EUのデータ所在地:ファイルホスティング要件

EU のデータ所在地とは、個人データがバックアップ・キャッシュ・サポートツールを含めて EEA 内のサーバーに物理的に留まることを指します。GDPR はデータ所在地を直接義務付けているわけではありません—EEA 外への移転が第 V 章の条件（十分性認定、SCC、BCR）を満たすことを要求しています。しかし、Schrems II の判例法、フランスの SecNumCloud、ドイツの C5、そして公共調達ルールが上乗せされることで、医療・金融・政府機関のファイルには事実上の所在地要件が生まれています。顧客ファイルをホストするなら、問題は所在地が重要かどうかではなく、どのデータセンターのラックにバイトが置かれているかです。

バイトレベルで「所在地」が意味すること

所在地はオブジェクトストレージのリージョンだけを指しません。CDN エッジキャッシュがファイルを保持する場所、データベースレプリカが書き込みをリプレイする場所、バックアップが保存される場所、サポートエンジニアのラップトップがサンプル取得時に接続する場所、これらすべてが含まれます。 AWS Frankfurt（eu-central-1）はオブジェクトをドイツに保存しますが、ディストリビューションを EU エッジノードに制限しない限り、バージニア州アッシュバーンの CloudFront エッジロケーションがそれらをキャッシュします。 Azure のジオ冗長ストレージはペアリージョン間でレプリケートします。West Europe の場合はアムステルダムとダブリンのペアで問題ありません。設定を誤れば英国や米国にデータが流れます。

Schrems II の波及効果

2020 年 7 月の CJEU 判決は Privacy Shield を無効にし、EU から米国へのすべての移転に移転影響評価（TIA）の実施を強制しました。実際の影響として、企業の購買担当者が「ベンダーは GDPR 準拠か」ではなく「私のデータはどこに置かれるか」と尋ねるようになりました。米国の法律（FISA 702、CLOUD Act）は、EU 内に保存されたデータについても米国プロバイダに届くため、所在地だけでは EU 顧客を召喚令状から守れません。ただし、プロバイダが EU 所有で米国子会社がない場合は別です。そのため、同じリージョンフットプリントを持つ Microsoft Azure や Google Cloud が競り負けても、Gaia-X、OVH、Scaleway、Hetzner、Infomaniak が RFP を勝ち取るのです。

フランスの SecNumCloud とドイツの C5

フランスの ANSSI は機微データを扱うクラウドプロバイダ向けの認証として SecNumCloud を発行しています。バージョン 3.2（2022 年 3 月）はプロバイダが EU 域外法（実質的に CLOUD Act）から自由であることを要求する免責条項を含みます。OVH の Bleu と Outscale は SecNumCloud 認定を取得していますが、AWS は取得していません。ドイツの BSI は C5 基準カタログを公表しており、所有権への要求は緩やかですが技術的管理項目はより詳細で、17 カテゴリにわたる 125 の基準があります。両国の医療・防衛分野の購買担当者は、少なくとも C5 Type 2 の認証を持たないプロバイダへの転送サービスを契約上認めないことが多く、事実上の市場参入障壁となっています。

ストレージクラスとそれぞれの所在地フットプリント

ホットストレージ—S3 Standard、Azure Hot Blob、GCS Standard—は通常、設定したリージョンを尊重します。コールドストレージは注意が必要です。 AWS Glacier Deep Archive は選択したリージョンを保証しますが、取得プロセス中に一時的にリージョンエッジロケーションにデータがステージングされます。機密ファイルの場合は取得リージョンが一致しているか確認してください。 Backblaze B2 は EU Central（アムステルダム）を提供しています。 Cloudflare R2 は EU 管轄リージョンとメタデータのピン留め機能で、バイトとメタデータを EU 内に保ちます。OVH Object Storage（グラブリーヌまたはストラスブール）はフランスの土地に関する契約上の保証を提供します。

メタデータとファイル内容の扱いの違い

ファイル内容ばかりに注目してメタデータを見落とすケースが多くあります。ファイル名、送信者メール、受信者メール、IP アドレス、タイムスタンプ、ファイルサイズを組み合わせると、ビジネス関係を再構成するには十分な情報になります。内容をクライアントサイドで暗号化しているにもかかわらず、ファイル名やメールアドレスを米国のアナリティクスプラットフォームに送信している転送サービスは、所在地要件を満たしていません。エラーログ（Sentry、Datadog）、アナリティクス（Mixpanel、Amplitude）、メール配信（SendGrid、Postmark）など、すべてのサードパーティサブプロセッサのプライバシーポリシーを確認してください。これらのいずれかが米国インフラを経由する場合、ペイロードが EEA 内にあっても メタデータは EEA を離れます。

セクター固有の所在地要件

医療データは GDPR の国内法実施に加えてローカルルールも適用されます。フランスの HDS（Hébergeur de Données de Santé）認証は患者記録のフランスまたは EU ホスティングを義務付けています。ドイツの §203 StGB と §75b SGB V も同等の保護を要求しています。金融サービスについては DORA（規則 2022/2554、2025 年 1 月発効）が ICT リスク管理とサードパーティの集中リスク要件、サブコントラクターのマッピングを義務付けています。公共調達については、フランスの「Doctrine Cloud au Centre」やイタリアの ACN Cloud など各国のフレームワークが、機微分類には ENISA 認定の EUCS High レベルプロバイダを要求しています。

サブプロセッサチェーンの透明性

プロバイダがフランクフルトに拠点を置いていても、グローバル anycast の Cloudflare を CDN として、 Zendesk（米国）をサポートプラットフォームとして、 Algolia（フランス/米国）を検索インデックスとして使用していることがあります。そのチェーンの各リンクが潜在的な所在地の破れ目になります。第 28 条（4）は管理者をサブプロセッサのコンプライアンスに対して責任ある立場に置きます。重要な変更について 30 日前の通知とともに、サブプロセッサの完全なリストを要求してください。信頼性の高い EU 重視プロバイダは Tresorit 、 Proton 、 Infomaniak 、 HexaTransfer を含め公開サブプロセッサ台帳を維持しています。

所在地の主張を確認する方法

マーケティングページには「EU ホスティング」と書かれています。契約にはより少ない情報しかありません。トラストページが最も詳細です。署名前に三つの成果物を要求してください。（1）国や地域だけでなく具体的なデータセンター都市を記載したデータ処理契約。（2）対象ロケーションを記載した ISO 27001 または SOC 2 Type 2 のスコープ文。（3）管轄と目的を含むサブプロセッサ台帳。アップロードとダウンロードのエンドポイントに対して自前で DNS ルックアップを実行してください—A レコードが Cloudflare や Fastly の anycast に解決する場合は、ユーザーがヒットするエッジロケーションを確認してください。欧州 IP からブラウザでアップロードをテストし、レスポンスヘッダーを確認すると、多くの CDN が x-amz-cf-pop や cf-ray で POP を公開しています。

コストとパフォーマンスのトレードオフ

EU 専用ホスティングはマルチリージョン相当品より 10〜20% 高コストです。これはスケールが小さく電力費が高いためです。レイテンシは EU ユーザーには改善します（パリからフランクフルトは約 20ms）が、米国ユーザーには悪化します（パリからニューヨークは約 75ms）。ユーザーベースの 80% が欧州であれば、そのトレードオフは明確です。グローバルなコントラクターにも対応が必要な場合は、全員を一つのリージョンに強制するより、EU 顧客向けの EU 所在地と明確なルーティングルールを持つハイブリッド構成が適しています。 HexaTransfer は EU インフラにすべてのファイルを保持しつつ、クライアントサイド暗号化によって国境をまたぐ受信者も平文を外部サーバーに公開しない仕組みを提供しています。

所在地はリスクに正確に合わせた保険のように選んでください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。