特開 2023-169714 情報処理装置、携帯端末装置、車両管理装置、車載装置、車両管理システムおよび個人情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023169714

(43)【公開日】2023-11-30

(54)【発明の名称】情報処理装置、携帯端末装置、車両管理装置、車載装置、車両管理システムおよび個人情報処理方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20231122BHJP

【ＦＩ】

G06F21/62 345

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2022081002

(22)【出願日】2022-05-17

(71)【出願人】

【識別番号】000237592

【氏名又は名称】株式会社デンソーテン

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】三木 好州

(72)【発明者】

【氏名】鵜野 雄二

(72)【発明者】

【氏名】豊田 昌行

(57)【要約】

【課題】適切に個人情報を保護すること。
【解決手段】実施形態の一態様に係る情報処理装置は、記憶部に記憶された個人情報データに基づく動作を行う車載装置における上記記憶部に記憶する個人情報データの記憶制御を行う情報処理装置であって、コントローラを有する。コントローラは、車両の使用終了を検出した場合に、上記記憶部に記憶されている個人情報データを削除する削除処理を実行し、車両の使用開始を検出した場合に、外部装置から取得した上記車載装置の使用者の個人情報データを上記記憶部に記憶させる登録処理を実行する。
【選択図】図３

【特許請求の範囲】

【請求項1】

記憶部に記憶された個人情報データに基づく動作を行う車載装置における前記記憶部に記憶する個人情報データの記憶制御を行う情報処理装置であって、コントローラを有し、
前記コントローラは、
車両の使用終了を検出した場合に、前記記憶部に記憶されている個人情報データを削除する削除処理を実行し、
車両の使用開始を検出した場合に、外部装置から取得した前記車載装置の使用者の個人情報データを前記記憶部に記憶させる登録処理を実行する、
情報処理装置。

【請求項2】

前記コントローラは、
前記使用終了を検出した場合に、前記削除処理に先立ち、前記外部装置に対して、前記記憶部に記憶されている個人情報データを送信して記憶させる退避要請処理を実行する、
請求項１に記載の情報処理装置。

【請求項3】

前記コントローラは、
車両の使用形態に応じた条件に基づき前記使用終了および前記使用開始を検出する、
請求項１または２に記載の情報処理装置。

【請求項4】

前記コントローラは、
車両がレンタカーまたはシェアカーである場合、レンタカーまたはシェアカーの管理システムからの返却手続完了情報に基づき前記使用終了を検出する、
請求項３に記載の情報処理装置。

【請求項5】

前記コントローラは、
車両が輸送車両である場合、輸送車両の管理システムからの個人情報データの確認完了情報に基づき前記使用終了を検出する、
請求項３に記載の情報処理装置。

【請求項6】

前記コントローラは、
車両がレンタカーまたはシェアカーである場合、レンタカーまたはシェアカーの管理システムからの貸出手続完了情報に基づき前記使用開始を検出する、
請求項３に記載の情報処理装置。

【請求項7】

前記コントローラは、
車両の使用者の車両への接近を前記使用開始として検出する、
請求項３に記載の情報処理装置。

【請求項8】

前記外部装置は、
車両の使用者が携帯するユーザデバイス、または、個人情報データを管理する個人情報管理サーバである、
請求項１または２に記載の情報処理装置。

【請求項9】

請求項１に記載の情報処理装置と通信する携帯端末装置であって、個人情報データを記憶する端末記憶部と、端末コントローラとを有し、
前記端末コントローラは、
前記情報処理装置からの個人情報データの取得要求に基づき、前記端末記憶部に記憶されている個人情報データを前記情報処理装置に送信し、
前記情報処理装置からの個人情報データの退避要求に基づき、前記携帯端末装置の使用者に対応する個人情報データである場合に、前記情報処理装置から送信された個人情報データを前記端末記憶部に記憶する、
携帯端末装置。

【請求項10】

請求項１に記載の情報処理装置と通信し、車両を管理する車両管理装置であって、装置コントローラを有し、
前記装置コントローラは、
前記使用終了を示す手続の操作が検出された場合に、前記情報処理装置へ前記使用終了を示す車両使用終了情報を送信し、
前記使用開始を示す手続の操作が検出された場合に、前記情報処理装置へ前記使用開始を示す車両使用開始情報を送信する、
車両管理装置。

【請求項11】

車両に搭載され、記憶部に記憶された個人情報データに基づく動作の制御を行う車載装置であって、コントローラを有し、
前記コントローラは、
車両の使用終了を検出した場合に、前記記憶部に記憶されている個人情報データを削除する削除処理を実行し、
車両の使用開始を検出した場合に、外部装置から取得した前記車載装置の使用者の個人情報データを前記記憶部に記憶させる登録処理を実行する、
車載装置。

【請求項12】

車両に搭載され、記憶部に記憶された個人情報データに基づく動作を行うとともに、前記記憶部に記憶する個人情報データの記憶制御を行う車載装置と、
車両の外部に設定され、個人情報データの管理を行う個人情報管理装置と、
車両の管理を行う車両管理装置と、を含む車両管理システムにおいて、
前記車載装置は、
前記車両管理装置からの車両使用終了情報に基づき車両の使用終了を検出した場合に、前記記憶部に記憶されている個人情報データを前記個人情報管理装置に送信して記憶させる退避要請処理と、前記記憶部に記憶されている個人情報データを削除する削除処理とを実行し、
前記車両管理装置からの車両使用開始情報に基づき車両の使用開始を検出した場合に、外部装置に個人情報データの取得要求を行い、当該取得要求により前記外部装置から取得した前記車載装置の使用者の個人情報データを前記記憶部に記憶させる登録処理を実行し、
前記個人情報管理装置は、
前記車載装置からの個人情報データの取得要求に基づき、装置記憶部に記憶されている個人情報データを前記車載装置に送信し、
前記車載装置からの個人情報データの退避要求に基づき、前記車載装置から送信された個人情報データを前記装置記憶部に記憶し、
前記車両管理装置は、
前記使用終了を示す手続の操作が検出された場合に、前記車載装置へ前記使用終了を示す前記車両使用終了情報を送信し、
前記使用開始を示す手続の操作が検出された場合に、前記車載装置へ前記使用開始を示す前記車両使用開始情報を送信する、
車両管理システム。

【請求項13】

記憶部に記憶された個人情報データに基づく動作を行う車載装置における前記記憶部に記憶する個人情報データの記憶制御を行う個人情報処理方法であって、
車両の使用終了を検出した場合に、外部装置に対して前記記憶部に記憶されている個人情報データを記憶させるとともに、前記記憶部に記憶されている個人情報データを削除し、
車両の使用開始を検出した場合に、前記外部装置から取得した前記車載装置の使用者の個人情報データを前記記憶部に記憶させる、
個人情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

開示の実施形態は、情報処理装置、携帯端末装置、車両管理装置、車載装置、車両管理システムおよび個人情報処理方法に関する。

【背景技術】

【0002】

従来、自動車には、たとえば快適制御のため、各種の情報を保存しておいて必要な時に呼び出して制御に用いる機能がある（たとえば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００１－３０４８９６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

このような機能等に用いられる各種の情報には個人情報が含まれる場合が多く、適切に個人情報を保護することが要求される。

【0005】

たとえば、自動車を売却する場合や、レンタルやカーシェアリングによって自動車を一時的に使用する場合などにおいては、自動車内に残った個人情報が、次の使用者などに漏れてしまう懸念がある。また、自動車が盗難に遭った場合、やはり個人情報が漏れてしまう懸念がある。

【0006】

実施形態の一態様は、上記に鑑みてなされたものであって、適切に個人情報を保護することができる情報処理装置、携帯端末装置、車両管理装置、車載装置、車両管理システムおよび個人情報処理方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

実施形態の一態様に係る情報処理装置は、記憶部に記憶された個人情報データに基づく動作を行う車載装置における前記記憶部に記憶する個人情報データの記憶制御を行う情報処理装置であって、コントローラを有する。前記コントローラは、車両の使用終了を検出した場合に、前記記憶部に記憶されている個人情報データを削除する削除処理を実行し、車両の使用開始を検出した場合に、外部装置から取得した前記車載装置の使用者の個人情報データを前記記憶部に記憶させる登録処理を実行する。

【発明の効果】

【0008】

実施形態の一態様によれば、適切に個人情報を保護することができる。

【図面の簡単な説明】

【0009】

【図1】図１は、実施形態に係る個人情報保護方法の概要説明図である。

【図2】図２は、実施形態に係る個人情報保護システムの構成例を示す図である。

【図3】図３は、実施形態に係る車載装置の構成例を示すブロック図である。

【図4】図４は、個人情報データ記憶部に記憶されるデータの一例を示す図である。

【図5】図５は、個人情報制御情報記憶部に記憶される個人情報制御情報の一例を示す図である。

【図6】図６は、実施形態に係る個人情報管理サーバの構成例を示すブロック図である。

【図7】図７は、個人情報ＤＢの一例を示す図である。

【図8】図８は、実施形態に係るユーザデバイスの構成例を示すブロック図である。

【図9】図９は、個人情報の基本的な削除処理における車載装置と、個人情報管理サーバまたはユーザデバイスの処理シーケンスを示す図である。

【図10】図１０は、基本的な登録処理における車載装置と、個人情報管理サーバまたはユーザデバイスの処理シーケンスを示す図である。

【図11】図１１は、登録処理におけるユーザデバイスのアプリ画面例を示す図である。

【図12】図１２は、第１の変形例に係る削除処理における車載装置とレンタカー管理サーバの処理シーケンスを示す図である。

【図13】図１３は、第２の変形例に係る削除処理における車載装置と、レンタカー管理サーバおよびサービス端末の処理シーケンスを示す図である。

【図14】図１４は、第３の変形例に係る削除処理におけるユーザデバイスおよび車載装置と、シェアカー管理サーバの処理シーケンスを示す図である。

【図15】図１５は、第４の変形例に係る削除処理における車載装置とシェアカー管理サーバの処理シーケンスを示す図である。

【図16】図１６は、第５の変形例に係る削除処理における車載装置と車両売買管理サーバの処理シーケンスを示す図である。

【図17】図１７は、第６の変形例に係る削除処理における車載装置と、車両売買管理サーバおよびサービス端末の処理シーケンスを示す図である。

【図18】図１８は、実施形態に係る車両管理装置の構成例を示すブロック図である。

【図19】図１９は、実施形態に係る車載装置が実行する処理手順を示すフローチャートである。

【発明を実施するための形態】

【0010】

以下、添付図面を参照して、本願の開示する情報処理装置、携帯端末装置、車両管理装置、車載装置、車両管理システムおよび個人情報処理方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

【0011】

また、以下では、自動車を「車両」と記載する。また、以下では、カーシェアリングの形態で使用される車両を「シェアカー」と記載する。

【0012】

また、以下では、実施形態に係る情報処理装置の一例が、個人情報保護のために機能する車載装置１０、ユーザデバイス３０、個人情報管理サーバ１００、レンタカー管理サーバ３００、シェアカー管理サーバ５００および車両売買管理サーバ７００であるものとする。

【0013】

また、以下では、実施形態に係る車両管理システムが、上記した各情報処理装置の連携によってユーザの個人情報を保護する個人情報保護システム１であるものとする。また、以下では、実施形態に係る保護情報処理方法が、個人情報保護システム１の実行する個人情報保護方法であるものとする。

【0014】

まず、実施形態に係る個人情報保護方法の概要について、図１を用いて説明する。図１は、実施形態に係る個人情報保護方法の概要説明図である。

【0015】

図１に示すように、実施形態に係る個人情報保護システム１は、車載装置１０と、ユーザデバイス３０と、個人情報管理サーバ１００とを含む。

【0016】

車載装置１０は、車両に搭載されるコンピュータ内蔵の装置であり、たとえばドライブレコーダやカーナビゲーション装置、マルチメディア装置、車両制御装置等である。車載装置１０は、個人情報を記憶する個人情報データ記憶器２１を有し、使用者等の個人情報を記憶し、各種制御に用いる。

【0017】

ユーザデバイス３０は、車両を使用するユーザが利用する端末装置であり、たとえばスマートフォンである。ユーザデバイス３０は、携帯端末装置の一例に相当する。

【0018】

個人情報管理サーバ１００は、各ユーザの個人情報データを管理する装置である。個人情報管理サーバ１００は、個人情報ＤＢ（Database）１０２ａを有する。個人情報ＤＢ１０２ａは、各車両を使用するユーザごとの個人情報を格納するデータベースである。

【0019】

図１に示すように、実施形態に係る個人情報保護方法では、車両の「使用終了時」に、車載装置１０が、個人情報データ記憶器２１の個人情報を、退避用の個人情報記憶部へ退避する（ステップＳ１）。個人情報管理サーバ１００またはユーザデバイス３０は、かかる退避先である個人情報記憶部の一例に相当する。

【0020】

また、車載装置１０は、個人情報記憶部へ個人情報が退避された後、車載装置１０の個人情報データ記憶器２１に記憶された個人情報を削除する（ステップＳ２）。

【0021】

一方、車両の「使用開始時」に、車載装置１０は、個人情報記憶部から該当するユーザの個人情報を取得（受信）する（ステップＳ３）。そして、車載装置１０は、取得した個人情報を個人情報データ記憶器２１に記憶する（ステップＳ４）。

【0022】

すなわち、実施形態に係る個人情報保護方法では、基本的に個人情報は車両側（個人情報データ記憶器２１）に常時保存せず、「使用終了時」のタイミングで個人情報を自動的に削除しておき、「使用開始時」のタイミングで改めてユーザの個人情報を外部の個人情報記憶部から取得して、車両側（個人情報データ記憶器２１）に登録する。

【0023】

なお、車両の「使用終了時」は、車両の様々な使用形態や、個人情報保護の内容・レベル等によって異なる。たとえば車両から離れる際に個人情報保護を行う場合は、エンジンの停止や電源オフのタイミング（一旅程の完了）などが「使用終了時」となる。また、車両の所有者が変わる際に個人情報保護を行う場合、レンタカーやシェアカーでは、車両の返却手続完了時のタイミングなどが「使用終了時」となり、オーナーカーでは車両売却（譲渡）時等における車両の引き渡しのタイミングなどが「使用終了時」となる。

【0024】

同様に、車両の「使用開始時」も、車両の様々な使用形態や、個人情報保護の内容・レベル等によって異なる。車両から離れる際に個人情報保護を行う場合は、エンジンの始動や電源オンのタイミング（一旅程の開始）などが「使用開始時」となる。

【0025】

また、車両の所有者が変わる際に個人情報保護を行う場合、レンタカーやシェアカーでは、車両の貸し受け後の最初のエンジンの始動のタイミング（一旅程の開始）などが「使用開始時」となり、オーナーカーでは車両の購入（譲受）時等における納車後の最初のエンジンの始動のタイミング（一旅程の開始）などが「使用開始時」となる。なお、これらの場合、過去の利用車両で使用した最新の個人情報を、「使用開始時」のタイミングで改めて外部の個人情報記憶部から取得して、車両側（個人情報データ記憶器２１）に登録することになる。

【0026】

なお、個人情報の削除タイミングおよび登録タイミングの違いを含めた制御内容については、図５を用いた説明で後述する。

【0027】

このような実施形態に係る個人情報保護方法によれば、適切に個人情報を保護することができる。以下、実施形態に係る個人情報保護システム１の構成例について、より具体的に説明する。

【0028】

図２は、実施形態に係る個人情報保護システム１の構成例を示す図である。個人情報保護システム１は、車載装置１０と、ユーザデバイス３０と、個人情報管理サーバ１００の他、レンタカー管理サーバ３００と、シェアカー管理サーバ５００と、車両売買管理サーバ７００と、サービス端末９００とを含む。

【0029】

レンタカー管理サーバ３００、シェアカー管理サーバ５００および車両売買管理サーバ７００はそれぞれ、車両管理装置の一例に相当する。

【0030】

レンタカー管理サーバ３００は、レンタカーの運行を管理する装置であり、たとえばカーレンタル事業者によって運用される。シェアカー管理サーバ５００は、シェアカーの運行を管理する装置であり、たとえばカーシェアリング事業者によって運用される。車両売買管理サーバ７００は、車両の売買を管理する装置であり、たとえば車両売買事業者によって運用される。

【0031】

サービス端末９００は、カーレンタル事業者、カーシェアリング事業者および車両売買事業者によって提供される保守サービスなどのサービス用端末である。

【0032】

車載装置１０と、ユーザデバイス３０と、個人情報管理サーバ１００と、レンタカー管理サーバ３００と、シェアカー管理サーバ５００と、車両売買管理サーバ７００とは、インターネットや携帯電話回線網等で構成されるネットワークＮを介して相互に通信可能に接続される。

【0033】

また、車載装置１０と、ユーザデバイス３０とは、Ｂｌｕｅｔｏｏｔｈ（登録商標）等による近距離無線通信や、ＵＳＢ（Universal Serial Bus）接続通信等による直接通信が可能である。車載装置１０とサービス端末９００も、同様の直接通信が可能である。

【0034】

次に、図３は、実施形態に係る車載装置１０の構成例を示すブロック図である。なお、図３および後にブロック図として示す図６，８，１８では、本実施形態の特徴を説明するために必要な構成要素のみを表しており、一般的な構成要素についての記載を省略している。

【0035】

換言すれば、図３、図６、図８および図１８に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

【0036】

また、図３、図６、図８および図１８を用いた説明では、既に説明済みの構成要素については、説明を簡略するか、説明を省略する場合がある。

【0037】

図３に示すように、実施形態に係る車載装置１０には、車両に適宜設置されたＩＧ（Ignition）スイッチ１１と、車載センサ１２と、カメラ１３と、ＨＭＩ（Human Machine Interface）部１４とが接続される。そして、車載装置１０は、第１通信部１５と、第２通信部１６と、記憶部１７と、制御部１８とを有する。また、車載装置１０には、各種車両機器２６が接続され、車載装置１０は、これら車両機器２６を制御、あるいは車両機器２６との間でデータ通信を行う。

【0038】

ＩＧスイッチ１１は、車両の電源系統の制御（電源供給・遮断）用およびエンジンの始動／停止用のスイッチである。車載センサ１２は、車両に搭載される各種のセンサである。カメラ１３は、フロントガラスやリアガラス、サイドミラー、ダッシュボード等の車両の各所に取り付けられ、車両の内外を撮影する。

【0039】

ＨＭＩ部１４は、ユーザに対する入力および出力に関するインターフェイス部品を提供する構成要素である。ＨＭＩ部１４は、ユーザからの入力操作を受け付ける入力インターフェイスを含む。入力インターフェイスは、たとえばタッチパネルによって実現される。なお、入力インターフェイスは、キーボードや、マウスや、ペンタブレットや、マイク等によって実現されてもよい。また、入力インターフェイスは、ソフトウェア部品によって実現されてもよい。

【0040】

また、ＨＭＩ部１４は、ユーザに対して画像情報や音声情報を提示する出力インターフェイスを含む。出力インターフェイスは、たとえばディスプレイやスピーカ等によって実現される。

【0041】

第１通信部１５は、ネットワークアダプタ等によって実現される。第１通信部１５は、ネットワークＮと無線で接続され、ネットワークＮを介して、個人情報保護システム１に含まれる他の装置との間で情報の送受信を行う。

【0042】

第２通信部１６は、ネットワークアダプタ等によって実現される。第２通信部１６は、ユーザデバイス３０またはサービス端末９００との間で近距離無線通信あるいは有線通信を行い、ユーザデバイス３０またはサービス端末９００との間で情報の送受信を行う。

【0043】

記憶部１７は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の記憶デバイスによって実現される。図３の例では、記憶部１７は、車両種別情報記憶部１７ａと、個人情報データ記憶部１７ｂと、個人情報制御情報記憶部１７ｃと、退避先情報記憶部１７ｄとを、その記憶領域に有する。

【0044】

車両種別情報記憶部１７ａは、使用形態の違いによる車両の種別に関する車両種別情報を記憶する。車載装置１０を搭載する車両がオーナーカーである場合、車両種別情報記憶部１７ａには、オーナーカーであることを示す車両種別情報が登録される。同様に、車両がレンタカーやシェアカーである場合、車両種別情報記憶部１７ａには、レンタカーやシェアカーであることを示す車両種別情報が登録される。他にも、車両がタクシーのような輸送車両である場合、車両種別情報記憶部１７ａには、輸送車両であることを示す車両種別情報が登録される。

【0045】

個人情報データ記憶部１７ｂは、図１に示した個人情報データ記憶器２１に相当する。個人情報データ記憶部１７ｂは、ユーザの個人情報の集合体である個人情報群のデータを記憶する。図４は、個人情報データ記憶部１７ｂに記憶されるデータの一例を示す図である。図４に示すように、個人情報データ記憶部１７ｂに記憶される個人情報は、たとえば個人自身や個人の所有物や行動等に関するデータ内容として、電話番号や、メールアドレス、ショートメール、ＳＮＳ（Social Network Service）チャット、コンテンツ視聴履歴、コンテンツプレイリスト、ペアリング情報（Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信における接続先機器に関する情報）、自宅の住所などが挙げられる。

【0046】

また、車両の使用（移動）に関する履歴関連として、目的地の履歴や、走行履歴などが挙げられる。また、車両の設定関連として、シート設定値や、ハンドル設定値、走行モード等が挙げられる。また、ドライブレコーダ関連として、記録映像、記録音声などが挙げられる。個人情報データ記憶部１７ｂには、図４に示したこれら個人情報の各データが格納される。

【0047】

図３の説明に戻る。個人情報制御情報記憶部１７ｃは、車両種別情報に応じた個人情報の削除および登録の制御に関する制御内容や制御対象条件である個人情報制御情報を記憶する。ここで、図５を用いて、かかる制御内容について説明する。

【0048】

図５は、個人情報制御情報記憶部１７ｃに記憶される個人情報制御情報の一例を示す図である。個人情報制御情報は、車両種別ごとの各種情報の削除および登録に関する制御内容を記憶するデータテーブルとして構成される。個人情報制御情報記憶部１７ｃには、図５に示した個人情報制御データテーブルが構成されており、このデータテーブルに各制御内容に対応する制御データが記憶されることとなる。

【0049】

具体的に、個人情報制御情報は、「車両種別」が所謂主キーとなっており、「車両種別」が識別キーとなるデータレコードにおける各データ項目欄に、個人情報の各カテゴリの削除タイミングおよび登録タイミングの条件を示すデータが記憶される構成（「個人データ関連（削除タイミング条件）」、「履歴関連（削除タイミング条件）」、「設定関連（削除タイミング条件）」、「ドライブレコーダ関連（削除タイミング条件）」、および「個人データ関連（登録タイミング条件）」、「履歴関連（登録タイミング条件）」、「設定関連（登録タイミング条件）」、「ドライブレコーダ関連（登録タイミング条件）」）となっている。

【0050】

具体的には、図５のデータテーブル例では、「車両種別」に対するオーナーカー、レンタカー、シェアカー、および輸送車両の各データレコードに、当該車両種別に対応する「個人データ関連（削除タイミング条件）」、「履歴関連（削除タイミング条件）」、「設定関連（削除タイミング条件）」、「ドライブレコーダ関連（削除タイミング条件）」、および「個人データ関連（登録タイミング条件）」、「履歴関連（登録タイミング条件）」、「設定関連（登録タイミング条件）」、「ドライブレコーダ関連（登録タイミング条件）」の各データが記憶される。

【0051】

そして、このデータテーブルのデータは、車両メーカ等により開発・設計等で求められた適当なデータが予め登録されている。また、車両オーナ等が車両の使用形態等に応じて適宜設定できるように、このデータテーブルのデータは、車両オーナ等によるマニュアル操作により更新できるようになっている。なお、データテーブルのデフォルトのデータを別途記憶しておき、車両オーナ等によるマニュアル操作によるデフォルトデータの登録指示により、記憶されているデフォルトのデータでこのデータテーブルのデータを更新（デフォルトのデータへの復帰）できるようにすることが好ましい。

【0052】

なお、図５の削除タイミングおよび登録タイミング欄の「個人データ関連」、「履歴関連」、「設定関連」、「ドライブレコーダ関連」は、図４に示した個人情報の各カテゴリに対応している。

【0053】

次に、個人情報制御情報における具体的なデータ例の内容について説明する。車両種別がオーナーカーである場合、図５に示すように、「個人データ関連」の個人情報の削除タイミングは、エンジン停止または電源オフ時となる。また、「履歴関連」および「設定関連」の個人情報の削除タイミングも、エンジン停止または電源オフ時となる。これら情報は、車両使用中に用いられる情報である点と、またデータ容量が小さくユーザデバイス３０等への情報退避が容易（現実的に可能）であることから、エンジン停止または電源オフ時を個人情報の削除タイミングとしている。なお、「履歴関連」および「設定関連」は個人情報としての特性はやや低く（直接、個人および特性を特定するものではない）、秘匿要求度はやや低いものとなるので、＊１に示すように、エンジン停止または電源オフ時における「履歴関連」および「設定関連」の個人情報の削除は、他の条件、たとえば車両売却時、長時間車両を利用しなかった場合、マニュアルによる削除操作のタイミングで行うようにしてもよい。

【0054】

また、「ドライブレコーダ関連」の個人情報の削除タイミングは、ドライブレコーダに記録された情報の重要度に応じて決められた期間の経過時となる。つまり、ドライブレコーダ関連情報は、運転状況や事故の確認等、車両運転終了後の利用が多く、車両運転終了後もしばらくは残しておく必要性があるため、上述のようなタイミングが削除タイミングとして好ましい。そして、たとえば、急激な加速度（衝突等の発生の可能性が高い）があった場合、ユーザによる映像記録保護操作があった場合、走行時間帯に走行経路で事故等が発生した旨の情報を得た場合、等においては、「ドライブレコーダ関連」の個人情報の記録が車両運転終了後も比較的長時間保持されるようにする。

【0055】

また、車両種別がオーナーカーである場合、「個人データ関連」、「履歴関連」および「設定関連」の個人情報の登録タイミングは、使用開始検出時となる。つまり、オーナーカーである場合、これらの個人情報は、車両使用時に用いられる情報であるため、使用開始検出時における最新の個人情報の登録が好ましい。なお、使用開始検出時は、電源オンまたはエンジン始動、ユーザデバイス３０との近距離無線通信を介してユーザの接近を検出した場合、等となる。「ドライブレコーダ関連」は、ドライブレコーダからドライブレコーダ動作中に送信される情報であるので、登録タイミング情報の登録対象とはならない。

【0056】

なお、上述のタイミングでこれら個人情報の取得が無い場合、たとえば電源オンまたはエンジン始動にユーザデバイス３０等から個人情報が取得できなかった場合は、個人情報制御情報記憶部１７ｃに対する各個人情報の新たな登録は行われず、既登録分の個人情報が記憶された状態、あるいは個人情報が記憶されていない状態（既登録分の個人情報が記録されていない場合）となる。

【0057】

次に、車両種別がレンタカーである場合の、個人情報制御情報における具体的なデータ例の内容について説明する。車両種別がレンタカーである場合、個人情報の削除タイミングは、カテゴリを問わず返却手続き完了時が好ましい。すなわち、レンタカーの場合、貸出期間だけ車両が借主の所有および使用となるので、個人情報は当該貸出期間に使用されることとなる。また、レンタカーの車両管理の面を考慮すると、車両が返却されるまでは、車両借主を特定する「個人データ関連」の個人情報や、車両の破損や事故等に関係する情報である「履歴関連」および「ドライブレコーダ関連」の個人情報は、その記録を維持する必要性がある。したがって、レンタカーの場合は、当該貸出期間のみ借主に関する個人情報の記憶を維持する。

【0058】

なお、「ドライブレコーダ関連」は、警察等の公的機関等から撮影画像等の提供要請（たとえば、周辺で発生した事件・事故の調査資料として）がある場合があるので、記録の維持期間を貸出期間の後、予め定めた期間経過した時点で、データを削除する方法も有効である。なお、レンタカー利用者であるユーザの個人情報は、これら個人情報の削除前に、個人情報管理サーバ１００またはユーザデバイス３０へ退避される。

【0059】

また、車両種別がレンタカーである場合、「個人データ」および「設定関連」の個人情報の登録タイミングは、これら個人情報が当該貸出期間に使用されることとなるため、貸出手続完了時または貸出手続完了後の最初の使用開始検出時が好ましい。なお、使用開始検出時は、電源オンまたはエンジン始動、ユーザデバイス３０との近距離無線通信を介してユーザの接近を検出した場合、等となる。また、「履歴関連」および「ドライブレコーダ関連」は、車両の走行開始後にナビゲーション装置やドライブレコーダから送信される情報であるので、登録タイミング情報の登録対象とはならない。

【0060】

次に、車両種別がシェアカーである場合の、個人情報制御情報における具体的なデータ例の内容について説明する。車両種別がシェアカーである場合、個人情報の削除タイミングは、カテゴリを問わず返却手続き完了時が好ましい。すなわち、シェアカーの場合、貸出期間だけ車両が借主の所有および使用となるので、個人情報は当該貸出期間に使用されることとなる。また、カーシェアリングの場合、貸出から返却まで事業者が介在せずに手続きが可能なため、シェアカーの車両管理の面を考慮すると、＊２に示すように、カーシェアリング事業者が返却後における車両の状態を確認するまでは、車両借主を特定する「個人データ関連」の個人情報や、車両の破損や事故等に関係する情報である「履歴関連」および「ドライブレコーダ関連」の個人情報は、その記録を維持する必要性がある。したがって、シェアカーの場合は、カーシェアリング事業者からみた車両の貸出期間（貸出開始から返却後の車両状態確認まで）のみ借主に関する個人情報の記憶を維持する。

【0061】

なお、「ドライブレコーダ関連」は、警察等の公的機関等から撮影画像等の提供要請（たとえば、周辺で発生した事件・事故の調査資料として）がある場合があるので、記録の維持期間を貸出期間の後、予め定めた期間経過した時点で、データを削除する方法も有効である。

【0062】

また、シェアカー利用者であるユーザの個人情報は、これら個人情報の削除前に、個人情報管理サーバ１００またはユーザデバイス３０へ退避される。また、車両種別がシェアカーである場合、登録対象情報および登録タイミングについては、レンタカーの場合と同様に、「個人データ関連」および「設定関連」の個人情報を貸出手続完了時または貸出手続完了後の最初の使用開始検出時に登録するのが好ましい。

【0063】

次に、車両種別が輸送車両である場合の、個人情報制御情報における具体的なデータ例の内容について説明する。車両種別が輸送車両である場合、「個人データ関連」および「設定関連」の個人情報の削除タイミングは、エンジン停止または電源オフ時が好ましい。

【0064】

また、「履歴関連」および「ドライブレコーダ関連」の個人情報の削除タイミングは、当該車両を所有する、あるいは運転手を管理する輸送事業者の管理者によるこれら情報の確認完了時が好ましい。つまり、輸送車両の場合、これらの個人情報は、たとえば、安全運転実行の確認、適切な運行ルート走行の確認のための運転者の運転状況確認（運行管理）のために重要であるためである。

【0065】

なお、「ドライブレコーダ関連」は、警察等の公的機関等から撮影画像等の提供要請がある場合があるので、輸送事業者の管理者によるこれら情報の確認完了後、予め定めた期間経過した時点で、データを削除する方法も有効である。

【0066】

また、車両種別が輸送車両である場合、「個人データ関連」および「設定関連」の個人情報の登録タイミングは、車両の使用開始検出時が好ましい。つまり、輸送車両の場合、車両の使用毎に運転手が変わる場合が多い（特に多数の車両、運転手（従業員）を有する運輸業者の場合）ので、車両の使用開始検出時で「個人データ関連」および「設定関連」の個人情報を登録するのが好ましい。なお、使用開始検出時は、電源オンまたはエンジン始動、ユーザデバイス３０との近距離無線通信を介してユーザの接近を検出した場合、等となる。また、「履歴関連」および「ドライブレコーダ関連」の個人情報は、ドライブレコーダからドライブレコーダ動作中に送信される情報であるので、登録タイミング情報の登録対象とはならない。

【0067】

図３の説明に戻る。退避先情報記憶部１７ｄは、退避先となる個人情報記憶部に相当する装置に関する情報であり、当該装置（たとえば、個人情報管理サーバ１００またはユーザデバイス３０）のネットワークアドレス等の接続するための情報を含む。

【0068】

制御部１８は、コントローラ（controller）であり、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、記憶部１７に記憶されている各種プログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１８は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現することができる。

【0069】

制御部１８は、切替部１８ａと、検出部１８ｂと、削除処理部１８ｃと、登録処理部１８ｄと、送受信部１８ｅと、認証部１８ｆと、車両機器制御部１８ｇとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

【0070】

切替部１８ａは、車両種別情報記憶部１７ａに記憶された車両種別情報に応じて個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報の該当するデータレコードを選択し、当該データレコードにおける各制御データを処理に用いる制御データとして設定することによって、削除処理部１８ｃの動作モードおよび登録処理部１８ｄの動作モードを切り替える。

【0071】

検出部１８ｂは、ＩＧスイッチ１１や車載センサ１２、カメラ１３、第１通信部１５、第２通信部１６からの入力に基づいて車両の使用終了時または使用開始時を検出する。すなわち、検出部１８ｂは、個人情報制御情報に基づいて設定される各種個人情報の削除条件および登録条件が満たされるか否かを、上述のＩＧスイッチ１１や車載センサ１２等の入力に基づき判断し、各種個人情報の削除タイミングまたは登録タイミングを検出する。

【0072】

削除処理部１８ｃは、検出部１８ｂによって各種個人情報の削除タイミングが検出された場合に、該当する各種個人情報について、図１のステップＳ１，Ｓ２で示した削除処理を実行する。登録処理部１８ｄは、検出部１８ｂによって各種個人情報の登録タイミングが検出された場合に、図１のステップＳ３，Ｓ４で示した登録処理を実行する。

【0073】

送受信部１８ｅは、削除処理および登録処理において行われる、個人情報管理サーバ１００あるいはユーザデバイス３０等との間のデータの送受信処理を実行する。認証部１８ｆは、車両種別がシェアカーである場合に、第２通信部１６によって読み取られたユーザデバイス３０からのユーザの認証情報を取得し、かかる認証情報に基づいて、ユーザを車両の正規の使用者として認証する認証処理を実行する。

【0074】

車両機器制御部１８ｇは、車両に搭載されて車両に関する各種機能を実現する車両機器２６を制御する、あるいは車両機器２６とのデータ通信（情報をやり取り）を実行する。つまり、車両機器制御部１８ｇは、記憶部１７（個人情報データ記憶部１７ｂ）に記憶された個人情報データに基づき車両機器２６を制御する。また、車両機器制御部１８ｇは、車両機器２６が制御に用いる個人情報データを記憶部１７（個人情報データ記憶部１７ｂ）から抽出して車両機器２６へ提供する。また、車両機器制御部１８ｇは、車両機器２６の調整値（ユーザ操作により調整された制御値等）を取得して記憶部１７（個人情報データ記憶部１７ｂ）に記憶された個人情報データとして登録あるいは更新する。車両機器制御部１８ｇは、このような各種の制御や処理を実行する。

【0075】

次に、個人情報管理サーバ１００の構成例について説明する。図６は、実施形態に係る個人情報管理サーバ１００の構成例を示すブロック図である。図６に示すように、実施形態に係る個人情報管理サーバ１００は、通信部１０１と、記憶部１０２と、制御部１０３とを有する。

【0076】

通信部１０１は、ネットワークアダプタ等によって実現される。通信部１０１は、ネットワークＮと有線または無線で接続され、ネットワークＮを介して、車載装置１０との間で情報の送受信を行う。

【0077】

記憶部１０２は、ＲＡＭ、フラッシュメモリ、ハードディスク、光ディスク等の記憶デバイスによって実現される。また、記憶部１０２には個人情報ＤＢ１０２ａが形成されている。上述したように、個人情報ＤＢ１０２ａは、各車両を使用するユーザごとの個人情報データを格納するデータベースである。

【0078】

図７は、個人情報ＤＢ１０２ａの一例を示す図である。図７に示すように、「ユーザＩＤ」はユーザを識別するコードで、個人情報データの主コードの働きを持つ。つまり、ユーザＩＤ毎にユーザＩＤで識別されるデータレコードが生成され、当該データレコードに各種の個人情報データが記憶されることになる。

【0079】

「個人データ関連情報」には、図４に示したような個人データ関連情報における各データ項目のデータが記憶されることになる。なお、図７においては、「個人データ関連情報」における各データ項目をまとめた形（１つの枠）で表示しているが、各データ項目のデータは分離・識別できる形で記憶されている。また、「個人データ関連情報」のデータは、ユーザによる個人データ関連情報の更新操作（たとえば、メールアドレスの変更操作、等）により、更新されることになる。

【0080】

「設定関連情報」には、図４に示したような設定関連情報における各データ項目のデータが記憶されることになる。なお、図７においては、「設定関連情報」における各データ項目をまとめた形（１つの枠）で表示しているが、各データ項目のデータは分離・識別できる形で記憶されている。また、「設定関連情報」のデータは、ユーザによる設定の変更操作に伴い変更される設定情報（たとえば、シート位置を変更した際の変更後のシート位置情報、等）により、更新されることになる。

【0081】

「履歴関連情報」には、図４に示したような履歴関連情報における各データ項目のデータが記憶されることになる。「履歴関連情報」については、旅程毎に情報が生成されることになるので、ユーザＩＤで識別されるデータレコードにおける履歴関連情報の記憶部分を細分化した形式の小データレコードを設け、当該小データレコードに各旅程の履歴関連情報を記憶する形式となる。なお、「履歴関連情報」を「ユーザＩＤ」でリンクした別データベースとする形式とすることも可能である。具体的には、旅程毎に小データレコードが生成され、「履歴ＩＤ」に履歴を識別する履歴コードが記憶される。「履歴ＩＤ」は小データレコードの主コードの働きも行う。そして、当該旅程に関する各履歴関連情報データが「履歴関連情報本体」に記憶される。なお、図７においては、「履歴関連情報本体」における各データ項目をまとめた形（１つの枠）で表示しているが、各データ項目のデータは分離・識別できる形で記憶されている。また、「履歴関連情報」は蓄積されていくことになるが、記録から予め定めた所定期間経過後に消去する、同様の履歴（出発地点と目的地点が同じ等）が発生した際に消去する、等、適宜消去するのが望ましい。

【0082】

「ドライブレコーダ関連情報」には、図４に示したようなドライブレコーダ関連情報における各データ項目のデータが記憶されることになる。「ドライブレコーダ関連情報」についても、旅程毎に情報が生成されることになるので、ユーザＩＤで識別されるデータレコードにおけるドライブレコーダ関連情報の記憶部分を細分化した形式の小データレコードを設け、当該小データレコードに各旅程のドライブレコーダ関連情報を記憶する形式となる。なお、「ドライブレコーダ関連情報」を「ユーザＩＤ」でリンクした別データベースとする形式とすることも可能である。具体的には、旅程毎に小データレコードが生成され、「ドライブレコードＩＤ」にドライブレコーダ関連情報（どの旅程のデータか）を識別するドライブレコードコードが記憶される。「ドライブレコードＩＤ」は小データレコードの主コードの働きも行う。そして、当該旅程に関する各ドライブレコーダ関連情報データが「ドライブレコーダ関連情報本体」に記憶される。なお、図７においては、「ドライブレコーダ関連情報本体」における各データ項目をまとめた形（１つの枠）で表示しているが、各データ項目のデータは分離・識別できる形で記憶されている。また、「ドライブレコーダ関連情報」は蓄積されていくことになるが、記録から予め定めた所定期間経過後に消去する、同様の履歴（出発地点と目的地点が同じ等）が発生した際に消去する、等、適宜消去するのが望ましい。

【0083】

図６の説明に戻る。制御部１０３は、上述した制御部１８と同様のコントローラであり、ＣＰＵやＭＰＵ等によって、記憶部１０２に記憶されている各種プログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１０３は、ＡＳＩＣやＦＰＧＡ等の集積回路により実現することができる。

【0084】

制御部１０３は、取得部１０３ａと、保存部１０３ｂと、抽出部１０３ｃと、送信部１０３ｄとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

【0085】

取得部１０３ａは、通信部１０１を介し、車載装置１０からの退避要求や退避対象である個人情報データ、車載装置１０からの登録要求を取得する。保存部１０３ｂは、取得部１０３ａが車載装置１０から退避要求および退避対象である個人情報データを取得した場合に、該当の個人情報データを個人情報ＤＢ１０２ａへ保存（情報種別に応じて更新、蓄積）する。

【0086】

抽出部１０３ｃは、取得部１０３ａが車載装置１０から登録要求を取得した場合に、かかる登録要求に基づき、車載装置１０への登録対象となる個人情報データを個人情報ＤＢ１０２ａから抽出する。

【0087】

送信部１０３ｄは、抽出部１０３ｃによって抽出された個人情報データを、通信部１０１を介し、該当の車載装置１０へ向けて送信する。また、送信部１０３ｄは、個人情報データの退避要求または登録要求に対する各種の応答情報を該当の車載装置１０へ向けて送信する。

【0088】

次に、図８は、実施形態に係るユーザデバイス３０の構成例を示すブロック図である。図８に示すように、ユーザデバイス３０は、ＨＭＩ部３１と、通信部３２と、記憶部３３と、制御部３４とを有する。

【0089】

ＨＭＩ部３１は、ユーザに対する入力および出力に関するインターフェイス部品を提供する構成要素であり、上述したＨＭＩ部１４と同様の構成であるため、ここでの説明は省略する。なお、ＨＭＩ部３１の形状、大きさ、性能等は、ユーザデバイス３０の形状、大きさ、要求される性能に応じたものとなる。

【0090】

通信部３２は、ネットワークアダプタ等によって実現される。通信部３２は、ネットワークＮと無線で接続され、ネットワークＮを介して、車載装置１０との間で情報の送受信を行う。また、通信部３２は、車載装置１０と近距離無線通信で接続され、車載装置１０との間で情報の送受信を行う。

【0091】

記憶部３３は、ＲＡＭ、フラッシュメモリ等の記憶デバイスによって実現され、各種データの記憶、プログラム実行に伴うプログラムの記憶（展開）や処理中に生成されるデータの一時記憶等に用いられる。また、記憶部３３は、アプリ情報記憶部３３ａと、個人情報データ記憶部３３ｂとが設けられ、それぞれアプリ情報と個人情報データを記憶する。アプリ情報は、制御部３４が実行する個人情報保護システム１に係る専用アプリのプログラム等を含む。個人情報データ記憶部３３ｂは、車載装置１０から退避要求を受け付けた場合に、車載装置１０から送信される個人情報データを退避記憶する。なお、個人情報データ記憶部３３ｂは、ユーザデバイス３０の電源がオフとなった際等でもデータが保持されるように、例えば、フラッシュメモリ等の書き換え可能な不揮発性メモリを用いる構成や、バックアップ電源を付加した構成が取られる。

【0092】

制御部３４は、上述した制御部１８および制御部１０３と同様のコントローラであり、ＣＰＵやＭＰＵ等によって構成され、これらＣＰＵやＭＰＵ等が記憶部３３に記憶されている各種プログラムを、ＲＡＭを作業領域として実行することにより実現される。また、制御部３４は、ＡＳＩＣやＦＰＧＡ等の集積回路により実現することができる。

【0093】

制御部３４は、アプリ実行部３４ａと、送受信部３４ｂとを有し、以下に説明する情報処理の機能や作用を実現する。

【0094】

アプリ実行部３４ａは、アプリ情報記憶部３３ａから前述の専用アプリのプログラムを読み込んで実行し、当該アプリの各種機能を実現する。具体的には、アプリ実行部３４ａは、ＨＭＩ部３１を介したユーザの操作による操作データ入力と当該操作データに基づく各種処理、ＨＭＩ部３１を介した各種情報、映像情報や音声情報の出力を行う。

【0095】

また、アプリ実行部３４ａは、送受信部３４ｂを介し、アプリの実行における対車載装置１０との情報の送受信を行う。具体的には、アプリ実行部３４ａは、車載装置１０から退避要求を受け付けた場合に、車載装置１０から送信される個人情報データを個人情報データ記憶部３３ｂに退避記憶する。また、アプリ実行部３４ａは、車載装置１０から登録要求を受け付けた場合に、個人情報データ記憶部３３ｂから該当する個人情報データを抽出し、送受信部３４ｂを介して車載装置１０に抽出した個人情報データを送信する。

【0096】

なお、制御部３４は、車載装置１０から退避要求あった個人情報データが当該ユーザデバイス３０（携帯端末装置）の所有者の個人情報であるかを判断し、ユーザデバイス３０（携帯端末装置）の所有者の個人情報である場合に、上述の退避記憶処理を行う。具体的には、車載装置１０とユーザデバイス３０とで送受信される個人情報データにユーザデバイス３０を識別できるデータ（ユーザデバイス３０の識別データ、所有者の個人コード等）を含ませ、またユーザデバイス３０にはこれら識別用のデータ（ユーザデバイス３０の識別データ、所有者の個人コード等）を記憶しておいて、制御部３４はこれらの送受信された識別用のデータおよびユーザデバイス３０に記憶された識別用のデータを照合する。そして制御部３４は、この照合結果に基づき、車載装置１０から退避要求のあった個人情報データが当該ユーザデバイス３０（携帯端末装置）の所有者の個人情報であるかを判断する。

【0097】

送受信部３４ｂは、アプリ実行部３４ａの指示に基づき、通信部３２を介して、アプリの実行における対車載装置１０との情報の送受信を行う。

【0098】

次に、個人情報の基本的な削除処理における車載装置１０と個人情報管理サーバ１００またはユーザデバイス３０の処理シーケンスについて説明する。図９は、個人情報の基本的な削除処理における車載装置１０と、個人情報管理サーバ１００またはユーザデバイス３０の処理シーケンスを示す図である。

【0099】

図９に示すように、車載装置１０（制御部１８）は、個人情報制御情報記憶部１７ｃに記憶された自車両の種別に該当する個人情報制御情報に基づき、個人情報の削除タイミングを検出すると（ステップＳ１１）、個人情報管理サーバ１００またはユーザデバイス３０に対し、当該個人情報制御情報に基づき退避要求および退避対象となる個人情報データを送信する（ステップＳ１２）。

【0100】

そして、車載装置１０から送信された退避要求を受信した個人情報管理サーバ１００（制御部１０３）またはユーザデバイス３０（制御部３４）は、車載装置１０から送信された退避対象の個人情報データを個人情報ＤＢ１０２ａに、または個人情報データ記憶部３３ｂに保存する（ステップＳ１３）。

【0101】

なお、個人情報管理サーバ１００への個人情報の退避要求の場合、車載装置１０から送信される個人情報データにはユーザを識別するユーザＩＤデータが含まれ、個人情報ＤＢ１０２ａにおける当該ユーザＩＤデータのデータレコードに車載装置１０からの個人情報データが記憶されることになる。また、ユーザデバイス３０への個人情報の退避要求の場合、当該個人情報データの対象であるユーザのユーザデバイス３０に車載装置１０から当該個人情報データが送信され、ユーザデバイス３０の個人情報データ記憶部３３ｂに当該個人情報データが記憶されることになる。

【0102】

そして、個人情報管理サーバ１００またはユーザデバイス３０は、車載装置１０に対し、個人情報データの退避が完了したことを示す完了通知を送信する（ステップＳ１４）。

【0103】

そして、車載装置１０は、かかる完了通知を受信すると、車載装置１０の個人情報データ記憶部１７ｂに記憶されている個人情報データを削除する（ステップＳ１５）。

【0104】

次に、個人情報の基本的な登録処理における車載装置１０と個人情報管理サーバ１００またはユーザデバイス３０の処理シーケンスについて説明する。図１０は、個人情報の基本的な登録処理における車載装置１０と、個人情報管理サーバ１００またはユーザデバイス３０の処理シーケンスを示す図である。

【0105】

図１０に示すように、車載装置１０（制御部１８）は、個人情報制御情報記憶部１７ｃに記憶された自車両の種別に該当する個人情報制御情報に基づき、個人情報の登録タイミングを検出すると（ステップＳ２１）、個人情報管理サーバ１００またはユーザデバイス３０に対し、登録要求を送信する（ステップＳ２２）。

【0106】

そして、車載装置１０から送信された登録要求を受信した個人情報管理サーバ１００（制御部１０３）またはユーザデバイス３０（制御部３４）は、車載装置１０から送信された登録要求対象の個人情報データを個人情報ＤＢ１０２ａから、または個人情報データ記憶部３３ｂから抽出する（ステップＳ２３）。

【0107】

なお、個人情報管理サーバ１００への個人情報の登録要求の場合、車載装置１０から送信される登録要求には個人情報の対象ユーザを識別するユーザＩＤデータが含まれ、個人情報ＤＢ１０２ａにおける当該ユーザＩＤデータのデータレコードからの個人情報データが抽出されることになる。また、ユーザデバイス３０への個人情報の登録要求の場合、当該個人情報データの対象であるユーザのユーザデバイス３０に車載装置１０から当該登録要求が送信され、当該ユーザデバイス３０の個人情報データ記憶部３３ｂに記憶された個人情報データが抽出されることになる。

【0108】

そして、個人情報管理サーバ１００またはユーザデバイス３０は、車載装置１０に対し、抽出した個人情報データを送信する（ステップＳ２４）。

【0109】

そして、車載装置１０は、かかる個人情報データを受信すると、個人情報データ記憶部１７ｂに当該個人情報データを登録する（ステップＳ２５）。

【0110】

図１１は、登録処理におけるユーザデバイス３０のアプリ画面例を示す図である。当該アプリは、個人情報の利用、更新等を行いたい場合に、車両使用前にユーザが起動することになる。なお、レンタカーやシェアカーの場合は、レンタカーやシェアカーの予約・貸し出し等を行うアプリに組み込むことにより、車両使用前にユーザが起動することになるので好適なものとなる。

【0111】

図１０のステップＳ２２の登録要求を車載装置１０から受けた場合、ユーザデバイス３０（制御部３４）は、図１１に示すような個人情報の登録の可否を問うアプリ画面を表示する。

【0112】

そして、ユーザがかかるアプリ画面において「はい」を選択し、「送信」ボタンをタップすると、ユーザデバイス３０は図１０のステップＳ２３（個人情報データ記憶部３３ｂからの抽出）およびステップＳ２４（抽出した個人情報データの車載装置１０への送信）を実行する。一方、ユーザが「いいえ」を選択し、「送信」ボタンをタップすると、ユーザデバイス３０は図１０のステップＳ２３，Ｓ２４を実行することとなく、登録要求をキャンセルする。なお、この場合、ユーザデバイス３０は、車載装置１０に対し登録要求をキャンセルする旨の情報を送信し、車載装置１０では登録要求がキャンセルされた旨の報知（表示等）を行うのが好ましい。これにより、ユーザは、車両の使用開始時において、自身の個人情報データを車両（車載装置１０）に登録するか否かを任意に選択することができる。

【0113】

次に、削除処理のいくつかの変形例の処理シーケンスについて説明する。図１２は、第１の変形例に係る削除処理における車載装置１０とレンタカー管理サーバ３００の処理シーケンスを示す図である。また、図１３は、第２の変形例に係る削除処理における車載装置１０と、レンタカー管理サーバ３００およびサービス端末９００の処理シーケンスを示す図である。

【0114】

第１の変形例および第２の変形例は、レンタカーの返却手続完了が削除タイミングとなる例である。第２の変形例は、サービス端末９００が介在する点が第１の変形例とは異なる。

【0115】

図１２に示すように、レンタカー管理サーバ３００においてレンタカーの返却手続が完了すると（ステップＳ３１）、例としてレンタカー営業所の職員がレンタカー管理サーバ３００に接続された端末を操作してレンタカーの返却手続完了の操作を行う。すると、レンタカー管理サーバ３００（レンタカー管理サーバ３００の制御部）はネットワークＮを介し、返却されたレンタカーの車載装置１０へ個人情報の削除要求を送信する（ステップＳ３２）。

【0116】

車載装置１０（制御部１８）は、レンタカー管理サーバ３００からの削除要求を受けて個人情報データ記憶部１７ｂに記憶された個人情報データを削除する（ステップＳ３３）。なお、上述したように、個人情報データにおける各種データの削除タイミングは図５に示した個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報に基づき決定される。そして、車載装置１０は、レンタカー管理サーバ３００へ向けて完了通知を送信する（ステップＳ３４）。

【0117】

あるいは、図１３に示すように、レンタカー管理サーバ３００は、レンタカーの返却手続が完了すると（ステップＳ４１）、ネットワークＮを介し、サービス端末９００へ返却されたレンタカーに対する個人情報データの削除指示を送信する（ステップＳ４２）。なお、この削除指示には、個人情報データを削除する対象となるレンタカーを識別するためのデータと通信接続するための通信接続データ（端末アドレス等）が含まれる。

【0118】

サービス端末９００は、これを受けて、ネットワークＮまたは近距離無線通信などを介し、返却されたレンタカーの車載装置１０へ個人情報データの削除要求を送信する（ステップＳ４３）。

【0119】

車載装置１０は、かかる削除要求を受けて個人情報データ記憶部１７ｂに記憶された個人情報データを削除する（ステップＳ４４）。なお、上述したように、個人情報データにおける各種データの削除タイミングは図５に示した個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報に基づき決定される。そして、車載装置１０は、サービス端末９００へ向けて個人情報データの削除の完了通知を送信する（ステップＳ４５）。そして、サービス端末９００は、レンタカー管理サーバ３００へ当該個人情報データの削除の完了通知を送信（転送）する（ステップＳ４６）。

【0120】

つづいて、シェアカーに適応した第３の変形例および第４の変形例について説明する。図１４は、第３の変形例に係る削除処理におけるユーザデバイス３０および車載装置１０と、シェアカー管理サーバ５００の処理シーケンスを示す図である。また、図１５は、第４の変形例に係る削除処理における車載装置１０とシェアカー管理サーバ５００の処理シーケンスを示す図である。

【0121】

第３の変形例および第４の変形例は、シェアカーの返却手続完了が削除タイミングとなる例である。第４の変形例は、車載装置１０に残された個人情報データをシェアカー管理サーバ５００側で確認する点が第３の変形例とは異なる。

【0122】

図１４に示すように、ユーザデバイス３０（制御部３４）は、ユーザによる返却操作が行われた場合、返却操作に基づく返却データをシェアカー管理サーバ５００に通知する（ステップＳ５１）。シェアカー管理サーバ５００（シェアカー管理サーバ５００の制御部）は、受信したユーザデバイス３０からの返却データに基づいて返却手続を完了し（ステップＳ５２）、車載装置１０へ使用終了通知を送信する（ステップＳ５３－１）。

【0123】

車載装置１０は、使用終了通知を受けてシェアカーの使用終了を検出し（ステップＳ５４）、シェアカーが使用（走行）できない処理等の使用終了処理を行う。そして、車載装置１０は、個人情報データ記憶部１７ｂに記憶された個人情報データを削除し（ステップＳ５５）、シェアカー管理サーバ５００へシェアカーの返却処理の完了通知を送信する（ステップＳ５６）。

【0124】

なお、上述したように、個人情報データにおける各種データの削除タイミングは図５に示した個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報に基づき決定される。

【0125】

また、シェアカー管理サーバ５００から車載装置１０への使用終了通知の送信（ステップＳ５３－１）に代えて、ユーザデバイス３０から車載装置１０への使用終了通知の送信（ステップＳ５３－２）を行うようにしてもよい。

【0126】

第４の変形例では、図１５に示すように、ユーザデバイス３０（制御部３４）は、ユーザによる返却操作が行われた場合、返却操作に基づく返却データをシェアカー管理サーバ５００に通知する（ステップＳ６１）。シェアカー管理サーバ５００（シェアカー管理サーバ５００の制御部）は、受信したユーザデバイス３０からの返却データに基づいて返却手続を完了し（ステップＳ６２）、車載装置１０へ使用終了通知を送信する（ステップＳ６３）。

【0127】

車載装置１０は、使用終了通知を受けてシェアカーの使用終了を検出し（ステップＳ６４）、シェアカーが使用（走行）できない処理等の使用終了処理を行う。そして、車載装置１０は、個人情報データ記憶部１７ｂに記憶された個人情報データをシェアカー管理サーバ５００へ送信する（ステップＳ６５）。シェアカー管理サーバ５００は、受信した個人情報データをディスプレイ等でシェアカー管理者等に対して表示し、シェアカー管理者による確認結果入力を取得する。つまり、シェアカー管理者は個人情報データにおけるドライブレコーダ関連の個人情報における記録映像等を見て、事故等の発生や不正使用等の有無を判断し、その結果をシェアカー管理サーバ５００に操作入力する。

【0128】

そして、シェアカー管理者による操作入力等に基づきシェアカー管理サーバ５００はシェアカーの正常な使用終了の確認を完了すれば（ステップＳ６６）、個人情報データの削除要求を車載装置１０に対し送信する（ステップＳ６７）。車載装置１０は、シェアカー管理サーバ５００からの削除要求を受信すると、個人情報データ記憶部１７ｂに記憶された個人情報データを削除し（ステップＳ６８）、シェアカー管理サーバ５００へシェアカーの返却処理の完了通知を送信する（ステップＳ６９）。

【0129】

次に、車両売買に適応した第５の変形例および第６の変形例について説明する。図１６は、第５の変形例に係る削除処理における車載装置１０と車両売買管理サーバ７００の処理シーケンスを示す図である。また、図１７は、第６の変形例に係る削除処理における車載装置１０と、車両売買管理サーバ７００およびサービス端末９００の処理シーケンスを示す図である。

【0130】

第５の変形例および第６の変形例は、車両の売買契約手続完了が削除タイミングとなる例である。第６の変形例は、サービス端末９００が介在する点が第５の変形例とは異なる。

【0131】

図１６に示すように、車両売買管理サーバ７００において車両の売買契約手続が完了すると（ステップＳ７１）、たとえば車両買い取り業者の職員が車両売買管理サーバ７００に接続された端末を操作して売買契約手続完了の操作を行う。すると、車両売買管理サーバ７００（車両売買管理サーバ７００の制御部）はネットワークＮを介し、売買対象の車両の車載装置１０へ個人情報の削除要求を送信する（ステップＳ７２）。

【0132】

車載装置１０（制御部１８）は、車両売買管理サーバ７００からの削除要求を受けて個人情報データ記憶部１７ｂに記憶された個人情報データを削除する（ステップＳ７３）。なお、上述したように、個人情報データにおける各種データの削除タイミングは図５に示した個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報に基づき決定される。そして、車載装置１０は、車両売買管理サーバ７００へ向けて個人情報データの削除の完了通知を送信する（ステップＳ７４）。

【0133】

あるいは、図１７に示すように、車両売買管理サーバ７００は、車両の売買契約手続が完了すると（ステップＳ８１）、ネットワークＮを介し、サービス端末９００へ売買対象の車両に対する個人情報データの削除指示を送信する（ステップＳ８２）。なお、この削除指示には、個人情報データ削除の対象となる車両を識別するためのデータと通信接続するための通信接続データ（端末アドレス等）が含まれる。

【0134】

サービス端末９００は、これを受けて、ネットワークＮまたは近距離無線通信などを介し、売買対象の車両の車載装置１０へ個人情報データの削除要求を送信する（ステップＳ８３）。

【0135】

車載装置１０は、かかる削除要求を受けて個人情報データ記憶部１７ｂに記憶された個人情報データを削除する（ステップＳ８４）。なお、上述したように、個人情報データにおける各種データの削除タイミングは図５に示した個人情報制御情報記憶部１７ｃに記憶された個人情報制御情報に基づき決定される。そして、車載装置１０は、サービス端末９００へ向けて個人情報データの削除の完了通知を送信する（ステップＳ８５）。そして、サービス端末９００は、車両売買管理サーバ７００へ当該個人情報データの削除の完了通知を送信（転送）する（ステップＳ８６）。

【0136】

なお、図１２～図１７を用いて説明したレンタカー管理サーバ３００、シェアカー管理サーバ５００および車両売買管理サーバ７００はそれぞれ、既に述べた通り「車両管理装置」の一例に相当し、その基本的構成は同様のもので、機能を実現するプログラムが上述した機能の処理に対応するものとなっている。次に、この車両管理装置の構成例について説明する。

【0137】

図１８は、実施形態に係る車両管理装置１１００の構成例を示すブロック図である。図１８に示すように、実施形態に係る車両管理装置１１００は、通信部１１０１と、記憶部１１０２と、制御部１１０３とを有する。

【0138】

通信部１１０１は、ネットワークアダプタ等によって実現される。通信部１１０１は、ネットワークＮと有線または無線で接続され、ネットワークＮを介して、車載装置１０、ユーザデバイス３０およびサービス端末９００との間で情報の送受信を行う。

【0139】

記憶部１１０２は、ＲＡＭ、フラッシュメモリ、ハードディスク、光ディスク等の記憶デバイスによって実現され、各種の情報を記憶する。

【0140】

制御部１１０３は、上述した制御部１８、制御部３４および制御部１０３と同様のコントローラであり、ＣＰＵやＭＰＵ等によって構成され、これらＣＰＵやＭＰＵ等が記憶部１１０２に記憶されている各種プログラムを、ＲＡＭを作業領域として実行することにより実現される。また、制御部１１０３は、ＡＳＩＣやＦＰＧＡ等の集積回路により実現することができる。

【0141】

制御部１１０３は、取得部１１０３ａと、応答処理部１１０３ｂとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

【0142】

取得部１０３ａは、通信部１０１を介し、図１２～図１７に示した車載装置１０、ユーザデバイス３０およびサービス端末９００からの各種の情報、および車両管理装置１１００の使用者（カーレンタル事業者の職員）による入力操作情報を取得する。応答処理部１１０３ｂは、取得部１０３ａによって取得された各種の情報に応じ、図１２～図１７に示した各種の処理（個人情報データの削除指示の車載装置１０への送信、シェアカー使用終了通知の車載装置１０への送信等）を実行する。たとえば、制御部１１０３は、車両の使用終了を示す手続の操作が検出された場合に、車載装置１０へ車両の使用終了を示す車両使用終了情報（使用終了通知等）を送信する。また、制御部１１０３は、車両の使用開始を示す手続の操作が検出された場合に、車載装置１０へ車両の使用開始を示す車両使用開始情報を送信する。

【0143】

次に、実施形態に係る車載装置１０（制御部１８）が実行する処理手順について、図１９を用いて説明する。図１９は、実施形態に係る車載装置１０が実行する処理手順を示すフローチャートである。なお、図１９の処理手順は、車載装置１０の動作中に繰り返し実行される。

【0144】

車載装置１０の制御部１８は、図１９に示すように、図５に示した個人情報制御情報、車両状態や貸出手続の状態等に基づき、個人情報データの削除タイミングであるか否かを判定する（ステップＳ１０１）。個人情報データの削除タイミングである場合（ステップＳ１０１，Ｙｅｓ）、制御部１８は、退避要請処理を実行する（ステップＳ１０２）。つまり、制御部１８は、個人情報記憶部（個人情報管理サーバ１００またはユーザデバイス３０）に対し、記憶部１７に記憶されている個人情報データの退避要求を送信し、個人情報データを退避させる。そして、制御部１８は、記憶部１７に記憶されている個人情報データを削除する（ステップＳ１０３）。個人情報データの削除タイミングでない場合（ステップＳ１０１，Ｎｏ）、ステップＳ１０４へ遷移する。

【0145】

また、制御部１８は、図５に示した個人情報制御情報、車両状態や貸出手続の状態等に基づき個人情報データの登録タイミングであるか否かを判定する（ステップＳ１０４）。個人情報データの登録タイミングである場合（ステップＳ１０４，Ｙｅｓ）、制御部１８は、個人情報記憶部（個人情報管理サーバ１００またはユーザデバイス３０）に対し、個人情報データの登録要求を送信し（ステップＳ１０５）、該当する個人情報データを個人情報記憶部に抽出させる。そして、制御部１８は、個人情報記憶部から抽出された個人情報データを取得する（ステップＳ１０６）。

【0146】

そして、制御部１８は、取得した個人情報データを個人情報データ記憶部１７ｂに記憶し（ステップＳ１０７）、処理を終了する。また、個人情報データの登録タイミングでない場合（ステップＳ１０４，Ｎｏ）、制御部１８は、処理を終了する。

【0147】

上述してきたように、実施形態に係る車載装置１０（「情報処理装置」の一例に相当）は、記憶部１７に記憶された個人情報データに基づく動作を行う車載装置１０における記憶部１７に記憶する個人情報データの記憶制御を行う情報処理装置であって、制御部１８（「コントローラ」の一例に相当）を有する。制御部１８は、車両の使用終了を検出した場合に、記憶部１７に記憶されている個人情報データを削除する削除処理を実行し、車両の使用開始を検出した場合に、外部装置から取得した車載装置１０の使用者の個人情報データを記憶部１７に記憶させる登録処理を実行する。

【0148】

したがって、実施形態に係る車載装置１０によれば、適切に個人情報を保護することができる。

【0149】

また、制御部１８は、上記使用終了を検出した場合に、上記削除処理に先立ち、上記外部装置に対して、記憶部１７に記憶されている個人情報データを送信して記憶させる退避要請処理を実行する。

【0150】

したがって、実施形態に係る車載装置１０によれば、上記削除処理に先立ち、記憶部１７に記憶されている個人情報データを外部装置に退避することができる。

【0151】

また、制御部１８は、車両の使用形態に応じた条件に基づき上記使用終了および上記使用開始を検出する。

【0152】

したがって、実施形態に係る車載装置１０によれば、車両の使用形態に応じた削除タイミングおよび登録タイミングを検出し、かかるタイミングに基づいた上記削除処理および上記登録処理を実行することで、車両の使用形態に応じて適切に個人情報を保護することができる。

【0153】

また、制御部１８は、車両がレンタカーまたはシェアカーである場合、レンタカーまたはシェアカーの管理システムからの返却手続完了情報に基づき上記使用終了を検出する。

【0154】

したがって、実施形態に係る車載装置１０によれば、車両がレンタカーまたはシェアカーである場合に、レンタカーまたはシェアカーであるという使用形態に応じて、返却手続完了時を削除タイミングとした上記削除処理を実行することが可能となる。

【0155】

また、制御部１８は、車両が輸送車両である場合、輸送車両の管理システムからの個人情報データの確認完了情報に基づき上記使用終了を検出する。

【0156】

したがって、実施形態に係る車載装置１０によれば、車両が輸送車両である場合に、輸送車両であるという使用形態に応じて、運行管理のうえで重要となる輸送事業者の管理者等による運転者の運転状況確認の完了時を削除タイミングとした上記削除処理を実行することが可能となる。

【0157】

また、制御部１８は、車両がレンタカーまたはシェアカーである場合、レンタカーまたはシェアカーの管理システムからの貸出手続完了情報に基づき上記使用開始を検出する。

【0158】

したがって、実施形態に係る車載装置１０によれば、車両がレンタカーまたはシェアカーである場合に、レンタカーまたはシェアカーであるという使用形態に応じて、貸出手続完了時を登録タイミングとした上記登録処理を実行することが可能となる。

【0159】

また、制御部１８は、車両の使用者の車両への接近を上記使用開始として検出する。

【0160】

したがって、実施形態に係る車載装置１０によれば、車両の使用者の車両への接近を登録タイミングとして、簡便に上記登録処理を実行することが可能となる。

【0161】

また、上記外部装置は、車両の使用者が携帯するユーザデバイス３０、または、個人情報データを管理する個人情報管理サーバ１００である。

【0162】

したがって、実施形態に係る車載装置１０によれば、ユーザデバイス３０または個人情報管理サーバ１００を個人情報記憶部、いわばバックアップ装置として、適切に個人情報を保護することができる。

【0163】

また、実施形態に係るユーザデバイス３０は、車載装置１０と通信する携帯端末装置であって、個人情報データを記憶する記憶部３３（「端末記憶部」の一例に相当）と、制御部３４（「端末コントローラ」の一例に相当）とを有する。制御部３４は、車載装置１０からの個人情報データの取得要求に基づき、記憶部３３に記憶されている個人情報データを車載装置１０に送信し、車載装置１０からの個人情報データの退避要求に基づき、ユーザデバイス３０の使用者に対応する個人情報データである場合に、車載装置１０から送信された個人情報データを記憶部３３に記憶する。

【0164】

したがって、実施形態に係るユーザデバイス３０によれば、当該ユーザデバイス３０を個人情報記憶部、いわばバックアップ装置として、簡便かつ適切に個人情報を保護することができる。

【0165】

また、実施形態に係る車両管理装置１１００は、車載装置１０と通信し、車両を管理する車両管理装置であって、制御部１１０３（「装置コントローラ」の一例に相当）を有する。制御部１１０３は、上記使用終了を示す手続の操作が検出された場合に、車載装置１０へ上記使用終了を示す車両使用終了情報を送信し、上記使用開始を示す手続の操作が検出された場合に、車載装置１０へ上記使用開始を示す車両使用開始情報を送信する。

【0166】

したがって、実施形態に係る車両管理装置１１００によれば、上記使用終了を示す手続の操作が検出された場合に車載装置１０に上記削除処理を実行させ、上記使用開始を示す手続の操作が検出された場合に車載装置１０に上記登録処理を実行させることができる。

【0167】

また、実施形態に係る車載装置１０は、車両に搭載され、記憶部１７に記憶された個人情報データに基づく動作の制御を行う車載装置であって、制御部１８を有する。制御部１８は、車両の使用終了を検出した場合に、記憶部１７に記憶されている個人情報データを削除する削除処理を実行し、車両の使用開始を検出した場合に、外部装置から取得した車載装置１０の使用者の個人情報データを記憶部１７に記憶させる登録処理を実行する。

【0168】

したがって、実施形態に係る車載装置１０によれば、適切に個人情報を保護することができる。

【0169】

また、実施形態に係る個人情報保護システム１（「車両管理システム」の一例に相当）は、車両に搭載され、記憶部１７に記憶された個人情報データに基づく動作を行うとともに、記憶部１７に記憶する個人情報データの記憶制御を行う車載装置１０と、車両の外部に設定され、個人情報データの管理を行う個人情報管理サーバ１００（「個人情報管理装置」の一例に相当）と、車両の管理を行う車両管理装置１１００と、を含む。車載装置１０は、車両管理装置１１００からの車両使用終了情報に基づき車両の使用終了を検出した場合に、記憶部１７に記憶されている個人情報データを個人情報管理サーバ１００に送信して記憶させる退避要請処理と、記憶部１７に記憶されている個人情報データを削除する削除処理とを実行する。また、車載装置１０は、車両管理装置１１００からの車両使用開始情報に基づき車両の使用開始を検出した場合に、外部装置に個人情報データの取得要求を行い、当該取得要求により上記外部装置から取得した車載装置１０の使用者の個人情報データを記憶部１７に記憶させる登録処理を実行する。個人情報管理サーバ１００は、車載装置１０からの個人情報データの取得要求に基づき、記憶部１０２（「装置記憶部」の一例に相当）に記憶されている個人情報データを車載装置に送信する。また、個人情報管理サーバ１００は、車載装置１０からの個人情報データの退避要求に基づき、車載装置１０から送信された個人情報データを記憶部１０２に記憶する。車両管理装置１１００は、上記使用終了を示す手続の操作が検出された場合に、車載装置１０へ上記使用終了を示す上記車両使用終了情報を送信し、上記使用開始を示す手続の操作が検出された場合に、車載装置１０へ上記使用開始を示す上記車両使用開始情報を送信する。

【0170】

したがって、実施形態に係る個人情報保護システム１によれば、適切に個人情報を保護することができる。

【0171】

また、実施形態に係る個人情報保護方法（「個人情報処理方法」の一例に相当）は、記憶部１７に記憶された個人情報データに基づく動作を行う車載装置１０における記憶部１７に記憶する個人情報データの記憶制御を行う個人情報処理方法であって、車両の使用終了を検出した場合に、外部装置に対して記憶部１７に記憶されている個人情報データを記憶させるとともに、記憶部１７に記憶されている個人情報データを削除し、車両の使用開始を検出した場合に、上記外部装置から取得した車載装置１０の使用者の個人情報データを記憶部１７に記憶させる。

【0172】

したがって、実施形態に係る個人情報保護方法によれば、適切に個人情報を保護することができる。

【0173】

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

【符号の説明】

【0174】

１ 個人情報保護システム
１０ 車載装置
１７ 記憶部
１８ 制御部
３０ ユーザデバイス
３３ 記憶部
３４ 制御部
１００ 個人情報管理サーバ
１０２ 記憶部
１０３ 制御部
３００ レンタカー管理サーバ
５００ シェアカー管理サーバ
７００ 車両売買管理サーバ
９００ サービス端末
１１００ 車両管理装置
１１０２ 記憶部
１１０３ 制御部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】