Bueno.. así como lo planteas sigue sin ser seguro.
Lo ideal en este caso es ocultar el path a ese archivo, o ponerlo fuera del document_root, o si no es muy grande (y/o no va a ser muy descargado) hasta podrías guardarlo en binario en la BD. El problema de tener el archivo disponible desde un link es que cualquiera que se averigue la ubicación y nombre de archivo (información que de hecho está en ese enlace) podrá descargar el archivo.
Saludos
