フランスのデジタル主権と安全なファイルホスティング

フランスのデジタル主権要件は、データの物理的な所在地、法的なアクセス権者、そして外国法による提出命令への対応可能性という三点に集約されます。2026年において、公共部門と規制業種の調達担当者は、ANSSIによるSecNumCloud認定、フランス法人プロバイダーによるフランス・EU国内保管、米国CLOUD Actなどの域外適用法からの免除を次第に必須条件として要求しています。2021年5月の首相通達で公式化された「Cloud au centre」方針はその後強化され、今や単なる推奨ではなく調達要件となっています。

ファイル転送においてデジタル主権が重要な理由

米国本社のファイル転送サービスを経由してフランスの病院が患者画像を送信すると、三つの問題が生じます。第一に、2018年の米国CLOUD Actにより、データの保管場所にかかわらず、米国当局はプロバイダーに顧客データの提出を強制できます。第二に、FISAの第702条は非米国人の通信を対象とし、EU司法裁判所のSchrems判決を繰り返し引き起こしています。第三に、フランスの軍事計画法第3条と最近のサイバーセキュリティ法は、機密セクターがこうした強制に免疫のあるプロバイダーを使うことを求めています。ファイル転送データは通常「防衛機密」ではありませんが、患者記録、法的戦略、研究開発文書はしばしばデジタル主権要件と重なるセクター固有の保護対象に該当します。

SecNumCloud：認定が意味するもの

SecNumCloudはANSSIのクラウド認定制度です。技術的なセキュリティと法的独立性の両方を審査します。2022年のv3.2基準書（2023〜2024年にv3.2bisで改訂）では明確な免疫基準が追加されました。プロバイダーの資本構成、契約、意思決定が、非欧州の法律によるデータ開示強制を受けない構造であることが必要です。実際には、欧州過半数の所有権、欧州法に基づく契約主体、欧州の業務管理体制が求められます。2026年時点の認定プロバイダーにはOVHcloud（Hosted Private Cloud）、Outscale、Worldline、Bleu（Microsoft・Orange・Capgeminiの合弁）、S3NS（Thales・Google Cloud）が含まれます。基準が高いため、リストは限られています。

フランス医療データのホスティング：HDS認証

SecNumCloudとは別に、フランスでの医療データホスティングには公衆衛生法典第L1111-8条に基づくHDS認証（Hébergeur de Données de Santé）が必要です。HDSはインフラホスティングとアウトソーシングホスティングの二つの範囲があり、ISO 27001とセクター固有の管理策に沿ったフレームワークで審査されます。PHI（保護対象保健情報）を扱うフランスの病院、クリニック、医療検査機関が使うファイル転送サービスは、HDS認証取得済みか認証済みプラットフォームの背後に置かれなければなりません。データが暗号化されていても、HDS認証なしのフランス医療データホスティングは契約違反かつ規制違反です。

フランスの法執行アクセスとデータ保持法

フランスの法執行機関は刑事訴訟法のデジタル捜査条項に基づき、ほとんどの場合に司法命令を取得してホスト済みファイルにアクセスできます。情報機関については、2015年7月24日の防諜法が事前許可を伴う特定の傍受を認めています。いずれも米国のNational Security Letterや秘密のFISA 702手続きとは異なります。フランスの主権志向ホスティングは、フランス当局がフランス法・フランス司法のレビューのもとでデータにアクセスできることを意味します。多くのフランス規制業種の調達担当者は、自国がコントロールできない外国の開示制度よりもこの体制を好みます。

EU中心の代替策とGaia-X

純粋なフランスプロバイダー以外にも、Gaia-Xフレームワーク（プロバイダーの所在とContractual Termsを含むデータとサービスの連合規格）が欧州全体でデジタル主権を提供します。Gaia-Xラベルは準拠の深さをレベルで示します。OVHcloud、Scaleway、IONOS、Hetzner、T-Systemsが参加しています。ファイル転送の実務的な問題は、ストレージバックエンドからCDN、可観測性プラットフォームまで、ベンダーのインフラスタック全体が欧州法のプロバイダーの下にあるかどうかです。米国親会社が管理するAWSパリリージョン上のサービスはSecNumCloudの主権基準を満たしません。

CLOUD Actの実際の影響

米国CLOUD Actは、データの保管場所にかかわらず、米国政府が米国系サービスプロバイダーに保管データを要求することを認めます。2023〜2024年、複数の高知名度フランス調達案件が、EUのみのリージョンを提供していても米国親会社のクラウドを明示的に除外しました。法的根拠は明確です。保管時暗号化も、プロバイダーが鍵を管理している限り開示を防げません。主権レベルのファイル転送サービスは、欧州主体のみが鍵を保持するか、より優れた方法として、エンドツーエンド暗号化を使用して強制命令下でも平文を開示できない構造にします。

主権を強制する調達文言

フランスの公共調達者はRFPに主権条項を明記するケースが増えています。典型的な文言は次のとおりです。プロバイダーはSecNumCloud認定を取得していること、データはフランスまたはEU領域内に留まること、運営者とその再処理業者はEU法に準拠すること、外国法のもとでの非EU当局によるアクセスは発生しないこと。違反には制裁が科されます。銀行、保険、防衛などの規制業種の民間企業も同様のテンプレートを採用しています。

ファイル転送の選択への示唆

機密データを扱うフランスの事業者向けの2026年の判断フローは次のとおりです。セクター固有のルール（医療、防衛、公共行政）が適用されるか確認し、該当するならSecNumCloud認定またはHDS認証を選ぶ。機密だが非規制の場合は、EU法・EUホスティングのプロバイダーを選び強固な契約コミットメントを取る。低感度データには標準的なGDPR準拠のEUホスティングツールが使える。

HexaTransferはブラウザ内でAES-256-GCMにより暗号化してからアップロードするため、EUインフラ上の暗号文はサービスや第三者には読み取れません。試してみるなら https://hexatransfer.com へ。無料、アカウント不要、最大10 GB。

フランスのデジタル主権は孤立主義ではありません。データ開示をフランスまたは欧州の法律のもとで管理可能にするための、具体的な法的・技術的制御の体系です。ファイルホスティングにおける適切なスタックは、規制ワークロード向けの認定プロバイダー、その他向けのクライアント側暗号化、フランスまたはEU管轄を指定した契約の組み合わせです。