個人情報管理システム，個人情報管理サーバおよび個人情報管理プログラム
【課題】利用者にとって不必要と思われる内容が不用意に送信されるのを防止し、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現する。
【解決手段】個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定し、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いて個人情報カプセル内の個人情報要素のフィルタリング処理を行なって当該利用者の利用可能な個人情報要素を個人情報カプセルから抽出し、抽出された個人情報要素を個人情報ファイルとしてクライアント端末２０に送信する。
【解決手段】個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定し、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いて個人情報カプセル内の個人情報要素のフィルタリング処理を行なって当該利用者の利用可能な個人情報要素を個人情報カプセルから抽出し、抽出された個人情報要素を個人情報ファイルとしてクライアント端末２０に送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定の個人を識別可能な個人情報を、その特定の個人に関する複数の個人情報要素からなるデータセット（個人情報カプセル）として管理し、その個人情報カプセルから各利用者に応じた内容を取り出して各利用者に利用させる、個人情報の提供サービスを実現するための技術に関する。
【背景技術】
【０００２】
例えば、下記特許文献１には、携帯電話などのモバイル端末やパーソナルコンピュータへの電話や電子メール送信者の個人情報を、ネットワークを介して管理する技術が開示されている。この特許文献１に開示された技術において、利用者は、発信端末からネットワークを使用し、氏名，住所，電話番号，メールアドレス，写真等の個人情報を個人情報管理サーバに登録しておき、発信端末から着信端末に電話や電子メールを送信する際に個人情報通知許可が設定してある場合、電話や電子メールを受信した着信端末から個人情報取得操作を行なうことにより、サーバで電話番号，メールアドレスを索引として発信者の個人情報が検索され、検索された個人情報がサーバから着信端末に送信されるようになっている。
【特許文献１】特開２００５−５１４７５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ところで、上記特許文献１に開示された技術のごとく個人情報を利用者に提供するシステムでは、個人情報取得操作を行なった利用者に対し、個人情報管理サーバに登録されている個人情報がそのまま送信・提供されることになる。
個人情報の保護の意識が高まり個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することが望まれている昨今、上述のように個人情報取得操作を行なった全ての利用者に対し一律同じ内容の個人情報を送信・提供するのではなく、利用者に応じた内容の個人情報のみを送信・提供できるようにして、利用者にとって不必要と思われる内容（個人情報要素）までもが不用意に送信されるのを防止することが望まれている。
【０００４】
例えば、企業等において、特定の個人を識別可能な各種個人情報要素を含む個人情報を一元的に管理しながら利用者が特定の個人の個人情報を閲覧・利用する際に、利用者がその特定の個人の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、利用者に応じた内容の個人情報要素のみを利用者に提供できるようにしたシステムの構築が望まれている。
【０００５】
本発明は、このような状況に鑑み創案されたもので、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供できるようにして、利用者にとって不必要と思われる内容が不用意に送信されるのを防止し、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することを目的としている。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の個人情報管理システム（請求項１）は、特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、該管理サーバが、該個人情報カプセルを生成する生成手段と、該生成手段によって生成された個人情報カプセルを保存する保存手段と、該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成され、該クライアント端末が、該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴としている。
【０００７】
このとき、該管理サーバが、該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていてもよいし（請求項２）、さらに、該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセルに対し、デジタル署名を付与するデジタル署名付与手段をそなえて構成されていてもよい（請求項３）。
【０００８】
また、該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえてもよく（請求項４）、その際、該管理サーバが、該個人情報探査手段および該削除手段としての機能を有してもよいし（請求項５）、該クライアント端末が、該個人情報探査手段および該削除手段としての機能を有してもよい（請求項６）。
【０００９】
さらに、該管理サーバが、該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、該クライアント端末が、該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていてもよい（請求項７）。
【００１０】
そして、該管理サーバが、該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させてもよい（請求項８）。
【００１１】
その際、該管理サーバが、該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されるように構成してもよい（請求項９）。
【００１２】
さらに、該クライアント端末が、該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をそなえて構成され、該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されるように構成してもよく（請求項１０）、このとき、該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されるように構成してもよい（請求項１１）。
【００１３】
また、該管理サーバが、該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていてもよい（請求項１２）。
【００１４】
このような個人情報管理システムにおいて、該管理サーバの該無効化手段は、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化してもよいし（請求項１３）、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化してもよいし（請求項１４）、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化してもよい（請求項１５）。
【００１５】
さらに、該管理サーバが、該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をそなえて構成されていてもよい（請求項１６）。
【００１６】
そして、本発明の個人情報管理サーバ（請求項１７〜２８）は、上述した本発明の個人情報管理システム（請求項１〜４，７〜９，１２〜１６）における管理サーバに対応するものであり、本発明の個人情報管理プログラム（請求項２９〜４０）は、本発明の個人情報管理サーバ（請求項１７〜２８）としてコンピュータを機能させるものである。
【発明の効果】
【００１７】
上述した本発明によれば、個人情報管理サーバ（管理サーバ）において、特定の個人を識別可能な個人情報が、標準化されたデータセットである個人情報カプセルとして一元的に管理される。そして、個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタが設定されており、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いて個人情報カプセル内の個人情報要素のフィルタリング処理が行なわれ当該利用者の利用可能な個人情報要素が個人情報カプセルから抽出され、抽出された個人情報要素が個人情報ファイルとしてクライアント端末に送信される。これにより、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供することができるので、利用者にとって不必要と思われる内容が不用意に送信されることがなくなり、個人情報の不用意な流出・漏洩や個人情報の不正利用などが確実に防止され、個人情報の保護を実現することができる。
【００１８】
このとき、個人情報管理サーバにおいて、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末に送信された個人情報ファイルを無効化するように構成することにより、個人情報カプセルの内容が変更されると、変更前の個人情報ファイルが無効化され誰も利用できなくなるため、変更前の個人情報ファイルであっても不用意な流出・漏洩や不正利用が確実に防止され、個人情報を確実に保護することができる。また、利用者は、個人情報ファイルが無効化されたことで個人情報ファイルを利用できなくなったことを認識すると、再度アクセス要求を行なって、変更後の最新の個人情報ファイルを得ることが可能になる。なお、個人情報ファイルを無効化した場合にその旨を管理サーバからクライアント端末に自動的に通知することで、個人情報カプセルに対するアクセス要求の再実行を利用者に促すことができ、その通知を受けた利用者は自分の判断で再度アクセス要求を行なうことにより、変更後の最新の個人情報ファイルを得ることが可能になり、利用者の利便性を向上させることができる。
【００１９】
また、管理サーバにおいて新たに生成された個人情報カプセルや変更を施された個人情報カプセルや個人情報ファイルに対しデジタル署名を付与することにより、個人情報カプセルや個人情報ファイルが改竄されていないことを保証することができ、第三者による偽造を防止することができる。その際、クライアント端末におけるデータの中から個人情報を探査し、探査された個人情報にデジタル署名が付与されていない場合には、その個人情報をクライアント端末から削除するように構成することにより、管理サーバでのデジタル署名を付与されていない個人情報は、管理サーバの管理下になく、クライアント端末等のローカルで作成された、正規ではない個人情報と判断され、クライアント端末から自動的に削除される。これにより、本発明のシステム内では、管理サーバによって一元的に管理される個人情報のみが存在して利用されることになり、個人情報を確実に管理して確実に保護することができる。
【００２０】
さらに、個人情報ファイルを管理サーバからクライアント端末に送信する際、個人情報ファイルが、送信先のクライアント端末に応じた暗号鍵を用いて暗号化され、暗号化ファイルとして送信され、管理サーバによって認証される正当な利用者（正当な送信先であるクライアント端末の利用者）のみが暗号化ファイルを復号化してアクセスできるように構成することにより、管理サーバからクライアント端末に送信された個人情報ファイルの内容が不用意に流出・漏洩したり不正利用されたりするのを確実に防止でき、個人情報を確実に保護することができる。
【００２１】
そして、管理サーバにおいて、個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換し、そのコンテナ機能を用いて個人情報ファイルのオリジナルファイルを添付した状態で完成文書ファイルを暗号化してから個人情報ファイルとしてクライアント端末に送信することにより、個人情報ファイルが改竄困難な完成文書ファイルとして送信され、個人情報ファイルを改竄されて不正利用されるのを防止しながら、コンテナ機能により添付されたオリジナルファイルを用いて編集等の操作を行なうことも可能になる。ただし、その際、編集等の操作は、オリジナルファイルの取出し権限や編集権限をアクセス権限として付与された利用者のみが行なえるようにするとともに、クライアント端末において編集後のオリジナルファイルは完成文書ファイル以外に保存されるのを禁止することにより、そのオリジナルファイルの不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【００２２】
また、管理サーバにおいて、クライアント端末からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴をログとして記録することにより、個人情報カプセルに対するアクセス状況が管理され、必要に応じて個人情報ファイルに対するアクセスを追跡管理可能になるので、個人情報の不正利用をより確実に防止することができる。
【００２３】
なお、変更前の個人情報ファイルを無効化する手段は、例えば、クライアント端末に送信されるべき復号鍵（暗号化ファイルを復号化するための鍵）を変更したり、その復号鍵の送信を禁止したり、送信履歴ログに基づき個人情報ファイルの送信先のクライアント端末に個人情報ファイルの削除指令を送信して個人情報ファイルを削除させたりすることにより、極めて容易に実現することができる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の個人情報管理システムの構成
〔１−１〕個人情報管理システムの全体構成
図１は本発明の一実施形態としての個人情報管理システムの構成を示すブロック図で、この図１に示す個人情報管理システム１は、個人情報管理サーバ１０，クライアント端末２０およびネットワーク３０をそなえて構成されている。
【００２５】
個人情報管理サーバ（管理サーバ）１０は、後述する個人情報カプセルデータベース１１および認証情報／復号鍵保存手段１２を付設されて構成され、特定の個人を識別可能な個人情報を、その特定の個人に関する複数の個人情報要素からなるデータセットとして管理するものである。本実施形態のシステム１では、複数の個人情報要素からなるデータセットが標準化され個人情報カプセルとして管理され、例えば企業等の社内における一社員に対して一つの個人情報カプセルが生成・保存される。
【００２６】
個人情報カプセルに含まれる個人情報要素としては、例えば、氏名，性別，年齢，生年月日，血液型，自宅情報（自宅の住所，電話番号，ＦＡＸ番号，メールアドレス等），勤務先情報（勤務先名，所属部署，役職のほか勤務先の住所／電話番号／ＦＡＸ番号／メールアドレス等），家族構成，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号，通院履歴，病歴，投薬情報，診療履歴のほか、本人に係る画像情報や音声情報などが挙げられる。
【００２７】
クライアント端末２０は、企業等の社内において各社員（利用者）によって操作されるパーソナルコンピュータ等であり、インターネット，イントラネット，社内ＬＡＮ（Local Area Network）等のネットワーク３０を介して個人情報管理サーバ１０と相互に通信可能に接続され、利用者の操作に応じ、個人情報管理サーバ１０によって管理される個人情報カプセルにアクセスして個人情報カプセル内の個人情報要素を利用しうるものである。利用者は、クライアント端末２０およびネットワーク３０を通じ、個人情報管理サーバ１０によって提供される個人情報管理サービスの提供を利用することになり、例えば、自分の個人情報カプセルの生成／変更を行なったり、個人情報管理サーバ１０における各社員の個人情報カプセルにアクセスして個人情報要素を取得し個人情報要素を編集して名簿や住所録を作成したりすることができる。
【００２８】
〔１−２〕個人情報管理サーバの構成
図２は本実施形態における個人情報管理サーバ１０の構成を示すブロック図であり、この図２に示すように、本実施形態の個人情報管理サーバ１０は、上述したように個人情報カプセルデータベース１１および認証情報／復号鍵保存手段１２を付設されるとともに、後述する各種手段１０１〜１１９をそなえて構成されている。これらの手段１０１〜１１９としての機能は、所定のアプリケーションプログラム（個人情報管理プログラム）を、サーバとして機能すべきコンピュータのＣＰＵ（Central Processing Unit）に実行させることによって実現される。
【００２９】
個人情報カプセルデータベース（保存手段）１１は、後述する生成手段１０１によって生成された個人情報カプセルを保存するとともに、各個人情報カプセルの利用者に対して後述するフィルタ設定手段１０３によって設定されたフィルタを、当該個人情報カプセルおよびその利用者に対応付けて保存する機能も果たしている。
認証情報／復号鍵保存手段１２は、本実施形態の個人情報管理サーバ１０によるサービスを利用すべく予め登録された利用者の認証情報（識別番号およびパスワード）を保存するとともに、後述する暗号化手段１０７によって得られた暗号化ファイルを復号化するための復号鍵を保存する機能も果たしている。
【００３０】
個人情報カプセル生成／変更要求受信手段１０１は、ネットワーク３０を介して、クライアント端末２０から個人情報カプセル生成要求や個人情報カプセル変更要求を認証情報（識別番号およびパスワード）とともに受信したり、個人情報管理サーバ１０の入力装置（キーボードやマウス等）を通じて個人情報カプセル生成要求や個人情報カプセル変更要求を認証情報（識別番号およびパスワード）とともに受信したりするものである。その際、個人情報カプセルの内容として保存されるべき複数種類の個人情報要素、あるいは、既に登録されている個人情報カプセルに対する変更の内容も入力され個人情報カプセル生成／変更要求受信手段１０１によって受信されるものとする。つまり、個人情報要素や変更内容は、各社員（各個人）がクライアント端末２０から入力してもよいし、社員の個人情報を管理する企業等における管理者が個人情報管理サーバ１０に対して直接入力してもよい。個人情報要素や変更内容の入力は、利用者がキーボードやマウス等の入力装置を操作して行なってもよいし、用紙に印刷もしくは書き込まれた文字情報（名刺や名簿など）や画像情報をスキャナによって読み取ることによって行なってもよい。
【００３１】
また、本実施形態の個人情報カプセル生成／変更要求受信手段１０１は、利用者によって入力された認証情報（識別番号およびパスワード）に基づいて、その利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定を行なう認証判定機能も併せもっているものとする。具体的には、利用者によって入力された識別番号およびパスワードが、認証情報／復号鍵保存手段１２に予め登録・保存されている識別番号およびパスワードと一致するか否かを判定することにより、その利用者が正当な利用者であるか否かを判定・認証するものである。
【００３２】
生成手段１０２は、受信手段１０１の認証判定機能により正当な利用者であると判定された場合に、上述のごとく個人毎に入力・受信された複数種類の個人情報要素を含む所定フォーマットのデータセットを個人情報カプセルとして生成するものである。
フィルタ設定手段１０３は、個人情報カプセルデータベース１１に保存された個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するものである。ここで、個人情報カプセル毎や個人毎に対して異なるフィルタを設定してもよいし、同一のグループに属する利用者には同一のフィルタを設定してもよい。例えば、画像情報等を含む全ての個人情報を公開するレベルや、画像情報以外の個人情報を公開するレベルや、氏名および連絡先のみを公開するレベルといった、利用者のランク分けを行なうようにフィルタを設定することができる。また、例えば、企業等において、利用者が特定の社員の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、フィルタを設定することもできる。
【００３３】
なお、本実施形態において、フィルタ設定手段１０３によって設定されたフィルタは、個人情報カプセルデータベース１１に保存されるものとする。その際、個人情報カプセル毎や利用者毎に対応付けて、あるいは、利用者のランクや役職に対応付けてフィルタを保存する。また、利用者毎に設定されるフィルタの内容については、個人情報カプセルの生成を要求した利用者本人がクライアント端末２０から指示してもよいし、管理者が管理サーバ１０で指示してもよいし、予め設定されたフィルタパターンを選択することで指示してもよいし、フィルタ設定対象の利用者のランクや役職等を認識しそのランク／役職等に応じて自動的に設定してもよい。
【００３４】
アクセス要求受信手段１０４は、利用者からクライアント端末２０およびネットワーク３０を通じて個人情報カプセルに対するアクセス要求を認証情報（識別番号およびパスワード）とともに受信するものである。このアクセス要求受信手段１０４も、受信手段１０１と同様、利用者によって入力された認証情報（識別番号およびパスワード）に基づいて、その利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定を行なう認証判定機能も併せもっているものとする。
【００３５】
フィルタリング手段１０５は、受信手段１０４の認証判定機能により正当な利用者であると判定された場合に、アクセス要求対象の個人情報カプセルとその利用者について設定されたフィルタとを個人情報カプセルデータベース１１から読み出し、読み出されたフィルタを用いて、読み出された個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を個人情報ファイルとして個人情報カプセルから抽出するものである。
【００３６】
変換手段１０６は、フィルタリング手段１０５によって抽出された個人情報ファイルを、コンテナ機能を有する完成文書ファイル〔ここでは、改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換するものである。
暗号化手段１０７は、前記コンテナ機能を用いて当該ＰＤＦファイルに当該個人情報ファイルのオリジナルファイルを添付・格納してから、当該ＰＤＦファイルを、送信先のクライアント端末２０に応じた暗号鍵で暗号化して暗号化ファイルを作成するものである。なお、ＰＤＦファイルへの変換は例えばＰＤＦドライバによって行なわれ、このＰＤＦドライバを起動することにより、管理対象ファイルがＰＤＦ化され、ＰＤＦファイルファイルが生成されるようになっている。また、ここで暗号化のために用いられた暗号鍵に対応する復号鍵〔暗号化ファイルを復号化（平文化）するための鍵〕は、認証情報／復号鍵保存手段１２において、利用者もしくは暗号化ファイル（個人情報ファイル）に対応付けられて保存されているものとする。
【００３７】
アクセス権限設定手段１０８は、暗号化ファイルに対する所定のアクセス権限を、個人情報ファイルの送信先の利用者に応じて設定するものである。このアクセス権限設定手段１０８により、暗号化ファイルにアクセスする利用者について、暗号化ファイルへのアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、コンテナ機能により添付されたオリジナルファイルの取出しや、取り出されたファイルの編集などのアクセスの中から選択されたものを実行する権限）の設定が自動的にもしくは利用者（管理者）の指示によって行なわれるものとする。これにより、クライアント端末２０において、利用者は、後述するごとく復号化手段２６によって復元された個人情報ファイルに対するアクセスとして、アクセス権限設定手段１０８によって設定されたアクセス権限に応じたアクセスを許可されるようになっている。
【００３８】
個人情報ファイル送信手段１０９は、暗号化手段１０７によって得られた暗号化ファイル（原ファイルはフィルタリング手段１０５によって個人情報カプセルから抽出された個人情報要素を含む個人情報ファイル）をネットワーク３０経由でクライアント端末２０に送信するものである。
ログ記録手段１１０は、クライアント端末２０からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴（送信日時，送信先情報，送信されたファイルを特定するための情報など）をログとして記録するものである。
【００３９】
認証情報受信手段１１１は、クライアント端末２０において管理サーバ１０から送信された暗号化ファイルを利用する際にクライアント端末２０から送信されてくる暗号化ファイルについての認証情報（識別番号およびパスワード）を受信するものである。このとき、認証情報受信手段１１１は、認証情報とともに、暗号化ファイルを復号化するための復号鍵の送信要求もクライアント端末２０から受信することになる。暗号化ファイルについての認証情報（識別番号およびパスワード）は、暗号化ファイル毎に設定されるものであるため、上述した受信手段１０１，１０４の認証判定機能による利用者認証で必要になる認証情報とは異なるものであり、暗号化ファイルについての認証情報も、認証情報／復号鍵保存手段１２に保存されているものとする。
【００４０】
判定手段１１２は、上述した受信手段１０１や１０４の認証判定機能と同様の機能を果たすもので、認証情報受信手段１１１によって受信された認証情報に基づいて、クライアント端末２０が暗号化ファイルの正当な送信先であるか否かの判定（クライアント端末２０を通じて暗号化ファイルにアクセスする利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定）を行なうものである。
【００４１】
復号鍵送信手段１１３は、判定手段１１２によってクライアント端末２０が正当な送信先であると判定された場合、アクセス要求対象の暗号化ファイルを復号化するための復号鍵を、認証情報／復号鍵保存手段１２から読み出し、ネットワーク３０経由でクライアント端末２０に送信するものである。
変更手段１１４は、受信手段１０１の認証判定機能により正当な利用者であると判定された場合に、上述のごとく入力・受信された個人情報カプセルに対する変更の内容に従って、個人情報カプセルデータベース１１に保存された、変更対象の個人情報カプセルの内容を変更するものである。
【００４２】
無効化手段１１５は、変更手段１１４によって個人情報カプセルの内容が変更された場合、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイルを無効化するものである。この無効化手段１１５による無効化手法としては、その個人情報ファイルに対応する暗号化ファイルを復号化する復号鍵（認証情報／復号鍵保存手段１２に保存されているもの）を変更する手法や、その個人情報ファイルに対応する暗号化ファイルに対するアクセス要求（認証情報）を受信し利用者認証がなされても復号鍵送信手段１１３による復号鍵の送信を禁止する手法や、ログ記録手段１１０によって記録されたログに基づきその個人情報ファイルに対応する暗号化ファイルの送信先のクライアント端末２０にそのファイルの削除指令を送信し、クライアント端末２０において個人情報ファイルを削除させる手法などが用いられる。
【００４３】
通知手段１１６は、無効化手段１１５によって個人情報ファイル（暗号化ファイル）を無効化した場合に、その旨を、ネットワーク３０経由で電子メール等によりクライアント端末２０に通知することにより、無効化された個人情報ファイル（暗号化ファイル）に対応する個人情報カプセルに対するアクセス要求の再実行を利用者に促すものである。
【００４４】
デジタル署名付与手段１１７は、生成手段１０２によって生成された個人情報カプセルや、変更手段１１４によって変更された個人情報カプセルや、フィルタリング手段１０５によって得られた個人情報ファイルに対しデジタル署名を付与するものである。ここで、デジタル署名は、デジタル文書の正当性を保証するために付けられる暗号化された署名情報で、公開鍵暗号方式の応用によって、デジタル文書（ここでは個人情報カプセルや個人情報ファイル）の作成者を証明し、且つその文書が改竄されていないことを保証するものである。署名者（管理サーバ１０側の管理者）は、自身の秘密鍵を用いて暗号化した署名をデジタル文書に付加して送る。受取人（クライアント端末２０側の利用者）は、署名者の公開鍵を用いて署名を復号し、正しい内容かどうか確認する。これにより、第三者による偽造防止のほか、署名者がそのデジタル文書を作成したことの証明にも用いることができる。
【００４５】
個人情報探査手段１１８は、クライアント端末２０におけるデータの中から個人情報や個人情報ファイルを探査するもので、その探査はクライアント端末２０のデータを管理サーバ１０側に吸い上げて行なってもよいし、個人情報探査手段１１８により、各クライアント端末２０に個人情報探査ツールを実現するための個人情報探査プログラムをインストールし、各クライアント端末２０でその個人情報探査プログラムを実行させることで個人情報や個人情報ファイルの自己探査を実行させ、その自己探査の結果を各クライアント端末２０から受信するようにしてもよい。
【００４６】
ここで、個人情報ファイルの探査手法としては、後述する２つの探査手法のうちのいずれか一方を用いることができる。本実施形態において、個人情報ファイルの条件は、個人情報要素を含むレコードを所定数以上保有しているファイルであり、個人情報要素は、単体もしくは組合せによって特定の個人を識別することのできる文字列、例えば氏名，生年月日，連絡先（住所，居所，電話番号，メールアドレス）などである。また、個人情報要素としては、これら以外に、役職名，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号なども挙げられる。
【００４７】
削除手段１１９は、個人情報探査手段１１８によって探査された個人情報や個人情報ファイルにデジタル署名付与手段１１７によるデジタル署名が付与されていない場合、個人情報や個人情報ファイルをクライアント端末２０から削除するものであり、この削除手段１１９も、管理サーバ１０側にそなえ管理サーバ１０からネットワーク３０経由で削除指示をクライアント端末２０へ送信するようにしてもよいし、この削除手段１１９としての機能を実現するためのプログラムを上記個人情報探査プログラムとともに各クライアント端末２０にインストールしクライアント端末２０側で削除手段１１９としての機能を実現させてもよい。
【００４８】
この削除手段１１９による個人情報や個人情報ファイルの削除を実行する前に、探査によって見つかった個人情報や個人情報ファイルを、管理サーバ１０の管理対象である個人情報カプセルとして登録するか否かを問い合わせる機能をそなえてもよい。登録する場合には、生成手段１０２により、探査された個人情報や個人情報ファイルに基づき個人情報カプセルを生成し個人情報カプセルデータベース１１に登録・保存する。一方、登録しない場合には、探査された個人情報や個人情報ファイルを削除手段１１９により削除してもよいし、一定期限を設定し、その一定期限内に登録しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除してもよい。なお、上述のような問い合せ機能を用いることなく、探査された個人情報や個人情報ファイルを削除手段１１９により直ちに強制削除することもできる。
【００４９】
さらに、デジタル署名が付与されているが暗号化されていない個人情報や個人情報ファイルが探査された場合には、その個人情報や個人情報ファイルを暗号化ファイルに変換するか否かを問い合わせる機能をそなえてもよい。暗号化ファイルに変換する場合、上述した変換手段１０６や暗号化手段１０７により、探査された個人情報や個人情報ファイルを暗号化ファイルに変換してもよい。一方、暗号化ファイルに変換しない場合、探査された個人情報や個人情報ファイルを削除手段１１９により削除してもよいし、一定期限を設定し、その一定期限内に暗号化ファイルに変換しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除してもよい。なお、上述のような問い合せ機能を用いることなく、探査された個人情報や個人情報ファイルを変換手段１０６や暗号化手段１０７により直ちに暗号化ファイルに強制変換することもできる。
【００５０】
なお、個人情報カプセル生成／変更要求受信手段１０１，アクセス要求受信手段１０４，個人情報ファイル送信手段１０９，認証情報受信手段１１１，復号鍵送信手段１１３，通知手段１１６などとしての機能としては、管理サーバ１０が本来有している送受信機能を用いて実現される。
【００５１】
また、認証情報／復号鍵保存手段１２，変換手段１０６，暗号化手段１０７，アクセス権限設定手段１０８，個人情報ファイル送信手段１０９，ログ記録手段１１０，認証情報受信手段１１１，判定手段１１２，復号鍵送信手段１１３としての機能は、本実施形態では個人情報管理サーバ１０にもたせているが、個人情報管理サーバ１０とは別体で、ネットワーク３０を介してもしくは直接的に個人情報管理サーバ１０と通信可能に接続されたファイルアクセス管理サーバによって実現してもよい。
【００５２】
同様に、個人情報探査手段１１８および削除手段１１９としての機能も、本実施形態では個人情報管理サーバ１０にもたせているが、個人情報管理サーバ１０とは別体で、ネットワーク３０を介してもしくは直接的に個人情報管理サーバ１０と通信可能に接続された他のサーバによって実現してもよく、その際、さらに、後述するＰマークによる個人情報ファイルの管理を該他のサーバによって実行するようにしてもよい。
【００５３】
〔１−３〕クライアント端末の構成
図３は本実施形態におけるクライアント端末２０の構成を示すブロック図であり、この図３に示すように、本実施形態のクライアント端末２０は、後述する各種手段２１〜２７をそなえて構成されている。これらの手段２１〜２７としての機能は、所定のアプリケーションプログラムを、クライアント端末として機能すべきコンピュータのＣＰＵに実行させることによって実現される。
【００５４】
アクセス要求送信手段２１は、利用者がクライアント端末２０において管理サーバ１０で管理されている個人情報カプセルの内容（個人情報要素）を利用して例えば名簿や住所録を作成する際に、個人情報カプセルに対するアクセス要求を認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信するものである。
個人情報ファイル受信手段２２は、管理サーバ１０から、アクセス要求送信手段２１によって送信されたアクセス要求に応じた個人情報ファイルをネットワーク３０経由で受信するものである。
【００５５】
個人情報ファイル保存手段２３は、個人情報ファイル受信手段２２により管理サーバ１０から受信された個人情報ファイルを保存するものである。
認証情報送信手段２４は、個人情報ファイル保存手段２３に保存されている個人情報ファイルである暗号化ファイルを開く場合に、暗号化ファイルについての認証情報（識別番号およびパスワード）をネットワーク３０経由で管理サーバ１０に送信するものである。
【００５６】
復号鍵受信手段２５は、その暗号化ファイルに応じた復号鍵を管理サーバ１０からネットワーク３０経由で受信するものである。
復号化手段２６は、復号鍵受信手段２５によって受信された復号鍵を用いて暗号化ファイルを復号化し元の個人情報ファイルを復元するものである。
【００５７】
編集手段２７は、復号化手段２６によって復元された個人情報ファイルであるＰＤＦファイルから取り出されたオリジナルファイルを編集するものであり、クライアント端末２０を利用する利用者は、管理サーバ１０のアクセス権限設定手段１０８によって、ＰＤＦファイルからオリジナルファイルを取り出す取出し権限と、取り出されたオリジナルファイルの編集権限とを所定のアクセス権限として設定されている場合、編集手段２７によってオリジナルファイルを編集することを許可される。そして、クライアント端末２０において、編集手段２７によって編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されることが禁止されるように構成されている。つまり、編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイルにしか保存することができないようになっている。
【００５８】
〔１−４〕個人情報ファイルの探査手法
ここで、本実施形態の個人情報探査手段１１８により個人情報ファイルを探査する際に用いられる、２つの探査手法について説明する。
（Ａ）第１の探査手法
第１の探査手法では、以下のように、住所，電話番号，メールアドレス，氏名の出現頻度を数値化し、個人情報ファイルの特定を行なっている。
【００５９】
まず、クライアント端末２０における、ある一つのファイルに含まれる文字もしくは文字列と個人情報において特徴的に出現する文字／文字列として予め設定された特徴文字／特徴文字列とを照合し、特徴文字／特徴文字列が当該ファイルにおいて出現する回数を計数する。ただし、文字列による照合・認識を行なうとＣＰＵにかかる負荷が極めて大きくなるので、１文字ずつの照合・認識を行なうものとする。従って、前記条件としては、特徴文字が１文字ずつ設定されている。なお、ＣＰＵの演算処理能力が十分に高い場合には文字列による照合・認識を行なってもよい。
【００６０】
そして、当該ファイル（テキストファイル）から抽出された文字を、１文字ずつ、前記条件として設定された特徴文字と照合し、これらが一致する場合には、その特徴文字が出現したものと判断して、その特徴文字のカウント値を“１”カウントアップする。このようにして当該ファイルに含まれる全ての文字における、特徴文字の出現回数を計数してから、その計数結果に基づいて個人情報ファイルの特定（当該ファイルが個人情報ファイルであるか否かの判定）を行なっている。
【００６１】
ここで、前記条件として予め設定される特徴文字について具体的に説明する。一般的な個人情報では、通常、住所が必須となる。そこで、日本国内の住所において特徴的に出現する文字を特徴文字として前記条件に設定登録しておく。例えば、住所情報には“都”，“道”，“府”，“県”，“市”，“区”，“町”，“村”，“郡”などが含まれている可能性が高く、“東京都”の場合、“東”，“京”の文字は通常文書中にも出現するが住所情報の場合、“都”と組合わせて出現することになるので、“都”の出現回数を住所数として見なすことが可能になる。同様に“府”や“県”や“道”も住所の見なし情報となるほか、“＠”についてはメールアドレスの見なし情報として用いることが可能になる。
【００６２】
具体的には、前記条件として以下のような特徴文字およびポイントが設定されている。
(1)住所の見なし情報（特徴文字）として“東”，“京”，“都”，“大”，“阪”，“府”，“北”，“海”，“道”が設定され、これらの特徴文字の計数値の合計が住所ポイント１として計数・算出される。
(2)住所の見なし情報（特徴文字）として、住所ポイント１以外の府県名、つまり“山”，“形”，“神”，“奈”，“川”，“埼”，“玉”，…，“福”，“岡”，“県”などが設定され、これらの特徴文字の計数値の合計が住所ポイント２として計数・算出される。
【００６３】
(3)住所の見なし情報（特徴文字）として“市”，“区”，“町”，“村”，“郡”が設定され、これらの特徴文字の計数値の合計が住所ポイント３として算出される。
(4)メールアドレスの見なし情報（特徴文字）として“＠”が設定され、この“＠”の計数値がメールアドレスポイントとして用いられる。
【００６４】
(5)電話番号の見なし情報（特徴文字列）として、“Ｎ”（数字，ハイフンからなる所定桁数の数字列）が設定され、その計数値が電話番号ポイントとして用いられる。より具体的には、電話番号は“090-XXXX-XXXX”，“03-XXXX-XXXX”，“048-XXX-XXXX”というように、携帯電話局番や市外局番に対応する特定の数字列“090”，“03”，“048”の後に８桁もしくは７桁の数字列が連続する構成となっており、このような数字列が出現した場合に電話番号ポイントを“１”カウントアップする。このとき、数字列中におけるハイフンの有無に関係なくカウントアップを行なう。
【００６５】
(6)氏名の見なし情報（特徴文字）として、例えば日本国内における苗字のベスト５０に含まれる文字“佐”，“藤”，“田”，“中”，“高”，“橋”，…，“山”，“田”が設定され、これらの特徴文字の計数値の合計が氏名ポイントとして算出される。
(7)合計ポイントとして、上述した項目(1)〜(6)の各ポイントの合計値が計数・算出される。
【００６６】
なお、上述のようにして得られた計数結果（出現回数）に基づいて各都道府県名の出現率を算出する際に、重複文字が存在する場合の取扱について説明する。例えば“東京都”と“京都府”とがテキストファイルに混在する場合、“都”が重複するため、“都”の計数値には“東京都”の計数値に“京都府”のカウントが混ざることになる。“京都府”の“府”は“大阪府”の“府”と重複するので、まず“大阪”の出現率を算定し、その出現率を“府”の出現率から減算すれば、“京都府”の出現率を予測することが可能になる。このようにして予測された“京都府”の出現率を“都”の出現率から減算することにより、“東京都”の出現率とすることができる。また、県名と市名とが重複するような場合（例えば大阪府大阪市）、“大阪”の出現率が２倍になるが、郵政省管理で公開されている日本の住所録に基づいて都道府県名別の重複率を算定し、算定された重複率に基づいて出現率の調整を行なうことにより、実際の出現率を推定することが可能である。
【００６７】
さらに、都道府県表示が無い場合の取扱について説明する。ファイルにおいて、都道府県名についてタイトルヘッダを用いる場合や、政令指定都市の住所表示や郵便番号を使用した住所表示では、“都”，“道”，“府”，“県”の出現率が極端に低下することになる。その代わり県名等の名称出現率が高くなるので、名称出現率から、ファイルが住所情報を含む個人情報ファイルであることの特定を行なうことが可能になる。
【００６８】
なお、前記条件では、住所，メールアドレス，電話番号，氏名において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定しているが、本発明は、これらに限定されるものでなく、生年月日，役職名，個人識別情報（例えば、住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号など）において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定してもよい。
【００６９】
そして、上述のようにして得られた計数結果に基づいて、当該ファイルが個人情報ファイルであるか否かを判定するための判定値が算出される。その判定値としては、(a)検疫合計ポイント（上記項目(7)参照）の値をそのまま用いてもよいし、(b)特徴文字／特徴文字列の出現率が高いほど大きくなる判定ポイントを前記判定値として算出してもよいし、(c)特徴文字／特徴文字列毎に得られた計数結果に基づいて対象ファイルにおける特徴文字／特徴文字列の出現パターンを求め、求められた出現パターンと特徴文字／特徴文字列の出現パターンとして予め設定された特徴出現パターンとの一致の度合いを示す一致度を前記判定値として算出してもよいし、(d)これら３種類の判定値のうちの２以上を組み合わせ、２以上の判定値を所定関数に代入して算出された値を前記判定値として用いてもよい。
【００７０】
このとき、当該ファイルに複数種類の情報（例えば住所，メールアドレス，電話番号，氏名の４種類）に係る特徴文字／特徴文字列が存在している場合、対象ファイル中に１種類の情報に係る特徴文字／特徴文字列が存在している場合よりも、前記判定値が大きくなるように、計数結果に対する重み付けを行なう。つまり、データファイル中に、個人を特定しうる複数種類の情報が含まれている場合には、そのデータファイルが個人情報ファイルである可能性は、個人を特定しうる情報が１種類だけ含まれている場合よりも高いと考えられるので、そのデータファイルについての判定値（重要度）が大きくなるように重み付けを行なう。また、その情報の種類数が多いほど、判定値が大きくなるように重み付けを行なうようにしてもよい。これにより、より確実に個人情報ファイルを特定することが可能になる。
【００７１】
上述のような判定値が算出されると、その判定値に基づいて、当該ファイルが個人情報ファイルであるか否かを判定する。例えば、前記判定値が所定閾値を超えた場合に対象ファイルが個人情報ファイルであると判定する。
このような判定を行なう際に、本実施形態では、さらに、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を当該ファイルに付与してＰマークテーブル（図示省略）に設定・登録し、ランク付けを行なってもよい。このＰマークは、前述した通り、対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークを高いランクに設定する。
【００７２】
例えば、前記判定値が１０以上となった場合、当該ファイルが個人情報ファイルであると判定、つまり当該ファイルが管理対象ファイルであると判定する。また、前記判定値が１０以上１００未満である場合、Ｐマークとして“Ｐ１”を付与し、前記判定値が１００以上１０００未満である場合、Ｐマークとして“Ｐ２”を付与し、前記判定値が１０００以上１００００未満である場合、Ｐマークとして“Ｐ３”を付与し、前記判定値が１００００以上である場合、Ｐマークとして“Ｐ４”を付与する。
【００７３】
上述のようにファイルに付与されたＰマークのレベル（ランク）に応じて、管理サーバ１０は、以下のようにファイルを管理対象ファイルとして管理してもよい。
例えば、Ｐマークのランクが“Ｐ１”である場合、警告情報によるリコメンドは行なわないが“Ｐ１”の管理対象ファイルが存在することをログとして記録する。Ｐマークのランクが“Ｐ２”である場合、その管理対象ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報を通知する。Ｐマークのランクが“Ｐ３”である場合、その管理対象ファイルの返却を指示する。Ｐマークのランクが“Ｐ４”である場合、その管理対象ファイルを利用者端末１０Ａから強制的に捕獲・回収する。なお、Ｐマークのランクが“Ｐ４”でなくても、“Ｐ３”のデータファイルが所定日数放置された場合には、そのデータファイルをクライアント端末２０から強制的に捕獲・回収してもよい。
【００７４】
（Ｂ）第２の探査手法
第２の探査手法では、以下のようにして、個人情報ファイルの特定を行なっている。
まず、クライアント端末２０におけるファイルのテキストデータ〔例えばＣＳＶ（Comma Separated Value）形式のデータ〕を抽出し、抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出して、判定対象／照合対象としてバッファ（図示略）に順次書き出す。ここで、区切り文字は、例えば半角スペース，半角カンマ（半角カンマ＋半角スペースも半角カンマと見なす），タブ文字（半角），ＣＲ（Carrige Return），ＬＦ（Line Feed）である。切り出される文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号、例えばハイフン，アンダバー，括弧記号などの記号文字が除去される。
【００７５】
上述のように切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、氏名以外の個人情報要素（具体的に本実施形態では電話番号，電子メールアドレス，住所のうちのいずれか一つ）に該当するか否かを判定する。ここでは、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で、上記文字列の判定処理を行なう。
【００７６】
最初に、上記文字列が電話番号に該当するか否かを判定する。具体的には、上記文字列が前記条件として設定されている電話番号判定条件を満たす場合、上記文字列が電話番号に該当するものと判定する。本実施形態において、電話番号判定条件は、上記文字列中に９〜１５桁の数字が含まれていることとする。
【００７７】
ついで、上記文字列が電話番号に該当しないと判定された場合に、上記文字列が電子メールアドレスに該当するか否かを判定する。具体的には、上記文字列が前記条件として設定されている電子メールアドレス判定条件を満たす場合、上記文字列が電子メールアドレスに該当するものと判定する。本実施形態において、電子メールアドレス判定条件は、上記文字列中に「一文字以上のＡＳＣＩＩ（American Standard Code for Information Interchange）」＋「＠（アットマーク）」＋「一文字以上のＡＳＣＩＩ」＋「．（ドット）」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれていることとする。この場合、最短の電子メールアドレスは例えば「a＠a.a」となる。
【００７８】
さらに、上記文字列が電子メールアドレスに該当しないと判定された場合に、上記文字列が住所（居所）に該当するか否かを判定するもので、上記文字列が前記条件として設定されている住所判定条件を満たす場合、上記文字列が住所に該当するものと判定する。本実施形態において、住所判定条件は、上記文字列中に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字」となる文字列が含まれていることとする。このとき、ＣＰＵの演算処理能力が十分に高い場合には、上記文字列に加え、郵便番号に対応する７桁の数字が含まれていることを住所判定条件に加えてもよい。また、住所判定条件は、上述した条件に代え、上記文字列中に、郵便番号に対応する７桁ちょうどの数字列が含まれていること、あるいは、「３桁の数字列」＋「−（ハイフン）」＋「４桁の数字列」となる数字列が含まれていることとしてもよい。
【００７９】
そして、上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合に、その文字列が、前記条件として設定されている文字判定条件を満たすか否か、具体的には、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であるか否かを判定するものである。本実施形態において、文字判定条件は、上述したように、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であることであるが、ここで、上記所定範囲は、氏名（苗字だけの場合や名前だけの場合を含む）の文字数として一般的（適切）な数の範囲、例えば１以上６以下に設定される。
【００８０】
この後、電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された文字区間であって、さらに上記所定範囲内であり且つ全ての文字が漢字であると判定された文字区間について、当該文字区間に含まれる文字／文字列と氏名において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列とを照合することにより、当該文字区間が不適切文字／不適切文字列を含むか否かを判定する。
【００８１】
ここで、不適切文字／不適切文字列は、前記条件として予め設定されており、例えば、東京，大阪，名古屋，横浜，九州，北海道，京都，首都，個人，学園，店，株，県，大学，学院，東証，研究，管理，総務，経理，営業，統括，製薬，販売，学校，教育，専門，建築，機械，法人，工場，製，技術，商，図書，不明，次長，公開，出版，広告，放送，対象，卸売，小売，企画，人事，情報，部門，社長，取締，部長，課長，係長，役員，本社，支社，事業，業務，教務，精密，石油，運輸，経営，戦略，資材，技師，電気，生産，税務，広報，運送，主任，電算，財務，事務，開発，政策，制作，経済，産業，金融，銀行，調査，英語，品質，保証，設備，担当，主席，主事，監査，支援，設計，保険，金庫，事業，代表，交通，第一，第二，第三，第四，第五，第六，第七，第八，第九，特販，施設，氏名，郵便，名前，名称，市役，所属，特色，幼稚，基督，協会，教会，組合，教団，商工，全国，支部，連絡，議会，生活，消費，推進，市役所，区役所，総合，修正，機能，概要，構成，企業，組織，関連，削除，文書，期限，有効といった、一般的な氏名において出現し得ない文字／文字列、つまり、氏名としては不適切な文字／文字列である。
【００８２】
そして、上述した電話番号判定結果，電子メールアドレス判定結果および住所判定結果と不適切文字／不適切文字列の照合判定結果とに基づいて、対象ファイルが個人情報ファイルであるか否かを判定する。より具体的に説明すると、電話番号，電子メールアドレス，住所のそれぞれに該当すると見なされた文字区間の数を計数するとともに、不適切文字／不適切文字列の照合判定結果を受け、不適切文字／不適切文字列を含まないと判定された文字区間を氏名に該当するものと見なし、その数を計数する。
【００８３】
電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数結果（４つの計数値；電話番号数，電子メールアドレス数，住所数，氏名数）に基づいて、これらの計数値が大きくなるほど大きくなる判定値を算出する。例えば、４つの計数値の総和を上記判定値として算出してもよいし、電話番号，電子メールアドレス，住所，氏名のそれぞれについて重み係数を予め設定しておき、各個人情報要素についての重み係数と計数値との乗算結果の総和を上記判定値として算出してもよく、上記判定値の算出手法は種々考えられる。
【００８４】
上述のような判定値が算出されると、その判定値に基づいて、対象ファイルが個人情報ファイルであるか否かを判定する。具体的には、前記判定値が所定閾値を超えた場合に対象ファイルが個人情報ファイルであると判定する。このとき、第１の探査手段においても説明したようにＰマークを付与し、管理サーバ１０により、そのＰマークに応じた管理を行なうようにしてもよい。
【００８５】
なお、上述した第２の探査手法では、氏名以外の個人情報要素が、電話番号，電子メールアドレス，住所の３要素である場合について説明したが、本発明は、これに限定されるものでなく、氏名以外の個人情報要素としては、例えば、生年月日，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号などを用いてもよい。
上述のような第１の探査手法もしくは第２の探査手法を用いて、個人情報探査手段１１８によって個人情報ファイルが探査され、その探査結果に応じて、上述したように、削除手段１１９による削除や各種問い合せが実行されることになる。
【００８６】
〔２〕本実施形態の個人情報管理システムの動作
次に、図４〜図６を参照しながら、上述のごとく構成された本実施形態の個人情報管理システム１の動作について説明する。なお、図４および図５は本実施形態における個人情報管理サーバ１０の動作を説明するためのフローチャート、図６は本実施形態におけるクライアント端末２０の動作を説明するためのフローチャートである。
【００８７】
〔２−１〕個人情報管理サーバの動作
まず、図４に示すフローチャート（ステップＳ１０〜Ｓ１４，Ｓ２０〜Ｓ２６，Ｓ３０〜Ｓ４３，Ｓ５０）に従って、本実施形態の個人情報管理サーバ１０の動作について説明する。
【００８８】
個人情報カプセル生成／変更要求受信手段１０１により、個人情報カプセル生成要求が、認証情報（識別番号およびパスワード）や個人情報カプセルの内容として保存されるべき複数種類の個人情報要素とともに受信されると（ステップＳ１０のＹＥＳルート）、受信手段１０１の認証判定機能により、認証情報（識別番号およびパスワード）に基づいて、個人情報カプセル生成要求を行なった利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定が実行される（ステップＳ１１）。つまり、受信手段１０１は、識別番号によって認証情報／復号鍵保存手段１２を検索し、その識別番号に対応する登録パスワードを認証情報／復号鍵保存手段１２から読み出し、認証情報に含まれるパスワードと、認証情報／復号鍵保存手段１２から読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定を行なう。
【００８９】
これらのパスワードが一致し、個人情報カプセル生成要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ１１のＹＥＳルート）、受信手段１０１によって受信された複数週類の個人情報要素に基づいて、生成手段１０２により、個人情報カプセル（所定フォーマットのデータセット）が生成される（ステップＳ１２）。その際、生成された個人情報カプセルに対し、デジタル署名付与手段１１７によりデジタル署名が付与される。
【００９０】
また、個人情報カプセルが生成手段１０２によって生成されると、フィルタ設定手段１０３により、その個人情報カプセルをアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタが設定される（ステップＳ１３）。上述のごとく生成・設定された個人情報カプセルおよびフィルタは、例えば個人情報カプセルや利用者に対応付けられて個人情報カプセルデータベース１１に保存され（ステップＳ１４）、ステップＳ１０の処理に戻る。
【００９１】
個人情報カプセル生成／変更要求受信手段１０１により、個人情報カプセル変更要求が、認証情報（識別番号およびパスワード）や既に登録されている個人情報カプセルに対する変更の内容とともに受信されると（ステップＳ１０のＮＯルートからステップＳ２０のＹＥＳルート）、受信手段１０１の認証判定機能により、上記ステップＳ１１と同様の認証判定が行なわれる（ステップＳ２１）。
【００９２】
パスワードが一致し、個人情報カプセル変更要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ２１のＹＥＳルート）、変更手段１１４により、変更対象の個人情報カプセルが個人情報カプセルデータベース１１から取り出され（ステップＳ２２）、受信手段１０１によって受信された変更内容（住所や電話番号などの変更等）に従って変更対象の個人情報カプセルの内容が変更される（ステップＳ２３）。内容を変更された個人情報カプセルは、デジタル署名付与手段１１７によりデジタル署名を新たに付与された上で、個人情報カプセルデータベース１１に保存される（ステップＳ２４）。
【００９３】
上述のごとく個人情報カプセルの内容が変更されると、無効化手段１１５により、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイルが無効化される（ステップＳ２５）。その無効化は、上述したように、その個人情報ファイルに対応する暗号化ファイルを復号化する復号鍵（認証情報／復号鍵保存手段１２に保存されているもの）を変更したり、その個人情報ファイルに対応する暗号化ファイルに対するアクセス要求（認証情報）を受信し利用者認証がなされても復号鍵送信手段１１３による復号鍵の送信を禁止したり、ログ記録手段１１０によって記録されたログに基づきその個人情報ファイルに対応する暗号化ファイルの送信先のクライアント端末２０にそのファイルの削除指令を送信し、クライアント端末２０において個人情報ファイルを削除させたりすることで行なわれるが、いずれの場合もクライアント端末２０側で暗号化ファイルの内容を参照不可能な状態にしている。
【００９４】
そして、通知手段１１６により、その個人情報ファイル（暗号化ファイル）が無効化されたことが、ネットワーク３０経由で電子メール等によりクライアント端末２０に通知され（ステップＳ２６）、無効化された個人情報ファイル（暗号化ファイル）に対応する個人情報カプセルに対するアクセス要求の再実行を利用者に促してから、ステップＳ１０の処理に戻る。
【００９５】
アクセス要求受信手段１０４により、個人情報カプセルに対するアクセス要求が認証情報（識別番号およびパスワード）とともに受信されると（ステップＳ１０のＮＯルート，ステップＳ２０のＮＯルートからステップＳ３０のＹＥＳルート）、アクセス要求受信手段１０４の認証判定機能により、上記ステップＳ１１と同様の認証判定が行なわれる（ステップＳ３１）。
【００９６】
パスワードが一致し、アクセス要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ３１のＹＥＳルート）、フィルタリング手段１０５により、アクセス要求対象の個人情報カプセルとその利用者について設定されたフィルタとが個人情報カプセルデータベース１１から取り出され（ステップＳ３２）、そのフィルタを用いて、アクセス要求対象の個人情報カプセル内の個人情報要素のフィルタリング処理が実行され、当該利用者の利用可能な個人情報要素が個人情報ファイルとして個人情報カプセルから抽出される（ステップＳ３３）。なお、個人情報カプセルから抽出された個人情報ファイルには、デジタル署名付与手段１１７により、デジタル署名が付与される。
【００９７】
デジタル署名を付与された個人情報ファイルは、変換手段１０６により、コンテナ機能を有するＰＤＦファイルに変換され（ステップＳ３４）、そのコンテナ機能を用いて当該ＰＤＦファイルに当該個人情報ファイルのオリジナルファイルが添付されてから（ステップＳ３５）、そのＰＤＦファイルは、送信先のクライアント端末２０に応じた暗号鍵で暗号化され、暗号化ファイルが作成される（ステップＳ３６）。このとき、当該暗号化ファイルにアクセスする利用者について、例えば、当該暗号化ファイルに対するアクセス権限（例えば閲覧権限や、オリジナルファイルの取出し権限／編集権限）が、アクセス権限設定手段１０８により設定される（ステップＳ３７）。
【００９８】
上述のごとく作成された暗号化ファイルは、個人情報ファイル送信手段１０９によりネットワーク３０経由でクライアント端末２０に送信される（ステップＳ３８）。その際、ログ記録手段１１０により、その暗号化ファイルの送信の履歴（送信日時，送信先情報，送信されたファイルを特定するための情報など）がログとして記録されてから（ステップＳ３９）、ステップＳ１０の処理に戻る。
【００９９】
認証情報受信手段１１１により、復号鍵の送信要求が暗号化ファイルについての認証情報（識別番号およびパスワード）とともに受信すると（ステップＳ１０のＮＯルート，ステップＳ２０のＮＯルート，ステップＳ３０のＮＯルートからステップＳ４０のＹＥＳルート）、判定手段１１２により、暗号化ファイルについての認証情報（識別番号およびパスワード）に基づいて、復号鍵の送信要求を行なった利用者（暗号化ファイルに対するアクセスを行なう利用者）が正当な登録者（正当な送信先）であるか否かの認証判定が実行される（ステップＳ４１）。
【０１００】
この場合も、ステップＳ１１と同様、判定手段１１２は、識別番号によって認証情報／復号鍵保存手段１２を検索し、その識別番号に対応する登録パスワードを認証情報／復号鍵保存手段１２から読み出し、認証情報に含まれるパスワードと、認証情報／復号鍵保存手段１２から読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定を行なう。
【０１０１】
これらのパスワードが一致し、利用者が正当な送信先であることが認証されると（ステップＳ４１のＹＥＳルート）、復号鍵送信手段１１３により、アクセス要求対象の暗号化ファイルを復号化するための復号鍵が認証情報／復号鍵保存手段１２から取り出され（ステップＳ４２）、ネットワーク３０経由でクライアント端末２０に送信される（ステップＳ４３）。この後、ステップＳ１０の処理に戻る。
【０１０２】
なお、受信手段１０１，１０４の認証判定機能や判定手段１１２によりパスワードが不一致であると判定された場合、もしくは、識別番号に対応する登録パスワードが認証情報／復号鍵保存手段１２に登録されていなかった場合には、利用者が正当な利用者もしくは正当な送信先ではないと判定され（ステップＳ１１，Ｓ２１，Ｓ３１，Ｓ４１のＮＯルート）、管理サーバ１０からクライアント端末２０にネットワーク３０経由でエラー通知を行なってから（ステップＳ５０）、ステップＳ１０の処理に戻る。個人情報カプセル生成要求が管理サーバ１０で入力されている場合には、そのエラー通知は管理サーバ１０で個人情報カプセル生成要求を行なった利用者もしくは管理者に対して行なわれる。また、ステップＳ４０でＮＯ判定の場合にはステップＳ１０の処理に戻る。
【０１０３】
〔２−２〕個人情報管理システムの個人情報探査動作
図５に示すフローチャート（ステップＳ５１〜Ｓ５８）に従って、本実施形態の個人情報管理システム１における個人情報探査動作について説明する。
個人情報管理システム１では、予め設定された周期もしくは所定の起動タイミング（システムの起動時等）で、個人情報探査手段１１８による個人情報探査動作が実行されるようになっている。
【０１０４】
個人情報探査手段１１８が起動されると（ステップＳ５１のＹＥＳルート）、本実施形態では、前述した通り、個人情報探査手段１１８により、各クライアント端末２０に個人情報探査ツールを実現するための個人情報探査プログラムをインストールし、各クライアント端末２０でその個人情報探査プログラムを実行させることで個人情報や個人情報ファイルの自己探査を実行させ（ステップＳ５２）、その自己探査の結果を各クライアント端末２０から受信する（ステップＳ５３）。
【０１０５】
そして、管理サーバ１０において、自己探査の結果に基づき個人情報／個人情報ファイルを保有しているクライアント端末２０の存在を確認した場合（ステップＳ５４のＹＥＳルート）、保有されている個人情報／個人情報ファイルに、管理サーバ１０によるデジタル署名が付与されている否かを判定する（ステップＳ５５）。個人情報／個人情報ファイルを保有しているクライアント端末２０が存在しない場合（ステップＳ５４のＮＯルート）やデジタル署名が付与されている場合（ステップＳ５５のＹＥＳルート）、ステップＳ５１に戻る。
【０１０６】
デジタル署名が付与されていない場合（ステップＳ５５のＮＯルート）、その個人情報／個人情報ファイルを個人情報カプセルとして管理サーバ１０に登録するか否かを、その個人情報／個人情報ファイルを保有しているクライアント端末２０の利用者に問い合わせる（ステップＳ５６）。利用者が登録することを望む場合（ステップＳ５６のＹＥＳルート）、管理サーバ１０において、生成手段１０２により、探査された個人情報／個人情報ファイルに基づき個人情報カプセルを生成し個人情報カプセルデータベース１１に登録・保存する（ステップＳ５７）。この後、ステップＳ５１の処理に戻る。
【０１０７】
利用者が登録することを望まない場合（ステップＳ５６のＮＯルート）、削除手段１１９により、デジタル署名の施されていない個人情報／個人情報ファイルはクライアント端末２０上から削除され（ステップＳ５８）、ステップＳ５１の処理に戻る。このとき、前述したように、一定期限を設定し、その一定期限内に利用者がその個人情報／個人情報ファイルを登録しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除するようにしてもよい。
【０１０８】
ここで、デジタル署名の有無を判定できる個人情報／個人情報ファイルは、当然、暗号化手段１０７による暗号化を施されていないもので、何らかの理由により、デジタル署名付与手段１１７によってデジタル署名を付与されたが暗号化されることなくクライアント端末２０に流出したものと考えられる。そこで、デジタル署名が付与されているが暗号化されていない個人情報／個人情報ファイルが探査された場合（ステップＳ５５のＹＥＳ）には、前述したように、その個人情報／個人情報ファイルを暗号化ファイルに変換するか否かを問い合わせ、利用者が暗号化ファイルに変換することを望む場合、上述した変換手段１０６や暗号化手段１０７により、探査された個人情報や個人情報ファイルを暗号化ファイルに変換する一方、暗号化ファイルに変換することを望まない場合、その個人情報／個人情報ファイルを削除手段１１９により削除するようにしてもよい。
【０１０９】
〔２−３〕クライアント端末の動作
図６に示すフローチャート（ステップＳ６０〜Ｓ６３，Ｓ７０〜Ｓ８１）に従って、本実施形態のクライアント端末２０の動作について説明する。
クライアント端末２０では、利用者が管理サーバ１０で管理されている個人情報カプセルの内容（個人情報要素）を利用して例えば名簿や住所録を作成すべくアクセス要求を発行する場合（ステップＳ６０のＹＥＳルート）、アクセス要求送信手段２１により、個人情報カプセルに対するアクセス要求が認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信される（ステップＳ６１）。
【０１１０】
このアクセス要求に応じて、個人情報ファイル受信手段２２により、管理サーバ１０から、アクセス要求送信手段２１によって送信されたアクセス要求に応じた個人情報ファイル（暗号化ファイル）がネットワーク３０経由で受信された場合（ステップＳ６２のファイルルート）、受信された個人情報ファイルを個人情報ファイル保存手段２３に保存してから（ステップＳ６３）、ステップＳ６０の処理に戻る。一方、上記アクセス要求に応じて個人情報ファイルではなくエラー通知が受信された場合（ステップＳ６２のエラールート）、クライアント端末２０のディスプレイ等でエラー表示を行なってから（ステップＳ８０）、ステップＳ６０の処理に戻る。
【０１１１】
また、利用者が個人情報ファイル保存手段２３に保存されている個人情報ファイルである暗号化ファイルを開くべくファイルアクセス（復号鍵の送信要求）を行なう場合（ステップＳ６０のＮＯルートからステップＳ７０のＹＥＳルート）、認証情報送信手段２４により、復号鍵の送信要求が暗号化ファイルについての認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信される（ステップＳ７１）。
【０１１２】
この復号鍵の送信要求に応じて、復号鍵受信手段２５により、アクセス対象の暗号化ファイルに応じた復号鍵が管理サーバ１０からネットワーク３０経由で受信された場合（ステップＳ７２のＹＥＳルート）、復号化手段２６により、復号鍵受信手段２５で受信された復号鍵を用いて暗号化ファイルが復号化され元の個人情報ファイル（ＰＤＦファイル）が復元され（ステップＳ７３）、クライアント端末２０のディスプレイに表示される（ステップＳ７４）。一方、復号鍵の送信要求に応じて復号鍵ではなくエラー通知が受信された場合（ステップＳ７２のエラールート）、クライアント端末２０のディスプレイ等でエラー表示を行なってから（ステップＳ８０）、ステップＳ６０の処理に戻る。
【０１１３】
個人情報ファイルの表示後、利用者が、復元されたＰＤＦファイルに添付されたオリジナルファイルの編集を望む場合（ステップＳ７５のＹＥＳルート）、この利用者にオリジナルファイルの取出し権限および編集権限が設定されているか否かを判断し（ステップＳ７６）、設定されていない場合（ステップＳ７６のＮＯルート）、その旨のエラー表示を行なってから（ステップＳ８１）、ステップＳ６０の処理に戻る一方、設定されている場合（ステップＳ７６のＹＥＳルート）、編集手段２７によってオリジナルファイルに対する編集処理を実行する（ステップＳ７７）。なお、利用者がオリジナルファイルの編集を望まない場合（ステップＳ７５のＮＯルート）、ステップＳ６０の処理に戻る。
【０１１４】
編集処理を終了する場合（ステップＳ７８のＹＥＳルート）、編集手段２７によって編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されることが禁止されているので、そのオリジナルファイルを取り出したＰＤＦファイルに保存される（ステップＳ７９）。この後、ステップＳ６０の処理に戻る。
【０１１５】
〔３〕本実施形態の個人情報管理システムの効果
このように、本発明の一実施形態としての個人情報管理システム１によれば、個人情報管理サーバ１０において、特定の個人を識別可能な個人情報が、標準化されたデータセットである個人情報カプセルとして一元的に管理され、個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタがフィルタ設定手段１０３によって設定されており、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いてフィルタリング手段１０５により個人情報カプセル内の個人情報要素のフィルタリング処理が行なわれ当該利用者の利用可能な個人情報要素が個人情報カプセルから抽出され、抽出された個人情報要素が個人情報ファイルとしてクライアント端末２０に送信される。
【０１１６】
これにより、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供することができるので、利用者にとって不必要と思われる内容が不用意に送信されることがなくなり、個人情報の不用意な流出・漏洩や個人情報の不正利用などが確実に防止され、個人情報の保護を実現することができる。
【０１１７】
このとき、例えば、画像情報等を含む全ての個人情報を公開するレベルや、画像情報以外の個人情報を公開するレベルや、氏名および連絡先のみを公開するレベルといった、利用者のランク分けを行なってフィルタ設定を行なうことにより、そのランクに応じた個人情報を提供することが可能になる。また、例えば、企業等において、特定の個人を識別可能な各種個人情報要素を含む個人情報を一元的に管理しながら利用者が特定の個人の個人情報を閲覧・利用する際に、上述のようなフィルタ設定を行なうことにより、利用者がその特定の個人の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、利用者に応じた内容の個人情報要素のみを利用者に提供することができる。
【０１１８】
また、個人情報管理サーバ１０において、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイル（暗号化ファイル）を無効化手段１１５により無効化するように構成することにより、個人情報カプセルの内容が変更されると、変更前の個人情報ファイルが無効化され誰も利用できなくなるため、変更前の個人情報ファイルであっても不用意な流出・漏洩や不正利用が確実に防止され、個人情報を確実に保護することができる。
【０１１９】
その際、利用者は、個人情報ファイルが無効化されたことで個人情報ファイルを利用できなくなったことを認識することができ、再度アクセス要求を行なって、変更後の最新の個人情報ファイルを得ることが可能になる。
【０１２０】
さらに、個人情報ファイルを無効化した場合にその旨を通知手段１１６により管理サーバ１０からクライアント端末２０に自動的に通知することで、個人情報カプセルに対するアクセス要求の再実行を利用者に促すことができ、その通知を受けた利用者は自分の判断で再度アクセス要求を行なうことにより、変更後の最新の個人情報ファイルを得ることが可能になり、利用者の利便性を向上させることができる。これにより、例えば、利用者は、管理サーバ１０から受信した個人情報ファイルの内容の変更、具体的には相手の人事異動や転職等を直ちに且つ確実に認識でき、人事異動や転職等を知らなかったことによる不都合や非礼の発生を確実に抑止することができる。
【０１２１】
また、管理サーバ１０において新たに生成された個人情報カプセルや変更を施された個人情報カプセルや個人情報ファイルに対し、デジタル署名付与手段１１７によってデジタル署名を付与することで、個人情報カプセルや個人情報ファイルが改竄されていないことを保証することができ、第三者による偽造を防止することができる。
【０１２２】
その際、クライアント端末２０におけるデータの中から個人情報／個人情報ファイルを個人情報探査手段１１８により探査し、探査された個人情報／個人情報ファイルにデジタル署名が付与されていない場合には、削除手段１１９によりその個人情報をクライアント端末２０から削除するように構成することにより、管理サーバ１０でのデジタル署名を付与されていない個人情報は、管理サーバ１０の管理下になく、クライアント端末２０等のローカルで作成された、正規ではない個人情報と判断され、クライアント端末２０から自動的に削除される。これにより、本実施形態のシステム１内では、管理サーバ１０によって一元的に管理される個人情報のみが存在して利用されることになり、個人情報を確実に管理して確実に保護することができる。
【０１２３】
さらに、個人情報ファイルを管理サーバ１０からクライアント端末２０に送信する際、個人情報ファイルが、送信先のクライアント端末１０に応じた暗号鍵を用いて暗号化手段１０７により暗号化され、暗号化ファイルとして送信され、管理サーバ１０（判定手段１１９）によって認証される正当な利用者（正当な送信先であるクライアント端末２０の利用者）のみが暗号化ファイルを復号化してアクセスできるように構成することにより、管理サーバ１０からクライアント端末２０に送信された個人情報ファイルの内容が不用意に流出・漏洩したり不正利用されたりするのを確実に防止でき、個人情報を確実に保護することができる。
【０１２４】
そして、管理サーバ１０において、個人情報ファイルを、コンテナ機能を有するＰＤＦファイルに変換し、そのコンテナ機能を用いて個人情報ファイルのオリジナルファイルを添付した状態でＰＤＦファイルを暗号化してから個人情報ファイルとしてクライアント端末２０に送信することにより、個人情報ファイルが改竄困難なＰＤＦファイルとして送信され、個人情報ファイルを改竄されて不正利用されるのを防止しながら、コンテナ機能により添付されたオリジナルファイルを用いて編集等の操作を行なうことも可能になる。
【０１２５】
ただし、その際、編集等の操作は、オリジナルファイルの取出し権限や編集権限をアクセス権限としてアクセス権限設定手段１０８によって付与された利用者のみが行なえるようにするとともに、クライアント端末２０において編集後のオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されるのを禁止することにより、そのオリジナルファイルの不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１２６】
また、管理サーバ１０において、クライアント端末２０からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴をログ記録手段１１０によりログとして記録することにより、個人情報カプセルに対するアクセス状況が管理され、必要に応じて個人情報ファイルに対するアクセスを追跡管理可能になるので、個人情報の不正利用をより確実に防止することができる。
【０１２７】
なお、変更前の個人情報ファイルを無効化する手段１１５は、例えば、クライアント端末２０に送信されるべき復号鍵（暗号化ファイルを復号化するための鍵）を変更したり、その復号鍵の送信を禁止したり、送信履歴ログに基づき個人情報ファイルの送信先のクライアント端末２０に個人情報ファイルの削除指令を送信して個人情報ファイルを削除させたりすることにより、極めて容易に実現することができる。
【０１２８】
一方、上述した第１の探査手法では、各クライアント端末２０におけるファイル毎に、特徴文字や特徴文字列の出現回数に基づく判定値によって、そのファイルが個人情報ファイル（もしくは機密情報ファイル）であるか否かが判定され、個人情報ファイルを自動的に特定して探査することができるので、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、例えば企業内等において分散して存在する個人情報ファイル（個人情報ファイルである可能性の高いデータファイル）を確実に探査して洗い出し、管理サーバ１０等による管理可能な状態に置くことができる。従って、個人情報の開示要求や訂正要求に確実に対応することができるとともに、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１２９】
また、上述した第２の探査手法では、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。従って、電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう従来手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの探索処理を高速に行なうことが可能になる。
【０１３０】
このとき、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で文字区間における文字列の判定処理を行なうことで、判定処理をより高速に効率良く実行することが可能になる。
また、不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まない電子ファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高い電子ファイルを確実に探索することが可能になる。つまり、本実施形態によって個人情報ファイルであると判定される電子ファイルの数は、従来手法に比べよりも多くなり、個人情報ファイルである可能性の高い電子ファイル（疑わしい電子ファイル）を確実に洗い出すことができる。
【０１３１】
さらに、文字区間の文字数が１以上６以下であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合対象としているので、照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が６を超える長い文字区間が、照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの探索処理のさらなる高速化に寄与することになる。
【０１３２】
このように第２の探査手法によっても、個人情報ファイルを自動的に特定して探索することができるので、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、例えば企業内等において分散して存在する個人情報ファイル（個人情報ファイルである可能性の高い電子ファイル）を確実に探索して洗い出し管理サーバ１０等による管理可能な状態に置くことができ、個人情報の開示要求や訂正要求に確実に対応することができるとともに、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１３３】
また、個人情報ファイルは、各個人情報ファイルに付与されたＰマーク（ランク／レベル）に応じ、管理サーバ１０等によって管理され、個人情報ファイルの利用者（保有者）に注意情報／警告情報を通知したり、個人情報ファイルをクライアント端末２０から強制的に捕獲・回収したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したりすることが可能で、個人情報の不用意な流出・漏洩や個人情報の不正利用などをより確実に防止することができる。
【０１３４】
〔４〕その他
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した手段１０１〜１１９，２１〜２７としての機能（各手段の全部または一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（個人情報管理プログラム）を実行することによって実現される。
【０１３５】
そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から分散型ストレージシステム用制御プログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。
【０１３６】
ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記個人情報管理プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、手段１０１〜１１９，２１〜２７としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。
【０１３７】
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。
【図面の簡単な説明】
【０１３８】
【図１】本発明の一実施形態としての個人情報管理システムの構成を示すブロック図である。
【図２】本実施形態における個人情報管理サーバ（管理サーバ）の構成を示すブロック図である。
【図３】本実施形態におけるクライアント端末の構成を示すブロック図である。
【図４】本実施形態における個人情報管理サーバの動作を説明するためのフローチャートである。
【図５】本実施形態における個人情報管理サーバの動作を説明するためのフローチャートである。
【図６】本実施形態におけるクライアント端末の動作を説明するためのフローチャートである。
【符号の説明】
【０１３９】
１ 個人情報管理システム
１０ 個人情報管理サーバ（管理サーバ）
１１ 個人情報カプセルデータベース（保存手段）
１２ 認証情報／復号鍵保存手段
１０１ 個人情報カプセル生成／変更要求受信手段
１０２ 生成手段
１０３ フィルタ設定手段
１０４ アクセス要求受信手段
１０５ フィルタリング手段
１０６ 変換手段
１０７ 暗号化手段
１０８ アクセス権限設定手段
１０９ 個人情報ファイル送信手段
１１０ ログ記録手段
１１１ 認証情報受信手段
１１２ 判定手段
１１３ 復号鍵送信手段
１１４ 変更手段
１１５ 無効化手段
１１６ 通知手段
１１７ デジタル署名付与手段
１１８ 個人情報探査手段
１１９ 削除手段
２０ クライアント端末
２１ アクセス要求送信手段
２２ 個人情報ファイル受信手段
２３ 個人情報ファイル保存手段
２４ 認証情報送信手段
２５ 復号鍵受信手段
２６ 復号化手段
２７ 編集手段
３０ ネットワーク（社内ＬＡＮ）
【技術分野】
【０００１】
本発明は、特定の個人を識別可能な個人情報を、その特定の個人に関する複数の個人情報要素からなるデータセット（個人情報カプセル）として管理し、その個人情報カプセルから各利用者に応じた内容を取り出して各利用者に利用させる、個人情報の提供サービスを実現するための技術に関する。
【背景技術】
【０００２】
例えば、下記特許文献１には、携帯電話などのモバイル端末やパーソナルコンピュータへの電話や電子メール送信者の個人情報を、ネットワークを介して管理する技術が開示されている。この特許文献１に開示された技術において、利用者は、発信端末からネットワークを使用し、氏名，住所，電話番号，メールアドレス，写真等の個人情報を個人情報管理サーバに登録しておき、発信端末から着信端末に電話や電子メールを送信する際に個人情報通知許可が設定してある場合、電話や電子メールを受信した着信端末から個人情報取得操作を行なうことにより、サーバで電話番号，メールアドレスを索引として発信者の個人情報が検索され、検索された個人情報がサーバから着信端末に送信されるようになっている。
【特許文献１】特開２００５−５１４７５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ところで、上記特許文献１に開示された技術のごとく個人情報を利用者に提供するシステムでは、個人情報取得操作を行なった利用者に対し、個人情報管理サーバに登録されている個人情報がそのまま送信・提供されることになる。
個人情報の保護の意識が高まり個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することが望まれている昨今、上述のように個人情報取得操作を行なった全ての利用者に対し一律同じ内容の個人情報を送信・提供するのではなく、利用者に応じた内容の個人情報のみを送信・提供できるようにして、利用者にとって不必要と思われる内容（個人情報要素）までもが不用意に送信されるのを防止することが望まれている。
【０００４】
例えば、企業等において、特定の個人を識別可能な各種個人情報要素を含む個人情報を一元的に管理しながら利用者が特定の個人の個人情報を閲覧・利用する際に、利用者がその特定の個人の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、利用者に応じた内容の個人情報要素のみを利用者に提供できるようにしたシステムの構築が望まれている。
【０００５】
本発明は、このような状況に鑑み創案されたもので、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供できるようにして、利用者にとって不必要と思われる内容が不用意に送信されるのを防止し、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することを目的としている。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の個人情報管理システム（請求項１）は、特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、該管理サーバが、該個人情報カプセルを生成する生成手段と、該生成手段によって生成された個人情報カプセルを保存する保存手段と、該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成され、該クライアント端末が、該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴としている。
【０００７】
このとき、該管理サーバが、該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていてもよいし（請求項２）、さらに、該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセルに対し、デジタル署名を付与するデジタル署名付与手段をそなえて構成されていてもよい（請求項３）。
【０００８】
また、該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえてもよく（請求項４）、その際、該管理サーバが、該個人情報探査手段および該削除手段としての機能を有してもよいし（請求項５）、該クライアント端末が、該個人情報探査手段および該削除手段としての機能を有してもよい（請求項６）。
【０００９】
さらに、該管理サーバが、該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、該クライアント端末が、該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていてもよい（請求項７）。
【００１０】
そして、該管理サーバが、該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させてもよい（請求項８）。
【００１１】
その際、該管理サーバが、該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されるように構成してもよい（請求項９）。
【００１２】
さらに、該クライアント端末が、該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をそなえて構成され、該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されるように構成してもよく（請求項１０）、このとき、該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されるように構成してもよい（請求項１１）。
【００１３】
また、該管理サーバが、該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていてもよい（請求項１２）。
【００１４】
このような個人情報管理システムにおいて、該管理サーバの該無効化手段は、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化してもよいし（請求項１３）、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化してもよいし（請求項１４）、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化してもよい（請求項１５）。
【００１５】
さらに、該管理サーバが、該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をそなえて構成されていてもよい（請求項１６）。
【００１６】
そして、本発明の個人情報管理サーバ（請求項１７〜２８）は、上述した本発明の個人情報管理システム（請求項１〜４，７〜９，１２〜１６）における管理サーバに対応するものであり、本発明の個人情報管理プログラム（請求項２９〜４０）は、本発明の個人情報管理サーバ（請求項１７〜２８）としてコンピュータを機能させるものである。
【発明の効果】
【００１７】
上述した本発明によれば、個人情報管理サーバ（管理サーバ）において、特定の個人を識別可能な個人情報が、標準化されたデータセットである個人情報カプセルとして一元的に管理される。そして、個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタが設定されており、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いて個人情報カプセル内の個人情報要素のフィルタリング処理が行なわれ当該利用者の利用可能な個人情報要素が個人情報カプセルから抽出され、抽出された個人情報要素が個人情報ファイルとしてクライアント端末に送信される。これにより、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供することができるので、利用者にとって不必要と思われる内容が不用意に送信されることがなくなり、個人情報の不用意な流出・漏洩や個人情報の不正利用などが確実に防止され、個人情報の保護を実現することができる。
【００１８】
このとき、個人情報管理サーバにおいて、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末に送信された個人情報ファイルを無効化するように構成することにより、個人情報カプセルの内容が変更されると、変更前の個人情報ファイルが無効化され誰も利用できなくなるため、変更前の個人情報ファイルであっても不用意な流出・漏洩や不正利用が確実に防止され、個人情報を確実に保護することができる。また、利用者は、個人情報ファイルが無効化されたことで個人情報ファイルを利用できなくなったことを認識すると、再度アクセス要求を行なって、変更後の最新の個人情報ファイルを得ることが可能になる。なお、個人情報ファイルを無効化した場合にその旨を管理サーバからクライアント端末に自動的に通知することで、個人情報カプセルに対するアクセス要求の再実行を利用者に促すことができ、その通知を受けた利用者は自分の判断で再度アクセス要求を行なうことにより、変更後の最新の個人情報ファイルを得ることが可能になり、利用者の利便性を向上させることができる。
【００１９】
また、管理サーバにおいて新たに生成された個人情報カプセルや変更を施された個人情報カプセルや個人情報ファイルに対しデジタル署名を付与することにより、個人情報カプセルや個人情報ファイルが改竄されていないことを保証することができ、第三者による偽造を防止することができる。その際、クライアント端末におけるデータの中から個人情報を探査し、探査された個人情報にデジタル署名が付与されていない場合には、その個人情報をクライアント端末から削除するように構成することにより、管理サーバでのデジタル署名を付与されていない個人情報は、管理サーバの管理下になく、クライアント端末等のローカルで作成された、正規ではない個人情報と判断され、クライアント端末から自動的に削除される。これにより、本発明のシステム内では、管理サーバによって一元的に管理される個人情報のみが存在して利用されることになり、個人情報を確実に管理して確実に保護することができる。
【００２０】
さらに、個人情報ファイルを管理サーバからクライアント端末に送信する際、個人情報ファイルが、送信先のクライアント端末に応じた暗号鍵を用いて暗号化され、暗号化ファイルとして送信され、管理サーバによって認証される正当な利用者（正当な送信先であるクライアント端末の利用者）のみが暗号化ファイルを復号化してアクセスできるように構成することにより、管理サーバからクライアント端末に送信された個人情報ファイルの内容が不用意に流出・漏洩したり不正利用されたりするのを確実に防止でき、個人情報を確実に保護することができる。
【００２１】
そして、管理サーバにおいて、個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換し、そのコンテナ機能を用いて個人情報ファイルのオリジナルファイルを添付した状態で完成文書ファイルを暗号化してから個人情報ファイルとしてクライアント端末に送信することにより、個人情報ファイルが改竄困難な完成文書ファイルとして送信され、個人情報ファイルを改竄されて不正利用されるのを防止しながら、コンテナ機能により添付されたオリジナルファイルを用いて編集等の操作を行なうことも可能になる。ただし、その際、編集等の操作は、オリジナルファイルの取出し権限や編集権限をアクセス権限として付与された利用者のみが行なえるようにするとともに、クライアント端末において編集後のオリジナルファイルは完成文書ファイル以外に保存されるのを禁止することにより、そのオリジナルファイルの不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【００２２】
また、管理サーバにおいて、クライアント端末からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴をログとして記録することにより、個人情報カプセルに対するアクセス状況が管理され、必要に応じて個人情報ファイルに対するアクセスを追跡管理可能になるので、個人情報の不正利用をより確実に防止することができる。
【００２３】
なお、変更前の個人情報ファイルを無効化する手段は、例えば、クライアント端末に送信されるべき復号鍵（暗号化ファイルを復号化するための鍵）を変更したり、その復号鍵の送信を禁止したり、送信履歴ログに基づき個人情報ファイルの送信先のクライアント端末に個人情報ファイルの削除指令を送信して個人情報ファイルを削除させたりすることにより、極めて容易に実現することができる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の個人情報管理システムの構成
〔１−１〕個人情報管理システムの全体構成
図１は本発明の一実施形態としての個人情報管理システムの構成を示すブロック図で、この図１に示す個人情報管理システム１は、個人情報管理サーバ１０，クライアント端末２０およびネットワーク３０をそなえて構成されている。
【００２５】
個人情報管理サーバ（管理サーバ）１０は、後述する個人情報カプセルデータベース１１および認証情報／復号鍵保存手段１２を付設されて構成され、特定の個人を識別可能な個人情報を、その特定の個人に関する複数の個人情報要素からなるデータセットとして管理するものである。本実施形態のシステム１では、複数の個人情報要素からなるデータセットが標準化され個人情報カプセルとして管理され、例えば企業等の社内における一社員に対して一つの個人情報カプセルが生成・保存される。
【００２６】
個人情報カプセルに含まれる個人情報要素としては、例えば、氏名，性別，年齢，生年月日，血液型，自宅情報（自宅の住所，電話番号，ＦＡＸ番号，メールアドレス等），勤務先情報（勤務先名，所属部署，役職のほか勤務先の住所／電話番号／ＦＡＸ番号／メールアドレス等），家族構成，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号，通院履歴，病歴，投薬情報，診療履歴のほか、本人に係る画像情報や音声情報などが挙げられる。
【００２７】
クライアント端末２０は、企業等の社内において各社員（利用者）によって操作されるパーソナルコンピュータ等であり、インターネット，イントラネット，社内ＬＡＮ（Local Area Network）等のネットワーク３０を介して個人情報管理サーバ１０と相互に通信可能に接続され、利用者の操作に応じ、個人情報管理サーバ１０によって管理される個人情報カプセルにアクセスして個人情報カプセル内の個人情報要素を利用しうるものである。利用者は、クライアント端末２０およびネットワーク３０を通じ、個人情報管理サーバ１０によって提供される個人情報管理サービスの提供を利用することになり、例えば、自分の個人情報カプセルの生成／変更を行なったり、個人情報管理サーバ１０における各社員の個人情報カプセルにアクセスして個人情報要素を取得し個人情報要素を編集して名簿や住所録を作成したりすることができる。
【００２８】
〔１−２〕個人情報管理サーバの構成
図２は本実施形態における個人情報管理サーバ１０の構成を示すブロック図であり、この図２に示すように、本実施形態の個人情報管理サーバ１０は、上述したように個人情報カプセルデータベース１１および認証情報／復号鍵保存手段１２を付設されるとともに、後述する各種手段１０１〜１１９をそなえて構成されている。これらの手段１０１〜１１９としての機能は、所定のアプリケーションプログラム（個人情報管理プログラム）を、サーバとして機能すべきコンピュータのＣＰＵ（Central Processing Unit）に実行させることによって実現される。
【００２９】
個人情報カプセルデータベース（保存手段）１１は、後述する生成手段１０１によって生成された個人情報カプセルを保存するとともに、各個人情報カプセルの利用者に対して後述するフィルタ設定手段１０３によって設定されたフィルタを、当該個人情報カプセルおよびその利用者に対応付けて保存する機能も果たしている。
認証情報／復号鍵保存手段１２は、本実施形態の個人情報管理サーバ１０によるサービスを利用すべく予め登録された利用者の認証情報（識別番号およびパスワード）を保存するとともに、後述する暗号化手段１０７によって得られた暗号化ファイルを復号化するための復号鍵を保存する機能も果たしている。
【００３０】
個人情報カプセル生成／変更要求受信手段１０１は、ネットワーク３０を介して、クライアント端末２０から個人情報カプセル生成要求や個人情報カプセル変更要求を認証情報（識別番号およびパスワード）とともに受信したり、個人情報管理サーバ１０の入力装置（キーボードやマウス等）を通じて個人情報カプセル生成要求や個人情報カプセル変更要求を認証情報（識別番号およびパスワード）とともに受信したりするものである。その際、個人情報カプセルの内容として保存されるべき複数種類の個人情報要素、あるいは、既に登録されている個人情報カプセルに対する変更の内容も入力され個人情報カプセル生成／変更要求受信手段１０１によって受信されるものとする。つまり、個人情報要素や変更内容は、各社員（各個人）がクライアント端末２０から入力してもよいし、社員の個人情報を管理する企業等における管理者が個人情報管理サーバ１０に対して直接入力してもよい。個人情報要素や変更内容の入力は、利用者がキーボードやマウス等の入力装置を操作して行なってもよいし、用紙に印刷もしくは書き込まれた文字情報（名刺や名簿など）や画像情報をスキャナによって読み取ることによって行なってもよい。
【００３１】
また、本実施形態の個人情報カプセル生成／変更要求受信手段１０１は、利用者によって入力された認証情報（識別番号およびパスワード）に基づいて、その利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定を行なう認証判定機能も併せもっているものとする。具体的には、利用者によって入力された識別番号およびパスワードが、認証情報／復号鍵保存手段１２に予め登録・保存されている識別番号およびパスワードと一致するか否かを判定することにより、その利用者が正当な利用者であるか否かを判定・認証するものである。
【００３２】
生成手段１０２は、受信手段１０１の認証判定機能により正当な利用者であると判定された場合に、上述のごとく個人毎に入力・受信された複数種類の個人情報要素を含む所定フォーマットのデータセットを個人情報カプセルとして生成するものである。
フィルタ設定手段１０３は、個人情報カプセルデータベース１１に保存された個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するものである。ここで、個人情報カプセル毎や個人毎に対して異なるフィルタを設定してもよいし、同一のグループに属する利用者には同一のフィルタを設定してもよい。例えば、画像情報等を含む全ての個人情報を公開するレベルや、画像情報以外の個人情報を公開するレベルや、氏名および連絡先のみを公開するレベルといった、利用者のランク分けを行なうようにフィルタを設定することができる。また、例えば、企業等において、利用者が特定の社員の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、フィルタを設定することもできる。
【００３３】
なお、本実施形態において、フィルタ設定手段１０３によって設定されたフィルタは、個人情報カプセルデータベース１１に保存されるものとする。その際、個人情報カプセル毎や利用者毎に対応付けて、あるいは、利用者のランクや役職に対応付けてフィルタを保存する。また、利用者毎に設定されるフィルタの内容については、個人情報カプセルの生成を要求した利用者本人がクライアント端末２０から指示してもよいし、管理者が管理サーバ１０で指示してもよいし、予め設定されたフィルタパターンを選択することで指示してもよいし、フィルタ設定対象の利用者のランクや役職等を認識しそのランク／役職等に応じて自動的に設定してもよい。
【００３４】
アクセス要求受信手段１０４は、利用者からクライアント端末２０およびネットワーク３０を通じて個人情報カプセルに対するアクセス要求を認証情報（識別番号およびパスワード）とともに受信するものである。このアクセス要求受信手段１０４も、受信手段１０１と同様、利用者によって入力された認証情報（識別番号およびパスワード）に基づいて、その利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定を行なう認証判定機能も併せもっているものとする。
【００３５】
フィルタリング手段１０５は、受信手段１０４の認証判定機能により正当な利用者であると判定された場合に、アクセス要求対象の個人情報カプセルとその利用者について設定されたフィルタとを個人情報カプセルデータベース１１から読み出し、読み出されたフィルタを用いて、読み出された個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を個人情報ファイルとして個人情報カプセルから抽出するものである。
【００３６】
変換手段１０６は、フィルタリング手段１０５によって抽出された個人情報ファイルを、コンテナ機能を有する完成文書ファイル〔ここでは、改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換するものである。
暗号化手段１０７は、前記コンテナ機能を用いて当該ＰＤＦファイルに当該個人情報ファイルのオリジナルファイルを添付・格納してから、当該ＰＤＦファイルを、送信先のクライアント端末２０に応じた暗号鍵で暗号化して暗号化ファイルを作成するものである。なお、ＰＤＦファイルへの変換は例えばＰＤＦドライバによって行なわれ、このＰＤＦドライバを起動することにより、管理対象ファイルがＰＤＦ化され、ＰＤＦファイルファイルが生成されるようになっている。また、ここで暗号化のために用いられた暗号鍵に対応する復号鍵〔暗号化ファイルを復号化（平文化）するための鍵〕は、認証情報／復号鍵保存手段１２において、利用者もしくは暗号化ファイル（個人情報ファイル）に対応付けられて保存されているものとする。
【００３７】
アクセス権限設定手段１０８は、暗号化ファイルに対する所定のアクセス権限を、個人情報ファイルの送信先の利用者に応じて設定するものである。このアクセス権限設定手段１０８により、暗号化ファイルにアクセスする利用者について、暗号化ファイルへのアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、コンテナ機能により添付されたオリジナルファイルの取出しや、取り出されたファイルの編集などのアクセスの中から選択されたものを実行する権限）の設定が自動的にもしくは利用者（管理者）の指示によって行なわれるものとする。これにより、クライアント端末２０において、利用者は、後述するごとく復号化手段２６によって復元された個人情報ファイルに対するアクセスとして、アクセス権限設定手段１０８によって設定されたアクセス権限に応じたアクセスを許可されるようになっている。
【００３８】
個人情報ファイル送信手段１０９は、暗号化手段１０７によって得られた暗号化ファイル（原ファイルはフィルタリング手段１０５によって個人情報カプセルから抽出された個人情報要素を含む個人情報ファイル）をネットワーク３０経由でクライアント端末２０に送信するものである。
ログ記録手段１１０は、クライアント端末２０からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴（送信日時，送信先情報，送信されたファイルを特定するための情報など）をログとして記録するものである。
【００３９】
認証情報受信手段１１１は、クライアント端末２０において管理サーバ１０から送信された暗号化ファイルを利用する際にクライアント端末２０から送信されてくる暗号化ファイルについての認証情報（識別番号およびパスワード）を受信するものである。このとき、認証情報受信手段１１１は、認証情報とともに、暗号化ファイルを復号化するための復号鍵の送信要求もクライアント端末２０から受信することになる。暗号化ファイルについての認証情報（識別番号およびパスワード）は、暗号化ファイル毎に設定されるものであるため、上述した受信手段１０１，１０４の認証判定機能による利用者認証で必要になる認証情報とは異なるものであり、暗号化ファイルについての認証情報も、認証情報／復号鍵保存手段１２に保存されているものとする。
【００４０】
判定手段１１２は、上述した受信手段１０１や１０４の認証判定機能と同様の機能を果たすもので、認証情報受信手段１１１によって受信された認証情報に基づいて、クライアント端末２０が暗号化ファイルの正当な送信先であるか否かの判定（クライアント端末２０を通じて暗号化ファイルにアクセスする利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定）を行なうものである。
【００４１】
復号鍵送信手段１１３は、判定手段１１２によってクライアント端末２０が正当な送信先であると判定された場合、アクセス要求対象の暗号化ファイルを復号化するための復号鍵を、認証情報／復号鍵保存手段１２から読み出し、ネットワーク３０経由でクライアント端末２０に送信するものである。
変更手段１１４は、受信手段１０１の認証判定機能により正当な利用者であると判定された場合に、上述のごとく入力・受信された個人情報カプセルに対する変更の内容に従って、個人情報カプセルデータベース１１に保存された、変更対象の個人情報カプセルの内容を変更するものである。
【００４２】
無効化手段１１５は、変更手段１１４によって個人情報カプセルの内容が変更された場合、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイルを無効化するものである。この無効化手段１１５による無効化手法としては、その個人情報ファイルに対応する暗号化ファイルを復号化する復号鍵（認証情報／復号鍵保存手段１２に保存されているもの）を変更する手法や、その個人情報ファイルに対応する暗号化ファイルに対するアクセス要求（認証情報）を受信し利用者認証がなされても復号鍵送信手段１１３による復号鍵の送信を禁止する手法や、ログ記録手段１１０によって記録されたログに基づきその個人情報ファイルに対応する暗号化ファイルの送信先のクライアント端末２０にそのファイルの削除指令を送信し、クライアント端末２０において個人情報ファイルを削除させる手法などが用いられる。
【００４３】
通知手段１１６は、無効化手段１１５によって個人情報ファイル（暗号化ファイル）を無効化した場合に、その旨を、ネットワーク３０経由で電子メール等によりクライアント端末２０に通知することにより、無効化された個人情報ファイル（暗号化ファイル）に対応する個人情報カプセルに対するアクセス要求の再実行を利用者に促すものである。
【００４４】
デジタル署名付与手段１１７は、生成手段１０２によって生成された個人情報カプセルや、変更手段１１４によって変更された個人情報カプセルや、フィルタリング手段１０５によって得られた個人情報ファイルに対しデジタル署名を付与するものである。ここで、デジタル署名は、デジタル文書の正当性を保証するために付けられる暗号化された署名情報で、公開鍵暗号方式の応用によって、デジタル文書（ここでは個人情報カプセルや個人情報ファイル）の作成者を証明し、且つその文書が改竄されていないことを保証するものである。署名者（管理サーバ１０側の管理者）は、自身の秘密鍵を用いて暗号化した署名をデジタル文書に付加して送る。受取人（クライアント端末２０側の利用者）は、署名者の公開鍵を用いて署名を復号し、正しい内容かどうか確認する。これにより、第三者による偽造防止のほか、署名者がそのデジタル文書を作成したことの証明にも用いることができる。
【００４５】
個人情報探査手段１１８は、クライアント端末２０におけるデータの中から個人情報や個人情報ファイルを探査するもので、その探査はクライアント端末２０のデータを管理サーバ１０側に吸い上げて行なってもよいし、個人情報探査手段１１８により、各クライアント端末２０に個人情報探査ツールを実現するための個人情報探査プログラムをインストールし、各クライアント端末２０でその個人情報探査プログラムを実行させることで個人情報や個人情報ファイルの自己探査を実行させ、その自己探査の結果を各クライアント端末２０から受信するようにしてもよい。
【００４６】
ここで、個人情報ファイルの探査手法としては、後述する２つの探査手法のうちのいずれか一方を用いることができる。本実施形態において、個人情報ファイルの条件は、個人情報要素を含むレコードを所定数以上保有しているファイルであり、個人情報要素は、単体もしくは組合せによって特定の個人を識別することのできる文字列、例えば氏名，生年月日，連絡先（住所，居所，電話番号，メールアドレス）などである。また、個人情報要素としては、これら以外に、役職名，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号なども挙げられる。
【００４７】
削除手段１１９は、個人情報探査手段１１８によって探査された個人情報や個人情報ファイルにデジタル署名付与手段１１７によるデジタル署名が付与されていない場合、個人情報や個人情報ファイルをクライアント端末２０から削除するものであり、この削除手段１１９も、管理サーバ１０側にそなえ管理サーバ１０からネットワーク３０経由で削除指示をクライアント端末２０へ送信するようにしてもよいし、この削除手段１１９としての機能を実現するためのプログラムを上記個人情報探査プログラムとともに各クライアント端末２０にインストールしクライアント端末２０側で削除手段１１９としての機能を実現させてもよい。
【００４８】
この削除手段１１９による個人情報や個人情報ファイルの削除を実行する前に、探査によって見つかった個人情報や個人情報ファイルを、管理サーバ１０の管理対象である個人情報カプセルとして登録するか否かを問い合わせる機能をそなえてもよい。登録する場合には、生成手段１０２により、探査された個人情報や個人情報ファイルに基づき個人情報カプセルを生成し個人情報カプセルデータベース１１に登録・保存する。一方、登録しない場合には、探査された個人情報や個人情報ファイルを削除手段１１９により削除してもよいし、一定期限を設定し、その一定期限内に登録しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除してもよい。なお、上述のような問い合せ機能を用いることなく、探査された個人情報や個人情報ファイルを削除手段１１９により直ちに強制削除することもできる。
【００４９】
さらに、デジタル署名が付与されているが暗号化されていない個人情報や個人情報ファイルが探査された場合には、その個人情報や個人情報ファイルを暗号化ファイルに変換するか否かを問い合わせる機能をそなえてもよい。暗号化ファイルに変換する場合、上述した変換手段１０６や暗号化手段１０７により、探査された個人情報や個人情報ファイルを暗号化ファイルに変換してもよい。一方、暗号化ファイルに変換しない場合、探査された個人情報や個人情報ファイルを削除手段１１９により削除してもよいし、一定期限を設定し、その一定期限内に暗号化ファイルに変換しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除してもよい。なお、上述のような問い合せ機能を用いることなく、探査された個人情報や個人情報ファイルを変換手段１０６や暗号化手段１０７により直ちに暗号化ファイルに強制変換することもできる。
【００５０】
なお、個人情報カプセル生成／変更要求受信手段１０１，アクセス要求受信手段１０４，個人情報ファイル送信手段１０９，認証情報受信手段１１１，復号鍵送信手段１１３，通知手段１１６などとしての機能としては、管理サーバ１０が本来有している送受信機能を用いて実現される。
【００５１】
また、認証情報／復号鍵保存手段１２，変換手段１０６，暗号化手段１０７，アクセス権限設定手段１０８，個人情報ファイル送信手段１０９，ログ記録手段１１０，認証情報受信手段１１１，判定手段１１２，復号鍵送信手段１１３としての機能は、本実施形態では個人情報管理サーバ１０にもたせているが、個人情報管理サーバ１０とは別体で、ネットワーク３０を介してもしくは直接的に個人情報管理サーバ１０と通信可能に接続されたファイルアクセス管理サーバによって実現してもよい。
【００５２】
同様に、個人情報探査手段１１８および削除手段１１９としての機能も、本実施形態では個人情報管理サーバ１０にもたせているが、個人情報管理サーバ１０とは別体で、ネットワーク３０を介してもしくは直接的に個人情報管理サーバ１０と通信可能に接続された他のサーバによって実現してもよく、その際、さらに、後述するＰマークによる個人情報ファイルの管理を該他のサーバによって実行するようにしてもよい。
【００５３】
〔１−３〕クライアント端末の構成
図３は本実施形態におけるクライアント端末２０の構成を示すブロック図であり、この図３に示すように、本実施形態のクライアント端末２０は、後述する各種手段２１〜２７をそなえて構成されている。これらの手段２１〜２７としての機能は、所定のアプリケーションプログラムを、クライアント端末として機能すべきコンピュータのＣＰＵに実行させることによって実現される。
【００５４】
アクセス要求送信手段２１は、利用者がクライアント端末２０において管理サーバ１０で管理されている個人情報カプセルの内容（個人情報要素）を利用して例えば名簿や住所録を作成する際に、個人情報カプセルに対するアクセス要求を認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信するものである。
個人情報ファイル受信手段２２は、管理サーバ１０から、アクセス要求送信手段２１によって送信されたアクセス要求に応じた個人情報ファイルをネットワーク３０経由で受信するものである。
【００５５】
個人情報ファイル保存手段２３は、個人情報ファイル受信手段２２により管理サーバ１０から受信された個人情報ファイルを保存するものである。
認証情報送信手段２４は、個人情報ファイル保存手段２３に保存されている個人情報ファイルである暗号化ファイルを開く場合に、暗号化ファイルについての認証情報（識別番号およびパスワード）をネットワーク３０経由で管理サーバ１０に送信するものである。
【００５６】
復号鍵受信手段２５は、その暗号化ファイルに応じた復号鍵を管理サーバ１０からネットワーク３０経由で受信するものである。
復号化手段２６は、復号鍵受信手段２５によって受信された復号鍵を用いて暗号化ファイルを復号化し元の個人情報ファイルを復元するものである。
【００５７】
編集手段２７は、復号化手段２６によって復元された個人情報ファイルであるＰＤＦファイルから取り出されたオリジナルファイルを編集するものであり、クライアント端末２０を利用する利用者は、管理サーバ１０のアクセス権限設定手段１０８によって、ＰＤＦファイルからオリジナルファイルを取り出す取出し権限と、取り出されたオリジナルファイルの編集権限とを所定のアクセス権限として設定されている場合、編集手段２７によってオリジナルファイルを編集することを許可される。そして、クライアント端末２０において、編集手段２７によって編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されることが禁止されるように構成されている。つまり、編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイルにしか保存することができないようになっている。
【００５８】
〔１−４〕個人情報ファイルの探査手法
ここで、本実施形態の個人情報探査手段１１８により個人情報ファイルを探査する際に用いられる、２つの探査手法について説明する。
（Ａ）第１の探査手法
第１の探査手法では、以下のように、住所，電話番号，メールアドレス，氏名の出現頻度を数値化し、個人情報ファイルの特定を行なっている。
【００５９】
まず、クライアント端末２０における、ある一つのファイルに含まれる文字もしくは文字列と個人情報において特徴的に出現する文字／文字列として予め設定された特徴文字／特徴文字列とを照合し、特徴文字／特徴文字列が当該ファイルにおいて出現する回数を計数する。ただし、文字列による照合・認識を行なうとＣＰＵにかかる負荷が極めて大きくなるので、１文字ずつの照合・認識を行なうものとする。従って、前記条件としては、特徴文字が１文字ずつ設定されている。なお、ＣＰＵの演算処理能力が十分に高い場合には文字列による照合・認識を行なってもよい。
【００６０】
そして、当該ファイル（テキストファイル）から抽出された文字を、１文字ずつ、前記条件として設定された特徴文字と照合し、これらが一致する場合には、その特徴文字が出現したものと判断して、その特徴文字のカウント値を“１”カウントアップする。このようにして当該ファイルに含まれる全ての文字における、特徴文字の出現回数を計数してから、その計数結果に基づいて個人情報ファイルの特定（当該ファイルが個人情報ファイルであるか否かの判定）を行なっている。
【００６１】
ここで、前記条件として予め設定される特徴文字について具体的に説明する。一般的な個人情報では、通常、住所が必須となる。そこで、日本国内の住所において特徴的に出現する文字を特徴文字として前記条件に設定登録しておく。例えば、住所情報には“都”，“道”，“府”，“県”，“市”，“区”，“町”，“村”，“郡”などが含まれている可能性が高く、“東京都”の場合、“東”，“京”の文字は通常文書中にも出現するが住所情報の場合、“都”と組合わせて出現することになるので、“都”の出現回数を住所数として見なすことが可能になる。同様に“府”や“県”や“道”も住所の見なし情報となるほか、“＠”についてはメールアドレスの見なし情報として用いることが可能になる。
【００６２】
具体的には、前記条件として以下のような特徴文字およびポイントが設定されている。
(1)住所の見なし情報（特徴文字）として“東”，“京”，“都”，“大”，“阪”，“府”，“北”，“海”，“道”が設定され、これらの特徴文字の計数値の合計が住所ポイント１として計数・算出される。
(2)住所の見なし情報（特徴文字）として、住所ポイント１以外の府県名、つまり“山”，“形”，“神”，“奈”，“川”，“埼”，“玉”，…，“福”，“岡”，“県”などが設定され、これらの特徴文字の計数値の合計が住所ポイント２として計数・算出される。
【００６３】
(3)住所の見なし情報（特徴文字）として“市”，“区”，“町”，“村”，“郡”が設定され、これらの特徴文字の計数値の合計が住所ポイント３として算出される。
(4)メールアドレスの見なし情報（特徴文字）として“＠”が設定され、この“＠”の計数値がメールアドレスポイントとして用いられる。
【００６４】
(5)電話番号の見なし情報（特徴文字列）として、“Ｎ”（数字，ハイフンからなる所定桁数の数字列）が設定され、その計数値が電話番号ポイントとして用いられる。より具体的には、電話番号は“090-XXXX-XXXX”，“03-XXXX-XXXX”，“048-XXX-XXXX”というように、携帯電話局番や市外局番に対応する特定の数字列“090”，“03”，“048”の後に８桁もしくは７桁の数字列が連続する構成となっており、このような数字列が出現した場合に電話番号ポイントを“１”カウントアップする。このとき、数字列中におけるハイフンの有無に関係なくカウントアップを行なう。
【００６５】
(6)氏名の見なし情報（特徴文字）として、例えば日本国内における苗字のベスト５０に含まれる文字“佐”，“藤”，“田”，“中”，“高”，“橋”，…，“山”，“田”が設定され、これらの特徴文字の計数値の合計が氏名ポイントとして算出される。
(7)合計ポイントとして、上述した項目(1)〜(6)の各ポイントの合計値が計数・算出される。
【００６６】
なお、上述のようにして得られた計数結果（出現回数）に基づいて各都道府県名の出現率を算出する際に、重複文字が存在する場合の取扱について説明する。例えば“東京都”と“京都府”とがテキストファイルに混在する場合、“都”が重複するため、“都”の計数値には“東京都”の計数値に“京都府”のカウントが混ざることになる。“京都府”の“府”は“大阪府”の“府”と重複するので、まず“大阪”の出現率を算定し、その出現率を“府”の出現率から減算すれば、“京都府”の出現率を予測することが可能になる。このようにして予測された“京都府”の出現率を“都”の出現率から減算することにより、“東京都”の出現率とすることができる。また、県名と市名とが重複するような場合（例えば大阪府大阪市）、“大阪”の出現率が２倍になるが、郵政省管理で公開されている日本の住所録に基づいて都道府県名別の重複率を算定し、算定された重複率に基づいて出現率の調整を行なうことにより、実際の出現率を推定することが可能である。
【００６７】
さらに、都道府県表示が無い場合の取扱について説明する。ファイルにおいて、都道府県名についてタイトルヘッダを用いる場合や、政令指定都市の住所表示や郵便番号を使用した住所表示では、“都”，“道”，“府”，“県”の出現率が極端に低下することになる。その代わり県名等の名称出現率が高くなるので、名称出現率から、ファイルが住所情報を含む個人情報ファイルであることの特定を行なうことが可能になる。
【００６８】
なお、前記条件では、住所，メールアドレス，電話番号，氏名において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定しているが、本発明は、これらに限定されるものでなく、生年月日，役職名，個人識別情報（例えば、住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号など）において特徴的に出現する文字／文字列を特徴文字／特徴文字列として設定してもよい。
【００６９】
そして、上述のようにして得られた計数結果に基づいて、当該ファイルが個人情報ファイルであるか否かを判定するための判定値が算出される。その判定値としては、(a)検疫合計ポイント（上記項目(7)参照）の値をそのまま用いてもよいし、(b)特徴文字／特徴文字列の出現率が高いほど大きくなる判定ポイントを前記判定値として算出してもよいし、(c)特徴文字／特徴文字列毎に得られた計数結果に基づいて対象ファイルにおける特徴文字／特徴文字列の出現パターンを求め、求められた出現パターンと特徴文字／特徴文字列の出現パターンとして予め設定された特徴出現パターンとの一致の度合いを示す一致度を前記判定値として算出してもよいし、(d)これら３種類の判定値のうちの２以上を組み合わせ、２以上の判定値を所定関数に代入して算出された値を前記判定値として用いてもよい。
【００７０】
このとき、当該ファイルに複数種類の情報（例えば住所，メールアドレス，電話番号，氏名の４種類）に係る特徴文字／特徴文字列が存在している場合、対象ファイル中に１種類の情報に係る特徴文字／特徴文字列が存在している場合よりも、前記判定値が大きくなるように、計数結果に対する重み付けを行なう。つまり、データファイル中に、個人を特定しうる複数種類の情報が含まれている場合には、そのデータファイルが個人情報ファイルである可能性は、個人を特定しうる情報が１種類だけ含まれている場合よりも高いと考えられるので、そのデータファイルについての判定値（重要度）が大きくなるように重み付けを行なう。また、その情報の種類数が多いほど、判定値が大きくなるように重み付けを行なうようにしてもよい。これにより、より確実に個人情報ファイルを特定することが可能になる。
【００７１】
上述のような判定値が算出されると、その判定値に基づいて、当該ファイルが個人情報ファイルであるか否かを判定する。例えば、前記判定値が所定閾値を超えた場合に対象ファイルが個人情報ファイルであると判定する。
このような判定を行なう際に、本実施形態では、さらに、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を当該ファイルに付与してＰマークテーブル（図示省略）に設定・登録し、ランク付けを行なってもよい。このＰマークは、前述した通り、対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークを高いランクに設定する。
【００７２】
例えば、前記判定値が１０以上となった場合、当該ファイルが個人情報ファイルであると判定、つまり当該ファイルが管理対象ファイルであると判定する。また、前記判定値が１０以上１００未満である場合、Ｐマークとして“Ｐ１”を付与し、前記判定値が１００以上１０００未満である場合、Ｐマークとして“Ｐ２”を付与し、前記判定値が１０００以上１００００未満である場合、Ｐマークとして“Ｐ３”を付与し、前記判定値が１００００以上である場合、Ｐマークとして“Ｐ４”を付与する。
【００７３】
上述のようにファイルに付与されたＰマークのレベル（ランク）に応じて、管理サーバ１０は、以下のようにファイルを管理対象ファイルとして管理してもよい。
例えば、Ｐマークのランクが“Ｐ１”である場合、警告情報によるリコメンドは行なわないが“Ｐ１”の管理対象ファイルが存在することをログとして記録する。Ｐマークのランクが“Ｐ２”である場合、その管理対象ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報を通知する。Ｐマークのランクが“Ｐ３”である場合、その管理対象ファイルの返却を指示する。Ｐマークのランクが“Ｐ４”である場合、その管理対象ファイルを利用者端末１０Ａから強制的に捕獲・回収する。なお、Ｐマークのランクが“Ｐ４”でなくても、“Ｐ３”のデータファイルが所定日数放置された場合には、そのデータファイルをクライアント端末２０から強制的に捕獲・回収してもよい。
【００７４】
（Ｂ）第２の探査手法
第２の探査手法では、以下のようにして、個人情報ファイルの特定を行なっている。
まず、クライアント端末２０におけるファイルのテキストデータ〔例えばＣＳＶ（Comma Separated Value）形式のデータ〕を抽出し、抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出して、判定対象／照合対象としてバッファ（図示略）に順次書き出す。ここで、区切り文字は、例えば半角スペース，半角カンマ（半角カンマ＋半角スペースも半角カンマと見なす），タブ文字（半角），ＣＲ（Carrige Return），ＬＦ（Line Feed）である。切り出される文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号、例えばハイフン，アンダバー，括弧記号などの記号文字が除去される。
【００７５】
上述のように切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、氏名以外の個人情報要素（具体的に本実施形態では電話番号，電子メールアドレス，住所のうちのいずれか一つ）に該当するか否かを判定する。ここでは、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で、上記文字列の判定処理を行なう。
【００７６】
最初に、上記文字列が電話番号に該当するか否かを判定する。具体的には、上記文字列が前記条件として設定されている電話番号判定条件を満たす場合、上記文字列が電話番号に該当するものと判定する。本実施形態において、電話番号判定条件は、上記文字列中に９〜１５桁の数字が含まれていることとする。
【００７７】
ついで、上記文字列が電話番号に該当しないと判定された場合に、上記文字列が電子メールアドレスに該当するか否かを判定する。具体的には、上記文字列が前記条件として設定されている電子メールアドレス判定条件を満たす場合、上記文字列が電子メールアドレスに該当するものと判定する。本実施形態において、電子メールアドレス判定条件は、上記文字列中に「一文字以上のＡＳＣＩＩ（American Standard Code for Information Interchange）」＋「＠（アットマーク）」＋「一文字以上のＡＳＣＩＩ」＋「．（ドット）」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれていることとする。この場合、最短の電子メールアドレスは例えば「a＠a.a」となる。
【００７８】
さらに、上記文字列が電子メールアドレスに該当しないと判定された場合に、上記文字列が住所（居所）に該当するか否かを判定するもので、上記文字列が前記条件として設定されている住所判定条件を満たす場合、上記文字列が住所に該当するものと判定する。本実施形態において、住所判定条件は、上記文字列中に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字」となる文字列が含まれていることとする。このとき、ＣＰＵの演算処理能力が十分に高い場合には、上記文字列に加え、郵便番号に対応する７桁の数字が含まれていることを住所判定条件に加えてもよい。また、住所判定条件は、上述した条件に代え、上記文字列中に、郵便番号に対応する７桁ちょうどの数字列が含まれていること、あるいは、「３桁の数字列」＋「−（ハイフン）」＋「４桁の数字列」となる数字列が含まれていることとしてもよい。
【００７９】
そして、上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合に、その文字列が、前記条件として設定されている文字判定条件を満たすか否か、具体的には、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であるか否かを判定するものである。本実施形態において、文字判定条件は、上述したように、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であることであるが、ここで、上記所定範囲は、氏名（苗字だけの場合や名前だけの場合を含む）の文字数として一般的（適切）な数の範囲、例えば１以上６以下に設定される。
【００８０】
この後、電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された文字区間であって、さらに上記所定範囲内であり且つ全ての文字が漢字であると判定された文字区間について、当該文字区間に含まれる文字／文字列と氏名において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列とを照合することにより、当該文字区間が不適切文字／不適切文字列を含むか否かを判定する。
【００８１】
ここで、不適切文字／不適切文字列は、前記条件として予め設定されており、例えば、東京，大阪，名古屋，横浜，九州，北海道，京都，首都，個人，学園，店，株，県，大学，学院，東証，研究，管理，総務，経理，営業，統括，製薬，販売，学校，教育，専門，建築，機械，法人，工場，製，技術，商，図書，不明，次長，公開，出版，広告，放送，対象，卸売，小売，企画，人事，情報，部門，社長，取締，部長，課長，係長，役員，本社，支社，事業，業務，教務，精密，石油，運輸，経営，戦略，資材，技師，電気，生産，税務，広報，運送，主任，電算，財務，事務，開発，政策，制作，経済，産業，金融，銀行，調査，英語，品質，保証，設備，担当，主席，主事，監査，支援，設計，保険，金庫，事業，代表，交通，第一，第二，第三，第四，第五，第六，第七，第八，第九，特販，施設，氏名，郵便，名前，名称，市役，所属，特色，幼稚，基督，協会，教会，組合，教団，商工，全国，支部，連絡，議会，生活，消費，推進，市役所，区役所，総合，修正，機能，概要，構成，企業，組織，関連，削除，文書，期限，有効といった、一般的な氏名において出現し得ない文字／文字列、つまり、氏名としては不適切な文字／文字列である。
【００８２】
そして、上述した電話番号判定結果，電子メールアドレス判定結果および住所判定結果と不適切文字／不適切文字列の照合判定結果とに基づいて、対象ファイルが個人情報ファイルであるか否かを判定する。より具体的に説明すると、電話番号，電子メールアドレス，住所のそれぞれに該当すると見なされた文字区間の数を計数するとともに、不適切文字／不適切文字列の照合判定結果を受け、不適切文字／不適切文字列を含まないと判定された文字区間を氏名に該当するものと見なし、その数を計数する。
【００８３】
電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数結果（４つの計数値；電話番号数，電子メールアドレス数，住所数，氏名数）に基づいて、これらの計数値が大きくなるほど大きくなる判定値を算出する。例えば、４つの計数値の総和を上記判定値として算出してもよいし、電話番号，電子メールアドレス，住所，氏名のそれぞれについて重み係数を予め設定しておき、各個人情報要素についての重み係数と計数値との乗算結果の総和を上記判定値として算出してもよく、上記判定値の算出手法は種々考えられる。
【００８４】
上述のような判定値が算出されると、その判定値に基づいて、対象ファイルが個人情報ファイルであるか否かを判定する。具体的には、前記判定値が所定閾値を超えた場合に対象ファイルが個人情報ファイルであると判定する。このとき、第１の探査手段においても説明したようにＰマークを付与し、管理サーバ１０により、そのＰマークに応じた管理を行なうようにしてもよい。
【００８５】
なお、上述した第２の探査手法では、氏名以外の個人情報要素が、電話番号，電子メールアドレス，住所の３要素である場合について説明したが、本発明は、これに限定されるものでなく、氏名以外の個人情報要素としては、例えば、生年月日，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号などを用いてもよい。
上述のような第１の探査手法もしくは第２の探査手法を用いて、個人情報探査手段１１８によって個人情報ファイルが探査され、その探査結果に応じて、上述したように、削除手段１１９による削除や各種問い合せが実行されることになる。
【００８６】
〔２〕本実施形態の個人情報管理システムの動作
次に、図４〜図６を参照しながら、上述のごとく構成された本実施形態の個人情報管理システム１の動作について説明する。なお、図４および図５は本実施形態における個人情報管理サーバ１０の動作を説明するためのフローチャート、図６は本実施形態におけるクライアント端末２０の動作を説明するためのフローチャートである。
【００８７】
〔２−１〕個人情報管理サーバの動作
まず、図４に示すフローチャート（ステップＳ１０〜Ｓ１４，Ｓ２０〜Ｓ２６，Ｓ３０〜Ｓ４３，Ｓ５０）に従って、本実施形態の個人情報管理サーバ１０の動作について説明する。
【００８８】
個人情報カプセル生成／変更要求受信手段１０１により、個人情報カプセル生成要求が、認証情報（識別番号およびパスワード）や個人情報カプセルの内容として保存されるべき複数種類の個人情報要素とともに受信されると（ステップＳ１０のＹＥＳルート）、受信手段１０１の認証判定機能により、認証情報（識別番号およびパスワード）に基づいて、個人情報カプセル生成要求を行なった利用者が本個人情報管理サービスの正当な利用者であるか否かの認証判定が実行される（ステップＳ１１）。つまり、受信手段１０１は、識別番号によって認証情報／復号鍵保存手段１２を検索し、その識別番号に対応する登録パスワードを認証情報／復号鍵保存手段１２から読み出し、認証情報に含まれるパスワードと、認証情報／復号鍵保存手段１２から読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定を行なう。
【００８９】
これらのパスワードが一致し、個人情報カプセル生成要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ１１のＹＥＳルート）、受信手段１０１によって受信された複数週類の個人情報要素に基づいて、生成手段１０２により、個人情報カプセル（所定フォーマットのデータセット）が生成される（ステップＳ１２）。その際、生成された個人情報カプセルに対し、デジタル署名付与手段１１７によりデジタル署名が付与される。
【００９０】
また、個人情報カプセルが生成手段１０２によって生成されると、フィルタ設定手段１０３により、その個人情報カプセルをアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタが設定される（ステップＳ１３）。上述のごとく生成・設定された個人情報カプセルおよびフィルタは、例えば個人情報カプセルや利用者に対応付けられて個人情報カプセルデータベース１１に保存され（ステップＳ１４）、ステップＳ１０の処理に戻る。
【００９１】
個人情報カプセル生成／変更要求受信手段１０１により、個人情報カプセル変更要求が、認証情報（識別番号およびパスワード）や既に登録されている個人情報カプセルに対する変更の内容とともに受信されると（ステップＳ１０のＮＯルートからステップＳ２０のＹＥＳルート）、受信手段１０１の認証判定機能により、上記ステップＳ１１と同様の認証判定が行なわれる（ステップＳ２１）。
【００９２】
パスワードが一致し、個人情報カプセル変更要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ２１のＹＥＳルート）、変更手段１１４により、変更対象の個人情報カプセルが個人情報カプセルデータベース１１から取り出され（ステップＳ２２）、受信手段１０１によって受信された変更内容（住所や電話番号などの変更等）に従って変更対象の個人情報カプセルの内容が変更される（ステップＳ２３）。内容を変更された個人情報カプセルは、デジタル署名付与手段１１７によりデジタル署名を新たに付与された上で、個人情報カプセルデータベース１１に保存される（ステップＳ２４）。
【００９３】
上述のごとく個人情報カプセルの内容が変更されると、無効化手段１１５により、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイルが無効化される（ステップＳ２５）。その無効化は、上述したように、その個人情報ファイルに対応する暗号化ファイルを復号化する復号鍵（認証情報／復号鍵保存手段１２に保存されているもの）を変更したり、その個人情報ファイルに対応する暗号化ファイルに対するアクセス要求（認証情報）を受信し利用者認証がなされても復号鍵送信手段１１３による復号鍵の送信を禁止したり、ログ記録手段１１０によって記録されたログに基づきその個人情報ファイルに対応する暗号化ファイルの送信先のクライアント端末２０にそのファイルの削除指令を送信し、クライアント端末２０において個人情報ファイルを削除させたりすることで行なわれるが、いずれの場合もクライアント端末２０側で暗号化ファイルの内容を参照不可能な状態にしている。
【００９４】
そして、通知手段１１６により、その個人情報ファイル（暗号化ファイル）が無効化されたことが、ネットワーク３０経由で電子メール等によりクライアント端末２０に通知され（ステップＳ２６）、無効化された個人情報ファイル（暗号化ファイル）に対応する個人情報カプセルに対するアクセス要求の再実行を利用者に促してから、ステップＳ１０の処理に戻る。
【００９５】
アクセス要求受信手段１０４により、個人情報カプセルに対するアクセス要求が認証情報（識別番号およびパスワード）とともに受信されると（ステップＳ１０のＮＯルート，ステップＳ２０のＮＯルートからステップＳ３０のＹＥＳルート）、アクセス要求受信手段１０４の認証判定機能により、上記ステップＳ１１と同様の認証判定が行なわれる（ステップＳ３１）。
【００９６】
パスワードが一致し、アクセス要求を行なった利用者が正当な利用者であることが認証されると（ステップＳ３１のＹＥＳルート）、フィルタリング手段１０５により、アクセス要求対象の個人情報カプセルとその利用者について設定されたフィルタとが個人情報カプセルデータベース１１から取り出され（ステップＳ３２）、そのフィルタを用いて、アクセス要求対象の個人情報カプセル内の個人情報要素のフィルタリング処理が実行され、当該利用者の利用可能な個人情報要素が個人情報ファイルとして個人情報カプセルから抽出される（ステップＳ３３）。なお、個人情報カプセルから抽出された個人情報ファイルには、デジタル署名付与手段１１７により、デジタル署名が付与される。
【００９７】
デジタル署名を付与された個人情報ファイルは、変換手段１０６により、コンテナ機能を有するＰＤＦファイルに変換され（ステップＳ３４）、そのコンテナ機能を用いて当該ＰＤＦファイルに当該個人情報ファイルのオリジナルファイルが添付されてから（ステップＳ３５）、そのＰＤＦファイルは、送信先のクライアント端末２０に応じた暗号鍵で暗号化され、暗号化ファイルが作成される（ステップＳ３６）。このとき、当該暗号化ファイルにアクセスする利用者について、例えば、当該暗号化ファイルに対するアクセス権限（例えば閲覧権限や、オリジナルファイルの取出し権限／編集権限）が、アクセス権限設定手段１０８により設定される（ステップＳ３７）。
【００９８】
上述のごとく作成された暗号化ファイルは、個人情報ファイル送信手段１０９によりネットワーク３０経由でクライアント端末２０に送信される（ステップＳ３８）。その際、ログ記録手段１１０により、その暗号化ファイルの送信の履歴（送信日時，送信先情報，送信されたファイルを特定するための情報など）がログとして記録されてから（ステップＳ３９）、ステップＳ１０の処理に戻る。
【００９９】
認証情報受信手段１１１により、復号鍵の送信要求が暗号化ファイルについての認証情報（識別番号およびパスワード）とともに受信すると（ステップＳ１０のＮＯルート，ステップＳ２０のＮＯルート，ステップＳ３０のＮＯルートからステップＳ４０のＹＥＳルート）、判定手段１１２により、暗号化ファイルについての認証情報（識別番号およびパスワード）に基づいて、復号鍵の送信要求を行なった利用者（暗号化ファイルに対するアクセスを行なう利用者）が正当な登録者（正当な送信先）であるか否かの認証判定が実行される（ステップＳ４１）。
【０１００】
この場合も、ステップＳ１１と同様、判定手段１１２は、識別番号によって認証情報／復号鍵保存手段１２を検索し、その識別番号に対応する登録パスワードを認証情報／復号鍵保存手段１２から読み出し、認証情報に含まれるパスワードと、認証情報／復号鍵保存手段１２から読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定を行なう。
【０１０１】
これらのパスワードが一致し、利用者が正当な送信先であることが認証されると（ステップＳ４１のＹＥＳルート）、復号鍵送信手段１１３により、アクセス要求対象の暗号化ファイルを復号化するための復号鍵が認証情報／復号鍵保存手段１２から取り出され（ステップＳ４２）、ネットワーク３０経由でクライアント端末２０に送信される（ステップＳ４３）。この後、ステップＳ１０の処理に戻る。
【０１０２】
なお、受信手段１０１，１０４の認証判定機能や判定手段１１２によりパスワードが不一致であると判定された場合、もしくは、識別番号に対応する登録パスワードが認証情報／復号鍵保存手段１２に登録されていなかった場合には、利用者が正当な利用者もしくは正当な送信先ではないと判定され（ステップＳ１１，Ｓ２１，Ｓ３１，Ｓ４１のＮＯルート）、管理サーバ１０からクライアント端末２０にネットワーク３０経由でエラー通知を行なってから（ステップＳ５０）、ステップＳ１０の処理に戻る。個人情報カプセル生成要求が管理サーバ１０で入力されている場合には、そのエラー通知は管理サーバ１０で個人情報カプセル生成要求を行なった利用者もしくは管理者に対して行なわれる。また、ステップＳ４０でＮＯ判定の場合にはステップＳ１０の処理に戻る。
【０１０３】
〔２−２〕個人情報管理システムの個人情報探査動作
図５に示すフローチャート（ステップＳ５１〜Ｓ５８）に従って、本実施形態の個人情報管理システム１における個人情報探査動作について説明する。
個人情報管理システム１では、予め設定された周期もしくは所定の起動タイミング（システムの起動時等）で、個人情報探査手段１１８による個人情報探査動作が実行されるようになっている。
【０１０４】
個人情報探査手段１１８が起動されると（ステップＳ５１のＹＥＳルート）、本実施形態では、前述した通り、個人情報探査手段１１８により、各クライアント端末２０に個人情報探査ツールを実現するための個人情報探査プログラムをインストールし、各クライアント端末２０でその個人情報探査プログラムを実行させることで個人情報や個人情報ファイルの自己探査を実行させ（ステップＳ５２）、その自己探査の結果を各クライアント端末２０から受信する（ステップＳ５３）。
【０１０５】
そして、管理サーバ１０において、自己探査の結果に基づき個人情報／個人情報ファイルを保有しているクライアント端末２０の存在を確認した場合（ステップＳ５４のＹＥＳルート）、保有されている個人情報／個人情報ファイルに、管理サーバ１０によるデジタル署名が付与されている否かを判定する（ステップＳ５５）。個人情報／個人情報ファイルを保有しているクライアント端末２０が存在しない場合（ステップＳ５４のＮＯルート）やデジタル署名が付与されている場合（ステップＳ５５のＹＥＳルート）、ステップＳ５１に戻る。
【０１０６】
デジタル署名が付与されていない場合（ステップＳ５５のＮＯルート）、その個人情報／個人情報ファイルを個人情報カプセルとして管理サーバ１０に登録するか否かを、その個人情報／個人情報ファイルを保有しているクライアント端末２０の利用者に問い合わせる（ステップＳ５６）。利用者が登録することを望む場合（ステップＳ５６のＹＥＳルート）、管理サーバ１０において、生成手段１０２により、探査された個人情報／個人情報ファイルに基づき個人情報カプセルを生成し個人情報カプセルデータベース１１に登録・保存する（ステップＳ５７）。この後、ステップＳ５１の処理に戻る。
【０１０７】
利用者が登録することを望まない場合（ステップＳ５６のＮＯルート）、削除手段１１９により、デジタル署名の施されていない個人情報／個人情報ファイルはクライアント端末２０上から削除され（ステップＳ５８）、ステップＳ５１の処理に戻る。このとき、前述したように、一定期限を設定し、その一定期限内に利用者がその個人情報／個人情報ファイルを登録しない場合に、削除手段１１９により、探査された個人情報や個人情報ファイルを自動的に削除するようにしてもよい。
【０１０８】
ここで、デジタル署名の有無を判定できる個人情報／個人情報ファイルは、当然、暗号化手段１０７による暗号化を施されていないもので、何らかの理由により、デジタル署名付与手段１１７によってデジタル署名を付与されたが暗号化されることなくクライアント端末２０に流出したものと考えられる。そこで、デジタル署名が付与されているが暗号化されていない個人情報／個人情報ファイルが探査された場合（ステップＳ５５のＹＥＳ）には、前述したように、その個人情報／個人情報ファイルを暗号化ファイルに変換するか否かを問い合わせ、利用者が暗号化ファイルに変換することを望む場合、上述した変換手段１０６や暗号化手段１０７により、探査された個人情報や個人情報ファイルを暗号化ファイルに変換する一方、暗号化ファイルに変換することを望まない場合、その個人情報／個人情報ファイルを削除手段１１９により削除するようにしてもよい。
【０１０９】
〔２−３〕クライアント端末の動作
図６に示すフローチャート（ステップＳ６０〜Ｓ６３，Ｓ７０〜Ｓ８１）に従って、本実施形態のクライアント端末２０の動作について説明する。
クライアント端末２０では、利用者が管理サーバ１０で管理されている個人情報カプセルの内容（個人情報要素）を利用して例えば名簿や住所録を作成すべくアクセス要求を発行する場合（ステップＳ６０のＹＥＳルート）、アクセス要求送信手段２１により、個人情報カプセルに対するアクセス要求が認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信される（ステップＳ６１）。
【０１１０】
このアクセス要求に応じて、個人情報ファイル受信手段２２により、管理サーバ１０から、アクセス要求送信手段２１によって送信されたアクセス要求に応じた個人情報ファイル（暗号化ファイル）がネットワーク３０経由で受信された場合（ステップＳ６２のファイルルート）、受信された個人情報ファイルを個人情報ファイル保存手段２３に保存してから（ステップＳ６３）、ステップＳ６０の処理に戻る。一方、上記アクセス要求に応じて個人情報ファイルではなくエラー通知が受信された場合（ステップＳ６２のエラールート）、クライアント端末２０のディスプレイ等でエラー表示を行なってから（ステップＳ８０）、ステップＳ６０の処理に戻る。
【０１１１】
また、利用者が個人情報ファイル保存手段２３に保存されている個人情報ファイルである暗号化ファイルを開くべくファイルアクセス（復号鍵の送信要求）を行なう場合（ステップＳ６０のＮＯルートからステップＳ７０のＹＥＳルート）、認証情報送信手段２４により、復号鍵の送信要求が暗号化ファイルについての認証情報（識別番号およびパスワード）とともにネットワーク３０経由で管理サーバ１０に送信される（ステップＳ７１）。
【０１１２】
この復号鍵の送信要求に応じて、復号鍵受信手段２５により、アクセス対象の暗号化ファイルに応じた復号鍵が管理サーバ１０からネットワーク３０経由で受信された場合（ステップＳ７２のＹＥＳルート）、復号化手段２６により、復号鍵受信手段２５で受信された復号鍵を用いて暗号化ファイルが復号化され元の個人情報ファイル（ＰＤＦファイル）が復元され（ステップＳ７３）、クライアント端末２０のディスプレイに表示される（ステップＳ７４）。一方、復号鍵の送信要求に応じて復号鍵ではなくエラー通知が受信された場合（ステップＳ７２のエラールート）、クライアント端末２０のディスプレイ等でエラー表示を行なってから（ステップＳ８０）、ステップＳ６０の処理に戻る。
【０１１３】
個人情報ファイルの表示後、利用者が、復元されたＰＤＦファイルに添付されたオリジナルファイルの編集を望む場合（ステップＳ７５のＹＥＳルート）、この利用者にオリジナルファイルの取出し権限および編集権限が設定されているか否かを判断し（ステップＳ７６）、設定されていない場合（ステップＳ７６のＮＯルート）、その旨のエラー表示を行なってから（ステップＳ８１）、ステップＳ６０の処理に戻る一方、設定されている場合（ステップＳ７６のＹＥＳルート）、編集手段２７によってオリジナルファイルに対する編集処理を実行する（ステップＳ７７）。なお、利用者がオリジナルファイルの編集を望まない場合（ステップＳ７５のＮＯルート）、ステップＳ６０の処理に戻る。
【０１１４】
編集処理を終了する場合（ステップＳ７８のＹＥＳルート）、編集手段２７によって編集されたオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されることが禁止されているので、そのオリジナルファイルを取り出したＰＤＦファイルに保存される（ステップＳ７９）。この後、ステップＳ６０の処理に戻る。
【０１１５】
〔３〕本実施形態の個人情報管理システムの効果
このように、本発明の一実施形態としての個人情報管理システム１によれば、個人情報管理サーバ１０において、特定の個人を識別可能な個人情報が、標準化されたデータセットである個人情報カプセルとして一元的に管理され、個人情報カプセルにクライアント端末２０からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタがフィルタ設定手段１０３によって設定されており、利用者から個人情報カプセルに対するアクセス要求があると、その利用者に対し設定されたフィルタを用いてフィルタリング手段１０５により個人情報カプセル内の個人情報要素のフィルタリング処理が行なわれ当該利用者の利用可能な個人情報要素が個人情報カプセルから抽出され、抽出された個人情報要素が個人情報ファイルとしてクライアント端末２０に送信される。
【０１１６】
これにより、特定の個人についての個人情報を利用する利用者に対し、その利用者に応じた内容の個人情報要素のみを提供することができるので、利用者にとって不必要と思われる内容が不用意に送信されることがなくなり、個人情報の不用意な流出・漏洩や個人情報の不正利用などが確実に防止され、個人情報の保護を実現することができる。
【０１１７】
このとき、例えば、画像情報等を含む全ての個人情報を公開するレベルや、画像情報以外の個人情報を公開するレベルや、氏名および連絡先のみを公開するレベルといった、利用者のランク分けを行なってフィルタ設定を行なうことにより、そのランクに応じた個人情報を提供することが可能になる。また、例えば、企業等において、特定の個人を識別可能な各種個人情報要素を含む個人情報を一元的に管理しながら利用者が特定の個人の個人情報を閲覧・利用する際に、上述のようなフィルタ設定を行なうことにより、利用者がその特定の個人の上司や管理者である場合には詳細な内容（個人情報要素）を閲覧・利用可能にする一方で、利用者が同僚や部下である場合には個人情報の一部のみを閲覧・利用可能にするといったように、利用者に応じた内容の個人情報要素のみを利用者に提供することができる。
【０１１８】
また、個人情報管理サーバ１０において、変更を施された個人情報カプセルから変更前に抽出されてクライアント端末２０に送信された個人情報ファイル（暗号化ファイル）を無効化手段１１５により無効化するように構成することにより、個人情報カプセルの内容が変更されると、変更前の個人情報ファイルが無効化され誰も利用できなくなるため、変更前の個人情報ファイルであっても不用意な流出・漏洩や不正利用が確実に防止され、個人情報を確実に保護することができる。
【０１１９】
その際、利用者は、個人情報ファイルが無効化されたことで個人情報ファイルを利用できなくなったことを認識することができ、再度アクセス要求を行なって、変更後の最新の個人情報ファイルを得ることが可能になる。
【０１２０】
さらに、個人情報ファイルを無効化した場合にその旨を通知手段１１６により管理サーバ１０からクライアント端末２０に自動的に通知することで、個人情報カプセルに対するアクセス要求の再実行を利用者に促すことができ、その通知を受けた利用者は自分の判断で再度アクセス要求を行なうことにより、変更後の最新の個人情報ファイルを得ることが可能になり、利用者の利便性を向上させることができる。これにより、例えば、利用者は、管理サーバ１０から受信した個人情報ファイルの内容の変更、具体的には相手の人事異動や転職等を直ちに且つ確実に認識でき、人事異動や転職等を知らなかったことによる不都合や非礼の発生を確実に抑止することができる。
【０１２１】
また、管理サーバ１０において新たに生成された個人情報カプセルや変更を施された個人情報カプセルや個人情報ファイルに対し、デジタル署名付与手段１１７によってデジタル署名を付与することで、個人情報カプセルや個人情報ファイルが改竄されていないことを保証することができ、第三者による偽造を防止することができる。
【０１２２】
その際、クライアント端末２０におけるデータの中から個人情報／個人情報ファイルを個人情報探査手段１１８により探査し、探査された個人情報／個人情報ファイルにデジタル署名が付与されていない場合には、削除手段１１９によりその個人情報をクライアント端末２０から削除するように構成することにより、管理サーバ１０でのデジタル署名を付与されていない個人情報は、管理サーバ１０の管理下になく、クライアント端末２０等のローカルで作成された、正規ではない個人情報と判断され、クライアント端末２０から自動的に削除される。これにより、本実施形態のシステム１内では、管理サーバ１０によって一元的に管理される個人情報のみが存在して利用されることになり、個人情報を確実に管理して確実に保護することができる。
【０１２３】
さらに、個人情報ファイルを管理サーバ１０からクライアント端末２０に送信する際、個人情報ファイルが、送信先のクライアント端末１０に応じた暗号鍵を用いて暗号化手段１０７により暗号化され、暗号化ファイルとして送信され、管理サーバ１０（判定手段１１９）によって認証される正当な利用者（正当な送信先であるクライアント端末２０の利用者）のみが暗号化ファイルを復号化してアクセスできるように構成することにより、管理サーバ１０からクライアント端末２０に送信された個人情報ファイルの内容が不用意に流出・漏洩したり不正利用されたりするのを確実に防止でき、個人情報を確実に保護することができる。
【０１２４】
そして、管理サーバ１０において、個人情報ファイルを、コンテナ機能を有するＰＤＦファイルに変換し、そのコンテナ機能を用いて個人情報ファイルのオリジナルファイルを添付した状態でＰＤＦファイルを暗号化してから個人情報ファイルとしてクライアント端末２０に送信することにより、個人情報ファイルが改竄困難なＰＤＦファイルとして送信され、個人情報ファイルを改竄されて不正利用されるのを防止しながら、コンテナ機能により添付されたオリジナルファイルを用いて編集等の操作を行なうことも可能になる。
【０１２５】
ただし、その際、編集等の操作は、オリジナルファイルの取出し権限や編集権限をアクセス権限としてアクセス権限設定手段１０８によって付与された利用者のみが行なえるようにするとともに、クライアント端末２０において編集後のオリジナルファイルは、そのオリジナルファイルを取り出したＰＤＦファイル以外に保存されるのを禁止することにより、そのオリジナルファイルの不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１２６】
また、管理サーバ１０において、クライアント端末２０からの個人情報カプセルに対するアクセス要求に応じて実行された個人情報ファイルの送信の履歴をログ記録手段１１０によりログとして記録することにより、個人情報カプセルに対するアクセス状況が管理され、必要に応じて個人情報ファイルに対するアクセスを追跡管理可能になるので、個人情報の不正利用をより確実に防止することができる。
【０１２７】
なお、変更前の個人情報ファイルを無効化する手段１１５は、例えば、クライアント端末２０に送信されるべき復号鍵（暗号化ファイルを復号化するための鍵）を変更したり、その復号鍵の送信を禁止したり、送信履歴ログに基づき個人情報ファイルの送信先のクライアント端末２０に個人情報ファイルの削除指令を送信して個人情報ファイルを削除させたりすることにより、極めて容易に実現することができる。
【０１２８】
一方、上述した第１の探査手法では、各クライアント端末２０におけるファイル毎に、特徴文字や特徴文字列の出現回数に基づく判定値によって、そのファイルが個人情報ファイル（もしくは機密情報ファイル）であるか否かが判定され、個人情報ファイルを自動的に特定して探査することができるので、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、例えば企業内等において分散して存在する個人情報ファイル（個人情報ファイルである可能性の高いデータファイル）を確実に探査して洗い出し、管理サーバ１０等による管理可能な状態に置くことができる。従って、個人情報の開示要求や訂正要求に確実に対応することができるとともに、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１２９】
また、上述した第２の探査手法では、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。従って、電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう従来手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの探索処理を高速に行なうことが可能になる。
【０１３０】
このとき、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で文字区間における文字列の判定処理を行なうことで、判定処理をより高速に効率良く実行することが可能になる。
また、不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まない電子ファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高い電子ファイルを確実に探索することが可能になる。つまり、本実施形態によって個人情報ファイルであると判定される電子ファイルの数は、従来手法に比べよりも多くなり、個人情報ファイルである可能性の高い電子ファイル（疑わしい電子ファイル）を確実に洗い出すことができる。
【０１３１】
さらに、文字区間の文字数が１以上６以下であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合対象としているので、照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が６を超える長い文字区間が、照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの探索処理のさらなる高速化に寄与することになる。
【０１３２】
このように第２の探査手法によっても、個人情報ファイルを自動的に特定して探索することができるので、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、例えば企業内等において分散して存在する個人情報ファイル（個人情報ファイルである可能性の高い電子ファイル）を確実に探索して洗い出し管理サーバ１０等による管理可能な状態に置くことができ、個人情報の開示要求や訂正要求に確実に対応することができるとともに、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することができる。
【０１３３】
また、個人情報ファイルは、各個人情報ファイルに付与されたＰマーク（ランク／レベル）に応じ、管理サーバ１０等によって管理され、個人情報ファイルの利用者（保有者）に注意情報／警告情報を通知したり、個人情報ファイルをクライアント端末２０から強制的に捕獲・回収したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したりすることが可能で、個人情報の不用意な流出・漏洩や個人情報の不正利用などをより確実に防止することができる。
【０１３４】
〔４〕その他
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
また、上述した手段１０１〜１１９，２１〜２７としての機能（各手段の全部または一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（個人情報管理プログラム）を実行することによって実現される。
【０１３５】
そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から分散型ストレージシステム用制御プログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。
【０１３６】
ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記個人情報管理プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、手段１０１〜１１９，２１〜２７としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。
【０１３７】
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。
【図面の簡単な説明】
【０１３８】
【図１】本発明の一実施形態としての個人情報管理システムの構成を示すブロック図である。
【図２】本実施形態における個人情報管理サーバ（管理サーバ）の構成を示すブロック図である。
【図３】本実施形態におけるクライアント端末の構成を示すブロック図である。
【図４】本実施形態における個人情報管理サーバの動作を説明するためのフローチャートである。
【図５】本実施形態における個人情報管理サーバの動作を説明するためのフローチャートである。
【図６】本実施形態におけるクライアント端末の動作を説明するためのフローチャートである。
【符号の説明】
【０１３９】
１ 個人情報管理システム
１０ 個人情報管理サーバ（管理サーバ）
１１ 個人情報カプセルデータベース（保存手段）
１２ 認証情報／復号鍵保存手段
１０１ 個人情報カプセル生成／変更要求受信手段
１０２ 生成手段
１０３ フィルタ設定手段
１０４ アクセス要求受信手段
１０５ フィルタリング手段
１０６ 変換手段
１０７ 暗号化手段
１０８ アクセス権限設定手段
１０９ 個人情報ファイル送信手段
１１０ ログ記録手段
１１１ 認証情報受信手段
１１２ 判定手段
１１３ 復号鍵送信手段
１１４ 変更手段
１１５ 無効化手段
１１６ 通知手段
１１７ デジタル署名付与手段
１１８ 個人情報探査手段
１１９ 削除手段
２０ クライアント端末
２１ アクセス要求送信手段
２２ 個人情報ファイル受信手段
２３ 個人情報ファイル保存手段
２４ 認証情報送信手段
２５ 復号鍵受信手段
２６ 復号化手段
２７ 編集手段
３０ ネットワーク（社内ＬＡＮ）
【特許請求の範囲】
【請求項１】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、
該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、
該管理サーバが、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成され、
該クライアント端末が、
該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、
該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴とする、個人情報管理システム。
【請求項２】
該管理サーバが、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていることを特徴とする、請求項１記載の個人情報管理システム。
【請求項３】
該管理サーバが、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段をさらにそなえて構成されていることを特徴とする、請求項２記載の個人情報管理システム。
【請求項４】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえたことを特徴とする、請求項３記載の個人情報管理システム。
【請求項５】
該管理サーバが、該個人情報探査手段および該削除手段としての機能を有していることを特徴とする、請求項４記載の個人情報管理システム。
【請求項６】
該クライアント端末が、該個人情報探査手段および該削除手段としての機能を有していることを特徴とする、請求項４記載の個人情報管理システム。
【請求項７】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、
該クライアント端末が、
該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、
該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、
該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項２〜請求項６のいずれか一項に記載の個人情報管理システム。
【請求項８】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項７記載の個人情報管理システム。
【請求項９】
該管理サーバが、
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、
該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されることを特徴とする、請求項８記載の個人情報管理システム。
【請求項１０】
該クライアント端末が、
該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をさらにそなえて構成され、
該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されることを特徴とする、請求項９記載の個人情報管理システム。
【請求項１１】
該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されていることを特徴とする、請求項１０記載の個人情報管理システム。
【請求項１２】
該管理サーバが、
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項２〜請求項１１のいずれか一項に記載の個人情報管理システム。
【請求項１３】
該管理サーバの該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項７〜請求項１２のいずれか一項に記載の個人情報管理システム。
【請求項１４】
該管理サーバの該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項７〜請求項１２のいずれか一項に記載の個人情報管理システム。
【請求項１５】
該管理サーバの該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項１２記載の個人情報管理システム。
【請求項１６】
該管理サーバが、
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１〜請求項１５のいずれか一項に記載の個人情報管理システム。
【請求項１７】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバであって、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成されていることを特徴とする、個人情報管理サーバ。
【請求項１８】
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていることを特徴とする、請求項１７記載の個人情報管理サーバ。
【請求項１９】
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段をさらにそなえて構成されていることを特徴とする、請求項１８記載の個人情報管理サーバ。
【請求項２０】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえて構成されていることを特徴とする、請求項１９記載の個人情報管理サーバ。
【請求項２１】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されていることを特徴とする、請求項１８〜請求項２０のいずれか一項に記載の個人情報管理サーバ。
【請求項２２】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項２１記載の個人情報管理サーバ。
【請求項２３】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成されていることを特徴とする、請求項２２記載の個人情報管理サーバ。
【請求項２４】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項１８〜請求項２３のいずれか一項に記載の個人情報管理サーバ。
【請求項２５】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項２１〜請求項２４のいずれか一項に記載の個人情報管理サーバ。
【請求項２６】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項２１〜請求項２４のいずれか一項に記載の個人情報管理サーバ。
【請求項２７】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項２４記載の個人情報管理サーバ。
【請求項２８】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１７〜請求項２７のいずれか一項に記載の個人情報管理サーバ。
【請求項２９】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバとしてコンピュータを機能させる個人情報管理プログラムであって、
該個人情報カプセルを生成する生成手段、
該生成手段によって生成された個人情報カプセルを保存する保存手段、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段、および、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段として、該コンピュータを機能させることを特徴とする、個人情報管理プログラム。
【請求項３０】
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段、および、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段として、該コンピュータをさらに機能させることを特徴とする、請求項２９記載の個人情報管理プログラム。
【請求項３１】
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０記載の個人情報管理プログラム。
【請求項３２】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段、および、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段として、該コンピュータをさらに機能させることを特徴とする、請求項３１記載の個人情報管理プログラム。
【請求項３３】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段、および、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０〜請求項３２のいずれか一項に記載の個人情報管理プログラム。
【請求項３４】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段として、該コンピュータをさらに機能させ、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させるように、該コンピュータを機能させることを特徴とする、請求項３３記載の個人情報管理プログラム。
【請求項３５】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段として、該コンピュータをさらに機能させることを特徴とする、請求項３４記載の個人情報管理プログラム。
【請求項３６】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０〜請求項３５のいずれか一項に記載の個人情報管理プログラム。
【請求項３７】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３３〜請求項３６のいずれか一項に記載の個人情報管理プログラム。
【請求項３８】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３３〜請求項３６のいずれか一項に記載の個人情報管理プログラム。
【請求項３９】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３６記載の個人情報管理プログラム。
【請求項４０】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段として、該コンピュータをさらに機能させることを特徴とする、請求項２９〜請求項３９のいずれか一項に記載の個人情報管理プログラム。
【特許請求の範囲】
【請求項１】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、
該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、
該管理サーバが、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段と、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段と、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段と、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段とをそなえて構成され、
該クライアント端末が、
該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、
該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴とする、個人情報管理システム。
【請求項２】
該探査手段が、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、請求項１記載の個人情報管理システム。
【請求項３】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、
該クライアント端末が、
該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、
該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、
該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項２または請求項３に記載の個人情報管理システム。
【請求項４】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項３記載の個人情報管理システム。
【請求項５】
該管理サーバが、
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、
該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されることを特徴とする、請求項４記載の個人情報管理システム。
【請求項６】
該クライアント端末が、
該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をさらにそなえて構成され、
該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されることを特徴とする、請求項５記載の個人情報管理システム。
【請求項７】
該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されていることを特徴とする、請求項６記載の個人情報管理システム。
【請求項８】
該管理サーバが、
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項２〜請求項７のいずれか一項に記載の個人情報管理システム。
【請求項９】
該管理サーバの該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項３〜請求項８のいずれか一項に記載の個人情報管理システム。
【請求項１０】
該管理サーバの該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項３〜請求項８のいずれか一項に記載の個人情報管理システム。
【請求項１１】
該管理サーバの該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項８記載の個人情報管理システム。
【請求項１２】
該管理サーバが、
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１〜請求項１１のいずれか一項に記載の個人情報管理システム。
【請求項１３】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバであって、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段と、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段と、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段と、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段とをそなえて構成されていることを特徴とする、個人情報管理サーバ。
【請求項１４】
該探査手段が、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、請求項１３記載の個人情報管理サーバ。
【請求項１５】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されていることを特徴とする、請求項１３または請求項１４に記載の個人情報管理サーバ。
【請求項１６】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項１５記載の個人情報管理サーバ。
【請求項１７】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成されていることを特徴とする、請求項１６記載の個人情報管理サーバ。
【請求項１８】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項１３〜請求項１７のいずれか一項に記載の個人情報管理サーバ。
【請求項１９】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項１５〜請求項１８のいずれか一項に記載の個人情報管理サーバ。
【請求項２０】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項１５〜請求項１８のいずれか一項に記載の個人情報管理サーバ。
【請求項２１】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項１８記載の個人情報管理サーバ。
【請求項２２】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１３〜請求項２１のいずれか一項に記載の個人情報管理サーバ。
【請求項２３】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバとしてコンピュータを機能させる個人情報管理プログラムであって、
該個人情報カプセルを生成する生成手段、
該生成手段によって生成された個人情報カプセルを保存する保存手段、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段、および、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段として、該コンピュータを機能させることを特徴とする、個人情報管理プログラム。
【請求項２４】
該探査手段として該コンピュータを機能させる際に、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段、および、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段として、該コンピュータを機能させることを特徴とする、請求項２３記載の個人情報管理プログラム。
【請求項２５】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段、および、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３または請求項２４に記載の個人情報管理プログラム。
【請求項２６】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段として、該コンピュータをさらに機能させ、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させるように、該コンピュータを機能させることを特徴とする、請求項２５記載の個人情報管理プログラム。
【請求項２７】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段として、該コンピュータをさらに機能させることを特徴とする、請求項２６記載の個人情報管理プログラム。
【請求項２８】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３〜請求項２７のいずれか一項に記載の個人情報管理プログラム。
【請求項２９】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２５〜請求項２８のいずれか一項に記載の個人情報管理プログラム。
【請求項３０】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２５〜請求項２８のいずれか一項に記載の個人情報管理プログラム。
【請求項３１】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２８記載の個人情報管理プログラム。
【請求項３２】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３〜請求項３１のいずれか一項に記載の個人情報管理プログラム。
【請求項１】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、
該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、
該管理サーバが、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成され、
該クライアント端末が、
該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、
該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴とする、個人情報管理システム。
【請求項２】
該管理サーバが、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていることを特徴とする、請求項１記載の個人情報管理システム。
【請求項３】
該管理サーバが、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段をさらにそなえて構成されていることを特徴とする、請求項２記載の個人情報管理システム。
【請求項４】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえたことを特徴とする、請求項３記載の個人情報管理システム。
【請求項５】
該管理サーバが、該個人情報探査手段および該削除手段としての機能を有していることを特徴とする、請求項４記載の個人情報管理システム。
【請求項６】
該クライアント端末が、該個人情報探査手段および該削除手段としての機能を有していることを特徴とする、請求項４記載の個人情報管理システム。
【請求項７】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、
該クライアント端末が、
該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、
該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、
該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項２〜請求項６のいずれか一項に記載の個人情報管理システム。
【請求項８】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項７記載の個人情報管理システム。
【請求項９】
該管理サーバが、
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、
該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されることを特徴とする、請求項８記載の個人情報管理システム。
【請求項１０】
該クライアント端末が、
該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をさらにそなえて構成され、
該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されることを特徴とする、請求項９記載の個人情報管理システム。
【請求項１１】
該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されていることを特徴とする、請求項１０記載の個人情報管理システム。
【請求項１２】
該管理サーバが、
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項２〜請求項１１のいずれか一項に記載の個人情報管理システム。
【請求項１３】
該管理サーバの該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項７〜請求項１２のいずれか一項に記載の個人情報管理システム。
【請求項１４】
該管理サーバの該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項７〜請求項１２のいずれか一項に記載の個人情報管理システム。
【請求項１５】
該管理サーバの該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項１２記載の個人情報管理システム。
【請求項１６】
該管理サーバが、
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１〜請求項１５のいずれか一項に記載の個人情報管理システム。
【請求項１７】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバであって、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段とをそなえて構成されていることを特徴とする、個人情報管理サーバ。
【請求項１８】
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段とをさらにそなえて構成されていることを特徴とする、請求項１７記載の個人情報管理サーバ。
【請求項１９】
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段をさらにそなえて構成されていることを特徴とする、請求項１８記載の個人情報管理サーバ。
【請求項２０】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段とをさらにそなえて構成されていることを特徴とする、請求項１９記載の個人情報管理サーバ。
【請求項２１】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されていることを特徴とする、請求項１８〜請求項２０のいずれか一項に記載の個人情報管理サーバ。
【請求項２２】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項２１記載の個人情報管理サーバ。
【請求項２３】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成されていることを特徴とする、請求項２２記載の個人情報管理サーバ。
【請求項２４】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項１８〜請求項２３のいずれか一項に記載の個人情報管理サーバ。
【請求項２５】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項２１〜請求項２４のいずれか一項に記載の個人情報管理サーバ。
【請求項２６】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項２１〜請求項２４のいずれか一項に記載の個人情報管理サーバ。
【請求項２７】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項２４記載の個人情報管理サーバ。
【請求項２８】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１７〜請求項２７のいずれか一項に記載の個人情報管理サーバ。
【請求項２９】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバとしてコンピュータを機能させる個人情報管理プログラムであって、
該個人情報カプセルを生成する生成手段、
該生成手段によって生成された個人情報カプセルを保存する保存手段、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段、および、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段として、該コンピュータを機能させることを特徴とする、個人情報管理プログラム。
【請求項３０】
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段、および、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段として、該コンピュータをさらに機能させることを特徴とする、請求項２９記載の個人情報管理プログラム。
【請求項３１】
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０記載の個人情報管理プログラム。
【請求項３２】
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段、および、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されていない場合、該個人情報を該クライアント端末から削除する削除手段として、該コンピュータをさらに機能させることを特徴とする、請求項３１記載の個人情報管理プログラム。
【請求項３３】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段、および、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０〜請求項３２のいずれか一項に記載の個人情報管理プログラム。
【請求項３４】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段として、該コンピュータをさらに機能させ、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させるように、該コンピュータを機能させることを特徴とする、請求項３３記載の個人情報管理プログラム。
【請求項３５】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段として、該コンピュータをさらに機能させることを特徴とする、請求項３４記載の個人情報管理プログラム。
【請求項３６】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段として、該コンピュータをさらに機能させることを特徴とする、請求項３０〜請求項３５のいずれか一項に記載の個人情報管理プログラム。
【請求項３７】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３３〜請求項３６のいずれか一項に記載の個人情報管理プログラム。
【請求項３８】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３３〜請求項３６のいずれか一項に記載の個人情報管理プログラム。
【請求項３９】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項３６記載の個人情報管理プログラム。
【請求項４０】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段として、該コンピュータをさらに機能させることを特徴とする、請求項２９〜請求項３９のいずれか一項に記載の個人情報管理プログラム。
【特許請求の範囲】
【請求項１】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する管理サーバと、
該管理サーバと相互に通信可能に接続され、該個人情報カプセルにアクセスして該個人情報カプセル内の個人情報要素を利用しうるクライアント端末とをそなえ、
該管理サーバが、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルに該クライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段と、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段と、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段と、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段とをそなえて構成され、
該クライアント端末が、
該個人情報カプセルに対するアクセス要求を該管理サーバに送信するアクセス要求送信手段と、
該管理サーバから該アクセス要求に応じた該個人情報ファイルを受信する個人情報ファイル受信手段とをそなえて構成されていることを特徴とする、個人情報管理システム。
【請求項２】
該探査手段が、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、請求項１記載の個人情報管理システム。
【請求項３】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されるとともに、
該クライアント端末が、
該個人情報ファイル受信手段によって受信された該個人情報ファイルである暗号化ファイルを開く場合に、該暗号化ファイルについての認証情報を該管理サーバに送信する認証情報送信手段と、
該暗号化ファイルに応じた復号鍵を該管理サーバから受信する復号鍵受信手段と、
該復号鍵受信手段によって受信された該復号鍵を用いて該暗号化ファイルを復号化し元の個人情報ファイルを復元する復号化手段とをさらにそなえて構成されていることを特徴とする、請求項２または請求項３に記載の個人情報管理システム。
【請求項４】
該管理サーバが、
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該管理サーバの該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項３記載の個人情報管理システム。
【請求項５】
該管理サーバが、
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成され、
該クライアント端末において、該利用者は、該復号化手段によって復元された該個人情報ファイルに対するアクセスとして、該アクセス権限設定手段によって設定されたアクセス権限に応じたアクセスを許可されることを特徴とする、請求項４記載の個人情報管理システム。
【請求項６】
該クライアント端末が、
該復号化手段によって復元された該個人情報ファイルである該完成文書ファイルから取り出された該オリジナルファイルを編集する編集手段をさらにそなえて構成され、
該利用者は、該アクセス権限設定手段によって、該完成文書ファイルから該オリジナルファイルを取り出す取出し権限と、取り出された該オリジナルファイルの編集権限とを該所定のアクセス権限として設定されている場合には、該クライアント端末において該編集手段によって該オリジナルファイルを編集することを許可されることを特徴とする、請求項５記載の個人情報管理システム。
【請求項７】
該クライアント端末において、該編集手段によって編集された該オリジナルファイルが該完成文書ファイル以外に保存されることが禁止されていることを特徴とする、請求項６記載の個人情報管理システム。
【請求項８】
該管理サーバが、
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項２〜請求項７のいずれか一項に記載の個人情報管理システム。
【請求項９】
該管理サーバの該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項３〜請求項８のいずれか一項に記載の個人情報管理システム。
【請求項１０】
該管理サーバの該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項３〜請求項８のいずれか一項に記載の個人情報管理システム。
【請求項１１】
該管理サーバの該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項８記載の個人情報管理システム。
【請求項１２】
該管理サーバが、
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１〜請求項１１のいずれか一項に記載の個人情報管理システム。
【請求項１３】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバであって、
該個人情報カプセルを生成する生成手段と、
該生成手段によって生成された個人情報カプセルを保存する保存手段と、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段と、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段と、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段と、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段と、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段と、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段と、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段と、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段と、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段とをそなえて構成されていることを特徴とする、個人情報管理サーバ。
【請求項１４】
該探査手段が、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、請求項１３記載の個人情報管理サーバ。
【請求項１５】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段と、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段と、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段と、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段とをさらにそなえて構成されていることを特徴とする、請求項１３または請求項１４に記載の個人情報管理サーバ。
【請求項１６】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段をさらにそなえて構成され、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させることを特徴とする、請求項１５記載の個人情報管理サーバ。
【請求項１７】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段をさらにそなえて構成されていることを特徴とする、請求項１６記載の個人情報管理サーバ。
【請求項１８】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段をさらにそなえて構成されていることを特徴とする、請求項１３〜請求項１７のいずれか一項に記載の個人情報管理サーバ。
【請求項１９】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化することを特徴とする、請求項１５〜請求項１８のいずれか一項に記載の個人情報管理サーバ。
【請求項２０】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化することを特徴とする、請求項１５〜請求項１８のいずれか一項に記載の個人情報管理サーバ。
【請求項２１】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化することを特徴とする、請求項１８記載の個人情報管理サーバ。
【請求項２２】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段をさらにそなえて構成されていることを特徴とする、請求項１３〜請求項２１のいずれか一項に記載の個人情報管理サーバ。
【請求項２３】
特定の個人を識別可能な個人情報を、該特定の個人に関する複数の個人情報要素からなるデータセット（以下、個人情報カプセルという）として管理する個人情報管理サーバとしてコンピュータを機能させる個人情報管理プログラムであって、
該個人情報カプセルを生成する生成手段、
該生成手段によって生成された個人情報カプセルを保存する保存手段、
該保存手段に保存された該個人情報カプセルにクライアント端末からアクセスしうる利用者毎に、当該利用者の利用可能な個人情報要素を規定するフィルタを設定するフィルタ設定手段、
利用者から該クライアント端末を通じて該個人情報カプセルに対するアクセス要求を受信するアクセス要求受信手段、
該アクセス要求受信手段によって該アクセス要求を受信した場合、該アクセス要求を送信した利用者に対し該フィルタ設定手段によって設定された該フィルタを用いて該個人情報カプセル内の個人情報要素のフィルタリング処理を行なうことにより、当該利用者の利用可能な個人情報要素を該個人情報カプセルから抽出するフィルタリング手段、
該フィルタリング手段によって該個人情報カプセルから抽出された個人情報要素を個人情報ファイルとして該クライアント端末に送信する個人情報ファイル送信手段、
該保存手段に保存された該個人情報カプセルの内容を変更する変更手段、
該変更手段によって該個人情報カプセルの内容が変更された場合、変更を施された該個人情報カプセルから変更前に抽出されて該クライアント端末に送信された該個人情報ファイルを無効化する無効化手段、
該生成手段によって生成された該個人情報カプセル、もしくは、該変更手段によって変更された該個人情報カプセル、もしくは、該フィルタリング手段によって得られた該個人情報ファイルに対し、デジタル署名を付与するデジタル署名付与手段、
該クライアント端末におけるデータの中から個人情報を探査する個人情報探査手段、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望む場合、当該個人情報を個人情報カプセルとして該保存手段に登録・保存する手段、および、
該個人情報探査手段によって探査された個人情報に該デジタル署名付与手段によるデジタル署名が付与されておらず、且つ、当該個人情報を保有しているクライアント端末の利用者が当該個人情報を該管理サーバの管理対象として登録することを望まない場合、当該個人情報を該クライアント端末から削除する削除手段として、該コンピュータを機能させることを特徴とする、個人情報管理プログラム。
【請求項２４】
該探査手段として該コンピュータを機能させる際に、
該クライアント端末におけるデータに含まれるデータ集合体のテキストデータを抽出する抽出手段、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段、および、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該データ集合体が個人情報であるか否かを判定する第２判定手段として、該コンピュータを機能させることを特徴とする、請求項２３記載の個人情報管理プログラム。
【請求項２５】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、送信先の該クライアント端末に応じた暗号鍵を用いて暗号化して、暗号化ファイルを作成し、該暗号化ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させる暗号化手段、
該クライアント端末から該暗号化ファイルについての認証情報を受信する認証情報受信手段、
該認証情報受信手段によって受信された該認証情報に基づいて、該クライアント端末が該暗号化ファイルの正当な送信先であるか否かの判定を行なう判定手段、および、
該判定手段によって該クライアント端末が正当な送信先であると判定された場合、該暗号化ファイルを復号化するための復号鍵を該クライアント端末に送信する復号鍵送信手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３または請求項２４に記載の個人情報管理プログラム。
【請求項２６】
該個人情報ファイル送信手段によって送信される個人情報ファイルを、コンテナ機能を有する完成文書ファイルに変換する変換手段として、該コンピュータをさらに機能させ、
該暗号化手段が、該変換手段によって得られた完成文書ファイルに、該コンテナ機能を用いて該個人情報ファイルのオリジナルファイルを添付した状態で、該完成文書ファイルを暗号化し、暗号化された該完成文書ファイルを該個人情報ファイルとして該個人情報ファイル送信手段に送信させるように、該コンピュータを機能させることを特徴とする、請求項２５記載の個人情報管理プログラム。
【請求項２７】
該暗号化ファイルに対する所定のアクセス権限を、該個人情報ファイルの送信先の利用者に応じて設定するアクセス権限設定手段として、該コンピュータをさらに機能させることを特徴とする、請求項２６記載の個人情報管理プログラム。
【請求項２８】
該クライアント端末からの該個人情報カプセルに対するアクセス要求に応じて実行された該個人情報ファイルの送信の履歴をログとして記録するログ記録手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３〜請求項２７のいずれか一項に記載の個人情報管理プログラム。
【請求項２９】
該無効化手段が、該復号鍵送信手段によって該クライアント端末に送信されるべき該復号鍵を変更することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２５〜請求項２８のいずれか一項に記載の個人情報管理プログラム。
【請求項３０】
該無効化手段が、該復号鍵送信手段による該復号鍵の送信を禁止することにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２５〜請求項２８のいずれか一項に記載の個人情報管理プログラム。
【請求項３１】
該無効化手段が、該ログ記録手段によって記録されたログに基づき該個人情報ファイルの送信先のクライアント端末に該個人情報ファイルの削除指令を送信し、該クライアント端末において該個人情報ファイルを削除させることにより、該個人情報ファイルを無効化するように、該コンピュータを機能させることを特徴とする、請求項２８記載の個人情報管理プログラム。
【請求項３２】
該無効化手段によって該個人情報ファイルを無効化した場合には、その旨を該クライアント端末に通知することにより、該個人情報カプセルに対するアクセス要求の再実行を該利用者に促す通知手段として、該コンピュータをさらに機能させることを特徴とする、請求項２３〜請求項３１のいずれか一項に記載の個人情報管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００６−３１７９９２（Ｐ２００６−３１７９９２Ａ）
【公開日】平成１８年１１月２４日（２００６．１１．２４）
【国際特許分類】
【出願番号】特願２００５−１３６８０９（Ｐ２００５−１３６８０９）
【出願日】平成１７年５月１０日（２００５．５．１０）
【特許番号】特許第３７９９４７９号（Ｐ３７９９４７９）
【特許公報発行日】平成１８年７月１９日（２００６．７．１９）
【出願人】（５９２１１２９３８）クオリティ株式会社 (121)
【Ｆターム（参考）】
【公開日】平成１８年１１月２４日（２００６．１１．２４）
【国際特許分類】
【出願日】平成１７年５月１０日（２００５．５．１０）
【特許番号】特許第３７９９４７９号（Ｐ３７９９４７９）
【特許公報発行日】平成１８年７月１９日（２００６．７．１９）
【出願人】（５９２１１２９３８）クオリティ株式会社 (121)
【Ｆターム（参考）】
[ Back to top ]