ファイル変換とGDPR：知っておくべき重要ポイント
そもそも、なぜファイル変換がGDPRの懸念事項になるのか
多くの人はGDPRと聞くと、メールリストやクッキーバナーを思い浮かべるでしょう。ファイル変換はデータ処理の中でも目立たない分野のように思えますが、まさにそれが見過ごされがちな理由であり、誰も気づかないうちにコンプライアンス上の問題に発展する原因なのです。 オンラインの変換ツールにファイルをアップロードするということは、第三者の処理者にデータを転送するということです。GDPRでは、あなたに代わって個人データを処理する事業体はすべてデータ処理者と見なされます。つまり、あなたの会社だけでなく、その変換サービスも規制の対象となるのです。もしアップロードしたファイルに個人データ（クライアント名が記載されたPDF、従業員の給与が書かれたスプレッドシート、医療メモを含むWord文書など）が含まれていれば、あなたはGDPRが厳しく規制するデータ転送を開始したことになります。 この規制における個人データの定義は非常に広く、特定された、または特定可能な個人に関するあらゆる情報が含まれます。顧客名が記載されたスキャン済みの請求書も該当します。録音された通話の音声ファイルも該当します。DOCXファイルに埋め込まれた作成者名や変更履歴といったメタデータでさえ、個人を特定できれば個人データに該当する可能性があります。 ですから、「ただファイルを変換したかっただけだ」という言い分は通用しません。処理の目的が何であれ、個人データが存在するという事実は覆せません。ファイルにそうしたデータが含まれていて、それを外部サービスに送信する場合、その転送には法的な根拠が必要であり、転送先でデータがどのように扱われるかについて確固たる保証が求められます。
第三者の処理者を利用する際にGDPRが実際に要求すること
ここで鍵となるのがGDPR第28条です。この条文は、セキュリティ対策について「十分な保証」を提供できる処理者のみを利用することを義務付けています。実際には、これは処理を開始する前に、サービスプロバイダーとの間でデータ処理契約（DPA）を締結しなければならないことを意味します。 DPAは単なる形式的なものではありません。処理の主題と期間、その性質と目的、関与する個人データの種類、影響を受ける人々のカテゴリー、そして管理者の権利と義務といった具体的な内容を網羅した、法的に拘束力のある契約です。また、この契約は、サービス終了時にすべての個人データを削除または返却すること、そしてデータ主体の権利や侵害通知に関するあなたの義務を支援することを、処理者に法的に義務付けるものでなければなりません。 ファイル変換サービスの場合、これは機密性の高いものをアップロードする前に尋ねなければならない、いくつかの重要な質問に集約されます。そのサービスはDPAを提供しているか？サーバーはどこにあるのか？データはEU/EEA内で処理されるのか、それとも国外に転送されるのか？転送される場合、その法的メカニズムは何か？（標準契約条項、十分性認定、あるいはその他か？） CocoConvertでは、ビジネスユーザー様向けに、ご要望に応じてDPAを提供しており、すべての処理はEU域内のサーバーで行われます。個人で文書を変換するユーザー様については、利用規約とプライバシーポリシーがその関係を規定します。これは標準的な慣行ですが、実際にそれらを読む責任はユーザー側にあります。はっきり言いますが、もしあなたの組織が特別なカテゴリーのデータ（健康記録、生体認証データなど）を含むファイルを定期的に変換する場合、一般的な消費者向けツールは不適切です。正式なDPAが必要であり、おそらく第35条に基づくデータ保護影響評価（DPIA）を実施すべきでしょう。
ファイル保持期間：多くの人が陥る落とし穴
ファイル変換サービスは、あなたのファイルをどのくらいの期間保持するのでしょうか？これは、個人データはその目的に必要な期間を超えて保存してはならないと定める、GDPRの保存期間の制限の原則（第5条(1)(e)）の下で、非常に重要な問題です。 業界の慣行は、驚くほど一貫性がありません。一部のサービスは、ユーザーが手動で削除するのを忘れない限り、アップロードされたファイルを無期限に保持します。24時間保持するサービスもあれば、ファイルを完全にメモリ内でのみ処理し、サーバーには何も残さないサービスもあります。もしあなたのファイルに個人データが含まれている場合、これらのポリシーの違いは非常に大きな意味を持ちます。 CocoConvertでは、アップロードされたファイルと変換後のファイルはすべて、変換から1時間以内に自動的に削除されます。これはマーケティング上の約束ではなく、インフラレベルで強制され、プライバシーポリシーにも記載されている技術的なポリシーです。ユーザー側で何かをする必要はありませんが、すぐにファイルを消したい場合は、変換直後に手動削除オプションも利用できます。結果画面で出力ファイルの横にあるゴミ箱アイコンをクリックするだけで、数秒でストレージから削除されます。 私たちは、自社の限界についても正直にお伝えします。現在、CocoConvertではすべてのファイルタイプに対して、ゼロ保持、つまりブラウザ内のみで処理するモードは提供していません。一部の複雑な変換は、クライアントサイドで実行するには計算負荷が高すぎるのです。非常に機密性の高い文書（法廷での証拠開示資料、人事記録、患者データなど）を扱うユーザーにとって、この違いは極めて重要です。そのようなリスクの高いケースでは、多くの変換を完全にオフラインで処理できるLibreOfficeのようなローカルにインストールするツールを使用するか、オンラインサービスを使用する前に署名済みのDPAを必ず締結すべきです。
メタデータ削除：隠れた個人データ問題
変換されたファイルが、必ずしも「クリーン」なファイルであるとは限りません。恥ずかしい変更履歴が残ったままのドキュメントを誤って送信してしまった経験のある人なら、隠しデータの恐ろしさがわかるでしょう。これは現実的なGDPRのリスクです。なぜなら、メタデータ（ファイルに埋め込まれた目に見えない情報）には、表示されているコンテンツとは全く別の個人データが含まれている可能性があるからです。 Microsoft Office形式（DOCX、XLSX、PPTX）は、作成者名、編集者名、改訂履歴、コメントなどを埋め込むことで有名です。PDFにも同様の情報が含まれることがあり、作成者名や、Wordからエクスポートされた場合は元の作成者のユーザー名が含まれることもあります。JPEGファイルにはEXIFデータが含まれており、これにはGPS座標、カメラのシリアル番号、タイムスタンプなどが含まれる場合があります。その写真が個人の家で撮影されたものであれば、GPS座標は非常に機密性の高い情報になります。 GDPRの観点から言えば、このメタデータは個人を特定できる場合、個人データとなります。メタデータを削除せずに変換後のファイルを共有することは、意図しないデータ漏洩につながる可能性があります。 CocoConvertでは、OfficeからPDFへ、またはOffice形式間の変換時に、標準的なドキュメントメタデータ（作成者フィールド、コメント、改訂履歴）を自動的に削除します。また、JPEGを他の形式に変換する際には、EXIFデータも削除します。しかし、CocoConvertは専用の独立したメタデータ削除ツールではありません。一部のエンタープライズソフトウェアが埋め込む可能性のある、すべてのカスタムメタデータフィールドの削除を保証することはできません。コンプライアンスのために検証済みのメタデータ削除が必要な場合は、その特定の作業のために別のツールが必要です。より詳細な制御と明確な監査証跡が必要な場合は、ExifToolのようなコマンドラインユーティリティや、Adobe Acrobatの「墨消し」機能（Acrobat Pro > ツール > 墨消し > 文書をサニタイズ）を使用してください。
越境データ移転：ファイルは実際にどこへ行くのか
GDPRの第5章は、厳格な条件が満たされない限り、欧州経済領域（EEA）外への個人データの移転を制限しています。これは抽象的な法理論ではありません。ファイルをアップロードすると、そのデータは物理的にどこかのサーバーに移動します。もしそのサーバーが米国、インド、またはシンガポールにあれば、あなたは国際的なデータ移転を行ったことになります。 このような移転は、特定のメカニズムを通じてのみ合法となります。これには、欧州委員会による十分性認定（英国、日本、韓国などの国が対象）、標準契約条項（SCCs、米国のサービスで最も一般的な根拠）、または拘束的企業準則（BCRs、大規模な多国籍企業向け）などがあります。 ファイル変換ツールを評価する際には、実際に処理がどこで行われるかを知る必要があります。ドイツで登記されている会社が、米国のクラウドプロバイダーのサーバー上でインフラを運用しているかもしれません。2020年のシュレムスII判決がEU-USプライバシーシールドを無効にした後、多くの米国へのデータ移転の法的根拠が一夜にして消え、多くの組織が突然コンプライアンス違反の状態に陥りました。新しいEU-USデータプライバシーフレームワーク（2023年）は、認定された米国企業のためのメカニズムを復活させましたが、法的な精査が続いています。 CocoConvertのファイル処理インフラは、ドイツのフランクフルトにあるサーバーで稼働しています。これは、ファイルを変換する際に、ファイルの内容に関する越境データ移転は発生しないことを意味します。アカウントデータは、プライバシーポリシーに記載されている通り、別途処理されます。ビジネスで何らかのサービスを評価する際は、直接質問しましょう。「処理サーバーはどこにありますか？」と。会社の本社所在地ではなく、ファイルをアップロードしたときに物理的にどこへ行くのか、が重要です。
職場でコンプライアンスに準拠したファイル変換を行うための実践的ステップ
データ保護があなたの仕事の一部であるなら（あなたがDPOであれ、貧乏くじを引いたIT管理者であれ）、GDPRの下でファイル変換を正しく行うためのチェックリストを以下に示します。 まず、チームが実際に何をしているかを監査することから始めましょう。シャドーITは現実に存在します。従業員は、速くて便利だという理由で、仕事に消費者向けツールを使います。そして、あなたが聞いたこともないようなサービスに、個人データを含むファイルをアップロードしていることがよくあります。見えないものを管理することはできません。ですから、アンケートやネットワークトラフィック分析を利用して、実際に何が使われているかを把握しましょう。 個人データの取り扱いを承認するサービスについては、必ずDPAを取得してください。これは第28条の下では交渉の余地がありません。サービスプロバイダーがDPAを提供しない場合、そのサービスを個人データのために使用することはできません。以上です。承認済みの処理者とそのDPAの一元的な台帳を、処理活動の記録（ROPA）の一部として保管してください。 次に、アップロードする前にデータ最小化を実践しましょう。契約書を変換する必要がある場合、まず個人情報を墨消しし、墨消ししたバージョンを変換してから、再度情報を挿入することは可能でしょうか？この単純なステップで、変換プロセス中のデータ漏洩リスクを劇的に減らすことができます。Adobe AcrobatやLibreOffice Drawのようなツールで、PDFの墨消しが可能です。 決定事項を文書化しましょう。サービスを評価し、特定のユースケースで承認したら、それを書き留めてください。サービス名、データタイプ、法的根拠、保持ポリシーを記した短いメモが、監査官が来た場合に第5条(2)に基づく説明責任を果たしていることの証明になります。 最後に、スタッフをトレーニングしましょう。従業員がその背景にある「なぜ」を理解していなければ、最高の技術的対策も無意味です。何が個人データにあたるのか、なぜ無作為なファイルアップロードがリスクなのか、どのツールが承認されているのかについて、簡単な20分間のセッションを行うだけで、数え切れないほどの頭痛の種を防ぐことができます。
万が一、問題が発生した場合の対処法
最善の予防策を講じても、問題は起こり得ます。個人データを含むファイルが間違ったサービスにアップロードされたり、変換後のファイルが間違った相手に送信されたり、利用しているサービスがデータ侵害に見舞われたりすることがあります。GDPRは、これらのシナリオに対して厳格で具体的なタイムラインを定めています。 第33条に基づき、個人データの侵害は、個人にリスクをもたらす可能性がある場合、それを認識してから72時間以内に監督当局に報告しなければなりません。「認識した」とは、調査が完了したことを意味するのではなく、セキュリティインシデントが発生したという合理的な確信を持った時点を指します。その72時間のカウントダウンは直ちに開始されます。 ファイル変換の文脈では、報告対象となる侵害とは、サービスが約束よりも長くファイルを保持し、それらが不正にアクセスされたことを発見した場合などが考えられます。また、DPAを締結しておらず、EEA域外にサーバーを持つサービスに機密ファイルをアップロードしたことに気づいた場合も、報告が必要となる可能性のある違法な移転にあたります。 CocoConvertを利用していて、ご自身のデータに問題があると疑われる場合は、直ちに privacy@cococonvert.com までご連絡ください。24時間以内に、当社が保持しているデータ、それがいつ処理されたか、そしてその削除状況に関する情報をご返信します。当社側で侵害が発生した場合は、当社が認識してから24時間以内に影響を受ける管理者に通知し、皆様が72時間の報告期間に備えるための時間的余裕を確保します。 GDPRコンプライアンスは、一度設定すれば終わりというものではありません。処理者の見直し、国際的な移転ルールへの変更への追随、そして実際に機能するインシデント対応計画の策定といった、継続的な努力が求められます。ファイル変換はその大きな全体像の小さな一部に過ぎませんが、見過ごされがちでありながら、比較的簡単に正しく対応できる部分でもあります。