暗号化もハッシュ化もしないとどうなるの？－善管注意義務違反？

今、
ハッシュ化と暗号化は違う。ハッシュ化（SHA1,MD5)すると、元には戻らない
https://blog.goo.ne.jp/xmldtp/e/b6a697735a597e8e41af460ae2f2875a

を見ている人が多いみたい。

個人情報を保護するには、暗号化するなり、ハッシュ化するなりする。
どちらか一方やればOK
（暗号化の場合には復号して、ハッシュ化の場合はハッシュ化した結果を比較と、やり方は異なるけど、
どっちでもOK）

じゃあ、暗号化も、ハッシュ化もしないと・・・

「宅ふぁいる便」約480万件の個人情報漏えい…パスワードを“暗号化”していなかった理由を聞いた
https://www.fnn.jp/posts/00417790HDK
（太字は上記サイトより引用）

――なぜログインパスワードは暗号化されていなかった？

宅ふぁいる便は20年ぐらい前から動いているサービスで最初から暗号化はされていませんでしたが、いつか暗号化しなければならないという予定はありました。
ただサービスが大きいことと資源の問題などもあったため、計画を立ているところで今回の漏えいが起きてしまいました。

えー（＠＿＠！）「サービスが大きい、資源の問題」そんな理由でOKなの？
これ、善管注意義務違反になったら、（不可抗力ではなく）過失による損害なので、民事的には、損害賠償請求されない？
こんな答えで、大丈夫か？

個人情報保護法とかPマークとは、どうなるの？？