Benoit Esnard
2018-05-28 14:33:28 UTC
人は名前や生年月日などの個人情報を使用して作成することが多く、複数のサイトでパスワードを再利用することが多いため、パスワードは所有者を特定できるため、個人データと見なされると思います。
ウェブサイトがパスワードハッシュに関するベストプラクティスに従わない場合、ハッシュプロセス全体が基本的に役に立たなくなる可能性があるため、パスワードハッシュも個人データと見なされると思います。
GDPR、パスワードハッシュのコピーをリクエストできますか？
IANALですが、選択できない*生年月日と、ランダムに生成する必要のあるパスワードには大きな違いがあります。前者の種類の情報は、本質的にあなたを識別します。後者は、それを複数回使用することによって接線方向にのみ。つまり私はあなたの前提がまったく成り立たないと思います。 DBの行にレコードを識別するid列があるからといって、それが個人データであり、それを知っているか、変更/削除する権利があることを意味するわけではありません。これは内部識別子のみです。
衒学者であるために、IANALと確かに私はGDPRの専門家ではありませんが、GDPRがパスワードハッシュのコピーを要求することを禁止していないことを99.99999％確信しています。 GDPRでは、リクエストを実行する必要があるのではないかと思います。私はそうは思いません。彼らは自分たちの裁量で応答したり、パスワードハッシュで応答したり、ランダムなゴミで応答したりすることができず、コンプライアンスの範囲内にあると思います。
正しくハッシュされたパスワードは、パスワードが異なっていても複数のパスワードが同じハッシュを生成する可能性があるため、個人を一意に識別しません。この単一の事実は、質問全体を無意味にします。なんらかの理由で、この効果に対する私の以前の（賛成の）コメントは削除されました。しないでください。それは関連しています。