それは
「コントロール」がちゃんとできているのであれば、社外に個人情報を持ち出すことは漏洩とは考えない」
ということ。…でないと、個人情報を利用する社外での仕事(保険の契約とかでは必須でしょ?)は事実上できなくなってしまうから。もちろん業種や業務形態によっては『社外での仕事一切禁止』と徹底することも不可能じゃないし、そうしている所も少なくない。こう云う個人情報の管理規則を決めてきちんと運用してます(キリッ AA省略)という組織ですよ… ということで、Pマークの使用が認められるわけだ。
で、そういう個人情報を持ち出す場合に『「コントロール」できている』とする根拠は、予め許可されている関係者だけが利用し、きちんと回収または破棄されて、それらの記録が残っている事となる。つまり、これらが成立してない持ち出しは「漏洩」とされる。従って、紛失や盗難は「漏洩」決定。
ただし、個人情報保護法に関わる監督省庁のガイドラインでは『個人情報が暗号化されていて、その復号に非現実的な時間が必要な状態であれば、
「漏洩」としての対応(情報主体(本人)などへの告知などによる二次被害の防止)を取らなくても良い。』
ということになっている場合が多い。
で、現実問題として Pマークを取得していようがいまいが、漏洩は起きるときは起きる。ただし、その時にPマーク使用の認定取得事業者としてふさわしい対応ができることも期待されているわけだ。
だから、そう云う意味で MDIS の漏洩に至る個人情報の管理状態や漏洩後の対応があまりにも杜撰だったから認定の更新は無理だろ? と思ってたら『更新しましたがなにか?』で、個人情報の保護に関わっている識者全員の顎がガッポリと外れた状態 < いまここ
というわけだね。ちなみに、情報が漏洩したという事実は、漏洩させた事業者が事態に気が付くよりも、漏洩した情報が悪用されたことで発覚する場合の方が圧倒的に高い。そういう意味では『Pマークを取得してなければうやむや』というのはまず無い。いずれにせよ『漏洩させちゃいましたごめんなさい』というのは当事者にしか通知しないわけだから(「これこれの人の個人情報漏らしちゃいました」って広報自体が個人情報の漏洩になっちゃうw)、世の中では目立たないからうやむやにしているようには見えるかもね。