JP2022108858A - 個人情報管理装置、個人情報管理システム、端末及び端末プログラム - Google Patents

Abstract

【課題】信頼性のある個人情報についての利便性を向上させた個人情報管理装置、個人情報管理システム、端末及び端末プログラムを提供する。
【解決手段】個人情報管理システム１００において、ユーザ端末４と、ユーザ端末４のユーザに対してサービスを提供する各事業者の事業者サーバとの各々に対して通信可能に接続された個人情報管理サーバ１は、ユーザ端末４との間で行われた本人確認処理により本人確認がされたユーザの個人情報を記憶した個人情報ＤＢ８を備え、事業者サーバから個人情報に係る更新発生連絡を受信し、受信した更新発生連絡に係る個人情報を、個人情報ＤＢ８から特定し、特定した個人情報の各事業者への提供を停止する。
【選択図】図６

Description

本発明は、個人情報管理装置、個人情報管理システム、端末及び端末プログラムに関する。

従来、インターネット上のあるサービスを利用したい者は、まず、サービスのサイトにアクセスしてユーザ登録をし、自身の氏名等の個人情報を含む必要な情報を登録し、パスワードを設定する。そして、自身で設定し、又は、システムから付与されたユーザＩＤと、パスワードとを、利用者が端末から入力することで、サービスを利用できる。このように、サービスごとに必要な各種の情報を登録し、利用する仕組みは、一般的である。

しかし、サービスごとに情報を登録するのは、利用者にとっては煩雑である。
そこで、「ネットワークを介したサービスを提供するサービス提供装置と、サービス提供装置から提供されるサービスを利用する利用者装置と、利用者装置の利用者に関する複数の属性項目の情報で構成された個人属性情報を管理する属性情報管理装置とを含んで構成され、属性情報管理装置からサービス提供装置への個人属性情報の開示を制御する属性情報開示システムであって、利用者装置は、属性情報管理装置に対して、個人属性情報の開示を許可するサービス提供装置ごとに、開示を許可する個人属性情報を識別するための許可属性項目を設定する設定手段と、前記許可属性項目について、開示を許可するか否かの確認を求める開示確認要求を属性情報管理装置から受信した場合に、サービス提供装置に対する開示を許可するか否かを示した回答を返信する回答返信手段と、を備え、属性情報管理装置は、利用者装置の利用者から受け付けられた設定に基づいて、各利用者装置の利用者を特定する利用者情報ごとに、個人属性情報の開示を許可するサービス提供装置を特定するためのサービス提供装置情報および前記許可属性項目を含んだ開示ポリシを管理する開示ポリシ管理手段と、サービス要求元の利用者情報を含んだ個人属性情報要求をサービス提供装置から受信した場合に、前記開示ポリシ管理手段により管理されている開示ポリシを参照して、個人属性情報要求の送信元であるサービス提供装置を特定するためのサービス提供装置情報、および個人属性情報要求に含まれる利用者情報の双方に対応する前記許可属性項目の中で、個人属性情報要求の対象となる属性項目と合致するものを判定して取得する開示ポリシ判定手段と、サービス要求元の利用者情報に対応した利用者の利用者装置に対して、前記開示ポリシ判定手段により取得された許可属性項目に対応する個人属性情報の開示を許可するか否かの確認を求める開示確認要求を送信する開示確認要求送信手段と、前記開示確認要求送信手段により送信された開示確認要求に対して、前記利用者装置から返信された許可属性項目に対応する個人属性情報の開示を許可するか否かを示す回答に基づいて、当該許可属性項目に対応する個人属性情報をサービス提供装置に提供する属性情報提供手段と、を備えたことを特徴とする属性情報開示システム。」が開示されている（例えば、特許文献１）。

特開２００９－１９９５７３号公報

特許文献１に記載のシステムで提供する個人属性情報は、個人属性情報登録者の、例えば、メールアドレスや住所、性別、趣味等である。ところで、これらの情報は、変更され得る。例えば、個人属性情報登録者が引越しをした場合には、住所や電話番号が変更され、また、婚姻等によって氏名が変更され得る。しかし、特許文献１では、個人属性情報が最新であることを前提としたものになっていた。
利用者の個人情報は、様々なサービスに用いる基本になる情報である。そのため、信頼された情報であることが必要である。特に、サービス提供側が、例えば、金融機関等である場合には、扱う情報に対してより高度な信頼性が求められる。

そこで、本発明は、信頼性のある個人情報についての利便性を向上させた個人情報管理装置、個人情報管理システム、端末及び端末プログラムを提供することを目的とする。

本発明は、以下のような解決手段により、前記課題を解決する。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。また、符号を付して説明した構成は、適宜改良してもよく、また、少なくとも一部を他の構成物に代替してもよい。

第１の発明は、ユーザ端末（４）と、前記ユーザ端末のユーザに対してサービスを提供する各事業者の事業者装置（９）との各々に対して通信可能に接続された個人情報管理装置（１）であって、前記ユーザ端末との間で行われた本人確認処理により本人確認がされた前記ユーザの個人情報を記憶した個人情報データベース（８）と、前記事業者装置から前記個人情報に係る更新発生連絡を受信する連絡受信手段（２２）と、前記連絡受信手段により受信した前記更新発生連絡に係る前記個人情報を、前記個人情報データベースから特定する情報特定手段（２２）と、前記情報特定手段により特定した前記個人情報の各事業者への提供を停止する提供停止手段（２３）と、を備える、個人情報管理装置である。
第２の発明は、第１の発明の個人情報管理装置（１）において、各事業者に提供した前記個人情報の項目に対する各事業者で保有する保有情報の提供を、各事業者の前記事業者装置（９）に対して依頼する保有情報要求手段（２２）と、前記保有情報要求手段による依頼結果として、各事業者の前記事業者装置から前記保有情報を受信する保有情報受信手段（２２）と、前記保有情報受信手段により受信した前記保有情報と、前記保有情報に対応する前記個人情報データベース（８）の前記個人情報とを照合する情報照合手段（２２）と、を備え、前記提供停止手段（２３）は、前記情報照合手段による照合結果が不一致の場合に、前記情報照合手段により照合した前記個人情報データベースの前記個人情報に対する各事業者への提供を停止する、個人情報管理装置である。
第３の発明は、第１の発明又は第２の発明の個人情報管理装置（１）において、各事業者への前記個人情報の提供可否に関する提供可否情報を、前記ユーザに対応付け記憶した提供可否記憶部（３３）と、前記事業者装置（９）から前記個人情報の利用要求を受信する利用要求受信手段（１７）と、前記利用要求受信手段により受信した前記利用要求を満たす前記個人情報の利用提供状況を確認する提供状況確認手段（１８）と、前記提供状況確認手段により確認した結果、前記個人情報の提供を停止している場合に、前記事業者装置（９）に対して提供不可の旨を通知する提供不可通知手段（１９）と、前記提供状況確認手段により確認した結果、前記個人情報の提供を停止していない場合に、前記利用要求受信手段により受信した前記利用要求を満たす前記個人情報を、前記提供可否記憶部（３３）を参照して前記個人情報データベース（８）から抽出し、抽出した前記個人情報を、前記事業者装置に送信する個人情報提供手段（１９）と、を備える、個人情報管理装置である。
第４の発明は、第１の発明から第３の発明までのいずれかの個人情報管理装置（１）において、前記情報特定手段（２２）により特定した前記個人情報に対応する前記ユーザの前記ユーザ端末（４）に、前記個人情報の各事業者への提供停止を通知する提供停止通知手段（２３）と、前記提供停止通知手段を送信した前記ユーザ端末から情報更新依頼を受信する更新依頼受信手段（２４）と、前記更新依頼受信手段により受信した前記情報更新依頼に含まれる前記ユーザの前記個人情報を用いて、前記個人情報データベース（８）を更新する個人情報更新手段（２４）と、前記個人情報更新手段により更新された前記個人情報データベースの前記ユーザの前記個人情報の提供停止を解除する停止解除手段（２４）と、を備える、個人情報管理装置である。
第５の発明は、第４の発明の個人情報管理装置（１）において、前記個人情報データベース（８）に登録されている各ユーザの前記個人情報は、前記個人情報に対する認証行う認証局（６）によって認証されたものであり、前記更新依頼受信手段（２４）により受信した前記情報更新依頼に含まれる前記ユーザの前記個人情報に対する認証を、前記認証局に依頼する認証要求手段（２４）を備え、前記個人情報更新手段（２４）は、前記認証要求手段が依頼した前記認証局により認証された前記個人情報を、前記個人情報データベースに登録する、個人情報管理装置である。
第６の発明は、ユーザ端末（４）と、サービスを提供する事業者の事業者装置（９）と、前記ユーザ端末と前記事業者装置との各々に対して通信可能に接続された個人情報管理装置（１）と、を備えた個人情報管理システム（１００）であって、前記個人情報管理装置は、前記ユーザ端末との間で行われた本人確認処理により本人確認がされたユーザの個人情報を記憶した個人情報データベース（８）を備え、前記事業者装置は、前記個人情報に係る更新発生連絡を送信する連絡送信手段を備え、前記個人情報管理装置は、前記事業者装置から受信した前記更新発生連絡に係る前記個人情報を、前記個人情報データベースから特定する情報特定手段（２２）と、前記情報特定手段により特定した前記個人情報の各事業者への提供を停止する提供停止手段（２３）と、を備える、個人情報管理システムである。
第７の発明は、ユーザ端末（４）と、サービスを提供する事業者の事業者装置（９）と、前記ユーザ端末と前記事業者装置との各々に対して通信可能に接続された個人情報管理装置（１）と、を備えた個人情報管理システム（１００）であって、前記個人情報管理装置は、前記ユーザ端末との間で行われた本人確認処理により本人確認がされたユーザの個人情報を記憶した個人情報データベース（８）と、各事業者に提供した前記個人情報の項目に対して、各事業者で保有する保有情報の提供を、各事業者の前記事業者装置に対して依頼する保有情報要求手段と、を備え、各事業者の前記事業者装置は、前記個人情報管理装置からの要求に応じて、前記事業者装置が保有する前記保有情報を、前記個人情報管理装置に送信する保有情報送信手段を備え、前記個人情報管理装置は、各事業者の前記事業者装置から前記保有情報を受信する保有情報受信手段と、前記保有情報受信手段により受信した前記保有情報と、前記保有情報に対応する前記個人情報データベースの前記個人情報とを照合する情報照合手段と、前記情報照合手段による照合結果が不一致の場合に、前記情報照合手段により照合した前記個人情報データベースの前記個人情報に対する各事業者への提供を停止する提供停止手段と、を備える、個人情報管理システムである。
第８の発明は、ユーザの個人情報を管理する個人情報管理装置（１）に対して通信可能に接続された端末（４）であって、前記個人情報の各事業者への提供停止の通知を受信する通知受信手段（４６）と、前記通知受信手段により受信した前記通知に基づいて新たな前記個人情報の入力を受け付け、受け付けた前記新たな個人情報を含む情報更新依頼を、前記個人情報管理装置に送信する更新依頼送信手段（４８）と、を備える、端末である。
第９の発明は、ユーザの個人情報を管理する個人情報管理装置（１）に対して通信可能に接続された端末（４）であるコンピュータを、前記個人情報の各事業者への提供停止の通知を受信する通知受信手段と、前記通知受信手段により受信した前記通知に基づいて新たな前記個人情報の入力を受け付け、受け付けた前記新たな個人情報を含む情報更新依頼を、前記個人情報管理装置に送信する更新依頼送信手段と、して機能させる端末プログラム（５１ａ）である。

本発明によれば、信頼性のある個人情報についての利便性を向上させた個人情報管理装置、個人情報管理システム、端末及び端末プログラムを提供することができる。

本実施形態に係る個人情報管理システムの全体構成を示す図である。 本実施形態に係る個人情報管理サーバの機能ブロックを示す図である。 本実施形態に係る個人情報管理サーバの記憶部の例を示す図である。 本実施形態に係るユーザ端末の機能ブロックを示す図である。 本実施形態に係る個人情報ＤＢの項目例を示す図である。 本実施形態に係る個人情報管理システムにおける個人情報登録処理を説明するための図である。 本実施形態に係るユーザ端末の本人確認依頼処理を示すフローチャートである。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係る個人情報管理サーバの本人確認処理を示すフローチャートである。 本実施形態に係る個人情報管理サーバの個人情報処理を示すフローチャートである。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係るユーザ端末の表示例を示す図である。 本実施形態に係る個人情報管理システムにおける取引処理を説明するための図である。 本実施形態に係る個人情報管理サーバの情報利用確認処理を示すフローチャートである。 本実施形態に係る個人情報管理システムにおける個人情報の更新処理を説明するための図である。 本実施形態に係る個人情報管理サーバの情報提供停止処理を示すフローチャートである。

以下、本発明を実施するための形態について、図を参照しながら説明する。なお、これは、あくまでも一例であって、本発明の技術的範囲はこれに限られるものではない。

（実施形態）
図１は、本実施形態に係る個人情報管理システム１００の全体構成を示す図である。
個人情報管理システム１００は、ユーザの本人確認を、各事業者に代わって個人情報管理サーバ１（個人情報管理装置）が行うことで、ユーザと、各事業者との入力負担を軽減させ、かつ、信頼性のある個人情報を管理する、個人情報に係る基盤（プラットフォーム）システムである。
個人情報管理システム１００は、個人情報管理サーバ１と、生体認証サーバ３と、ユーザ端末４（端末）と、第１認証サーバ６と、第２認証サーバ７と、個人情報ＤＢ（データベース）８と、事業者サーバ９（事業者装置）とを備えている。個人情報管理サーバ１と、生体認証サーバ３と、第１認証サーバ６と、第２認証サーバ７と、個人情報ＤＢ８と、事業者サーバ９とは、通信ネットワークＮを介して通信可能に接続されている。また、ユーザ端末４は、基地局Ｒを介して、通信ネットワークＮに接続可能である。

個人情報管理サーバ１は、例えば、各事業者とは異なる、個人情報の管理を専門とする企業が有する。個人情報管理サーバ１は、各事業者に代わってユーザの本人確認処理を行い、本人認証処理の一部の処理を代行する。また、個人情報管理サーバ１は、本人確認処理で取得したユーザの個人情報を、個人情報ＤＢ８に登録させる。さらに、個人情報管理サーバ１は、個人情報ＤＢ８に登録された個人情報を管理する。

ここで、本明細書中の本人確認と本人認証とについて、その違いを説明する。本人確認とは、例えば、運転免許証やマイナンバーカード等の公的な証明書を用いた確認をいう。他方、本人認証とは、既に本人確認ができている状態の場合に、取引時等に行うものであり、なりすまし等を防ぐための確認をいう。

生体認証サーバ３は、本人確認処理の過程において取得したユーザの顔画像（生体情報）と本人確認書類に有する顔写真の画像とを用いて、本人の同一性の確認に用いるサーバである。本人確認書類としては、例えば、マイナンバーカードや、運転免許証等がある。生体認証サーバ３は、顔画像と顔写真の画像との一致度合いをスコアとして算出する顔画像照合プログラムを用いて、同一人物であるか否かを確認する。生体認証サーバ３は、図示しないが、制御部、記憶部、通信インタフェース部等を備える。

ユーザ端末４は、各事業者によるサービスを利用したいユーザが使用する端末である。ユーザ端末４は、例えば、スマートフォンに代表されるコンピュータの機能を併せ持った携帯電話機である。ユーザ端末４は、その他、タブレットであってもよいし、パーソナルコンピュータ（ＰＣ）等であってもよい。

第１認証サーバ６は、本人確認処理によって確認を行ったユーザの個人情報に対する認証を行う第１認証局（認証局）のサーバである。第１認証局は、例えば、タイムスタンプの付与や、電子証明書の発行等を行う第三者機関認証局である。第１認証サーバ６は、図示しないが、制御部、記憶部、通信インタフェース部等を備える。

第２認証サーバ７は、本人確認処理の過程においてユーザから取得した本人確認書類の実在性の確認に用いる第２認証局のサーバである。この例において、本人確認書類は、本人特定情報と暗証情報とが対応付けられて第２認証局に登録されているものである。本人確認書類がマイナンバーカードであれば、本人特定情報は、マイナンバーであり、本人確認書類が運転免許証であれば、本人特定情報は、免許証番号である。また、暗証情報は、本人確認書類をユーザに発行する際に、ユーザが決めて登録した、例えば、８桁の番号等である。
第２認証局は、本人確認書類がマイナンバーカードであれば、Ｊ－ＬＩＳ（地方公共団体情報システム機構）のサーバが該当し、本人確認書類が運転免許証であれば、運転免許証の情報を管理する警察庁等のシステムのサーバが該当する。第２認証サーバ７は、上記したように、本人特定情報と暗証情報とを対応付けて記憶した情報ＤＢを有する。また、第２認証サーバ７は、図示しないが、制御部、記憶部、通信インタフェース部等を備える。

個人情報ＤＢ８は、個人情報管理サーバ１が管理するユーザの個人情報を記憶したデータベースである。個人情報ＤＢ８は、図１に示すように、個人情報管理サーバ１とは独立して有してもよいが、例えば、個人情報管理サーバ１の記憶部に有してもよい。また、個人情報ＤＢ８は、クラウドであってもよい。

事業者サーバ９は、例えば、各事業者で管理するサーバである。事業者サーバ９は、各事業者における処理を行う。図１の例では、事業者Ａが管理する装置を、事業者サーバ９Ａとし、事業者Ｂが管理する装置を、事業者サーバ９Ｂと記載しているが、一例である。以降の説明において、事業者を特定しない場合には、単に事業者サーバ９として説明する。事業者が、例えば、銀行であれば、事業者サーバ９は、口座開設や、振込、残高照会等の取引処理を行うサーバである。事業者サーバ９は、図示しないが、制御部、記憶部、通信インタフェース部等を備える。

基地局Ｒは、無線通信の基地局であって、ユーザ端末４が個人情報管理サーバ１や事業者サーバ９との間で通信をするための中継を行う。基地局Ｒは、例えば、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の基地局や、通信事業者の携帯端末通信網用の基地局である。
通信ネットワークＮは、各種のサーバ間や各種のサーバと基地局Ｒとの間のネットワークであり、インターネット回線や携帯端末通信網等である。

次に、個人情報管理サーバ１の機能構成について説明する。
図２は、本実施形態に係る個人情報管理サーバ１の機能ブロックを示す図である。
図３は、本実施形態に係る個人情報管理サーバ１の記憶部３０の例を示す図である。

図２に示す個人情報管理サーバ１は、制御部１０と、記憶部３０と、通信インタフェース部３９とを備える。
制御部１０は、個人情報管理サーバ１の全体を制御するＣＰＵ（中央処理装置）である。制御部１０は、記憶部３０に記憶されているオペレーティングシステム（ＯＳ）や各種アプリケーションプログラムを適宜読み出して実行することにより、上述したハードウェアと協働し、各種機能を実現する。
制御部１０は、登録処理部１１と、利用処理部１６と、更新処理部２１とを備える。

登録処理部１１は、ユーザの本人確認を行う。そして、登録処理部１１は、本人確認ができた場合に、ユーザの個人情報を、個人情報ＤＢ８に登録する処理を行う。また、登録処理部１１は、本人確認ができた場合に、各事業者に対する個人情報の提供可否を登録する処理を行う。
登録処理部１１は、本人確認処理部１２（確認用情報受信手段、書類確認手段、本人確認処理手段）と、個人情報処理部１３（認証要求手段、個人情報登録手段）と、提供可否処理部１４（照会送信手段、提供可否情報受信手段、提供可否情報登録手段）とを備える。

本人確認処理部１２は、ユーザ端末４から本人確認依頼を受信したことに応じて、本人確認処理を行う。より具体的には、本人確認処理部１２は、ユーザ端末４からユーザが入力した個人情報と、ユーザの本人確認書類に係る暗証情報と、ユーザが撮影した本人確認書類の画像及びユーザ自身の顔画像と、を含む確認用情報を受信する。そして、本人確認処理部１２は、本人確認書類のユーザが実在するか否かを確認するため、第２認証サーバ７に対して本人特定情報と、暗証情報とを送信して、認証を依頼する。ここで、本人特定情報は、例えば、本人確認書類の画像から得ることができる。

また、本人確認処理部１２は、受信した本人確認書類の画像に含まれる顔写真の画像と、ユーザ自身の顔画像とが同一人物であるか否かを確認するため、生体認証サーバ３に対して本人確認書類の画像に含まれる顔写真の画像とユーザ自身の顔画像とを送信して、照合を依頼する。
本人確認処理部１２は、第２認証サーバ７を用いての実在性を確認でき、生体認証サーバ３を用いた画像の照合により同一人物であることを確認できた場合に、本人確認ができたもの判断する。

個人情報処理部１３は、本人確認処理部１２により本人確認ができた場合に行う処理である。より具体的には、個人情報処理部１３は、本人確認を行ったユーザの個人情報に対する認証を、第１認証サーバ６に対して依頼する。そして、個人情報処理部１３は、第１認証サーバ６によって認証された個人情報を、個人情報ＤＢ８に登録する。
提供可否処理部１４は、個人情報ＤＢ８に登録された個人情報を、各事業者に提供するか否かについてのユーザの登録情報を、提供可否記憶部３３に記憶させる。より具体的には、提供可否処理部１４は、事業者ごとの個人情報の提供許諾を、ユーザ端末４に対して問い合わせる。そして、提供可否処理部１４は、問い合わせに対する回答として、ユーザ端末４から事業者ごとの提供可否情報を受信すると、受信した提供可否情報を、ユーザに対応付けて提供可否記憶部３３に登録する。

利用処理部１６は、事業者からのユーザの個人情報の利用要求に対する処理を行う。
利用処理部１６は、利用要求受信部１７（利用要求受信手段）と、状況確認部１８（提供状況確認手段）と、結果処理部１９（個人情報提供手段、提供不可通知手段、ユーザ通知手段）とを備える。
利用要求受信部１７は、事業者サーバ９がユーザの個人情報を利用した処理を行うために、事業者サーバ９から個人情報の利用要求を受信する。利用要求は、例えば、ユーザＩＤ（ＩＤｅｎｔｉｆｉｅｒ）と、項目とを含む。ユーザＩＤは、個人情報を利用したいユーザを識別する識別情報である。ユーザＩＤは、個人情報管理サーバ１が一意に付与するものであってもよいし、ユーザ端末４の端末ＩＤ等であってもよい。項目は、氏名、住所等である。項目の例については、後述する。

状況確認部１８は、利用要求の対象ユーザの個人情報の利用提供状況を確認する。具体的には、状況確認部１８は、提供状況記憶部３４を参照し、利用要求に含まれるユーザＩＤに対応する提供状況が、提供可であるか否かを確認する。

結果処理部１９は、状況確認部１８の利用提供状況の確認結果に応じた処理を行う。状況確認部１８の利用提供状況における確認結果が提供可である場合には、結果処理部１９は、提供可否記憶部３３を参照して、利用要求を満たす当該ユーザの個人情報を、個人情報ＤＢ８から抽出する。そして、抽出した個人情報を、事業者サーバ９に送信する。なお、結果処理部１９は、提供可否記憶部３３を参照して、利用要求を満たす当該ユーザの個人情報が抽出できない場合には、提供する情報がない旨を、事業者サーバ９に送信する。
他方、状況確認部１８の利用提供状況における確認結果が提供不可である場合には、結果処理部１９は、提供が停止しており提供が不可である旨を、事業者サーバ９に送信する。
そして、結果処理部１９は、利用要求があった旨と、及び、情報提供の有無に関する旨の通知を、ユーザ端末４に対して行う。

更新処理部２１は、個人情報ＤＢ８に登録されている個人情報に対する更新処理を行う。
更新処理部２１は、情報特定部２２（連絡受信手段、情報特定手段、保有情報要求手段、保有情報受信手段、情報照合手段）と、提供停止処理部２３（提供停止手段、提供停止通知手段）と、更新情報受信処理部２４（更新依頼受信手段、認証要求手段、個人情報更新手段、停止解除手段）とを備える。

情報特定部２２は、個人情報ＤＢ８に登録されている各ユーザの個人情報のうち、最新の状態ではない個人情報を特定する処理を行う。具体的には、情報特定部２２は、事業者サーバ９から個人情報に係る更新発生連絡を受信した場合に、更新発生連絡に係る個人情報を、個人情報ＤＢ８から特定する。更新発生連絡は、少なくともユーザＩＤを含み、更新された項目と、項目に対応する内容とを含んでもよい。
また、情報特定部２２は、例えば、所定のタイミングで、事業者サーバ９に有する各ユーザの個人情報の項目とその内容とを含む保有情報の提供を依頼する。そして、情報特定部２２は、事業者サーバ９から受信した保有情報と、保有情報に対応する個人情報ＤＢ８の個人情報とを照合することで、不一致の項目に対する内容を特定する。

提供停止処理部２３は、情報特定部２２が受信した更新発生連絡に係る個人情報について、各事業者サーバ９への提供を停止する。
また、提供停止処理部２３は、情報特定部２２が特定した内容が不一致の項目に係る個人情報ＤＢ８の個人情報について、各事業者サーバ９への提供を停止する。
ここで、個人情報ＤＢ８の個人情報についての提供停止の範囲は、不一致の項目だけであってもよいし、当該ユーザの個人情報の全てであってもよい。
そして、提供停止処理部２３は、提供状況記憶部３４を更新する。より具体的には、提供停止処理部２３は、提供状況記憶部３４の当該ユーザに係るユーザＩＤの提供状況を、提供不可に変更する。
さらに、提供停止処理部２３は、自身の個人情報の各事業者への提供が停止している旨を、ユーザ端末４に対して通知する。

更新情報受信処理部２４は、ユーザ端末４から情報更新依頼を受信すると、情報更新依頼に含まれるユーザの個人情報を用いて、個人情報ＤＢ８更新する。その際、更新情報受信処理部２４は、受信したユーザの個人情報に対する認証を、第１認証サーバ６に依頼する。そして、更新情報受信処理部２４は、第１認証サーバ６によって認証された個人情報を、個人情報ＤＢ８に更新する。
そして、更新情報受信処理部２４は、当該ユーザの個人情報の提供停止を解除する。更新情報受信処理部２４は、提供状況記憶部３４の当該ユーザに係るユーザＩＤの提供状況を、提供可に変更する。

記憶部３０は、制御部１０が各種の処理を実行するために必要なプログラム、データ等を記憶するためのハードディスク、半導体メモリ素子等の記憶領域である。
記憶部３０は、プログラム記憶部３１と、項目レベル記憶部３２と、提供可否記憶部３３と、提供状況記憶部３４と、事業者情報記憶部３５とを備える。
プログラム記憶部３１は、各種のプログラムを記憶する記憶領域である。プログラム記憶部３１は、例えば、個人情報管理サーバ１の制御部１０が実行する各種の機能を行うためのプログラムを記憶している。なお、個人情報管理サーバ１の制御部１０が実行する各種の機能を行うためのプログラムは、機能ごとに複数のプログラムによって構成されていてもよい。

項目レベル記憶部３２は、個人情報の取り扱いに関するレベルと、個人情報ＤＢ８の各項目とを対応付けて記憶したものである。図３（Ａ）に、項目レベル記憶部３２の例を示す。
図３（Ａ）に示す項目レベル記憶部３２は、セキュリティのレベルが１から３までの３段階に設定されており、レベル１が最もセキュリティのレベルが高い。レベル１は、個人情報の取り扱いについて、最上級の秘匿情報としての取り扱いが要求されるものである。また、レベル１は、図３（Ａ）の例では、生体情報や、端末情報、本人確認書類に記載の番号と有効期限との組み合わせ、といった項目が該当する。他方、レベル３は、秘匿性がある程度低いものが該当し、購買履歴や趣味嗜好等の項目を含む。なお、図３（Ａ）に示す項目レベル記憶部３２は、一例であり、他の項目があってもよいし、ない項目があってもよい。また、各項目のレベルについても、一例である。

提供可否記憶部３３は、ユーザごとに事業者への個人情報の提供に係る可否情報を記憶したものである。図３（Ｂ）に、提供可否記憶部３３の例を示す。
図３（Ｂ）に示す提供可否記憶部３３は、ユーザＩＤと、事業者ＩＤと、許可レベルとを対応付けて記憶する。この例では、ユーザは、事業者ごとに、許可レベルを設定することができるようになっている。ユーザＩＤは、ユーザを識別する識別情報である。事業者ＩＤは、事業者を識別する識別情報である。許可レベルは、項目レベル記憶部３２のレベルに対応するものであり、個人情報の提供する項目を特定するためのものである。許可レベルが「１，２，３」は、個人情報ＤＢ８に記憶されている個人情報のうち、項目レベル記憶部３２のレベル１，２，３に対応する各項目に対する内容を、当該事業者に提供可能であることを示す。また、許可レベルが「２」は、個人情報ＤＢ８に記憶されている個人情報のうち、項目レベル記憶部３２のレベル２に対応する各項目に対する内容を、当該事業者に提供可能であることを示す。この場合、個人情報管理サーバ１は、項目レベル記憶部３２のレベル１，３に対応する各項目に対する内容を、当該事業者に提供することはない。なお、項目レベル記憶部３２の許可レベルが「Ｎｏｎｅ」は、その事業者には個人情報を何も提供しないことを示す。

提供状況記憶部３４は、ユーザごとの個人情報の事業者への提供状況を記憶したものである。図３（Ｃ）に、提供状況記憶部３４の例を示す。
図３（Ｃ）に示す提供状況記憶部３４は、ユーザＩＤと、提供状況とを対応付けて記憶している。ユーザＩＤは、ユーザを識別する識別情報である。提供状況は、提供可又は提供不可を示す、例えば、フラグ情報である。
事業者情報記憶部３５は、各事業者に係る情報を記憶する記憶領域である。事業者情報記憶部３５は、事業者を識別する事業者ＩＤをキーとして、事業者に関する各種情報を記憶する。
通信インタフェース部３９は、通信ネットワークＮを介して個人情報ＤＢ８、事業者サーバ９等の各種サーバ及びユーザ端末４等との間の通信を行うためのインタフェースである。

次に、ユーザ端末４の機能構成について説明する。
図４は、本実施形態に係るユーザ端末４の機能ブロックを示す図である。
図４に示すように、ユーザ端末４は、制御部４０と、記憶部５０と、カメラ５４と、タッチパネルディスプレイ５５と、通信インタフェース部５９とを備える。

制御部４０は、ユーザ端末４の全体を制御するＣＰＵである。制御部４０は、記憶部５０に記憶されているＯＳや各種アプリケーションプログラムを適宜読み出して実行することにより、上述したハードウェアと協働し、各種機能を実行する。
制御部４０は、登録処理部４１と、更新処理部４５とを備える。
登録処理部４１は、個人情報の登録に係る処理を行う。登録処理部４１は、本人確認依頼部４２（確認用情報送信手段）と、本人確認結果受信部４３（結果受信手段）と、提供可否依頼処理部４４（提供可否情報送信手段）とを備える。

本人確認依頼部４２は、個人情報を登録する際に行う本人確認に関する処理を行う。本人確認依頼部４２は、本人確認に用いる確認用情報を、個人情報管理サーバ１に送信して、本人確認を依頼する。
本人確認結果受信部４３は、個人情報管理サーバ１で実行した本人確認の処理結果を、個人情報管理サーバ１から受信する。
提供可否依頼処理部４４は、本人確認結果受信部４３により受信した処理結果が、本人確認ができたものである場合に、各事業者への個人情報の提供可否に関する提供可否情報を、個人情報管理サーバ１に送信する。そして、提供可否依頼処理部４４は、提供可否情報に関する登録結果を、個人情報管理サーバ１から受信する。

更新処理部４５は、個人情報の更新に係る処理を行う。更新処理部４５は、通知受信部４６（通知受信手段）と、更新画面出力部４７と、更新依頼処理部４８（更新依頼送信手段）とを備える。
通知受信部４６は、個人情報管理サーバ１から個人情報の各事業者への提供停止の通知を受信する。
更新画面出力部４７は、通知受信部４６が受信した通知に基づき、個人情報を更新するための更新画面を出力する。
更新依頼処理部４８は、更新画面において新たな個人情報として入力を受け付けた、新たな個人情報を含む情報更新依頼を、個人情報管理サーバ１に送信する。また、更新依頼処理部４８は、個人情報管理サーバ１から情報更新依頼に係る更新結果を受信する。

記憶部５０は、制御部４０が各種の処理を実行するために必要なプログラム、データ等を記憶するための半導体メモリ素子等の記憶領域である。
記憶部５０は、プログラム記憶部５１を備える。
プログラム記憶部５１は、各種のアプリケーションプログラム（以下、アプリケーションプログラムのことを、アプリケーション、アプリ又はプログラム等という。）を記憶する記憶領域である。プログラム記憶部５１は、個人情報登録アプリ５１ａ（端末プログラム）と、取引アプリ５１ｂとを記憶している。

個人情報登録アプリ５１ａや取引アプリ５１ｂは、予めユーザ端末４にインストールされ、又は、通信ネットワークＮを介して図示しないアプリ配信サーバに対して通信をすることで、ユーザ端末４にダウンロードされる。
個人情報登録アプリ５１ａは、ユーザ端末４の制御部４０が実行する各種の機能を行うためのプログラムである。より具体的には、個人情報登録アプリ５１ａは、例えば、口座開設での個人情報の申込みやサービスを受ける時のユーザ登録を行う際に使用するプログラムである。
取引アプリ５１ｂは、事業者サーバ９による各種取引を行うためのプログラムである。より具体的には、取引アプリ５１ｂは、例えば、金融取引や決済取引に使用するプログラムである。ここでは、取引アプリ５１ｂとして１つを例示しているが、プログラム記憶部５１には、事業者ごとに異なる、複数の取引アプリが記憶されていてもよい。

カメラ５４は、撮影装置である。カメラ５４は、インカメラ５４ａと、アウトカメラ５４ｂとを有する。インカメラ５４ａは、ユーザ端末４のタッチパネルディスプレイ５５の側に有するカメラである。アウトカメラ５４ｂは、ユーザ端末４の背面側に有するカメラである。
タッチパネルディスプレイ５５は、液晶パネル等で構成される表示部としての機能と、ユーザの指による各種操作入力を行う入力部としての機能とを有する。
通信インタフェース部５９は、通信ネットワークＮを介して各種のサーバとの通信を行うためのインタフェースであり、送信部及び受信部の役割を行う。

次に、個人情報ＤＢ８に記憶する個人情報の項目例を説明する。
図５は、本実施形態に係る個人情報ＤＢ８の項目例を示す図である。
個人情報ＤＢ８は、例えば、ユーザＩＤをキーとして、氏名、生年月日、住所、証憑区分、番号、証憑画像、顔画像等を記憶する。
ユーザＩＤは、ユーザを識別する識別情報である。
氏名は、ユーザの氏名である。なお、氏名（ひらがな）は、氏名とは別の項目として有してもよい。
生年月日は、ユーザの生年月日であり、住所は、ユーザの住所である。郵便番号は、住所とは別の項目として有してもよい。また、住所は、都道府県、市区町村、といった区切りごとに別項目としてもよい。
証憑区分は、本人確認の際に使用した証憑であり、例えば、運転免許証、マイナンバーカードといった、本人確認書類の区分である。
番号は、証憑から取得した番号であり、免許証番号や、マイナンバーである。
証憑画像は、本人確認書類の画像そのものである。
顔画像は、ユーザの顔画像そのものである。
なお、個人情報ＤＢ８は、その他、項目レベル記憶部３２の各項目を有している。各ユーザの個人情報は、全ての項目についてのデータを有していなくてもよい。
また、各項目は、日付を対応付けて記憶している。日付は、最新の登録日を記憶する。例えば、本人確認を行った直後であれば、日付は、個人情報の登録日であり、項目に対する情報が更新された場合には、日付は、更新日である。

ここで、コンピュータとは、制御部、記憶装置等を備えた情報処理装置をいい、個人情報管理サーバ１、ユーザ端末４、第１認証サーバ６、第２認証サーバ７及び事業者サーバ９は、それぞれ制御部、記憶部等を備えた情報処理装置であり、コンピュータの概念に含まれる。

次に、個人情報管理システム１００の処理について説明する。
初めに、ユーザの個人情報を登録する処理の流れについて説明する。
図６は、本実施形態に係る個人情報管理システム１００における個人情報登録処理を説明するための図である。
図７は、本実施形態に係るユーザ端末４の本人確認依頼処理を示すフローチャートである。
図８から図１１までは、本実施形態に係るユーザ端末４での表示例を示す図である。
図１２は、本実施形態に係る個人情報管理サーバ１の本人確認処理を示すフローチャートである。
図１３は、本実施形態に係る個人情報管理サーバ１の個人情報処理を示すフローチャートである。
図１４及び図１５は、本実施形態に係るユーザ端末４での表示例を示す図である。

まず、個人情報管理システム１００が提供するサービスを利用したいと考えているユーザは、ユーザ端末４にインストール済の個人情報登録アプリ５１ａを起動させる。
そして、図示しないメニュー画面からユーザが、新規登録をするための選択をすることで、図６のステップＳ（以降、「ステップＳ」を単に「Ｓ」という。）１において、ユーザ端末４の制御部４０（登録処理部４１）は、本人確認依頼処理を行う。
本人確認依頼処理として、登録処理部４１は、個人情報登録に係る案内画面（図示せず）を、タッチパネルディスプレイ５５に出力する。以降、ユーザ端末４は、案内画面にしたがって処理を行う。

ここで、ユーザ端末４の本人確認依頼処理について、図７に基づき説明する。
まず、図７のＳ１０１において、登録処理部４１は、図８に示す本人確認書類の選択画面６０を、タッチパネルディスプレイ５５に出力する。図８に示す選択画面６０は、本人確認書類として、マイナンバーカードか、運転免許証かを選択するための画面である。図８の例では、ユーザが運転免許証の選択領域６０ａを選択したところである。ユーザにより選択されると、選択領域６０ａが選択されたことを示すチェックが、選択領域６０ａに追加される。また、次の画面に遷移させるためのボタン６０ｂが、選択可能に表示される。

図８のボタン６０ｂが選択されると、図７のＳ１０２において、登録処理部４１は、図９に示す本人確認書類を撮影するための書類撮影画面６１を、タッチパネルディスプレイ５５に出力し、アウトカメラ５４ｂを起動させる。図９の例では、書類撮影画面６１が表示された状態で、ユーザの運転免許証を撮影しようとしているところである。ユーザは、運転免許証を、書類撮影画面６１の枠内に収まるように、ユーザ端末４の位置を合わせる。そして、ユーザが、シャッターボタンであるボタン６１ａをタッチすることで、図７のＳ１０３において、登録処理部４１は、アウトカメラ５４ｂを制御して、運転免許証（本人確認書類）を撮影し、得た運転免許証の画像を、記憶部５０に一時記憶する。

図７のＳ１０４において、登録処理部４１は、運転免許証の画像を読み取ってテキストを抽出する。そして、登録処理部４１は、氏名、生年月日、住所、免許証番号等の各項目のテキストを確認する読取確認画面（図示せず）を、タッチパネルディスプレイ５５に出力する。ユーザは、読取確認画面を見ながら、合っている項目にチェックを入れる。
そして、次に、登録処理部４１は、図１０に示す情報入力画面６２を、タッチパネルディスプレイ５５に出力する。図１０の例では、名前についての入力が示されており、運転免許証から読み取り、ユーザが確認した文字については、それが分かる態様で示されている。ユーザは、情報入力画面６２を用いて、個人情報ＤＢ８に登録するための個人情報を入力していく。

図７のＳ１０５において、登録処理部４１は、選択を受け付けて、ユーザの顔画像を撮影するための、例えば、図１１に示す顔画像撮影画面６３を、タッチパネルディスプレイ５５に出力し、インカメラ５４ａを起動させる。そこで、ユーザは、タッチパネルディスプレイ５５を確認しながら、スルー画面６３ａの顔枠６３ｂに自身の顔の位置を合わせる。
図７のＳ１０６において、登録処理部４１は、インカメラ５４ａから取得した撮影画像に対して公知の顔認識処理を行い、目を検出する。
Ｓ１０７において、登録処理部４１は、瞬きを検出したか否かを判断する。瞬きを検出した場合（Ｓ１０７：ＹＥＳ）には、制御部４０は、処理をＳ１０８に移す。他方、瞬きを検出していない場合（Ｓ１０７：ＮＯ）には、制御部４０は、瞬きを検出するまで本処理にとどまる。
Ｓ１０８において、登録処理部４１は、瞬きを検出した後に撮影した顔画像を、記憶部５０に一時記憶する。

ユーザによる一連の入力が終了し、ユーザが次の処理に進める操作を行うと、図７のＳ１０９において、登録処理部４１は、確認及び入力された各情報を受け付ける。その後、図６のＳ２において、制御部１０（本人確認依頼部４２）は、個人情報管理サーバ１に確認用情報を送信することで、本人確認を依頼する。
なお、上記した案内画面による案内の順番は、一例であり、例えば、前後の処理についての変更があってもよい。
Ｓ３において、個人情報管理サーバ１の制御部１０（登録処理部１１）は、ユーザ端末４から確認用情報を受信すると、本人確認処理を行う。

ここで、本人確認処理について、図１２に基づき説明する。
図１２のＳ１１において、個人情報管理サーバ１の制御部１０（本人確認処理部１２）は、確認用情報に含まれる顔画像と、運転免許証の画像に含まれる顔写真の画像とを、生体認証サーバ３に対して送信する。
Ｓ１２において、生体認証サーバ３の制御部は、受信した顔画像と顔写真の画像とを照合する。生体認証サーバ３の制御部は、顔画像照合プログラムによる画像照合処理を行って、顔画像と顔写真の画像との一致度合いを、例えば、スコアとして算出する。
そして、生体認証サーバ３の制御部は、例えば、算出したスコアを同一性の結果として個人情報管理サーバ１に送信し、本処理を終了する。

Ｓ１３において、個人情報管理サーバ１の制御部１０（本人確認処理部１２）は、本人特定情報と、暗証情報とを、第２認証サーバ７に送信する。
Ｓ１４において、第２認証サーバ７の制御部は、受信した情報に基づいて実在性を確認する。より具体的には、第２認証サーバ７が有する情報ＤＢ（図示せず）に、受信した情報の組み合わせが登録されているか否かにより、これらの情報が実在するものであるか否かを確認する。そして、第２認証サーバ７の制御部は、確認結果を、個人情報管理サーバ１に送信し、本処理を終了する。

Ｓ１５において、制御部１０（本人確認処理部１２）は、実在性及び同一人物を確認できたか否かを判断する。制御部１０は、例えば、生体認証サーバ３から受信したスコアが所定値以上であり、第２認証サーバ７から受信した確認結果が実在するものである場合に、制御部１０（本人確認処理部１２）は、実在性及び同一人物を確認できたと判断する。ここで、生体認証サーバ３から受信したスコアは、例えば、０～１００までの数値により表されるものであり、一致度合いが高いほど数値が高い。そして、スコアが所定値以上であれば、本人確認処理部１２は、同一人物であると判断する。他方、実在性及び同一人物のいずれか一方が確認できなかった場合には、制御部１０（本人確認処理部１２）は、実在性及び同一人物を確認できなかったと判断する。
実在性及び同一人物を確認できた場合（Ｓ１５：ＹＥＳ）には、制御部１０は、処理をＳ１６に移す。他方、実在性及び同一人物を確認できなかった場合（Ｓ１５：ＮＯ）には、制御部１０は、処理をＳ１７に移す。

なお、生体認証サーバ３から受信したスコアが所定値未満である場合には、Ｓ１３の処理を行わず、Ｓ１２の処理結果を受信後に、Ｓ１５の処理を行ってもよい。
また、Ｓ１１の処理と、Ｓ１３の処理との順序は、これに限定されない。Ｓ１３の処理を先に行ってから、Ｓ１１の処理を行ってもよい。

Ｓ１６において、制御部１０（本人確認処理部１２）は、本人確認ができたと判断し、処理を図６のＳ４に移す。
他方、Ｓ１７において、制御部１０（本人確認処理部１２）は、本人確認ができなかったと判断し、本処理を終了する。なお、制御部１０（本人確認処理部１２）は、本人確認ができなかった旨を、ユーザ端末４に送信する。そうすることで、ユーザ端末４の制御部４０（登録処理部４１）は、本人確認ができなかった旨をタッチパネルディスプレイ５５に出力するので、ユーザは、再度登録処理をする等の対応を行う。

図６のＳ４において、個人情報管理サーバ１の制御部１０（登録処理部１１）は、本人確認処理が終了すると、個人情報処理を行う。
ここで、個人情報処理について、図１３に基づき説明する。
図１３のＳ２１において、制御部１０（個人情報処理部１３）は、個人情報に対する認証を、第１認証サーバ６に依頼する。

第１認証サーバ６の制御部は、個人情報を受信すると、Ｓ２２において、受信した個人情報に対して認証情報を付与する。
Ｓ２３において、第１認証サーバ６の制御部は、認証情報を付与後の個人情報を、個人情報管理サーバ１に送信する。
個人情報管理サーバ１の個人情報処理部１３は、認証情報を付与後の個人情報を受信すると、Ｓ２４において、受信した個人情報を、個人情報ＤＢ８に登録する。その後、個人情報処理部１３は、処理を図６のＳ５に移す。

図６のＳ５において、個人情報管理サーバ１の制御部１０（登録処理部１１）は、本人確認依頼に対する結果を、ユーザ端末４に送信する。
ユーザ端末４では、個人情報管理サーバ１から本人確認ができ、個人情報が登録された旨の結果を受信すると、例えば、図１４に例示する完了画面６５を、タッチパネルディスプレイ５５に出力する。完了画面６５は、本人確認が完了し、個人情報を登録した旨を記載した画面である。そして、ユーザが、完了画面６５の事業者設定のためのボタン６５ａを選択することで、図６のＳ６において、制御部４０（提供可否依頼処理部４４）は、提供可否依頼処理を行う。

提供可否依頼処理部４４は、図１５に示す事業者設定画面６６を、タッチパネルディスプレイ５５に出力する。事業者設定画面６６は、事業者ごとに個人情報の提供可否を設定可能な画面である。ユーザは、設定領域６６ａに示す事業者ごとのスライドバーを、左右にスライドさせることで、提供可否を設定する。なお、図示しないが、提供可に設定した事業者ごとに許可レベルの設定画面を出力して、許可レベルを設定してもよい。そして、ユーザが登録するためのボタン６６ｂを選択すると、図６のＳ７において、制御部４０（提供可否依頼処理部４４）は、提供可否情報を、個人情報管理サーバ１に送信し、登録を依頼する。

Ｓ８において、個人情報管理サーバ１の制御部１０（提供可否処理部１４）は、提供可否情報を受信したことに応じて、提供可否記憶部３３に提供可否情報を登録する。その後、制御部１０（提供可否処理部１４）は、処理結果として提供可否情報の設定が完了した旨を、ユーザ端末４に送信し、本処理を終了する。
ユーザ端末４の制御部４０（提供可否依頼処理部４４）は、提供可否情報の設定が完了した旨を、タッチパネルディスプレイ５５に出力し、本処理を終了する。

なお、上記した例では、個人情報登録アプリ５１ａをユーザが起動させるものを説明した。しかし、これに限定されるものではない。ユーザが、次に説明する取引アプリ５１ｂを起動させた際に、個人情報登録処理がされていない場合に、取引アプリ５１ｂから個人情報登録アプリ５１ａを起動させてもよい。

次に、ユーザの個人情報を利用する処理の流れについて説明する。
図１６は、本実施形態に係る個人情報管理システム１００における取引処理を説明するための図である。
図１７は、本実施形態に係る個人情報管理サーバ１の情報利用確認処理を示すフローチャートである。
ここでは、ユーザが取引アプリ５１ｂを利用して、事業者Ａにおける取引処理を行う場合を例に説明する。しかし、他の事業者における取引も、同様に行うことができる。

まず、ユーザが、ユーザ端末４にインストール済の取引アプリ５１ｂを起動させる。そして、ユーザが取引を依頼するための操作を行う。この例では、取引を依頼するために、ユーザが、取引種類を選択し、本人認証のためにユーザ自身の顔を撮影する。そうすることで、図１６のＳ３１において、ユーザ端末４の制御部４０は、取引依頼を事業者Ａの事業者サーバ９Ａに送信する。取引依頼は、取引種類と、ユーザの顔画像とを含む。

事業者サーバ９は、ユーザ端末４から取引依頼を受信すると、Ｓ３２において、事業者サーバ９の制御部は、本人認証依頼処理を行う。
本人認証依頼処理では、事業者サーバ９の制御部が、ユーザの顔画像を個人情報管理サーバ１に送信することで、個人情報管理サーバ１に本人認証を依頼する。
Ｓ３３において、個人情報管理サーバ１の制御部１０は、本人認証処理を行う。より具体的は、個人情報管理サーバ１の制御部１０は、個人情報管理サーバ１が管理する、本人確認処理で使用したユーザの顔画像（この顔画像は、個人情報ＤＢ８に記憶されている）と、事業者サーバ９から受信したユーザの顔画像とを、生体認証サーバ３に対して送信する。生体認証サーバ３では、制御部が、受信した２つの顔画像を照合する。生体認証サーバ３の制御部は、顔画像照合プログラムによる画像照合処理を行って、２つの顔画像の一致度合いを、例えば、スコアとして算出する。そして、生体認証サーバ３の制御部は、例えば、算出したスコアを照合結果として個人情報管理サーバ１に送信するので、個人情報管理サーバ１の制御部１０は、事業者サーバ９に照合結果を送信する。

事業者サーバ９は、受信した照合結果により本人認証ができた場合に、Ｓ３４において、事業者サーバ９の制御部は、情報の利用要求を、個人情報管理サーバ１に送信する。
Ｓ３５において、個人情報管理サーバ１の制御部１０（利用処理部１６）は、情報利用確認処理を行う。

ここで、情報利用確認処理について、図１７に基づき説明する。
図１７のＳ４１において、個人情報管理サーバ１の制御部１０（利用要求受信部１７）は、事業者サーバ９から利用要求を受信する。
Ｓ４２において、制御部１０（状況確認部１８）は、利用要求の対象ユーザの個人情報の利用提供状況を、提供状況記憶部３４を参照して確認する。
Ｓ４３において、制御部１０（状況確認部１８）は、確認した結果、個人情報が提供可であるか否かを判断する。提供可である場合（Ｓ４３：ＹＥＳ）には、制御部１０は、処理をＳ４４に移す。他方、提供可ではない場合（Ｓ４３：ＮＯ）には、制御部１０は、処理をＳ４８に移す。

Ｓ４４において、制御部１０（結果処理部１９）は、利用要求の対象ユーザの個人情報を、個人情報ＤＢ８から抽出する。その際、結果処理部１９は、提供可否記憶部３３を参照し、対象ユーザの当該事業者Ａに対する許可レベルを確認する。そして、結果処理部１９は、許可レベルに対応した項目を、項目レベル記憶部３２を参照して確認し、確認した項目の内容を、個人情報ＤＢ８から抽出する。
Ｓ４５において、制御部１０（結果処理部１９）は、所定の個人情報が抽出できたか否かを判断する。所定の個人情報とは、抽出した個人情報のうち、利用要求に含まれる項目の個人情報をいう。ここで、利用要求に含まれる項目のうち１つの項目の内容でも抽出できた場合には、所定の個人情報が抽出できたものとする。所定の個人情報が抽出できた場合（Ｓ４５：ＹＥＳ）には、制御部１０は、処理をＳ４６に移す。他方、所定の個人情報が抽出できなかった場合（Ｓ４５：ＮＯ）には、制御部１０は、処理をＳ４７に移す。

Ｓ４６において、制御部１０（結果処理部１９）は、所定の個人情報を、事業者サーバ９に送信し、本処理を終了する。
Ｓ４７において、制御部１０（結果処理部１９）は、個人情報が抽出できなかった旨を、事業者サーバ９に送信し、本処理を終了する。
他方、Ｓ４８において、制御部１０（結果処理部１９）は、個人情報の提供が停止されている旨を、事業者サーバ９に送信し、本処理を終了する。
なお、制御部１０（結果処理部１９）は、個人情報に対する利用要求があった旨と、情報提供の有無に関する旨とを、ユーザ端末４に対して通知する。

図１６において、事業者サーバ９の制御部は、個人情報管理サーバ１から利用要求に対する結果を受信する。利用要求に対する結果として利用可であるフラグ又は個人情報を受信した場合は、個人情報の提供がされた場合であり、Ｓ３６ａにおいて、事業者サーバ９の制御部は、ユーザ端末４との間で取引処理を行う。
他方、利用要求に対する結果として、利用不可であるフラグを受信し、又は、個人情報を受信しなかった場合は、個人情報の提供がされなかった場合であり、Ｓ３６ｂにおいて、事業者サーバ９の制御部は、ユーザ端末４から個別に直接必要な個人情報を受信した後に、ユーザ端末４との間で取引処理を行う。

なお、上記の例では、ユーザ端末４から取引依頼があったものを例に説明したが、ユーザ端末４から取引依頼がない場合であっても同様である。事業者サーバ９が、例えば、バッチ処理等で、ユーザの個人情報を利用した処理をする場合には、事業者サーバ９の制御部は、Ｓ３４以降の処理を行うものであってもよい。その場合、Ｓ３６ａ又はＳ３６ｂの取引処理は、事業者サーバ９のみの処理になる。

次に、ユーザの個人情報の更新に係る処理の流れについて説明する。
図１８は、本実施形態に係る個人情報管理システム１００における個人情報の更新処理を説明するための図である。
図１９は、本実施形態に係る個人情報管理サーバ１の情報提供停止処理を示すフローチャートである。
例えば、ユーザ端末４が、事業者サーバ９Ａに対してユーザの個人情報を送信することで、図１８のＳ６１において、事業者サーバ９Ａの制御部は、ユーザ端末４から受信した個人情報に基づいて、事業者サーバ９Ａに有する当該ユーザの個人情報を更新する。

ここでのユーザの個人情報とは、個人情報のうち変更があった情報であり、例えば、ユーザの住所の変更があったり、電子メールアドレスの変更があったり、といった場合を想定している。
また、ユーザ端末４は、個人情報を、取引アプリ５１ｂを用いて事業者サーバ９Ａに送信してもよいし、電子メールを用いてもよいし、事業者サーバ９Ａの事業者が開設しているＨＰ（ホームページ）等から入力することで送信してもよい。また、ユーザから事業者Ａに対して紙等で郵送したり、ＦＡＸしたりすることをも含む。

Ｓ６２において、事業者サーバ９Ａの制御部（連絡送信手段）は、個人情報に係る更新発生連絡を、個人情報管理サーバ１に送信する。
Ｓ６３において、個人情報管理サーバ１の制御部１０（更新処理部２１）は、情報提供停止処理を行う。

ここで、情報提供停止処理について、図１９に基づき説明する。
図１９のＳ７１において、個人情報管理サーバ１の制御部１０（情報特定部２２）は、事業者サーバ９Ａから個人情報に係る更新発生連絡を受信する。
Ｓ７２において、制御部１０（情報特定部２２）は、更新発生連絡に係る個人情報ＤＢ８の個人情報を特定する。
Ｓ７３において、制御部１０（提供停止処理部２３）は、特定した個人情報のユーザに対応した提供状況記憶部３４の提供状況を、提供不可に更新する。
Ｓ７４において、制御部１０（提供停止処理部２３）は、特定した個人情報について、各事業者サーバ９に対して提供の停止を通知する。
Ｓ７５において、制御部１０（提供停止処理部２３）は、事業者サーバ９への個人情報の提供停止を、個人情報に対応したユーザ端末４に送信し、本処理を終了する。

ユーザ端末４の制御部４０（通知受信部４６）は、事業者サーバ９への個人情報の提供停止に係る通知を受信すると、制御部４０（更新依頼処理部４８）は、図１８のＳ６４において、個人情報についての情報更新依頼を、個人情報管理サーバ１に対して行う。ここで、通知を受けたユーザ端末４の制御部４０（更新画面出力部４７）は、個人情報登録アプリ５１ａを自動的に起動させて、更新画面（図示せず）を、タッチパネルディスプレイ５５に出力してもよい。そして、ユーザが更新画面にしたがって最新の（新たな）個人情報を入力することで、制御部４０（更新依頼処理部４８）は、情報更新依頼を個人情報管理サーバ１に送信してもよい。

Ｓ６５において、個人情報管理サーバ１の制御部１０（更新情報受信処理部２４）は、情報更新依頼を受信すると、個人情報処理を行う。個人情報処理として、更新情報受信処理部２４は、情報更新依頼に含まれるユーザの個人情報を用いて、個人情報ＤＢ８更新する。ここで、情報更新依頼は、ユーザの個人情報の他、ユーザの顔画像を含む。更新情報受信処理部２４は、まず、受信したユーザの顔画像を用いて本人認証処理を行う。本人認証処理では、受信したユーザの顔画像と、個人情報管理サーバ１が管理する、本人確認処理で使用したユーザの顔画像（この顔画像は、個人情報ＤＢ８に記憶されている）とを生体認証サーバ３に対して送信する。生体認証サーバ３では、制御部が、受信した２つの顔画像を照合し、２つの顔画像の一致度合いを、例えば、スコアとして算出する。そして、生体認証サーバ３の制御部は、例えば、算出したスコアを照合結果として個人情報管理サーバ１に送信する。個人情報管理サーバ１は、受信した照合結果により本人認証ができた場合に、次に、更新情報受信処理部２４は、受信したユーザの個人情報に対する認証を、第１認証サーバ６に依頼する。そして、更新情報受信処理部２４は、第１認証サーバ６によって認証された場合に、認証された個人情報を、個人情報ＤＢ８に更新する。

そして、Ｓ６６において、個人情報管理サーバ１の制御部１０（更新情報受信処理部２４）は、当該ユーザの個人情報の提供停止を解除する。更新情報受信処理部２４は、提供状況記憶部３４の当該ユーザに係るユーザＩＤの提供状況を、提供可に変更する。また、個人情報管理サーバ１の制御部１０は、各事業者サーバ９に対して個人情報の提供の再開を通知する。
そうすることで、個人情報の提供停止が解除されたユーザの個人情報は、事業者サーバ９に再度提供可能になる。

なお、上記した処理では、更新発生時に、個人情報管理サーバ１の制御部１０は、更新発生連絡に係る個人情報を特定し、各事業者サーバ９に対して提供の停止を通知するものを例に説明したが、これに限定されない。例えば、更新発生時点では、個人情報管理サーバ１の制御部１０は、各事業者サーバ９に対して提供の停止を通知せず、個人情報の提供を再開した場合に、初めて各事業者サーバ９に対して通知をするようにしてもよい。

このように、本実施形態によれば、個人情報管理システム１００は、以下のような効果がある。
（１）個人情報管理サーバ１は、ユーザの本人確認処理を行い、本人確認ができたユーザの個人情報を、個人情報ＤＢ８に登録する。また、個人情報管理サーバ１は、ユーザごとに各事業者への個人情報の提供可否を登録する。
よって、ユーザが、事業者ごとに個人情報を提供するか否かを決めて登録できるので、ユーザが認めた事業者にのみ個人情報を提供できる仕組みを構築できる。また、各事業者は、個人情報管理システム１００を利用すれば、ユーザの個人情報の提供を受けることができるので、各事業者で個人情報を集めたり、管理したりする必要がなく、利便性がよい。
このような個人情報管理システム１００の仕組みにより、個人情報のプラットフォームを、各事業者に提供できる。

（２）個人情報管理サーバ１は、ユーザ端末４から受信し、本人確認ができたユーザの個人情報についての認証を、第１認証局に対して依頼し、認証された個人情報を、個人情報ＤＢ８に登録する。
よって、個人情報ＤＢ８に登録された個人情報は、改ざんやなりすまし等があった場合には、それらを見つけることができるため、セキュリティ性が高い情報として保有できる。
（３）個人情報管理サーバ１は、ユーザ端末４から本人確認の処理を行うために受信した本人特定情報と、暗証情報とを、第２認証局に送信して、第２認証局で実在性を確認する。そして、実在性が確認された場合に、個人情報を個人情報ＤＢ８に登録する。
よって、個人情報ＤＢ８に登録された個人情報は、第２認証局によって認証された個人情報になり、個人情報として記憶する情報が、信頼性の高いものになる。

（４）個人情報管理サーバ１は、ユーザが事業者ごとに個人情報の提供可否を登録できる仕組みを構築できる。よって、ユーザは、よりきめ細かく、事業者ごとに個人情報を提供するか否かを設定できて、便利である。
（５）個人情報管理サーバ１は、個人情報の各項目と、重要度とを示すレベルとを対応付けた項目レベル記憶部３２を備え、ユーザは、事業者ごとに、個人情報の提供が可の場合に提供する個人情報のレベルを設定する。
よって、個人情報として記憶する情報にレベルを持たせることで、個人情報の管理をレベルに応じたものにすることができ、管理がしやすくなる。

（６）個人情報管理サーバ１は、事業者サーバ９から個人情報の利用要求を受信すると、提供可になっている個人情報を、個人情報ＤＢ８から抽出して事業者サーバ９に送信する。
よって、事業者サーバ９は、自身のサーバで保有しているユーザの個人情報と、個人情報ＤＢ８に記憶されているユーザの個人情報とを比較でき、最新の情報を入手することができる。
（７）個人情報管理サーバ１は、事業者サーバ９から個人情報に係る更新発生連絡を受信すると、個人情報ＤＢ８の該当する個人情報を特定し、特定した個人情報を、事業者サーバ９への提供を停止する。
よって、個人情報が最新ではないと判断した時点で、全ての事業者サーバ９への提供を停止するので、古い情報を使用させないようにできる。

（８）個人情報管理サーバ１は、最新の個人情報ではないと判断した場合に、ユーザ端末４に通知し、個人情報の提供を依頼する。よって、最新の個人情報を、ユーザ端末４から得られる仕組みを構築できる。
（９）個人情報管理サーバ１は、個人情報の提供を停止しているときに、事業者サーバ９から利用要求を受信した場合には、事業者サーバ９に提供不可の旨を通知する。よって、提供不可な情報を、事業者サーバ９に提供しないようにできる。
（１０）個人情報管理サーバ１は、ユーザ端末４から個人情報の情報更新依頼を受信した場合には、個人情報ＤＢ８を更新して、個人情報の提供停止を解除する。また、個人情報管理サーバ１は、第１認証サーバ６によって認証した個人情報を使用して、個人情報ＤＢ８を更新する。よって、個人情報ＤＢ８の個人情報を更新する場合においても、セキュリティ性の高い仕組みによって更新できる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限定されるものではない。また、実施形態に記載した効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載したものに限定されない。なお、上述した実施形態及び後述する変形形態は、適宜組み合わせて用いることもできるが、詳細な説明は省略する。

（変形形態）
（１）本実施形態では、各ユーザは、事業者ごとに個人情報の許可レベルを設定するものとして説明したが、これに限定されない。各ユーザは、事業者ごとに、個人情報の提供項目を設定するようにしてもよい。そうすることで、より細かい設定を行うことができる。なお、個人情報の提供項目の設定は、許可レベルを設定し、その中から提供可にする項目と、提供不可にする項目とを、チェック等で簡単に登録できる仕組みにするのが望ましい。

（２）本実施形態では、ユーザ端末から事業者サーバへの個人情報の提供可否を予め登録するものを例に説明したが、これに限定されない。事業者サーバがユーザに許可してほしい項目を、個人情報管理サーバに送信することで、個人情報管理サーバの照会送信手段が、個人情報の提供許諾を、ユーザ端末に対して問い合わせをし、ユーザ端末から問い合わせに対する回答を得ることで、提供可否情報を、ユーザ端末から得るようにしてもよい。

（３）本実施形態では、第１認証局による認証と、第２認証局による認証との両方をするものを例に説明したが、これに限定されない。例えば、第２認証局に該当するようなシステム（仕組み）がない場合には、第２認証局による処理を行わなくてもよい。

（４）本実施形態では、事業者サーバから個人情報の更新発生連絡を、受信するものを例に説明したが、これに限定されない。個人情報管理サーバ１の保有情報要求手段が、各事業者サーバ９に対して保有情報の提供を依頼するものであってもよい。その場合、各事業者サーバ９の保有情報送信手段は、個人情報管理サーバ１からの要求に応じて、事業者サーバ９が保有する保有情報を、個人情報管理サーバ１に送信する。そして、個人情報管理サーバ１の保有情報受信手段が、各事業者サーバ９から保有情報の提供を受けると、個人情報管理サーバ１の情報照合手段が、事業者サーバ９から提供を受けた保有情報と、個人情報ＤＢ８の個人情報とを照合する。照合の結果不一致であった場合に、個人情報管理サーバ１の提供停止手段は、個人情報の提供を停止するようにしてもよい。

（５）本実施形態では、個人情報ＤＢ８についてデータベースである旨を説明した。個人情報ＤＢ８は、データベースサーバとして有してもよいし、ブロックチェーンの技術を用いて複数のコンピュータに分散させて有してもよい。
（６）本実施形態では、本人確認書類の画像及びユーザ自身の顔画像に基づき、同一人物であるか否かを確認する処理を生体認証サーバが行うものを例に説明したが、これに限定されない。個人情報管理サーバに顔照合プログラムを有するようにし、個人情報管理サーバ内で本人確認書類の画像から顔写真の画像を抽出し、顔画像と照合して同一人物か否かを確認してもよい。また、照合結果は、照合度合いを示すスコアとして取得するものを例に説明したが、これに限定されず、他の方法による結果であってもよい。

１ 個人情報管理サーバ
３ 生体認証サーバ
４ ユーザ端末
６ 第１認証サーバ
７ 第２認証サーバ
８ 個人情報ＤＢ
９，９Ａ，９Ｂ 事業者サーバ
１０，４０ 制御部
１１，４１ 登録処理部
１２ 本人確認処理部
１３ 個人情報処理部
１４ 提供可否処理部
１６ 利用処理部
１７ 利用要求受信部
１８ 状況確認部
１９ 結果処理部
２１，４５ 更新処理部
２２ 情報特定部
２３ 提供停止処理部
２４ 更新情報受信処理部
３０，５０ 記憶部
３２ 項目レベル記憶部
３３ 提供可否記憶部
３４ 提供状況記憶部
４２ 本人確認依頼部
４３ 本人確認結果受信部
４４ 提供可否依頼処理部
４６ 通知受信部
４７ 更新画面出力部
４８ 更新依頼処理部
５１ａ 個人情報登録アプリ
５４ａ インカメラ
５４ｂ アウトカメラ
５５ タッチパネルディスプレイ
１００ 個人情報管理システム

Claims (9)

1. ユーザ端末と、前記ユーザ端末のユーザに対してサービスを提供する各事業者の事業者装置との各々に対して通信可能に接続された個人情報管理装置であって、
   前記ユーザ端末との間で行われた本人確認処理により本人確認がされた前記ユーザの個人情報を記憶した個人情報データベースと、
   前記事業者装置から前記個人情報に係る更新発生連絡を受信する連絡受信手段と、
   前記連絡受信手段により受信した前記更新発生連絡に係る前記個人情報を、前記個人情報データベースから特定する情報特定手段と、
   前記情報特定手段により特定した前記個人情報の各事業者への提供を停止する提供停止手段と、
   を備える、個人情報管理装置。
2. 請求項１に記載の個人情報管理装置において、
   各事業者に提供した前記個人情報の項目に対する各事業者で保有する保有情報の提供を、各事業者の前記事業者装置に対して依頼する保有情報要求手段と、
   前記保有情報要求手段による依頼結果として、各事業者の前記事業者装置から前記保有情報を受信する保有情報受信手段と、
   前記保有情報受信手段により受信した前記保有情報と、前記保有情報に対応する前記個人情報データベースの前記個人情報とを照合する情報照合手段と、
   を備え、
   前記提供停止手段は、前記情報照合手段による照合結果が不一致の場合に、前記情報照合手段により照合した前記個人情報データベースの前記個人情報に対する各事業者への提供を停止する、個人情報管理装置。
3. 請求項１又は請求項２に記載の個人情報管理装置において、
   各事業者への前記個人情報の提供可否に関する提供可否情報を、前記ユーザに対応付け記憶した提供可否記憶部と、
   前記事業者装置から前記個人情報の利用要求を受信する利用要求受信手段と、
   前記利用要求受信手段により受信した前記利用要求を満たす前記個人情報の利用提供状況を確認する提供状況確認手段と、
   前記提供状況確認手段により確認した結果、前記個人情報の提供を停止している場合に、前記事業者装置に対して提供不可の旨を通知する提供不可通知手段と、
   前記提供状況確認手段により確認した結果、前記個人情報の提供を停止していない場合に、前記利用要求受信手段により受信した前記利用要求を満たす前記個人情報を、前記提供可否記憶部を参照して前記個人情報データベースから抽出し、抽出した前記個人情報を、前記事業者装置に送信する個人情報提供手段と、
   を備える、個人情報管理装置。
4. 請求項１から請求項３までのいずれかに記載の個人情報管理装置において、
   前記情報特定手段により特定した前記個人情報に対応する前記ユーザの前記ユーザ端末に、前記個人情報の各事業者への提供停止を通知する提供停止通知手段と、
   前記提供停止通知手段を送信した前記ユーザ端末から情報更新依頼を受信する更新依頼受信手段と、
   前記更新依頼受信手段により受信した前記情報更新依頼に含まれる前記ユーザの前記個人情報を用いて、前記個人情報データベースを更新する個人情報更新手段と、
   前記個人情報更新手段により更新された前記個人情報データベースの前記ユーザの前記個人情報の提供停止を解除する停止解除手段と、
   を備える、個人情報管理装置。
5. 請求項４に記載の個人情報管理装置において、
   前記個人情報データベースに登録されている各ユーザの前記個人情報は、前記個人情報に対する認証行う認証局によって認証されたものであり、
   前記更新依頼受信手段により受信した前記情報更新依頼に含まれる前記ユーザの前記個人情報に対する認証を、前記認証局に依頼する認証要求手段を備え、
   前記個人情報更新手段は、前記認証要求手段が依頼した前記認証局により認証された前記個人情報を、前記個人情報データベースに登録する、個人情報管理装置。
6. ユーザ端末と、
   サービスを提供する事業者の事業者装置と、
   前記ユーザ端末と前記事業者装置との各々に対して通信可能に接続された個人情報管理装置と、
   を備えた個人情報管理システムであって、
   前記個人情報管理装置は、
   前記ユーザ端末との間で行われた本人確認処理により本人確認がされたユーザの個人情報を記憶した個人情報データベースを備え、
   前記事業者装置は、前記個人情報に係る更新発生連絡を送信する連絡送信手段を備え、
   前記個人情報管理装置は、
   前記事業者装置から受信した前記更新発生連絡に係る前記個人情報を、前記個人情報データベースから特定する情報特定手段と、
   前記情報特定手段により特定した前記個人情報の各事業者への提供を停止する提供停止手段と、
   を備える、個人情報管理システム。
7. ユーザ端末と、
   サービスを提供する事業者の事業者装置と、
   前記ユーザ端末と前記事業者装置との各々に対して通信可能に接続された個人情報管理装置と、
   を備えた個人情報管理システムであって、
   前記個人情報管理装置は、
   前記ユーザ端末との間で行われた本人確認処理により本人確認がされたユーザの個人情報を記憶した個人情報データベースと、
   各事業者に提供した前記個人情報の項目に対して、各事業者で保有する保有情報の提供を、各事業者の前記事業者装置に対して依頼する保有情報要求手段と、
   を備え、
   各事業者の前記事業者装置は、前記個人情報管理装置からの要求に応じて、前記事業者装置が保有する前記保有情報を、前記個人情報管理装置に送信する保有情報送信手段を備え、
   前記個人情報管理装置は、
   各事業者の前記事業者装置から前記保有情報を受信する保有情報受信手段と、
   前記保有情報受信手段により受信した前記保有情報と、前記保有情報に対応する前記個人情報データベースの前記個人情報とを照合する情報照合手段と、
   前記情報照合手段による照合結果が不一致の場合に、前記情報照合手段により照合した前記個人情報データベースの前記個人情報に対する各事業者への提供を停止する提供停止手段と、
   を備える、個人情報管理システム。
8. ユーザの個人情報を管理する個人情報管理装置に対して通信可能に接続された端末であって、
   前記個人情報の各事業者への提供停止の通知を受信する通知受信手段と、
   前記通知受信手段により受信した前記通知に基づいて新たな前記個人情報の入力を受け付け、受け付けた前記新たな個人情報を含む情報更新依頼を、前記個人情報管理装置に送信する更新依頼送信手段と、
   を備える、端末。
9. ユーザの個人情報を管理する個人情報管理装置に対して通信可能に接続された端末であるコンピュータを、
   前記個人情報の各事業者への提供停止の通知を受信する通知受信手段と、
   前記通知受信手段により受信した前記通知に基づいて新たな前記個人情報の入力を受け付け、受け付けた前記新たな個人情報を含む情報更新依頼を、前記個人情報管理装置に送信する更新依頼送信手段と、
   して機能させる端末プログラム。

Images