EUデータ法（EU Data Act）は、2025年9月12日に施行された包括的な法制度であり、EU域内でインターネット接続可能な製品、関連するデジタルサービスあるいはクラウドおよびその他のデータ処理サービスを提供するすべての企業に影響を及ぼします。たとえそれらの企業がEU域外に所在する場合でも同様です。現時点では、多くの企業がこの法律がもたらす影響を過小評価しているようです。特に、この法律はデジタル製品のユーザーに対し、個人データか非個人データかを問わず、従来より広いアクセス権を含む新たな権利を付与しています。これまではこうした非個人データの取り扱いは十分に規制されていませんでした。現在、インターネット接続製品やサービスの提供者およびその他のデータ保有者は、既存の契約を改定し、デバイスやサービスのユーザーに広範な権利を付与しなければならない状況に直面する可能性があります。
EUのデータ法は新たな情報処理義務も課しており、企業に対してユーザーが自社製品によって生成されたデータにアクセスできるようにすること、および公正な条件で第三者とデータを共有することを求めています。クラウドおよびその他のデータ処理サービスプロバイダーは、顧客契約における強制条項を含め、新たなサービス移行支援義務を負うことになります。この義務に違反した場合、高額な罰金・民事訴訟および規制当局による調査の対象となる可能性があります。
EUデータ法と従来の個人情報データ保護法との根本的な違い
これまで企業にとって馴染みのあるEUのデータ関連規制は、その多くが「個人データ保護」を中心に展開されてきました。例えば、一般データ保護規則（GDPR）は、個人を特定可能なデータに主眼を置いており、企業が個人データを合法的に収集・処理・保存および越境移転できるかどうかが焦点となっています。その中核となる概念は、プライバシーや本人の同意・合法的な利用・データの最小化および消去の可能性です。GDPRの保護対象は「人」であり、個人のプライバシーが濫用されるのを防ぐことを目的としています。
一方、EUデータ法の考え方は異なり、その保護対象は「個人」から「データ経済において流通するデータそのもの」へと拡大されています。重点はプライバシーではなく、データのアクセス性（accessibility）・ポータビリティ（portability）および公正なアクセス（fair access）にあります。たとえデータが個人情報でなくとも、例えば産業用機械のセンサーによるテレメトリ情報・スマート車両の運行パラメータ・IoTデバイスのイベントログなども、EUデータ法の規制対象となります。
- 新たな規制により、企業のデータ管理のあり方は大きな見直しを迫られます。コンプライアンス上の課題をもたらす一方で、消費者や産業用データ市場の企業にとっては、重大な新たな機会をもたらす可能性もあります。
- 製品や関連サービスの利用によって生成されるデータについて、ユーザーはより広範なアクセス・管理・共有の権利を有します。企業は、製品アーキテクチャの設計や契約条項を通じてこれを実現しなければならず、製品やサービスのデータを自社の専有資産と見なすことはできません。
- クラウドサービスやその他のデータ処理サービスの提供者は、新たなサービス要件を遵守し、顧客契約を新たな要件に適合させる必要があります。
- EUデータ法は、特にユーザーのデータに関する新たな権利をめぐり、集団訴訟や規制当局による調査を含む重大な訴訟を引き起こす可能性があります。
これは非常に大きな法規制の転換です。これまで多くの機器メーカーは、機器から生成されるデータは自社に帰属するものであり、自社の知的財産としてクローズドに管理できると考えていました。しかし「EUデータ法」の下では、ユーザー（企業顧客を含む）は、自身が使用する機器から生成されるデータに対して、より強力なアクセス権を有することになります。メーカーやサービスプロバイダーは、機器から生成されるデータを完全に自社の専有資産と見なすことはできなくなりました。
2つ目の違いは、規制の適用対象がより広範囲に及ぶ点です。GDPRは主に「管理者（Controller）」と「処理者（Processor）」を対象としていますが、EUデータ法は以下を網羅しています。
- コネクテッドデバイスのメーカー
- デジタルサービスプロバイダー
- クラウド・エッジコンピューティングプロバイダー
- データ保有者および第三者のデータ利用者
これにより、影響を受ける業界はSaaSやインターネットサービスにとどまらず、製造・医療・自動車・エネルギー・物流など、OTやIoTの活用が進む産業にまで及ぶこととなります。
3つ目の違いは、市場競争への重点です。「EUデータ法」には、独占禁止や市場競争の促進という意図が明確に込められています。例えば、クラウドサービスの抱き合わせ販売を制限し、クラウドプロバイダーに対して乗り換えの障壁を低減するよう求めており、企業がAmazon Web Services、Google Cloud、Microsoft Azureからより容易に移行できるようにしています。この点はGDPRには見られません。
企業が遵守しなければならない主な義務
企業におけるEUデータ法のコンプライアンス上の重点は、以下の5つの義務にまとめられます。
- 設計段階からデータアクセス管理（Data Access by Design）を組み込む
企業は、接続デバイスが設計段階からデータ抽出に対応していることを確保しなければなりません。データは、独自の形式のファイルやユーザーが参照できないファームウェアの中に閉じ込められてはならず、ユーザーが取得できるようAPI・エクスポート機能または標準インターフェースを提供する必要があります。これは、製品設計に以下を組み込む必要があることを意味します。
-
- 構造化データ
- メタデータのタグ付け
- エクスポート可能な形式（JSON/CSV/API）
※機器メーカーにとっては、これは単なる法的条項の修正にとどまらず、製品の再設計を必要とする可能性があります。
- ユーザーはデータの共有を求める権利を有する
ユーザーは、企業に対し、データを第三者に共有するよう要求する権利を有します。例えば、
-
- 修理業者
- 分析サービスプロバイダー
- ホスティングサービスプロバイダー
※企業は、合理的かつ非差別的な条件でデータを提供しなければならず、不公正な契約条項によってこれを妨げてはなりません。
- 公正な契約条項
企業が比較的強い交渉力（例えば大規模なビジネスプラットフォームなど）を有する場合、B2B契約に以下のような不公正な条項を盛り込むことはできません。例として以下が挙げられます。
-
- 一方的にデータの所有権を主張すること
- 一方的に価格を調整すること
- 過度に高いアクセス料金
※このような不公正な条項は、無効とみなされる可能性があります。
- クラウドサービスの切り替え
クラウドサービスプロバイダーは、顧客が他のプロバイダーへ切り替える際のサポートを提供しなければなりません。これには以下が含まれます。
-
- ワークロードの移行
- メタデータのエクスポート
- 設定情報の移行
- 移行障壁の低減
※これは、クラウドサービスへのロックインに対する直接的な規制です。
- 政府によるアクセスへの協力義務
公的な緊急事態や重大な公共の利益に関わる状況において、政府は企業に対し、以下のような運用情報の提供を求める場合があります。
-
- 医療テレメトリ情報
- エネルギー供給網
- 輸送ルート
EUデータ法の真の意味は、単なる新たなEU規制にとどまらず、欧州が正式にデータ経済ガバナンスの時代に入ったことを宣言するものです。これまで企業の競争優位性は「データの掌握」に築かれてきましたが、将来の競争優位性は徐々に「いかに安全かつ公平にデータを共有するか」へと移行していくでしょう。
情報セキュリティのアーキテクチャの観点から見ると、将来型のDLPは単なる「外付けハードディスクの使用禁止」や「ファイル転送の監査」にとどまるべきではなく、包括的なデータガバナンスプラットフォームへと進化すべきです。機密データを保護すると同時に、合法的かつ管理されたデータ流通を実現する仕組みへと進化する必要があります。