JP2010026588A - 個人情報保護装置、個人情報保護方法、プログラム、及び監視システム - Google Patents

Abstract

【課題】個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止する。
【解決手段】一般インタフェース部２０−７、３０−７は、撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを、外部出力する場合、外部出力すべきデータの種別を判別し、データの種別に応じて、必要な加工処理を行う。撮影された画像の場合には、画像の中からナンバープレートや、運転者が写っている領域に対して画像劣化処理を施して識別不可能にする。通行料金に関する情報の場合には、クレジットカード番号などを他のデータで置き換えた後、外部出力する。さらた、音声データの場合には、音声帯域別増幅・減衰処理や、ＦＭ変調、ＡＭ変調を行った後、外部出力する。
【選択図】図２

Description

本発明は、個人情報保護装置、個人情報保護方法、プログラム、及び監視システムに関する。

料金所には、ＩＴＶカメラと呼ばれる車線状況を監視するためのカメラが設置されている。このカメラの映像は、車線監視盤と呼ばれる機器の表示部に表示され、料金所職員（監視員）が閲覧可能となっており、運用上及び保守上の必要性に応じて、本画像をＶＴＲに録画する等している。昨今の技術の進歩により、こうした映像データは、ＨＤＤレコーダ・ＤＶＤレコーダ等に代表されるデジタルデータ録画が可能となっており、デジタルデータを他の電算機器に無劣化でコピーしたり、ネットワーク上にデータを配信したりすることが容易になってきている。

一方、現在、国内においては、個人情報保護法が施行され、個人を特定し得るデータは、通常、事業者とその委託業者との間でのみ利用が可能で、本人の同意を得ることなく第三者へデータを開示することが禁止されている。ＩＴＶカメラにより撮像された映像には、利用者の顔や、車両のナンバープレートなどが写っており、解像度によっては、個人情報に該当する場合がある。ゆえに、料金所で得られた個人情報（映像情報）が誤って、あるいは故意に第三者に無断で開示されたり、あるいは情報漏洩したりするリスクが高まっており、何らかの技術的処置が必要となっている。

例えば、監視カメラの映像を記録するシステムにおいて、記録装置本体の故障、記録装置内部の故障、またはネットワーク障害が発生した場合に、監視カメラ装置側で画像データのバックアップ録画を行うと共に、故障や障害が発生したことを電子メール、または電話によって保守員に通報したり、バックアップ録画用のバックアップメモリが装置本体から取り外された場合に保守員に通報したり、画像データをその全体、または部分的に暗号化する技術が提案されている（例えば、特許文献１参照）。
特開２００７−０３６３６９号公報

しかしながら、上述した従来技術には、記録された映像などの個人情報を外部記録媒体へ取り出したりする際には、既存の個人認証や、人の管理（秘密の徹底、モラル向上）などに依存しており、一旦、外部へ情報が出力されてしまうと、情報漏洩につながるという問題があった。この場合、外部へ出力する情報自体に強固な暗号化を施すことも考えられるが、利用する側で復号化手段を用意する必要があり、情報の柔軟な利用を考えた場合、利便性に欠けるという問題があった。

本発明は、このような事情を考慮してなされたものであり、その目的は、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる個人情報保護装置、個人情報保護方法、プログラム、及び監視システムを提供することにある。

上述した課題を解決するために、本発明は、個人情報が含まれる情報を収集する情報収集手段と、前記情報収集手段により収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する加工手段と、前記加工手段により加工された情報を外部出力する出力手段とを備えることを特徴とする個人情報保護装置である。
したがって、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記情報収集手段により収集された情報を外部出力する場合、外部出力する情報のデータ種別を判別するデータ種別判別手段を備え、前記加工手段は、前記データ種別判別手段により判別されたデータ種別に基づいて、前記外部出力する情報に含まれる個人情報に対する加工処理方法を選択することを特徴とする。
したがって、情報のデータ種別に応じて適切な加工処理方法を選択することができ、個人情報の外部への持ち出しや、個人情報の情報漏洩を確実に防止することができる。

本発明は、上記の発明において、前記情報収集手段は、個人情報が含まれる画像を撮影する撮影手段であり、前記加工手段は、前記撮影手段により撮影された画像を外部出力する場合、外部出力する画像に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する画像処理を施す画像処理手段であり、前記出力手段は、前記画像処理手段により画像処理が施された画像を外部出力することを特徴とする。
したがって、撮影された画像に個人情報が含まれる場合であっても、情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記画像処理手段は、前記外部出力する画像に含まれる個人情報の領域を特定する個人情報領域特定手段と、前記個人情報領域特定手段により特定された個人情報の領域に対して画像劣化処理を施す画像劣化処理手段とを備えることを特徴とする。
したがって、撮影された画像に個人情報が含まれる場合であっても、個人情報の領域に対して画像劣化処理を施すので、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記個人情報領域特定手段は、予め個人情報に係る画像が写っていない背景画像を取得する背景画像取得手段と、前記外部出力する画像と前記背景画像取得手段により取得された背景画像との差分を取り、差分が一定値以上に達しているＭ×Ｎの領域を、個人情報の領域として切り出す切り出し手段とを備えることを特徴とする。
したがって、撮影された画像に個人情報が含まれる場合であっても、確実に個人情報を切り出して画像劣化処理を施すので、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記画像劣化処理手段は、前記切り出し手段により切り出された個人情報の領域の全画素値の平均を取り、当該個人情報の領域内の全画素を平均値で埋めることを特徴とする。したがって、撮影された画像に個人情報が含まれる場合であっても、確実に個人情報を劣化させることができるので、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記情報収集手段は、利用者の音声を収集する音声収集手段であり、前記加工手段は、前記音声収集手段により収集された音声データを外部出力する場合、外部出力する音声データに含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する音声処理を施す音声処理手段であり、前記出力手段は、前記音声処理手段により音声処理が施された音声データを外部出力することを特徴とする。
したがって、収集された音声の特徴から個人が特定可能な場合であっても、情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記音声処理手段は、前記外部出力する音声データに対して、少なくとも、音声帯域別増幅・減衰処理、ＦＭ変調、あるいは、ＡＭ変調のいずれか、あるいはこれら組み合わせた音声処理を施すことを特徴とする。
したがって、収集された音声の特徴から個人が特定可能な場合であっても、情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記音声収集手段により収集された音声データを外部出力することを禁止する出力禁止設定手段を備えることを特徴とする。
したがって、収集された音声の会話の内容から個人が特定可能な場合であっても、強制的に出力禁止とすることで、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明は、上記の発明において、前記情報収集手段は、料金支払いに係る料金支払い情報を取得する料金支払い情報取得手段であり、前記加工手段は、前記料金支払い情報取得手段により取得された蓄積された料金支払い情報を外部出力する場合、外部出力する料金支払い情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に置換するデータ置換処理手段であり、前記出力手段は、前記データ置換処理手段により置換処理が施された料金支払い情報を外部出力することを特徴とする。
したがって、取得された料金支払い情報から個人情報が特定可能な場合であっても、情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

また、上述した課題を解決するために、本発明は、個人情報が含まれる情報を収集するステップと、前記収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工するステップと、前記加工された情報を外部出力するステップとを含むことを特徴とする個人情報保護方法である。
したがって、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

また、上述した課題を解決するために、本発明は、個人情報が含まれる情報を収集する情報処理装置のコンピュータに、個人情報が含まれる情報を収集する機能、前記収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する機能、前記加工された情報を外部出力する機能を実行させることを特徴とするプログラムである。
したがって、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

また、上述した課題を解決するために、本発明は、有料道路の料金所付近における車線状況を監視する監視システムであって、前記料金所を通過する車両に係る、個人情報が含まれる情報を収集する情報収集手段と、前記情報収集装置により収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する加工手段と、前記加工装置により加工された情報を外部出力する出力手段とを備えることを特徴とする監視システムである。
したがって、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

この発明によれば、個人情報が含まれる情報を収集し、収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、非個人情報に加工してから外部出力するようにしたので、個人情報、あるいは個人情報が含まれる情報の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

以下、本発明の一実施形態を、図面を参照して説明する。

図１は、本発明の実施形態による料金所監視システムの構成を示す斜視図である。図において、入り口側の車線において、車両検知装置１は、有料道路に進入してきた車両Ｍ１を検出すると、車両Ｍ１が普通乗用車であるか、大型自動車であるかなど、通行料金を算出するための１つのパラメータである、車両の車高を検知し、通行券自動発行機２に通知する。

通行券自動発行機２は、車両Ｍ１の車種に応じた通行券を発行する。通行券自動発行機２には、何らかの不具合等の発生時に、車両Ｍ１の運転者と料金所監視装置２０側の監視員との間で会話を行うためのインターフォンが設けられており、そのときの会話は、音声データとして、インターネットなどの通信回線３を介して、料金監視装置２０側に送信される。監視カメラ４は、車両検知装置１により車両Ｍ１の進入が検出されたことをトリガとして、進入してきた車両Ｍ１を撮影し、インターネットなどの通信回線３を介して、料金所監視装置２０に送信する。該撮影画像には、車両全体、ナンバープレート、運転者の顔などが写り込んでいる。なお、上記ナンバープレート、運転者の顔などは、個人を特定できる個人情報として取り扱われる。

一方、出口側の車線において、車両検知装置１０は、有料道路から出る車両Ｍ２を検出すると、車両Ｍ２が普通乗用車であるか、大型自動車であるかなど、通行料金を算出するための１つのパラメータである、車両の車高を検知し、料金自動収受機１１に通知する。

料金自動収受機１１は、通行券の情報と上記車両検知装置１０で検出された車両Ｍ２の車高とを照合し、所定の料金を収受する。通行料金は、現金や、クレジットカードで支払い可能になっている。このときの通過日時、通行料金、クレジットカード番号などは、インターネットなどの通信回線３を介して、料金所監視装置２０に送信される。なお、上記クレジットカード番号は、個人を特定できる個人情報として取り扱われる。

また、料金自動収受機１１には、何らかの不具合等の発生時に、車両の運転者と料金所監視装置２０側の監視員との間で会話を行うためのインターフォンが設けられており、そのときの会話は、音声データとして、インターネットなどの通信回線３を介して、料金監視装置２０側に送信される。なお、上記音声データは、個人を特定できる個人情報として取り扱われる。

また、料金自動収受機１１は、正しく料金収受ができた場合、あるいは課金できた場合、発進制御装置１２に対して阻止棒１３を開けるように指示する一方、車両検知装置１４により車両Ｍ２の通過が通知されると、発進制御装置１２に対して阻止棒１３を閉じるように指示する。監視カメラ１５は、車両検知装置１４により車両Ｍ２の進入が検出されたことをトリガとして、進入してきた車両Ｍ２を撮影し、インターネットなどの通信回線３を介して、料金所監視装置２０に送信する。該撮影画像には、車両全体、ナンバープレート、運転者の顔などが写り込んでいる。なお、上記ナンバープレート、運転者の顔などは、個人を特定できる個人情報として取り扱われる。

なお、入り口側の車線、及び出口側の車線のいずれにおいても、自動的に通行料金を徴収するＥＴＣが利用可能である。この場合、車両検知装置１、１０による車両Ｍ１、Ｍ２の検出をトリガとして、車両Ｍ１、Ｍ２に搭載されたＥＴＣ車載器との間で通行料金を徴収するための情報を送受信するための通信を開始する。特に、出口側の車線においては、料金自動収受機１１は、ＥＴＣ車載器との間の無線通信により通行料金を自動徴収し、正しく徴収されると、発進制御装置１２は、料金自動収受機１１からの指示に従って、車両Ｍ１、Ｍ２の進行を制限する阻止棒１３を自動開閉する。このときのＥＴＣの情報、例えば、通過日時、通行料金、クレジットカード番号などは、インターネットなどの通信回線３を介して、料金所監視装置２０に送信される。なお、上記クレジットカード番号は、個人を特定できる個人情報として取り扱われる。

次に、料金所監視装置２０は、インターネットなどの通信回線３を介して受信した、監視カメラ４、１５により撮影された画像を逐次モニタなどに監視可能に表示するとともに、監視カメラ４、１５により撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データなどを記録する。

また、料金所監視装置２０は、記録されている、監視カメラ４、１５により撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを、遠隔監視用回線（専用回線）を介して、適宜、遠隔監視装置３０へ送信する。遠隔監視装置３０は、各料金所監視装置２０から受信した監視カメラ４、１５により撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを、一括して記録、管理する。

次に、図２は、上述した料金所監視装置２０、遠隔監視装置３０の略構成を示すブロック図である。料金所監視装置２０は、料金所監視盤２０−１上に、表示部２０−２、操作部２０−３、制御部２０−４、記憶部２０−５、及び遠隔監視用インタフェース部２０−６を備えている。表示部２０−２は、撮影された画像等を表示するモニタである。操作部２０−３は、キーボード、マウス等のポインティングデバイスである。制御部２０−３は、所定のプログラムを実行して各部の動作を制御する。記憶部２０−５は、監視カメラ４、１５により撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを保存する。遠隔監視用インタフェース部２０−６は、遠隔監視装置３０との間でデータ授受を行うための通信を行う。

また、料金所監視盤２０−１は、料金自動収受機１１、通行券自動発行機２、その他の路側機器４０に接続されており、各情報を送受信する。また、一般インタフェース部２０−７は、料金所監視装置盤２０−１に接続された独立した基板上に設けられており、上記記憶部２０−５に記憶されている、撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを外部出力する際に、個人情報をそのまま出力しないように、情報の種類を識別し、該情報の種類に応じて、個人情報を、個人を特定できないような非個人情報となるよう加工を行うか、あるいは出力を禁止する。

一般インタフェース部２０−７による、個人情報を非個人情報に加工する加工方法の例としては、
・画像データ：全部または一部の画質劣化処理（モザイク処理等）
・音声データ：全部の音声変換処理
・ナンバープレート情報：一連番号のダミーデータ置換
・クレジットカード番号：ダミーデータ置換
・その他個人を特定し得るデータ：ダミーデータ置換
などを行う。
これらの加工により、データなどに個人情報が含まれていても、そのデータを視聴等する人が個人を特定することができないようにそのデータが改変される。なお、この改変によって、暗号化処理のように、データ全体が読取不能となり、復号化処理などを施さないとデータ全体が解読できなくなる訳ではなく、加工後の状態でも種々の情報処理装置がそのまま読取可能なデータのままであることに変わりはない。すなわち、個人情報が含まれる情報が、情報処理装置によって直接読取可能な形式（状態）を維持したまま、個人を特定することができないように改変される。

外部出力としては、ＦＤ／ＭＯ／ＣＤ／ＤＶＤドライブ２０−８、ＵＳＢ／ＣＦ／ＳＤスロット２０−９、ＩＥＥＥ１３９４制御部２０−１０、ＲＳ−２３２Ｃ制御部２０−１１、Ｅｔｈｅｒｎｅｔ（登録商標）制御部２０−１２、及びその他の外部出力制御部２０−１３がある。

遠隔監視装置３０は、遠隔監視盤３０−１上に、表示部３０−２、操作部３０−３、制御部３０−４、記憶部３０−５、及び遠隔監視用インタフェース部３０−６を備えている。表示部３０−２は、撮影された画像等を表示するモニタである。操作部３０−３は、キーボード、マウス等のポインティングデバイスである。制御部３０−３は、所定のプログラムを実行して各部の動作を制御する。記憶部３０−５は、料金所監視装置２０から受信した監視カメラ４、１５により撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを保存する。遠隔監視用インタフェース部３０−６は、料金所監視装置２０との間でデータ授受を行うための通信を行う。

また、一般インタフェース部３０−７は、遠隔監視装置盤３０−１に接続された独立した基板上に設けられており、上記記憶部３０−５に記憶されている、撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データを外部出力する際に、個人情報をそのまま出力しないように、情報の種類を識別し、該情報の種類に応じて、個人情報を、その情報形式を維持したまま、個人を特定できないような非個人情報となるよう加工を行うか、あるいは出力を禁止する。外部出力としては、ＦＤ／ＭＯ／ＣＤ／ＤＶＤドライブ３０−８、ＵＳＢ／ＣＦ／ＳＤスロット３０−９、ＩＥＥE１３９４（３０−１０）、ＲＳ−２３２Ｃ（３０−１１）、Ｅｔｈｅｒｎｅｔ（登録商標）３０−１２、及びその他の外部出力３０−１３がある。

図２において、点線Ｌ１で囲まれたブロックでは、本来の使用目的で個人情報（撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データ）が利用される範囲を示している。これに対して、点線Ｌ２で囲まれたブロックでは、本来の使用目的を逸脱して利用される可能性がある範囲を示している。上記一般インタフェース２０−７、３０−７は、本来の使用目的で利用される個人情報を、本来の使用目的を逸脱して利用される可能性がある範囲に出力される際に、個人情報を一部または全部に対して画像処理を施すことで、その情報形式を維持したまま、個人を特定できないような非個人情報に加工し、個人情報の逸脱した利用を防止している。

次に、図３は、上述した一般インタフェース部２０−７、３０−７の略構成を示すブロック図である。一般インタフェース部２０−７、３０−７において、撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声データは、一旦、メモリ５０−１に記憶される。その後、プロセッサ５０−２により動作するソフトウェアによって、外部出力すべきデータの種別が判断され、データの種別に応じて、必要な加工処理を、ソフトウェア、または専用のサブプロセッサ５０−３により行う。加工後のデータは、一旦、メモリ５０−１上に展開され、本データを外部出力先に送出する。図示の例では、Ｅｔｈｅｒｎｅｔ（登録商標）制御部５０−４により、Ｅｔｈｅｒｎｅｔ（登録商標）５０−５を介して外部出力される。加工前のデータは、加工後、メモリ５０−１上から消去される。

また、外部からデータの入力があった場合には、一旦、メモリ５０−１に記憶され、プロセッサ５０−２により動作するソフトウェアによって、外部入力データであることが判断されると、特段の加工処理を施すことなく、そのままローカルバス制御部５０−６により、ローカルバス５０−７を介して、料金所監視盤２０−１、または遠隔監視装置盤３０−１へ送出される。電源部５０−８は、各部に動作電力を供給する。

次に、図４は、本実施形態の一般インタフェース部２０−７、３０−７の動作を説明するためのフローチャートである。一般インタフェース部２０−７、３０−７は、データ入出力要求があると、外部入力であるか、外部出力であるかを判定し（ステップＳ１０）、外部出力である場合には、外部出力するデータのデータ種別を判別する（ステップＳ１１）。データ種別は、各データのヘッダ情報を調べることで判定可能である。なお、ここでは、データ種別として、画像、音声、その他のテキストなどを想定している。画像は、監視カメラ４、１５により撮影された画像であり、音声は、インターフォンでの会話であり、その他のテキストは、料金支払いに伴う、日時、クレジットカード番号である。

外部出力するデータのデータ種別が画像であった場合には、当該画像が出力禁止になっているか否かを判定する（ステップＳ１２）。そして、出力禁止である場合には（ステップＳ１２の禁止）、何もせず（あるいは出力禁止である旨を通知して）、当該処理を終了する。一方、出力許可されている場合には（ステップＳ１２の許可）、画質劣化対象領域（モザイク処理対象領域）の切り出し処理を行う（ステップＳ１３）。画質劣化対象領域の切り出し処理は、予め個人情報保護対象が写っていない背景画像（車両が写っていない画像）を記憶しておき、出力画像と背景画像との差分を取り、差分が一定値以上に達しているＭ×Ｎの領域（複数でもよい）を、画質劣化対象領域として切り出すことで行われる。

次に、切り出した画質劣化対象領域に対して画質劣化処理を行う（ステップＳ１４）。画質劣化処理は、切り出した画質劣化対象領域の全画素値の平均を取り、当該画質劣化対象領域内の全画素を平均値で埋めることで行われる。なお、上記Ｎの値は、画像の解像度等に応じて、個人を特定し得ないのに十分な大きさを選定する。これにより、画像に移りこんだナンバープレートや、運転者から個人を特定することができなくなる。次に、画質劣化処理が行われた画像は、メモリに一時格納され（ステップＳ２０）、その後、所定の出力先に出力される（ステップＳ２１）。

一方、外部出力するデータのデータ種別が画像でなかった場合には（ステップＳ１１のその他）、データ種別が音声であるか否かを判定する（ステップＳ１５）。そして、外部出力するデータのデータ種別が音声であった場合には、当該音声が出力禁止になっているか否かを判定する（ステップＳ１６）。そして、出力禁止である場合には（ステップＳ１６の禁止）、何もせず（あるいは出力禁止である旨を通知して）、当該処理を終了する。一方、出力許可されている場合には（ステップＳ１６の許可）、音声変調処理を行う（ステップＳ１７）。音声変調処理では、音声帯域別増幅・減衰処理や、ＦＭ変調、ＡＭ変調を行う。これにより、音声の特徴から個人を特定することができなくなる。音声変調処理が行われた音声は、メモリに一時格納され（ステップＳ２０）、その後、所定の出力先に出力される（ステップＳ２１）。

次に、外部出力するデータのデータ種別が画像でも音声でもなかった場合には（ステップＳ１１、Ｓ１５のその他）、データ種別をテキストであるとし、当該テキストが出力禁止になっているか否かを判定する（ステップＳ１８）。そして、出力禁止である場合には（ステップＳ１８の禁止）、何もせず（あるいは出力禁止である旨を通知して）、当該処理を終了する。一方、出力許可されている場合には（ステップＳ１８の許可）、データマスキング処理を行う（ステップＳ１９）。

データマスキング処理では、データ内容に応じて個人情報に該当する箇所をダミーデータに置換する。個人情報に該当する箇所の判別は、データ仕様により予め判別方法を取り決めておく。例えば、クレジットカード番号の場合には、
元データ：０１２３−４５６７−８９０１−２３４５
置換後データ：ＸＸＸＸ−ＸＸＸＸ−ＸＸＸＸ−ＸＸＸＸ
というようにマスキングする。これにより、テキストから個人を特定することができなくなる。データマスキング処理が行われたテキストは、メモリに一時格納され（ステップＳ２０）、その後、所定の出力先に出力される（ステップＳ２１）。

また、外部からデータの入力があった場合には（ステップＳ１０の入力）、一旦、入力されるデータをメモリに記憶し（ステップＳ２２）、特段の加工処理を施すことなく、そのまま料金所監視盤２０−１、または遠隔監視装置盤３０−１に出力する（ステップＳ２３）。

なお、上述した実施形態において、個人情報に係る情報に対する加工処理は、必要に応じて無効化することも設定可能としてもよい。例えば、犯罪捜査目的や、人命に関わる事情により、無加工で個人情報の外部出力が要求される場合には、特定の権限を有する者が、その責任に応じて、本機能を無効化するものとする。この無効化機能を実現するために、一般インタフェース処理部２０−７、３０−７には、パスワード照合等のユーザ認証処理機能を備えていてもよい。ユーザ認証に必要なＨＭＩ（Human Machine Interface）機能は、料金所監視盤２０−１や、遠隔監視盤３０−１のＨＭＩ機能か、または専用の外部入力装置を用いる。

また、本機能（データの加工機能）の無効化と同時に、外部出力そのものを禁止するように設定可能としてもよい。この外部出力禁止機能は、データの種別毎に設定が可能なものとする。例えば、音声データは、音声変調により話し手本人の特定は不可能としても、通話内容に個人氏名等の個人情報が含まれる可能性もあり得るため、加工処理するのではなく、外部出力自体を全面禁止に設定可能とした方が個人情報の漏洩防止には有効である。

また、個人情報保護法によれば、本人の求めに応じて、その要求に正当性があれば、当該個人情報を消去する必要があることが定められている。従って、監視盤全体の機能として、消去要求のあった個人情報を検索し、消去する機能を有するものとする。

上述した実施形態によれば、外部出力する際に、個人情報と見なされる、あるいは個人情報が含まれる、撮影された画像、通行料金に関する情報（通過日時、通行料金、クレジットカード番号など）、インターフォンによる音声に対して、情報形式を維持したまま、個人を特定できないような非個人情報に加工する加工処理を施した後、外部出力するようにしたので、情報利用の利便性を低下させることなく、個人情報の外部への持ち出しや、個人情報の情報漏洩を防止することができる。

本発明の実施形態による料金所監視システムの構成を示す斜視図である。 料金所監視装置２０、遠隔監視装置３０の略構成を示すブロック図である。 一般インタフェース部２０−７、３０−７の略構成を示すブロック図である。 本実施形態の一般インタフェース部２０−７、３０−７の動作を説明するためのフローチャートである。

符号の説明

１ 車両検知装置
２ 通行券自動発行装置
３ 通信回線
４ 監視カメラ
１０ 車両検知装置
１１ 料金自動収受機
１２ 発進制御装置
１３ 阻止棒
１４ 車両検知装置
１５ 監視カメラ
２０ 料金所監視装置
２０−１ 料金所監視盤
２０−２ 表示部
２０−３ 操作部
２０−４ 制御部
２０−５ 記憶部
２０−６ 遠隔監視用インタフェース部
２０−７ 一般インタフェース処理部
２０−８ ＦＤ／ＭＯ／ＣＤ／ＤＶＤドライブ
２０−９ ＵＳＢ／ＣＦ／ＳＤスロット
２０−１０ ＩＥＥＥ１３９４制御部
２０−１１ ＲＳ−２３２Ｃ制御部
２０−１２ Ｅｔｈｅｒｎｅｔ（登録商標）制御部
２０−１３ その他の外部出力制御部
３０ 遠隔監視装置
３０−１ 料金所監視盤
３０−２ 表示部
３０−３ 操作部
３０−４ 制御部
３０−５ 記憶部
３０−６ 遠隔監視用インタフェース部
３０−７ 一般インタフェース処理部
３０−８ ＦＤ／ＭＯ／ＣＤ／ＤＶＤドライブ
３０−９ ＵＳＢ／ＣＦ／ＳＤスロット
３０−１０ ＩＥＥＥ１３９４制御部
３０−１１ ＲＳ−２３２Ｃ制御部
３０−１２ Ｅｔｈｅｒｎｅｔ（登録商標）制御部
３０−１３ その他の外部出力制御部

Claims (13)

1. 個人情報が含まれる情報を収集する情報収集手段と、
   前記情報収集手段により収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する加工手段と、
   前記加工手段により加工された情報を外部出力する出力手段と
   を備えることを特徴とする個人情報保護装置。
2. 前記情報収集手段により収集された情報を外部出力する場合、外部出力する情報のデータ種別を判別するデータ種別判別手段を備え、
   前記加工手段は、
   前記データ種別判別手段により判別されたデータ種別に基づいて、前記外部出力する情報に含まれる個人情報に対する加工処理方法を選択することを特徴とする請求項１記載の個人情報保護装置。
3. 前記情報収集手段は、個人情報が含まれる画像を撮影する撮影手段を備え、
   前記加工手段は、前記撮影手段により撮影された画像を外部出力する場合、外部出力する画像に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する画像処理を施す画像処理手段を備え、
   前記出力手段は、前記画像処理手段により画像処理が施された画像を外部出力することを特徴とする請求項１又は請求項２記載個人情報保護装置。
4. 前記画像処理手段は、
   前記外部出力する画像に含まれる個人情報の領域を特定する個人情報領域特定手段と、
   前記個人情報領域特定手段により特定された個人情報の領域に対して画像劣化処理を施す画像劣化処理手段と
   を備えることを特徴とする請求項３記載の個人情報保護装置。
5. 前記個人情報領域特定手段は、
   予め個人情報に係る画像が写っていない背景画像を取得する背景画像取得手段と、
   前記外部出力する画像と前記背景画像取得手段により取得された背景画像との差分を取り、差分が一定値以上に達しているＭ×Ｎの領域を、個人情報の領域として切り出す切り出し手段と
   を備えることを特徴とする請求項４記載の個人情報保護装置。
6. 前記画像劣化処理手段は、
   前記切り出し手段により切り出された個人情報の領域の全画素値の平均を取り、当該個人情報の領域内の全画素を平均値で埋めることを特徴とする請求項５記載の個人情報保護装置。
7. 前記情報収集手段は、利用者の音声を収集する音声収集手段を備え、
   前記加工手段は、前記音声収集手段により収集された音声データを外部出力する場合、外部出力する音声データに含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する音声処理を施す音声処理手段を備え、
   前記出力手段は、前記音声処理手段により音声処理が施された音声データを外部出力することを特徴とする請求項１から請求項６記載の個人情報保護装置。
8. 前記音声処理手段は、前記外部出力する音声データに対して、少なくとも、音声帯域別増幅・減衰処理、ＦＭ変調、あるいは、ＡＭ変調のいずれか、あるいはこれら組み合わせた音声処理を施すことを特徴とする請求項７記載の個人情報保護装置。
9. 前記音声収集手段により収集された音声データを外部出力することを禁止する出力禁止設定手段を備えることを特徴とする請求項７又は請求項８記載の個人情報保護装置。
10. 前記情報収集手段は、料金支払いに係る料金支払い情報を取得する料金支払い情報取得手段を備え、
    前記加工手段は、前記料金支払い情報取得手段により取得された蓄積された料金支払い情報を外部出力する場合、外部出力する料金支払い情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に置換するデータ置換処理手段を備え、
    前記出力手段は、前記データ置換処理手段により置換処理が施された料金支払い情報を外部出力することを特徴とする請求項１から請求項９記載の個人情報保護装置。
11. 個人情報が含まれる情報を収集するステップと、
    前記収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工するステップと、
    前記加工された情報を外部出力するステップと
    を含むことを特徴とする個人情報保護方法。
12. 個人情報が含まれる情報を収集する情報処理装置のコンピュータに、
    個人情報が含まれる情報を収集する機能、
    前記収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、非個人情報に加工する機能、
    前記加工された情報を外部出力する機能
    を実行させることを特徴とするプログラム。
13. 有料道路の料金所付近における車線状況を監視する監視システムであって、
    前記料金所を通過する車両に係る、個人情報が含まれる情報を収集する情報収集手段と、
    前記情報収集装置により収集された情報を外部出力する場合、外部出力する情報に含まれる個人情報を、その情報形式を維持したまま、個人を特定できない非個人情報に加工する加工手段と、
    前記加工手段により加工された情報を外部出力する出力手段と
    を備えることを特徴とする監視システム。

Images