GDPR準拠のファイル転送 完全ガイド

GDPR 準拠のファイル転送に必要なことは四つです。第 6 条に基づく適法根拠の文書化、適切な技術的保護措置（保存時・転送時の暗号化）、第 28 条に基づく転送プロバイダとのデータ処理契約（DPA）、そして誰がいつ誰に何を送ったかの監査可能な記録です。個人データが EEA 外に転送される場合は、第 V 章の移転ツール—標準契約条項（SCC）または十分性認定—も必要になります。これらのいずれかを欠くと、全世界年間売上高の 4% または 2,000 万ユーロのいずれか高い方の制裁金リスクが生じます。

ファイル添付の前に第 6 条の適法根拠を確認する

個人データの転送には、ファイルがラップトップを離れる前に適法根拠を書面で記録しておく必要があります。内部の人事ファイルは第 6 条（1）（b）の契約によりカバーされます。クライアントへの納品物も通常は同条でカバーされます。マーケティングリストは第 6 条（1）（a）の同意か、バランシングテストを経た第 6 条（1）（f）の正当な利益のもとで転送されます。根拠を記録せずに 500 MB の履歴書フォルダを採用担当者に送れば、第 5 条（2）の説明責任原則に違反します。チケットシステムや共有ドライブに一行の理由を残しておくと監査時に役立ちます。

第 32 条に基づく暗号化の要件

第 32 条（1）（a）は暗号化を適切な技術的措置の例として明示しています。ICO、CNIL、ドイツの BfDI はいずれも「適切」を保存時 AES-256、転送時 TLS 1.3 と解釈しています。600,000 イテレーションの PBKDF2-SHA-256 または Argon2id で鍵導出した AES-256-GCM によるエンドツーエンド暗号化は、第 9 条の特別カテゴリデータにも対応します。 WeTransfer や Dropbox Transfer のように TLS を終端してアプリケーション層で再暗号化するサービスは準拠していますが、真の E2EE のように Recital 87 の侵害通知免除の対象にはなりません。

第 28 条のデータ処理者義務

第三者サービスがあなたに代わって個人データを扱う瞬間から、第 28 条（3）の八つの必須事項をカバーした書面契約が必要です。処理の対象・期間・性質・目的、個人データの種類、データ主体のカテゴリ、管理者の権利と義務、サブプロセッサのルール、処理終了時の削除または返還です。 SwissTransfer 、 Tresorit 、 Proton Drive など信頼できるサービスの多くはカウンターサインするだけの DPA を公開しています。プロバイダが DPA を拒否するか、第 28 条（3）（h）の監査権限が省略されている場合は利用を避けてください。

ファイルレベルのデータ最小化

第 5 条（1）（c）は、必要最小限のデータに限定することを義務付けています。これは転送層だけでなく、.xlsx ファイルの中身にも適用されます。マーケティングチームが現役顧客リストを要求したとき、電話番号・生年月日・購買履歴を含む全 CRM エクスポートは送らないでください—まず名前とメールアドレスの列に絞ってください。写真を送る前に EXIF の GPS 座標を削除してください。スキャンした PDF の社会保険番号は、黒矩形で覆うだけでなく適切な PDF 墨消しで処理してください。転送は最後の防衛線ですが、唯一の防衛線ではありません。

EEA 外への移転：第 V 章の要件

米国、インド、または十分性認定を持たない国へのファイル転送は第 V 章を発動します。Schrems II（2020 年 7 月）以降、米国への移転は DPF 認定受信者か、2021 年版 SCC プラス移転影響評価（TIA）を通じる経路になっています。TIA は、米国の監視法（FISA 702、大統領令 12333）がデータへのアクセスを強制できるかどうか、そして追加的保護措置—通常はプロバイダが復号できない暗号化—を文書化します。クライアントサイド暗号化による転送は、米国プロセッサが暗号文のみを保有するため、追加的保護措置の要件を満たします。

72 時間以内の侵害通知

第 33 条は、個人データ侵害を認識してから 72 時間以内に監督機関へ通知することを義務付けています。従業員が誤った .csv を誤った受信者に送信した場合、それも侵害です。ファイル転送ツールには事象を再構成できる十分なログが必要です。送信者、受信者、ファイルハッシュ、タイムスタンプ、IP、リンクが失効前に開かれたかどうか。CNIL のオンライン通知フォームはまさにこれらのフィールドを要求します。 HexaTransfer のように、リンク有効期限とアクセスログを持つサービスは 72 時間の窓を守りやすくします。

共有ファイルに対するデータ主体の権利

第 15 条から第 22 条は、転送リンク内も含め、どこにあるデータにもデータ主体の権利を認めています。先月三つの採用会社に送った共有フォルダに候補者の履歴書が入っていて、第 17 条の削除要求が来た場合、元のファイルを削除するとともに、第 17 条（2）に基づいて受信者への通知ができない場合に限り、下流のコピーが手の届かないところにあることを文書化してください。リンク有効期限のあるサービスは自動的にこれを処理します—リンクが無効になると、転送サービス側のコピーも消えます。セルフホスト SFTP や共有クラウドドライブは手動のクリーンアップと受信者台帳が必要です。

処理活動の記録

第 30 条は、250 人以上の従業員がいる管理者—また定期的に処理を行う小規模組織や特別カテゴリを扱う組織—に処理活動記録（RoPA）の維持を義務付けています。ファイル転送もこの記録に含まれます。繰り返し発生するフローごとに、目的、データ主体と個人データのカテゴリ、受信者、国際移転、保持期間、セキュリティ措置を文書化してください。7 日間の有効期限と AES-256-GCM を持つクライアントサイド暗号化による転送は一行で記載できます。「[プロバイダ] 経由のクライアント納品物、E2EE、7 日自動削除、EEA ストレージ。」監督機関が求めるのはこのレベルの具体性です。

実践的なコンプライアンスチェックリスト

ファイル転送ツールを組織全体に展開する前に確認してください。（1）DPA が第 28 条（3）を完全にカバーしているか。（2）暗号化は最低でも保存時 AES-256、転送時 TLS 1.3 か。（3）データ所在地が文書化され、契約で固定されているか。（4）アクセスとダウンロードのログが少なくとも 6 か月保持されるか。（5）リンクの有効期限と失効が宣伝通りに機能するか。（6）プロバイダがサブプロセッサリストを公開し、変更を通知するか。（7）特別カテゴリデータや大規模プロファイリングに関わる転送について、第 35 条の DPIA が記録されているか。

これら七つのチェックを四半期ごとに実施し、結果をコンプライアンス記録に保存してください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。