(57)【要約】  個人情報管理装置（１０）は、個人情報管理装置（１０）により取り扱われる個人情報を個人情報管理装置（１０）が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得部（１０１）と、個人情報を第２の地域へ移転するための移転要件を第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得部（１０３）と、充足情報を個人情報にて示される個人に通知し、個人情報の第２の地域への移転に同意するか否かを個人に確認する確認部（１０４）と、同意に応じて、個人情報を第２の地域へ移転する移転部（１０５）と、を備える。
2020188665.tif 000002
【特許請求の範囲】
【請求項１】
個人情報管理装置であって、
前記個人情報管理装置により取り扱われる個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、
を備える個人情報管理装置。
【請求項２】
前記移転手段は、前記第２の地域が前記移転要件を充足するとき、前記個人による移転の同意を得ることなく前記個人情報を前記第２の地域へ移転する、
請求項１に記載の個人情報管理装置。
【請求項３】
前記第２の地域が認定機関による認定を受けた地域であるとき、前記第２の地域は前記移転要件を充足する、
請求項１又は２に記載の個人情報管理装置。
【請求項４】
個人情報管理装置と、個人情報を保存する個人情報記憶手段とを備え、
前記個人情報管理装置は、
前記個人情報記憶手段に保存されている前記個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、を備える、
個人情報管理システム。
【請求項５】
前記個人情報の移転に関する情報である移転情報を台帳データとして保存する台帳データ記憶手段をさらに備え、
前記個人情報管理装置は、前記移転情報を前記台帳データ記憶手段に登録する移転情報登録手段をさらに備える、
請求項４に記載の個人情報管理システム。
【請求項６】
前記台帳データ記憶手段に保存された前記台帳データを第三者に開示する台帳データ開示手段をさらに備える、
請求項５に記載の個人情報管理システム。
【請求項７】
前記台帳データ記憶手段は、改ざん困難な方式により前記移転情報を保存する、
請求項５又は６に記載の個人情報管理システム。
【請求項８】
個人情報管理方法であって、
個人情報を前記個人情報管理方法が行われる第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得し、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得し、
前記充足情報を前記個人情報にて示される個人に通知し、
前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認し、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する、
個人情報管理方法。
【請求項９】
コンピュータを、
前記コンピュータにより取り扱われる個人情報を前記コンピュータが存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段、
として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報管理装置、個人情報管理システム、個人情報管理方法及びプログラムに関する。
【背景技術】
【０００２】
各国の個人情報保護法、欧州のGDPR（General Data Protection Regulation：一般データ保護規則）など個人情報の保護に関する法規の下では、個人情報を国外、欧州域外などの他の地域に移転するには、原則として当該個人情報にて示される個人の同意を得る必要がある。特許文献１には、個人情報の移転要求があったとき、当該個人情報にて示される個人に移転の可否を確認する個人情報流通制御システムが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】国際公開第２００９／１０１７５５号
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、個人情報の保護に関する法規の下において、認定機関が認定した認定地域に個人情報を移転する場合、個人の同意を得ることなく個人情報を移転できる場合がある。例えば、GDPRの下では、認定機関である欧州委員会により十分性認定を受けた認定国に個人情報を移転する場合、個人情報を取り扱う者は、個人の同意を得ることなく個人情報を移転できる。【０００５】
一方、非認定地域への個人情報の移転要求があったとき、個人情報を取り扱う者は、非認定地域へ個人情報を移転することにより生じるリスクを個人に説明した上で、個人の同意を得る必要がある。【０００６】
しかし、非認定地域であっても、地域ごとに個人情報の取り扱いが異なるので、個人情報を移転することにより生じるリスクも地域ごとに異なる。そして、地域ごとの個人情報の取り扱いを個人が知ることは、一般的に容易ではない。したがって、個人情報を移転することにより生じるリスクを個人が判断するのは容易ではない。特許文献１の個人情報流通制御システムにおいても、個人情報を移転することにより生じるリスクを個人が判断するのは容易ではない。【０００７】
本発明の目的は、上記の事情に鑑み、個人情報を移転することにより生じるリスクを個人が容易に判断できる個人情報管理装置等を提供することにある。
【課題を解決するための手段】
【０００８】
上記の目的を達成するため、本発明に係る個人情報管理装置は、
前記個人情報管理装置により取り扱われる個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、
を備える。
【発明の効果】
【０００９】
本発明によれば、移転要件を第２の地域がどの程度充足するかを示す充足情報を個人に通知するので、個人情報を移転することにより生じるリスクを個人が容易に判断できる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施の形態に係る個人情報管理システムの構成を示す図
【図２】本発明の実施の形態に係る個人情報管理装置による個人情報の処理の概略を示すシーケンス図
【図３】本発明の実施の形態に係る個人情報管理装置の機能的構成を示す図
【図４】本発明の実施の形態における個人情報の一例を示す図
【図５】本発明の実施の形態における充足情報の一例を示す図
【図６】本発明の実施の形態に係る個人端末に表示される確認画面の一例を示す図
【図７】本発明の実施の形態における移転情報の一例を示す図
【図８】本発明の実施の形態に係る個人情報記憶装置の機能的構成を示す図
【図９】本発明の実施の形態に係る台帳データ記憶装置の機能的構成を示す図
【図１０】本発明の実施の形態に係る個人情報管理装置のハードウェア構成の一例を示す図
【発明を実施するための形態】
【００１１】
以下、図面を参照しながら、本発明の実施の形態に係る個人情報管理システムを説明する。各図面においては、同一又は同等の部分に同一の符号を付す。
【００１２】
（実施の形態）
図１を参照しながら、本発明の実施の形態に係る個人情報管理システム１を説明する。個人情報管理システム１は、個人情報管理システム１が運用されているＡ国とは異なる国であるＢ国から個人情報の移転の要求があったときに、当該要求に対応するためのシステムである。個人情報管理システム１は、個人情報管理装置１０と個人情報記憶装置２０と台帳データ記憶装置３０とを備える。個人情報管理装置１０は、域外端末２及び個人端末３と通信可能に接続されている。台帳データ記憶装置３０は、第三者端末４と通信可能に接続されている。個人情報管理システム１は、本発明に係る個人情報管理システムの一例である。
【００１３】
以下の説明では、Ａ国は欧州域内の国であり、Ｂ国は欧州域外の国であるものとする。また、個人情報管理システム１は、GDPRに対応するためのシステムであるものとする。ここでいう「欧州」あるいは「欧州域」の表記は、厳密には欧州経済領域のことを指すが、簡単のため単に「欧州」あるいは「欧州域」と表記する。欧州は本発明に係る第１の地域の一例であり、Ｂ国は本発明に係る第２の地域の一例である。
【００１４】
さらに、以下の説明では、個人情報管理システム１はＡ国の企業Ｘにより運営されているものとする。また、個人情報管理システム１により管理される個人情報の移転を、Ｂ国の企業Ｙが域外端末２により要求するものとする。また、当該個人情報にて示される個人は、個人端末３のユーザであり、Ａ国内に在住するものとする。
【００１５】
また、個人情報の「移転」の用語について、本明細書では、移転要求元が当該個人情報を認識できるように、当該個人情報を処理することをいう。例えば、当該個人情報を移転要求元に電子メールにて送信すること、当該個人情報の内容が印刷された紙面を移転要求元に郵送すること、移転要求元が運営するウェブサイトに当該個人情報を記入することなどが、個人情報の「移転」に該当する。
【００１６】
また、以下の説明では「移転要件」の用語が登場する。移転要件とは、法規により定められた、個人情報を移転するために国が満たすべき要件である。また、国が移転要件をどの程度充足するかを示す指標を、以下の説明では「充足度」という。当該移転要件を充足する国は、認定機関による認定を受けた認定国となる。認定国に個人情報を移転する場合には、個人の同意を得ることなく個人情報を移転できる。上記のとおり、以下の説明ではGDPRを前提としているので、認定機関は欧州委員会であり、認定国は欧州委員会による十分性認定を受けた国である。移転要件は複数項目存在し、GDPRにおいては１００項目以上である。
【００１７】
Ｂ国に存在し企業Ｙが管理する域外端末２は、Ａ国に存在する個人情報管理装置１０に対して、個人情報を移転することの要求を示す移転要求を個人情報管理装置１０に送信する。
【００１８】
個人情報管理装置１０は、域外端末２から個人情報の移転要求があったときに、当該要求に対応するための装置である。詳細は後述するが、個人情報管理装置１０は、Ｂ国の充足情報及び当該個人の同意の有無に応じて、当該個人情報を処理する。また、個人情報管理装置１０は、当該個人情報の移転に関する情報である移転情報を台帳データ記憶装置３０に登録する。移転情報の詳細については後述するが、移転情報とは、個人情報の移転要求があったこと、移転に同意した又は同意しなかったことなど、個人情報の移転に関する情報である。個人情報管理装置１０の機能的構成については後述する。個人情報管理装置１０は、本発明に係る個人情報管理装置の一例である。
【００１９】
個人情報記憶装置２０は、個人情報管理装置１０により管理される個人情報を保存する。個人情報記憶装置２０は、例えば、個人情報を保存するデータベースサーバである。個人情報記憶装置２０の機能的構成については後述する。
【００２０】
台帳データ記憶装置３０は、個人情報管理装置１０により登録される移転情報を台帳データとして時系列的に保存する。台帳データ記憶装置３０に保存される台帳データは、例えばブロックチェーン、分散型データベースなど、データの改ざんが困難な方式により構築される。改ざんが困難な方式により台帳データを構築することにより、個人情報の移転に関する法的問題が生じた場合に、移転情報を法的な証拠として活用することができる。移転情報を法的な証拠として活用することにより、例えば、ある個人が個人情報の移転に同意したにも関わらず、後日当該個人が同意について否認することを防ぐことができる。また、詳細は後述するが、台帳データ記憶装置３０は、官公庁職員、弁護士などの予め定められた第三者に移転情報を開示する機能を有する。当該機能により、第三者が移転情報を法的な証拠として取得することができる。台帳データ記憶装置３０の機能的構成については後述する。
【００２１】
個人端末３は、個人情報管理装置１０から、Ｂ国の企業Ｙからの個人情報の移転要求があったこと、Ｂ国の充足情報、個人情報を移転することにより生じるリスクなどの通知と、個人情報の移転に同意するか否かの確認とを示す情報を受信する。個人端末３は、ユーザの操作に応じて、個人情報の移転に同意するか否かを示す情報を個人情報管理装置１０に送信する。
【００２２】
第三者端末４は、台帳データ記憶装置３０に保存された台帳データを官公庁職員、弁護士などの第三者が閲覧するための端末である。例えば、個人情報の移転について法的問題が生じたとき、官公庁職員、弁護士などの第三者は、台帳データ記憶装置３０に保存された台帳データを第三者端末４により閲覧することで、個人情報の移転に関する証拠を得ることができる。
【００２３】
次に、理解を容易にするため、図２を参照しながら、個人情報の移転要求があったときの、個人情報管理システム１による個人情報の処理の概略を説明する。
【００２４】
Ｂ国の企業Ｙの域外端末２から個人情報の移転要求があったとき（ステップＴ１）、個人情報管理システム１の個人情報管理装置１０は、Ｂ国が移転要件を充足するか否かを判定する（ステップＴ２）。
【００２５】
Ｂ国が移転要件を充足する場合、個人情報管理装置１０は、域外端末２に個人情報を移転し（ステップＴ３）、同意なく移転したことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ４）。そして、個人情報管理装置１０は、個人情報の処理を終了する。
【００２６】
Ｂ国が移転要件を充足しない場合、個人情報管理装置１０は、個人端末３を介して、個人情報にて示される個人に対して、個人情報の移転要求があったこと、Ｂ国の充足情報、個人情報を移転することによるリスクなどを通知し、個人情報の移転に同意するか否かの確認をする（ステップＴ５）。当該個人は、個人端末３により、個人情報の移転に同意するか否かを個人情報管理装置１０に回答する（ステップＴ６）。
【００２７】
当該個人による同意があった場合、個人情報管理装置１０は、域外端末２に個人情報を移転し（ステップＴ７）、同意により移転したことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ８）。そして、個人情報管理装置１０は、個人情報の処理を終了する。
【００２８】
当該個人による同意がなかった場合、個人情報管理装置１０は、同意がなかったことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ９）。そして、個人情報管理装置１０は、個人情報の処理を終了する。
【００２９】
以上のとおり、個人情報管理システム１は、Ｂ国が移転要件を充足するか否か及び個人の同意があるか否かに応じて、移転要求がされた個人情報を処理し、移転情報を台帳データ記憶装置３０に登録する。
【００３０】
次に、図３を参照しながら、個人情報管理装置１０の機能的構成を説明する。個人情報管理装置１０は、制御部１００と充足情報記憶部１１０と通信部１２０とを備える。
【００３１】
制御部１００は、個人情報管理装置１０を統括制御する。制御部１００は、移転要求取得部１０１と、個人情報取得部１０２と、充足情報取得部１０３と、確認部１０４と、移転部１０５と、移転情報登録部１０６とを備える。
【００３２】
移転要求取得部１０１は、通信部１２０を介して、域外端末２から個人情報の移転要求を取得する。移転要求取得部１０１は、本発明に係る移転要求取得手段の一例である。
【００３３】
個人情報取得部１０２は、移転要求に係る個人情報を、通信部１２０を介して個人情報記憶装置２０から取得する。個人情報は、例えば図４に示すとおり、個人に関連付けられたID（Identifier：識別子）と、氏名、住所、電話番号などの個人に関する情報とを含む。また、個人情報は、項目ごとに、移転を許可するか否かを示す情報も含む。
【００３４】
充足情報取得部１０３は、移転要求の要求元であるＢ国についての充足情報を、充足情報記憶部１１０から取得する。充足情報とは、各国が移転要件をどの程度充足するかを示す情報である。充足情報は、例えば図５に示すとおり、各国について、各移転要件を充足するか否か、充足度はどの程度か、認定国か否かなどを示す情報である。図５の例では、各移転要件を全て充足するときの充足度が１００である。図５の例では、Ｂ国は一部の移転要件を充足せず、充足度は９０であり、認定国ではない。なお、充足情報取得部１０３は、充足度のみを充足情報として取得してもよい。充足情報取得部１０３は、本発明に係る充足情報取得手段の一例である。
【００３５】
確認部１０４は、Ｂ国の企業Ｙから個人情報の移転要求があったこと、Ｂ国の充足情報、個人情報を移転することにより生じるリスクなどの通知と、個人情報の移転に同意するか否かの確認とを示す情報を、通信部１２０を介して個人端末３に送信する。その結果として、個人端末３には、例えば図６で示す確認画面が表示される。なお、図６にて移転対象として提示されている個人情報は、図４において移転許可とされている情報である。また、図６では、充足情報として充足度が示されている。当該確認画面により、個人端末３のユーザである当該個人は、Ｂ国の充足情報に基づいて、個人情報を移転することにより生じるリスクを容易に判断することができる。確認部１０４は、本発明に係る確認手段の一例である。
【００３６】
移転部１０５は、個人情報の移転に同意することを示す情報を通信部１２０が個人端末３から受信したとき、通信部１２０を介して当該個人情報をＢ国の域外端末２に送信する。つまり、移転部１０５は、当該個人による個人情報の移転への同意に応じて、当該個人情報をＢ国に移転する。また、移転部１０５は、Ｂ国が移転要件を充足するとき、確認部１０４による通知及び確認をすることなく当該個人情報をＢ国に移転する。なお、移転の許可がされている項目についての個人情報のみが移転される。移転部１０５は、本発明に係る移転手段の一例である。
【００３７】
移転情報登録部１０６は、個人情報の移転に関する情報である移転情報を台帳データ記憶装置３０に登録する。詳細は後述するが、移転情報は、例えば図７に示すとおり、個人情報の移転要求に対してどのように個人情報を処理したかを示す処理内容の情報を含む。移転情報登録部１０６は、本発明に係る移転情報登録手段の一例である。
【００３８】
充足情報記憶部１１０は、各国の充足情報を保存する。上述のとおり、充足情報記憶部１１０に保存される充足情報は、例えば図５に示すものとなる。充足情報は、例えば個人情報管理装置１０の管理者により、欧州委員会による十分性認定の審査状況に基づいて設定される。
【００３９】
通信部１２０は、域外端末２、個人端末３、個人情報記憶装置２０及び台帳データ記憶装置３０と通信する。通信部１２０は、例えばインターネットを介して域外端末２及び個人端末３と通信し、Ｘ社内の内部ネットワークを介して個人情報記憶装置２０及び台帳データ記憶装置３０と通信する。
【００４０】
次に、図８を参照しながら、個人情報記憶装置２０の機能的構成を説明する。個人情報記憶装置２０は、制御部２００と個人情報記憶部２１０と通信部２２０とを備える。
【００４１】
制御部２００は、個人情報記憶装置２０を統括制御する。制御部２００は、特に、個人情報管理装置１０の個人情報取得部１０２からの求めに応じて、個人情報記憶部２１０に保存されている個人情報を、通信部２２０を介して個人情報管理装置１０に送信する。
【００４２】
個人情報記憶部２１０は、Ｘ社が個人情報管理システム１にて取り扱う個人情報を保存する。上述のとおり、個人情報記憶部２１０に保存される個人情報は、例えば図４に示すものとなる。個人情報記憶部２１０は、本発明に係る個人情報記憶手段の一例である。
【００４３】
通信部２２０は、個人情報管理装置１０と通信する。通信部２２０は、例えば、Ｘ社内の内部ネットワークを介して個人情報管理装置１０と通信する。
【００４４】
次に、図９を参照しながら、台帳データ記憶装置３０の機能的構成を説明する。台帳データ記憶装置３０は、制御部３００と台帳データ記憶部３１０と通信部３２０とを備える。
【００４５】
制御部３００は、台帳データ記憶装置３０を統括制御する。制御部３００は、移転情報保存部３０１と台帳データ開示部３０２とを備える。
【００４６】
移転情報保存部３０１は、個人情報管理装置１０の移転情報登録部１０６による登録の求めに応じて、移転情報を台帳データとして台帳データ記憶部３１０に時系列的に保存する。
【００４７】
台帳データ開示部３０２は、第三者端末４の求めに応じて、台帳データ記憶部３１０に保存された台帳データを、通信部３２０を介して第三者端末４に送信する。台帳データを第三者端末４に送信することにより、台帳データ開示部３０２は、台帳データを第三者に開示する。台帳データ開示部３０２は、本発明に係る台帳データ開示手段の一例である。
【００４８】
台帳データ記憶部３１０は、移転情報を台帳データとして時系列的に保存する。台帳データ記憶部３１０は、移転情報を時系列的に保存することにより、個人情報の移転に関する情報が時系列的に記録された台帳データを構築する。上述のとおり、台帳データは、例えばブロックチェーン、分散型データベースなど、データの改ざんが困難な方式により構築される。台帳データ記憶部３１０は、本発明に係る台帳データ記憶手段の一例である。
【００４９】
上述のとおり、移転情報は、例えば図７に示すものとなる。図７に示す各行が各移転情報である。図７に示す例では、移転情報は、IDと移転要求元と要求された情報と処理内容とを示す情報を含む。ただし、移転情報は、個人を直接識別する情報を含まない。上述のとおり、移転情報は、法的な証拠として第三者にも開示されうるからである。官公庁職員、弁護士などの第三者が、ある個人が移転要求に同意したか否かを確認したい場合、まず、当該第三者は、Ｘ社に問い合わせて当該個人のIDを取得する。そして、当該第三者は、台帳データを閲覧して、取得したIDについての移転情報を確認することにより、当該個人が移転要求に同意したか否かを確認できる。
【００５０】
通信部３２０は、個人情報管理装置１０及び第三者端末４と通信する。通信部３２０は、例えば、Ｘ社内の内部ネットワークを介して個人情報管理装置１０と通信し、インターネットを介して第三者端末４と通信する。
【００５１】
次に、個人情報管理装置１０のハードウェア構成の一例を、図１０を参照しながら説明する。図１０に示す個人情報管理装置１０は、例えばパーソナルコンピュータ、マイクロコントローラなどのコンピュータにより実現される。
【００５２】
個人情報管理装置１０は、バス１０００を介して互いに接続された、プロセッサ１００１と、メモリ１００２と、インタフェース１００３と、二次記憶装置１００４と、を備える。
【００５３】
プロセッサ１００１は、例えばCPU（Central Processing Unit: 中央演算装置）である。プロセッサ１００１が、二次記憶装置１００４に記憶された動作プログラムをメモリ１００２に読み込んで実行することにより、個人情報管理装置１０の各機能が実現される。
【００５４】
メモリ１００２は、例えば、RAM（Random Access Memory）により構成される主記憶装置である。メモリ１００２は、プロセッサ１００１が二次記憶装置１００４から読み込んだ動作プログラムを記憶する。また、メモリ１００２は、プロセッサ１００１が動作プログラムを実行する際のワークメモリとして機能する。
【００５５】
インタフェース１００３は、例えばネットワークインタフェース、シリアルポート、USB（Universal Serial Bus）ポートなどのI/O（Input/Output）インタフェースである。インタフェース１００３により通信部１２０の機能が実現される。
【００５６】
二次記憶装置１００４は、例えば、フラッシュメモリ、HDD（Hard Disk Drive）、SSD（Solid State Drive）である。二次記憶装置１００４は、プロセッサ１００１が実行する動作プログラムを記憶する。二次記憶装置１００４により充足情報記憶部１１０の機能が実現される。
【００５７】
また、個人情報記憶装置２０、台帳データ記憶装置３０、域外端末２、個人端末３及び第三者端末４も同様に、図１０に示すハードウェア構成により実現できる。
【００５８】
次に、再び図２を参照し、個人情報管理装置１０による個人情報の処理の一例を説明する。
【００５９】
個人情報管理装置１０の制御部１００の移転要求取得部１０１は、個人情報の移転要求をＢ国の域外端末２から取得する（ステップＴ１）。制御部１００の個人情報取得部１０２は、移転要求の対象となる個人情報を個人情報記憶装置２０から取得する。
【００６０】
制御部１００の充足情報取得部１０３は、充足情報記憶部１１０に保存されているＢ国の充足情報を取得する。制御部１００は、Ｂ国が移転要件を充足するか否かを判定する（ステップＴ２）。
【００６１】
ステップＴ２にてＢ国が移転要件を充足すると判定された場合、制御部１００の移転部１０５は、Ｂ国の域外端末２に当該個人情報を移転する（ステップＴ３）。制御部１００の移転情報登録部１０６は、当該個人の同意なく移転したことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ４）。そして制御部１００は、個人情報の処理を終了する。
【００６２】
ステップＴ２にてＢ国が移転要件を充足しないと判定された場合、制御部１００の確認部１０４は、Ｂ国の企業Ｙから個人情報の移転要求があったこと、Ｂ国の充足情報、個人情報を移転することにより生じるリスクなどを個人端末３に通知し、当該個人に個人情報の移転に同意するか否かを確認する（ステップＴ５）。制御部１００は、個人端末３から、個人情報の移転に同意するか否かを示す回答を受信する（ステップＴ６）。
【００６３】
ステップＴ６の回答にて同意があった場合、移転部１０５は、Ｂ国の域外端末２に当該個人情報を移転する（ステップＴ７）。移転情報登録部１０６は、当該個人の同意により移転したことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ８）。そして制御部１００は、個人情報の処理を終了する。
【００６４】
ステップＴ６の回答にて同意がなかった場合、移転情報登録部１０６は、当該個人の同意がなかったことを示す移転情報を台帳データ記憶装置３０に登録する（ステップＴ９）。そして制御部１００は、個人情報の処理を終了する。
【００６５】
以上、実施の形態に係る個人情報管理システム１を説明した。個人情報管理システム１によれば、個人情報管理装置１０が設置された地域とは異なる地域への個人情報の移転要求があったとき、当該異なる地域が移転要件をどの程度充足するかを示す充足情報を個人に通知するので、個人情報を移転することにより生じるリスクを個人が容易に判断できる。
【００６６】
また、個人情報管理システム１によれば、移転情報を改ざん困難な方式により台帳データ記憶装置３０に保存するので、移転情報を法的な証拠として活用することができる。また、台帳データ記憶装置３０に保存された移転情報を予め定められた第三者に開示可能なものとすることにより、当該第三者が移転情報を法的な証拠として容易に取得できる。また、移転情報は個人を直接識別する情報を含まないので、移転情報を開示可能なものとしても、個人情報を不必要に開示することがない。
【００６７】
（変形例）
実施の形態では、個人情報記憶装置２０はＡ国に存在するとしたが、他国に存在してもよい。例えば、欧州域内の他の国に個人情報記憶装置２０が存在してもよいし、欧州域外の認定国に個人情報記憶装置２０が存在してもよい。また、個人の同意が得られる場合には、非認定国に個人情報記憶装置２０が存在してもよい。
【００６８】
実施の形態では、台帳データ記憶装置３０は１つのみ示されていたが、台帳データ記憶装置３０に代えて、複数の装置により台帳データを構築するシステムを構成してもよい。例えば、複数の装置による分散型データベースシステムにより台帳データを構築してもよいし、ブロックチェーンを構成する各ノードを複数の装置が分散して保有することにより台帳データを構築してもよい。
【００６９】
実施の形態では、台帳データ記憶装置３０はＡ国に存在するとしたが、他国に存在してもよい。また、台帳データ記憶装置３０に代えて、複数国に存在する複数の装置により台帳データを構築するシステムを構成してもよい。
【００７０】
実施の形態では、認定国への個人情報の移転要求については同意なしに移転が行われたが、認定国への移転要求についても個人に同意の確認をしてもよい。
【００７１】
実施の形態においては、充足度の低い非認定国へ個人情報を移転することについて、当該個人にはメリットが薄いと考えられる。そのため、移転に同意した場合に当該個人がインセンティブを得られるようにしてもよい。例えば、非認定国の充足度に応じて、個人情報を移転した場合に得られるポイントを設定してもよい。ここでいうポイントとは、例えば現金、商品などに交換可能なポイントである。インセンティブを設定することにより、充足度の低い国の企業による個人情報の利活用を促進できる。
【００７２】
実施の形態では、個人情報管理装置１０の確認部１０４が通知と確認とを示す情報を個人端末３に送信することにより、当該個人に通知及び確認をした。しかし、確認部１０４は、これ以外の方法により当該個人に通知及び確認をしてもよい。確認部１０４は、例えば、個人情報にて示されるメールアドレスに電子メールを送信する、個人情報にて示される電話番号にファクシミリを送信するなどの方法により、当該個人に通知及び確認をしてもよい。
【００７３】
図１０に示すハードウェア構成においては、個人情報管理装置１０が二次記憶装置１００４を備えている。しかし、これに限らず、二次記憶装置１００４を個人情報管理装置１０の外部に設け、インタフェース１００３を介して個人情報管理装置１０と二次記憶装置１００４とが接続される形態としてもよい。この形態においては、USBフラッシュドライブ、メモリカードなどのリムーバブルメディアも二次記憶装置１００４として使用可能である。
【００７４】
また、図１０に示すハードウェア構成に代えて、ASIC（Application Specific Integrated Circuit: 特定用途向け集積回路）、FPGA（Field Programmable Gate Array）などを用いた専用回路により個人情報管理装置１０を構成してもよい。また、図１０に示すハードウェア構成において、個人情報管理装置１０の機能の一部を、例えばインタフェース１００３に接続された専用回路により実現してもよい。
【００７５】
個人情報管理装置１０で用いられるプログラムは、CD-ROM（Compact Disc Read Only Memory）、DVD（Digital Versatile Disc）、USBフラッシュドライブ、メモリカード、HDD等のコンピュータ読み取り可能な記録媒体に格納して配布することが可能である。そして、かかるプログラムを特定の又は汎用のコンピュータにインストールすることによって、当該コンピュータを個人情報管理装置１０として機能させることが可能である。
【００７６】
また、上述のプログラムをインターネット上の他のサーバが有する記憶装置に格納しておき、当該サーバから上述のプログラムがダウンロードされるようにしてもよい。
【００７７】
本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施の形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。つまり、本発明の範囲は、実施の形態ではなく、請求の範囲によって示される。そして、請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、本発明の範囲内とみなされる。
【産業上の利用可能性】
【００７８】
本発明は、個人情報の管理に好適である。
【符号の説明】
【００７９】
１  個人情報管理システム、２  域外端末、３  個人端末、４  第三者端末、１０  個人情報管理装置、２０  個人情報記憶装置、３０  台帳データ記憶装置、１００  制御部、１０１  移転要求取得部、１０２  個人情報取得部、１０３  充足情報取得部、１０４  確認部、１０５  移転部、１０６  移転情報登録部、１１０  充足情報記憶部、１２０  通信部、２００  制御部、２１０  個人情報記憶部、２２０  通信部、３００  制御部、３０１  移転情報保存部、３０２  台帳データ開示部、３１０  台帳データ記憶部、３２０  通信部、１０００  バス、１００１  プロセッサ、１００２  メモリ、１００３  インタフェース、１００４  二次記憶装置。
【図１】
2020188665.tif 000003
【図２】
2020188665.tif 000004
【図３】
2020188665.tif 000005
【図４】
2020188665.tif 000006
【図５】
2020188665.tif 000007
【図６】
2020188665.tif 000008
【図７】
2020188665.tif 000009
【図８】
2020188665.tif 000010
【図９】
2020188665.tif 000011
【図１０】
2020188665.tif 000012
【手続補正書】
【提出日】令和3年8月17日(2021.8.17)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
上記の目的を達成するため、本発明に係る個人情報管理装置は、
前記個人情報管理装置により取り扱われる個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための要件であって法規により定められた要件である移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、
を備える。
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
個人情報管理装置であって、
前記個人情報管理装置により取り扱われる個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための要件であって法規により定められた要件である移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、
を備える個人情報管理装置。
【請求項２】
前記移転手段は、前記第２の地域が前記移転要件を充足するとき、前記個人による移転の同意を得ることなく前記個人情報を前記第２の地域へ移転する、
請求項１に記載の個人情報管理装置。
【請求項３】
前記第２の地域が認定機関による認定を受けた地域であるとき、前記第２の地域は前記移転要件を充足する、
請求項１又は２に記載の個人情報管理装置。
【請求項４】
個人情報管理装置と、個人情報を保存する個人情報記憶手段とを備え、
前記個人情報管理装置は、
前記個人情報記憶手段に保存されている前記個人情報を前記個人情報管理装置が存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段と、
前記個人情報を前記第２の地域へ移転するための移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段と、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段と、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段と、を備える、
個人情報管理システム。
【請求項５】
前記個人情報の移転に関する情報であって前記個人を直接識別する情報を含まない情報である移転情報を台帳データとして保存する台帳データ記憶手段をさらに備え、
前記個人情報管理装置は、前記移転情報を前記台帳データ記憶手段に登録する移転情報登録手段をさらに備える、
請求項４に記載の個人情報管理システム。
【請求項６】
前記台帳データ記憶手段に保存された前記台帳データを第三者に開示する台帳データ開示手段をさらに備える、
請求項５に記載の個人情報管理システム。
【請求項７】
前記台帳データ記憶手段は、改ざん困難な方式により前記移転情報を保存する、
請求項５又は６に記載の個人情報管理システム。
【請求項８】
個人情報管理方法であって、
個人情報を前記個人情報管理方法が行われる第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得し、
前記個人情報を前記第２の地域へ移転するための要件であって法規により定められた要件である移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得し、
前記充足情報を前記個人情報にて示される個人に通知し、
前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認し、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する、
個人情報管理方法。
【請求項９】
コンピュータを、
前記コンピュータにより取り扱われる個人情報を前記コンピュータが存在する第１の地域とは異なる第２の地域へ移転することの要求を示す移転要求を取得する移転要求取得手段、
前記個人情報を前記第２の地域へ移転するための要件であって法規により定められた要件である移転要件を前記第２の地域がどの程度充足するかを示す充足情報を取得する充足情報取得手段、
前記充足情報を前記個人情報にて示される個人に通知し、前記個人情報の前記第２の地域への移転に同意するか否かを前記個人に確認する確認手段、
前記同意に応じて、前記個人情報を前記第２の地域へ移転する移転手段、
として機能させるプログラム。
【国際調査報告】
2020188665.tif 000013
2020188665.tif 000014
2020188665.tif 000015
2020188665.tif 000016