JP2004341832A - 個人情報管理方法及びシステム、開示用識別子発行装置、個人情報開示装置 - Google Patents

Abstract

【課題】個人情報の漏洩防止及び個人情報流通の効率化を図りつつ且つ利便性が高い個人情報管理方法及びシステムを提供する。
【解決手段】開示用識別子生成手段２１が、利用者識別子Ｒ及び個人情報の開示条件情報Ｃに基づき、開示用識別子復元手段３２でのみ復元できるような開示用識別子Ｔを生成する。開示用識別子復元手段３２は、開示先である第三者端末１２から開示用識別子Ｔを含む開示要求を受信すると、該開示用識別子Ｔから利用者識別子Ｒ及び個人情報の開示条件情報Ｃを復元する。開示条件判定手段３３は、復元した開示条件情報Ｃにしたがって開示の可否を判定し、個人情報開示手段３４は、利用者識別子Ｒを用いて個人情報を取得し第三者端末１２に開示する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットなどのネットワークにおいて個人情報を管理する方法及びシステムに関する。
【０００２】
【従来の技術】
近年、金融サービスなどの各種サービスをインターネット上で提供することが広く普及してきており、これに伴い氏名・住所などの個人情報がインターネット上で流通する機会が増えている。例えば、インターネット上に開設されたバーチャルショップで買い物をする場合には、氏名・住所・クレジットカード番号などの個人情報が利用者の端末からサービス提供サーバへと送信される。そして、このような個人情報はそのサービス提供者にのみ開示されるべきものであり、他者への漏洩などを防止する必要がある。一方、利用者がサービスを受ける際には、その都度、個人情報を入力しサービス提供者に送信する必要があるため、利用者にとっては面倒な作業となるだけでなく入力ミスが生じやすいという問題があった。
【０００３】
このような個人情報の漏洩防止及び個人情報流通の効率化という観点から、個人情報を管理する方法として特開２００２−２２９９５３号公報に記載されている技術が提案されている。
【０００４】
以下に、この従来の技術について図１５を参照して説明する。ここでは、例えばＥＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｍｍｅｒｃｅ／電子商取引）業者など個人情報を利用する者を情報利用者、個人情報を登録するものを登録者と呼ぶ。
【０００５】
図１５において、１００１は個人情報を記憶・管理するための個人情報管理サーバ、１００２は情報利用者の端末、１００３は登録者の端末である。このような構成において、情報利用者が個人情報の取得を希望する際の動作について説明する。
【０００６】
まず、登録者は、端末１００３を用いて個人情報管理サーバ１００１に個人情報を予め登録しておく（ステップＳ１０１）。情報利用者は、端末１００２を用いて登録者の端末１００３に対して個人情報アクセス要求を送信する（ステップＳ１０２）。登録者は、受信した個人情報アクセス要求を調査し、情報利用者に開示したくない事項についての要求が含まれていなければ、アクセスコード生成依頼を個人情報管理サーバ１００１に送信する（ステップＳ１０３）。個人情報管理サーバ１００２は、個人情報にアクセスするためのアクセスコードを生成し（ステップＳ１０４）、これを登録者に送り返す（ステップＳ１０５）。そして、登録者はこのアクセスコードを情報利用者に返す（ステップＳ１０６）。
【０００７】
アクセスコードを入手した情報利用者は、該アクセスコードを用いて個人情報管理サーバ１００１にアクセスする（ステップＳ１０７）。個人情報管理サーバ１００１は、受信したアクセスコードを検証し、適切なコードである場合には該コードに対応する個人情報を抽出し（ステップＳ１０８）、抽出結果を情報利用者に返す（ステップＳ１０９）。
【０００８】
このような処理により、情報利用者による個人情報の取得要求があると、情報利用者に対してどのような情報を開示してよいかという事を個人情報の登録者が判断することができる。すなわち、個人情報の流通を自らの意志でコントロールできる。また、個人情報自体は個人情報管理サーバで管理されているので、開示先毎に個人情報を入力するといった手間を省くことができる。
【０００９】
【特許文献１】
特開２００２−２２９９５３号公報
【００１０】
【発明が解決しようとする課題】
しかしながら、従来の技術では、アクセスを許可された情報利用者以外の悪意の第三者が何らかの手段でアクセスコードを入手した場合、該悪意の第三者に対して個人情報を開示してしまう恐れがある。すなわち、従来の技術におけるアクセスコードは登録者によってアクセスを許可された情報利用者にみ発行されるものであり、該アクセスコードを流通させ他人が使用することは前提にしていない。このため、例えば特定のグループ内でコードを流通させて、該コードを入手したグループ内の人であれば誰でも個人情報の取得を可能にするといった用途に不向きであった。また、従来の技術では、多数の利用者が頻繁に個人情報の開示を要求するとその度にアクセスコードが生成されるので、個人情報管理サーバで管理しなければならないアクセスコードの数が爆発的に増加してしまう。したがって、個人情報管理サーバの負荷が大きくなってしまうという問題があった。
【００１１】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、個人情報の漏洩防止及び個人情報流通の効率化を図りつつ且つ利便性が高い個人情報管理方法及びシステムを提供することにある。
【００１２】
【課題を解決するための手段】
上記目的を達成するために、本願発明では、利用者の個人情報を管理する個人情報管理方法において、利用者を一意に識別可能な利用者識別子が含まれる個人情報を各利用者毎に予め個人情報記憶手段に記憶しておく個人情報記憶段階と、開示用識別子生成手段が、利用者識別子に代えて第三者に開示するための開示用識別子を利用者識別子及び開示条件情報の組に対応づけて生成する開示用識別子生成段階と、第三者の端末から開示用識別子を用いて個人情報開示要求を行う個人情報開示要求段階と、個人情報復元手段が、第三者端末から受信した個人情報開示要求に含まれる開示用識別子から該開示用識別子に対応づけられた利用者識別子及び開示条件情報の組を復元する開示用識別子復元段階と、開示条件判断手段が、第三者端末から受信した個人情報開示要求が前記復元した開示条件情報を満たしているかを判断する開示条件判断段階と、個人情報取得手段が、開示条件判断結果に基づいて、復元した利用者識別子を用いて該利用者識別子に係る個人情報を前記個人情報記憶手段から取得する個人情報取得段階と、個人情報開示手段が、取得した個人情報を要求元の第三者端末に対して開示する個人情報開示段階とを含み、前記開示用識別子生成段階では、個人情報復元手段のみが利用者識別子及び開示条件情報の組を復元可能な開示用識別子を生成することを特徴とするものを提案する。
【００１３】
本発明によれば、利用者の個人情報取得を希望する第三者は、該第三者に対する開示が許可された開示条件情報に対応づけられた開示用識別子を入手し、該開示用識別子を用いて個人情報開示手段に個人情報の開示を要求すれば、開示条件にしたがった個人情報を入手できる。すなわち、利用者は個人情報を個人情報記憶手段に予め登録しておくとともに、開示用識別子生成手段において適切な開示条件で開示用識別子を生成しておき、この開示用識別子を第三者が取得可能にすれば、該第三者に対する適切な個人情報の開示が可能となる。
【００１４】
また、開示用識別子生成手段で生成された開示用識別子は開示用識別子復元手段でのみ復元可能であり、且つ、第三者端末から受信した個人情報開示要求が開示条件情報を満たしているかを判定しているので、開示用識別子が利用者の意図する開示先とは異なる第三者にわたっても該第三者は個人情報を取得することができない。したがって、個人情報の漏洩を防止して個人情報の保護を図ることができる。なお、開示用識別子は、利用者端末から第三者端末に送信するようにしてもよいし、開示用識別子生成手段から第三者端末に送信するようにしてもよいし、その他の手段によって通知するようにしてもよい。
【００１５】
【発明の実施の形態】
本発明の一実施形態に係る個人情報管理システムについて図面を参照して説明する。まず、図１を参照して本発明に係る個人情報管理システムの動作原理について説明する。図１は個人情報管理システムの動作原理を説明するシステム構成図である。
【００１６】
図１において、１は利用者、２は利用者１の個人情報を利用する第三者、１１は利用者１が利用する利用者端末、１２は第三者２が利用する第三者端末、２１は個人情報に関連付けられた開示用識別子Ｔを生成する開示用識別子生成手段、３０は第三者端末からの個人情報開示要求に応じて個人情報を開示する個人情報開示装置、４０は個人情報を記憶管理する個人情報データベース（以下、個人情報ＤＢという）である。
【００１７】
この個人情報管理システムは、利用者１の個人情報を第三者２に開示する際に利用者１の意志が反映された適切な開示が行われるようにするとともに、個人情報の漏洩を防止するものである。本発明は、このような個人情報の開示を行うために、個人情報と関連付けられた開示用識別子Ｔをネットワーク上で流通させることを特徴としている。特に、本発明はこの開示用識別子Ｔがネットワーク上で流通することにより、前記第三者２とは異なる他の者が開示用識別子Ｔを入手した場合でも、この者に対して個人情報は開示せず、利用者１が本来開示させたい第三者２にのみ個人情報を開示する。なお、ここで個人情報の開示先となる第三者２は複数人であってもよい。したがって、例えば、特定のグループに属する者であれば誰でも開示用識別子Ｔから個人情報を取得できるということを実現できる。
【００１８】
開示用識別子生成手段２１は、利用者１を一意に識別可能な識別子であるユーザＩＤ（Ｒ）と、個人情報を第三者２に開示する際の条件である開示条件情報Ｃから、第三者２が個人情報にアクセスする際に用いる開示用識別子Ｔを生成する。この開示用識別子Ｔは、ユーザＩＤ（Ｒ）及び開示条件情報Ｃの組に対して一意に生成され、また、開示用識別子復元手段３２のみがユーザＩＤ（Ｒ）及び開示条件情報Ｃを復元できるものである。開示条件情報Ｃとしては、例えば、開示先である第三者２を特定する情報、開示の有効期限、開示を許可する項目情報（例えば住所のみの開示を許可する）、開示の形態（例えば年齢２５才という情報を年齢２０代などのような表現することを指定する）など種々の条件を任意に組み合わせたものからなる。開示用識別子Ｔの生成に必要なユーザＩＤ（Ｒ）及び開示条件情報Ｃは、利用者端末１１から取得される。開示用識別子Ｔの生成方法については後述する。
【００１９】
個人情報開示装置３０は、個人情報開示要求の要求元を認証する認証手段３１と、個人情報開示要求に含まれる開示用識別子ＴからユーザＩＤ（Ｒ）及び開示条件情報Ｃを復元する開示用識別子復元手段３２と、復元した開示条件情報Ｃに基づき個人情報の開示可否を判定する開示条件判定手段３３と、個人情報を個人情報ＤＢ４０から取得して第三者端末１２に開示する個人情報開示手段３４とを備えている。
【００２０】
認証手段３１は、第三者端末１２からの個人情報開示要求を受け付ける際に個人情報の開示先となる第三者２を認証して該第三者２の識別子Ｓを取得する。認証手段３１による認証方法としてはどのような形式のものであってもよい。例えば、識別子Ｓとパスワードを組にして認証を行うパスワード方式などが挙げられる。
【００２１】
開示用識別子復元手段３２は、第三者端末１２から受信した開示用識別子Ｔから該識別子Ｔに対応するユーザＩＤ（Ｒ）及び開示条件情報Ｃを復元する。開示用識別子Ｔの復元手法は、開示用識別子生成手段２１における生成方法に対応するものである。開示用識別子Ｔの復元手法については後述する。
【００２２】
開示条件判定手段３３は、開示用識別子復元手段３２で復元された開示条件情報Ｃに基づき要求元に対して個人情報を開示するか否かを判定する。すなわち、例えば開示条件情報Ｃに開示先を特定する情報（開示先の識別子）が含まれている場合には、前記認証手段３１で認識された要求元の第三者２の識別子Ｓを用いて開示可否を判定する。また、例えば開示条件情報Ｃに有効期限が含まれており、且つ、この有効期限が既に過ぎている場合にも個人情報の開示は許可しない。判定の結果、個人情報の開示が許可される場合には前記開示用識別子復元手段３２で復元されたユーザＩＤ（Ｒ）を個人情報開示手段３４に通知する。
【００２３】
個人情報開示手段３４は、開示条件判定手段３３から通知されたユーザＩＤ（Ｒ）を用いて個人情報ＤＢ４０から個人情報を取得し、この個人情報を要求元の第三者端末１２に対して送信する。ここで、個人情報開示手段３４は、必要に応じて、個人情報の所定の項目について、個人情報ＤＢ４０に記憶されている情報そのものではなく、所定の形式に変換してから第三者端末１２に送信する。
【００２４】
個人情報開示手段３４における個人情報の変換の形態としては、個人情報の所定項目に対して、一時的に用いられる識別子を生成し、この識別子を開示する方法が挙げられる。例えば、個人情報に電子メールアドレスなど個人を識別可能な識別子が含まれている場合、必要に応じて、該識別子から一時的な他の識別子を生成する。さらに具体的には、個人情報に含まれる電子メールアドレスに所定の付加情報を付加した文字列を暗号化し、さらにこれを電子メールアドレス形式に加工したものを一時的な電子メールアドレスとして開示する。このような識別子の生成については、本願の出願人による特許出願、出願番号２００３−２５９７６号，”通信方法、通信システム、その装置、通信プログラム及び通信プログラムを記録した媒体”を参照されたい。
【００２５】
また、個人情報開示手段３４における個人情報の変換の他の形態としては、個人情報の所定項目に対して、所定の書式・表現形態に変換して、これを第三者端末１２に開示する方法が挙げられる。例えば、年齢の項目について、２５才という個人情報を「２０才以上」という形態で開示する。なお、どの項目についてどのような変換を行うかについては、開示条件情報Ｃに含ませておけばよい。
【００２６】
個人情報ＤＢ４０は、利用者１の個人情報を記憶・管理する装置であり、利用者１のユーザＩＤ（Ｒ）をキーとして該利用者１の個人情報にアクセス可能となっている。個人情報ＤＢ４０に記憶される個人情報は、開示用識別子Ｔの流通の先立ち登録されるものとし、この登録作業を行う者は不問である。例えば、図１に示すように、利用者１が利用者端末１１を用いて自ら個人情報を登録するようにしてもよいし、個人情報ＤＢ４０の管理者が登録するようにしてもよい。個人情報ＤＢ４０への登録方法の形態としては、例えば登録者が用いる端末においてＷＷＷブラウザを用いてＨＴＴＰ経由で登録する方法などが挙げられる。
【００２７】
ここで、開示用識別子生成手段２１，認証手段３１，開示用識別子復元手段３２，開示条件判定手段３３，個人情報開示手段３４，個人情報ＤＢ４０は、それぞれコンピュータで動作するプログラムとして実装されるが、各プログラムと実装先のコンピュータとの位置関係はどのようなものであってもよい。すなわち、上記の全ての手段が１つのコンピュータに実装されていてもよいし、それぞれ別のコンピュータに実装されていてもよいし、任意の組み合わせでコンピュータに実装されていてもよい。また、１つの手段が複数のコンピュータに分散して実装されるような形態であってもよい。なお、複数のコンピュータを用いる場合には各コンピュータ間のデータの送受はネットワークを介して行うことになることは言うまでもない。
【００２８】
次に、本発明の個人情報管理システムを利用して利用者の個人情報を第三者に開示する流れについて図２のシーケンスチャートを参照して説明する。
【００２９】
まず、利用者１は、利用者端末１１を用いて個人情報ＤＢ４０に自身の個人情報を予め登録しておく（ステップＳ１）。この時、個人情報にはユーザＩＤ（Ｒ）が含まれる。
【００３０】
次に、利用者１が利用者端末１１を用いてユーザＩＤ（Ｒ）及び開示条件情報Ｃを開示用識別子生成手段２１に送信すると（ステップＳ２）、該開示用識別子生成手段２１は、受信した情報から開示用識別子Ｔを生成し（ステップＳ３）、該開示用識別子Ｔを利用者端末１１に返信する（ステップＳ４）。次に、利用者１は、該開示用識別子Ｔを利用者端末１１から第三者端末１２に送信する（ステップＳ５）。
【００３１】
次に、第三者端末１２が開示用識別子生成手段２１から受信した開示用識別子Ｔを用いて開示用識別子復元手段３２に対して開示要求を送信する（ステップＳ６）。なお、図２では省略したが、この開示要求の送信の際には認証手段３１による第三者２の認証が行われる。開示要求を受信した開示用識別子復元手段３２は、開示用識別子ＴからユーザＩＤ（Ｒ）及び開示条件情報Ｃを復元し（ステップＳ７）、該情報を開示条件判定手段３３に渡す（ステップＳ８）。
【００３２】
次に、開示条件判定手段３３は、受信した開示用条件情報Ｃに基づき個人情報の開示を許可するかを判定し（ステップＳ９）、許可する場合にはユーザＩＤ（Ｒ）を個人情報開示手段３４に渡す（ステップＳ１０）。個人情報開示手段３４は、受信したユーザＩＤ（Ｒ）を用いて個人情報ＤＢ４０から該ユーザＩＤ（Ｒ）に係る個人情報を取得し（ステップＳ１１，Ｓ１２，Ｓ１３）、必要に応じて形式の変換を行った後に個人情報を第三者端末１２に送信する（ステップＳ１４）。
【００３３】
なお、上記一連の処理の流れでは、第三者端末１２は利用者端末１１から開示用識別子Ｔを取得しているが、開示用識別子生成手段２１から取得したり、開示用識別子Ｔを知った第三者２が第三者端末１２に入力するようにしてもよい。
【００３４】
次に、開示用識別子生成手段２１及び開示用識別子復元手段３２における開示用識別子Ｔの生成・復元の方法について詳述する。本発明では、開示用識別子Ｔの生成復元方法として２つの方法を提案する。第１の方法は開示用識別子ＴにユーザＩＤ（Ｒ）及び開示条件情報Ｃを埋め込む方法であり、第２の方法はユーザＩＤ（Ｒ）と開示条件情報Ｃを別途他の記憶手段に記憶しておく方法である。
【００３５】
まず、第１の方法について説明する。この方法では、開示用識別子生成手段２１は、ユーザＩＤ（Ｒ）及び開示条件情報Ｃを記述した情報に対して、開示用識別子復元手段３２で復号できるような暗号化処理を行うことにより開示用識別子Ｔを生成する。暗号化処理には、共通鍵方式や公開鍵暗号化方式など種々のものを用いることができる。例えば、公開鍵暗号化方式を用いる場合には、開示用識別子生成手段２１は、ユーザＩＤ（Ｒ）及び開示条件情報Ｃを記述した情報に対して、開示用識別子復元手段３２の公開鍵を用いて暗号化することにより開示用識別子Ｔを生成する。一方、開示用識別子復元手段３２は、自身の秘密鍵を用いて開示用識別子Ｔを復号化することにより、ユーザＩＤ（Ｒ）及び開示条件情報子Ｃを復元できる。
【００３６】
次に、第２の方法について図３乃至図５を参照して説明する。図３は開示条件情報の構成を説明する図、図４は開示用識別子の生成復元方法を説明するシステム構成図、図５は記憶手段のデータ構造の一例を説明する図である。
【００３７】
本方法では、開示条件情報Ｃを第１の開示条件情報と第２の開示条件情報にわけて考える。本実施形態では、図３に示すように、個人情報の開示先を特定する条件である第三者２の識別子Ｓ（請求項６〜１０における第２の開示条件情報に相当）と、例えば有効期限等の他の条件情報Ｃ１（請求項６〜１０における第２の開示条件情報に相当）とに分けて考える。
【００３８】
そして、本方法では、図４に示すように、開示用識別子生成手段２１及び開示用識別子復元手段３２とは別に、開示用識別子ＴとユーザＩＤ（Ｒ）及び開示条件情報Ｃとの関連付けを記憶する記憶手段５１を設けている。なお、記憶手段５１の実装位置は不問である。
【００３９】
記憶手段５１は、図５に示すように、１つの開示用識別子Ｔに対応する１つのユーザＩＤ（Ｒ）と複数の開示条件情報Ｃとを記憶する。開示条件情報Ｃは、前述したように、それぞれ開示先識別子Ｓと他の開示条件情報Ｃ１が記憶されている。
【００４０】
開示用識別子生成手段２１は開示用識別子生成部２１ａを備えており、この開示用識別子生成部２１ａは、利用者１からユーザＩＤ（Ｒ）と開示条件情報Ｃとを含む生成要求があると、ユーザＩＤ（Ｒ）に対応する開示用識別子Ｔが記憶手段５１に存在しない場合には、該ユーザＩＤ（Ｒ）に対応する開示用識別子Ｔを新たに生成し、該開示用識別子ＴとユーザＩＤ（Ｒ）及び開示条件情報Ｃの組とを対応づけて記憶手段５１に記憶する。一方、ユーザＩＤ（Ｒ）に対応する開示用識別子Ｔが記憶手段５１に存在している場合には、登録要求に係る開示条件情報Ｃを記憶手段５１に追加する。
【００４１】
開示用識別子復元手段３２は登録情報復元部３２ａを備えており、この登録情報復元部３２ａは、開示要求に含まれる開示用識別子Ｔを用いて記憶手段５１を参照することにより、開示用識別子Ｔに対応するユーザＩＤ（Ｒ）及び開示条件情報Ｃを取得する。ここで、記憶手段５１には一のユーザＩＤ（Ｒ）に対して複数の開示条件情報Ｃが登録されている場合があるが、前述したように、開示条件情報Ｃには開示先の識別子Ｓが含まれる。そこで、開示要求時に認証手段３１によって認証された開示先の識別子Ｓを用いて記憶手段５１を参照することにより、開示用識別子Ｔに対応するユーザＩＤ（Ｒ）及び１つの開示条件情報Ｃを復元することができる。
【００４２】
次に、この第２の方法の変形例について図６及び図７を参照して説明する。図６は開示用識別子の生成復元方法を説明するシステム構成図、図７は記憶手段のデータ構造の一例を説明する図である。
【００４３】
この変形例では、開示用識別子生成手段２１は、仮開示用識別子生成部２１ｂとブロック暗号化部２１ｃとを備えている。
【００４４】
仮開示用識別子生成部２１ｂは、前記開示用識別子生成部２１ａと同様の手順をもって仮開示用識別子を生成し、該仮開示用識別子とユーザＩＤ（Ｒ）及び開示条件情報Ｃの組とを対応づけて記憶手段５１に記憶する（図７参照）。
【００４５】
ブロック暗号化部２１ｃは、開示条件情報Ｃに含まれる開示先の識別子Ｓに対応する暗号鍵を鍵管理手段５２から取得し、取得した暗号鍵を用いて仮開示用識別子を暗号化する。ここで、暗号化処理は、鍵管理手段５２で管理されている複数の暗号鍵の中から、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いて１つの暗号鍵を選択し、選択した暗号鍵を用いて暗号化処理を行う。そして、この暗号化した仮開示用識別子を開示用識別子Ｔとする。なお、ハッシュ関数を用いる場合のさらに具体的な手順としては、例えば、開示先の識別子Ｓから計算されるハッシュ値を鍵管理手段５２で管理されている暗号鍵の数で割った際の剰余を用いて暗号鍵を選択する方法などが挙げられる。
【００４６】
開示用識別子復元手段３２は、復号化部３２ｂと、登録情報復元部３２ｃとを備えている。
【００４７】
復号化部３２ｂは、前記ブロック暗号化部２１ｃで暗号化された開示用識別子Ｔを復号化することにより仮開示用識別子を復元する。ここで復号化処理は、前記暗号化処理時と同様に、鍵管理手段５２で管理されている複数の暗号鍵の中から、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いて１つの暗号鍵を選択し、選択した暗号鍵を用いて復号化処理を行う。これにより、該復号化処理で開示用識別子Ｔの復号化ができなかった場合には、本来の開示先とは異なる第三者からの開示要求と判断することができるので、当該開示要求は拒否すればよい。なお、このような本来の開示先とは異なる第三者からの開示要求が所定時間内に連続して生じた場合には、当該第三者からの以降のアクセスをブロックするようにすると好適である。
【００４８】
登録情報復元部３２ｃは、前記登録情報復元部３２ａと同様の手順をもって、復号化部３２ｂで復元した仮開示用識別子と、認証手段３１で取得した開示先の識別子Ｓとから、ユーザＩＤ（Ｒ）と開示条件情報Ｃを復元する。
【００４９】
次に、第２の方法の他の変形例について図８及び図９を参照して説明する。図８は開示用識別子の生成復元方法を説明するシステム構成図、図９は記憶手段のデータ構造の一例を説明する図である。
【００５０】
この変形例では、開示用識別子生成手段２１は、開示用識別子生成部２１ｄと開示用識別子選択部２１ｅとを備えている。
【００５１】
開示用識別子生成部２１ｄは、利用者１からユーザＩＤ（Ｒ）と開示条件情報Ｃとを含む生成要求があると、ユーザＩＤ（Ｒ）に対応する開示用識別子Ｔが記憶手段５１に存在しない場合には、該ユーザＩＤ（Ｒ）に対応する開示用識別子Ｔを新たに生成し、該開示用識別子ＴとユーザＩＤ（Ｒ）及び開示条件情報Ｃの組とを対応づけて記憶手段５１に記憶する。ここで開示用識別子生成部２１ｄは、図９に示すように、複数個の開示用識別子Ｔを生成・記憶する。
【００５２】
開示用識別子選択部２１ｅは、開示条件情報Ｃに含まれる開示先の識別子Ｓを用いて、前記複数の開示用識別子Ｔの中から一つを選択し、これを流通させるようにする。開示用識別子Ｔの選択手法としては、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いる方法が挙げられる。なお、ハッシュ関数を用いる場合のさらに具体的な手順としては、例えば、開示先の識別子Ｓから計算されるハッシュ値を開示用識別子Ｔの個数で割った際の剰余を用いて開示用識別子Ｔを選択する方法などが挙げられる。
【００５３】
登録情報復元部３２ｄは、まず、記憶手段５１に記憶されている複数の開示用識別子の中から、前記開示用識別子選択部２１ｅと同じロジックを用いて開示用識別子を選択し、選択した開示用識別子と開示要求に含まれる開示用識別子Ｔとを対比する。ただし、ここでの開示用識別子の選択では、開示要求時に認証手段３１によって認証された開示先の識別子Ｓを用いる。そして、選択した開示用識別子と開示要求に含まれる開示用識別子Ｔが一致しない場合には、本来の開示先とは異なる第三者からの開示要求と判断することができるので、当該開示要求は拒否すればよい。
【００５４】
登録情報復元部３２ｄは、次に、開示要求に含まれる開示用識別子Ｔを用いて記憶手段５１を参照することにより、開示用識別子Ｔに対応するユーザＩＤ（Ｒ）及び開示条件情報Ｃを取得する。ここで、記憶手段５１には一のユーザＩＤ（Ｒ）に対して複数の開示条件情報Ｃが登録されている場合があるが、前述したように、開示条件情報Ｃには開示先の識別子Ｓが含まれる。そこで、開示要求時に認証手段３１によって認証された開示先の識別子Ｓを用いて記憶手段５１を参照することにより、開示用識別子Ｔに対応するユーザＩＤ（Ｒ）及び１つの開示条件情報Ｃを復元することができる。
【００５５】
次に、第２の方法の他の例について図１０及び図１１を参照して説明する。図１０は開示用識別子の生成復元方法を説明するシステム構成図、図１１は記憶手段のデータ構造の一例を説明する図である。
【００５６】
この変形例では、開示用識別子生成手段２１は、仮開示用識別子生成部２１ｆと、仮開示用識別子選択部２１ｇと、ブロック暗号化部２１ｈとを備えている。
【００５７】
仮開示用識別子生成部２１ｆは、前記開示用識別子生成部２１ｄと同様の手順をもって複数の仮開示用識別子を生成し、該複数の仮開示用識別子とユーザＩＤ（Ｒ）及び開示条件情報Ｃの組とを対応づけて記憶手段５１に記憶する（図１１参照）。
【００５８】
仮開示用識別子選択部２１ｇは、開示条件情報Ｃに含まれる開示先の識別子Ｓを用いて、前記複数の仮開示用識別子の中から一つを選択する。開示用識別子の選択手法としては、ランダムに選択する方法や、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いる方法が挙げられる。本実施の形態では後者を用いる方法を採用する。なお、ハッシュ関数を用いる場合のさらに具体的な手順としては、例えば、開示先の識別子Ｓから計算されるハッシュ値を仮開示用識別子の個数で割った際の剰余を用いて仮開示用識別子を選択する方法などが挙げられる。
【００５９】
ブロック暗号化部２１ｈは、開示条件情報Ｃに含まれる開示先の識別子Ｓに対応する暗号鍵を鍵管理手段５２から取得し、取得した暗号鍵を用いて仮開示用識別子選択部２１ｇで選択された仮開示用識別子を暗号化する。ここで、暗号化処理は、鍵管理手段５２で管理されている複数の暗号鍵の中から、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いて１つの暗号鍵を選択し、選択した暗号鍵を用いて暗号化処理を行う。そして、この暗号化した仮開示用識別子を開示用識別子Ｔとする。なお、ハッシュ関数を用いる場合のさらに具体的な手順としては、例えば、開示先の識別子Ｓから計算されるハッシュ値を鍵管理手段５２で管理されている暗号鍵の数で割った際の剰余を用いて暗号鍵を選択する方法などが挙げられる。
【００６０】
開示用識別子復元手段３２は、復号化部３２ｅと、登録情報復元部３２ｆとを備えている。
【００６１】
復号化部３２ｅは、前記ブロック暗号化部２１ｈで暗号化された開示用識別子Ｔを復号化することにより仮開示用識別子を復元する。ここで復号化処理は、前記暗号化処理時と同様に、鍵管理手段５２で管理されている複数の暗号鍵の中から、開示先の識別子Ｓに依存する適当な関数（例えばハッシュ関数）を用いて１つの暗号鍵を選択し、選択した暗号鍵を用いて復号化処理を行う。これにより、該復号化処理で仮開示用識別子の復号化ができなかった場合には、本来の開示先とは異なる第三者からの開示要求と判断することができるので、当該開示要求は拒否すればよい。なお、このような本来の開示先とは異なる第三者からの開示要求が所定時間内に連続して生じた場合には、当該第三者からの以降のアクセスをブロックするようにすると好適である。
【００６２】
登録情報復元部３２ｆは、前記仮開示用識別子選択部２１ｇにおいて、開示先の識別子Ｓに依存する適当な関数を用いて仮開示用識別子を選択した場合には、必要に応じて、開示先の判定を行う。具体的には、記憶手段５１に記憶されている複数の仮開示用識別子の中から、前記仮開示用識別子選択部２１ｇと同じロジックを用いて仮開示用識別子を選択し、選択した仮開示用識別子と前記復号化部３２ｅで復号化された仮開示用識別子Ｔとを対比する。ただし、ここでの仮開示用識別子の選択では、開示要求時に認証手段３１によって認証された開示先の識別子Ｓを用いる。そして、選択した仮開示用識別子と復号化した仮開示用識別子が一致しない場合には、本来の開示先とは異なる第三者からの開示要求と判断することができるので、当該開示要求は拒否すればよい。なお、ここでの判定については、同様の処理を復号化部３２ｅでも実施していることから、省略してもよい。また、前記仮開示用識別子選択部２１ｇにおいて、ランダムに仮開示用識別子を選択するなど他の選択方法を用いた場合にも省略する。
【００６３】
登録情報復元部３２ｆは、次に、復号化部３２ｅで復号化された仮開示用識別子を用いて記憶手段５１を参照することにより、仮開示用識別子に対応するユーザＩＤ（Ｒ）及び開示条件情報Ｃを取得する。ここで、記憶手段５１には一のユーザＩＤ（Ｒ）に対して複数の開示条件情報Ｃが登録されている場合があるが、前述したように、開示条件情報Ｃには開示先の識別子Ｓが含まれる。そこで、開示要求時に認証手段３１によって認証された開示先の識別子Ｓを用いて記憶手段５１を参照することにより、開示用識別子Ｔに対応するユーザＩＤ（Ｒ）及び１つの開示条件情報Ｃを復元することができる。
【００６４】
以上のように第２の方法による開示用識別子の生成復元方法では、開示条件情報Ｃとして開示先の識別子Ｓが含まれ、且つ、開示要求時に認証手段３１によって取得された要求元の識別子Ｓを用いて開示用識別子Ｔの復元を行っているので、本来の開示先とは異なる第三者からの個人情報開示要求を適切に拒否できる。また、発行される開示用識別子Ｔの数は利用者数のオーダーになるので、開示要求の頻度があがっても記憶手段５１での管理データ量が爆発的に増加することがない。したがって、個人情報開示装置３０の負荷増大を防止できる。また、開示用識別子Ｔの数の増加を抑えることができるので、各開示用識別子Ｔをコード化する際にその桁数が長大になることを防止し、したがって簡便なコード体系を用いることができる。
【００６５】
なお、上記第２の方法による開示用識別子の生成復元方法では、開示条件情報Ｃを、個人情報の開示先を特定する条件である第三者２の識別子Ｓと、それ以外の条件情報Ｃ１（例えば有効期限等）とに分けて考えたが、他の区分けであってもよい。例えば、有効期限に係る開示条件情報と、それ以外の開示条件情報とに分けてもよい。この場合、開示用識別子復元手段では、自装置内の時計等を用いることにより、有効期限に係る開示条件情報を判定するための現在時刻を取得すればよい。
【００６６】
次に、本実施の形態に係る個人情報管理システムを用いて個人情報開示サービスについての実施例を図１２乃至図１４を参照して説明する。図１２は個人情報開示サービスを説明するシステム構成図である。
【００６７】
本実施例では、以下のような個人情報開示サービスについて例示する。すなわち、ＥＣ業者は、ＥＣサーバ６１を用いてインターネットなどのネットワーク７０上で利用者に通信販売サービスを提供するものとする。個人情報管理業者は、開示用識別子生成サーバ６２及び個人情報管理サーバ６３を用いて利用者の個人情報を管理するものとする。したがって、ＥＣサーバ６１が前述の第三者端末１２に相当する。また、開示用識別子生成サーバ１２が前述の開示用識別子生成手段２１を実装したものに相当する。さらに、個人情報管理サーバ６３が前述の個人情報開示装置３０及び個人情報ＤＢ４０を実装したものに相当する。以上により、システム構成は図１２に示すようなものとなる。なお、本実施例では、開示用識別子Ｔの生成・復元方法としては上記第２の方法を用いた。
【００６８】
本実施例では、ＥＣサーバ６１が提供する通信販売サービスは、ユーザインタフェイスとしてＷｅｂアプリケーションを用いる。また、開示用識別子生成サーバ６２の提供する開示用識別子生成サービスも、ユーザインタフェイスとして同様にＷｅｂアプリケーションを用いる。これにより、利用者に対して、シームレスなユーザインタフェイスを提供できる。
【００６９】
次に、利用者がＥＣサーバ６１で商品を購入する場合を例にとり、利用者の個人情報をＥＣ業者に開示する方法について図１２を参照して説明する。
【００７０】
まず、利用者は予め個人情報管理サーバ６３に対して、住所・氏名等を登録しておく（ステップＳ１１）。なお、複数の異なるサービスを受ける場合であっても、この登録作業は１回だけで行えばよい。
【００７１】
次に、利用者が利用者端末１１を用いてＥＣサーバ６１にアクセスして所定の通信販売に関する手続きを行ったのち、ＥＣサーバ６１は住所・氏名等を取得するために図１３に示すような入力フォーム７１を利用者端末１１に送信する（ステップＳ１２）。
【００７２】
図１３は入力フォームを利用者端末の画面上に表示させた際の一例を示すものである。図１３に示すように、この入力フォーム７１には、住所・氏名等の入力欄７１ａと、開示用識別子（図中では「コード」と表記した）の生成段階に移行するためのボタン７１ｂが配置されている。ここで、入力フォーム７１は、利用者端末１１においてボタン７１ｂが押下されると、利用者端末１１が開示用識別子生成サーバ６２にアクセスするように記述されている。また、このとき、利用者端末１１から開示用識別子生成サーバ６２に対して、ＥＣ業者に予め付与されているＥＣ業者の識別子（図中では「通販サイトＩＤ」と表記した）が送信されるように入力フォーム７１が記述されている。
【００７３】
利用者が利用者端末１１において該ボタン７１ｂを押下すると、利用者端末１１は開示用識別子生成サーバ６２にアクセスする。このときＥＣ業者の識別子が利用者端末１１から開示用識別子生成サーバ６２に送信される。開示用識別子生成サーバ６２は、開示用識別子Ｔの生成要求を受け付けるために図１４に示すような開示用識別子生成フォーム７２を利用者端末１１に送信する（ステップＳ１３）。
【００７４】
図１４は開示用識別子生成フォームを利用者端末の画面上に表示させた際の一例を示す図である。図１４に示すように、この開示用識別子生成フォーム７２には、ＥＣ業者の識別子の入力欄７２ａ，利用者のユーザＩＤ（Ｒ）の入力欄７２ｂ，開示する情報を選択する選択欄７２ｃ，開示用識別子を生成し再びＥＣサーバ６１に処理を移行するためのボタン７２ｄが配置されている。ここで、フォーム７２は、入力欄７２ａは、利用者端末１１から受信したＥＣ業者の識別子が予め入力された状態となっている。また、フォーム７２は、利用者端末１１において各入力欄７２ａ，７２ｂ及び選択欄７２ｃにデータが入力された状態でボタン７２ｄが押下されると、各欄の情報が開示用識別子生成サーバ６２に送信されるように記述されている。すなわち、利用者端末１１においてフォーム７２のボタン７２ｄを押下することが開示用識別子Ｔの生成要求となる（ステップＳ１４）。
【００７５】
開示用識別子Ｔの生成要求を受信したＥＣサーバ６１は、開示用識別子生成フォーム７２により得られた情報に基づき開示用識別子Ｔを生成する。ここで、開示用識別子Ｔは、ユーザＩＤ（Ｒ）として入力欄７２ｂに入力されたものを用いるとともに、（１）開示先は入力欄７２ａで入力されたＥＣ業者に限定，（２）開示項目は選択欄７２ｃで選択された項目に限定、という情報を開示条件情報Ｃとして用いて生成する。生成された開示用識別子Ｔは利用者端末１１を介してＥＣサーバ６１に渡される（ステップＳ１５）。
【００７６】
開示用識別子Ｔを受信したＥＣサーバ６１は、該開示用識別子Ｔを用いて個人情報管理サーバ６３に対して個人情報の開示を取得する（ステップＳ１６）。
【００７７】
このような処理により、利用者にとっては住所・氏名等の個人情報をＥＣサーバ６１で買い物をするたびに入力するといった手間が省けるので、利便性が向上するとともに、データの誤入力を防止できる。また、ＥＣ業者に対して開示する個人情報は、買い物に必要なものに限定できるので個人情報の保護を図れる。特に、ＥＣ業者に渡される開示用識別子Ｔは、当該ＥＣ業者のみに個人情報の開示が限定され且つ開示項目の限定されていることから、該開示用識別子Ｔが他者に漏洩したとしても当該他者は個人情報を取得できないので、個人情報の漏洩を防止できる。
【００７８】
以上のように本実施形態に係る個人情報管理システムによれば、利用者の識別子Ｒ及び個人情報の開示条件情報Ｃに関連付けられた開示用識別子Ｔを用いて個人情報の開示を行うようにしたので、開示条件情報Ｃを適切に設定すれば、該開示用識別子Ｔがネットワーク上で流通しても個人情報が漏洩することがない。
【００７９】
以上本発明の一実施例について説明したが本発明はこれに限定されるものではない。例えば、個人情報開示サービスについて説明した前記実施例では、開示用識別子Ｔの生成復元方法として、図３乃至図１１を参照して前述した第２の方法を用いたが、前述の第１の方法（利用者の識別子及び開示条件情報を暗号化することにより開示用識別子に埋め込む方法）を用いてもよい。
【００８０】
また、上記実施例では、生成された開示用識別子Ｔは利用者端末を介して開示用識別子生成サーバからＥＣサーバに送られていたが、利用者端末を介さず両サーバ間で開示用識別子Ｔを送信するようにしてもよい。
【００８１】
さらに、上記実施例では、個人情報開示サービスとしてＷｅｂアプリケーションを用いて実現していたが、他のプロトコル等を用いてもよい。さらに、上記実施例では、通信販売を行うＥＣサーバを例にとって個人情報開示サービスについて説明したが、他の業種用途であっても同様に本システムを適用できる。
【００８２】
【発明の効果】
以上詳述したように、本発明によれば、利用者の個人情報取得を希望する第三者は、該第三者に対する開示が許可された開示条件情報に対応づけられた開示用識別子を入手し、該開示用識別子を用いて個人情報開示手段に個人情報の開示を要求すれば、開示条件にしたがった個人情報を入手できる。すなわち、利用者は個人情報を個人情報記憶手段に予め登録しておくとともに、開示用識別子生成手段において適切な開示条件で開示用識別子を生成しておき、この開示用識別子を第三者が取得可能にすれば、該第三者に対する適切な個人情報の開示が可能となる。
【００８３】
また、開示用識別子生成手段で生成された開示用識別子は開示用識別子復元手段でのみ復元可能であり、且つ、第三者端末から受信した個人情報開示要求が開示条件情報を満たしているかを判定しているので、開示用識別子が利用者の意図する開示先とは異なる第三者にわたっても該第三者は個人情報を取得することができない。したがって、個人情報の漏洩を防止して個人情報の保護を図ることができる。
【図面の簡単な説明】
【図１】本発明の原理を説明するシステム構成図
【図２】本発明の原理を説明するシーケンスチャート
【図３】開示条件情報のデータ構造を説明する図
【図４】開示用識別子の生成復元方法の一例を説明するシステム構成図
【図５】図４の記憶手段におけるデータ構造の一例を説明する図
【図６】開示用識別子の生成復元方法の他の一例を説明するシステム構成図
【図７】図６の記憶手段におけるデータ構造の一例を説明する図
【図８】開示用識別子の生成復元方法の他の一例を説明するシステム構成図
【図９】図８の記憶手段におけるデータ構造の一例を説明する図
【図１０】開示用識別子の生成復元方法の他の一例を説明するシステム構成図
【図１１】図１０の記憶手段におけるデータ構造の一例を説明する図
【図１２】個人情報開示サービスを説明するシステム構成図
【図１３】個人情報開示サービスにおいてＥＣサーバでの入力フォームの一例を説明する画面イメージ
【図１４】個人情報開示サービスにおいて開示用識別子生成サーバでのフォームの一例を説明する画面イメージ
【図１５】従来の個人情報管理方法を説明する図
【符号の説明】
１…利用者、２…第三者、１１…利用者端末、１２…第三者端末、２１…開示用識別子生成手段、２１ａ…開示用識別子生成部、２１ｂ…仮開示用識別子生成部、２１ｃ…ブロック暗号化部、２１ｄ…開示用識別子生成部、２１ｅ…開示用識別子選択部、２１ｆ…仮開示用識別子生成部、２１ｇ…仮開示用識別子選択部、２１ｈ…ブロック暗号化部、３１…個人情報開示装置、３１…認証手段、３２…開示用識別子復元手段、３２ａ…登録情報復元部、３２ｂ…復号化部、３２ｃ…登録情報復元部、３２ｄ…登録情報復元部、３２ｅ…復号化部、３２ｆ…登録情報復元部、３３…開示条件判定部、３４…個人情報開示手段、４０…個人情報データベース、５１…記憶手段、５２…鍵管理手段、６１…ＥＣサーバ、６２…開示用識別子生成サーバ、６３…個人情報管理サーバ、７０…ネットワーク

Claims (19)

1. 利用者の個人情報を管理する個人情報管理方法において、
   利用者を一意に識別可能な利用者識別子が含まれる個人情報を各利用者毎に予め個人情報記憶手段に記憶しておく個人情報記憶段階と、
   開示用識別子生成手段が、利用者識別子に代えて第三者に開示するための開示用識別子を利用者識別子及び開示条件情報の組に対応づけて生成する開示用識別子生成段階と、
   第三者の端末から開示用識別子を用いて個人情報開示要求を行う個人情報開示要求段階と、
   個人情報復元手段が、第三者端末から受信した個人情報開示要求に含まれる開示用識別子から該開示用識別子に対応づけられた利用者識別子及び開示条件情報の組を復元する開示用識別子復元段階と、
   開示条件判定手段が、第三者端末から受信した個人情報開示要求が前記復元した開示条件情報を満たしているかを判定する開示条件判定段階と、
   個人情報開示手段が、開示条件判定結果に基づいて、復元した利用者識別子を用いて該利用者識別子に係る個人情報を前記個人情報記憶手段から取得する個人情報取得段階と、
   個人情報開示手段が、取得した個人情報を要求元の第三者端末に対して開示する個人情報開示段階とを含み、
   前記開示用識別子生成段階では、個人情報復元手段のみが利用者識別子及び開示条件情報の組を復元可能な開示用識別子を生成する
   ことを特徴とする個人情報管理方法。
2. 前記開示条件情報には開示先を限定する情報を含み、
   前記個人情報開示要求段階では要求元の第三者を認証する認証段階を含み、
   前記開示条件判定段階では、認証段階で認証した第三者が開示条件情報に含まれる開示先に該当するかという判定を含む
   ことを特徴とする請求項１記載の個人情報管理方法。
3. 前記個人情報開示要求段階では要求元の第三者を認証する認証段階を含み、
   前記開示用識別子復元手段では、前記認証段階における認証結果に基づき開示用識別子から利用者識別子及び開示条件情報を復元する
   ことを特徴とする請求項１記載の個人情報管理方法。
4. 前記開示用識別子生成段階では、利用者識別子及び開示条件情報の組に対して開示用識別子復元手段でのみ復元できるような暗号化処理を行うことにより開示用識別子を生成する
   ことを特徴とする請求項１乃至３何れか１項記載の個人情報管理方法。
5. 前記開示用識別子生成段階では、利用者識別子及び開示条件情報の組と開示用識別子とを開示用識別子記憶手段に記憶しておき、前記開示用識別子復元段階では前記開示用識別子記憶手段を参照することにより開示用識別子から利用者識別子及び開示条件情報の組を復元する
   ことを特徴とする請求項１乃至３何れか１項記載の個人情報管理方法。
6. 前記開示条件情報は、第１の開示条件情報及び第２の開示条件情報からなり、
   前記開示用識別子生成段階では、利用者識別子及び開示条件情報の組に対して１つの開示用識別子を生成するとともに該開示用識別子と利用者識別子及び開示条件情報の組とを対応づけて開示用識別子記憶手段に記憶し、
   前記開示用識別子復元段階は、前記第２の開示条件情報に係る情報を取得する段階と、個人情報開示要求に含まれる開示用識別子及び前記第２の開示条件情報に係る情報を用いて前記開示用識別子記憶手段を参照することにより利用者識別子及び第１の開示条件情報の組を復元する段階とを含む
   ことを特徴とする請求項５記載の個人情報管理方法。
7. 前記開示条件情報は、第１の開示条件情報及び第２の開示条件情報からなり、
   前記開示用識別子生成段階は、利用者識別子及び第１の開示条件情報の組に対して１つの仮開示用識別子を生成するとともに該仮開示用識別子と利用者識別子及び第１の開示条件情報の組とを対応づけて開示用識別子記憶手段に記憶する段階と、開示用識別子復元手段でのみ復元できるように第２の開示条件情報に対応する暗号鍵で前記仮開示用識別子を暗号化処理することにより開示用識別子を生成する段階とを含み、
   前記開示用識別子復元段階は、前記第２の開示条件情報に係る情報を取得する段階と、前記第２の開示条件情報に係る情報に対応する暗号鍵で開示用識別子を復号化処理することにより仮開示用識別子を復元する段階と、復元した仮開示用識別子を用いて前記開示用識別子記憶手段を参照することにより利用者識別子及び第１の開示条件情報の組を復元する段階とを含む
   ことを特徴とする請求項５記載の個人情報管理方法。
8. 前記開示条件情報は、第１の開示条件情報及び第２の開示条件情報からなり、
   前記開示用識別子生成段階では、利用者識別子及び第１の開示条件情報の組から複数の開示用識別子を生成するとともに該複数の開示用識別子と利用者識別子及び第１の開示条件情報の組とを対応づけて開示用識別子記憶手段に記憶する段階と、前記複数の開示用識別子から第２の開示条件情報に基づき１つの開示用識別子を選択する段階を含み、
   前記開示用識別子復元段階は、前記第２の開示条件情報に係る情報を取得する段階と、第２の開示条件情報に係る情報に基づき前記選択段階と同様の処理を用いて開示用識別子記憶手段に記憶されている複数の開示用識別子から１つの開示用識別子を選択するとともに該選択した開示用識別子と個人情報開示要求に含まれる開示用識別子が同一であるかを判定する段階と、個人情報開示要求に含まれる開示用識別子及び前記第２の開示条件情報に係る情報を用いて前記開示用識別子記憶手段を参照することにより利用者識別子及び第１の開示条件情報の組を復元する段階とを含む
   ことを特徴とする請求項５記載の個人情報管理方法。
9. 前記開示条件情報は、第１の開示条件情報及び第２の開示条件情報からなり、
   前記開示用識別子生成段階は、利用者識別子及び第１の開示条件情報の組から複数の仮開示用識別子を生成するとともに該複数の仮開示用識別子と利用者識別子及び第１の開示条件情報の組とを対応づけて開示用識別子記憶手段に記憶する段階と、前記複数の仮開示用識別子から１つの仮開示用識別子を選択する段階と、開示用識別子復元手段でのみ復元できるように第２の開示条件情報に対応する暗号鍵で前記選択された仮開示用識別子を暗号化処理することにより開示用識別子を生成する段階とを含み、
   前記開示用識別子復元段階は、前記第２の開示条件情報に係る情報を取得する段階と、第２の開示条件情報に係る情報に対応する暗号鍵で開示用識別子を復号化処理することにより仮開示用識別子を復元する段階と、復元した仮開示用識別子及び前記第２の開示条件情報に係る情報を用いて前記開示用識別子記憶手段を参照することにより利用者識別子及び第１の開示条件情報の組を復元する段階とを含む
   ことを特徴とする請求項５記載の個人情報管理方法。
10. 前記第２の開示条件情報は、個人情報を開示する開示先についての条件情報である
    ことを特徴とする請求項６乃至９何れか１項記載の個人情報管理方法。
11. 前記第三者端末から開示条件情報を満たさない個人情報開示要求を所定時間内に所定回数以上受けた場合に該第三者端末からのアクセスを拒否する段階を含む
    ことを特徴とする請求項１乃至１０何れか１項記載の個人情報管理方法。
12. 前記個人情報は一以上の情報項目からなるとともに前記開示条件情報は情報項目の開示許否についての情報を含む
    ことを特徴とする請求項１乃至１１何れか１項記載の個人情報管理方法。
13. 前記個人情報開示段階は、個人情報記憶手段に記憶された個人情報に基づき開示用の個人情報を生成する段階と、生成した開示用の個人情報を要求元の第三者端末に開示する段階とを含み、
    前記開示条件情報は、前記開示用個人情報の生成段階において個人情報の全て又は一部の情報項目について所定の変換処理を行うように指示する情報を含む
    ことを特徴とする請求項１乃至１１何れか１項記載の個人情報管理方法。
14. 前記開示用個人情報の生成段階では、個人情報記憶手段に記憶された個人情報の所定の情報項目に基づき一時的な識別子を生成し、これを開示用の個人情報とする
    ことを特徴とする請求項１３記載の個人情報管理方法。
15. 利用者の個人情報を管理する個人情報管理システムにおいて、
    利用者を一意に識別可能な利用者識別子が含まれる個人情報を各利用者毎に予め記憶しておく個人情報記憶手段と、
    利用者識別子に代えて第三者に開示するための開示用識別子を利用者識別子及び開示条件情報の組に対応づけて生成する開示用識別子生成手段と、
    第三者の端末から受信した個人情報開示要求に含まれる開示用識別子から該開示用識別子に対応づけられた利用者識別子及び開示条件情報の組を復元する個人情報復元手段と、
    第三者端末から受信した個人情報開示要求が前記復元した開示条件情報を満たしているかを判定する開示条件判定手段と、
    開示条件判定結果に基づいて、復元した利用者識別子を用いて該利用者識別子に係る個人情報を前記個人情報記憶手段から取得し、取得した個人情報を要求元の第三者端末に対して開示する個人情報開示手段とを備え、
    前記開示用識別生成手段は、個人情報復元手段のみが利用者識別子及び開示条件情報の組を復元可能な開示用識別子を生成する
    ことを特徴とする個人情報管理システム。
16. 前記開示用識別子生成手段は、利用者識別子及び開示条件情報の組に対して開示用識別子復元手段でのみ復元できるような暗号化処理を行うことにより開示用識別子を生成する
    ことを特徴とする請求項１５記載の個人情報管理システム。
17. 利用者識別子及び開示条件情報の組と開示用識別子とを記憶する開示用識別子記憶手段を備え、
    前記開示用識別子生成手段は、利用者識別子及び開示条件情報の組と開示用識別子とを前記開示用識別子記憶手段に記憶するとともに、前記開示用識別子復元手段は前記開示用識別子記憶手段を参照することにより開示用識別子から利用者識別子及び開示条件情報の組を復元する
    ことを特徴とする請求項１５記載の個人情報管理システム。
18. 個人情報開示装置に提示することにより該個人情報開示装置から個人情報の取得が可能な開示用識別子を発行する装置において、
    個人を識別可能な利用者識別子及び開示条件情報の組に対応づけて、個人情報開示装置でのみ利用者識別子及び開示条件情報の復元が可能な開示用識別子を生成する開示用識別子生成手段を備えた
    ことを特徴とする開示用識別子発行装置。
19. 開示用識別子を含む個人情報開示要求に応じて、個人情報記憶装置から個人情報を取得し、該個人情報を要求元の端末に開示する個人情報開示装置において、
    端末から受信した個人情報開示要求に含まれる開示用識別子から該開示用識別子に対応づけられた利用者識別子及び開示条件情報の組を復元する個人情報復元手段と、
    端末から受信した個人情報開示要求が前記復元した開示条件情報を満たしているかを判定する開示条件判定手段と、
    開示条件判定結果に基づいて、復元した利用者識別子を用いて該利用者識別子に係る個人情報を前記個人情報記憶装置から取得する個人情報取得手段と、
    取得した個人情報を要求元の端末に対して開示する個人情報開示手段とを備えた
    ことを特徴とする個人情報開示装置。

Images