文書転送における法的コンプライアンスの必須知識

文書転送の法的コンプライアンスは、適用される規制セットに各転送を対応させることから始まる。日本では個人情報保護法（APPI）と個人情報保護委員会（PPC）が個人データ転送の要件を定め、経済産業省（METI）が業種別ガイドラインを提供し、NISCがサイバーセキュリティ基準を策定する。国境をまたぐ場合はGDPR第5条・第32条・第5章が加わる。多くの転送は複数の規制枠組みに同時に触れ、最も厳格な適用可能枠組みを満たす統制が通常他の枠組みも満たす。

データと規制のマッピング

転送統制を選択する前に、データを分類する。一つの文書が複数の枠組みを発動しうる。

日本在住の患者の診療記録：APPI＋医療法＋個人情報の保護に関する法律
EU企業従業員の氏名を含む取引先との契約：GDPR＋適用商法
融資申込書：金融商品取引法＋割賦販売法＋APPI
学生成績記録：APPI＋教育基本法の関連規定
連邦政府請負業者への納品：FISMA・CMMC・DFARS条項

分類がその後のすべてを決定する——暗号化要件、監査内容、保持期間、通知義務。

各規制が求める暗号化基準

規制はアルゴリズムを直接指定しないが、NIST基準への言及が実務指針となる。

HIPAA — HHS OCRがNIST SP 800-111（保存時）、NIST SP 800-52 Rev. 2（転送時）を参照。AES-256-GCMおよびTLS 1.3が該当する。
PCI DSS 4.0 — 要件4.2が送信時の強力な暗号化を要求；要件3.5が保存時のカード会員データを対象。AES-256-GCMが該当する。
GDPR第32条 — 暗号化を含む「適切な技術的措置」；ENISAガイダンスがAES-256系を参照。
23 NYCRR 500.15（ニューヨーク州DFSサイバーセキュリティ規則）— 転送時・保存時の非公開情報の暗号化。

転送時・保存時にAES-256-GCMを設定し、TLS 1.3（RFC 8446）で転送することで、主要な枠組みをほぼ網羅できる。連邦システム向けにはFIPS 140-3バリデーション済みモジュール、その他はすべて文書化された鍵管理が求められる。

データ処理契約とビジネスアソシエイト契約

ほとんどの枠組みは、データオーナーとサードパーティ間の契約コミットメントを要求する。

HIPAAビジネスアソシエイト契約（BAA） — 45 CFR 164.504(e)に基づく
GDPR第28条データ処理契約 — すべてのデータ処理者に対して
CCPA/CPRAコントラクター契約 — 利用制限付き
APPI委託契約 — 個人情報の取扱いを委託する際の監督義務

規制対象データを扱う前に、転送ベンダーに適切な契約に署名してもらう必要がある。コンシューマー向け無料サービス（個人用Dropbox、Google Driveフリー版）は一般的にBAAや同等の契約に署名しない。

GDPR第5章の越境転送規制

GDPR第5章はEEA外へのEU個人データ移転を制限する。主要なメカニズムは以下のとおりだ。

十分性認定（第45条）— 日本は2019年に相互認証を取得しており、EU向け移転の重要な基盤
標準契約条項（第46条(2)(c)）— 2021年EU委員会決定のモジュールを使用
拘束的企業準則（第47条）— グループ内移転用；承認に12〜24ヶ月
特例（第49条）— 明示的同意、契約の必要性、公益；狭く解釈される

Schrems II判決後、SCCだけでは不十分だ。クライアント側暗号化（プロバイダーが復号できない）が最もクリーンな補完的措置となる。

保持義務の最小・最大要件

規制は最大・最小双方の保持期間を課す。

HIPAA — 作成または最終利用から6年（45 CFR 164.316）
SEC規則17a-4 — ブローカーディーラー記録に3〜6年、WORM形式
SOX — 監査作業書類と関連財務記録に7年
GDPR — 必要以上に長く保持しない（第5条(1)(e)）
APPI — 利用目的の達成後は速やかに削除

進行中または合理的に予測される訴訟のリーガルホールドはルーティン廃棄を上書きする。転送システムの保持設定：作業コピーは自動有効期限付きで、権威ある原本と監査ログは適用保持期間を遵守して保存する。

実際に活用される監査要件

監査ログが検査されるのは3つの場面だ：規制当局の調査、セキュリティインシデント、訴訟。3つすべてに対応するログを設計する。

ユーザー識別子（認証済み一意ID、共有アカウント不可）
タイムスタンプ（UTC＋現地時刻）
操作（アップロード、ダウンロード、閲覧、失効、有効期限切れ）
オブジェクト参照（ファイルハッシュ、転送ID）
ソースIPとユーザーエージェント
成功または失敗（失敗理由を含む）
適用可能な場合は法的根拠または目的コード

HexaTransferは各転送でこれらの要素を記録する。https://hexatransfer.com で無料・アカウント不要・最大10GBで利用できる。エンタープライズコンプライアンスプログラムでは、独自の監査エクスポートプロセスを重ねて実装する。

情報漏洩通知のタイムライン

異なる規制が異なる通知タイムラインを課す。

GDPR第33条 — 認識から72時間以内に監督機関へ
APPI（2022年改正） — 個人情報保護委員会への報告義務（速報：3〜5日、確報：30日以内）
HIPAA漏洩通知規則 — 影響を受ける個人へ60日以内
23 NYCRR 500.17 — 72時間以内にNYDFSへ

事前の準備で通知義務に対処する：インシデント対応計画、事前作成された通知テンプレート、法律事務所と法廷外弁護士の調整。転送システムの監査ログが漏洩評価に直接貢献する——「どのデータが露出した可能性があるか」の回答がハッシュインデックス付きの転送記録から得られる。

コンプライアンスプログラムの継続的運営

コンプライアンスは一度きりのプロジェクトではなく、継続的なプログラムだ。

年次方針レビュー（規制改正を反映）
四半期ごとの規制対象データ担当者向けトレーニング
月次の案件リポジトリアクセスレビュー
週次の異常転送パターンアラート
日次のバックアップ検証
年2回のインシデント訓練

文書転送のコンプライアンスは、義務に統制を対応させ、両方を文書化し、問題が発生したときに対応することに帰着する。プログラムを一度構築し、意図的に維持すれば、次の規制当局からの問合わせはカタストロフではなくルーティンになる。