Ano, samozřejmě k těm souborům má přístup kromě autora také admin serveru (webhostingu), pak k tomu může existovat přístup přes FTP, atp.
Pokud je server nastaven správně, tak se PHP zpracovává na serveru a jeho obsah by nemělo jít zobrazit/stáhnout.