「ファイルを選択」を押した後、PDFに何が起きているのか

木曜日の午後、不動産会社から連絡が入ります。入居審査の書類は1つのファイルにまとめて送ってほしい——雇用契約書、直近2か月分の給与明細、源泉徴収票、運転免許証のコピー。あなたは検索バーに「PDF 結合」と打ち込み、最初に出てきたサイトをクリックし、4つのファイルをボックスにドラッグして、5秒待って結果をダウンロードし、タブを閉じます。

この5秒間に何が起きたのかを調べたことのある人は、ほとんどいません。しかし実は、その大半は公開情報として書かれています。どこを見ればいいかを知ってさえいれば——そしてそれは、鍵マークと「安全」という言葉が並んだページであることは、まずありません。

本稿では、あえて特定のサービス名を挙げません。その代わり、どんなサービスでも数分で自分の目で見極められる方法をお伝えします。私たち自身のサービスも含めて、です。

ファイルがたどる道のり

サーバー型のオンラインツールがPDFを処理するとき、その処理はブラウザの中では行われません。データセンターで行われ、ファイルはそこまで運ばれる必要があります。典型的な経路はこうです。

ブラウザがファイルを梱包し、HTTPSでロードバランサーに送信します。ロードバランサーはそれを処理ノードに引き渡します。ファイルはそこで——アーキテクチャ次第で——メモリ上、一時ディスク上、あるいはAmazon S3のようなオブジェクトストレージに直接置かれます。ワーカープロセスが実際の処理を実行し、結果は再び保存されます。多くの場合、ダウンロードできるように、ランダムに生成されたURLの背後に置かれます。並行して、Webサーバー、ロードバランサー、アプリケーションがそれぞれのログを書き込みます。オブジェクトストレージは複数拠点へレプリケーションを行い、バックアップは独自のスケジュールで動きます。

これは批判ではなく、まっとうな設計です。スケールするサービスとは、こう作るものです。しかし同時に、「削除済み」という言葉が見かけよりも多くの意味を持つ理由も、ここにあります。削除コマンドは本体ファイルには確実に届きます。けれども、すべてのレプリカ、すべてのバックアップ、すべてのログ行にまで届くかどうかは実装次第であり——それはどのプライバシーポリシーにも書かれていません。

「削除期限」の読み方

ここからが本稿で最も実用的な部分です。かかる時間は、サービス1つにつき5分です。

トップページやヘルプ記事、FAQには「1時間後に削除」といった数字が並びます。これはマーケティングの文言です。法的に拘束力を持つのは、プライバシーポリシーのほうです。両者を並べて読むとき、注目すべきは次の5点です。

1. 数字が食い違っていないか。 プライバシーポリシーの保存期間の項を探し、製品ページの記述と見比べてください。経験上、この照合は徒労に終わりません。

2. 期限の起点はアップロード時か、最終アクセス時か。 これは天と地ほどの差です。「最後に開いてから」という期限は時計ではなく、アクセスのたびにリセットされるタイマーです。

3. アカウントの有無で期限は同じか。 痕跡を減らすために、あえてアカウントを作らない人は少なくありません。それが本当に短い保存につながるのか、むしろ長くなるのか——答えは必ずしも予想どおりではありません。

4. 個別のツールに例外はないか。 たとえば電子署名は、証拠保全のために長めの保存が必要です。それ自体は理にかなっていますが、多くの場合、当該サービスの細則にしか書かれていません。

5. その文書の日付はいつか。 プライバシーポリシーが、メニューに並ぶ最新機能——要約や翻訳のAIツールなど——より明らかに古い場合、そのためにどんな委託先(サブプロセッサー)が加わったのか、確認する価値があります。

5点目は最も今日的な論点です。AI機能には、ほぼ例外なく裏側に追加の事業者が必要になります。文書が実際にどこへ行くのかを知りたければ、答えはサブプロセッサーの一覧にあります。製品ページには決して書かれていません。

最も機微なツールほど皮肉な構図

一般的なツール一覧を眺めてみてください。ほぼどこにでもある2つの機能について、アップロード方式は奇妙な論理を生み出します。

「PDFの墨消し」。 文書が元の形のまま他人の手に渡らないようにするために、黒塗りをする。その目的のために、文書を元の形のまま第三者に送信する。

「PDFのパスワード解除」。 手元には暗号化されたファイルがあります。銀行の取引明細、保険証券、給与明細。その保護を外すために、ファイルをパスワードごと送信する。

これは誰かを責める話ではありません。サーバーサイドでは、技術的にこうするほかないのです。ただ、この2つこそ、3秒立ち止まって考える価値のあるケースです。

メタデータもまたデータである

プライバシーポリシーはしばしば、ファイル本体とそのメタデータ——ファイル名、サイズ、種類——を区別します。メタデータには、製品改善のための分析に使ってよいなど、より緩やかなルールが適用されることが少なくありません。

無害に聞こえますが、実際にハードディスクに並んでいるファイル名を思い浮かべると、印象が変わります。解雇通知_田中_最終版.pdf。診断書_腫瘍内科_2024.pdf。離婚協議書_下書き3.pdf。中身は施錠されたままでも、表題はそうではありません。

これが机上の空論でないことは、データベースHave I Been Pwnedを見れば分かります。2020年に侵害されたある大手PDFサービスの項目には、流出したデータの種類として、氏名やパスワードハッシュと並んで、変換された文書のタイトルが明記されています。

記録に残る三つの事件

以下の事例は公開情報として裏付けられており、記載の情報源で検証できます。いずれも当該サービスに限った話であり、他の事業者への類推はできません。

2020年9月——規模は当初、小さく語られた。 ある上場PDF事業者が、証券当局に「影響は軽微」なセキュリティ事案として報告しました。顧客データへの影響はない、という説明でした。数か月後、著名な攻撃者グループがデータベース全体を公開します。14GB、約7,700万件のレコード。それに先立ち、このデータベースに約1テラバイト分の文書を加えたパッケージが、開始価格8万ドルで売りに出されていました。(BleepingComputerおよびHave I Been Pwnedに記録。)

2024年7月——ストレージがただ開いていた。 Cybernewsの調査チームは、Amazon S3ストレージが何のアクセス制限もなくインターネットから到達できる状態のPDFサービスを2つ発見しました。公表時点で約89,000件のファイルが誰でも閲覧可能で、その中にはパスポート、運転免許証、契約書、成績証明書が含まれていました。報告によれば、研究者たちが繰り返し連絡を試みても応答はなく、その間も文書はアップロードされ続けていました。(Cybernewsに記録。)

2025年3月——偽の変換サイト。 FBIデンバー支局が、詐欺目的の変換サイトについて公に警告しました。これらのサイトは、約束どおりの変換を実際にこなします。ただし、返ってくる文書には不正なコードが仕込まれています。FBIによれば、一部のサイトはアップロードされたファイルの中から個人情報、銀行情報、暗号資産の情報まで探し出すといいます。同支局の広報担当者はメディアに対し、特に危険なのは検索エンジンに「free online file converter」と打ち込む人だと述べました。上位にはしばしば有料広告が並ぶからです。(FBIデンバー支局のプレスリリース、2025年3月。)

日常にとって最も重要なのは3番目の事例です。まっとうな企業の過失とは無関係で、最初から罠として作られたサービスの話だからです。しかも利用者の目には、ほかのサイトと寸分違わず見えるのです。

ドイツの事例に学ぶ——義務は一つではなく、二つ

ここで、この分野を世界で最も厳しく規制している地域のひとつ、ドイツとEUの状況を見てみましょう。個人にとっては、あちらでも判断の問題です。しかし企業や特定の職業にとっては、純然たる法律問題になります。以下は現地の制度の紹介であり、個別の法律相談に代わるものではありません。

委託処理。 EUのGDPRの下では、企業が個人データを含む文書を外部サービスに渡すことは、処理の外部委託にあたります。ミュンヘン・オーバーバイエルン商工会議所は、ウェブサイトのデータ保護に関するガイドで明快に述べています。データ変換のような作業もGDPRのいう委託処理に該当し、GDPR第28条に基づく契約が必要になる、と。この義務が免除されるのは、個人データがまったく処理されない場合だけです。契約がなければ、事業者の仕事がどれほど完璧でも違反は成立します。制裁金の上限は1,000万ユーロ、または全世界年間売上高の2%です(GDPR第83条4項)。

主要な事業者の多くは、こうした契約をきちんと用意しています。ただ、2ページをさっと結合したいだけの人が、それを締結することはまずありません。

職業上の守秘義務。 ドイツの弁護士、医師、税理士、公証人、心理療法士には、さらに刑法203条が加わります。2017年までは、状況は際どいものでした。外部のITベンダーへの引き渡しは、すべて秘密の「漏示」にあたり得たのです。2017年11月9日に施行された法改正が「その他の関与者」というカテゴリーを設け、サービスの利用に必要な範囲での開示を認めました。ただし、落とし穴は同条第4項にあります。守秘義務者は、ベンダーに守秘義務を課し、刑事罰の存在を告知しなければならない。これを怠れば、自らが処罰の対象になります。GDPRに基づく委託処理契約では、この義務は果たせません。あれはデータ保護の契約であって、刑法の話ではないからです。義務は二つの別物であり、二つ目は日常的に見落とされています。

つまり、ドイツの弁護士が依頼者の書面を気軽に無料オンライン変換にかければ、おそらくどちらの義務も満たしていないことになります。

日本でも、この構図は無縁ではありません。個人情報保護法は、個人データの取扱いを委託する事業者に、委託先の監督をはじめとする相応の義務を課しています。細部は異なりますが、問いの向きは同じです。他人の個人データを含む文書を第三者のサービスにアップロードした瞬間、それはもう単なる利便性の問題ではなくなるのです。

もう一つの道——ファイルのある場所で処理する

PDF処理が歴史的にサーバーで行われてきた理由は、技術的なものです。PDFはテキスト形式ではなく、相互参照テーブル、埋め込みフォント、オブジェクトツリーを持つバイナリ構造です。これをきちんと分解して書き直すには本格的なライブラリが必要で、そうしたライブラリは何十年もの間、CやC++で書かれ、ブラウザでは動きませんでした。

WebAssemblyが、この前提を崩しました。同じライブラリを、ブラウザがほぼネイティブに近い速度で実行できるバイナリ形式にコンパイルできるのです。処理の流れはこうなります。

1. ファイルを選択する。ブラウザはFile APIを通じて、ファイルをArrayBufferとしてJavaScriptコードに渡します。ネットワーク通信は発生しません。
2. WebAssemblyモジュールが——画面の反応を保つため、多くはWeb Workerの中で——タブのメモリ上でバイト列を処理します。
3. 結果はBlobとして生成され、オブジェクトURL経由でダウンロードとして提供されます。
4. タブを閉じる。メモリは解放されます。

どの時点でも、ファイルはデバイスを離れません。そのための道具立ては現実に存在し、十分に成熟しています。MozillaのPDF.jsは、何年も前からFirefoxのPDF表示を担っています。pdf-libは純粋なJavaScriptで文書の生成と編集を行います。ArtifexのMuPDF.jsは、MuPDFエンジン一式をWebAssemblyとしてブラウザに持ち込みます。Tesseract.jsはローカルでの文字認識(OCR)を可能にします。そして最難関——WordやExcelからPDFへの変換——には、2024年11月以降、allotropiaのZetaOfficeがあります。LibreOfficeをWebAssemblyとしてビルドし、JavaScriptから扱えるようにしたものです。

クライアントサイドの、正直に言えばまだ難しいところ

利点しか並べない記事は広告です。ですから、逆側の勘定も示します。

メモリ。 主流のwasm32が扱えるのは最大4GBまで。これは緩やかな目安ではなく、32ビットポインタの全アドレス空間です。WebAssembly 3.0(2025年9月)からは64ビットアドレッシングが使えますが、ブラウザは上限を16GBに抑えており、性能面のコストがかかり、対応状況にもばらつきがあります。実際のところ、800ページ・400メガバイトのスキャンは、古いスマートフォンではタブごと落ちることがあります。サーバーには、この問題がありません。

読み込み時間。 フルのPDFスタックを備えたWebAssemblyモジュールは、数メガバイトの大きさがあります。初回アクセス時にはこれを読み込む必要があります。以降はキャッシュに残り、ページはオフラインでも動くようになりますが、第一印象はサーバー型ツールより遅くなります。

そして最も重要な点——私たち自身にも向けられた話です。 クライアントサイドであることは、自動的にプライバシーに配慮していることを意味しません。サイトは相変わらずあなたのIPアドレスを知っています。アクセス解析スクリプト、エラーログ、広告ネットワークは、PDFがどこで処理されるかとは無関係に動きます。ローカルで処理しながらトラッカーを5つ組み込んでいるサービスは、問題の半分しか解決していません。だからこそ、ファイルがその場にとどまるかどうかだけでなく、ほかに何が流れ出ていくのかも問うてください。どの事業者に対しても——当サイトも含めて、です。

30秒でできるセルフチェック

誰の言葉も信じる必要はありません。どのサイトでも通用する検証が2つあります。

ネットワークテスト。 開発者ツールを開き(F12またはCtrl+Shift+I、MacではCmd+Option+I)、「ネットワーク」タブに切り替えて「Fetch/XHR」で絞り込みます。その状態でファイルを処理してみてください。サーバー型ツールなら、ここにファイルサイズとほぼ同じ送信量のPOSTリクエストが現れます。ローカル処理なら、何も起きません。

オフラインテスト。 さらに単純で、言い逃れができません。ページを読み込んだら、Wi-Fiを切るか機内モードをオンにして、そのまま作業を続けてください。インターネット接続なしで動くものは、何も送信していないことが保証されています。

この2つのテストは、ぜひこのページでも試してください。むしろ、そうしていただきたいのです。

最後に、一つの経験則

「ファイルを選択」を押す前に、自分にひとつだけ問いかけてみてください。この文書を、「2時間後に削除します」と約束する見知らぬ相手にメールで送るだろうか?

町内会のイベントの献立表なら、迷わず送るでしょう。役員会のプレゼン資料、診療記録、依頼者の書面、身分証のスキャンなら——おそらく送らないはずです。

そして答えが「送らない」なら、朗報があります。利便性と用心のどちらかを選ぶ必要は、もうありません。今のブラウザは、それを自力でこなせるのですから。

2026年7月時点の情報です。本稿は一般的な技術的仕組みと法制度を解説するものであり、特定の事業者を評価するものでも、法的助言でもありません。具体的なサービスの評価にあたっては、必ずその時点で最新のプライバシーポリシーをご自身でご確認ください。