特開 2023-141262 個人情報管理システム及び個人情報移転制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023141262

(43)【公開日】2023-10-05

(54)【発明の名称】個人情報管理システム及び個人情報移転制御方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20230928BHJP

【ＦＩ】

G06F21/62 345

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022047488

(22)【出願日】2022-03-23

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】鬼頭 大介

(72)【発明者】

【氏名】三根 なつこ

(72)【発明者】

【氏名】藤田 望美

(72)【発明者】

【氏名】青木（幸田） 恵理子

(57)【要約】      （修正有）

【課題】個人情報の国外移転において、これまでの移転状況及び各国の移転規制に留意して、移転の許可又は禁止を制御する個人情報管理システムを提供する。
【解決手段】個人情報管理システム１００は、拠点サーバと管理サーバを備える。拠点サーバは、自拠点で取扱う個人情報の設定情報を第一管理情報に設定し、設定した設定情報を管理サーバに通知する。管理サーバは、拠点サーバから通知された設定情報に基づいて、第二管理情報を更新し、管理サーバは、データローカライゼーション情報及び第二管理情報を用いて、拠点サーバの拠点に適用される国内保持規制の観点に基づいて、拠点サーバによる個人情報の保管状況の適切性を判断し、その判断結果を拠点サーバに通知する。拠点サーバは、管理サーバによる個人情報の保管状況の適切性の判断結果に基づいて、国を跨いだ別の拠点サーバへの個人情報の移転の許可又は禁止を制御する。
【選択図】図１

【特許請求の範囲】

【請求項1】

各国の拠点で取扱う個人情報の移転制御を管理する個人情報管理システムであって、
自拠点で取扱う個人情報を管理する複数の第一の計算機と、前記複数の第一の計算機が管理する個人情報を一元的に管理する第二の計算機と、がネットワークを介して接続され、
前記第一の計算機は、自拠点で取扱う個人情報に関する情報が登録される第一管理情報を有し、
前記第二の計算機は、前記複数の第一の計算機が管理する各個人情報に関する情報が登録される第二管理情報と、各国で定められたデータの国内保持規制を示すデータローカライゼーション情報と、を有し、
前記第一の計算機は、自拠点で取扱う個人情報に関する所定項目の設定情報を前記第一管理情報に設定し、設定した設定情報を前記第二の計算機に通知し、
前記第二の計算機は、前記第一の計算機から通知された前記設定情報に基づいて、前記第二管理情報を更新し、
前記第二の計算機は、前記データローカライゼーション情報及び前記第二管理情報を用いて、前記第一の計算機の拠点に適用される国内保持規制の観点に基づいて、前記第一の計算機による前記個人情報の保管状況の適切性を判断し、その判断結果を前記第一の計算機に通知し、
前記第一の計算機は、前記第二の計算機による前記個人情報の保管状況の適切性の判断結果に基づいて、国を跨いだ別の第一の計算機への前記個人情報の移転の許可または禁止を制御する
ことを特徴とする個人情報管理システム。

【請求項2】

前記第一の計算機が前記第二の計算機に通知する前記個人情報の設定情報には、少なくとも、当該個人情報の取得国、当該個人情報の種類、及び当該個人情報の格納場所を示す情報が含まれ、
前記第二の計算機は、前記データローカライゼーション情報を用いて、前記第一の計算機の拠点におけるデータの国内保持の要否を判断し、前記国内保持が必要な場合にはさらに、前記第二管理情報を用いて、前記第一の計算機が国内保持規制に適合する形態で前記個人情報を保管しているか否かを判断することにより、前記第一の計算機による前記個人情報の保管状況の適切性を判断する
ことを特徴とする請求項１に記載の個人情報管理システム。

【請求項3】

前記第二の計算機は、
前記第一の計算機の拠点において前記データの国内保持が不要であるか、前記第一の計算機の拠点において前記データの国内保持が必要であるが当該第一の計算機が国内保持規制に適合する形態で前記個人情報を保管していると判断した場合に、前記第一の計算機による前記個人情報の保管状況が適切であると判断し、
前記第一の計算機の拠点において前記データの国内保持が必要であるが当該第一の計算機が国内保持規制に適合する形態で前記個人情報を保管していないと判断した場合に、前記第一の計算機による前記個人情報の保管状況が不適切であると判断する
ことを特徴とする請求項２に記載の個人情報管理システム。

【請求項4】

前記第一の計算機は、自身が管理する前記個人情報の前記別の第一の計算機への移転が要求されたとき、
前記第二の計算機による前記個人情報の保管状況の適切性の判断結果と、前記要求された移転がデータを移転元に残す移転タイプであるか否かとに基づいて、自拠点において前記個人情報の国内保持が不要であるか、または、自拠点において前記個人情報の国内保持が必要であり国内保持に対応可能であると判断した場合に、当該個人情報の移転を許可する
ことを特徴とする請求項３に記載の個人情報管理システム。

【請求項5】

前記第一の計算機は、前記別の第一の計算機への個人情報の移転が要求されたとき、指定された個人情報の移転が再移転に該当するか否かを判断し、再移転に該当する場合は、再移転の是非を前記第二の計算機に問合せ、
前記問合せを受けた前記第二の計算機は、再移転の是非判断として、移転対象の個人情報が国内保持が必要でその対応が可能である場合には、当該個人情報の以前の移転元の個人情報を管理している特定の前記第一の計算機に対して当該移転元の個人情報の保管状況の確認を行い、当該保管状況が適切である場合に、前記再移転が適切であると判断してその判断結果を前記第一の計算機に通知し、
前記第一の計算機は、前記第二の計算機から前記再移転が適切であるとの判断結果を受け取った場合に、前記別の第一の計算機への個人情報の移転を許可する
ことを特徴とする請求項３に記載の個人情報管理システム。

【請求項6】

前記第二の計算機は、
各国の国内保持規制の有無、個人情報の種類数、及び移転規制の有無に基づいて、個人情報の移転に関する各国の規制レベルを算出し、
前記再移転の是非判断においてさらに、前記再移転の移転根拠、前記個人情報の取得国、前記取得国における規制、及び前記取得国と再移転先の所在国との規制レベルの強弱関係に基づいて、再移転の適切性を判断し、
前記再移転が不適切であると判断した場合でも、前記以前の移転元の個人情報を管理している前記特定の第一の計算機と、前記再移転先の第一の計算機とに対して、個人情報の取扱いに関する合意形成を要求し、当該合意形成が可能との返答を受け取った場合に、再移転が適切であると判断する
ことを特徴とする請求項５に記載の個人情報管理システム。

【請求項7】

前記第二の計算機は、前記第一の計算機による前記個人情報の保管状況の適切性を定期的に判断し、不適切であると判断した場合は、当該個人情報の移転の禁止を前記第一の計算機に通知する
ことを特徴とする請求項２に記載の個人情報管理システム。

【請求項8】

前記第二の計算機は、前記第一の計算機による前記個人情報の保管状況の適切性と、前記特定の第一の計算機による前記以前の移転元の個人情報の保管状況の適切性と、を定期的に判断する
ことを特徴とする請求項６に記載の個人情報管理システム。

【請求項9】

各国の拠点で取扱う個人情報の移転制御を管理する個人情報管理システムによる個人情報移転制御方法であって、
前記個人情報管理システムは、自拠点で取扱う個人情報を管理する複数の第一の計算機と、前記複数の第一の計算機が管理する個人情報を一元的に管理する第二の計算機と、がネットワークを介して接続され、
前記第一の計算機は、自拠点で取扱う個人情報に関する情報が登録される第一管理情報を有し、
前記第二の計算機は、前記複数の第一の計算機が管理する各個人情報に関する情報が登録される第二管理情報と、各国で定められたデータの国内保持規制を示すデータローカライゼーション情報と、を有し、
前記第一の計算機が、自拠点で取扱う個人情報に関する所定項目の設定情報を前記第一管理情報に設定し、設定した設定情報を前記第二の計算機に通知する第１ステップと、
前記第二の計算機が、前記第１ステップで前記第一の計算機から通知された前記設定情報に基づいて、前記第二管理情報を更新する第２ステップと、
前記第２ステップの後に、前記第二の計算機が、前記データローカライゼーション情報及び前記第二管理情報を用いて、前記第一の計算機の拠点に適用される国内保持規制の観点に基づいて、前記第一の計算機による前記個人情報の保管状況の適切性を判断し、その判断結果を前記第一の計算機に通知する第３ステップと、
前記第３ステップにおける前記第二の計算機による前記個人情報の保管状況の適切性の判断結果に基づいて、前記第一の計算機が、国を跨いだ別の第一の計算機への前記個人情報の移転の許可または禁止を制御する第４ステップと、
を備えることを特徴とする個人情報移転制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、個人情報管理システム及び個人情報移転制御方法に関し、個人情報保護の観点から個人情報の各国間での移転を制御する個人情報管理システム及び個人情報移転制御方法に適用して好適なものである。

【背景技術】

【0002】

近年、欧州のＧＤＰＲ（General Data Protection Regulation）をはじめ、世界各国で個人情報保護に関する法律の整備が進んでいる。個人情報の収集、保存、参照、及び更新等の取扱いを行う事業者は、これらの法律を遵守することが求められる。個人情報は、個人を直接識別できる情報、または、他の情報を組合せて個人を識別できる情報といった内容で多くの国で定義されており、例えば氏名及び住所等の情報が該当すると考えられる。

【0003】

個人情報の取扱いにおいては、特に個人情報の国外移転（越境）に関して、厳しい規制が設けられており、グローバルに事業を展開する企業は、注意が必要である。また、近年急速に普及が進むクラウドにおいては、情報の所在が必ずしも国内とは限らず、情報が海外の様々な場所に保存されるケースも存在し、情報の国内保存を要求するような国においては注意が必要である。そこで、個人情報の国外移転においては、上述した各国の規制に適合するために、必要に応じて移転の許可または禁止を制御することが考えられる。

【0004】

個人情報の国外移転を制御する公知技術として、例えば特許文献１がある。特許文献１によれば、ＥＵ（European Union）からＥＵ域外への個人情報の移転に関して、予め移転可能な国または企業を登録したリストを保持する。そして、個人情報を国外移転しようとする際に、上記リストを参照し、リスト内の国または企業への移転であれば移転を許可し、リスト外への移転であれば、必要に応じて情報を削除または加工等して移転する。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０２０－１１２９２２号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかし、上記の特許文献１に開示されたように、単純な登録済み宛先リストを参照して個人情報の移転を制御するといった従来技術では、個人情報の初期の移転は許可するが再移転は禁止するといったような、これまでの移転状況に応じた移転制御を行うことが難しかった。また、移転先の宛先としては許可されていても、移転元の国に国内保持規制等が有る場合には、移転元国における規制を考慮しなければ、再移転先で十分に個人情報が保護されないといった事態も想定されるが、上述した従来技術では、このような移転元国の規制に応じた移転の制御を行うことも容易ではなく、宛先リストに登録されている宛先であれば移転が許可されてしまう問題があった。

【0007】

本発明は以上の点を考慮してなされたもので、個人情報の国外移転において、これまでの移転状況及び各国の移転規制に留意して、移転の許可または禁止を制御することが可能な個人情報管理システム及び個人情報移転制御方法を提案しようとするものである。

【課題を解決するための手段】

【0008】

かかる課題を解決するため本発明においては、各国の拠点で取扱う個人情報の移転制御を管理する個人情報管理システムであって、自拠点で取扱う個人情報を管理する複数の第一の計算機と、前記複数の第一の計算機が管理する個人情報を一元的に管理する第二の計算機と、がネットワークを介して接続され、前記第一の計算機は、自拠点で取扱う個人情報に関する情報が登録される第一管理情報を有し、前記第二の計算機は、前記複数の第一の計算機が管理する各個人情報に関する情報が登録される第二管理情報と、各国で定められたデータの国内保持規制を示すデータローカライゼーション情報と、を有し、前記第一の計算機は、自拠点で取扱う個人情報に関する所定項目の設定情報を前記第一管理情報に設定し、設定した設定情報を前記第二の計算機に通知し、前記第二の計算機は、前記第一の計算機から通知された前記設定情報に基づいて、前記第二管理情報を更新し、前記第二の計算機は、前記データローカライゼーション情報及び前記第二管理情報を用いて、前記第一の計算機の拠点に適用される国内保持規制の観点に基づいて、前記第一の計算機による前記個人情報の保管状況の適切性を判断し、その判断結果を前記第一の計算機に通知し、前記第一の計算機は、前記第二の計算機による前記個人情報の保管状況の適切性の判断結果に基づいて、国を跨いだ別の第一の計算機への前記個人情報の移転の許可または禁止を制御する、ことを特徴とする個人情報管理システムが提供される。

【0009】

また、かかる課題を解決するため本発明においては、各国の拠点で取扱う個人情報の移転制御を管理する個人情報管理システムによる個人情報移転制御方法であって、前記個人情報管理システムは、自拠点で取扱う個人情報を管理する複数の第一の計算機と、前記複数の第一の計算機が管理する個人情報を一元的に管理する第二の計算機と、がネットワークを介して接続され、前記第一の計算機は、自拠点で取扱う個人情報に関する情報が登録される第一管理情報を有し、前記第二の計算機は、前記複数の第一の計算機が管理する各個人情報に関する情報が登録される第二管理情報と、各国で定められたデータの国内保持規制を示すデータローカライゼーション情報と、を有し、前記第一の計算機が、自拠点で取扱う個人情報に関する所定項目の設定情報を前記第一管理情報に設定し、設定した設定情報を前記第二の計算機に通知する第１ステップと、前記第二の計算機が、前記第１ステップで前記第一の計算機から通知された前記設定情報に基づいて、前記第二管理情報を更新する第２ステップと、前記第２ステップの後に、前記第二の計算機が、前記データローカライゼーション情報及び前記第二管理情報を用いて、前記第一の計算機の拠点に適用される国内保持規制の観点に基づいて、前記第一の計算機による前記個人情報の保管状況の適切性を判断し、その判断結果を前記第一の計算機に通知する第３ステップと、前記第３ステップにおける前記第二の計算機による前記個人情報の保管状況の適切性の判断結果に基づいて、前記第一の計算機が、国を跨いだ別の第一の計算機への前記個人情報の移転の許可または禁止を制御する第４ステップと、を備えることを特徴とする個人情報移転制御方法が提供される。

【発明の効果】

【0010】

本発明によれば、個人情報の国外移転において、これまでの移転状況及び各国の移転規制に留意して、移転の許可または禁止を制御することができる。

【図面の簡単な説明】

【0011】

【図1】本発明の第１の実施形態に係る個人情報管理システム１００の構成例を示すブロック図である。

【図2】拠点情報１６１のデータ構成例を示す図である。

【図3】個人情報管理情報１６２のデータ構成例を示す図である。

【図4】移転管理情報１６３のデータ構成例を示す図である。

【図5】データタイプ定義情報１６４のデータ構成例を示す図である。

【図6】移転タイプ定義情報１６５のデータ構成例を示す図である。

【図7】クラウド情報１６６のデータ構成例を示す図である。

【図8】各国ローカライゼーション情報１６７のデータ構成例を示す図である。

【図9】各国移転規制情報１６８のデータ構成例を示す図である。

【図10】各国規制レベル情報１６９のデータ構成例を示す図である。

【図11】各国十分性情報１７０のデータ構成例を示す図である。

【図12】各国センシティビティ情報１７１のデータ構成例を示す図である。

【図13】移転根拠グループ情報１７２のデータ構成例を示す図である。

【図14】移転根拠情報１７３のデータ構成例を示す図である。

【図15】個人情報管理情報１１４のデータ構成例を示す図である。

【図16】移転候補情報１１７のデータ構成例を示す図である。

【図17】個人情報及び移転候補情報の設定処理の処理手順例を示すフローチャートである。

【図18】個人情報の規制判断処理の処理手順例を示すフローチャートである。

【図19】個人情報の移転制御処理の処理手順例を示すフローチャートである。

【図20】移転終了通知後の個人情報登録処理の処理手順例を示すシーケンス図である。

【図21】再移転判断処理の処理手順例を示すフローチャートである。

【発明を実施するための形態】

【0012】

以下、図面を参照して、本発明の実施形態を詳述する。

【0013】

なお、以下の記載及び図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略及び簡略化がなされている。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。本発明が実施形態に制限されることは無く、本発明の思想に合致するあらゆる応用例が本発明の技術的範囲に含まれる。本発明は、当業者であれば本発明の範囲内で様々な追加や変更等を行うことができる。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は複数でも単数でも構わない。

【0014】

以下の説明では、「テーブル」、「表」、「リスト」、「データ」等の表現にて各種情報を説明することがあるが、各種情報は、これら以外のデータ構造で表現されていてもよい。データ構造に依存しないことを示すために「ＸＸテーブル」、「ＸＸリスト」等を「ＸＸ情報」や「ＸＸデータ」と呼ぶことがある。各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「ＩＤ」、「番号」等の表現を用いるが、これらについてはお互いに置換が可能である。

【0015】

また、以下の説明では、同種の要素を区別しないで説明する場合には、参照符号又は参照符号における共通番号を使用し、同種の要素を区別して説明する場合は、その要素の参照符号を使用又は参照符号に代えてその要素に割り振られたＩＤを使用することがある。

【0016】

また、以下の説明では、プログラムを実行して行う処理を説明する場合があるが、プログラムは、少なくとも１以上のプロセッサ（例えばＣＰＵ）によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）及び／又はインタフェースデバイス（例えば通信ポート）等を用いながら行うため、処理の主体がプロセッサとされてもよい。同様に、プログラムを実行して行う処理の主体が、プロセッサを有するコントローラ、装置、システム、計算機、ノード、ストレージシステム、ストレージ装置、サーバ、管理計算機、クライアント、又は、ホストであってもよい。プログラムを実行して行う処理の主体（例えばプロセッサ）は、処理の一部又は全部を行うハードウェア回路を含んでもよい。例えば、プログラムを実行して行う処理の主体は、暗号化及び復号化、又は圧縮及び伸張を実行するハードウェア回路を含んでもよい。プロセッサは、プログラムに従って動作することによって、所定の機能を実現する機能部として動作する。プロセッサを含む装置及びシステムは、これらの機能部を含む装置及びシステムである。

【0017】

プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ又は計算機が読み取り可能な記憶メディアであってもよい。プログラムソースがプログラム配布サーバの場合、プログラム配布サーバはプロセッサ（例えばＣＰＵ）と記憶資源を含み、記憶資源はさらに配布プログラムと配布対象であるプログラムとを記憶してよい。そして、プログラム配布サーバのプロセッサが配布プログラムを実行することで、プログラム配布サーバのプロセッサは配布対象のプログラムを他の計算機に配布してよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

【0018】

（１）第１の実施形態
（１－１）システム構成
図１は、本発明の第１の実施形態に係る個人情報管理システム１００の構成例を示すブロック図である。個人情報管理システム１００は、１以上の拠点サーバ１０１と、１以上のクライアント端末１４１と、１以上の管理サーバ１５１とを備える計算機システムである。拠点サーバ１０１、クライアント端末１４１、及び管理サーバ１５１は、それぞれのインタフェース（Ｉ／Ｆ１０４，１４４，１５４）を介してネットワークに接続され、互いに通信可能に構成される。

【0019】

拠点サーバ１０１は、メモリ１０２、ＣＰＵ１０３、Ｉ／Ｆ１０４、及び記憶領域１１９を有するサーバ等の計算機である。拠点サーバ１０１の設置数及び設置場所は特に限定されないが、例えば、個人情報管理システム１００を利用して個人情報の取扱いを行う事業者等の拠点ごと（あるいは、所在国ごと）に１つ以上が設置されると考えることができる。拠点や所在国については、図２に示す拠点情報を参照するとよい。

【0020】

ＣＰＵ１０３は、例えばプロセッサであって、拠点サーバ１０１を全体的に制御する。具体的には例えば、ＣＰＵ１０３は、Ｉ／Ｆ１０４を介して、外部機器（自分以外の拠点サーバ１０１，クライアント端末１４１，管理サーバ１５１等）からの操作要求の受信、上記外部機器から要求された操作（データ処理）の実行、データ処理結果の上記外部機器への送信、及び、データ処理要求の上記外部機器への送信、等を行う。

【0021】

メモリ１０２は、例えば主記憶装置であって、プログラム及びデータを記憶する。メモリ１０２は、ＣＰＵ１０３及びＩ／Ｆ１０４と接続される。

【0022】

図１に示すように、メモリ１０２は、連携部１０５、情報管理部１０６、移転制御部１０７、拠点情報１１１、データタイプ定義情報１１２、移転タイプ定義情報１１３、個人情報管理情報１１４、移転根拠グループ情報１１５、移転根拠情報１１６、移転候補情報１１７、及びクラウド情報１１８を有する。これらの構成のうち、連携部１０５、情報管理部１０６、及び移転制御部１０７は、メモリ１０２に格納されたプログラムであり、当該プログラムがＣＰＵ１０３に実行されることによって所定の機能を実現する。そして、メモリ１０２内に示されたその他の構成は、プログラム以外のデータである。

【0023】

記憶領域１１９は、例えば補助記憶装置であって、拠点サーバ１０１が保有するデータベース等の情報（具体的には個人情報等）を記憶する。記憶領域１１９は、クラウドまたは外部接続される記憶装置等で実現されてもよい。

【0024】

クライアント端末１４１は、メモリ１４２、ＣＰＵ１４３、及びＩ／Ｆ１４４を有する計算機である。クライアント端末１４１は、拠点サーバ１０１またはユーザが指示や操作を行うために使用する計算機であり、その所在地は特に限定されない。

【0025】

ＣＰＵ１４３は、例えばプロセッサであって、Ｉ／Ｆ１４４を介して、外部機器（拠点サーバ１０１，管理サーバ１５１等）への操作要求、及び上記外部機器からの操作結果の受信等を行う。メモリ１４２は、例えば主記憶装置であって、プログラム及びデータを記憶する。メモリ１４２は、ＣＰＵ１４３及びＩ／Ｆ１４４と接続される。また、メモリ１４２は、プログラムで実現される連携部１４５を有する。

【0026】

管理サーバ１５１は、メモリ１５２、ＣＰＵ１５３、Ｉ／Ｆ１５４、及び記憶領域１７４を有するサーバ等の計算機である。管理サーバ１５１は、各拠点サーバ１０１が保持する個人情報の移転を管理する機能を有する計算機であって、その設置先や設置数は特に限定されない。

【0027】

ＣＰＵ１５３は、例えばプロセッサであって、管理サーバ１５１を全体的に制御する。具体的には例えば、ＣＰＵ１５３は、Ｉ／Ｆ１５４を介して、外部機器（自分以外の管理サーバ１５１，クライアント端末１４１，拠点サーバ１０１等）からの操作要求の受信、上記外部機器から要求された操作（データ処理）の実行、データ処理結果の上記外部機器への送信、及び、データ処理要求の上記外部機器への送信、等を行う。

【0028】

メモリ１５２は、例えば主記憶装置であって、プログラム及びデータを記憶する。メモリ１５２は、ＣＰＵ１５３及びＩ／Ｆ１５４と接続される。

【0029】

図１に示すように、メモリ１５２は、連携部１５５、情報管理部１５６、規制判断部１５７、拠点情報１６１、個人情報管理情報１６２、移転管理情報１６３、データタイプ定義情報１６４、移転タイプ定義情報１６５、クラウド情報１６６、各国ローカライゼーション情報１６７、各国移転規制情報１６８、各国規制レベル情報１６９、各国十分性情報１７０、各国センシティビティ情報１７１、移転根拠グループ情報１７２、及び移転根拠情報１７３を有する。これらの構成のうち、連携部１５５、情報管理部１５６、及び規制判断部１５７は、メモリ１５２に格納されたプログラムであり、当該プログラムがＣＰＵ１５３に実行されることによって所定の機能を実現する。そして、メモリ１５２内に示されたその他の構成は、プログラム以外のデータである。

【0030】

記憶領域１７４は、例えば補助記憶装置であって、管理サーバ１５１が保有するデータベース等の情報（具体的には個人情報等）を記憶する。記憶領域１７４は、クラウドまたは外部接続される記憶装置等で実現されてもよい。

【0031】

（１－２）ソフトウェア構成
以下では、個人情報管理システム１００のソフトウェア構成について詳細な説明を行う。具体的には、管理サーバ１５１のメモリ１５２に格納される情報、拠点サーバ１０１のメモリ１０２に格納される情報、及びクライアント端末１４１のメモリ１４２に格納される情報について、順に説明する。

【0032】

（１－２－１）管理サーバ１５１におけるプログラム以外のデータ
まず、管理サーバ１５１のメモリ１５２に格納される情報のうち、プログラム以外の情報について、図２～図１４を参照しながら説明する。

【0033】

図２は、拠点情報１６１のデータ構成例を示す図である。拠点情報１６１は、個人情報の取扱いを行う事業者等の拠点を示す情報である。

【0034】

図２に示した拠点情報１６１は、拠点ＩＤ２０１、拠点名２０２、及び所在国２０３のデータ項目を有して構成される。拠点ＩＤ２０１は、各拠点を識別するＩＤを示す。拠点名２０２は、各拠点の名称を示す。所在国２０３は、各拠点の所在国を示す。なお、本発明の説明では、簡便のために「国」という表記を用いているが、この「国」が指す対象は、国家としての国に限定されるものではなく、地域（例えば欧州連合（ＥＵ））等を含むと考えてよい。

【0035】

図３は、個人情報管理情報１６２のデータ構成例を示す図である。個人情報管理情報１６２は、管理サーバ１５１において個人情報を管理するための情報であって、個人情報単位でレコードを保持する。

【0036】

図３に示した個人情報管理情報１６２は、管理ＩＤ３０１、取得国３０２、日時３０３、拠点ＩＤ３０４、データＩＤ３０５、データタイプ３０６、データ場所３０７、アドレス３０８、クラウドＩＤ３０９、国内保持３１０、及び元ＩＤ３１１のデータ項目を有して構成される。

【0037】

管理ＩＤ３０１は、管理サーバ１５１が管理対象の個人情報（以後、図３の説明では対象データと呼ぶ）を識別するＩＤを示す。取得国３０２は、対象データを取得した取得国を示す。日時３０３は、対象データの取得日時を示す。拠点ＩＤ３０４は、対象データがどの拠点に属するデータであるかを、拠点ＩＤ（図２の拠点ＩＤ２０１）で示す。

【0038】

データＩＤ３０５は、対象データが拠点ＩＤ３０４に示された拠点でどのように保持されているかを示し、具体的には、当該拠点で対象データに割り当てられている拠点内の識別ＩＤ（図１５のデータＩＤ１５０１）で示す。データタイプ３０６は、対象データのデータタイプをデータタイプＩＤ（図５のデータタイプＩＤ５０１）で示す。データタイプは、図５に示すデータタイプ定義情報１６４で規定される。

【0039】

データ場所３０７は、対象データの格納場所の概要（拠点内、クラウド等）を示す。アドレス３０８は、対象データの格納場所の詳細を格納先のアドレスで示す。クラウドＩＤ３０９は、対象データがクラウドで保存される場合に、当該クラウドの識別ＩＤ（図７のクラウドＩＤ７０１）を示す。例えば、データ場所３０７の値が「自拠点」であれば、自拠点内に存在する拠点サーバ１０１の記憶領域１１９等に対象データが格納される。また、データ場所３０７の値が「バックアップ」であれば、対象データは、最初は一時的な記憶領域等に保存されるが、その後にデータコピー等の処理が行われることにより、アドレス３０８に示されるアドレスにデータが移されることを意味する。アドレス３０８に示すアドレスは、現時点で対象データが保存された記憶領域のアドレスが記載されるが、バックアップによってデータの保存場所が変更される場合には、バックアップ先のアドレスに更新される。

【0040】

国内保持３１０は、対象データの国内保持が国の法律等によって求められるか否か、また国内保持が求められる場合に現在の対象データの保管状況で対応可能か否かを示す。具体的には例えば、国内保持３１０の値が「－」であれば、対象データの国内保持が求められないことを意味する。国内保持の値が「１０」であれば、対象データの国内保持が当該拠点において求められ、かつ現在のデータ保管状況で対応できることを意味する。国内保持の値が「１１」であれば、対象データの国内保持が当該拠点において求められるが、現在のデータ保管状況では対応できないことを意味する。国内保持の値が「２０」であれば、対象データの国内保持が当該拠点とは異なる拠点（対象データの移転元等、大元の対象データを保持する拠点）で求められ、かつ現在のデータ保管状況で対応できることを意味する。国内保持の値が「２１」であれば、対象データの国内保持が当該拠点とは異なる拠点（対象データの移転元等、大元の対象データを保持する拠点）で求められるが、現在のデータ保管状況では対応できないことを意味する。

【0041】

元ＩＤ３１１は、対象データが移転で持ってきたデータであるか否かを示し、対象データが移転で現在の拠点に持ってきたデータである場合には、対象データの大元のデータの識別ＩＤ（管理ＩＤ３０１）を示す。具体的には例えば、元ＩＤ３１１の値が「－」であれば、対象データが移転で持ってきたデータではないことを意味する。また、元ＩＤ３１１の値が「ｄ５」となっている場合は、対象データが移転で持ってきたデータであって、その大元（複数段階の移転が行われている場合は最初の移転元）となるデータは、管理サーバ１５１によって「ｄ５」という識別ＩＤ（管理ＩＤ３０１）で管理されているデータであることを意味する。

【0042】

図４は、移転管理情報１６３のデータ構成例を示す図である。移転管理情報１６３は、個人情報の移転の履歴を管理する情報であって、移転ごとにレコードを有する。

【0043】

図４に示した移転管理情報１６３は、移転ＩＤ４０１、移転元４０２、移転元データＩＤ４０３、移転先４０４、移転先データＩＤ４０５、データタイプ４０６、移転根拠４０７、移転タイプ４０８、日時４０９、移転回数４１０、及び管理ＩＤ４１１のデータ項目を有して構成される。

【0044】

移転ＩＤ４０１は、管理対象の移転を識別するＩＤを示す。移転元４０２は、移転元の拠点を拠点ＩＤ（図２の拠点ＩＤ２０１）で示す。移転元データＩＤ４０３は、移転されたデータに関して、移転前に移転元拠点で管理されていたときに管理サーバ１５１から割り当てられた拠点内の識別ＩＤ（図１５のデータＩＤ１５０１）を示す。移転先４０４は、移転先の拠点を拠点ＩＤ（図２の拠点ＩＤ２０１）で示す。移転先データＩＤ４０５は、移転されたデータに関して、移転後に移転先拠点で管理されるときに管理サーバ１５１から割り当てられた拠点内の識別ＩＤ（図１５のデータＩＤ１５０１）を示す。データタイプ４０６は、移転データのデータタイプをデータタイプＩＤ（図５のデータタイプＩＤ５０１）で示す。データタイプは、図５に示すデータタイプ定義情報１６４で規定される。

【0045】

移転根拠４０７は、移転データの移転根拠を根拠ＩＤ（図１４の根拠ＩＤ１４０１）で示す。移転根拠は、図１４に示す移転根拠情報１７３で規定される。移転タイプ４０８は、移転データの移転タイプを移転タイプＩＤ（図６の移転タイプＩＤ６０１）で示す。移転タイプは、図６に示す移転タイプ定義情報１６５で規定される。日時４０９は、移転データを移転した日時を示す。移転回数４１０は、移転データの過去の移転回数を示す。具体的には例えば、移転回数４１０の値が「０」であれば、対象の移転データは以前に移転されたことがなく、今回が初めての移転であることを意味する。移転回数４１０の値が「１」であれば、対象の移転データは今回の移転より前に一度、移転が行われており、今回の移転は、移転されたデータの再移転であることを意味する。

【0046】

管理ＩＤ４１１は、移転元データに関して、移転元データＩＤ４０３に対応して管理サーバ１５１で管理されている識別ＩＤ（図３の管理ＩＤ３０１）を示す。管理ＩＤ４１１は、移転元拠点から移転終了の通知を受けた際に管理サーバ１５１によって設定され、その後、管理サーバ１５１と移転先拠点（拠点サーバ１０１）との間でデータの突合を行うために使用される。

【0047】

図５は、データタイプ定義情報１６４のデータ構成例を示す図である。データタイプ定義情報１６４は、拠点サーバ１０１または管理サーバ１５１が保有するデータベース等の記憶領域１１９，１７４で保持されるデータの分類を定義する情報である。記憶領域１１９，１７４には個人情報を含め様々な情報が格納されるが、個人情報管理システム１００の各計算機（管理サーバ１５１，拠点サーバ１０１，クライアント端末１４１）は、データタイプ定義情報１６４，１１２に基づいて、記憶領域に格納されている情報にどのような分類のデータが含まれるかを把握することができる。

【0048】

図５に示したデータタイプ定義情報１６４は、データタイプＩＤ５０１及び内容５０２のデータ項目を有して構成される。データタイプＩＤ５０１は、データの分類を識別するＩＤ（データタイプＩＤ）を示す。内容５０２は、データの分類の内容を示す。例えば図５の場合、「氏名」を含むデータのデータタイプＩＤが「ｐ１」、「住所」を含むデータのデータタイプＩＤが「ｐ２」と定義されている。このとき、対象の情報に氏名及び住所が含まれる場合には、当該情報のデータタイプは、「ｐ１」及び「ｐ２」というように、複数の分類（データタイプＩＤ）が割り当てられる。

【0049】

図６は、移転タイプ定義情報１６５のデータ構成例を示す図である。移転タイプ定義情報１６５は、データの移転方法を定義する情報である。

【0050】

図６に示した移転タイプ定義情報１６５は、移転タイプＩＤ６０１及び内容６０２のデータ項目を有して構成される。移転タイプＩＤ６０１は、データの移転方法の分類を識別するＩＤ（移転タイプＩＤ）を示す。内容６０２は、データの移転方法の分類の内容を示す。例えば図６の場合、移転タイプＩＤが「ｔ１」の移転方法は、データを移転元に残さずに移転先に送る移転方法を示す。また、移転タイプＩＤが「ｔ２」の移転方法は、コピー等によりデータを移転元に残したまま移転先に送る移転方法を示す。

【0051】

図７は、クラウド情報１６６のデータ構成例を示す図である。クラウド情報１６６は、個人情報管理システム１００がデータの格納先として利用可能なクラウドに関して、各種の情報を管理する情報である。

【0052】

図７に示したクラウド情報１６６は、クラウドＩＤ７０１、クラウドベンダ７０２、サービス名７０３、窓口７０４、及びデータ場所７０５，７０６のデータ項目を有して構成される。

【0053】

クラウドＩＤ７０１は、データを格納するクラウドの識別ＩＤ（クラウドＩＤ）を示す。クラウドベンダ７０２は、クラウドＩＤ７０１で特定されるクラウド（以下、当該クラウド）のベンダを示す。サービス名７０３は、当該クラウドのベンダが提供するサービスの種別を示す。例えば、サービス名７０３の値が「メール」である場合は、当該クラウドがメールサービスを提供するクラウドであることを意味し、サービス名７０３の値が「ストレージ」である場合は、当該クラウドがデータ格納のサービスを提供するクラウドであることを意味する。窓口７０４は、当該クラウドで提供されるサービスに関して設けられている窓口の所在地（例えば国名）を示す。データ場所７０５は、当該クラウドで提供されるサービスのデータ格納場所の概要（例えば、アジアや北米といった広範囲のエリア）を示し、データ場所７０６は、上記データ格納場所の詳細（例えば、国や都市）を示す。

【0054】

図８は、各国ローカライゼーション情報１６７のデータ構成例を示す図である。「各国ローカライゼーション」とは、各国が定めるデータのローカライゼーション（国内保持義務）の規制を意味する。各国ローカライゼーション情報１６７は、この各国ローカライゼーションの規制内容を管理する情報である。

【0055】

図８に示した各国ローカライゼーション情報１６７は、国８０１及びセンシティビティ８０２～８０５のデータ項目を有して構成される。国８０１は、国名を示す。センシティビティ８０２～８０５は、後述する図１２の各国センシティビティ情報１７１で規定されるセンシティビティ「ｓ１」，「ｓ２」，「ｓ３」，・・・に対応するデータ項目であり、各センシティビティに該当するデータについて、各国がデータのローカライゼーションの規制を有するか否かを示す。例えば図８の場合、国８０１の値が「中」であるレコードにおいてセンシティビティ８０３，８０４の値が「有」であることから、中国ではセンシティビティｓ２，Ｓ３のデータについてローカライゼーション（国内保持義務）の規制が掛けられている、ことが示される。

【0056】

図９は、各国移転規制情報１６８のデータ構成例を示す図である。「各国移転規制」とは、データの移転に関して各国が定める規制を意味する。各国移転規制情報１６８は、この各国移転規制の規制内容を管理する情報である。

【0057】

図９に示した各国移転規制情報１６８は、国９０１及びセンシティビティ９０２～９０５のデータ項目を有して構成される。国９０１は、国名を示す。センシティビティ９０２～９０５は、後述する図１２の各国センシティビティ情報１７１で規定されるセンシティビティ「ｓ１」，「ｓ２」，「ｓ３」，・・・に対応するデータ項目であり、各センシティビティに該当するデータについて、各国がどの移転根拠グループの規制を有するかを示す。移転根拠グループは、後述する図１３の移転根拠グループ情報１７２で規定される。

【0058】

図１０は、各国規制レベル情報１６９のデータ構成例を示す図である。各国規制レベル情報１６９は、各国の個人情報保護に関する規制の度合いを管理する情報である。

【0059】

図１０に示した各国規制レベル情報１６９は、レベル１００１及び国１００２のデータ項目を有して構成される。レベル１００１は、要求される個人情報保護のレベルの高さを示し、本例では、レベル値が大きいほど、個人情報保護に関して要求されるレベルが高い（すなわち、規制が厳しい）とする。国１００２は、個人情報保護の各レベルに該当する国を示す。

【0060】

各国の規制レベル（レベル１００１の値）は、管理サーバ１５１が、各国ローカライゼーション情報１６７、各国移転規制情報１６８、及び各国センシティビティ情報１７１の情報に基づいて、自動的に計算することができる。以下に、規制レベルの具体的な計算方法の一例を示す。

【0061】

図８に示した各国ローカライゼーション情報１６７について、管理サーバ１５１は、列ごと（センシティビティごと）に点数を定める。例えば、センシティビティ「ｓ１」は１点、センシティビティ「ｓ２」は２点、センシティビティ「ｓ３」は３点等と定める。そして管理サーバ１５１は、図８を参照して、センシティビティに対する規制が有る場合に上記点数をカウントし、行ごと（国ごと）の合計得点を算出する。この場合、中国は６点となり、日本は０点となる。

【0062】

また、図１２に示した各国センシティビティ情報１７１について、管理サーバ１５１は、センシティビティのバリエーションに基づいて得点を計算する。例えば、バリエーションが１種類であれば１点、２種類あれば２点、３種類あれば３点等と定める。そして管理サーバ１５１は、図１２を参照して各国の得点を算出する。例えば米国のセンシティビティは「ｓ１」の１種類だけであることから１点、欧州のセンシティビティは「ｓ１」と「ｓ２」の２種類であることから２点となる。

【0063】

また、図９に示した各国移転規制情報１６８について、管理サーバ１５１は、列ごと（センシティビティごと）に点数を定める。例えば、各列で規制が存在する（すなわち、何れかのグループの値が登録されている）場合にそれぞれ１点を加点し、合計得点を算出する。なお、得点算出の変形例として、グループを構成する移転根拠の要素数が多いものほど、移転可能な根拠のバリエーションが豊富で移転しやすいと見なして、点数を下げる（すなわち、規制が弱いと見なす）ようにしてもよい。

【0064】

以上のようにして、管理サーバ１５１は、各国ローカライゼーション情報１６７、各国移転規制情報１６８、及び各国センシティビティ情報１７１の情報からそれぞれ、国別の得点を算出することができる。そこで、管理サーバ１５１は、各情報から算出したこれらの得点を集計して国別の総合得点を算出し、この総合得点に応じて、点数が高い国ほど規制レベルが高くなるように、各国の規制レベルを決定する。

【0065】

なお、各国の規制レベルを算出するとき、上記観点以外にも、違反時の制裁金額の多寡を観点に持たせるようにしてもよい。この場合、管理サーバ１５１は、各国の違反時の制裁金額を示す制裁金額情報をメモリ１５２に保持し、制裁金額情報を参照して、違反時の制裁金額が多い国ほど、規制レベル算出のための点数を加算する等の処理を行えばよい。

【0066】

図１１は、各国十分性情報１７０のデータ構成例を示す図である。各国十分性情報１７０は、個人情報の移転に関する各国間での十分性の認定関係を示す情報である。国を跨ぐ個人情報の移転において、当該個人情報に対する特段の手当てを行うことなく（すなわち、個人情報への扱いを変更することなく）移転が認められることを、十分性が認定されている、という。

【0067】

図１１に示した各国十分性情報１７０は、国１１０１及び十分性対象国１１０２のデータ項目を有して構成される。国１１０１は国を示し、十分性対象国１１０２は、国１１０１に示した国に対して、十分性の認定を与えている国を示す。言い換えると、国１１０１に示した国にとって、十分性対象国１１０２に示した国は、十分性の対象となっている国である。例えば図１１において、国１１０１の値が「日」であるレコードにおいて十分性対象国１１０２の値に「英、欧州」が登録されている。このレコードは、日本から英国やＥＵに対して、十分性認定を根拠としてデータを国外移転できることを示す。

【0068】

図１２は、各国センシティビティ情報１７１のデータ構成例を示す図である。「各国センシティビティ」とは、データタイプ定義情報１６４で定義される各データタイプについて、各国で要求されるデータ取扱いの慎重さの度合い（データの機微度）を意味する。各国センシティビティ情報１７１は、この各国センシティビティを管理する情報である。

【0069】

図１２に示した各国センシティビティ情報１７１は、国１２０１及びデータタイプ１２０２～１２０５のデータ項目を有して構成される。国１２０１は国を示す。データタイプ１２０２～１２０５は、図５のデータタイプ定義情報１６４で定義された各データタイプ（データタイプＩＤ５０１）である「ｐ１」，「ｐ２」，「ｐ３」，・・・に対応するデータ項目であり、当該データタイプにおけるデータの機微度（センシティビティ）を示す。例えば図１２の場合、図１２０１の値がＥＵを示す「欧」であるレコードにおいて、データタイプ１２０２～１２０４の各値を見ると、データタイプ「ｐ１」のデータの機微度は「ｓ１」であり、データタイプ「ｐ２」のデータの機微度は「ｓ１」であり、データタイプ「ｐ３」のデータの機微度は「ｓ２」である。ここで、「ｓ１」よりも「ｓ２」の方が機微度が高いとすると、データタイプ「ｐ３」のデータは、データタイプ「ｐ１」，「ｐ２」のデータよりも、取扱いに慎重さが求められることが示される。

【0070】

図１３は、移転根拠グループ情報１７２のデータ構成例を示す図である。移転根拠グループ情報１７２は、後述する図１４の移転根拠情報１７３で規定される移転根拠の組み合わせから形成されるグループ（移転根拠グループ）を管理する情報である。移転根拠グループは、各国の移転において満たすべき要件を示す。

【0071】

図１３に示した移転根拠グループ情報１７２は、グループＩＤ１３０１及び内容１３０２のデータ項目を有して構成される。グループＩＤ１３０１は、移転根拠グループを識別するＩＤを示す。内容１３０２は、移転根拠グループを構成する移転根拠の組み合わせを、図１４に示す根拠ＩＤ１４０１で示す。例えば、図１３においてグループＩＤ１３０１の値が「Ｇｒ２」の場合、内容１３０２の値は「ｇ１ ｏｒ ｇ２」である。これは、移転するデータが「Ｇｒ２」の移転根拠グループに属する場合は、その移転根拠として「ｇ１」または「ｇ２」の少なくとも何れかを満たす必要があることを示している。

【0072】

図１４は、移転根拠情報１７３のデータ構成例を示す図である。図１４に示した移転根拠情報１７３は、根拠ＩＤ１４０１及び内容１４０２のデータ項目を有して構成される。根拠ＩＤ１４０１は、移転根拠を識別するＩＤを示す。内容１４０２は、移転根拠の内容を示す。例えば、図１４において根拠ＩＤ１４０１の値が「ｇ１」の場合、内容１４０２の値は「同意」である。これは、同意の取得が移転の条件の１つであることを示している。

【0073】

（１－２－２）管理サーバ１５１におけるプログラム
次に、管理サーバ１５１のメモリ１５２に格納されるプログラムについて説明する。上述したように、連携部１５５、情報管理部１５６、及び規制判断部１５７は、メモリ１５２に格納されたプログラムで実現される。

【0074】

連携部１５５は、ネットワークを介して、他の計算機（拠点サーバ１０１及びクライアント端末１４１等）との間でデータのやり取りを行う。なお、説明を簡便にするため、連携部１５５が自計算機内の他の機能部の要請を受けて他の計算機との間でデータのやり取りを行う場合、連携部１５５ではなく上記「他の機能部」をその処理主体として表記することがある。これは、拠点サーバ１０１の連携部１０５でも同様である。

【0075】

情報管理部１５６は、拠点サーバ１０１から通知された個人情報に関する情報を基に、管理サーバ１５１内でその個人情報を把握するための情報の登録や、ある拠点サーバ１０１から別の拠点サーバ１０１に移転された個人情報を把握するための情報の登録を行う。これらの情報の登録先は、（１－２－１）で詳述した、メモリ１５２内のプログラム以外のデータである。

【0076】

規制判断部１５７は、拠点サーバ１０１からの要求を受けて、移転しようとする個人情報のデータに対して規制が必要であるかの判断を行う。より具体的には、規制判断部１５７は、移転しようとする個人情報のデータに対して、ローカライゼーションの適用の有無の判断、当該データの保管状況の是非の判断、及び当該データの再移転の是非の判断等を行う。

【0077】

（１－２－３）拠点サーバ１０１におけるプログラム以外のデータ
次に、拠点サーバ１０１のメモリ１０２に格納される情報のうち、プログラム以外の情報について説明する。

【0078】

拠点サーバ１０１がメモリ１０２に保持する情報には、上述した管理サーバ１５１がメモリ１５２に保持する同名の情報と同様のデータ（少なくとも同様のデータ構成を有するデータ）が複数存在し、これらの情報については詳細な説明を省略する。具体的には、拠点情報１１１は図２に例示した拠点情報１６１と同様であり、データタイプ定義情報１１２は図５に例示したデータタイプ定義情報１６４と同様であり、移転タイプ定義情報１１３は図６に例示した移転タイプ定義情報１６５と同様であり、移転根拠グループ情報１１５は図１３に例示した移転根拠グループ情報１７２と同様であり、移転根拠情報１１６は図１４に例示した移転根拠情報１７３と同様であり、クラウド情報１１８は図７に例示したクラウド情報１６６と同様である。

【0079】

これらの情報は、例えば管理サーバ１５１で定義または保持されている同名の情報（拠点情報１６１，データタイプ定義情報１６４，移転タイプ定義情報１６５，クラウド情報１６６，移転根拠グループ情報１７２，移転根拠情報１７３）を各拠点に配布し、各拠点の拠点サーバ１０１がメモリ１０２に格納して使用するとしてもよい。なお、移転根拠グループ情報１１５については、管理サーバ１５１から移転根拠グループ情報１７２と同じ内容のものを各拠点に配布するのではなく、各拠点が個別に保持する個人情報に関係する移転根拠グループだけに絞った情報を管理サーバ１５１から拠点サーバ１０１に配布するようにしてもよい。また、他にも例えば、拠点サーバ１０１が独自に収集した情報を管理サーバ１５１に集約し、管理サーバ１５１において整合性をとったのち、適宜、各拠点の拠点サーバ１０１に配布する等としてもよい。

【0080】

拠点サーバ１０１が独自にメモリ１０２に保持する情報としては、個人情報管理情報１１４及び移転候補情報１１７が挙げられる。

【0081】

図１５は、個人情報管理情報１１４のデータ構成例を示す図である。個人情報管理情報１１４は、管理サーバ１５１が保持する個人情報管理情報１６２（図３参照）と類似する情報であるが、自拠点で取扱う個人情報を管理するための情報である点で、全ての拠点の個人情報を集約して一元的に管理するための情報である個人情報管理情報１６２とは異なる。

【0082】

図１５に示した個人情報管理情報１１４は、データＩＤ１５０１、取得国１５０２、日時１５０３、データタイプ１５０４、データ場所１５０５、アドレス１５０６、クラウドＩＤ１５０７、国内保持１５０８、管理ＩＤ１５０９、及び移転ＩＤ１５１０のデータ項目を有して構成される。取得国１５０２、日時１５０３、データタイプ１５０４、データ場所１５０５、アドレス１５０６、クラウドＩＤ１５０７、及び国内保持１５０８は、図３の個人情報管理情報１６２が有する同名のデータ項目と同様のものであり、詳細な説明を省略する。

【0083】

データＩＤ１５０１は、拠点サーバ１０１が管理対象の個人情報（以後、図１５の説明では対象データと呼ぶ）を識別するＩＤを示す。

【0084】

管理ＩＤ１５０９は、管理サーバ１５１による対象データの管理ＩＤを示す。管理ＩＤ１５０９は、管理サーバ１５１から割り当てられ、図３の個人情報管理情報１６２が有する管理ＩＤ３０１に対応する。管理ＩＤは、例えば、拠点サーバ１０１から管理サーバ１５１に対象データ（個人情報）の概要に関する情報を通知した際に、管理サーバ１５１によって割り当てられ、拠点サーバ１０１に返信されて管理ＩＤ１５０９に設定される。

【0085】

移転ＩＤ１５１０は、対象データの移転を識別するための移転ＩＤを示す。移転ＩＤは、例えば、拠点サーバ１０１から管理サーバ１５１に対象データ（個人情報）の移転終了についての情報を通知した際に、管理サーバ１５１によって割り当てられ、拠点サーバ１０１に返信されて拠点ＩＤ１５１０に設定される。

【0086】

図１６は、移転候補情報１１７のデータ構成例を示す図である。移転候補情報１１７は、自拠点で保持する個人情報の他拠点への移転候補を管理する情報である。

【0087】

図１６に示した移転候補情報１１７は、候補ＩＤ１６０１、対象ＩＤ１６０２、移転先１６０３、データ場所１６０４、アドレス１６０５、クラウドＩＤ１６０６、移転根拠グループ１６０７、及び目的１６０８のデータ項目を有して構成される。

【0088】

候補ＩＤ１６０１は、移転候補の識別ＩＤを示す。対象ＩＤ１６０２は、移転対象の個人情報の識別ＩＤを拠点内の識別ＩＤ（図１５のデータＩＤ１５０１）で示す。移転先１６０３は、移転先の拠点を拠点ＩＤ（図２の拠点ＩＤ２０１）で示す。データ場所１６０４は、移転先の個人情報の格納場所の概要（拠点内、クラウド等）を示す。アドレス１６０５は、移転先の個人情報の格納場所の詳細を格納先のアドレスで示す。クラウドＩＤ１６０６は、移転対象の個人情報がクラウドで保存される場合に、当該クラウドの識別ＩＤ（図７のクラウドＩＤ７０１）を示す。移転根拠グループ１６０７は、移転において満たすべき移転根拠の組合せからなる移転根拠グループを、その識別ＩＤ（図１３に示したグループＩＤ１３０１）で示す。目的１６０８は、移転に関しての個人情報の取扱い目的（例えば、自拠点以外での情報保存、分析等）を示す。

【0089】

（１－２－４）拠点サーバ１０１におけるプログラム
次に、拠点サーバ１０１のメモリ１０２に格納されるプログラムについて説明する。上述したように、連携部１０５、情報管理部１０６、及び移転制御部１０７は、メモリ１０２に格納されたプログラムで実現される。

【0090】

連携部１０５は、ネットワークを介して、他の計算機（管理サーバ１５１及びクライアント端末１４１等）との間でデータのやり取りを行う。

【0091】

情報管理部１０６は、クライアント端末１４１から通知された個人情報に関する情報を基に、拠点サーバ１０１内でその個人情報を把握するための情報の登録等を行う。

【0092】

移転制御部１０７は、管理サーバ１５１及びクライアント端末１４１等と連携し、自拠点に関係する個人情報（すなわち、拠点サーバ１０１が管理する個人情報）の移転について、管理サーバ１５１による移転の許可または禁止の決定に応じて、移転に関する制御を行う。

【0093】

（１－２－５）クライアント端末１４１におけるプログラム
次に、クライアント端末１４１のメモリ１４２に格納されるプログラムについて説明する。上述したように、連携部１４５は、メモリ１４２に格納されたプログラムで実現される。

【0094】

連携部１４５は、拠点サーバ１０１等の外部の計算機と連携し、ユーザによる操作に応じて、個人情報の設定、保護、または抽出等の要求を送信する。また、連携部１４５は、外部の計算機からの応答結果の受信等を行う。

【0095】

（１－３）処理
以下では、上述したハードウェア構成及びソフトウェア構成に基づいて、本実施形態に係る個人情報管理システム１００が実行する処理を説明する。以下に説明する処理は、クライアント端末１４１から拠点サーバ１０１に対して、個人情報に関する設定処理の実行要求が行われたときに実行される。

【0096】

（１－３－１）個人情報及び移転候補情報の設定処理
図１７は、個人情報及び移転候補情報の設定処理の処理手順例を示すフローチャートである。図１７に示す処理は、例えばユーザがクライアント端末１４１を操作して、ある個人情報を自拠点の拠点サーバ１０１に登録しようとする際に、拠点サーバ１０１が実行する処理である。図１７に示す処理では、個人情報の登録を要求する際にその移転候補に関する移転候補情報の登録が要求されるが、移転候補情報の登録要求は、個人情報の登録要求とは別のタイミングで行われてもよい。その場合は、以下に説明する各処理のうち、移転候補情報の登録に関する処理が別途実行されればよい。また、図１７に示す処理は、登録済みの個人情報または移転候補情報の内容を変更（更新）する際にも応用可能である。

【0097】

図１７によればまず、連携部１０５が、クライアント端末１４１から個人情報及びその移転候補情報の設定（登録、更新等）に関する要求を受け付ける（ステップＳ１０１）。ステップＳ１０１において、連携部１０５は、設定対象の個人情報及び移転候補情報もクライアント端末１４１から受信する。

【0098】

次に、ステップＳ５０１の要求に基づいて、情報管理部１０６が、受信した個人情報及び移転候補情報を用いて、メモリ１０２に格納される情報（個人情報管理情報１１４，移転候補情報１１７）を更新するとともに、管理サーバ１５１に対してその更新に関する情報を送信する（ステップＳ１０２）。ステップＳ１０２で送信された情報を受信した管理サーバ１５１では、後述する図１８に示す処理が実行される。

【0099】

ステップＳ１０２における情報管理部１０６の処理内容を詳しく説明する。

【0100】

例えば、個人情報の登録が要求された場合、図１５の個人情報管理情報１１４において、拠点サーバ１０１（情報管理部１０６）は、クライアント端末１４１からの情報に基づいて、登録が要求された個人情報に対する新たな識別ＩＤ（データＩＤ１５０１）を割当て、当該個人情報に関して、データの取得元の国（取得国１５０２）、取得日時（日時１５０３）、データのタイプ（データタイプ１５０４）、格納場所の概要（データ場所１５０５）、格納先の詳細なアドレス（アドレス１５０６）等の情報を登録する。

【0101】

また例えば、移転候補情報の登録が要求された場合、図１６の移転候補情報１１７において、拠点サーバ１０１（情報管理部１０６）は、クライアント端末１４１からの情報に基づいて、登録が要求された移転候補情報に対する新たな識別ＩＤ（候補ＩＤ１６０１）を割当て、当該移転候補情報に関して、移転対象（対象ＩＤ１６０２）、移転先（移転先１６０３）、移転先のデータ格納場所の概要（データ場所１６０４）、格納先の詳細なアドレス（アドレス１６０５）等の情報を登録する。そして、上記の更新（登録）された情報や拠点サーバ１０１の拠点情報が、拠点サーバ１０１から管理サーバ１５１に送信され、後述する図１８に示す処理により、管理サーバ１５１側の情報が更新される。

【0102】

次に、情報管理部１０６は、管理サーバ１５１からの応答情報に基づいて、個人情報管理情報１１４及び移転候補情報１１７に対して、所定のデータ項目を更新する（ステップＳ１０３）。所定のデータ項目とは、例えば、個人情報管理情報１１４においては国内保持１５０８及び管理ＩＤ１５０９であり、移転候補情報１１７においては移転根拠グループ１６０７である。

【0103】

詳しく説明すると、図１５の個人情報管理情報１１４に対して、情報管理部１０６は、管理サーバ１５１で判断されたデータローカライゼーション対応の要否の結果を国内保持１５０８に設定する。データローカライゼーション対応の要否は、ステップＳ１０２で拠点サーバ１０１から受信した取得国１５０２及びデータタイプ１５０４の値等に基づいて、管理サーバ１５１で判断され、その判断結果が拠点サーバ１０１に通知される（後述する図１８のステップＳ２０５，Ｓ２０８，Ｓ２０９）。また、情報管理部１０６は、図１８の処理によって管理サーバ１５１が対象の個人情報に対して割り当てた管理ＩＤ３０１の値を管理ＩＤ１５０９に設定する。

【0104】

また、図１６の移転候補情報１１７に対して、情報管理部１０６は、管理サーバ１５１で判断された移転根拠グループを移転根拠グループ１６０７に設定する。移転根拠グループは、ステップＳ１０２で拠点サーバ１０１から受信した取得国１５０２の値や移転候補先の情報等に基づいて、管理サーバ１５１で判断され、その判断結果が拠点サーバ１０１に通知される（後述する図１８のステップＳ２０５，Ｓ２０８，Ｓ２０９）。

【0105】

以上のように図１７の処理を実行することにより、拠点サーバ１０１は、管理サーバ１５１と連携しながら、設定が要求された個人情報及び移転先候補情報を自身のメモリ１０２に適宜設定することができる。

【0106】

（１－３－２）個人情報の規制判断処理
図１８は、個人情報の規制判断処理の処理手順例を示すフローチャートである。図１８に示す処理は、拠点サーバ１０１から個人情報または移転候補情報の通知（図１７のステップＳ１０２）を受けとったときに、管理サーバ１５１が実行する処理であって、個人情報の国内保持の要否及び個人情報の保管状況の適切性等を判断する。

【0107】

図１８によればまず、連携部１５５が、拠点サーバ１０１から個人情報及び移転候補情報を受信する（ステップＳ２０１）。

【0108】

次に、情報管理部１５６が、ステップＳ２０１で受信した情報に基づいて、個人情報管理情報１６２を更新する（ステップＳ２０２）。具体的には、図３に示した個人情報管理情報１６２に対して、情報管理部１５６は、拠点サーバ１０１で新たに登録された個人情報を管理サーバ１５１で管理するための識別ＩＤ（管理ＩＤ）を割り当て、管理ＩＤ３０１に設定する。さらに情報管理部１５６は、ステップＳ２０１で受信した個人情報に基づいて、新たな管理ＩＤを設定したレコードのデータ項目３０２～３０９を設定する。なお、データＩＤ３０５には、拠点サーバ１０１で当該個人情報を識別するために使用されている識別ＩＤ（図１５のデータＩＤ１５０１）の値が設定される。

【0109】

次に、規制判断部１５７が、拠点サーバ１０１から通知された個人情報が国内保持の必要があるか否かを、取得国３０２、データタイプ３０６、データ場所３０７、及び元ＩＤ３１１に基づいて判断する（ステップＳ２０３）。国内保持３１０の値は、ステップＳ２０３以降の複数の処理を経て決定され、設定される。

【0110】

ステップＳ２０３の処理を具体的に詳しく説明する。まず、規制判断部１５７は、個人情報のタイプ（データタイプ３０６）がその取得国（取得国３０２）においてどのセンシティビティに該当するかを、図１２の各国センシティビティ情報１７１を参照して特定する。例えば取得国が「日本」でタイプが「ｐ１」である場合、図１２によれば、センシティビティは「ｓ１」であると特定される。次いで、規制判断部１５７は、取得国において上記特定したセンシティビティのデータがローカライゼーション対応が必要とされているか否かを、図８の各国移転規制情報１６８を参照して特定する。例えば上記例のように取得国が「日本」でセンシティビティが「ｓ１」である場合、図８によれば、該当する値は「－」であり、ローカライゼーション対応が不要と判断される。なお、図８において該当する値が「有」である場合は、ローカライゼーション対応が必要と判断される。

【0111】

上記のようにして、規制判断部１５７がローカライゼーション対応（国内保持）を不要と判断した場合は（ステップＳ２０３のＮＯ）、国内保持３１０に「－」が設定され、後述するステップＳ２０９に進む。一方、規制判断部１５７がローカライゼーション対応（国内保持）を必要と判断した場合は（ステップＳ２０３のＹＥＳ）、国内保持３１０に「有」が設定され、ステップＳ２０４に進む。

【0112】

ステップＳ２０４において、規制判断部１５７は、拠点サーバ１０１から通知された個人情報の保管状況が適切であるか否かを判断する。個人情報の保管状況が適切であると判断された場合は（ステップＳ２０４のＹＥＳ）、ステップＳ２０５に進み、個人情報の保管状況が適切ではないと判断された場合は（ステップＳ２０４のＮＯ）、ステップＳ２０９に進む。

【0113】

ステップＳ２０４の処理を具体的に詳しく説明する。規制判断部１５７は、まず、元ＩＤ３１１の登録の有無を確認し、その確認結果に応じて以下のような処理を行う。

【0114】

元ＩＤ３１１の値が未登録の場合、規制判断部１５７は、当該データ（個人情報）は移転によって持ってきたデータではなく新たに登録されたデータと判断する。このとき、規制判断部１５７は、拠点ＩＤ３０４、データ場所３０７、及びクラウドＩＤ３０９の情報に基づいて、データの所在国を特定する。そして規制判断部１５７は、当該所在国がデータの取得国（取得国３０２）と一致する場合には、自拠点に関してローカライゼーション対応が必要であり、かつ、現在のデータの保管状況でその対応ができていると判断して（ステップＳ２０４のＹＥＳ）、国内保持３１０に「１０」の値を設定する。なお、データ場所３０７の値が「クラウド」である場合、規制判断部１５７は、クラウドＩＤ３０９をキーとして図７のデータ場所７０６の値を参照することで、データの所在国を特定することができる。一方、規制判断部１５７は、特定したデータの所在国がデータの取得国（取得国３０２）と一致しない場合には、自拠点に関してローカライゼーション対応が必要であるが、現在のデータの保管状況ではその対応ができていないと判断して（ステップＳ２０４のＮＯ）、国内保持３１０に「１１」の値を設定する。

【0115】

すなわち、元ＩＤ３１１の値が未登録の場合、規制判断部１５７は、ステップＳ２０１の通知された拠点（自拠点）に保持された個人情報のデータについて、当該データの現在の格納場所が国内保持の観点に適合しているか否かを確認することによって、現在のデータの保管状況が適切であるか否かを判断し、適切であると判断した場合には国内保持３１０に「１０」の値を設定し、不適切であると判断した場合には国内保持３１０に「１１」の値を設定する。

【0116】

元ＩＤ３１１の値が登録済みである場合、規制判断部１５７は、当該データ（個人情報）は移転によって持ってきたデータと判断する。このとき、規制判断部１５７は、元ＩＤ３１１の値が未登録の場合と同様の方法で、移転によって持ってきたデータの格納場所が国内保持の観点に適合しているか否かを確認する。さらに、規制判断部１５７は、元ＩＤ３１１で示されるデータを保有する拠点（すなわち、移転の大元の個人情報を保持する拠点等）に対して、定期的にデータの格納場所（データ場所３０７）等のデータの保管状況の問合せを行い、問合せの結果を用いて、元ＩＤ３１１の値が未登録の場合で説明したのと同様の方法により、データローカライゼーション対応の要否を判断する。この判断は、移転元のデータにおける国内保持の要否を確認するものである。

【0117】

そして、規制判断部１５７は、移転によって持ってきたデータの格納場所が国内保持の観点に適合しているか否かの確認結果に基づいて、現在のデータの保管状況が適切であるか否かを判断し、さらに、移転元のデータにおける国内保持の要否の確認結果を踏まえて、国内保持３１０に設定する値を決定する。

【0118】

具体的には、規制判断部１５７は、移転によって持ってきたデータの格納場所が国内保持の観点に適合している場合に、現在のデータの保管状況が適切であると判断する（ステップＳ２０４のＹＥＳ）。このとき、規制判断部１５７は、移転元のデータにおいて国内保持が必要であることを確認した場合に、国内保持３１０に「２０」の値を設定し、移転元のデータにおいて国内保持が不要であることを確認した場合に、国内保持３１０に「１０」の値を設定する。また、規制判断部１５７は、移転によって持ってきたデータの格納場所が国内保持の観点に適合していない場合に、現在のデータの保管状況が不適切であると判断する（ステップＳ２０４のＮＯ）。このとき、規制判断部１５７は、移転元のデータにおいて国内保持が必要であることを確認した場合に、国内保持３１０に「２１」の値を設定し、移転元のデータにおいて国内保持が不要であることを確認した場合に、国内保持３１０に「１１」の値を設定する。

【0119】

なお、元ＩＤ３１１は、管理対象の個人情報が移転によって持ってきたデータである場合に登録（設定）され、その値は、移転元の拠点サーバ１０１が保有していた移転元データに対して管理サーバ１５１が管理用に割り当てていた識別ＩＤ（すなわち、移転元データのデータＩＤ３０１）が設定される。

【0120】

具体的には、管理サーバ１５１（情報管理部１５６または規制判断部１５７）は、今回新たに登録されるデータ（拠点ＩＤ３０４及びデータＩＤ３０５から識別可能）について、図４の移転管理情報１６３の移転先４０４及び移転先データＩＤ４０５から識別されるデータに一致するものが存在しないかを判断する。一致するデータが移転管理情報１６３に登録されていた場合は、その管理ＩＤ４１１の値が、今回登録するデータの大元の移転元の拠点サーバ１０１における識別ＩＤに相当することから、管理サーバ１５１は、この管理ＩＤ４１１の値を元ＩＤ３１１に設定する。

【0121】

ステップＳ２０４以降の処理の説明を続ける。ここまでの説明をまとめると、ステップＳ２０１で通知された個人情報について、国内保持が必要で（ステップＳ２０３のＹＥＳ）、かつ、現在のデータ保管状況が適切である（ステップＳ２０４のＹＥＳ）と判断された場合に、ステップＳ２０５の処理が行われる。一方、ステップＳ２０１で通知された個人情報について、国内保持が不要であること（ステップＳ２０３のＮＯ）、または、現在のデータ保管状況が不適切であること（ステップＳ２０４のＮＯ）の少なくとも何れかが判断された場合に、ステップＳ２０９の処理が行われる。

【0122】

ステップＳ２０５では、管理サーバ１５１（情報管理部１５６または規制判断部１５７）は、国内保持３１０の値（国内保持フラグ）と移転根拠の情報を、ステップＳ２０１で個人情報を送信してきた拠点サーバ１０１に送信する。

【0123】

上記の「移転根拠の情報」は、対象の個人情報が将来移転される可能性がある場合に、その移転の根拠情報を収集したものである。具体的には、上記の管理サーバ１５１は、ステップＳ２０１で拠点サーバ１０１から受信した個人情報のデータＩＤ（データＩＤ３０５，データＩＤ１５０１）が、拠点サーバ１０１から受信した移転候補情報の対象ＩＤ１６０２と一致している場合は、当該個人情報は将来移転する可能性があると判断できる。この場合、管理サーバ１５１は、その移転の根拠情報を収集して、拠点サーバ１０１に送信する。より具体的には、管理サーバ１５１は、図３の個人情報管理情報１６２（特に取得国３０２，データタイプ３０６）と、図１２の各国センシティビティ情報１７１とに基づいて、当該データのセンシティビティを特定し、特定したセンシティビティにおいて必要な移転根拠を図９の各国移転規制情報１６８及び図１３の移転根拠グループ情報１７２から特定し、その特定結果を示す情報（例えば「Ｇｒ２」のような根拠グループの値）を拠点サーバ１０１に送信する。

【0124】

ステップＳ２０５の処理後、規制判断部１５７は、個人情報のデータを保有する拠点（大元の移転元の拠点等）に対して、定期的にデータの格納場所（データ場所３０７）等のデータの保管状況を問合せて状況を監視する（ステップＳ２０６）。そして、問合せの結果を得た規制判断部１５７は、上述したステップＳ２０４と同様の手順で保管状況の適切性を判断する（ステップＳ２０７）。保管状況が適切であると判断した場合（ステップＳ２０７のＹＥＳ）、規制判断部１５７は、ステップＳ２０６に戻り監視を継続する。一方、保管状況が不適切であると判断した場合（ステップＳ２０７のＮＯ）、規制判断部１５７は、保管状況の是正や当該データの移転を禁止する旨を拠点サーバ１０１に通知する（ステップＳ２０８）。このとき、規制判断部１５７は、対象データの国内保持３１０の値（国内保持フラグ）を状況に適合する特定の値に更新するようにしてもよい。また、ステップＳ２０８では、通知内容を示すフラグ等を送信してもよいし、通知内容に対応する値を送信する等してもよい。

【0125】

ステップＳ２０６～Ｓ２０７の処理は、データローカライゼーション対応が必要なデータが適切な保管状況で保有されているか否かを継続的に監視するものである。これは、ステップＳ２０４において現在の保管状況が適切（ＹＥＳ）と判定された場合でも、データが移転されるまでの間に保管状況が変化しないようにチェックする必要や、移転後も、大元のデータの保管状況をチェックする必要があるためである。

【0126】

また、ステップＳ２０９では、ステップＳ２０５と同様に、管理サーバ１５１（情報管理部１５６または規制判断部１５７）が、国内保持３１０の値と移転根拠の情報を、ステップＳ２０１で個人情報を送信してきた拠点サーバ１０１に送信する。

【0127】

以上のように図１８の処理を実行することにより、管理サーバ１５１は、各拠点サーバ１０１で保管される個人情報について、各国のデータローカライゼーションに対応した個人情報の保管を可能にする。

【0128】

（２）第２の実施形態
第１の実施形態で説明した個人情報管理システム１００を用いて、本発明の第２の実施形態について説明する。本実施形態では、個人情報の国外移転において、これまでの移転状況及び各国の移転規制に留意した移転是非の判断を可能にし、上記判断結果をもとに、移転の許可または禁止等の制御を実行可能にする。

【0129】

本実施形態に係る個人情報管理システム１００において、拠点サーバ１０１は、クライアント端末１４１から個人情報の移転要求を受けた場合に、要求された移転が再移転であるかを判断し、再移転である場合は、管理サーバ１５１と連携してその移転の許可または禁止を制御する。以下にこのような制御を行うための処理の詳細を説明する。

【0130】

（２－１）個人情報の移転制御処理
図１９は、個人情報の移転制御処理の処理手順例を示すフローチャートである。図１９に示す処理は、ユーザがクライアント端末１４１を操作して、ある個人情報を現在の拠点から他の拠点に移転（移動またはコピー）しようとする際に、現在の拠点における拠点サーバ１０１が実行する処理である。なお、図１９の処理は、第１の実施形態で図１７及び図１８に示した処理が完了しているときに実行可能である。また、以降の説明では、拠点サーバ１０１の混同を避けるために、移転元となる現在の拠点における拠点サーバ１０１を「拠点サーバ１０１Ａ」、移転先となる拠点における拠点サーバ１０１を「拠点サーバ１０１Ｂ」、と表記することがある。

【0131】

図１９によればまず、拠点サーバ１０１Ａの連携部１０５が、クライアント端末１４１から個人情報の移転要求を受信する（ステップＳ３０１）。ステップＳ３０１で受信する移転要求では、移転対象とする個人情報とその移転方法とが指定される。移転方法は、例えば、第１の実施形態で図６を参照して説明した移転タイプＩＤ６０１の値で示される。

【0132】

次に、拠点サーバ１０１Ａ（例えば情報管理部１０６）は、移転要求で指定された個人情報がデータローカライゼーション対応可能であるか否かを判断する（ステップＳ３０２）。具体的には、拠点サーバ１０１Ａは、自身のメモリ１０２に格納している個人情報管理情報１１４の国内保持１５０８を参照し（図１５参照）、移転要求で指定された個人情報の国内保持１５０８の値が「－」や「２０」である場合、及び、移転要求で指定された個人情報の国内保持１５０８の値が「１０」であり移転要求で指定された移転タイプが「ｔ２」等のデータが国内（移転元）に残る移転方法の場合は、データローカライゼーション対応が可能であると判断する。また、拠点サーバ１０１Ａは、移転要求で指定された個人情報の国内保持１５０８の値が「１１」や「２１」である場合、及び、移転要求で指定された個人情報の国内保持１５０８の値が「１０」であり移転要求で指定された移転タイプが「ｔ２」等のデータが国内（移転元）に残らない移転方法の場合には、データローカライゼーション対応が不可能であると判断する。

【0133】

ステップＳ３０２においてデータローカライゼーション対応が不可能である（国内保持ＮＧ）と判断した場合（ステップＳ３０２のＮＯ）、拠点サーバ１０１Ａは、クライアント端末１４１に対して、移転拒否の通知、及び代替の移転可能方法の提示を行い（ステップＳ３０９）、処理を完了する。代替の移転可能方法の提示とは、例えば、「ｔ１」の移転タイプが指定された移転要求において移転拒否と判断した場合に、「ｔ２」や「ｔ３」といった移転タイプを代替案として提示するものである。

【0134】

ステップＳ３０２においてデータローカライゼーション対応が可能である（国内保持ＯＫ）と判断した場合（ステップＳ３０２のＹＥＳ）、拠点サーバ１０１Ａは、データローカライゼーション以外の観点において移転に問題がないかを判断する（ステップＳ３０３）。具体的には、拠点サーバ１０１Ａ（例えば情報管理部１０６）は、今回の移転要求で指定された移転根拠が適切なものであるかを判断する。適切であるかの判断は、図１６の移転候補情報１１７の情報をもとに行う。例えば図１６において、移転対象（対象ＩＤ１６０２）が「０２」のものは、移転において、移転根拠グループ「Ｇｒ２」を満たす必要がある。ここで、図１３の移転根拠グループ情報１１５によれば、移転根拠グループ「Ｇｒ２」は「ｇ１」または「ｇ２」の移転根拠から構成される。したがって、今回の移転要求で指定される移転根拠が「ｇ１」または「ｇ２」であれば、拠点サーバ１０１Ａは、今回の移転根拠が適切である（問題がない）と判断することができる。

【0135】

ステップＳ３０３において移転に問題がある（移転ＮＧ）と判断した場合（ステップＳ３０３のＮＯ）、拠点サーバ１０１Ａは、クライアント端末１４１に対して、移転根拠が不適切である等の理由を添えて移転拒否を通知し、さらに、移転可能にするための代替の移転根拠を提示し（ステップＳ３０９）、処理を終了する。

【0136】

ステップＳ３０３において移転に問題がない（移転ＯＫ）と判断した場合（ステップＳ３０３のＹＥＳ）、拠点サーバ１０１Ａは、要求された移転が再移転に該当するか否かを判断する（ステップＳ３０４）。再移転に該当するか否かの判断は、個人情報管理情報１１４を参照して行うことができる。具体的には、移転対象に該当するデータＩＤ１５０１のレコードにおいて移転ＩＤ１５１０が登録済みであれば、移転で持ってきたデータの再移転であると判断し、未登録であれば再移転ではないと判断する。

【0137】

ステップＳ３０４において再移転に該当しない場合（ステップＳ３０４のＮＯ）、拠点サーバ１０１Ａ（移転制御部１０７）は、移転要求に従って個人情報の移転を実行する（ステップＳ３０７）。

【0138】

ステップＳ３０４において再移転に該当する場合（ステップＳ３０４のＹＥＳ）、拠点サーバ１０１Ａは、管理サーバ１５１に再移転の是非を問合せる（ステップＳ３０５）。ステップＳ３０５で問合せを受けた管理サーバ１５１は、図２１で後述する再移転判断処理を実行し、その判断結果を拠点サーバ１０１Ａに返答する。

【0139】

拠点サーバ１０１Ａは、管理サーバ１５１からの返答が再移転を許可するものであるか否かを確認する（ステップＳ３０６）。管理サーバ１５１から再移転ＯＫの返答を受け取った場合（ステップＳ３０６のＹＥＳ）、拠点サーバ１０１Ａ（移転制御部１０７）は、移転要求に従って個人情報の移転を実行する（ステップＳ３０７）。管理サーバ１５１から再移転ＯＫの返答を受け取れなかった場合（ステップＳ３０６のＮＯ）、拠点サーバ１０１Ａは、クライアント端末１４１に対して、移転拒否の通知及び代替の移転可能方法の提示を行い（ステップＳ３０９）、処理を終了する。

【0140】

そして、ステップＳ３０７における個人情報の移転が終了した後、拠点サーバ１０１Ａは、クライアント端末１４１、管理サーバ１５１、及び移転先の拠点サーバ１０１Ｂに対して、移転の終了を通知し（ステップＳ３０８）、処理を終了する。

【0141】

以上のように図１９に示す処理が実行されることにより、クライアント端末１４１からの移転要求を受け取った拠点サーバ１０１Ａは、管理サーバ１５１と連携して、移転対象の個人情報が移転可能であるか否かの判断を行い、移転可能と判断した場合には個人情報を拠点サーバ１０１Ｂに移転することができる。

【0142】

（２－２）移転終了通知後の情報登録処理
図２０は、移転終了通知後の個人情報登録処理の処理手順例を示すシーケンス図である。図２０に示す処理は、図１９のステップＳ３０９で拠点サーバ１０１Ａから移転の終了通知が送信された後に、管理サーバ１５１及び移転先の拠点サーバ１０１Ｂが実行する処理である。詳細は以下に説明するが、個人情報の移転の終了通知を受け取った管理サーバ１５１及び拠点サーバ１０１Ｂは、自身が管理する情報を更新する。

【0143】

図２０によれば、まず、移転元の拠点サーバ１０１Ａが、移転先の拠点サーバ１０１Ｂ及び管理サーバ１５１に対して、移転の終了通知を送信する（ステップＳ４０１）。ステップＳ４０１は、図１９のステップＳ３０９と対応している。

【0144】

ステップＳ４０１の移転の終了通知において、拠点サーバ１０１Ａから拠点サーバ１０１Ｂに対しては、移転したデータの情報（図１５の個人情報管理情報１１４の該当するデータのレコードのうち、データＩＤ１５０１、国内保持１５０８、移転ＩＤ１５１０以外のデータ項目の値）が送信される。これらのデータは、拠点サーバ１０１Ｂが保持する個人情報管理情報１１４に引き継がれ、後述するように、必要に応じて所定項目の値が変更及び更新される。

【0145】

また、ステップＳ４０１の移転の終了通知において、拠点サーバ１０１Ａから管理サーバ１５１に対しては、移転したデータに関して管理サーバ１５１が移転管理情報１６３を生成するために必要となる情報として、個人情報管理情報１１４のうちから移転したデータの識別ＩＤ（データＩＤ１５０１）や管理ＩＤ（管理ＩＤ３１２）等の情報が送信される。

【0146】

拠点サーバ１０１Ｂでは、連携部１０５が移転の終了通知を受信すると、管理サーバ１５１から移転ＩＤ及び管理ＩＤの通知を受信するまで待機する（ステップＳ４０２）。

【0147】

一方、管理サーバ１５１では、連携部１５５が移転の終了通知を受信すると（ステップＳ４０３）、情報管理部１５６が、受信した情報をもとに、自身が管理する移転管理情報１６３を更新する（ステップＳ４０４）。具体的には、情報管理部１５６は、図４の移転管理情報１６３において、今回の移転用に新たな移転ＩＤ（移転ＩＤ４０１）を割当て、拠点サーバ１０１Ａから受信した情報をもとに、移転先データＩＤ４０５以外のデータ項目の値を新規に登録する。

【0148】

ここで、移転回数４１０については、情報管理部１５６は、今回の移転で登録したデータ（移転元４０２及び移転元データＩＤ４０３から識別されるデータ）が今回以前にも移転されていないか、移転管理情報１６３の移転先４０４及び移転先データＩＤ４０５の値に基づいて判断し導出する。例えば、すでに登録済みの移転先４０４及び移転先データＩＤ４０５のなかに、今回の移転で登録したデータ（移転元４０２，移転元データＩＤ４０３）と一致するものが含まれていた場合、今回以前にも移転が行われているデータと判断することができる。この場合、上記のようにして一致したデータ（移転先４０４，移転先データＩＤ４０５）に関して登録されている移転回数４１０の値に「１」を追加した値を、移転回数として設定する。この結果、例えば移転回数４１０に「１」が設定された場合、今回の移転以前に移転が１回行われていたことを示す。

【0149】

また、管理ＩＤ４１１については、情報管理部１５６は、移転の終了通知の際に拠点サーバ１０１Ａから送信された、移転対象のデータＩＤ（データＩＤ１５０１）に紐づけて管理されている個人情報管理情報１１４の管理ＩＤ３１２の値を、管理ＩＤ４１１に設定する。

【0150】

上述したように今回移転されたデータに関する移転管理情報１６３の更新が終了すると、情報管理部１５６は、更新後の移転ＩＤ４０１及び管理ＩＤ４１１の値を移転先の拠点サーバ１０１Ｂに送信する（ステップＳ４０５）。

【0151】

次に、拠点サーバ１０１Ｂの情報管理部１０６は、今回移転されたデータを自拠点で管理するための新たな識別ＩＤ（データＩＤ１５０１）を割当て、ステップＳ４０２で移転元の拠点サーバ１０１Ａから受信した情報をもとに、個人情報管理情報１１４の国内保持１５０８～移転ＩＤ１５１０以外のデータ項目の値を設定する。さらに、情報管理部１０６は、ステップＳ４０５で管理サーバから受信した移転ＩＤ４０１の値を移転ＩＤ１５１０に設定する。なお、情報管理部１０６は、ステップＳ４０５で管理サーバ１５１から受信した管理ＩＤ４１１の値を暫定的に管理ＩＤ１５０９に設定するようにしてもよい。正式な管理ＩＤ１５０９の値は、後述するステップＳ４１０で設定される。

【0152】

そして、拠点サーバ１０１Ｂは、上記のように設定した情報について、クライアント端末１４１からの変更要求がなければ、設定した情報で個人情報管理情報１１４を更新し、更新した情報（例えばデータＩＤ１５０１等）を管理サーバ１５１に送信する（ステップＳ４０７）。所定のデータ項目についてクライアント端末１４１からの変更要求があった場合には、拠点サーバ１０１Ｂは、要求された値を当該データ項目に設定して個人情報管理情報１１４を更新した後、管理サーバ１５１に更新した情報を送信する。

【0153】

次に、管理サーバ１５１では、情報管理部１５６が、ステップＳ４０７で拠点サーバ１０１Ｂから受信した情報をもとに、移転管理情報１６３及び個人情報管理情報１６２を更新する（ステップＳ４０８）。

【0154】

具体的には、移転管理情報１６３の更新については、情報管理部１５６は、上述した更新後の移転ＩＤ４０１と、拠点サーバ１０１Ｂで新たに割り当てられた識別ＩＤ（データＩＤ１５０１）とに基づいて、当該移転ＩＤ４０１の値が設定された移転管理情報１６３のレコードにおいて、移転先データＩＤ４０５に当該識別ＩＤの値を設定する。

【0155】

また、個人情報管理情報１６２の更新については、情報管理部１５６は、移転先の拠点サーバ１０１Ｂで管理される移転データ用に、個人情報管理情報１６２において新たに識別ＩＤ（管理ＩＤ３０１）を割当て、ステップＳ４０７で拠点サーバ１０１Ｂから受信した情報をもとに、新規に情報を登録する。このとき、取得国３０２～クラウドＩＤ３０９の各データ項目については、ステップＳ４０７で拠点サーバ１０１Ｂから受信した情報を設定すればよく、国内保持３１０及び元ＩＤ３１１については、図１７のステップＳ１０２及びステップＳ１０３で説明したのと同様の手順で、適宜判断して設定することができる。

【0156】

そして、管理サーバ１５１は、ステップＳ４０８で更新した情報のうち、少なくとも個人情報管理情報１６２に新たに割当てた管理ＩＤ３０１と、国内保持３１０の値（国内保持フラグ）とを、拠点サーバ１０１Ｂに通知し（ステップＳ４０９）、管理サーバ１５１側の処理を終了する。

【0157】

次に、拠点サーバ１０１Ｂでは、ステップＳ４０９で管理サーバ１５１から送信された情報をもとに、情報管理部１０６が、ステップＳ４０７において未設定または暫定的に設定された個人情報管理情報１１４のデータ項目を更新する（ステップＳ４１０）。具体的には、情報管理部１０６は、管理サーバ１５１において新たに割当てられた管理ＩＤ３０１の値を、正式な値として管理ＩＤ１５０９に設定し、管理サーバ１５１で設定された国内保持３１０の値（国内保持フラグ）を国内保持１５０８に設定する。

【0158】

以上のように図２０に示す処理が実行されることにより、移転先の拠点サーバ１０１Ｂ及び管理サーバ１５１は、拠点サーバ１０１Ａから拠点サーバ１０１Ｂに移転された個人情報について、移転状況（移転元と移転先との関係、移転回数等）や国内保持の有無等を把握しながら、自計算機における管理情報を新たに登録することができる。

【0159】

（２－３）再移転判断処理
図２１は、再移転判断処理の処理手順例を示すフローチャートである。図２１に示す処理は、図１９のステップＳ３０５において拠点サーバ１０１Ａから再移転の是非の問合せを受けた際に、管理サーバ１５１（主に規制判断部１５７）が実行する処理である。

【0160】

図２１によればまず、管理サーバ１５１は、移転元の拠点サーバ１０１Ａから再移転の是非の問合せを受信する（ステップＳ５０１）。ステップＳ５０１の処理は、図１９のステップＳ３０５の処理に対応する。

【0161】

次に、管理サーバ１５１の規制判断部１５７は、ステップＳ５０１で問合せを受けたデータ、すなわち再移転しようとするデータについて、個人情報管理情報１６２の国内保持３１０の値に基づいて、国内保持が必要か否かを判断する（ステップＳ５０２）。国内保持が不要と判断した場合は（ステップＳ５０２のＮＯ）、後述するステップＳ５０４に進む。国内保持が必要と判断した場合は（ステップＳ５０２のＹＥＳ）、ステップＳ５０３に進む。

【0162】

ステップＳ５０３において、規制判断部１５７は、ステップＳ５０１で問合せを受けたデータ、すなわち再移転しようとするデータについて、当該データの保管状況が適切であるかを判断する。当該データの保管状況が不適切であると判断した場合は（ステップＳ５０３のＮＯ）、後述するステップＳ５１１に進む。当該データの保管状況が適切であると判断した場合は、ステップＳ５０４に進む。

【0163】

ステップＳ５０３において、規制判断部１５７は、当該データの保管状況の適切性を、図１８のＳ２０４で説明したのと同様の方法によって判断することができる。具体的には、規制判断部１５７は、再移転しようとしているデータに対応付けられた元ＩＤ３１１の値を基に、大元のデータを識別し（個人情報管理情報１６２において管理ＩＤ３０１に「元ＩＤ３１１の値」が設定されているレコードを特定し）、当該大元のデータを保持する拠点サーバ１０１（特定したレコードの拠点ＩＤ３０４）に対して、従前と同様に当該大元のデータを保持し続けているかの問合せを行う。そして、大元のデータに対応付けられた拠点サーバ１０１が大元のデータを保持し続けている場合、規制判断部１５７は、再移転しようとするデータの保管状況が適切であると判断する（ステップＳ５０２のＹＥＳ）。一方、大元のデータに対応付けられた拠点サーバ１０１が大元のデータを保持し続けていない場合、規制判断部１５７は、再移転しようとするデータの保管状況が不適切であると判断する（ステップＳ５０２のＮＯ）。

【0164】

再移転しようとするデータの保管状況が適切であると判断した場合、規制判断部１５７は、ステップＳ５０１で受信した問合せ情報を基に、前回の移転と今回の移転の移転根拠の情報、及び最初の移転元国と最終的な移転先国の規制レベルの情報を抽出する（ステップＳ５０４）。

【0165】

具体的には、規制判断部１５７は、これまでの移転先データ（図４に示した移転管理情報１６３の移転先４０４及び移転先データＩＤ４０５の組合せから識別される）のうち、今回どのデータを再移転しようとしているかを識別し、上記識別した移転先データに関連付けられている移転根拠４０７の値を参照することで、前回の移転根拠を抽出する。例えば、今回再移転しようとしているデータが拠点「ｋ６」のデータＩＤ「６００１」であった場合、これに合致する（移転先４０４及び移転先データＩＤ４０５の組合せが一致する）移転先データの情報は、図４の移転管理情報１６３において「ｉ１」の移転ＩＤが設定されたレコードに相当する。したがって、この移転先データは、今回の再移転の前に、移転元拠点「ｋ５」から移転先拠点「ｋ６」へ移転根拠「ｇ１」で持ってきたデータであると特定される。また、規制判断部１５７は、最初の移転元国については、今回再移転しようとしているデータについて管理サーバ１５１が管理している取得国３０２の値に基づいて特定し、最終的な移転先国については、拠点サーバ１０１からの再移転の是非の問合せにおいて指定された移転先情報から特定する。そして、規制判断部１５７は、上記のようにして特定した移転元国や移転先国について、図１０に示した各国規制レベル情報１６９に基づいて、それぞれの規制レベルを特定する。例えば移転先国が「英」であれば、規制レベルを「４」と判断する。

【0166】

次に、規制判断部１５７は、ステップＳ５０４で特定した情報に基づいて、問合せ対象のデータの再移転の是非を判断する（ステップＳ５０５）。具体的には、規制判断部１５７は、今回の再移転の移転根拠が「十分性」である（図１４の移転根拠情報１７３によれば、根拠ＩＤが「ｇ３」である）場合に、図１１に示した各国十分性情報１７０を参照し、最初の移転元国についての十分性対象国として今回の再移転先国が含まれているか、十分性対象国１１０２を基に判断する。

【0167】

今回の再移転先国が十分性対象国に含まれている場合には、規制判断部１５７は、再移転が適切であると判断し（ステップＳ５０５のＹＥＳ）、再移転の是非を問合せた拠点サーバ１０１に、再移転ＯＫである旨を通知する（ステップＳ５０６）。

【0168】

一方、今回の再移転先国が十分性対象国に含まれていない場合には、規制判断部１５７は、最終的な移転先国の規制レベルが最初の移転元国の規制レベルよりも低い場合に、再移転が不適切であると判断し（ステップＳ５０５のＮＯ）、再移転の是非を問合せた拠点サーバ１０１に、再移転ＮＧである旨とその理由、及び再移転のために必要な是正措置を通知する（ステップＳ５０７）。ステップＳ５０７の通知を受けた拠点サーバ１０１は、通知内容をクライアント端末１４１に転送して、必要な是正措置の実施を求めるようにしてもよい。必要な是正措置の実施がクライアント端末１４１から指示され、拠点サーバ１０１で実施された場合には、拠点サーバ１０１は、その是正措置の実施完了を管理サーバ１５１に通知する。

【0169】

ステップＳ５０７で通知を送った後、規制判断部１５７は、拠点サーバ１０１において必要な是正措置がとられるかを確認する（ステップＳ５０８）。拠点サーバ１０１において必要な是正措置が実施された場合は（ステップＳ５０８のＹＥＳ）、ステップＳ５０６に進み、規制判断部１５７は、再移転ＯＫである旨を拠点サーバ１０１に通知する。拠点サーバ１０１において必要な是正措置が実施されない場合は（ステップＳ５０８のＮＯ）、後述するステップＳ５１１に進む。

【0170】

ここで、是正措置の通知について説明を補足する。具体的には、管理サーバ１５１は、再移転しようとしているデータの大元のデータを保持する拠点を特定する。そして管理サーバ１５１は、当該拠点の拠点サーバ１０１に対して、移転しようとしているデータの識別ＩＤ（個人情報管理情報１６２のデータＩＤ３０５）と移転目的（拠点サーバから提供される移転候補情報１１７の目的１６０８）とを提供し、是正措置の通知として、提供した情報に基づいて最終移転先との契約締結等の合意を行うことを要求する（ステップＳ５０７）。その後、上記の合意可能の返答を大元のデータを保持する拠点サーバ１０１から受け取った場合に、管理サーバ１５１は「是正あり」と判断し（ステップＳ５０８のＹＥＳ）、再移転の是非の問合せを行った拠点サーバ１０１に再移転ＯＫを通知する（ステップＳ５０６）。

【0171】

なお、上記説明では、合意可能の返答結果に基づいて是正措置の実施を判断したが、管理サーバ１５１は、それ以外の方法で是正措置の実施を判断するようにしてもよい。例えば、管理サーバ１５１が、移転対象のデータについての説明（当該データの識別ＩＤ等を含む情報）、移転目的、及び移転後の取扱い規則等についての記載を含む雛形の契約文書を作成し、管理サーバ１５１から大元のデータを保持する拠点サーバ１０１と最終的な移転先の拠点の拠点サーバ１０１とに作成した契約文書を送信し、これらの拠点サーバ１０１からの電子的な署名の押印を受信した場合に、ステップＳ５０８のＹＥＳと判断して、再移転ＯＫを通知するようにしてもよい。

【0172】

また、今回の再移転の移転根拠が「十分性」以外である場合（図１４の移転根拠情報１７３によれば根拠ＩＤが「ｇ２」等の場合）には、最初の移転根拠と最後の移転根拠とが、ともに同じ拘束的企業準則（同一企業グループ内個人情報取扱い規定）である場合を除いて、前述したのと同様に、規制判断部１５７は、最終的な移転先国の規制レベルと最初の移転元国の規制レベルとの強弱を比較して、最終的な移転先国の規制レベルが最終的な移転先国の規制レベルよりも低い場合に、再移転が不適切であると判断し（ステップＳ５０５のＮＯ）、再移転の是非を問合せた拠点サーバ１０１に、再移転ＮＧである旨とその理由、及び再移転のために必要な是正措置を通知する（ステップＳ５０７）。その後、是正が行われた場合は（ステップＳ５０８のＹＥＳ）、管理サーバ１５１は、再移転の是非を問合せた拠点サーバ１０１に再移転ＯＫを通知する（ステップＳ５０６）。

【0173】

そしてステップＳ５０６の後、管理サーバ１５１は、図１８のステップＳ２０６～Ｓ２０８と同様にして、再移転するデータの大元のデータの保管状況についての定期的な監視と、保管状況の適切性についての判断を行い（ステップＳ５０９，Ｓ５１０）、保管状況が不適切であった場合は（ステップＳ５１０のＮＯ）、データの移転禁止を拠点サーバ１０１に通知する（ステップＳ５１１）。

【0174】

以上のように図２１の処理を実行することにより、管理サーバ１５１は、複数国に跨る再移転の移転状況や移転元国の規制に留意して再移転の是非を判断し、再移転の可否を問合せ元の拠点サーバ１０１に通知することができる。具体的には例えば、移転元国では厳しい個人情報保護に関する規制が設けられているにも関わらず、再移転先ではこのような厳しい規制が設けられていない場合には、最初の移転元国の規制を考慮して、再移転先で十分に個人情報が保護されるように、移転の許可または禁止を制御することが可能になる。

【0175】

（３）他の実施形態
以下では、上述した本発明の第１及び第２の実施形態に係る個人情報管理システム１００の変形例について説明する。本変形例では、各国ローカライゼーション規制などの規制情報が変更された場合に、影響する拠点の拠点サーバ１０１に対して、管理サーバ１５１から個人情報設定の変更要求を行う。

【0176】

具体的には例えば、ある国において、新規にデータローカライゼーション規制が追加された場合、管理サーバ１５１は、データ取得国が上記の国に該当するデータを、図３に示した個人情報管理情報１６２の取得国３０２に基づいて特定する。

【0177】

そして上記特定したデータについて、個人情報管理情報１６２の対応レコードにおいて元ＩＤ３１１が未登録である場合は、管理サーバ１５１は、図１８のステップＳ２０４と同様の方法で、個人情報管理情報１６２からデータの保管状況の適切性を判断し、判断結果である国内保持に変更がある場合は、新たな判断結果の国内保持フラグを国内保持３１０に設定し、上記特定したデータを保管する拠点の拠点サーバ１０１に対して、新たな国内保持フラグを送信し、情報更新を要求するとともに、以後は更新した国内保持フラグに基づいて移転制御を行うように要求する。

【0178】

一方、上記特定したデータについて、個人情報管理情報１６２の対応レコードにおいて元ＩＤ３１１が登録されている場合は、管理サーバ１５１は、個人情報管理情報１６２において管理ＩＤ３０１の値が元ＩＤ３１１の値に一致するレコード、すなわち大元のデータのレコードについて、上記と同様にして、大元のデータの保管状況の適切性を判断し、判断結果である国内保持に変更がある場合は、新たな判断結果の国内保持フラグを国内保持３１０に設定し、前述した元ＩＤ３１１と同じ値が元ＩＤ３１１に登録されているデータを保管する拠点の拠点サーバ１０１に対して、上記と同じようにして新たな国内保持フラグを送信し、情報更新を要求するとともに、以後は更新した国内保持フラグに基づいて移転制御を行うように要求する。さらに、管理サーバ１５１は、大元のデータを保管する拠点サーバ１０１に対して、上記と同様にして新たな国内保持フラグを送信するとともに、当該国内保持フラグの内容が国内保持への対応不可能を示す場合には、自拠点へのデータのバックアップ取得等、データの保管状況の是正を要求する。その後、大元のデータを保管する拠点サーバ１０１から是正の応答があった場合は、管理サーバ１５１は、データの保管状況を適切と判断して、是正内容に該当する国内保持フラグを生成し、大元のデータを保管する拠点サーバ１０１及び当該拠点サーバ１０１に関係する計算機（例えば、当該拠点サーバ１０１から移転されたデータを保管する拠点サーバ１０１等）に生成した国内保持フラグを送信して、各拠点サーバ１０１が保持する個人情報管理情報１１４における国内保持１５０８の更新を要求する。

【0179】

以上のように本変形例の処理が実行されることにより、個人情報管理システム１００では、各国ローカライゼーション規制などの規制情報が変更された場合に、管理サーバ１５１が、規制情報の変更による影響を受ける拠点サーバ１０１に対して、個人情報の設定内容の変更を要求し、さらに管理サーバ１５１自身が管理する情報の設定内容も更新することができる。

【0180】

以上に説明した本発明の各実施形態によれば、例えば、クライアント端末（クライアント端末１４１）と第一の計算機（拠点サーバ１０１）と第二の計算機（管理サーバ１５１）とを含んで構成される計算機システム（個人情報管理システム１００）において、第一の計算機は、自計算機または他の計算機の拠点を定義する拠点情報（拠点情報１１１）と、計算機が保持する情報の種類を定義するデータタイプ定義情報（データタイプ定義情報１１２）と、情報の移転方法を定義する移転タイプ定義情報（移転タイプ定義情報１１３）と、自計算機が保持する個人情報を管理するための個人情報管理情報（個人情報管理情報１１４）と、移転根拠の組合せからなる移転根拠グループ情報（移転根拠グループ情報１１５）と、移転根拠を定義する移転根拠情報（移転根拠情報１１６）と、今後移転可能性のあるデータを定義する移転候補情報（移転候補情報１１７）と、計算機が利用するクラウドを定義するクラウド情報（クラウド情報）と、を備える。第二の計算機は、自計算機または他の計算機の拠点を定義する拠点情報（拠点情報１６１）と、計算機が保持する情報の種類を定義するデータタイプ定義情報（データタイプ定義情報１６４）と、情報の移転方法を定義する移転タイプ定義情報（移転タイプ定義情報１６５）と、他の計算機が保持する個人情報を管理するための個人情報管理情報（個人情報管理情報１６２）と、移転根拠の組合せからなる移転根拠グループ情報（移転根拠グループ情報１７２）と、移転根拠を定義する移転根拠情報（移転根拠情報１７３）と、計算機が利用するクラウドを定義するクラウド情報（クラウド情報１６６）と、計算機のデータ移転を管理する移転管理情報（移転管理情報１６３）と、各国の国内保持規制（データローカライゼーション）を管理する各国ローカライゼーション情報（各国ローカライゼーション情報１６７）と、各国の移転規制を管理する各国移転規制情報（各国移転規制情報１６８）と、各国の規制レベルを定義する各国規制レベル情報（各国規制レベル情報１６９）と、各国の十分性認定情報を定義する各国十分性情報（各国十分性情報１７０）と、各国の情報の機微度を定義する各国センシティビティ情報（各国センシティビティ情報１７１）と、を備える。

【0181】

このような計算機システムにおいて、前記第一の計算機は、クライアント端末からの要求に基づき、個人情報の設定および移転候補の設定を行い、これらの情報を前記第二の計算機に通知し、前記第二の計算機は、受信した情報と各国の規制情報をもとに、前記第一の計算機の個人情報の保管状況の適切性の判断及び、前記第一の計算機への判断結果の通知を行う。前記第一の計算機は、前記第二の計算機からの判断結果を前記第一の計算機の個人情報管理情報に設定し、上記判断結果に応じた、当該データの移転の許可/禁止の制御を行う。また、前記第二の計算機は、前記第一の計算機の個人情報のうち、国内保持が必要なものについては定期的に保管状況の監視を行い、保管状況が不適切になった場合は移転の禁止等の通知を行う。また、前記第一の計算機は、個人情報の再移転において前記第二の計算機に再移転是非の問合せを行い、前記第二の計算機は、移転根拠と個人情報取得元国の規制情報の関係から、再移転是非の判断を行い、再移転不適切と判断した場合は、移転禁止の通知を前記第一の計算機に通知するか、または、移転するデータの大元のデータを保持する計算機及び最終的な移転先の計算機に対して、移転の合意形成の通知を行い、これらの計算機からの応答結果に基づき移転の禁止/許可を決定し、上記決定結果を前記第一の計算機に通知する。そして、前記第一の計算機は、前記第二の計算機の判断結果をもとに、当該データの再移転の許可または禁止の制御を行う。

【0182】

上述した構成を備えることにより、本発明の計算機システム（個人情報管理システム１００）は、個人情報の国外移転において、これまでの移転状況や移転元国の規制に留意した移転制御が可能になり、複数国を跨る再移転のような場合であっても適切な移転制御を行うことが可能になる。

【符号の説明】

【0183】

１００ 個人情報管理システム
１０１ 拠点サーバ
１０２，１４２，１５２ メモリ
１０３，１４３，１５３ ＣＰＵ
１０４，１４４，１５４ Ｉ／Ｆ
１０５，１４５，１５５ 連携部
１０６，１５６ 情報管理部
１０７ 移転制御部
１１１，１６１ 拠点情報
１１２，１６４ データタイプ定義情報
１１３，１６５ 移転タイプ定義情報
１１４，１６２ 個人情報管理情報
１１５，１７２ 移転根拠グループ情報
１１６，１７３ 移転根拠情報
１１７ 移転候補情報
１１８，１６６ クラウド情報
１１９，１７４ 記憶領域
１４１ クライアント端末
１５１ 管理サーバ
１５７ 規制判断部
１６３ 移転管理情報
１６７ 各国ローカライゼーション情報
１６８ 各国移転規制情報
１６９ 各国規制レベル情報
１７０ 各国十分性情報
１７１ 各国センシティビティ情報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】