コンプライアンスの起点
中国のデータセキュリティ保護法(DSL)と個人情報保護法(PIPL)が2021年に施行され,EUの一般データ保護規則(GDPR)が2018年から施行されている中,企業はファイル処理の方法についてかつてないコンプライアンスの監視に直面しています.契約書,財務報告書,顧客リストはいずれも,送信,保存,圧縮,変換の過程で法令違反となる可能性があります.
ファイル圧縮とフォーマット変換は日常の操作ですが,法的にはすべて「データ処理活動」に該当します.データが作成,編集,送信,破棄される瞬間にDSLの適用範囲に入り,ファイルに個人情報が含まれる瞬間にPIPLの適用範囲にも(EUデータ主体に関する場合はGDPRの適用範囲にも)入ります.したがって,「オンライン圧縮ツールの利用はコンプライアンス違反か?」という問いの答えは,ツール自体に依存しません.3つの変数,すなわちファイルの分類レベル,処理中のデータの流動経路,企業がコンプライアンス義務を履行したかどうかに依存します.
この記事は法の要件を検討し,企業のファイル処理のコンプライアンスリスクを整理し,中国(DSL/PIPL)と国際(GDPR)の両規制文脈にわたって,オンライン圧縮ツールのコンプライアンス上の境界がどこにあるかを回答します.
I. DSL、PIPL、GDPRの中核必要条件
データセキュリティ保護法：2つの中核義務
中国のデータセキュリティ保護法は2021年9月1日に施行され,データセキュリティの基盤となる枠組みを確立しました.企業のファイル処理について,中核となる要件は2つのレベルに集中しています:
1つ目はデータの分類と等級付けです.法律は国家がデータ分類等級保護制度を確立することを定めており,企業はそれに応じて自社データを分類し等級付けしなければなりません.ファイルは重要性と漏洩時の損害の深刻さに基づいて異なるレベルに区分しなければなりません.公開,内部,機密,コアの各区分の情報はそれぞれ異なる強度の保護を受けるべきです.これはツール選定に直接影響します—異なるレベルのファイルには対応するセキュリティ性の処理方法を組み合わせて使う必要があります.
2つ目はライフサイクル全体にわたるセキュリティ処理です。ファイル処理（作成、編集、圧縮、変換、送信、破棄）はすべてデータ処理活動を構成し、コンプライアンス管理の下に置く必要があります。企業はツール自体がデータ漏洩を引き起こさないことを確保しなければならず、「データフローが制御できるか」を主な評価要素にしなければなりません。
PIPL：4つの主要制約
個人情報保護法は2021年11月1日に施行され,個人情報の収集,保存,使用,送信,削除に明確な要件を定めています.企業が扱う多くのファイルには個人情報が含まれています:ID番号付きの従業員履歴書,連絡先付きの顧客契約書,銀行口座付きの財務諸表.PIPLは4つの主要制約を課しています:
- 最小限度の原則：個人情報の処理は、処理目的を達成するために必要最小限の範囲に限定されなければなりません。
- 告知と同意：個人情報の収集と使用は、本人への告知と同意の取得を必要とします。
- 越境移転の制限：個人情報の海外への提供は,セキュリティ評価,認証,標準契約の締結などの法定条件を満たす必要があります.
- 削除義務：処理目的が達成されたら、個人情報は自発的に削除されるべきです。
GDPR：並行する義務
GDPRの対象となる組織にとって、義務はPIPLと大幅に重複しますが、法的メカニズムは異なります：
- 適法性、公正性、透明性（第5条）はPIPLの告知・同意の枠組みと対応します。
- データ最小化（第5条1項c）はGDPRにおける最小限度の原則に対応するものであり、適切かつ必要なものだけを収集します。
- 国際データ移転(第5章)は,標準契約条項(SCC),拘束的企業準則,十分性認定などの保護措置を定めており,機能的にはPIPLの越境条件と類似しています.
- 処理活動の記録（第30条）は、管理者と処理受託者が処理作業の文書を維持することを義務付けており、DSLのログ保存義務に類似します。
実務の教訓は,複数の法域で事業を展開する企業は収束する一連の義務に直面するということです:データを分類し,収集を最小化し,越境フローを制御し,監査できる記録を保持する.最も見落とされやすいギャップは,個人情報を含むファイルを海外サーバーでホストされるオンラインツールにアップロードすることです.一見普通の「オンライン圧縮」操作が,すでに越境移転を構成し,PIPLとGDPRの両方の下で法的義務を引き起こす可能性があります.
II. データ分類制度とファイル処理への影響
データ分類は法の要件であるだけでなく、ファイル処理コンプライアンスの実務の出発点です。分類がなければ差別化保護はなく、差別化保護がなければオンライン圧縮ツールを使用できるかを判断する術もありません。
分類の論理
業界慣行を参考にすると、企業ファイルは一般に4つのレベルに分けられます：
- 公開レベル：すでに公開されている、または公開できる情報（ウェブサイトの告知など）。オンラインツールでの処理はコンプライアンスリスクを伴いません。
- 内部レベル：内部で使用され外部に公開されない情報（内部通達など）。オンラインツールの使用は提供者の資格を評価する必要があります。
- 機密レベル：個人情報、営業秘密、重要データを含むファイル（顧客契約書や財務諸表など）。これらはローカルで処理しなければならず、公共ネットワークツールへのアップロードは禁止されます。
- コアレベル：国家機密や企業の中核資産に関わるファイル（機密文書など）。これらは専門認証を取得したツールを使用し、隔離された環境で処理しなければなりません。
データ分類処理フロー
下図は、ファイルの識別から処理メソッドの選択までの完全分類フローを示しています：
中核の論理は,まずファイルが法の規制(個人情報,重要データ,国家機密)の対象かを判定し,次に規模と越境状況に基づいてレベルを決定し,最後に処理方法を対応させることです.「機密」および「コア」レベルのファイルでは,処理方法はハード制約であり—レベルが決まればローカル処理が必須で,オンラインツールについて議論する余地はありません.
III. 3つの主コンプライアンスリスク
リスク1：越境データ移変換リスク
海外のオンラインファイル処理ツールを使用する場合,ファイルデータは海外サーバーに送信され,越境移転を構成します.DSLとPIPLの下では,重要データの持ち出しは国家インターネット情報弁公室のセキュリティ評価を通過する必要があり,個人情報の持ち出しは法定条件の一つを満たす必要があります.GDPR(第5章)の下では,第3国への移転にはSCCや十分性認定などの適切な保護措置が必要です.
多くの従業員は外国のオンラインツールで契約書や報告書を処理する習慣がありますが,これらの操作が企業が履行したことのない越境移転義務を引き起こした可能性に気づいていません.国内の提供者を使用する場合でも,バックエンドサーバーが海外に設定されていたり,海外のCDNやクラウドノードが使用されていたりすると,越境移転が発生する可能性があります.基準は「ユーザーが見るサーバーが自国にあるか」ではなく,「データが実際にどの法域にまで達するか」です.
リスク2：第3者処理リスク
オンラインツールは通常、ファイルを第3者サーバーにアップロードします。提供者が「処理後すぐに削除」を約束しても、企業は3つのカテゴリのリスクに直面します：
- データ漏洩リスク：提供者のセキュリティ防御に脆弱性があれば,ファイルは保存,送信,バックアップ中に盗まれる可能性があります.近年,複数の有名なオンラインツール提供者がデータ漏洩を受けています.
- 保持と再利用リスク：一部の提供者のプライバシーポリシーは,アップロードされたコンテンツをサービス改善やモデル訓練に使用する権利を留保しており,ファイルのコンテンツが保持され転用される可能性があります.
- 法的強制リスク：提供者の法域の法律は,企業の知らないところで,自国の法執行機関がサーバーデータにアクセスすることを認める場合があります.
機密ファイルについては、制御できない第3者に渡すこと自体が攻撃対象領域を拡大します。実際の漏洩がなくても、「データが企業の制御できる境界を出た」という事実だけで、コンプライアンス監査時に企業は守勢に立たされます。
リスク3：ログ保存リスク
DSLはデータ処理者に処理ログを6ヶ月以上保存することを義務付けています。GDPRも同様に処理活動の記録（第30条）を義務付けています。企業は「誰がいつどのファイルを処理したか」を記録し、セキュリティインシデント発生時に追跡できるようにしなければなりません。
従業員が個人のオンラインツールで企業ファイルを処理すると,これらの操作は企業のログ範囲外となり,コンプライアンスの盲点を生みます:操作時間を記録できず,処理対象を特定できず,操作者を関連付けられません.漏洩インシデントが発生すると,企業はセキュリティ管理義務を履行したことを証明できません.このリスクの実体は「制御可能性の喪失」です—処理は企業境界外で行われ,企業はログを取得することもその真正性を保証することもできません.
コンプライアンスリスク評価フロー
下図は、ファイル処理操作のコンプライアンスリスク評価の意思決定フローを示しています：
リスクレベルはファイルレベルとともに上昇し、機密レベル以上のファイルでは「オンラインツール」の余地はほぼありません。企業は個々の従業員の判断に頼るのではなく、このフローをツールの選定と使用の基準に組み込むべきです。
IV. ローカル圧縮 vs オンライン圧縮：コンプライアンスで比較
コンプライアンスの観点から、ローカル圧縮とオンライン圧縮は全く異なります。次の表は7つの次元での違いを示しています：
| 次元 | ローカル圧縮 | オンライン圧縮 |
|---|---|---|
| データの所在 | ローカルデバイスに留まる；企業境界を一度も出ない | 第3者サーバーにアップロードされる；制御できる範囲を出る |
| 越境移転 | 関与しない；持ち出し届出義務なし | 移転を構成する可能性；サーバー所在を評価する必要 |
| 第3者リスク | 第3者の関与なし；漏洩や保持のリスクなし | 提供者の漏洩、保持、法的強制リスクが存在 |
| ログ制御性 | 企業が時間、対象、操作者を完全に記録できる | 操作は企業のログ範囲外；コンプライアンスの盲点 |
| ネットワーク依存 | ネットワーク不要；処理はネットワークの影響を受けない | ネットワーク必須；ネットワークリンク自体がリスクポイント |
| 承認と追跡性 | 企業ワークフローに組み込みできる；完全に追跡できる | 組み込み困難；追跡性が低い |
| コンプライアンス適合 | 公開からコアまですべてのレベルに適合 | 公開レベルのファイルにのみ適合；機密以上は禁止 |
オンライン圧縮は4つのコア次元（データの所在、越境移転、第3者リスク、ログ制御性）でコンプライアンス上の欠陥があり、ローカル圧縮は4つすべてで法的要件を自然に満たします。これはオンライン圧縮がまったく使えないという意味ではありません；公開レベルのファイルでは利便性に価値があります。しかし内部レベル以上のファイルでは、ローカル処理だけがコンプライアンスリスクを回避する唯一の確実な方法です。
V. 業種別コンプライアンス推奨事項
政府と国有企業
政府機関や国有企業は国家機密に関わるファイルを扱うことが多く,最も厳格なコンプライアンス要件を持ちます.すべてのファイル処理は内部ネットワークまたはローカルで行わなければならず,公共ネットワークのオンラインツールの使用は禁止されます.機密ファイルは国家秘密認証を取得したツールで処理しなければなりません.電子公式文書はOFD形式を優先し,ローカルツールで圧縮・変換すべきです.
金融サービス
銀行、保険会社、証券会社は大量の顧客身元情報と金融情報を含むファイルを扱います。顧客データ、ローン契約書、口座明細書の圧縮と変換はローカルで行うべきです。各操作の操作者、時間、対象、パラメータを記録するファイル処理承認ワークフローを確立し、ログを6ヶ月以上保存します。DLP（データ漏洩防止）システムを使用し、機密ファイルが外部に送信されているかを監視します。
医療
医療機関は機密個人情報に該当する診療録や検査レポートを扱います.診療録ファイルの圧縮とアーカイブは病院のシステム内でローカルに行うべきであり,第3者のオンラインツールで患者情報を処理することは禁止されます.電子診療録の送信は暗号化チャネルを使用すべきです.患者情報ファイルは越境移転義務を引き起こさないよう,いかなる第3者オンラインツールにもアップロードしてはなりません.
VI. ファイル処理ツール選定コンプライアンスチェックリスト
ファイル処理ツールを選定する際、以下の各コンプライアンスポイントを確認してください：
- ツールはデータをサーバーにアップロードしますか？ ファイルをデバイスに留めるローカル処理ツールを優先してください。これは越境移転と第3者リスクを回避するための基本的な措置です。
- 処理にネットワーク接続は必要ですか？ オフライン処理はよりセキュアであり、データ送信のステップを排除します。
- サービス提供者は自国の法域に登録されていますか？ これは越境移転評価に影響します；海外提供者はバックエンドサーバーの場所を確認する必要があります。
- ツールはファイル処理ログの記録をサポートしますか？ これはDSLの6ヶ月ログ保存要件（およびGDPR第30条の義務）を満たします。ログには時間、ファイル名、操作者、パラメータを含めるべきです。
- ツールは関連するセキュリティ認証を取得していますか? ISO 27001や国家サイバーセキュリティ等級保護評価などの認証は,提供者のセキュリティ管理能力を反映します.
- データ処理契約は締結されていますか？ これは双方のデータセキュリティ責任を明確にし,データの使用,保存期間,削除方法を定めます.
- ツールはバッチ処理とアクセス制御をサポートしますか？ これは企業の管理と監査のニーズを満たし、ロールベースの権限とバッチ操作の統一ログをサポートします。
上記のすべての確認を通過したツールのみが企業のホワイトリストに追加できます。いずれか1項目でも不合格の場合、そのツールは公開レベルのファイルにのみ使用できます。
VII. よくある質問
Q1：オンライン圧縮ツールは「処理後すぐにファイルは削除されます」と表示しています。それでもコンプライアンスリスクはありますか？
はい.提供者が削除を約束しても,送信中にデータはすでにデバイスを出ており,傍受,保持,法的強制の対象になり得ます.送信リンク,提供者のログシステム,バックアップメカニズム,災害復旧ノードはすべて痕跡を残す可能性があります.機密ファイルでは「アップロード自体がリスク」です—データが企業の制御できる境界を出たら,完全に削除される保証はありません.機密ファイルは常にローカル圧縮ツールで処理すべきです.
Q2：従業員がオンライン圧縮ツールで処理したファイルを個人メールで送信することはコンプライアンス上適切ですか？
一般に,いいえ.個人メールは企業に管理されていないため,処理行為を企業ログに記録できず,ログ保存要件に違反します.メールが海外サーバーを経由する可能性もあり,越境移転リスクを生みます.企業はポリシーでそのような行為を明確に禁止し,代替として企業メールとローカル処理ツールを提供し,DLPシステムで機密ファイルが個人チャネルから流出していないかを監視すべきです.
Q3:データセキュリティ保護法にはファイル圧縮に関する具体的な規定がありますか?
いいえ.データセキュリティ保護法にはファイル圧縮を特に対象とする規定はありませんが,ファイル圧縮はデータ処理活動を構成し,データ分類,セキュリティ処理,ログ保存などの一般的な要件の対象となります.コンプライアンスに適合するかは3つの要因に依存します:ファイルのデータレベル,個人情報に関わるかどうか,処理が越境移転に関わるかどうか.法律は「圧縮」を他の処理方法と区別せず,処理が一般的なセキュリティ要件を満たすかだけを見ます.
Q4：ローカル圧縮ツールはどのようにログ保存要件を満たせますか？
企業はローカル圧縮ツールに,処理時間,ファイル名,操作者,圧縮パラメータを記録する処理ログ機能の提供を要求でき,ログは6ヶ月以上保存します.プロフェッショナルツールはセキュリティ監査のためのログの自動記録とエクスポートをサポートすべきです.企業はログを統合ログ管理プラットフォームに統合し,操作者が追跡できるように認証システムと関連付けるべきです.ログ自体がデータ処理記録であり,ログの漏洩が二次リスクを生まないよう機密レベルで管理すべきことに留意してください.
まとめ
DSL、PIPL、GDPRの実施により、企業のファイル処理は「便利なもの」から「コンプライアンスに適合するもの」へと移行しました。最初の問い—オンライン圧縮ツールの利用はコンプライアンスリスクか？—に戻ると、答えは3つの変数に依存します：ファイルの分類レベル、データの流動経路、処理がログ記録されているか。
中核原則は3つに集約できます：データを分類し、ローカル処理を優先し、ログを追跡可能に保つ。
- データ分類は前提です。分類がなければ、オンラインツールを使用できるかを判断する術がありません。企業はまずファイル分類台帳を構築しなければなりません。
- ローカル優先は基準線です。機密レベル以上のファイルでは、ローカル処理だけが越境移転、第3者、ログの盲点リスクを回避する唯一の確実な方法です。オンラインツールは公開レベルのファイルにのみ許容されます。
- 追跡可能なログはセキュリティ装置です。すべての処理活動は記録可能かつ追跡可能でなければならず、ログは6ヶ月以上保存します。これは企業が義務を履行したことを証明するために必要な手段です。
この3つを達成すれば、企業のファイル処理の基本的なコンプライアンス枠組みが整います。ファイル圧縮はファイル処理チェーンの一環にすぎませんが、企業全体のデータセキュリティガバナンスの成熟度を反映します—コンプライアンスに適合したツール選定、明確な分類制度、完全なログ枠組み。3つすべてが不可欠です。
関連記事:
ファイル圧縮をお探しですか？SmartSlim をお試しください
独自開発のRust圧縮エンジンに基づき、PDF・画像・動画・Office・OFDなど10分野40以上の形式をサポート。ローカル圧縮でデータは外部に持ち出されません。