JPWO2020183726A1 - 個人情報管理システム、個人情報管理装置、および個人情報管理方法 - Google Patents

Abstract

個人情報管理システムは、ブロックごとにトランザクションおよび当該トランザクションを特定するトランザクションＩＤを含むブロックチェーンが記憶されているブロックチェーンサーバと、前記ブロックチェーンサーバにアクセス可能な個人情報管理装置と、を有する。前記個人情報管理装置が、個人を特定する第１個人情報に付随する前記個人の第２個人情報を、前記ブロックチェーンサーバからからの第１トランザクションＩＤに関連付けて格納し、前記ブロックチェーンサーバが、第１トランザクションＩＤを生成し、前記第１個人情報に基づく変換データおよび前記第１トランザクションＩＤを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する。

Description

本発明は、個人情報を管理する個人情報管理システム、個人情報管理装置、および個人情報管理方法に関する。

下記特許文献１には、「購買者と仲介者との間の信用保証の手続における各段階の情報を格納したブロック、及び前記仲介者と販売者との間の信用保証の手続における各段階の情報を格納したブロックをブロックチェーンにより管理する」という記載がある。

特開２０１８‐１２４９２４号公報

特許文献１の取引管理装置は、売買取引における購買者、販売者、仲介者の信用保証の手続きの各段階の情報をブロックチェーンにより管理する。しかしながら、ブロックチェーンは、格納した情報を削除できない。

本発明は、不正の確認が可能で、かつ、個人情報の削除が可能にすることを目的とする。

本願において開示される発明の一側面となる個人情報管理システムは、ブロックごとにトランザクションおよび当該トランザクションを特定するトランザクションＩＤを含むブロックチェーンが記憶されているブロックチェーンサーバと、前記ブロックチェーンサーバにアクセス可能な個人情報管理装置と、を有する個人情報管理システムであって、前記個人情報管理装置が、個人を特定する第１個人情報に付随する前記個人の第２個人情報を、前記ブロックチェーンサーバからの第１トランザクションＩＤに関連付けて格納し、前記ブロックチェーンサーバが、前記第１トランザクションＩＤを生成し、前記第１個人情報に基づく第１変換データおよび前記第１トランザクションＩＤを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、ことを特徴とする。

本発明の代表的な実施の形態によれば、不正の確認が可能で、かつ、個人情報の削除が可能にすることができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

図１は、個人情報管理システムのシステム構成例を示す説明図である。 図２は、コンピュータのハードウェア構成例を示すブロック図である。 図３は、業務処理サーバの機能的構成例を示すブロック図である。 図４は、ブロックチェーンサーバの機能的構成例を示すブロック図である。 図５は、監査結果のブロック生成例を示す説明図である。 図６は、監査結果を含むブロックのデータ構造例を示す説明図である。 図７は、個人情報登録の際の証跡ブロック生成処理例を示す説明図である。 図８は、証跡を含むブロックのデータ構造例を示す説明図である。 図９は、付随情報の登録依頼画面例を示す説明図である。 図１０は、登録失敗画面例を示す説明図である。 図１１は、登録成功画面例を示す説明図である。 図１２は、証跡ブロックの登録確認処理例を示す説明図である。 図１３は、登録確認依頼画面例を示す説明図である。 図１４は、登録確認結果表示画面例を示す説明図である。 図１５は、付随情報削除の際の証跡ブロック生成処理例を示す説明図である。 図１６は、付随情報の削除依頼画面例を示す説明図である。 図１７は、削除失敗画面例を示す説明図である。 図１８は、削除成功画面例を示す説明図である。

以下、添付図面を用いて、ブロックチェーン（以下、「ＢＣ」と称す場合がある）技術を用いた個人情報管理システム、個人情報管理装置、および個人情報管理方法について説明する。

＜個人情報管理システムのシステム構成例＞
図１は、個人情報管理システムのシステム構成例を示す説明図である。個人情報管理システム１００は、業務処理サーバ１０１と、ブロックチェーン認証サーバ１０２と、ブロックチェーンサーバ１０３と、端末１０４と、を有する。個人情報管理システム１００では、これらのコンピュータが、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのネットワーク１１０を介して通信可能に接続される。

業務処理サーバ１０１は、ネットワーク１１０を介して、業務処理サーバ１０１、ブロックチェーン認証サーバ１０２および端末１０４に対し、端末１０４のユーザの個人情報を含むトランザクションに関するデータを送受信することにより、所定の業務処理（たとえば、個人情報管理処理）を実行する個人情報管理装置である。

個人情報は、個人情報メタデータと、付随情報と、を含む。個人情報メタデータとは、個人の氏名、生年月日、性別、住民票コード、マイナンバー、電話番号、被保険者番号、パスポート番号、運転免許証番号など、個人を一意に特定可能な不変な情報である。

付随情報は、たとえば、行動履歴や購買履歴など個人情報メタデータに付随する情報であり、それ自身では、誰の情報かは特定できない情報である。付随情報は、種別と、種別で指定されたデータと、の組み合わせである。たとえば、『電力使用量の２０１８年１１月分が２００［ｋＷｈ］』であれば、「電力使用量」および「２０１８年１１月分」が種別に該当し、「２００［ｋＷｈ］」がデータに該当する。種別の個数は、本例のように２個でもよいが、１個でもよく、また、３個以上に細分化されてもよい。

トランザクションとは、ある業務における取引であり、たとえば、現金の入出金、決済、およびこれらの確認、各種監査、交通機関や宿泊施設、娯楽施設の予約、ＥＣサイトでの商品購入のほか、本実施例では、個人の電力使用量における支払や確認、個人情報や監査結果などのデータの取得や登録、変更、削除（ただし、ブロックチェーンを構成するブロックの変更や削除は不可）を含む。トランザクションに関するデータとは、トランザクションの対象になったデータまたはそのハッシュ値である。なお、以下の説明では、トランザクションに関するデータを単に「トランザクション」と表記する場合がある（図６および図８を参照。）。

ブロックチェーン認証サーバ１０２は、ブロックチェーンサーバ１０３を認証するサーバである。すなわち、ブロックチェーン認証サーバ１０２によって認証されたサーバが、ブロックチェーンサーバ１０３としてブロックチェーンを生成することができる。業務処理サーバ１０１およびブロックチェーン認証サーバ１０２は、情報銀行１１１が保有するサーバである。情報銀行１１１は、個人からの委託を受けてその個人情報の管理とデータ分析者１１４への提供（有償）を行う事業者である。情報銀行１１１は、収益の一部を個人情報の委託元である個人に還元する。

ブロックチェーンサーバ１０３は、業務処理サーバ１０１からの情報を用いてブロックチェーンを生成する。ブロックチェーンサーバ１０３は、たとえば、決済銀行１１２、監査企業１１３、データ分析者１１４が保有するサーバである。決済銀行１１２は、情報銀行１１１における個人情報取引で発生する決済処理を担う。たとえば、決済銀行１１２は、情報銀行１１１からデータ分析者１１４への個人情報の売買取引や情報銀行１１１から個人への収益の還元を決済する。監査企業１１３は、情報銀行１１１がおこなう個人情報に関する業務を監査する。データ分析者１１４は、情報銀行１１１で管理する個人情報を分析用途で活用する。たとえば、データ分析者１１４は、情報銀行１１１から提供された個人情報を用いて、電力消費の傾向、商品の売れ行き、あるエリアでの混雑度の予測など、様々な分析をおこなう。

端末１０４は、個人情報の委託元の個人が保有するコンピュータである。端末１０４は、たとえば、パーソナルコンピュータ、スマートフォン、タブレットを含む。

＜コンピュータのハードウェア構成例＞
図２は、コンピュータ（図１に示した業務処理サーバ１０１、ブロックチェーン認証サーバ１０２、ブロックチェーンサーバ１０３、および端末１０４の総称）のハードウェア構成例を示すブロック図である。コンピュータ２００は、プロセッサ２０１と、記憶デバイス２０２と、入力デバイス２０３と、出力デバイス２０４と、通信インタフェース（通信ＩＦ）２０５と、を有する。プロセッサ２０１、記憶デバイス２０２、入力デバイス２０３、出力デバイス２０４、および通信ＩＦ２０５は、バス２０６により接続される。プロセッサ２０１は、コンピュータ２００を制御する。記憶デバイス２０２は、プロセッサ２０１の作業エリアとなる。また、記憶デバイス２０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。記憶デバイス２０２としては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。入力デバイス２０３は、データを入力する。入力デバイス２０３としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナがある。出力デバイス２０４は、データを出力する。出力デバイス２０４としては、たとえば、ディスプレイ、プリンタがある。通信ＩＦ２０５は、ネットワーク１１０と接続し、データを送受信する。

＜業務処理サーバ１０１の機能的構成例＞
図３は、業務処理サーバ１０１の機能的構成例を示すブロック図である。業務処理サーバ１０１は、第１通信処理部３０１と、第１データ処理部３０２と、操作ログ取得処理部３０３と、ハッシュ値生成処理部３０４と、個人情報管理部３０５と、を有する。第１通信処理部３０１、第１データ処理部３０２、操作ログ取得処理部３０３、およびハッシュ値生成処理部３０４は、具体的には、たとえば、それぞれ、図２に示した記憶デバイス２０２に記憶されたプログラム（実行ファイル）をプロセッサ２０１に実行させることにより実現される機能である。個人情報管理部３０５は、図２に示した記憶デバイス２０２によって実現される機能である。

第１通信処理部３０１は、実行ファイルにより第１通信処理を実行する。第１通信処理とは、ネットワーク１１０を介して、ブロックチェーン認証サーバ１０２、ブロックチェーンサーバ１０３および端末１０４とトランザクションに関するデータを送受信する処理である。

第１データ処理部３０２は、実行ファイルにより第１データ処理を実行する。第１データ処理とは、たとえば、個人情報管理部３０５へのデータの格納、個人情報管理部３０５データからのデータの読出し、個人情報管理部３０５内のデータの削除、暗号化、復号、圧縮、伸張、画像処理、自然言語処理、および複数のデータの関連付けを実行する処理である。具体的には、たとえば、第１データ処理部３０２は、監査や個人情報に関するデータについて第１データ処理を実行したり、アクセス先となるブロックチェーンサーバ１０３を呼び出したりする。

操作ログ取得処理部３０３は、実行ファイルにより操作ログ取得処理を実行する。操作ログ取得処理とは、操作ログを取得する処理である。操作ログとは、端末１０４または業務処理サーバ１０１が、どのデータについてどのようなデータ処理をいつしたかといった操作履歴を示すデータである。

ハッシュ値生成処理部３０４は、実行ファイルによりハッシュ値生成処理を実行する。ハッシュ値生成処理とは、ハッシュ関数にデータを入力してハッシュ値を出力する処理である。なお、ハッシュ関数への入力データは、業務処理サーバ１０１の第１データ処理部３０２、操作ログ取得処理部３０３、およびハッシュ値生成処理部３０４の各実行ファイルのうち少なくとも１つでよい。また、実行ファイル全体ではなく、その中の特定のバイナリコードでもよい。ハッシュ関数への入力データとなる実行ファイルまたは特定のバイナリコードはあらかじめ指定されるため、「指定実行ファイル」と称す。

個人情報管理部３０５は、個人情報に関するデータを管理する記憶領域である。個人情報管理部３０５は、ユーザごとに存在し、当該ユーザの個人情報メタデータを含む。したがって、あるユーザの個人情報管理部３０５に格納されたデータは、そのユーザの個人情報メタデータに関連付けられる。なお、個人情報管理部３０５は、個人情報に関するデータ以外のデータを記憶してもよい。

＜ブロックチェーンサーバ１０３の機能的構成例＞
図４は、ブロックチェーンサーバ１０３の機能的構成例を示すブロック図である。ブロックチェーンサーバ１０３は、第２通信処理部４０１と、第２データ処理部４０２と、照合部４０３と、ＴｘＩＤ生成部４０４と、ブロック生成部４０５と、ＢＣ記憶部４０６と、を有する。第２通信処理部４０１、第２データ処理部４０２、照合部４０３、ＴｘＩＤ生成部４０４、およびブロック生成部４０５は、具体的には、たとえば、それぞれ、図２に示した記憶デバイス２０２に記憶されたプログラムをプロセッサ２０１に実行させることにより実現される機能である。ＢＣ記憶部４０６は、図２に示した記憶デバイス２０２によって実現される機能である。

第２通信処理部４０１は、第２通信処理を実行する。第２通信処理とは、ネットワーク１１０を介して、業務処理サーバ１０１、ブロックチェーン認証サーバ１０２および端末１０４とデータを送受信する処理である。

第２データ処理部４０２は、第２データ処理を実行する。第２データ処理とは、たとえば、ＢＣ記憶部４０６へのデータの格納、ＢＣ記憶部４０６からのデータの読出し、ＢＣ記憶部４０６内のデータの変更や削除（ただし、ブロックチェーンを構成するブロックの変更や削除は不可）、暗号化、復号、圧縮、伸張、および検索である。また、第２データ処理部４０２は、アクセス先の呼び出しを実行してもよい。

具体的には、たとえば、第２データ処理部４０２は、業務処理サーバ１０１からのデータや個人情報に関する証跡について第２データ処理を実行する。

照合部４０３は、２つのデータを照合する処理を実行する。照合対象となるデータは、たとえば、過去に業務処理サーバ１０１から受信された実行ファイルのハッシュ値と、その後あらたに業務処理サーバ１０１から受信された実行ファイルのハッシュ値である。両ハッシュ値を照合することにより、業務処理サーバ１０１が不正な処理を実行していないことを確認することができる。

ＴｘＩＤ生成部４０４は、トランザクションＩＤ（以下、ＴｘＩＤと称する場合がある）を生成する処理を実行する。トランザクションＩＤは、トランザクションを一意に特定する識別情報であり、ブロックチェーンを構成するブロックに対応する。

ブロック生成部４０５は、ブロックチェーンを構成するブロックを生成し、ブロックチェーンに関連付けることで、ブロックチェーンを更新する。本実施例では、１つのブロックに１つのトランザクションに関するデータが格納される。ブロックのデータ構造については図６で後述する。

ＢＣ記憶部４０６は、ブロックチェーンを格納する記憶領域である。ＢＣ記憶部４０６は、ブロックチェーン以外のデータを記憶してもよい。

＜監査結果のブロック生成例＞
図５は、監査結果のブロック生成例を示す説明図である。図５は、たとえば、監査企業１１３が個人情報の管理主体に対して監査を実施した後、監査結果をブロックチェーンサーバ１０３で管理する際のブロック生成例を示す。個人情報の管理主体には、たとえば、業務処理サーバ１０１を運用する情報銀行１１１である。なお、個人情報の管理主体に対する監査としては、一般的な監査に加え、業務処理サーバ１０１の第１データ処理部３０２、操作ログ取得処理部３０３、およびハッシュ値生成処理部３０４が不正な処理を実行していないかチェックし、指定実行ファイルをハッシュ関数に入力して得られたハッシュ値を出力する。

また、ブロックチェーン認証サーバ１０２で認証された各ブロックチェーンサーバ１０３は、対象となる特定の個人情報について、先頭ブロックＢＬ０のみのブロックチェーン５００を有する。先頭ブロックＢＬ０は、このブロックチェーン５００が特定の個人情報に関するブロックチェーンであることを示す。

まず、業務処理サーバ１０１は、監査報告書（電子データ）５０１を取得する（ステップＳ１）。業務処理サーバ１０１は、第１データ処理部３０２により、監査報告書５０１の取得（ステップＳ１）を契機にして、指定実行ファイルを読み出して、ハッシュ値生成処理部３０４により、指定実行ファイルのハッシュ値５０２を生成する（ステップＳ２）。監査報告書５０１と指定実行ファイルのハッシュ値５０２との組み合わせを、監査結果５０３とする。そして、業務処理サーバ１０１は、第１通信処理部３０１により、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３に監査結果５０３を送信する（ステップＳ３）。

ブロックチェーンサーバ１０３は、第２通信処理部４０１により監査結果５０３を受信すると、ＴｘＩＤ生成部４０４により、トランザクションＩＤ５０４を生成する（ステップＳ４）。ここでは、生成されたトランザクションＩＤ５０４の値を便宜的に例として「００１」とする。なお、このトランザクションＩＤ５０４は、他のブロックチェーンサーバ１０３で生成されるトランザクションＩＤ５０４でも同一の値とする。

また、ブロックチェーンサーバ１０３は、ブロック生成部４０５により、受信した監査結果５０３と生成したトランザクションＩＤ５０４とを関連付けたブロックＢＬ１を生成し、先頭ブロックＢＬ０に関連付けることで、ブロックチェーン５００を最新の状態に更新する。この場合、生成したブロックＢＬ１は、先頭ブロックＢＬ０にチェーンＣ０１で関連付けられるものとする。チェーンＣ０１は、たとえば、当該先頭ブロックＢＬ０のハッシュ値を、ブロックＢＬ１に含めることで実現される。

ブロックチェーンサーバ１０３は、ブロックＢＬ１の生成後、第２通信処理部４０１により、トランザクションＩＤ５０４を業務処理サーバ１０１に送信する（ステップＳ６）。そして、業務処理サーバ１０１は、第１通信処理部３０１により、トランザクションＩＤ５０４を受信して、第１データ処理部３０２により永続化、すなわち、当該トランザクションＩＤ５０４と保持している監査結果５０３とを関連付けて、個人情報管理部３０５に格納する（ステップＳ７）。

なお、業務処理サーバ１０１は、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３から同一のトランザクションＩＤ５０４を受信することになるが、いずれか１つのトランザクションＩＤ５０４を監査結果５０３に関連付ければよい。このいずれか１つのトランザクションＩＤ５０４とは、当該全ブロックチェーンサーバ１０３からのトランザクションＩＤ５０４のいずれかでもよく、先着のトランザクションＩＤ５０４でもよく、最後に到着したトランザクションＩＤ５０４でもよい。

先着のトランザクションＩＤ５０４であれば、永続化（ステップＳ７）の早期実行を図ることができる。また、最後に到着したトランザクションＩＤ５０４であれば、当該ブロックチェーンサーバ１０３でトランザクションＩＤ５０４が生成されたことを確認することができる。

＜監査結果５０３を含むブロックＢＬ１のデータ構造例＞
図６は、監査結果５０３を含むブロックＢＬ１のデータ構造例を示す説明図である。ブロックＢＬ１に限らず、ブロックＢＬＮ（Ｎは０以上の整数）は、データ大区分６０１として、ヘッダ６１１とトランザクション６１２とにより構成される。ヘッダは、データ小区分６０２として、ブロックＩＤ６２１と、Ｎトランザクションハッシュ値６２２と、Ｎ−１ブロックハッシュ値６２３（ただし、先頭ブロックＢＬ０は含まず）と、を含む。ただし、先頭ブロックＢＬ０はＮ−１ブロックハッシュ値６２３を含まない。トランザクション６１２は、トランザクションＩＤ５０４と監査結果５０３とを含む。データ内容６０３は、データ小区分６０２の具体例を示す。

ブロックＩＤ６２１は、ブロックＢＬＮを一意に特定する識別情報である。ブロックＩＤ６２１は、たとえば、８ケタの半角数字である。ブロックＩＤ６２１は、たとえば、ブロックＢＬＮの生成順を示す。図６では、ブロックＩＤ６２１は、ブロックＢＬ１のブロックＩＤとなる。

Ｎトランザクションハッシュ値６２２とは、Ｎ（Ｎは０以上の整数）番目のブロック内のトランザクション６１２をハッシュ関数に与えた場合に出力されるハッシュ値である。Ｎトランザクションハッシュ値６２２は、たとえば、１６ケタの半角英数字である。ブロックＩＤ６２１が生成順であれば、ＮはブロックＩＤ６２１でもよい。この場合、ブロックチェーンの先頭ブロックＢＬ０をＮ＝０とする。図６では、ブロックＢＬ１のブロック番号ＮをＮ＝１とする。このため、Ｎトランザクションハッシュ値６２２は、ブロックＢＬ１のトランザクション６１２、すなわち、トランザクションＩＤ５０４および監査結果５０３を連結したデータのハッシュ値となる。

Ｎ−１ブロックハッシュ値６２３は、Ｎ−１番目、すなわち、１つ前に生成されたブロックＢＬＮ−１をハッシュ関数に与えた場合に出力されるハッシュ値である。Ｎ−１ブロックハッシュ値６２３は、たとえば、１６ケタの半角英数字である。Ｎ−１ブロックハッシュ値６２３をヘッダに含めることで、１つ前に生成されたブロックＢＬＮ−１と関連付けることができる。図６では、Ｎ−１ブロックハッシュ値６２３は、先頭ブロックＢＬ０のハッシュ値となるため、ブロックＢＬ１は先頭ブロックＢＬ０と関連付けられる。

なお、Ｎ−１ブロックハッシュ値６２３に替えて、Ｎ−１トランザクションハッシュ値でもよい。Ｎ−１トランザクションハッシュ値は、Ｎ−１番目、すなわち、１つ前に生成されたブロックＢＬＮ−１内のトランザクション６１２をハッシュ関数に与えた場合に出力されるハッシュ値である。図６では、Ｎ−１トランザクションハッシュ値は、先頭ブロックＢＬ０内のトランザクション６１２のハッシュ値となる。

＜証跡ブロック生成処理例＞
図７は、個人情報登録の際の証跡ブロック生成処理例を示す説明図である。証跡ブロックとは、証跡をトランザクションに含むブロックであり、本例では、ブロックＢＬＮ（Ｎ≦２）が証跡ブロックに該当する。なお、当該証跡ブロック生成処理の前提として、あらかじめユーザとなる個人と情報銀行１１１との間でそのユーザの個人情報を第三者に渡すという取り決めが締結されており、その個人の端末１０４から業務処理サーバ１０１へアクセス可能なパスが存在するものとする。すなわち、業務処理サーバ１０１は、当該個人用のページを開設しているものとする。

図７では、先頭ブロックＢＬ０（不図示）とブロックＢＬ１とにより構成されているブロックチェーン５００に、あらたに、ブロックＢＬ２を追加する場合の例を示す。また、本実施例では、ユーザは業務処理サーバ１０１に個人情報７００を提供するが、業務処理サーバ１０１は、個人情報７００のうち個人情報メタデータ７０１のハッシュ値７０３をブロックチェーンサーバ１０３に管理させ、付随情報７０２を業務処理サーバ１０１自身で管理する。したがって、業務処理サーバ１０１は、付随情報７０２を登録する場合、ブロックチェーンサーバ１０３でブロックチェーン５００に付随情報７０２の登録に関する証跡を登録することができる。

業務処理サーバ１０１は、第１通信処理部３０１により、端末１０４から当該端末１０４のユーザの個人情報７００を取得する（ステップＳ１０）。上述したように、個人情報７００は、個人情報メタデータ７０１と、付随情報７０２と、を含む。個人情報７００は、端末１０４に表示された登録依頼画面９００（後述する図９を参照）に入力され、端末１０４から業務処理サーバ１０１に送信される。

つぎに、業務処理サーバ１０１は、ハッシュ値生成処理部３０４により、個人情報メタデータ７０１をハッシュ関数に与えて個人情報メタデータ７０１のハッシュ値７０３を生成する（ステップＳ１１）。そして、業務処理サーバ１０１は、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３にハッシュ値７０３を送信する（ステップＳ１２）。

また、業務処理サーバ１０１は、個人情報７００のうち付随情報７０２を永続化、すなわち、個人情報管理部３０５に格納する（ステップＳ１３）。つぎに、業務処理サーバ１０１は、操作ログ取得処理部３０３により、たとえば、付随情報７０２を永続化（ステップＳ１３）するまでの操作ログ７０４を取得し（ステップＳ１４）、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３に操作ログ７０４を送信する（ステップＳ１５）。

また、業務処理サーバ１０１は、第１データ処理部３０２により、個人情報７００の取得（ステップＳ１０）を契機にして、指定実行ファイルを読み出して、ハッシュ値生成処理部３０４により、指定実行ファイルのハッシュ値７０５を生成する（ステップＳ１６）。そして、業務処理サーバ１０１は、第１通信処理部３０１により、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３にハッシュ値７０５を送信する（ステップＳ１７）。

ブロックチェーンサーバ１０３は、第２通信処理部４０１によりハッシュ値７０５を受信すると、第２データ処理部４０２により、ＢＣ記憶部４０６に記憶されているブロックＢＬ１から、監査結果５０３に含まれていた指定実行ファイルのハッシュ値５０２を読み出す（ステップＳ２０）。

そして、ブロックチェーンサーバ１０３は、照合部４０３により、両ハッシュ値７０５，５０２を照合、すなわち、両ハッシュ値７０５，５０２が一致するか否かを判定する（ステップＳ２１）。不一致であれば、照合しないため新規ブロックＢＬ２を生成せずに終了する。この場合、ブロックチェーンサーバ１０３は、業務処理サーバ１０１を介して端末１０４に登録失敗を通知することになる。

一方、一致した場合、ブロックチェーンサーバ１０３は、ＴｘＩＤ生成部４０４により、トランザクションＩＤ７０６を生成する（ステップＳ２２）。ここでは、生成されたトランザクションＩＤ７０６の値を例として「００２」とする。なお、このトランザクションＩＤ７０６は、他のブロックチェーンサーバ１０３で生成されるトランザクションＩＤ７０６でも同一の値とする。

つぎに、ブロックチェーンサーバ１０３は、ブロック生成部４０５により、ブロックＢＬ２を生成し、ブロックＢＬ１に関連付けることでブロックチェーン５００を更新する（ステップＳ２３）。ブロックＢＬ２は、個人情報メタデータ７０１のハッシュ値７０３と、操作ログ７０４と、指定実行ファイルのハッシュ値７０５とを証跡７０７とし、トランザクションＩＤ７０６とともにトランザクション６１２に含む。ブロックＢＬ２は、１つ前に生成されたブロックＢＬ１にチェーンＣ１２で関連付けられる。チェーンＣ１２は、ブロックＢＬ２のヘッダに含まれるＮ−１ブロックハッシュ値６２３、すなわち、ブロックＢＬ１のハッシュ値で実現される。

また、ブロックチェーンサーバ１０３は、第２通信処理部４０１により、トランザクションＩＤ７０６を業務処理サーバ１０１に送信する（ステップＳ２４）。なお、ブロックチェーンサーバ１０３は、ブロックチェーン５００の更新後にトランザクションＩＤ７０６を業務処理サーバ１０１に送信するように設定することで、ブロックチェーン５００の更新が完了したことを保証することができる。

このあと、業務処理サーバ１０１は、第１通信処理部３０１により、ブロックチェーンサーバ１０３からトランザクションＩＤ７０６を受信して、受信したトランザクションＩＤ７０６および個人情報メタデータ７０１のハッシュ値７０３を端末１０４に通知する（ステップＳ１８）。これにより、ユーザは、証跡７０７の登録が成功したことを確認することができる。

また、業務処理サーバ１０１は、第１データ処理部３０２により、受信したトランザクションＩＤ７０６を永続化（ステップＳ１３）された付随情報７０２に関連付けて、個人情報管理部３０５に格納する（ステップＳ１９）。これにより、付随情報７０２はブロックＢＬ２に関連付けられ、かつ、証跡７０７とは分離して、業務処理サーバ１０１内で管理される。

なお、業務処理サーバ１０１が、付随情報７０２を変更する場合、変更後の付随情報７０２を新規な付随情報７０２とすることにより、上述したように、変更後の付随情報７０２もあらたなトランザクションＩＤと関連付けて管理することができる。

＜証跡７０７を含むブロックＢＬＮ（Ｎ≦２）のデータ構造例＞
図８は、証跡７０７を含むブロックＢＬＮ（Ｎ≦２）のデータ構造例を示す説明図である。図８では、Ｎ＝２を例に挙げて説明する。図６と同一構成には同一符号を付しその説明を省略する。Ｎトランザクションハッシュ値６２２は、ブロックＢＬ２のトランザクション６１２、すなわち、トランザクションＩＤ７０６および証跡７０７を連結したデータのハッシュ値となる。Ｎ−１ブロックハッシュ値６２３は、ブロックＢＬ１のハッシュ値となる。

＜登録依頼画面例＞
図９は、付随情報７０２の登録依頼画面例を示す説明図である。登録依頼画面９００は、業務処理サーバ１０１が開設した個人のページであり、業務処理サーバ１０１にログインした個人の端末１０４のディスプレイ（出力デバイス２０４の一例）に表示される。登録依頼画面９００は、個人情報表示領域９０１と、種別項目選択プルダウン９０２と、対象年月選択プルダウン９０３と、データ入力領域９０４と、開示範囲選択プルダウン９０５と、送信ボタン９０６と、を含む。

個人情報表示領域９０１は、業務処理サーバ１０１にログインしたユーザの個人情報メタデータ７０１を表示する領域である。種別項目選択プルダウン９０２は、たとえば、「電力使用量」のように、付随情報７０２の種別項目を選択するためのプルダウンである。

対象年月選択プルダウン９０３は、たとえば、「２０１８年１１月分」のように、ブロックチェーンサーバ１０３への登録の対象となる種別項目「電力使用量」の年月を選択するためのプルダウンである。データ入力領域９０４は、たとえば、「２００ｋＷｈ」のように、種別（種別項目「電力使用量」と対象年月「２０１８年１１月分」の組み合わせ）における数値データを入力するための領域である。

開示範囲選択プルダウン９０５は、付随情報７０２の開示範囲を選択するためのプルダウンである。開示範囲の対象は、データ分析者１１４である。たとえば、「全データ分析者」であれば、情報銀行１１１は、この登録依頼画面９００に入力された付随情報７０２を、業務処理サーバ１０１に登録された全データ分析者１１４に開示可能となる。また、「指定したデータ分析者」であれば、情報銀行１１１は、この登録依頼画面９００に入力された付随情報７０２を、業務処理サーバ１０１に登録された全データ分析者１１４のうち、当該ユーザが指定したデータ分析者１１４にのみ開示可能となる。

個人情報表示領域９０１に表示された情報が、当該ユーザの個人情報メタデータ７０１である。種別項目選択プルダウン９０２、対象年月選択プルダウン９０３、およびデータ入力領域９０４で選択および入力された情報が、当該ユーザの付随情報７０２になる。この個人情報メタデータ７０１および付随情報７０２の組み合わせが当該ユーザの個人情報７００になる。

送信ボタン９０６は、当該ユーザの個人情報７００を業務処理サーバ１０１に送信するためのボタンである。端末１０４の操作により送信ボタン９０６が押下されることで、端末１０４から業務処理サーバ１０１に個人情報７００が送信される。これにより、業務処理サーバ１０１は、図７に示したように、個人情報７００を取得することができる（ステップＳ１０）。

＜登録失敗画面例＞
図１０は、登録失敗画面例を示す説明図である。登録失敗画面１０００は、たとえば、図７のステップＳ２１において、ブロックチェーンサーバ１０３が、両ハッシュ値７０５，５０２が不一致であると判定し、かつ、業務処理サーバ１０１を介して端末１０４に登録失敗の通知を送信した場合に、端末１０４のディスプレイに表示される画面である。

登録失敗画面１０００は、ユーザ情報表示領域１００１と、通知内容表示領域１００２と、問合せ先表示領域１００３と、を含む。ユーザ情報表示領域１００１は、ログイン中など、ユーザの現在の状況を表示する領域である。通知内容表示領域１００２は、ブロックチェーンサーバ１０３からの通知内容を表示する領域である。図１０は登録失敗画面１０００であるため、通知内容は、登録失敗を示す文字列１０２０になる。

問合せ先表示領域１００３は、通知内容に対する問合せ先のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を表示する領域である。たとえば、問合せ先が監査企業１１３であれば、問合せ先のＵＲＬは、監査企業１１３のブロックチェーンサーバ１０３へのＵＲＬとなる。ＵＲＬにはハイパーリンク１０３０が埋め込まれており、ハイパーリンク１０３０を指定することにより、監査企業１１３に情報銀行１１１の臨時監査を依頼するページにアクセスすることができる。これにより、透明化された処理が実現可能となる。
＜登録成功画面例＞
図１１は、登録成功画面例を示す説明図である。図１０と同一構成には同一符号を付しその説明を省略する。登録成功画面１１００は、たとえば、図７のステップＳ１８において、業務処理サーバ１０１が、トランザクションＩＤ７０６および個人情報メタデータ７０１のハッシュ値７０３を端末１０４に通知した場合に、端末１０４のディスプレイに表示される画面である。図１１は、登録成功画面１１００であるため、通知内容は、登録成功を示す文字列１１２０と、個人情報メタデータ７０１のハッシュ値７０３と、トランザクションＩＤ７０６と、を含む。

＜証跡ブロックの登録確認処理例＞
図１２は、証跡ブロックの登録確認処理例を示す説明図である。図１２は、証跡ブロックを登録したユーザが、その証跡ブロックが登録済みであるか否かを確認するための処理を示す。なお、図１２に示すブロックチェーン５００は、図７での更新後の状態、すなあち、先頭ブロックＢＬ０（不図示）と、証跡ブロックであるブロックＢＬ１、ＢＬ２とにより構成されているものとする。

まず、端末１０４は、証跡ブロックの登録確認依頼を、ハイパーリンク１０３０で特定される問合せ先のブロックチェーンサーバ１０３に送信する（ステップＳ３０）。問合せ先のブロックチェーンサーバ１０３で管理されているブロックチェーン５００は、決済銀行１１２、監査企業１１３、データ分析者１１４など他のブロックチェーンサーバ１０３のブロックチェーン５００と同じ情報である。したがって、どのブロックチェーンサーバ１０３に登録確認依頼を送信しても問題ない。

登録確認依頼には、個人情報メタデータ７０１のハッシュ値７０３またはトランザクションＩＤ７０６のいずれかが含まれる。個人情報メタデータ７０１のハッシュ値７０３が含まれている場合には、トランザクション６１２に個人情報メタデータ７０１のハッシュ値７０３が含まれている証跡ブロックが、登録確認の対象ブロックとなる。また、トランザクションＩＤ７０６が含まれている場合には、トランザクション６１２にトランザクションＩＤ７０６が含まれている証跡ブロックが、登録確認の対象ブロックとなる。

また、個人情報メタデータ７０１のハッシュ値７０３またはトランザクションＩＤ７０６のいずれを登録確認依頼に含めるかは、あらかじめ設定されていてもよく、登録確認依頼の送信時に、ユーザが選択してもよい。以下、登録確認依頼に含まれる個人情報メタデータ７０１のハッシュ値７０３またはトランザクションＩＤ７０６のいずれかを、「登録確認データ」と称す。

ブロックチェーンサーバ１０３は、第２通信処理部４０１により、登録確認依頼を受信すると、第２データ処理部４０２により、登録確認依頼に含まれている登録確認データを用いてブロックチェーン５００を検索する（ステップＳ４０）。図１２の例では、ブロックＢＬ１は、監査結果５０３を含むブロック（監査結果ブロック）であるため、登録確認データが個人情報メタデータ７０１のハッシュ値７０３およびトランザクションＩＤ７０６のいずれであってもヒットしない。一方、ブロックＢＬ２は、証跡ブロックであり、個人情報メタデータ７０１のハッシュ値７０３およびトランザクションＩＤ７０６のいずれも含まれている。したがって、ブロックＢＬ２はヒットする。

そして、ブロックチェーンサーバ１０３は、第２通信処理部４０１により、ヒットしたブロックＢＬ２のトランザクション６１２を、登録確認依頼の送信元の端末１０４に通知する（ステップＳ４１）。これにより、端末１０４のユーザは、ブロックＢＬ２のトランザクション６１２を受信すると、ブロックＢＬ２のトランザクション６１２内の証跡７０７を確認することができる。

＜登録確認依頼画面例＞
図１３は、登録確認依頼画面例を示す説明図である。図１０と同一構成には同一符号を付しその説明を省略する。登録確認依頼画面１３００は、たとえば、図１０および図１１において、ハイパーリンク１０３０が指定された場合に、問合せ先のブロックチェーンサーバ１０３から送信されてくる情報に基づいて、端末１０４のディスプレイに表示される画面である。

登録確認依頼画面１３００は、ユーザ情報表示領域１００１と、登録確認データ入力領域１３０２と、送信ボタン１３０３と、を含む。登録確認データ入力領域１３０２は、個人情報メタデータ７０１のハッシュ値７０３またはトランザクションＩＤ７０６のいずれかが入力される領域である。送信ボタン１３０３は、登録確認データ入力領域１３０２に入力された登録確認データを含む登録確認依頼をブロックチェーンサーバ１０３に送信するためのボタンである。端末１０４の操作により送信ボタン１３０３が押下されることで、端末１０４からブロックチェーンサーバ１０３に、登録確認データ入力領域１３０２に入力された登録確認データを含む登録確認依頼が送信される（ステップＳ３０）。

＜登録確認結果表示画面例＞
図１４は、登録確認結果表示画面例を示す説明図である。図１０と同一構成には同一符号を付しその説明を省略する。登録確認結果表示画面１４００は、図１２のステップＳ４１で、ヒットしたブロックＢＬ２のトランザクション６１２を受信した場合に端末１０４のディスプレイに表示される画面である。登録確認結果表示画面１４００は、ユーザ情報表示領域１００１と、証跡表示領域１４０２と、を含む。証跡表示領域１４０２は、登録確認データ（図１４では、例としてトランザクションＩＤ７０６）と、操作ログ７０４と、を含む。これにより、ユーザは、登録確認データのトランザクションＩＤ７０６に関連付けられた業務処理サーバ１０１での付随情報７０２の登録処理を示す操作ログ７０４の内容を確認することができる。したがって、改ざん不能なブロックチェーンサーバ１０３で管理した証跡７０７を参照できるため、第三者による不正の確認が可能な付随情報７０２の取引が実現可能となる。

＜付随情報７０２削除の際の証跡ブロック生成処理例＞
図１５は、付随情報７０２削除の際の証跡ブロック生成処理例を示す説明図である。本実施例では、ユーザは業務処理サーバ１０１に個人情報７００を提供するが、業務処理サーバ１０１は、個人情報７００のうち個人情報メタデータ７０１のハッシュ値７０３をブロックチェーンサーバ１０３に管理させ、付随情報７０２を業務処理サーバ１０１自身で管理する。したがって、したがって、業務処理サーバ１０１は、付随情報７０２を登録する場合、ブロックチェーンサーバ１０３でブロックチェーン５００に付随情報７０２の削除に関する証跡７０７を登録することができる。

なお、図１５のブロックチェーン５００は、図７での更新後の状態、すなあち、先頭ブロックＢＬ０（不図示）と証跡ブロックであるブロックＢＬ１、ＢＬ２とにより構成されているものとする。

業務処理サーバ１０１は、第１通信処理部３０１により、端末１０４から当該端末１０４の削除依頼を受信して、削除対象となる付随情報７０２およびトランザクションＩＤの組み合わせを特定する（ステップＳ５０）。付随情報７０２を削除するパターンとしては、たとえば、（１）当該ユーザの任意の付随情報７０２を削除したい場合、（２）当該ユーザの全付随情報７０２を削除したい場合、（３）当該ユーザの任意の種別内の全付随情報７０２を削除したい場合がある。

削除パターン（１）の場合、削除依頼は、当該ユーザの個人情報メタデータ７０１および削除対象の付随情報７０２を含む。これにより、業務処理サーバ１０１は、当該個人情報メタデータ７０１を含む個人情報管理部３０５を特定し、特定した個人情報管理部３０５内に格納されている削除対象の付随情報７０２を特定し、特定した削除対象の付随情報７０２に関連付けられたトランザクションＩＤ７０６を一意に特定する。

削除パターン（２）の場合、削除依頼は、当該ユーザの個人情報メタデータ７０１を含む。これにより、業務処理サーバ１０１は、当該個人情報メタデータ７０１を含む個人情報管理部３０５を特定し、特定した個人情報管理部３０５内の全付随情報７０２の各々に関連付けられたトランザクションＩＤ群を一意に特定する。

削除パターン（３）の場合、削除依頼は、当該ユーザの個人情報メタデータ７０１および削除対象の付随情報７０２の種別を含む。これにより、業務処理サーバ１０１は、当該個人情報メタデータ７０１を含む個人情報管理部３０５を特定し、特定した個人情報管理部３０５内に格納されており、かつ、削除対象の付随情報７０２の種別を含む付随情報７０２を特定し、特定した付随情報７０２に関連付けられたトランザクションＩＤ７０６を一意に特定する。

そして、業務処理サーバ１０１は、特定した付随情報７０２およびトランザクションＩＤ７０６の組み合わせを当該ユーザの個人情報管理部３０５から削除する（ステップＳ５１）。図１５では、上記削除パターン（１）を例に挙げて説明する。

つぎに、業務処理サーバ１０１は、ハッシュ値生成処理部３０４により、個人情報メタデータ７０１をハッシュ関数に与えて個人情報メタデータ７０１のハッシュ値７０３を生成する（ステップＳ５２）。そして、業務処理サーバ１０１は、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３にハッシュ値７０３を送信する（ステップＳ５３）。

また、業務処理サーバ１０１は、操作ログ取得処理部３０３により、たとえば、付随情報７０２を削除（ステップＳ５１）するまでの操作ログ１５０１を取得し（ステップＳ５４）、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３に操作ログ１５０１を送信する（ステップＳ５５）。

また、業務処理サーバ１０１は、第１データ処理部３０２により、削除対象の特定（ステップＳ５０）を契機にして、指定実行ファイルを読み出して、ハッシュ値生成処理部３０４により、指定実行ファイルのハッシュ値１５０２を生成する（ステップＳ５６）。そして、業務処理サーバ１０１は、第１通信処理部３０１により、ブロックチェーン認証サーバ１０２で認証された全ブロックチェーンサーバ１０３に、ハッシュ値１５０２および削除対象の付随情報７０２に関連付けられているトランザクションＩＤ７０６を送信する（ステップＳ５７）。

ブロックチェーンサーバ１０３は、第２通信処理部４０１によりハッシュ値７０５を受信すると、第２データ処理部４０２により、ＢＣ記憶部４０６に記憶されている最新の証跡ブロックＢＬ２から、指定実行ファイルのハッシュ値７０５を読み出す（ステップＳ６０）。

そして、ブロックチェーンサーバ１０３は、照合部４０３により、両ハッシュ値１５０２，７０５を照合、すなわち、両ハッシュ値１５０２，７０５が一致するか否かを判定する（ステップＳ６１）。不一致であれば、照合しないため新規ブロックＢＬ３を生成せずに終了する。この場合、ブロックチェーンサーバ１０３は、業務処理サーバ１０１を介して端末１０４に削除失敗を通知することになる。この場合、削除失敗の通知を受けたユーザは、監査企業１１３に対し情報銀行１１１の監査を再度要求することになる。

一方、一致した場合、ブロックチェーンサーバ１０３は、ＴｘＩＤ生成部４０４により、トランザクションＩＤ１５０３を生成する（ステップＳ６２）。ここでは、生成されたトランザクションＩＤ１５０３の値を例として「００３」とする。なお、このトランザクションＩＤ１５０３は、他のブロックチェーンサーバ１０３で生成されるトランザクションＩＤ１５０３でも同一の値とする。

つぎに、ブロックチェーンサーバ１０３は、ブロック生成部４０５により、ブロックＢＬ３を生成し、ブロックＢＬ２に関連付けることでブロックチェーン５００を更新する（ステップＳ６３）。ブロックＢＬ３は、個人情報メタデータ７０１のハッシュ値７０３と、操作ログ１５０１と、指定実行ファイルのハッシュ値１５０２とを、証跡７０７とする。この証跡７０７とトランザクションＩＤ１５０３とは、ブロックＢＬ３のトランザクション６１２となる。

ブロックＢＬ３は、１つ前に生成されたブロックＢＬ２にチェーンＣ２３で関連付けられる。チェーンＣ２３は、ブロックＢＬ３のヘッダに含まれるＮ−１ブロックハッシュ値６２３、すなわち、ブロックＢＬ２のハッシュ値である。

また、ブロックチェーンサーバ１０３は、第２通信処理部４０１により、トランザクションＩＤ１５０３を業務処理サーバ１０１に送信する（ステップＳ６４）。なお、ブロックチェーンサーバ１０３は、ブロックチェーン５００の更新後にトランザクションＩＤ１５０３を業務処理サーバ１０１に送信するように設定することで、ブロックチェーン５００の更新が完了したことを保証することができる。

このあと、業務処理サーバ１０１は、第１通信処理部３０１により、ブロックチェーンサーバ１０３からトランザクションＩＤ１５０３を受信して、受信したトランザクションＩＤ１５０３および個人情報メタデータ７０１のハッシュ値７０３を端末１０４に通知する（ステップＳ５８）。これにより、ユーザは、付随情報７０２の削除に関する証跡７０７の登録が成功したことを確認することができる。

また、業務処理サーバ１０１は、第１データ処理部３０２により、受信したトランザクションＩＤ１５０３を、個人情報管理部３０５に格納する（ステップＳ５９）。トランザクションＩＤ１５０３は、付随情報７０２の削除に関する証跡７０７を特定する情報であるため、トランザクションＩＤ１５０３に関連付けられる付随情報７０２は存在しない。

また、図１５において、付随情報７０２およびトランザクションＩＤ７０６の削除（ステップＳ５１）⇒操作ログ取得（ステップＳ５４）⇒照合（ステップＳ６１）⇒証跡７０７のブロック化（ステップＳ６３）の処理順で説明したが、照合（ステップＳ６１）で不一致だった場合、付随情報７０２およびトランザクションＩＤ７０６が削除（ステップＳ５１）されたにもかかわらず、証跡７０７のブロック化（ステップＳ６３）ができないことになる。

このため、照合（ステップＳ６１）⇒付随情報７０２およびトランザクションＩＤ７０６の削除（ステップＳ５１）⇒操作ログ取得（ステップＳ５４）⇒証跡７０７のブロック化（ステップＳ６３）の処理順で実行すればよい。この場合、ブロックチェーンサーバ１０３は、照合結果を業務処理サーバ１０１に通知し、ハッシュ値１５０２、７０５が一致するという照合結果である場合に限り、業務処理サーバ１０１は、付随情報７０２およびトランザクションＩＤ７０６の削除（ステップＳ５１）を実行する。

これにより、照合（ステップＳ６１）で不一致だった場合でも、付随情報７０２およびトランザクションＩＤ７０６が削除（ステップＳ５１）されていない。したがって、付随情報７０２およびトランザクションＩＤ７０６が削除（ステップＳ５１）されたにもかかわらず、証跡７０７のブロック化（ステップＳ６３）ができないという状態を回避することができる。

図１６は、付随情報７０２の削除依頼画面例を示す説明図である。図９と同一構成には同一符号を付しその説明を省略する。削除依頼画面１６００は、図１５において、端末１０４が業務処理サーバ１０１への削除依頼を入力するために端末１０４のディスプレイに表示される画面である。

種別項目選択プルダウン９０２、対象年月選択プルダウン９０３、およびデータ入力領域９０４のいずれも選択および入力されて送信ボタン９０６が押下された場合、個人情報メタデータ７０１と、種別および数値からなる付随情報７０２と、を含む削除依頼が、業務処理サーバ１０１に送信される。この場合、業務処理サーバ１０１は、付随情報７０２およびトランザクションＩＤ７０６を削除対象に特定する（上述した削除パターン（１））。

種別項目選択プルダウン９０２、対象年月選択プルダウン９０３、およびデータ入力領域９０４のいずれも選択および入力されずに、送信ボタン９０６が押下された場合、個人情報メタデータ７０１を含む削除依頼が業務処理サーバ１０１に送信される。この場合、業務処理サーバ１０１は、個人情報メタデータ７０１を含む個人情報管理部３０５内の全付随情報７０２および関連するトランザクションＩＤ群を削除対象に特定する（上述した削除パターン（２））。

種別項目選択プルダウン９０２および対象年月選択プルダウン９０３のうち少なくとも１つが種別として選択され、かつ、データ入力領域９０４が入力されずに、送信ボタン９０６が押下された場合、個人情報メタデータ７０１と、選択種別のみからなる付随情報７０２と、を含む削除依頼が、業務処理サーバ１０１に送信される。この場合、業務処理サーバ１０１は、個人情報メタデータ７０１を含む個人情報管理部３０５内の選択種別に該当する全付随情報７０２および関連するトランザクションＩＤ群を削除対象に特定する（上述した削除パターン（３））。

＜削除失敗画面例＞
図１７は、削除失敗画面例を示す説明図である。図１０と同一構成には同一符号を付しその説明を省略する。削除失敗画面１７００は、たとえば、図１５のステップＳ６１において、ブロックチェーンサーバ１０３が、両ハッシュ値１５０２，７０５が不一致であると判定し、かつ、業務処理サーバ１０１を介して端末１０４に削除失敗の通知を送信した場合に、端末１０４のディスプレイに表示される画面である。図１７は削除失敗画面１７００であるため、通知内容は、削除失敗を示す文字列１７２０になる。

＜削除成功画面例＞
図１８は、削除成功画面例を示す説明図である。図１０と同一構成には同一符号を付しその説明を省略する。削除成功画面１８００は、たとえば、図１５のステップＳ６１において、ブロックチェーンサーバ１０３が、両ハッシュ値１５０２，７０５が不一致であると判定し、かつ、業務処理サーバ１０１を介して端末１０４に削除成功の通知を送信（ステップＳ５８）した場合に、端末１０４のディスプレイに表示される画面である。図１８は、削除成功画面１８００であるため、通知内容は、削除成功を示す文字列１８２０と、個人情報メタデータ７０１のハッシュ値７０３と、削除されたトランザクションＩＤ７０６と、を含む。

なお、付随情報７０２が削除されたかを確認したい場合には、図１３で説明したように、たとえば、図１６および図１７において、ハイパーリンク１０３０が指定された場合に、問合せ先のブロックチェーンサーバ１０３から送信されてくる情報に基づいて、端末１０４のディスプレイに、削除の確認画面を表示させてもよい。これにより、図１２に示した場合と同様の処理により、付随情報７０２の削除についても、ユーザは確認することができる。

なお、上述した実施例では、業務処理サーバ１０１は、ハッシュ値生成処理部３０４により、個人情報メタデータ７０１のハッシュ値７０３を生成したが、第１データ処理部３０２により、個人情報メタデータ７０１を暗号化したり、圧縮したりしてもよい。また、業務サーバは、個人情報メタデータ７０１をそのままブロックチェーンサーバ１０３に送信し、ブロックチェーンサーバ１０３が、個人情報メタデータ７０１を暗号化したり、圧縮したりしてもよい。これにより、ハッシュ値７０３同様、ブロック内で個人情報メタデータ７０１を平文のまま登録することを防止し、個人情報７００の保護を実現することができる。

また、ユーザから個人情報メタデータ７０１についてブロック内で平文のまま登録してもよいとの許可が得られている場合は、個人情報メタデータ７０１をハッシュ値に変換したり、暗号化や圧縮をせずに、ブロックチェーンサーバ１０３は、ブロック内で個人情報メタデータ７０１を平文のまま登録してもよい。

（１）以上説明したように、上述した個人情報管理システム１００は、ブロックＢＬＮごとにトランザクション６１２および当該トランザクション６１２を特定するトランザクションＩＤを含むブロックチェーン５００が記憶されているブロックチェーンサーバ１０３と、ブロックチェーンサーバ１０３にアクセス可能な業務処理サーバ１０１と、を有する。

業務処理サーバ１０１は、個人を特定する個人情報メタデータ７０１に付随する付随情報７０２を、ブロックチェーンサーバ１０３からのトランザクションＩＤ７０６に関連付けて格納する。ブロックチェーンサーバ１０３は、トランザクションＩＤ７０６を生成し、個人情報メタデータ７０１に基づくハッシュ値７０３およびトランザクションＩＤ７０６を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ７０６を業務処理サーバ１０１に送信する。

不正の確認が可能で、かつ、付随情報７０２の削除が可能にすることができる。したがって、個人情報７００に関する法令を満足することができる。たとえば、ＥＵ一般データ保護規則第１７条「忘れられる権利」を満たすことができる。

（２）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、付随情報７０２を格納した操作ログ７０４をブロックチェーンサーバ１０３に送信し、ブロックチェーンサーバ１０３は、業務処理サーバ１０１からの操作ログ７０４を受信すると、個人情報メタデータ７０１に基づくハッシュ値７０３、トランザクションＩＤ７０６および操作ログ７０４を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ７０６を業務処理サーバ１０１に送信してもよい。

これにより、個人情報の管理主体である情報銀行１１１で実施した個人情報取扱としての格納処理に関する操作ログ７０４が、ブロックチェーン５００にて改ざん不能な状態で管理される。また、第三者による不正の確認を行える個人情報取引を実現でき、かつ、付随情報７０２は削除可能な状態で管理される。したがって、個人情報７００に関する法令を満足することができる。

（３）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、個人情報メタデータ７０１に基づく第１変換データを生成して、ブロックチェーンサーバ１０３に送信する。ブロックチェーンサーバ１０３は、業務処理サーバ１０１から送信されてきた第１変換データおよびトランザクションＩＤ７０６を含む第１ブロックを生成してブロックチェーン５００に追加し、トランザクションＩＤ７０６を業務処理サーバ１０１に送信する。

これにより、個人情報メタデータ７０１を秘匿化してブロックチェーン５００に保存することができる。

（４）また、上記（３）の個人情報管理システム１００において、第１変換データは、個人情報メタデータ７０１のハッシュ値７０３である。これにより、ハッシュ値７０３が開示されても、個人情報メタデータ７０１の推測が不能となる。

（５）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、個人情報メタデータ７０１および付随情報７０２の少なくとも一方の情報についての個人情報管理処理（第１通信処理部３０１、第１データ処理部３０２、操作ログ取得処理部３０３、およびハッシュ値生成処理部３０４）の実行ファイルに基づくハッシュ値７０５をブロックチェーンサーバ１０３に送信する。

ブロックチェーンサーバ１０３は、業務処理サーバ１０１からのハッシュ値７０５を受信すると、ブロックチェーン５００のいずれかのブロックＢＬＮにすでに含まれているハッシュ値５０２と照合し、両ハッシュ値７０５，５０２が一致する場合、ハッシュ値７０３、トランザクションＩＤ７０６およびハッシュ値７０５を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ７０６を業務処理サーバ１０１に送信する。

（６）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、個人が使用する端末１０４にトランザクションＩＤ７０６および第１変換データ（ハッシュ値７０３）のうち少なくとも一方のデータを送信する。

これにより、ブロックチェーンサーバ１０３に対し、付随情報の登録の成否確認が可能になる。

（７）また、上記（１）の個人情報管理システム１００において、ブロックチェーンサーバ１０３は、個人が使用する端末１０４からのトランザクションＩＤ７０６に基づいてブロックチェーン５００からトランザクションＩＤ７０６を含むブロックを検索し、検索結果を端末１０４に送信する。

これにより、ユーザは、登録の成否を確認することができる。

（８）また、上記（１）の個人情報管理システム１００において、ブロックチェーンサーバ１０３は、個人が使用する端末１０４からの第１変換データ（ハッシュ値７０３）に基づいてブロックチェーン５００から第１変換データ（ハッシュ値７０３）を含むブロックＢＬ１を検索し、検索結果を端末１０４に送信する

これにより、ユーザは、任意の付随情報７０２についての登録の成否を確認することができる。

（９）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、付随情報７０２に関連付けられているトランザクションＩＤ７０６をブロックチェーンサーバ１０３に送信し、付随情報７０２およびトランザクションＩＤ７０６を削除し、ブロックチェーンサーバ１０３からのトランザクションＩＤ１５０３を格納し、ブロックチェーンサーバ１０３からのトランザクションＩＤ１５０３を格納する。ブロックチェーンサーバ１０３は、トランザクションＩＤ１５０３を生成し、第１変換データ（ハッシュ値７０３）およびトランザクションＩＤ１５０３を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ１５０３を業務処理サーバ１０１に送信する。

これにより、ユーザの任意の付随情報７０２を削除しつつ、ブロックチェーン５００に削除の証跡を追加することができるため、不正の確認が容易になる。

（１０）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、第１変換データ（ハッシュ値７０３）をブロックチェーンサーバ１０３に送信し、トランザクションＩＤ７０６に関連付けられている付随情報７０２を削除し、ブロックチェーンサーバ１０３からのトランザクションＩＤ１５０３を格納する。ブロックチェーンサーバ１０３は、トランザクションＩＤ１５０３を生成し、第１変換データ（ハッシュ値７０３）およびトランザクションＩＤ１５０３を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ１５０３を業務処理サーバ１０１に送信する。

これにより、ユーザの全付随情報７０２を削除しつつ、ブロックチェーン５００に削除の証跡を追加することができるため、不正の確認が容易になる。

（１１）また、上記（１）の個人情報管理システム１００において、業務処理サーバ１０１は、付随情報７０２の種別に基づいて、付随情報７０２の集合から種別に該当する付随情報７０２を特定し、特定された付随情報７０２に関連付けられているトランザクションＩＤ７０６を特定してブロックチェーンサーバ１０３に送信し、特定された付随情報７０２を付随情報７０２の集合から削除し、ブロックチェーンサーバ１０３からのトランザクションＩＤ１５０３を格納する。

ブロックチェーンサーバ１０３は、トランザクションＩＤ１５０３を生成し、第１変換データ（ハッシュ値７０３）およびトランザクションＩＤ１５０３を含むブロックＢＬ２を生成してブロックチェーン５００に追加し、トランザクションＩＤ１５０３を業務処理サーバ１０１に送信する。

これにより、種別単位でユーザの付随情報７０２を削除しつつ、ブロックチェーン５００に削除の証跡を追加することができるため、不正の確認が容易になる。

（１２）また、上記（９）の個人情報管理システム１００において、業務処理サーバ１０１は、個人が使用する端末１０４にトランザクションＩＤ１５０３を送信する。

これにより、種別単位でユーザの付随情報７０２を削除しつつ、ブロックチェーン５００に削除の証跡を追加することができるため、不正の確認が容易になる。

（１３）また、上記（１２）の個人情報管理システム１００において、ブロックチェーンサーバ１０３は、個人が使用する端末１０４からのトランザクションＩＤ１５０３に基づいてブロックチェーン５００からトランザクションＩＤ１５０３を含むブロックを検索し、検索結果を端末１０４に送信する。

これにより、ユーザは、任意の付随情報７０２についての削除の成否を確認することができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード、ＳＤカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Claims (15)

1. ブロックごとにトランザクションおよび当該トランザクションを特定するトランザクションＩＤを含むブロックチェーンが記憶されているブロックチェーンサーバと、前記ブロックチェーンサーバにアクセス可能な個人情報管理装置と、を有する個人情報管理システムであって、
   前記個人情報管理装置が、
   個人を特定する第１個人情報に付随する前記個人の第２個人情報を、前記ブロックチェーンサーバからの第１トランザクションＩＤに関連付けて格納し、
   前記ブロックチェーンサーバが、
   前記第１トランザクションＩＤを生成し、前記第１個人情報に基づく第１変換データおよび前記第１トランザクションＩＤを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、
   ことを特徴とする個人情報管理システム。
2. 請求項１に記載の個人情報管理システムであって、
   前記個人情報管理装置が、
   前記第２個人情報についての個人情報管理処理に関するログを前記ブロックチェーンサーバに送信し、
   前記ブロックチェーンサーバが、
   前記個人情報管理装置からの前記ログを受信すると、前記第１変換データ、前記第１トランザクションＩＤおよび前記ログを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、
   ことを特徴とする個人情報管理システム。
3. 請求項１に記載の個人情報管理システムであって、
   前記個人情報管理装置が、
   前記第１個人情報に基づく前記第１変換データを生成して、前記ブロックチェーンサーバに送信し、
   前記ブロックチェーンサーバが、
   前記個人情報管理装置から送信されてきた前記第１変換データおよび前記第１トランザクションＩＤを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、
   ことを特徴とする個人情報管理システム。
4. 請求項３に記載の個人情報管理システムであって、
   前記第１変換データは、前記第１個人情報のハッシュ値である、
   ことを特徴とする個人情報管理システム。
5. 請求項１に記載の個人情報管理システムであって、
   前記個人情報管理装置が、
   前記第１個人情報および第２個人情報の少なくとも一方の情報についての個人情報管理処理の実行ファイルに基づく第２変換データを前記ブロックチェーンサーバに送信し、
   前記ブロックチェーンサーバが、
   前記個人情報管理装置からの前記第２変換データを受信すると、前記ブロックチェーンのいずれかのブロックにすでに含まれている第２変換データと照合し、両第２変換データが一致する場合、前記第１変換データ、前記第１トランザクションＩＤおよび前記第２変換データを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、
   ことを特徴とする個人情報管理システム。
6. 請求項１に記載の個人情報管理システムであって、
   前記個人情報管理装置が、
   前記個人が使用する端末に前記第１トランザクションＩＤおよび前記第１変換データのうち少なくとも一方のデータを送信する、
   ことを特徴とする個人情報管理システム。
7. 請求項１に記載の個人情報管理システムであって、
   前記ブロックチェーンサーバが、
   前記個人が使用する端末からの前記第１トランザクションＩＤに基づいて前記ブロックチェーンから前記第１トランザクションＩＤを含むブロックを検索し、検索結果を前記端末に送信する、
   ことを特徴とする個人情報管理システム。
8. 請求項１に記載の個人情報管理システムであって、
   前記ブロックチェーンサーバが、
   前記個人が使用する端末からの前記第１変換データに基づいて前記ブロックチェーンから前記第１変換データを含むブロックを検索し、検索結果を前記端末に送信する、
   ことを特徴とする個人情報管理システム。
9. 請求項１に記載の個人情報管理システムであって、
   前記個人情報管理装置が、
   前記第２個人情報に関連付けられている前記第１トランザクションＩＤを前記ブロックチェーンサーバに送信し、前記第２個人情報および前記第１トランザクションＩＤを削除し、前記ブロックチェーンサーバからの第２トランザクションＩＤを格納し、
   前記ブロックチェーンサーバが、
   前記第２トランザクションＩＤを生成し、前記第１変換データおよび前記第２トランザクションＩＤを含む第２ブロックを生成して前記ブロックチェーンに追加し、前記第２トランザクションＩＤを前記個人情報管理装置に送信する、
   ことを特徴とする個人情報管理システム。
10. 請求項１に記載の個人情報管理システムであって、
    前記個人情報管理装置が、
    前記第１変換データを前記ブロックチェーンサーバに送信し、前記第１トランザクションＩＤに関連付けられている前記第２個人情報を削除し、前記ブロックチェーンサーバからの第２トランザクションＩＤを格納し、
    前記ブロックチェーンサーバが、
    前記第２トランザクションＩＤを生成し、前記第１変換データおよび前記第２トランザクションＩＤを含む第２ブロックを生成して前記ブロックチェーンに追加し、前記第２トランザクションＩＤを前記個人情報管理装置に送信する、
    ことを特徴とする個人情報管理システム。
11. 請求項１に記載の個人情報管理システムであって、
    前記個人情報管理装置が、
    前記第２個人情報の種別に基づいて、前記第２個人情報の集合から前記種別に該当する第２個人情報を特定し、特定された前記第２個人情報に関連付けられている前記第１トランザクションＩＤを特定して前記ブロックチェーンサーバに送信し、前記特定された前記第２個人情報を前記第２個人情報の集合から削除し、前記ブロックチェーンサーバからの第２トランザクションＩＤを格納し、
    前記ブロックチェーンサーバが、
    前記第２トランザクションＩＤを生成し、前記第１変換データおよび前記第２トランザクションＩＤを含む第２ブロックを生成して前記ブロックチェーンに追加し、前記第２トランザクションＩＤを前記個人情報管理装置に送信する、
    ことを特徴とする個人情報管理システム。
12. 請求項９に記載の個人情報管理システムであって、
    前記個人情報管理装置が、
    前記個人が使用する端末に前記第２トランザクションＩＤを送信する、
    ことを特徴とする個人情報管理システム。
13. 請求項１２に記載の個人情報管理システムであって、
    前記ブロックチェーンサーバが、
    前記個人が使用する端末からの前記第２トランザクションＩＤに基づいて前記ブロックチェーンから前記第２トランザクションＩＤを含むブロックを検索し、検索結果を前記端末に送信する、
    ことを特徴とする個人情報管理システム。
14. ブロックごとにトランザクションおよび当該トランザクションを特定するトランザクションＩＤを含むブロックチェーンが記憶されているブロックチェーンサーバにアクセス可能な個人情報管理装置であって、
    プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、前記ブロックチェーンサーバと通信する通信インタフェースと、を有し、
    前記プロセッサは、
    個人を特定する第１個人情報に基づく変換データを生成して前記ブロックチェーンサーバに送信し、
    前記変換データを前記ブロックチェーンサーバに送信した結果、前記ブロックチェーンサーバから第１トランザクションＩＤを受信し、
    前記第１個人情報に付随する前記個人の第２個人情報を、前記ブロックチェーンサーバからの前記第１トランザクションＩＤに関連付けて前記記憶デバイスに格納する、
    ことを特徴とする個人情報管理装置。
15. ブロックごとにトランザクションおよび当該トランザクションを特定するトランザクションＩＤを含むブロックチェーンが記憶されているブロックチェーンサーバと、前記ブロックチェーンサーバにアクセス可能な個人情報管理装置と、を有する個人情報管理システムが実行する個人情報管理方法であって、
    前記個人情報管理装置が、
    個人を特定する第１個人情報に付随する前記個人の第２個人情報を、前記ブロックチェーンサーバからからの第１トランザクションＩＤに関連付けて格納し、
    前記ブロックチェーンサーバが、
    第１トランザクションＩＤを生成し、前記第１個人情報に基づく変換データおよび前記第１トランザクションＩＤを含む第１ブロックを生成して前記ブロックチェーンに追加し、前記第１トランザクションＩＤを前記個人情報管理装置に送信する、
    ことを特徴とする個人情報管理方法。

Images