JP5893197B1 - 判定方法、判定装置及び判定プログラム - Google Patents

Abstract

【課題】個人情報の利用状況を容易に把握できる判定方法、判定装置及び判定プログラムを提供すること。【解決手段】判定方法は、個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報をコンピュータが取得する。また、判定方法は、前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況をコンピュータが判定する。【選択図】図１

Description

本発明は、判定方法、判定装置及び判定プログラムに関する。

近年、情報漏洩の問題及び個人情報保護法の制定等により、個人情報の取り扱いが問題となっている。例えば、企業（以下では「プロバイダ」と呼ぶことがある）の商品又はサービスを購入する消費者等の個人（以下では、「一般ユーザ」と呼ぶことがある）が商品又はサービスを購入する際に、会員登録することがある。この会員登録時には、通常、一般ユーザの氏名、年齢、性別、住所、及びメールアドレス等のデータが、一般ユーザに割り振られた個人ＩＤと対応づけられた状態で、プロバイダのシステムに登録（記憶）される。すなわち、プロバイダのシステムは、「個人情報データ」を記憶しておく。ここで、「個人情報データ」は、例えば、氏名、年齢、性別、住所、メールアドレス、及び個人ＩＤを含む。

さらに、プロバイダのシステムは、個人情報データが既に登録されている一般ユーザが商品又はサービスを購入する度に、その一般ユーザの個人ＩＤに対応づけて、購入された商品又はサービスに関する情報を記憶する。これにより、プロバイダは、収集した個人情報データを用いて、企業活動に利用することができる。

一方で、例えば、個人情報データを正常に収集したプロバイダ以外の企業が、その個人情報データを利用することを望むことがある。すなわち、データ収集主体とデータ利用主体とが異なる可能性がある。しかしながら、個人情報保護の観点から、一般ユーザの許可を得ること無しに、個人情報データそのものを提供することはできない。そこで、個人情報データを正常に収集した提供者が、個人情報データを、個人を特定できない状態のデータ（以下では、「匿名化データ」と呼ぶことがある）に変換し、匿名化データを提供することが考えられている。

また、今後改正され、施行が予定される個人情報保護法では、個人を特定できないように一定レベルの加工度で匿名化処理を行った個人情報を一般ユーザの許可なく流通させることが可能となることから、匿名化データの流通が期待される。当該施行が予定される個人情報保護法においては、プロバイダが当該匿名化データを提供する際に、一般ユーザに対して、当該匿名化データに含まれる項目及び当該匿名化データの提供先を公表することが規定されている。

このような匿名化データの提供の条件については、例えば後述するｋ−匿名レベル等の加工度等を定めたプライバシーポリシー等に含める形で記載されることが一般的である。一般ユーザは、当該プライバシーポリシー等に同意した上で、プロバイダに個人情報を提供する。

特開２０１４−１５３９４４号公報

ところで、プロバイダが、匿名化データの流通に際し、一般ユーザの同意を得たプライバシーポリシー等を適宜変更する場合がある。この場合、プロバイダは、プライバシーポリシー等の変更を自社のＷｅｂサイト等で周知することが一般的である。

しかし、プライバシーポリシー等が変更される都度、その内容を確認するのは一般ユーザにとって煩雑である。また、プライバシーポリシー等は専門的な文言が多く、一般ユーザにとって、どこが変更されたのかが分かりにくいことが多い。この結果、一般ユーザは、個人情報の提供時に同意したプライバシーポリシー等が変更されていても、どのように変更されたのかを特定するのが難しい。このため、一般ユーザは匿名化データがどのように利用・流通されているかを把握できない場合がある。

１つの側面では、個人情報の利用状況を容易に把握できる判定方法、判定装置及び判定プログラムを提供することを目的とする。

１つの側面では、判定方法は、個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報をコンピュータが取得する。また、判定方法は、前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況をコンピュータが判定する。

一実施態様によれば、個人情報の利用状況を容易に把握できる。

図１は、実施例１におけるシステムの全体構成の一例を示す模式図である。 図２は、匿名化処理の一例を説明する図である。 図３は、実施例１におけるシステムの一例を示す機能ブロック図である。 図４は、実施例１における利用状況ＤＢに記憶される情報の一例を示す図である。 図５は、実施例１におけるユーザ条件ＤＢに記憶される情報の一例を示す図である。 図６は、一般ユーザが条件を設定する画面の一例を示す図である。 図７は、実施例１における匿名化データの利用状況を表示する画面の一例を示す図である。 図８は、一般ユーザに対する匿名化データの利用状況の通知画面の一例を示す図である。 図９は、管理サーバによる処理の流れの一例を示すフローチャートである。 図１０は、実施例２におけるシステムの全体構成の一例を示す模式図である。 図１１は、実施例２におけるシステムの一例を示す機能ブロック図である。 図１２は、実施例２における利用状況ＤＢに記憶される情報の一例を示す図である。 図１３は、実施例２におけるユーザ条件ＤＢに記憶される情報の一例を示す図である。 図１４は、評価ＤＢに記憶される情報の一例を示す図である。 図１５は、オプトアウトＤＢに記憶される情報の一例を示す図である。 図１６は、事故ＤＢに記憶される情報の一例を示す図である。 図１７は、実施例２における匿名化データの利用状況を表示する画面の一例を示す図である。 図１８は、評価入力画面の一例を示す図である。 図１９は、代替プロバイダ紹介画面の一例を示す図である。 図２０は、匿名化データＰＦにおける処理の流れの一例を示すフローチャートである。 図２１は、匿名化データＰＦにおける処理の流れの別の一例を示すフローチャートである。 図２２は、ハードウェア構成の一例を示す図である。

以下に、本願の開示する判定方法、判定装置及び判定プログラムの実施例を図面に基づいて詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下に示す各実施例は、矛盾を起こさない範囲で適宜組み合わせても良い。

［全体構成］
本実施例においては、プロバイダが、一般ユーザに対して、匿名化データの利用状況を開示する構成について説明する。図１は、実施例１におけるシステムの全体構成の一例を示す模式図である。本実施例におけるシステムは、プロバイダＸと、複数の一般ユーザ１乃至３と、複数のデータ利用者Ａ乃至Ｃとを含む。図１においては一般ユーザ及びデータ利用者がそれぞれ３者である例を示したが、実施例はこれに限られず、一般ユーザ及びデータ利用者を４者以上有するような構成であってもよい。以下、一般ユーザ１乃至３を区別することなく総称する場合に一般ユーザと記載し、データ利用者Ａ乃至Ｃを区別することなく総称する場合にデータ利用者と記載する。

本システムにおいて、プロバイダＸは、一般ユーザから個人情報の提供を受け、取得した個人情報を用いて匿名化処理を行う。プロバイダＸは、匿名化処理により生成された匿名化データを自社内で利用し、またデータ利用者に流通させる。なお、匿名化処理及び匿名化データの提供を、例えば匿名化データプラットフォームなどの第三者が実施するような構成であってもよい。

匿名化処理及び匿名化データについて、図２を用いて説明する。図２は、匿名化処理の一例を説明する図である。図２において、符号２００１に示すテーブルは、一般ユーザから提供される、匿名化処理前の個人情報の一例を示す。一方、図２の符号２１０１に示すテーブルは、図２の符号２００１に示す個人情報のうち、個人ＩＤが「０００１」である個人、及び個人ＩＤが「０００２」である個人の個人情報が匿名化されたデータの一例を示す。

なお、図２の符号２００１に示す個人情報の一例は、６人分の個人情報を抜き出したもので、各個人は「個人ＩＤ」、「氏名」、「年齢」、「性別」及び「地域」の各属性の属性値により特定される。

図２の符号２００１に示される属性値のうち、「個人ＩＤ」及び「氏名」の属性値は、各個人に固有の属性値、すなわちいずれか単体で個人を特定できる属性値である。このため、「個人ＩＤ」及び「氏名」の各属性値は、匿名化処理の際に削除される。

一方、「年齢」、「性別」及び「地域」並びにこれらの組み合わせの各属性値は、当該属性値に該当する個人がｋ人いる場合に、「１／ｋ」の確率で個人を特定できる。例えば、特定の属性値に該当する個人が１人しかいない、すなわち「ｋ＝１」である場合、当該属性値に基づいて個人を特定できてしまう。図２の符号２００１に示す例においては、年齢が「８」である個人、又は地域が「横浜市」である個人は、それぞれ１人しかいない。

このため、匿名化処理においては、例えば個人情報に含まれる属性値を抽象化することにより、当該属性値に基づいて個人を特定できないように情報を加工する。なお、匿名化処理の結果、どの属性値についても該当する個人が少なくともｋ人以上いる状態を「ｋ−匿名性」といい、当該人数を「ｋ−匿名レベル」という。

次に、匿名化処理により生成されるデータの一例について説明する。図２の符号２１０１に示すテーブルにおいて、「年齢」、「性別」及び「地域」の欄には、それぞれ図２の符号２００１に示すテーブルの各欄と同一の属性値か、これを抽象化した属性値が示されている。以下、各レコードに示される属性値について説明する。

図２において、匿名化データ番号が「０００１Ｂ」であるレコードは、個人ＩＤが「０００１」である個人の属性値のうち、年齢及び地域の属性値が「０〜１０代・関東」に抽象化されている。この場合、図２の符号２００１に示す６人のうち、個人ＩＤが「０００１」の個人に加えて、「０００５」である個人の２人が、かかる属性値に該当する。さらに、匿名化データ番号が「０００１Ｃ」であるレコードのように、性別の属性値が「ｎｕｌｌ」に抽象化すると、図２の符号２００１に示す６人のうち、個人ＩＤが「０００２」の個人、及び「０００６」の個人も、当該属性値の組み合わせに該当する。

このように、プロバイダＸは、個人情報を匿名化処理し、個人を特定できない形に加工した匿名化データを自ら利用し、又はデータ利用者に対して提供する。

図１の説明に戻って、プロバイダＸは、匿名化データの利用状況を、一般ユーザに対して開示する。開示される匿名化データの利用状況は、例えば、匿名化データのｋ−匿名レベルを含む匿名化データの加工度、匿名化データの提供先、及び提供される匿名化データの項目を含む。なお、例えば年齢を何歳刻みにするか等の匿名化処理のより詳細な加工内容や、例えば学術研究やマーケティングなどの匿名化データを利用する目的等、その他の項目を含んでもよい。

また、プロバイダＸは、匿名化データの利用状況に関する条件を予め設定し、又は一般ユーザから匿名化データの利用状況に関する条件の設定を受け付ける。プロバイダＸは、匿名化データの利用状況が当該条件に該当するか否かを判定し、当該条件に該当する匿名化データの利用があった場合に、一般ユーザに利用状況の変更を通知する。

プロバイダが匿名化データを利用する場合、予め定められたプライバシーポリシー等に従って利用し、一般ユーザはプロバイダに個人情報を提供する際に、当該プライバシーポリシー等に同意する。その後、プロバイダは、匿名化データの流通に際し、一般ユーザの同意を得たプライバシーポリシー等を適宜変更し、プライバシーポリシー等の変更を自社のＷｅｂサイト等で周知するとともに、変更後のプライバシーポリシー等に従って匿名化データを利用する。

しかし、一般ユーザが、変更の都度プライバシーポリシーを確認するのは煩雑であり、またどこが変更されたのかが分かりにくいことが多い。その結果、プロバイダが意に反して匿名化データを利用する場合においても、一般ユーザがそれを把握することは難しい。

本実施例にかかる構成においては、匿名化データの利用状況の変更を、一般ユーザにわかりやすい形で提示し、また一般ユーザが予め定めた条件に該当する場合に通知を送信することにより、匿名化データの利用状況の変更を容易に把握できるようにする。

次に、本実施例においてプロバイダＸに実装されるシステムの機能構成について説明する。図３は、実施例１におけるシステムの一例を示す機能ブロック図である。図３に示すように、本実施例におけるシステムは、管理サーバ１０と、匿名化データ処理装置１００とを有する。

管理サーバ１０と匿名化データ処理装置１００とは、相互に通信可能に接続されている。管理サーバ１０は、ネットワークＮを通じて、一般ユーザ端末３００と相互に通信可能に接続される。また、匿名化データ処理装置１００は、ネットワークＮを通じて、データ利用者端末５００と相互に通信可能に接続される。かかるネットワークＮには、有線または無線を問わず、インターネット（Internet）を始め、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網を採用できる。なお、図３においては一般ユーザ端末及びデータ利用者端末がそれぞれ１台づつである例を示したが、実施例はこれに限られず、一般ユーザ端末及びデータ利用者端末を複数有するような構成であってもよい。

［管理サーバの機能構成］
まず、管理サーバ１０の機能構成について説明する。管理サーバ１０は、プロバイダＸにおける匿名化データの利用状況を取得し、一般ユーザに対して利用状況を開示する処理を行うコンピュータである。図３に示されるように、管理サーバ１０は、記憶部２０と、制御部３０とを有する。なお、管理サーバ１０は、図３に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。

次に、管理サーバ１０の各機能ブロックについて説明する。記憶部２０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部２０は、利用状況ＤＢ２１及びユーザ条件ＤＢ２２を有する。また、記憶部２０は、制御部３０での処理に用いる各種情報を記憶する。

利用状況ＤＢ２１は、プロバイダＸにおける匿名化データのデータ利用者への提供状況を記憶する。図４は、実施例１における利用状況ＤＢに記憶される情報の一例を示す図である。図４に示すように、利用状況ＤＢ２１は、「提供先」と、「情報項目」と、「匿名レベル」と、「公開日」とを、「Ｎｏ」に対応付けて記憶する。なお、利用状況ＤＢ２１が、匿名化データのデータ利用者への提供状況に加えて、プロバイダＸの自社内での匿名化データの利用状況をさらに記憶するような構成であってもよい。

図４において、「提供先」の欄は、匿名化データが提供されるデータ利用者を示し、「情報項目」の欄は、提供される情報の項目を示し、「匿名レベル」の欄は、提供される匿名化データのｋ−匿名レベルを示す。また、図４において、「提供日」の欄は、各レコードに示す匿名化データが提供先に提供された日を示す。

図４の符号３００１に示す例においては、プロバイダＸが、「２０１５年３月３日」に、「Ａモバイル」に対して、「ＧＰＳ情報」を、「１０−匿名状態」にて提供したことを示す。各匿名化データの利用状況は、「Ｎｏ」の欄に示す番号により一意に識別される。なお、同一の提供先に対して複数回にわたり匿名化データが提供された場合、利用状況ＤＢ２１には、提供先が同一である複数のレコードが記憶される。

図３の説明に戻って、ユーザ条件ＤＢ２２は、匿名化データの利用状況に関して、一般ユーザにより設定された条件を記憶する。図５は、実施例１におけるユーザ条件ＤＢに記憶される情報の一例を示す図である。なお、ユーザ条件ＤＢ２２が、一般ユーザにより条件が設定される前の初期状態において、プロバイダＸが設定する条件を記憶するような構成であってもよい。

図５に示すように、ユーザ条件ＤＢ２２は、「ＮＧ情報項目」と、「ＮＧ匿名レベル」と、「ＮＧ提供先」と、「連絡先」とを、「ユーザＩＤ」と対応付けて記憶する。「ユーザＩＤ」は、各一般ユーザを一意に識別する情報である。「ＮＧ情報項目」は、一般ユーザが利用を希望しない項目を示す。「ＮＧ匿名レベル」は、ｋ−匿名レベルが当該数値以下になったときに、一般ユーザが匿名化データの利用を希望しないことを示す。「ＮＧ提供先」は、一般ユーザが匿名化データの提供を希望しない提供先を示す。「連絡先」は、ＮＧ情報項目、ＮＧ匿名レベル又はＮＧ提供先に該当する匿名化データの利用があった場合における、各一般ユーザへの通知先を示す。「最終更新日」は、ユーザ条件が最後に更新された日を示す。

図５に示す例において、ユーザＩＤが「０００１」であるユーザに対して、「地域」の項目の情報が提供され、ｋ−匿名レベルが「１０未満」の匿名化データが提供され、又は「Ａモバイル」若しくは「Ｄ通信」に匿名化データが提供された場合に通知が送信される。なお、例えば、特定の属性値について提供したくない企業を個別に定めたり、特定の企業に対してはｋ−匿名レベルの低いデータを提供することを許可したりといったように、ユーザ条件を項目ごとに個別に設定できるような構成であってもよい。

なお、ユーザ条件ＤＢ２２には、例えば図６に示すような画面において、一般ユーザから入力又は選択されたデータが記憶される。図６は、一般ユーザが条件を設定する画面の一例を示す図である。図６に示されるように、一般ユーザは、提供先、匿名レベル及び情報項目を選択し又は入力する。当該提供先、匿名レベル及び情報項目は、当該一般ユーザのユーザＩＤと対応付けられて、図５に示すユーザ条件ＤＢ２２に記憶される。

図３の説明に戻って、制御部３０は、例えば、ＣＰＵやＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。

この制御部３０は、取得部３１と、判定部３２と、出力部３３とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部３０の内部構成は、図３に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、取得部３１、判定部３２及び出力部３３は、プロセッサなどの電子回路の一例またはプロセッサなどが実行するプロセスの一例である。

取得部３１は、プロバイダＸにおける匿名化データの利用状況、及び一般ユーザによる匿名化データの利用条件を取得する処理部である。具体的には、取得部３１は、例えば、１日単位等の任意のタイミングで、図示しない通信部等を通じて、匿名化データ処理装置１００にアクセスし、ｋ−匿名レベルを含む匿名化データの利用状況を取得し、利用状況ＤＢ２１に記憶する。

また、取得部３１は、例えば、図示しない通信部等を通じて、一般ユーザ端末３００から、図６に示すような画面において一般ユーザが選択又は入力した、匿名化データの利用条件を受信し、ユーザ条件ＤＢ２２に記憶する。

判定部３２は、匿名化データの利用状況が、予め設定されたユーザ条件に該当するか否かを判定する処理部である。判定部３２は、利用状況ＤＢ２１が更新されたときに、又は１日単位等の任意のタイミングで、利用状況ＤＢ２１及びユーザ条件ＤＢ２２からからレコードを読み込んで判定処理を行う。

例えば、利用状況ＤＢ２１から、図４の符号３００１に示すようなレコードを読み込んだ場合の判定部３２による処理について説明する。上で述べたように、図４の符号３００１は、プロバイダＸが、「Ａモバイル」に対して、「ＧＰＳ情報」を、「１０−匿名状態」にて提供したことを示す。

判定部３２は、図５に示すようなユーザ条件ＤＢ２２を参照し、各ユーザＩＤに対応する「ＮＧ情報項目」、「ＮＧ匿名レベル」又は「ＮＧ提供先」の各ユーザ条件が、図４の符号３００１に示す利用状況に該当するかを判定する。ユーザ条件の少なくともいずれか１つが、図４の符号３００１に示す利用状況に該当すると判断した場合、判定部３２は、当該ユーザＩＤを通知対象ＩＤとして特定する。特定された通知対象ＩＤは、記憶部２０に一時的に記憶される。

まず、ユーザＩＤが「０００１」のレコードについては、ＮＧ提供先が「Ａモバイル」を含むため、判定部３２は、当該ユーザＩＤを通知対象ＩＤとして特定する。次に、ユーザＩＤが「０００２」のレコードについては、ＮＧ匿名レベルが「１００未満」であり、図４の符号３００１に示す利用状況と抵触するため、判定部３２は、当該ユーザＩＤを通知対象ＩＤとして特定する。また、ユーザＩＤが「０００５」のレコードについては、ＮＧ情報項目が「ＧＰＳ情報」を含むため、判定部３２は、当該ユーザＩＤを通知対象ＩＤとして特定する。一方、ユーザＩＤが「０００３」のレコードについては、「ＮＧ情報項目」、「ＮＧ匿名レベル」又は「ＮＧ提供先」のいずれも、図４の符号３００１に示す利用状況に抵触しないため、当該ユーザＩＤは通知対象ＩＤとして特定されない。

図３の説明に戻って、出力部３３は、一般ユーザに出力する情報を生成する処理部である。生成された情報は、図示しない通信部等を通じて、一般ユーザ端末３００に送信される。

出力部３３は、任意のタイミングで、又は一般ユーザから指示を受けて、図４に示す利用状況ＤＢ２１を参照して、匿名化データの利用状況を表示する画面を生成する。図７は、実施例１における匿名化データの利用状況を表示する画面の一例を示す図である。図７に示すように、出力部３３が生成する画面は、匿名化データの提供先、情報項目、匿名レベル及び提供日に関する表示を含む。なお、表示される項目のうち、出力先の一般ユーザのユーザ条件に該当するものがある場合は、表示画面において、当該項目をハイライト表示するような構成であってもよい。

また、出力部３３は、判定部３２の処理結果に基づいて、特定された通知対象ＩＤの一般ユーザに送信する画面を生成する。図８は、一般ユーザに対する匿名化データの利用状況の通知画面の一例を示す図である。図８に示すように、出力部３３は、ユーザ条件ＤＢ２２に記憶された条件に該当する匿名化データの利用状況があったことを通知する画面を生成する。なお、当該画面の情報は、通知対象ＩＤとして特定された「０００１」、「０００２」及び「０００５」の各ユーザＩＤに対応する一般ユーザ端末３００に対して送信される。図８の符号８００１及び８０１１に示す各ボタンについては、後に詳しく説明する。なお、通知の方法としては、例えばユーザ条件ＤＢ２２に記憶された電子メールアドレスに電子メールを送信する方法があるが、これに限られず、一般ユーザがプロバイダのサービスを利用中にポップアップ画面を表示させるような構成であってもよい。

［匿名化データ処理装置の機能構成］
次に、図３の説明に戻って、匿名化データ処理装置１００の機能構成について説明する。匿名化データ処理装置１００は、プロバイダＸが保有する匿名化データを、データ利用者に提供する処理を行うコンピュータである。図３に示されるように、匿名化データ処理装置１００は、記憶部１２０と、制御部１３０とを有する。なお、匿名化データ処理装置１００は、図３に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。

次に、匿名化データ処理装置１００の各機能ブロックについて説明する。記憶部１２０は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部１２０は、匿名化情報ＤＢ１２１を有する。また、記憶部１２０は、制御部１３０での処理に用いる各種情報を記憶する。

匿名化情報ＤＢ１２１は、プロバイダＸにおける匿名化データのデータ利用者への提供状況を記憶する。匿名化情報ＤＢ１２１は、利用状況ＤＢ２１と同様の情報を記憶するため、データ内容の詳細な説明は省略する。

制御部１３０は、例えば、ＣＰＵやＭＰＵ等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現されるようにしてもよい。

この制御部１３０は、提供部１３１を有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図３に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、提供部１３１は、プロセッサなどの電子回路の一例またはプロセッサなどが実行するプロセスの一例である。

提供部１３１は、データ利用者に提供するデータを生成し、送信する処理部である。具体的には、提供部１３１は、匿名化データを、データ利用者が要望する情報項目及び匿名レベルに従って加工し、例えば図示しない通信部等を通じて、データ利用者端末５００に送信する。また、提供部１３１は、当該加工された匿名化データの提供先、提供日、匿名レベル及び情報項目を、当該匿名化データが提供される都度、匿名化情報ＤＢ１２１に記憶する。

［管理サーバにおける処理の流れ］
次に、管理サーバ１０による処理の流れについて説明する。図９は、管理サーバによる処理の流れの一例を示すフローチャートである。まず、管理サーバ１０の取得部３１は、一般ユーザ端末３００から匿名化データの利用条件を取得し、ユーザ条件ＤＢ２２に記憶する（ステップＳ１０１）。

次に、取得部３１は、匿名化データ処理装置１００から匿名化データの利用状況を取得し、利用状況ＤＢ２１に記憶する（ステップＳ１１１）。次に、出力部３３は、例えば図７に示すような画面の情報を生成し、一般ユーザ端末３００に出力する（ステップＳ１２１）。

次に、判定部３２は、利用状況ＤＢ２１に記憶されたレコードと、ユーザ条件ＤＢ２２に記憶されたレコードとを比較し、利用状況がユーザ条件に該当するか否かを判定する（ステップＳ１３１）。利用状況がユーザ条件に該当する場合（ステップＳ１３３：Ｙｅｓ）、判定部３２は、当該条件に該当する一般ユーザを通知対象として特定する（ステップＳ１３５）。一方、利用状況がユーザ条件に該当しない場合（ステップＳ１３３：Ｎｏ）、ステップＳ１４１に移動する。

次に、判定部３２は、ユーザ条件ＤＢ２２に記憶された全てのユーザＩＤについて、判定処理を終了したか確認する（ステップＳ１４１）。まだ判定処理をしていないユーザＩＤがある場合（ステップＳ１４１：Ｎｏ）、ステップＳ１３１に戻って処理を続ける。一方、全てのユーザＩＤについて判定処理を終了した場合（ステップＳ１４１：Ｙｅｓ）、出力部３３は、例えば図８に示すような画面の情報を生成し、通知対象として特定された一般ユーザに送信して（ステップＳ１４３）、処理を終了する。

上で述べたような処理により、匿名化データの利用状況が動的に生成され、一般ユーザに提供されるため、一般ユーザは自身の情報の利用状況を容易に知ることができ、プロバイダもプライバシーポリシー等を都度更新するコストを軽減できる。また、生成される匿名化データの利用状況は、プライバシーポリシー等の文言のような定性的なものではなく、定量的に評価できるものである。このため、一般ユーザは、当該プロバイダにおける従前の匿名化データの利用状況との違いや、他のプロバイダの匿名化データの利用状況との違いも容易に把握することができる。

また、一般ユーザは、度々変化する匿名化データの利用状況のうち、条件に該当した場合、すなわち自分の意に反する利用状況となった場合にのみ通知を受けることができるため、自分の意に反する個人状況の利用があったことを容易に把握できる。一般ユーザの多くは、複数のプロバイダに対して個人情報を提供しており、さらにほとんど利用していなかったり、既に利用を終了していたりするサービスについても匿名化データの利用状況を監視しなければならない場合がある。実施例１に示すような構成によれば、一般ユーザは、有用な情報についてのみ適切に通知を受けられるため、匿名化データの利用状況の監視の負担を軽減できる。

実施例１においては、単一のプロバイダＸが、一般ユーザに対して、匿名化データの利用状況を開示する構成について説明したが、実施の形態はこれに限られない。例えば、匿名化データの利用状況の開示を受けた一般ユーザが、プロバイダＸに対して評価をしたり、情報の利用停止の申し出をしたりできるような構成であってもよい。また、単一のプロバイダＸに限らず、複数のプロバイダにおける匿名化データの利用状況をまとめて開示するような構成であってもよい。そこで、実施例２においては、匿名化データプラットフォームが、複数のプロバイダにおける匿名化データの利用状況をまとめて開示し、一般ユーザからプロバイダの評価や利用停止の申し出を受ける構成について説明する。なお、以下の説明では、プラットフォームをＰＦと省略して示す。

図１０は、実施例２におけるシステムの全体構成の一例を示す模式図である。図１０に示すように、匿名化データＰＦは、複数のプロバイダから個人情報の提供を受けて匿名化処理を行い、生成された匿名化データを、プロバイダによる指示に従ってデータ利用者に流通させる。なお、個人情報の匿名化処理、及び匿名化データの流通処理を、各プロバイダ、又はその他の第三者が実行するような構成であってもよい。

図１０においては、プロバイダＸ及びプロバイダＹの２者が存在する例を示したが、実施例はこれに限られず、プロバイダが３者以上存在するような構成であってもよい。また、図１０においては一般ユーザ及びデータ利用者がそれぞれ３者である例を示したが、実施例はこれに限られず、一般ユーザ及びデータ利用者を４者以上有するような構成であってもよい。

また、匿名化データＰＦは、各プロバイダにおける匿名化処理における加工度、並びに流通させる匿名化データに含まれる項目及び流通させる提供先に関する情報を含む匿名化データの利用状況を、プロバイダの一般ユーザに対して開示する。その際、匿名化データＰＦは、複数のプロバイダにおける匿名化データの加工度及び利用状況を、相互に比較できるような態様で開示してもよい。

また、匿名化データＰＦは、一般ユーザから匿名化データの加工度及び利用状況に関する条件の設定を受け付け、条件に該当する匿名化データの利用があった場合に一般ユーザに通知する。さらに、匿名化データＰＦは、匿名化データの利用に対する、一般ユーザによる評価や、匿名化データの利用停止（オプトアウト）の申し立てを受け付ける。

また、匿名化データＰＦは、オプトアウトの申し出を受けた一般ユーザから、プロバイダ変更の申し出を受けた場合、プロバイダＸが保有する個人情報データを、プロバイダＹに移管することをプロバイダＸに対して促すような構成であってもよい。

次に、本実施例におけるシステムの機能構成について説明する。図１１は、実施例２におけるシステムの一例を示す機能ブロック図である。図１１に示すように、本実施例におけるシステムは、匿名化データＰＦ２００と、複数のプロバイダのサーバ６００ａ及び６００ｂとを有する。以下、プロバイダＸのサーバ６００ａ及びプロバイダＹのサーバ６００ｂを区別することなく総称する場合にプロバイダのサーバ６００と記載する。

匿名化データＰＦ２００とプロバイダのサーバ６００とは、ネットワークＮを通じて、一般ユーザ端末３００と相互に通信可能に接続される。また、匿名化データＰＦ２００は、ネットワークＮを通じて、データ利用者端末５００と相互に通信可能に接続される。かかるネットワークＮには、有線または無線を問わず、インターネットを始め、ＬＡＮやＶＰＮなどの任意の種類の通信網を採用できる。

［匿名化データＰＦの機能構成］
まず、匿名化データＰＦ２００の機能構成について説明する。図１１に示されるように、匿名化データＰＦ２００は、記憶部２２０と、制御部２３０とを有する。なお、匿名化データＰＦ２００は、図１１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。

次に、匿名化データＰＦ２００の各機能ブロックについて説明する。記憶部２２０は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部２２０は、利用状況ＤＢ２２１、ユーザ条件ＤＢ２２２、評価ＤＢ２２３、オプトアウトＤＢ２２４及び事故ＤＢ２２５を有する。また、記憶部２２０は、制御部２３０での処理に用いる各種情報を記憶する。

利用状況ＤＢ２２１は、各プロバイダにおける匿名化データのデータ利用者への提供状況を記憶する。図１２は、実施例２における利用状況ＤＢに記憶される情報の一例を示す図である。図１２の符号１２０１に示すように、利用状況ＤＢ２２１は、複数のプロバイダについて、図４に示すような利用状況を合わせて記憶する。例えば、図１２の符号１２１１は、「プロバイダＹ」における匿名化データの利用状況を示すレコードである。

図１１の説明に戻って、ユーザ条件ＤＢ２２２は、匿名化データの利用状況に関して、各プロバイダの一般ユーザにより設定された条件を記憶する。図１３は、実施例２におけるユーザ条件ＤＢに記憶される情報の一例を示す図である。図１３の符号１３０１に示すように、ユーザ条件ＤＢ２２２は、複数のプロバイダの一般ユーザのユーザ条件を合わせて記憶する。例えば、図１３の符号１３１１は、「プロバイダＹ」の一般ユーザのユーザ条件を示すレコードである。なお、ユーザ条件ＤＢ２２２についても、ユーザ条件ＤＢ２２と同様に、例えば図６に示すような画面において、一般ユーザから入力又は選択されたデータが記憶される。

図１１の説明に戻って、評価ＤＢ２２３は、匿名化データの利用状況に対する各プロバイダの一般ユーザの評価を記憶する。図１４は、評価ＤＢに記憶される情報の一例を示す図である。図１４に示すように、評価ＤＢ２２３は、プロバイダに対する評価を行った回答者数と、Ａ評価からＣ評価までの各評価をした回答者の数と、有識者による評価と、総合評価とを、プロバイダの名称に対応付けて記憶する。当該回答者の数は、後に説明する図１８に示すような画面において一般ユーザにより選択された評価に基づいて記憶される。また、評価ＤＢ２２３が、図１８に示すような画面において一般ユーザから入力されたプロバイダの評価に関するコメントをさらに記憶するような構成であってもよい。

図１１の説明に戻って、オプトアウトＤＢ２２４は、各プロバイダに対してオプトアウトの申し出をした一般ユーザの数を記憶する。図１５は、オプトアウトＤＢに記憶される情報の一例を示す図である。図１５に示すように、オプトアウトＤＢ２２４は、プロバイダに対してオプトアウトの申し出をした一般ユーザの数を、プロバイダの名称に対応付けて記憶する。オプトアウトの申し出をした一般ユーザの数は、例えば図８に示す画面の符号８０１１に示される「オプトアウトを希望する」ボタンを選択した一般ユーザの数を記憶する。なお、オプトアウトの申し出をした一般ユーザが、例えば後に説明する図１９に示す画面において、さらに他のプロバイダへの変更を希望した場合に、オプトアウトＤＢ２２４が、当該変更を希望した一般ユーザの数をさらに記憶するような構成であってもよい。

図１１の説明に戻って、事故ＤＢ２２５は、各プロバイダにおいて発生した個人情報に関する事故の情報を記憶する。図１６は、事故ＤＢに記憶される情報の一例を示す図である。図１６に示すように、事故ＤＢ２２５は、事故の発生日と、事故の発生元であるプロバイダ名と、事故内容と、事故の対象となった情報項目と、事故による情報の流出先とを、Ｎｏに対応付けて記憶する。

図１１の説明に戻って、制御部２３０は、例えば、ＣＰＵやＭＰＵ等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部２３０は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現されるようにしてもよい。

この制御部２３０は、匿名化処理部２３１と、判定部２３２と、出力部２３３と、フィードバック取得部２３４とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部２３０の内部構成は、図１１に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、匿名化処理部２３１、判定部２３２、出力部２３３及びフィードバック取得部２３４は、プロセッサなどの電子回路の一例またはプロセッサなどが実行するプロセスの一例である。

匿名化処理部２３１は、プロバイダから受け付けた個人情報データの匿名化処理を行い、生成された匿名化データをデータ利用者に向けて流通させる処理部である。匿名化処理部２３１は、プロバイダのサーバ６００から、匿名化処理の指示、匿名化データ流通の指示、及び匿名化処理に用いる個人情報の提供を受けて処理を行う。

匿名化処理部２３１は、匿名化処理を行ったとき、又は匿名化データをデータ利用者に提供したときに、当該匿名化データの加工度、匿名化データに含まれる情報項目、匿名化データの提供先及び提供された日を、利用状況ＤＢ２２１に記憶する。なお、個人情報の匿名化処理又は匿名化データの流通処理を、各プロバイダ又はその他の第三者が実行するような構成においては、匿名化処理部２３１は、当該処理を実行する者から、当該匿名化データの加工度等を取得し、利用状況ＤＢ２２１に記憶する。

判定部２３２は、匿名化データの利用状況が、予め設定されたユーザ条件に該当するか否かを判定する処理部である。判定部２３２は、利用状況ＤＢ２２１及びユーザ条件ＤＢ２２２からからレコードを読み込んで判定処理を行う。判定処理については、実施例１の判定部３２における処理と同様であるため、詳細な説明は省略する。

出力部２３３は、一般ユーザに出力する情報を生成する処理部である。生成された情報は、図示しない通信部等を通じて、一般ユーザ端末３００に送信される。

出力部２３３は、図１２に示す利用状況ＤＢ２２１を参照して、例えば図１７に示すような、匿名化データの利用状況を表示する画面を生成する。図１７は、実施例２における匿名化データの利用状況を表示する画面の一例を示す図である。図１７に示すように、出力部２３３が生成する画面は、図７に示すようなプロバイダＸの匿名化データの提供先、情報項目、匿名レベル及び提供日に関する表示に加えて、プロバイダＹに関する表示も含む。本実施例における画面の一例は、図１７の符号１７０１及び１７１１に示すようなボタンをさらに含む。

また、出力部２３３は、判定部２３２の処理結果に基づいて、特定された通知対象ＩＤの一般ユーザに送信する画面を生成する。送信される画面は、実施例１の図８と同様であるので、詳細な説明は省略する。

さらに、出力部２３３は、図１７の符号１７０１及び図８の符号８００１に示す「評価をつける」ボタンが選択された場合に、例えば図１８に示すような、プロバイダに対する評価の入力を当該一般ユーザに促す画面を生成する。図１８は、評価入力画面の一例を示す図である。図１８に示すように、評価入力画面は、符号１８０１のような評価を３段階から選択する欄と、符号１８１１のようなコメント入力欄とを含む。評価入力画面が、図１８に示すように、評価対象となるプロバイダＸ及び競合するプロバイダＹについて、一般ユーザ及び有識者による評価結果や、各プロバイダの事故情報をさらに含むような構成であってもよい。

図１８に示す画面を参照した一般ユーザが、プロバイダＸに対する評価を選択又は入力し、図１８の符号１８２１に示す「決定」ボタンを押すと、選択又は入力された評価が、一般ユーザ端末３００から匿名化データＰＦ２００に送信される。

また、出力部２３３は、図１７の符号１７１１及び図８の符号８０１１に示す「オプトアウトを希望する」ボタンが選択された場合に、例えば図１９に示すような、他のプロバイダを紹介する画面を生成する。

図１９は、代替プロバイダ紹介画面の一例を示す図である。図１９に示すように、代替プロバイダ紹介画面は、他のプロバイダＹについて、匿名加工情報の利用状況、一般ユーザ及び有識者からの評価等を、プロバイダＸに対するオプトアウト要求を送信した一般ユーザに提示する。

出力部２３３は、代替プロバイダとして、例えば、複数のプロバイダの中から、プロバイダＸ以外で最も評価が高いものを選択する。また、当該一般ユーザのユーザ条件と、プロバイダの利用状況とを参照し、ユーザ条件に違反する匿名化データの利用状況が最も少ないものを選択するような構成であってもよい。

なお、競合プロバイダへのサービスの乗り換えを促進するために、競合プロバイダから受け付けた広告等を図１９に示す画面に表示するような構成であってもよい。また、競合プロバイダとの比較に供するため、匿名化データの利用状況の比較だけでなく、プロバイダ間のサービス内容の比較を表示させるような構成であってもよい。

図１９に示すような画面を参照した一般ユーザが、図１９の符号１９０１に示す「プロバイダ変更を希望する」ボタンを押すと、一般ユーザ端末３００から匿名化データＰＦ２００に、当該一般ユーザがプロバイダの変更を希望する旨の情報が送信される。

フィードバック取得部２３４は、一般ユーザ端末３００から送信される匿名化データの利用条件、並びに評価及びオプトアウト要求を、図示しない通信部等を通じて受信する処理部である。

フィードバック取得部２３４は、図６に示されるような画面を通じて一般ユーザが選択又は入力した匿名化データの利用条件を受信し、ユーザ条件ＤＢ２２２に記憶する。

また、フィードバック取得部２３４は、図１８に示されるような評価入力画面を通じて一般ユーザ端末３００からプロバイダの評価を受信すると、受信した評価を用いて評価ＤＢ２２３を更新する。

また、フィードバック取得部２３４は、一般ユーザ端末３００から、プロバイダに対するオプトアウト要求を受信すると、オプトアウトＤＢ２２４における当該プロバイダに対するオプトアウト希望者数を１増加させる。

さらに、フィードバック取得部２３４は、一般ユーザ端末３００から、プロバイダの変更を希望する旨の情報を受信すると、オプトアウトＤＢ２２４における当該プロバイダから変更対象プロバイダへの変更希望者数を１増加させる。

［プロバイダのサーバの機能構成］
次に、プロバイダＸのサーバ６００ａの機能構成について説明する。プロバイダＸのサーバ６００ａは、各プロバイダが保有する個人情報データを管理するコンピュータである。なお、プロバイダＹのサーバ６００ｂもプロバイダＸのサーバ６００ａと同様の機能を有するため、詳細な説明は省略する。

図１１に示されるように、プロバイダＸのサーバ６００ａは、記憶部６２０ａと、制御部６３０ａとを有する。なお、プロバイダＸのサーバ６００ａは、図１１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。

次に、プロバイダＸのサーバ６００ａの各機能ブロックについて説明する。記憶部６２０ａは、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部６２０ａは、個人情報ＤＢ６２１ａを有する。また、記憶部６２０ａは、制御部６３０ａでの処理に用いる各種情報を記憶する。

個人情報ＤＢ６２１ａは、一般ユーザから提供された個人情報データを記憶する。個人情報ＤＢ６２１ａは、例えば図２の符号２００１に示すようなデータを記憶する。

制御部６３０ａは、例えば、ＣＰＵやＭＰＵ等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部６３０ａは、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現されるようにしてもよい。

この制御部６３０ａは、提供部６３１ａを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部６３０ａの内部構成は、図１１に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、提供部６３１ａは、プロセッサなどの電子回路の一例またはプロセッサなどが実行するプロセスの一例である。

提供部６３１ａは、匿名化データＰＦ２００に、データ利用者への匿名化データの提供の指示を送信し、匿名化処理に用いる個人情報を提供する処理部である。具体的には、提供部６３１ａは、提供する匿名化データに含める項目、提供する対象となるデータ利用者及び匿名レベルを、例えば図示しない通信部等を通じて、匿名化データＰＦ２００に送信する。また、提供部６３１ａは、個人情報ＤＢ６２１ａから匿名化処理に用いる個人情報データを読み出し、匿名化データＰＦ２００に提供する。

［匿名化データＰＦにおける処理の流れ］
次に、匿名化データＰＦ２００による処理の流れについて説明する。図２０は、匿名化データＰＦにおける処理の流れの一例を示すフローチャートである。まず、匿名化データＰＦ２００の匿名化処理部２３１は、各プロバイダについて、匿名化データの加工度、匿名化データの提供先、及び提供される匿名化データの項目を取得し、利用状況ＤＢ２２１に記憶する（ステップＳ２０１）。

次に、匿名化処理部２３１は、全てのプロバイダについて、匿名化データの加工度等を取得したか確認する（ステップＳ２１１）。まだ取得していないプロバイダがある場合（ステップＳ２１１：Ｎｏ）、ステップＳ２０１に戻って処理を続ける。

一方、全てのプロバイダについて取得を終了した場合（ステップＳ２１１：Ｙｅｓ）、出力部２３３は、利用状況ＤＢ２２１を参照し、例えば図１７に示すような画面の情報を生成し、一般ユーザ端末３００に出力する（ステップＳ２２１）。

次に、判定部２３２は、利用状況ＤＢ２２１に記憶されたレコードと、ユーザ条件ＤＢ２２２に記憶されたレコードとを比較し、各プロバイダの利用状況が、当該プロバイダの一般ユーザが指定したユーザ条件に該当するか否かを判定する（ステップＳ２３１）。利用状況がユーザ条件に該当する場合（ステップＳ２３３：Ｙｅｓ）、判定部２３２は、当該条件に該当する一般ユーザを通知対象として特定する（ステップＳ２３５）。一方、利用状況がユーザ条件に該当しない場合（ステップＳ２３３：Ｎｏ）、ステップＳ２４１に移動する。

次に、判定部２３２は、ユーザ条件ＤＢ２２２に記憶された全てのユーザＩＤについて、判定処理を終了したか確認する（ステップＳ２４１）。まだ判定処理をしていないユーザＩＤがある場合（ステップＳ２４１：Ｎｏ）、ステップＳ２３１に戻って処理を続ける。一方、全てのユーザＩＤについて判定処理を終了した場合（ステップＳ２４１：Ｙｅｓ）出力部２３３は、例えば図８に示すような画面の情報を生成し、通知対象として特定された一般ユーザに送信して（ステップＳ２４３）、処理を終了する。

次に、一般ユーザ端末からフィードバックを受信した場合における、匿名化データＰＦ２００による処理の流れについて説明する。図２１は、匿名化データＰＦにおける処理の流れの別の一例を示すフローチャートである。まず、匿名化データＰＦ２００のフィードバック取得部２３４は、一般ユーザ端末３００からフィードバックを取得するまで待機する（ステップＳ３０１：Ｎｏ）。

一般ユーザ端末３００からフィードバックを取得した場合（ステップＳ３０１：Ｙｅｓ）、当該フィードバックがプロバイダに対する評価要求であるかを判断する（ステップＳ３１１）。プロバイダに対する評価要求を受信した場合（ステップＳ３１１：Ｙｅｓ）、出力部２３３は、例えば図１８に示すような評価入力画面を生成し、一般ユーザ端末３００に送信する（ステップＳ３２１）。その後、一般ユーザ端末３００から評価を受信するまで待機する（ステップＳ３２３：Ｎｏ）。

一般ユーザ端末３００から評価を受信した場合（ステップＳ３２３：Ｙｅｓ）、フィードバック取得部２３４は、受信した評価を用いて評価ＤＢ２２３を更新し（ステップＳ３２５）、処理を終了する。

一方、一般ユーザ端末３００からオプトアウト要求を受信した場合（ステップＳ３１１：Ｎｏ）、フィードバック取得部２３４は、オプトアウトＤＢ２２４を更新する（ステップＳ３３１）。次に、出力部２３３は、例えば図１９に示すような代替プロバイダ紹介画面を生成し、一般ユーザ端末３００に送信し（ステップＳ３３３）、一般ユーザ端末３００からプロバイダ変更要求を受信するまで待機する（ステップＳ３３５：Ｎｏ）。

一般ユーザ端末３００からプロバイダ変更要求を受信した場合（ステップＳ３３５：Ｙｅｓ）、フィードバック取得部２３４は、オプトアウトＤＢ２２４を更新し（ステップＳ３３７）、処理を終了する。

上で述べたような処理により、一般ユーザは、意に反する個人情報の利用があった場合に、プロバイダに対して苦情を申し入れることが容易にできるようになる。また、プロバイダは、匿名化データの利用状況の変化による一般ユーザの反応を容易に把握できることで、一般ユーザの反応を考慮して、匿名化データの利用状況を柔軟に変更できるようになる。

さらに、一般ユーザは、意に反する個人情報の利用があった場合に、他のプロバイダのサービスとの比較や、他のプロバイダのサービスへ乗り換える手続きが容易にできるようになる。また、プロバイダも、一般ユーザからのオプトアウトの申し出への対応を簡素化することができる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。例えば、図９、図２０及び図２１に示す各処理は、上記の順番に限定されるものではなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。

また、本実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

上で述べた各実施例においては、個人情報について実施する例として説明したが、適用範囲はこれに限られず、例えば企業等の法人に関する情報など、当該情報に該当する対象を特定されることを抑制したいその他の情報について実施してもよい。

実施例１において、管理サーバ１０と匿名化データ処理装置１００とが別個のコンピュータにより実装される例を図３で示したが、１つのコンピュータにより２つの機能が実装されるような構成であってもよい。

なお、実施例２において、図１９の符号１９０１に示す「プロバイダ変更を希望する」ボタンを一般ユーザが選択した場合、匿名化データＰＦ２００が、プロバイダＸからプロバイダＹに個人情報を移管するような構成であってもよい。かかる構成において、匿名化データＰＦ２００は、一般ユーザから個人情報の移管に関する同意を取得し、プロバイダＸから当該一般ユーザの個人情報を取得して、プロバイダＹに提供する。

また、図１０においては、各プロバイダが一般ユーザから直接個人情報の提供を受ける構成を示したが、各プロバイダの代わりに、匿名化データＰＦ２００が一般ユーザから個人情報の提供を受けるような構成であってもよい。かかる構成によれば、一般ユーザが他のプロバイダへの乗り換えを希望する際に、匿名化データＰＦ２００が他のプロバイダへの個人情報の移管を容易に行うことができる。

また、各実施例においては、匿名化データの加工度としてｋ−匿名レベルを用いる例を説明したが、匿名化データの加工度はこれに限られず、ｌ−多様性やｔ−近接性などのその他のレベルを用いてもよい。

［システム］
また、図示した装置の各構成は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、任意の単位で分散または統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

更に、各装置で行われる各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部又は任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行するプログラム上、又はワイヤードロジックによるハードウェア上で、その全部又は任意の一部を実行するようにしてもよい。

上記管理サーバ１０及び匿名化データ処理装置１００、並びに匿名化データＰＦ２００は、例えば、図２２に示すコンピュータ２０００のようなハードウェア構成により実現することができる。図２２は、ハードウェア構成の一例を示す図である。図２２に示すように、コンピュータ２０００は、プロセッサ２００１と、メモリ２００２と、ＩＦ２００３を有する。

プロセッサ２００１の一例としては、ＣＰＵ、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）等が挙げられる。また、メモリ２００２の一例としては、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）等のＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等が挙げられる。

そして、上記管理サーバ１０及び匿名化データ処理装置１００、並びに匿名化データＰＦ２００で行われる各種処理機能は、不揮発性記憶媒体などの各種メモリに格納されたプログラムを制御装置が備えるプロセッサで実行することによって実現してもよい。すなわち、取得部３１、判定部３２及び出力部３３によって実行される各処理に対応するプログラムがメモリ２００２に記録され、各プログラムがプロセッサ２００１で実行されてもよい。また、匿名化処理部２３１、判定部２３２、出力部２３３、フィードバック取得部２３４、及び提供部１３１によって実行される各処理に対応するプログラムがメモリ２００２に記録され、各プログラムがプロセッサ２００１で実行されてもよい。

１０ 管理サーバ
１００ 匿名化データ処理装置
２００ 匿名化データＰＦ
３００ 一般ユーザ端末
５００ データ利用者端末
６００ａ、６００ｂ プロバイダのサーバ
２０、１２０、２２０、６２０ 記憶部
２１、２２１ 利用状況ＤＢ
２２、２２２ ユーザ条件ＤＢ
１２１ 匿名化情報ＤＢ
２２３ 評価ＤＢ
２２４ オプトアウトＤＢ
２２５ 事故ＤＢ
６２１ 個人情報ＤＢ
３０、１３０、２３０、６３０ 制御部
３１ 取得部
３２、２３２ 判定部
３３、２３３ 出力部
１３１、６３１ 提供部
２３１ 匿名化処理部
２３４ フィードバック取得部

Claims (8)

1. コンピュータが、
   個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する処理と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する処理と、
   前記匿名化データの利用状況の判定結果に対する前記個人の評価、又は前記個人による前記匿名化データの利用停止要求を取得する処理と
   を実行することを特徴とする判定方法。
2. コンピュータが、
   個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する処理と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する処理と、
   前記個人情報を抽象化して第２の匿名化データに加工する際に基準とした、加工に関する第２の加工情報を取得する処理と、
   前記匿名化条件と、前記第２の加工情報とに基づいて、前記第２の匿名化データの利用状況を判定する処理と、
   前記第２の匿名化データの利用状況が前記匿名化条件を満たすと判定された場合に、前記第２の匿名化データの提供元であるサービス提供者に関する情報を出力する処理と
   を実行することを特徴とする判定方法。
3. 前記取得する処理は、前記匿名化データのｋ−匿名レベル、前記匿名化データの提供先、及び前記匿名化データに含まれる項目を取得し、
   前記判定する処理は、当該匿名化データが前記匿名化条件で定められる提供先に提供される場合、当該提供される匿名化データが前記匿名化条件で定められる項目を含む場合、又は前記ｋ−匿名レベルが前記匿名化条件で定められるｋ−匿名レベル未満である場合に、前記匿名化データの利用状況が、前記匿名化条件を満たさないと判定することを特徴とする請求項１又は２に記載の判定方法。
4. 前記匿名化条件として、前記ｋ−匿名レベル、前記匿名化データの提供先、及び前記匿名化データに含まれる項目の入力を前記個人から受け付ける処理をさらに実行する請求項３に記載の判定方法。
5. 個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する第１取得部と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する判定部と、
   前記匿名化データの利用状況の判定結果に対する前記個人の評価、又は前記個人による前記匿名化データの利用停止要求を取得する第２取得部と
   を有することを特徴とする判定装置。
6. 個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する第１取得部と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する第１判定部と、
   前記個人情報を抽象化して第２の匿名化データに加工する際に基準とした、加工に関する第２の加工情報を取得する第２取得部と、
   前記匿名化条件と、前記第２の加工情報とに基づいて、前記第２の匿名化データの利用状況を判定する第２判定部と、
   前記第２の匿名化データの利用状況が前記匿名化条件を満たすと判定された場合に、前記第２の匿名化データの提供元であるサービス提供者に関する情報を出力する出力部と
   を有することを特徴とする判定装置。
7. コンピュータに、
   個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する処理と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する処理と、
   前記匿名化データの利用状況の判定結果に対する前記個人の評価、又は前記個人による前記匿名化データの利用停止要求を取得する処理と
   を実行させることを特徴とする判定プログラム。
8. コンピュータに、
   個人から提供された個人情報が匿名化された匿名化データについて、前記個人情報を抽象化して前記匿名化データに加工する際に基準とした、加工に関する加工情報を取得する処理と、
   前記個人が前記個人情報の提供先に対して許諾した、前記個人情報の匿名化に関する匿名化条件と、前記加工情報とに基づいて、前記匿名化データの利用状況を判定する処理と、
   前記個人情報を抽象化して第２の匿名化データに加工する際に基準とした、加工に関する第２の加工情報を取得する処理と、
   前記匿名化条件と、前記第２の加工情報とに基づいて、前記第２の匿名化データの利用状況を判定する処理と、
   前記第２の匿名化データの利用状況が前記匿名化条件を満たすと判定された場合に、前記第２の匿名化データの提供元であるサービス提供者に関する情報を出力する処理と
   を実行させることを特徴とする判定プログラム。

Images