2021年にデータ安全法と個人情報保護法が相次いで施行されて以来、企業ファイル処理に対するコンプライアンス要件が大幅に増加しました。1つの契約書、1つの財務報告書、1つの顧客リスト—いずれも転送、保存、圧縮の過程で法的な境界を越える可能性があります。本記事は法的要件から始め、企業ファイル処理におけるコンプライアンスリスクと対策を体系的に概説します。
本記事はファイル圧縮完全ガイドのコンプライアンスセクションの拡張です。両方を併せてお読みいただき、ファイル処理の技術的側面とコンプライアンスの側面を包括的に理解することをお勧めします。
1. データ安全法の核心要件
中華人民共和国データ安全法は2021年9月1日に施行され、データセキュリティの基本フレームワークを確立しました。企業ファイル処理に対する核心要件は2つの分野に集中しています：
1.1 データの分類等級付け
データ安全法は国レベルでのデータ分類等級付け保護制度の確立を求め、企業は自身のデータを対応して分類等級付けする必要があります。重要なデータキャリアとして、ファイルは重要性および漏洩時の被害の深刻度に基づいて異なるレベルに分類する必要があります。例えば、公開情報、内部情報、機密情報、核心等級情報は異なる保護措置に服するべきです。
ファイル処理の観点からは、異なる等級のファイルが異なるセキュリティレベルの処理を使用すべきです。等級分類されたファイルは公共のインターネットツールにアップロードできず、機密情報を含むファイルは流通前に仮名化または暗号化すべきです。企業の最初のステップは、どのファイルがオンラインで処理でき、どのファイルがローカル処理が必要かを明示したファイル分類等級表の作成です。
1.2 安全処理
データ安全法はデータ処理活動が法令要件に準拠し、全面的なデータセキュリティ管理システムを確立することを求めています。ファイル処理（作成、編集、圧縮、変換、転送、破棄）はデータ処理活動に該当し、コンプライアンス管理に組み込む必要があります。
企業はファイル処理ツール自体がデータ漏洩を引き起こさないことを保証する必要があります—例えば、オンライン圧縮ツールの使用時にはファイルが第三者サーバーにアップロードされ、これはデータ越境移転や無断データ共有を構成する可能性があります。処理ツールを選択する際は「データフローが制御可能か」が主要な評価要素でなければなりません。
2. 個人情報保護法のファイル処理への影響
個人情報保護法は2021年11月1日に施行され、個人情報の収集、保存、使用、転送、消去に明確な要件を提示しています。企業が日常的に処理する多くのファイルには個人情報が含まれています：従業員の履歴書には身分証番号が含まれ、顧客契約書には連絡先情報が含まれ、財務報告書には銀行口座番号が含まれます。
同法のファイル処理への主な影響には以下が含まれます：
- 最小必要原則：個人情報の処理は処理目的を達成するために必要な最小限の範囲に限定すべきで、過度な収集は避けるべき。
- 通知と同意：個人情報の収集と使用は本人への通知と同意の取得が必要。ファイルに含まれる個人情報もこの原則に従う。
- 越境移転制限：個人情報の海外への提供は、セキュリティ評価、認証、または標準契約の締結などの法定条件を満たす必要がある。
- 削除義務：個人情報は処理目的を達成した後、能動的に削除すべき。ファイルアーカイブもこの要件を考慮する必要がある。
実践において、企業が最も見落としやすいコンプライアンスギャップは：個人情報を含むファイルを海外サーバーが提供するオンラインツールにアップロードして処理することです。一見普通の「オンライン圧縮」操作が、すでに個人データ越境移転を構成し、法律上の報告義務をトリガーしている可能性があります。
3. 企業ファイル処理における3つのコンプライアンスリスク
3.1 データ越境移転リスク
海外のオンラインファイル処理ツールを使用する際、ファイルデータが海外サーバーに転送され、これはデータ越境移転を構成します。データ安全法と個人情報保護法の規定に基づき、重要データの越境移転はセキュリティ評価の合格が必要で、個人情報の越境移転は法定条件を満たす必要があります。多くの企業の従業員が習慣的に海外のオンラインPDFツールを使用して契約書、報告書などのファイルを処理し、これらの操作が企業が対応する報告手続きを完了していないデータ越境移転コンプライアンス義務をトリガーした可能性があることを知りません。
推奨：重要データや個人情報を含むファイルにはローカル処理ツールを使用し、データ越境移転を源泉で排除する。
3.2 第三者処理リスク
オンラインファイル処理ツールは通常ファイルを第三者サーバーにアップロードします。サービス提供者が処理後の即時削除を約束しても、企業は依然として以下のリスクに直面します：サービス提供者のデータ漏洩によるファイル露出、サービス提供者が他の目的のためにコピーを保持、サービス提供者の所在地の司法管轄での法的強制データ収集。契約書、財務データ、顧客情報などの機密ファイルについて、管理不可能な第三者への処理の引き渡しは、本質的にデータ漏洩の攻撃面の拡大を意味します。
3.3 ログ保存リスク
データ安全法はデータ処理者がデータ処理記録を少なくとも6ヶ月間保存することを求めています。ファイル処理はデータ処理の重要な部分であり、企業は「誰がいつどのファイルを処理したか」を記録する必要があります。従業員が個人のオンラインツールを使用して企業ファイルを処理する場合、これらの操作はしばしば企業のログ範囲外にあり、コンプライアンスのブラインドスポットを生み出し、データ漏洩インシデント発生時に追跡を不可能にします。
4. コンプライアンスの違い：ローカル圧縮とオンライン圧縮
コンプライアンスの観点から、ローカル圧縮とオンライン圧縮には根本的な違いがあります：
| 項目 | ローカル圧縮 | オンライン圧縮 |
|---|---|---|
| データの場所 | 常にローカルデバイスに留まる | 第三者サーバーにアップロード |
| データ越境移転 | 不関与 | 越境移転を構成する可能性 |
| 第三者リスク | なし | 漏洩・保存リスク |
| ログ制御可能性 | 企業が処理活動を記録可能 | 操作が企業ログ範囲外 |
| ネットワーク依存 | ネットワーク不要 | 接続必須 |
| コンプライアンス適性 | あらゆる機密ファイルに適する | 公開情報のみに適する |
SmartSlimは純粋なローカル圧縮モードを採用し、ファイルがユーザーのデバイス上で完全に処理され、データをアップロードせず、ネットワークを必要とせず、自然にデータ安全法と個人情報保護法の機密ファイル処理要件に適合します。契約書、財務報告書、顧客データなどの機密ファイルを処理する必要がある企業にとって、ローカル圧縮はコンプライアンスリスクを回避する有効な方法です。
5. 業界別コンプライアンス推奨
政府・国有企業
政府機関や国有企業が処理するファイルは、国家機密や内部機密情報に関わることが多く、コンプライアンス要件が最も厳格です。推奨事項：すべてのファイル処理は内部ネットワークまたはローカルで完了し、公共のインターネットオンラインツールの使用を禁止する；等級分類ファイルは国家秘密資格認証を通過したツールで処理する；電子ドキュメントはOFDフォーマットを優先し、ローカルツールで圧縮する。関連内容についてはOFDとPDFの違いと圧縮方法をご覧ください。
金融業界
銀行、保険、証券会社は大量の顧客身元情報と金融情報を含むファイルを処理し、厳格な監督管理の対象です。推奨事項：顧客ドキュメント、貸付契約書などのファイルの圧縮と変換はローカルで行う；各処理操作を記録するファイル処理承認ワークフローを構築する；定期的にファイル処理ツールの使用を監査し、機密ファイルが外部に転送されていないことを確認する。
医療業界
医療機関が処理するカルテ、検査報告書などのファイルは機密個人情報に分類され、医療機関病歴管理規定などの規制に服します。推奨事項：カルテファイルの圧縮とアーカイブは医療機関のローカルシステム内で完了する；電子カルテの転送は暗号化チャネルを使用する；患者情報ファイルは第三者オンラインツールにアップロードしてはならず、個人データ越境移転義務のトリガーを回避する。
6. ファイル処理ツール選定のコンプライアンスチェックリスト
ファイル処理ツールを選定する際、以下のコンプライアンス項目を一つずつ確認することを推奨します：
- データがサーバーにアップロードされるか：ファイルがデバイスから離れないローカル処理ツールを優先。
- 処理にネットワーク接続が必要か：オフライン処理の方が安全で、外部ネットワークに依存しない。
- ツール提供者が国内で登記されているか：データ越境移転規定に関連し、外国の提供者は特に注意が必要。
- ファイル処理ログ記録をサポートしているか：データ安全法のログ6ヶ月以上保存の要件を満たすため。
- 関連するセキュリティ認証があるか：等級保護評価、ISO 27001などのセキュリティ資格。
- データ処理協定を締結しているか：データ保護の責任と義務を両当事者間で明確化。
- バッチ処理と権限管理をサポートしているか：企業管理と監査のニーズを満たすため。
上記の確認を通過したツールのみが、企業のファイル処理ツールのホワイトリストに入ることができます。圧縮を例にとると、SmartSlimのローカル圧縮モードはデータの場所、ネットワーク依存性、ログ制御可能性などの次元で要件を満たし、企業の標準ファイル圧縮ツールとして適しています。
7. よくある質問（FAQ）
オンライン圧縮ツールが処理後にファイルを即時削除すると言っている場合、コンプライアンスリスクはありますか？
リスクは依然として存在します。サービス提供者が削除を約束しても、転送中にデータはすでにデバイスを離れており、傍受、保存、法的に開示を強制される可能性があります。転送路自体、サービス提供者のロギングシステム、バックアップメカニズムがすべてファイルの痕跡を残す可能性があります。機密ファイルの場合、「アップロード自体がリスク」です。ローカル圧縮ツールの使用を推奨します。
従業員がオンライン圧縮したファイルを個人メールで送信することはコンプライアンス上問題ありますか？
基本的に問題があります。個人メールは企業が管理しておらず、処理活動を企業ログに記録できず、メールが海外サーバーを経由する可能性があり、データ越境移転リスクを生じます。企業はポリシーで明確に禁止し、企業メールとローカル処理ツールを代替として提供すべきです。
データ安全法にファイル圧縮に関する具体的な規定はありますか？
データ安全法にはファイル圧縮に関する具体的な規定はありませんが、ファイル圧縮はデータ処理活動であり、データ分類等級付け、安全処理、ログ保存などの一般要件に服します。コンプライアンスの決定的な要因は、処理するファイルのデータ保護レベル、個人情報が含まれるか、処理中にデータ越境移転が発生するかどうかです。
ローカル圧縮ツールはログ保存要件をどのように満たしますか？
企業はローカル圧縮ツールに処理ログ機能を提供するよう要求し、処理時間、ファイル名、操作者、圧縮パラメータなどの情報を記録し、ログを少なくとも6ヶ月間保存できます。SmartSlimなどのプロフェッショナルツールはローカル処理ログ記録をサポートし、セキュリティ監査用にログをエクスポートでき、企業がデータ安全法のログ保存要件を満たすのに役立ちます。
まとめ
データ安全法と個人情報保護法の施行は、企業ファイル処理を「便利なもの」から「コンプライアンス対応のもの」へと移行させました。核心原則は3つあります：データ分類、ローカル優先、追跡可能なログ。管理対象ファイルを分類等級付けし、すべての機密ファイルをローカルで処理し、すべての処理活動が記録され追跡可能であることを保証する—この3点を達成すれば、企業ファイル処理のコンプライアンスフレームワークが基本的に確立されます。
ローカル処理をサポートし、追跡可能なログを提供するファイル圧縮ツールの選択は、コンプライアンス要件を実装するための最も直接的なアプローチです。ファイル圧縮の技術的原理と方法の詳細については、ファイル圧縮完全ガイドをご覧ください。
関連記事：