データセキュリティ保護法における企業ファイル処理コンプライアンスガイド

2021年にデータセキュリティ保護法と個人情報保護法が相次いで施行されて以来、企業のファイル処理に対するコンプライアンス要件は大幅に増加しました。1つの契約書、1つの財務報告書、1つの顧客リスト——いずれも転送・保存・圧縮の過程で法の境界を越える可能性があります。本記事では、法の要件から始めて、企業のファイル処理におけるコンプライアンスリスクと対策を体系的に解説します。

本記事はファイル圧縮完全ガイドのコンプライアンスセクションを拡張したものです。両方を読み合わせることで、ファイル処理の技術的側面とコンプライアンス的側面をまとめて理解することをお勧めします。

1. データセキュリティ保護法のコア要件

中華人民共和国データセキュリティ保護法は2021年9月1日に施行され、データセキュリティの基本的なフレームワークを確立しました。企業のファイル処理に対するコア要件は2つの分野に集中しています：

1.1 データの分類等級付け

データセキュリティ保護法は国レベルでのデータ分類等級保護制度の確立を求めており、企業は自社のデータを対応づけて分類等級付けする必要があります。重要データの担い手として、ファイルは重要性と漏洩時の損害の深刻度に基づいて異なるレベルに分類する必要があります。例えば、公開情報、内部情報、機密情報、中核情報はそれぞれ異なる保護措置の対象となります。

ファイル処理の観点からは、異なる等級のファイルには異なるセキュリティレベルの処理を適用すべきです。等級分類されたファイルは公共のインターネットツールにアップロードできず、機密情報を含むファイルは転送前に仮名化または暗号化すべきです。企業の最初のステップは、どのファイルをオンラインで処理でき、どのファイルをローカル処理すべきかを明示したファイル分類等級表の作成です。

1.2 セキュリティ処理

データセキュリティ保護法は、データ処理活動が法令要件に準拠し、全般的なデータセキュリティ管理体制を確立することを求めています。ファイル処理（作成、編集、圧縮、変換、転送、破棄）はデータ処理活動に該当し、コンプライアンス管理に組み込む必要があります。

企業は、ファイル処理ツール自体がデータ漏洩を引き起こさないことを保証する必要があります——例えば、オンライン圧縮ツールの使用時にはファイルが第三者サーバーにアップロードされ、データ越境移転や無断データ共有を構成する可能性があります。処理ツールを選択する際は、「データフローが制御可能か」が主な評価要素でなければなりません。

2. 個人情報保護法のファイル処理への影響

個人情報保護法は2021年11月1日に施行され、個人情報の収集、保存、使用、転送、削除に明確な要件を定めています。企業が日常的に処理する多くのファイルには個人情報が含まれています：従業員の履歴書には身分証番号、顧客契約書には連絡先情報、財務報告書には銀行口座番号が含まれます。

個人情報保護法のファイル処理への主な影響には以下が含まれます：

• 最小化の原則：個人情報の処理は、処理目的の達成に必要最小限の範囲に限定すべきで、過剰な収集は避けるべきです。
• 通知と同意：個人情報の収集と使用には、本人への通知と同意の取得が必要です。ファイルに含まれる個人情報もこの原則に従います。
• 越境移転の制限：個人情報を海外に提供するには、セキュリティ評価、認証、または標準契約の締結などの法定条件を満たす必要があります。
• 削除義務：個人情報は処理目的の達成後に自発的に削除すべきです。ファイルのアーカイブもこの要件を考慮する必要があります。

実践において、企業が最も見落としがちなコンプライアンスの抜け穴は、個人情報を含むファイルを海外サーバーが提供するオンラインツールにアップロードして処理することです。一見普通の「オンライン圧縮」操作が、すでに個人データの越境移転を構成し、法律上の報告義務をトリガーしている可能性があります。

3. 企業ファイル処理における3つのコンプライアンスリスク

3.1 データ越境移転リスク

海外のオンラインファイル処理ツールを使用する際、ファイルデータは海外サーバーに転送され、これはデータ越境移転を構成します。データセキュリティ保護法と個人情報保護法の規定に基づき、重要データの越境移転はセキュリティ評価の合格が必要で、個人情報の越境移転は法定条件を満たす必要があります。多くの企業の従業員は、習慣的に海外のオンラインPDFツールで契約書や報告書などのファイルを処理していますが、これらの操作が報告手続きを完了すべきデータ越境移転コンプライアンス義務をトリガーした可能性があることを知りません。

推奨：重要データや個人情報を含むファイルにはローカル処理ツールを使用し、データ越境移転を源泉で排除します。

3.2 第3者処理リスク

オンラインファイル処理ツールは通常、ファイルを第三者サーバーにアップロードします。サービス提供者が処理後の即時削除を約束しても、企業は依然として以下のリスクに直面します：サービス提供者のデータ漏洩によるファイルの露出、サービス提供者が他の目的のためにコピーを保持すること、サービス提供者の所在司法管轄における法執行機関によるデータ収集。契約書、財務データ、顧客情報などの機密ファイルについて、管理できない第三者への処理の引き渡しは、実質的にデータ漏洩の攻撃面の拡大を意味します。

3.3 ログ保存リスク

データセキュリティ保護法は、データ処理者がデータ処理記録を少なくとも6ヶ月間保存することを求めています。ファイル処理はデータ処理の重要な一部であり、企業は「誰がいつどのファイルを処理したか」を記録する必要があります。従業員が個人のオンラインツールで企業ファイルを処理する場合、これらの操作はしばしば企業のログ範囲外にあり、コンプライアンスのブラインドスポットを生み出し、データ漏洩インシデント発生時の追跡を不可能にします。

4. コンプライアンスの違い：ローカル圧縮とオンライン圧縮

コンプライアンスの観点から、ローカル圧縮とオンライン圧縮には明確な違いがあります：

項目	ローカル圧縮	オンライン圧縮
データの所在	常にローカルデバイスに留まる	第三者サーバーにアップロード
データ越境移転	無関係	越境移転を構成する可能性
第三者リスク	なし	漏洩・保存リスク
ログ制御可能性	企業が処理活動を記録できる	操作が企業ログの範囲外
ネットワーク依存	ネットワーク不要	接続必須
コンプライアンス適性	あらゆる機密ファイルに適する	公開情報のみに適する

SmartSlimは純粋ローカル圧縮モードを採用し、ファイルはユーザーのデバイス上で完全に処理され、データをアップロードせず、ネットワークを必要としないため、当然ながらデータセキュリティ保護法と個人情報保護法の機密ファイル処理要件に適合します。契約書、財務報告書、顧客データなどの機密ファイルを処理する必要がある企業にとって、ローカル圧縮はコンプライアンスリスクを回避する有効な方法です。

5. 業界別コンプライアンス推奨

政府・国有企業

政府機関や国有企業が処理するファイルは、国家機密や内部機密情報に関わることが多く、コンプライアンス要件が最も厳格です。推奨事項：すべてのファイル処理は内部ネットワークまたはローカルで完結させ、公共インターネットのオンラインツールの使用を禁止する。等級分類されたファイルは国家秘密資格認証を通過したツールで処理する。電子ドキュメントはOFDフォーマットを優先し、ローカルツールで圧縮する。関連コンテンツについてはOFDとPDFの違いと圧縮方法をご覧ください。

金融業界

銀行、保険、証券会社は大量の顧客身元情報と金融情報を含むファイルを処理し、厳格な監督管理の対象です。推奨事項：顧客ドキュメントや貸付契約書などのファイルの圧縮と変換はローカルで行う。各処理操作を記録するファイル処理承認ワークフローを構築する。定期的にファイル処理ツールの使用を監査し、機密ファイルが外部に転送されていないことを確認する。

医療業界

医療機関が処理するカルテや検査報告書などのファイルは機密個人情報に分類され、医療機関病歴管理規定などの規制の対象です。推奨事項：カルテファイルの圧縮とアーカイブは医療機関のローカルシステム内で完結させる。電子カルテの転送は暗号化チャネルを使用する。患者情報ファイルは第三者オンラインツールにアップロードせず、個人データ越境移転義務のトリガーを回避する。

6. ファイル処理ツール選定のコンプライアンスチェックリスト

ファイル処理ツールを選定する際、以下のコンプライアンス項目を一つずつ確認することを推奨します：

• データがサーバーにアップロードされるか：ファイルがデバイスから離れないローカル処理ツールを優先。
• 処理にネットワーク接続が必要か：オフライン処理の方がセキュリティが高く、外部ネットワークに依存しない。
• ツール提供者が国内で登記されているか：データ越境移転規定に関連し、外国の提供者は特に注意が必要。
• ファイル処理ログ記録をサポートしているか：データセキュリティ保護法のログ6ヶ月以上保存の必要条件を満たすため。
• 関連するセキュリティ認証があるか：等級保護評価、ISO 27001などのセキュリティ資格。
• データ処理協定を締結しているか：データ保護の責任と義務を双方の当事者間で明確化。
• バッチ処理と権限管理をサポートしているか：企業管理と監査のニーズを満たすため。

上記の確認を通過したツールのみが、企業のファイル処理ツールのホワイトリストに入ることができます。圧縮を例にとると、SmartSlimのローカル圧縮モードはデータの所在、ネットワーク依存性、ログ制御可能性などの次元で要件を満たし、企業の標準ファイル圧縮ツールとして適しています。

7. よくある質問（FAQ）

オンライン圧縮ツールが処理後にファイルを即時削除すると言っている場合、コンプライアンスリスクはありますか？

リスクは依然として存在します。サービス提供者が削除を約束しても、転送中にデータはすでにデバイスを離れており、傍受、保存、法的開示の強制を受ける可能性があります。転送経路自体、サービス提供者のロギングシステム、バックアップメカニズムがすべてファイルの痕跡を残す可能性があります。機密ファイルの場合、「アップロード自体がリスク」です。ローカル圧縮ツールの使用を推奨します。

従業員がオンライン圧縮したファイルを個人メールで送信することはコンプライアンス上問題ありますか？

基本的に問題があります。個人メールは企業が管理しておらず、処理活動を企業ログに記録できず、メールが海外サーバーを経由する可能性があり、データ越境移転リスクを生じます。企業はポリシーで明確に禁止し、企業メールとローカル処理ツールを代わりに提供すべきです。

データセキュリティ保護法にファイル圧縮に関する具体的な規定はありますか？

データセキュリティ保護法にはファイル圧縮に関する具体的な規定はありませんが、ファイル圧縮はデータ処理活動であり、データ分類等級付け、セキュリティ処理、ログ保存などの一般的な要件に従います。コンプライアンス判断の鍵となる要因は、処理するファイルのデータ保護レベル、個人情報が含まれるかどうか、処理中にデータ越境移転が発生するかどうかです。

ローカル圧縮ツールはログ保存必要条件をどのように満たしますか？

企業はローカル圧縮ツールに処理ログ機能を義務付け、処理時間、ファイル名、操作者、圧縮パラメータなどの情報を記録し、ログを少なくとも6ヶ月間保存できます。SmartSlimなどのプロフェッショナルツールはローカル処理ログの記録をサポートし、セキュリティ監査用にログをエクスポートでき、企業がデータセキュリティ保護法のログ保存要件を満たすのに役立ちます。

まとめ

データセキュリティ保護法と個人情報保護法の施行は、企業のファイル処理を「便利なもの」から「コンプライアンス対応のもの」へと移行させました。コア原則は3つあります：データ分類、ローカル優先、追跡可能なログ。管理対象ファイルを分類等級付けし、すべての機密ファイルをローカルで処理し、すべての処理活動が記録され追跡できることを保証する——この3点を達成すれば、企業ファイル処理のコンプライアンスフレームワークが基本的に確立されます。

ローカル処理をサポートし、追跡可能なログを提供するファイル圧縮ツールの選択は、コンプライアンス要件を実装するための最も直接的なアプローチです。ファイル圧縮の技術的な原理と方法の詳細については、ファイル圧縮完全ガイドをご覧ください。

関連記事:

• ファイル圧縮完全ガイド：PDF/画像/動画/ドキュメント圧縮の原理と方法
• OFDとPDFの違いと圧縮方法