管理システム１の全体の構成の例を示す図である。
図１に示すように、本発明に係る個人情報管理システム１は、仲介システム１０、サービス提供システム２、端末装置３、およびネットワーク４などによって構成される。仲介システム１０、サービス提供システム２、および端末装置３は、ネットワーク４を介して互いに接続可能である。ネットワーク４として、インターネット、公衆回線、または専用線などが用いられる。
端末装置３として、Ｗｅｂブラウザおよび電子メールプログラムがインストールされたワークステーション、パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）、または携帯電話装置などが用いられる。
サービス提供システム２は、端末装置３のユーザに対してオンラインショッピング、チケット予約、オークション、またはオンラインバンキングなどのサービスを提供するサービス事業者（例えば、インターネットサービスプロバイダまたは金融機関など）ごとに設けられており、主にこれらのサービスを提供するための処理を行う。
サービス事業者は、サービスをユーザに提供するために、そのユーザの個人情報を必要とする場合がある。例えば、オンラインショッピングのサービスを行うサービス事業者は、商品の発送先の住所、トラブルがあった場合などに連絡を取るための電話番号または電子メールアドレス、または代金の支払いに用いられるクレジットカードのカード番号などの項目についての個人情報を必要とする。本実施形態では、ユーザの個人情報は、そのユーザ自身の端末装置３によって管理されている。サービス事業者は、必要が生じた時点で、必要最小限の項目についての個人情報をそのユーザの端末装置３から取得することができる。
ただし、この際に、サービス事業者は、必要な個人情報を、直接ユーザの端末装置３に対して要求するのではなく、仲介システム１０に対して要求する。仲介システム１０は、要求に係る個人情報をそのサービス事業者のサービス提供システム２に送信するように端末装置３に対して指令する。つまり、仲介システム１０は、サービス提供システム２の要求を端末装置３に伝える仲介の処理を行う。この仲介システム１０は、政府または役所などの公的機関、または公的機関が認めた機関など、個人情報を不正に用いない、信頼のある団体によって運営される。以下、仲介システム１０を運営する団体を「仲介局」と記載する。
その他、仲介局は、ユーザの個人情報の内容が正しいか否かを審査し、審査に合格した個人情報に電子署名を行う。ユーザは、審査に合格して電子署名がなされた個人情報によらなければ、サービス事業者からサービスを受けることができない。
また、ユーザは、サービス事業者が提供するサービスを受ける際に、自分が本人であること（つまり、そのユーザになりすました他人でないこと）を、そのユーザが使用する端末装置３に認証してもらわなければならない。さらに、その端末装置３が、サービスを受ける際に使用してもよい端末装置であるか否かを、仲介システム１０に認証してもらわなければならない。ユーザは、ユーザの認証および端末装置の認証の両方が得られた場合に、サービスの提供を受けることができる。
仲介システム１０およびサービス提供システム２として、例えば、電子メールサーバ、ＣＧＩ（Ｃｏｍｍｏｎ  Ｇａｔｅｗａｙ  Ｉｎｔｅｒｆａｃｅ）、およびＷｅｂサーバなどの機能を有するサーバ機が用いられる。図１に示すように、仲介システム１０を、１台のサーバ機によって構成してもよいし、複数台のサーバ機および種々の装置を組み合わせて構成してもよい。
図２は仲介システム１０のハードウェア構成の例を示す図、図３は仲介システム１０の機能的構成の例を示す図、図４はサービス提供システム２の機能的構成の例を示す図、図５は端末装置３の機能的構成の例を示す図、図６は個人情報７００の例を示す図、図７は個人情報７７の例を示す図である。
図２に示すように、仲介システム１０は、ＣＰＵ１０ａ、ＲＡＭ１０ｂ、ＲＯＭ１０ｃ、磁気記憶装置１０ｄ、ディスプレイ装置１０ｅ、マウスまたはキーボードなどの入力装置１０ｆ、フロッピディスクドライブまたはＣＤ−Ｒドライブなどのリムーバブルディスクドライブ１０ｇ、および各種インタフェースなどによって構成される。磁気記憶装置１０ｄには、オペレーティングシステム（ＯＳ）、上記の各機能を実現するためのプログラム、および図３に示す各機能を実現するためのプログラムおよびデータなどがインストールされている。これらのプログラムおよびデータは、必要に応じてＲＡＭ１０ｂにロードされ、ＣＰＵ１０ａによってプログラムが実行される。
サービス提供システム２および端末装置３のハードウェア構成も、図２に示す仲介システム１０の構成とほぼ同様である。サービス提供システム２および端末装置３のそれぞれの磁気記憶装置には、図４および図５に示す各機能を実現するためのプログラムおよびデータなどがインストールされている。端末装置３には、指紋入力装置、マイクロホン、またはディジタルカメラなどが必要に応じて接続される。
ただし、端末装置３として、ＰＤＡまたは携帯端末装置が用いられる場合は、必要なプログラムなどは、ＲＯＭ１０ｃに書き込まれる。フロッピディスクなどのリムーバブルディスクドライブ１０ｇは、必要に応じて外付けされる。
次に、図３、図４、および図５に示す各機能を、個人情報の信頼性を得るための機能、セキュリティおよび取引の信頼性を得るための機能、およびサービスの享受および提供のための機能に大別して説明する。
〔個人情報の信頼性を得るための機能〕
前に述べたように、仲介局は、ユーザの個人情報の内容が正しいか否かの審査を行う。ユーザは、例えば図６に示すような所定の項目に関する自分の個人情報７００を仲介局に提出し、審査の申請を行う。個人情報７００の提出は、これらの項目を記入した用紙、または記録したフロッピディスクまたはＣＤ−ＲＯＭなどのリムーバブルディスクを、仲介局に郵送することによって行う。この際に、ユーザの身分証明書のコピーを同封する。なお、仲介局は、ユーザが本人であるか否かをより確実に審査したい場合は、申請を仲介局の窓口でのみ受け付け、免許証またはパスポートなど写真付きの身分証明書の提示を求めるようにしてもよい。ユーザが本人であることを確認できるのであれば、これ以外の方法によって申請を受け付けてもよい。
個人情報７００の内容の審査は、基本的に、仲介局に勤める局員に行わせる。ただし、銀行口座またはクレジットカードに関する項目の個人情報の審査については、仲介局は、銀行またはカード会社に依頼してもよい。または、ユーザは、これらの項目の審査については、仲介局を介さずに銀行またはカード会社に直接審査の申請を行うようにしてもよい。この場合は、銀行またはカード会社が、「仲介局」の１つとなる。その他、項目に応じて種々の団体が審査を行うようにしてもよい。
仲介システム１０において、図３に示す署名個人情報出力部１０１は、ユーザが提出した個人情報７００のうち、審査に合格した個人情報７００に電子署名を行って署名個人情報７０ｓを生成する。そして、その署名個人情報７０ｓを、提出元であるユーザの端末装置３に対して出力する。審査に合格しなかった場合は、その旨をその理由とともにユーザに通知する。
署名個人情報７０ｓの出力は、その署名個人情報７０ｓを添付した電子メールを提出元であるユーザの電子メールアドレスに送信することによって行えばよい。または、その署名個人情報７０ｓをリムーバブルディスクに書き込むことによって行ってもよい。この場合は、そのリムーバブルディスクは、書留郵便などによってユーザの住所へ送られる。
端末装置３において、図５に示す個人情報入力部３０１は、仲介システム１０から出力された、電子署名がなされた個人情報すなわち署名個人情報７０ｓを、端末装置３に入力するための処理を行う。入力された署名個人情報７０ｓは、個人情報記憶部３０２に記憶され管理される。
仲介システム１０から端末装置３に送信される、あらゆる情報およびプログラムに関しては、個人情報にアクセスするものである以上、改ざんがないことを保証する意味で署名処理がなされていることが望ましい。
〔セキュリティおよび取引の信頼性を得るための機能〕
特徴情報記憶部３０３は、その端末装置３を使用する権限を有するユーザごとにバイオ情報７１を記憶する。バイオ情報７１は、人間の身体的特徴を示す情報である。バイオ情報７１として、例えば、指紋、声紋、瞳の虹彩、または筆跡など、人間一人ずつそれぞれ異なった特徴が表れるものが用いられる。
個人認証部３０４は、入力されたユーザの身体的特徴（例えば、指紋入力装置によって入力されたユーザの指紋）と特徴情報記憶部３０３に記憶されているバイオ情報７１とを照合することによって、そのユーザが端末装置３を使用する権限を有しているか否かを判別する。つまり、バイオ認証（バイオメトリックスまたは生体識別とも言う。）の手法によってユーザ認証の処理を行う。
個人認証部３０４によって使用の権限があると認証されたユーザは、サービス事業者が提供するサービスの提供を受けることができる。また、端末装置３は、そのユーザの端末装置として機能する。例えば、指紋を入力したユーザがユーザＡであると認証された場合は、その端末装置３は、ユーザＡの端末装置として機能する。なお、ユーザ認証は、端末装置３を起動する際に行ってもよいし、サービスの提供を受ける直前に行ってもよい。
図３に示す個体情報記憶部１０２は、端末装置３ごとに、その端末装置３の特徴を示す個体情報７２を端末識別コード７３と対応付けて記憶する。本実施形態において、「個体」とは、サービス事業者のサービスを受けるために使用される端末装置を意味する。個体情報７２として、例えば、端末装置３のハードウェア構成に関する情報、端末装置３に与えられたＩＰアドレスまたはＭＡＣアドレス、端末装置３の機種に関する情報、または端末装置３が携帯電話装置である場合はその携帯電話装置に与えられたシリアル番号、製造番号、または携帯電話番号などが用いられる。
サービス提供システム２において、図４に示す個体適否判別要求部２０１は、ユーザが今使用している端末装置３がサービス事業者のサービスを受ける際の使用に適しているか否かを判別するように、仲介システム１０に対して要求する処理を行う。この際に、個体適否判別要求部２０１は、その端末装置３から取得した端末識別コード７３を仲介システム１０に対して送信する。
図３に示す個体適否判別部１０３は、サービス提供システム２から送信されてきた端末識別コード７３に示される端末装置３が、サービス事業者のサービスの提供を受けるのに適しているか否かの判別を行う。係る判別は、例えば、ユーザが今使用している端末装置３の状態と、端末識別コード７３に対応する、個体情報記憶部１０２に記憶されている個体情報７２とを、比較することによって行われる。両者が一致すれば、ユーザが今使用している端末装置３は、サービスの提供を受けるための使用に適していると判別される。一致しなければ、他人が他の端末装置３を用いてそのユーザになりすましてサービスを受けようとしている可能性があるので、不適と判別される。判別の結果は、「適」または「不適」を示す個体適否情報７４として、要求元のサービス提供システム２に送信される。
または、端末装置３がＴＣＰＡ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｐｌａｔｆｏｒｍ  Ａｌｌｉａｎｃｅ）に定められる仕様すなわちＴＣＰＳ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｐｌａｔｆｏｒｍ  Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ）に準拠する場合は、ＴＣＰＡが提唱する方法によって判別を行ってもよい。例えば、端末装置３が、ＴＣＰＡ仕様のセキュリティ回路（セキュリティチップ）を有している場合は、このセキュリティ回路を用いて判別を行ってもよい。
〔サービスの享受および提供のための機能〕
端末装置３において、ユーザは、ＷｅｂブラウザにＵＲＬを指定するなどして、所望するサービスを提供するサービス事業者のＷｅｂサイトにアクセスする。以下、ユーザＡがオンラインショッピングを行うサービス事業者ＸのＷｅｂサイトにアクセスした場合を例に説明する。ユーザＡは、そのＷｅｂサイトの中に記載される説明または画像などを参考にして購入しようとする商品（提供を受けたいサービス）を選び、その商品の商品名または画像をクリックするなどして指定する。これにより、その商品の販売、という１つのサービスが選ばれたことになる。
すると、図５に示すサービス発注部３０７は、サービス事業者Ｘのサービス提供システム２に対してその商品の注文（サービスの要求）を行う。サービス提供システム２において、その注文が注文受付部２０７によって受け付けられると、サービス提供可否判別部２０２は、その商品をユーザＡに販売してもよいか否かを判別する。例えば、商品が酒類である場合は、ユーザＡが２０歳以上であれば、販売してもよいと判別する。商品が販売地域限定品である場合は、ユーザＡの住所がその地域内にあれば、販売してもよいと判別する。判別の処理は、次のような手順によって行われる。
サービス提供可否判別部２０２は、判別を行うために必要な個人情報を送信するように仲介システム１０に対して要求する。ただし、サービス事業者Ｘは、どのような項目に関する個人情報を必要とするのかを、その商品の販売（サービスの提供）を開始する前に予め仲介局に通知し、仲介システム１０に登録しておかなければならない。例えば、酒類を販売してもよいか否かを判別したい場合は２０歳以上であるか否かを示す項目を登録し、販売地域限定品を販売してもよいか否かを判別したい場合はユーザの住所がその地域内にあるか否かを示す項目を登録しておかなければならない。これらの項目は、仲介局によって審査され、サービスを提供する際に必要であると認められたときに登録される。したがって、サービスの提供に無関係な項目が含まれている場合は、登録を断られることになる。なお、これらの項目は、項目指定情報７５として仲介システム１０の項目指定情報記憶部１０４に記憶（登録）される。
図３に示す回答情報送信指令部１０５は、サービス提供可否判別部２０２から要求された項目の個人情報をサービス事業者Ｘのサービス提供システム２に送信するように、ユーザＡの端末装置３に対して指令を行う。係る指令は、項目指定情報記憶部１０４に予め登録されている項目指定情報７５に基づいて行われる。なお、要求された項目の個人情報を抽出するためのプログラムを端末装置３に送信することによって指令を行ってもよい。この場合のプログラムは、例えば、ＪａｖａアプレットまたはＪａｖａＳｃｒｉｐｔなどの言語によって記述される。
図５に示す回答情報送信部３０５は、回答情報送信指令部１０５からの指令に従って、または送信されてきたプログラムを実行することによって、個人情報記憶部３０２に記憶されているユーザＡの個人情報７００の中から必要な個人情報を抽出し、これに基づいて回答情報７６を生成してサービス事業者Ｘのサービス提供システム２に送信する。例えば、ユーザＡが２０歳以上であるか否かを示す個人情報が求められた場合は、ユーザＡの個人情報７００の中から年齢の情報を抽出する。そして、２０歳以上であった場合は「Ｙｅｓ」を示す回答情報７６を生成して送信し、２０歳未満であった場合は「Ｎｏ」を示す回答情報７６を生成して送信する。ただし、この回答情報７６は、情報の漏洩を防止するために、暗号化されて送信される。
そして、図４のサービス提供可否判別部２０２は、要求した個人情報として回答情報７６を受信し、これに基づいて商品をユーザＡに販売してもよいか否かを判別する。販売できないと判別された場合は、ユーザＡの端末装置３に対してその旨を通知する。
なお、回答情報７６の暗号化は、ＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：公開鍵基盤）の下で行われる。すなわち、公開鍵暗号方式によって行われる。サービス事業者Ｘは、公開鍵Ｋｘをすべてのユーザに公開し、この公開鍵Ｋｘに対応する秘密鍵Ｆｘを誰にも知られないように管理する。図５において、端末装置３は、この公開鍵Ｋｘを用いて回答情報７６を暗号化する。そして、サービス事業者Ｘのサービス提供システム２は、暗号化された回答情報７６を、秘密鍵Ｆｘを用いて復号する。以下、端末装置３からサービス提供システム２への個人情報などのデータの送信は、このような公開鍵暗号方式によって行われる。
図４に示す二次事業者選定部２０３は、サービス事業者の代わりに商品を配達しまたは商品の代金の徴収などを行う二次事業者を選ぶための処理を行う。係る処理は、次のような手順で行われる。
例えば、サービス事業者Ｘは、二次事業者として、東日本の家庭に配達を行う運送業者Ｕ１、西日本の家庭に配達を行う運送業者Ｕ２、およびクレジットカード会社Ｔ１、Ｔ２と業務提携を結んでいるとする。この場合に、二次事業者選定部２０３は、商品の配達を代行する運送業者および代金の徴収を代行するクレジットカード会社をそれぞれ１つずつ選ぶために、ユーザＡの住所が東日本にあるか西日本にあるか、およびユーザＡはクレジットカード会社Ｔ１、Ｔ２のうちのいずれのクレジットカード会社に加入しているか、という２つの項目についての個人情報を仲介システム１０に対して要求する。なお、前に述べたように、サービス事業者Ｘは、これらの要求を行うために、これらの項目を示す項目指定情報７５を仲介システム１０に予め登録しておかなければならない。
このとき、図３に示す回答情報送信指令部１０５および図５に示す回答情報送信部３０５は、前に述べた処理と同様の処理を行う。すなわち、回答情報送信指令部１０５は、二次事業者選定部２０３からの要求に係る項目についての個人情報をサービス事業者Ｘのサービス提供システム２に送信するように、ユーザＡの端末装置３に対して指令を行う。また、回答情報送信部３０５は、係る指令に従ってユーザＡの個人情報７００の中から、要求された個人情報を抽出し、回答情報７６を生成してサービス事業者Ｘのサービス提供システム２に送信する。例えば、ユーザＡの個人情報７００が図６に示すような内容である場合は、「住所＝西日本」および「クレジットカード会社＝Ｔ１」という内容を示す回答情報７６をサービス提供システム２に送信する。
そして、図４に示す二次事業者選定部２０３は、この回答情報７６に基づいて、二次事業者として例えば運送業者Ｕ２およびクレジットカード会社Ｔ１をそれぞれ選定する。
個人情報要求部２０４は、最終的にユーザＡに商品を販売するために必要な項目についてのユーザＡの個人情報を、サービス事業者Ｘおよび各二次事業者に送信するように、仲介システム１０に対して要求する。例えば、トラブルなどがあった場合にユーザＡと連絡を取るための電子メールに関する個人情報をサービス事業者Ｘに送信するように要求し、商品の配達先を示す氏名、住所、および電話に関する個人情報を運送業者Ｕ２に送信するように要求し、代金を徴収するためのクレジットカードに関する個人情報をクレジットカード会社Ｔ１に送信するように要求する。ただし、前に述べた通り、これらの必要な項目を示す項目指定情報７５を、仲介システム１０に予め登録しておかなければならない。この項目指定情報７５には、請求項３に記載する第一の項目情報および第二の項目情報が含まれている。
図３に示す個人情報送信指令部１０６は、個人情報要求部２０４から要求された各個人情報をサービス事業者Ｘおよび各二次事業者のところへ送信するように、ユーザＡの端末装置３に対して指令を行う。この際に、回答情報送信指令部１０５の場合と同様に、要求に係る情報を抽出するためのプログラムを端末装置３に送信してもよい。
図５に示す個人情報送信部３０６は、個人情報送信指令部１０６からの指令に基づいて、ユーザＡの個人情報７００の中から、要求された個人情報を抽出し、これらを暗号化して所定のサービス事業者および二次事業者に送信する。例えば、図６に示す個人情報７００の中から、図７（ａ）〜（ｃ）に示すような個人情報７７（７７ａ〜７７ｃ）が抽出される。そして、個人情報７７ａをサービス事業者Ｘに送信し、個人情報７７ｂを運送業者Ｕ２に送信し、個人情報７７ｃをクレジットカード会社Ｔ１に送信する。二次事業者ごとに個人情報７７を抽出してそれぞれに送信するので、後述する暗号化方式が脆弱化していた場合でも、転送中の不当な復号による個人情報の漏洩が逃れる。なお、これらの個人情報７７ａ〜７７ｃを互いに関連付けるために、同じ注文識別コードを付しておく。一旦、個人情報７７ａ〜７７ｃをまとめてサービス事業者Ｘのサービス提供システム２に送信するようにしてもよい。
なお、個人情報７７ａ〜７７ｃの暗号化は、それぞれ異なった公開鍵を用いて行われる。例えば、個人情報７７ａは、その送信先であるサービス事業者Ｘの公開鍵Ｋｘを用いて暗号化される。同様に、個人情報７７ｂ、７７ｃは、それぞれ、運送業者Ｕ２の公開鍵Ｋｕ２およびクレジットカード会社Ｔ１の公開鍵Ｋｔ１を用いて暗号化される。これらの公開鍵Ｋｘ、Ｋｕ２、およびＫｔ１に対応する秘密鍵Ｆｘ、Ｆｕ２、およびＦｔ１は、それぞれ、サービス事業者Ｘ、運送業者Ｕ２、およびクレジットカード会社Ｔ１のみが所有している。したがって、これら三者は、自分以外に宛てた個人情報７７の内容を見ることができない。つまり、各サービス事業者は、自己のサービスのためには知る必要のない個人情報を閲覧することができない。
個人情報７７は、図４に示す個人情報受信部２０５によってサービス提供システム２に受信される。個人情報７７ｂ、７７ｃが受信された場合は、個人情報分配部２０６によってそれぞれ運送業者Ｕ２およびクレジットカード会社Ｔ１に転送される。そして、サービス事業者Ｘおよび各二次事業者は、それぞれ取得したユーザＡの個人情報７７に基づいて、商品の発送または代金の徴収などサービスの提供のための処理を行う。
図８はサービス事業者に必要な準備の処理の流れの例を説明するフローチャート、図９はユーザに必要な準備の処理の流れの例を説明するフローチャート、図１０は個人情報管理システム１におけるサービスの提供の処理の流れの例を説明するフローチャート、図１１は認証処理の流れの例を説明するフローチャート、図１２は利用可否の判定処理の流れの例を説明するフローチャート、図１３は二次事業者の選定処理の流れの例を説明するフローチャート、図１４は必要情報の収集処理の流れの例を説明するフローチャートである。
次に、個人情報管理システム１における処理の流れを、フローチャートを参照して説明する。
サービス事業者は、ユーザにサービスを提供する前に、図８に示すような準備をしておかなければならない。すなわち、サービス事業者は、仲介システム１０の使用を許可するように仲介局に対して依頼し、そのサービス事業者に関する情報（例えば、事業者名、代表者の氏名、住所、連絡先、担当者の氏名および電子メールアドレス、およびＷｅｂサイトのＵＲＬなど）を仲介システム１０に登録してもらう（＃８１）。なお、仲介局は、サービス事業者を審査し、その結果、例えば個人情報の守秘義務を果たさないような信頼性のないサービス事業者であると認められた場合は、登録を拒否する。
そして、サービスの提供の際にどのような項目についての個人情報が必要であるかを示す項目指定情報７５を仲介システム１０に登録しておく（＃８２）。なお、新製品の販売を開始するなど、新たなサービスの提供を開始したいときは、それに合わせて項目指定情報７５を新たに登録しておかなければならない場合がある。
一方、ユーザは、サービス事業者からサービスの提供を受ける前に、図９に示すような準備をしておかなければならない。すなわち、サービスの提供を受ける際に使用する端末装置３（個体）に関する情報を仲介システム１０に登録しておく（＃９１）。ユーザ自身の個人情報を仲介局に提示し、その内容が正しいか否かを審査してもらう（＃９２）。審査に合格した場合は、その個人情報をその端末装置３に記憶させておく（＃９３）。そして、その端末装置３に、ユーザの指紋または声紋などをバイオ情報７１として登録しておく（＃９４）。なお、ステップ＃９１、＃９２〜＃９３、および＃９４の各処理は並行して行ってもよいし、順序を入れ替えて行ってもよい。
これらの準備が完了した後、例えば図１０に示す手順により、サービス事業者からユーザにサービスが提供される。まず、サービスの提供を受けるユーザおよびそのユーザの端末装置３についての認証の処理を行う（＃１）。具体的には、図１１に示すように、端末装置３において、そのユーザ自身の指紋などを入力し、予め登録されているバイオ情報７１と照合して、そのユーザが正しいユーザであるか否かを認証する（＃１１）。すなわち、バイオ認証を行う。
正しいユーザであると認証されなかった場合は（＃１１でＮｏ）、そのユーザはサービスの提供を受けることができないものとして取り扱われる（＃１５）。正しいユーザであると認証された場合は（＃１１でＹｅｓ）、そのユーザの端末装置３がサービスの提供を受けるための使用に適しているか否かについて判別（認証）を行うように、サービス提供システム２を介して仲介システム１０に対して依頼する（＃１２、＃１３）。
端末装置３が使用に適していると認証された場合は（＃１４でＹｅｓ）、ユーザは今使用している端末装置３によってサービス事業者からのサービスを受けることができると判別される。そして、図１０のステップ＃２以降の処理を行う。そうでない場合は、ユーザはその端末装置３によってはサービスの提供を受けることができないと判別され、サービスのための処理を終了する（＃１５）。
図１０に戻って、サービス提供システム２において、必要に応じて、ユーザにサービスを提供してもよいか否かの判別を行う（＃２）。具体的には、まず、図１２に示すように、係る判別のために必要な個人情報をサービス提供システム２に送信するように、仲介システム１０に対して要求する（＃２１）。例えば、酒類の販売を行いたい場合は、そのユーザが２０歳以上であるか否かを示す項目についての個人情報を要求する。
仲介システム１０は、そのユーザの端末装置３に対して、要求に係る個人情報を抽出してサービス提供システム２に送信するように指令を行う（＃２２）。すると、端末装置３は、そのユーザの個人情報７００に基づいて回答情報７６を生成して要求元のサービス提供システム２に送信する（＃２３）。例えば、個人情報７００が図６に示すような内容である場合は、生年月日および現在の日付に基づいて「２０歳以上＝Ｙｅｓ」という内容の回答情報７６が得られる。つまり、そのユーザは２０歳以上であると判別できる。なお、仲介システム１０による指令は、要求に係る個人情報を抽出するためのプログラム（判別プログラム）を送信することによって行ってもよい。
回答情報７６を送信した旨の履歴情報をログファイルに書き込んで記録しておいてもよい（＃２４）。これにより、サービス事業者が不正にユーザの個人情報を取得しようとしているか否かを調査するための資料を得ることができる。ログファイルの保存場所は、仲介システム１０であっても端末装置３であってもよい。なお、提供する相手を問わないサービスの場合は、ステップ＃２１〜＃２４の処理すなわち図１０のステップ＃２の処理は不要である。
図１０に戻って、サービス提供システム２において、二次事業者の選定を必要に応じて行う（＃３）。選定のために必要な項目についてのユーザの個人情報を、そのユーザの端末装置３から取得し、これに基づいて選定を行う。係る個人情報の取得の処理は、図１３に示す手順で行われる。まず、仲介システム１０に対して、必要な個人情報を要求する（＃３１）。例えば、運送業者を選定したい場合は、ユーザの住んでいる地域に関する個人情報を要求する。
仲介システム１０は、図１２のステップ＃２２の場合と同様に、そのユーザの端末装置３に対して、要求に係る個人情報を抽出してサービス提供システム２に送信するように指令を行う（＃３２）。端末装置３は、ステップ＃２３の場合と同様に、抽出した個人情報に基づいて回答情報７６を生成し、要求元のサービス提供システム２に送信する（＃３３）。このとき、送信の履歴情報をログファイルに記録しておく（＃３４）。
図１０に戻って、ユーザがサービスの提供を受けるのに適していることの確認（＃１、＃２）、および二次事業者の選定ができれば（＃３）、最終的にユーザにサービスを提供するために必要な個人情報（例えば商品の送り先の住所および代金の徴収のためのクレジットカード番号など）を端末装置３からサービス提供システム２に与えるための処理を行う（＃４）。
すなわち、図１４に示すように、サービス提供システム２は、必要な個人情報を送信するように仲介システム１０に対して要求する（＃４１）。仲介システム１０は、要求された個人情報をサービス提供システム２に送信するように、そのユーザの端末装置３に対して指令を行う（＃４２）。係る指令は、情報を抽出するためのプログラムを送信することによって行ってもよい。
端末装置３は、要求された個人情報をそのユーザの個人情報７００の中から収集（抽出）し、要求元のサービス提供システム２に送信する（＃４３）。このとき、図１２のステップ＃２４の場合と同様に、送信の履歴情報をログファイルに記録しておく（＃４４）。サービス提供システム２は、受信した個人情報を、必要に応じて二次事業者に転送する（＃４５）。
そして、図１０に戻って、サービス事業者および各二次事業者は、それぞれ受信した個人情報に基づいてユーザにサービスを提供するための処理を行う（＃５）。
本実施形態によると、ユーザの個人情報をユーザ自身で管理しつつ、サービスの提供を受けるために最小限必要な個人情報だけをサービス事業者に与えることができる。これにより、個人情報の漏洩および散乱を防止することができる。
また、個人認証および個体認証を行うことによって、不正な第三者によるサービスの利用を防止することができる。個人情報などは、その送信先ごとにそれぞれ異なる公開鍵を用いて暗号化するので、情報の漏洩および散乱をさらに効果的に防止することができる。個人情報に電子署名を行うことにより、個人情報の不正な書換えを防止することができる。
よって、ユーザは安心してサービス事業者のサービスを受けることができる。一方、サービス事業者は、個人情報の内容を信頼し、安心して注文を受けることができる。
本実施形態においては、個人情報などの暗号化は、公開鍵暗号方式によって行ったが、共通鍵暗号方式であってもよいし、両者の組合せであってもよい。
端末装置３は、ユーザの個人情報をサービス提供システム２に送信する前に、その個人情報の内容が正しいか否かを確認するようにしてもよい。例えば、クレジットカードについての個人情報を送信する前に、クレジットカード会社に対して与信チェックを要求し、そのクレジットカードの有効期限が切れていないかどうか、または利用限度額を超えていないかどうか、などを確認するようにしてもよい。同様に、市役所などに対して、引越しなどに伴ってユーザの住所などに変更がないかどうかを確認するようにしてもよい。これらのチェックを要求するためのプログラムは、仲介システム１０から端末装置３に配信するようにしてもよい。
端末装置３は、個人情報などをサービス提供システム２に送信する前に、具体的にどのような項目についてサービス提供システム２に送信しようとしているのかを、ユーザに対して知らせるようにしてもよい。そして、Ｗｅｂブラウザに表示されたボタンをクリックするなどの操作があった場合に、送信を行うようにしてもよい。または、送信を行った後に、その旨を知らせるようにしてもよい。
その他、個人情報管理システム１、仲介システム１０、サービス提供システム２、端末装置３の全体または各部の構成、個人情報の内容、処理内容、処理順序などは、本発明の趣旨に沿って適宜変更することができる。
【産業上の利用可能性】  以上のように、本発明に係る個人情報管理システム、仲介システム、および端末装置は、ユーザの個人情報をユーザ自身で管理しつつ、サービスの提供を受けるのに必要な個人情報を安全にサービス事業者に与え、信頼性の高いサービスが行われるようにすることができる点で有用なものである。
【図１】
2004053759.tif 000003
【図２】
2004053759.tif 000004
【図３】
2004053759.tif 000005
【図４】
2004053759.tif 000006
【図５】
2004053759.tif 000007
【図６】
2004053759.tif 000008
【図７】
2004053759.tif 000009
【図８】
2004053759.tif 000010
【図９】
2004053759.tif 000011
【図１０】
2004053759.tif 000012
【図１１】
2004053759.tif 000013
【図１２】
2004053759.tif 000014
【図１３】
2004053759.tif 000015
【図１４】
2004053759.tif 000016
【国際調査報告】
2004053759.tif 000017
2004053759.tif 000018
2004053759.tif 000019
2004053759.tif 000020