HTTPSなどの暗号化通信で個人情報が流れるだけで漏えい？？
武田さんのブログより、以下のように個人情報は暗号化しているかどうかは問わないらしい。
講義中のディスカッションで、「企業等が暗号化した個人情報を紛失・漏洩した場合にその事実を公表・謝罪すべきか？」という話になり、経済産業省のガイドラインでは「(個人情報については、)暗号化されているかどうかを問わない。」とあるので・・・
たしかに、法律（法第２条第１項）には暗号化に関する記載はない。
この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
該当する経済産業省のガイドライン「個人情報の保護に関する法律についての経済産業分野を対象としたガイドラインの策定（METI/経済産業省）」には、初っぱなの「Ⅱ.法令解釈指針・事例 ＞ １.定義（法第2条関連） ＞ (1)「個人情報」 （法第2条第1項関連）」に以下のように記載されている。
「個人情報」とは、生存する「個人に関する情報」であって、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができる※ものを含む。）をいう。「個人に関する情報」は、氏名、性別、生年月日等個人を識別する情報に限られず、個人の身体、財産、職種、肩書き等の属性に関して、事実、判断、評価を表すすべての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化されているかどうかを問わない。
データ、それとも通信路の暗号化？？
暗号化がどういうものかということについては触れていないので、データ自体を暗号化するのか、それとも通信路の暗号化なのかはわからない。
A地点からB地点までSSLやVPNなどで個人情報を含んだデータを流した場合、通信路は暗号化されているが、自組織化の管理下にない通信経路を経由するので、情報漏えいとなる可能性がある？のかな。
暗号化されたデータが紛失したのではなくて、暗号化した通信路でデータが盗聴された。
暗号が解読されているか未解読かに関わらず、こんなことを言われてしまうと結構多くの企業やそのサービスにおいて困ったことが続出するだろう。けど、今はたしかにそう解釈されてもおかしくないガイドラインになるよなぁ。
さて、今後はどう解釈されていくのだろうか。
