個人情報保護委、高度に暗号化した個人データ漏洩は報告不要とする対応案公表

個人情報保護委員会は2016年12月8日、個人データの漏洩が発生した場合に企業に望まれる対応案を公表した。改正個人情報保護法のガイドラインに基づくもので、2017年1月6日まで意見募集を行う。個人データなどが高度に暗号化がされている場合などは、委員会への報告は不要だと明記した。 対応案は、企業が保有する個人データが漏洩や滅失、毀損した場合のほか、匿名加工情報の作成時に削除した記述や加工方法に関する情報、個人識別符号の漏洩の恐れがある場合などを対象としている。こうした場合、企業の責任者への報告とともに、被害拡大防止や事実関係の調査、原因究明、影響範囲の特定、再発防止策を求めている。 また、場合に応じて、二次被害や類似事案を防止するために、事実関係などを速やかに本人に連絡や周知するほか、事実関係や再発防止策などを速やかに公表するとしている。その上で、個人情報保護委員会や、企業が所属する認定個人

[naga_sawa]

『高度に暗号化とは2016年時点で利用可能な一般的な1万台のクラスタで並列総当たりをして解読に1万年を要する』とかの基準が欲しいところ

[soup1]

いやいやいや、何年かしたら暗号なんて解けるし、メールや荷物の中身も秘密情報だろうに。抜け穴作んなや“メールの誤送信、荷物の誤配などで、宛名や送信者名以外に個人データなどを含まない場合も、報告の対象外”

[Nyoho]

Macはディスク全体を暗号化してくれるから助かるわ〜 < ニュース - 個人情報保護委、高度に暗号化した個人データ漏洩は報告不要とする対応案公表：ITpro

[ANNotunzdY]

米国と違って、暗号化方式これ使え！という指定は無いのかな？

[fumisan]

高度に暗号化している場合って、暗号化した時点での技術であって、１年したら高度でなくなるかもしれないのに。一番技術が日進月歩なのはセキュリティでしょ

[solidstatesociety]

都合よく解釈して、侵入対策しないケースでそう

[uzulla]

「高度に暗号化されていれば」はまあわからんでもないのだが、基準がないのでなんともわからない…「回収できて、実質的に外部に漏洩していない」というのは具体的にどういう話なのか、それは漏洩なのか。