エンタープライズファイル共有におけるデータの所在：法域主権の重要性

EUの規制対象組織にとって、「データはどこに存在するのか？」という問いは、もはやIT部門だけで完結するものではありません。法務担当、データプライバシー責任者（DPO）、調達チームも日常的に議論に加わっています。なぜなら、その答えはGDPRコンプライアンス、NIS2の義務、DORAのサードパーティ要件、そして非EU法域からの域外法的リーチへの曝露に直接関係するからです。

本記事では、エンタープライズファイル共有における法域主権が実際に何を意味するのかを分かりやすく解説します。データが物理的にどこに存在するのか、誰が法的にアクセスを強制できるのか、政府から要請があった場合にどうなるのか、越境転送がどのように管理されるのかを取り上げます。EU組織がベンダーに必ず確認すべき質問と、Kiteworksが契約構造や文書化されたコンプライアンス体制に基づき、これらにどう対応しているかも解説します。

エグゼクティブサマリー

主なポイント：エンタープライズファイル共有における法域主権には3つの側面があります。データが物理的にどこに存在するか、誰が法的にアクセスを強制できるか、そして不正な開示を防ぐ技術的・契約的なセーフガードがあるかどうかです。これら3つの問いは調達の現場で別々に扱われがちですが、実際には相互に依存しており、いずれかにギャップがあると他の2つも損なわれるリスクがあります。

なぜ重要なのか：NIS2やDORAは、組織がベンダーの法域リスクを理解し、軽減していることを証明することを求めています。Schrems II判決以降、越境転送の仕組みは調達上の必須事項となりました。さらにCLOUD法（CLOUD Act）によって、米国親会社が世界中のどこにデータを保有していても米国政府のリーチが及ぶようになり、実際に誰と契約し、どの法域が適用されるかが、ベンダー選定において極めて重要な判断材料となっています。

5つの重要ポイント

1. データレジデンシーとデータ主権は同じではありません。レジデンシーはデータが物理的にどこにあるかを指し、主権は誰が法的にアクセスや開示を強制できるかを指します。ベンダーがフランクフルトにデータを保存していても、企業構造によっては米国の法的リーチが及ぶ場合があります。両方の問いに個別に答える必要があります。
2. 契約主体は製品と同じくらい重要です。誰と契約するかによって、どの法体系が契約関係を支配し、ベンダーがどの域外法に従う必要があるかが決まります。米国法人と契約すれば、たとえサーバーがアムステルダムにあってもCLOUD法のリーチを受けます。
3. HYOK暗号化は転送のセーフガードであり、単なるセキュリティ機能ではありません。Hold Your Own Key（HYOK）アーキテクチャ―顧客がベンダーの管理外で鍵を保持する方式―は、データを法的に強制可能な状態から技術的にアクセス不能な状態に変えます。EDPBは、HYOK型暗号化を、特定条件（強力なアルゴリズム、第三国の外で鍵を保持、輸入者が法的強制下でも鍵にアクセスできない）が満たされる場合、Schrems IIや現行のEU-米国データプライバシーフレームワークにおける有効な補完措置と認めています（控訴中のため補完措置は引き続き推奨されます：C-703/25 P）。
4. 政府アクセスの開示は調達要件であり、単なる配慮ではありません。NIS2やDORAは、政府からアクセス要請があった場合にベンダーがどう対応するかを組織が把握することを求めています。「適用法に従います」だけでは不十分です。異議申立て手続きや顧客への通知方針を確認しましょう。
5. サブプロセッサーの法域は、多くのファイル共有導入における隠れたリスクです。ベンダーのデータ保護コミットメントは、そのサブプロセッサーチェーンの強度に依存します。監視リスクの高い法域にサブプロセッサーがいれば、一次ベンダー契約で名目上保護されているデータも曝露される可能性があります。

データレジデンシー：データは実際どこにあるのか？

「データはどこに存在するのか？」という問いの答えは、根本的に導入モデルによって異なります。オンプレミスとSaaSでは全く異なる答えになるため、ここを正しく理解することはコンプライアンスだけでなく、運用上のレジリエンス確保にも重要です。データレジデンシーが契約で明確に固定されていなければ、ベンダーのインフラ判断で、知らないうちにデータの所在地が変わるリスクがあります。

オンプレミス導入：地理的コントロールは顧客側

オンプレミス導入では、顧客が自社所有または管理するインフラ上でKiteworksアプライアンスを運用します。データセンターや法域も顧客が選択します。ベンダーはそのインフラにアクセスできず、データの所在地を決定する役割も持ちません。ドイツ、フランス、オランダなど、特定の法域内にデータを留めることが求められるEU加盟国の規制組織にとって、このモデルは最も明確な答えを提供します。データは顧客が置いた場所にあり、物理的・運用的なコントロール下にあります。

Kiteworksの強化アプライアンスモデルはこれをさらに強化します。アプライアンスは自己完結型で、Kiteworksのクラウドインフラとは独立して動作します。顧客が選択した地理的範囲外にデータをルーティングするような、ベンダー運用システムへの必須接続はありません。さらに、Hold Your Own Key（HYOK）アーキテクチャ―顧客がKiteworksとは独立して暗号鍵を保持・運用する方式―を組み合わせることで、物理的なレジデンシーコントロールと暗号学的な独立性の両方が実現します。

SaaS導入：異なる議論が必要

SaaS導入では、データはベンダー運用のインフラ上に存在します。EU顧客の場合、どのリージョンが利用可能か、すべての運用条件下でデータがそのリージョン内に留まるか、非EUインフラへのフェイルオーバーが存在しないかなどを確認する必要があります。KiteworksはEUリージョンのSaaSオプションを提供していますが、具体的なリージョン、認証体制、データがそのリージョンに留まる契約上のコミットメントは、SaaS導入を検討するEU調達の場で必ず確認すべき事項です。

率直に言えば、オンプレミス導入はEU組織にとってデータレジデンシーの観点で最も強力な答えを提供します。SaaS導入では、ベンダー側の地理的判断が介在するため、明確な契約上のコミットメントが不可欠です。

契約主体：実際に誰と契約するのか？

この問いは、多くの調達チームが想像する以上に重要です。契約する法的主体によって、契約関係を支配する法体系、紛争時の管轄、そして何よりどの政府がベンダーにデータ開示やアクセスを強制できるかが決まります。ここには、一次契約主体と、その背後にある親会社という2つの側面があります。

Kiteworks Europe AG：EU向け契約主体

EMEA顧客向けの契約主体は、スイス・ツーク市Bahnhofstrasse 29に登記されたKiteworks Europe AGです。この法人はEMEAライセンス契約書に明記されており、2つの理由で重要です。

第一に、スイスはEU加盟国ではありませんが、EUからのデータ転送に関して十分性認定を維持しており、スイス法は一般的に強力なデータ保護を提供すると認識されています。第二に、より実務的な観点では、スイス法人であることが米国CLOUD法からの実質的な防波堤となります。CLOUD法は、米国法人に対し、世界中のどこに保有するデータでも有効な米国の法的命令があれば提出を義務付けています。スイス法人はこのようなCLOUD法の直接的な適用対象ではなく、スイス法に従い、外国からの命令には独自の法的手続きや相互法的支援条約（MLAT）を経る必要があります。

これはスイス法人がすべての外国法的リーチから免除されるという意味ではありません。むしろ、法的な経路がより限定的かつ明確になり、顧客への通知や異議申立ての機会が得られる可能性が高くなる、ということです。CLOUD法遵守が国内法的義務となる米国法人と直接契約するより、はるかに有利な立場です。

確認すべきポイント：ライセンス契約書にKiteworks Europe AGが契約主体として明記されていることを必ず確認してください。契約締結が数年前の場合、現在の法人名が反映されているか確認しましょう。市場によっては旧法人名が記載されたままのレガシー契約もあるため、必要に応じてKiteworksのアカウント担当に現行の契約主体を確認してください。

Kiteworks USA、英国中間持株会社、親会社の問題

Kiteworks Europe AGは、スイス法人の直接親会社である英国中間持株会社を含む広範な企業構造の一部として運営されています。これにより、EU組織が明確に把握すべき2つ目の法域リスクが生じます。それが英国調査権限法2016（IPA）および英国・米国データアクセス協定（2022年）です。

英国IPAは、英国関連プロバイダーに対し、技術的能力通知、大量令状、データ保持通知を発行する権限を英国当局に付与しています。英国・米国データアクセス協定（2022年）は、CLOUD法の枠組みの下で締結された二国間協定であり、英国と米国当局が互いの法域内のサービスプロバイダーに直接リクエストを行うことを可能にします。つまり、英国中間持株会社の存在は、上述のスイスMLATルートとは異なる、場合によってはより直接的な強制経路を追加することになります。

実務上の意味：スイス法人（Kiteworks Europe AG）は、EU顧客に対する米国CLOUD法の直接的なリスクを低減します。一方、英国中間持株会社は、英国IPAおよび英国・米国データアクセス協定によるリスクを第二の経路として追加します。CLOUD法リスクと同様に、データ保護の観点では、HYOKアーキテクチャによって、法的強制が成功しても暗号化されたデータしか提出できないため、親会社や英国持株会社が鍵を保持していない限り、可読データの開示は不可能です。リスク評価で企業グループ全体をマッピングする必要がある組織は、Kiteworksのアカウント担当に持株構造の確認を依頼してください。

多くのEU規制組織にとっては、スイス法人構造と技術的セーフガード（HYOK、オンプレミス導入）で主権要件を十分に満たせます。技術自体のEU所有やガバナンスまで求める最も厳格な要件を持つ組織にとっては、米国最終親会社や英国中間持株会社の存在が正直な制約事項となります。

政府アクセス：国家から要請があった場合どうなるか？

この問いは、Schrems II判決によって避けて通れなくなりました。EU司法裁判所は2020年、米国の監視法―CLOUD法、FISA 702、行政命令12333―がEUデータ主体に実効的な異議申立ての機会を与えていないことを理由に、プライバシーシールドを無効としました。

2023年7月以降、EU-米国データプライバシーフレームワーク（DPF）がDPF認定米国組織への転送の十分性メカニズムとしてプライバシーシールドに代わっています。2025年9月には一般裁判所がDPFの十分性を確認しました（Latombe事件、T-553/23）が、現在EU司法裁判所に控訴中（C-703/25 P）です。したがってDPFは現時点でのEU-米国転送の法的メカニズムですが、今後も有効である保証はなく、DPFを主要な転送メカニズムとする組織は、さらなる無効化リスクに備えて補完措置を維持すべきです。

米国親会社を持つベンダーを利用する場合、どの転送メカニズムを採用していても監視法リスクへの明確な答えが必要です。重要なのは、リスクマップを把握し、法的強制を技術的に無効化できるセーフガードを持つことです。

CLOUD法リスクマップ

CLOUD法は米国法人およびその子会社に適用されます。EU顧客がKiteworks Europe AG（スイス法人）と契約する場合、米国当局がKiteworks Europe AGに強制するにはスイスMLAT手続きを経る必要があり、直接的なCLOUD法リスクは低減されます。このプロセスは時間がかかり、可視性が高く、異議申立ても容易です。

ただし、リスクを完全に把握するにはサブプロセッサーの状況も理解する必要があります。EU顧客データを扱うKiteworksのサブプロセッサーが米国法人であれば、たとえ一次契約主体がスイス法人でもCLOUD法リーチが及ぶ可能性があります。サブプロセッサーの法域リスクは理論上の懸念ではなく、Schrems IIが要求する転送影響評価（TIA）の一部です。

Schrems IIにおける技術的セーフガードとしてのHYOK

EDPBの補完措置に関する勧告（Recommendations 01/2020）では、データ輸入者が鍵にアクセスできない暗号化を有効な技術的セーフガードとして明示的に認めています。KiteworksのHYOKアーキテクチャはまさにこのシナリオに対応しています。

HYOKでは、顧客が自社インフラで暗号鍵を保持します。Kiteworksや、Kiteworksに法的強制を行う政府は、鍵を持たないためデータを復号できません。Kiteworksやサブプロセッサーが保有するデータは、顧客の協力なしには暗号学的にアクセス不可能です。これにより、法的強制リスクが技術的に不可能なものとなり、市場で最も強力な補完措置となります。

Kiteworksは、CLOUD法、FISA 702、および関連する多法域フレームワークにおける法的リスクを文書化しています。これらの仕組みは通知の観点で同等ではありません。CLOUD法による法執行命令は顧客への通知や異議申立てが許可される場合がありますが、FISA 702命令には法的に通知を禁止するギャグ条項があります。Kiteworksは、法的に通知が許可されるアクセス種別について、通知方針と異議申立て手続きを政府アクセス文書で提供しています。HYOKアーキテクチャと顧客運用のオンプレミスHSM（FIPS 140-3認証済み暗号）を組み合わせることで、規制組織が転送影響評価で文書化すべき域外アクセス防止の技術的根拠を提供します。

輸出管理と多法域コンプライアンス

防衛、航空宇宙、デュアルユース技術分野の組織にとっては、輸出管理コンプライアンスも法域リスクに追加されます。Kiteworksは、オーストラリア情報セキュリティマニュアルに基づくIRAP PROTECTED認証を取得しており、NATO加盟国の防衛分野組織に直接関連します。また、ITARコンプライアンス要件にも対応しており、管理対象技術データを扱う組織にとって重要です。

多法域認証ポートフォリオ（BSI C5 Type 2、ISO 27001、Cyber Essentials Plus、IRAP PROTECTED、FedRAMP High In Process、SOC 2 Type II）は、規制分野の調達チームがサードパーティリスク評価で必要とするコンプライアンス証拠を提供します。

越境転送：GDPRコンプライアンスの維持

EUから第三国への個人データ転送には、GDPR第V章により、転送先国の十分性認定または適切なセーフガード（多くは標準契約条項（SCCs））が必要です。Schrems II以降、米国への転送ではSCCsだけでは不十分であり、転送影響評価（TIA）と、転送先国の法制度が同等の保護を提供しない場合は補完措置の実施が義務付けられています。

特に米国への転送では、2023年7月施行・2025年9月一般裁判所確認済み（Latombe事件、T-553/23）のEU-米国データプライバシーフレームワーク（DPF）が、DPF認定組織向けの十分性メカニズムとなっています。ただし、EU司法裁判所に控訴中（C-703/25 P）であるため、DPFの十分性に依拠する場合も補完措置を維持すべきです。Kiteworksのスイス法人経由の転送では、スイス法に基づく十分性認定が別途維持されており、DPFの有効性に依存しない追加の転送メカニズムとなります。

標準契約条項とKiteworks DPA

Kiteworksのデータ処理契約（DPA）はSCCフレームワークに基づき構成されており、管理者-処理者関係とEU域外への転送メカニズムをカバーします。DPAにはGDPR第46条に基づく転送メカニズムが含まれています。

Schrems IIが要求するTIAを実施する際の主な要素は、データ輸入者の法域、転送されるデータの性質、そして技術的・組織的対策です。スイス法人構造はこの評価において重要な要素となります。スイスの十分性認定と、外国からのアクセス命令に対するスイス独自の法的手続き要件が、米国法人への直接転送とは異なるリスクプロファイルを生み出します。

Schrems IIへの答えとしてのHYOK

越境転送の合法性を最大限に担保したい組織にとって、HYOKは最も防御力の高い補完措置です。データが顧客保持の鍵で暗号化され、Kiteworksが鍵にアクセスできない場合、仮に暗号化データが転送されても、受領者は内容を解読できず、実質的な個人データの曝露にはなりません。

これは抜け道ではなく、EDPBが補完措置の勧告で想定したまさにそのアーキテクチャです。KiteworksをHYOKとオンプレミス導入で利用する組織は、転送影響評価において十分な根拠を持つことができます。

サブプロセッサー：見落とされがちな法域リスク

ベンダーのデータ保護コミットメントは、そのサブプロセッサーチェーンの強度に依存します。EU顧客データを扱う、またはアクセス可能なすべてのサブプロセッサーは、それぞれ独自の法域リスク―設立法域、現地法に基づく法的義務、政府アクセスリスク―をもたらします。

KiteworksのDPAには、EU顧客データを処理するサブプロセッサーのリスト（付録1）が含まれています。これはGDPR第28条に準拠した枠組みの基礎であり、サブプロセッサーを明示できないベンダーは、データ保護コンプライアンスを真に担保できません。

現時点でのサブプロセッサー透明性：DPA付録1リストで現行サブプロセッサーを文書化していますが、リアルタイムで顧客向けのサブプロセッサーレジスターや自動変更通知はまだ公開されていません。これは認識された課題です。GDPR第28条が想定する新規サブプロセッサーへの異議権行使のため、継続的な可視性が必要な場合は、Kiteworksと直接協議し、契約上の通知体制を構築するのが現状の対応策です。

調達チームが確認すべきは「現時点のサブプロセッサーは誰か？」だけでなく、「変更時にどのように通知され、何日前に新規サブプロセッサー稼働前の通知が受けられるか？」です。GDPR第28条2項は顧客に異議権を認めていますが、通知が間に合わなければ行使できません。

法域主権：ベンダーに確認すべき質問

この表は、調達時の会話、DPA交渉、サードパーティリスク評価で活用してください。EUの規制コンプライアンスにおいて重要な違いが浮き彫りになるよう設計されています。

法域デューデリジェンス：実装チェックリスト

「正しい答え」を知っているだけでは不十分です。調達段階で体系的に検証し、契約期間中も継続的に確認することが求められます。法域デューデリジェンスには、契約前の検証と、契約期間中の継続的なモニタリングという2つのフェーズがあります。多くの組織は前者は得意ですが、後者は手薄になりがちです。

契約段階で

• 契約主体を明示的に確認。思い込みは禁物です。署名欄や契約書内の「Kiteworks」定義を確認し、EUまたはスイス法人であることを確認しましょう。企業再編前の契約なら、現行契約主体の書面確認を依頼してください。
• 転送影響評価（TIA）の付属書または記載を要求。ベンダーに標準TIAの提供、またはDPA内でTIA実施と補完措置実装の記載を求めましょう。SCCだけでは、該当転送経路のTIAがなければ不十分です。
• サブプロセッサー変更時の事前通知を交渉。GDPR第28条は新規サブプロセッサーへの異議権を認めていますが、事前通知がなければ行使できません。DPAで通知期間（30日程度が目安）を明記しましょう。
• HYOKアーキテクチャをリスク登録簿に明記。HYOKを導入する場合、転送影響評価やデータ保護影響評価（DPIA）にEDPB認定の補完措置として明記し、リスク特定と対応の監査証跡を残しましょう。

継続的なモニタリング

• サブプロセッサーリストを少なくとも年1回確認。サブプロセッサー変更はリスクプロファイルの変化です。ベンダーの通知サイクルに合わせてカレンダーリマインダーを設定し、法務・コンプライアンス部門で確認担当者を決めましょう。
• ベンダー法域の法改正を追跡。スイス・EU法も変化します。十分性認定も争われることがあります（Schrems IIが典型例）。ベンダー関連法域の重要な法改正をモニターしましょう。
• ベンダーの企業構造変更時はTIAを再実施。買収・合併・親会社変更は法域リスクマップを大きく変える可能性があります。契約書に、契約主体に影響する企業構造変更時のベンダー通知義務を盛り込みましょう。

法域選択ミスのビジネス・財務・評判コスト

法域主権の失敗は、他のセキュリティ失敗とは性質が異なります。インシデントで発覚することは稀で、監査・規制調査・法的手続きの中で初めて明らかになり、その時点でギャップは長期間放置されていたことになります。影響は規制・運用・評判の各側面に及び、複合的に拡大しがちです。

規制・法的リスク

越境転送に関するGDPR第46条の遵守は、ベストプラクティスではなく法的義務です。十分なセーフガードなしに第三国へデータを転送したり、TIAや補完措置のないSCCで運用した場合、GDPR違反として直接的な規制リスクが生じます。監督当局は不十分な転送メカニズムに対して多額の制裁金を科しており、Schrems II以降、執行環境は大幅に厳格化しています。

NIS2第21条は、適切なサプライチェーンセキュリティ対策を義務付けています。サブプロセッサーチェーンの法域リスクを把握していないベンダーとの関係は、サプライチェーンセキュリティ上のギャップであり、NIS2コンプライアンス監査で指摘される可能性があります。DORAも同様に、金融機関に対しベンダーの法的所在地の把握を含むICTサードパーティ監督義務を課しています。

ビジネス・運用リスク

政府からのアクセス命令で顧客データが開示されたり、サービス停止命令でプラットフォームが利用不能になれば、ファイル共有に規制業務を依存する組織にとって壊滅的な運用被害となります。契約書、治験データ、防衛調達文書、財務記録など、エンタープライズファイル共有で扱われるデータは、監視権限を持つ政府が最も価値を見出す情報です。このリスクの把握と対策は、単なるコンプライアンスチェックリストではなく、事業継続計画そのものです。

評判リスク

自社顧客に主権を約束している組織―銀行が「データはEU域外に出ません」と保証したり、医療機関が患者データのレジデンシーを約束したり、防衛請負業者がセキュリティフレームワーク準拠を主張したりする場合―で、ベンダースタックの法域失敗があれば、その保証は無効になります。「ファイル共有ベンダーに米国親会社リスクがあったと気づかなかった」という理由で生じる評判ダメージは、プレスリリースで回復できるものではありません。

法域主権でKiteworksが選ばれる理由

Kiteworksの法域主権に対する姿勢は、スイス法人契約主体、HYOKアーキテクチャ、独立認証済みコンプライアンスの幅広さという3つの点で、米国本社のソフトウェア企業の多くと一線を画しています。

スイス法人構造（Kiteworks Europe AG、Bahnhofstrasse 29、Zug、Switzerland）は、EU顧客にとって米国CLOUD法の直接リーチに対する契約上有効な防波堤となります。絶対的な盾ではありませんが、米国法人との契約よりはるかに防御力の高い立場です。HYOKはその法的防波堤を技術的保証に変換します。仮に法的リーチがあっても、顧客の協力なしにデータは暗号学的にアクセスできません。この組み合わせ―スイス法人＋HYOK＋オンプレミス導入―は、エンタープライズファイル共有市場で現時点で最も強力な法域主権体制です。

コンプライアンスポートフォリオは多法域にまたがり、EU向けのBSI C5 Type 2とISO 27001、英国市場向けCyber Essentials Plus、オーストラリア市場向けIRAP PROTECTED、米国連邦市場向けFedRAMP High In Process、クロスマーケットのベースラインとしてSOC 2 Type IIをカバーします。NIS2やDORAに基づくサードパーティリスク評価を行う調達チームにとって、独立認証の幅広さは、認証のないベンダーに比べて証拠負担を大幅に軽減します。

正直な制約事項も明示しておきます。親会社は米国本社であり、サブプロセッサーレジスターは現時点でDPA付録であり、リアルタイム公開レジスターではありません。いずれも契約前にKiteworksの法務・契約チームと率直に議論すべきポイントです。

まとめ

EU規制組織にとって、ファイル共有における法域主権は、初回調達時に法務部門だけで解決する課題ではありません。契約主体、データレジデンシー、政府アクセスリスク、転送メカニズム、サブプロセッサーチェーンをカバーする、継続的な運用・コンプライアンス管理が不可欠です。

Kiteworksは、そのための出発点として、スイス契約主体、Schrems II補完措置としてのHYOKアーキテクチャ、SCCを基盤としたDPA、EMEA規制組織が評価対象とする複数フレームワークにまたがる独立認証済みポートフォリオを文書化・第三者検証付きで提供します。

よくある質問