JP2003271782A

JP2003271782A - 個人情報管理システム

Info

Publication number: JP2003271782A
Application number: JP2002070653A
Authority: JP
Inventors: Sakae Shimamura; 栄島村; Satoru Fujita; 悟藤田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2002-03-14
Filing date: 2002-03-14
Publication date: 2003-09-26

Abstract

(57)【要約】【課題】情報の漏洩や喪失に対する高い安全性を持
ち、負荷の集中によるサービス品質の低下を防ぐことの
できる個人情報管理システムを提供すること。【解決手段】ユーザの個人情報を分割によって断片化
させた状態でネットワーク１上の複数のデータ格納端末
２０に格納することで個人情報の機密性を保持し、か
つ、情報の格納に関連した負荷を分散し、同時に、デー
タ喪失時の安全性を確保する。更に、個人情報管理端末
４０やサービス提供端末３０の夫々に対してユーザが許
可した項目の情報のみが開示されるように個人情報の各
項目を暗号化することで、システム外部や内部からのク
ラッキング等による情報漏洩を防止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク上に
設置される個人情報管理システムの改良に関する。

【０００２】

【従来の技術】ネットワーク上でユーザの個人情報を一
元管理して流通させるサービスとしては、既に、特開２
００１−５７７７号に開示されるような個人情報管理装
置や特開２００１−３４４１４３号に開示されるような
個人情報管理システム等が提案されている。

【０００３】このような個人情報管理サービスを用いて
住所，氏名，クレジットカード番号やウェブページのブ
ックマーク，個人のスケジュール情報等のユーザの個人
情報をサーバに格納しておくと、ユーザは、ネットワー
ク上のサービスで必要とされる個人情報を個人情報管理
サービスのインタフェースから何時でも必要に応じて取
り出し、利用することができる。

【０００４】例えば、ユーザＡがホテル予約サイトＢで
ホテルの空き部屋の検索を行う場合を考えてみる。この
時、ユーザＡがホテル予約サイトＢを信用していれば、
自分の個人情報へアクセスするためのユーザＩＤおよび
パスワードと個人のスケジュール情報へのアクセス権を
ホテル予約サイトＢへ渡す。

【０００５】ホテル予約サイトＢは受け取ったユーザＩ
Ｄとパスワードを用いて個人情報管理サービスからユー
ザＡの個人情報のうちアクセス権の与えられたスケジュ
ール情報を取得して、ユーザＡの旅行スケジュールを元
に空き部屋の情報をユーザＡの端末画面上に表示するこ
とができる。

【０００６】ユーザＡが信用する別のホテル予約サイト
Ｃにおいても、同様に個人情報管理サービスを用いてユ
ーザＡのスケジュール情報を利用することができる。

【０００７】また、ホテル予約サイトＣから予約を行う
際に、ユーザが予約に必要な住所，クレジットカード番
号等に対するアクセス権をホテル予約サイトＣに認める
ことで、ホテル予約サイトＣが個人情報管理サービスか
ら必要な情報を得ることができる。

【０００８】このように、ホテル予約サイトＢ，Ｃは無
制限にユーザＡの個人情報を参照できるわけではなく、
ユーザＡがアクセス権を与えて許可した項目のみを取得
することができ、また、ネットワーク上を流れるデータ
は暗号化されているので、セキュリティ上安全であると
いえる。

【０００９】このような処理操作により、ユーザは、サ
ービス毎にユーザ登録を行ったり、同じような個人情報
を繰り返し入力する必要がなくなり、ネットワーク上の
個人情報を共用して様々なサービスを利用することがで
きるようになる。また、個人情報をネットワーク上に置
くことで、使用する端末に拘わらず同じ個人情報へアク
セスできるという利点もある。

【００１０】

【発明が解決しようとする課題】しかし、その一方で、
個人情報を特定の個人情報管理サービスで集中的に格納
および管理することには問題もある。

【００１１】第１の課題は、情報漏洩の問題である。個
人情報管理サービスとの間で機密保守に関する契約を交
わした場合でも、外部からの侵入による情報漏洩やシス
テムを運用する個人情報管理サービス内部の悪意ある構
成員等による個人情報漏洩の危険性がある。

【００１２】第２の課題は、情報喪失の問題である。こ
ういった個人情報は、個人情報管理サービス内でのデー
タの２重化等の対策でシステムダウンや故障等による情
報喪失を防いでいるが、予期されない大規模な災害，テ
ロ，個人情報管理会社の倒産等による喪失に関して十分
な対策を行うには非常にコストがかかる。

【００１３】第３の課題は、負荷の問題である。１つの
個人情報管理サービスで大規模な人数の個人情報を扱う
場合、負荷分散を行うために多大な資源が必要となる。
また、十分な資源が用意されない場合、プロファイル情
報の参照に非常に長い時間がかかったり、参照そのもの
が不可能となる場合もある。

【００１４】

【発明の目的】そこで、本発明の目的は、ネットワーク
上での個人情報管理に伴う利便性を生かしつつ、情報の
漏洩や喪失に対する高い安全性を持ち、負荷の集中によ
るサービス品質の低下を防ぐことのできる個人情報管理
システムを提供することにある。

【００１５】

【課題を解決するための手段】本発明は、ユーザ端末
と，ユーザの個人情報を利用してユーザにサービスを提
供するサービス提供端末と，個人情報管理端末と，複数
のデータ格納端末とをネットワークを介して接続してな
る個人情報管理システムであり、前記目的を達成するた
め、特に、前記ユーザ端末には、ユーザ端末が保持する
ユーザの個人情報を分割する手段と、分割された個人情
報の断片を複数のデータ格納端末に転送する手段とを設
け、前記データ格納端末には、ユーザ端末から格納を依
頼された個人情報の断片を格納する手段を設け、前記個
人情報管理端末には、前記サービス提供端末によって指
定されたユーザの断片化された個人情報を前記複数のデ
ータ格納端末から収集する手段を設け、前記サービス提
供端末には、前記ユーザ端末からの個人情報利用許諾に
基いて当該ユーザの個人情報の収集を前記個人情報管理
端末に依頼する手段と、前記個人情報管理端末によって
収集された個人情報のうちユーザが閲覧を許可した項目
のみを利用する手段とを設けたことを特徴とする構成を
有する。

【００１６】このような構成により、ユーザ端末は、ユ
ーザ端末が保持するユーザの個人情報を分割し、分割に
よって断片化した個人情報をネットワークを介して複数
のデータ格納端末に分けて転送する。そして、各データ
格納端末は、ユーザ端末から格納を依頼された個人情報
の断片を格納する。また、個人情報を利用したサービス
を受けるためにユーザ端末からサービス提供端末に個人
情報利用許諾が入力されると、サービス提供端末は、こ
の個人情報利用許諾に基いて当該ユーザの個人情報の収
集を個人情報管理端末に依頼する。一方、個人情報の収
集を依頼された個人情報管理端末は、サービス提供端末
によって指定されたユーザに関する断片化された個人情
報を複数のデータ格納端末から収集し、ネットワークを
介してサービス提供端末に渡す。これを受けたサービス
提供端末は、個人情報管理端末によって収集された個人
情報のうち、ユーザが閲覧を許可した項目のみを利用し
てユーザに所定のサービスを提供する。以上に述べたよ
うに、ユーザの個人情報は分割によって断片化した状態
で複数のデータ格納端末に格納されるから、ユーザの個
人情報を特定の個人情報管理サービスで集中的に格納お
よび管理していた従来型のシステムに比べて個人情報の
機密性についての安全が向上し、同時に、個人情報の格
納に関連した負荷も分散される。しかも、サービス提供
端末は、収集された個人情報のうちユーザが閲覧を許可
した項目以外は参照できないので、サービス提供端末に
よってユーザの個人情報が無制限に利用されるといった
心配もない。

【００１７】また、ユーザ端末は、ユーザ端末が保持す
るユーザの個人情報を分割する際に個人情報を暗号化す
るように構成することが望ましい。

【００１８】個人情報を暗号化することによって、個人
情報の機密性についての安全を大幅に向上させることが
できる。

【００１９】更に、前記構成に加え、個人情報管理端末
から発行された鍵で個人情報の断片の格納先を暗号化し
てサービス提供端末に渡す機能をユーザ端末に付加し、
また、暗号化された格納先を個人情報管理端末へ渡す機
能をサービス提供端末に持たせ、個人情報管理端末が、
ユーザに発行した鍵で個人情報の格納先の暗号を復号し
て個人情報の断片を収集するようにしてもよい。

【００２０】このような構成を適用した場合、断片化し
て格納された個人情報の格納先を知ることができるの
は、格納先の暗号を復号することが可能な個人情報管理
端末のみであり、サービス提供端末は、ユーザの個人情
報の格納先を特定することができない。従って、サービ
ス提供端末を運用する会社の内部に悪意のある構成員が
いたとしても、サービス提供端末を不正に操作してユー
ザの個人情報を入手することは困難であり、個人情報の
機密性が保証される。この場合も、前記と同様、個人情
報の分割の際に暗号化を行う構成を併せて適用すること
で、個人情報の機密性についての安全を大幅に向上させ
ることが可能である。

【００２１】また、個人情報を分割する際に該個人情報
を構成する各項目を項目毎に別の鍵で暗号化し、閲覧を
許可する項目を復号するための鍵のみをサービス提供端
末に渡す機能をユーザ端末に持たせ、個人情報管理端末
が収集した個人情報をサービス提供端末によって復号さ
せるようにしてもよい。

【００２２】このような構成を適用した場合、個人情報
管理端末は、単に、断片化して格納された個人情報を収
集してサービス提供端末に渡すのみで、個人情報管理端
末それ自体で個人情報を復号することはできない。従っ
て、個人情報管理端末を運用する会社の内部に悪意のあ
る構成員がいたとしても、個人情報管理端末を不正に操
作してユーザの個人情報を入手することは困難であり、
個人情報の機密性についての安全が向上する。サービス
提供端末はユーザ端末から渡された鍵を利用してユーザ
の個人情報を復号するが、ユーザ端末から渡される鍵
は、ユーザが閲覧を許可した項目の鍵のみに制限される
ので、サービス提供端末を介してユーザの個人情報が無
制限に利用されるといった心配はない。この場合も、前
記と同様、個人情報管理端末から発行された鍵で個人情
報の断片の格納先を暗号化してサービス提供端末に渡す
機能をユーザ端末に付加し、また、暗号化された格納先
を個人情報管理端末へ渡す機能をサービス提供端末に持
たせ、個人情報管理端末が、ユーザに発行した鍵で個人
情報の格納先の暗号を復号して個人情報の断片を収集す
る構成を併せて適用することが可能である。

【００２３】また、個人情報を分割する際に該個人情報
を構成する各項目を項目毎に別の鍵で暗号化し、閲覧を
許可する項目を復号するための鍵のみをユーザ端末から
サービス提供端末を介して個人情報管理端末に渡し、個
人情報管理端末が収集した個人情報を個人情報管理端末
それ自体によって復号させるように構成することも可能
である。

【００２４】このような構成を適用した場合、断片化し
て格納された個人情報を収集した個人情報管理端末それ
自体が個人情報を復号することになるが、個人情報管理
端末が復号できるのはユーザが閲覧を許可した項目に制
限される。従って、個人情報管理端末を運用する会社の
内部に悪意ある構成員がいたとしても、ユーザの個人情
報が無制限に利用されるといった心配はない。この場合
も、前記と同様、個人情報管理端末から発行された鍵で
個人情報の断片の格納先を暗号化してサービス提供端末
に渡す機能をユーザ端末に付加し、また、暗号化された
格納先を個人情報管理端末へ渡す機能をサービス提供端
末に持たせ、個人情報管理端末が、ユーザに発行した鍵
で個人情報の格納先の暗号を復号して個人情報の断片を
収集する構成を併せて適用することが可能である。

【００２５】更に、ユーザの個人情報を項目毎に別の鍵
で暗号化してから個人情報全体を暗号化する全体暗号鍵
で暗号化する手段と、個人情報管理端末のみが復号でき
るようにデータ格納先を暗号化した暗号化データと閲覧
を許可された項目を復号するための鍵とをサービス提供
端末に渡す手段をユーザ端末に設けると共に、暗号化デ
ータをサービス提供端末を介して個人情報管理端末に渡
すようにし、個人情報管理端末によって暗号化データを
復号してデータ格納先からユーザの個人情報の断片を収
集して全体暗号鍵で復元させ、更に、各項目が暗号化さ
れたままの状態で復元された個人情報を個人情報管理端
末からサービス提供端末に渡し、サービス提供端末が、
ユーザ端末から送られた鍵を用いて閲覧を許可された項
目のみを復号して利用するようにしてもよい。

【００２６】この場合は、ユーザの個人情報がユーザ端
末によって項目毎に別の鍵で暗号化され、更に、個人情
報全体を暗号化する全体暗号鍵で暗号化される。また、
データ格納先を暗号化した暗号化データがユーザ端末か
らサービス提供端末を介して個人情報管理端末に渡さ
れ、閲覧を許可された項目を復号するための鍵は、ユー
ザ端末からサービス提供端末に渡されてサービス提供端
末に保持される。そして、サービス提供端末からの依頼
を受けた個人情報管理端末が、暗号化データを復号して
個人情報の格納先を特定し、断片化された個人情報を各
データ格納端末から収集して全体暗号鍵で復元する。但
し、この段階では個人情報は項目毎に別の鍵で暗号化さ
れたままの状態にある。個人情報管理端末は、復元した
個人情報をサービス提供端末に渡し、これを受けたサー
ビス提供端末が、ユーザ端末から渡された鍵を用いて、
閲覧を許可された項目のみを復号し、ユーザの個人情報
の内の幾つかの項目あるいは全てをサービスに利用す
る。以上に述べたように、ユーザの個人情報は項目毎の
鍵と個人情報全体を暗号化する全体暗号鍵で２重に暗号
化されので、個人情報の機密に関する安全性は極めて高
い。また、閲覧を許可された項目を復号するための鍵は
個人情報管理端末には渡されないので、個人情報管理端
末の不正使用等によってユーザの個人情報を手に入れる
ことは事実上不可能であり、また、サービス提供端末
も、閲覧を許可された項目以外は復号することができな
いので、閲覧を許可されていないユーザの個人情報を引
き出すことは事実上不可能である。つまり、個人情報管
理端末を運用する会社とサービス提供端末を運用する会
社が同時に悪意を持って不正行為を行わない限り、ユー
ザの個人情報は、ほぼ確実に安全である。

【００２７】

【発明の実施の形態】次に、本発明の実施形態について
図面を参照して詳細に説明する。図１に本発明の一実施
形態の構成を示す。

【００２８】本実施形態の個人情報管理システムは、イ
ンターネット等のネットワーク１と、このネットワーク
１に接続された複数のユーザ端末１０（１１〜１３）、
および、ユーザの個人情報を格納する複数のデータ格納
端末２０（２１〜２３）と、ユーザに対して物品の販売
や情報の提供等のサービスを行う１以上のサービス提供
端末３０（３１〜３３）、ならびに、ユーザの個人情報
を管理する１以上の個人情報管理端末４０（４１〜４
３）とによって構成される。

【００２９】但し、これらの端末は複数の役割を同時に
担うこともありうる。特に、個人情報管理端末４０とサ
ービス提供端末３０を同じ端末で構築することが考えら
れる。

【００３０】そして、夫々の端末はネットワーク１に対
し、役割ごとに共通の個人情報管理のためのインタフェ
ース（１５，２５，３５，４５）を公開している。夫々
の端末の内部の処理は独自の実装であっても、他の端末
に対して個人情報管理の目的でネットワーク１上に公開
しているインタフェースは標準的な規約に従ったもので
ある。

【００３１】このうち、ユーザ端末１０のインタフェー
ス１５は、実質的に、ユーザの個人情報を分割する手段
と個人情報の断片を複数のデータ格納端末に転送する手
段とを兼ねる。また、データ格納端末２０のインタフェ
ース２５は、ユーザ端末から格納を依頼された個人情報
の断片を補助記憶装置等に格納する手段となり、サービ
ス提供端末３０のインタフェース３５は、ユーザ端末か
らの個人情報利用許諾に基いてユーザの個人情報の収集
を個人情報管理端末に依頼する手段、および、個人情報
管理端末によって収集された個人情報のうちユーザが閲
覧を許可した項目のみを利用するサービス提供手段とし
て機能する。個人情報管理端末４０のインタフェース４
５は、サービス提供端末から指定されたユーザの断片化
された個人情報を複数のデータ格納端末から収集する手
段として機能する。

【００３２】これらのインタフェース（１５，２５，３
５，４５）の実体は、各々の端末に直接的に実装された
アプリケーションプログラム、あるいは、ネットワーク
１上でＣＧＩ等を利用して公開されたアプリケーション
プログラムである。各インタフェースの機能について
は、フローチャート等の図面を参照しながら追って説明
することにする。

【００３３】図２に本実施形態におけるユーザの持つ個
人情報の構成を示す。個人情報５００はユーザ自身の名
前５０１，性別５０２，生年月日５０３，血液型５０
４，職業５０５，住所５０６，電話番号５０７，クレジ
ットカード番号５０８，スケジュール情報５０９，お気
に入りサイト（ブックマーク）５１０の各項目から構成
される。無論、個人情報を構成する項目は、これに限る
ものではなく、サービスに必要な項目の追加や削除は自
由である。

【００３４】図３（ａ）に本実施形態におけるユーザの
持つアカウント情報の構成を示す。アカウント情報５２
０は、ユーザＩＤ５２１，全体暗号鍵５２２，個人情報
の各項目と暗号鍵との対応関係を記憶した項目暗号鍵リ
スト５５０，契約している個人情報管理端末と各個人情
報管理端末から渡された情報管理者暗号鍵との対応関係
を保存した鍵束５４０，分割により断片化された個人情
報の格納先を記憶する個人情報格納先情報５２３，契約
している個人情報管理端末を記憶した契約個人情報管理
端末情報５２４、および、個人情報の各項目の閲覧の可
否を記憶させた開示項目情報５３０からなる。

【００３５】このうち、項目暗号鍵リスト５５０は、図
３（ｂ）に示されるように、各個人情報項目５５１とそ
の項目に対する項目暗号鍵５５２の組のリストである。
全体暗号鍵５２２と項目暗号鍵５５２はユーザがあらか
じめ決定する必要がある。項目暗号鍵５５２は全体暗号
鍵５２２から乱数を元に自動生成したり、予めユーザが
与える主データを元に自動生成する等してもよい。但
し、別の項目暗号鍵５５２や全体暗号鍵５２２から容易
に推測できるような項目暗号鍵５５２の生成方法は避け
る。

【００３６】鍵束５４０は、図３（ｄ）に示されるよう
に、契約個人情報管理端末ＩＤ５４１と各個人情報管理
端末から渡された情報管理者暗号鍵５４２の組からな
る。

【００３７】本実施形態では、暗号化に関しては暗号鍵
と復号鍵を同一とした共通鍵暗号方式を仮定しており、
これ以降の説明では、暗号化に用いる鍵も復号に用いる
鍵も共に暗号鍵と記述している。しかしながら、例えば
情報管理者暗号鍵５４２については公開鍵暗号方式にす
ることができ、その場合は、情報管理者暗号鍵５４２と
して個人情報管理端末の公開鍵が格納されることにな
る。

【００３８】開示項目情報５３０は、ユーザがユーザ端
末１０を介してサービス提供端末３０へアクセスした際
に、前回の開示項目の設定状況を参照したり、予め閲覧
を許可する項目をサービス提供端末毎に決めておく際に
用いられ、必ずしも必須の項目ではなく、サービス提供
端末へのアクセスの都度ユーザに問い合わせるようにし
てもよい。

【００３９】開示項目情報５３０の構成は、図３（ｃ）
に示されるように、サービス提供端末を特定するための
応用サービスＩＤ５３１とサービス提供端末に対して閲
覧を許可する個人情報の開示項目５３２の組のリストと
なる。

【００４０】これらを含むアカウント情報５２０は、ユ
ーザが個人情報へアクセスするための情報としてユーザ
の使用する端末，メモリカード，ＩＣカード等の記憶媒
体に記録される。

【００４１】次に本実施形態での個人情報管理サービス
を説明する。以下の説明では、ユーザ端末１１を使用す
る正当なユーザＡがサービス提供端末３１を利用する場
合を例にして説明する。

【００４２】まず、ユーザＡは、個人情報管理サービス
の利用に先立ち、個人情報管理端末４０（４１〜４３）
の中から自分が契約する個人情報管理端末を選ぶ。この
とき、複数の個人情報管理端末と契約してもよいし、単
独の個人情報管理端末と契約してもよい。以下の例では
ユーザＡが複数の個人情報管理端末と契約しており、そ
の中に個人情報管理端末４１が含まれているものと仮定
して説明する。なお、契約を行った個人情報管理端末４
１から発行された情報管理者暗号鍵は、その個人情報管
理端末ＩＤと共にアカウント情報５２０の鍵束５４０に
自動的に記録される。

【００４３】また、ユーザＡは、ユーザ端末１１を使用
して予め個人情報５００を各項目毎の項目暗号鍵と全体
暗号鍵とで暗号化して分割しておく。そして、この分割
された個人情報の各断片をデータ格納端末２０（２１〜
２３）の中から選択した複数のデータ格納端末に転送し
て格納を依頼する。

【００４４】以下の例では選択されたデータ格納端末の
中にデータ格納端末２１が含まれているものと仮定して
説明する。その際のユーザＡおよびユーザ端末１１の動
作を図４に沿って説明する。

【００４５】まず、この段階で既に分散して格納されて
いる個人情報５００があれば、ユーザ端末１１は、個人
情報格納先情報５２３を参照してデータ格納端末からユ
ーザＡの個人情報５００の断片を収集し、全体暗号鍵５
２２および項目暗号鍵５５２により復号して個人情報５
００を復元する（ステップＳ１００１）。

【００４６】次いで、ユーザ端末１１は、個人情報５０
０の各項目を項目毎の別の項目暗号鍵５５２で個別に暗
号化し（ステップＳ１００２）、更に、個別に暗号化さ
れた個人情報の全体を全体暗号鍵５２２で纏めて暗号化
する（ステップＳ１００３）。

【００４７】そして、ユーザ端末１１は、暗号化された
個人情報を複数に分割した後（ステップＳ１００４）、
分割により断片化した個人情報の各々を複数のデータ格
納端末のインタフェース２５に転送して格納を依頼する
（ステップＳ１００５）。

【００４８】本実施形態では、ステップＳ１００３の処
理で用いる分割方法として、冗長性や復元のパリティ情
報を付加することにより、一部のデータ格納端末による
データ喪失が生じても元のデータを復元できるように暗
号化の処理を行う。どの程度の冗長性やパリティ情報を
持たせるかは、ユーザの要求する安全性に依存して決定
する。このような分割を可能とする方式の例としてＲＡ
ＩＤと呼ばれる記憶装置の分散化技術の応用が可能であ
る。

【００４９】個人情報の暗号化と分割および転送に必要
とされる手段はユーザ端末１１のインタフェース１５に
予めプログラムとして組み込まれている。

【００５０】一方、ユーザＡの個人情報の断片を受け取
ったデータ格納端末２１は、ユーザＡのアカウント情報
５２０に記憶されているユーザＩＤ５２１と、契約個人
情報管理端末５２４の組と、受信した個人情報の断片と
を結び付けて記録する。データ格納端末２１は、記録し
た個人情報の断片に対しては、格納した本人であるユー
ザ（ユーザＩＤ５２１を有するユーザ）、もしくは、こ
のユーザが契約している個人情報管理端末（当該ユーザ
のアカウント情報５２０の契約個人情報管理端末５２４
の欄に記憶されている個人情報管理端末）からのアクセ
スしか認めないように設計されている。

【００５１】このようにして個人情報をネットワーク１
上に登録した後、ユーザＡは、必要に応じて、ユーザ端
末１１等を介しネットワーク１上のサービス提供端末３
１を利用し、物品の購入や情報取得等のサービスを受け
る。サービス提供端末３１は商品発送や決済あるいは配
達日のチェック等のためにユーザＡの個人情報５００を
得る必要が生じた場合に、ユーザＡのユーザ端末１１に
対して個人情報の使用許可を求める。

【００５２】ここで、利用しようとしているサービス提
供端末３１が信頼できるものであると判断した場合、ユ
ーザＡは、ユーザ端末１１を操作して個人情報利用許諾
６００を生成し、この個人情報利用許諾６００をサービ
ス提供端末３１のインタフェース３５に対して送信す
る。この個人情報利用許諾６００の構成を図５を参照し
て説明する。

【００５３】個人情報利用許諾６００は、図５（ａ）に
示されるように、ユーザＩＤ６０１と情報管理者向けレ
コードリスト６１０、および、情報の閲覧を許可する個
人情報の項目と項目暗号鍵との対応関係を示す開示項目
暗号鍵リスト６２０から構成される。

【００５４】このうち、情報管理者向けレコードリスト
６１０は、契約している個人情報管理端末の数だけ情報
管理者向けレコード６１１を保存したものである。ま
た、情報管理者向けレコード６１１は、図５（ｂ）に示
されるように、個人情報管理端末ＩＤ６１２と暗号化部
分６１５とからなる。暗号化部分６１５は個人情報格納
先情報６１３と全体暗号鍵６１４と取得有効期限６１６
の組を、その個人情報情報管理端末から契約時に発行さ
れた情報管理者暗号鍵で暗号化した部分である。取得有
効期限６１６はサービス提供端末３１に対して情報の取
得を認める期限である。この暗号化部分６１５はユーザ
Ａ自身と、ユーザＡが契約した個人情報管理端末を運用
しているシステム管理者のみが内容を知ることができ、
サービス提供端末３１を操作しても内容を知ることがで
きない。開示項目暗号鍵リスト６２０は、図５（ｃ）に
示される通り、そのサービス提供端末３０に対して閲覧
を許可する個人情報の項目６２１とその項目に対応する
項目暗号鍵６２２の組のリストである。

【００５５】次に、個人情報利用許諾６００の生成手順
を図６を参照して説明する。

【００５６】まず、ユーザ端末１１は、個人情報格納先
情報５２３をユーザＡが契約している個人情報管理端末
４０の数だけコピーし（ステップＳ１５０１）、これら
のコピーの中から一つの個人情報格納先情報５２３を取
り出す（ステップＳ１５０２）。

【００５７】次に、鍵束５４０に登録されている一つの
個人情報管理端末ＩＤ５４１と対応する情報管理者暗号
鍵５４２を取り出し（ステップＳ１５０３）、ステップ
Ｓ１５０２で取り出した個人情報格納先情報と全体暗号
鍵５２２と取得有効期限の組を、ステップＳ１５０３で
取り出した情報管理者暗号鍵５４２で暗号化して暗号化
部分６１５を生成し（ステップＳ１５０４）、この暗号
化部分６１５にステップＳ１５０３で取り出した個人情
報管理端末ＩＤを付加して情報管理者向けレコードリス
ト６１０に追加する（ステップＳ１５０５）。個人情報
格納先の暗号化に必要とされる手段はユーザ端末１１の
インタフェース１５に予めプログラムとして組み込まれ
ている。

【００５８】そして、更に、全てのコピーに対して別々
の情報管理者暗号鍵でステップＳ１５０１〜Ｓ１５０５
の処理を繰り返し実行し（ステップＳ１５０６）、この
ようにして生成した情報管理者向けレコードのリストと
閲覧を許可する個人情報の項目に対する項目暗号鍵およ
びユーザＩＤから個人情報利用許諾６００を生成して、
この個人情報利用許諾６００をサービス提供端末３１の
インタフェース３５へ送信する（ステップＳ１５０
７）。

【００５９】これに対し、個人情報利用許諾６００を受
け取ったサービス提供端末３１は、図７で示される個人
情報収集依頼７００を生成する。個人情報収集依頼７０
０は、暗号化部分６１５とユーザＩＤ７０１からなる。

【００６０】サービス提供端末３１はこの個人情報収集
依頼を図８の手順で生成し、個人情報管理端末のインタ
フェース４５に対して送信する。ここで、個人情報収集
依頼の生成に関連する処理について説明する。

【００６１】サービス提供端末３１は、まず、ユーザ端
末１１から受信した個人情報利用許諾６００から、情報
管理者向けレコード６１１を１つ取り出し（ステップＳ
３００１）、情報管理者向けレコード６１１から取り出
した暗号化部分６１５とユーザＩＤ６０１から図７で示
した個人情報収集依頼７００を生成する（ステップＳ３
００２）。そして、個人情報管理端末ＩＤ６１２で特定
される個人情報管理端末のインタフェース４５に対して
個人情報収集依頼７００を送信する（ステップＳ３００
３）。更に、全ての情報管理者向けレコードに対してス
テップＳ３００１〜Ｓ３００３の手順を繰り返し実行す
る（ステップＳ３００４）。

【００６２】そして、サービス提供端末３１から個人情
報収集依頼７００を受信した個人情報管理端末４１は、
図９の手順で個人情報を収集する。

【００６３】個人情報管理端末４１は、まず、ユーザＩ
Ｄ７０１で識別されるユーザＡとの契約時に発行した情
報管理者暗号鍵で暗号化部分６１５を復号し、取得有効
期限６１６を取り出して（ステップＳ４００１）、有効
期限内かどうかを調べる（ステップＳ４００２）。有効
期限外である場合は、取得エラーをサービス提供端末３
１に返す（ステップＳ４００３）。

【００６４】また、有効期限内である場合には、復号済
みの暗号化部分６１５から個人情報格納先情報６１３を
得る（ステップＳ４００４）。次いで、取得した個人情
報格納先情報６１３で特定されるデータ格納端末にユー
ザＩＤ７０１を通知し、該当ユーザの断片化した個人情
報を収集する（ステップＳ４００５）。個人情報格納先
情報６１３で特定される全てのデータ格納端末から収集
した断片情報を結合した後、全体暗号鍵６１４で復号し
て復元し、各項目が暗号化されたままの個人情報を得る
（ステップＳ４００６）。そして、この個人情報を個人
情報収集依頼の送信元であるサービス提供端末３１へ返
信する（ステップＳ４００７）。

【００６５】個人情報管理端末４１が復元してサービス
提供端末３１へ返す個人情報は各項目が項目暗号鍵で暗
号化されたままの状態にあり、本実施形態では項目暗号
鍵が個人情報管理端末４１へ渡されないため、個人情報
管理端末４１を運用しているシステム管理者であっても
個人情報の内容を知ることはできない。

【００６６】次に、個人情報管理端末４１から返信され
た個人情報を受信したサービス提供端末３１の動作を図
１０を参照して説明する。

【００６７】サービス提供端末３１は、前述したステッ
プＳ３００３の処理で個人情報収集依頼７００を送信し
た複数の個人情報管理端末のうち最も早く応答した個人
情報管理端末、つまり、最初に個人情報を返信してきた
個人情報管理端末からユーザＡの個人情報を受信し（ス
テップＳ３０１１）、ユーザＡから送られた個人情報利
用許諾６００の開示項目暗号鍵リスト６２０を用いて閲
覧が許可されている個人情報の項目のみを復号し、サー
ビスに利用する（Ｓ３０１２）。

【００６８】ユーザＡはサービス終了毎もしくは一定期
間毎に図４で説明した手順でデータの格納先を変更す
る。これにより、個人情報の漏洩に対する安全性を更に
高めることができる。

【００６９】次に、サービス提供端末におけるデータ抽
出操作の信頼性を高めるための処理の一例を図１１を参
照して説明する。この処理は前述した図１０の処理に代
えて利用することができる。

【００７０】この場合、サービス提供端末は、前述した
ステップＳ３００３の処理で個人情報収集依頼７００を
送信したＮ個の個人情報管理端末のうちｎ個（ｎ≦Ｎ）
の個人情報管理端末からの応答を待つ（ステップＳ３１
０１）。次いで、受信した個人情報から１つを取り出
し、個人情報利用許諾６００の開示項目暗号鍵リスト６
２０を用いて閲覧が許可されている個人情報の項目のみ
を復号する（ステップＳ３１０２）。

【００７１】そして、ｎ個の受信済み個人情報に対して
ステップＳ３１０２の処理を実行し（ステップＳ３１０
３）、ｎ個の個人情報から復号された情報を項目毎に比
較して矛盾がないかどうかをチェックする（ステップＳ
３１０４）。その結果、矛盾がない場合のみサービスに
利用し（ステップＳ３１０５）、また、矛盾があった場
合には、セキュリティエラーをユーザＡのユーザ端末１
１と個人情報管理端末４０に対して返す（ステップＳ３
１０６）。

【００７２】ここで、ｎは、１から個人情報収集依頼７
００を送信した個人情報管理端末４０の総数Ｎの間の整
数である。ｎを大きくすると信頼性が高くなるが、シス
テムの応答性が悪くなる。ｎはシステム全体の負荷と、
信頼性および応答性のトレードオフから動的もしくは静
的に決定する。

【００７３】前述した各実施形態では、項目毎に暗号化
されたままの個人情報を個人情報管理端末４１からサー
ビス提供端末３１に送信してから、個人情報の各項目を
サービス提供端末３１の側で復号するようにしたが、更
に、別の実施形態として、サービス提供端末３１が必要
とする項目の抽出に関連した処理を個人情報管理端末４
１の側で行うことが考えられる。

【００７４】次に、個人情報の各項目を個人情報管理端
末４１の側で復号してからサービス提供端末３１に渡す
場合の実施形態について簡単に説明する。まず、この実
施形態においてユーザＡがユーザ端末１１で生成する個
人情報利用許諾６５０の構成を図１２を参照して説明す
る。

【００７５】個人情報利用許諾６５０は、図１２（ａ）
に示されるように、ユーザＩＤ６５１と情報管理者向け
レコードリスト６６０の組から成る。情報管理者向けレ
コードリスト６６０は、図１２（ｂ）に示される通り、
情報管理者向けレコード６６１のリストとなっており、
これは、個人情報管理端末ＩＤ６６２と暗号化部分６６
５からなる。暗号化部分６６５は、対応した情報管理者
暗号鍵で暗号化された個人情報格納先情報６６３，全体
暗号鍵６６４，取得有効期限６６６，開示項目暗号鍵リ
スト６２０からなる。

【００７６】次に、ユーザ端末１１における個人情報利
用許諾６５０の生成手順を図１３を参照して説明する。

【００７７】ユーザＡはユーザ端末１１を使用して個人
情報格納先情報５２３をユーザが契約している個人情報
管理端末の数だけコピーする（ステップＳ１５５１）。
次いで、これらのコピーの中から一つの個人情報格納先
情報を取り出す。（ステップＳ１５５２）。そして、鍵
束５４０から情報管理者暗号鍵５４２と、これに対応す
る個人情報管理端末ＩＤ５４１を取り出す（ステップＳ
１５５３）。次に、ステップＳ１５５２で取り出した個
人情報格納先情報，取得有効期限，全体暗号鍵５２２，
閲覧を許可する個人情報の項目に対する項目暗号鍵リス
ト６２０の組を、ステップＳ１５５３で取り出した情報
管理者暗号鍵５４２で暗号化して暗号化部分６６５を生
成する（ステップＳ１５５４）。そして、暗号化部分６
６５にステップＳ１５５３で取り出した個人情報管理端
末ＩＤ５４１を付加して情報管理者向けレコードリスト
６６０に追加する（ステップＳ１５５５）。

【００７８】更に、全てのコピーに対して個人情報管理
端末ＩＤに対応した各々の情報管理者暗号鍵でステップ
Ｓ１５５１〜Ｓ１５５５の処理を繰り返し実行する（ス
テップＳ１５５６）。そして、このようにして生成した
情報管理者向けレコードのリストとユーザＩＤから個人
情報利用許諾６５０を生成し、この個人情報利用許諾６
５０をサービス提供端末３１のインタフェース３５へ送
信する（ステップＳ１５５７）。

【００７９】これに対し、個人情報利用許諾６５０を受
け取ったサービス提供端末３１が個人情報収集依頼を生
成する。

【００８０】次に、この実施形態でサービス提供端末３
１が生成する個人情報収集依頼７１０の構成を図１４で
説明する。個人情報収集依頼７１０は、暗号化部分６６
５とユーザＩＤ７１１から構成される。

【００８１】ユーザからの個人情報利用許諾６５０を受
け取ったサービス提供端末３１が個人情報収集依頼７１
０を生成する際の動作について図１５を参照して説明す
る。

【００８２】サービス提供端末３１は、まず、ユーザ端
末１１から受信した個人情報利用許諾６５０から、情報
管理者向けレコード６６１を１つ取り出し（ステップＳ
３１０１）、情報管理者向けレコードから取り出した暗
号化部分６６５とユーザＩＤ６５１から個人情報収集依
頼７１０を生成する（ステップＳ３１０２）。そして、
個人情報管理端末ＩＤ６６２で特定される個人情報管理
端末のインタフェース４５に対して個人情報収集依頼７
１０を送信する（ステップＳ３１０３）。更に、全ての
情報管理者向けレコード６６１の個人情報管理端末に対
してＳ３１０１〜Ｓ３１０３の手順を繰り返し実行する
（ステップＳ３１０４）。

【００８３】前述した実施形態（図８）との相違は、サ
ービス提供端末３１から個人情報管理端末に送られる個
人情報収集依頼に、閲覧を許可する個人情報の項目に対
する項目暗号鍵リスト６２０が含まれている点である。

【００８４】そして、サービス提供端末３１からの個人
情報収集依頼７１０を受信した個人情報管理端末４１
は、図１６の手順で個人情報を収集する。

【００８５】個人情報管理端末４１は、まず、ユーザＩ
Ｄ７１１で識別されるユーザＡに対して発行した情報管
理者暗号鍵で暗号化部分６６５を復号し、取得有効期限
６６６を取り出して（ステップＳ４１０１）、有効期限
内かどうかを調べる（ステップＳ４１０２）。ここで、
有効期限外である場合は、取得エラーをサービス提供端
末３１に返す（ステップＳ４１０３）。また、有効期限
内である場合には、復号済みの暗号化部分６６５から個
人情報格納先６６３を得る（ステップＳ４１０４）。

【００８６】次いで、取得した個人情報格納先６６３で
特定されるデータ格納端末にユーザＩＤ７１１を通知
し、該当ユーザの断片化した個人情報を収集する（ステ
ップＳ４１０５）。個人情報格納先６６３で特定される
全ての個人情報格納先から収集した断片情報を結合した
後、全体暗号鍵６６４で復号して復元し、各項目が暗号
化されたままの個人情報を得る（ステップＳ４１０
６）。

【００８７】そして、更に、暗号化部分６６５の開示項
目暗号鍵リスト６２０内の項目暗号鍵で閲覧を許可され
ている項目の復号を行い（ステップＳ４１０７）、復号
された項目の内容を個人情報収集依頼の送信元であるサ
ービス提供端末３１へ返信する（ステップＳ４１０
８）。

【００８８】前述した各実施形態と同様、サービス提供
端末は、個人情報管理端末から返信された個人情報の項
目情報を用いてユーザにサービスを提供する。但し、本
実施形態では、個人情報の各項目は既に復号されている
のでサービス提供端末側で暗号の復号に関連した処理を
行う必要はない。

【００８９】サービス提供端末の側における個人情報の
抽出処理については、最も早く返信された個人情報管理
端末からの情報のみを用いてもよいし（図１０参照）、
あるいは、複数の個人情報管理端末からの返信を検証し
てから用いてもよい（図１１参照）。

【００９０】

【発明の効果】本発明の個人情報管理システムは、ユー
ザの個人情報を分割によって断片化させた状態でネット
ワーク上の複数のデータ格納端末に格納するようにした
ので、ユーザの個人情報を特定の個人情報管理サービス
で集中的に格納および管理していた従来型のシステムに
比べて個人情報の機密性についての安全が向上し、ま
た、個人情報の格納に関連した負荷も分散されて、デー
タ喪失時の安全性も保障される。しかも、サービス提供
端末は、収集された個人情報のうちユーザが閲覧を許可
した項目以外は参照できないので、サービス提供端末を
運用するシステム管理者あるいは他の従業員等によって
ユーザの個人情報が無制限に利用されるといった心配が
ない。

【００９１】また、ユーザ端末は、ユーザ端末が保持す
るユーザの個人情報を分割する際に暗号化の処理を行う
ように構成されているため、個人情報の機密性について
の安全を大幅に向上させることができる。

【００９２】更に、個人情報管理端末から発行された鍵
を利用してユーザ端末側の処理で個人情報の断片の格納
先を暗号化するようにしたから、断片化して格納された
個人情報の格納先を知ることができるのは個人情報管理
端末のみであり、サービス提供端末は、ユーザの個人情
報の格納先を特定することができない。従って、サービ
ス提供端末を運用する会社の内部に悪意のある構成員が
いたとしても、サービス提供端末を不正に操作してユー
ザの個人情報を入手することは困難であり、個人情報の
機密性が保証される。

【００９３】また、個人情報を分割する際に該個人情報
を構成する各項目を項目毎に別の鍵で暗号化し、閲覧を
許可した項目を復号するための鍵のみをサービス提供端
末に渡し、個人情報管理端末が収集した個人情報をサー
ビス提供端末によって復号させるようにしたから、個人
情報管理端末は、単に、断片化して格納された個人情報
を収集してサービス提供端末に渡すのみで、個人情報管
理端末それ自体で個人情報を復号することはできず、個
人情報管理端末を運用する会社の内部に悪意のある構成
員がいたとしても、個人情報管理端末を不正に操作して
ユーザの個人情報を入手することは困難であり、個人情
報の機密性についての安全が向上する。この際、サービ
ス提供端末はユーザ端末から渡された項目の鍵を利用し
てユーザの個人情報を復号することができるが、ユーザ
端末から渡される鍵は、ユーザが閲覧を許可した項目に
制限されるので、サービス提供端末を介してユーザの個
人情報が無制限に利用されるといった心配はない。

【００９４】また、個人情報を分割する際に該個人情報
を構成する各項目を項目毎に別の鍵で暗号化し、閲覧を
許可する項目を復号するための鍵のみをユーザ端末から
サービス提供端末を介して個人情報管理端末に渡し、個
人情報管理端末が収集した個人情報を個人情報管理端末
それ自体によって復号させる構成を適用した場合におい
ては、断片化して格納された個人情報を収集した個人情
報管理端末それ自体が個人情報を復号することになる
が、個人情報管理端末が復号できるのはユーザが閲覧を
許可した項目のみに制限されるので、個人情報管理端末
を運用する会社の内部に悪意ある構成員がいたとして
も、ユーザの個人情報が無制限に利用されるといった心
配はない。

【００９５】更に、ユーザの個人情報を項目毎に別の鍵
で暗号化してから個人情報全体を暗号化する全体暗号鍵
で暗号化し、個人情報管理端末のみが復号できるように
データ格納先を暗号化した暗号化データをサービス提供
端末を介して個人情報管理端末に渡す一方、ユーザが閲
覧を許可した項目を復号するための鍵をサービス提供端
末に保持させ、個人情報管理端末側の処理で暗号化デー
タを復号してデータ格納先からユーザの個人情報の断片
を収集して全体暗号鍵で復元させ、更に、各項目が暗号
化されたままの状態で復元された個人情報を個人情報管
理端末からサービス提供端末に渡し、閲覧を許可された
項目のみをサービス提供端末側の処理で復号する構成を
適用した場合においては、ユーザの個人情報が項目毎の
鍵と全体暗号鍵で２重に暗号化されので、個人情報の機
密に関する安全性が極めて高くなる。しかも、閲覧を許
可された項目を復号するための鍵は個人情報管理端末に
は渡されないので、個人情報管理端末の不正使用等によ
ってユーザの個人情報を手に入れることはできず、ま
た、サービス提供端末も、閲覧を許可された項目以外は
復号することができないので、閲覧を許可されていない
ユーザの個人情報を引き出すことはできず、ユーザの個
人情報の機密を高い次元で保証することが可能となっ
た。

【００９６】このように、ユーザの個人情報が断片化さ
れて複数のデータ格納端末によって分散格納され、ま
た、個人情報管理端末やサービス提供端末の夫々に対し
てユーザが許可した項目の情報のみを開示することによ
り、システム外部や内部からのクラッキングによる情報
漏洩および情報喪失の可能性を小さくすることができ
る。また、データが分散して格納されるため、特定のデ
ータ格納端末に対する負荷の集中を避けることができ、
同時に、複数の個人情報管理端末を併用することによっ
て通信の応答速度や受信データの信頼性を高めることが
できるので、個人情報の閲覧を必要とするサービスのサ
ービス品質が向上する。更に、１つのデータ格納端末が
全てのユーザの個人情報を扱う必要はなく、所定のイン
タフェースを備えた格納アプリケーションを既存の記憶
装置に持たせるだけで、既存の記憶装置の僅かな空き記
憶領域を有効活用することができるので、個人情報の格
納のために大規模な設備を使用しなくても済むようにな
る。例えばデータウェアハウス業務のかたわらで発生し
た余剰もしくは断片化した空き記憶領域を有効に活用す
ることが可能である。

【図面の簡単な説明】

【図１】本発明を適用した個人情報管理システムの一実
施形態について示したブロック図である。

【図２】同実施形態における個人情報の構成を示した概
念図である。

【図３】同実施形態におけるユーザアカウント情報の構
成を示した概念図である。

【図４】同実施形態におけるユーザ端末が実行する個人
情報の暗号化および分割処理の概略を示したフローチャ
ートである。

【図５】同実施形態のユーザ端末から送出される個人情
報利用許諾の構成を示した概念図である。

【図６】同実施形態のユーザ端末による個人情報利用許
諾の生成手順の概略を示したフローチャートである。

【図７】同実施形態のサービス提供端末から送出される
個人情報収集依頼の構成を示した概念図である。

【図８】同実施形態のサービス提供端末による個人情報
収集依頼の生成手順の概略を示したフローチャートであ
る。

【図９】同実施形態の個人情報管理端末による個人情報
の収集手順の概略を示したフローチャートである。

【図１０】同実施形態のサービス提供端末による復号処
理の概略を示したフローチャートである。

【図１１】サービス提供端末におけるデータ抽出操作の
信頼性を高めるための処理の一例を示したフローチャー
トである。

【図１２】項目の抽出に関連した処理を個人情報管理端
末の側で行う場合に必要とされる個人情報利用許諾の構
成を示した概念図である。

【図１３】項目の抽出に関連した処理を個人情報管理端
末の側で行う場合に必要とされる個人情報利用許諾の生
成手順の概略を示したフローチャートである。

【図１４】項目の抽出に関連した処理を個人情報管理端
末の側で行う場合に必要とされる個人情報収集依頼のの
構成を示した概念図である。

【図１５】項目の抽出に関連した処理を個人情報管理端
末の側で行う場合に必要とされる個人情報収集依頼の生
成手順の概略を示したフローチャートである。

【図１６】項目の抽出に関連した処理を個人情報管理端
末の側で行う場合に必要とされる個人情報の収集手順の
概略を示したフローチャートである。

【符号の説明】

１ネットワーク１０（１１〜１３）ユーザ端末１５インタフェース２０（２１〜２３）データ格納端末２５インタフェース３０（３１〜３３）サービス提供端末３５インタフェース４０（４１〜４３）個人情報管理端末４５インタフェース５００個人情報５０１名前（個人情報の一項目）５０２性別（個人情報の一項目）５０３生年月日（個人情報の一項目）５０４血液型（個人情報の一項目）５０５職業（個人情報の一項目）５０６住所（個人情報の一項目）５０７電話番号（個人情報の一項目）５０８クレジットカード番号（個人情報の一項目）５０９スケジュール情報（個人情報の一項目）５１０お気に入りサイト（個人情報の一項目）５２０アカウント情報５２１ユーザＩＤ５２２全体暗号鍵５２３個人情報格納先情報５２４契約個人情報管理端末５３０開示項目情報５３１応用サービスＩＤ５３２開示項目５４０鍵束５４１契約個人情報管理端末ＩＤ５４２情報管理者暗号鍵（個人情報管理端末から渡さ
れた鍵）５５０項目暗号鍵リスト５５１個人情報項目５５２項目暗号鍵６００個人情報利用許諾６０１ユーザＩＤ６１０情報管理者向けレコードリスト６１１情報管理者向けレコード６１２個人情報管理端末ＩＤ６１３個人情報格納先６１５暗号化部分６１４全体暗号鍵６１６取得有効期限６２０開示項目暗号鍵リスト６５０個人情報利用許諾６５１ユーザＩＤ６６０情報管理者向けレコードリスト６６１情報管理者向けレコード６６２個人情報管理端末ＩＤ６６３個人情報格納先情報６６４全体暗号鍵６６５暗号化部分６６６取得有効期限７００個人情報収集依頼７０１ユーザＩＤ７１０個人情報収集依頼７１１ユーザＩＤ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｇ０９Ｃ 1/00 ６６０Ｇ０９Ｃ 1/00 ６６０ＤＦターム(参考） 5B017 AA07 BA07 BA10 CA16 5B075 KK44 ND03 UU08 5J104 AA16 DA02 EA08 EA15 FA06 MA05

Claims

【特許請求の範囲】

【請求項１】ユーザ端末と，ユーザの個人情報を利用
してユーザにサービスを提供するサービス提供端末と，
個人情報管理端末と，複数のデータ格納端末とをネット
ワークを介して接続してなる個人情報管理システムであ
って、前記ユーザ端末は、該ユーザ端末が保持するユーザの個
人情報を分割する手段と、分割された個人情報の断片を
複数のデータ格納端末に転送する手段を持ち、前記データ格納端末は、ユーザ端末から格納を依頼され
た個人情報の断片を格納する手段を持ち、前記個人情報管理端末は、前記サービス提供端末によっ
て指定されたユーザの断片化された個人情報を前記複数
のデータ格納端末から収集する手段を持ち、前記サービス提供端末は、前記ユーザ端末からの個人情
報利用許諾に基いて当該ユーザの個人情報の収集を前記
個人情報管理端末に依頼する手段と、前記個人情報管理
端末によって収集された個人情報のうちユーザが閲覧を
許可した項目のみを利用する手段を持つことを特徴とす
る個人情報管理システム。
【請求項２】前記ユーザ端末は、該ユーザ端末が保持
するユーザの個人情報を分割する際に該個人情報を暗号
化するように構成されていることを特徴とする請求項1
記載の個人情報管理システム。
【請求項３】前記ユーザ端末は、個人情報管理端末か
ら発行された鍵で個人情報の断片の格納先を暗号化して
前記サービス提供端末に渡し、前記サービス提供端末は、前記暗号化された格納先を個
人情報管理端末へ渡し、前記個人情報管理端末が、ユーザに発行した前記鍵で格
納先の暗号を復号して、個人情報の断片を収集すること
を特徴とする請求項1または請求項２記載の個人情報管
理システム。
【請求項４】前記ユーザ端末は、個人情報を分割する
際に該個人情報を構成する各項目を項目毎に別の鍵で暗
号化し、閲覧を許可する項目を復号するための鍵のみを
前記サービス提供端末に渡し、前記サービス提供端末は、前記個人情報管理端末が収集
した個人情報を閲覧が許可されている項目の鍵で復号す
ることを特徴とする請求項１，請求項２または請求項３
記載の個人情報管理システム。
【請求項５】前記ユーザ端末は、個人情報を分割する
際に該個人情報を構成する項目を項目毎に別の鍵で暗号
化し、閲覧を許可する項目を復号するための鍵のみを前
記サービス提供端末に渡し、前記サービス提供端末は、前記ユーザ端末から渡された
閲覧を許可する項目を復号するための鍵を前記個人情報
管理端末に渡し、前記個人情報管理端末は、収集した個人情報をサービス
提供端末から渡された閲覧を許可する項目の鍵で復号し
てサービス提供端末に渡すことを特徴とする請求項２ま
たは請求項３記載の個人情報管理システム。
【請求項６】前記ユーザ端末は、個人情報を分割する
際に該個人情報を構成する項目を項目毎に別の鍵で暗号
化してから個人情報全体を暗号化する全体暗号鍵で暗号
化する手段と、前記個人情報管理端末のみが復号できる
ようにデータ格納先を暗号化した暗号化データと閲覧を
許可された項目を復号するための鍵とを前記サービス提
供端末に渡す手段を備え、前記サービス提供端末は、前記暗号化データを前記個人
情報管理端末に渡す手段を備え、前記個人情報管理端末は、前記暗号化データを復号して
得たデータ格納先から前記ユーザの個人情報の断片を収
集する手段と、収集した断片から前記全体暗号鍵で各項
目が暗号化されたままの個人情報を復元する手段と、復
元された個人情報を前記サービス提供端末に渡す手段と
を備え、前記サービス提供端末は、前記閲覧を許可された項目を
復号するための鍵で閲覧を許可された項目のみを復号す
る手段を備えることを特徴とする請求項１または請求項
２記載の個人情報管理システム。