特開 2024-134612 サーバ装置、システム、サーバ装置の制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024134612

(43)【公開日】2024-10-04

(54)【発明の名称】サーバ装置、システム、サーバ装置の制御方法及びプログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20240927BHJP

【ＦＩ】

G06F21/62 318

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2023044885

(22)【出願日】2023-03-22

(71)【出願人】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100168310

【弁理士】

【氏名又は名称】▲高▼橋 幹夫

(72)【発明者】

【氏名】佐藤 雄亮

(57)【要約】

【課題】パーソナルデータの共有先で用いられるアプリケーションの適切な管理を実現する、サーバ装置を提供する。
【解決手段】サーバ装置は、取得手段と、通知手段と、を備える。取得手段は、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、第２の利用者がデータ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を第１の利用者から取得する。通知手段は、第２の利用者に、第１の利用者が同意したアプリケーションを通知する。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する、取得手段と、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、
を備える、サーバ装置。

【請求項2】

前記取得手段は、前記第１の利用者の複数のパーソナルデータそれぞれに対応するデータ種類について、前記第２の利用者に前記データ共有を許可するか否か前記第１の利用者から取得する、請求項１に記載のサーバ装置。

【請求項3】

前記通知手段は、前記第１の利用者が同意したアプリケーションと共に前記取得されたデータ種類を前記第２の利用者に通知する、請求項２に記載のサーバ装置。

【請求項4】

前記第１の利用者のパーソナルデータを前記第１の利用者が利用可能なアプリケーションを記憶する、記憶手段をさらに備える、請求項３に記載のサーバ装置。

【請求項5】

前記取得手段は、前記記憶されたアプリケーションのなかから前記第２の利用者に利用を許可するアプリケーションを前記第１の利用者から取得し、
前記通知手段は、前記第１の利用者から取得したアプリケーションを前記第２の利用者に通知する、請求項４に記載のサーバ装置。

【請求項6】

前記通知されたアプリケーションを用いて前記データ共有の対象となるパーソナルデータにアクセスするためのアクセス権を前記第２の利用者に設定する、設定手段をさらに備える、請求項１乃至５のいずれか一項に記載のサーバ装置。

【請求項7】

前記第２の利用者から、前記通知されたアプリケーションとは異なるアプリケーションの利用申請を受け付け、前記第２の利用者が前記利用申請されたアプリケーションを利用することの可否を前記第１の利用者から取得する、申請処理手段をさらに備える、請求項６に記載のサーバ装置。

【請求項8】

前記申請処理手段は、前記利用申請されたアプリケーションの情報を前記第１の利用者に提供しつつ、前記第２の利用者が前記利用申請されたアプリケーションを利用することの可否を前記第１の利用者から取得する、請求項７に記載のサーバ装置。

【請求項9】

前記申請処理手段は、前記利用申請されたアプリケーションの製造メーカ又はセキュリティに関する情報を前記第１の利用者に提供する、請求項８に記載のサーバ装置。

【請求項10】

第１の利用者が所持する、第１の端末と、
第２の利用者が所持する、第２の端末と、
サーバ装置と、
を含み、
前記サーバ装置は、
前記第１の利用者のパーソナルデータを前記第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の端末を介して取得する、取得手段と、
前記第２の端末を介して、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、
を備える、システム。

【請求項11】

サーバ装置において、
第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得し、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、サーバ装置の制御方法。

【請求項12】

サーバ装置に搭載されたコンピュータに、
第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する処理と、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する処理と、
を実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、サーバ装置、システム、サーバ装置の制御方法及びプログラムに関する。

【背景技術】

【0002】

個人情報の共有、蓄積等に関する技術が存在する。

【0003】

例えば、特許文献１には、個人情報を後の世代に適切に伝え、かつ、各個人間の関係を適切にたどることが課題として記載されている。特許文献１のシステムは、個人情報取得部と、個人情報蓄積部と、関係情報蓄積部と、関係追加情報取得部と、関係情報更新部と、閲覧部と、を備える。個人情報取得部は、インターネットを介して、個人の生涯に関する個人情報を取得する。個人情報蓄積部は、個人情報を登録して蓄積する。関係情報蓄積部は、個人間の関係を示す関係情報を蓄積する。関係追加情報取得部は、インターネットを介して、個人間の関係を関係情報に追加する関係追加情報を取得する。関係情報更新部は、関係追加情報取得部が取得した関係追加情報に基づいて関係情報蓄積部に蓄積された関係情報を更新する。閲覧部は、インターネットを介して、各個人情報を、関係情報に基づいて検索可能に閲覧させる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００２－１７５３０８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

近年の情報処理技術、通信技術の発展に伴い、個人情報（パーソナルデータ）が個人間で共有される機会が増えている。個人情報は種々のアプリケーションを介して利用されるため、データ連携基盤（データ流通基盤）を利用するアプリケーションが増加している。

【0006】

このような状況において、個人間でパーソナルデータが共有される際、共有元の個人と共有先の個人が利用するアプリケーションが異なる可能性がある。共有元の個人は、自分で使用していないアプリケーションが自身のパーソナルデータを扱うことに懸念を持つことがある。即ち、共有元の個人は、自分のパーソナルデータを利用するアプリケーションを適切に管理したという要求を持っている。

【0007】

本発明は、パーソナルデータの共有先で用いられるアプリケーションの適切な管理を実現することに寄与する、サーバ装置、システム、サーバ装置の制御方法及びプログラムを提供することを主たる目的とする。

【課題を解決するための手段】

【0008】

本発明の第１の視点によれば、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する、取得手段と、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、を備える、サーバ装置が提供される。

【0009】

本発明の第２の視点によれば、第１の利用者が所持する、第１の端末と、第２の利用者が所持する、第２の端末と、サーバ装置と、を含み、前記サーバ装置は、前記第１の利用者のパーソナルデータを前記第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の端末を介して取得する、取得手段と、前記第２の端末を介して、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、を備える、システムが提供される。

【0010】

本発明の第３の視点によれば、サーバ装置において、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得し、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、サーバ装置の制御方法が提供される。

【0011】

本発明の第４の視点によれば、サーバ装置に搭載されたコンピュータに、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する処理と、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する処理と、を実行させるためのプログラムが提供される。

【発明の効果】

【0012】

本発明の各視点によれば、パーソナルデータの共有先で用いられるアプリケーションの適切な管理を実現することに寄与する、サーバ装置、システム、サーバ装置の制御方法及びプログラムが提供される。なお、本発明の効果は上記に限定されない。本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

【図面の簡単な説明】

【0013】

【図1】図１は、一実施形態の概要を説明するための図である。

【図2】図２は、一実施形態の動作の一例を示すフローチャートである。

【図3】図３は、第１の実施形態に係る情報流通システムの概略構成の一例を示す図である。

【図4】図４は、第１の実施形態に係る情報流通システムの動作を説明するための図である。

【図5】図５は、第１の実施形態に係る情報流通システムの動作を説明するための図である。

【図6】図６は、第１の実施形態に係る情報流通システムの動作を説明するための図である。

【図7】図７は、第１の実施形態に係る情報流通システムの動作を説明するための図である。

【図8】図８は、第１の実施形態に係る流通制御サーバの処理構成の一例を示す図である。

【図9】図９は、第１の実施形態に係るアカウント管理データベースの一部の一例を示す図である。

【図10】図１０は、第１の実施形態に係るアプリケーション管理データベースの一例を示す図である。

【図11】図１１は、第１の実施形態に係る所在情報データベースの一例を示す図である。

【図12】図１２は、第１の実施形態に係る端末の表示の一例を示す図である。

【図13】図１３は、第１の実施形態に係る端末の表示の一例を示す図である。

【図14】図１４は、第１の実施形態に係る利用者管理データベースの一部の一例を示す図である。

【図15】図１５は、第１の実施形態に係るサービスサーバの処理構成の一例を示す図である。

【図16】図１６は、第１の実施形態に係る顧客情報データベースの一例を示す図である。

【図17】図１７は、第１の実施形態に係るアクセス権管理データベースの一例を示す図である。

【図18】図１８は、第１の実施形態に係る情報流通システムの動作の一例を示すシーケンス図である。

【図19】図１９は、第１の実施形態に係る情報流通システムの動作の一例を示すシーケンス図である。

【図20】図２０は、第２の実施形態に係る端末の表示の一例を示す図である。

【図21】図２１は、第２の実施形態に係る端末の表示の一例を示す図である。

【図22】図２２は、本願開示に係る取引サーバのハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0014】

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、特段の釈明がない場合には、各図面に記載されたブロックはハードウェア単位の構成ではなく、機能単位の構成を表す。各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

【0015】

一実施形態に係るサーバ装置１００は、取得手段１０１と、通知手段１０２と、を備える（図１参照）。取得手段１０１は、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、第２の利用者がデータ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を第１の利用者から取得する（図２のステップＳ１）。通知手段１０２は、第２の利用者に、第１の利用者が同意したアプリケーションを通知する（ステップＳ２）。

【0016】

サーバ装置１００は、個人間のデータ共有を制御する。サーバ装置１００は、第１の利用者（データ共有元）から第２の利用者（データ共有先）にデータ共有が設定される際、第１の利用者から第２の利用者に利用を許可するアプリケーションに関する同意を取得する。即ち、サーバ装置１００は、個人間のデータ共有において、主体（個人）に対する共有同意だけでなく当該主体が利用するアプリケーションに対する共有同意を取得する。その結果、パーソナルデータの共有先（第２の利用者）で用いられるアプリケーションの適切な管理が実現される。

【0017】

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

【0018】

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

【0019】

［システム構成］
図３は、第１の実施形態に係る情報流通システムの概略構成の一例を示す図である。図３に示すように、情報流通システムの参加メンバー（アクター）には、情報流通事業者と、サービス事業者と、が含まれる。

【0020】

情報流通事業者は、サービス事業者に蓄積されたパーソナルデータのデータ流通サービス（情報流通サービス）のプラットフォームを提供する事業者である。情報流通事業者は、上記蓄積されたパーソナルデータのデータ流通を制御する。情報流通事業者は、流通制御サーバ１０を備える。

【0021】

流通制御サーバ１０は、情報流通事業者により運営される。流通制御サーバ１０は、サービス事業者間のデータ流通を制御（実現）したり、個人間のデータ流通を制御したりするサーバ装置である。流通制御サーバ１０は、サービス事業者が保持するデータの情報流通サービスを実現する。

【0022】

サービス事業者は、個人にサービスを提供する主体である。サービス事業者は、民間の事業者であってもよいし公的機関であってもよい。サービス事業者には、例えば、利用者に医療サービスを提供する医療機関（病院、薬局等）、電力を販売する電力会社、小売業者、顧客に語学、スポーツ、芸術等を教える教育事業者等が例示される。あるいは、利用者に金融サービスを提供する金融機関、利用者に健康管理サービスを提供する事業者やオンラインで食事管理サービスを提供する事業者等もサービス事業者に含まれる。

【0023】

各サービス事業者は、顧客にサービスを提供するためのサービスサーバ２０を備える。サービスサーバ２０は、サービス事業者により管理、運営される。サービスサーバ２０は、サービス事業者が利用者にサービスを提供することで生じたデータ、利用者にサービスを提供するために必要なデータ等を保持（記憶）する。サービス事業者は、利用者に提供するサービスに関するユーザデータを保持する。

【0024】

情報流通システムを利用する利用者は、端末３０を使用する。例えば、図３に示すように、利用者Ａ～Ｄのそれぞれは端末３０を所持する。

【0025】

図３に示す各装置はネットワークを介して相互に接続されている。例えば、流通制御サーバ１０とサービスサーバ２０は、有線又は無線の通信手段により接続され、相互に通信が可能となるように構成されている。

【0026】

図３に示す構成は例示であって、本願開示の情報流通システムの構成等を限定する趣旨ではない。例えば、情報流通事業者には２台以上の流通制御サーバ１０が含まれていてもよい。また、図３には４人の利用者を図示しているが、情報流通システムの利用者数を４人に限定する趣旨ではないことは勿論である。

【0027】

［概略動作］
続いて、第１の実施形態に係る情報流通システムの概略動作について説明する。

【0028】

利用者は、サービスの提供を受けたいサービス事業者と個別に契約を締結する。例えば、利用者は、氏名等をサービス事業者に提供しつつ当該サービス事業者と新たな契約（サービスを享受するための契約）をしたい旨を申し出る。

【0029】

例えば、病院を受診したい利用者は、氏名等が記載された健康保険証等を当該病院に提出する。あるいは、オンラインショッピングに係るサービスを提供するＥＣ（Electronic Commerce）事業者については、利用者は、当該ＥＣ事業者が運営するサービスサーバ２０にアクセスしアカウントを生成する。

【0030】

サービス事業者は、新規な顧客（利用者）を識別するための「個人識別ＩＤ」を生成する。例えば、病院は、利用者（患者）を管理するための診察券番号を採番し、当該診察券番号を個人識別ＩＤとして生成する。ＥＣ事業者は、顧客を管理するための会員番号等を個人識別ＩＤとして生成する。サービスサーバ２０は、生成した個人識別ＩＤ（例えば、診察券番号や会員番号等）をデータベース等に記憶する。

【0031】

個人識別ＩＤが生成されると、利用者は、サービス事業者からサービスの提供を受けることができる。例えば、利用者は病院から医療サービス（健康診断や診察等）を受ける。あるいは、利用者は、ＥＣ事業者を利用してオンラインショッピングを行う。

【0032】

サービス事業者が利用者にサービスを提供したこと等で生じたユーザデータを、データ流通の対象とするためには、データの「蓄積」が必要になる。データ蓄積は、サービス事業者（ユーザデータの提供元）が、ユーザデータを第三者に提供可能なデータとして情報流通システムに登録することである。

【0033】

流通制御サーバ１０は、データ蓄積者（サービス事業者）から利用者に提供されるサービスに関するデータをデータ流通の対象とするためのデータ蓄積を制御する。即ち、流通制御サーバ１０は、ユーザデータを第三者に共有可能（提供可能）なデータとして情報流通システムに登録するためのデータ蓄積を制御する。蓄積されたデータがデータ流通の対象となる。

【0034】

情報流通システムにおけるデータ流通の手段として「共有」が存在する。流通制御サーバ１０は、データ蓄積により登録されたユーザデータをサービス事業者から他者に共有するためのデータ共有を制御する。

【0035】

データ共有には、サービス事業者が他のサービス事業者が蓄積するユーザデータを参照（取得）する「事業者間共有」と、個人が上記ユーザデータを参照（取得）する「個人間共有」と、が含まれる。本願開示では、個人間共有について説明する。

【0036】

＜システムアカウントの生成＞
情報流通システムの利用者は事前に登録（利用者登録、システム登録）を行う必要がある。より具体的には、利用者は、流通制御サーバ１０にアクセスし、アカウント生成のための手続きを行う。以降の説明において、情報流通システムに生成されたアカウントを「システムアカウント」と表記する。

【0037】

システムアカウントを生成するため、利用者は、所持する端末３０を操作して、流通制御サーバ１０にアクセスする。端末３０のアクセスに応じて、流通制御サーバ１０は、システムアカウントを生成するためのＷＥＢ（ウェブ）ページを表示する。

【0038】

利用者は、システムアカウント生成のための操作（例えば、所定ボタンの押下）を行い、システムアカウントを生成する。その際、流通制御サーバ１０は、利用者のシステムアカウント生成に必要な情報を取得する。具体的には、流通制御サーバ１０は、利用者のログイン情報（ログインＩＤ、パスワード）や個人情報（氏名、生年月日、連絡先、口座情報等）を取得する。

【0039】

さらに、流通制御サーバ１０は、利用者が自身のユーザデータ（パーソナルデータ、蓄積データ）を参照する際のアプリケーションに関する情報を取得する。

【0040】

ログイン情報、個人情報等を取得すると、流通制御サーバ１０は、当該利用者を情報流通システムにおいて一意に識別するためのユーザＩＤ（Identifier）を生成する。

【0041】

流通制御サーバ１０は、当該生成された利用者のユーザＩＤ、ログイン情報及び個人情報（例えば、氏名、生年月日、連絡先）等を対応付けて記憶する。流通制御サーバ１０は、これらの情報を「アカウント管理データベース」に記憶する。アカウント管理データベースの詳細は後述する。

【0042】

流通制御サーバ１０は、生成したユーザＩＤを利用者（端末３０）に払い出す。端末３０は、払い出されたユーザＩＤを記憶する。

【0043】

＜ＩＤの連携＞
上述のように、サービス事業者が保持するユーザデータをデータ流通の対象とするためには、「データ蓄積」が必要となる。データ蓄積を実現するためには、システムアカウントのＩＤ（ユーザＩＤ）とサービス事業者が生成したＩＤ（個人識別ＩＤ）を連携する必要がある。即ち、各サービス事業者に蓄積されたユーザデータをデータ共有の対象とするため、サービス事業者のアカウントとシステムアカウントの連携が必要である。

【0044】

例えば、図４に示すように、利用者は病院の窓口において、当該病院が保持するユーザデータの活用を希望している旨を病院職員に伝える（データ活用の申し込みを行う）。病院職員は、利用者の個人特定情報、利用者の個人識別ＩＤ（例えば、診察券番号）及び事業者コードを病院端末４０に入力する。

【0045】

なお、個人特定情報は、利用者を特定するための情報である。個人特定情報には、利用者の氏名、又は、氏名と生年月日の組み合わせ等が例示される。

【0046】

また、事業者コードは、情報流通システムに参加するサービス事業者を識別するための識別情報（ＩＤ）である。例えば、病院とＥＣ事業者には異なるコードが割り当てられる。事業者コードは、任意の手段によりシステム参加者（情報流通事業者、サービス事業者）の間で共有される。例えば、サービス事業者が情報流通システムに参加する際、情報流通事業者が当該サービス事業者に割り当てる事業者コードを生成する。情報流通事業者は、当該生成した事業者コードをサービス事業者に通知する。

【0047】

病院端末４０は、取得した個人特定情報、個人識別ＩＤ及び事業者コードを含む「ＩＤ連携要求」を流通制御サーバ１０に送信する。

【0048】

あるいは、ＥＣ事業者のユーザデータの活用を希望する利用者は、端末３０を操作して、当該ＥＣ事業者のサービスサーバ２０にアクセスする（図５参照）。利用者は、ＥＣ事業者のアカウントにログインし、当該アカウント上でデータ活用のための申請を行う。当該申請に応じて、サービスサーバ２０は、利用者の個人特定情報、個人識別ＩＤ及び事業者コードを含む「ＩＤ連携要求」を流通制御サーバ１０に送信する。

【0049】

流通制御サーバ１０は、病院端末４０やサービスサーバ２０からＩＤ連携希望者の個人特定情報、個人識別ＩＤ及びＩＤ連携の対象となるサービス事業者（例えば、病院、ＥＣ事業者）の事業者コードを取得する。

【0050】

流通制御サーバ１０は、事業者コードからＩＤ連携の対象となっているサービス事業者を特定する。また、流通制御サーバ１０は、個人特定情報からシステムアカウントに登録された利用者を特定する。流通制御サーバ１０は、当該特定した利用者のアカウントにおいてサービス事業者と個人識別ＩＤを対応付ける。

【0051】

個人識別ＩＤがシステムアカウントに登録されると（ＩＤ連携が完了すると）、ＩＤ連携の対象となったサービス事業者は、データ活用を希望する利用者のユーザデータを「蓄積」可能となる。

【0052】

＜データ蓄積＞
サービス事業者は、利用者にサービスを提供すると、当該利用者の個人識別ＩＤとユーザデータ（パーソナルデータ）を対応付けて記憶する。例えば、サービス事業者は、利用者にサービスを提供すると、サービスの提供により生じるデータ（例えば、バイタルデータ、病名、銀行口座の取引履歴、電力使用量、食事摂取データ、成績データ等）と個別識別ＩＤを対応付けて記憶する。

【0053】

例えば、サービスサーバ２０は、「顧客情報データベース」を用いて利用者の個人識別ＩＤとユーザデータを対応付けて記憶する。なお、顧客情報データベースの詳細は後述する。

【0054】

サービス事業者のサービスサーバ２０は、ＩＤ連携の完了した利用者（データ活用の申し込みをした利用者）に関し、ユーザデータ（サービス提供の結果生じるデータ、サービスの提供に必要なデータ）を記憶するたびにデータ蓄積に関する制御を行う。

【0055】

具体的には、サービスサーバ２０は、利用者のユーザデータを蓄積データ（データ流通対象のユーザデータ）として情報流通システムに登録する。具体的には、サービスサーバ２０は、ＩＤ連携の完了した利用者に関する「所在情報」を流通制御サーバ１０に送信する（図６参照）。

【0056】

所在情報は、ユーザデータの保管場所（データの蓄積主体；サービス事業者）等に関する情報である。所在情報には、ユーザデータ（蓄積データ）を識別するためのデータＩＤ、個人識別ＩＤ、事業者コード、保持するデータの種類等が含まれる。

【0057】

流通制御サーバ１０は、取得した所在情報を「所在情報データベース」に記憶する。所在情報データベースの詳細は後述する。所在情報データベースは、データＩＤ、個人識別ＩＤ、事業者コード及びデータ種類等を対応付けて記憶する。

【0058】

このように、サービスサーバ２０がユーザデータを記憶すると、サービスサーバ２０は、ＩＤ連携が完了している利用者に関する所在情報を流通制御サーバ１０に送信する。所在情報には、ユーザデータのデータＩＤ、種類（データ種類）、個別識別ＩＤ、事業者コード等が含まれる。流通制御サーバ１０は、取得した所在情報を所在情報データベースに記憶する。

【0059】

＜データ共有＞
システムに参加する利用者の間において、データ共有が行われる。例えば、図３に示す利用者Ａが病院を受診することで得られる（病院に記憶される）血圧や心拍数といった「バイタルデータ」や「病名」がデータ共有の対象になる。あるいは、利用者Ａの「取引履歴」がデータ共有の対象になる。

【0060】

例えば、利用者Ｂは、利用者Ａのバイタルデータを個人間共有により参照（取得）できる。あるいは、利用者Ａは、利用者Ｂのパーソナルデータ（例えば、大学の成績データ等）を個人間共有により参照（取得）できる。

【0061】

他者にデータ共有を許可する場合、利用者は、端末３０を操作してシステムアカウントにログインする。当該利用者は、システムアカウント上にて、データ共有を許可する相手（データ共有先）、データ共有するデータ種類、共有データを利用可能なアプリケーション等の情報を入力する。

【0062】

データ共有先、データ種類、利用可能なアプリケーション等の情報を取得すると、流通制御サーバ１０は、利用者が設定したデータ共有の内容（詳細）を確認するようにデータ共有先に要求する。流通制御サーバ１０は、利用者により選択されたデータ共有先が所持する端末３０に対し、データ共有が許可されたデータ種類及び利用可能なアプリケーションの情報等を含む「共有設定確認要求」を送信する（図７のステップＳ０１）。

【0063】

例えば、利用者Ａは、利用者Ｂをデータ共有先に選択する。その際、利用者Ａは、利用者Ｂに対して、バイタルデータ、病名、取引履歴といったデータ（データ種類）の共有を許可する。さらに、利用者Ａは、これらの３つのデータを利用可能なアプリケーションとしてアプリケーションＡＰＬ１を指定する。流通制御サーバ１０は、利用者Ｂが所持する端末３０に対して、データ種類として「バイタルデータ」、「病名」及び「取引履歴」、利用可能なアプリケーションとしてアプリケーションＡＰＬ１を含む共有設定確認要求を送信する。

【0064】

あるいは、利用者Ａは、利用者Ｃをデータ共有先に選択する。例えば、利用者Ａは、利用者Ｃに対して、バイタルデータの共有を許可する。さらに、利用者Ａは、当該バイタルデータを利用可能なアプリケーションとしてアプリケーションＡＰＬ１、ＡＰＬ２を指定する。この場合、流通制御サーバ１０は、利用者Ｃが所持する端末３０に対して、データ種類「バイタルデータ」、利用可能なアプリケーション「ＡＰＬ１」及び「ＡＰＬ２」を含む共有設定確認要求を送信する。

【0065】

利用者の端末３０は、共有設定確認要求を受信する。端末３０は、受信したデータ共有通知に含まれる情報を記憶する。

【0066】

端末３０は、当該共有設定確認要求に含まれる情報を利用者に提示しつつ、データ共有の内容に関する確認を利用者に求める。利用者は、データ共有が許可されたデータ種類や指定されたアプリケーションを確認し、通知されたデータ共有を受け入れるか否か判断する。

【0067】

端末３０は、利用者の判断結果に応じた応答を流通制御サーバ１０に送信する（ステップＳ０２）。具体的には、利用者がデータ共有を受け入れた場合、端末３０は、その旨を示す肯定応答を流通制御サーバ１０に送信する。利用者がデータ共有を拒否した場合、端末３０は、その旨を示す否定応答を流通制御サーバ１０に送信する。

【0068】

例えば、共有データを利用可能なアプリケーションとして通知されたアプリケーションが自身の端末３０にインストールされていない場合に、利用者は、提示されたデータ共有を拒否する。

【0069】

データ共有が拒否された場合、流通制御サーバ１０は、その旨を利用者（データ共有元）に通知する。

【0070】

データ共有が受け入れられた場合、流通制御サーバ１０は、サービス事業者が記憶するユーザデータ（蓄積データ）に対し、データ共有先のアクセス権を設定する。

【0071】

例えば、上記利用者Ｃにデータ共有が許可された例では、流通制御サーバ１０は、利用者Ａのバイタルデータを蓄積する病院（病院のサービスサーバ２０）に対し、利用者Ｃがバイタルデータにアクセス（参照）するためのアクセス権の設定を指示する。具体的には、流通制御サーバ１０は、病院のサービスサーバ２０に対し、データ共有元（利用者Ａ）、共有対象のデータ種類（バイタルデータ）、利用可能アプリケーションＡＰＬ１、ＡＰＬ２等を含む「アクセス権設定指示」を送信する（ステップＳ０３）。

【0072】

アクセス権設定指示の受信に応じて、病院のサービスサーバ２０は、利用者Ａのバイタルデータに利用者Ｃのアクセス権を設定する。サービスサーバ２０は、アクセス権管理データベースを用いて利用者Ａのバイタルデータに対する利用者Ｃのアクセス権を管理する。アクセス権管理データベースの詳細は後述する。

【0073】

アクセス権が設定されると、利用者Ｃは、利用者Ａのバイタルデータを参照できる。利用者Ａのバイタルデータを参照する場合、利用者Ｃは、端末３０を操作し、病院（病院のサービスサーバ２０）にデータ共有を要請する。具体的には、端末３０は、「データ共有要請」を病院のサービスサーバ２０に送信する（ステップＳ０４）。

【0074】

データ共有要請には、端末３０において共有データを使用するアプリケーションに関する情報（例えば、アプリケーション名）が含まれる。上記の例では、利用可能なアプリケーションとして通知されたアプリケーションＡＰＬ１又はＡＰＬ２がデータ共有要請に含まれる。

【0075】

データ共有要請を受信すると、サービスサーバ２０は、利用者Ｃにアクセス権が設定されたユーザデータ（利用者Ａの具体的なバイタルデータ）を端末３０に送信する（ステップＳ０５）。その際、サービスサーバ２０は、利用者Ｃ（利用者Ｃの端末３０）が利用予定のアプリケーションにアクセス権が設定されているか否か判定する。

【0076】

具体的には、サービスサーバ２０は、利用者Ｃ（データ共有先）の利用予定アプリケーションがアクセス権の設定されたアプリケーション（アクセス権管理データベースに登録されたアプリケーション）に含まれるか否か判定する。

【0077】

利用予定アプリケーションにアクセス権が設定されている場合、サービスサーバ２０は、ユーザデータを端末３０に送信する。上記の例では、データ共有要請に含まれるアプリケーションの情報が「ＡＰＬ１」又は「ＡＰＬ２」であれば、サービスサーバ２０は、ユーザデータ（バイタルデータ）を端末３０に送信する。

【0078】

利用予定アプリケーションにアクセス権が設定されていない場合、サービスサーバ２０は、ユーザデータの送信を拒否する。上記の例では、データ共有要請に含まれるアプリケーションの情報が「ＡＰＬ１」又は「ＡＰＬ２」以外であれば、サービスサーバ２０は、ユーザデータ（バイタルデータ）を端末３０に送信しない。

【0079】

なお、共有対象となるユーザデータは、サービス事業者が管理するサービスサーバ２０に格納されていなくてもよい。当該ユーザデータは、サービス事業者等により委託を受けた事業者が管理するサーバ（外部のサーバ）等に格納されていてもよい。

【0080】

続いて、第１の実施形態に係る情報流通システムに含まれる各装置の詳細について説明する。

【0081】

［流通制御サーバ］
図８は、第１の実施形態に係る流通制御サーバ１０の処理構成（処理モジュール）の一例を示す図である。図８を参照すると、流通制御サーバ１０は、通信制御部２０１と、利用者登録部２０２と、ＩＤ連携部２０３と、所在情報管理部２０４と、データ共有制御部２０５と、記憶部２０６と、を備える。

【0082】

通信制御部２０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部２０１は、サービスサーバ２０からデータ（パケット）を受信する。また、通信制御部２０１は、サービスサーバ２０に向けてデータを送信する。通信制御部２０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部２０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部２０１を介して他の装置とデータの送受信を行う。通信制御部２０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

【0083】

利用者登録部２０２は、上述の利用者登録（利用者のシステム登録）を実現する手段である。利用者登録部２０２は、利用者の端末３０から個人情報（氏名、生年月日、連絡先、口座情報等）を取得する。

【0084】

利用者登録部２０２は、当該個人情報を取得すると、利用者を識別するためのユーザＩＤを生成する。例えば、利用者登録部２０２は、利用者のシステム登録のたびに一意な値を採番し、当該採番された値をユーザＩＤとして用いる。

【0085】

利用者登録部２０２は、ユーザＩＤと個人情報をアカウント管理データベースに記憶する（図９参照）。なお、図９に示すように、アカウント管理データベースは、ユーザＩＤ、個人情報及びサービス事業者ごとの個人識別ＩＤを対応付けて記憶する。また、図９に示すアカウント管理データベースは例示であって、記憶する項目等を限定する趣旨ではない。例えば、利用者登録された日時等がアカウント管理データベースに登録されていてもよい。

【0086】

利用者登録部２０２は、生成したユーザＩＤを端末３０に送信する。

【0087】

さらに、利用者登録部２０２は、ＧＵＩ（Graphical User Interface）等を用いて、利用者が自身のユーザデータ（蓄積データ）を参照する際のアプリケーションに関する情報を取得する。例えば、利用者は、バイタルデータを参照する際に使用するアプリケーション、病名を参照する際に使用するアプリケーション、銀行の取引履歴を参照する際に使用するアプリケーション等の情報を入力する。

【0088】

利用者登録部２０２は、取得したアプリケーションに関する情報（例えば、アプリケーション名）を利用者ごとに用意されたアプリケーション管理データベースに記憶する（図１０参照）。

【0089】

図１０に示すように、アプリケーション管理データベースには、パーソナルデータ（蓄積データ）ごとに各アプリケーションが利用可能か否か記憶されている。例えば、アプリケーションＡＰＬ１は、少なくともバイタルデータ、病名、取引履歴の３つのユーザデータを取り扱うことができる。また、アプリケーションＡＰＬ２は、少なくともバイタルデータ及び取引履歴の２つのユーザデータを取り扱うことができる。

【0090】

図１０に示すアプリケーション管理データベースは、利用者Ａのアプリケーションを管理するためのデータベースである。また、図１０に示すアプリケーション管理データベースは例示であって、記憶する項目等を限定する趣旨ではない。

【0091】

なお、第１の実施形態では、理解の容易のため、利用者が自身のユーザデータを利用する際のアプリケーションはアプリケーション管理データベースにより管理される場合について説明する。しかし、当該アプリケーションはアカウント管理データベースにより管理されてもよい。

【0092】

ＩＤ連携部２０３は、上述のＩＤ連携を実現する手段である。ＩＤ連携部２０３は、サービス事業者の端末（例えば、病院端末４０）やサービスサーバ２０から「ＩＤ連携要求」を受信する。ＩＤ連携要求には、ＩＤ連携（サービス事業者の登録）を希望する利用者の個人特定情報、個人識別ＩＤ及び事業者コードが含まれる。

【0093】

ＩＤ連携部２０３は、個人特定情報（利用者の氏名、氏名と生年月日の組み合わせ等）をキーとしてアカウント管理データベースを検索し、対応する利用者を特定する。ＩＤ連携部２０３は、当該特定された利用者の個人識別ＩＤフィールドのうち事業者コードに対応するフィールドにＩＤ連携要求に含まれる個人識別ＩＤを設定する。即ち、ＩＤ連携部２０３は、個人特定情報からシステムアカウントに登録された利用者を特定し、当該特定した利用者のアカウントにおいてサービス事業者と個人識別ＩＤを対応付ける。

【0094】

図９に示すアカウント管理データベースを参照すると、利用者Ａは、病院、銀行とアカウント連携をしている。また、利用者Ｂは、銀行とアカウント連携している。

【0095】

所在情報管理部２０４は、サービス事業者から取得する所在情報を管理する手段である。所在情報管理部２０４は、サービス事業者が利用者にサービスを提供することで発生したユーザデータを第三者に提供可能なデータとして情報流通システムに登録するためのデータ蓄積を制御する。

【0096】

所在情報管理部２０４は、各サービスサーバ２０から取得した所在情報を所在情報データベースに記憶する（図１１参照）。図１１に示すように、所在情報データベースは、個人識別ＩＤ、事業者コード、データＩＤ、データ種類、データ蓄積日等を対応付けて記憶する。

【0097】

なお、図１１に示す所在情報データベースは例示であって、記憶する項目等を限定する趣旨ではない。例えば、各利用者のユーザＩＤが所在情報データベースに記憶されていてもよい。また、図１１を含む図面において、理解の容易のため、事業者コードをサービス事業者の名称を用いて表記している。

【0098】

図１１に示す所在情報データベースを参照すると、個別識別ＩＤが「ＨＬ０１」の利用者Ａは、病院から「バイタルデータ」と「病名」に関するデータ蓄積を受けていることが分かる。また、個別識別ＩＤが「ＢＡ０１」の利用者Ａは、銀行から「取引履歴」に関するデータ蓄積を受けていることが分かる。同様に、個別識別ＩＤが「ＢＡ０２」の利用者Ｂは、銀行から「取引履歴」に関するデータ蓄積を受けていることが分かる。

【0099】

データ共有制御部２０５は、個人間のデータ共有に関する制御を実行する手段である。

【0100】

データ共有制御部２０５は、同意を取得する取得手段としての機能と、データ共有先に情報を通知する通知手段としての機能と、データ共有先にアクセス権を設定する設定手段としての機能と、を備える。

【0101】

取得手段は、第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、第２の利用者がデータ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を第１の利用者から取得する。通知手段は、第２の利用者（データ共有先）に、第１の利用者（データ共有元）が同意したアプリケーションを通知する。設定手段は、当該通知されたアプリケーションを用いてデータ共有の対象となるパーソナルデータにアクセスするためのアクセス権を第２の利用者に設定する。

【0102】

ここでは、利用者Ａが、利用者Ｃにバイタルデータの共有を許可する場合を例にとりデータ共有制御部２０５の動作を説明する。この場合、利用者Ａは、端末３０を操作して流通制御サーバ１０にアクセスする。利用者Ａは、自身のポータルサイトにログインする。

【0103】

利用者Ａがポータルサイト上で所定の動作を行うと、データ共有制御部２０５は、ＧＵＩ等を用いて、利用者Ａがデータ共有を許可する利用者（データ共有先の利用者）を取得する。例えば、データ共有制御部２０５は、利用者Ａから利用者Ｃの氏名等を取得することで、利用者Ａがデータ共有を許可する利用者Ｃを特定する。

【0104】

次に、データ共有制御部２０５は、利用者Ａの蓄積データのデータ種類を取得する。データ共有制御部２０５は、所在情報データベースを参照する。データ共有制御部２０５は、利用者Ａに関する蓄積データのデータ種類を所在情報データベースから取得する。例えば、データ共有制御部２０５は、利用者Ａに関し、バイタルデータ、病名、取引履歴といった種類のデータが蓄積されていることを把握する。

【0105】

データ共有制御部２０５は、把握した蓄積データのデータ種類の一覧を生成する。データ共有制御部２０５は、生成したデータ種類の一覧を利用者Ａの端末３０に表示する。例えば、データ共有制御部２０５は、図１２に示すようなＧＵＩを端末３０に表示する。利用者Ａは、表示されたデータ種類の一覧のなかからデータ共有を許可するデータ種類を選択する。例えば、利用者Ａは、「バイタルデータ」を選択する。

【0106】

このように、データ共有制御部２０５は、データ共有元の複数のパーソナルデータそれぞれに対応するデータ種類について、データ共有先にデータ共有を許可するか否かデータ共有元から取得する。

【0107】

利用者Ａがデータ共有先（利用者Ｃ）にデータ共有を許可するデータ種類を選択すると、データ共有制御部２０５は、ＧＵＩ等を用いて、当該選択されたデータの利用を許可するアプリケーションを取得する。

【0108】

その際、データ共有制御部２０５は、アプリケーション管理データベースを参照し、利用者Ａが選択したデータ（蓄積データのデータ種類）に対して利用者が利用しているアプリケーションを取得する。上記の例では、バイタルデータが共有対象として選択されているので、データ共有制御部２０５は、アプリケーションＡＰＬ１、ＡＰＬ２を取得する（図１０参照）。

【0109】

データ共有制御部２０５は、取得したアプリケーションの一覧を表示しつつ、各アプリケーションによるデータ（データ共有により取得したデータ）の利用をデータ共有先（利用者Ｃ）に利用者Ａが許可するか否かを取得する。例えば、データ共有制御部２０５は、図１３に示すようなＧＵＩを用いて、利用者Ａの選択（利用者Ｃの端末３０がバイタルデータを利用可能なアプリケーション）を取得する。

【0110】

このように、データ共有制御部２０５は、アプリケーション管理データベースに記憶されたアプリケーション（利用者Ａが利用するアプリケーション）のなかからデータ共有先（利用者Ｃ）に利用を許可するアプリケーションを利用者Ａから取得する。

【0111】

データ共有制御部２０５は、ＧＵＩ等を用いて、利用者Ａがデータ共有を許可（設定）する利用者Ｃ、データ共有の対象となるデータ種類（バイタルデータ）、当該バイタルデータの利用を許可するアプリケーションの情報（ＡＰＬ１、ＡＰＬ２）を取得する。

【0112】

これらの情報を取得すると、データ共有制御部２０５は、利用者Ａが設定したデータ共有の内容を確認するように利用者Ｃに要求する。データ共有制御部２０５は、データ共有元（利用者Ａ）が同意したアプリケーションと共にデータ提供元から取得されたデータ種類をデータ共有先（利用者Ｃ）に通知する。

【0113】

具体的には、データ共有制御部２０５は、データ共有先（利用者Ｃ）の所持する端末３０に対し、データ共有が許可されたデータ種類及び利用可能なアプリケーションの情報等を含む「共有設定確認要求」を送信する。上記の例では、データ共有制御部２０５は、データ種類「バイタルデータ」、利用可能アプリケーション「ＡＰＬ１」、「ＡＰＬ２」を含む共有設定確認要求を端末３０に送信する。

【0114】

データ共有制御部２０５は、データ共有先（利用者Ｃ）の端末３０から共有設定確認要求に対する応答（肯定応答、否定応答）を受信する。

【0115】

否定応答を受信した場合（データ共有の提案が拒否された場合）、データ共有制御部２０５は、その旨を利用者Ａ（データ共有元）に通知する。

【0116】

肯定応答を受信した場合（データ共有の提案が受け入れられた場合）、データ共有制御部２０５は、サービス事業者が記憶するユーザデータ（蓄積データ）に対するアクセス権をデータ共有先（利用者Ｃ）に設定する。上記の例では、データ共有制御部２０５は、利用者Ａのバイタルデータを蓄積する病院（病院のサービスサーバ２０）に対し、利用者Ｃがバイタルデータにアクセス（参照）するためのアクセス権の設定を指示する。

【0117】

この場合、データ共有制御部２０５は、データ共有先（利用者Ｃ）が、データ共有元（利用者Ａ）のユーザデータにアクセスするためのアクセス情報を生成する。例えば、データ共有制御部２０５は、ＩＤとパスワードの組み合わせを認証情報として生成する。データ共有制御部２０５は、当該生成された認証情報と、データ共有先（利用者Ｃ）の端末３０がアクセスするサービスサーバ２０のアドレスと、の組み合わせをアクセス情報として生成する。

【0118】

データ共有制御部２０５は、アクセス情報を生成すると、利用者管理データベースに新たなエントリを追加する（図１４参照）。データ共有制御部２０５は、当該追加したエントリに、アクセス情報、データ共有先（利用者ＣのユーザＩＤ）、データ蓄積者の事業者コード、データ種類、利用可能アプリケーション等を記憶する。

【0119】

図１４に示す利用者管理データベースは、利用者Ａのデータ共有状況を記憶するデータベースである。図１４を参照すると、利用者Ａは、利用者Ｂに対して「バイタルデータ」、「病名」、「取引履歴」をデータ共有している。また、利用者Ａは、利用者Ｃに対して「バイタルデータ」をデータ共有している。

【0120】

なお、図１４に示す利用者管理データベースは例示であって、記憶する項目等を限定する趣旨ではない。例えば、データ共有が設定された日時等が利用者管理データベースに登録されていてもよい。また、図１４において、理解の容易のため、データ共有先フィールドには、データ共有先となる利用者の名前が記載されている。

【0121】

利用者管理データベースを更新すると、データ共有制御部２０５は、生成したアクセス情報、データ共有元の個人識別ＩＤ、データ種類を含む「アクセス権設定指示」をサービス事業者のサービスサーバ２０に送信する。

【0122】

また、データ共有制御部２０５は、アクセス情報をデータ共有先（利用者Ｃ）に通知する。データ共有制御部２０５は、アクセス情報をデータ共有先（利用者Ｃ）の端末３０に送信する。

【0123】

このように、データ共有制御部２０５は、データ共有先、データ共有の対象データ、データ共有先が利用するアプリケーションに関する情報をデータ共有元から取得することで、データ共有の設定に関する同意を取得する。

【0124】

あるいは、データ共有制御部２０５は、共有設定確認通知をデータ共有先の端末３０に送信する前に、当該データ共有先に設定されるデータ共有の詳細をデータ共有元に表示し、データ共有元から明示的な同意を取得してもよい。

【0125】

記憶部２０６は、流通制御サーバ１０の動作に必要な情報を記憶する。記憶部２０６には、アカウント管理データベース等が構築される。記憶部２０６は、利用者管理データベース等を用いて、情報流通システムに参加する、複数の利用者それぞれのデータ共有に関する状況を記憶する。記憶部２０６は、アプリケーション管理データベースを用いて、データ共有元のパーソナルデータを当該データ共有元が利用可能なアプリケーションの情報を記憶する。

【0126】

［サービスサーバ］
図１５は、第１の実施形態に係るサービスサーバ２０の処理構成（処理モジュール）の一例を示す図である。図１５を参照すると、サービスサーバ２０は、通信制御部３０１と、ＩＤ連携制御部３０２と、データ蓄積制御部３０３と、データ共有部３０４と、記憶部３０５と、を備える。

【0127】

通信制御部３０１は、他の装置との間の通信を制御する手段である。例えば、通信制御部３０１は、流通制御サーバ１０からデータ（パケット）を受信する。また、通信制御部３０１は、流通制御サーバ１０に向けてデータを送信する。通信制御部３０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部３０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部３０１を介して他の装置とデータの送受信を行う。通信制御部３０１は、他の装置からデータを受信する受信部としての機能と、他の装置に向けてデータを送信する送信部としての機能と、を備える。

【0128】

ＩＤ連携制御部３０２は、利用者のＩＤ連携に関する制御を行う手段である。ＩＤ連携制御部３０２は、ＧＵＩ（Graphical User Interface）等を用いてアカウントにログインしている利用者からＩＤ連携の要望を取得する。ＩＤ連携制御部３０２は、利用者からの要望に応じて、個人特定情報（ログインしている利用者の氏名等）、個人識別ＩＤ（当該利用者の会員番号等）及び事業者コードを含む「ＩＤ連携要求」を流通制御サーバ１０に送信する。

【0129】

なお、利用者の個人識別ＩＤ、個人特定情報及びユーザデータ等は、顧客情報データベースを用いて管理される（図１６参照）。図１６に示すように、顧客情報データベースは、利用者のＩＤ連携が完了しているか否かの情報（フラグ）を保持する。ＩＤ連携制御部３０２は、ＩＤ連携を完了すると、対応する利用者のＩＤ連携状態フィールドにフラグをセットする（図１６では、丸印が設定されている）。

【0130】

データ蓄積制御部３０３は、利用者に対してサービスを提供した結果生じるユーザデータの蓄積に関する制御を行う手段である。データ蓄積制御部３０３は、利用者の個人識別ＩＤと、当該利用者のユーザデータ（利用者にサービスを提供した結果生じたデータ、又は、利用者に提供するサービスに必要なデータ）を対応付けて顧客情報データベースに記憶する。

【0131】

図１６に示すように、データ蓄積制御部３０３は、発生したデータの種類に応じたフィールドにユーザデータを記憶する（具体的なデータの内容を記憶する）。その際、データ蓄積制御部３０３は、ユーザデータを識別するためのデータＩＤを生成し、ユーザデータ及びデータ蓄積日と対応付けて記憶する。なお、図１６は、病院のサービスサーバ２０に構築された顧客情報データベースの一例を示す。

【0132】

ここで、ＩＤ連携が完了している利用者に関し、データ蓄積制御部３０３は、ユーザデータを顧客情報データベースに記憶するたびに、所在情報を流通制御サーバ１０に送信する。例えば、個人識別ＩＤ「ＨＬ０１」の利用者Ａに健診サービスが提供され、健康診断結果としてバイタルデータ（例えば、血圧）が発生した場合を考える。この場合、個人識別ＩＤ「ＨＬ０１」、事業者コード「病院」、データＩＤ「ＨＬＤ０１」、データ種類「バイタルデータ」を含む所在情報が流通制御サーバ１０に送信される。

【0133】

データ共有部３０４は、「共有」によるデータ流通を実現する手段である。データ共有部３０４は、流通制御サーバ１０から受信した「アクセス権設定指示」を処理する。

【0134】

アクセス権設定指示を受信した場合には、データ共有部３０４は、アクセス権管理データベースにエントリを追加し、当該追加したエントリにアクセス権設定指示に含まれる情報を設定する。具体的には、データ共有部３０４は、認証情報、データ共有元の個人識別ＩＤ、データ種類、利用可能アプリケーション等をアクセス権管理データベースに設定する（図１７参照）。

【0135】

データ共有部３０４は、利用者の端末３０から受信した「データ共有要請」を処理する。データ共有部３０４は、データ共有要請に含まれる認証情報をキーとしてアクセス権管理データベースを検索する。データ共有部３０４は、アクセス権管理データベースを検索することで、認証情報に対応する個人識別ＩＤ、データ種類及び利用可能アプリケーションを特定する。

【0136】

データ共有部３０４は、検索により特定された利用可能アプリケーションのなかにデータ共有要請に含まれる利用予定アプリケーション（端末３０から通知されたアプリケーション）が含まれるか否か判定する。

【0137】

利用可能アプリケーションのなかに利用予定アプリケーション（端末３０から通知されたアプリケーション名）が含まれる場合、データ共有部３０４は、特定された個人識別ＩＤをキーとして顧客情報データベースを検索する。データ共有部３０４は、顧客情報データベースを検索し、対応するエントリを特定する。

【0138】

データ共有部３０４は、顧客情報データベースの特定されたエントリのうち上記特定されたデータ種類に対応するフィールドから設定値（ユーザデータ）を読み出す。

【0139】

例えば、認証情報「Ｒ０４」、利用予定アプリケーション「ＡＰＬ１」を含むデータ共有要請を受信した場合、データ共有部３０４は、図１６に示す利用者Ａの具体的なバイタルデータ（１３５／８５ｍｍＨｇ、１３３／８９ｍｍＨｇ）を読み出す。

【0140】

データ共有部３０４は、読み出したバイタルデータをデータ共有要請元に送信する。上記の例では、データ共有部３０４は、利用者Ａのバイタルデータを利用者Ｃが所持する端末３０に送信する。

【0141】

利用可能アプリケーションのなかに端末３０が利用予定アプリケーション（端末３０から通知されたアプリケーション名）が含まれない場合、データ共有部３０４は、データ共有要請の送信元（利用者Ｃの端末３０）に対して、データ共有不可を通知する。例えば、データ共有部３０４は、無効なデータを示す「Ｎｏｎｅ」や「Ｎｕｌｌ」を端末３０に送信する。

【0142】

あるいは、データ共有要請に含まれる認証情報がアクセス権管理データベースに登録されていない場合にも、データ共有部３０４は、データ共有要請の送信元（利用者Ｃの端末３０）に対して、データ共有不可を通知する。

【0143】

記憶部３０５は、サービスサーバ２０の動作に必要な情報を記憶する。

【0144】

［端末］
端末３０には、スマートフォン、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。端末３０は、利用者の操作を受け付け、流通制御サーバ１０等と通信可能であれば任意の機器、デバイスとすることができる。また、端末３０の構成等は当業者にとって明らかであるので、詳細な説明を省略する。

【0145】

データ共有先の利用者が所持する端末３０は、流通制御サーバ１０からアクセス情報を受信する。端末３０は、受信したアクセス情報を記憶する。

【0146】

データ共有先の利用者が所持する端末３０は、利用者がデータ共有を希望すると、アクセス情報に含まれる認証情報、利用予定アプリケーションを含むデータ共有要請を、アクセス情報に含まれるサービスサーバ２０のアドレスに送信する。

【0147】

［病院端末］
病院端末４０には、スマートフォン、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。病院端末４０は、病院職員の操作を受け付け、流通制御サーバ１０等と通信可能であれば任意の機器、デバイスとすることができる。また、病院端末４０の構成等は当業者にとって明らかであるので、詳細な説明を省略する。

【0148】

病院端末４０は、病院職員の操作に応じて、ＩＤ連携要求を流通制御サーバ１０に送信すればよい。また、病院端末４０は、ＩＤ連携要求を自社のサービスサーバ２０にも送信する。サービスサーバ２０（ＩＤ連携制御部３０２）は、ＩＤ連携要求に含まれる個人識別ＩＤに対応する利用者のエントリ（顧客情報データベースのエントリ）のＩＤ連携状態フィールドにフラグをセットする。

【0149】

［システムの動作］
続いて、第１の実施形態に係る情報流通システムの動作について説明する。図１８は、第１の実施形態に係る情報流通システムの動作の一例を示すシーケンス図である。図１８を参照し、データ共有先にアクセス権を設定する場合の情報流通システムの動作を説明する。

【0150】

流通制御サーバ１０は、データ共有元の端末３０からデータ共有に関する情報を取得すると、データ共有先の端末３０に対し、「共有設定確認要求」を送信する（ステップＳ１１）。

【0151】

データ共有先の端末３０は、共有設定要求に含まれる情報を用いて、提案されたデータ共有を受け入れるか否か利用者に問い合わせる。端末３０は、ＧＵＩ等を用いて、利用者の考え（意思）を取得する。端末３０は、取得した意思に基づいて共有設定確認要求に対する応答を送信する（ステップＳ１２）。

【0152】

データ共有先が提案されたデータ共有を受け入れると、流通制御サーバ１０は、データ共有の対象となるデータにデータ共有先のアクセス権を設定する。流通制御サーバ１０は、アクセス情報等を含むアクセス権設定指示をサービス事業者のサービスサーバ２０に送信する（ステップＳ１３）。

【0153】

図１９は、第１の実施形態に係る情報流通システムの動作の一例を示すシーケンス図である。図１９を参照し、データ共有先が、データ共有によりパーソナルデータを取得する場合の情報流通システムの動作を説明する。

【0154】

利用者が端末３０を操作して、所定の動作を行うと、端末３０は、アクセス情報に含まれるサービスサーバ２０のアドレスに対し、データ共有要請を送信する（ステップＳ２１）。データ共有要請には、認証情報及びユーザデータを利用する予定の利用予定アプリケーションの情報が含まれる。

【0155】

サービスサーバ２０は、認証情報を用いてデータ共有の対象データを特定する。また、サービスサーバ２０は、データ共有先が通知した利用予定アプリケーションは対象データの利用が許可されたアプリケーションか否か判定する。

【0156】

通知された利用予定アプリケーションが利用可能なアプリケーションであれば、サービスサーバ２０は、認証情報により特定されたデータ（ユーザデータ）を端末３０に送信する（ステップＳ２２）。端末３０は、サービス事業者に事前に通知したアプリケーションを用いて取得したユーザデータを利用する。

【0157】

＜第１の実施形態に係る変形例＞
上記実施形態では、データ共有元がデータ共有先を選択する場合について説明した。しかし、データ共有は、データ共有先からの要求に応じて設定されてもよい。

【0158】

この場合、データ共有先は、システムアカウントにログインし、データ共有を希望する相手（データ共有元）、共有を希望するデータ種類、共有データを利用するアプリケーション等を入力する。

【0159】

データ共有制御部２０５は、データ共有元に対し、要求されたデータ共有に同意するか否か問い合わせる。具体的には、データ共有制御部２０５は、上記入力された情報を含む「共有問合せ」をデータ共有元の端末３０に送信する。

【0160】

データ共有元がデータ共有に同意すれば、データ共有制御部２０５は、データ共有先にアクセス権を設定する。データ共有制御部２０５は、共有対象のデータを蓄積するサービスサーバ２０に対して「アクセス権設定指示」を送信する。また、データ共有制御部２０５は、データ共有先の端末３０にアクセス情報を送信する。

【0161】

以上のように、第１の実施形態に係る情報流通システムにおいて、流通制御サーバ１０は、アプリケーション単位の個人間データ共有を実現する。流通制御サーバ１０は、図１４に示すように、システムを利用する各個人（データ共有元）の蓄積データに関し、アプリケーション単位の共有同意状況と、共有先単位（個人単位）の共有同意状況と、を記憶し、管理する。流通制御サーバ１０は、図１４に示すような２つのデータ共有の同意状況を、利用者管理データベースを用いて管理する。

【0162】

情報流通システムにおいて、共有元の個人は、共有先の個人に対して利用可能なアプリケーションを通知することで、アプリケーション単位の共有同意が実現される。具体的には、データ共有元は、データ共有先にデータ共有の同意を与える際、利用可能なアプリケーションを当該データ共有先に通知する。データ共有先は、利用可能なアプリケーションを使ってデータ共有元のデータを参照できる。データ参照（データ取得）は、２つの共有同意の論理積によりアクセス制御される。具体的には、流通制御サーバ１０は、サービス事業者に対し、データ共有元、データ種類に加え、認証情報、利用可能なアプリケーションの情報をサービス事業者に通知する。サービス事業者は、認証情報によりデータ共有が許可された個人を特定し、当該特定された個人に対し、蓄積データにアクセスすることを許可する。

【0163】

また、流通制御サーバ１０は、図１０に示すように、データ共有元が利用するアプリケーションに関する情報を記憶する。流通制御サーバ１０は、データ共有元が、データ共有先に通知するアプリケーション（利用同意を与えるアプリケーション）を選択する際、当該記憶されたアプリケーションの一覧をデータ共有元に提示する。その結果、データ提供元は、自身の端末３０にて使用しているアプリケーションのなかからデータ共有先に利用許可を与えるアプリケーションを選択できる。即ち、データ共有元は、日常的に使用し、且つ、素性や動作等を熟知しているアプリケーション（素性等を信頼しているアプリケーション）の利用をデータ共有先に許可する。ユーザデータ（パーソナルデータ）を扱うアプリケーションは、ＷＥＢ（ウェブ）上のサーバで実行されることも多く、当該サーバの運営者等は当該ユーザデータを知ることができる状況にある。そのため、データ共有元は、信頼性の高いアプリケーションの利用をデータ共有先に許可することで、意図しない情報漏洩やデータの不正利用を防ぐことができる。換言すれば、データ共有先は、データ共有元がパーソナルデータにアクセスを許可してないアプリケーションにアクセスできないので、共有対象となるパーソナルデータに関するより高いセキュリティが実現される。

【0164】

上記説明したように、第１の実施形態に係る情報流通システムは、異種アプリケーションを利用した個人間パーソナルデータ共有の際に適切な個人同意の取得を実現する。当該実現のため、情報流通システムは、共有元個人が、共有先個人と、共有先個人が利用可能なアプリケーションと、を合わせて指定可能な同意管理およびデータ共有機能を提供する。より具体的には、情報流通システムは、アプリケーション共有同意管理手段と、共有先個人管理手段と、共有通知手段と、アクセス制御手段と、を備える個人間パーソナルデータ共有システムである。アプリケーション共有同意管理手段は、共有元個人がアプリケーションに対するデータ共有同意を管理する。共有先個人管理手段は、共有元個人が共有先個人に対するデータ共有同意を管理する。共有通知手段は、共有元個人が共有先個人に共有可能なデータと利用可能なアプリケーションを通知する。アクセス制御手段は、アプリケーション及び共有先個人の双方に対するデータ共有同意に基づくデータアクセス制御を行う。

【0165】

［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。

【0166】

第２の実施形態では、データ共有の提案を受けた利用者（データ共有先）が自身の端末３０で利用したいアプリケーションをデータ共有元に申請する場合について説明する。アプリケーションに関する利用申請を受けたデータ共有元は、当該アプリケーションの詳細を確認し、申請を受け付けるか否か判定する。

【0167】

なお、第２の実施形態に係る情報流通システムの構成は第１の実施形態と同一とすることができるので図３に相当する説明を省略する。また、第２の実施形態に係る流通制御サーバ１０等の処理構成も第１の実施形態と同一とすることができるので、その説明を省略する。

【0168】

以下、第１の実施形態と第２の実施形態の相違点を中心に説明する。

【0169】

第２の実施形態に係る流通制御サーバ１０のデータ共有制御部２０５は、アプリケーションの利用申請を処理する申請処理手段としての機能を備える。

【0170】

共有設定確認要求を受信した際、データ共有先の端末３０は、データ共有先が提案されたデータ共有を受け入れるか否か取得する。その際、データ共有先が提案されたデータ共有を拒否した場合、端末３０は、当該データ共有先の利用者が希望するアプリケーション（共有データの利用に使用するアプリケーション）を取得する。

【0171】

例えば、端末３０は、図２０に示すようなＧＵＩを用いて、提案された共有データを扱うアプリケーションに関する希望（データ共有先の利用者の希望）を取得する。端末３０は、自装置にインストールされているアプリケーションの情報等を用いて、図２０に示すようなＧＵＩを生成する。

【0172】

利用者がアプリケーションを選択（決定）すると、端末３０は、当該選択されたアプリケーションを流通制御サーバ１０に通知する。例えば、端末３０は、上記選択されたアプリケーションを含む否定応答（共有設定確認要求に対する否定応答）を流通制御サーバ１０に送信する。

【0173】

流通制御サーバ１０のデータ共有制御部２０５は、アプリケーションを含む否定応答を「アプリケーション利用申請」と取り扱う。アプリケーション利用申請を受信すると、データ共有制御部２０５は、申請されたアプリケーションの利用可否をデータ共有元に問い合わせる。

【0174】

例えば、データ共有制御部２０５は、図２１に示すようなＧＵＩをデータ共有元の端末３０に表示する。データ共有制御部２０５は、利用者がアプリケーションの利用申請を承認するか拒否するか取得する。

【0175】

その際、データ共有制御部２０５は、データ共有先から利用申請されたアプリケーションの詳細を「カタログ」として端末３０に表示してもよい。データ共有制御部２０５は、利用者がアプリケーションの利用申請を受け入れるか否かの判断を補助するため、申請されたアプリケーションの製造メーカや当該アプリケーションのセキュリティに関する情報を端末３０に表示してもよい。データ共有制御部２０５は、利用申請が行われたアプリケーションの信頼性に関する検証を支援してもよい。

【0176】

あるいは、データ共有制御部２０５は、利用者（データ共有元）が利用するアプリケーションと利用申請が行われたアプリケーションの信頼性を比較した結果を利用者に提案してもよい。例えば、データ共有制御部２０５は、外部機関等が作成した信頼性レベルを用いて、利用者が利用しているアプリケーションと同等レベル以上の信頼性レベルを有するアプリケーションを利用者に提案してもよい。

【0177】

なお、申請されたアプリケーションに関する情報（製造メーカ、セキュリティに関する情報等）は、流通制御サーバ１０とは異なる外部のサーバ等から取得されてもよい。利用申請されたアプリケーションに関する情報は、利用者が自ら調べるのではなく、データ流通基盤（情報流通システム）側から利用者に提供されてもよい。

【0178】

データ共有元が、利用申請されたアプリケーションを受け入れると、データ共有制御部２０５は、当該利用申請されたアプリケーションを含むアクセス権設定指示をサービス事業者のサービスサーバ２０に送信する。また、データ共有先にアクセス権を設定すると、データ共有制御部２０５は、当該設定されたアクセス権の情報を利用者管理データベースに反映する。さらに、データ共有制御部２０５は、設定したアクセス権に関するアクセス情報をデータ共有先の端末３０に送信する。

【0179】

＜第２の実施形態に係る変形例＞
アプリケーション利用申請を受信した際、データ共有制御部２０５は、データ共有者の蓄積データそれぞれに対して当該申請されたアプリケーションの利用可否を取得してもよい。例えば、利用者Ａの蓄積データが「バイタルデータ」、「病名」及び「取引履歴」であって、アプリケーションＡＰＬ３の利用申請が行われた場合を考える。この場合、データ共有制御部２０５は、バイタルデータ、病名及び取引履歴のそれぞれについて、アプリケーションＡＰＬ３の利用可否に関する利用者の意思（考え）を取得してもよい。

【0180】

以上のように、第２の実施形態に係る流通制御サーバ１０は、データ共有先から、当該データ共有先に通知されたアプリケーションとは異なるアプリケーションの利用申請を受け付ける。流通制御サーバ１０は、データ共有先が利用申請されたアプリケーションを利用することの可否をデータ共有元から取得する。さらに、流通制御サーバ１０は、利用申請されたアプリケーションの情報をデータ共有元に提供しつつ、データ共有先が当該利用申請されたアプリケーションを利用することの可否をデータ共有元から取得してもよい。このような構成によって、データ共有先は、データ共有先から利用許可が通知されたアプリケーションが自身の端末３０にインストールされていない場合であっても、データ共有先のパーソナルデータを利用できる。また、データ共有元は、申請されたアプリケーションの詳細な情報を参照し、当該アプリケーションの利用を許可するか否か決定できる。

【0181】

このように、第２の実施形態において、流通制御サーバ１０は、データ共有の同意を受けている個人（データ共有先）から使用したいアプリケーションの申告をしてもよい。この場合、データ共有元の個人が、申告を受けたアプリケーションに対する共有可否を判断する。また、流通制御サーバ１０は、データ共有元の個人に関し、アプリケーションの利用申告に対して許可を与えたアプリケーションを、利用者管理データベースを用いて管理する。即ち、データ共有先が、データ共有元から通知されたアプリケーションを使用できない場合、使用したいアプリケーションの申請を行う。データ共有先は、申請されたアプリケーションの詳細を確認し、当該アプリケーションによるパーソナルデータへのアクセスを許可するか否か判定する。その際、流通制御サーバ１０は、データ共有元の判断を助けるため、利用申請されたアプリケーションの詳細（製造メーカ、セキュリティの情報等）をデータ共有元に通知してもよい。

【0182】

上記説明したように、第２の実施形態に係る情報流通システムは、データ共有先の個人が指定されたアプリケーション以外のアプリケーションで共有されたデータにアクセスしたい場合、データ共有元に利用可能なアプリケーションの追加を要求する機能を備える。第２の実施形態に係る情報流通システムは、共有通知を受信したデータ共有先の個人が利用したいアプリケーションをデータ共有元の個人にリクエストするアプリケーション追加要求補助手段を持つシステムである。さらに、第２の実施形態に係る情報流通システムは、アプリケーション追加要求を受信したデータ共有元の個人が指定されたアプリケーションの信頼性を確認した上で、共有先が利用するアプリケーションとして追加する機能を備える。第２の実施形態に係る情報種通システムは、アプリケーションカタログ管理手段と、アプリケーション信頼性確認補助手段と、を備える、共有先アプリケーション追加補助システムである。アプリケーションカタログ管理手段は、データ連携基盤に接続可能なアプリケーションのセキュリティ要件、ＰＩＡ（Privacy Impact Assessment）等の定期的なセキュリティ監査結果を管理する。アプリケーション信頼性確認補助手段は、アプリケーション追加要求を受信した個人による当該アプリケーションの信頼性確認を支援する。

【0183】

続いて、情報流通システムを構成する各装置のハードウェアについて説明する。図２２は、流通制御サーバ１０のハードウェア構成の一例を示す図である。

【0184】

流通制御サーバ１０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図２２に例示する構成を備える。例えば、流通制御サーバ１０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

【0185】

但し、図２２に示す構成は、流通制御サーバ１０のハードウェア構成を限定する趣旨ではない。流通制御サーバ１０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、流通制御サーバ１０に含まれるプロセッサ３１１等の数も図２２の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が流通制御サーバ１０に含まれていてもよい。

【0186】

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

【0187】

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

【0188】

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

【0189】

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

【0190】

流通制御サーバ１０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

【0191】

なお、サービスサーバ２０等も流通制御サーバ１０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は流通制御サーバ１０と相違する点はないので説明を省略する。

【0192】

情報処理装置である流通制御サーバ１０は、コンピュータを搭載し、当該コンピュータにプログラムを実行させることで流通制御サーバ１０の機能が実現できる。また、流通制御サーバ１０は、当該プログラムにより流通制御サーバ１０の制御方法を実行する。

【0193】

［変形例］
なお、上記実施形態にて説明した情報流通システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

【0194】

上記実施形態では、流通制御サーバ１０の内部にアカウント管理データベース等が構成される場合について説明したが、当該データベースは外部のデータベースサーバ等に構築されてもよい。即ち、流通制御サーバ１０の一部の機能は別のサーバに実装されていてもよい。より具体的には、上記説明した「データ流通制御部（データ流通制御手段）」等がシステムに含まれるいずれかの装置に実装されていればよい。

【0195】

各装置（流通制御サーバ１０、サービスサーバ２０等）間のデータ送受信の形態は特に限定されないが、これら装置間で送受信されるデータは暗号化されていてもよい。これらの装置間では、利用者の個人情報等が送受信され、これらの情報を適切に保護するためには、暗号化されたデータが送受信されることが望ましい。

【0196】

上記説明で用いた流れ図（フローチャート、シーケンス図）では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

【0197】

上記の実施形態は本願開示の理解を容易にするために詳細に説明したものであり、上記説明したすべての構成が必要であることを意図したものではない。また、複数の実施形態について説明した場合には、各実施形態は単独で用いてもよいし、組み合わせて用いてもよい。例えば、実施形態の構成の一部を他の実施形態の構成に置き換えることや、実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、実施形態の構成の一部について他の構成の追加、削除、置換が可能である。

【0198】

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、利用者に提供されるサービスに関する蓄積データを流通する情報流通システムなどに好適に適用可能である。

【0199】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する、取得手段と、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、
を備える、サーバ装置。
［付記２］
前記取得手段は、前記第１の利用者の複数のパーソナルデータそれぞれに対応するデータ種類について、前記第２の利用者に前記データ共有を許可するか否か前記第１の利用者から取得する、付記１に記載のサーバ装置。
［付記３］
前記通知手段は、前記第１の利用者が同意したアプリケーションと共に前記取得されたデータ種類を前記第２の利用者に通知する、付記２に記載のサーバ装置。
［付記４］
前記第１の利用者のパーソナルデータを前記第１の利用者が利用可能なアプリケーションを記憶する、記憶手段をさらに備える、付記３に記載のサーバ装置。
［付記５］
前記取得手段は、前記記憶されたアプリケーションのなかから前記第２の利用者に利用を許可するアプリケーションを前記第１の利用者から取得し、
前記通知手段は、前記第１の利用者から取得したアプリケーションを前記第２の利用者に通知する、付記４に記載のサーバ装置。
［付記６］
前記通知されたアプリケーションを用いて前記データ共有の対象となるパーソナルデータにアクセスするためのアクセス権を前記第２の利用者に設定する、設定手段をさらに備える、付記１乃至５のいずれか一項に記載のサーバ装置。
［付記７］
前記第２の利用者から、前記通知されたアプリケーションとは異なるアプリケーションの利用申請を受け付け、前記第２の利用者が前記利用申請されたアプリケーションを利用することの可否を前記第１の利用者から取得する、申請処理手段をさらに備える、付記６に記載のサーバ装置。
［付記８］
前記申請処理手段は、前記利用申請されたアプリケーションの情報を前記第１の利用者に提供しつつ、前記第２の利用者が前記利用申請されたアプリケーションを利用することの可否を前記第１の利用者から取得する、付記７に記載のサーバ装置。
［付記９］
前記申請処理手段は、前記利用申請されたアプリケーションの製造メーカ又はセキュリティに関する情報を前記第１の利用者に提供する、付記８に記載のサーバ装置。
［付記１０］
第１の利用者が所持する、第１の端末と、
第２の利用者が所持する、第２の端末と、
サーバ装置と、
を含み、
前記サーバ装置は、
前記第１の利用者のパーソナルデータを前記第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の端末を介して取得する、取得手段と、
前記第２の端末を介して、前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、通知手段と、
を備える、システム。
［付記１１］
サーバ装置において、
第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得し、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する、サーバ装置の制御方法。
［付記１２］
サーバ装置に搭載されたコンピュータに、
第１の利用者のパーソナルデータを第２の利用者にデータ共有することに関する同意と、前記第２の利用者が前記データ共有されたパーソナルデータを利用するアプリケーションに関する同意と、を前記第１の利用者から取得する処理と、
前記第２の利用者に、前記第１の利用者が同意したアプリケーションを通知する処理と、
を実行させるためのプログラム。

【0200】

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。即ち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

【符号の説明】

【0201】

１０ 流通制御サーバ
２０ サービスサーバ
３０ 端末
４０ 病院端末
１００ サーバ装置
１０１ 取得手段
１０２ 通知手段
２０１ 通信制御部
２０２ 利用者登録部
２０３ ＩＤ連携部
２０４ 所在情報管理部
２０５ データ共有制御部
２０６ 記憶部
３０１ 通信制御部
３０２ ＩＤ連携制御部
３０３ データ蓄積制御部
３０４ データ共有部
３０５ 記憶部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】