JP2011133958A - 匿名度の指標値を算出する情報処理システムおよび匿名度の指標値の算出方法 - Google Patents

Abstract

【課題】個人情報の匿名化の度合い、言い換えると、個人が特定されてしまう蓋然性、を数値化して提示することができる情報処理システムを提供する。
【解決手段】匿名度の指標値を算出するための情報処理システムであって、個人情報に含まれ得る項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を格納した情報量データベース１４と、個人情報に含める項目として指定された項目名と当該項目のデータの入力欄とを含む入力画面を表示する入力画面表示部１２と、操作者に前記入力画面における前記入力欄へデータを入力させるデータ入力部１３と、前記入力画面において前記入力欄にデータが入力された項目の全てについて、入力されたデータが表す事象の情報量を情報量データベース１４から抽出して加算し、当該加算結果を、前記個人情報の匿名度の指標値として提示する指標値算出部１５とを備える。
【選択図】図５

Description

本発明は、個人情報を含む電子データの一部または全部を例えば統計等の目的で利用可能とする場合に、利用されるデータの匿名化の度合いを数値化して提示することが可能な情報処理システムと、匿名度の算出方法に関する。

近年、医療の分野においても、いわゆる電子カルテシステムなどの情報処理システムの導入が進み、患者の病気や診療内容などの、患者のプライバシーに関わる情報がコンピュータで管理されることが一般的となっている。また、症例報告、学術研究、または統計的な利用に供する目的で、実際の患者情報の一部または全部が電子カルテシステムから抽出され、二次利用されることもある。そのような場合に、患者のプライバシーを保護するという観点から、二次利用に提供される情報から患者個人を特定できないようにすることが、極めて重要な課題となっている。

このような状況を鑑み、例えば、日本の外科関連学会協議会では、症例報告を含む医学論文や学会研究会における学術発表においての患者プライバシー保護に関する指針を作成している。この指針においては、患者個人を特定可能な項目（例えば、氏名、入院番号、イニシャルまたは呼び名）を症例報告に記載しないこと、とされている。また、患者の住所は原則記載せず、疾患の発生場所が病態等に関与する場合であっても区域まで（例えば、県名または市名など）に限定して記載すること、とされている。

また、上述のようなガイドラインを策定するだけでなく、コンピュータシステム上で、患者のプライバシーを保護するための対策をとることも提案されている。例えば、特開２００５−１１５９１７号公報（特許文献１）においては、患者の医療情報を医療研究用で使う際に、患者の個人識別情報と分離した非−個人識別情報を診療コードと共に提供することにより、患者の個人情報流出を防止しようとするコンピュータシステムが提案されている。

特開２００５−１１５９１７号公報

しかしながら、患者の氏名等の項目を秘匿したとしても、なお、個人の特定が可能な場合がある。例えば、一項目のデータ単独では患者個人の特定が困難であっても、他の項目のデータとの組み合わせによっては、患者個人をほぼ特定可能なレベルまで絞り込める場合があることに注意を要する。例えば、学術研究の目的のために、年齢、性別、病名、処方薬、居住区域（例えば県名）等の項目を含む患者データが病院から第三者に提供された場合を想定する。つまり、この患者データには、患者の氏名は含まれていない。しかし、この場合に、例えば、「病名」のデータが非常に罹患率の低い疾病を表していた場合、他の項目のデータと組み合わせることで、患者個人が特定されてしまう蓋然性が極めて高くなる。具体例を示せば、「病名」が、日本全国での罹患率が非常に低い疾病である場合、「居住区域」のデータとの組み合わせにより、患者個人を極めて比較的高い精度で特定できてしまう。また、例えば、上記の項目に「薬の処方日」という項目が加わると、この項目のデータと「処方薬」の項目のデータとを組み合わせ、さらに、その日の当該地区の薬局の顧客リストを入手してそれと照らし合わせることにより、患者個人が特定されてしまう蓋然性は格段に高くなる。

したがって、患者の個人情報を含む電子データの一部または全部を、症例報告や統計等の二次利用に提供する場合に、提供されるデータが、その個人を容易には特定できない程度に十分に匿名化されているか否かをチェックできる仕組みが望まれる。

本発明はこのような課題を鑑み、個人情報の匿名化の度合い、言い換えると、個人が特定されてしまう蓋然性、を数値化して提示することができる情報処理システムを提供することを目的とする。

上記の目的を達成するために、本発明の一形態は、匿名度の指標値を算出するための情報処理システムであって、個人情報に含まれ得る項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を格納した情報量記憶手段と、個人情報に含める項目として指定された項目名と当該項目のデータの入力欄とを含む入力画面を表示する入力画面表示手段と、操作者に前記入力画面における前記入力欄へデータを入力させるデータ入力手段と、前記入力画面において前記入力欄にデータが入力された項目の全てについて、入力されたデータが表す事象の情報量を前記情報量記憶手段から抽出して加算し、当該加算結果を、前記個人情報の匿名度の指標値として提示する指標値算出手段とを備えたことを特徴とする。

なお、匿名度の指標値とは、個人が特定されてしまう蓋然性を、少なくとも相対的な数値として表すことができれば良い。すなわち、匿名度指標値は、匿名度が高いほど大きな値をとるような尺度で表しても良いし、その逆に、匿名度が高いほど小さな値をとるような尺度で表しても良い。

上記の個人情報処理システムにおいて、前記データが表す事象の発生確率をＰ（Ｅ）とし、当該データが表す事象の情報量をＩ（Ｅ）とすると、

Ｉ（Ｅ）＝−ｌｏｇＰ（Ｅ）
が成り立つことが好ましい。さらに、前記データが表す事象の発生確率として、疾患の罹患率、地域別人口分布、および、年齢分布の少なくとも一つを用いることが好ましい。

また、本発明の他の形態は、コンピュータを用いて匿名度の指標値を算出する方法であって、個人情報に含まれ得る項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を、コンピュータからアクセス可能な記憶手段に格納する情報量記憶工程と、個人情報に含める項目として指定された項目名と当該項目のデータの入力欄とを含む入力画面を、コンピュータのディスプレイに表示する入力画面表示工程と、前記入力画面における前記入力欄へのデータ入力を受け付けるデータ入力工程と、前記入力画面において前記入力欄にデータが入力された項目の全てについて、入力されたデータが表す事象の情報量を前記記憶手段から抽出して加算し、当該加算結果を、前記コンピュータのディスプレイ上で、前記個人情報の匿名度の指標値として提示する指標値算出工程とを含むことを特徴とする。

本発明によれば、個人情報を含むデータについて、個人情報の匿名化の度合い（個人が特定されてしまう蓋然性）を数値化して提示することができる情報処理システムを提供することができる。

図１は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。 図２は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。 図３は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。 図４は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。 図５は、本実施形態にかかる情報処理システムの機能的構成を示すブロック図である。 図６は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。 図７は、本発明の一実施形態にかかる情報処理システムの画面表示の一例を示す図である。

以下、本発明の一実施形態にかかる情報処理システムの具体例について、図面を参照しながら説明する。

本実施形態にかかる情報処理システムは、例えばパーソナルコンピュータ等のスタンドアローンシステムとして構築できるが、これに限らず、サーバ・クライアントシステムとして構成することも可能である。本実施形態にかかる情報処理システムは、例えば電子カルテシステム等から取得可能な患者情報を、症例報告、学術研究、または、統計等の二次利用の目的に提供する前に、その患者情報から個人が特定されてしまう蓋然性を数値化して表示する機能を有する。ここでは、個人が特定されてしまう蓋然性を数値化したものを、「匿名度指標値」と称する。

本実施形態にかかる情報処理システムは、電子カルテシステムの一部（一機能）として実現することもできるし、電子カルテシステムに接続された外部システム、あるいは、電子カルテシステムとは全く独立したシステムとして実現することもできる。電子カルテシステムの一部として実現する場合は、既存の電子カルテシステムへ、プラグインとして組み込むことも可能である。

ここで、図１〜図４に、本実施形態にかかる情報処理システムの画面表示例を示す。図１〜図４に示す例では、画面１００に、データを入力するために、年齢入力欄１０１、性別入力欄１０２、疾病名入力欄１０３、処方日付入力欄１０４、処方薬名入力欄１０５、居住地域入力欄１０６が表示されている。なお、上記の各入力欄へのデータ入力は、キーボードまたはテンキー等を用いた直接入力によっても良いし、ドロップダウンリスト等を用いて、予め設定されたデータ候補から選択入力する手法によっても良い。また、ドロップダウンリストに表示されるデータ候補を、電子カルテシステムのデータベース等から取り込むようにしても良い。あるいは、電子カルテシステムのデータベース等から、上記の各入力欄への入力データを直接に取り込むようにすることも可能である。

これらの入力欄にデータが入力されると、各入力欄の右隣に設けられているビット表示欄１０７〜１１１に、各項目について入力されたデータの情報量がビット単位で表示される。この情報量を各項目について算出する方法については、後述する。さらに、指標値表示欄１１２には、ビット表示欄１０７〜１１１に表示された情報量を合算した値が、匿名度の指標値として表示される。また、評価結果表示欄１１３には、指標値表示欄１１２に表示された匿名度指標値が所定の基準を満たすか否かが、例えば「○」または「×」の記号を用いて表示される。これにより、本実施形態にかかる情報処理システムの利用者は、患者情報から、その患者個人が特定されてしまう蓋然性を数値によって客観的に把握することができる。また、匿名度指標値が所定の基準を満たすか否かも、容易に理解することができる。

ここで、図１〜図４を参照しながら、入力欄１０１〜１０６への入力データの変化によって、匿名度指標値がどのように変化するかを説明する。前述したように、入力欄１０１〜１０６へデータを入力すると、個々の入力データに対する情報量がビット表示欄１０７〜１１０へ入力される。そして、ビット表示欄１０７〜１１１に表示された情報量を合算した値が、匿名度指標値として、指標値表示欄１１２に表示される。なお、ここに示した例においては、入力欄１０１〜１０６のそれぞれへの入力データが互いに独立な事象に関するものであるとして、ビット表示欄１０７〜１１１に表示された情報量を単純に合算することにより、匿名度指標値を求めている。しかし、入力欄への入力データの表す事象のうち２つないしそれ以上が互いに相関を持つ場合は、後に説明するが、相関関数を用いることにより、相関による影響を反映させることも好ましい。

図１に示したデータ例では、ビット表示欄１０７〜１１１に表示された情報量の合計は２１．４となり、この匿名度指標値は基準を満たしているものとして、評価結果表示欄１１３に「○」記号が表示されている。ここでは、匿名度指標値の閾値が２４．０に設定されているものと仮定する。なお、「２４．０」という情報量は、２の２４乗が約８００万であり、母集団の人数が１億人であった場合に、この情報量に基づいても、まだ１０人程度にしか該当者を絞り込めないことから設定された数値である。そして、ビット表示欄１０７〜１１１に表示された情報量を合算して得られた匿名度指標値がこの閾値よりも小さければ基準を満たしており、超えていれば基準を満たしていないと判断される。

ここで、図２に示すように、疾病名入力欄１０３の疾病名を、「マルファン症候群」に変更したものとする。なお、マルファン症候群とは、図１に示された「糖尿病」よりもはるかに罹患率の低い疾病である。このように疾病名入力欄１０３の疾病名を変更したことにより、疾病名の項目の情報量は４．５から１１．５まで上昇する。その結果、ビット表示欄１０７〜１１１に表示された情報量の合計は２８．４となる。この数値は、閾値である２４．０を超えているので、基準を満たさないものとして、評価結果表示欄１１３に「×」記号が表示される。

ここで、操作者が、図３に示すように、年齢入力欄１０１のデータを、「４５」から、幅を持たせた「４０−４９」に変更したものとする。この操作により、年齢入力欄１０１のデータの情報量は、図２に示した「６．０」から、図３に示すように「２．５」まで減少する。したがって、図３に示したデータ例では、全ての入力データの情報量を合算して得られる匿名度指標値は、２４．９まで低くなる。しかし、この数値はまだ閾値である２４．０を超えているので、基準を満たさないものとして、評価結果表示欄１１３に「×」記号が表示される。

そこで、操作者がさらに、図４に示すように、居住地域入力欄１０６のデータを削除したものとする。これにより、この項目の情報量はゼロとなる。その結果、全ての入力データの情報量を合算して得られる匿名度指標値は、閾値である２４．０よりも低い２０．２まで下がる。この結果、図４の例においては、評価結果表示欄１１３には「○」記号が表示されている。

以上のように、本実施形態にかかる情報処理システムによれば、入力画面において各項目へ入力したデータが、匿名度指標値に関する基準を満たすか否かを総合的に判断することができる。したがって、例えば図２に示したように、匿名度指標値に関する基準を満たさないとの判断結果が示された場合には、図３および図４に示したように、入力項目のデータを変更または削除しながら、匿名度の基準が満たされるか否かを確認することができる。なお、図１〜図４の例においては、入力項目のデータを変更または削除する毎に、入力画面の表示が自動的にリフレッシュされて、指標値表示欄１１２および評価結果表示欄１１３の数値が更新される。ただし、入力画面に「更新」等のボタンを設けて、このボタンがクリックされたときに、指標値表示欄１１２および評価結果表示欄１１３の数値が更新されるようにしても良い。

以下、上記の匿名度指標値の算出機能を実現するための情報処理システムの概略構成について、図面を参照しながら説明する。図５は、本実施形態にかかる情報処理システムの機能的構成を示すブロック図である。図５に示すように、本実施形態にかかる情報処理システム１は、項目データベース１１と、入力画面表示部（入力画面表示手段）１２と、データ入力部（データ入力手段）１３と、情報量データベース（情報量記憶手段）１４と、指標値算出部（指標値算出手段）１５とを備えている。

項目データベース１１には、情報処理システム１において入力項目として用いられる項目の名称が予め登録されている。項目データベース１１に登録される入力項目としては、例えば、図１〜図４に示したような、年齢、性別、疾病名、処方日付、処方薬名、居住地域などの他に、任意の項目が含まれる。なお、項目データベース１１に新たな入力項目を追加したり、既存の入力項目を削除したり、項目名称を変更したりすることも可能である。なお、項目データベース１１に登録されている項目は、電子カルテシステムで用いられている項目と同じであっても良いし、電子カルテシステムで用いられている項目の一部であっても良い。すなわち、項目データベース１１として、電子カルテシステムの項目データベースをそのまま流用しても良いし、電子カルテシステムの項目データベースから一部の項目を抽出し、項目データベース１１へコピーしても良い。

入力画面表示部１２は、項目データベース１１から操作者が選択した入力項目に対する入力欄が適宜に配置された入力画面を構成し、ディスプレイに表示する。入力画面の表示例は、図１〜図４に示したとおりであるが、この例にのみ限定されない。なお、操作者が、入力画面に配置すべき入力項目を、項目データベース１１から任意に選択して追加したり、入力画面から入力項目を削除したり、入力画面に配置されている入力項目の位置を変更したりすることも可能である。

データ入力部１３は、キーボード等の任意の入力デバイスから、入力画面の入力欄へのデータ入力を受け付ける。

情報量データベース１４は、項目データベース１１に登録されている項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を格納している。なお、本実施例においては、情報量データベース１４に、ビット換算された情報量が格納されているものとするが、情報量データベース１４に元のデータを格納しておき、元のデータからビット数に換算するようにしても良い。なお、情報量としては、選択情報量（自己エントロピー）を用いることができる。すなわち、各項目に入力され得るデータが表す事象Ｅが起こる確率をＰ（Ｅ）とすると、選択情報量Ｉ（Ｅ）は下記の式で表すことができる。

Ｉ（Ｅ）＝−ｌｏｇＰ（Ｅ）

指標値算出部１５は、入力欄のそれぞれに入力されたデータにしたがって情報量データベース１４を検索し、そのデータの情報量を取得して、ビット表示欄１０７〜１１１に表示する。

「年齢」の入力項目を例に挙げると、情報量データベース１４には、母集団（例えば日本人）の年齢分布から得られた各年齢の情報量が格納されている。例えば、年齢が４５歳の場合、母集団中において４５歳の人が占める割合をビット数に換算して得られた情報量「６．０」が、情報量データベース１４に格納されている。したがって、図１および図２に示すように、年齢入力欄１０１に年齢「４５」が入力された場合、そのビット情報量「６．０」が情報量データベース１４から抽出され、ビット表示欄１０７に表示される。

同様に、情報量データベース１４には、性別が「男」または「女」である場合の情報量としてそれぞれ「１．０」が格納されている。したがって、図１および図２に示すように、性別入力欄１０２に「男」が入力された場合、指標値算出部１５が情報量データベース１４からこの値を抽出することにより、ビット表示欄１０８に「１．０」が表示される。なお、ここでは、性別が「男」または「女」である場合の情報量をそれぞれ「１．０」としたが、母集団中の男女の人口比率にしたがって、性別が「男」である場合の情報量と、性別が「女」である場合の情報量とを、互いに異なる値に規定しても良い。

また、「疾病名」の入力項目については、情報量データベース１４には、様々な疾病の罹患率をビット換算したものが格納されている。なお、この罹患率としては、例えば、厚生労働省や各種の研究団体などが発表している公的なデータを用いることができる。

薬の処方に関する情報量、すなわち、処方日付入力欄１０４および処方薬名入力欄１０５への入力データに対する情報量も、情報量データベース１４に格納されている。薬の処方に関する情報量は、例えば、ある大規模な病院の病院情報システムからサンプルデータを抽出することによって生成することができる。このように生成された薬の処方に関する情報量は、情報量データベース１４にあらかじめ格納される。この情報量は、例えば、前記の病院情報システムを検索して、特定の薬が処方された患者の人数、その人数が患者全体数に対して占める割合、または、特定の日に特定の薬が処方された患者の人数、といったデータを抽出することによって得ることができる。

「居住地域」のビット情報量は、居住地域入力欄１０６へ入力される地域の人口にしたがって求められる。すなわち、情報量データベース１４には、母集団（例えば日本全体）の人口に対する都道府県および市区町村別の人口を情報量に換算した値が格納されている。例えば、図１および図２に示した例においては、居住地域入力欄１０６に「静岡県」というデータが入力され、日本の全人口に対する静岡県の人口比率をビット換算した値である「４．７」が、情報量データベース１４に格納されている。指標値算出部１５は、この情報量を情報量データベース１４から抽出し、ビット表示欄１１１に表示する。

指標値算出部１５は、さらに、ビット表示欄１０７〜１１１に表示された情報量を加算し、入力画面に表示されているデータの全体としての匿名度指標値を求める。

さらに、指標値算出部１５は、各項目の情報量を加算して得られた匿名度指標値を、所定の閾値と比較することにより、匿名度指標値が所定の基準を満たしているか否かを判断する。そして、その判断結果が、評価結果表示欄１１３において、記号によって表示される。なお、前記の閾値は、母集団の大きさを表すビット数や、要求される匿名度レベル等に応じて、任意に設定することができる。

ここで、図６および図７に、データ入力画面の他の例を示す。図６および図７に示す例においては、症例報告等の二次利用の目的に提供されるデータが、検査に関する項目を含んでいる。つまり、図６に示したデータ入力画面では、２００８年１０月１日に行われた検査と、２００８年１１月２６日に行われた検査との２回分の検査に関するデータを入力するために、検索日入力欄１１４，１１７、検査項目入力欄１１５，１１８、検査結果入力欄１１６，１１９を有している。図６の例においては、検査日入力欄１１４，１１７に、検査を行った年月日が入力されている。検査項目入力欄１１５，１１８には実施された検査の項目が入力される。検査入力欄１１６，１１９には検査結果の数値が入力される。

図６に示すように、検査日入力欄１１４，１１７に検査を行った年月日を入力した場合は、１回目の検査に関するデータの情報量を表すビット表示欄１２０には、「１２．０」という値が示される。また、２回目の検査に関するデータの情報量を表すビット表示欄１２１には、「８．０」という値が示される。

ビット表示欄１２０の１２．０という情報量は、例えば、ある大規模な病院の病院情報システムからサンプルデータを抽出することによって生成することができる。なお、生成された情報量は、情報量データベース１４にあらかじめ格納されている。この情報量は、例えば以下のようにして求められる。まず、前記の病院情報システムを検索して、２００８年１０月１日にＨｂＡ１ｃという検査を行い、その結果が８．５であった患者の人数を求める。次に、その人数が、病院情報システムに登録されている患者全体数に対して占める割合を求める。この割合をＰ（Ｅ）とすると、その情報量Ｉ（Ｅ）を、次の式によって求めることができる。

Ｉ（Ｅ）＝−ｌｏｇＰ（Ｅ）

なお、ビット表示欄１２１の８．０という情報量も、上記と同様にして、ある大規模な病院の病院情報システムからサンプルデータを抽出することによって生成することができる。

ここで、ビット表示欄１０７〜１０９，１２０，１２１の情報量を全て加算すると、これによって得られた匿名度指標値は２８．０となる。これは、閾値である２４．０よりも高いので、図６の例においては、評価結果表示欄１１３に「×」記号が表示される。

そこで、図７に示すように、検査日入力欄１１４，１１７に、１回目の検査日から２回目の検査日までの経過日数を入力し、指標値表示欄１１２に表示される匿名度指標値がどの程度になるかを試してみる。図７の例においては、１回目の検査日を入力するための検査日入力欄１１４を空白とし、２回目の検査日を入力するための検査日入力欄１１７に、１回目の検査日からの経過日数が８週間であることを表す「＋８Ｗ」というデータが入力されている。なお、この入力フォーマットは一例にすぎず、適宜の入力フォーマットを用いることができる。この場合、図７に示すように、１回目の検査に関するデータの情報量を表すビット表示欄１２０の数値が「７．０」まで下がる。これにより、指標値表示欄１１２に表示される匿名度指標値は２３．０まで下がり、閾値である２４．０よりも低くなるので、評価結果表示欄１１３に「○」記号が表示される。このように、検査日の日付を年月日ではなく前回の検査日からの経過日数で表すことによって、匿名度指標値の閾値条件を充足させることができる。

以上、本発明の実施の形態を説明したが、上述した実施の形態は本発明を実施するための例示に過ぎない。よって、本発明は上述した実施の形態に限定されることなく、その趣旨を逸脱しない範囲内で上述した実施の形態を適宜変形して実施することが可能である。

例えば、上述の具体例においては、入力欄１０１〜１０６のそれぞれへの入力データが互いに独立な事象に関するものであるものとして、ビット表示欄１０７〜１１１に表示された情報量を単純に合算することにより、匿名度指標値を求めている。しかし、入力データの少なくとも一部が互いに相関性を有する事象に関するものである場合は、ビット表示欄に表示された情報量を単純に合算するのではなく、相関関数などを用いることにより、相関による影響を反映させることが好ましい。

例えば、年齢と性別とは互いに独立な事象であるが、年齢と疾病との間には相関がある場合もある。このような場合、互いに相関を持つ２つ以上の事象のビット表示欄に表示された情報量を合算する際に、相関関数を用いて、合算値に上限値を設定すること等が考えられる。

Claims (4)

1. 個人情報に含まれ得る項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を格納した情報量記憶手段と、
   個人情報に含める項目として指定された項目名と当該項目のデータの入力欄とを含む入力画面を表示する入力画面表示手段と、
   操作者に前記入力画面における前記入力欄へデータを入力させるデータ入力手段と、
   前記入力画面において前記入力欄にデータが入力された項目の全てについて、入力されたデータが表す事象の情報量を前記情報量記憶手段から抽出して加算し、当該加算結果を、前記個人情報の匿名度の指標値として提示する指標値算出手段とを備えたことを特徴とする情報処理システム。
2. 前記データが表す事象の発生確率をＰ（Ｅ）とし、当該データが表す事象の情報量をＩ（Ｅ）とすると、
   Ｉ（Ｅ）＝−ｌｏｇＰ（Ｅ）
   が成り立つ、請求項１に記載の情報処理システム。
3. 前記データが表す事象の発生確率として、疾患の罹患率、地域別人口分布、および、年齢分布の少なくとも一つが用いられる、請求項２に記載の情報処理システム。
4. コンピュータを用いて匿名度の指標値を算出する方法であって、
   個人情報に含まれ得る項目のそれぞれについて、当該項目に入力され得るデータが表す事象の情報量を、コンピュータからアクセス可能な記憶手段に格納する情報量記憶工程と、
   個人情報に含める項目として指定された項目名と当該項目のデータの入力欄とを含む入力画面を、コンピュータのディスプレイに表示する入力画面表示工程と、
   前記入力画面における前記入力欄へのデータ入力を受け付けるデータ入力工程と、
   前記入力画面において前記入力欄にデータが入力された項目の全てについて、入力されたデータが表す事象の情報量を前記記憶手段から抽出して加算し、当該加算結果を、前記コンピュータのディスプレイ上で、前記個人情報の匿名度の指標値として提示する指標値算出工程とを含むことを特徴とする方法。

Images