JP5475779B2 - アクセス制御装置、アクセス制御方法、プログラム、記録媒体及び集積回路 - Google Patents

Description

本発明は、画像データ等のコンテンツへのアクセスを制御する技術に関する。

インターネット上のサーバにコンテンツを登録して管理するコンテンツ管理システムにおいて、ユーザがコンテンツを登録する際に、他のユーザにそのコンテンツへのアクセスを許可するか否かを設定可能にしたものが知られている（例えば特許文献１）。
また、従来から、特定のユーザのみに、ファイルへのアクセスを許可するために、アクセス権を設定する方法が知られている。

従って、これらの従来技術によれば、あるユーザが所有するコンテンツをサーバに登録する際に、そのユーザがアクセスを許可したい特定のユーザのみに、そのコンテンツへのアクセスを許可するように設定することができる。

特開２００１−３２５２５９号公報

ところで、コンテンツには、個人に関連する情報（以下、「個人情報」という）が含まれていることがある。例えば、撮影されてなる静止画データ（以下、「画像データ」ともいう）やＡＶ（Audio Visual）データ（以下、「動画像データ」ともいう）に含まれる被写体の顔画像データや、動画像データに含まれる被写体の声のデータが一例として挙げられる。

上記従来技術によれば、登録されたコンテンツにアクセスが許可されるユーザの範囲を、そのコンテンツを登録したユーザの意思で決定し、その決定に従って、登録されたコンテンツへのアクセス制御がなされる。
しかしながら、このアクセスが許可されるユーザ範囲の決定には、そのコンテンツに含まれている個人情報に関連する個人（以下、「個人情報の所有者」ともいう）の意思は反映されないため、個人情報の所有者がアクセスを許可したくない者に、そのコンテンツへのアクセスが許可されてしまうといったことが生じ得る。

そこで、本発明は係る問題に鑑みてなされたものであり、コンテンツに含まれている個人情報の所有者の意思を反映させた、そのコンテンツへのアクセスの許否に係る制御を行うことが可能なアクセス制御装置を提供することを目的とする。

上記課題を解決するために、本発明に係るアクセス制御装置は、ユーザにコンテンツへのアクセスサービスを提供するシステムにおけるアクセス制御装置であって、１又は複数の個人情報を含むコンテンツを取得する取得手段と、個人情報と、当該個人情報に関連する者が、当該個人情報を含むコンテンツへのアクセスを許可してもよいと定めたユーザ、又は許可したくないと定めたユーザを示す第１ユーザ情報とを対応付けて記憶する記憶手段と、前記取得手段が取得した前記コンテンツに含まれている個人情報と対応付けて記憶されている第１ユーザ情報に基づいて、当該コンテンツへのアクセスの許否を行う制御手段とを備えることを特徴とする。

上述の構成を備える本発明に係るアクセス制御装置は、コンテンツに含まれている個人情報の所有者の意思を反映させた、そのコンテンツへのアクセスの許否に係る制御を行うことが可能である。

実施の形態１に係るアクセス制御システム１０００のシステム構成図 実施の形態１に係る個人情報テーブル１０及びアクセス制御テーブル２０のデータ構成及び内容例を示す図 コンテンツの登録要求３０、コンテンツのアクセス要求４０及び第１ユーザ情報の変更要求５０のデータ構成及び内容例を示す図 実施の形態１に係るコンテンツの登録処理を示すフローチャート 実施の形態１に係る登録済コンテンツへのアクセス制御処理を示すフローチャート 実施の形態１に係る第１ユーザ情報の変更処理を示すフローチャート 登録対象コンテンツの一例である画像データ１及びユーザの個人情報の検出結果例を示す図 画像データ１に、モザイク処理を行った後の画像データ７を示す図 画像データ１を登録した後の個人情報テーブル１０及びアクセス制御テーブル２０の内容例を示す図 実施の形態１に係る調整要求及び調整要求に対する応答の内容例を示す図 コンテンツ登録通知及びコンテンツ仮登録通知の内容例を示す図 変形例に係るアクセス制御テーブル６０のデータ構成及び内容例を示す図 変形例に係るコンテンツの登録処理を示すフローチャート 図１５へと続く、変形例に係る登録済コンテンツへのアクセス制御処理を示すフローチャート 図１４から続く、変形例に係る登録済コンテンツへのアクセス制御処理を示すフローチャート 実施の形態２に係るアクセス制御システム１１００のシステム構成図 実施の形態２に係るアクセス制御テーブル７０と第１ユーザ情報の変更要求５５のデータ構成及び内容例を示す図 図１９へと続く、実施の形態２に係るコンテンツの登録処理を示すフローチャート 図１８から続く、実施の形態２に係るコンテンツの登録処理を示すフローチャート 実施の形態２に係る第１ユーザ情報の変更処理を示すフローチャート 実施の形態２に係る許可ユーザ情報の変更処理を示すフローチャート 実施の形態２に係る調整要求及び調整要求に対する応答の内容例を示す図

以下、本発明に係るアクセス制御装置を含むアクセス制御システムの一実施形態を、図面を参照しながら説明する。
≪実施の形態１≫
＜構成＞
実施の形態１に係るアクセス制御システム１０００の構成について説明する。

＜アクセス制御システム＞
図１は、実施の形態１に係るアクセス制御システム１０００のシステム構成図である。
アクセス制御システム１０００は、インターネット３００を介して相互に接続される、アクセス制御装置１００と、端末装置２００Ａ、２００Ｂ及び２００Ｃとから構成されている。

なお、ここでは、一例として、３台の端末装置（２００Ａ、２００Ｂ及び２００Ｃ）を図示しているが、アクセス制御システム１０００に含まれる端末装置の数は１台以上であれば１００台でも、１００００台でもよい。
ここで、アクセス制御装置１００は、インターネット３００を介して各端末装置からコンテンツの登録要求を受信すると、そのコンテンツへのアクセスが許可されるユーザを調整し、そのコンテンツを登録する機能を有する。

この調整は、その端末装置のユーザがそのコンテンツにアクセスさせたい各ユーザの範囲と、このコンテンツに含まれている各個人情報の所有者がアクセスさせてもよい各ユーザの範囲とに基づいて、各個人情報の所有者がアクセスさせてもよい各ユーザの範囲を超えないように行われる。このように調整することで、コンテンツに含まれる各個人情報の所有者がアクセスさせたくないユーザにそのコンテンツへのアクセスが許可されてしまうといった事態を防ぐことができる。

また、各端末装置（２００Ａ、２００Ｂ及び２００Ｃ）は、アクセス制御システム１０００の各ユーザが使用するパーソナルコンピュータ（ディスプレイを有する）等である。
各端末装置は、ユーザ操作に基づいて、各種要求を送信する機能を有し、具体的には、ユーザが他のユーザと共有したいコンテンツをアクセス制御装置１００に登録させるためのコンテンツの登録要求や、他のユーザによりアクセス制御装置１００に登録された所定のコンテンツにアクセスするためのアクセス要求等を送信する。

以下、アクセス制御装置１００及び各端末装置の構成について、図１を用いて更に詳しく説明するが、各端末装置の構成は同様であるため、以下では、端末装置２００Ａについて説明する。
＜アクセス制御装置＞
まず、アクセス制御装置１００の構成について説明する。

アクセス制御装置１００は、同図に示す通り、通信部１１０、記憶部１２０及び制御部１３０を備える。アクセス制御装置１００は、図示しないメモリ及びプロセッサを含んでおり、制御部１３０の機能は、プロセッサがメモリ上のプログラムを実行することにより実現される。
ここで、通信部１１０は、インターネット３００を介して、各端末装置（２００Ａ、２００Ｂ及び２００Ｃ）とデータの送受信を行う機能を有する。

また、記憶部１２０は、個人情報テーブル１０、アクセス制御テーブル２０の他、各端末装置からのコンテンツの登録要求に基づいて登録された、図示しない各種コンテンツ（画像データ、動画データ、テキストデータ等）を記憶するためのメモリ領域であり、ハードディスク等により実現される。
ここで、個人情報テーブル１０は、アクセス制御システム１０００のユーザ毎に、そのユーザの個人情報や、そのユーザが、その個人情報を含むコンテンツへのアクセスを許可してもよいとするユーザを示す情報（以下、「第１ユーザ情報」という）を登録したテーブルである。

また、アクセス制御テーブル２０は、登録されているコンテンツ毎に、そのコンテンツに対し、実際にアクセスが許可されているユーザを示す情報（以下、「許可ユーザ情報」という）等を登録したテーブルである。
なお、各テーブルの内容の詳細については、後述する（図２参照）。
また、制御部１３０は、装置全体の制御を行う他、各端末装置から送信された各種要求に応じた処理を実行する機能を有し、個人情報検出部１３１、判定部１３２、コンテンツ加工部１３３、調整部１３４、コンテンツ管理部１３５、個人情報テーブル更新部１３６及びアクセス要求処理部１３７を備える。

ここで、個人情報検出部１３１は、いずれかの端末装置（２００Ａ、２００Ｂ又は２００Ｃ）から送信されたコンテンツの登録要求を、通信部１１０を介して受信した際に、個人情報テーブル１０を参照し、登録要求に係るコンテンツに含まれている、アクセス制御システム１０００におけるユーザの個人情報を検出する機能を有する。
なお、後に詳細に説明するが、上記コンテンツの登録要求には、その送信元である端末装置のユーザが、そのコンテンツにアクセスさせたい、アクセス制御システム１０００におけるユーザを示す情報（以下、「第２ユーザ情報」という）が含まれている（図３（ａ）参照）。

判定部１３２は、個人情報検出部１３１が検出した各個人情報について、その個人情報に関連するユーザ（個人情報の所有者）の第１ユーザ情報が示す全てのユーザに含まれないユーザであって、上記第２ユーザ情報が示す全てのユーザに含まれるユーザ（以下、「範囲外ユーザ」という）が存在するか否かを判定する機能を有する。
即ち、範囲外ユーザは、コンテンツの登録を行おうとしているユーザ（以下、「コンテンツの所有者」ともいう）がそのコンテンツに対しアクセスさせたいユーザには含まれるものの、そのコンテンツに含まれる個人情報の所有者がアクセスさせてもよいとするユーザには含まれないユーザである。

コンテンツ加工部１３３は、特定のユーザ以外の他のユーザの個人情報から当該他のユーザが特定できなくなるように、コンテンツを加工する機能を有する。
調整部１３４は、判定部１３２において範囲外ユーザが存在するとの判定がなされた際に、その判定に係る個人情報の所有者に対し、その範囲外ユーザにもその個人情報を含むコンテンツにアクセスさせてよいか否かを示す応答を要求する機能を有する。

なお、本実施の形態では、これらの要求及び応答を、メールを用いて行うものとする。また、この要求のことを「調整要求」ともいう。
調整部１３４は、この調整要求の宛先となる個人情報の所有者以外の所有者の個人情報から個人が特定できなくなるように上記コンテンツ加工部１３３が加工した後のコンテンツを、調整要求に含めて送信する。

コンテンツ管理部１３５は、コンテンツの登録要求に応じて、そのコンテンツを記憶部１２０に格納する機能を有し、特に、調整部１３４が送信した調整要求に対する応答の内容に応じて、上記アクセス制御テーブル２０に、許可ユーザ情報を登録する機能を有する。
個人情報テーブル更新部１３６は、調整部１３４が送信した調整要求に対する応答の内容が肯定的である場合に、個人情報テーブル１０におけるその応答の送信元のユーザ（個人情報の所有者）についての第１ユーザ情報を、範囲外ユーザを含むように更新する機能を有する。

また、各端末装置から送信された後述する第１ユーザ情報の変更要求を、通信部１１０を介して受信した際に、個人情報テーブル１０におけるその要求の送信元のユーザ（個人情報の所有者）についての第１ユーザ情報を更新する機能を有する。
アクセス要求処理部１３７は、通信部１１０を介して各端末装置からのコンテンツのアクセス要求を受信した際に、受信したアクセス要求の内容に応じて、記憶部１２０に記憶されているその要求に係るコンテンツ又はコンテンツ加工部１３３により加工された後のコンテンツを、通信部１１０を介して要求元の端末装置に送信するか否かを制御する機能を有する。

＜端末装置＞
次に、端末装置２００Ａの構成について説明する。
端末装置２００Ａは、同図に示す通り、通信部２１０、コンテンツ記憶部２２０、入力部２３０、出力部２４０及び制御部２５０を備える。端末装置２００Ａは、図示しないメモリ及びプロセッサを含んでおり、制御部２５０の機能は、プロセッサがメモリ上のプログラムを実行することにより実現される。

ここで、通信部２１０は、インターネット３００を介して、アクセス制御装置１００とデータの送受信を行う機能を有する。
また、コンテンツ記憶部２２０は、自装置のユーザが所有者である各コンテンツを記憶するためのメモリ領域であり、ハードディスク等により実現される。
なお、アクセス制御装置１００から取得したコンテンツ（他のユーザが所有者であるコンテンツ）は、制御部２５０の制御により、メモリ上には記憶されるものの、コンテンツ記憶部２２０には記憶されないものとする。

また、入力部２３０は、キーボードやマウス等の入力装置であり、ユーザにより押下されたキー及びボタンに対応する入力信号を制御部２５０に伝達する機能を有し、出力部２４０は、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）やスピーカ等の出力装置であり、制御部２５０の指示に応じて、文字等の表示や、音声の出力等を行う機能を有する。

また、制御部２５０は、装置全体の制御を行う他、入力部２３０から伝達された入力信号の内容に基づいて、各種要求や、アクセス制御装置１００から受信した調整要求に対する応答をアクセス制御装置１００へ送信する機能や、アクセス制御装置１００から受信したコンテンツの出力部２４０への出力を行う機能を有する。
制御部２５０は、要求送信処理部２５１、調整要求処理部２５２及び受信コンテンツ処理部２５３を備える。

ここで、要求送信処理部２５１は、入力部２３０から伝達された入力信号の内容に応じた要求、つまり、コンテンツの登録要求と、コンテンツのアクセス要求と、第１ユーザ情報の変更要求とのうちのいずれかの要求を生成し、通信部２１０を介してアクセス制御装置１００に送信する機能を有する。
調整要求処理部２５２は、通信部２１０を介してアクセス制御装置１００から受信した調整要求に対応する応答を、入力部２３０から伝達された入力信号の内容に基づいて生成し、通信部２１０を介してアクセス制御装置１００に送信する機能を有する。

ここでは、調整要求及びその応答は、メールを用いて行われるため、調整要求処理部２５２は、メールの送受信機能を有することになる。
受信コンテンツ処理部２５３は、通信部２１０を介してアクセス制御装置１００から受信したコンテンツの種類に応じた出力部２４０への出力処理を行う機能を有する。例えば、コンテンツが画像データやテキストデータである場合には、液晶ディスプレイに画像や文字を表示させ、コンテンツが動画データである場合には、液晶ディスプレイに映像を表示させると共に、スピーカに音声を出力させる。

＜データ＞
以下、アクセス制御システム１０００において使用されるデータについて説明する。
＜個人情報テーブル＞
図２（ａ）は、個人情報テーブル１０のデータ構成及び内容例を示す図である。
個人情報テーブル１０は、アクセス制御システム１０００のユーザ毎に、ユーザＩＤ１１と、ユーザ名１２と、顔データ１３と、メールアドレス１４と、第１ユーザ情報１５とを対応付けて構成される情報である。

なお、以下では、ユーザＩＤ１１と、ユーザ名１２と、顔データ１３と、メールアドレス１４と、第１ユーザ情報１５とからなる情報を「レコード」ともいう。
個人情報テーブル１０の参照は、個人情報検出部１３１が登録要求に係るコンテンツに含まれている個人情報を検出する際や、判定部１３２が、範囲外ユーザが存在するか否かを判定する際に行われる。

また、個人情報テーブル１０に登録済のレコードの更新は、個人情報テーブル更新部１３６により、調整要求に対する応答の内容に応じて、及び第１ユーザ情報の変更要求に応じて行われる。また、個人情報テーブル１０への新たなレコードの登録及び登録済のレコードの削除は、アクセス制御装置１００のユーザが増減した場合等に、アクセス制御装置１００が備えるキーボードやマウス等の入力装置（不図示）を介して、アクセス制御装置１００の管理者により行われる。

ここで、ユーザＩＤ１１は、対応するユーザの識別情報であり、テキスト形式のデータである。また、ユーザ名１２は、対応するユーザの氏名を示すテキスト形式のデータであり、顔データ１３は、対応するユーザの顔を撮影し生成された画像データ（例えば、ＪＰＥＧ（Joint Photographic Experts Group）データ）から抽出されたそのユーザを識別するための画像特徴パラメータ群である。同図における顔データＡ〜Ｄは、具体的な画像特徴パラメータ群を示しているものとする。

アクセス制御装置１００の管理者は、ユーザの顔を撮影し生成された画像データを入手した際に、アクセス制御装置１００の制御部１３０に、この画像特徴パラメータ群（顔データ）の抽出を行わせ、この顔データの登録を行うものとする。なお、このアクセス制御装置１００とは異なる装置に、画像特徴パラメータ群（顔データ）の抽出を行わせるようにしてもよい。

メールアドレス１４は、対応するユーザが所有するＥメールアドレスを示すテキスト形式のデータである。
ユーザＩＤ１１、ユーザ名１２、顔データ１３、メールアドレス１４それぞれは、単独で、又は、この個人情報テーブル１０の他の情報と照合することで個人を識別できる情報であるため、個人情報である。

また、第１ユーザ情報１５は、対応するユーザが、自己の個人情報、つまり、対応するユーザＩＤ、ユーザ名、顔データ及びメールアドレスの少なくとも１つのデータを含むコンテンツにアクセスさせてもよいとする各ユーザを示す情報である。
同図は、例えば、ユーザＩＤが「Ｕ０００１」であるユーザのユーザ名は「一山Ａ子」であり、顔データは「顔データＡ」であり、メールアドレスは「ａ○ａ＠ａａａ．ｃｏｍ」であり、第１ユーザ情報は「Ｕ０００１」と「Ｕ０００２」であり、つまり、このユーザ「一山Ａ子」が自己の個人情報を含むコンテンツにアクセスさせてもよいとするユーザは、「一山Ａ子」（つまり、本人）と、「二川Ｂ男」であることを示している。

＜アクセス制御テーブル＞
図２（ｂ）は、アクセス制御テーブル２０のデータ構成及び内容例を示す図である。
アクセス制御テーブル２０は、アクセス制御装置１００に登録されたコンテンツ毎に、コンテンツＩＤ２１と、個人情報所有者情報２２と、許可ユーザ情報２３とを対応付けて構成される情報である。

なお、以下では、コンテンツＩＤ２１と、個人情報所有者情報２２と、許可ユーザ情報２３とからなる情報を「レコード」ともいう。
アクセス制御テーブル２０の参照は、アクセス要求処理部１３７が、各端末装置からコンテンツのアクセス要求を受信した際に行われる。また、アクセス制御テーブル２０への新たなレコードの登録は、コンテンツ管理部１３５が、各端末装置からのコンテンツの登録要求を受信した際に行われる。

ここで、コンテンツＩＤ２１は、対応するコンテンツの識別情報であり、個人情報所有者情報２２は、対応するコンテンツに含まれている個人情報の所有者の識別情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものである。
また、許可ユーザ情報２３は、対応するコンテンツへのアクセスが許可されているユーザの識別情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものである。

同図は、例えば、コンテンツＩＤが「Ｃ０００１」であるコンテンツに含まれる個人情報の個人情報所有者情報は「Ｕ０００１」（つまり、一山Ａ子）であり、許可ユーザ情報は「Ｕ０００１」（つまり、一山Ａ子）と「Ｕ０００２」（つまり、二川Ｂ男）であることを示している。即ち、このコンテンツには、「一山Ａ子」の個人情報が含まれており、「一山Ａ子」と「二川Ｂ男」に、このコンテンツへのアクセスが許可されていることを示している。

＜コンテンツの登録要求＞
図３（ａ）は、コンテンツの登録要求３０のデータ構成及び内容例を示す図である。
コンテンツの登録要求３０は、コンテンツの所有者がそのコンテンツをアクセス制御装置１００に登録するために、各端末装置からアクセス制御装置１００に送信されるコマンドである。

コンテンツの登録要求３０は、同図に示すように、種別３１と、コンテンツデータ３２と、第２ユーザ情報３３と、ユーザＩＤ３４から構成される。
ここで、種別３１は、要求の種類を示す情報であり、この例では、「登録」が設定されている要求は、コンテンツの登録要求を示すものとしている。
また、コンテンツデータ３２は、登録要求の対象となるコンテンツデータであり、第２ユーザ情報３３は、コンテンツの所有者が、対応するコンテンツデータ３２にアクセスさせたい各ユーザを示す情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものである。

また、ユーザＩＤ３４は、要求元のユーザ（つまり、コンテンツの所有者）を示す情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものである。
同図では、例えば、種別が「登録」である要求（つまり、コンテンツの登録要求）の要求対象であるコンテンツデータは「画像データＩ」であり、第２ユーザ情報は「Ｕ０００１」（つまり、一山Ａ子）と、「Ｕ０００２」（つまり、二川Ｂ男）と、「Ｕ０００４」（つまり、四海Ｄ男）であり、要求元のユーザＩＤは「Ｕ０００１」（つまり、一山Ａ子）であることを示している。即ち、「画像データＩ」の所有者である「一山Ａ子」は、この「画像データＩ」について、「一山Ａ子」と「二川Ｂ男」と「四海Ｄ男」とにアクセスさせたいことを示している。

なお、同図では、コンテンツデータが画像データである場合を一例として示しているが、アクセス制御装置１００に登録されるコンテンツは、上述したように、画像データに限らず、動画データ、音声データ、テキストデータ等の各種コンテンツであってもよい。
＜コンテンツのアクセス要求＞
図３（ｂ）は、コンテンツのアクセス要求４０のデータ構成及び内容例を示す図である。

コンテンツのアクセス要求４０は、アクセス制御システム１０００の各ユーザが、アクセス制御装置１００に登録されているコンテンツにアクセスするために、各端末装置からアクセス制御装置１００に送信されるコマンドである。コンテンツのアクセス要求４０は、同図に示すように、種別４１と、コンテンツＩＤ４２と、ユーザＩＤ４３とから構成される。

ここで、種別４１は、要求の種類を示す情報であり、この例では、「アクセス」が設定されている要求は、コンテンツのアクセス要求を示すものとしており、コンテンツＩＤ４２は、要求の対象となるコンテンツの識別情報である。
なお、上述のコンテンツの登録要求に基づいて、アクセス制御装置１００にコンテンツが登録された際には、後述するように、登録されたコンテンツとアクセス制御テーブル２０において対応付けられている許可ユーザ情報が示す各ユーザに対し、そのユーザにアクセスが許可されたコンテンツが登録された旨がメールで通知される。また、そのメールには、登録されたコンテンツのコンテンツＩＤが含まれており、各ユーザは、このコンテンツＩＤを、コンテンツＩＤ４２に指定することとする。

また、ユーザＩＤ４３は、要求元のユーザを示す情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものである。
同図では、例えば、種別が「アクセス」である要求（つまり、コンテンツのアクセス要求）の要求の対象は、コンテンツＩＤが「Ｃ０００１」であるコンテンツであり、要求元のユーザＩＤは「Ｕ０００２」（つまり、二川Ｂ男）であることを示している。

＜第１ユーザ情報の変更要求＞
図３（ｃ）は、第１ユーザ情報の変更要求５０のデータ構成及び内容例を示す図である。
第１ユーザ情報の変更要求５０は、アクセス制御システム１０００の各ユーザが、個人情報テーブル１０に登録されているそのユーザの第１ユーザ情報を変更するために、各端末装置からアクセス制御装置１００に送信されるコマンドである。

第１ユーザ情報の変更要求５０は、同図に示すように、種別５１と、ユーザＩＤ５２と、第１ユーザ情報５３とから構成される。
ここで、種別５１は、要求の種類を示す情報であり、この例では、「変更」が設定されている要求は、第１ユーザ情報の変更要求を示すものとしている。
また、ユーザＩＤ５２は、要求元のユーザを示す情報であり、個人情報テーブル１０のいずれかのユーザＩＤと一致するものであり、第１ユーザ情報５３は、変更後の第１ユーザ情報を示す情報である。

同図では、例えば、種別が「変更」である要求（つまり、第１ユーザ情報の変更要求）の要求元のユーザＩＤは「Ｕ０００１」（つまり、一山Ａ子）であり、変更後の第１ユーザ情報は「Ｕ０００１」（つまり、一山Ａ子）と「Ｕ０００２」（つまり、二川Ｂ男）と「Ｕ０００３」（つまり、三森Ｃ子）であることを示している。
＜動作＞
以下、アクセス制御装置１００の動作について説明する。

＜コンテンツの登録処理＞
図４は、アクセス制御装置１００によるコンテンツの登録処理を示すフローチャートである。
コンテンツの所有者が、端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の入力部２３０において、コンテンツの登録要求を送信するための所定操作を行うことにより、制御部２５０の要求送信処理部２５１は、コンテンツの登録要求を生成し、通信部２１０を介してアクセス制御装置１００へ送信する。

アクセス制御装置１００の制御部１３０は、通信部１１０を介して上記端末装置からコンテンツの登録要求を受信すると（ステップＳ１）、コンテンツ管理部１３５は、新たなコンテンツＩＤを生成する。生成したコンテンツＩＤを、以下では「登録対象コンテンツＩＤ」ともいう。
ここで、図２（ｂ）に示すアクセス制御テーブル２０の例では、コンテンツＩＤは、１桁のアルファベット「Ｃ」に４桁の数字が続く構成になっているため、コンテンツ管理部１３５は、新たなコンテンツＩＤとして、アルファベット「Ｃ」に、既に登録されているコンテンツＩＤのうちの最大の４桁の数字に１を加えた４桁の数字が続くものを生成する。

個人情報検出部１３１は、受信したコンテンツの登録要求に含まれているコンテンツデータ（以下、「登録対象コンテンツ」ともいう）に含まれている、アクセス制御システム１０００のユーザの個人情報の検出処理を行い、検出した個人情報の所有者を特定する（ステップＳ２）。
具体的には、個人情報検出部１３１は、登録対象コンテンツの種類が、例えば、画像データである場合には、登録対象コンテンツ（つまり画像データ）に対し、ＯＣＲ（Optical Character Reader）処理を施して、登録対象コンテンツに含まれている文字を表す画像に対応するテキストデータを抽出し、抽出したテキストデータと個人情報テーブル１０に登録されている各ユーザＩＤ、各ユーザ名、各メールアドレスとの照合を行い、また、登録対象コンテンツから画像特徴パラメータ群を抽出し、個人情報テーブル１０に登録されている各顔データとの照合を行う。

この照合において、個人情報テーブル１０に登録されているデータが見つかった場合には、そのデータと個人情報テーブル１０において対応付けられているユーザＩＤを取得し、取得したユーザＩＤが示すユーザを、検出した個人情報の所有者と特定する。
なお、登録対象コンテンツの種類が、動画データである場合には、例えば、各フレーム画像に対して、上述した照合を行う。

また、登録対象コンテンツの種類が、例えば、テキストデータである場合には、登録対象コンテンツ（つまりテキストデータ）と、個人情報テーブル１０に登録されている各ユーザＩＤ、各ユーザ名、各メールアドレスとの照合を行う。この照合において、個人情報テーブル１０に登録されているデータが見つかった場合には、そのデータと個人情報テーブル１０において対応付けられているユーザＩＤを取得し、取得したユーザＩＤが示すユーザを、検出した個人情報の所有者と特定する。

続いて、個人情報検出部１３１は、上記ステップＳ２の検出処理で、アクセス制御システム１０００のユーザの個人情報を検出したか否かを判定し（ステップＳ３）、検出しなかった場合には（ステップＳ３：ＮＯ）、コンテンツ管理部１３５は、登録対象コンテンツＩＤと登録対象コンテンツとを対応付けて、記憶部１２０に格納する。また、コンテンツ管理部１３５は、この登録対象コンテンツＩＤと、ステップＳ１で受信したコンテンツの登録要求に含まれている第２ユーザ情報を設定した許可ユーザ情報とを対応付けて記憶部１２０のアクセス制御テーブル２０に登録し（ステップＳ４）、アクセス制御装置１００は、コンテンツの登録処理を終了する。

なお、この際、コンテンツ管理部１３５は、登録した許可ユーザ情報が示す各ユーザに、アクセス可能なコンテンツが登録された旨を通知する。この通知を、「コンテンツ登録通知」という。
具体的には、許可ユーザ情報に含まれる各ユーザＩＤについて、そのユーザＩＤと個人情報テーブル１０において対応付けられているユーザ名及びメールアドレスを取得し、取得したメールアドレスを宛先とし、例えば、図１１（ａ）の部分Ｍ７に示すように、本文にコンテンツＩＤを含むメールを送信する。また、コンテンツ管理部１３５は、コンテンツの登録要求を行ったコンテンツの所有者に対しても、同様に、コンテンツ登録通知を送信する。

一方、個人情報検出部１３１が、上記ステップＳ２の検出処理で、アクセス制御システム１０００のユーザの個人情報を検出した場合に（ステップＳ３：ＹＥＳ）、判定部１３２は、特定された全ての個人情報の所有者について、以下説明するステップＳ６の処理を行ったか否かを判定する（ステップＳ５）。
特定された全ての個人情報の所有者についての処理を行っていない場合には（ステップＳ５：ＮＯ）、判定部１３２は、未処理の個人情報の所有者のうち、１人の個人情報の所有者（以下、「対象ユーザ」という）のユーザＩＤを選択し、選択したユーザＩＤと個人情報テーブル１０で対応付けられている第１ユーザ情報を取得する。

判定部１３２は、取得した第１ユーザ情報と、ステップＳ１で受信したコンテンツの登録要求に含まれている第２ユーザ情報とに基づいて、範囲外ユーザが存在するか否かを判定する（ステップＳ６）。
具体的には、判定部１３２は、この第１ユーザ情報が示す全てのユーザの中に含まれていないユーザであって、この第２ユーザ情報が示す全てのユーザの中に含まれているユーザが存在する場合に、範囲外ユーザが存在すると判定する（ステップＳ６：ＹＥＳ）。

範囲外ユーザが存在しないとの判定を行った場合に（ステップＳ６：ＮＯ）、判定部１３２は、再びステップＳ５から処理を行う。
また、判定部１３２が、範囲外ユーザが存在するとの判定を行った場合に（ステップＳ６：ＹＥＳ）、コンテンツ加工部１３３は、登録対象コンテンツに含まれる各個人情報のうち、対象ユーザ以外の他のユーザの個人情報から当該他のユーザが特定できなくなるように、登録対象コンテンツを加工する（ステップＳ７）。

具体的には、例えば、登録対象コンテンツが、画像データや動画データである場合には、他のユーザの個人情報が含まれる画像部分に、いわゆるモザイク処理を行う。また、例えば、登録対象コンテンツが、テキストデータである場合には、他のユーザの個人情報が含まれる文字部分を「●」等の他の文字で置き換える処理（いわゆる伏字処理）を行う。
続いて、調整部１３４は、コンテンツ加工部１３３が加工した登録対象コンテンツを含む調整要求を、対象ユーザに送信する（ステップＳ８）。

具体的には、調整部１３４は、対象ユーザのユーザＩＤと個人情報テーブル１０において対応付けられているメールアドレスを取得し、また、個人情報テーブル１０から、ステップＳ１で受信したコンテンツの登録要求に含まれている要求元のユーザＩＤに対応するユーザ名及び範囲外ユーザのユーザ名を取得する。例えば、図１０（ａ）に示すように、登録対象コンテンツＩＤ（部分Ｍ１参照）を件名に含み、範囲外ユーザのユーザ名（部分Ｍ２参照）を本文に含むメールを生成し、取得したメールアドレスを宛先としたメールを送信する。

なお、対象ユーザが使用する端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の制御部２５０における調整要求処理部２５２は、この調整要求を、通信部２１０を介して受信すると、受信した調整要求の画面（図１０（ａ）に示すようなメールの画面）を出力部２４０の液晶ディスプレイに表示させ、入力部２３０からの入力に基づいて、この調整要求に対する応答を生成し、通信部２１０を介してアクセス制御装置１００に送信する。

この例では、範囲外ユーザにアクセスさせることに同意する旨の応答としては、図１０（ｂ）に示すように、件名に、登録対象コンテンツＩＤ（部分Ｍ３参照）を含み、メール本文に「１」（部分Ｍ４参照）が記載されたメールが送信されることとする。
また、範囲外ユーザにアクセスさせることに同意しない旨の応答としては、図１０（ｃ）に示すように、件名に、登録対象コンテンツＩＤ（部分Ｍ５参照）を含み、メール本文に「０」（部分Ｍ６参照）が記載されたメールが送信されることとする。

調整部１３４は、送信した調整要求に対し、範囲外ユーザにアクセスさせることに同意する旨の応答を受信したか否かを判定する（ステップＳ９）。
具体的には、この例では、件名に、登録対象コンテンツＩＤを含み、メール本文に「１」が記載されたメールを、ステップＳ８で送信した調整要求の宛先から受信した場合に、範囲外ユーザにアクセスさせることに同意する旨の応答を受信したと判定する（ステップＳ９：ＹＥＳ）。

範囲外ユーザにアクセスさせることに同意しない旨の応答を受信した場合には（ステップＳ９：ＮＯ）、判定部１３２は、再びステップＳ５から処理を行う。なお、ステップＳ８で調整要求を送信してから、所定時間以内に応答を受信しなかった場合も同様に、判定部１３２は、再びステップＳ５から処理を行う。
また、範囲外ユーザにアクセスさせることに同意する旨の応答を受信した場合には（ステップＳ９：ＹＥＳ）、個人情報テーブル更新部１３６は、対象ユーザのユーザＩＤと個人情報テーブル１０において対応付けられている第１ユーザ情報に、範囲外ユーザのユーザＩＤを追加し（ステップＳ１０）、判定部１３２は、再びステップＳ５から処理を行う。

特定された全ての個人情報の所有者についての処理を行った場合には（ステップＳ５：ＹＥＳ）、コンテンツ管理部１３５は、登録対象コンテンツＩＤと登録対象コンテンツとを対応付けて、記憶部１２０に格納する。また、コンテンツ管理部１３５は、登録対象コンテンツＩＤと、ステップＳ２で特定された各個人情報所有者のユーザＩＤからなる個人情報所有者情報と、以下説明するようにして特定した各ユーザＩＤからなる許可ユーザ情報とを対応付けて記憶部１２０のアクセス制御テーブル２０に登録し（ステップＳ１１）、アクセス制御装置１００は、コンテンツの登録処理を終了する。

上記許可ユーザ情報を構成する各ユーザＩＤは以下のように特定する。
即ち、ステップＳ２で特定された全ての個人情報の所有者のユーザＩＤと個人情報テーブル１０において対応付けられている各第１ユーザ情報を取得し、取得した各第１ユーザ情報に含まれる各ユーザＩＤと、ステップＳ１で受信したコンテンツの登録要求に含まれている第２ユーザ情報に含まれる各ユーザＩＤとに共通する各ユーザＩＤを、上記許可ユーザ情報を構成する各ユーザＩＤと特定する。

なお、コンテンツ管理部１３５は、上記ステップＳ４の処理の場合と同様に、登録した許可ユーザ情報が示す各ユーザ及びコンテンツの登録要求を行ったコンテンツの所有者に対して、コンテンツ登録通知を行う。
＜コンテンツへのアクセス制御処理＞
図５は、アクセス制御装置１００による登録済コンテンツへのアクセス制御処理を示すフローチャートである。

コンテンツへのアクセスを希望するユーザが、端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の入力部２３０において、コンテンツのアクセス要求を送信するための所定操作を行うことにより、制御部２５０の要求送信処理部２５１は、コンテンツのアクセス要求を生成し、通信部２１０を介してアクセス制御装置１００へ送信する。
なお、コンテンツのアクセス要求を送信するための所定操作には、アクセスを要求するコンテンツのコンテンツＩＤを指定する操作を含む。上述のように、コンテンツが登録された際に、許可ユーザ情報が示す各ユーザには、登録されたコンテンツのコンテンツＩＤを含むコンテンツ登録通知（メール）が送信されているため、その内容を参照して、コンテンツＩＤを指定することになる。

アクセス制御装置１００の制御部１３０は、通信部１１０を介して上記端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）からコンテンツのアクセス要求を受信すると（ステップＳ２１）、アクセス要求処理部１３７は、コンテンツのアクセス要求に含まれているコンテンツＩＤと記憶部１２０のアクセス制御テーブル２０において対応付けられている許可ユーザ情報を取得する（ステップＳ２２）。

アクセス要求処理部１３７は、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているユーザＩＤが、取得した許可ユーザ情報に含まれているか否かを判定し（ステップＳ２３）、含まれている場合には（ステップＳ２３：ＹＥＳ）、コンテンツのアクセス要求に含まれているコンテンツＩＤと記憶部１２０において対応付けて記憶されているコンテンツ（以下、「アクセス対象コンテンツ」ともいう）を取得し、このアクセス対象コンテンツをコンテンツのアクセス要求の送信元の端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）に送信し（ステップＳ２４）、アクセス制御装置１００は、登録済コンテンツへのアクセス制御処理を終了する。

なお、コンテンツのアクセス要求の送信元の端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の制御部２５０における受信コンテンツ処理部２５３は、このアクセス対象コンテンツを、通信部２１０を介して受信すると、受信したアクセス対象コンテンツの種類に応じて、出力部２４０の液晶ディスプレイやスピーカへの出力を行う。
一方、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているユーザＩＤが、取得した許可ユーザ情報に含まれていない場合には（ステップＳ２３：ＮＯ）、アクセス要求処理部１３７は、コンテンツのアクセス要求に含まれているコンテンツＩＤと記憶部１２０のアクセス制御テーブル２０において対応付けられている個人情報所有者情報を取得する（ステップＳ２５）。

また、アクセス要求処理部１３７は、コンテンツのアクセス要求に含まれているユーザＩＤが、取得した個人情報所有者情報に含まれているか否かを判定し（ステップＳ２６）、含まれている場合には（ステップＳ２６：ＹＥＳ）、コンテンツ加工部１３３は、図４のステップＳ７の処理と同様に、アクセス対象コンテンツに含まれる各個人情報のうち、コンテンツのアクセス要求に含まれているユーザＩＤにより識別されるユーザ以外の他のユーザの個人情報から当該他のユーザが特定できなくなるように、アクセス対象コンテンツを加工する。アクセス要求処理部１３７は、加工後のアクセス対象コンテンツを、コンテンツのアクセス要求の送信元の端末装置に送信し（ステップＳ２７）、アクセス制御装置１００は、登録済コンテンツへのアクセス制御処理を終了する。

なお、コンテンツのアクセス要求の送信元の端末装置の制御部２５０における受信コンテンツ処理部２５３は、この加工後のアクセス対象コンテンツを、通信部２１０を介して受信すると、受信した加工後のアクセス対象コンテンツの種類に応じて、出力部２４０の液晶ディスプレイやスピーカへの出力を行う。
また、コンテンツのアクセス要求に含まれているユーザＩＤが、取得した個人情報所有者情報に含まれていない場合には（ステップＳ２６：ＮＯ）、アクセス権限がない旨のメッセージを、コンテンツのアクセス要求の送信元の端末装置に送信し（ステップＳ２８）、アクセス制御装置１００は、登録済コンテンツへのアクセス制御処理を終了する。

なお、コンテンツのアクセス要求の送信元の端末装置の制御部２５０における受信コンテンツ処理部２５３は、このアクセス権限がない旨のメッセージを、通信部２１０を介して受信すると、このメッセージを出力部２４０の液晶ディスプレイに表示させる。
＜第１ユーザ情報の変更処理＞
図６は、アクセス制御装置１００による第１ユーザ情報の変更処理を示すフローチャートである。

第１ユーザ情報の内容の変更を希望するユーザが、端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の入力部２３０において、第１ユーザ情報の変更要求を送信するための所定操作を行うことにより、制御部２５０の要求送信処理部２５１は、第１ユーザ情報の変更要求を生成し、通信部２１０を介してアクセス制御装置１００へ送信する。
アクセス制御装置１００の制御部１３０は、通信部１１０を介して上記端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）から第１ユーザ情報の変更要求を受信する（ステップＳ３１）。

個人情報テーブル更新部１３６は、受信した第１ユーザ情報の変更要求に含まれているユーザＩＤと記憶部１２０の個人情報テーブル１０において対応付けられている第１ユーザ情報を、受信した第１ユーザ情報の変更要求に含まれている第１ユーザ情報で更新し（ステップＳ３２）、アクセス制御装置１００は、第１ユーザ情報の変更処理を終了する。
なお、受信した第１ユーザ情報の変更要求に含まれているユーザＩＤと記憶部１２０の個人情報テーブル１０において対応付けられている第１ユーザ情報が存在しない場合には、勿論、ステップＳ３２の処理は行うことなく、アクセス制御装置１００は、第１ユーザ情報の変更処理を終了する。

＜具体例＞
以下、上述したアクセス制御装置１００によるコンテンツの登録処理を、図７（ａ）に示す画像データ１を登録する場合を例にして、図４に示すフローチャートに即して説明する。
なお、以下の説明開始時点において、個人情報テーブル１０及びアクセス制御テーブル２０の内容は図２に示す通りであるとする。

また、図７（ａ）に示す登録対象コンテンツ（画像データ１）の所有者はユーザＩＤが「Ｕ０００３」である「三森Ｃ子」であるとし、このコンテンツの所有者は、ユーザＩＤが「Ｕ０００１」〜「Ｕ０００４」である各ユーザにアクセスさせたいものとし、また、このコンテンツの所有者は、端末装置２００Ａを使用しているものとして説明する。
コンテンツの所有者（三森Ｃ子）が、端末装置２００Ａの入力部２３０において、コンテンツの登録要求を送信するための所定操作を行うことにより、制御部２５０の要求送信処理部２５１は、種別が「登録」であり、コンテンツデータが図７（ａ）に示す画像データ１であり、第２ユーザ情報が「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」であるコンテンツの登録要求を生成し、通信部２１０を介してアクセス制御装置１００へ送信する。

アクセス制御装置１００の制御部１３０は、通信部１１０を介して端末装置２００Ａからコンテンツの登録要求を受信すると（ステップＳ１）、コンテンツ管理部１３５は、新たなコンテンツＩＤ（ここでは、「Ｃ１００１」とする）を生成する。
個人情報検出部１３１は、受信したコンテンツの登録要求に含まれているコンテンツデータ（画像データ１）に含まれている、アクセス制御システム１０００のユーザの個人情報の検出処理を行い、検出した個人情報の所有者を特定する（ステップＳ２）。

この例では、画像データ１に対しＯＣＲ処理を施して抽出したテキストデータと個人情報テーブル１０に登録されている各ユーザＩＤ、各ユーザ名、各メールアドレスとの照合を行ったものの、一致するデータはなかったものとする。
また、画像データ１と、個人情報テーブル１０に登録されている各顔データとの照合を行い、図７（ｂ）に示すように、顔データＡとの照合で顔画像２を、顔データＢとの照合で顔画像３を、顔データＣとの照合で顔画像４を、顔データＤとの照合で顔画像５を検出し、顔データＡ〜Ｄとそれぞれ個人情報テーブル１０において対応付けられているユーザＩＤ「Ｕ０００１」〜「Ｕ０００４」を特定したものとする。

なお、ここで説明する個人情報の検出方法では、アクセス制御システム１０００のユーザ以外の個人情報は検出できない。図７（ｂ）の点線で示す顔画像６は、個人情報テーブル１０に登録されている各顔データとの照合では検出できなかった顔画像を、説明のために示している。
上記ステップＳ２の検出処理で、個人情報検出部１３１がアクセス制御システム１０００のユーザの個人情報を検出し（ステップＳ３：ＹＥＳ）、判定部１３２は、特定された全ての個人情報の所有者（ユーザＩＤが「Ｕ０００１」〜「Ｕ０００４」である各ユーザ）について、以下説明するステップＳ６の処理を行っていないので（ステップＳ５：ＮＯ）、対象ユーザのユーザＩＤ（ここでは、「Ｕ０００１」とする）を選択し、選択したユーザＩＤと、個人情報テーブル１０で対応付けられている第１ユーザ情報（Ｕ０００１、Ｕ０００２）を取得する。

この例では、取得した第１ユーザ情報は、「Ｕ０００１、Ｕ０００２」であり、第２ユーザ情報は、「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」である。従って、判定部１３２は、この第１ユーザ情報が示す全てのユーザの中に含まれていないユーザであって、この第２ユーザ情報が示す全てのユーザの中に含まれているユーザである範囲外ユーザ（「Ｕ０００３」と「Ｕ０００４」）が存在するとの判定を行う（ステップＳ６：ＹＥＳ）。

続いて、コンテンツ加工部１３３は、登録対象コンテンツに含まれる各個人情報のうち、対象ユーザ（ユーザＩＤが「Ｕ０００１」である「一山Ａ子」）以外の他のユーザの個人情報から当該他のユーザが特定できなくなるように、登録対象コンテンツを加工する（ステップＳ７）。
具体的には、図７（ｂ）に示す顔画像３〜５に対しモザイク処理を行う。

図８は、画像データ１に、モザイク処理を行った後の画像データ７を示している。
同図のグレーで塗りつぶした部分は、モザイク処理が行われたことを示している。
続いて、調整部１３４は、コンテンツ加工部１３３が加工した登録対象コンテンツ（画像データ７）を含む調整要求を、対象ユーザに送信する（ステップＳ８）。
具体的には、調整部１３４は、対象ユーザのユーザＩＤ（Ｕ０００１）と個人情報テーブル１０において対応付けられているメールアドレス（ａ○ａ＠ａａａ．ｃｏｍ）を取得し、また、個人情報テーブル１０から、ステップＳ１で受信したコンテンツの登録要求に含まれている要求元のユーザＩＤ（Ｕ０００３）のユーザ名（三森Ｃ子）と範囲外ユーザ（「Ｕ０００３」と「Ｕ０００４」）のユーザ名（「三森Ｃ子」と「四海Ｄ男」）を取得する。また、例えば、図１０（ａ）に示すように、登録対象コンテンツＩＤ（Ｃ１００１）を件名に含み、範囲外ユーザのユーザ名（「三森Ｃ子」と「四海Ｄ男」）を本文に含み、取得したメールアドレスを宛先としたメールを送信する。

この例では、この調整要求を受信した、対象ユーザ（一山Ａ子）が使用する端末装置は、入力部２３０からの入力に基づいて、図１０（ｃ）に示すような、範囲外ユーザにアクセスさせることに同意しない旨の応答を生成し、アクセス制御装置１００に送信するものとする。
従って、この例では、調整部１３４は、範囲外ユーザにアクセスさせることに同意しない旨の応答を受信するので（ステップＳ９：ＮＯ）、判定部１３２は、再びステップＳ５から処理を行う。

判定部１３２は、特定された全ての個人情報の所有者について、以下説明するステップＳ６の処理を行っていないので（ステップＳ５：ＮＯ）、対象ユーザのユーザＩＤ（ここでは、「Ｕ０００２」とする）を選択し、選択したユーザＩＤと個人情報テーブル１０で対応付けられている第１ユーザ情報（Ｕ０００２、Ｕ０００４）を取得する。
この例では、取得した第１ユーザ情報は、「Ｕ０００２、Ｕ０００４」であり、第２ユーザ情報は、「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」であり、範囲外ユーザ（「Ｕ０００１」と「Ｕ０００３」）が存在するとの判定を行う（ステップＳ６：ＹＥＳ）。

続いて、コンテンツ加工部１３３は、登録対象コンテンツに含まれる各個人情報のうち、対象ユーザ（ユーザＩＤが「Ｕ０００２」である「二川Ｂ男」）以外の他のユーザの個人情報から当該他のユーザが特定できなくなるように、つまり、図７（ｂ）に示す顔画像２、４、５にモザイク処理を行うように、登録対象コンテンツを加工する（ステップＳ７）。

続いて、調整部１３４は、コンテンツ加工部１３３が加工した登録対象コンテンツを含む調整要求を、対象ユーザに送信する（ステップＳ８）。
この例では、この調整要求を受信した、対象ユーザ（二川Ｂ男）が使用する端末装置は、入力部２３０からの入力に基づいて、図１０（ｂ）に示すような、範囲外ユーザにアクセスさせることに同意する旨の応答を生成し、アクセス制御装置１００に送信するものとする。

従って、この例では、調整部１３４は、範囲外ユーザにアクセスさせることに同意する旨の応答を受信するので（ステップＳ９：ＹＥＳ）、個人情報テーブル更新部１３６は、対象ユーザのユーザＩＤ（Ｕ０００２）と個人情報テーブル１０において対応付けられている第１ユーザ情報（Ｕ０００２、Ｕ０００４）に、範囲外ユーザのユーザＩＤ（「Ｕ０００１」と「Ｕ０００３」）を追加し（ステップＳ１０）、判定部１３２は、再びステップＳ５から処理を行う。

判定部１３２は、特定された全ての個人情報の所有者について、以下説明するステップＳ６の処理を行っていないので（ステップＳ５：ＮＯ）、対象ユーザのユーザＩＤ（ここでは、「Ｕ０００３」とする）を選択し、選択したユーザＩＤと個人情報テーブル１０で対応付けられている第１ユーザ情報（「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」）を取得する。

この例では、取得した第１ユーザ情報は、「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」であり、第２ユーザ情報は、「Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４」であり、範囲外ユーザが存在しないので（ステップＳ６：ＮＯ）、判定部１３２は、再びステップＳ５から処理を行う。
判定部１３２は、特定された全ての個人情報の所有者について、以下説明するステップＳ６の処理を行っていないので（ステップＳ５：ＮＯ）、対象ユーザのユーザＩＤ（ここでは、「Ｕ０００４」とする）を選択し、対象ユーザが「一山Ａ子」であったときと同様に処理する。

なお、この例では、この調整要求を受信した、対象ユーザ（四海Ｄ男）が使用する端末装置は、入力部２３０からの入力に基づいて、範囲外ユーザにアクセスさせることに同意しない旨の応答を、アクセス制御装置１００に送信したものとする。
この結果、端末装置２００Ａから要求されたコンテンツの登録処理の開始前において、図２（ａ）に示す内容であった個人情報テーブル１０は、図９（ａ）に示す内容に更新される。

この例では、判定部１３２は、特定された全ての個人情報の所有者についての処理を行ったので（ステップＳ５：ＹＥＳ）、コンテンツ管理部１３５は、登録対象コンテンツＩＤ（Ｃ１００１）と登録対象コンテンツ（画像データ１）とを対応付けて、記憶部１２０に格納する。
また、コンテンツ管理部１３５は、ステップＳ２で特定された全ての個人情報の所有者のユーザＩＤ（Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４）と個人情報テーブル１０において対応付けられている各第１ユーザ情報を取得する。コンテンツ管理部１３５は、取得した各第１ユーザ情報に含まれる各ユーザＩＤと、ステップＳ１で受信したコンテンツの登録要求に含まれている第２ユーザ情報（Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４）に含まれる各ユーザＩＤとに共通する各ユーザＩＤ（Ｕ０００１、Ｕ０００２）を、上記許可ユーザ情報を構成する各ユーザＩＤと特定する。

コンテンツ管理部１３５は、上記コンテンツＩＤ（Ｃ１００１）と、ステップＳ２で特定された各個人情報所有者のユーザＩＤ（Ｕ０００１、Ｕ０００２、Ｕ０００３、Ｕ０００４）からなる個人情報所有者情報と、特定した各ユーザＩＤ（Ｕ０００１、Ｕ０００２）からなる許可ユーザ情報とを対応付けて記憶部１２０のアクセス制御テーブル２０に登録し（ステップＳ１１）、アクセス制御装置１００は、コンテンツの登録処理を終了する。

≪変形例≫
実施の形態１では、アクセス制御装置１００が、コンテンツの登録要求を受信した際に、必要に応じて調整要求を行う例に説明した。
以下では、コンテンツの登録要求を受信した際には、とりあえず、コンテンツを登録しておき、そのコンテンツについて、最初にアクセス要求があった際に、必要に応じて調整要求を行うように変えた一変形例を説明する。

これにより、一度もアクセス要求がなされていないコンテンツについては調整要求が行われないことになるので、コンテンツの登録時に予め調整要求を行っておく場合と比較し、調整要求の処理を行うためのアクセス制御装置の負荷を軽減し、調整要求に対する応答を行う各ユーザの手間を省くことができる。
この変形例に係るアクセス制御装置（以下、「変形アクセス制御装置」という）は、上述の実施の形態１に係るアクセス制御装置１００の制御部１３０の機能及びアクセス制御テーブルのデータ構成を若干変更したものであるため、アクセス制御装置１００からの変更部分を中心に説明する。

なお、以下では、この変形アクセス制御装置を含むアクセス制御システムを、「変形アクセス制御システム」という。
＜データ＞
図１２は、変形アクセス制御装置の記憶部１２０に記憶されているアクセス制御テーブル６０のデータ構成及び内容例を示す図である。

アクセス制御テーブル６０は、変形アクセス制御装置に登録されたコンテンツ毎に、コンテンツＩＤ２１と、個人情報所有者情報２２と、第２ユーザ情報６１と、許可ユーザ情報２３とを対応付けて構成される情報である。
ここで、コンテンツＩＤ２１と、個人情報所有者情報２２と、許可ユーザ情報２３とについては、アクセス制御テーブル２０のデータ項目と同じものであり、第２ユーザ情報６１は、対応するコンテンツについてのコンテンツの登録要求に含まれていた第２ユーザ情報である。

同図は、例えば、コンテンツＩＤが「Ｃ０００１」であるコンテンツに含まれる個人情報の個人情報所有者情報は「Ｕ０００１」であり、第２ユーザ情報は「Ｕ０００１」（つまり、「一山Ａ子」）と「Ｕ０００２」（つまり、「二川Ｂ男」）と「Ｕ０００３」（つまり、「三森Ｃ子」）であり、許可ユーザ情報は「Ｕ０００１」と「Ｕ０００２」であることを示している。即ち、このコンテンツの所有者は、「一山Ａ子」と「二川Ｂ男」と「三森Ｃ子」とにこのコンテンツにアクセスさせたいことを示している。

＜動作＞
以下、変形アクセス制御装置の動作を説明する。
＜コンテンツの登録処理＞
図１３は、変形アクセス制御装置によるコンテンツの登録処理を示すフローチャートである。

変形アクセス制御装置によるコンテンツの登録処理のうち、ステップＳ１〜Ｓ４の処理は、実施の形態１に係るアクセス制御装置１００によるコンテンツの登録処理のステップＳ１〜Ｓ４の処理（図４参照）と同様である。
従って、以下では、ステップＳ３で肯定的な判定がなされた場合（ステップＳ３：ＹＥＳ）に行われるステップＳ１２の処理について説明する。

変形アクセス制御装置における制御部（以下、「変形制御部」という）の個人情報検出部１３１が、上記ステップＳ２の検出処理で、変形アクセス制御システムのユーザの個人情報を検出した場合に（ステップＳ３：ＹＥＳ）、変形制御部におけるコンテンツ管理部（以下、「変形コンテンツ管理部」という）は、登録対象コンテンツＩＤと登録対象コンテンツとを対応付けて、記憶部１２０に格納する。

また、変形コンテンツ管理部は、この登録対象コンテンツＩＤと、ステップＳ２で特定された各個人情報所有者のユーザＩＤからなる個人情報所有者情報と、ステップＳ１で受信したコンテンツの登録要求に含まれていた第２ユーザ情報とを対応付けて記憶部１２０のアクセス制御テーブル６０に登録し（ステップＳ１２）、変形アクセス制御装置は、コンテンツの登録処理を終了する。

なお、この際、変形コンテンツ管理部は、第２ユーザ情報が示す各ユーザに、アクセスが許可される可能性のあるコンテンツが登録された旨を通知する。以下、この通知を、「コンテンツ仮登録通知」という。この通知の送り方については、実施の形態１に係るコンテンツ登録通知と同様であるが、通知の内容は、例えば、図１１（ｂ）に示す内容とする。図１１（ｂ）に示すように、コンテンツ仮登録通知も、図１１（ａ）に示すコンテンツ登録通知と同様に、メール本文にコンテンツＩＤ（部分Ｍ８参照）を含むものである。

＜コンテンツへのアクセス制御処理＞
図１４及び図１５は、変形アクセス制御装置による登録済コンテンツへのアクセス制御処理を示すフローチャートである。
変形アクセス制御装置の変形制御部は、通信部１１０を介していずれかの端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）からコンテンツのアクセス要求を受信すると（図１４のステップＳ２１）、変形制御部の判定部（以下、「変形判定部」という）は、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているコンテンツＩＤを含むアクセス制御テーブル６０のレコードに許可ユーザ情報が登録されているか否かを判定する（ステップＳ５０）。

許可ユーザ情報が登録されている場合には（ステップＳ５０：ＹＥＳ）、図１５のステップＳ２２の処理に進む。
一方、許可ユーザ情報が登録されていない場合には（ステップＳ５０：ＮＯ）、変形判定部は、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているコンテンツＩＤとアクセス制御テーブル６０において対応付けられている個人情報所有者情報及び第２ユーザ情報を取得し、個人情報所有者情報が示す全ての個人情報の所有者について、以下説明するステップＳ５２の処理を行ったか否かを図４のステップＳ５の処理と同様に判定する（ステップＳ５１）。

全ての個人情報の所有者についての処理を行っていない場合には（ステップＳ５１：ＮＯ）、変形判定部は、１人の対象ユーザのユーザＩＤを選択し、選択したユーザＩＤと、個人情報テーブル１０で対応付けられている第１ユーザ情報を取得する。
変形判定部は、取得した第１ユーザ情報及び第２ユーザ情報に基づいて、範囲外ユーザが存在するか否かを図４のステップＳ６の処理と同様に判定する（ステップＳ５２）。

範囲外ユーザが存在しないとの判定を行った場合に（ステップＳ５２：ＮＯ）、変形判定部は、再びステップＳ５１から処理を行い、変形判定部が、範囲外ユーザが存在するとの判定を行った場合に（ステップＳ５２：ＹＥＳ）、実施の形態１で説明したのと同様にステップＳ７〜Ｓ１０の処理を行う。
全ての個人情報の所有者についての処理を行った場合には（ステップＳ５１：ＹＥＳ）、変形コンテンツ管理部は、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているコンテンツＩＤとアクセス制御テーブル６０において対応付けられている個人情報所有者情報に含まれる各ユーザＩＤと個人情報テーブル１０において対応付けられている各第１ユーザ情報を取得する。変形コンテンツ管理部は、取得した各第１ユーザ情報及び第２ユーザ情報に基づいて、図４のステップＳ１１と同様に、許可ユーザ情報を構成する各ユーザＩＤと特定する。

変形コンテンツ管理部は、ステップＳ２１で受信したコンテンツのアクセス要求に含まれているコンテンツＩＤとアクセス制御テーブル６０で対応付けられる許可ユーザ情報に、特定した各ユーザＩＤを設定する（ステップＳ５４）。
以降のステップＳ２２〜Ｓ２８の処理は、実施の形態１に係るアクセス制御装置１００によるコンテンツのアクセス制御処理のステップＳ２１〜Ｓ２８の処理（図５参照）と同様であるため説明は省略する。

≪実施の形態２≫
実施の形態１では、範囲外ユーザにアクセスさせることに、調整要求を受信したユーザが同意した場合には、このユーザの第１ユーザ情報を、この範囲外ユーザを含めるように更新するものとして説明した。
しかしながら、同一の範囲外ユーザであっても、自己の個人情報を含むコンテンツの内容に応じて、その範囲外ユーザにアクセスさせることに同意するか否かを選択したい場合がある。また、一旦は、範囲外ユーザにアクセスさせることに同意しなかった場合でも、後から同意したい場合や、その逆の場合もある。

そこで、実施の形態２では、各ユーザが、自己の個人情報を含むコンテンツ毎に、範囲外ユーザにアクセスさせることに同意するか否かの柔軟な選択を可能にすると共に、後からこの選択を変更することを可能にした例を説明する。
＜構成＞
図１６は、実施の形態２に係るアクセス制御システム１１００のシステム構成図である。

アクセス制御システム１１００は、実施の形態１に係るアクセス制御システム１０００のアクセス制御装置１００に代えて、アクセス制御装置１５０を含んで構成される。
アクセス制御装置１５０は、実施の形態１に係るアクセス制御装置１００の制御部１３０に代えて、制御部１５１を備え、また、実施の形態１に係るアクセス制御テーブル２０のデータ構成を若干変えたアクセス制御テーブル７０を記憶部１２０に記憶している。

また、制御部１５１は、実施の形態１に係る制御部１３０の調整部１３４、コンテンツ管理部１３５、個人情報テーブル更新部１３６それぞれの機能を若干変えた、調整部１５２、コンテンツ管理部１５３、個人情報テーブル更新部１５４を備える。
＜データ＞
＜アクセス制御テーブル＞
図１７（ａ）は、アクセス制御テーブル７０のデータ構成及び内容例を示す図である。

アクセス制御テーブル７０は、アクセス制御装置１５０に登録されたコンテンツ毎に、コンテンツＩＤ２１と、個人情報所有者情報２２と、第２ユーザ情報６１と、許可ユーザ情報２３とが対応付けられており、また更にそのコンテンツについて、個人情報所有者情報２２毎に、第１ユーザ情報７１が対応付けられた情報である。
コンテンツＩＤ２１と、個人情報所有者情報２２と、許可ユーザ情報２３とについては、実施の形態１に係るアクセス制御テーブル２０のデータ項目と、第２ユーザ情報６１については、変形例に係るアクセス制御テーブル６０のデータ項目と同じものである。

ここで、第１ユーザ情報７１は、対応する個人情報所有者情報が示すユーザ毎に、そのユーザが、自己の個人情報を含む対応するコンテンツについてアクセスさせてもよいとする各ユーザを示す情報である。
同図は、例えば、コンテンツＩＤが「Ｃ０００４」であるコンテンツに含まれる個人情報の個人情報所有者情報は「Ｕ０００１」と「Ｕ０００３」とであり、この個人情報所有者情報が「Ｕ０００１」であるユーザ（つまり、一山Ａ子）のこのコンテンツについての第１ユーザ情報は、「Ｕ０００１」と「Ｕ０００２」とであり、個人情報所有者情報が「Ｕ０００３」であるユーザ（つまり、三森Ｃ子）のこのコンテンツについての第１ユーザ情報は、「Ｕ０００１」と「Ｕ０００２」と「Ｕ０００３」と「Ｕ０００４」とであり、第２ユーザ情報は「Ｕ０００１」と「Ｕ０００２」と「Ｕ０００３」とであり、許可ユーザ情報は「Ｕ０００１」と「Ｕ０００２」とであることを示している。

また、同図では、コンテンツＩＤが「Ｃ０００５」であるコンテンツに含まれる個人情報の個人情報所有者情報は「Ｕ０００１」と「Ｕ０００２」とであり、この個人情報所有者情報が「Ｕ０００１」であるユーザの第１ユーザ情報は、「Ｕ０００１」と「Ｕ０００２」と「Ｕ０００３」とであることを示している。
つまり、コンテンツＩＤが「Ｃ０００４」であるコンテンツと、コンテンツＩＤが「Ｃ０００５」であるコンテンツとで、個人情報所有者情報が「Ｕ０００１」であるユーザの第１ユーザ情報の内容が異なっている。即ち、このアクセス制御テーブル７０は、コンテンツ毎に、そのコンテンツに含まれる各個人情報の所有者が、そのコンテンツにアクセスさせてもよいとする各ユーザを設定できるようになっている。

＜第１ユーザ情報の変更要求＞
図１７（ｂ）は、第１ユーザ情報の変更要求５５のデータ構成及び内容例を示す図である。
第１ユーザ情報の変更要求５５は、同図に示すように、種別５１と、コンテンツＩＤ５６と、ユーザＩＤ５２と、第１ユーザ情報５３とから構成される。

ここで、種別５１と、ユーザＩＤ５２と、第１ユーザ情報５３とについては、第１ユーザ情報の変更要求５０のデータ項目と同じものであり、コンテンツＩＤ５６は、要求の対象となるコンテンツの識別情報であり、アクセス制御装置１５０に登録済の特定のコンテンツについての第１ユーザ情報のみを変更する場合に指定される。
即ち、コンテンツＩＤ５６に、いずれのコンテンツＩＤも指定されていない場合には、後述するように、全てのコンテンツについての第１ユーザ情報が変更されることになる。

同図では、例えば、種別が「変更」である要求（つまり、第１ユーザ情報の変更要求）の要求の対象は、コンテンツＩＤが「Ｃ０００４」であるコンテンツであり、要求元のユーザＩＤは「Ｕ０００１」（つまり、一山Ａ子）であり、変更後の第１ユーザ情報は「Ｕ０００１」（つまり、一山Ａ子）と「Ｕ０００２」（つまり、二川Ｂ男）と「Ｕ０００３」（つまり、三森Ｃ子）であることを示している。

＜動作＞
以下、アクセス制御装置１５０の動作を説明する。
＜コンテンツの登録処理＞
図１８及び図１９は、アクセス制御装置１５０によるコンテンツの登録処理を示すフローチャートである。

アクセス制御装置１５０によるコンテンツの登録処理のうち、ステップＳ１〜Ｓ７の処理は、実施の形態１に係るアクセス制御装置１００によるコンテンツの登録処理のステップＳ１〜Ｓ７の処理（図４参照）と同様である。
従って、以下では、ステップＳ１３以降の処理について説明する。
制御部１５１の調整部１５２は、コンテンツ加工部１３３が加工した登録対象コンテンツを含む調整要求を、対象ユーザに送信する（図１８のステップＳ１３）。

ここで、調整要求の生成及び送信の仕方については、実施の形態１で説明したものと同様であるが、メール本文は、例えば、図２２（ａ）に示す内容とする。
この調整要求を受信した、対象ユーザが使用する端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）の制御部２５０における調整要求処理部２５２は、入力部２３０からの入力に基づいて、この調整要求に対する応答を、通信部２１０を介して、アクセス制御装置１５０に送信する。

この例では、自己の個人情報を含む全てのコンテンツについて、範囲外ユーザにアクセスさせることに同意する旨の応答としては、実施の形態１で説明したものと同様に（図１０（ｂ）参照）、メール本文に「１」が記載された応答（メール）が送信されることとする。
また、登録対象コンテンツのみについて、範囲外ユーザにアクセスさせることに同意する旨の応答としては、図２２（ｂ）に示すように件名に、登録対象コンテンツＩＤ（部分Ｍ９参照）を含み、メール本文に「２」（部分Ｍ１０参照）が記載された応答（メール）が送信されることとする。

また、範囲外ユーザにアクセスさせることに同意しない旨の応答としては、実施の形態１で説明したものと同様に（図１０（ｃ）参照）、メール本文に「０」が記載された応答（メール）が送信されることとする。
調整部１５２は、送信した調整要求に対する応答の種類を判定する（ステップＳ１４）。

この例では、件名に、登録対象コンテンツＩＤを含み、メール本文に「１」が記載されたメールをステップＳ１３で送信した調整要求の宛先から受信した場合に、全てのコンテンツについて、範囲外ユーザにアクセスさせることに同意する旨の応答を受信したと判定する（ステップＳ１４：全コンテンツで同意）。
この場合、個人情報テーブル更新部１３６は、対象ユーザのユーザＩＤと個人情報テーブル１０において対応付けられている第１ユーザ情報に、範囲外ユーザのユーザＩＤを追加する（ステップＳ１０）。

また、制御部１５１のコンテンツ管理部１５３は、登録対象コンテンツＩＤに対応付けて、対象ユーザのユーザＩＤを設定した個人情報所有者情報と、上記範囲外ユーザのユーザＩＤが追加された第１ユーザ情報とをアクセス制御テーブル７０に登録し（ステップＳ１５）、判定部１３２は、再びステップＳ５から処理を行う。
また、ステップＳ１４において、件名に、登録対象コンテンツＩＤを含み、メール本文に「２」が記載されたメールをステップＳ１３で送信した調整要求の宛先から受信した場合に、登録対象コンテンツについて、範囲外ユーザにアクセスさせることに同意する旨の応答を受信したと判定する（ステップＳ１４：登録対象コンテンツのみで同意）。

この場合、コンテンツ管理部１５３は、対象ユーザのユーザＩＤと個人情報テーブル１０で対応付けられている第１ユーザ情報を取得する。また、コンテンツ管理部１５３は、登録対象コンテンツＩＤに対応付けて、対象ユーザのユーザＩＤを設定した個人情報所有者情報と、取得した第１ユーザ情報に範囲外ユーザのユーザＩＤを追加したものを設定した第１ユーザ情報とをアクセス制御テーブル７０に登録し（ステップＳ１５）、判定部１３２は、再びステップＳ５から処理を行う。

また、ステップＳ１４において、件名に、登録対象コンテンツＩＤを含み、メール本文に「０」が記載されたメールをステップＳ１３で送信した調整要求の宛先から受信した場合に、いずれのコンテンツについても、範囲外ユーザにアクセスさせることに同意しない旨の応答を受信したと判定する（ステップＳ１４：同意せず）。
この場合、コンテンツ管理部１５３は、対象ユーザのユーザＩＤと個人情報テーブル１０で対応付けられている第１ユーザ情報を取得する。また、コンテンツ管理部１５３は、登録対象コンテンツＩＤに対応付けて、対象ユーザのユーザＩＤを設定した個人情報所有者情報と、取得した第１ユーザ情報とをアクセス制御テーブル７０に登録し（ステップＳ１６）、判定部１３２は、再びステップＳ５から処理を行う。

特定された全ての個人情報の所有者についての処理を行った場合には（ステップＳ５：ＹＥＳ）、コンテンツ管理部１５３は、登録対象コンテンツＩＤと登録対象コンテンツとを対応付けて、記憶部１２０に格納する。また、コンテンツ管理部１５３は、登録対象コンテンツＩＤとアクセス制御テーブル７０において対応付けられている各第１ユーザ情報と第２ユーザ情報を取得し、図４のステップＳ１１の処理と同様の方法で特定した各ユーザＩＤからなる許可ユーザ情報を、登録対象コンテンツＩＤと対応付けてアクセス制御テーブル７０に登録し（ステップＳ１８）、アクセス制御装置１５０は、コンテンツの登録処理を終了する。

＜第１ユーザ情報の変更処理＞
図２０は、アクセス制御装置１５０による第１ユーザ情報の変更処理を示すフローチャートである。
アクセス制御装置１５０による第１ユーザ情報の変更処理のうち、ステップＳ３１及びＳ３２の処理は、実施の形態１に係るアクセス制御装置１００による第１ユーザ情報の変更処理のステップＳ３１及びＳ３２の処理（図６参照）と同様である。

従って、以下では、このステップＳ３１及びＳ３２の処理以外の処理を中心に説明する。
アクセス制御装置１５０の制御部１５１が、通信部１１０を介していずれかの端末装置（２００Ａ、２００Ｂ、又は２００Ｃ）から第１ユーザ情報の変更要求を受信すると（ステップＳ３１）、制御部１５１の個人情報テーブル更新部１５４は、受信した第１ユーザ情報の変更要求にコンテンツＩＤが含まれているか否かを判定する（ステップＳ３３）。

コンテンツＩＤが含まれている場合には（ステップＳ３３：ＹＥＳ）、制御部１５１のコンテンツ管理部１５３は、このコンテンツＩＤを変更対象コンテンツＩＤとして、許可ユーザ情報の変更処理を行う（ステップＳ３４）。許可ユーザ情報の変更処理については後述する（図２１参照）。
この許可ユーザ情報の変更処理を完了すると、アクセス制御装置１５０は、第１ユーザ情報の変更処理を終了する。

一方、受信した第１ユーザ情報の変更要求にコンテンツＩＤが含まれていない場合には（ステップＳ３３：ＮＯ）、個人情報テーブル更新部１５４は、受信した第１ユーザ情報の変更要求に含まれているユーザＩＤと個人情報テーブル１０において対応付けられている第１ユーザ情報を、受信した第１ユーザ情報の変更要求に含まれている第１ユーザ情報で更新する（ステップＳ３２）。

また、コンテンツ管理部１５３は、受信した第１ユーザ情報の変更要求に含まれているユーザＩＤと一致する個人情報所有者情報とアクセス制御テーブル７０において対応付けられている全てのコンテンツＩＤを特定する（ステップＳ３５）。
コンテンツ管理部１５３は、特定した全てのコンテンツＩＤについて、以下説明するステップＳ３７の処理を行ったか否かを判定し（ステップＳ３６）、行っていない場合には（ステップＳ３６：ＮＯ）、未処理の特定したコンテンツＩＤのうち、１つのコンテンツＩＤを変更対象コンテンツＩＤとして、許可ユーザ情報の変更処理を行う（ステップＳ３７）。

この許可ユーザ情報の変更処理を完了すると、コンテンツ管理部１５３は、再びステップＳ３６から処理を行う。
また、特定した全てのコンテンツＩＤについて、ステップＳ３７の処理を行った場合には（ステップＳ３６：ＹＥＳ）、アクセス制御装置１５０は、第１ユーザ情報の変更処理を終了する。

＜許可ユーザ情報の変更処理＞
続いて、上記ステップＳ３４及びステップＳ３７で行う許可ユーザ情報の変更処理について説明する。
図２１は、アクセス制御装置１５０による許可ユーザ情報の変更処理を示すフローチャートである。

コンテンツ管理部１５３は、変更対象コンテンツＩＤ及び受信した第１ユーザ情報の変更要求に含まれているユーザＩＤとアクセス制御テーブル７０において対応付けられている第１ユーザ情報を取得する（ステップＳ４１）。
コンテンツ管理部１５３は、取得した第１ユーザ情報と、受信した第１ユーザ情報の変更要求に含まれている第１ユーザ情報とを比較し、追加されたユーザＩＤを特定する。

ここで、追加されたユーザＩＤとは、取得した第１ユーザ情報には含まれていないユーザＩＤであって、受信した第１ユーザ情報の変更要求に含まれている第１ユーザ情報には含まれているユーザＩＤである。
コンテンツ管理部１５３は、追加されたユーザＩＤがあるか否かを判定し（ステップＳ４２）、ない場合には（ステップＳ４２：ＮＯ）、後述するステップＳ４５の処理に進む。

また、追加されたユーザＩＤがある場合には（ステップＳ４２：ＹＥＳ）、コンテンツ管理部１５３は、変更対象コンテンツＩＤとアクセス制御テーブル７０において対応付けられている第２ユーザ情報を取得する（ステップＳ４３）。
コンテンツ管理部１５３は、取得した第２ユーザ情報に、追加されたユーザＩＤが含まれているか否かを判定し（ステップＳ４４）、含まれていない場合には（ステップＳ４４：ＮＯ）、アクセス制御装置１５０は、許可ユーザ情報の変更処理を終了する。

また、取得した第２ユーザ情報に、追加されたユーザＩＤが含まれている場合には（ステップＳ４４：ＹＥＳ）、コンテンツ管理部１５３は、変更対象コンテンツＩＤ及び受信した第１ユーザ情報の変更要求に含まれているユーザＩＤとアクセス制御テーブル７０において対応付けられている第１ユーザ情報を、受信した第１ユーザ情報の変更要求に含まれている第１ユーザ情報で更新する（ステップＳ４５）。

また、コンテンツ管理部１５３は、変更対象コンテンツＩＤとアクセス制御テーブル７０において対応付けられている各第１ユーザ情報を取得し、取得した各第１ユーザ情報に含まれる各ユーザＩＤと、ステップＳ４３で取得した第２ユーザ情報に含まれる各ユーザＩＤとに共通する各ユーザＩＤにより、変更対象コンテンツＩＤとアクセス制御テーブル７０において対応付けられている許可ユーザ情報を更新する（ステップＳ４６）。

＜補足＞
以上、本発明に係るアクセス制御装置を、実施の形態１、２及び変形例（以下、単に「実施の形態」ともいう）に基づいて説明したが、以下のように変形することも可能であり、本発明は実施の形態で示した通りのアクセス制御装置に限られないことは勿論である。
（１）実施の形態に係るアクセス制御テーブルのデータ項目には、コンテンツの登録要求の要求元のユーザ（つまり、コンテンツの所有者）についての情報は含まれないものとして説明したが、このユーザのユーザＩＤ（以下、「コンテンツの所有者情報」という）を登録するようにしてもよい。

このコンテンツの所有者情報を利用して、実施の形態に係るアクセス制御処理（図５、図１４〜図１５）を、例えば、あるコンテンツのアクセス要求に含まれるユーザＩＤが、そのコンテンツについての許可ユーザ情報に含まれていなくても、コンテンツの所有者情報に含まれている場合には、アクセス対象コンテンツを送信するように変更してもよい。
（２）変形例では、登録済のコンテンツについて、最初にコンテンツのアクセス要求を受信した際に、必要に応じて、調整要求を行うものとして説明した（図１４のステップＳ５０〜Ｓ５２、Ｓ７、Ｓ８参照）。

しかしながら、例えば、受信したコンテンツのアクセス要求に含まれているコンテンツＩＤとアクセス制御テーブル６０において対応付けられている第２ユーザ情報に、コンテンツのアクセス要求に含まれているユーザＩＤが含まれている場合にのみ、上記ステップＳ５０以降の処理を行うようにしてもよい。
（３）変形例に係る変形アクセス制御装置によるコンテンツへのアクセス制御処理（図１４参照）のステップＳ８〜Ｓ１０の処理に代えて、実施の形態２に係るアクセス制御装置１５０によるコンテンツの登録処理（図１８参照）のステップＳ１３、Ｓ１４、Ｓ１０、Ｓ１５及びＳ１６の処理を行うようにしてもよい。また、この変形アクセス制御装置による第１ユーザ情報の変更処理（図６参照）を、実施の形態２に係るアクセス制御装置１５０による第１ユーザ情報の変更処理（図２０、図２１参照）に代えてもよい。

なお、この場合、アクセス制御テーブル６０をアクセス制御テーブル７０に変更する必要がある。
これにより、各ユーザが、自己の個人情報を含むコンテンツ毎に、範囲外ユーザにアクセスさせることに同意するか否かの柔軟な選択を可能にすると共に、後からこの選択を変更することが可能になる。

（４）実施の形態では、調整要求（メール）に、加工後の登録対象コンテンツを添付するものとして説明したが、添付しないようにしてもよい。但し、加工後の登録対象コンテンツを添付するほうが好ましい。
なぜなら、調整要求を受信したユーザが、範囲外ユーザにアクセスさせることに同意するか否かを判断する際に、この判断の対象となるコンテンツが特定できないままに同意することは、一般的には難しいと考えられるためである。即ち、もしも加工後の登録対象コンテンツを添付しないとすれば、同意しないとの応答がなされる可能性が高くなると考えられる。従って、実施の形態に係るアクセス制御装置上でのコンテンツの共有を促進するためには、調整要求（メール）に、加工後の登録対象コンテンツを添付するほうが好ましい。

（５）実施の形態では、あるコンテンツのアクセス要求に含まれるユーザＩＤが、そのコンテンツについての許可ユーザ情報に含まれていなくても、個人情報所有者情報に含まれている場合には、加工後のアクセス対象コンテンツを送信するものとして説明した（図５、図１５のステップＳ２５〜Ｓ２７参照）。
しかしながら、アクセス要求に含まれるユーザＩＤが、そのコンテンツについての許可ユーザ情報に含まれない場合には（ステップＳ２３：ＮＯ）、一律に、アクセス権限がない旨のメッセージを、コンテンツのアクセス要求の送信元の端末装置に送信する（ステップＳ２８）ようにしてもよい。

（６）実施の形態では、個人情報テーブル１０への新たなレコードの登録及び登録済のレコードの削除は、実施の形態に係るアクセス制御装置の管理者が行うものとして説明したが、各端末装置から実施の形態に係るアクセス制御装置に送信されるコマンドとして、ユーザ登録要求及びユーザ削除要求を追加するように変更し、ユーザ登録及び削除を希望する者が自ら行えるようにしてもよい。

ここで、ユーザ登録要求は、個人情報テーブル１０の各レコードに設定されるデータ項目のうち、要求元のユーザ名、顔画像データ、メールアドレス及び第１ユーザ情報を含むものである。
このユーザ登録要求を受信した、この変形に係るアクセス制御装置は、受信したユーザ登録要求に含まれている顔画像データから画像特徴パラメータ群（顔データ）を抽出し、新たなユーザＩＤを生成し、生成したユーザＩＤと抽出した顔データと、受信したユーザ登録要求に含まれているユーザ名、メールアドレス及び第１ユーザ情報とからなるレコードを個人情報テーブル１０に追加する。レコードの追加後、この変形に係るアクセス制御装置は、追加したレコードに含まれるメールアドレス宛に、生成したユーザＩＤを通知する。

また、ユーザ削除要求は、要求元のユーザＩＤを含むものであり、このユーザ削除要求を受信した、この変形に係るアクセス制御装置は、受信したユーザ削除要求に含まれているユーザＩＤを、実施の形態に係るアクセス制御テーブルの許可ユーザ情報から削除する。
なお、この際、受信したユーザ削除要求に含まれているユーザＩＤを含む個人情報テーブル１０のレコードを削除してもよい。また、受信したユーザ削除要求に含まれているユーザＩＤを実施の形態に係るアクセス制御テーブルの個人情報所有者情報から削除してもよいし、この際に、特に、実施の形態２に係るアクセス制御装置１５０においては、この個人情報所有者情報と対応する第１ユーザ情報をアクセス制御テーブル７０から削除するようにしてもよい。

また、変形例及び実施の形態２に係るアクセス制御装置において、受信したユーザ削除要求に含まれているユーザＩＤをアクセス制御テーブル（６０、７０）の個人情報所有者情報から削除するようにした場合、許可ユーザ情報を再設定するようにしてもよい。
（７）実施の形態に係るアクセス制御装置は、実施の形態に係るアクセス制御システムのユーザの個人情報を検出するものとして説明したが（図４、図１３、図１８のステップＳ２）、例えば、一般的な顔画像のテンプレートや、人の氏名等の辞書データを記憶しておき、これらに基づいて、ユーザ以外の個人情報を検出できるようにしてもよい。

この検出結果を利用して、例えば、登録対象コンテンツやアクセス対象コンテンツを加工する際に、ユーザ以外の個人情報にもモザイク処理や伏字処理を施すようにしてもよい。
（８）変形例では、コンテンツの登録処理において、予めユーザの個人情報の検出を行っておくものとして説明したが（図１３のステップＳ２参照）、登録済コンテンツへのアクセス制御処理において行うようにしてもよい。

具体的には、例えば、図１３のステップＳ２〜Ｓ４及びＳ１２の処理を、図１４のステップＳ５０とＳ５１の間で行うようにしてもよい。
（９）実施の形態では、登録対象コンテンツの一例として、画像データ、動画データ、及びテキストデータを挙げて説明したが、登録対象コンテンツは、これ以外のデータであってもよく、例えば、音声データであってもよい。

この場合、例えば、この登録対象コンテンツ（音声データ）に対し音声認識処理を施し、登録対象コンテンツに含まれている音声に対応するテキストデータを抽出し、抽出したテキストデータと個人情報テーブル１０に登録されている各ユーザＩＤ、各ユーザ名、各メールアドレスとを照合することによって、登録対象コンテンツに含まれている各ユーザの個人情報を検出できる。

また、個人情報テーブル１０に各ユーザの声のデータを登録するように変形し、この声のデータと登録対象コンテンツとを照合することで、各ユーザの声（個人情報）を検出するようにしてもよい。
なお、登録対象コンテンツ（音声データ）に含まれる個人情報の検出は、動画データに含まれる音声データにも同様に適用するよう変形してもよい。

また、アクセス対象コンテンツが音声データである場合、各端末装置の制御部２５０の受信コンテンツ処理部２５３は、音声を出力部２４０のスピーカに出力することになる。
（１０）実施の形態に係るコンテンツ加工部１３３は、登録対象コンテンツ及びアクセス対象コンテンツを加工する方法の一例として、モザイク処理や伏字処理を行うものとして説明したが、特定のユーザ以外の他のユーザの個人情報から当該他のユーザを特定できなくなるようにする処理であれば、他の処理を行ってもよい。

例えば、他のユーザの個人情報が含まれる箇所のデータ（画像データやテキストデータ）を削除してもよいし、例えば、他のユーザの個人情報が含まれる画像部分を黒で塗りつぶす処理を行ってもよいし、他のユーザの個人情報が含まれる画像部分が見えないように、所定のパターンの画像（例えば、タイルの画像）を重ねる処理（合成処理）を行ってもよい。

（１１）実施の形態では、登録されている各コンテンツの識別にコンテンツＩＤを用いた場合を例に説明したが、これは一例であり、登録されている各コンテンツを識別できる他の情報、例えば、コンテンツの記憶場所を示すパス情報やＵＲＬ（Uniform Resource Locator）を用いるようにしてもよい。
（１２）実施の形態では特に説明しなかったが、一旦登録されたコンテンツを、例えば、そのコンテンツの所有者及びそのコンテンツに含まれる個人情報の所有者が削除できるようにしてもよい。

そのために、各端末装置から実施の形態に係るアクセス制御装置に送信されるコマンドとして、コンテンツの削除要求を追加するように変更してもよい。
ここで、コンテンツの削除要求は、例えば、図３（ｂ）に示すコンテンツのアクセス要求４０の種別４１が「削除」に変更されたコマンドである。
このコンテンツの削除要求を受信した、この変形に係るアクセス制御装置は、受信したコンテンツの削除要求に含まれるユーザＩＤが、コンテンツの所有者又は個人情報の所有者を示す場合に、そのコンテンツＩＤと対応付けて記憶部１２０に記憶されているコンテンツを削除し、このコンテンツＩＤを含むレコードを実施の形態に係るアクセス制御テーブルから削除する。

なお、この際、このレコードに含まれている許可ユーザ情報が示す各ユーザに、コンテンツが削除されたことを通知するようにしてもよい。
また、実施の形態に係るアクセス制御テーブルのデータ項目には、コンテンツ所有者情報を含まないので、上記変形を行うためには、コンテンツ所有者情報を含ませるよう実施の形態に係るアクセス制御テーブルのデータ構成を変更する必要がある。

また、ここでは、一旦登録されたコンテンツを、そのコンテンツの所有者及びそのコンテンツに含まれる個人情報の所有者が削除できる例を説明したが、コンテンツの所有者だけ、又は、コンテンツに含まれる個人情報の所有者だけが削除できるように、更なる変形を行ってもよい。
（１３）実施の形態２で説明した許可ユーザ情報の変更処理を行うことによって、許可ユーザ情報に、１つもユーザＩＤが含まれなくなるケースが生じ得る。

そのような場合に、上記コンテンツの削除要求を受信した場合と同様に、コンテンツ及びアクセス制御テーブル上のレコードの削除を行うようにしてもよい。
なお、この削除を行った際に、コンテンツの所有者に、コンテンツが削除された旨を通知するようにしてもよい。
（１４）実施の形態では、第１ユーザ情報、第２ユーザ情報、許可ユーザ情報及び個人情報所有者情報には、個々のユーザＩＤが含まれるものとして説明したが、特定のデータ、例えば「Ｕ００００」のみが含まれている場合には、実施の形態に係るアクセス制御システムの全ユーザを示すようにしてもよい。

これにより、上記各情報に、実施の形態に係るアクセス制御システムの全ユーザを簡単に指定できるようになる。
（１５）実施の形態では、調整要求及び応答の送受信には、メールを用いるものとして説明したが、これは一例であり、メーラー等の汎用プログラムを用いる場合に限らず、少なくとも、メッセージの送受信が可能な専用のメッセージ送受信用アプリケーション等、様々な通信媒体や送受信プロトコルを用いて実現してもよい。

また、実施の形態では、範囲外ユーザが存在する場合には、必ず調整要求を行うものとして説明したが、この調整要求を行うことなく、個人情報テーブル１０に登録されている、コンテンツに含まれている各個人情報の所有者についての各第１ユーザ情報と、第２ユーザ情報とに基づいて、許可ユーザ情報を決定するようにしてもよい。これにより、各端末装置からコンテンツの登録要求が送信されてから、実際にコンテンツが登録されるまでの時間を短縮できる。

また、実施の形態では、登録対象コンテンツに含まれている各個人情報の所有者について、シーケンシャルに、調整要求の送信処理（図４、図１４のステップＳ８、図１８のステップＳ１３）と、応答内容に応じた処理（図４、図１４のステップＳ９及びＳ１０、図１８のステップＳ１４、Ｓ１０、Ｓ１５及びＳ１６）とを行うものとして説明した。
しかしながら、登録対象コンテンツに含まれている各個人情報の所有者に対し、順次調整要求を送信しておき、送信した調整要求に対する応答を受信する毎に、上記応答内容に応じた処理を行うようにし、登録対象コンテンツに含まれている全ての個人情報の所有者についての上記応答内容に応じた処理が完了した際に、許可ユーザ情報の登録処理（図４のステップＳ１１、図１４のステップＳ５４、図１９のステップＳ１７及びＳ１８）を行うようにしてもよい。

（１６）実施の形態では、各端末装置（２００Ａ、２００Ｂ及び２００Ｃ）は、アクセス制御システム１０００のユーザが使用するパーソナルコンピュータ（ディスプレイを有する）であるものとして説明したが、ディスプレイへの表示機能を有する各種機器、例えば、携帯電話、携帯音楽プレイヤ、デジタルカメラ、デジタルビデオカメラ等の電池駆動の携帯表示端末や、テレビ、デジタルビデオレコーダ、カーナビゲーション等の高解像度の情報表示機器であってもよい。また、ディスプレイとしては、液晶ディスプレイ（ＬＣＤ）に限らず、ブラウン管（ＣＲＴ）やＰＤＰ（プラズマディスプレイパネル）、有機ＥＬなどのフラットディスプレイ、プロジェクターを代表とする投射型ディスプレイなどであってもよい。

（１７）実施の形態におけるアクセス制御装置は、典型的には半導体集積回路であるＬＳＩ（Large Scale Integration）として実現される。これらは個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ここではＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適応などが可能性として有り得る。

（１８）実施の形態において説明したアクセス制御装置の各処理（図４〜図６、図１３〜図１５、図１８〜図２１参照）をＣＰＵ（Central Processing Unit）に実行させるためのプログラムを、記録媒体に記録し又は各種通信路等を介して、流通させ頒布することもできる。
このような記録媒体には、ＩＣ（Integrated Circuit）カード、光ディスク、フレキシブルディスク、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ハードディスク等がある。

流通、頒布されたプログラムは、機器におけるＣＰＵで読み取り可能なメモリ等に格納されることにより利用に供され、そのＣＰＵがそのプログラムを実行することにより実施の形態で示したアクセス制御装置の各機能が実現される。
（１９）実施の形態に係るアクセス制御装置に、上記（１）〜（１８）の一部又は全部の変形を組み合わせて適用してもよい。

（２０）以下、更に本発明の一実施形態に係るアクセス制御装置の構成及びその変形例と各効果について説明する。
（ａ）本発明の一実施形態に係るアクセス制御装置は、ユーザにコンテンツへのアクセスサービスを提供するシステムにおけるアクセス制御装置であって、１又は複数の個人情報を含むコンテンツを取得する取得手段と、個人情報と、当該個人情報に関連する者が、当該個人情報を含むコンテンツへのアクセスを許可してもよいと定めたユーザ、又は許可したくないと定めたユーザを示す第１ユーザ情報とを対応付けて記憶する記憶手段と、前記取得手段が取得した前記コンテンツに含まれている個人情報と対応付けて記憶されている第１ユーザ情報に基づいて、当該コンテンツへのアクセスの許否を行う制御手段とを備える。

ここで、コンテンツとは、例えば、画像データ、動画像データ、音声データ、テキストデータ等の情報をいう。
また、個人情報とは、個人に関連する情報をいい、例えば、単独で個人を識別することができる情報の他、入手容易な他の情報と組み合わせることで個人を識別することができる情報も含まれる。

単独で個人を識別することができる情報としては、例えば、撮影されてなる画像データや動画像データに含まれる人の顔画像データや、動画像データや音声データに含まれる人の声のデータや、画像データや動画像データに含まれる人の氏名や住所や生年月日を表す画像データや、テキストデータに含まれる人の氏名や住所や生年月日を表すテキストデータが挙げられる。また、他の情報と組み合わせることで個人を識別することができる情報としては、例えば、ユーザＩＤ等が挙げられる。

上記構成を備える本発明の一実施形態に係るアクセス制御装置によれば、コンテンツへのアクセスの許否を、そのコンテンツに含まれる個人情報に関連する者（個人情報の所有者）が、自己の個人情報を含むコンテンツへのアクセスを許可してもよいと定めたユーザ、又は許可したくないと定めたユーザを示す第１ユーザ情報に基づいて行う。従って、このアクセス制御装置によれば、取得したコンテンツに含まれている個人情報の所有者の意思を反映させた、そのコンテンツへのアクセスの許否を行うことができる。

（ｂ）また、前記取得手段は、外部から送信された前記コンテンツと、当該コンテンツの送信者が当該コンテンツへアクセスさせることを希望すると定めたユーザ、又はアクセスさせないことを希望すると定めたユーザを示す第２ユーザ情報とを受信するものであり、前記制御手段は、前記取得手段が取得した前記第２ユーザ情報にも基づいて、前記コンテンツへのアクセスの許否を行うこととしてもよい。

このアクセス制御装置によれば、コンテンツへのアクセスの許否を、そのコンテンツを送信した者（コンテンツの所有者）が、そのコンテンツへアクセスさせることを希望すると定めたユーザ、又はアクセスさせないことを希望すると定めたユーザを示す第２ユーザ情報にも基づいて行う。従って、このアクセス制御装置によれば、取得したコンテンツの所有者の意思を反映させた、そのコンテンツへのアクセスの許否を行うことができる。

（ｃ）また、前記第１ユーザ情報は、対応する個人情報に関連する者が、当該個人情報を含むコンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合であり、前記第２ユーザ情報は、前記取得手段が取得したコンテンツの送信者が当該コンテンツへアクセスさせることを希望するユーザの識別情報の集合であり、前記制御手段は、前記第２ユーザ情報が示す全ユーザが、前記第１ユーザ情報が示す全ユーザの中に含まれる場合に、前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得したコンテンツへのアクセスを許可することとしてもよい。

このアクセス制御装置によれば、コンテンツの所有者とそのコンテンツに含まれる個人情報の所有者との両者の意思が合致する範囲のユーザに、そのコンテンツへのアクセスを許可することができる。
（ｄ）また、前記記憶手段により記憶されている前記個人情報に関連する個人は、前記アクセス制御装置のユーザであり、前記制御手段は、前記第２ユーザ情報が示す各ユーザに含まれ、かつ前記第１ユーザ情報が示す各ユーザに含まれない範囲外ユーザが存在する場合には、当該第１ユーザ情報と対応付けて記憶されている個人情報に関連するユーザに対し、前記範囲外ユーザへのアクセスを許可するか否かを示す応答の要求を行い、前記範囲外ユーザへのアクセスを許可することを示す応答があったときに、前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得したコンテンツへのアクセスを許可することとしてもよい。

このアクセス制御装置によれば、範囲外ユーザが存在する場合でも、コンテンツに含まれる個人情報の所有者が、範囲外ユーザにもそのコンテンツへのアクセスを許可することに同意するときには、コンテンツの所有者が許可したい各ユーザにそのコンテンツへのアクセスを許可できる。
従って、このアクセス制御装置によれば、コンテンツに含まれる個人情報の所有者の意思を尊重しつつも、そのコンテンツの所有者の意思をそのまま反映させて、コンテンツへのアクセスを許可するユーザを決定することができる。

（ｅ）また、前記制御手段は、更に前記第１ユーザ情報と対応付けて記憶されている個人情報に関連するユーザから、前記範囲外ユーザへのアクセスを許可することを示す応答があった場合に、当該第１ユーザ情報が示す各ユーザに、前記範囲外ユーザを含めるよう当該第１ユーザ情報を更新することとしてもよい。
このアクセス制御装置は、コンテンツに含まれる個人情報の所有者が、例えば範囲外ユーザＡにもそのコンテンツへのアクセスを許可することに一旦同意すると、この範囲外ユーザＡを含むように、この個人情報と対応する第１ユーザ情報を更新する。

従って、このアクセス制御装置によれば、更新後に取得される、この個人情報の所有者の個人情報を含む他のコンテンツについては、範囲外ユーザＡへのアクセスを許可するか否かを示す応答の要求をしないで済むようになる。従って、このアクセス制御装置の処理負荷を軽減できると共に、個人情報の所有者における再度の応答の手間を省くことができる。

（ｆ）また、前記制御手段は、前記第１ユーザ情報と対応付けて記憶されている個人情報に関連するユーザから、前記範囲外ユーザへのアクセスを許可しないことを示す応答があった場合に、当該範囲外ユーザを除く前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得したコンテンツへのアクセスを許可することとしてもよい。
このアクセス制御装置によれば、コンテンツの所有者の意思をある程度反映させつつも、個人情報の所有者が意図しないユーザへのアクセスが許可させるような事態を適切に防ぐことができる。

（ｇ）また、前記記憶手段により記憶されている前記個人情報に関連する個人は、前記アクセス制御装置のユーザであり、前記制御手段は、更にユーザから、当該ユーザの個人情報と対応付けて記憶されている第１ユーザ情報の更新要求を受け付けた場合に、当該第１ユーザ情報の更新を行うこととしてもよい。
このアクセス制御装置によれば、各ユーザは、その時々の状況に応じて柔軟に、新たに取得される、自己の個人情報を含むコンテンツへのアクセスを許可してもよいユーザを変更できる。

（ｈ）また、前記制御手段は、更に前記取得手段が取得した各コンテンツについて、当該コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報と、当該コンテンツについての第２ユーザ情報とを対応付けて管理しており、前記第１ユーザ情報の更新を行う際に、更新後の第１ユーザ情報を示す情報と、当該第１ユーザ情報の更新要求の要求元のユーザの個人情報を含むコンテンツについての第２ユーザ情報とに基づいて、当該コンテンツについての許可ユーザ情報を更新することとしてもよい。

（ｉ）また、前記記憶手段により記憶されている前記個人情報に関連する個人は、前記アクセス制御装置のユーザであり、前記制御手段は、更に前記取得手段が取得した各コンテンツについて、当該コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報と、当該コンテンツについての第２ユーザ情報とを対応付けて管理しており、ユーザから、当該ユーザの個人情報を含むコンテンツへのアクセスを許可してもよいと定めたユーザを示す情報を受け付けた場合に、当該情報と、当該コンテンツについての第２ユーザ情報とに基づいて、当該コンテンツについての許可ユーザ情報を更新することとしてもよい。

このアクセス制御装置によれば、あるコンテンツについて、一旦はアクセスが許可されたユーザ、又は許可されなかったユーザについて、コンテンツに含まれる個人情報の所有者が、後から、アクセスを禁止し、又は許可し得る。
即ち、このアクセス制御装置によれば、各ユーザは、その時々の状況に応じて柔軟に、自己の個人情報を含むコンテンツへのアクセスを許可するユーザを変更し得る。

（ｊ）また、前記制御手段は、前記取得手段が取得したコンテンツに複数の個人情報が含まれている場合に、各個人情報について、当該個人情報と対応付けて記憶されている第１ユーザ情報が示す各ユーザに含まれず、かつ前記第２ユーザ情報が示す各ユーザに含まれる範囲外ユーザが存在するか否かを判定し、当該範囲外ユーザが存在するときには、当該個人情報に関連するユーザに対し、前記範囲外ユーザへのアクセスを許可するか否かを示す応答の要求を行い、全てのユーザから、前記範囲外ユーザへのアクセスを許可することを示す応答があった場合に、前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得したコンテンツへのアクセスを許可し、いずれかのユーザから、前記範囲外ユーザへのアクセスを許可しないことを示す応答があった場合に、当該範囲外ユーザを除く前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得したコンテンツへのアクセスを許可することとしてもよい。

このアクセス制御装置によれば、コンテンツに含まれる個人情報の全ての所有者が、その個人情報の所有者にとっての範囲外ユーザにそのコンテンツへのアクセスを許可することに同意する場合にのみ、コンテンツの所有者が許可したい各ユーザにそのコンテンツへのアクセスを許可できる。
従って、このアクセス制御装置によれば、コンテンツに含まれる個人情報の全ての所有者の意思を尊重し、その全ての所有者が意図する範囲のユーザに、そのコンテンツへのアクセスを許可することができる。

（ｋ）また、前記制御手段は、前記取得手段が取得したコンテンツに含まれる個人情報に関連するユーザに対し、前記応答の要求を行う場合に、当該ユーザの個人情報以外の他の個人情報から関連する個人を特定できないように当該コンテンツを加工し、加工後のコンテンツを当該ユーザに提示することとしてもよい。
このアクセス制御装置によれば、コンテンツに含まれる個人情報の所有者は、そのコンテンツに含まれている自己の個人情報を確認した上で、範囲外ユーザにそのコンテンツへのアクセスを許可することに同意するか否かを決定できる。

また、このアクセス制御装置によれば、コンテンツに所有者が異なる複数の個人情報が含まれていても、ある所有者には、他の所有者の個人情報からその個人情報に関連する当該他の所有者が特定できなくなるように加工されたコンテンツが提示される。従って、このアクセス制御装置によれば、他の個人情報の所有者が意図しないユーザに、コンテンツが提示されるような事態を防ぐことができる。

（ｌ）また、前記記憶手段により記憶されている前記個人情報に関連する個人は、前記アクセス制御装置のユーザであり、前記制御手段は、更に前記取得手段が取得した各コンテンツについて、当該コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報を管理しており、前記取得手段が取得した一のコンテンツについての許可ユーザ情報が示す各ユーザ以外のユーザであって、当該コンテンツに含まれる個人情報に関連するユーザに対しては、当該コンテンツを当該ユーザの個人情報以外の他の個人情報から関連する個人を特定できないように加工した加工後のコンテンツへのアクセスを許可することとしてもよい。

このアクセス制御装置によれば、コンテンツの所有者がアクセスを許可したいユーザの中に、そのコンテンツに含まれる個人情報の所有者が含まれていない場合でも、そのコンテンツに含まれる自己の個人情報を確認することができる。
また、このアクセス制御装置によれば、コンテンツに所有者が異なる複数の個人情報が含まれていても、ある所有者には、他の所有者の個人情報からその個人情報に関連する当該他の所有者が特定できなくなるように加工されたコンテンツへのアクセスが許可される。従って、このアクセス制御装置によれば、他の個人情報の所有者が意図しないユーザに、コンテンツへのアクセスが許可されるような事態を防ぐことができる。

（２１）本発明に係るアクセス制御装置の取得手段、記憶手段、制御手段は、例えば、実施の形態に係るアクセス制御装置の通信部１１０、記憶部１２０、制御部に相当する。

本発明は、画像データ等のコンテンツへのアクセス制御に利用できる。

１００、１５０ アクセス制御装置
１１０、２１０ 通信部
１２０ 記憶部
１３０、１５１、２５０ 制御部
１３１ 個人情報検出部
１３２ 判定部
１３３ コンテンツ加工部
１３４、１５２ 調整部
１３５、１５３ コンテンツ管理部
１３６、１５４ 個人情報テーブル更新部
１３７ アクセス要求処理部
２００ 端末装置
２２０ コンテンツ記憶部
２３０ 入力部
２４０ 出力部
２５１ 要求送信処理部
２５２ 調整要求処理部
２５３ 受信コンテンツ処理部
３００ インターネット
１０００、１１００ アクセス制御システム

Claims (14)

1. 静止画像データ又は動画像データから構成される画像コンテンツに対するユーザからのアクセスを制御するアクセス制御装置であって、
   個人毎に、当該個人が、当該個人を被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合である第１ユーザ情報を記憶する記憶手段と、
   外部から送信された、１又は複数の個人を被写体とした画像データを含む画像コンテンツと共に、当該画像コンテンツの送信者が当該画像コンテンツへアクセスさせることを希望すると定めたユーザの識別情報の集合である第２ユーザ情報とを取得する取得手段と、
   前記取得手段が取得した前記画像コンテンツに含まれている画像データの被写体である個人についての前記記憶手段に記憶されている第１ユーザ情報が示す全ユーザの中に、当該画像コンテンツと共に前記取得手段が取得した前記第２ユーザ情報が示す全ユーザが含まれる場合に、当該第２ユーザ情報が示す各ユーザからの当該画像コンテンツへのアクセスを許可する制御手段とを備える
   ことを特徴とするアクセス制御装置。
2. 前記個人は、前記アクセス制御装置のユーザであり、
   前記制御手段は、
   前記第２ユーザ情報が示す各ユーザに含まれ、かつ前記第１ユーザ情報が示す各ユーザに含まれない範囲外ユーザが存在する場合には、当該第１ユーザ情報を定めたユーザに対し、前記範囲外ユーザへのアクセスを許可するか否かを示す応答の要求を行い、前記範囲外ユーザへのアクセスを許可することを示す応答があったときに、前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得した画像コンテンツへのアクセスを許可する
   ことを特徴とする請求項１記載のアクセス制御装置。
3. 前記制御手段は、更に
   前記第１ユーザ情報を定めたユーザから、前記範囲外ユーザへのアクセスを許可することを示す応答があった場合に、当該第１ユーザ情報が示す各ユーザに、前記範囲外ユーザを含めるよう当該第１ユーザ情報を更新する
   ことを特徴とする請求項２記載のアクセス制御装置。
4. 前記制御手段は、
   前記第１ユーザ情報を定めたユーザから、前記範囲外ユーザへのアクセスを許可しないことを示す応答があった場合に、当該範囲外ユーザを除く前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得した画像コンテンツへのアクセスを許可する
   ことを特徴とする請求項２記載のアクセス制御装置。
5. 前記個人は、前記アクセス制御装置のユーザであり、
   前記制御手段は、更に
   ユーザから、当該ユーザについての前記記憶手段に記憶されている第１ユーザ情報の更新要求を受け付けた場合に、当該第１ユーザ情報の更新を行う
   ことを特徴とする請求項１記載のアクセス制御装置。
6. 前記制御手段は、更に
   前記取得手段が取得した各画像コンテンツについて、当該画像コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報と、当該画像コンテンツについての第２ユーザ情報とを対応付けて管理しており、
   前記第１ユーザ情報の更新を行う際に、更新後の第１ユーザ情報を示す情報と、当該第１ユーザ情報の更新要求の要求元のユーザを被写体とした画像データを含む画像コンテンツについての第２ユーザ情報とに基づいて、当該画像コンテンツについての許可ユーザ情報を更新する
   ことを特徴とする請求項５記載のアクセス制御装置。
7. 前記個人は、前記アクセス制御装置のユーザであり、
   前記制御手段は、更に
   前記取得手段が取得した各画像コンテンツについて、当該画像コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報と、当該画像コンテンツについての第２ユーザ情報とを対応付けて管理しており、
   ユーザから、当該ユーザを被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザを示す情報を受け付けた場合に、当該情報と、当該画像コンテンツについての第２ユーザ情報とに基づいて、当該画像コンテンツについての許可ユーザ情報を更新する
   ことを特徴とする請求項１記載のアクセス制御装置。
8. 前記制御手段は、
   前記取得手段が取得した画像コンテンツに複数のユーザそれぞれを被写体とした各画像データが含まれている場合に、各画像データについて、当該画像データの被写体であるユーザについての前記記憶手段に記憶されている第１ユーザ情報が示す各ユーザに含まれず、かつ前記第２ユーザ情報が示す各ユーザに含まれる範囲外ユーザが存在するか否かを判定し、当該範囲外ユーザが存在するときには、当該画像データの被写体であるユーザに対し、前記範囲外ユーザへのアクセスを許可するか否かを示す応答の要求を行い、
   前記要求を行った全てのユーザから、前記範囲外ユーザへのアクセスを許可することを示す応答があった場合に、前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得した画像コンテンツへのアクセスを許可し、
   前記要求を行った各ユーザのうちのいずれかのユーザから、前記範囲外ユーザへのアクセスを許可しないことを示す応答があった場合に、当該範囲外ユーザを除く前記第２ユーザ情報が示す各ユーザからの前記取得手段が取得した画像コンテンツへのアクセスを許可する
   ことを特徴とする請求項１記載のアクセス制御装置。
9. 前記制御手段は、
   前記取得手段が取得した画像コンテンツに含まれる画像データの被写体であるユーザに対し、前記応答の要求を行う場合に、当該ユーザを被写体とした画像データ以外の他の画像データから当該画像データの被写体である個人を特定できないように当該画像コンテンツを加工し、加工後の画像コンテンツを当該ユーザに提示する
   ことを特徴とする請求項８記載のアクセス制御装置。
10. 前記個人は、前記アクセス制御装置のユーザであり、
    前記制御手段は、更に
    前記取得手段が取得した各画像コンテンツについて、当該画像コンテンツへのアクセスを許可する各ユーザを示す許可ユーザ情報を管理しており、
    前記取得手段が取得した一の画像コンテンツについての許可ユーザ情報が示す各ユーザ以外のユーザであって、当該画像コンテンツに含まれる画像データの被写体であるユーザに対しては、当該画像コンテンツを、当該ユーザを被写体とした画像データ以外の他の画像データから当該画像データの被写体である個人を特定できないように加工した加工後の画像コンテンツへのアクセスを許可する
    ことを特徴とする請求項１記載のアクセス制御装置。
11. 静止画像データ又は動画像データから構成される画像コンテンツに対するユーザからのアクセスを制御するアクセス制御装置におけるアクセス制御方法であって、
    個人毎に、当該個人が、当該個人を被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合である第１ユーザ情報を記憶する記憶ステップと、
    外部から送信された、１又は複数の個人を被写体とした画像データを含む画像コンテンツと共に、当該画像コンテンツの送信者が当該画像コンテンツへアクセスさせることを希望すると定めたユーザの識別情報の集合である第２ユーザ情報とを取得する取得ステップと、
    前記取得ステップにより取得された前記画像コンテンツに含まれている画像データの被写体である個人についての前記記憶ステップにより記憶されている第１ユーザ情報が示す全ユーザの中に、当該画像コンテンツと共に前記取得ステップにより取得された前記第２ユーザ情報が示す全ユーザが含まれる場合に、当該第２ユーザ情報が示す各ユーザからの当該画像コンテンツへのアクセスを許可する制御ステップとを含む
    ことを特徴とするアクセス制御方法。
12. 静止画像データ又は動画像データから構成される画像コンテンツに対するユーザからのアクセスを制御するアクセス制御装置におけるプロセッサに、アクセス制御処理を行わせるためのプログラムであって、
    前記アクセス制御処理は、
    個人毎に、当該個人が、当該個人を被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合である第１ユーザ情報を記憶する記憶ステップと、
    外部から送信された、１又は複数の個人を被写体とした画像データを含む画像コンテンツと共に、当該画像コンテンツの送信者が当該画像コンテンツへアクセスさせることを希望すると定めたユーザの識別情報の集合である第２ユーザ情報とを取得する取得ステップと、
    前記取得ステップにより取得された前記画像コンテンツに含まれている画像データの被写体である個人についての前記記憶ステップにより記憶されている第１ユーザ情報が示す全ユーザの中に、当該画像コンテンツと共に前記取得ステップにより取得された前記第２ユーザ情報が示す全ユーザが含まれる場合に、当該第２ユーザ情報が示す各ユーザからの当該画像コンテンツへのアクセスを許可する制御ステップとを含む
    ことを特徴とするプログラム。
13. 静止画像データ又は動画像データから構成される画像コンテンツに対するユーザからのアクセスを制御するアクセス制御装置におけるコンピュータに、アクセス制御処理を行わせるためのプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
    前記アクセス制御処理は、
    個人毎に、当該個人が、当該個人を被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合である第１ユーザ情報を記憶する記憶ステップと、
    外部から送信された、１又は複数の個人を被写体とした画像データを含む画像コンテンツと共に、当該画像コンテンツの送信者が当該画像コンテンツへアクセスさせることを希望すると定めたユーザの識別情報の集合である第２ユーザ情報とを取得する取得ステップと、
    前記取得ステップにより取得された前記画像コンテンツに含まれている画像データの被写体である個人についての前記記憶ステップにより記憶されている第１ユーザ情報が示す全ユーザの中に、当該画像コンテンツと共に前記取得ステップにより取得された前記第２ユーザ情報が示す全ユーザが含まれる場合に、当該第２ユーザ情報が示す各ユーザからの当該画像コンテンツへのアクセスを許可する制御ステップとを含む
    ことを特徴とする記録媒体。
14. 静止画像データ又は動画像データから構成される画像コンテンツに対するユーザからのアクセスを制御するアクセス制御装置で用いられる集積回路であって、
    個人毎に、当該個人が、当該個人を被写体とした画像データを含む画像コンテンツへのアクセスを許可してもよいと定めたユーザの識別情報の集合である第１ユーザ情報を記憶する記憶手段と、
    外部から送信された、１又は複数の個人を被写体とした画像データを含む画像コンテンツと共に、当該画像コンテンツの送信者が当該画像コンテンツへアクセスさせることを希望すると定めたユーザの識別情報の集合である第２ユーザ情報とを取得する取得手段と、
    前記取得手段が取得した前記画像コンテンツに含まれている画像データの被写体である個人についての前記記憶手段に記憶されている第１ユーザ情報が示す全ユーザの中に、当該画像コンテンツと共に前記取得手段が取得した前記第２ユーザ情報が示す全ユーザが含まれる場合に、当該第２ユーザ情報が示す各ユーザからの当該画像コンテンツへのアクセスを許可する制御手段とを備える
    ことを特徴とする集積回路。

Images