セキュリティとプライバシー

個人情報を盗まれた人たちの不安を被告はわかっていない
幼稚なセキュリティ研究者こそがネット社会で最も迷惑な存在

ACCSで起きた個人情報漏洩事件についてのインタビュー記事がでていた。
私的には、幼稚なセキュリティ研究者よりも、完璧なセキュリティを求める個人情報保護法を作った方々や、セキュリティ意識のない個人情報管理者達の方（いるとすれば）が迷惑な存在だと思うんだが。

今日の茶会で、個人情報の保護とプライバシーの保護というのは別個のものではないかという話題が出た。
個人情報というのはあくまでもデータの保護の一類型であって、他のデータよりもちょっと厳しく取り扱いを決めた方がいいでしょ、という程度ではないかということだ。
個人情報が漏れること＝プライバシーの侵害にはつながらず、プライバシーが侵害されるおそれをもたらすだけではないかという考え方。もちろん、プライバシーの侵害に当たる個人情報もあるとは思うが、そんなものは人に預けるなと思ったりする（苦笑）　あ、つまり氏名や電話番号程度ではプライバシーの侵害のおそれにしかあたらないとここではしている。

そもそも完璧なセキュリティというものは存在しないわけで、セキュリティの強度はかけられたお金の額によるものだという。とするならば、個人情報に十分なお金をかけていたか、十分な設備投資をしていたかで判断されるべきではないか。十分とはいえない額・システムしか導入していないのならば、損害を与えた人間に罰を与えるのは当然として、データ漏洩については管理者側が責任を負うべきではないかという考え方だ。
これはプロバイダ責任制限法の考え方と同様に、データの保護を十分にしていれば損害賠償の責任を負わないというデータ保護責任制限法の考え方を導く。ある程度の個人情報の類型化を行い、このケースならばこの程度の管理体制が必要というある程度の基準をつくっておく。具体的には24時間の監視体制があるか、とか、そういうことだな。
ACCSの場合、著作権法違反の情報提供フォームなんていうのもあるわけで、そういう情報については、通常の個人情報以上に十分すぎるほどのお金をつぎ込んだセキュリティ体制が必要になる、とされるかな？

で、こういう話を突き詰めていくと、それはそれでとんでもない結論を招くことになってしまうかもしれない。
とりあえず、データ保護を完璧にといいだして話を進めると、どうしようも無い結論が出てくると言うことは今日の茶会の話で十分にわかったかも。あ、ここで書いていることとはまた別の話なので。どっかでそのうちでてくるだろうから、その辺は私は語りません。