定義
日本では、2022 年 4 月施行の改正個人情報保護法で、要配慮個人情報を含む漏洩、財産的な被害が生じうる漏洩、不正の目的による漏洩（そのおそれを含む）、1,000 人を超える漏洩などについて、個人情報保護委員会への報告と本人への通知が義務になった。EU の GDPR は、監督機関への通知を原則 72 時間以内に求めている。
漏れた情報は取り戻せない。本人確認のために窓口で渡した運転免許証のスキャン画像が、1 億 5,300 万件以上ダークウェブで売られていた事案（Critical Brief 141）のように、確認は一度で終わっても、保管された原データは漏洩の候補として残り続ける。テスト環境という位置づけのまま顧客・株主情報が置かれ、不正アクセスで流出した阿波銀行の事案（Critical Brief 142）も、保管場所の位置づけと実際の中身がずれていた例である。
漏洩の後にまず問われるのは「何件、誰の、どの項目が出たか」である。アクセスの記録が残っていない、あるいは書き換えられる状態だと影響範囲を絞れず、届出や本人通知の対象を広く取らざるを得ない。
Lemma での実装
漏洩の被害は、保管している原データの量で決まる。Lemma は、発行者が原データに署名し、受け取る側は「18 歳以上」「KYC 通過」のような属性だけを 選択的開示 で確かめる構成をとる。受け取る側のサーバーには原データが届かないため、そこから漏れても、持ち出されるのは コミットメント と証明だけになる。
原データを保管する必要がある場合も、AES-GCM で暗号化した状態のまま保ち、回路に乗せるのは docHash と属性のコミットメントだけにする。復号鍵を持たない処理系や AI の推論側は、原文に触れずに必要な事実だけを使える。
Lemma を経由した確認は、誰が・いつ・どの属性を確かめたかが 監査証跡 として改ざん不能な形で残る。漏洩が起きたとき、少なくともこの経路で何が読まれたかは、事実として示せる。