【データ法】EU Data Act #1 ーIoT製品の生成データの利用と共有ー

こんにちは。
お読みいただきありがとうございます。

本日は、EU Data Act(*1)について紹介したいと思います。
※　ただ、今回で全部書ききることができず、今回はまず、Data Actの概要と、IoT製品の生成データの利用と共有に関する規制について紹介します。

データに関する法規制というと、どうしても個人情報に目が行きがちですが、事業者が扱うデータはこれに限られません。特に、EUに進出する企業の多くの日本企業が製造業であり、IoTや産業データの取り扱いを規律するData Actは、少なからず影響があるのではないでしょうか。

既に多くの法律事務所が日本語でData Actに関する記事やニューズレターを出しているところではありますが、知識の再確認もかねて、Data Actについてみていきたいと思います！

EU Data Actの概要

テキスト

いつものサイトにEU Data Actのテキストが公開されています。

構成

Data Actは、全50条から成るEUの規則（Regulation）であり、その構成をみると、だいたいどのような事項を対象とする法令なのかイメージがつきやすいと思います。

対象事項

Data Actは、データに関するどのような営みを規律しようとするのでしょうか。ざっくり言うと、次のようにまとめられるのではないかと思います。

これらの中でも事業者にとって重要なのは、①IoT製品関連（第2章）、②BtoBの個人データの共有に関する義務、不当条項（第3, 4章）、及び③データ処理サービスの切り替え（第6章）ではないでしょうか。

③について補足すると、これはいわゆるベンダーロックイン（ユーザーの囲い込み）への対処ですね。Data Actにおいては、クラウドストレージサービス等の切り替えを容易にすることが趣旨で、他のEU方でもしばしば登場するトピックです。

以下では、Data Actの個別の章について見ていきたいと思います。

IoT製品の生成データの利用と共有（第2章）

まずは、IoT製品関連です。第2章の正式なタイトルは、BtoC及びBtoBのデータ共有と訳せるのですが、第2章各条の内容的にIoT製品に関する規律だと整理できそうなので、ここでは上記のような見出しにしています。

接続製品と関連サービス

第2章は、要するにIoT製品により生成されたデータについて、そのユーザーが利用できるようになるよう定めているものです。そのため、Data ActにおいてIoT製品はどのように定義されるのかが、まず問題になります。

この点について、Data Actは、接続製品（Art 2(5)）、関連サービス（Art 2(6)）という定義を置いています。以下がぼくによる対訳です。

いずれも、一般的にイメージされるIoT製品、及び、関連ソフトウェアと大きな相違はありませんが、Data Actの検討に際しては、対象となる製品が接続製品（及び関連サービス）に該当するのか否かという点が出発点になろうかと思います。

なお、「製品データ（product data）」とは、ざっくり言うと、接続製品の使用により生成されるデータです。きちんとした定義は、Art 2(15)を確認して頂ければと思います。

アクセス・バイ・デザイン

Data Actは、接続製品及び関連サービスについて、ユーザーが、デフォルトで、容易かつ安全に、無料で、包括的に構造化され一般的に用いられ機械的に可読なフォーマットで、（関連し可能な場合に）直接に、製品データ及び関連サービスにアクセスできるように設計されていなければならないとします（Art 3(1)）。

また、製造者又は関係者が、接続製品又は関連サービスについて変更を加えたことによってアクセス可能なデータに変更が生じた場合は、ユーザーに通知されるべきとされます（前文20項）。

契約前の情報提供義務

接続製品・関連サービスの販売者らは、これらが生成するデータに関する所定の情報を、販売契約等に先立ってユーザーに提供しなければなりません。具体的な情報については、Art 3(2)及び(3)に列挙されていますので、必要に応じてご参照ください。

前文24項によれば、QRコードやリンクから情報の置いてあるWEBページに飛ばすことを想定しているようですね。

ユーザーのデータへのアクセス

ユーザーが接続製品・関連サービスが生成するデータに直接アクセスできない場合、データ保有者は、容易に利用可能なデータ及びその解読と使用に必要となるメタデータを、遅滞なく、容易かつ安全に、無料で、包括的に構造化され一般的に用いられ機械的に可読なフォーマットで、（関連し可能な場合に）継続的かつリアルタイムで、ユーザーに提供しなければなりません（Art 4(1)）。

ここで提供が必要となるのは、「容易に利用可能なデータ」ですが、Art 2(17)に定義があり、前文15項で想定されるフォーマットや加工の状態、該当しないデータなどに触れられています。

・　ユーザーの権利の制約

Data Actは、接続製品や関連サービスが生成するデータへのアクセス権をユーザーに与えていますが、その権利は無制限ではありません。

もしユーザーによるアクセス、仕様、更なる共有といったデータの処理が安全保障上の要求を損ねたり、自然人の健康や安全に深刻な悪影響を与えるような場合には、そのようなアクセス等を契約的に制約されることができます（Art 4(2)）。「契約的に」という点がポイントですね。もし上記のような理由によりユーザーのアクセス等を制約したいときは、契約上そのような制約をユーザーに課す必要があります。

また、アクセス等されるデータに営業秘密が含まれている場合に、その営業秘密の保有者が、ユーザーに対して、そのデータの機密性を保持するために技術的及び組織的な措置を課すことが認められます（Art 4(6)）。そして、ユーザーとの間でそのような措置について合意できなかったり、ユーザーが合意された措置を実施しなかったような場合は、データ保有者は、データの共有を留保したり停止したりできます（Art 4(7)）。また、技術的及び組織的な措置が実施された場合であっても、営業秘密の開示によって深刻な経済的損害を被る場合には、データ保有者は、なお開示を拒否することができる場合があります（Art 4(8)）。

ユーザーによる第三者とのデータ共有

ユーザーは、データ保有者に対して、容易に入手可能なデータ及びその解読と使用に必要となるメタデータを、遅滞なく、容易かつ安全に、無料で、包括的に構造化され一般的に用いられ機械的に可読なフォーマットで、（関連し可能な場合に）継続的かつリアルタイムで、第三者に共有するよう求める権利を有するとされます（Art 5(1)）。

「遅滞なく…」に続く部分は、ユーザーのアクセス権のところと同じ規定ぶりですね。

このユーザーの第三者とのデータ共有をせしめる権利についても、制約が課されます。例えば、新たな接続製品のテストの文脈では、このユーザーの権利は適用がありません（Art 5(2)）。また、営業秘密がかかわる場合にも、第三者とのデータの共有についてユーザーのアクセス権と同様の制約に服することになります（Art 5(9), (10)）。

利用の制限

データ保有者、データを受領する第三者のいずれについても、そのデータの利用について制限が課せられています。

例えば、データ保有者は、容易に入手可能なデータについて、第三者の経済状況や資産を洞察することを原則として禁じられます（Art 5(6)）。また、データを受領する第三者の利用制限の例として、接続製品と競合する製品の開発のために受領データを利用することが禁止されることなどがあります（Art 6(2)(e)）。

EU Data Actは、いつから適用されるのか？

Data Actは、全ての規制を一斉に発効させるのではなく、段階的に発行させていきます。もっとも、そのほとんどの規定は、2025年9月12日から適用が始まります。

今回紹介した第2章についても、接続製品等にアクセス・バイ・デザインを要求するArt 3(1)以外は、この日に適用が開始します。ちなみに、アクセス・バイ・デザインが要求されるのは、2026年9月12日以降に上市した接続製品及び関連サービスです。

まとめ

いかがだったでしょうか。
本日は、EU Data Act、特にIoT製品の生成データの利用と共有に関する規制について概観しました。

実は、2月6日（このエントリの前日です！）、EU Data Actに関するFAQが公表されました。こちらを読んだうえで書ければよかったのですがタイミングが悪かったです。

このペースで書いていると適用開始に間に合わない気もするので、近いうちに非個人データの共有に関する義務、不当条項を含む残りの部分も書いて、9月12日に間に合わせたいと思います。

そして、これを書き終えたあとに記載内容におかしなところがないか確認するために、ネットで公開されているData Actの解説をいくつか読みましたが、そちらの方がよくまとまっていて100倍分かりやすいです（笑）(*2)
はたしてこれを公開する意味があったのか、、。

そういう事情もあり、こちらのエントリも時間があるときに抜本的に見直して、こっそり更新するかもしれません。その場合はご容赦ください！

このエントリーが皆さまの参考となっていれば嬉しいです。
ここまでお読みいただきありがとうございました。

【注釈】
*1　Regulation (EU) 2023/2854 of the European Parliament and of the Council of 13 December 2023 on harmonised rules on fair access to and use of data and amending Regulation (EU) 2017/2394 and Directive (EU) 2020/1828 (Data Act)
*2　例えば、TMIの先生方が書いているこちらの記事など。

免責事項：
このnoteは、ぼくの個人的な意見を述べるものであり、ぼくの所属先の意見を代表するものではありません。また、法律上その他のアドバイスを目的としたものでもありません。noteの作成・管理には配慮をしていますが、その内容に関する正確性および完全性については、保証いたしかねます。あらかじめご了承ください。

X（Twitter）もやっています。
こちらから、フォローお願いします！

このほかにも、データ法に関する解説を書いています。
よければご覧ください。