O esquema private:// e um diretório fora do document root reduzem acesso direto, mas não substituem a autorização na rota que entrega o arquivo. Links ocultos, thumbnails ou integrações podem criar caminhos públicos alternativos.

Teste a mesma URL como usuário autorizado, usuário autenticado sem permissão e visitante anônimo, inclusive com cache aquecido. Revise CDN/proxy, cópias de staging, backups e anonimização de dados; um snapshot privado ainda contém os documentos originais.

Veja recomendações de implementação e operação no artigo da Mindcore sobre entrega protegida de arquivos privados no Drupal.