Smallpdfは2026年に安全か？詳細なプライバシーレビュー

結論から言うと： Smallpdfはスイスの正規の企業で、ISO/IEC 27001認証を取得しGDPRに準拠していると表明しており、ファイルの転送をTLSで暗号化し、ファイルを自動的に削除しています。機密性のない日常的なPDFであれば、まず安全と言えます。しかし契約書、医療記録、財務諸表、職業上の守秘義務の対象となる文書など、機密文書の場合は、モデルそのものがリスクになります。処理するファイルはすべてリモートのサーバーにアップロードされ、処理のあいだそこに置かれ、削除されるのはその後です。ファイルを一切アップロードしないブラウザベースのツールなら、そのリスクを完全になくせます。

この記事では、2026年時点でSmallpdfがデータをどう扱っているか、そのポリシーに実際に何が書かれているか、クラウドモデルが向かない文書の種類、そしてアップロードという工程をなくす別のアーキテクチャについて、具体的に見ていきます。

Smallpdfは実際にファイルをどう扱っているのか

SmallpdfにPDFをドロップすると、ファイルは決まった経路をたどります。

ブラウザがTLSでSmallpdfのサーバーにファイルをアップロードします。同社のプライバシー通知には、アップロードされたファイルが処理される場所として、欧州連合内のHetznerのサーバーが挙げられています。
ファイルはそのサーバー上で、Smallpdfのツールによって処理されます。
処理済みのファイルがブラウザに返され、ダウンロードできるようになります。
元のファイルは、一定の保持期間が過ぎるとサーバーから自動的に削除されます。

保持期間はツールとアカウントの状態によって変わります。Smallpdfのヘルプセンターでは、ほとんどのツールについて、処理から1時間後にファイルがサーバーから削除されるとしています。プライバシー通知はもう少し具体的です。アカウントがある場合、ファイルストレージに保存しない限りファイルは1時間以内に削除され、保存したファイルを削除した場合は通常14日以内に消去されます。アカウントがない場合、プライバシー通知には、ファイルが最後に開かれてから妥当な期間内に削除するよう努めること、ファイルを開き直すとその期間が延びることしか書かれていません。一方でデータ処理契約では、アカウントを使うかどうかによって削除までの期間を1時間または2週間としています。Smallpdf自身のページの間で答えが一致していないのです。無料または有料アカウントのストレージに保存したファイルは、自分で削除するまで残ります。

これは珍しいことではありません。iLovePDF、PDF24、Sejda、Adobe Acrobat Onlineなど、主なオンラインPDFサービスのほとんどが同じ仕組みで動いています。サーバーで処理するには、ファイルがどこかのサーバー上になければならないからです。問題は、Smallpdfがこれを責任をもって行っているかどうか（行っています）ではなく、処理しようとしている文書にクラウドモデルそのものがふさわしいかどうかです。

Smallpdfのセキュリティとコンプライアンスへの姿勢

2026年時点でSmallpdfが公表しているセキュリティとコンプライアンスの立場は、SaaSの水準で見て堅固です。以下はSmallpdf自身の表明です。

スイスの企業：チューリッヒに登記されたSmallpdf AGで、スイス連邦データ保護法の下で事業を行っています
アップロードされたファイルのための EU内のサーバー基盤 があり、処理はGDPRの管轄内にとどまります
Smallpdfによると、ISO/IEC 27001認証 を取得し、毎年監査を受けています。サイトには認証機関の名前も証明書の日付も記載されていません
同社の表明では GDPR、CCPA、nFADPに準拠 しており、データ処理契約（DPA）を公開しています
転送中のファイルには TLSによる暗号化 を行っています
保存時の暗号化：Smallpdfのサイトには記載がありません。DPAには、データは転送中に暗号化されるとしか書かれていません
1時間後の自動削除：ツールページに記載されています

2026年9月に確認した時点で、Smallpdf自身のサイトに侵害の開示は見当たりませんでした。同社は何をどれくらいの期間保存するかを公表しています。再委託先の完全な一覧は、請求があった場合にのみ提供されます。調達のチェックリストでSmallpdfをベンダーとして評価するのであれば、企業の購買担当者の多くが重視する項目は満たしています。

クラウドモデルが本当のリスクになるのはどこか

Smallpdfのセキュリティがどれほど堅固でも、文書の内容が端末を離れるという構造上の事実は変わりません。特定の種類の文書にとっては、受け取る側のサーバーがどれほど守られていても、この一点そのものがリスクです。

法務文書

契約書、NDA、M&Aの草案、訴訟の証拠開示資料。多くの法律事務所の委任契約書や企業の秘密保持契約は、事前の書面による同意や署名済みのデータ処理契約（DPA）なしに、依頼人の文書を第三者の処理者に送ることをはっきり禁じています。依頼人の契約書の草案を何気なく公開のWebツールにドラッグすれば、技術的なリスクが現実になる前に、それだけで契約違反になりかねません。

医療記録

患者の記録、検査結果、保険関係の書類。米国のHIPAAは、保護対象保健情報（PHI）を扱うすべての事業者と事業提携契約（BAA）を結ぶことを求めています。Smallpdfの墨消しツールのページは、墨消しが対応に役立つ規制の一つとしてHIPAAを挙げていますが、Smallpdf自身はHIPAAへの準拠をうたっておらず、2026年9月に確認した時点で、サイトにBAAも見当たりませんでした。EUでは、GDPR第9条の特別な種類にあたる健康データには厳しい処理要件が課されており、無料のSaaSツールに気軽にアップロードすることはその要件を満たしません。

財務・税務文書

確定申告書、銀行の取引明細、給与ファイル、投資報告書。コンプライアンス面の問題に加えて、これらの文書には口座番号、納税者番号、本人確認情報など、通信時の暗号化が強固であっても、傍受されれば詐欺にそのまま使える情報が含まれています。

ソースコード、社内報告書、知的財産に関わる文書

未発表の製品仕様、M&A資料、ソースコードの印刷物、取締役会のメモ。ここでのリスクは規制よりも競争上のものです。社外秘の資料が第三者のサーバー上に存在する限り、そのコピーは一度の侵害、一通の召喚状、一つの設定ミスで外部に漏れうる状態にあります。

こうした種類の文書について問うべきなのは、「Smallpdfは安全か？」ではなく、「この文書をそもそも第三者のサーバーに置いてよいのか？」です。機密資料を扱う専門職の多くにとって、その第三者がどれほど信頼できる企業であっても、答えはノーです。

知っておきたい無料版の制限

プライバシーの議論とは別に、2026年のSmallpdfの無料プランには、すぐに突き当たる制限があります。

1日あたりの上限：ヘルプセンターによると無料ユーザーが処理できるのは1日2回の変換までで、料金ページにはほとんどのツールに1日あたりのダウンロード上限があると書かれています
一部の機能にはアカウントが必要：ファイルの共有などです。署名やロック解除など、アカウント不要とうたっているツールもいくつかあります
一部の無料ダウンロードには 透かし が入ります：Smallpdf自身のダウンロード画面では、透かし入りのファイルは無料、透かしなしのファイルはProで、という選択肢が示されます
署名依頼 はSign.comを通じて行われ、無料アカウントでは月2件までに制限されています
オフラインで使うにはデスクトップアプリが必要：Webツールは処理がSmallpdfのサーバーで行われるため、接続が必要です。オフラインのデスクトップアプリはいくつかのツール（基本的な圧縮、リーダー、分割）付きで無料でダウンロードでき、すべてのツールを使うにはProが必要です

たまに使うだけなら、無料プランで足りるかもしれません。しかし日常業務でPDFを処理する人は、1日あたりの上限のためにたいていProのサブスクリプションへと誘導されます。Proは月払いか年払いです。

ブラウザベースのPDFツールはモデルをどう変えるか

2023年以降に大きく成熟した、根本的に異なるアーキテクチャがあります。WebAssemblyを使い、ブラウザの中だけで完結するPDF処理です。アップロードも、サーバー側での処理もなく、保持期間を気にする必要もありません。そもそも文書が端末の外に出ないからです。

これがHonestPDFの採用しているアーキテクチャです。PDFの結合、墨消し、署名、圧縮、変換を行うとき、処理はすべてブラウザの中で、今お読みのこのページを表示しているのと同じ計算資源を使って行われます。ツールで扱うファイルのためのアップロード先は一切存在しません。これは自分で確かめられます。ツールを読み込んだらインターネット接続を切ってみてください。ツールはそのまま動き続けます。クラウド型のPDFサービスで同じことをすると、どれもすぐに止まります。

トレードオフについても正直にお伝えします。ブラウザベースのツールは、非常に大きなファイルを扱うのに十分なメモリが端末にあることが前提です（500ページのスキャンPDFは、ワークステーションよりスマートフォンのほうが重く感じられます）。画質の悪いスキャンに対する大規模なOCRのような高度に専門的な処理では、純粋な精度の面で専用のデスクトップソフトに今でも分があります。それでも、墨消し、結合、署名、圧縮、変換、簡単なOCRといった、プライバシーに配慮が要る日常的な作業であれば、ブラウザベースのモデルはクラウドモデルが生むリスクを丸ごとなくします。

比較：それぞれの方法が向いている場面

Smallpdfが妥当な選択になるのは：

機密性のない文書（公開済みのPDF、マーケティング資料、一般的な報告書など）を処理するとき
成熟したSaaSプラットフォームにしかない機能が必要なとき（アクティビティの時系列記録と完了証明書を伴う、複数の署名者への署名依頼など）
Smallpdfを対象とする署名済みのDPAがある組織に所属しているとき
端末をまたいで表示が揃うクラウドならではの安定感を重視するとき

HonestPDFのようなブラウザベースのツールがより安全な選択になるのは：

文書が機密である、弁護士・依頼者間の秘匿特権の対象である、または規制の対象であるとき
顧客データを扱っていて、クラウド事業者とDPAを結んでいないとき
無料版につきものの1日あたりのタスク上限や透かしを避けたいとき
オフラインや、ネットワークが制限された環境で作業する必要があるとき
処理する文書を端末の外に一切出したくない、というだけのとき

どちらの方法も万能ではありません。正解は、扱う文書と状況によって決まります。

実務におすすめのワークフロー

ほとんどの専門職にとって、2026年のいちばんすっきりしたワークフローは次のようなものです。顧客データ、財務情報、健康情報、あるいはNDAの対象となる内容を含む文書には、基本的にブラウザベースのツールを使います。クラウド型PDFサービスは、手軽さがトレードオフを上回る、本当に公開して差し支えない文書のためにとっておきます。こうすれば、「この文書は気にするほど機密だろうか」といちいち判断する手間がなくなり、初めから安全な側に倒れる習慣に置き換わります。

普段のやり方を変えずにブラウザベースの方法を試してみたいなら、次にアップロードするはずだった機密PDFを、代わりにローカルで処理してみてください。出来上がるファイルは同じです。違うのは、文書がさらされるかどうかです。

よくある質問

Smallpdfはハッキングされたことがありますか？

2026年9月に確認した時点で、Smallpdf自身のサイトに侵害の開示は見当たらず、ユーザーファイルの流出が公に報告された例も私たちは把握していません。SmallpdfはISO/IEC 27001認証を取得し、毎年監査を受けていると表明しています。Smallpdfで構造的に懸念されるのは過去の侵害ではなく、アーキテクチャそのものです。処理されるファイルはすべて処理のあいだ同社のサーバー上にあり、これはブラウザベースのツールなら完全になくせる種類のリスクです。

SmallpdfはGDPRに準拠していますか？

Smallpdfは準拠していると表明しています。データ処理契約（DPA）を公開し、アップロードされたファイルを欧州連合内のサーバーで処理し、スイス連邦データ保護法とGDPRの両方の下で事業を行っています。それでもGDPRの対象となる組織がSmallpdfを使う場合、通常は自社のプライバシーポリシーを更新して、Smallpdfを第三者の処理者として開示する必要があります。ファイルをアップロードしないブラウザベースのツールなら、その開示義務自体がなくなります。

Smallpdfは法務文書や医療文書に使っても安全ですか？

Smallpdfは基本的なセキュリティの堅固さを文書で示しています。しかし法務文書や医療文書では、問題になるのは技術よりも契約と規制です。多くの法律事務所の委任契約書やHIPAAの事業提携契約（BAA）は、事前の書面による合意なしに、依頼人や患者の文書を第三者のSaaSツールに送ることを制限しています。こうした種類の文書では、ファイルを一切送信しないブラウザベースのPDFツールのほうが、コンプライアンスの面でずっとすっきりします。

Smallpdfはファイルをどのくらいの期間保持しますか？

Smallpdfのヘルプセンターによると、ほとんどのツールで処理から1時間後です。プライバシー通知はさらに詳しく、アカウントがある場合、ファイルストレージに保存しない限りファイルは1時間以内に削除され、保存したファイルを削除した場合は通常14日以内に消去されるとしています。アカウントがない場合、プライバシー通知が約束しているのは、ファイルが最後に開かれてから妥当な期間内に削除することだけです。一方でデータ処理契約は、アカウントを使うかどうかによって1時間または2週間としており、両者は一致していません。アカウントのストレージに保存したファイルは、無料でも有料でも、自分で削除するまで残ります。ブラウザベースのツールなら、ファイルがサーバーに保存されることが一切ないため、保持期間という問題自体が生じません。

Smallpdfはオフラインで使えますか？

ブラウザでは使えません。SmallpdfのWebツールは処理を同社のサーバーで行うため、インターネット接続が必要です。オフラインで使うにはSmallpdfのデスクトップアプリが必要で、いくつかの基本的なツール付きで無料でダウンロードできますが、すべてのツールを使うには有料のProプランが必要です。インターネット接続が制限された環境や接続のない環境でPDFを扱う必要があるなら、デスクトップソフトか、一度読み込めばあとはローカルで動くブラウザベースのツールが必要です。

乗り換えを考えているなら

ここまで読んで、ファイルを端末の外に出したくないと決めたなら、次に気になるのはたいてい、ツール同士を並べて比べるとどうなるかでしょう。料金、利用制限、透かし、それぞれのツールが勝る点まで、機能ごとに詳しく比較したページを用意しています：HonestPDF vs Smallpdf。

まとめ

Smallpdfは、きちんと運営され、セキュリティへの意識も高く、コンプライアンスについても文書で示しているクラウド型PDFサービスです。機密性のない文書であれば問題ありません。機密文書の場合、問題はSmallpdfそのものではなく、クラウドモデル自体にあります。ファイルをローカルで処理するブラウザベースのツールは、そもそもリスクを生むアップロードという工程をなくします。

機密PDFを日常的に扱うなら、ファイルを一切見ないツールを基本にし、クラウドサービスは誰に見られても本当に構わない文書のためにとっておくのが現実的なやり方です。

HonestPDFのプライバシー重視のPDFツールを試す。すべてのツールはブラウザの中だけで動き、アップロードも、アカウントも、1日あたりの上限もありません。