(57)【要約】  ポリシ変更入力装置（１０）において、ユーザからのプライバシポリシの変更要求があったときに、ポリシ再計算手段（１３３）が、既存ポリシと更新ポリシとを比較し、比較結果にもとづいて他のプロバイダに送信する送信ポリシを再計算し、再計算した送信ポリシを他のプロバイダに送信する。ポリシ再計算手段（１３３）は、ユーザによるプライバシポリシの変更の結果、他のプロバイダにおいて個人情報を利用することができなくなったと判断したときは、削除要求生成手段（１３５）より個人情報の削除要求を他のプロバイダに送信する。
2007148562.tif 000002
【特許請求の範囲】
【請求項１】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理システムであって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置（１０、４０、２０）を備え、
前記管理装置（１０、４０、２０）は、
個人情報を保管して管理する個人情報管理手段（１１、２１）と、
個人情報に応じたポリシを保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理手段（１２、２２）と、
所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成手段（１３）とを含む
ことを特徴とする共有管理システム。
【請求項２】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理システムであって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置（１０、４０）と、
前記複数の管理装置間で送受信されるデータを中継する中継装置（３０）とを備え、
前記管理装置（１０、４０）は、
個人情報を保管して管理する個人情報管理手段（１１）と、
個人情報に応じたポリシを保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理手段（１２）とを含み、
前記中継装置（３０）は、
所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成手段（３６）を含む
ことを特徴とする共有管理システム。
【請求項３】
前記管理装置（１０、４０）は、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付手段（１４）を含む
請求項１又は請求項２記載の共有管理システム。
【請求項４】
前記管理装置又（１０、４０）又は中継装置（３０）は、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信手段（４８）を含む
請求項１から請求項３のうちのいずれか１項に記載の共有管理システム。
【請求項５】
前記ポリシ生成手段（１３、３６）は、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとする
請求項１から請求項４のうちのいずれか１項に記載の共有管理システム。
【請求項６】
前記ポリシ生成手段（１３、３６）は、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、
前記他の管理装置の個人情報管理手段（１１、２１）は、個人情報の削除要求に応じて、保管している個人情報を削除する
請求項５記載の共有管理システム。
【請求項７】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理方法であって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置（１０、４０、２０）が制御プログラムに従って、
個人情報を記憶手段に保管して管理する個人情報管理ステップと、
個人情報に応じたポリシを前記記憶手段（１１２、２１２、１２２、２２２）に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理ステップと、
所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成ステップとを実行する
ことを特徴とする共有管理方法。
【請求項８】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理方法であって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置（１０、４０）が制御プログラムに従って、
個人情報を記憶手段（１１２、２１２、１２２、２２２）に保管して管理する個人情報管理ステップと、
個人情報に応じたポリシを前記記憶手段に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理ステップとを実行し、
前記複数の管理装置で送受信されるデータを中継する中継装置が制御プログラムに従って、
所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成ステップを実行する
ことを特徴とする共有管理方法。
【請求項９】
前記管理装置（１０、４０）が、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付ステップを実行する
請求項７又は請求項８記載の共有管理方法。
【請求項１０】
前記管理装置（１０、４０）又は中継装置（３０）が、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信ステップを実行する
請求項７から請求項９のうちのいずれか１項に記載の共有管理方法。
【請求項１１】
前記ポリシ生成ステップにおいて、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとする
請求項７から請求項１０のうちのいずれか１項に記載の共有管理方法。
【請求項１２】
前記ポリシ生成ステップにおいて、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、
個人情報管理ステップにおいて、個人情報の削除要求に応じて、保管している個人情報を削除する
請求項１１記載の共有管理方法。
【請求項１３】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理するために、コンピュータを作動させるプログラムであって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置（１０、４０）に、
個人情報を記憶手段に保管して管理する個人情報管理処理と、
個人情報に応じたポリシを前記記憶手段に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理処理と、
所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成処理とを実行させるプログラム。
【請求項１４】
複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理するために、コンピュータを作動させるプログラムであって、
複数のプロバイダが個人情報を共有して管理するための複数の管理装置において送受信されるデータを中継する中継装置（３０）に、
所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、前記他の管理装置で管理されているポリシを変更し、変更したポリシを前記他の管理装置に送信するポリシ生成処理を実行させるプログラム。
【請求項１５】
管理装置に、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付処理を実行させるための
請求項１３記載のプログラム。
【請求項１６】
管理装置（１０、４０）又は中継装置（３０）に、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信処理を実行させるための
請求項１３から請求項１５のうちのいずれか１項に記載のプログラム。
【請求項１７】
ポリシ生成処理において、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとする
請求項１３から請求項１６のうちのいずれか１項に記載のプログラム。
【請求項１８】
ポリシ生成処理において、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、
個人情報管理処理において、個人情報の削除要求に応じて、保管している個人情報を削除する
請求項１７記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のプロバイダにおいて個人情報を共有して管理する共有管理システム、共有管理方法およびプログラムに関し、特に個人情報のライフサイクルを制御できる共有管理システム、共有管理方法およびプログラムに関する。
【背景技術】
【０００２】
従来の情報共有システムの一例が、特開２００５−２２２５５２号公報に記載されている。図１５に示すように、従来の情報共有システムは、複数のデバイスから構成され、デバイス間でデータとその管理条件を送受信する。【０００３】
この従来の情報共有システムは次のように動作する。２つのデバイス間、例えば、職場ＰＣ５１とデバイス５２間でデータを共有し、或いは、これらデバイス間でデータの同期を取るために、一方のデバイス、例えば職場ＰＣ５１が、データとその管理条件をデバイス５２に送信する。データを受信したデバイス５２はさらに自宅ＰＣ５３に対して、送受信したデータを自動的に送信する。このとき、ユーザはデータを送受信するデバイス間で自動的にデータを交換することを許可するか否かを設定できる。これによって、ユーザはデータの共有する範囲を限定することができ、データの共有を制御できる。【０００４】
また、個人情報を管理するシステムの一例が、特開２００２−２６９０９２号公報に記載されている。該公報に記載されているシステムでは、電子市場提供者が会員情報中の情報種別毎にアクセスを制御する情報（公開ポリシ）を会員管理システムのデータベースに登録し、情報種別毎に会員情報の所有者（電子市場提供者、ＡＳＰ事業者、ＡＳＰ、ＡＳＰ利用者）を決定する。また、所有者毎に、各自が管理・所有する会員情報に対するアクセスを制御する情報（公開ルール）を会員管理システムのデータベースに登録する。会員情報の更新又は照会が要求されたときに、公開ポリシ及び公開ルールを参照して更新又は照会の可否を判定する。【０００５】
また、個人情報を保護するシステムの一例が、特開２００４−５５８３号公報に記載されている。該公報に記載されているシステムでは、クライアントから取得するユーザの個人情報の取扱い基準を記述したポリシ情報と、クライアントからサーバへの個人情報の提供内容をポリシ情報に応じて定義したプレファレンス情報とを関連付けて登録しておき、サーバがポリシ情報をユーザの了解を得ずに変更していないかどうかを確認するために、現時点のプレファレンス情報及びポリシ情報と、登録済みのプレファレンス情報及びポリシ情報とを照合する。【０００６】
一般に、ユーザは、プロバイダが提示するプライバシポリシ（個人情報の取り扱い条件）に同意した上で、ユーザの個人情報をプロバイダに提供する。複数のプロバイダがユーザの個人情報を各々で管理しており、ユーザの同意があれば個人情報を他のプロバイダに提供することが可能である。このように、複数のプロバイダ間で個人情報を流通させることにより、プロバイダ同士で個人情報を共有することが可能となる。【０００７】
ところで、ユーザがプライバシポリシの変更を希望することがある。例えば、ユーザが特定のプロバイダのサービスの利用を中止するために、プライバシポリシにおける個人情報の利用目的を変更することが考えられる。また、プロバイダがプライバシポリシを変更することもある。例えば、プロバイダがセキュリティを強化するために個人情報の利用を制限することも考えられる。【０００８】
そのような場合に、ユーザの個人情報を共有している全てのプロバイダに対してプライバシポリシの変更を反映させることができる技術については、先に述べた特許文献には記載がない。一方、全てのプロバイダに対してプライバシポリシの変更を反映させなければ、ユーザの同意していない個人情報の取扱いが行われるおそれがあり、個人情報保護の観点から不当である。また、プライバシポリシの変更を反映させるとしても、以前に規定されていたプライバシポリシと整合のとれたプライバシポリシに変更しなければ、ユーザの同意している範囲外の個人情報の取り扱いが認められてしまうことになりかねない。
【発明の概要】
【０００９】
そこで、本発明は、個人情報を共有するプロバイダに対してユーザの同意した範囲内でプライバシポリシの変更を反映させることができる共有管理システム、共有管理方法およびプログラムを提供することを目的とする。
【００１０】
本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理システムであって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置を備え、管理装置は、個人情報を保管して管理する個人情報管理手段と、個人情報に応じたポリシを保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理手段と、所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成手段とを含むことを特徴とする共有管理システムを提供する。
【００１１】
また、本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理システムであって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置と、複数の管理装置間で送受信されるデータを中継する中継装置とを備え、管理装置は、個人情報を保管して管理する個人情報管理手段と、個人情報に応じたポリシを保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理手段とを含み、中継装置は、所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成手段を含むことを特徴とする共有管理システムを提供する。
【００１２】
更に、本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理方法であって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置が制御プログラムに従って、個人情報を記憶手段に保管して管理する個人情報管理ステップと、個人情報に応じたポリシを記憶手段に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理ステップと、所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成ステップとを実行することを特徴とする共有管理方法を提供する。
【００１３】
更に、本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理する共有管理方法であって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置が制御プログラムに従って、個人情報を記憶手段に保管して管理する個人情報管理ステップと、個人情報に応じたポリシを記憶手段に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理ステップとを実行し、複数の管理装置で送受信されるデータを中継する中継装置が制御プログラムに従って、所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成ステップを実行することを特徴とする共有管理方法を提供する。
【００１４】
更に、本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理するためのプログラムであって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置に、個人情報を記憶手段に保管して管理する個人情報管理処理と、個人情報に応じたポリシを記憶手段に保管し、所定の個人情報に関するポリシの変更要求に応じてポリシの内容を変更するポリシ管理処理と、所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成処理とを実行させることを特徴とするプログラムを提供する。
【００１５】
更に、本発明は、複数のプロバイダにおいて個人情報の取り扱いに関する条件を規定したポリシに従って該個人情報を共有して管理するためのプログラムであって、複数のプロバイダが個人情報を共有して管理するための複数の管理装置において送受信されるデータを中継する中継装置に、所定の管理装置からの所定の個人情報に関するポリシの変更要求に応じて、他の管理装置で管理されているポリシを変更する必要があるか否かを判定し、変更する必要がある場合に、他の管理装置で管理されているポリシを変更し、変更したポリシを他の管理装置に送信するポリシ生成処理を実行させることを特徴とするプログラムを提供する。
【００１６】
本発明の前記目的及び他の目的、特徴及び利点は、添付の図面を参照しての以下の記述により明らかになる。
【図面の簡単な説明】
【００１７】
【図１】本発明の第１の実施例におけるプロバイダの関係を示す説明図である。
【図２】本発明の第１の実施例における共有管理システムの構成を示すブロック図である。
【図３】本発明の第１の実施例におけるプロバイダで取り扱われるプライバシポリシの例を示す説明図である。
【図４】本発明の第１の実施例における個人情報共有処理を示すフローチャートである。
【図５】本発明の第１の実施例におけるポリシ変更入力処理を示すフローチャートである。
【図６】本発明の第１の実施例におけるポリシ変更要求処理を示すフローチャートである。
【図７】本発明の第２の実施例におけるプロバイダの関係を示す説明図である。
【図８】本発明の第２の実施例における共有管理システムの構成を示すブロック図である。
【図９】本発明の第２の実施例におけるプロバイダで取り扱われるプライバシポリシの例を示す説明図である。
【図１０】本発明の第２の実施例におけるポリシ変更要求処理を示すフローチャートである。
【図１１】本発明の第３の実施例における共有管理システムの構成を示すブロック図である。
【図１２】本発明の第３の実施例におけるポリシ変更入力処理を示すフローチャートである。
【図１３】本発明の第４の実施例における共有管理システムの構成を示すブロック図である。
【図１４】本発明のシステム全体の動作を説明するためのシーケンス図である。
【図１５】従来のデバイス間で個人情報のデータオブジェクトが共有されるシステムを示すブロック図である。
【発明を実施するための最良の形態】
【００１８】
以下、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
第１の実施例．
図１は、本発明の第１の実施例におけるプロバイダの関係を示す説明図である。図１に示す構成において、電話会社６１、電力会社６２及び銀行６３がプロバイダに相当する。この実施例では、「プロバイダ」とは、何らかのサービスをユーザの提供する組織（あるいは会社）のことをいう。プロバイダの例として、電話会社、電力会社及び銀行をあげているが、そのようなプロバイダに限られるわけではなく、何らかのサービスをユーザに提供する組織であれば、この実施例で言うプロバイダに該当する。例えば、インターネットへの接続サービスを提供するインターネットサービスプロバイダ（ＩＳＰ）や、コンテンツを提供するＷｅｂサイトの運営者などもプロバイダに該当する。但し、本発明が個人情報を共有して管理するシステムに関する発明であるので、サービスを提供するプロバイダのうち個人情報を取り扱うプロバイダのシステムに本発明が適用されることになる。【００１９】
各プロバイダは、それぞれ、ユーザの個人情報をユーザ６４から取得し、又は自身で個人情報を発行する。そして、各プロバイダ６１、６２、６３は、取得等した個人情報をユーザ毎に登録して管理している。各プロバイダが個人情報をユーザから取得等する際に、プロバイダ６１、６２、６３とユーザ６４との間でプライバシポリシが締結される。ここで、「プライバシポリシ」とは、個人情報の取り扱いに関して定めた基準・方針・規則のことをいう。【００２０】
一般的には、プロバイダが各ユーザの個人情報の取り扱いに関する基準・方針などを定め、それをプライバシポリシとして公開し、そのプライバシポリシに明示的又は黙示的に同意したユーザが個人情報をプロバイダに提供するようにしている。これに対し、この実施例では、ユーザとプロバイダが個人情報の取り扱いに関する基準・方針など（規則又は条件）をプライバシポリシとして決定した上で、ユーザが個人情報をプロバイダに提供するようにしている。一般的なプライバシポリシの策定方法では、プロバイダが一方的にプライバシポリシを定めていたので、各ユーザの意思が反映されたプライバシポリシが策定されているとは言えず、また、ユーザの意思に従ってプライバシポリシの変更を行うことは困難であった。一方、この実施例における方法では、ユーザの意思が反映されたプライバシポリシを策定することができ、また、ユーザの意思に従ってプライバシポリシの変更も行うことができる。このように、ユーザの意思を反映させた形でプライバシポリシが決められるので、ユーザ毎にプライバシポリシが異なることになる。【００２１】
具体的には、次のようにユーザとプロバイダとの間でプライバシポリシが決定される。ここでは、図１に示すように、ユーザとプロバイダ「電話会社」６１がユーザの個人情報「電話番号」に関するプライバシポリシを決定する場合について説明する。プライバシポリシにおける個人情報を取り扱う条件（項目）として、例えば図３（Ａ）に示すように、個人情報にアクセスする権限（「アクセス権」）や、個人情報の利用目的（「利用目的」）、個人情報を管理する方法（「管理方法」）、個人情報を再配布する場合（相手先）の条件（「再配布条件」）があるものとする。【００２２】
プロバイダ６１は、上記の各条件（項目）における詳細な内容を予め複数定めておき、定めた内容をユーザ６４に提示する。ユーザ６４は、提示された内容から任意に選択してプライバシポリシの詳細な条件を決定する。図３（Ａ）に示す例では、「アクセス権」については、「ユーザ：ｒｘｗ」と「管理者：ｒｘ−」が選択され、「利用目的」については、「ユーザ管理」、「サービス提供」、「マーケティング」、「広告」が選択され、「管理方法」については、「永続的に利用」が選択され、「再配布条件」については、「電話会社」、「銀行」、「電力会社」が選択されている。このようにしてユーザ６４とプロバイダ６１によってユーザ固有のプライバシポリシが決定されることになる。そして、プロバイダ６１は、決定されたプライバシポリシに従ってユーザの個人情報を取り扱うことになる。なお、以上のようなプライバシポリシの決定方法は一例であって、そのような方法に限られるわけではない。【００２３】
ユーザ６４が個人情報の再配布を認めている場合には、個人情報が他のプロバイダ６２、６３に配布される。具体的には、図３（Ａ）に示すように、「再配布条件」に「銀行」と「電力会社」が含まれているときは、「電話会社」は「銀行」と「電力会社」にユーザの個人情報「電話番号」を提供することができる。これにより、ユーザの個人情報「電話番号」がプロバイダ「電話会社」「銀行」「電力会社」間で共有されることになる。【００２４】
複数のプロバイダ６１、６２、６３間で個人情報を共有する場合は、他のプロバイダから個人情報の提供を受けたプロバイダ（電力会社６２、銀行６３）は、個人情報を取得又は発行したプロバイダ（電話会社６１）においてユーザと締結したプライバシポリシに定められた範囲内で、他のプロバイダから提供された個人情報を利用しなければならない。個人情報を取得等したプロバイダにおけるプライバシポリシの範囲外での個人情報の利用は、ユーザの同意した範囲を超えた個人情報の利用となるからである。従って、個人情報を取得等したプロバイダ（電話会社６１）におけるプライバシポリシの範囲内で、個人情報を取得等したプロバイダと個人情報の提供を受けたプロバイダ（電力会社６２、銀行６３）との間において、提供される個人情報に関するプライバシポリシが交換されることになる。【００２５】
図３（Ｂ）には、電話会社６１と銀行６３との間で交換（締結）されたプライバシポリシを示している。また、図３（Ｃ）には、電話会社６１と電力会社６２との間で交換されたプライバシポリシを示している。図３（Ｂ），（Ｃ）に示すプライバシポリシは、いずれも、ユーザと電話会社との間で締結されたプライバシポリシの範囲内の内容となっている。【００２６】
ユーザ６４は、プロバイダ６１、６２、６３に対するサービスの利用状況などに応じて、最初にプロバイダ（電話会社６１）と締結したプライバシポリシの内容を変更することが可能である。例えば、図３（Ａ）に示すようなプライバシポリシ（「利用目的」が「ユーザ管理」「サービス提供」「マーケティング」「広告」）が締結されていた場合に、図３（Ｄ）に示すようなプライバシポリシ（「利用目的」が「ユーザ管理」「サービス提供」）に変更することができる。この場合は、ユーザの同意した個人情報の利用目的の範囲が狭まったことになるので、電話会社６１におけるプライバシポリシの変更に合わせて、電話会社６１と銀行６３との間のプライバシポリシや電話会社６１と電力会社６２との間のプライバシポリシも変更しなければ、ユーザの同意していない範囲外の個人情報の利用が電力会社や銀行で行われるおそれがある。そこで、電話会社６１は、図１に示すように、ユーザの個人情報を共有している電力会社６２と銀行６３に対して、プライバシポリシの変更を要求するポリシ変更要求メッセージ（ポリシ変更通知）を通知する。そして、電力会社６２と銀行６３は、電話会社６１からのポリシ変更要求メッセージに応じて、プライバシポリシの変更などの処理を実行する。【００２７】
以上が本発明の前提及び本発明の概要である。以下、本発明の第１の実施例における共有管理システムの構成について詳細に説明する。【００２８】
図２は、本発明の第１の実施例における共有管理システムの構成を示すブロック図である。図２に示すように、第１の実施例における共有管理システムは、ポリシ変更入力装置１０とポリシ変更要求処理装置２０とから構成されている。ポリシ変更入力装置１０は、図１における電話会社が個人情報やプライバシポリシを管理するための装置に相当し、ポリシ変更要求処理装置２０は、図１における電力会社及び銀行が個人情報やプライバシポリシを管理するための装置に相当する。【００２９】
ポリシ変更入力装置１０は、ユーザの個人情報及びプライバシポリシの登録を受け付けて登録し管理する。また、ポリシ変更入力装置１０は、プライバシポリシの変更を受け付けてプライバシポリシを変更する処理を実行する。また、ポリシ変更入力装置１０は、他のプロバイダと交換しているプライバシポリシを変更する必要があるかどうか、他のプロバイダによって管理されている個人情報を削除する必要があるかどうかを判定する。そして、ポリシ変更入力装置１０は、判定結果に応じて、プライバシポリシの変更を要求するポリシ変更要求メッセージ（ポリシ変更通知ともいう。）又は個人情報の削除要求を他のプロバイダ（ポリシ変更要求処理装置２０）に送信する処理を実行する。【００３０】
図２に示すように、ポリシ変更入力装置１０は、個人情報管理部１１と、ポリシ管理部１２と、送信ポリシ生成部１３と、入力手段１４と、通信手段１５と、共有情報決定手段１６と、共有情報管理手段１７とを備えている。【００３１】
個人情報管理部１１は、個人情報を登録して管理する。個人情報管理部１１は、個人情報の登録・変更・削除を行う個人情報操作手段１１１と、ユーザ毎に個人情報を保管（記憶、格納）する個人情報保管手段１１２とを含んでいる。【００３２】
ポリシ管理部１２は、プライバシポリシを登録して管理する。ポリシ管理部１２は、プライバシポリシの登録・変更・削除を行うポリシ操作手段１２１と、ユーザ毎にプライバシポリシを保管（記憶、格納）するポリシ保管手段１２２とを含んでいる。【００３３】
送信ポリシ生成部１３は、ユーザからのプライバシポリシの変更要求に応じて、他のプロバイダと交換しているプライバシポリシを再計算する。また、送信ポリシ生成部１３は、プライバシポリシの再計算の結果にもとづいて、ポリシ変更要求メッセージ又は個人情報の削除要求を作成し、作成したポリシ変更要求メッセージ又は個人情報の削除要求をポリシ変更要求処理装置２０（他のプロバイダ）に送信する。【００３４】
送信ポリシ生成部１３は、図２に示すように、ポリシ履歴保管手段１３１と、送信プロバイダ決定手段１３２と、ポリシ再計算手段１３３と、ポリシ変更通知生成手段１３４と、削除要求生成手段１３５とを含んでいる。【００３５】
ポリシ履歴保管手段１３１は、他のプロバイダに対して送信したユーザ毎の個人情報及びプライバシポリシを保管（記憶、格納）する。ここで、ポリシ履歴保管手段１３１は、他のプロバイダが現在利用しているプライバシポリシだけでなく、同一のプロバイダに対して過去に送信した複数のプライバシポリシを送信履歴（又は送受信履歴）として保管する。すなわち、ユーザからプライバシポリシの変更要求がある度に、変更されたプライバシポリシが他のプロバイダに送信される可能性があるが、他のプロバイダにプライバシポリシが複数回送信された場合は、複数回送信されたプライバシポリシがポリシ履歴保管手段１３１に保管される。【００３６】
送信プロバイダ決定手段１３２は、ポリシ履歴保管手段１３１に保管されているプライバシポリシの送信履歴のデータにもとづいて、他のプロバイダに対して既に個人情報及びプライバシポリシを送信したか否かを確認することによって、ポリシ変更要求メッセージ又は個人情報の削除要求を送信する可能性のあるプロバイダを決定する。【００３７】
ポリシ再計算手段１３３は、他のプロバイダが現在利用しているプライバシポリシ（他のプロバイダに対して直近に送信したプライバシポリシ；以下、既存ポリシという。）と、ユーザから変更要求されたプライバシポリシ（以下、更新ポリシという。）とを比較し、プライバシポリシの変更要求に応じて既存ポリシを変更する必要があるかどうかを判断する。【００３８】
具体的には、更新ポリシが既存ポリシを包含している場合には、既存ポリシを変更する必要がないと判断する。また、既存ポリシが更新ポリシを包含している場合、または既存ポリシが更新ポリシを包含していないが既存ポリシと更新ポリシの積集合が存在する場合には、既存ポリシを変更する必要があると判断する。そして、既存ポリシが更新ポリシを包含している場合は、更新ポリシを他のプロバイダに送信するプライバシポリシ（他のプロバイダにおいて更新されるプライバシポリシ：以下、送信ポリシという。）とし、既存ポリシと更新ポリシの積集合が存在する場合は、既存ポリシと更新ポリシとの共通部分（共通する項目、内容）を他のプロバイダに送信する送信ポリシとする。【００３９】
また、上記の３つの状態以外の場合（既存ポリシが更新ポリシを包含しておらず、既存ポリシと更新ポリシの積集合が存在しない場合）には、他のプロバイダ（送信プロバイダ決定手段１３２によって決定されたプロバイダ）がプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断する。【００４０】
ポリシ変更通知生成手段１３４は、ポリシ再計算手段１３３によって既存ポリシを変更する必要があると判断された場合に、他のプロバイダに対してプライバシポリシの変更を要求するポリシ変更要求メッセージ（ポリシ変更通知）を生成する。ポリシ変更要求メッセージには、ポリシ再計算手段１３３によって再計算（変更）されたプライバシポリシの情報も含まれている。【００４１】
削除要求生成手段１３５は、ポリシ再計算手段１３３によって他のプロバイダがプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断された場合に、他のプロバイダに送信する個人情報の削除要求を生成する。【００４２】
入力手段１４は、ユーザからの変更要求に応じてプライバシポリシの変更を入力する。通信手段１５は、他のプロバイダと通信回線や通信ネットワークなどを介して所定の情報を通信（送受信）する。なお、通信回線としては例えば専用回線などが用いられ、また、通信ネットワークとしては例えば電話網やインターネットなどのネットワークが用いられる。【００４３】
共有情報決定手段１６は、他のプロバイダと共有する個人情報及びその個人情報に関するプライバシポリシを他のプロバイダと交渉して決定する。共有情報管理手段１７は、他のプロバイダと共有する個人情報及びその個人情報に関するプライバシポリシをまとめて送信するためのメッセージを作成する。【００４４】
ポリシ変更要求処理装置２０は、ユーザの個人情報及びプライバシポリシの登録を受け付けて登録し管理する。また、ポリシ変更要求処理装置２０は、プライバシポリシの変更を受け付けてプライバシポリシを変更する処理を実行する。【００４５】
図２に示すように、ポリシ変更要求処理装置２０は、個人情報管理部２１と、ポリシ管理部２２と、通信手段２３と、共有情報決定手段２４と、共有情報管理手段２５とを備えている。【００４６】
ポリシ変更要求処理装置２０は、ポリシ変更入力装置１０における送信ポリシ生成部１３に相当する構成を備えていないだけであり、ポリシ変更要求処理装置２０における各構成はポリシ変更入力装置１０の構成と略同じである。【００４７】
すなわち、個人情報管理部２１は、個人情報を登録して管理する。個人情報管理部２１は、個人情報の登録・変更・削除を行う個人情報操作手段２１１と、ユーザ毎に個人情報を保管（記憶、格納）する個人情報保管手段２１２とを含んでいる。【００４８】
ポリシ管理部２２は、プライバシポリシを登録して管理する。ポリシ管理部２２は、プライバシポリシの登録・変更・削除を行うポリシ操作手段２２１と、ユーザ毎にプライバシポリシを保管（記憶、格納）するポリシ保管手段２２２とを含んでいる。【００４９】
通信手段２３は、他のプロバイダと通信回線や通信ネットワークなどを介して所定の情報を通信（送受信）する。共有情報決定手段２４は、他のプロバイダと共有する個人情報及びその個人情報に関するプライバシポリシを他のプロバイダと交渉して決定する。共有情報管理手段２５は、他のプロバイダと共有する個人情報及びその個人情報に関するプライバシポリシをまとめて送信するためのメッセージを作成する。【００５０】
次に、本発明の第１の実施例における共有管理システムの動作について説明する。【００５１】
（１）個人情報とプライバシポリシの登録；
まず、ポリシ変更入力装置１０において、ユーザの個人情報とプライバシポリシの登録が行われる。具体的には、個人情報管理部１１の個人情報操作手段１１１が、ユーザから提供された個人情報（住所、氏名、年齢など）又はプロバイダ自身が発行した個人情報（例えば電話会社であれば電話番号）を個人情報保管手段１１２に登録する。また、ポリシ管理部１２のポリシ操作手段１２１が、ユーザとプロバイダとの間で締結されたプライバシポリシをポリシ保管手段１２２に登録する。なお、この実施例において、ポリシ変更入力装置１０を管理しているプロバイダは図１の電話会社であるものとする。また、ポリシ変更要求処理装置２０を管理しているプロバイダは電力会社又は銀行であるものとする。また、プロバイダ（電話会社）が取り扱う個人情報は図３の電話番号であるものとする。また、ユーザとプロバイダとの間で締結されたプライバシポリシは図３（Ａ）に示す内容であるものとする。【００５２】
（２）個人情報とプライバシポリシの共有；
図４は、本発明の第１の実施例における個人情報共有処理を示すフローチャートである。プロバイダ間で個人情報とプライバシポリシを共有するためには、まず、ポリシ変更入力装置１０の共有情報決定手段１６とポリシ変更要求処理装置２０の共有情報決定手段２４とが、交渉（ネゴシエーション）することによってプロバイダ間で共有する個人情報及びプライバシポリシを決定する（ステップＳ１）。【００５３】
具体的には、ポリシ変更要求処理装置２０の共有情報決定手段２４が、要求する個人情報の種類と利用目的等のプライバシポリシをポリシ変更入力装置１０に開示する。そして、ポリシ変更入力装置１０の共有情報決定手段１６が、新規に登録された個人情報に関するプライバシポリシ（例えば図３（Ａ）に示すユーザとの間で締結したプライバシポリシ）と共有情報決定手段２４によって開示されたプライバシポリシとを照合する。照合の結果、一致すれば、ポリシ変更入力装置１０は、ポリシ変更要求処理装置２０が取り扱うことができる個人情報であると判断し、一致しなければ、ポリシ変更要求処理装置２０が取り扱うことができない個人情報であると判断する。このような処理を繰り返すことによって、プロバイダ間で共有する個人情報とプライバシポリシとを決定する。なお、プロバイダ間で共有する個人情報及びプライバシポリシを決定方法に関して、より詳細な内容を本出願人が以前に出願した特願２００５−１７１３２９号に開示しているので、その方法を利用すること
が可能である。【００５４】
次に、ポリシ変更入力装置１０において、共有情報管理手段１７が、ステップＳ１の処理で決定された個人情報とその個人情報に関するプライバシポリシをまとめた共有情報を作成する（ステップＳ２）。そして、共有情報管理手段１７は、作成した共有情報を通信手段１５を介してポリシ変更要求処理装置２０に送信する（ステップＳ３）。ここで、プロバイダ間で個人情報を共有する際には、個人情報のみ共有するのではなく、個人情報とプライバシポリシの２つをまとめて共有する必要がある。ユーザが同意した範囲内でしか個人情報が利用できないので、他のプロバイダもユーザの同意したプライバシポリシを遵守する必要があるからである。なお、共有情報管理手段１７によって共有情報が送信されたときも、プライバシポリシの送受信履歴としてポリシ履歴保管手段１３１に登録される。【００５５】
次に、ポリシ変更要求処理装置２０において、共有情報決定手段２４は、ポリシ変更入力装置１０からの共有情報を通信手段２３を介して受信する（ステップＳ４）。そして、共有情報管理手段２５は、受信した共有情報を、個人情報とプライバシポリシとに分離し、個人情報を個人情報保管手段２１２にユーザ毎に登録し、プライバシポリシをポリシ保管手段２２２にユーザ毎に登録する（ステップＳ５）。以上により、個人情報共有処理を終了する。【００５６】
（３）ユーザからのプライバシポリシの変更；
図５は、本発明の第１の実施例におけるポリシ変更入力処理を示すフローチャートである。ポリシ変更入力処理において、まず、ユーザは、電話会社に登録してある個人情報に関するプライバシポリシを変更したい場合は、自身の端末（例えばパソコン）からプライバシポリシの変更要求をポリシ変更入力装置１０に送信する。ポリシ変更入力装置１０において、入力手段１４は、ユーザの端末からのプライバシポリシの変更要求を受信して受け付ける（ステップＡ１）。ユーザの端末からのプライバシポリシの変更要求には、内容が更新されたプライバシポリシ（更新ポリシ）が含まれている。例えば、ユーザが更新したプライバシポリシは、図３（Ｄ）の内容であるものとする。【００５７】
ポリシ操作手段１２１は、入力手段１４が受信した更新ポリシをポリシ保管手段１２２に登録（変更又は削除）する（ステップＡ２）。そして、ポリシ操作手段１２１は、プライバシポリシの変更によって個人情報の管理を続ける必要があるかどうかを判定する（ステップＡ３）。例えば、更新ポリシにおける利用目的が電話会社において希望する個人情報の利用目的と一致しなくなった場合には、当該ユーザにおける個人情報の管理を続行しないと判断する。個人情報の管理を続行すると判断した場合は（ステップＡ３のＹｅｓ）、ステップＡ５の処理に移行する。個人情報の管理を続行しないと判断した場合は（ステップＡ３のＮｏ）、ポリシ操作手段１２１からの指示にもとづいて、個人情報操作手段１１１は、個人情報保管手段１１２に保管されている当該ユーザの個人情報を削除する（ステップＡ４）。【００５８】
次に、送信プロバイダ決定手段１３２は、ポリシ履歴保管手段１３１に保管されているデータを検索し、変更対象のプライバシポリシの送信履歴があるかどうかを調べることにより、ポリシ変更入力装置１０が他のプロバイダに個人情報及びプライバシポリシを送信しているか否かを判定する（ステップＡ５）。【００５９】
変更対象のプライバシポリシの送信履歴がない場合は（ステップＡ５のＮｏ）、他のプロバイダ（電力会社又は銀行）が変更対象のプライバシポリシに関する個人情報を利用していないことになるので、ポリシ変更入力処理を終了する。【００６０】
変更対象のプライバシポリシの送信履歴がある場合は（ステップＡ５のＹｅｓ）、他のプロバイダが変更対象のプライバシポリシに関する個人情報を利用していることになる。この場合は、ポリシ再計算手段１３３は、既存ポリシ（ステップＡ５で取得したプライバシポリシ）と更新ポリシ（ステップＡ１で取得したプライバシポリシ）とを比較し、更新ポリシの内容に応じて既存ポリシを変更する必要があるかどうかを判断する（ステップＡ６）。【００６１】
具体的には、まず、ポリシ再計算手段１３３は、既存ポリシと更新ポリシとの包含関係を調査する。更新ポリシが既存ポリシを包含している場合は、既存ポリシを変更する必要がないと判断する。従って、ポリシ変更入力処理を終了する。【００６２】
既存ポリシが更新ポリシを包含している場合は、既存ポリシを変更する必要があると判断する。この場合は、ポリシ再計算手段１３３は、更新ポリシを他のプロバイダに送信する送信ポリシとする。また、既存ポリシが更新ポリシを包含していないが既存ポリシと更新ポリシの積集合が存在する場合も、既存ポリシを変更する必要があると判断する。この場合は、ポリシ再計算手段１３３は、既存ポリシと更新ポリシとの共通部分（共通する項目、内容）を他のプロバイダに送信する送信ポリシとする。そして、ポリシ変更通知生成手段１３４は、ポリシ変更要求メッセージ（ポリシ変更通知）を生成する（ステップＡ８）。【００６３】
既存ポリシが更新ポリシを包含しておらず、既存ポリシと更新ポリシの積集合が存在しない場合は、他のプロバイダ（送信プロバイダ決定手段１３２によって決定されたプロバイダ）がプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断する。この場合は、削除要求生成手段１３５が個人情報の削除要求を生成する（ステップＡ７）。【００６４】
なお、図３に示す例では、更新ポリシ（図３（Ｄ））における「再配布条件」が銀行と電力会社が含まれているので、銀行と電力会社は依然として個人情報「電話番号」を利用することが可能である。また、更新ポリシ（図３（Ｄ））の「利用目的」が「ユーザ管理、サービス提供」であり、銀行における既存ポリシ（図３（Ｂ））の「利用目的」が「ユーザ管理」であるので、更新ポリシが既存ポリシを包含していることになる。従って、ポリシ再計算手段１３３は既存ポリシを変更する必要がないと判断し、更新したプライバシポリシを銀行に送信する必要がないことになる。一方、更新ポリシ（図３（Ｄ））の「利用目的」が「ユーザ管理、サービス提供」であるのに対し、電力会社における既存ポリシ（図３（Ｃ））の「利用目的」が「マーケティング」であるので、既存ポリシが更新ポリシを包含しておらず、既存ポリシと更新ポリシの積集合が存在しないことになる。従って、ポリシ再計算手段１３３は電力会社が個人情報「電話番号」を利用することができないと判断し、個人情報の削除要求が生成されることになる。【００６５】
次に、ポリシ変更通知生成手段１３４又は削除要求生成手段１３５からの指示にもとづいて、通信手段１５は、ポリシ変更通知生成手段１３４又は削除要求生成手段１３５によって生成されたメッセージ（ポリシ変更要求メッセージ又は個人情報の削除要求）を他のプロバイダのポリシ変更要求処理装置２０に送信する（ステップＡ９）。以上により、ポリシ変更入力処理を終了する。【００６６】
（４）プロバイダからのプライバシポリシの変更要求；
図６は、本発明の第１の実施例におけるポリシ変更要求処理を示すフローチャートである。ポリシ変更要求処理において、まず、ポリシ変更要求処理装置２０の通信手段２３は、ポリシ変更入力装置１０から送信されたメッセージを受信する（ステップＡ１０）。通信手段２３によって受信されたメッセージがポリシ変更要求メッセージであるときは、ポリシ操作手段２２１が、ポリシ変更要求メッセージの内容に従ってポリシ保管手段２２２に保管されている当該ユーザの個人情報に関するプライバシポリシを変更する（ステップＡ１１）。【００６７】
また、ポリシ操作手段２２１は、個人情報の管理を続ける必要があるかどうかを判定する（ステップＡ１２）。このとき、通信手段２３によって受信されたメッセージが個人情報の削除要求であるときは、個人情報の管理を続行しないと判断する。また、通信手段２３によって受信されたメッセージがポリシ変更要求メッセージであったときでも、プライバシポリシの変更によって個人情報を管理する必要性がなくなったときは、個人情報を管理しないと判断する。例えば、更新（変更）されたプライバシポリシにおける利用目的が銀行又は電力会社において希望する個人情報の利用目的と一致しなくなった場合には、当該ユーザにおける個人情報の管理を続行しないと判断する。個人情報の管理を続行しないと判断したときは（ステップＡ１２のＹｅｓ）、ポリシ操作手段２２１からの指示にもとづいて、個人情報操作手段２１１は、個人情報保管手段２１２に保管されている当該ユーザの個人情報を削除する（ステップＡ１３）。そして、ポリシ変更要求処理を終了する。【００６８】
以上のように、この第１の実施例によれば、ポリシ再計算手段１３３が既存ポリシと更新ポリシとを比較し、比較結果にもとづいて他のプロバイダに送信する送信ポリシを再計算し、再計算した送信ポリシを他のプロバイダに送信するように構成されているので、個人情報を共有するプロバイダに対してユーザの同意した範囲内でプライバシポリシの変更を反映させることができる。【００６９】
また、ポリシ再計算手段１３３が、ユーザによるプライバシポリシの変更の結果、他のプロバイダにおいて個人情報を利用することができなくなったと判断したとき、つまり、他のプロバイダにおける利用目的等がユーザの変更したプライバシポリシに合わなくなったと判断したときは、削除要求生成手段１３５より個人情報の削除要求を他のプロバイダに送信するように構成されているので、個人情報のライフサイクルについても適切に管理（制御）することができる。よって、ユーザの希望しない利用目的等で個人情報が利用されてしまうことを確実に防止することができる。【００７０】
なお、上記の第１の実施例では、電話会社が最初にユーザの個人情報を登録して管理するとともに、ユーザの個人情報を銀行又は電力会社に送信して利用（管理）させる構成について説明したが、電話会社、銀行及び電力会社の各々が最初にユーザの個人情報を登録して管理するとともに、ユーザの個人情報を他のプロバイダ（自分以外の電話会社等のプロバイダ）に送信して利用（管理）させる構成であってもよい。この場合、銀行又は電力会社が管理するポリシ変更要求処理装置２０に、ポリシ変更入力装置１０における入力手段１４及び送信ポリシ生成部１３に相当する構成が付加される。すなわち、ポリシ変更要求処理装置２０に、ポリシ変更入力装置１０からのプライバシポリシの変更要求を処理する構成だけでなく、ユーザからの変更要求を受け付けて、ポリシ変更入力装置１０にプライバシポリシの変更を要求する構成が備えられる。このような構成であれば、電話会社、銀行及び電力会社の各々が登録している個人情報を各々のプロバイダで共有することができることになる。【００７１】
第２の実施例．
図７は、本発明の第２の実施例におけるプロバイダの関係を示す説明図である。図１に示した構成では、プロバイダとして、電話会社と電力会社と銀行とを示していた。一方、図７に示す構成では、プロバイダとして、電話会社６１と電力会社６２と銀行６３のほかに、ワンストップサービスプロバイダ６５を示している。【００７２】
図７に示す構成では、ユーザ６４は、プライバシポリシを変更したい場合、ユーザが個人情報を最初に提供し又は個人情報を最初に発行したプロバイダ（電話会社６１）に対して変更したプライバシポリシを送信して、プライバシポリシの変更を要求する。プライバシポリシの変更を要求されたプロバイダ６１は、変更されたプライバシポリシ（ユーザの端末から送信されたプライバシポリシ）にもとづいてプライバシポリシの変更処理を実行するとともに、変更されたプライバシポリシをポリシ変更通知（ポリシ変更要求メッセージ）としてワンストップサービスプロバイダ６５に送信する。【００７３】
ワンストップサービスプロバイダ６５は、特定のプロバイダ（電話会社６１）からのポリシ変更通知にもとづいて、他のプロバイダ（銀行６３、電力会社６２）と交換しているプライバシポリシを変更する必要があるかどうかを判断し、変更する必要があると判断した場合に、変更されたプライバシポリシの情報を含むポリシ変更通知（ポリシ変更要求メッセージ）を他のプロバイダ６２、６３に対して送信する。このような構成では、複数のプロバイダ間で個別にポリシ変更通知をやり取りする構成と比較して、各プロバイダにおけるポリシ変更通知をやり取りする処理を軽減させることができる。【００７４】
図８は、本発明の第２の実施例における共有管理システムの構成を示すブロック図である。図８に示すように、第２の実施例における共有管理システムは、ポリシ変更入力装置１０とポリシ変更要求処理装置３０とから構成されている。ポリシ変更入力装置１０は、図７における電話会社（なお、電力会社、銀行も同じ構成である。）が個人情報やプライバシポリシを管理するための装置に相当し、ポリシ変更要求処理装置３０は、図７におけるワンストップサービスプロバイダが特定のプロバイダ（図７に示す例では電話会社）からのポリシ変更通知を他のプロバイダ（図７に示す例では電力会社、銀行）に転送するための装置に相当する。【００７５】
図８に示すように、ポリシ変更入力装置１０の構成は、図２に示したポリシ変更入力装置１０と同じ構成である。ポリシ変更要求処理装置３０の構成は、図２に示したポリシ変更要求処理装置２０の構成に、転送ポリシ生成部３６が追加されている。なお、図２に示した構成と同じ構成については、説明を省略する。【００７６】
転送ポリシ生成部３６は、特定のプロバイダ（図７に示す例では電話会社）から送信されたプライバシポリシ（ここでは、ユーザによって変更されたプライバシポリシ）にもとづいて、他のプロバイダ（図７に示す例では電力会社、銀行）と交換しているプライバシポリシを再計算する。また、転送ポリシ生成部３６は、プライバシポリシの再計算の結果にもとづいて、ポリシ変更要求メッセージ又は個人情報の削除要求を作成し、作成したポリシ変更要求メッセージ又は個人情報の削除要求を他のプロバイダに送信する。【００７７】
転送ポリシ生成部３６は、図８に示すように、ポリシ履歴保管手段３６１と、送信プロバイダ決定手段３６２と、ポリシ再計算手段３６３と、ポリシ変更通知生成手段３６４と、削除要求生成手段３６５とを含んでいる。【００７８】
ポリシ履歴保管手段３６１は、他のプロバイダに対して送信したユーザ毎の個人情報及びプライバシポリシを保管（記憶、格納）する。ここで、ポリシ履歴保管手段３６１は、他のプロバイダが現在利用しているプライバシポリシだけでなく、同一のプロバイダに対して過去に送信した複数のプライバシポリシを送信履歴（又は送受信履歴）として保管する。すなわち、特定のプロバイダからプライバシポリシの送信がある度に、変更されたプライバシポリシが他のプロバイダに送信される可能性があるが、他のプロバイダにプライバシポリシが複数回送信された場合は、複数回送信されたプライバシポリシがポリシ履歴保管手段１３１に保管される。【００７９】
送信プロバイダ決定手段３６２は、ポリシ履歴保管手段３６１に保管されているプライバシポリシの送信履歴のデータにもとづいて、他のプロバイダに対して既に個人情報及びプライバシポリシを送信したか否かを確認することによって、ポリシ変更要求メッセージ又は個人情報の削除要求を送信する可能性のあるプロバイダを決定する。【００８０】
ポリシ再計算手段３６３は、他のプロバイダが現在利用しているプライバシポリシ（他のプロバイダに対して直近に送信したプライバシポリシ；以下、送付済みポリシという。）と、特定のプロバイダから取得したプライバシポリシ（ユーザから変更要求されたプライバシポリシ；以下、取得ポリシという。）とを比較し、取得ポリシの内容に応じて送付済みポリシを変更する必要があるかどうかを判断する。【００８１】
具体的には、取得ポリシが送付済みポリシを包含している場合には、送付済みポリシを変更する必要がないと判断する。また、送付済みポリシが取得ポリシを包含している場合、または送付済みポリシが取得ポリシを包含していないが送付済みポリシと取得ポリシの積集合が存在する場合には、送付済みポリシを変更する必要があると判断する。そして、送付済みポリシが取得ポリシを包含している場合は、取得ポリシを他のプロバイダに送信するプライバシポリシ（他のプロバイダにおいて更新されるプライバシポリシ：以下、送信ポリシという。）とし、送付済みポリシと取得ポリシの積集合が存在する場合は、送付済みポリシと取得ポリシとの共通部分（共通する項目、内容）を他のプロバイダに送信する送信ポリシとする。【００８２】
また、上記の３つの状態以外の場合（送付済みポリシが取得ポリシを包含しておらず、送付済みポリシと取得ポリシの積集合が存在しない場合）には、他のプロバイダ（送信プロバイダ決定手段３６２によって決定されたプロバイダ）がプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断する。【００８３】
ポリシ変更通知生成手段３６４は、ポリシ再計算手段３６３によって送付済みポリシを変更する必要があると判断された場合に、他のプロバイダに対してプライバシポリシの変更を要求するポリシ変更要求メッセージ（ポリシ変更通知）を生成する。ポリシ変更要求メッセージには、ポリシ再計算手段３６３によって再計算（変更）されたプライバシポリシの情報も含まれている。【００８４】
削除要求生成手段３６５は、ポリシ再計算手段３６３によって他のプロバイダがプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断された場合に、他のプロバイダに送信する個人情報の削除要求を生成する。【００８５】
なお、ワンストップサービスプロバイダは、原則として、プロバイダ間でやり取りされるメッセージを中継する中継装置の役割を果たしているので、各プロバイダにおいて管理されている個人情報を管理する必要はない。その場合は、ポリシ変更要求処理装置３０において、個人情報管理部２１及びポリシ管理部２２に構成は不要となる。しかし、図８に示すように、ワンストップサービスプロバイダ（ポリシ変更要求処理装置３０）も、個人情報管理部２１及びポリシ管理部２２の構成を備え、各プロバイダ（電話会社、電力会社等）で管理されている個人情報を管理するようにしてもよい。このような構成にあれば、例えば各プロバイダの装置において故障等が発生したときに、ポリシ変更要求処理装置３０が管理する個人情報等のデータがバックアップデータになって、個人情報等のデータを復旧させることが可能となる。【００８６】
次に、本発明の第２の実施例における共有管理システムの動作について説明する。【００８７】
（１）個人情報とプライバシポリシの登録；
ポリシ変更入力装置１０への個人情報とプライバシポリシの登録の処理は、第１の実施例で説明した内容と同じであるため、説明を省略する。なお、この実施例において、ポリシ変更入力装置１０を管理しているプロバイダは図７の電話会社であるものとする。また、ポリシ変更要求処理装置３０を管理しているプロバイダはワンストップサービスプロバイダであるものとする。また、電話会社や電力会社、銀行が取り扱う個人情報は図９に示す電話番号であるものとする。また、電話会社とワンストップサービスプロバイダとの間で交換されたプライバシポリシ（ユーザとプロバイダ（電話会社）との間で締結されたプライバシポリシと同内容）は図９（Ａ）に示す内容であるものとする。【００８８】
なお、ワンストップサービスプロバイダ（ポリシ変更要求処理装置３０）においても電話会社（ポリシ変更入力装置１０）の管理する個人情報を管理する構成の場合は、ポリシ変更入力装置１０において登録された個人情報及びプライバシポリシがポリシ変更要求処理装置３０に送信され、ポリシ変更要求処理装置３０においても個人情報及びプライバシポリシが個人情報保管手段２１２及びポリシ保管手段２２２に登録されることになる。【００８９】
（２）個人情報とプライバシポリシの共有；
第１の実施例では、プロバイダ間で個別に共有する個人情報とプライバシポリシの内容を交渉して決定していた。しかし、この第２の実施例では、ワンストップサービスプロバイダが、個人情報の発行元のプロバイダ（図７に示す例では電話会社）と他のプロバイダ（図７に示す例では電力会社、銀行）との間で共有される個人情報及びプライバシポリシの内容を、他のプロバイダに代わって交渉して決定する。【００９０】
共有される個人情報及びプライバシポリシの内容を決定する方法については、第１の実施例と略同じである。すなわち、ポリシ変更要求処理装置３０の共有情報決定手段２４が、他のプロバイダが要求する個人情報の種類と利用目的等のプライバシポリシ（他のプロバイダ毎にプライバシポリシの内容は異なる）を他のプロバイダに代わってポリシ変更入力装置１０に開示する。そして、ポリシ変更入力装置１０の共有情報決定手段１６が、新規に登録された個人情報に関するプライバシポリシ（ユーザとの間で締結したプライバシポリシ）と共有情報決定手段２４によって開示されたプライバシポリシとを照合する。照合の結果、一致すれば、ポリシ変更入力装置１０は、他のプロバイダが取り扱うことができる個人情報であると判断し、一致しなければ、他のプロバイダが取り扱うことができない個人情報であると判断する。このような処理を繰り返すことによって、個人情報の発行元のプロバイダと他のプロバイダとの間で共有する個人情報とプライバシポリシとを決定する。【００９１】
次に、ポリシ変更入力装置１０において、共有情報管理手段１７が、交渉によって決定された個人情報とその個人情報に関するプライバシポリシをまとめた共有情報を作成する。そして、共有情報管理手段１７は、作成した共有情報を通信手段１５を介してポリシ変更要求処理装置２０に送信する。【００９２】
次に、ポリシ変更要求処理装置３０において、共有情報決定手段２４は、ポリシ変更入力装置１０からの共有情報を通信手段２３を介して受信する。そして、共有情報管理手段２５は、受信した共有情報を、個人情報とプライバシポリシとに分離し、個人情報を個人情報保管手段２１２にプロバイダ毎に登録し、プライバシポリシをポリシ保管手段２２２にプロバイダ毎に登録する。そして、共有情報管理手段２５は、受信した共有情報を他のプロバイダに対して転送する。なお、共有情報管理手段２５によって共有情報が転送されたときも、プライバシポリシの送受信履歴としてポリシ履歴保管手段３６１に登録される。他のプロバイダは、ポリシ変更要求処理装置３０（ワンストップサービスプロバイダ）から転送された共有情報を、個人情報とプライバシポリシとに分離し、個人情報とプライバシポリシを登録する。【００９３】
このように、ワンストップサービスプロバイダが、他のプロバイダに代わって、共有される個人情報及びプライバシポリシの内容を決定する処理などを代行する。なお、ポリシ変更要求処理装置３０の共有情報管理手段２５は、ポリシ変更入力装置１０から送信された共有情報を個人情報保管手段２１２やポリシ保管手段２２２に登録せずに、そのまま他のプロバイダに転送するようにしてもよい。ワンストップサービスプロバイダ自体は、個人情報を管理しなくてもよいからである。そのような構成の場合は、ポリシ変更要求処理装置３０において、個人情報管理部２１やポリシ管理部２２の構成は不要となる。【００９４】
（３）ユーザからのプライバシポリシの変更；
この第２の実施例では、第１の実施例と同様に、図５におけるステップＡ１〜Ａ４の処理を実行する。すなわち、ユーザは、電話会社に登録してある個人情報に関するプライバシポリシを変更したい場合は、自身の端末（例えばパソコン）からプライバシポリシの変更要求をポリシ変更入力装置１０に送信する。ポリシ変更入力装置１０において、入力手段１４は、ユーザの端末からのプライバシポリシの変更要求を受信して受け付ける（ステップＡ１）。ユーザの端末からのプライバシポリシの変更要求には、内容が更新されたプライバシポリシ（更新ポリシ）が含まれている。例えば、ユーザが更新された更新ポリシは、図９（Ｄ）に示す内容であるものとする。【００９５】
ポリシ操作手段１２１は、入力手段１４が受信した更新ポリシをポリシ保管手段１２２に登録する（ステップＡ２）。そして、ポリシ操作手段１２１は、プライバシポリシの変更によって個人情報の管理を続ける必要があるかどうかを判定する（ステップＡ３）。例えば、更新ポリシにおける利用目的が電話会社において希望する個人情報の利用目的と一致しなくなった場合には、当該ユーザにおける個人情報の管理を続行しないと判断する。個人情報の管理を続行しないと判断した場合は（ステップＡ３のＮｏ）、ポリシ操作手段１２１からの指示にもとづいて、個人情報操作手段１１１は、個人情報保管手段１１２に保管されている当該ユーザの個人情報を削除する（ステップＡ４）。【００９６】
第１の実施例では、ポリシ変更入力装置１０が、ユーザからのプライバシポリシの変更要求にもとづいて、他のプロバイダにおいてプライバシポリシを変更する必要があるかどうかと個人情報を削除する必要があるかどうかを判断し、判断結果に応じて、ポリシ変更要求メッセージ又は個人情報の削除要求を送信するようにしていた（ステップＡ５〜Ａ９参照）。しかし、この第２の実施例では、他のプロバイダにおいてプライバシポリシを変更する必要があるかどうかと個人情報を削除する必要があるかどうかの判断を、ポリシ変更要求処理装置３０（ワンストップサービスプロバイダ）に代行させるようにしている。従って、ポリシ変更入力装置１０では、ユーザからのプライバシポリシの変更要求があると、ユーザによって変更されたプライバシポリシをポリシ変更要求メッセージ（ポリシ変更通知）としてポリシ変更要求処理装置３０に送信することになる。ポリシ変更要求メッセージには、内容が更新されたプライバシポリシ（取得ポリシ）が含まれている。例えば、ユーザが更新された取得ポリシは、図９（Ｅ）に示す内容であるものとする。【００９７】
（４）プロバイダからのプライバシポリシの変更要求；
図１０は、本発明の第２の実施例におけるポリシ変更要求処理を示すフローチャートである。ポリシ変更要求処理において、まず、ポリシ変更要求処理装置３０の通信手段２３は、ポリシ変更入力装置１０から送信されたメッセージを受信する（ステップＡ１０）。そして、通信手段２３によって受信されたメッセージに含まれているユーザによって変更されたプライバシポリシ（取得ポリシ）にもとづいて、ポリシ操作手段２２１が、ポリシ保管手段２２２に保管されている当該ユーザの個人情報に関するプライバシポリシを変更する（ステップＡ１１）。【００９８】
また、ポリシ操作手段２２１は、個人情報の管理を続ける必要があるかどうかを判定する（ステップＡ１２）。このとき、プライバシポリシの変更によって個人情報を管理する必要性がなくなったときは、個人情報を管理しないと判断する。例えば、更新（変更）されたプライバシポリシにおける利用目的がプロバイダにおいて希望する個人情報の利用目的と一致しなくなった場合には、当該ユーザにおける個人情報の管理を続行しないと判断する。個人情報の管理を続行しないと判断したときは（ステップＡ１２のＹｅｓ）、ポリシ操作手段２２１からの指示にもとづいて、個人情報操作手段２１１は、個人情報保管手段２１２に保管されている当該ユーザの個人情報を削除する（ステップＡ１３）。【００９９】
次に、送信プロバイダ決定手段３６２は、ポリシ履歴保管手段３６１に保管されているデータを検索し、変更対象のプライバシポリシの送信履歴があるかどうかを調べることにより、ポリシ変更要求処理装置３０が他のプロバイダに個人情報及びプライバシポリシを送信しているか否かを判定する（ステップＢ１）。【０１００】
変更対象のプライバシポリシの送信履歴がない場合は（ステップＢ１のＮｏ）、他のプロバイダ（電力会社又は銀行）が変更対象のプライバシポリシに関する個人情報を利用していないことになるので、ポリシ変更要求処理を終了する。【０１０１】
変更対象のプライバシポリシの送信履歴がある場合は（ステップＢ１のＹｅｓ）、他のプロバイダが変更対象のプライバシポリシに関する個人情報を利用していることになる。この場合は、ポリシ再計算手段３６３は、送付済みポリシ（ステップＢ１で取得したプライバシポリシ）と取得ポリシ（ステップＡ１０で取得したプライバシポリシ）とを比較し、取得ポリシの内容に応じて送付済みポリシを変更する必要があるかどうかを判断する（ステップＢ２）。【０１０２】
具体的には、まず、ポリシ再計算手段３６３は、送付済みポリシと取得ポリシとの包含関係を調査する。送付済みポリシが取得ポリシを包含している場合は、送付済みポリシを変更する必要がないと判断する。従って、ポリシ変更要求処理を終了する。【０１０３】
送付済みポリシが取得ポリシを包含している場合は、送付済みポリシを変更する必要があると判断する。この場合は、ポリシ再計算手段３６３は、取得ポリシを他のプロバイダに送信する送信ポリシとする。また、送付済みポリシが取得ポリシを包含していないが送付済みポリシと取得ポリシの積集合が存在する場合も、送付済みポリシを変更する必要があると判断する。この場合は、ポリシ再計算手段３６３は、送付済みポリシと取得ポリシとの共通部分（共通する項目、内容）を他のプロバイダに送信する送信ポリシとする。そして、ポリシ変更通知生成手段３６４は、ポリシ変更要求メッセージ（ポリシ変更通知）を生成する（ステップＢ４）。【０１０４】
送付済みポリシが取得ポリシを包含しておらず、送付済みポリシと取得ポリシの積集合が存在しない場合は、他のプロバイダ（送信プロバイダ決定手段３６２によって決定されたプロバイダ）がプライバシポリシの変更要求したユーザの個人情報を利用することができないと判断する。この場合は、削除要求生成手段３６５が個人情報の削除要求を生成する（ステップＢ３）。【０１０５】
なお、図９に示す例では、取得ポリシ（図９（Ｄ））における「再配布条件」が銀行と電力会社が含まれているので、銀行と電力会社は依然として個人情報「電話番号」を利用することが可能である。また、取得ポリシ（図９（Ｄ））の「利用目的」が「ユーザ管理、サービス提供」であり、銀行における送付済みポリシ（図９（Ｂ））の「利用目的」が「ユーザ管理」であるので、取得ポリシが送付済みポリシを包含していることになる。従って、ポリシ再計算手段３６３は送付済みポリシを変更する必要がないと判断し、更新したプライバシポリシを銀行に送信する必要がないことになる。一方、取得ポリシ（図９（Ｄ））の「利用目的」が「ユーザ管理、サービス提供」であるのに対し、電力会社における送付済みポリシ（図９（Ｃ））の「利用目的」が「マーケティング」であるので、送付
済みポリシが取得ポリシを包含しておらず、送付済みポリシと取得ポリシの積集合が存在
しないことになる。従って、ポリシ再計算手段３６３は電力会社が個人情報「電話番号」を利用することができないと判断し、個人情報の削除要求が生成されることになる。【０１０６】
次に、ポリシ変更通知生成手段３６４又は削除要求生成手段３６５からの指示にもとづいて、通信手段２３は、ポリシ変更通知生成手段３６４又は削除要求生成手段３６５によって生成されたメッセージ（ポリシ変更要求メッセージ又は個人情報の削除要求）を他のプロバイダに送信する（ステップＢ５）。以上により、ポリシ変更要求処理を終了する。【０１０７】
他のプロバイダ（図７に示す例では電力会社、銀行）におけるポリシ変更要求処理装置は、ポリシ変更要求処理装置３０からのメッセージにもとづいて、図６に示したポリシ変更要求処理（ステップＡ１０〜Ａ１３の処理）を実行する。【０１０８】
なお、他のプロバイダ（図７に示す例では電力会社、銀行）におけるポリシ変更要求処理装置は、図５に示したポリシ変更入力処理（ステップＡ１〜Ａ９の処理）を実行する構成、あるいは図１０に示したポリシ変更要求処理（ステップＡ１０〜Ａ１３，Ｂ１〜Ｂ５の処理）を実行する構成であってもよい。すなわち、他のプロバイダが別の他のプロバイダに対してポリシ変更要求メッセージ又は個人情報の削除要求を送信する構成であってもよい。【０１０９】
以上のように、この第２の実施例によれば、ワンストップサービスプロバイダにおけるポリシ変更要求処理装置３０が、プライバシポリシを変更するかどうかの判断を実行し、プライバシポリシの変更が必要な場合は、ポリシ変更要求メッセージ等を他のプロバイダの装置に送信するように構成されているので、プライバシポリシの変更の判断を行う処理負担及びプロバイダ間におけるメッセージの送受信の処理負担を軽減させることができる。【０１１０】
第３の実施例．
上記の第１の実施例，２では、ユーザがプライバシポリシの変更を要求する場合、個人情報の発行元のプロバイダ（図１及び図７に示す例では電話会社）に対してプライバシポリシの変更要求を行っていた。しかし、ユーザが個人情報の発行元のプロバイダ以外のプロバイダ（図１及び図７に示す例では、電力会社、銀行など）に対してプライバシポリシの変更要求を行うことも考えられる。そこで、この第３の実施例では、ユーザが個人情報の発行元のプロバイダ以外のプロバイダに対してプライバシポリシの変更要求を行った場合に、プライバシポリシの変更要求を個人情報の発行元のプロバイダに通知する構成について提案する。【０１１１】
図１１は、本発明の第３の実施例における共有管理システムの構成を示すブロック図である。図１１に示すように、第３の実施例における共有管理システムは、ポリシ変更入力装置４０とポリシ変更要求処理装置３０とから構成されている。ポリシ変更入力装置４０は、図７における電力会社又は銀行（なお、電話会社も同じ構成である。）が個人情報やプライバシポリシを管理するための装置に相当し、ポリシ変更要求処理装置３０は、図７におけるワンストップサービスプロバイダがプロバイダ間のメッセージを中継（転送）するための装置に相当する。【０１１２】
図１１に示すように、ポリシ変更要求処理装置３０の構成は、図８に示したポリシ変更要求処理装置３０と同じ構成である。ポリシ変更入力装置４０の構成は、図２及び図８に示したポリシ変更入力装置１０の構成に、個人情報発行プロバイダ通信部４８が追加されている。
なお、図２及び図８に示した構成と同じ構成については、説明を省略する。【０１１３】
個人情報発行プロバイダ通信部４８は、ユーザからのプライバシポリシの変更要求を受けた場合に、自身が個人情報の発行元のプロバイダであるか否かを判定し、発行元のプロバイダでなかったときに、ポリシ変更通知を生成して個人情報の発行元のプロバイダに通知する。【０１１４】
個人情報発行プロバイダ通信部４８は、図１１に示すように、ポリシ変更通知生成手段４８１と、個人情報発行者検索手段４８２と、個人情報発行者情報保管手段４８３とを含んでいる。【０１１５】
ポリシ変更通知生成手段４８１は、自身が所定のユーザの個人情報を発行したプロバイダでない場合に、個人情報を発行したプロバイダに対して、ユーザから取得したプライバシポリシの変更要求を伝えるためのポリシ変更通知を生成する。【０１１６】
個人情報発行者検索手段４８２は、個人情報を取得した際に、個人情報を発行したプロバイダに関する情報（個人情報発行者情報）を個人情報発行者情報保管手段４８３に登録する処理を行う。また、個人情報発行者検索手段４８２は、ユーザからのプライバシポリシの変更要求を受けた場合に、個人情報発行者情報保管手段４８３から個人情報発行者情報を取得し、取得した個人情報発行者情報にもとづいて、プライバシポリシの変更を要求したユーザの個人情報を発行したプロバイダを検索する処理を実行する。【０１１７】
個人情報発行者情報保管手段４８３は、個人情報を発行したプロバイダに関する個人情報発行者情報を保管（記憶、格納）する。なお、個人情報発行者情報保管手段４８３において、個人情報発行者情報として、ユーザ個人を識別する情報とプロバイダを識別する情報とが対応つけた形で保管されているものとする。【０１１８】
次に、本発明の第３の実施例における共有管理システムの動作について説明する。【０１１９】
第３の実施例における共有管理システムの動作を説明する前提として、個人情報発行者情報保管手段４８３に個人情報発行者情報が格納されている。ポリシ変更入力装置１０は、他のプロバイダから個人情報を取得すると、個人情報を個人情報保管手段１１２に保管するが、その際に、個人情報に対応つけられている当該個人情報を識別する情報と当該個人情報を発行したプロバイダを識別する情報を個人情報発行者情報保管手段４８３に保管する。【０１２０】
図１２は、本発明の第３の実施例におけるポリシ変更入力処理を示すフローチャートである。ユーザは、所定のプロバイダ（例えば電話会社）に登録してある個人情報に関するプライバシポリシを変更したい場合に、自身の端末（例えばパソコン）からプライバシポリシの変更要求を、所定のプロバイダ以外のプロバイダ（例えば電力会社、銀行）のポリシ変更入力装置４０に送信したものとする。この場合、ポリシ変更入力装置４０において、入力手段１４は、ユーザの端末からのプライバシポリシの変更要求を受信して受け付ける（ステップＣ１）。ユーザの端末からのプライバシポリシの変更要求には、内容が更新されたプライバシポリシ（更新ポリシ）が含まれている。【０１２１】
次に、個人情報発行者検索手段４８２は、個人情報発行者情報保管手段４８３から個人情報発行者情報を取得し、取得した個人情報発行者情報にもとづいて、プライバシポリシの変更を要求したユーザの個人情報を発行したプロバイダを検索する。そして、個人情報発行者検索手段４８２は、自身が個人情報の発行元のプロバイダであるか否かを判定する（ステップＣ２）。【０１２２】
個人情報の発行元のプロバイダがポリシ変更入力装置４０自身であるときは、第１の実施例又は第２の実施例の動作を実行する。つまり、図５のステップＡ２の処理に移行する。【０１２３】
一方、個人情報の発行元のプロバイダがポリシ変更入力装置４０自身でないときは、ユーザからの変更要求にもとづくプライバシポリシの変更処理を行わずに、個人情報の発行元のプロバイダにユーザからの変更要求を通知する必要がある。そこで、ポリシ変更通知生成手段４８１は、プライバシポリシの変更通知（ポリシ変更通知）を生成する（ステップＣ３）。ポリシ変更通知には、ユーザによって変更されたプライバシポリシが含まれている。また、ポリシ変更通知には、メッセージの宛先が個人情報の発行元のプロバイダであることを示す情報も含まれている。そして、ポリシ変更通知生成手段４８１は、通信手段１５を介して、生成したポリシ変更通知のメッセージをポリシ変更要求処理装置３０（ワンストップサービスプロバイダ）に送信する。【０１２４】
ポリシ変更要求処理装置３０は、ポリシ変更入力装置４０からのポリシ変更通知のメッセージを受信すると、そのメッセージを個人情報の発行元のプロバイダに転送する。また、図１０のステップＡ１０〜Ａ１３，Ｂ１〜Ｂ５の処理を実行する。すなわち、ポリシ変更要求メッセージ又は個人情報の削除要求を他のプロバイダに対して送信する処理を実行する。【０１２５】
なお、ポリシ変更入力装置４０は、ポリシ変更要求処理装置３０を介さずに、直接、個人情報の発行元のプロバイダに対してポリシ変更通知のメッセージを送信する構成であってもよい。この場合は、個人情報の発行元のプロバイダは、ポリシ変更入力装置１０として第１の実施例又は第２の実施例で説明した処理を実行する。【０１２６】
以上のように、この第３の実施例によれば、ユーザが個人情報の発行元のプロバイダ以外のプロバイダに対してプライバシポリシの変更要求を行っても、その変更要求が個人情報の発行元のプロバイダに対して転送されるので、ユーザは自身の個人情報を発行したプロバイダを意識せずにプライバシポリシの変更要求を任意のプロバイダに対して送信することが可能となり、ユーザの利便性を向上させることができる。【０１２７】
なお、上記の第３の実施例では、ユーザがプライバシポリシの変更要求を行うプロバイダとして、個人情報の発行元である電話会社以外の銀行又は電力会社としていたが、ワンストップサービスプロバイダに対してユーザがプライバシポリシの変更要求を行う構成であってもよい。【０１２８】
第４の実施例．
図１３は、本発明の第４の実施例における共有管理システムの構成を示すブロック図である。図１３に示すように、第１〜第３の実施例におけるポリシ変更入力装置（図１３ではポリシ変更入力装置５）において、ＣＰＵなどの制御部がハードディスクなどの記憶手段に記憶されているポリシ変更入力用プログラム６に従って第１〜第３の実施例で説明した処理を実行することにより各構成部が実現される。また、ポリシ変更入力装置（図１３ではポリシ変更入力装置５）において、個人情報保管手段１１２、ポリシ保管手段１２２などの保管手段はハードディスクその他の記憶手段によって実現される。【０１２９】
また、第１〜第３の実施例におけるポリシ変更要求処理装置（図１３ではポリシ変更要求処理装置７）において、ＣＰＵなどの制御部がハードディスクなどの記憶手段に記憶されているポリシ変更要求処理用プログラム８に従って第１〜第３の実施例で説明した処理を実行することにより各構成部が実現される。また、ポリシ変更要求処理装置（図１３ではポリシ変更要求処理装置７）において、個人情報保管手段２１２、ポリシ保管手段２２２などの保管手段はハードディスクその他の記憶手段によって実現される。【０１３０】
次に、本システム全体の動作について説明する。【０１３１】
（１）まず、本発明のシステム全体の具体例について図７及び図９を参照して説明する。図７に示すように、電話会社や電力会社や銀行などはユーザの個人情報（電話番号、口座番号、住所、氏名、通話料、電力使用量など）を管理している。それぞれの会社が管理している個人情報は、ワンストップサービスプロバイダを介して送受信されている。個人情報は会社間ですでに共有しており、全ての会社は同じ個人情報を持っており、個人情報の送受信が行われている会社間では、プライバシポリシの送受信も行われているものとする。【０１３２】
この状況で、ユーザが電話番号の流通に関するプライバシポリシを電話会社で変更し、その変更を全ての会社に通知する。図７の例では、電話会社は図８のポリシ変更入力装置1に対応し、ワンストップサービスプロバイダは図８のポリシ変更要求処理装置３０に対応する。【０１３３】
それぞれの会社が交換しているプライバシポリシの例を図９に示す。例えば、電話会社とワンストップサービスプロバイダ間では、図９（Ａ）に示すようなプライバシポリシを交換しているものとする。この例では、ユーザとシステム管理者のアクセス権限と、個人情報を利用可能な目的の一覧と、個人情報を管理する方法と、個人情報を共同利用してよい会社の一覧を示している。同様に、ワンストップサービスプロバイダと銀行の間では図９（Ｂ）に示すようなプライバシポリシを、ワンストップサービスプロバイダと電力会社の間では図９（Ｃ）に示すようなプライバシポリシを交換しているものとする。【０１３４】
この状況において、ユーザは電話会社に対して自身の電話番号に関するプライバシポリシを図９（Ｄ）に示すように変更するように要求する場合を考える。このとき、電話会社はワンストップサービスプロバイダと図９（Ａ）に示すようなプライバイシポリシを交換しているため、プライバシポリシの変更通知を送付する。このときに、図９（Ｄ）に示すプライバイシポリシは（Ａ）に示すプライバイシポリシの部分集合（包含）になっているため、（Ｄ）に示すプライバシポリシがそのまま変更通知に含めるプライバシポリシとなる。この変更通知の送受信によって、ワンストップサービスプロバイダと電話会社の間で交換されるプライバシポリシは、図９（Ｅ）に示すようになる。【０１３５】
ここで、ワンストップサービスプロバイダは、銀行と電力会社にプライバシポリシの変更通知を送信するか否かを判断する。ワンストップサービスプロバイダと銀行の間では、図９（Ｂ）に示すようなプライバシポリシを管理していたが、これは、図９（Ｅ）に示すプライバイシポリシの部分集合になるので、ワンストップサービスプロバイダと、銀行の間ではメッセージの送受信は行われない。しかし、ワンストッププロバイダと電力会社間で規定されていた図９（Ｃ）に示すプライバシポリシと、図９（Ｅ）に示すような更新されたプライバシポリシのそれぞれの利用目的に、共通の要素が無いためワンストップサービスプロバイダは、電力会社に個人情報を管理する権限がないと判断する。そのため、ワンストップサービスプロバイダは電力会社に個人情報の削除要求を送付する。電力会社が削除要求を受信すると、電話会社が管理していた電話番号とプライバシポリシを削除する。【０１３６】
図７に示す例において、ユーザが電話会社にアクセスする代わりにワンストップサービスプロバイダにアクセスし、そこで電話番号に関するプライバシポリシを変更する場合は、第３の実施例に対応した実施例になる。この状況でも電話会社とワンストッププロバイダ間では図９（Ａ）に示すプライバシポリシを、ワンストッププロバイダと銀行間では図９（Ｂ）に示すプライバシポリシを、ワンストッププロバイダと電力会社間では図９（Ｃ）に示すプライバシポリシを交換しているものとする。【０１３７】
ここで、ユーザはワンストップサービスプロバイダに対して図９（Ｄ）に示すプライバシポリシの変更要求を入力したとする。しかし、ユーザに電話番号を割り振った事業者は電話会社であり、電話番号に関するプライバシポリシの変更や削除に関する権限は電話会社にある。そこで、ワンストップサービスプロバイダは電話会社に図９（Ｄ）に示すプライバシポリシの変更通知を送付する。電話会社がプライバシポリシの変更通知を受け取ると、第１の実施例，２で示した処理と同じ処理を行う。【０１３８】
（２）次に、本発明のシステム全体における処理及びデータ（メッセージ）の順序について図１４を参照して説明する。図１４は、本発明のシステム全体の動作を説明するためのシーケンス図である。まず、ユーザ６４は電話会社６１にプライバシポリシの変更要求を入力する。電話会社６１は、ユーザ６４からのプライバシポリシの変更要求に応じて、プライバシポリシの変更処理を実行する。次いで、ポリシ変更要求メッセージを作成して、そのメッセージをポリシ変更要求としてワンストップサービスプロバイダ６５に送信する。【０１３９】
ワンストップサービスプロバイダ６５は、ポリシ変更要求メッセージにもとづいて、プライバシポリシの変更処理を実行する。また、ワンストップサービスプロバイダ６５は、他のプロバイダのプライバシポリシを変更する必要があるか否かを判定し、変更する必要があるときは、ポリシ変更要求メッセージを作成し、作成したメッセージを他のプロバイダ（電力会社６２、銀行６３）に送信する。【０１４０】
電力会社６２は、ポリシ変更要求メッセージにもとづいて、プライバシポリシの変更処理を実行する。プライバシポリシの変更処理が完了すると、プライバシポリシの変更が完了したことを示すポリシ変更完了メッセージをワンストップサービスプロバイダ６５に送信する。【０１４１】
銀行６３も、ポリシ変更要求メッセージにもとづいて、プライバシポリシの変更処理を実行する。プライバシポリシの変更処理が完了すると、ポリシ変更完了メッセージをワンストップサービスプロバイダ６５に送信する。【０１４２】
ワンストップサービスプロバイダ６５は、電力会社６２、銀行６３からポリシ変更完了メッセージを受信すると、そのメッセージを電話会社６１に転送する。電話会社６１は、ワンストップサービスプロバイダ６５からのポリシ変更完了メッセージを受信すると、ポリシ変更完了メッセージをユーザ６４の端末に転送する。このように、ポリシ変更完了メッセージが電話会社６１及びユーザ６４に送信されるため、電話会社及びユーザにおいて個人情報を取り扱っているプロバイダにおけるプライバシポリシの変更が完了したことを認識することができる。【０１４３】
なお、上記の各実施例に示した構成は一例であって、実施状況に合わせて構成を適宜変更することが可能である。【０１４４】
例えば、図３及び図９に示したプライバシポリシは一例であって、図３及び図９に示した項目以外の項目をプライバシポリシとして規定することが可能である。【０１４５】
また、ユーザからのプライバシポリシの変更要求にもとづいて、個人情報を管理しているプロバイダにおけるプライバシポリシを変更する構成について説明したが、所定のプロバイダにおける個人情報の取り扱いに関する基本方針が変わったような場合に、所定のプロバイダからのプライバシポリシの変更要求にもとづいて、個人情報を管理しているプロバイダにおけるプライバシポリシを変更する構成であってもよい。この場合も、ユーザからのプライバシポリシの変更要求があったときと同様の処理を実行することによって、個人情報を管理している各プロバイダにおけるプライバシポリシを変更することが可能である。【０１４６】
また、上記の各実施例では、プライバシポリシに規定されている条件を狭くする（厳しくする）場合の変更について説明したが、ユーザ又はプロバイダからの要求によってプライバシポリシに規定されている条件を広くする（緩くする）場合の変更も考えられる。しかし、この場合は、ユーザとプロバイダとの間で互いに同意した上で個人情報の取り扱いに関する条件を新たに規定し直さなければならないので、新しくプライバシポリシを設定する処理と同様の処理を行えばよい。【０１４７】
以上、説明したように、上記実施例の共有管理システムによれば、個人情報を共有するプロバイダに対してユーザの同意した範囲内でプライバシポリシの変更を反映させることができる。
本発明は、以下の態様を採ることが出来る。
本発明における複数の管理装置は、例えばポリシ変更入力装置１０，４０又はポリシ変更要求処理装置２０で実現される。個人情報管理手段は、例えば個人情報管理部１１，２１で実現される。ポリシ管理手段は、例えばポリシ管理部１２，２２で実現される。ポリシ生成手段は、例えば送信ポリシ生成部１３又は転送ポリシ生成部３６で実現される。【０１４８】
管理装置は、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付手段を含む構成であってもよい。ここで、変更要求受付手段は、例えば入力手段１４で実現される。このような構成によれば、ユーザからのポリシの変更要求を確実に受け付けて反映させることができる。【０１４９】
管理装置又は中継装置は、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信手段を含む構成であってもよい。ここで、変更要求送信手段は、例えば個人情報発行プロバイダ通信部４８で実現される。このような構成によれば、ユーザが個人情報の発行元の管理装置又は中継装置以外の装置に対してポリシの変更要求を行うことができ、ユーザの利便性を向上させることができる。【０１５０】
ポリシ生成手段は、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとするように構成されていてもよい。このような構成によれば、確実に、ユーザの同意した範囲内でのプライバシポリシの変更を実現させることができる。【０１５１】
ポリシ生成手段は、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、他の管理装置の個人情報管理手段は、個人情報の削除要求に応じて、保管している個人情報を削除するように構成されていてもよい。このような構成によれば、ユーザの希望しない利用目的等で個人情報が利用されてしまうことを確実に防止することができる。【０１５２】
管理装置が、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付ステップを実行するように構成されていてもよい。このような構成によれば、ユーザからのポリシの変更要求を確実に受け付けて反映させることができる。【０１５３】
管理装置又は中継装置が、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信ステップを実行するように構成されていてもよい。このような構成によれば、ユーザが個人情報の発行元の管理装置又は中継装置以外の装置に対してポリシの変更要求を行うことができ、ユーザの利便性を向上させることができる。【０１５４】
ポリシ生成ステップにおいて、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとするように構成されていてもよい。このような構成によれば、確実に、ユーザの同意した範囲内でのプライバシポリシの変更を実現させることができる。【０１５５】
ポリシ生成ステップにおいて、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、個人情報管理ステップにおいて、個人情報の削除要求に応じて、保管している個人情報を削除するように構成されていてもよい。このような構成によれば、ユーザの希望しない利用目的等で個人情報が利用されてしまうことを確実に防止することができる。【０１５６】
管理装置に、ユーザ端末からのユーザの個人情報に関するポリシの変更要求を受け付ける変更要求受付処理を実行させるように構成されていてもよい。このような構成によれば、ユーザからのポリシの変更要求を確実に受け付けて反映させることができる。【０１５７】
管理装置又は中継装置に、自身が最初に登録した個人情報以外の個人情報に関するポリシの変更要求を受けたときは、該個人情報を最初に登録したプロバイダの管理装置に対してポリシの変更要求を送信する変更要求送信処理を実行させるように構成されていてもよい。このような構成によれば、ユーザが個人情報の発行元の管理装置又は中継装置以外の装置に対してポリシの変更要求を行うことができ、ユーザの利便性を向上させることができる。【０１５８】
ポリシ生成処理において、変更要求されたポリシと他の管理装置で管理されているポリシとの包含関係を確認し、変更要求されたポリシが管理されているポリシを包含しているときは、管理されているポリシを変更する必要がないと判定し、管理されているポリシが変更要求されたポリシを包含しているときは、管理されているポリシを変更要求されたポリシとし、管理されているポリシが変更要求されたポリシを包含していないときは、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在するときは、管理されているポリシを変更要求されたポリシとするように構成されていてもよい。このような構成によれば、確実に、ユーザの同意した範囲内でのプライバシポリシの変更を実現させることができる。【０１５９】
ポリシ生成処理において、変更要求されたポリシと管理されているポリシの積集合が存在するか否かを確認し、積集合が存在しないときは、他の管理装置で管理されている個人情報の削除要求を該他の管理装置に対して送信し、個人情報管理処理において、個人情報の削除要求に応じて、保管している個人情報を削除するように構成されていてもよい。このような構成によれば、ユーザの希望しない利用目的等で個人情報が利用されてしまうことを確実に防止することができる。【０１６０】
以上、本発明をその好適な実施例に基づいて説明したが、本発明は、上記実施例の構成にのみ限定されるものではなく、上記実施例の構成から種々の修正及び変更を施したものも、本発明の範囲に含まれる。
【産業上の利用可能性】
【０１６１】
本発明は、個人情報を必要とするサービスを提供するプロバイダにおけるサービス提供装置や、サービス提供装置のコンピュータに処理を実行させるためのプログラムといった用途に適用できる。また、個人情報を様々な組織間で共有するワンストップサービスといった用途にも適用可能である。【０１６２】
本出願は、２００６年６月２２日出願に係る日本特許出願２００６−１７２２５４号を基礎とし且つその優先権を主張するものであり、引用によってその開示の内容の全てを本出願の明細書中に加入する。
【図１】
2007148562.tif 000003
【図２】
2007148562.tif 000004
【図３】
2007148562.tif 000005
【図４】
2007148562.tif 000006
【図５】
2007148562.tif 000007
【図６】
2007148562.tif 000008
【図７】
2007148562.tif 000009
【図８】
2007148562.tif 000010
【図９】
2007148562.tif 000011
【図１０】
2007148562.tif 000012
【図１１】
2007148562.tif 000013
【図１２】
2007148562.tif 000014
【図１３】
2007148562.tif 000015
【図１４】
2007148562.tif 000016
【図１５】
2007148562.tif 000017
【手続補正書】
【提出日】平成20年4月22日(2008.4.22)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
個人情報の取り扱いに関するポリシを保存する個人情報管理手段（１１，２１）と、
前記ポリシの変更を求める変更要求を受信すると、前記個人情報管理手段に保存されたポリシを該変更要求に基づいて更新して新ポリシにするポリシ管理手段（１２、２２）と、
前記新ポリシと、他の個人管理装置に過去に通信したポリシとから、前記新ポリシには含まれないが他の個人管理装置で実施されているポリシに含まれる個人情報を開示可能な条件が存在するか否かを評価し、前記条件が存在する場合には、前記条件の削除要求を含むポリシ変更要求を前記他の個人情報管理装置に送信するポリシ生成手段（１３、２３）とを含むことを特徴とする個人情報管理装置。
【請求項２】
（削除）
【請求項３】
（削除）
【請求項４】
前記ポリシ管理手段（１２、２２）は、前記ポリシの変更要求を受信すると、実施中のポリシに含まれた個人情報を開示可能とする条件が、ユーザによる指定以外の特定条件を含むか否かを判定し、該特定条件を含むと判定すると、個人情報を開示可能とする条件がユーザによる指定以外の条件を含まないポリシを実施する他の個人情報管理装置に向けて、前記受信した変更要求を転送することを特徴とする、請求項１に記載の個人情報管理装置。
【請求項５】
前記ポリシ生成手段（１３）は、前記評価に際して前記新ポリシと他の個人管理装置で実施中のポリシで共通の個人情報を開示可能とする条件が存在しないと評価すると、すべての個人情報の削除要求を前記他の個人情報管理装置に対して送信することを特徴とする、請求項１又は４に記載の個人情報管理装置。
【請求項６】
前記ポリシ管理手段（１２）は、前記すべての個人情報の削除要求を受信すると、保管している個人情報をすべて削除することを特徴とする、請求項５に記載の個人情報管理装置。
【請求項７】
個人情報の取り扱いに関するポリシを記憶装置（１２２）に保存するステップと、
前記ポリシの変更を求める変更要求を受信すると、前記記憶装置に保存されたポリシを該変更要求に基づいて更新して新ポリシにするステップと、
前記新ポリシと、他の個人管理装置に過去に通信したポリシとから、前記新ポリシには含まれないが他の個人管理装置で実施されているポリシに含まれる個人情報を開示可能な条件が存在するか否かを評価するステップと、
前記条件が存在する場合には、前記条件の削除要求を含むポリシ変更要求を前記他の個人情報管理装置に送信するステップとを有することを特徴とする個人情報管理方法。
【請求項８】
（削除）
【請求項９】
（削除）
【請求項１０】
前記ポリシの変更要求を受信すると、実施中のポリシに含まれた個人情報を開示可能とする条件が、ユーザによる指定以外の特定条件を含むか否かを判定するステップと、
特定条件を含むと判定すると個人情報を開示可能とする条件がユーザによる指定以外の条件を含まないポリシを実施する他の個人情報管理装置に向けて、前記受信した変更要求を転送するステップとを更に有することを特徴とする、請求項７に記載の個人情報管理方法。
【請求項１１】
前記評価が、前記新ポリシと他の個人管理装置で実施中のポリシで共通の個人情報を開示可能とする条件が存在しないと評価すると、すべての個人情報の削除要求を前記他の個人情報管理装置に対して送信するステップを更に有することを特徴とする、請求項７又は１０に記載の個人情報管理方法。
【請求項１２】
前記すべての個人情報の削除要求を受信すると、保管している個人情報をすべて削除するステップを更に有することを特徴とする、請求項１１に記載の個人情報管理方法。
【請求項１３】
個人情報を共有して管理するコンピュータを作動させるプログラムであって、前記コンピュータに、
個人情報の取り扱いに関するポリシを記憶装置（１２２）に保存する処理と、
前記ポリシの変更を求める変更要求を受信すると、前記記憶装置に保存されたポリシを該変更要求に基づいて更新して新ポリシにする処理と、
前記新ポリシと、他の個人管理装置に過去に通信したポリシとから、前記新ポリシには含まれないが他の個人管理装置で実施されているポリシに含まれる個人情報を開示可能な条件が存在するか否かを評価する処理と、
前記条件が存在する場合には、前記条件の削除要求を含むポリシ変更要求を前記他の個人情報管理装置に送信する処理とを実行させることを特徴とするプログラム。
【請求項１４】
（削除）
【請求項１５】
（削除）
【請求項１６】
前記コンピュータに、
前記ポリシの変更要求を受信すると、実施中のポリシに含まれた個人情報を開示可能とする条件が、ユーザによる指定以外の特定条件を含むか否かを判定する処理と、
特定条件を含むと判定すると個人情報を開示可能とする条件がユーザによる指定以外の条件を含まないポリシを実施する他の個人情報管理装置に向けて、前記受信した変更要求を転送する処理とを更に自移行させることを特徴とする、請求項１３に記載のプログラム。
【請求項１７】
前記評価が、前記新ポリシと他の個人管理装置で実施中のポリシで共通の個人情報を開示可能とする条件が存在しないと評価すると、前記コンピュータに、すべての個人情報の削除要求を前記他の個人情報管理装置に対して送信する処理を更に実行させることを特徴とする、請求項１３又は１６に記載のプログラム。
【請求項１８】
前記コンピュータに、前記すべての個人情報の削除要求を受信すると、保管している個人情報をすべて削除する処理を更に実行させることを特徴とする、請求項１７に記載のプログラム。
【国際調査報告】
2007148562.tif 000018
2007148562.tif 000019
2007148562.tif 000020